EdgeStepper バックドア
中国と連携する脅威アクター「PlushDaemon」が、新たに発見されたGo言語ベースのネットワークバックドア「EdgeStepper」に関与していることが判明しました。これは、中間者攻撃（AitM）を支援するために設計されたツールです。このグループは、DNSレベルでネットワークトラフィックを操作することで、複数の地域にまたがる標的型侵入キャンペーンのためにデータフローを傍受・リダイレクトする能力を拡大しています。
目次
EdgeStepper: 悪意のあるインフラストラクチャへのトラフィックのリダイレクト
EdgeStepperはネットワークレベルのハイジャックメカニズムとして機能します。展開されると、すべてのDNSリクエストを外部の悪意のあるノードにリダイレクトします。この操作により、正規のソフトウェア更新インフラストラクチャへのトラフィックが、攻撃者の制御下にあるシステムに転送されます。
このツールは内部的に2つの主要モジュールを介して動作します。ディストリビューターは悪意のあるDNSノードのアドレス（例：test.dsc.wcsset.com）を解決し、ルーラーはiptablesを介してパケットフィルタリングルールを設定し、リダイレクトを強制します。場合によっては、DNSノードとハイジャックノードが同一であることもあり、その場合、スプーフィングプロセス中にDNSサービスが自身のIPアドレスを返すことがあります。
長期にわたる作戦と世界的な標的
PlushDaemonは少なくとも2018年から活動しており、米国、ニュージーランド、カンボジア、香港、台湾、韓国、中国本土の組織を標的としています。その活動は、2025年1月に韓国のVPNプロバイダーIPanyが関与したサプライチェーン侵害の調査中に初めて正式に報告されました。このインシデントにより、攻撃者が半導体企業と正体不明のソフトウェア開発会社の両方に対して多機能インプラントSlowStepperを展開した方法が明らかになりました。
その後の調査で特定された追加の被害者には、北京の大学、台湾の電子機器メーカー、自動車メーカー、日本の製造企業の地域支社などが含まれています。アナリストは2025年にカンボジアでもさらなる活動を記録しており、自動車業界と日本のメーカー関連の2つの組織がSlowStepperの標的となりました。
AitM ポイズニング: PlushDaemon の主な侵入戦略
このグループは、初期侵入手法としてAitMポイズニングを多用しており、これはLuoYu、Evasive Panda、BlackTech、TheWizards APT、Blackwood、FontGoblinといった中国系APTクラスターでもますます広まっている傾向です。PlushDaemonは、被害者が接続する際に経由する可能性のあるエッジネットワークデバイスを侵害することから攻撃チェーンを開始します。この侵害は、通常、パッチ未適用の脆弱性や脆弱な認証に起因します。
デバイスが制御下に置かれると、DNSトラフィックを操作するためにEdgeStepperがインストールされます。悪意のあるDNSノードは受信リクエストを評価し、ソフトウェアアップデートに関連付けられたドメインを検出すると、ハイジャックノードのIPアドレスで応答します。この設定により、すぐに疑惑を抱かせることなく、悪意のあるペイロードを配信することが可能になります。
ハイジャックされた更新チャネルとデプロイメントチェーン
PlushDaemonのキャンペーンは、Sogou Pinyinを含む複数の中国語アプリケーションで使用されている更新メカニズムを特に調査し、正規の更新トラフィックをリダイレクトします。この操作を通じて、攻撃者はLittleDaemon（popup_4.2.0.2246.dll）という悪意のあるDLLを配布します。これは第一段階のインプラントとして機能します。システムがSlowStepperバックドアをまだホストしていない場合、LittleDaemonは攻撃者のノードに接続し、DaemonicLogisticsというダウンローダーを取得します。
DaemonicLogisticsの役割は単純明快です。SlowStepperをダウンロードして実行することです。SlowStepperはアクティブになると、システム詳細情報の収集、ファイルの取得、ブラウザの認証情報の抽出、複数のメッセージングアプリケーションからのデータの取得、そして必要に応じて自身の削除など、幅広い機能を実行します。
協調インプラントによる機能拡張
EdgeStepper、LittleDaemon、DaemonicLogistics、SlowStepperの機能を組み合わせることで、PlushDaemonは世界中の組織に侵入できる包括的なツールセットを装備します。これらのツールを連携して使用することで、グループは永続的なアクセス、データ窃取能力、そして長期的な地域横断的な活動のための柔軟なインフラストラクチャを獲得します。
主な観察事項
PlushDaemonの活動には、いくつかの一貫した特徴が見られます。このグループは、最初の足掛かりを得るための手段として、中間者攻撃（AIM）ポイズニングを多用し、ネットワークエッジでトラフィックを傍受・リダイレクトします。標的が侵害されると、脅威アクターは侵入後の主要なインプラントとしてSlowStepperを利用し、その広範なデータ収集およびシステム偵察機能を活用します。このワークフローの有効性は、EdgeStepperのDNS応答操作能力によってさらに強化されます。これにより、攻撃者は正規のソフトウェア更新トラフィックを密かに自組織のインフラに誘導することができます。
