400万件のマルウェアレポートが明らかにした、DNSを経由しないC2の広範な盲点

QuickFox VPNアクセラレーターに対する長期にわたるサプライチェーン侵害が、入念にプロファイリングされたWindowsシステムに対しFDMTPバックドアを密かに配布していたことが判明しました。これは、コマンド&コントロール(C2)通信が従来型のDNSに一切触れないという、防御側の可視性における大きな盲点を露呈するものです。

攻撃者はElectronレンダラー内部のHTMLファイルにわずか2行のJavaScriptを追加しただけで、アプリ起動時に「firebase-analytics-compat.js」(正規のFirebaseコード)を取得させるようにしました。

正規の51quickfox[.]comインフラではなく、タイポスクワッティングドメインcdns3[.]51quickfox[.]cnから、大幅に難読化された「firebase-app-compat.js」ローダーを取得します。

実行されると、このJavaScriptローダーはエンドポイントのフィンガープリンティングを行い、Windows上で動作していることを確認したうえで、再感染を避けるためC2にチェックインし、tasklistを使って実行中のプロセスを列挙します。

Steamが存在する場合は直ちに処理を中断し、SSH/データベースツール(Xshell、Navicat、DBeaver)やIDE・エディタ(IntelliJ、VS Code、Sublime Text)を含む、標的とする26種類のプロセスのうち少なくとも1つが検出された場合のみ処理を継続します。

暗号資産ウォレットや取引所クライアント(Exodus、Binance、Ledger、Trezor)、さらには中国語翻訳ツールや越境ECツール一式なども対象に含まれます。

このクライアント側での被害者フィルタリングは、カジュアルなゲーム用端末ではなく、専門職・管理者・中国向けビジネス環境に重点を置いていることを強く示唆しています。

標的の条件が満たされると、ローダーはcdns3[.]51quickfox[.]cnから「update.zip」アーカイブを取得し、QuickFoxの一時パスに展開したうえで、正規のMicrosoftバイナリであるcsmonitor.exe(Windows Azure Compute and Storage Emulator)を実行します。

このバイナリは悪用され、悪意のあるMicrosoft.ServiceHosting.Tools.dllをサイドロードし、そのDLLがFDMTPインプラントを読み込みます。

第1世代(少なくとも2025年9月から確認)は、FDMTPペイロードをClient.dllとしてDLLローダー内に直接埋め込んでいます。

第2世代(2026年5月から確認)は、より生存性の高い設計へと移行しています。Microsoft.ServiceHosting.Tools.dllは難読化されたローダー(JieJie .NET Protectorで保護)として機能し、Darktraceによる過去のFDMTP関連レポートと一致するハードコードされた鍵を使ってAES-128-ECBで暗号化されたupdate.binを復号したうえで、同じClient.dll(FDMTPモジュール)を読み込みます。

QuickFoxはElectronアプリであるため、これら一連の処理はQuickFox.exe配下で生成される多数の子プロセス内で実行され、cmd.exeの活動や.NETコンポーネントが多数絡み合うことでプロセス系統が不明瞭になり、EDRによる検知を困難にしています。

FDMTPインプラント(Client.dllと圧縮された15個の補助モジュール)は、Costura方式のアセンブリリゾルバーを登録し、内部モジュールを展開・動的読み込みすることで、静的解析を著しく困難にしています。

続いてClient.Program.InitConnect()を実行し、www[.]icloud‑cdn[.]net、www[.]google‑apis[.]net、および複数の「wangmeng」に酷似したホスト名を使ったAPIパス(/GetCluster、/GetSlaver、/GetEndpointsおよび関連する関数名など)を持つステージングドメインと通信します。

これらのステージング用フロントエンドは、1リクエストにつき2組のIP:Portペア(通常20800~20816の範囲)をbase64エンコード・gzip圧縮したリストで応答し、インプラントはこれを使って47[.]238[.]64[.]56、154[.]223[.]58[.]64、38[.]60[.]142[.]56といったクラスターノードへ直接FDMTPソケット接続を確立します。

重要なのは、このモデルがステージング検索と、防御側が通常頼りにするDNSで観測可能な指標とを切り離している点です。標的がIP:Portの組を取得した後、以降のC2通信は直接的なTCPによるFDMTP通信となり、独自の「00 01」「00 04」「00 14」「00 15」といったフラグパケットとRPC呼び出しによってネゴシエーションされます。

FortiGuard Labsが追跡しているキャンペーンでは、海外在住の中国系ユーザーに人気のVPNプロキシ兼ゲームアクセラレーターであるQuickFoxが、トロイの木馬化されたWindowsインストーラーを通じて武器化されており、少なくとも2025年8月から活動が確認されています。

このフレームワークは、FDMTPチャネル経由でプッシュされHKCU\SOFTWARE\Microsoft\IME{HWID}に保存されるプラグインを通じて、GetInfo、EnumProcessByJson、IsRegistryPlugin、RegistryPlugin、RunPlugin、StartProcessといった操作を伴う、豊富なリモート制御機能をサポートしています。

DNSを経由しないC2の広範な盲点

観測された事例では、Assist.dllなどのプラグインが%LocalAppData%\Microsoft\WindowsApps配下に追加のペイロードを展開していましたが、FortiGuardは詳細なホスト列挙以上の本格的な侵害後活動は確認しておらず、スパイ活動型のステージングと一致する挙動です。

FortiGuard Labsは正式な帰属特定までは踏み込んでいないものの、Darktraceが独自に報告したFDMTPキャンペーンとの大幅な重複を指摘しており、こちらは中国系クラスターとして知られるTwill Typhoon(別名Mustang Panda)との関連が指摘されています。

Darktraceは以前、CDNを装ったインフラや、捜狗拼音(Sogou Pinyin)経由のDLLサイドロードによるアクセス、そして/GetClusterなどのAPIを通じて更新されたFDMTP v3.2.5.1クラスターと通信するモジュール式のClient.TcpDmtp FDMTPバックドアについて文書化していました。

QuickFoxキャンペーンは、正規のWindowsバイナリをホストとして利用する手法、サイドロードされた.NETローダー、グローバルプロバイダーを模したステージングドメイン、同一のAES鍵とFDMTPアーキテクチャといった中核的な手口を再利用しつつ、ニッチで中国中心のVPNアクセラレーターを狙うサプライチェーン経路へと軸足を移しています。

防御側にとって、このキャンペーン間の技術的な連続性は、ペイロードのファイル名やインフラのラベル、標的層が変化しても、ある1つのFDMTPオペレーションに関する信頼性の高いオープンソースインテリジェンスが、別のオペレーションの検知に直接役立ち得ることを示しています。

FortiGuardによる責任ある開示を受けて、QuickFoxはv3.59.6の時点でWindowsインストーラーから悪意のあるコンポーネントを削除しました。トロイの木馬化されたバージョンは3.0.51.0から3.59.5の間で確認されており、iOS版・Android版については実際に侵害された証拠は見つかっていません。

このキャンペーンが2026年半ばまで継続していること、ローダーの世代やステージングドメインが進化していること、そしてWindows限定の専門職ターゲットを慎重に選別していることは、特定地域向けアプリに対するサプライチェーン侵害が、従来型のDNS中心のC2検知を静かにすり抜けながら何年にもわたって稼働し続け得ることを浮き彫りにしています。

組織は、Electronベースの一般消費者向けツール、入力方式(IME)、特定地域向けアクセラレーターなどを企業への潜在的な侵入経路として扱い、「公式」な業務用ソフトウェアの枠を超えてサプライチェーンリスクを監視すべきです。

FDMTP型のモジュール式C2フレームワークは、予測可能なDNSパターンに頼るのではなく、アプリケーションレベルのAPIを通じてクラスターノードを解決します。

FortinetとDarktraceが提供するFDMTPの指標、ステージングドメイン、行動シーケンスを活用することで、攻撃者が同じフレームワークを新たなフロントエンドアプリケーションへ転用する前に、このDNSを経由しないC2の盲点を塞ぐ機会が今すぐ得られます。

IOC

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的にディファング(無害化表記、例: [.])されています。リファング(元の表記に戻す作業)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

なぜ「2026年版 Agentic SOC購入ガイド」を使うべきか? 主要8プラットフォームを徹底比較 – 2026年版購入ガイドをダウンロード