ハッカーがViPNetのソフトウェアを悪用し、ロシアの政府機関を標的にしている

ある高度な脅威アクターが、ViPNetのプライベートネットワーク製品スイートの更新メカニズムを悪用し、政府機関を含むロシアの組織を標的にしています。

「HelloNet」と名付けられたこのキャンペーンは、少なくとも5月以降活動しており、プロキシおよび追加のマルウェアのローダーとして機能する悪意のあるペイロードを展開している。

カスペルスキーの研究者によると、HelloNetは政府、エネルギー、運輸、教育、物流の各セクターの組織に影響を与えている。

ViPNetの更新機能の悪用

ViPNetは、InfoTeCS社が開発したロシアの情報セキュリティ製品群であり、VPN、エンドポイントおよびネットワークアクセス保護、ファイアウォール、証明書管理、一元管理、安全なメッセージングおよびファイル転送機能を提供している。

このツールはロシアで広く使用されており、政府やその他の規制対象環境での使用について当局から認証を受けている。

ロシア国内、特に重要度の高い組織における市場シェアの高さから、この製品はハッカーによる標的となるケースが頻繁に見られる。2025年4月、カスペルスキーは、脅威アクターが攻撃においてViPNetの更新プログラムを装ったと報告した。

最新の攻撃キャンペーンでは、攻撃者は悪意のあるファイル（wtsapi32.dll、通称 HelloInjector）をローカルの ViPNet Update System ディレクトリ内に配置し、正規の itcsrvup64.exe を通じてシステムの起動時にサイドロードされるようにしました。

このDLLは第1段階のローダーであり、svchost.exeプロセスに注入されることで、次の段階のペイロードにWindows上の昇格された権限と、再起動後も存続する永続性を付与する。

カスペルスキーは、攻撃者がこのファイル変更を行うための初期アクセスをどのように獲得したかについては具体的に説明しておらず、ViPNetの更新インフラ自体が侵害されたとも主張していない。

マルウェアのツールセット

HelloInjector は、Kaspersky が HelloProxy と名付けた組み込みペイロードをメモリ上で実行し、コマンド＆コントロール（C2）サーバーに接続して追加のモジュールを受信します。

これらのモジュールの一つが「HelloExecutor」であり、これはホスト上でコマンドを実行したり、ネットワーク偵察を行ったりできるバックドアです。

2 つ目は「HelloCleaner」で、これは ViPNet のログデータを削除して悪意のある活動を隠蔽するツールです。

「HelloBackdoor」と呼ばれる別のインプラントは Rust ベースであり、ファイルのアップロードやダウンロード、およびコマンドの実行をサポートしています。

カスペルスキーは、このキャンペーンを、身元不明の中国語圏の高度持続的脅威（APT）グループによるものと暫定的に断定している。

しかし、研究者たちは、その証拠は弱く、主に中国のウェブサイト「sina.com」を参照する未使用の文字列と、中国科学技術大学がホストするマルウェアのダウンロードミラーに依存している点を強調した。

その結果、研究者らはこの帰属の信頼度を低く評価しており、偽旗作戦の可能性も排除していない。

同サイバーセキュリティ企業は、ViPNetソフトウェアを実行しているシステム、特にポート5003、5060（HelloProxy）、および443（HelloBackdoor）を経由するトラフィックを徹底的に監視することを推奨している。