東南アジアの政府機関を狙う「GoSerpent」バックドア、5年間にわたり警察やバイオメトリクスデータを窃取か

東南アジアの政府機関ネットワークを標的とした、少なくとも5年間に及ぶ高度なサイバースパイ活動が明らかになった。セキュリティ企業カスペルスキー（Kaspersky）のグローバル調査分析チーム（GReAT）が公開した報告書によると、攻撃者は「GoSerpent」と呼ばれるGo言語製のバックドアなどを用い、警察の苦情管理システムやバイオメトリクス（生体認証）データベース、外交記録などの機微情報を密かに窃取していたという。この活動は、事前に盗み出した正規の資格情報を悪用して内部ネットワーク経由でデータを持ち出すという、極めて検知が困難な手法をとっていたことが特徴である。

■長期にわたり潜伏するスパイ活動と「GoSerpent」の正体

カスペルスキーのグローバル調査分析チーム（GReAT）は2026年7月16日（現地時間）、東南アジアの政府機関ネットワークに深く侵入していた高度なスパイ活動に関する調査結果を公開した。この活動では、警察の苦情ファイルやバイオメトリクスデータベース、外交記録などが、公に検知されることなく長年にわたって収集されていたという。GReATは、この攻撃で使用されたGo言語製のバックドア「GoSerpent」と、ステルス性の高いデータ収集・持ち出し（エクスフィルトレーション）を行うための一連の専用ツール群の技術的な詳細を明らかにした。

このキャンペーンで技術的に特に注目すべき点は、最終的なデータ転送の実行方法である。攻撃者は数か月前に窃取した正規の資格情報を使用し、正規の従業員がファイル共有にアクセスしているかのように見せかけてデータを持ち出していた。標準的なネットワーク監視ツールは、外部への不審な接続は検知するものの、認証された内部トラフィックは安全とみなすため、この巧妙な手口を検知できなかったとみられる。

カスペルスキーGReATのリードセキュリティリサーチャーであるヌーシン・シャバブ（Noushin Shabab）氏は、この攻撃グループの「忍耐強さ」が意図的な運用の選択であると指摘している。「通常、攻撃者は足がかりを得ると迅速に行動しようとするが、このグループは初期バックドアを設置した後に待機する」とシャバブ氏は述べる。「彼らは、TmcLoaderなどの二次的なデータ持ち出しツールを展開するまでに数週間待って状況が落ち着くのを待つ。このような忍耐強さは、標準的なログ保存ポリシーや自動化されたセキュリティスキャンをやり過ごすための計算された動きであり、防御側が初期の感染と最終的なデータ窃取を関連付けることを極めて困難にしている」

GoSerpentは、Go言語で書かれたリモートアクセスツール（RAT）である。Go言語は、ターゲットマシン上に実行環境を必要とせず、自己完結型のクロスプラットフォームバイナリにコンパイルできるため、ツールチェーンへの投資として選ばれたとみられる。初期バージョンのGoSerpentは少なくとも2021年から東南アジアの被害者に対して使用されており、当時はプレーンテキストでコマンドライン引数を受け取るシンプルな設計だった。今回公開されたバージョンでは、これらの引数がAES-CBCで暗号化されており、C2（コマンド＆コントロール）サーバーとの通信は、TLS 1.3やWireGuard VPNプロトコルでも使用されているChaCha20ストリーム暗号で保護されている。これにより、暗号化されたC2トラフィックをネットワークレベルで正規のHTTPS接続と区別することが困難になっている。

GoSerpentはターゲット上で安定すると、リバースシェルの確立、ファイルのアップロードとダウンロード、SOCKS5プロキシトンネルの開設、侵害したホストを経由したトラフィックの転送など、フルセットのリモートコマンドをサポートする。また、正規のWindowsプロセス（lass.exeやupdates.exeなど）に偽装したファイル名を使用し、セキュリティチームが通常精査を避ける中国のクラウドプロバイダー（Alibaba CloudやUCLOUD HKなど）のインフラを経由してC2トラフィックをルーティングする。さらに、GoSerpentは内部の秘密鍵文字列として「www.microsoft.com」や「www.spacex.com」を使用し、第2フェーズで展開される「Stowaway」は「github.code」を使用するなど、セキュリティチームが習慣的に信頼するトラフィックパターンに紛れ込ませる工夫が施されている。

また、キャンペーン期間中、GoSerpentと並行して「McMx RAT」と呼ばれるシンプルなコンパニオンツールも稼働していた。これは暗号化された引数ではなく、プレーンテキストファイルから設定を読み込むGoベースのプロキシおよびリモートアクセスツールであり、攻撃者が同時に複数の感染系統を維持していたことを示唆している。

■第1フェーズ：文書アーカイブの構築と資格情報の窃取

GoSerpentを展開した後、攻撃者は通常、追加のペイロードを送り込むまでに数日間待機していた。この意図的な遅延は、多くの政府機関のセキュリティオペレーションセンター（SOC）で一般的な、短いログ保存期間をやり過ごすことを目的としている。

最初に投入された追加ツールは、システムサービスとして登録される悪意のあるWindows DLL「ThumbcacheService」であった。その名称と、C:\Users\Publicに作成されるファイル「thumbcache_605a.db」は、正規のWindowsサムネイルキャッシュシステムに酷似しており、簡易的な検査を回避するのに十分な偽装が施されていた。ThumbcacheServiceは、政府機関の環境で公式の書簡、報告書、スプレッドシートに使用されるファイル拡張子（.doc、.docx、.pdf、.xls、.xlsx）を特定して探索した。収集されたファイルは、ハードコードされたパスワード「@vx0a9n5W2M0c3D6.#」を使用して7-Zipで圧縮され、アーカイブ1個あたり20MB of サイズ制限が設けられていた。さらに、このサービスはWindowsのごみ箱も監視し、ユーザーが削除しようとした機微なファイルも捕捉していた。

ThumbcacheServiceが静かに文書アーカイブを構築する一方で、攻撃者は2つの資格情報窃取ユーティリティを展開した。「Mimikatz」はWindowsのLSASSプロセスからキャッシュされた資格情報やKerberosチケットを抽出し、「QuarksDumpLocalHash」はオフラインでの解析用にSAMレジストリからローカルアカウントのパスワードハッシュを取得した。これらの盗まれた資格情報はすぐには使用されず、将来のために蓄積されていた。

■第2フェーズ：正規の内部トラフィックを装ったデータ持ち出し

ThumbcacheServiceに数週間にわたってファイルを蓄積させた後、攻撃者は2026年5月に追加のツール群を携えて戻ってきた。その中心となったのが、オープンソースのGo言語製プロキシフレームワークをカスタマイズした「Stowaway」である。StowawayはTCP、HTTP、またはWebSocketチャネルを介して通信し、トラフィックはAES-256-GCMまたはTLSで暗号化されていた。攻撃者はStowawayを介して、最終コンポーネントである「TmcLoader」および「TmcPayload」と呼ばれる2部構成のローダーを送り込んだ。

TmcLoaderは、自身の.dataセクションに暗号化されたペイロードを埋め込み、実行時にそれを復号して正規のWindowsプロセスである「svchost.exe」のメモリ空間にインジェクションするC++サービスである。これは、正規のシステムツールを悪用する「環境寄生型（Living off the Land）」の古典的な手法である。このローダーは、静的解析からAPI名を隠蔽するために、循環XOR暗号化スキーム（各バイトを次のバイトの値でXORする）とBase64エンコーディングを組み合わせて、Windows API呼び出しを動的に解決する。また、同一マシン上での重複感染を防ぐために固有のシステムイベントを作成しており、これは場当たり的な展開ではなく、慎重に設計されたものであることを示している。

インジェクションされたコンポーネントであるTmcPayloadは、被害マシン上に配置された暗号化された設定ファイルを読み込む。その設定ファイルには、数か月前にMimikatzとQuarksDumpLocalHashによって窃取されたネットワーク共有の資格情報と、持ち出し先のパスが記述されていた。その後、TmcPayloadは、数週間にわたり蓄積された政府文書のアーカイブである「thumbcache_605a.db」を、認証されたネットワーク共有パスを介して外部にコピーした。

その結果、最終的なデータ持ち出しにおいて、不審な外部への送信トラフィックのアラートや、疑わしい認証イベント、外部接続のフラグなどは一切発生しなかった。データは、被害環境が正規のものと認識している資格情報を使用し、内部ネットワーク共有を経由して持ち出された。第1フェーズで資格情報を収集し、第2フェーズを正規のアクセスに見せかけるというこの具体的な設計上の選択こそが、このキャンペーンを場当たり的な侵入ではなく、計画されたインテリジェンス活動として定義づける特徴である。

■標的となったデータと背後にいるとされる脅威グループ

標的となったデータのカテゴリは、国家レベルのインテリジェンス収集任務を反映している。具体的には、警察の苦情管理システム、バイオメトリクスデータベース、刑事事件ファイル、国家身元登録に関連付けられたホテルや入居者の記録、そして外交機関のネットワークなどが含まれる。これらのデータを組み合わせることで、外国のインテリジェンス機関は個人の特定、移動パターンの追跡、反体制派の特定、潜在的な情報提供者の選定、外交機関同士の通信監視などが可能になる。

特にバイオメトリクスデータは極めて重要な標的カテゴリである。パスワードとは異なり、生体認証のテンプレートは無効化や変更ができない。盗まれた指紋や顔認識の記録は、侵害されたデータベースに登録されているすべての個人に対して、永続的なインテリジェンス上の優位性をもたらすことになる。

カスペルスキーは、被害に遭った具体的な国名を公表していない。これは、被害国への通知が完了する前に行われる脅威インテリジェンスの開示における標準的な対応である。

カスペルスキーは、明確な帰属（アトリビューション）の特定には至っていない。しかし、GReATのリサーチャーは、2023年に同社が初めて公表した脅威グループ「TetrisPhantom」との関連性が高いと評価している。TetrisPhantomは、アジア太平洋（APAC）地域の政府機関が機微な環境でファイルを転送するために使用する、ハードウェア暗号化されたUSBドライブを侵害していたグループである。この関連性の根拠は、両キャンペーンにおける被害者の属性、技術的能力、および運用手法の重複にある。これには、中国・パキスタン経済回廊（CPEC、東南アジアと重複する地域に展開される一帯一路プロジェクト）に関連する組織に対するTetrisPhantomの関心が文書化されていることも含まれる。カスペルスキーは、この関連性を確認するにはさらなる調査が必要であり、現時点では国家レベルの帰属特定は行われていないと指摘している。

■防衛策と東南アジアにおける脅威の現状

カスペルスキーは、今回の開示と同時に、GoSerpent、McMx、ThumbcacheService、Stowaway、TmcLoaderのファイルハッシュや、現在このキャンペーンに関連している11個のC2 IPアドレスを含む、詳細な侵害指標（IoC）を公開した。

東南アジアの政府機関や外交ネットワークの防御担当者は、以下の対策を最優先で実施すべきである。

まず、`C:\Users\Public` フォルダ内に `thumbcache_605a.db` または類似の名称の不審なパスワード保護されたアーカイブファイルが存在しないか確認すること。このファイルは、攻撃者が持ち出しを待つ間に収集した文書を保存するために使用するものであり、通常のWindowsの動作においてこのディレクトリに存在することはない。

次に、システムコンポーネントを模倣した名称など、最近サービスとして追加されたDLLのWindowsサービス登録を監査すること。ThumbcacheServiceはまさにこの方法で自身を偽装している。

また、Alibaba CloudまたはUCLOUD HKのインフラに関連付けられている、公開された11個 of C2 IPアドレスへの `svchost.exe` プロセスからの外部通信を監視すること。

さらに、Mimikatzによる資格情報窃取の挙動（LSASSメモリの読み取り）や、QuarksDumpLocalHashに一致するSAMレジストリへのアクセスをブロックまたはフラグ付けすること。LSASSアクセスに対する振る舞い検知ルールを備えたEDR（Endpoint Detection and Response）ツールは、すでにこれを警告しているはずだが、カスペルスキーは、このキャンペーンが初期侵入から資格情報窃取ツールの展開までに数日間待機することが多いため、初期の侵害に関するアラートが一部のログ保存期間からすでに消失している可能性があると指摘している。

今回のGoSerpentの開示は、東南アジアの政府ネットワークが国家に関連する脅威アクターからの注目を浴びている中で行われた。過去1年間、カスペルスキーのGReATや他の脅威インテリジェンスチームは、OceanLotus（APT32）、HoneyMyte（最近カーネルモードのルートキットを含むように進化）、ToddyCat（少なくとも2020年から電子メールインフラを標的にしている）、Mysterious Elephantなどによるキャンペーンを報告している。この地域の多くの政府は、公共サービスの急速なデジタル変革を進めており、これにはまさにGoSerpentが標的とした身元確認、法執行、外交システムが含まれている。

GoSerpentは、カスペルスキーが記録した地域的な脅威状況における広範なパターンを示している。2025年だけで、東南アジアの企業全体で300万件以上のバックドア攻撃の検出が記録されており、マレーシアでは前年比86%増を記録し、インドネシアとベトナムが検出数で最大の割合を占めている。

■注目ポイントQ&A

●GoSerpentとは何ですか？どのようなネットワークが標的になりましたか？

GoSerpentは、少なくとも2021年から東南アジアの政府機関ネットワークを標的に活動しているGo言語製のリモートアクセスツール（RAT）です。警察の苦情管理システム、バイオメトリクスデータベース、刑事事件ファイル、国家身元登録に関連付けられたホテルや入居者の記録、外交ネットワークなどが標的となりました。カスペルスキーのGReATが2026年7月16日にこのキャンペーンを公表しましたが、具体的な被害国名は公開されていません。

●攻撃者はどのようにして検知されずにデータを持ち出したのですか？

攻撃者は2段階のアプローチをとりました。まず第1フェーズで「Mimikatz」や「QuarksDumpLocalHash」を用いてネットワーク共有の資格情報を盗み出し、文書ファイルを暗号化アーカイブに蓄積しました。数週間から数か月後の第2フェーズで、盗んだ正規の資格情報を使って内部ネットワーク共有経由でデータをコピーしました。正規のユーザーによるアクセスに見えるため、外部への不審な通信として検知されませんでした。

●「TetrisPhantom」との関連性は確認されていますか？

カスペルスキーの調査チームは、被害者の属性や技術的特徴、運用手法の類似性から、2023年に確認された脅威グループ「TetrisPhantom」との関連性が高いとみていますが、現時点では確定していません。また、特定の国家による関与も特定されていません。

●東南アジアの政府ITチームが今すぐ行うべき対策は何ですか？

カスペルスキーが公開したIoC（侵害指標）を確認し、以下の対策を優先的に実施することが推奨されています。まず、`C:\Users\Public` フォルダ内に `thumbcache_605a.db` という不審なファイルがないか確認すること、システムコンポーネントを装った不審な新規Windowsサービスの登録を監査すること、特定のC2 IPアドレスへの `svchost.exe` からの通信を監視すること、そしてMimikatzなどによる資格情報窃取の挙動を検知・ブロックすることです。

元記事: GoSerpent Backdoor Looted Police and Biometric Data Across Southeast Asia for Five Years