SilkParasiteは、中央アジア各国の政府機関を標的としてきた長期にわたるサイバースパイ活動で、規模はコンパクトながら極めて高度に洗練されたリモートアクセス型トロイの木馬(RAT)群を武器としています。
中国と関連性があるとして中程度の確度で評価されているこのキャンペーンは、Google Driveをコマンド&コントロール(C2)チャネルとして利用している点が際立っています。これにより、マルウェア通信を多くの企業が本質的に信頼しているクラウド活動の中に紛れ込ませることができます。
アンチウイルス& マルウェア
今回の調査は、2026年10月頃、経済政策の意思決定に携わる中央アジアのある政府機関で検知された不審な感染事案から始まりました。
数ヶ月にわたるフォレンジック分析と脅威ハンティングの結果、7種類のRATファミリーが発見されました。その中には、DriveSilkRAT、CookiETagRAT、NomadRAT、GoginRAT、NodeEdgeRATという、これまで報告例のなかった5種類のインプラントも含まれています。
DriveSilkRATは、このキャンペーンの運用上の中核を担う存在です。感染したシステムは、従来型の攻撃者管理サーバーへビーコン通信を送る代わりに、共有Google Driveフォルダを定期的にポーリングして暗号化されたタスクを取得し、.NET製のプラグインをメモリ上で受信・実行した上で、同じクラウドサービスを通じて実行結果をアップロードします。
この「信頼されたサービスの悪用(Living Off Trusted Services)」という手法は、悪意ある通信を正規のGoogleトラフィックの中に隠すため、Google WorkspaceやDriveのドメインを許可リストに登録している環境では、ネットワーク上での検知が一段と難しくなります。
このマルウェアには.NET版とC++版の両方が存在し、プロセス調査、ファイル操作、システム・ネットワークの列挙、コマンド実行など、少なくとも12種類のインメモリ型プラグインを展開できます。
特筆すべき点として、コマンドモジュールはcmd.exeを直接起動するのではなく、Windows Management Instrumentation(WMI)経由でプロセスを起動します。これにより、不審な親子プロセス関係の発生を抑えています。
研究者らはDriveSilkRATに関連する被害者識別子を約65件確認していますが、このマルウェアのハードウェアフィンガープリント手法は1台のホストに対して複数のIDを生成する可能性があるため、この数字は上限値として扱うべきだとしています。
Bitdefenderの研究者らによると、この作戦では既知のファミリーであるSpiceRATとBloodAlchemyも展開されており、後者はShadowPadおよびDeed RATの系譜とつながりがあるとされています。技術的な詳細はBitdefenderのSilkParasite調査レポートに全文が掲載されています。
SilkParasiteによるGoogle Drive悪用
初期侵入はスピアフィッシング文書に依存しており、メールゲートウェイの検査やサンドボックス解析を妨害するため、パスワード保護されたRAR圧縮ファイルとして配布されることが多く見られました。
マクロが実行されると、正規の署名済みアプリケーションを利用したDLLサイドローディングの連鎖が開始されます。
回収されたおとり文書のうち2件は、それ自体がAI生成によるものでした。地域のエネルギー協力プラットフォームを装った偽サイトと、GPUクラウドコンピューティング能力に関する偽広告です。
このツールセット全体を通じて、SilkParasiteはCalibre、ABBYY FineReader、Quick Heal、Windows Defenderのコンポーネント、Mp3tagの実行ファイルを悪用し、想定されるライブラリ名を偽装して悪意あるDLLを読み込ませていました。
DLLサイドローディングは、明白なマルウェアの痕跡を抑えつつ実行を信頼された署名済みプロセスへ移すことができるため、中国系のサイバースパイエコシステムを特徴づける手法であり続けています。
このキャンペーンの被害実態は、そのスパイ活動としての狙いを裏付けています。回収されたおとり文書は、ウズベキスタン、トルクメニスタン、キルギス、タジキスタン、カザフスタン、ジョージアの政府機関を装ったものであり、経済政策の立案に関わる機関に重点が置かれていた様子がうかがえます。
Bitdefenderは、今回の標的選定を中央アジアおよび南コーカサス地域における戦略的競争の激化という、より広い文脈の中に位置づけています。この地域では中国の経済的関与が拡大するにつれ、政治・商業情報を収集する動機が強まっているとされています。
BloodAlchemyとDeed RATとの重複は、SilkParasiteを、以前アゼルバイジャンのエネルギー関連の権益を標的として観測されたことのある、より広範な中国系スパイツールのエコシステムへと結びつけるものでもあります。
SilkParasiteの開発モデルにも注目すべき点があります。7種類のファミリーは.NET、C++、Go、JavaScriptにまたがっていますが、そのほとんどはモジュール型アーキテクチャを採用しており、必要な機能だけをその都度取得する仕組みになっています。
これにより初期段階での痕跡が減り、機能の迅速な更新が可能になるとともに、防御側が単一のエンドポイントから回収できるツールキットの範囲も限定されます。
Bitdefenderはまた、完全にAI生成されたものではないにせよ、AI支援による開発を示唆する中程度の確度の痕跡も確認しています。使われずに残されたGoのテスト関数や、0123456789abcdefやchange_this_keyといったプレースホルダーの暗号鍵などがその例です。AI生成による開発との違いは重要なポイントです。
この違いには重要な意味があります。BitdefenderがAPT36について以前報告した内容では、大量生産される「vibeware」はエラーが多く、使い捨てで、運用上の痕跡も目立ちやすいものだと説明されていました。
対照的に、SilkParasiteはプロフェッショナルな人間主導の開発ワークフローを反映しており、AIは規律あるトレードクラフトを置き換えるのではなく、実装作業を加速させる役割を担っている可能性があります。
防御側は、エンドポイントからの異常なポーリングパターン、アカウントの利用状況、共有フォルダへのアクセス、繰り返される小規模なファイルのやり取りといった観点から、Google Drive APIの活動を点検すべきです。
検知エンジニアリングにおいても、署名済みアプリケーションによる不審なDLL読み込み、ローダーを起動するOfficeマクロ、WMIを利用したコマンド実行、不審なスケジュールタスク、正規ソフトウェアの携帯版と並んで配置される未署名ライブラリを優先的に監視すべきです。
★ 削減すべきセキュリティツールはどれか?1ページでスコア化 – 継承されたセキュリティスタックのガイドをダウンロード
セキュリティ製品&サービス
翻訳元: https://gbhackers.com/silkparasite-uses-google-drive/
