中国語圏アクターUAT-10147が新型バックドア『SPECTRE』を展開 — BYOVDでEDR無効化、LinuxカーネルルートキットもAI支援で開発か

Cisco Talosは2026年8月20日、中国語を操る侵入アクターUAT-10147がMicrosoft IISおよびLinuxサーバを標的に、新型のクロスプラットフォームバックドア「SPECTRE」を展開していると公表した。Talosの研究者Joey Chen氏が執筆したレポートによると、このアクターは検索エンジン最適化（SEO）詐欺による収益化と、高度な持続化・防御回避を組み合わせた多層的なポストエクスプロイト基盤を運用している。Talosは、SPECTREやLinuxカーネルルートキット「Specter」の一部で生成AIを活用した開発の痕跡を確認したと指摘している。

UAT-10147とは — IIS/Linuxを大規模侵害する中国語圏アクター

UAT-10147は、インターネットに公開されたIISとLinuxサーバを大規模に侵害する中国語圏のアクターとしてTalosが追跡しているグループである。Talosは以前のブログで、同アクターがAI支援のエクスプロイトワークフローを運用して侵害を拡大させていることを報告しており、今回の分析はその続報として、SEO詐欺ツールや権限昇格ツール、市販・カスタムのバックドアを含む多様なツールセットを明らかにした。

SEO詐欺コンポーネントについては、Talosが中程度の確度で「x神（xshen）」と関連付けている。BadIISマルウェアのサンプルに含まれるPDBパス（C:\Users\Administrator\Desktop\2025-11-21 (x神订制全站劫持按浏览器语言跳转)\dll\Release\demo.pdb など）や、サービスインストーラ内の C:\Users\Administrator\Desktop\x神的自安装服务\svchost\x64\Release\service.pdb といった文字列、ASHX SEOエンジンの設定に含まれる「X-seo」文字列、ウェブシェルが用いる「X-ID」HTTPヘッダなどが根拠とされている。

新型バックドア「SPECTRE」— Havocを拡張したC言語製インプラント

SPECTREはC言語で記述されたクロスプラットフォームのバックドアで、名称は回収されたデバッグログのヘッダに明記されていたことからTalosが命名した。Windows版とLinux版が存在し、Windows版はオープンソースのHavocフレームワークを基盤としつつ、カスタムのポストエクスプロイト機能と防御回避機能を直接バイナリに組み込んでいる。

Talosが確認した主な防御回避・難読化機構は以下の通りである。

• API解決の動的化：PEB（Process Environment Block）ハッシュウォークをDJB2改変アルゴリズムで実行し、APIを完全に実行時に解決する
• 文字列暗号化：xorshift32擬似乱数生成器（PRNG）を文字列ごとに異なる32ビットシードで適用し、平文のまま.textや.rdataセクションに残さない。実行直前にスレッドローカルストレージへ復号する
• サンドボックス回避スコアリング：プロセス名ブロックリスト、RAM容量、CPUコア数、ディスク空き容量、スリープ加速検知、既知のサンドボックスのホスト名・ユーザー名を加重スコア化し、合計50点以上で自己終了する

通信はHTTP POSTで /api/v1/register と /api/v1/output エンドポイントに対して行われ、バイナリ内にハードコードされたフォールバックC2ドメインが文字列復号で得られる。Talosは、特定の亜種が C:\Windows\System32\drivers\etc\hosts:cache というNTFS代替データストリーム（ADS）からC2設定を読み取ることを確認した。ADSを書き換えることで再コンパイルなしにC2を更新し、ファイアウォールのブロックを回避する狙いだとTalosは分析している。

45件のコマンド — 認証情報窃取からプロセス注入まで

Talosが確認したSPECTREのコマンドは45件で、24件は平文、21件はxorshift暗号化されていた。主なコマンドは以下の通りである。

• ファイル・システム操作：shell、pwd/cd、ls、cat、mkdir、rm、cp、mv、download/upload、timestomp、reg/regset
• プロセス・権限操作：ps、kill、inject（既定はsvchost.exeへのDLL注入）、s-inject（シェルコード注入）、earlybird（APC EarlyBird注入）、hollow（プロセスハローイング）、getsystem、steal_token/make_token、rev2self、getprivs、selfdel
• 情報収集・窃取：sysinfo、netinfo、whoami、env、screenshot、keylog_start/keylog_stop/keylog_dump、hashdump（SAM/SYSTEM/SECURITYハイブの窃取）、chromedump（Chrome/EdgeのLogin DataとLocal Stateを窃取）、vaultdump
• 実行機能：execute_assembly（ディスクに書き込まずに.NETアセンブリをメモリ実行）

chromedumpは ld/ls/ed_ld/ed_ls.tmp へブラウザの認証情報をコピーする挙動が記録されており、hashdumpやキーロガーと組み合わせて認証情報の包括的な収集を可能にする。

BYOVDとLinuxカーネルルートキット — EDRをカーネルレベルで無効化

Talosは、UAT-10147の運用成熟度を示す要素として、Bring Your Own Vulnerable Driver（BYOVD）によるエンドポイント検出・対応（EDR）無効化を挙げている。BYOVDは、脆弱性を持つ正規ドライバを標的システムに持ち込み、カーネルレベルでEDRの機能を無効化する手法である。これにより、ユーザーモードの検知を回避して持続的なアクセスを確保する。

Linux側では、カーネルルートキット「Specter」が確認された。Talosは、回収したソースコードの分析から、Specterの一部やSPECTRE本体の開発にAI支援コード生成ワークフローが取り入れられた可能性を示唆している。Talosが公開した「AI支援開発の段階的採用」図では、従来の手作業からAI支援への移行が段階的に進んだことが示されている。生成AIが攻撃側のマルウェア開発を加速させている実例として、Talosはこの点を重視している。

SEO詐欺と持続化 — 収益化と侵入のハイブリッド

UAT-10147は、BadIISを用いたSEO詐欺（検索結果のハイジャックや言語別リダイレクト）で収益化を図る一方、ウェブシェルのメモリ常駐展開やローカル権限昇格ツールを組み合わせて持続化を実現している。Talosは、インメモリでのウェブシェル展開や、X-IDヘッダで制御トラフィックを通常のHTTP通信に紛れ込ませる隠蔽手法も確認した。

このハイブリッドな運用は、単なる金銭目的の侵害と高度な持続的侵入の境界を曖昧にし、侵害されたサーバをSEO詐欺の踏み台としつつ、同時に長期的なバックドア基盤として活用するモデルだとTalosは評価している。

日本企業への示唆とTalosの示す対策

IISやLinuxサーバをインターネットに公開する日本企業にとって、UAT-10147の活動は直接的なリスクとなる。Talosは、SPECTREがHavoc由来でありながら独自の難読化とEDR回避を備え、BYOVDでカーネルレベルまで制御を奪う点を強調している。Talosが推奨する対策は、脆弱なドライバのブロックリスト運用、NTFS ADSの監視、EDRの改ざん検知の強化、IISサーバの定期的な整合性検証である。Talosは、SEO詐欺による検索結果の改ざんが利用者を二次被害に巻き込む可能性にも触れ、侵害の早期検知が重要だとしている。

出典

• Cisco Talos Intelligence, “UAT-10147 deploys SPECTRE: A cross-platform implant with Linux rootkit and BYOVD capabilities” (By Joey Chen, August 20, 2026) — https://blog.talosintelligence.com/uat-10147-deploys-spectre-a-cross-platform-implant-with-linux-rootkit-and-byovd-capabilities/