ソフトウェアサプライチェーンに対する高度なサイバー攻撃活動に関する分析がレポートされています。
攻撃者グループ「UNC7017」は、バックアップソフトウェア等を提供する AOMEI Technology 社の更新・プロモーション配信インフラを侵害しました。
本攻撃の特徴は、配信サーバ上の設定ファイルをわずか5〜10分程度という非常に短い時間（Ephemeral/短時間）だけ悪意ある内容に書き換え、感染処理が終わると即座に正常な状態へと復元する点にあります。
この手法により、セキュリティ監視や後追いの調査を回避しながら、AOMEI Backupper や AnyViewer を利用する企業・機関に対し、バックドア等のマルウェア感染や認証情報の露出を発生させました。
特徴的な部分をみてみましょう。
- 「短時間（バースト型）」のインフラ改ざん手法
攻撃者はサーバを常時改ざんするのではなく、数分間だけピンポイントで悪意ある設定に切り替えました。- 技術的詳細:
確認された改ざん時間ウィンドウは、5月28日（10分間）、7月16日（6分間）、7月20日（5分間）など極めて短時間でした。
攻撃者はマルウェアの配布・実行指示を出した後、すぐにサーバ上の設定を正規の状態へと復元していました。
これにより、検知システムや後から同じURLを確認するセキュリティ調査を巧妙に回避していました。
- 技術的詳細:
- 暗号学的署名のない設定ファイル（INI）の改竄
クライアントアプリ側に設定ファイルの検証・署名チェック機能が備わっていなかった設計上の不備が悪用されました。- 技術的詳細:
攻撃者は down_html.ini（アーカイブのダウンロード先とMD5ハッシュを指定）および Notifycfg.ini（通知動作を制御）を改ざんしました。
アプリ側が設定ファイルの電子署名検証を行っていなかったため、攻撃者がダウンロード先URLとハッシュ値を同時に差し替えることで、アプリのハッシュチェックを正常に通過させることが可能となっていました。
- 技術的詳細:
- アプリケーションの正規機能を悪用した「ゼロクリック」実行
脆弱性の攻撃コード（エクスプロイト）を使うのではなく、ソフトウェアの正常な挙動をそのまま悪用してマルウェアを実行させました。- 技術的詳細:
プロモーションファイル群に非署名の実行ファイル（upgrade-now.exe）を混入させ、ソフトウェアが起動中であれば、アプリの内蔵ブラウザがHTMLページを自動読み込みし、ユーザ操作を一切介さず（ゼロクリック）ローカルで実行されました。
- 技術的詳細:
- 多層的なマルウェア展開と認証情報露出の試み
バックドアの設置だけでなく、ネットワーク認証情報の窃取を狙う複合的な攻撃手法が確認されました。- 技術的詳細:
- CROSSROAD: 最初に配信されるダウンローダー。追加コンポーネントを取得し、タスクスケジューラによる永続化を行った後に自身を削除。
- SHINYROAD: 正規の Radmin ソフトウェア（署名済み）に悪意ある DLL を読み込ませる DLL サイドローディング技術を用いたバックドア。リモートシェルコマンドの実行などを可能にします。
- NetNTLMv2 露出: 7月20日の攻撃では、非表示の通知ウィンドウから外部の WebDAV リソースにアクセスさせ、Windows の NetNTLMv2 認証ハッシュを送信させる挙動が確認されました。
- 技術的詳細:
本キャンペーンは、「一時的（短時間）な改ざん」と「アプリの正規機能の悪用」を組み合わせた、検知が極めて困難な最新のサプライチェーン攻撃パターンを示しています。
サーバ修正後の影響は、配信サーバ側が正常化・復旧されたとしても、過去の改ざん期間中にインストールされたマルウェアや永続化設定（タスクスケジューラ等）は自動的には削除されません。
2026年4月〜7月の期間に該当ソフトウェアを使用していた環境では、AOMEI 関連ディレクトリ下の不審な実行ファイルや、RadminComponentRuntime / NitroRuntime といった不審なスケジュールタスクが存在しないか端末調査（エンドポイントログの確認）を実施することが推奨されます。
開発・運用側での対策としては、配布する設定ファイルや動的コンテンツに対する暗号学的署名（改ざん検知）の導入が有効です。
Investigating Ephemeral Supply Chain Tampering
https://cloud.google.com/blog/topics/threat-intelligence/investigating-ephemeral-supply-chain-tampering/
| この記事をシェア |
|
|---|
