中国関連バックドア「PlugX」の新たな亜種がアジアの通信事業者を標的に

nosa

2025.09.29

9月26〜29日：サイバーセキュリティ関連ニュース

中国関連バックドア「PlugX」の新たな亜種がアジアの通信事業者を標的に　ASEAN諸国への攻撃に使われた「Bookworm」の内部動作も発表

The Hacker News – Sep 27, 2025

サイバーセキュリティ組織Cisco Talosのレポートにより、中央アジアおよび南アジアの通信事業者と製造業を標的としたサイバー攻撃キャンペーンが進行中であることがわかった。攻撃には既知のマルウェア「PlugX」（別名：Korplug、SOGU）の新たな亜種が利用されているようだ。

この亜種は、DLLのサイドローディングに正規アプリケーションを悪用する点や、ペイロードの暗号化・復号に用いられるXOR-RC4-RtlDecompressBufferアルゴリズム、さらにRC4キーの使用などが「RainyDay」または「Turian」といったバックドアと共通しているとのこと。ただし、従来のPlugXとは構成が大きく異なり、中国系ハッカーグループLotus Panda（Naikon APT）が使うバックドアRainyDayと同じになっているという。

PlugXは多くの中国系ハッカーグループが使うモジュール方式のリモートアクセス型トロイの木馬（RAT）で、特にMustang Panda（別名：BASIN、Bronze President、Camaro Dragon、Earth Preta、HoneyMyte、RedDelta、Red Lich、Stately Taurus、TEMP.Hex、Twill Typhoon）による使用が最も顕著。一方のTurian（別名：Quarian、Whitebird）は、中国系APTグループBackdoorDiplomacy（別名：CloudComputing、Faking Dragon）が中東を標的としたサイバー攻撃で使用しているバックドアと思われる。

標的の特徴（特に通信事業者への攻撃）やマルウェアの技術的な実装方法などから、Lotus PandaとBackdoorDiplomacyの関連性が示唆されており、両グループは同一、あるいは共通のツールベンダーからツールを入手している可能性が高いとされている。

また、Mustang Pandaが2015年から使ってきた「Bookworm」マルウェアについても、内部動作を分析した結果が最近発表された。パロアルトネットワークスのインシデント対応チーム「Unit 42」のレポートによると、この高度なRATは標的システムの完全制御を可能にするもので、任意のコマンドの実行、ファイルのアップロード／ダウンロード、データ抽出、永続的アクセスの確立といった機能を装備。正規のドメインや乗っ取られたインフラをC2サーバーとして利用し、通常のネットワークトラフィックに紛れ込むように設計されている。

さらに、このBookwormの亜種も確認され、Mustang Pandaとの関連が2022年後半以降に指摘されたバックドア「TONESHELL」と類似していることが判明した。PlugXやTONESHELLと同様、Bookwormもペイロードの実行にDLLサイドローディングを用いるが、最新の亜種はUUID（汎用一意識別子）文字列としてシェルコードをパッケージ化し、それをデコードして実行する手法を採用している。

ASEAN（東南アジア諸国連合）加盟国を標的とし、Bookwormマルウェアを拡散するキャンペーンは2月にMustang Pandaと関連付けられていた。

オランダの10代少年ら、ロシアに雇われユーロポールをスパイしようとした容疑で逮捕

BleepingComputer – September 27, 2025

オランダ警察は29日、ロシアのスパイ活動に関与した疑いで17歳のオランダ人少年2人を逮捕した。

オランダ紙『デ・テレグラフ』によると、2人は欧州刑事警察機構（ユーロポール）と欧州司法機構（Eurojust）の事務所、そしてハーグにあるカナダ大使館付近で、通信傍受を目的とするWi-Fiスニッファーと呼ばれる機器を使っていたとのこと。BleepingComputerがユーロポールに確認したところ、同機構の広報担当はこの事件が発生していたことを認めたものの、システムに侵入された形跡はないと答えている。

少年らはTelegramを通じてロシアの諜報機関にスカウトされ、オランダ総合情報保安局（AIVD）からの情報提供を受けて逮捕された。『デ・テレグラフ』紙によると、少年の1人は自宅で宿題をしていた時に逮捕されたようで、両親は息子がスパイ活動をしていたことをまったく知らなかったという。容疑の深刻さを考慮し、少年たちは捜査が続く間、少なくとも2週間拘留されるようだ。