ハッカーがC2フレームワーク「Falcon」でブラウザーを乗っ取り、政府機関の認証情報を窃取

ハッカーは、XGまたは Xiàng Gē（項哥）として追跡されているNode.js製のコマンド&コントロール（C2）フレームワーク「Falcon」を使い、2026年3月から5月にかけて、中東の1カ国と東南アジアの4カ国の政府機関を攻撃しました。

エシカルハッキングツール

Unit 42は、外務、国防、内務、法執行の各機関が標的になっていたことを確認しました。戦略的な情報収集が目的だったとみられます。

このフレームワークは、侵害したブラウザー内で悪意のあるJavaScriptを実行します。これにより、従来型のエンドポイント向けインプラントをすぐに設置しなくても、認証情報の傍受や監視、政府系アプリケーションへの認証済みアクセスが可能になります。

C2フレームワーク「Falcon」の手口

Falconは管理画面を空白のページの裏に隠し、右クリック機能も無効にしています。F9キーを3回続けて押すと、ログインフォームが表示されます。

管理パネルはTCPポート8080で待ち受けます。一方、被害者側のリスナーはポート443を使い、偽装のためJavaScript製のテトリスやスネークゲームを表示します。

攻撃者は、侵害したウェブメールポータルや政府系アプリケーションにscriptタグを挿入します。セッションごとに、1バイトXORエンコードで難読化されたインプラントが配信されます。共通のローダーやURL構造、百度（Baidu）風の Hm_lvt_ 識別子から、FalconはPeckBirdyと関連があるとみられます。

インプラントはTLSで保護されたWebSocket C2接続を確立し、AES-256-CBC暗号化をネゴシエートします。生成された32バイトのAES鍵と初期化ベクトルは、鍵交換の際に2048ビットのRSA公開鍵で保護されます。

攻撃者はevalを通じてJavaScriptを実行し、フレームワークのAPIで情報を取得します。感染したタブが開いている間は接続が維持され、アイドル状態のセッションも1分ごとのハートビートで保たれます。

ただし、通信は常に暗号化されるわけではありません。Falconは暗号化なしのCometフォールバックに対応しており、Web Crypto機能が使えない場合は、より強度の低いエンコード方式に切り替わります。

アクセス範囲を広げるため、FalconはChromeとFirefox向けの拡張機能も備えています。Chrome版は「PDF Viewer」を装っています。Manifest V3の設定では、すべてのウェブサイトへのアクセスを含む40件の権限を要求します。

Unit 42によると、バックグラウンドコンポーネントが認証情報、Cookie、閲覧履歴、ダウンロード履歴を収集し、analytics-core.jsがfetchとXMLHttpRequestの処理をフックします。

リバースプロキシ機能により、攻撃者は被害者のブラウザーを経由し、既存の認証情報とセッションCookieを使ってリクエストを送信できます。追加モジュールは、ダウンロードの差し替えやクリップボードの内容の改ざんを行い、Gmail、Discord、Zalo、Xのやり取りも収集します。

東南アジアのある警察機関では、攻撃者がまずユーザー名を収集しました。その後、選んだユーザーに偽のAdobe Flash Playerアップデートの通知を表示しています。

この通知を通じて配信されたのが、Rust製インプラント「Antino」です。コンパイル日時は2025年10月でした。Antinoは、PEの.cfgセクションからXORキー0xABCDで設定を復号し、sdiagnhost.exeを使ってレジストリのRunキーによる永続化を確立します。

通信にはMicrosoft Graph APIを使い、OneDriveをハートビート、タスク指示、データ転送に利用します。10種類のコマンドで、シェル実行、PowerShell、ファイル操作、Rhaiスクリプトを実行できます。

防御側は、不正なデベロッパーモード拡張機能、過剰な権限、ウェブメールに挿入されたスクリプト、想定外の Hm_lvt_ ストレージの痕跡を調査する必要があります。

ハンティングでは、ブラウザーのWebSocket通信を、外部のOneDriveテナントへの認証やantino/ディレクトリへの書き込みと突き合わせることが重要です。司法分野のある拡張機能は3週間以上稼働し続け、平文の認証情報を盗み、内部文書システムのスクリーンショットも取得していました。攻撃者が長期にわたり内部を可視化できていたことがうかがえます。

IOC

注： IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的にデファング処理（例：[.]）を施しています。リファング（元の形式への復元）は、MISP、VirusTotal、お使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。 自社チームでの活用を検討する