無防備なディレクトリがスパイ活動の実態を暴露
ある1台のサーバーで見過ごされた設定ミスが、中国系サイバースパイインフラの内部構造をそのまま露呈させる結果となりました。Group-IBのサイバーセキュリティ専門家は、公開状態になっていたディレクトリへのアクセスに成功し、コマンドログ、悪意あるバイナリ、被害組織のリスト、そしてあらかじめ用意されたフィッシング用の誘導コンテンツを発見しています。
このサーバーはAlibaba Cloudのインフラ上で稼働しており、JadeProxキャンペーンの背後にいる攻撃者が運用していました。2026年4月中旬、脅威アクターはディレクトリ一覧表示を有効にしたままPython製のWebサーバーを稼働させたままにしていました。この運用上のミスにより、研究者たちは東南アジアや中南米の政府機関、医療機関、教育機関を狙った一連の攻撃について、その時系列と手口を再構築することができました。詳細な技術分析は、Group-IBによるJadeProxの中国系キャンペーンとTriBackローダーに関するレポートで確認できます。
世界各地に及ぶ著名な標的
標的となった著名な組織には、ベトナムのある病院の医療画像処理システム、マレーシア外務省、香港の複数の教育機関が含まれます。また並行して行われたキャンペーンでは、脅威アクターが地元の大手ビール会社を装った偽の請求書をホンジュラス国民議会に送りつけていました。さらにハッカーたちは、ベネズエラの市税務当局を模した偽のポータルサイトを作成し、認証情報や機密文書の窃取を図っていました。
TriBackローダー・フレームワーク
JadeProxの中核をなす活動要素が、TriBackローダーと呼ばれるマルウェアファミリーです。このローダーは、信頼できるベンダーが署名した正規のバイナリと並行して実行され、隠された不正ペイロードを復号したうえで、あまり監視されていないWindows API関数を経由して実行制御を移します。この隠密性の高い手法により、通常の実行経路を監視するセキュリティ対策を回避できるようになっています。
Group-IBの研究者は、TriBackローダーの4種類の異なる亜種を特定しました。
- 2種類の亜種は、リモートでエンドポイントを管理するためのオープンソースのコマンド&コントロール(C2)フレームワークであるAdaptixC2を展開
- 3種類目の亜種は、これまで知られていなかった「Beagle」と名付けられたバックドアを投下
- 4種類目の検体は「DeviceSync」という名のアーカイブ内で発見されたが、最終的なペイロードの特定には至らず
Claude Proを装った誘導コンテンツとインフラ運用
不正なペイロードを配布するにあたり、攻撃者はClaude Proのソフトウェアを装った文書やインストーラーを利用しました。あるアーカイブにはAnthropicのサービスに関する技術文書が含まれており、別のアーカイブでは偽のアプリケーションビルドをインストールするようユーザーに促していました。マルウェア一式は実行されると、Windowsのスタートアップフォルダに自身を常駐させ、システムの再起動後も継続的にアクセスできる状態を確保していました。
公開状態になっていたこのディレクトリサーバーには、脆弱性スキャナーや秘匿トンネリングツール、ネットワークプロキシ、さらにはAlibaba Cloud環境向けに調整された防御回避用ツールも保管されていました。コマンド履歴からは、脅威アクターが香港の数千におよぶ教育機関のドメインに対して自動化された偵察活動を行い、重大な脆弱性を探索するとともに、侵害したホストへの持続的アクセスの確立を手動で試みていたことが明らかになっています。
アトリビューションと戦略的評価
Group-IBはJadeProxを、より広範な中国のサイバースパイエコシステムと関連付けていますが、単一の特定の高度標的型攻撃(APT)グループへの帰属までは断定していません。戦術・手法・手順(TTPs)には、Mustang Panda、Tropic Trooper、Earth Lusca、APT27といった既知の脅威アクターとの重複が見られます。しかし、侵入活動全体のプロファイルは、いずれか単一の既知の組織とは完全には一致していません。
専門家たちは、JadeProxを特徴づける主な要素として、独自開発のTriBackローダーファミリー、繰り返し確認される暗号鍵の使い回し、そして共有されたサーバーインフラを挙げています。今回のディレクトリ公開というミスは、誘導コンテンツの準備からコマンド&コントロールネットワークの運用管理に至るまで、攻撃のライフサイクル全体をかつてないほど鮮明に見せる結果となりました。
翻訳元: https://meterpreter.org/jadeprox-triback-loader-infrastructure/
