スパイ活動を専門とするCore Werewolf(コアウルフ)クラスターが、ロシアの公共機関や防衛産業組織を標的とした攻撃において、これまで確認されていなかったリモートアクセス型トロイの木馬「CoreRAT」を新たに導入していることが分かりました。
この動きが注目される理由は、これまでCore Werewolfが正規のリモートアクセスソフト「UltraVNC」の悪用や小規模なカスタムバックドアと結び付けられてきたのに対し、今回は本格的な機能を備えた独自のC++製RATを運用するようになった点にあります。
この変化により、公開ツールへの依存度が下がるとともに、既知のUltraVNC悪用パターンに基づく検知が難しくなっているほか、同グループが社内でより成熟したマルウェア開発能力を持つに至ったことがうかがえます。
攻撃者はTelegram経由で送信されたフィッシングメッセージを通じて初期アクセスを獲得していたとみられています。おとりメッセージは公式の軍・政府からの通信を装っており、再教育訓練、パスポート、公式指示書などを連想させるファイル名が使用されていました。
このソーシャルエンジニアリングの手口ではおとりのPDFファイルが利用されており、実行後に被害者へ表示されることで、悪意ある添付ファイルが正規のものであるかのように見せかけていました。
研究者らは、これらのPDFファイルに偽造の痕跡を複数確認しています。具体的には、実際の政府通信とは異なる言い回し、文書編集の痕跡、そして偽造された署名などです。
また、あるおとり文書は、Vortex Werewolf(ヴォルテックスウルフ)クラスターが過去に使用していた文書と類似していました。BI.ZONEは、この一致がおとり文書やツール、専門知識、インフラの共有を示している可能性があるとしつつも、両グループ間に運用上の関連があると断定するには証拠が不十分であると強調しています。
Core Werewolfは、自己解凍型の7zSFXアーカイブとRust製のドロッパーという、2種類の配布手段を使用していました。
BI.ZONEの研究者らは2026年6月から7月にかけてこのキャンペーンを観測しましたが、遡って分析したところ、CoreRATの活動は少なくとも3月まで遡ることが判明しています。
Core Werewolfスパイ活動クラスター
7zSFXのサンプルは、おとりのPDFファイルとCoreRATを展開し、デスクトップやダウンロード、ドキュメントといった一般的なユーザーフォルダにおとり文書をコピーした上で、Firepoin.exe、Baresl.exe、Biostars.exeといった無害に見える実行ファイル名を用いて、ユーザーのLinksディレクトリ内にRATを配置していました。
Rust製ドロッパーも同様のパターンをたどり、ZIPアーカイブを%TEMP%に展開してからおとりのPDFファイルを開き、ping.exeによって作り出された遅延の後にCoreRATを起動していました。
この実行順序により、インプラントがバックグラウンドで初期化される一方で、被害者には一見関連性のある文書が表示される仕組みになっています。
CoreRATはC++で記述されており、埋め込まれた文字列はAES-CBCで暗号化されています。コマンド&コントロール(C2)インフラと通信する前に、ミューテックス301525677を作成し、別スレッドで仮想化環境の検出処理を実行します。
このマルウェアは、CPUIDのハイパーバイザー識別子、BIOSレジストリの値、仮想マシンのMACアドレスのプレフィックス、そしてAutomaticDestinations内にあるWindowsショートカットの成果物の数を調べます。
特に注目すべきはショートカットのチェックです。%APPDATA%\Microsoft\Windows\Recent\AutomaticDestinationsに存在するLNKファイルが15個未満だった場合、CoreRATはそのホストを仮想化環境や解析環境だと判断し、処理を終了する可能性があります。
その他のサンプルでは、処理を進める前に、想定されたおとりPDFファイルや最近作成されたドロッパーの成果物が存在するかどうかを検証します。これにより、マルウェアがサンドボックス内で自由に実行されるのを防ぎ、意図したフィッシングの実行チェーンに動作を紐付けています。
マルウェア分析ツール
実行されると、CoreRATはC2エンドポイントのリストを復号し、接続に成功するまでHTTPS接続を試みます。ホスト名、BIOSバージョン、実行中のプロセス、デスクトップの内容、ネットワークアダプタの詳細、LNKファイルに関するテレメトリなどを収集します。
収集されたデータはJSON形式にまとめられた後、Base58でエンコードされ、ハードコードされたパス宛てにHTTPS POSTリクエストとして送信されます。サーバー側は、以降のリクエストで使用されるsession_tokenクッキーを返します。
このRATは、ディレクトリの列挙、プロセスの検出、アダプタの調査、ARPテーブルの収集、アクティブなTCP接続のマッピング、任意のコマンド実行、ペイロードのダウンロードと実行、そして自己削除といった機能をサポートしています。
ダウンロードされたファイルは、実行前にAES-CBCで復号することが可能であり、攻撃者は初期侵害後に追加のツールを展開する手段を確保していることになります。
防御側は、Telegram経由で送られてくる、政府や防衛関連の文書を装ったファイル、特に自己解凍型アーカイブや、%USERPROFILE%\Linksや%TEMP%からバイナリを起動する前にユーザーがアクセス可能なフォルダにPDFファイルを作成する実行ファイルに注意する必要があります。
ネットワークチームは、まれにしか使われないドメインやIPベースのエンドポイントへの不審なHTTPS POST・GETトラフィック、特にCoreRATのURIパターンである/5743e279、/0a445b0e、/ba4b6dc1、/97e8be66を使用するリクエストを注意深く監視すべきです。
今回のキャンペーンは、より広範な運用上の進化を浮き彫りにしています。Core Werewolfは、正規のリモートアクセスツールの悪用から、ロシアの政府・防衛環境内でステルス性と選択的実行、そして持続的なスパイ活動を目的として作り込まれた専用マルウェアへと移行しつつあるのです。
侵害指標(IoC)
| 種別 | 指標 | ポート |
|---|---|---|
| ドメイン | teambusiness-mail[.]ru | 443 |
| ドメイン | xakklinkprik[.]ru | 443 |
| ドメイン | dezinsekciya-top[.]ru | 443 |
| ドメイン | ahmetgurses[.]net | 443 |
| ドメイン | msgntfsys[.]link | 443 |
| ドメイン | arendelle[.]ru | 443 |
| ドメイン | sgpsib[.]ru | 443 |
| IPアドレス | 185.102.139[.]30 | 443 |
| IPアドレス | 130.49.181[.]212 | 443 |
| IPアドレス | 138.124.76[.]77 | 443 |
| IPアドレス | 95.81.125[.]145 | 443 |
| IPアドレス | 178.253.39[.]45 | 443 |
| IPアドレス | 104.128.129[.]184 | 443 |
| IPアドレス | 95.215.108[.]140 | 443 |
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェンス処理(例: [.])を施しています。再度有効な形式(リファング)に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMといった管理された脅威インテリジェンスプラットフォーム上でのみ行ってください。
★ どのセキュリティツールを削減すべきか?1ページでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード
ソーシャルセキュリティ保護
翻訳元: https://gbhackers.com/core-werewolf-espionage-cluster/
