中国との関連が指摘されるサイバー犯罪グループ「Silver Fox」が、新たな遠隔操作型マルウェア「MODBEACON」を使用していると報告されています。偽のソフトウェア配布サイトから感染させ、暗号化された通信やメモリ上で動作する追加機能を利用して、感染端末への長期的なアクセスを維持する可能性があります。
The Hacker News：New MODBEACON RAT Uses gRPC Streaming for Encrypted C2 Traffic
この記事のポイント
影響のあるシステム
- MODBEACONに感染した端末
- 検索結果から非公式なソフトウェア配布サイトへアクセスする利用者
- 偽のインストーラーを含むZIPファイルをダウンロードし、実行した端末
- 技術、教育、国有企業など、今回の攻撃キャンペーンで標的として確認された組織
- AmazonやCloudflareのCDNを経由する通信を、接続先だけで安全と判断しているネットワーク環境
推奨される対策
- ソフトウェアは検索結果の広告や非公式サイトではなく、開発元の公式サイトから入手してください。
- インストーラーを含むZIPファイルを実行する前に、配布元のドメインやダウンロード経路を確認してください。
- 端末上で新たに作成されたスケジュールタスクや、不審な常駐処理を監視してください。
- 業務上想定されていないgRPCおよびHTTP/2の外向き通信を確認してください。
- AmazonやCloudflareのインフラを利用していることだけを理由に、通信を無条件で信頼しないでください。
- メモリ上への不審なモジュール読み込みや、未知のプロセスによる外部通信を検知できるよう、EDRや監視ルールを見直してください。
上記の対策は、元記事で報告された攻撃手法や技術的特徴に基づき、日本の読者向けに整理したものです。
この記事に出てくる専門用語
- MODBEACON：Rustで開発された、モジュール追加型の遠隔操作マルウェアです。感染端末の情報収集、コマンド実行、追加機能の読み込みなどを行います。
- RAT：Remote Access Trojanの略称です。攻撃者が感染端末を遠隔操作するために使用するマルウェアを指します。
- C2：Command and Controlの略称です。攻撃者が感染端末へ命令を送り、実行結果を受信するための通信基盤です。
- gRPC：システム間の通信に使用される技術です。MODBEACONでは、C2通信のトンネリングや検閲回避のために利用されています。（HTTP/2上で動作するgRPCの特性を悪用）
- SEOポイズニング：検索結果を操作し、利用者を攻撃者が用意した偽サイトや不正サイトへ誘導する手法です。
- メモリ常駐型マルウェア：機能の一部または全部を端末のメモリ上で実行し、ファイルとして残る痕跡を抑えようとするマルウェアです。
- CDN：Webコンテンツを複数の拠点から効率的に配信する仕組みです。正規サービスですが、攻撃者の通信基盤を隠す目的で利用される場合があります。
- Xray／V2Ray：通信の中継や検閲回避などに利用されるオープンソースのプロキシフレームワークです。MODBEACONは、その通信機能をC2チャネルに転用していると報告されています。
偽のソフトウェア配布サイトから始まる感染経路
今回の攻撃は、Silver Foxの活動で以前から確認されている偽ソフトウェア配布の手口を利用しています。攻撃者は、利用者が検索しそうな人気ソフトウェアを装ったドメインやダウンロードページを用意し、SEOを利用して検索結果から誘導します。正規の配布サイトだと思った利用者がZIPファイルをダウンロードして実行すると、その内部に含まれる不正なインストーラーによってMODBEACONが展開される仕組みです。
この方法では、脆弱性を直接悪用しなくても、利用者自身にファイルを実行させることで侵入できます。そのため、本件は特定の製品脆弱性やCVE番号に依存した攻撃ではありません。OSやアプリケーションを最新の状態に保っていたとしても、偽サイトから不正なインストーラーを入手して実行した場合は、感染につながる可能性があります。
2026年6月中旬に確認されたキャンペーンでは、技術、教育、国有企業などの組織が標的になっていたと報告されています。また、Silver Foxの背後には複数のマルウェア配布事業者が存在し、アジア地域で日常的に偽ソフトウェアを利用した活動を行っていると分析されています。単発の攻撃ではなく、感染端末へのアクセスを別の攻撃者へ提供する活動や、より高度なマルウェアを選択的に配布する仕組みが存在する可能性も指摘されています。
利用者側では、検索結果の上位に表示されていることを正規性の根拠にしないことが重要です。特に、インストーラーがZIP形式で配布されている場合や、公式サイトと似たドメインからダウンロードを求められた場合は、実行前に配布元を確認する必要があります。企業では、業務用ソフトウェアの入手先を限定し、利用者が検索結果から自由にインストーラーを取得しない運用を整えることが、感染機会の削減につながります。
gRPCとメモリ内プラグインを利用するMODBEACON
MODBEACONはRustを用いて開発された、モジュール型の遠隔操作マルウェアです。ローダーと通信を担当するビーコン部分が分離されており、設定情報を外部から注入できる構造を備えていると報告されています。感染後は端末の情報を収集し、攻撃者のサーバーへ接続して、命令の受信や実行結果の送信を行います。定期的なハートビート通信によって接続状態を維持し、スケジュールタスクを利用して再起動後も動作を継続する機能も確認されています。
特徴的なのは、追加機能をプラグインとしてメモリ上へ読み込める点です。攻撃者は、最初からすべての機能を端末へ配置するのではなく、侵入後の目的に応じて必要なモジュールを追加できます。QiAnXinは、この構造が情報窃取、組織内での横展開、通信の中継、別のマルウェアの実行などに拡張される可能性があると説明しています。実際にどの追加機能が使用されるかは、攻撃者の目的や感染した組織の価値によって変わると考えられます。
C2通信には、XrayやV2Rayで使用されている伝送技術が再利用されています。MODBEACONはgRPCの双方向ストリーミングを利用し、通信を一般的なHTTP/2リクエストに近い形で送受信します。通信内容はTLSによって暗号化されるため、ネットワーク上でデータの中身だけを確認して悪意の有無を判定することは容易ではありません。さらに、C2用のドメインはAmazonとCloudflareのCDN上に設置されていると報告されています。
クラウドやCDNへの通信は多くの企業環境で日常的に発生するため、接続先のIPアドレスが著名な事業者のものであるという理由だけでは、安全な通信とは判断できません。組織内で通常使用していないアプリケーションが継続的にgRPC通信を行っていないか、外部へのHTTP/2セッションがどのプロセスから生成されているかを確認する必要があります。端末の挙動とネットワーク通信を関連付けて調査することが、MODBEACONのような通信偽装型マルウェアを発見するうえで重要になります。
日本企業が確認すべき端末とネットワークの兆候
元記事では、日本国内の企業や利用者がMODBEACONに感染した事例は明示されていません。一方で、Silver Foxに関連する配布事業者はアジア地域で活動しており、検索結果から偽ソフトウェアへ誘導する手口は、言語や地域を変更して展開できる可能性があります。日本企業でも、業務用ツール、リモートアクセスソフト、ファイル変換ツールなどを従業員が検索し、非公式サイトから取得できる環境では、同様の感染経路に注意が必要です。
まず確認すべきなのは、最近インストールされたソフトウェアの入手経路です。検索結果からダウンロードしたZIPファイル、不明なドメインから取得したインストーラー、正規製品に似せたファイル名を持つ実行ファイルがないかを調査してください。不審なインストーラーを実行した可能性がある端末については、ファイルを削除するだけでなく、実行履歴、プロセス生成、外部通信、永続化設定を含めて確認する必要があります。
端末側では、新規または変更されたスケジュールタスク、不明なプロセスからの継続的な外部通信、メモリ上への不審なコードやモジュールの読み込みが調査対象になります。MODBEACONは感染端末の情報を取得し、攻撃者の命令を実行した結果を外部へ送信する機能を備えています。そのため、単にマルウェアのファイル名やハッシュ値だけを探すのではなく、通常業務では発生しない一連の動作を組み合わせて検知することが重要です。
ネットワーク側では、業務上利用が想定されていないgRPC通信や、特定端末からクラウドCDNへ長時間継続するHTTP/2セッションを確認してください。ただし、AmazonやCloudflareへの接続を一律に遮断すると、正規の業務サービスへ影響する可能性があります。接続先だけで判断するのではなく、通信を生成した端末、プロセス、時間帯、送受信量、接続頻度などを組み合わせて評価する必要があります。
感染の疑いがある場合は、対象端末をネットワークから隔離し、スケジュールタスクやメモリの状態を含む証拠を可能な範囲で保全したうえで調査してください。今回の攻撃は、初期侵入後に追加機能を読み込める設計であるため、確認時点で目立った情報窃取が見つからなくても、安全とは限りません。初期感染経路の特定、同じインストーラーを実行した端末の横断調査、認証情報の利用状況の確認まで含めて対応することが求められます。
参考文献・記事一覧
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
