経験の浅い攻撃者でも侵入に成功、Windows端末に残された複数の遠隔操作経路

Cato Networksは、フランスの小規模な自動車関連事業者を狙った攻撃について、33日間に実行された339件のコマンドを分析しました。（Cato Networksが「Poisson」のハンドルネームで追跡したフランス語話者の攻撃者は、5月1日に沈黙するまでの33日間（3月下旬から5月1日にかけて）活動していました。）攻撃者は認証情報を盗むキーロガーを設置したほか、Windows端末にOpenSSH ServerとTailscaleを導入し、C2サーバーが停止しても利用できる別の侵入経路を構築していました。正規ツールを悪用した通信は、マルウェアファイルだけを対象とする監視では見逃す可能性があります。
The Hacker News：Junior Hacker Used Tailscale and OpenSSH to Keep Access After His C2 Went Offline

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

Microsoft Windowsが稼働する業務用ワークステーション
業務上の必要がないにもかかわらず、OpenSSH ServerやTailscaleが導入されている端末
HavocのDemonエージェント、改変されたRustDesk、VBScript、PowerShellなどが不正に実行された端末
最高権限でスクリプトを起動するスケジュールタスクが登録されている端末
銀行、電子メール、行政サービスなどの認証情報を入力する利用者の端末
DuckDNSや外部SSHサーバーへの不審な通信を監視していないネットワーク

推奨される対策

WindowsワークステーションへのOpenSSH Serverの新規インストールを検知し、正当な導入か確認する
VPNを必要としない端末でtailscale.exeが実行されていないか調査する
端末から外部ホストへ向かう「ssh -R」によるリバーストンネルを監視する
ユーザー用の一時保存領域などから、wscript.exeがVBScriptを実行する挙動を検知する
最高権限でスクリプトインタープリターを起動するスケジュールタスクを確認する
端末のスリープ時間を変更するpowercfgコマンドの実行を監視する
業務上不要な場合は、DuckDNSサブドメインへの通信を遮断する
C2サーバーを遮断した後も、VPN、SSH、遠隔操作ツール、タスク、サービス、キーロガーなどの残存有無を調査する
盗まれた可能性があるパスワードを変更し、関連アカウントのアクセス履歴を確認する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

C2サーバー：Command and Controlサーバーの略称です。攻撃者が侵害した端末へ命令を送り、結果を受け取るために使用する通信基盤です。
OpenSSH Server：SSHによる遠隔接続を受け付ける正規のサーバーソフトウェアです。Windowsでも利用できますが、攻撃者が遠隔操作経路として悪用する場合があります。
Tailscale：暗号化されたプライベートネットワークを端末間に構築する正規のVPNサービスです。本件では、侵害端末へ接続する独立した経路として悪用されました。
リバーストンネル：内部の端末から外部サーバーへ接続を開始し、その通信路を通じて外部から内部へアクセスできるようにする仕組みです。
キーロガー：利用者がキーボードで入力した内容を記録するプログラムです。パスワードや決済情報などの窃取に悪用されます。
ファイルレス攻撃：不正なプログラムを通常の実行ファイルとして保存せず、メモリやPowerShellなどを利用して処理を実行する攻撃手法です。
永続化：端末の再起動や一部の攻撃基盤の停止後も、攻撃者が継続してアクセスできる状態を維持する手法です。
UAC：User Account Controlの略称です。Windowsで管理者権限を必要とする操作を行う際に、利用者へ確認画面を表示する機能です。

認証情報の窃取から複数の侵入経路構築へ

Cato Networksが「Poisson」のハンドルネームで追跡したフランス語話者の攻撃者は、2026年3月下旬から5月1日までの期間に活動していました。調査では、公開状態となっていたストレージに攻撃者自身のSSH鍵や作業手順が残されていたことから、33日間に入力された339件のコマンドや、攻撃の進行状況が分析されています。攻撃者は高度な技術を持つ組織ではなく、操作の失敗や情報管理上のミスを繰り返していましたが、それでも実際の端末を侵害し、認証情報を収集することに成功していました。

侵入後は、遅延処理を備えたVBScriptからPowerShellローダーを復号し、さらに.NETローダーを通じてHavocのDemonエージェントをメモリ上で実行していました。管理者権限の取得には、Windowsの確認画面を表示する「Start-Process -Verb RunAs」が使用されています。これは確認画面を回避する手法ではなく、利用者が「はい」を選択するまで成立しません。ある端末では、攻撃者が2日間にわたり約12回試行し、最終的に権限の昇格に成功したと報告されています。

権限取得後は、ログオンごとに最高権限で動作するスケジュールタスク、Explorer.exeへのシェルコード注入、改変されたRustDeskなど、複数の遠隔操作手段が設定されました。さらに、約70行のPythonコードで作成されたキーロガーが設置され、利用者が入力した銀行口座、電子メール、行政サービスなどの認証情報がローカルファイルへ記録されていました。攻撃者は専用の情報送信サーバーを使用せず、侵害端末へ接続した際に記録ファイルを手作業で回収していたとされています。また、端末がスリープしないようpowercfgコマンドを実行し、入力内容の収集が途切れない状態を維持していました。

C2停止後も残ったOpenSSHとTailscaleの接続経路

今回の事例で特に重要なのは、攻撃者がC2サーバーとは独立した接続経路を準備していた点です。2026年4月7日、攻撃者は約5時間にわたる操作の中で、侵害したWindows端末へOpenSSH ServerとTailscaleをインストールしました。その端末を攻撃者自身のTailscaleネットワークへ参加させ、SSH鍵による認証と「ssh -R」を利用したリバーストンネルを設定しています。これにより、インターネット上へSSHポートを直接公開せず、Tailscaleの暗号化されたネットワークを通じて端末へ接続できる状態となりました。

翌日の4月8日にはHavocのC2インフラがオフラインになりましたが、OpenSSHとTailscaleは別の通信経路で動作していたため、侵害端末へのアクセス手段は残りました。C2が停止していた理由は明らかにされていません。4月26日にC2が復旧すると、端末上のエージェントは再侵入を必要とせず、自動的に再接続したと報告されています。この間も、ログオン時に起動するスケジュールタスク、SSHサーバー、TailscaleのVPNメッシュなどが端末上で稼働し続けていました。

C2復旧後の5日間には、さらに145件のコマンドが実行されました。攻撃者はキーロガーの記録を回収したほか、スマートカードや証明書ストアを調査し、証明書を利用した認証情報を確認していた可能性があります。また、「Thales.zip」に含まれる2つのプログラムが合計約32分間実行され、その後、関連ファイルを含む17件のファイルが削除されました。ただし、これらのプログラムが何を行ったのかは特定されておらず、Cato Networksも未解明の点として残しています。調査で確認された事実は、C2サーバーの停止だけでは、端末上に構築された独立経路を排除できないということです。

国内企業は「不正ファイル」ではなく端末の挙動を確認

OpenSSH、Tailscale、RustDeskはいずれも正規の用途を持つソフトウェアであり、それ自体がマルウェアや脆弱な製品というわけではありません。しかし、正規の署名が付いたツールでも、攻撃者が遠隔操作や永続化に利用する可能性があります。そのため、既知の悪性ファイルを検知するだけの対策では、本件のような活動を見逃すおそれがあります。組織内で使用を承認している遠隔操作ツールやVPN製品を明確にし、それ以外のインストールや実行を検知できる状態にすることが重要です。

具体的には、通常SSH接続を受け付ける必要がないWindowsワークステーションで、sshdサービスが新しく登録されていないか確認します。Tailscaleを導入していない組織では、tailscale.exeの実行、サービス登録、外部ネットワークへの参加状況も調査対象となります。さらに、端末から外部へ向かうSSHリバーストンネル、ユーザー用フォルダーから実行されるVBScript、最高権限でPowerShellなどを起動するスケジュールタスク、不自然なスリープ設定の変更を監視することが推奨されています。

インシデント対応時には、C2ドメインやIPアドレスを遮断しただけで復旧完了と判断してはいけません。端末に追加されたユーザー、サービス、SSH鍵、ファイアウォール規則、VPN構成、スタートアップ項目、スケジュールタスク、遠隔操作ソフトウェアを確認し、攻撃者が残したすべての接続経路を排除する必要があります。キーロガーが動作していた可能性がある場合は、侵害期間中に入力されたパスワードを変更し、銀行、電子メール、クラウドサービス、行政関連アカウントなどのアクセス履歴も確認します。今回の事例は、攻撃者の経験が浅くても、無料または低価格の正規サービスを組み合わせることで、中小企業に直接的な金銭被害をもたらす侵入を成立させられることを示しています。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）