SprySOCKSは長年にわたり、Linuxを標的とした悪名高いマルウェアとして知られてきた。しかし、新たな進化が確認された。この脅威は現在、Windowsマシンにも感染しており、特に世界中の政府機関に影響を及ぼしている。
この変化は決して些細なことではない。これはサイバー攻撃者の手口の高度化を反映している。彼らの目的は、機密性の高いインフラへの侵入とスパイ活動をより効果的に行うための手段を強化することにある。
SprySOCKSのWindows版が、高度なステルス機能を搭載して登場
ESETの最近の調査で特定されたこれらの変異体は、2023年から2024年の間に発見されました。重点はデュアルアプローチにあり、WIN_DRVとWIN_PLUSという2つの異なるバージョンが存在します。
WIN_DRVは、ルートキットのような機能を備えている点で際立っています。CVE-2023-24932として知られる脆弱性を悪用し、カーネルドライバを利用してその存在を隠蔽します。一方、WIN_PLUSは、よりシンプルながらも同様に効果的な手法で、感染したマシン上での永続性を確保します。
浸透および持続方法に関して
それぞれの亜種は、活動を維持するために確立された手法を採用している。WIN_DRVは、よく知られたWindowsプロセスであるvds.exe実行ファイルにリンクされたスケジュールされたタスクを使用する。一方、WIN_PLUSは印刷プロセッサを装うことで、管理者にとって疑われにくい仕組みになっている。
これらの手法は偶然に任されているわけではない。疑念を招かないように、既存のシステム機構を巧みに利用している。まるでエンジンを分解する前に注油するようなもので、さりげなさが大きな違いを生むのだ。
多面的で多機能なマルウェア
ステルス性に加えて、これら2つの亜種は高度な機能群を共有している。TCP、UDP、およびWebSocketを介して通信を行う。そのため、マルウェアは遠隔地のコマンド＆コントロール（C2）サーバーからコマンドを受信する。
彼らが持つ能力を見れば、その目的がスパイ活動とデータ収集であることは疑いの余地がない。
スパイ行為や制御のための高度な機能
このマルウェアはシステムに関する情報を収集し、実行中のプロセスとやり取りすることができます。ファイルを操作したり、SOCKSプロキシとして動作したり、キーロガーでキー入力を記録したりします。さらに驚くべきことに、クリップボードの内容を監視することもでき、これは機密情報の予期せぬ入手源となります。
WIN_DRVバージョンは特に興味深い。そのルートキットのおかげで、TCPトラフィックを乗っ取ることができる。これにより、ハッカーはランダムなポートを介してバックドアと通信できるため、従来のネットワーク監視装置から活動を隠蔽できる。
アジアおよびそれ以外の地域における政府機関を標的とする脅威
特定された標的には、台湾、タイ、パキスタン、ホンジュラスの政府機関が含まれる。この地理的な選択は、明確な戦略的目的、すなわち機密性の高い国家機関内部でのスパイ活動を明らかにしている。
SprySOCKSの背後にいるのは、FishMongerとしても知られるEarth Luscaグループとされており、中国の請負業者と直接的なつながりがあると疑われている。彼らの戦術は、高度なグループが用いる典型的なもので、ワークステーションに感染させ、横方向に拡散させ、インフラの中核となるサーバーなど、真の標的に到達するというものだ。
