セキュリティ研究者が、マルウェアフレームワーク「OctLurk」と、カザフスタンの重要インフラを標的とする別のキャンペーンとの間にインフラ上のつながりを発見しました。
この重複は、TrustFallに関連付けられていたコマンド&コントロール(C2)サーバーに関わるものです。TrustFallはLinuxを標的とする遠隔操作型マルウェアで、MystRodXやSilentRaidという別名でも追跡されています。
OctLurkと、これに付随するバックドア「SilkLurk」は、2025年1月以降、中央アジア各国の政府機関を標的にしてきました。
被害はカザフスタン、アフガニスタン、キルギス、タジキスタン、ウズベキスタン、シリアの各国に及び、政府機関、外務、医療、物流、法執行、研究、都市計画、教育の各分野にまたがっています。
研究者らは、中程度の確度で、OctLurkとSilkLurkの両方を単一の中国語話者の脅威アクターが運用していると評価しています。ただし、この活動はまだ既知の脅威グループへの帰属が確定していません。
OctLurkおよびLurkProxyのインプラントは、C2通信にVPSでホストされたインフラを使用していました。
研究者らは、複数のOctLurkおよびLurkProxyのC2アドレスが、カザフスタン国家技術局(STS)が公表した「paste.txt」と題する報告書にも記載されていたことを突き止めました。
STSは2025年3月、カザフスタンの重要インフラを狙うキャンペーンを特定しており、その際にLinuxシステム向けに設計された遠隔操作型マルウェア「TrustFall」が使用されていました。
2025年10月、同組織はTrustFallの追加サンプルを発見し、能動的な調査を通じて新たなC2サーバーを特定しました。OctLurkとLurkProxyも、このうち3件のTrustFallのC2アドレスを使用していました。
これは、異なるオペレーティングシステムを狙う複数のキャンペーン間でインフラが共有されていたことを示していますが、研究者らはこれらの活動が同時期に行われたものか、あるいはインフラが後になって再利用されたものかまでは特定できませんでした。
この発見が重要なのは、Windowsを標的とするスパイ活動ツールキットと、重要システムへの攻撃で使われたインフラとを結びつけている点にあります。
C2サーバーの共有だけでは、同一の運用者がすべてのキャンペーンを実行したと断定はできませんが、運用上の関係性やインフラの再利用、あるいは共通のホスティングリソースへのアクセスがあったことを示す手がかりになります。
OctLurkはポート443経由でdns.multitoconference.comと通信する一方、LurkProxyはdns.ssentialserv.xyz(154.196.162.76に解決)を使用していることが確認されています。
このほか、OctLurkに関連するインフラとしてtj.tajikistandip.com、fm01.clouddevicemetrics.com、45.138.157.165が挙げられています。
OctLurkは、2つのXORキーでペイロードを復号する、大幅に難読化されたDLLローダーを使用します。このうち一方のキーは、被害者のCドライブのシリアル番号から生成されます。
その後、マルウェアはバックドアをリフレクティブにメモリへ注入し、ディスク上に残る痕跡を減らして検知を困難にします。
感染後、OctLurkはオペレーティングシステム、コンピューター名、ユーザー名、ローカルホスト名、IPアドレス、システム時刻といったホスト情報を収集します。
こうしたデータを圧縮し、二重にXOR暗号化した上でC2サーバーへ送信すると、securelistは報じています。
注記: IPアドレスおよびドメインは、誤ってアクセスやリンク化されるのを防ぐため、意図的にディフェイング処理(例: [.])を施しています。再度有効化する場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
SOC調査の死角を減らし、脅威を早期に封じ込めることで、ANY.RUNを活用して対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/octlurk-hits-kazakhstan-infrastructure/
