シルバーフォックスAPT

サイバーセキュリティの専門家は、主に台湾のユーザーを標的とした、高度かつ進化を続けるフィッシング攻撃キャンペーンを発見しました。Silver Fox APTと特定される脅威グループによって組織されたこの攻撃は、マルウェアを仕込んだ文書や偽装メールを用いて、悪名高いGh0st RATの亜種であるHoldingHands RATやGh0stCringeを含む一連の危険なリモートアクセス型トロイの木馬（RAT）を拡散します。

見慣れた顔を使ったフィッシング：政府機関のなりすまし

攻撃は、台湾国税局などの公的機関を装ったフィッシングメールから始まります。これらのメールには、税金、請求書、年金などに関するテーマが含まれることが多く、受信者の信頼を悪用して添付ファイルを開かせようとします。いくつかのバリエーションでは、埋め込まれた画像がクリックされるとマルウェアがダウンロードされるトリガーとして機能し、従来の文書ベースのルアーからの転換を示しています。

武器化された文書：マルウェアの配信手段としてのPDFとZIP

主な配信手段は、フィッシングメールに添付された悪意のあるPDF文書またはZIPアーカイブです。これらのファイルには、ユーザーをZIPファイルをダウンロードするためのリンクが含まれており、そのZIPファイルには以下の情報が含まれています。

• 正当に見える実行ファイル
• シェルコードローダー
• 暗号化されたシェルコード

実行されると、これらのコンポーネントは連携して動作し、警告を出さずにマルウェアを展開します。

多段階感染チェーン：階層化された欺瞞

感染は複数の複雑な段階で進行します。

シェルコード ローダーのアクティベーション: シェルコード ローダーは埋め込まれたシェルコードを復号化し、起動します。

DLL サイドローディング: 正当なバイナリが悪用され、悪意のある DLL ファイルがサイドロードされ、マルウェアが目に見えない場所に隠されます。

VM 対策および権限昇格: これらの技術により、マルウェアはサンドボックス環境での検出を回避し、昇格されたシステム権限を確保します。

ペイロードと目的: スパイ活動と制御

最終的なペイロードには、「msgDb.dat」というファイルが含まれており、これは主要なコマンドアンドコントロール（C2）モジュールとして機能します。アクティブになると、以下の動作を実行します。

• 機密性の高いユーザー情報を収集する
• 追加コンポーネントをダウンロードします
• リモートデスクトップ制御を有効にする
• 感染したシステム上のファイルを管理する

これらの機能は、侵害されたマシンへの長期的なアクセスと監視を維持する意図を示唆しています。

進化する戦術：Silver Fox APTによる一貫したイノベーション

Silver Fox APT は、以下の使用法からもわかるように、ツールセットと攻撃手法を継続的に改良しています。

• Winos 4.0フレームワーク
• HTMダウンロードページ経由のGh0stCringeの拡散
• HoldingHands RAT（別名Gh0stBins）

このグループが複雑なシェルコード、階層化されたローダー、さまざまな配信ベクトルに依存していることは、検出を回避し、侵入の成功率を最大化するための継続的な取り組みを示しています。

結論：高度な脅威アクターに対する警戒が鍵

このキャンペーンは、Silver FoxのようなAPTグループの巧妙化を浮き彫りにしています。これらのグループは、信頼できるテーマ、偽装ファイル形式、そしてステルス性の高い実行手法を駆使することで、標的組織に深刻な脅威をもたらします。継続的な監視、タイムリーなパッチ適用、そして堅牢なメールセキュリティは、このような進化する脅威に対する重要な防御策となります。