ZynorRATマルウェア
サイバーセキュリティ研究者らは、Go言語でコンパイルされたリモートアクセス型トロイの木馬（RAT）「ZynorRAT」で構成される、新たなマルウェアファミリーを特定しました。このマルウェアはLinuxとWindowsの両方のホストを標的とし、Telegramボットを介して管理されています。入手可能な証拠に基づくと、このファミリーは2025年7月8日に初めて出現しました。アナリストらは、過去にカタログ化されたファミリーとコードや動作に重複が見られないことを報告しており、既存のツールセットの亜種ではなく、新たな実装であることを示唆しています。
技術プロファイル - 言語、ビルド、クロスプラットフォームに関する注意事項
ZynorRATはGo言語で実装されており、単一のコードベースで複数のOSターゲット向けのバイナリを生成できます。Linuxビルドは機能が豊富で、偵察、データ収集、リモート制御のための幅広い機能を備えています。Windowsビルドも確認されており、機能的にはLinux版と類似しているように見えますが、Linuxスタイルの永続化技術（systemdサービス）を使用しているため、Windows版のアーティファクトは未完成か、開発中である可能性があります。
機能 — マルウェアが何ができるか
このマルウェアの主な目的は、情報収集、情報流出、リモートアクセスであり、コマンドアンドコントロール（C2）はTelegramボット（@lraterrorsbot、別名「lrat」）を介して実行されます。ZynorRATは展開されると、このボットからさらなる指示を受け取り、被害者ホスト上でローカルタスクを実行します。Linuxの主な機能には、ファイルの閲覧と情報流出、システムプロファイリング、プロセスのリスト表示と終了、スクリーンショットのキャプチャ、任意のコマンド実行、systemdによる永続化などがあります。
観察されたコマンドエンドポイント (Linux ビルドで実装されているもの):
- /fs_list — ディレクトリを列挙する
- /fs_get — ホストからファイルを盗み出す
- /metrics — システムプロファイリングを実行する
- /proc_list — ps と同等のコマンドを実行してプロセスを一覧表示します
- /proc_kill — PIDでプロセスを強制終了する
- /capture_display — ディスプレイのスクリーンショットを撮る
- /persist — 永続性を確立する（systemd サービス）
指揮統制と配布 - オペレーターがどのように実行し、拡散するか
ZynorRATのC2チャネルはTelegramです。このマルウェアは@lraterrorsbotボットにチェックインし、このチャネルを介してコマンドを受信します。Telegramボットを通じて共有されたスクリーンショットやその他のアーティファクトには、Dosya.coというファイル共有サービスを介してペイロードが配布されていることが示されています。これらのスクリーンショットを分析した結果、作成者は自身の管理下にあるマシンを使用して、機能のテストまたは検証（自己感染）を行っていた可能性が示唆されています。TelegramのようなパブリックメッセージングプラットフォームをC2チャネルとして使用すると、運用担当者にとって操作が容易になり、ある程度の運用の柔軟性が得られますが、同時に、防御側が追跡できる明確な指標（ボットハンドル、異常なTelegramトラフィック）も作成されます。
帰属とタイムライン — 合理的に推測できること
証拠は、2025年7月8日に活動が始まったことを示しています。ボットチャットやその他の回収されたテキストに残された言語痕跡から、運営者はトルコ人であるか、少なくともトルコ語のリソースを使用している可能性が示唆されています。また、現在の分析では、グループによる開発活動ではなく、単独の、おそらく単独の行為者によるものである可能性が示唆されています。とはいえ、さらなる裏付けが得られるまでは、特定の個人または国家への帰属については慎重に検討する必要があります。
これがなぜ重要なのか - 新規性とマルウェア開発の傾向
RATは一般的ですが、ZynorRATはクリーンルーム実装（既存のファミリーとの重複なし）であるように思われ、Telegramを介して自動化された集中管理を実装している点で注目に値します。クロスプラットフォームへの野心とGo言語の使用は、比較的小規模な運営者が高性能なマルチOSツールを迅速に開発するという傾向を浮き彫りにしています。ここで見られる初期段階の洗練度は、新しいRATがいかに急速に出現し、実用化されるかを示しています。
最終評価
ZynorRATは、クロスプラットフォーム展開向けに構築され、既製のメッセージングサービスを通じて管理される、軽量ながらも高機能なRATの現代的な好例です。この発見は、Goなどの最新言語を用いることで、たとえ単独のオペレーターであっても、柔軟なリモートアクセスツールを迅速に作成できることを浮き彫りにしています。組織は、TelegramベースのC2攻撃や一般ユーザー向けファイル共有サービスの予期せぬ利用を最優先のハント対象として扱い、エンドポイントにおけるサービス構築を強化し、上記の緩和策を適用して脆弱性を軽減する必要があります。
