大規模かつ世界的に連携したハッキングキャンペーンの実行者たちは、致命的な運用セキュリティ上のミスを犯しました。攻撃の準備・実行に使用していた中央集権型サーバーのディレクトリを、うっかり完全に公開状態のまま放置してしまったのです。その結果、SOCRadarの研究者たちは、包括的な標的リストや高度なエクスプロイト、悪意あるペイロードを発見しました。さらに、詳細なコマンド実行ログや専用のトラフィック難読化ツールも掘り起こしました。これらの緻密に記録されたログは、重要な6週間にわたるものでした。最終的にこれらの記録は、100カ国を超える政府・民間システムに対する執拗な攻撃の試みと、その一部で成功した侵害を裏付けるものとなりました。
詳細なファイル分析の結果、この一連の脅威の正体はSNOWLIGHTマルウェアファミリーであることが判明しました。Google Threat Intelligence Groupは、2024年以降SNOWLIGHTのペイロードダウンローダーを綿密に追跡してきました。アナリストたちは、このマルウェアファミリーを悪名高い初期アクセスブローカーであるUNC5174およびUNC6586と明確に関連付けています。これらの専門的な犯罪集団に属するメンバーは、組織への侵害を組織的に行い、得たアクセス権を二次的な攻撃者に販売することを目的としています。
世界規模の標的選定と自動化された攻撃
公開状態にあった偵察用データベースには、104の異なる国別トップレベルドメインにまたがる9,990件を超えるホスト名が含まれていました。特筆すべきは、これら標的アドレスの85パーセント以上が政府の重要インフラに直接属していたという点です。膨大な被害者リストには、台湾、コロンビア、中国、ブラジル、インドネシア、ナイジェリア、フィリピン、その他90を超える国と地域の組織が含まれていました。
SOCRadarはエグゼクティブサマリーの中で、107件の侵害に成功したノードについて言及しています。しかし、詳細な技術データの表には、独立して検証された侵害は105件と記載されています。SNOWLIGHT中国政府関連キャンペーンに関する報告書では、この小さな数値の食い違いについて明確な説明はなされていません。
台湾は、紛れもなく最優先の標的として浮かび上がりました。攻撃者たちは、国家機関や重要な医療機関、教育機関に属するアドレスを組織的に収集していました。その後、CVE-2025-24813およびCVE-2026-34486を利用してApache Tomcatサーバーに対する激しい攻撃を仕掛けました。回収されたコマンド履歴には、単一のエクスプロイトを台湾国内の37台のサーバーに対して同時実行した記録が残されていました。
攻撃者たちは、9件の悪用中の脆弱性と11種類の異なるエクスプロイトチェーンからなる強力な武器庫を有していました。これらのツールは、Apache Tomcat、Microsoft Exchange、cPanelおよびWHM、Atlassian Confluence、Laravel、Apache Struts2、F5 BIG-IPを標的としていました。注目すべきは、これらのツールの大半が、GitHub上で公開されている概念実証(PoC)エクスプロイトに直接由来していたという点です。
深刻な侵害と攻撃者を示す証拠
cPanelおよびWHMに対するCVE-2026-41940を悪用した攻撃が、最も壊滅的な被害をもたらしました。攻撃者たちは16台の重要なサーバーでroot権限の取得に成功しました。その後、対話型のコマンドシェルを確立し、永続的かつ強い権限を持つ管理者トークンを偽造しました。同様に、Microsoft Exchangeを狙った破壊的なProxyShell攻撃は、Domain Adminアカウントに属するNTLMトークンの完全な窃取という結果に至りました。
さらに、80台のAtlassian Confluenceサーバーが、CVE-2022-26134を通じて意図せず「whoami」コマンドを実行させられました。攻撃者たちはまた、侵害したTomcatサーバー上に5つの独立したウェブシェルを確実に設置しました。さらに別の2台のシステムでリモートコード実行を検証し、脆弱性を抱えたWebLogicサーバーを1台特定しました。一方で、LaravelおよびApache Struts2の導入環境に対する広範なスキャンでは、侵入成功を示す確たる痕跡は見つかりませんでした。
重要な点として、このキャンペーンは、特定の組織を狙って綿密に準備された標的型攻撃というよりは、無差別な自動大量スキャンに大きく依存していました。自動化されたスクリプトが、インターネットに公開されたサーバーを無差別に探査し、導入されているソフトウェアのバージョンを特定した上で該当するエクスプロイトを展開し、コマンド実行を検証していました。攻撃者は、スキャンしたシステムのおよそ90台に1台の割合で、攻撃成功の証拠を発見していました。
130.94.17[.]180で稼働するLinuxベースのサーバーが、主要な作戦拠点として機能していました。この中央拠点から、攻撃者たちはインターネット全体をスキャンし、エクスプロイトを展開し、重要なファイルを保管し、感染したデバイスからの接続を受信していました。130.94.30[.]168に置かれた二次サーバーは、SNOWLIGHTの構成要素の広範な配布を担っていました。
コマンド&コントロールとトラフィックの難読化
侵害したシステムに対する完全な制御権を確保するため、攻撃者たちはGoCobaltStrikeを利用しました。これはGo言語で書かれた高度な中国語版Cobalt Strikeの実装です。攻撃者たちはあらゆるライセンス制限を強引に解除し、10年ライセンスかつ9,999クライアントという膨大な上限を備えた海賊版を導入していました。補助モジュールにより、広範な認証情報の窃取、ドメインインフラの詳細なマッピング、アンチウイルス回避、堅牢なシステム永続化が可能になっていました。
広範なネットワーク上の痕跡を効果的に隠蔽するため、攻撃者たちは事前に注入したJSPウェブシェルの上にNeo-reGeorgを展開していました。その結果、侵害されたサーバーは秘匿型のリバーストンネルへと姿を変え、悪意あるトラフィックをシームレスに転送していました。これらの戦略的に配置された中継ノードにより、最終的な被害者と主要な作戦インフラとの直接的な通信リンクは巧妙に隠蔽されていました。
複数の有力な痕跡が、攻撃者が中国を拠点としていることを直接示しています。コマンド実行履歴、GoCobaltStrikeのグラフィカルインターフェース、埋め込まれたコードコメントには、簡体字中国語が頻繁に使用されていました。サーバーはAliyunおよびChina TelecomのDNSサービスに積極的に問い合わせを行っており、重要なパッケージはAliyunのミラーサイトから直接ダウンロードされていました。
さらに、コントロールパネルへのアクセスや悪意あるファイルの取得に使用された2つの特定のIPアドレスは、天津のChina Unicomに属するものでした。驚くべきことに、検証された22件のGoCobaltStrikeへのログインは、すべて単一のアドレスから行われていました。セッションのタイムスタンプは、UTC+8のタイムゾーンと完全に一致していました。SOCRadarはこのキャンペーンを中国語を話す攻撃者集団によるものと確信を持って結論付けていますが、特定の国家機関や既知のAPTグループの名指しまでは踏み込んでいません。
SNOWLIGHT展開の仕組み
SNOWLIGHTは、LinuxおよびWindowsの両環境でシームレスに動作していました。Linux用ダウンローダーは、まず正確なCPUアーキテクチャを識別します。次に、適切なバージョンのファイルを取得し、コマンドサーバーとの接続を確立します。その後、悪意あるモジュールは静的キー0x99を用いて復号されます。そして完全にメモリ上で実行され、物理ディスクへの実行ファイルの書き込みを一切回避します。
起動後、この悪意あるプロセスは「[kworker/0:2]」という名前を持つ正規のシステムカーネルスレッドを装います。一方、Windows版は組み込みのcertutil.exeユーティリティを利用してファイルをダウンロードしていました。必要なシステム関数を動的に解決し、同一の0x99復号キーを使用していました。全体として、ダウンローダーの基本的な動作の枠組みは、両プラットフォームを通じて一貫していました。
支援インフラは、内部でtcp、ws、kcpと呼ばれる少なくとも3つの異なるデータ伝送モードを維持していました。興味深いことに、「ws」モードは実際のWebSocket接続を確立するものではありませんでした。代わりに、旧式のFirefox 48のユーザーエージェント文字列を偽装した標準的なHTTPリクエストを送信していました。これらの多様な通信バリエーションは、マルウェアの全体的なネットワークシグネチャを大きく変化させるのに役立っていました。
興味深いことに、分析対象のダウンローダーには、簡易的な緊急停止(キルスイッチ)機構が組み込まれていました。「/tmp/log_de.log」という名前のファイルが存在するだけで、Linux版はコマンドサーバーへの接続を試みる前に、直ちにプロセスを終了させられていました。Windows版も同様に、指定されたシステムの一時フォルダ内で「log_de.log」を探索していました。SOCRadarはこのマーカーを一時的な防御策として活用することを推奨する一方で、脆弱なソフトウェアへのパッチ適用と徹底したサーバー監査の絶対的な必要性を強く強調しています。
最後に、google.chromeupgrades.comおよびspeedtest.qqmail.websiteという2つのドメインが、主要なSNOWLIGHT配布サーバーと直接結び付けられていました。前者は公式のGoogle Chrome更新サービスを欺瞞的に模倣したもので、後者は正規のTencent QQメールのインフラに酷似したものでした。これらの巧妙な命名手法は、悪意あるトラフィックを、見慣れた信頼できるサービスへの無害なリクエストであるかのように偽装する一助となっていたとみられます。
翻訳元: https://meterpreter.org/snowlight-malware-exposed/
