2026年1月から活動が確認されているこの攻撃は、侵害した環境をランサムウェア攻撃者に販売または提供する初期アクセスブローカーと関連している可能性があります。
攻撃者はIT部門やヘルプデスク担当者になりすまし、Microsoft Teamsを通じて標的に接触します。多くの場合、この社会工学的な手口の前段階として、大量の不要なメールを送りつける「スパムボミング」が行われているとみられています。
その後、攻撃者は支援を申し出て、被害者にMicrosoft Quick Assistセッションを開かせるよう誘導します。
リモートセッションが有効になると、攻撃者はPowerShellを使ってマルウェアをダウンロードし、永続化を確立したうえで偵察活動を開始します。
ThreatLabzは、GoGRPCと名付けられたGo言語ベースのバックドアファミリーに加え、侵害したデバイスを経由して内部システムにアクセスできる複数のリバースプロキシツールを確認しました。
この攻撃キャンペーンは、正規のリモートサポートソフトウェアが長期的なアクセス、データ窃取、横展開、さらにはランサムウェア展開に至る侵入口になり得ることを示しています。
ThreatLabzは、Lep、Giver、Pet、Kindと名付けられた4種類のGoGRPC亜種を確認しました。これらの亜種は2026年1月から6月の間に初めて観測されています。
これらは設計面で類似していますが、新しいバージョンほど難読化が強化され、暗号化への対応も強力になっているほか、企業を標的にする傾向がより明確になっています。
実行後、GoGRPCはレジストリのRunキーを通じて永続化を確立できるため、対象ユーザーがサインインするたびにマルウェアが起動する仕組みになっています。
初期の亜種は、ProgramDataディレクトリに実行ログを作成するほか、ミューテックスを利用して既存のマルウェアインスタンスの有無を確認し、Windowsの属性を使ってファイルを隠すこともできました。
LepおよびGiver亜種は、Windowsのバージョン、ホスト名、ユーザー名、ドメイン情報、アーキテクチャ、マシンGUIDなどのシステム情報を収集します。
これらの情報は、侵害されたエンドポイントを識別するための識別子の生成に利用され、攻撃者のコマンド&コントロール(C2)インフラに送信されます。
PetおよびKind亜種は一部のフィンガープリンティング機能を排除する一方で、より強力なコード難読化を採用しています。また、通信を暗号化するためのTLS(Transport Layer Security)サポートも追加されています。
さらにKind亜種は、gRPCプロトコル定義自体を難読化しています。C2エンドポイントを変更することで、ネットワーク検知やリバースエンジニアリングをより困難にしています。
GoGRPCはC2通信にHTTP/2上のgRPCを使用しており、これはマルウェアのバックドアとしては珍しい選択です。gRPCトラフィックは正規の最新Webアプリケーションの通信に類似して見えるため、企業ネットワーク内での不審な挙動として検知されにくくなっている可能性があります。
初期バージョンはTLSを使わずポート443を利用していましたが、新しいPetおよびKindバージョンでは暗号化が追加されたと、Zscalerは述べています。
注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりするのを防ぐため、意図的にディフェンジング(例: [.])されています。再度有効化する場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤上でのみ行ってください。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減できます。
翻訳元: https://cyberpress.org/quick-assist-backdoor-hijack/
