新型「TriBack Loader」、署名済みバイナリとWin32コールバックAPIを悪用しEDRを回避

中国とのつながりが指摘される侵入クラスター「JadeProx」が、新種のシェルコードローダー「TriBack Loader」を使用していることが明らかになりました。このマルウェアは、署名済みバイナリと一般的でないWin32コールバックAPIを悪用することで、最新のEDR(Endpoint Detection and Response)による検知を巧妙に回避するよう設計されています。

これまでに確認された少なくとも4つの亜種は、東南アジアと中南米で同時進行しているスパイ活動を支えており、標的にはベトナムの公立病院、マレーシア外務省、香港の教育機関、ホンジュラス国民議会、ベネズエラの自治体税務システムなどが含まれます。

JadeProxクラスターの存在が判明したきっかけは、攻撃者側の設定ミスによりAlibaba Cloudのステージングサーバーがディレクトリ一覧表示を有効にしたまま公開されてしまったことでした。これにより、bashの操作履歴、侵害後に使用するツールキット一式、そしてベトナム、マレーシア、香港における被害者への経路が露呈しました。

並行して調査チームは、おとりの請求書ファイルを使ってホンジュラス国民議会を狙ったフィッシング活動や、ベネズエラのボリバル州にある自治体税務行政ポータルを装った認証情報窃取用ポータルも確認しています。

このキャンペーンはさらに、AIをテーマにしたおとりにも展開されています。偽のAnthropic Claudeソフトウェアポータルや、Claude Pro を装ったフィッシングサイトが、TriBack Loaderベースの感染チェーンの拡散に利用されていました。

このローダーは、2段階の復号ルーチンを実装しています。まずバイト順を反転させ、続いてハードコードされた鍵を用いたローリングXOR変換を行うことで、埋め込まれたシェルコードをメモリ上で復元する仕組みです。この手法は、他の中国系APTツールで確認されたパターンと酷似しています。

挙動ベースのヒューリスティック検知を回避するため、各ビルドは使用するWin32コールバックAPIを動的にローテーションさせ、EDRエンジンが重点的に監視する定番手法である「VirtualAlloc→CreateThread」の呼び出し順序を避けています。

公開されていたディレクトリから回収された亜種のひとつでは、復号されたペイロードが InitOnceExecuteOnce を通じて実行されていました。この一度限りの初期化用コールバックはほとんど監視対象になっておらず、一般的なスレッド生成フックを回避しながらシェルコードを実行できてしまいます。

Group-IBの研究者らによれば、TriBack LoaderはDLLサイドローディングの三点セット――署名済みのホスト実行ファイル、悪意のあるローダーDLL、そして併設された暗号化済みのDATまたはLOGペイロード――によって配布される、カスタム仕様のシェルコードローダーだということです。

ホンジュラスを標的としたおとりから確認された別の亜種では、TimerQueueタイマーのコールバックが使用されていました。シェルコードを遅延実行されるタイマー処理として登録することで、CreateThreadを監視するテレメトリ収集を回避しています。

Claude Proをテーマにした3つ目の亜種は、ntdllの中でも文書化されていない EtwpCreateEtwThread 関数を解決・呼び出すことで、秘匿性の高い実行コンテキストを生成し、スタックトレースやエンドポイントのログ記録をさらに困難にしていました。

TriBack LoaderによるEDR回避

確認された4つのTriBack Loader亜種のうち2つは、AdaptixC2ビーコンを復号・実行していました。これはオープンソースの侵害後活動用フレームワークで、以前にはTropic Trooperなどの攻撃者にも採用されていたものです。

Group-IBのアナリストは、ビーコンの設定情報を完全な形で抽出することに成功し、HTTPリスナーのプロファイル、RC4鍵、そして sylverixstrategy[.]com や gouvvbo[.]top を含むC2エンドポイントを明らかにしました。両ドメインはいずれもNameSiloを通じて登録されており、ペイロードのコンパイル日時から数日以内に稼働開始していました。

注目すべき点として、ある設定情報にはGitHubの解析用Cookieが埋め込まれており、これが以前から報告されている中国と関係の深い攻撃者に紐づくカスタムビーコンのプロファイルと一致していました。

Claude Proをテーマにした感染チェーンでは、TriBack LoaderはAdaptixC2を展開していませんでした。代わりに、復号されたシェルコードはDonutベースのリフレクティブローダーに相当し、偽のClaude-Pro向けMSIインストーラーやZIPアーカイブによって侵害されたシステム上に、これまで報告のなかったバックドア「Beagle」を展開していました。

このインフラの中心となっているのが license[.]claude-pro[.]com で、Alibabaのインフラ上でホストされており、「Vertex Trust Advisors」という金融機関を装ったサイトの表向きの顔として機能しています。これは、標的となった地域における中国のより広範な経済・諜報上の利害と一致するものです。

この公開されていたステージングサーバーには、内部偵察からクラウド検知回避型の永続化まで一式そろった攻撃ツールキットがホストされていました。SOCKS5およびHTTPベースのトンネリング用のioxとsuo5、Webシェル経由の横展開用のNeo-reGeorg、脆弱性発見用のnucleiとfscanなどです。

Hacking& Cracking

さらに、Alibaba Cloudのセキュリティエージェントを無効化するために改変されたfuckaliyun.shスクリプトや、遊休時の収益化フェーズで使用されたとみられるXMRigおよびSOCKS5プロキシも確認されています。

調査チームは、難読化されたNPSイントラネットプロキシの存在にも言及しており、これは他の中国系ペネトレーションフレームワークとも共通しており、JadeProxが中国と関連しているという見立てをさらに裏付けるものです。

確認された指令制御(C2)ドメインには、sylverixstrategy[.]com、gouvvbo[.]top、license[.]claude-pro[.]com、vertextrust-advisors[.]com、さらにupdate-trellix[.]comやupdate-sentinelone[.]comといったセキュリティ関連を装った「update-*」形式のドメインが含まれます。

Microsoft、G DATA、その他の信頼されたベンダーの署名済みバイナリをDLLサイドローディングに悪用する手口は、アプリケーション制御やEDRの挙動モデルを回避するために証明書や署名を悪用するという、長らく続いている傾向を反映しています。

防御側は、InitOnceExecuteOnce、TimerQueueタイマー、EtwpCreateEtwThreadの異常な使用状況を、メモリ内での復号ルーチンやリフレクティブなPEローディングのパターンと組み合わせて監視することを優先すべきです。特に、通常とは異なるサイドカーDLLを伴う署名済みバイナリから呼び出されている場合は注意が必要です。

東南アジアおよび中南米の政府機関、医療機関、教育機関は、上記のNameSiloに登録されたC2ドメインを探索し、CloudflareおよびAlibabaにホストされたインフラへの通信を精査するとともに、AdaptixC2やDonut由来のシェルコードローダーをTriBack Loaderの活動を示す指標として監視すべきです。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいはご利用のSIEMなど、管理されている脅威インテリジェンス基盤上でのみ行ってください。

2026年、AI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード

MachineLearning & Artificial Intelligence