研究者らは、中央アジア各国の政府機関やエネルギー、通信事業者を標的とするSpiceRATの活動と結びつく、より広範なC2(コマンド&コントロール)インフラのクラスターを発見しました。
研究者Guy Yasur氏との共同調査では、2025年末から2026年8月にかけて稼働していたサーバー群が追跡されています。
今回発見されたインフラは、Bitdefenderが2026年8月に公表した「SilkParasite」レポートに記載された痕跡と重なっており、同レポートは同地域における中国系とみられる活動を報告していました。
9月9日の公開に先立ち、研究者らは影響を受けた組織および関係各国のCERTに対し、TLP:AMBER指定の事前情報を通知しています。
確認されたドメインや証明書は、攻撃者が管理するなりすましのものです。今回の調査結果で名前が挙げられた組織は、なりすましの対象となっているとみられるものであり、実際に侵害を受けたことが確認されているわけではありません。
Cisco Talosが2024年に発表したSpiceRAT関連の調査に基づく検知ロジックにより、2025年末に関連サーバーが初めて特定されました。2026年3月には、複数の欧州ホスティングネットワーク上で、数日の間に5台のSpiceRAT C2サーバーが相次いで出現していることが確認されています。
これらのサーバーは、使い回されたホスト名やTLS証明書、そして同一のクローンWebページによってつながっていました。特に注目すべき痕跡として、RTX Corporationの公式サイトを複製したページがあり、これは13台のサーバーでデフォルトコンテンツとして表示されていました。
このページにはマルウェアや認証情報の入力フォーム、配布コードは含まれていませんでした。おそらく、サーバーを正規のものに見せかけるための静的なおとりとして機能していたとみられます。
13台のサーバーのうち3台は、以前からBitdefenderによってSpiceRATのC2インフラとして特定されていたものです。さらに2台のサーバーは、Hunt.ioのSpiceRAT検知シグネチャと一致しました。
残りのホストも同一のRTXページのハッシュ値と類似したnginx設定を共有しており、これにより既知のインフラの範囲がさらに広がる結果となりました。
また、ウズベキスタンの鉄道当局になりすましたドメインazure.uzrailwaystax[.]comのTLS証明書が、8台のサーバーで発見されています。これらのうち4台では、複製されたRTXのページもホストされていました。
この証明書は2025年12月、TLC DV TLS CAによって発行されたものです。同認証局は、中国信息通信研究院(China Academy of Information and Communications Technology)とつながりのある中国の認証局によって運営されています。
研究者らは、証明書の発行元だけでは悪意ある活動の証拠にはならないと指摘しています。しかし、中央アジアの国家機関を装ったドメインでこの証明書が使われている点は、他の共有インフラの痕跡と合わせて、両者の作戦上のつながりを裏付けるものだとしています。
このクラスターには、ウズベキスタン、トルクメニスタン、タジキスタン、キルギス、カザフスタンの各組織になりすましたドメインが含まれています。
なりすましの対象となった組織には、Türkmengaz、Galkynyshガス田、Tojiktelecom、トルクメニスタン外務省、そしてウズベキスタン関連の政府サービスなどが含まれます。
パッシブDNSの記録によると、関連する一部のサブドメインは2022年半ばまで遡ることが分かっています。これは、このインフラのパターンが少なくとも4年間存在していた可能性を示しており、直近のSilkParasiteに関する報告よりもはるかに以前から続いていたことになります。
さらなる調査により、このクラスターは、Bitdefenderが報告している他の2種類のマルウェアファミリー、NodeEdgeRATおよびNomadRATに関連するインフラともつながりがあることが判明したとHunt.ioは述べています。
注: IPアドレスおよびドメインは、誤ってアクセスやハイパーリンク化されることを防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISPやVirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス環境内でのみ行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。貴チームでもぜひお試しください
翻訳元: https://cyberpress.org/spicerat-c2-links-silkparasite/
