中国のAPTグループが、侵害したネットワークへのアクセス権を維持するために新たなマルウェアを展開している

UNC5221として追跡されている中国のスパイグループが、バックドア「Brickstorm」および「Plenet」や「AgentPSD」というこれまで未報告のマルウェアを使用して、Microsoft 365環境にアクセスしていた。

本件の調査により、この脅威アクターは検知される少なくとも18ヶ月前から被害者のネットワークへのアクセス権を獲得しており、被害組織のマネージドサービスプロバイダー（MSP）も侵害していたことが判明した。

UNC5221はVerdantBambooとしても追跡されており、少なくとも2023年以降、エッジデバイスのゼロデイ脆弱性を悪用した攻撃に関与している。

この脅威アクターは、2025年3月頃に侵害が発見されるまで、1年以上にわたり米国内の様々な標的の環境内で、Brickstormバックドアを検知されずに使用していた。

研究者らはBrickstormを「高度なマルウェアインプラント」と表現している。初期の亜種はGolangで記述されていたが、その後Rustで記述された新しい亜種が登場した。

2024年4月、Googleはこのバックドアを使用したUNC5221の活動を報告し、さらに2025年9月には、法務サービス、SaaSプロバイダー、ビジネスプロセスアウトソーサー、およびテクノロジー企業に対する攻撃について報告した。

CISAは、中国のハッカーがVMware vSphereサーバーに対してBrickstormを展開していることについて警告を発し、さらに最近では、GoogleがUNC6201によってDell RecoverPoint for Virtual Machinesに対して展開されたと報告した。

被害者が2度ハッキングされる

昨年発生したインシデントに対応したVolexityの研究者は、VerdantBambooがEgnyte Storage Syncシステムを侵害し、被害者のWeb SSL VPNを経由して定期的にアクセスしていたことを突き止めました。

この足掛かりを基に、脅威アクターはBrickstormのプロキシ機能と盗まれた認証情報を使用して、組織のMicrosoft 365環境にアクセスした。

「Volexityは、これが正当なネットワークトラフィックに紛れ込み、そうでなければアクセスを阻止していたであろう条件付きアクセスポリシーを回避するために行われたものであると、高い確信を持って評価しています」と研究者らは述べた。

その後、Volexityは、ハッカーが検知されるまでに少なくとも18ヶ月間、ネットワーク内に潜伏していたことを突き止めました。さらに、研究者が是正措置を完了した後も、VerdantBambooは再び同組織への侵入に成功しました。

2度目の侵入では、攻撃者は盗んだ認証情報を使用して被害者のファイアウォール上でSSL VPNアクセスを有効化・設定し、内部システムに接続した後、Synology NASデバイスに追加のカスタムマルウェアを展開した。

これにより、顧客のMSP（マネージドサービスプロバイダー）で調査が開始され、VolexityはVerdantBambooがpfSenseファイアウォールにBrickstormのBSD亜種を仕込んでいたことを突き止めた。

「Volexityは、このファイアウォールも、被害組織のStorage Syncシステムと同様に、少なくとも18ヶ月前に侵害されていたと結論付けた。」

研究者らは、攻撃者がMSPから被害組織の環境へと侵入経路を拡大した可能性について、中程度の確信を持っている。

その後、Brickstormは被害者のEgnyte Storage Syncアプライアンスおよび使用停止中のLinux GroupWiseメールアーカイブサーバーに展開された。

新たなバックドアの使用

数日後に攻撃者が戻り、被害者のインフラへのアクセスを再確立すると、彼らはカスタムマルウェア「Plenet」をSynology NASアプライアンスに展開した。

Googleによって「Grimbolt」としても追跡されているPlenetは、クロスプラットフォームの.NETベースのバックドアであり、対話型シェルアクセス、リモートコマンド実行、ファイル操作、およびコマンドアンドコントロール（C2）サーバーの切り替え機能を提供する。

研究者らは、Plenetの設計がBrockstormと類似しており、C2通信にWebSocketプロトコルを使用し、サーバーへの同時データストリーム送信用に多重化ライブラリを採用していると指摘している。

AgentPSDは、Pythonベースのシンプルなリバースシェルユーティリティであり、Volexityは、他のマルウェアにアクセスできなくなった場合の予備的な永続化メカニズムとして、VerdantBambooがこれを使用していたと推測している。

研究者らは、AgentPSDがBrickstormが使用していたものとは異なるドメインに接続するように設定されていたことを発見した。しかし、Brickstormが依然として稼働していたため、このマルウェアは一度も使用されなかった。これは、AgentPSDが二次的なアクセス手段であったという評価を裏付けるものである。

調査中、VolexityはVerdantBambooに関連するインフラストラクチャの特定を試みました。研究者らは、BrickstormがC2通信に使用したIPアドレスとドメインを特定するためのフィンガープリントを作成しました。

複数のマシンが特定されたものの、研究者が他のシステムを特定する前に、脅威アクターはインフラをオフラインにした。

「9月18日から9月23日の間に、以前このパターンに一致していたすべてのサーバーが、ポート443でのサービスを停止した。」

その頃、GoogleもBrickstormの活動に関する新たなレポートを公開しており、これは攻撃者が自身の活動が調査下にあることを認識していた可能性を示唆している。

Volexityは、VerdantBamboo/UNC5221を「極めて洗練された脅威アクター」と評しており、このグループは「リビング・オフ・ザ・ランド（LoTL）」の手法とマルウェアを組み合わせて、エンドポイント検出・対応（EDR）ソリューションをサポートしていないシステムを標的としている。

研究者らは、調査対象となったUNC5221キャンペーンに関連する侵害の兆候（IOC）のリストを作成し、こちらで公開した。