インド当局は、APT（持続的標的型攻撃）グループ「SideCopy」が、教育機関を含むインドの組織を標的にしていると警告しました。攻撃はスピアフィッシングを使い、Windowsシステムに「ReverseRAT」を感染させます。
2026年10月15日に出された注意喚起は、このリモートアクセス型トロイの木馬（RAT）の脅威を深刻度「中」に分類しています。キャンペーンでは、偽装した添付ファイル、悪意あるWindowsショートカット、難読化スクリプト、正規のOSユーティリティを組み合わせています。
この多層的な手口により、攻撃者は永続的なアクセスを確立できます。しかも、悪意ある活動を通常のWindowsの動作と見分けにくくしています。
攻撃は、武器化されたZIPアーカイブを添付したフィッシングメールから始まります。アーカイブには、悪意あるLNKショートカットとおとりの資料が入っています。Trellixの研究者によると、このショートカットは紛らわしい文書名とPDFアイコンを使い、利用者に実行を促していました。
ショートカットを開くと、docsportal[.]inでホストされた攻撃者管理下のインフラから、難読化されたHTMLアプリケーション（HTA）の取得が始まります。
ダウンロードされたスクリプトは、Windowsユーティリティのmshta.exeによって実行されます。攻撃者は、独立した悪意ある実行ファイルだけに頼らず、正規のアプリケーションを悪用できます。
CSKによると、このHTAは.NETのデシリアライゼーションを通じてne4snapk.dllを読み込みます。このコンポーネントは、圧縮されたペイロードを展開します。展開されるのは、永続化用ローダーのappT.bat、第2段階スクリプトのstartT.hta、おとり文書のcommskl.docxです。
永続化は、バッチローダーを指すWindowsレジストリのRunキーによって確立されます。被害者がサインインすると、ローダーがmshta.exeを起動し、startT.htaをバックグラウンドで実行します。これにより、再度フィッシングで操作させなくても感染が復活します。
第2段階スクリプトは、.NETのデシリアライゼーションとリフレクティブローディングを使い、難読化されたペイロードを再構築します。Trellixは、BinaryFormatterの悪用に続いてAssembly.loadとオブジェクトのインスタンス化を行い、mshta.exeのメモリ上でReverseRATコンポーネントを起動していることを確認しました。このコンポーネントはioluegnt.dllです。
初期段階ではファイルが作成されますが、最終ペイロードを直接メモリに読み込むことで、ディスクベースのスキャンに検知されるリスクを下げています。ここは重要な点です。この攻撃は完全なファイルレス攻撃ではなく、メモリ上での実行フェーズを含む段階的な感染です。
ReverseRATは、リモートでのコマンド実行、システム偵察、スクリーンショットの取得、パスワードの窃取、クリップボードの収集に対応しています。オペレーターは、ファイルの列挙、アップロード、名前変更、削除、ディレクトリの操作、シェルセッションの開始も可能です。
Trellixは、dns[.]educationportals[.]bizとの コマンド＆コントロール（C2）通信を確認しました。このドメインは45[.]61[.]157[.]22に名前解決され、通信にはTCPポート5863が使われます。調査では、AES暗号化による情報窃取が行われていることと、ハードコードされた暗号鍵が使われていることも明らかになりました。
防御側は、mshta.exeのネットワーク接続、予期しないレジストリRunキーの変更、通常とは異なるディレクトリから実行されるスクリプトを調査する必要があります。関連するステージングの痕跡（IOC）には、docsportal[.]in/public/reps/com/com[.]htaとdocsportal[.]in/public/reps/com/161[.]phpがあります。
推奨される対策は次のとおりです。不審なアーカイブとLNK、HTAの添付ファイルを隔離します。可能な場合は、アプリケーション制御でmshta.exeを制限します。さらに、エンドポイントの振る舞い検知を最新の状態に保ちます。
組織は、IOCをブロックする前に妥当性を確認し、関連する外向きの通信も調査してください。これらのシグナルを突き合わせれば、侵入の全体像を把握しやすくなります。
被害を受けたシステムは隔離してください。対応担当者は、証拠を保全し、データの漏えい範囲を評価し、クリーンな端末から侵害された認証情報をリセットします。予期しない添付ファイルを別の手段で確認することも、引き続き重要な予防策です。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を減らしています。チーム向けに試す
翻訳元: https://cyberpress.org/indian-government-warns-sidecopy-reverserat-malware/
