攻撃者がFTPバナーを悪用してコマンドを隠し、E4delとPINHOLEという名の、これまで確認されていなかった2種類のリモートアクセス型トロイの木馬(RAT)を配布していることが分かりました。
MalwareHunterTeamが観測したこの珍しい手口は、7月に確認された攻撃で使われたもので、ショートカットファイル(.LNK)とFTPサーバーのバナーを、コマンドを取得するためのデッドドロップ・リゾルバー(DDR)として利用していました。
FTPバナーとは、接続してきたホストがログインする前にFTPサーバーが送信する挨拶メッセージのテキスト文字列です。
侵害されたシステムがFTPサーバーに接続した際に最初に返される応答にコマンドを埋め込むことで、マルウェアのステージャーはリモートサーバーから指示を受け取ることができます。
脅威インテリジェンスプラットフォームのSOCRadarの研究者は、ある調査の過程でFTPバナーが悪意あるコマンドの配布に使われている事例を発見し、これを機に調査範囲を広げたところ、この手口が現在も使われ続けていることを突き止めました。
「FOFAによる検索を活用した結果、この手口は2026年7月上旬から兵器化されており、現在も稼働中であることが確認されました。新たなインフラも2026年8月と最近になって観測されています」
BleepingComputerと共有されたレポートの中でSOCRadarは、観測された攻撃はいずれもZIPアーカイブから始まり、LNKファイルを起点とする感染チェーンを引き起こすと説明しています。研究者らは、初期侵害はフィッシングを通じて発生した可能性が高いと指摘しています。
この感染チェーンは、2つの異なる感染経路を通じてE4delとPINHOLEという2種類のリモートアクセス型トロイの木馬(RAT)を配布し、いずれもFTPバナーからPowerShellスクリプトを取得します。
E4delはNode.jsベースのRATで、Discordを装ったデジタル署名済みのElectronアプリケーションの中に組み込まれています。
このRATは、永続的または一時的なシェルを通じたコマンド実行、スクリーンショットの取得、WebSocket経由でのデスクトップのストリーミング配信、さらには追加ペイロードのダウンロードと実行に対応しています。
SOCRadarはまた、crypto32.nodeという名のNode.jsモジュールが権限昇格を試みることにも言及していますが、研究者はこのモジュールを入手して解析することはできなかったとしています。
PINHOLEはC2の設定情報をPinterestのピンやSurveyMonkeyのアンケート質問から取得しており、この手法は柔軟性とテイクダウンへの耐性をもたらしています。
このマルウェアはホスト上に残す痕跡を最小限に抑えており、シェルコード・フラクチュエーションと呼ばれる手法により、ペイロードのうち一度にメモリ上に保持するのは4KB分のセクションのみとしています。そして最終的なアセンブリコードは、Early Bird APCインジェクションという手法を用いて、一時停止状態のApplicationFrameHost.exeプロセスに注入されます。
PINHOLEは、ファイル列挙、ファイルのアップロードとダウンロード、コマンド実行、プロセス管理、スクリーンショットの取得、さらにはブラウザに保存された認証情報を窃取するモジュールの展開など、合計14種類のコマンドに対応しています。
解析時点で、PINHOLEのスクリプトが記録していた実行イベントはわずか11件にとどまっており、このキャンペーンがまだ初期段階にあることがうかがえます。
FTPバナーを悪用してコマンドを配布する手法は目新しい選択肢ではあるものの、SOCRadarによれば、この手法は従来のWebベースのDDR(例えばX、GitHub、YouTubeなど)に比べるとステルス性に劣るといいます。見知らぬサーバーへのFTP接続は、それ自体が目立ちやすいためです。
「攻撃者は通常、X、GitHub、YouTubeといった正規のWebサービスを利用し、大量かつ想定の範囲内のネットワークトラフィックに紛れることでカモフラージュを図ります。それに対してFTPバナーは、目新しい代替手段だと言えます」
研究者らは、この手法は非常に汎用性が高く、ClickFix型のソーシャルエンジニアリング・キャンペーンにも「容易に」応用できる可能性があると指摘しています。
SOCRadarのレポートには、防御側がこの悪意あるインフラやネットワーク内の感染端末を特定する助けとなる侵害指標(IOC)が掲載されています。
