ShadowHS：新たなステルス性の高いファイルレスLinuxマルウェアが自動拡散

高度なファイルレスLinuxマルウェア・フレームワーク「ShadowHS」は、侵害後（ポストエクスプロイト）ツールの大きな進化を示しています。

従来のマルウェアバイナリとは異なり、ShadowHSは完全にメモリ上で動作し、防御が施されたエンタープライズ環境での長期的な永続化を目的として設計された、オペレーター主導の高度な機能を示します。

ShadowHSは単体のマルウェアバイナリではなく、hackshellユーティリティを大幅に改変し、フル機能の侵入フレームワークとして武器化した亜種です。

このマルウェアはファイルレス実行を中核の設計原則として取り込み、匿名ファイルディスクリプタから実行しつつ、検知回避のためにプロセス名を偽装します。

感染チェーンのいかなる時点でもペイロードがディスクへ書き込まれることはなく、従来のファイル整合性監視やアンチウイルスの検査メカニズムを実質的に回避します。

感染は、埋め込みペイロードを保護するためにAES-256-CBC暗号化を用いる、多段階の暗号化シェルローダーから始まります。

Cyble Research & Intelligence Labs（CRIL）は特定したところによると、高度に難読化されたファイルレスローダーを悪用し、武器化されたhackshell亜種を完全にメモリ上から展開するLinux侵入チェーンが確認されています。 

実行時、ローダーはOpenSSL、Perl、gzipを含む実行時依存関係を検証し、その後、正しいペイロード実行を保証するために呼び出しコンテキストを動的に判定します。

ペイロードは複雑なデコード・パイプラインを通じて再構成され、偽装されたargvパラメータとともに、/proc/<pid>/fd/<fd>経由でメモリから直接実行されます。通常はPython3のような正規プロセスを装います。

オペレーター主導の設計

ShadowHSが一般的なマルウェアと異なる点は、意図的に抑制された実行時挙動にあります。

暗号資産マイナーを即座に展開したりデータ流出を開始したりするのではなく、このフレームワークは環境偵察、セキュリティ制御の発見、運用上の安全性を優先します。

初期段階での抑制と、広範な休眠機能との明確な分離は、自動化されたマルウェアロジックではなく、意図的なオペレーターのトレードクラフト（手口）を強く示唆します。

ペイロードは、CrowdStrike Falcon Sensor、Sophos Intercept X、Cortex XDR、Microsoft Defender、Elastic Agent、Wazuh、Tanium、複数のクラウドベンダーエージェントなど、エンタープライズ向けセキュリティソリューションの積極的なフィンガープリンティングを実行します。

これらのプラットフォームを検出するために、ファイルシステムパスのチェックとサービス状態の列挙の双方が用いられ、結果は意思決定のためにオペレーターへ直接提示されます。

ShadowHSは、Rondo、Kinsing、そして悪名高いEburyのOpenSSH認証情報窃取バックドアなど、競合するマルウェアファミリを特定して終了させるための強固なアンチ競合ロジックを実装しています。

このフレームワークは競合する暗号資産マイナーを能動的に探索し、ロード済みカーネルモジュールのチェックによりカーネルルートキットを検出し、過去の侵害を示す可能性のある削除済み実行ファイルやmemfdバックの実行ファイルを列挙します。

さらに、AppArmorなどのカーネル保護を調査し、ロード済みモジュールを点検し、/procを調べて計測・インストルメンテーションの兆候を探すことで、セキュリティ態勢を深く内省します。

ShadowHSの最も高度な機能の一つは、従来のネットワーク転送手段を完全に回避する、オペレーター起動型のデータ持ち出しです。

SSH、SCP、SFTPに依存する代わりに、このフレームワークはGSocketのユーザー空間トンネルを活用して秘匿チャネルを確立する、専用のステージングヘルパーを実装しています。

ファイル転送は、62.171.153[.]47にあるハードコードされたGSocketランデブー・エンドポイントを経由し、オペレーターが提供するトークンで認証されます。

この手法は、rsyncの標準トランスポート層をDBusベースまたはnetcat風のGSocketトンネルに置き換え、ファイアウォール制御やエンドポイント監視を回避するデータ移動を可能にします。

見かけ上のループバック宛先は意図的に誤解を誘うもので、接続はローカルのネットワークスタックに到達する前にGSocketによって横取りされ、目に見えるネットワークセッションを開かずにリモートへの持ち出しを可能にします。

緩和策

オペレーターが休眠機能の有効化を選択すると、ShadowHSはXMRig、CUDAバックエンド付きXMR-Stak、Kawpowアルゴリズムを用いるGMiner、ETCHASHを狙うlolMinerなど、複数の暗号資産マイニング・ワークフローを展開します。

マイニング処理はプールのフェイルオーバーロジックと動的に取得されるワーカー識別子を用い、204.93.253[.]180のインフラへ接続します。

ラテラルムーブメント（横展開）のために、このフレームワークはSSHサービス探索用のRustscanと、特定されたエンドポイントに対する自動ブルートフォース攻撃用のspiritをダウンロードします。

このマルウェアには、AWS認証情報、SSH鍵、GitLab、WordPressおよびBitrixのデータベース、Docker、Proxmox VM、OpenVZコンテナ、クラウドプラットフォームのメタデータサービスを標的とする認証情報窃取の休眠モジュールも含まれています。

ShadowHSはファイルレスでメモリのみで実行されるモデルであるため、従来のシグネチャベースやファイルスキャン型のセキュリティ制御では防御効果が限定的です。

有効な検知には、メモリ内実行パターンの可視化、プロセス挙動分析、カーネルレベルのテレメトリが必要です。

組織は、ランタイムアプリケーション自己防御、メモリスキャン機能、行動分析を実装し、不審なプロセス系譜や引数偽装を特定できるようにすべきです。

ShadowHSの発見は、Linuxを標的とする脅威が、場当たり的なボットネットから、企業インフラの戦略的侵害を目的とした高度なオペレーター制御フレームワークへと進化していることを浮き彫りにしています。

高度な回避技術、包括的なセキュリティ認識、選択的な機能有効化の組み合わせは、即時の影響よりも長期的な永続化に最適化された成熟した侵害後プラットフォームであることを示しています。

侵害指標（IOCs）