HollowFrameとMatryoshkaによる新たな多段階攻撃の分析｜ブログ(ほぼこもセキュリティニュース)

2026年7月末に、法律事務所等の端末を標的とした多段階の複雑な攻撃キャンペーンが新たに確認されています。
現時点で本キャンペーン固有の名称や、特定された脅威アクター（攻撃グループ）は存在しません。
しかし、本攻撃は正規コンポーネントや標準的なクラウドサービスを巧みに組み合わせることで攻撃挙動を断片化・隠蔽しており、単一のセキュリティ対策では検出が困難な特徴を持っています。
研究で明らかになってきたことを見てみましょう。

主に使用されているコンポーネント
- HollowFrame：Go言語で記述されたモジュール式のローダーおよび永続化フレームワーク。
- Matryoshka：Rust言語で記述されたバックドアのファミリ。
攻撃チェーンのフロー
1. スピアフィッシングメール
2. MEGAストレージリンク & 暗号化ZIP(Case Documents.lnk)
3. 難読化PowerShell
  - 管理者権限昇格要求
  - Defender除外設定の追加 (LOCALAPPDATA\…\Python311-Brief および python.exe)
4. Python埋め込みパッケージのダウンロード
5. DLLサイドローディング(python.exe ──ロード──> 偽の python311.dll)
6. HollowFrame (Go製ローダー)(XChaCha20-Poly1305解凍 & 多彩なプロセス注入手法)
7. Matryoshka (Rust製バックドア)
  - HTTPバリアント (C2直接通信)
  - GitHubバリアント (Private GitHubリポジトリ経由の通信/指示受取)
各段階の技術的詳細
- 初期アクセスとローカルでの準備
  - 侵入手法: 法律事務所のユーザに送信されたスピアフィッシングメールからスタート。MEGAにホストされた暗号化アーカイブ内のショートカットファイル（Case Documents.lnk）を介して実行されます。
  - コマンドデコード: certutil.exe -decode や難読化されたPowerShellを利用して攻撃コードを展開・実行します。
  - セキュリティ無効化: 管理者権限に昇格させた後、Microsoft Defenderに対し、後続で配置するPythonディレクトリ（Python311-Brief）および python.exe プロセス名の除外設定を事前に追加します。
- DLLサイドローディングとHollowFrame（Go製ローダー）
  - DLLサイドローディング: 信頼された正規の `python.exe` に、悪意のある Go製 `python311.dll`（HollowFrame）をロードさせます。
  - 高度な暗号・難読化: DLL内の暗号データから奇数バイトを捨てて偶数バイトのみを取り出す独自スキップ処理後、XChaCha20-Poly1305で復号し、zlibで解凍してペイロード（実行ファイル）を復元します。
  - 多様な注入手法: 検知回避のため、環境に応じて多数の実行オプション（Process Parameter Poisoning、Process Ghosting、Module Stomping、手動PEマッピングなど）を選択して展開します。
- Matryoshka（Rust製バックドア）
  HollowFrameによって最終的に読み込まれるのが、Rust言語で構築されたバックドア「Matryoshka」です。2つの特徴的な変種（バリアント）が確認されています。
  1. HTTP通信バリアント: C2サーバと直接HTTP通信を行い、リモートコマンド実行やシステム情報の収集を行います。
  2. GitHub通信バリアント: 非公開のGitHubリポジトリをC2インフラとして悪用します。
    - ビーコン送信、タスクの取得、システム調査結果やファイルのアップロード、二次ペイロードのダウンロードをすべてGitHub API経由で実施します。
    - 正規のクラウドサービス通信に紛れ込むため、通常のネットワークモニタリングでの検知が非常に困難です。

本脅威に侵入された場合、攻撃者に持続的なアクセス権（バックドア）を握られた状態となります。
これにより、システム内での任意コマンド実行、Active Directoryの偵察、機密ファイルの窃取、ならびにネットワーク内での横展開（ラテラルムーブメント）や認証情報窃取ツールの追加配置が可能になります。
本キャンペーンは、スクリプト、正規バイナリ（Python）、プロキシDLL、サードパーティサービス（MEGA / GitHub）へと処理が高度に断片化されているため、単一のログや従来のシグネチャベース検知のみで全貌を把握することは非常に困難です。

Pythonの正規実行ファイルやGitHubのAPI通信といった「普段から組織で使われている正常なツール・サービス」を隠れ蓑にする手口は非常に巧妙で厄介です。
1つひとつの挙動は無害に見えるため、アンチウイルスを過信せず、「不審なメールのリンクを開かない」という初期侵入の対策はもちろん、EDRによるプロセス挙動の可視化やログの相関分析がいかに重要であるかを認識させられる脅威だと感じます。

Nested Trust: HollowFrame’s Layered Loader and Matryoshka Backdoors
https://blackpointcyber.com/blog/hollowframes-layered-loader-and-matryoshka-backdoors/