Tortoiseshell、TWOSTROKEバックドアでツールセットを拡充

イランを拠点とするグループ「Tortoiseshell」が、ツールセットと活動範囲の両方をさらに拡大させています。Group-IBの専門家は、同グループに関連する未確認のマルウェア検体と追加のサーバーインフラを発見しました。発見されたものの中には、リバースSSHトンネルを構築するユーティリティと、TWOSTROKEファミリーに属するバックドアが含まれていました。

Tortoiseshellとは

Tortoiseshellは、Mirage Kitten、UNC1549、Nimbus Manticoreとも呼ばれ、少なくとも2018年から活動していることが確認されています。Group-IBは同グループをイラン、そしてイスラム革命防衛隊(IRGC)と関連づけています。過去には、中東および米国の防衛・航空宇宙関連企業、軍事組織、ITサービスプロバイダーを標的としてきました。さらに、2026年にはTortoiseshellが最も活発なイラン系APTグループの一つにランクインしています。

偽装されたリバースSSHトンネル

回収されたコンポーネントの一つは、Windowsのシステムライブラリwtsapi32.dllになりすまし、オペレーターのサーバーに向けてリバースSSHトンネルを確立します。これにより、コマンドサーバーからの通信を侵害済みネットワーク内へリダイレクトすることが可能になります。この手法により、すでに感染しているコンピューターが、他の内部リソースへの侵入口として利用されることになります。

TWOSTROKEに酷似したC++バックドア

2つ目の検体は、TWOSTROKEに酷似したC++製のバックドアであることが判明しました。1つ目と同様に、この悪性ライブラリもwtsapi32.dllを装っており、DLL検索順序ハイジャックによって正規のアプリケーションから読み込まれる可能性があります。起動すると、このバックドアはあらかじめ定められた複数のコマンドサーバーのいずれかにHTTPS経由で接続し、オペレーターからの指示を待ち受けます。

このバックドアが可能にすること

TWOSTROKEは、プログラムやシェルコマンドの実行、ファイルのダウンロードおよび窃取、DLLのメモリ上での直接実行、ディレクトリの閲覧、ファイルの削除、さらにはユーザーやマシンに関する情報の収集を行うことができます。注目すべき点として、このマルウェアは感染デバイスごとに、マシンの完全修飾ネットワーク名に基づく独自の識別子を生成します。また、複数のコマンドサーバーのアドレスを保持しているため、主系統のサーバーが応答しなくなった場合でも、バックアップノードへ切り替えることが可能です。

精査対象となった新たなインフラ

専門家たちは、Tortoiseshellの新たなインフラに特に注目しました。関連ドメインを分析した結果、Group-IBはアラブ首長国連邦、サウジアラビア、英国、ベルギー、カナダ、オーストラリア、そして日本を示すラベルが付されたサーバーおよびサブドメインを発見しました。したがって、このインフラの地理的分布は、同グループが中東や欧州にわたって関心の対象を広げている可能性を示唆しています。

帰属判断には慎重な姿勢

とはいえ、Group-IBは発見されたすべてのサーバーの用途について、断定的な結論を下してはいません。インフラの一部は依然として悪性の検体との関連付けができていないため、ドメイン名だけでは特定の標的を確度高く絞り込むには不十分です。そのため研究者たちは、今回の新たなインフラとTortoiseshellが過去に使用していたノードとの間に見られる重複を指摘するにとどめています。

着実に進化を続ける脅威アクター

Group-IBの分析によると、同グループはネットワーク内での隠密な活動を維持する手段を洗練させると同時に、活動インフラの拡大も進めています。最終的に、SSHトンネル、多機能バックドア、そして分散されたコマンドサーバーの組み合わせにより、Tortoiseshellは感染システムへのアクセスを維持し、長期にわたるスパイ活動を展開することが可能になっています。