イラン系ハッカー集団、リバースSSHトンネルを悪用して侵害ネットワーク深部へ侵入

イランと関連の深い脅威アクター「Tortoiseshell」が、リバースSSHトンネリングツールとTWOSTROKE類似のバックドアをスパイ活動用ツールセットに追加していることが判明しました。これにより、侵害した内部ネットワークへ秘密裏かつ持続的にアクセスできる体制を整えているとみられます。

今回の調査は、Mirage Kittenが使用する新しいマルウェアエコシステムに関するKasperskyの公開レポートを端緒としています。同レポートでは、バックドア「NightLedger」とWebSocketトンネリングツール「ArcBridge」「BridgeHead」が取り上げられていました。

マルウェア分析ツール

その後Group-IBが既知の痕跡情報（IOC）を精査し、追加のハンティング調査を実施した結果、より広範なインフラの実態、これまで報告されていなかった検体、そしてリモートアクセスおよび横展開機能をめぐる継続的な開発の証拠が明らかになりました。

Tortoiseshellは少なくとも2018年から活動しており、これまで中東および米国の防衛、航空宇宙、ITサービスプロバイダー、軍事関連組織を主な標的としてきました。

同アクターはサプライチェーン侵害、水飲み場型攻撃、偽の採用ポータル、独自マルウェアの利用と関連付けられており、複数の研究者からイラン国家の利益に沿った活動と評価されています。

新たに特定されたコンポーネントの一つが、正規のWindows Terminal Server SDK APIになりすました64ビットDLL「wtsapi32.dll」です。この検体は正規のエクスポート機能を転送することでアプリケーションの想定動作を維持しており、これはDLLサーチオーダーハイジャックやサイドローディング攻撃に典型的な特徴です。

この偽装の背後で、インプラントはWindows純正のOpenSSHクライアントを呼び出し、攻撃者が管理するインフラ172[.]86[.]98[.]113宛てにポート443経由でリバースSSHトンネルを確立します。

使用されるコマンドはホスト鍵の検証を無効化するオプションを含み、-R 1081によってリモートリスナーを被害環境内へリダイレクトします。

つまり、攻撃者側サーバーのlocalhost:1081宛ての接続が、暗号化されたSSHセッションを経由して侵害済みネットワーク内へ中継される仕組みです。

この手法は運用面で大きな意味を持ちます。被害端末を外部からの受信接続にさらすのではなく、侵害端末側が暗号化された発信セッションを開始するため、ファイアウォールを通過しやすく、検知されにくいパターンとなります。

Google Threat Intelligence Groupは以前、UNC1549がリバースSSHトンネルを利用してC2インフラからのトラフィックを被害ネットワークへ転送する手口を確認しており、後続の攻撃活動においてホスト単位のフォレンジック証拠が残りにくくなる点を指摘していました。

Group-IBの最新の調査では、今回の活動をMirage Kitten、UNC1549、Nimbus Manticoreとも呼ばれるクラスターと関連付けています。

リバースSSHトンネル

Group-IBはさらに、2025年後半にGoogleが報告したC++バックドア「TWOSTROKE」と強い類似性を持つ、2つ目のwtsapi32.dll検体も発見しています。

このマルウェアはWindows APIを動的に解決し、実行時に機密文字列を復号したうえで、WinHTTP経由のC2通信を管理するワーカースレッドを起動します。

インプラントはシステムの完全修飾ドメイン名（FQDN）から被害者識別子を生成し、鍵Pnを用いてXOR暗号化を施したうえで16進エンコードし、末尾部分を変換してからHTTPS POSTリクエストとして送信します。

報告された検体には、フォールバック用のC2エンドポイントが3つ含まれています：neexportfolio[.]com、neexportfolio.azurewebsites[.]net、neexportfolio.eastus.cloudapp.azure[.]comです。

接続確立後、このバックドアはファイルの窃取、ペイロードのダウンロード、実行ファイルやシェルコマンドの実行、DLLのメモリ上での読み込み、ディレクトリの列挙、ユーザー名・ホスト名の収集、ファイルの削除といったコマンドを受信できます。

コマンドフィールドの区切り文字として@##@を使用している点も、これまでUNC154に帰属するとされてきたツールとの整合性を示しています。

既知のC2ドメインaecert[.]orgを起点に調査を進めたところ、Group-IBは185.253.116[.]81に紐づくインフラや、locat[.]sbs、tiktok-u[.]sbsといったドメインを発見しました。

uae1からuae14、sau1からsau3、さらにuk、bel、can、au、jpといったサブドメインは、国や運用区分ごとにインフラをマッピングしているとみられます。

Tortoiseshellが独自インプラントと正規のWindowsコンポーネントを組み合わせる手口を続けている以上、ベンダーアクセスの監視、クラウドホスト型のC2なりすまし、DLLサイドローディングの挙動、そして説明のつかないローカルプロキシリスナーの監視が同様に重要になります。

研究者らは、インフラの情報だけではこれらサーバーの用途を確定できないと注意を促しつつも、地理的な命名パターンや、tiktok-u[.]sbsが停止された後もサーバーマッピングが継続している点から、堅牢で分散された運用を意図した環境が構築されている可能性を指摘しています。

防御側にとっての優先事項は、Windowsホスト上での不審なssh.exeの実行――特に-Rなどのリバースフォワーディングオプションの使用――、ポート443経由の発信SSH通信、wtsapi32.dllになりすましたDLL、そして特定されたC2インフラへの接続を検知することです。

侵害指標（IOC）

注： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無効化表記（例： [.]）にしています。再有効化はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 不要なセキュリティツールを見極めるには？ 1ページで一括評価 – 「継承されたセキュリティスタック」ガイドをダウンロード