Armored Likhoが仕掛ける新手口、Windowsのマイクを自動盗聴装置に変貌させる

Eagle Werewolfとも呼ばれるArmored Likhoが、Rustベースの新ツールキットでスパイ活動の手口を拡大させています。Telegramのセッションを乗っ取るだけでなく、侵害したWindows端末を自動音声監視デバイスへと変えてしまう機能を備えています。

新たに確認された2026年5月のキャンペーンは、偽の寄付サービスアプリケーションを通じて、主にロシアの個人、企業、政府機関、IT組織、教育機関を標的にしています。

初期の誘導手段となるのは、Tauriフレームワークで構築されたWindowsアプリケーションで、正規の資金調達プラットフォームを模倣するよう設計されています。

被害者にはパスワード保護されたログイン画面と、攻撃者が管理するインフラから取得された寄付アイテムのカタログが表示されます。

このインターフェースは信頼性を演出するのに十分なほどインタラクティブに作られている一方で、アプリケーションはバックグラウンドで次段階のペイロードを密かに復号し、実行します。

この手口は、以前確認されたArmored Likhoの活動と類似しており、Starlink関連サービスを装ったおとり、資金調達を装った誘導、Rustベースのドロッパーが用いられていました。

BI.ZONEによる以前の分析でも、WMIやPowerShellコマンドを利用したシステム識別情報の収集が確認されています。

今回の侵入チェーンでは、Still ToolkitというStill SyncとStill Audioの2つのコンポーネントで構成されるスパイ活動用スイートが展開されます。

Kasperskyの研究者らによると、Eagle Werewolfは悪意あるアプリケーションや文書を通じて法執行機関の職員を標的とするキャンペーンでも活動が確認されており、同グループがソーシャルエンジニアリングを用いたWindowsペイロードを繰り返し利用していることが分かります。

Still SyncはTelegram Desktopのセッションデータ、特にtdataディレクトリを標的にしています。これにより攻撃者は被害者のTelegramアカウントになりすますことが可能になります。

ComputerScience

Likho、マイクを乗っ取る

このマルウェアは、単にオフライン分析用にファイルを窃取するだけでなく、Telegram APIを通じて認証を行い、会話、メディア、連絡先、グループ情報、チャンネルコンテンツを自動的に取得することができます。

このインプラントは算出したRMS値を vad_threshold パラメータと比較します。RMSがこのしきい値以上になると、録音が開始されます。 

Still SyncはTokio、gRPC、FlatBuffersを用いた非同期Rustアプリケーションとして実装されています。マザーボードのシリアル番号、CPU識別子、BIOSシリアル番号、システムUUID、ドメイン情報を収集することでシステムをフィンガープリント化します。

収集されたデータは連結され、SHA-256でハッシュ化されてsysmarker識別子が生成されます。この実装は同グループが以前確認されているAquilaRATツールと重複しており、Armored Likhoによる犯行との紐付けを裏付けています。

このマルウェアは標準的なTelegram Desktopの保存場所を検索し、C2サーバーから指示があった場合はポータブル版インストールにまで検索範囲を広げます。

また、SeBackupPrivilegeを悪用することで、通常であればアクセスが制限されているファイルにもアクセス可能です。これにはバックアップ用途のファイルアクセス、ボリュームシャドウコピー、Robocopyのバックアップモードを介したアクセスも含まれます。

この組み合わせにより、通常のアクセス制御が働いている場合でも、Telegramのセッション情報を復元できる可能性が高まります。

Still Audioは、今回のキャンペーンの中でより懸念すべきコンポーネントです。このRust製インプラントは利用可能な録音デバイスを列挙し、コマンド&コントロールサーバーに登録した上で、音声を検知すると録音を行います。

これは二乗平均平方根(RMS)の計算に基づく軽量な音声活動検知(VAD)機構に依存しており、入力信号のパワーをサーバー側で定義されたしきい値と比較して測定します。

しきい値を超える音声が検知されると録音が開始され、プリバッファ機能によって検知直前に発生した音声も保持されます。

録音されたデータはlibmp3lame.dllを用いてエンコードされ、攻撃者のサーバーにアップロードされます。このモジュールはauxhostという名前のWindowsサービスとして永続化することが可能で、確認されたある検体ではIntAudio.exeというファイル名が使われ、Windowsのマイクプライバシー設定上では「Intel Audio」として表示されていました。

この運用上のミスは防御側にとって有用な手がかりとなりますが、だからといってこのインプラントの監視能力が損なわれるわけではありません。

Armored Likhoは現在、Telegramアカウントの侵害とエンドポイントレベルのマイク監視を組み合わせることが可能になっており、これにより攻撃者は感染した単一のWindowsシステムから過去の通信履歴と現実世界の会話の両方を収集できるようになっています。

Still Audioは、C2のフォールバックインフラとしてデッドドロップ・リゾルバーも利用します。主要サーバーが3日間利用不能な状態が続いた場合、GitHubでホストされているリソースから暗号化されたC2アドレスを取得します。

この仕組みではBase64エンコードとECBモードのBlowfish暗号化が使用されているとみられ、これは旧来のAquilaRAT検体に関連するアルゴリズムおよび鍵と共通しています。

今回のキャンペーンは、認証情報窃取から、持続的かつ複数チャネルにわたる情報収集へと明確に進化していることを示しています。

Kasperskyは関連する活動をTrojan.Win64.Agent.*およびHEUR:Backdoor.Win32.Genericとして検知しています。

防御側にとっては、不審な寄付アプリケーション、予期しないマイク動作、Rustベースのバイナリ、Telegramのtdataへのアクセス、サービスを装ったドメインへの通信などが確認された場合、直ちに調査を行う必要があります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])されています。再有効化(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseが贈る、小規模セキュリティチームがAI可視性とエージェント型対応を単一の運用モデルへ統合する方法を学べるセッションにご参加ください。-> 今すぐ登録