中国と関係が深い長期活動型APTグループBlackTechが、オープンソースRAT「BlueShell」をベースにした新型Linuxバックドアを採用し、日本の組織に対する侵入後の攻撃活動に用いていることが判明しました。これはツールチェーンの継続的な進化と、企業のLinux環境への標的の絞り込みを示すものです。
BlueShellはもともと中国語のドキュメント付きでGitHub上に公開されたツールで、日本、韓国、タイを標的とするAPTグループを含む中国拠点の脅威アクターによって、限定的ながら継続的に悪用されてきました。
最近の調査により、BlackTechおよび関連する中国系脅威アクターが、日本国内のネットワークを狙った侵入後の段階において、Linux向けに特化したBlueShellの亜種をステルス性の高いバックドアとして使用していることが確認されました。特に、Linuxサーバーや社内プロキシが業務運用において重要な役割を果たす環境が標的となっています。
観測された攻撃キャンペーンでは、このBlueShell亜種は直接展開されるわけではありません。攻撃者はすでに横展開でアクセスを確保したホスト上で、専用に作られたドロッパーを実行します。これは通常SSH経由で行われ、盗まれた認証情報や脆弱な認証情報が使用されます。
このドロッパーは、0x21E3BAバイトのペイロードをXORデコード(鍵0x63)し、FastLZを使って展開したうえで、BlueShell亜種を/tmp/kthreadとして書き込み、実行します。
検知を妨げるため、このマルウェアプロセスはargv[0]を[kworker/12:12]のような文字列に設定することでカーネルワーカーになりすまします。さらにドロッパーは、起動直後に/tmp/kthread実行ファイルをディスクから削除し、メモリ上にしかイメージが残らないようにします。
Anti-malwaresoftware
アナリストによると、実際の侵入ではドロッパー自体が削除されるケースが多く、対応者はペイロードとその設定情報を復元するために、メモリフォレンジックやファイルシステムの断片解析に頼らざるを得ないとしています。
新しいLinux版BlueShell亜種は、wtimのような環境変数から設定情報を取得します。まずBase64デコードを行い、続いてXORデコード(鍵0x63)を行った後、空白区切りのパラメータを実行時の値として解析します。
設定項目には、C2のIPアドレスとポート、スリープ間隔、任意のホスト名によるゲート制御、そして詳細なプロキシ設定(アドレス、ポート、ユーザー名、パスワード、フラグ)が含まれます。
従来のBlueShellと比較して注目すべき追加点の一つが、実行対象を特定のホストに制限できるホスト名チェック機能です。ただし2026年5月に確認されたサンプルでは、<hostname>をnullに設定することでこの制御が無効化されており、より広範な再利用が可能な状態になっていました。
さらに重要な点として、この亜種はC2通信を被害組織の社内プロキシサーバー(例:10.210.20.254:3128、Squidのデフォルト設定と一致)経由でルーティングするよう設計されています。これは、企業のネットワークアーキテクチャや通信の出口制御に対する攻撃者側の適応を反映していると言えます。
IIJのセキュリティ研究者によると、BlueShellはGoで書かれたオープンソースのリモートアクセス型トロイの木馬(RAT)で、Windows、Linux、macOSに対応しており、C2サーバー経由でリモートシェルアクセス、ファイル転送、SOCKS5プロキシ機能をオペレーターに提供します。
C2(例:48.216.210[.]91:443、Microsoft社のAS8075に属するIPアドレス)とのTLSセッション確立後、このマルウェアはX.509証明書のCommon Nameフィールドを調べ、microsoft、google、cloudflare、centos、ubuntといった文字列が含まれている場合にのみ処理を続行します。
BlueShell Linuxバックドア
これはBlueShellのオリジナルのコードベースには存在しなかった防御回避機能であり、悪意ある通信を正規のクラウドやCDNの通信パターンに紛れ込ませることを狙ったものとみられます。
この亜種はホスト情報の収集範囲も拡大しています。従来のOS識別子のみの送信に代わり、ホスト名、ユーザー名、UID、ローカルIPアドレス、自身のPID、接続タイムスタンプをC2へ送信するようになっており、侵害された日本国内の環境全体にわたって、資産の正確な追跡やセッション管理を可能にしています。
登録が完了すると、バックドアはコマンドループに入ります。その機能は本格的なRATにふさわしい内容で、任意の時間のスリープ(x0)、ファイルアップロード(x1)、ファイルダウンロード(x2)、対話型リモートシェル(x3)、SOCKS5プロキシ操作(x4)を備えています。
このマルウェアは、C2サーバーのX.509証明書のCommon Nameフィールドに microsoft、 google、cloudflare、centos、ubuntuのいずれかの文字列が含まれているかどうかを確認し、含まれている場合にのみC2サーバーへの接続を続行します。
Anti-malwaresoftware
これらの機能はBlueShell本来の基本機能(アップロード、ダウンロード、シェル、SOCKS)にそのまま対応していますが、コマンド名は迅速な解析を妨げるよう、意図的に直感的でないラベルに変更されています。
それでも、main_GetInteractiveShellのようなGoのメタデータがバイナリのpclntab内に残存しており、アナリストはこれを手がかりに各関数の役割を再構築できます。
テレメトリデータによれば、2023年以前に使用されていたBlueShell亜種にはプロキシ経由のC2通信機能やXORによる設定情報の暗号化は見られませんでした。一方、2024年以降のサンプル、すなわち日本国内でのBlackTechの活動に関連するものを含むサンプルでは、状況が変化しています。
これらのサンプルは一貫してプロキシ対応通信とより強固な設定情報の難読化を実装しており、実運用での経験を踏まえて反復的に改良が加えられている、活発にメンテナンスされているコードベースであることをうかがわせます。
BlackTechは、ルーターの乗っ取り、独自開発のバックドア、環境寄生型(living-off-the-land)手法を駆使して長期的なアクセスを維持するなど、日本や東アジアの組織を標的としたステルス性の高い攻撃活動の実績が豊富なグループとして知られています。
プロキシを中心としたC2通信と証明書を意識した回避技術を備えたBlueShellベースのLinuxバックドアへの転換は、共有マルウェアファミリーやオープンソースフレームワークが複数のキャンペーンにわたって改変・拡張されるという、中国系APTツールに見られるより広範な傾向と一致しています。
日本国内の企業、特にLinuxサーバーや認証機能付きHTTP/Sプロキシへの依存度が高い企業にとって、今回のキャンペーンは、/tmp内の一時的なバイナリ、カーネルプロセスを装う不審なプロセス名、クラウド関連のIPアドレス空間へ向かう異常なプロキシ経由の通信を監視する必要性を改めて浮き彫りにしています。
侵害指標(IOC)
| SHA256 | 説明 |
|---|---|
| 944b774d592f5e7fe2c34ac6c3abb2a77bfa96707c4f3c33ac77b8d54800244f | apid(BlueShell亜種ドロッパー) |
| 3228da011423853efd3d94ce3a28046b5ca19e921861ea5aee2700bc90fc1d55 | /tmp/kthread(BlueShell亜種) |
注: IPアドレスおよびドメイン名は、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。実際のアドレスへの復元は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
100万ドルのデータ侵害補償は本当に効果があるのか?: 無料の「AI SOC侵害補償」10項目ガイドをダウンロード
Darkweb monitoring
翻訳元: https://gbhackers.com/blueshell-linux-backdoor/
