MuddyWaterに関連するイラン系脅威アクターが、新たに確認されたWindowsバックドア「Dindoor」を使用しています。このマルウェアは正規のDenoランタイムを乗っ取り、悪意あるJavaScriptおよびTypeScriptペイロードを実行する仕組みです。
今回のキャンペーンは、信頼された開発者向けツールがマルウェアの実行基盤に転用され得ることを示すと同時に、ファイル署名やハッシュに基づく検知の有効性を低下させる実例となっています。
このバックドアは新規のエクスプロイトや特殊なカスタムローダーによって特徴づけられるものではありません。むしろ攻撃者は、署名済みバイナリ、多層のBase64難読化、段階的なペイロード配信、サンドボックスを意識した永続化手法を組み合わせることで、Windowsエンドポイント上での悪意ある活動を隠蔽しています。
Dindoorは独自のインタープリタを持ちません。まずローダーが侵害先システムにDenoがインストール済みかどうかを確認し、必要に応じてWindows標準搭載のcurl.exeを使ってdeno.landからランタイムを取得します。
Denoは公式のWindowsインストール手順を備えた、広く使われているJavaScript・TypeScript・WebAssemblyランタイムです。そのため、開発者が多い環境ではその存在自体が直ちに疑われることは少なくなっています。
その後マルウェアは、Dindoorペイロードを含む長大なBase64エンコード引数を付けてdeno.exeを起動します。
マルウェア分析ツール
この手法により、攻撃者は観測可能な実行チェーンを大きく変えることなく、エンコードされたスクリプトやペイロードの内容をローテーションできます。
結果として生成されるプロセスツリーは、すべて署名済みで一般的に信頼されているバイナリ、すなわちcurl.exe、deno.exe、powershell.exe、wscript.exeだけで構成される場合があります。
Dindoorは主に、スピアフィッシングを起点とした侵入における侵害後のペイロードとして観測されています。
最初のスクリプトはホストの指紋情報を取得し、コマンド&コントロール(C2)基盤に接続した上で、二次ペイロードをコンパイルまたは実行します。この段階ではC2サーバーから第三のペイロードを取得し、バックドアの主要機能を実行します。
永続化の仕組みを確立する前に、最終段階のペイロードはWin32_VideoControllerに対するPowerShellのWMIクエリを通じて、グラフィックアダプタを確認します。
このコマンドは、VMware、VirtualBox、QXL、Hyper-Vといった環境に関連する仮想化されたディスプレイハードウェアを検出できるものです。
このチェックは最終段階の冒頭に戦略的に配置されています。Dindoorが解析環境を検知した場合、永続化の作成やより多くの手がかりとなる挙動の実行に進む前に処理を停止します。
そのため、サンドボックスでは単一のPowerShellクエリのみが記録され、防御側が調査すべきレジストリの変更やVBScriptランチャー、その後のC2通信活動が見逃される可能性があります。
この条件付き実行は、MuddyWaterによく見られる手口を示しています。すなわち、よく知られた技術を用いつつ、それらを自動解析を阻害し、キャンペーンの活動期間を延ばすような形で組み合わせるというものです。
Binary DefenseがDindoorの追跡を開始したのは2026年初頭で、米国のソフトウェア企業や銀行系組織、さらにはカナダの非営利団体に影響を及ぼす活動を確認したことがきっかけでした。
Dindoorと名付けられたWindowsバックドア
本物の標的であると判断されたシステム上で、Dindoorはユーザー書き込み可能なパスからVBScriptを起動するWindowsのRunレジストリキーを作成します。
wscript.exe "C:\Users\Admin\AppData\Local\Serial\Lynx_system59.vbs"
wscript.exeの使用は、環境寄生型(living-off-the-land)実行のさらなる一層を提供します。攻撃者は従来型の悪意ある実行ファイルを埋め込む代わりに、ユーザーごとの永続化に悪用されることが多いAppData\Local内のスクリプトベースのランチャーに依存できるわけです。
コマンド&コントロールについては、DindoorはDenoのlisten関数を使ってTCPリスナーを作成します。
通信内容とそれを支えるペイロードはBase64でエンコードされており、静的解析や単純なネットワークコンテンツルールによる検知を難しくしています。
Denoの通常のセキュリティモデルでは、ネットワーク、ファイル、環境変数といった機密性の高いリソースへのアクセスには明示的な権限付与が必要です。しかし悪意ある実行チェーンにおいては、攻撃者が制御するコマンドラインによってこれらの権限が意図的に付与され得ます。
クラウドセキュリティサービス
今回のキャンペーンは、コード署名が善良な意図を保証するものではないことを改めて示しています。Deno自体は正規のソフトウェアであり、その公式ドメインからダウンロードする行為だけを切り取れば無害に見えます。疑わしいのは、その行為を取り巻く一連の流れそのものです。
防御側は、異常に長いBase64引数付きで起動されるdeno.exe、開発者ロールを持たないエンドポイントからdeno.landへ接続するcurl.exe、そしてAppData\Local配下のVBScriptファイルに対してwscript.exeを呼び出すRunキーに関するテレメトリを優先的に監視すべきです。
セキュリティチームはまた、特にcmd.exeから永続化の試行直前に生成されるWin32_VideoControllerに対するPowerShellのWMIクエリについても調査すべきでしょう。
Dindoorのペイロード内容は迅速に変化し得るものの、その挙動の構造、すなわちランタイムの取得、エンコードされたDenoの実行、仮想化チェック、スクリプトベースの永続化、難読化されたTCP通信という一連の流れは、置き換えるのがより困難です。
こうした安定した関連性を追跡することが、このMuddyWater関連の活動に対するより持続的な防御策となります。
★ どのセキュリティツールを削減すべきか?1ページでスコアリング – 継承されたセキュリティスタックガイドをダウンロード
翻訳元: https://gbhackers.com/windows-backdoor-dubbed-dindoor/
