nexsight cyber intelligence / signal online wire desk · issue 267
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脅威動向 / THREATS / APT / CORERAT

Core Werewolfが初の自作RAT「CoreRAT」を投入 — ロシア国防・行政機関をTelegramフィッシングで標的、BI.ZONEが分析

BI.ZONE Threat Intelligenceは2026年8月18日、ロシアの公共部門と防衛産業を狙うクラスターCore Werewolfが、従来のUltraVNCに代えて初の自作RAT「CoreRAT」を投入したと公表した。Telegramでばらまかれる偽の軍事・行政文書を入り口に、7zSFXとRust製ドロッパーで端末に潜伏し、検知回避を強めている。少なくとも2026年3月から運用が確認されている。

脅威動向 NEXSIGHT CYBER WIRE 編集部 5–6 min read
攻撃手法

BI.ZONE Threat Intelligenceは2026年8月18日、ロシアの公共部門と防衛産業を標的とするサイバー諜報クラスター「Core Werewolf（コア・ウェアウルフ）」が、初の自作遠隔操作トロイ「CoreRAT（コアラット）」を投入したとする分析を公表した。少なくとも2026年3月から運用され、2026年6〜7月にTelegram経由のフィッシングで拡散が確認されている。従来使っていた正規ツールUltraVNCからの置換で、検知を逃れつつ長期潜伏を狙う動きとみられる。

誰が・何を・いつ

BI.ZONEによると、Core Werewolfは2021年から活動が観測されるクラスターで、地政学的緊張を背景にロシアの行政機関と防衛産業への攻撃を継続している。今回のキャンペーンでは、2種類のドロッパー（感染の入り口となる小型プログラム）でCoreRATを配布した。

  • 7zSFXドロッパー: Scan_437_ТЛГ_на_переподготовку.exe（再教育に関する通知を装う）、исх1051_от_20.04.2026_сл паспорт.exe（旅券関連文書を装う）などの名称
  • Rustドロッパー: Указания-[redacted]_9f36b79847.exe、Указания по [redacted]_498 от 15.06.2026_47.exe（いずれも「指示書」を装う）などの名称

いずれもTelegramのメッセージで拡散され、職員が開封する動機付けとして「再教育命令」「旅券手続き」「指示書」といった業務文書をかたっている。

BI.ZONEは、標的はロシアの公共部門・防衛産業と推定するが、これは分析による評価であり確定した事実ではないと注記している。帰属の確度は「中程度（moderate）」としている。

感染の流れ — デコイPDFで目くらまし

両ドロッパーの共通点は、被害者に見せる「おとり文書（デコイ）」と裏で動くCoreRATを同時に展開し、被害者にはPDFだけが見えるようにする点だ。

7zSFXドロッパーの動き

  1. 同梱されたデコイPDFを %USERPROFILE%\Desktop\CyzG.pdf や %USERPROFILE%\Downloads\Vppq.pdf などへコピーして開く。
  2. 同時にCoreRAT本体を %USERPROFILE%\Links\Firepoin.exe、Baresl.exe、brhost.exe、Biostars.exe、LiteEdit.exe などへコピーして実行する。
  3. 具体的には cmd.exe /c copy /y "%CD%\*.*" "%CD%\..\\" などでファイルを展開し、PDFとトロイを並行起動する。

Rustドロッパーの動き

  1. 同梱のZIPを %TEMP% へ展開する（例: %TEMP%\integrated.exe と %TEMP%\Указания по [redacted]_498 от 15.06.2026_47.pdf）。
  2. cmd /c "ping.exe -n 38 127.0.0.1" & %TEMP%\integrated.exe のように、ループバックアドレスへのpingで38回（別サンプルでは65回）の遅延を入れてからCoreRATを実行する。短い待機で正常な動作に紛れ込ませ、サンドボックスの自動解析をかわす狙いとみられる。

BI.ZONEが解析したデコイPDFは、軍事・政府の公式文書を装うが、公的文書としては不自然な文言、編集の痕跡、署名の偽造といった偽造の兆候が確認されたという。1件のデコイ（avth.gGAT.pdf）は、別クラスター「Vortex Werewolf」が使った文書（SHA-256: c907b15b60fe77e42d3c37932f545e5d094370d5b709966a2fb572c5a6799660）と類似しており、ツールやデコイ、専門知識の共有、あるいは同一グループ内の開発基盤の共通化が示唆される。ただし、BI.ZONEは現時点のデータでは断定できないとしている。

CoreRATの中身 — UltraVNCからの脱却

CoreRATはC++で書かれたRATで、文字列定数はAES-CBCで暗号化されている。起動時の挙動は以下のとおりだ。

  • Mutex: 301525677 を生成し、多重起動を防ぐ。
  • 仮想環境回避: 別スレッドで3つの検査を実施する。
    1. CPUID命令でハイパーバイザ文字列 VMwareVMware、VBoxVBoxVBox、XenVMMXenVMM、KVMKVMKVM を探す。
    2. レジストリ HKLM\HARDWARE\DESCRIPTION\System\BIOS の BIOSVersion／BIOSVendor に VMW／Vmware が含まれるか確認する。
    3. %APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations 内のLNKファイルが15件未満なら仮想環境とみなす。 いずれかに該当すれば終了し、検知環境での解析を拒む。
  • C2接続: 検査を通過すると、暗号化されたC2アドレスを復号する。BI.ZONEが確認したアドレスは dezinsekciya-top[.]ru:443、94.232.248[.]34:443、ahmetgurses[.]net:443、194.190.153[.]182:443 の4件で、| 区切りでローテーションしながら接続を試みる。接続後は、ホスト名、プロセス一覧、アダプタ情報などを含むデータを収集・送信する。

BI.ZONEは、Core Werewolfがこれまでも小規模な自作バックドアを使ってきたが、CoreRATは「初の本格的なRAT」だと位置づける。正規のUltraVNCは管理者に見つかりやすく、近年のEDR（Endpoint Detection and Response: 端末の挙動を監視する製品）でも検知されやすい。それを自作マルウェアに置き換えることで、潜伏期間の長期化と技術力の誇示を図っているという。

コマンド体系も難読化されており、解析で復元された例では !dir が 6055bc66、!tasklist が 8cb382b9、!download が 1188b874 などへ置換されていた。

なぜUltraVNCからの置換が重要か

正規リモートアクセスツールの悪用は、攻撃者にとって開発コストが低く、通信も正規に見えやすい利点がある。半面、近年の防御側は「UltraVNCの起動」自体を高確度のアラートとして扱うようになった。Core Werewolfが自作RATへ舵を切ったことは、検知回避を優先し、独自インフラへの投資を惜しまない段階へ進んだことを示す。BI.ZONEは、この転換を「技術的能力の成長」の表れと評価している。

既知の侵害指標（IOC）

BI.ZONEが公表した主なIOCは以下のとおりだ。いずれも一次情報に基づく。

  • 7zSFXドロッパー SHA-256: 604ffe14ab558bf79f00adbf050760ba5d0156ad7326586013c5d3fb3d7ef2f7 ほか4件
  • Rustドロッパー SHA-256: 6ccfd6b2964f564ab1b308b1c6b4d78f994ec1e975f4e848620ebb302d3e70ac ほか
  • CoreRAT SHA-256: 07956ee6bbd628bcaaefe36c4b01f3fe146b87df16bbbb6d884c5e5ab1608858 ほか多数
  • デコイPDF SHA-256: 31ef487ed72e96d3d8ce50459e2d63786f51925b6e7fc4ede372e26ea7709a1c ほか
  • C2: dezinsekciya-top[.]ru:443、94.232.248[.]34:443、ahmetgurses[.]net:443、194.190.153[.]182:443

詳細なハッシュ一覧は一次情報の「Indicators of compromise」節を参照されたい。

日本組織への示唆

今回の標的はロシアの行政・防衛産業だが、手口自体は日本企業にも通じる。Telegramやメールで届く「指示書」「再教育」「旅券」といった業務文書をかたるフィッシング、7zSFXやRust製のドロッパー、pingによる遅延実行、LNKファイル数での仮想環境判定などは、業種を問わず応用され得る。BI.ZONEが指摘する「正規ツールから自作RATへの置換」という潮流は、防御側が「正規ツールの起動」だけを頼りにしていては見逃すリスクを示す。EDRの挙動検知、Telegramなど業務外経路からの実行ファイルのブロック、LinksやTempフォルダへの不審な実行ファイル生成の監視が、現実的な備えとなる。

出典

本稿は公開時点の一次情報に基づく解説であり、特定の組織・製品の安全性を保証するものではない。帰属や標的の評価は一次情報の分析によるものであり、確定した事実ではない場合がある。IOCは時間とともに変化するため、最新情報は一次情報の更新を参照されたい。

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。