中国系ハッカー集団、悪意あるVHDファイル経由でQUICAgent Go製バックドアを用いミャンマーの外交官を標的に

中国系の脅威アクターが、無害な画像に偽装したVirtual Hard Disk(VHD)ファイルを通じて、QUICAgentと名付けられたカスタムGo製バックドアを配布する多段階マルウェアキャンペーンで、ミャンマー政府・外交関係者を標的にしています。

アンチマルウェアソフトウェア

このキャンペーンは、極めて標的を絞ったソーシャルエンジニアリングに依存しています。TrainingAnnouncement.jpgという名前の悪意あるファイルの一つは、実際には画像ではなくVHDコンテナです。

マウントすると、ミャンマー運輸通信省傘下の情報技術・サイバーセキュリティ局(ITCSD)が発行したとされる、卒業式への招待状を装ったビルマ語のPDFが表示されます。

このおとりファイルは公式なイベント通知になりすましており、信憑性を高めるために省の印章の透かしを使用しています。

しかし、表示上の「PDF」は実際にはTrainingAnnouncement.pdf.lnkであり、PDFアイコンの背後に隠れたWindowsショートカットです。

Windowsでは既知のファイル拡張子が非表示になっているのが一般的であるため、被害者には一見正規の文書のように見える名前とアイコンしか見えません。

LNKファイルを開くと、Microsoft署名済みのftp.exeユーティリティを-s:スイッチ付きで起動する形で感染チェーンが始動し、_という名前のファイルに保存されたローカルスクリプトを処理するよう指示します。

このスクリプトは本物のおとり招待状を開くと同時に、隠しディレクトリ_rels内にあるheader.docとbody.docを密かに特定します。

続いてネイティブのcopy /bコマンドを使い、この2つの偽装コンポーネントを%LOCALAPPDATA%配下のWindowsupdate.exeとして結合し、再構築された実行ファイルを起動します。

この、信頼されたWindowsユーティリティを悪用する手法により、あからさまに悪意あるツールへの依存が減り、基本的な検知が困難になっています。

Seqriteは、ミャンマーを狙った少なくとも3件の関連キャンペーンを確認しました。最も早いものは2026年4月に観測され、HolidayNotice.pdf.exeと、ベルギー・ミャンマー間の祝日カレンダーに見せかけた偽文書が使われました。これは、大使館やNGOを含む、ミャンマーで活動するベルギー系組織への関心を示唆しています。

Seqriteはこの活動を「Operation QUICSILVER」として追跡しており、被害者像、インフラ、そして同社が以前に文書化した「Operation GriefLure」との手口の重なりから、中程度の確度で中国との関連があると評価しています。

QUICAgentで狙われるミャンマーの外交官

その後確認された2件のVHDサンプル、すなわち6月のTrainingAnnouncement.jpgと7月のACMECS_Pillar_1.vhdは、異なるおとりを使用していましたが、同一の感染フロー、ペイロードファミリー、そしてC2(コマンド&コントロール)インフラを共有していました。

QUICAgentは、リモートアクセス、データ収集、そしてオペレーターによるタスク指示のために設計された、64ビットのGo 1.20製インプラントです。

学習中高度なコンピュータサイエンスの概念

接続前には、ランダムな短い遅延を発生させたうえで1,000回のSHA-256演算を実行しており、これは自動化されたサンドボックスの実行時間枠を消費させる狙いがあるとみられます。

侵害されたホストのDNSホスト名と現在のユーザー名を収集した後、HTTP/3のPOSTリクエストで送信されるRC4暗号化されたJSONを用いて、5秒間隔でビーコン通信を行います。

このバックドアは、UDP/443上でQUIC通信を行う前に、Cloudflare Workersのエンドポイントを通じて、バックエンドインフラを動的に解決します。

Seqriteは、このWorkersサービスがregister[.]mediumser[.]comを返すのを観測しており、これは分析時点で104[.]64[.]211[.]22に解決されました。

また、QUICAgentは自己署名の「RAT CA」証明書を組み込み、独自の証明書検証ロジックを使用しており、これによりオペレーターはGoのデフォルトの検証に頼るのではなく、TLSの信頼を自ら制御できます。

そのコマンドセットにはshell、upload、download、list_dir、set_heartbeatが含まれており、攻撃者はコマンドの実行、ファイルの移動、ディレクトリの列挙、通信設定の調整を行えます。

永続化は、現在のユーザーのスタートアップディレクトリ内に作成されるSystemIn.lnkによって確立されます。これは一時的なPowerShellスクリプトで作成され、ログオン時にWindowsupdate.exeを再起動するよう設定されています。

注目すべきは、研究者たちがVHDの$Recycle.Binディレクトリから削除済みの文書を復元した点です。これらにはBIMSTEC、ASEAN関連事案、ミャンマーに関するマレーシア側の評価、そしてミャンマー外務省の文書とされるものへの言及が含まれていました。

防御側は、メディアファイルを装ったVHD添付ファイルを検査し、信頼できないLNKの実行アクセスをブロックまたは精査し、ローカルスクリプトのパラメータ付きで起動されるftp.exeを探すべきです。

これらのファイルは実際に活動中のおとりとしては使われていませんでしたが、ミャンマーの外交、地域政策、対外関係に関する情報収集への関心を示唆しています。

UDP/443上の異常なQUICトラフィック、Cloudflare Workersへの参照、%LOCALAPPDATA%\Windowsupdate.exe、そしてSystemIn.lnkのようなスタートアップフォルダのエントリを監視することで、QUICSILVERの活動を発見する手がかりになります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])にしています。再度有効な形式に戻す場合は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード