今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、脅威アクターが忘れ去られた、あるいは管理されていないDNSレコードをどのように悪用しているかを調査しています。 続いて、当社のCTIチームが、ファイルレス実行の手法を用いてRemcos RATを展開する、検知されにくいマルウェアキャンペーンについてご紹介します。 最後に、チームは、配信手段の一部として悪意のあるnpm（Nodeパッケージマネージャー）を利用する、新たなフィッシングキャンペーンの概要についてまとめました。
Hazy Hawkは、DNSレコードを利用してドメインを標的にしています
Infobloxが最近発表したレポート『 』（新しいタブで開きます） では、古くなったDNSレコード（特に、運用を終了したクラウドインフラストラクチャを指すもの）が、攻撃者によって乗っ取られ、悪意のある目的に利用される可能性があることが強調されています。 「Hazy Hawk」という脅威アクターは、DNSに精通しており、まさにそのような活動を行うことで知られています。
インフォブロックス社は、この攻撃者が米国疾病予防管理センター（CDC）が所有するサブドメインを乗っ取ったことを受け、 2025 年初頭にその存在を把握しました。 DNSにはこうした脆弱性を特定するのが難しいため、研究者たちは、Hazy Hawkが大規模なパッシブDNSサービスにアクセスできる可能性が高いと考えています。
これまでのところ、この攻撃者は数十の組織を標的にしていることが確認されています。
Hazy Hawkがクラウドリソースを標的とする仕組み
Hazy Hawkは、忘れ去られたDNSレコードを悪用して、AWS S3 バケットやAzureエンドポイントといった、放置されたクラウドリソースを乗っ取ることを専門としています。 Infobloxが指摘しているように、この種の攻撃を実行するには、高度かつ稀に見るレベルの技術的熟練度が必要となります。
Hazy Hawkは、DNSレコードの不備を見抜き、ドメインを乗っ取り、それらを悪意のあるURLをホストするために悪用することに長けています。 検知を回避するため、攻撃者は、人気があり信頼性の高いドメインのサブドメインを乗っ取り、URLを難読化し、他のサイトのコンテンツを自身のページに流用し、よく知られたサービスを利用している少なくとも1つのURLを経由して被害者をリダイレクトします。
この攻撃の被害者は、多くの場合、どこへ転送されるかを決定するトラフィック分散システム（TDS）へと誘導されます。
Infoblox社によると、ランディングページは当初の誘い文句と一致しないことがよくあるとのことです。 例えば、この攻撃者のURLの多くは、以前に乗っ取られた「cdc.gov」のサブドメインを利用しており、被害者をBlogspotのページを経由してリダイレクトした後、さらに「.xyz」のページへと誘導しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Infobloxが指摘しているように、「DNSは脅威の媒介として広く認識されていないため、Hazy Hawkのような攻撃は長期間にわたり検知されずに進行し続ける可能性がある」ということを、この事例は改めて示しています。
この攻撃者は、注目度の高い組織を積極的に標的にしており、攻撃を成功させるために境界を突破する必要はありません。
DNSの健全性を積極的に監視していない限り、この種の攻撃を見抜くのは困難です。
新たなマルウェアキャンペーンにより、ファイルレスのRemcos RATが配布されています
Qualysの最近の投稿「 」（新しいタブで開きます） では、ファイルレス実行の手法を用いて、強力なリモートアクセストロイの木馬（RAT）であるRemcos RAT を に展開する、目立たないマルウェアキャンペーンが取り上げられています。
この攻撃は、PowerShell や「mshta.exe」などの Windows 標準ツールを悪用して、従来のエンドポイント防御を回避しています。
マルウェアがどのように侵入し、システム内に潜伏し続けるのか
Qualysによると、この攻撃は「 “new-tax3.11.zip」というファイルから始まるそうです。 ZIPアーカイブ内には悪意のあるLNKファイルが埋め込まれており、これらはVBSスクリプトを含む難読化されたHTMLアプリケーション（HTA）ファイルを実行します。
Qualysは「 “new-tax311.zip」ファイルを分析した結果、MSHTAを介して最初に実行され、難読化されたHTAファイルが実行されることが判明しました。 このHTAファイルには、Windows Defenderを回避できる難読化されたVBScriptコードが含まれています。
また、このコードはPowerShellスクリプトをダウンロードし、PowerShellの実行ポリシーをバイパスして非表示モードで実行するように設定するとともに、永続化のためのレジストリキーを作成します。 また、HTAファイルはユーザーのパブリックディレクトリにいくつかのペイロードをダウンロードしますが、そのうちの1つは起動時に実行されます。
このスクリプトがRemcos RATをどのように配信するのか
PowerShell スクリプト「 “24.ps1」は、難読化されており、意味のない関数や変数が多数盛り込まれています。 このプログラムは、独自の文字列操作を用いて、 base64 エンコードされた2つのブロブをデコードします。 また、このスクリプトは、メモリを割り当てたり、メモリ内にコードを注入・実行したりするために、 Win32 個のAPIを呼び出しています。
復号されたデータ塊のうちの1つは、Remcos RATのバイナリファイルであると考えられています。 これは Visual Studio C++ 8 を使用してコンパイルされており、複数の異なるモジュールを通じて動作し、永続性を確立し、システムの詳細情報を収集し、UAC を回避し、その C2 ドメインに接続します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃に見られる戦術、手法、手順（TTP）の多くは、国家レベルの攻撃者や高度持続的脅威（APT）レベルの攻撃者のものと一致しており、この攻撃キャンペーンの重要性をさらに高めています。 このキャンペーンでは、ファイルレスマルウェア、LOLBins、汎用RATなど、多くの一般的な手法が用いられています。
これは、防御の回避を優先する、またしても新たなキャンペーンです。このプロセスは、脅威アクターによってますます自動化が進められています。
[関連記事：今すぐ知っておくべき（あなたとCEOが）サイバーセキュリティ用語 15 選]
攻撃者は、フィッシング攻撃においてAESと悪意のあるnpmパッケージを組み合わせています
Fortra（ （新しいタブで開きます） ）の研究者たちは、配信手段の一部として悪意のあるnpmパッケージを利用する、新たなフィッシングキャンペーンを発見しました。 npmレジストリを通じて配布されたこのパッケージは、正規のモジュールを装って認証情報を収集するように設計されていました。
フィッシング攻撃はどのように行われるのでしょうか？
フォートラ社は、悪意のある.HTMファイルを添付したメールから始まる「 」フィッシング攻撃（ ）の実態を解説しました。 そのメールは受信トレイに正常に届きました。おそらく、そのファイルが無害に見えるためでしょう。 このファイルには、さらなる分析が必要となる暗号化されたコードが含まれており、それがJavaScriptを指し示していることが判明しました。
Fortraが指摘しているように、このJavaScriptファイルは「一般的なオープンソースライブラリを装ってホストされていた悪意のあるnpmパッケージの一部」でした。 このパッケージは、標的のメールアドレスを使用してカスタムフィッシングリンクを作成し、偽のMicrosoft 365 ログインページへ誘導する役割を担う第2段階のスクリプトを読み込み、実行するものでした。
フィッシングメールには何が含まれているのでしょうか？
前述の通り、このフィッシングメールには、悪意のある.HTMファイルが添付されています。 さらに調査を進めた結果、Fortra社は、このファイルがAES暗号化を用いて、特定の変数内に格納された文字列を隠蔽していることを突き止めました。
フィッシング攻撃では、AES暗号化が用いられることはあまりありません。攻撃者は、より単純な難読化手法を利用することが多いためです。 内容を復号化したところ、その内容が「jsDelivr」でホストされているURLを指していることが判明しました。jsDelivrとは、npmパッケージなどを配信するためのCDNです。
悪意のある npm パッケージについて理解する
Fortraが調査に向かった頃には、そのnpmパッケージはすでにブロックされていました。 しかし、Node.js を通じてパッケージのインストールには成功し、ダウンロードされたフォルダの一つである「MOMENTUM」の中に、攻撃の次の段階となる「NOW.API.JS」が含まれていることが判明しました。 このファイルは、追加の悪意のあるコンテンツを読み込みます。
被害者がどのようにフィッシングサイトに誘導されるのか
Fortraは、一連の悪意のあるURLリダイレクトを特定しました。 前述のJavaScriptは、既知の悪意のあるURLを参照していました。 彼らは、APIから返されたリダイレクト先サイトがオフラインであり、Cloudflareによってフィッシングサイトとしてフラグが立てられていたことを発見しました。 Fortraは、URLが更新されたこのパッケージの新しいバージョンを特定しました。そのうちの1つは、現在稼働中のフィッシングページにリンクしています。 このサイトは、被害者をランディングページにリダイレクトし、認証情報を盗み出そうとするものです。
Fortraによる調査の時点では、最後のフィッシングサイトはアクセス不能となっていました。 以前の「Any.Run」のレポートを入手し、そのページが公開されていた当時の様子を示すスクリーンショットを明らかにしました。 このサイトは、典型的な「Microsoft 365 」の偽ログインページです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Fortraが指摘しているように、この攻撃で使用されたさまざまな手法は、決して珍しいものではありません。 しかし、これらが組み合わさると、より効果的な脅威となります。 現在、攻撃者はキャンペーンの効果を高めるためにTTPを組み合わせて使用することが一般的になっていますが、今回のケースも例外ではありません。
また、Fortraの分析は、認証情報の盗難が、現在も、そして今後も、脅威アクターにとって主要な標的であり続けることを改めて私たちに認識させてくれます。 そのため、こうしたTTPの一歩先を行き、最新の誘引手法や手口について常に最新情報を把握しておくことが不可欠です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
