Interlock RAT
Interlockランサムウェア攻撃を仕掛けるサイバー犯罪者は、独自開発のリモートアクセス型トロイの木馬（RAT）であるInterlock RAT（別名NodeSnake）のPHP亜種を新たに開発し、活動を強化しています。この強化された脅威は、FileFixと呼ばれる進化した配信メカニズムを用いた広範な攻撃キャンペーンで確認されています。FileFixは、従来から知られているClickFix手法から派生したものです。この展開は、同グループの攻撃戦略に大きな変化をもたらし、攻撃範囲の拡大と技術の高度化を示唆しています。
目次
ステルス的な侵入：スクリプトインジェクションとトラフィックリダイレクト
2025年5月から活動しているこのキャンペーンは、侵害されたウェブサイトのHTMLコードに、一見無害に見える1行のJavaScriptスニペットを埋め込むことから始まります。このスクリプトはトラフィック分散システム（TDS）として機能し、IPベースのフィルタリングを用いて標的の訪問者を偽のCAPTCHA認証ページにリダイレクトします。これらの不正なページは、ClickFixベースのルアーを用いてユーザーを誘導し、悪意のあるPowerShellスクリプトを実行させます。その結果、Interlock RATがインストールされ、攻撃者は被害者のシステムへの足掛かりを得ます。
FileFix: 武器化された配信イノベーション
2025年6月に確認された最新のキャンペーンでは、ClickFixのより高度なバージョンであるFileFixが主要な感染ベクトルとして使用されていることが確認されました。FileFixは、Windowsファイルエクスプローラーのアドレスバーを悪用し、ソーシャルエンジニアリングによってユーザーに悪意のあるコマンドを実行させます。2025年6月に概念実証として実証されたFileFixは、現在ではInterlock RATのPHP亜種を配布するために実用化されており、場合によっては、この展開が、より従来型のNode.jsベースの亜種のインストールの前兆となることもあります。
多段式ペイロードとステルス機能
Interlock RATは展開されると、ホストの偵察とJSON形式のシステム情報の窃取を開始します。権限レベル（USER、ADMIN、SYSTEM）を確認し、リモートコマンドアンドコントロール（C2）サーバーとの接続を確立します。追加のペイロード（EXEファイルまたはDLLファイル）が取得され、実行されます。
- 永続化メカニズムには次のものがあります:
- スタートアップ実行を維持するために Windows レジストリを変更します。
- リモート デスクトップ プロトコル (RDP) アクセスによる横方向の移動を可能にします。
さらに、注目すべき回避手法として、Cloudflare Tunnelのサブドメインを利用してC2サーバーの実際の場所を隠すという手法があります。ハードコードされたIPアドレスは、トンネルが切断された場合に接続を維持するためのバックアップとして機能します。
脅威の追跡：過去の標的と現在の動機
2025年初頭、Interlock RATはNode.jsの亜種を利用して、英国の地方自治体や教育機関への攻撃に関与しました。しかし、近年、一般的なWeb開発言語であるPHPへの移行が見られたことは、より幅広い業界を標的とした、より日和見的なアプローチを示唆しています。PHPへの移行は、脆弱なWebベースのインフラストラクチャを悪用する可能性のある、感染ベクトルを拡大するという戦術的な決定を示唆しています。
キャンペーンの主要指標
被害者とサイバーセキュリティ担当者は、Interlock の最新の活動における以下の特徴に注意する必要があります。
初期攻撃ベクトル:
- 正当だが侵害された Web サイトへの単一行の JavaScript インジェクション。
- IP フィルタリングを使用して偽の CAPTCHA ページへリダイレクトします。
感染後のマルウェアの動作:
- ホストの偵察と JSON 形式のシステム情報の流出。
- 権限チェックとリモートペイロード実行。
- レジストリベースの永続性と移動のための RDP の活用。
結論: インターロックグループの脅威プロファイルの拡大
Interlock RATのPHP亜種の出現は、同グループの多様化と、防御対策を常に先取りしようとする意図の高まりを物語っています。Webスクリプティングとネイティブシステム機能の両方を活用することで、Interlockの攻撃者は従来のマルウェア配信と、日常的なシステム機能の独創的な悪用との境界を曖昧にしています。セキュリティチームは警戒を怠らず、このような進化する脅威を検知・ブロックするために、多層防御を導入する必要があります。
