2024年8月、ESETの研究者は、中国とつながりのあるAPT（持続的標的型攻撃）グループ「MirrorFace（ミラーフェイス）」が、中欧の外交機関に対してEXPO 2025大阪・関西万博に便乗して実行したサイバースパイ活動を検知しました。

MirrorFace（ESETが命名）は、主に日本の組織に対するサイバースパイ活動を行っており、ヨーロッパの組織への侵入を狙った攻撃が検知されたのはESETが知る限り今回が初めてです。ESETは、このキャンペーンを2024年の第2四半期と第3四半期に特定し、「AkaiRyū（赤い龍）作戦」と命名しました。キャンペーンでは、2024年を通じて観察された新たな戦術、手法、手順（TTP）が使用されています。具体的には、カスタマイズされたAsyncRATなどの新しいツールの導入、ANELバックドアの再利用、そして複雑化した実行チェーンが確認されています。

このブログでは、AkaiRyū作戦による攻撃の詳細と、フォレンジック分析データを交えながら、外交機関を標的としたこのインシデントの調査結果をお伝えします。ESETは、2025年1月に開催されたJSAC（Joint Security Analyst Conference）でこの分析結果を発表しました。

本ブログの要点：

• MirrorFaceは、TTPとツールを刷新しています。
• MirrorFaceは、以前はAPT10のみが使用していたバックドアであるANELを使い始めました。
• MirrorFaceは、Windowsのサンドボックス内でマルウェアを実行するために複雑な実行チェーンを使用し、AsyncRATの高度にカスタマイズされた亜種の展開を開始しています。
• ESETが知る限り、MirrorFaceがヨーロッパの組織を標的にしたのは今回が初めてです。
• ESETは被害を受けた中欧の外交機関と連携し、フォレンジック調査を実施しました。
• この調査から得られた情報により、MirrorFaceの侵害後の活動に対する洞察が深まりました。

MirrorFace（別名：Earth Kasha）は中国とつながりのあるサイバー攻撃グループです。これまで、主に日本国内の企業や組織のみを標的としてきましたが、日本と関係のある他国の企業や組織も標的にしています。このブログで説明しているように、ESETは現在、MirrorFaceをAPT10傘下のグループと考えています。MirrorFaceは少なくとも2019年から活動しており、メディア、防衛関連企業、シンクタンク、外交機関、金融機関、学術機関、製造業者などを標的にしていると報告されています。ESETは2022年に日本の政治団体を標的にしたMirrorFaceのスピアフィッシングキャンペーンを発見しました。

MirrorFaceは、スパイ活動やこのグループがターゲットにしているファイルの流出に重点を置いており、LODEINFOおよびHiddenFaceのバックドアを使用する唯一のグループです。このブログで分析した2024年のMirrorFaceの活動では、APT10が専用していたバックドア「ANEL」も攻撃に利用され始めています。

これまでのMirrorFaceの攻撃と同様に、AkaiRyū作戦も、受信者が悪意のある添付ファイルを開くよう巧妙に誘導するスピアフィッシングメールから始まっています。ESETの調査結果から、同グループが日本以外の国にも進出していることが確認されましたが、依然として日本のイベントや地政学に強い関心を抱いていることが分かります。しかし、MirrorFaceが日本の国外で活動することが報じられたのはこれが初めてではありません。Trend Microとベトナム国家サイバーセキュリティセンター（ベトナム語の文書）は、台湾、インド、ベトナムにおける同様のケースを報告しています。

AkaiRyū作戦を分析する中で、MirrorFaceがTTPとツールを大幅に刷新したことが明らかになりました。MirrorFaceは、APT10のみが使用していると考えられているバックドア「ANEL」（別名：UPPERCUT）を使い始めています。ANELは2018年の終わりか2019年の初め頃に使用されなくなり、LODEINFOがその後継として2019年の後半に登場したと考えられていたため、これは驚くべきことです。2018年と2024年のANELのバージョン番号（5.5.0と5.5.4）がわずかに違っていることと、APT10が以前は数か月ごとにANELを更新していた事実から、ANELの開発が再開された可能性が高いと考えられます。

MirrorFaceとAPT10とのつながりについては今も議論が続いていますが、ANELの使用は、この関係性を裏付けるさらなる証拠となります。MirrorFaceがANELを使い始めたことや、標的やマルウェアコードの類似点など、これまでに知られていたその他の情報を基に、ESETはこの攻撃グループの帰属に関する認識を改め、MirrorFaceがAPT10傘下のグループであると考えています。この帰属の認識の変更により、Macnica（日本語のレポート）、Kaspersky、伊藤忠サイバー＆インテリジェンス、Cybereasonなど、すでにMirrorFaceをAPT10関連の組織と見なしている他の研究者たちの見解とESETの考えが一致するようになりました。また、Trend Microなどの他の組織は、MirrorFaceがAPT10と関連している可能性があるという認識にとどめています。

2024年、MirrorFaceはAsyncRATを高度にカスタマイズした亜種も展開しています。このマルウェアは新たに観測された複雑な実行チェーンに埋め込まれており、Windowsサンドボックス内でRATが実行されます。この手法は、悪意のある活動をセキュリティ管理ツールから効果的に隠し、侵害の検知を回避します。

このマルウェアに加えて、MirrorFaceはVisual Studio Code（VS Code）のリモートトンネル機能を悪用するため、同ツールの展開も開始しました。MirrorFaceは、リモートトンネルによって侵害したマシンに秘密裏にアクセスできるようになり、任意のコードを実行し、他のツールを配信できます。VSコードを悪用するAPTグループはMirrorFaceだけではありません。Tropic TrooperとMustang Pandaも攻撃で使用していることが報告されています。

さらに、MirrorFaceは現在の主力バックドアであるHiddenFaceを今も使用しており、侵害したマシンでの常駐機能を一層強化しています。MirrorFaceは、標的を侵害した直後に初期段階のバックドアとしてANELを使用し、その後、攻撃の後期にはHiddenFaceを展開します。また、MirrorFaceだけが使用していたもう1つのバックドア「LODEINFO」の使用が、2024年には観察されなかったことにも注意が必要です。

ESETは、被害を受けた機関に連絡し、攻撃を受けていることを通知するとともに、迅速に侵害を排除するように求めました。この機関は、攻撃中および攻撃後もESETと緊密に連携し、侵害されたマシンのディスクイメージも提供しました。これにより、これらのイメージに対してフォレンジック分析を行い、MirrorFaceの活動の詳細を特定することができました。

ESETは、2024年9月4日にESET脅威インテリジェンスの顧客に、ANELの復活について技術的に分析したさらに詳細な情報を提供しました。Trend Microは、2024年10月21日に日本語で、2024年11月26日に英語で、MirrorFaceの最近の活動に関する調査結果を公開しました。この調査結果ではAkaiRyū作戦やANELバックドアの復活についても言及しています。さらに2025年1月、日本の警察庁は、日本の組織、企業、個人に対して、MirrorFaceの活動について警告を発しました。AkaiRyū作戦は、警察庁からの警告（日本版）にある「キャンペーンC」に相当します。しかし、警察庁は、日本の組織や個人、特に学術、シンクタンク、政治、メディアに関連する団体のみをMirrorFaceが標的にしていると言及しています。

Trend Microのレポートと警察庁の警告に加え、被害を受けた組織との緊密な連携を通じて観察されたMirrorFaceの侵害後の活動について、ESET独自の分析を以下に示します。これらの内容には、高度にカスタマイズされたAsyncRATの展開、VS Codeリモートトンネルの悪用、そして検出を回避し実行したアクションを隠蔽するためにWindowsサンドボックス内でマルウェアを実行する実行チェーンの詳細が含まれています。

このブログでは、中欧の外交機関と日本の研究機関の2つの異なるケースについて取り上げます。MirrorFaceの全体的なアプローチはどちらも同じですが、初期アクセスのプロセスに大きな違いがあるため、両方のケースについて取り上げます。

2024年6月から9月にかけて、ESETはMirrorFaceが複数のスピアフィッシングキャンペーンを実施していることを確認しました。ESETのデータによると、MirrorFaceは主に、標的を騙して悪意のある添付ファイルやリンクを開かせることで初期アクセスを獲得し、その後、正規のアプリケーションやツールを利用してマルウェアを密かにインストールしています。

2024年に観測されたすべてのケースで、最初の攻撃ベクトルを特定することはできませんでした。しかし、入手できたデータから、MirrorFaceが使用した唯一の攻撃ベクトルはスピアフィッシングであると推測されます。MirrorFaceは、信頼できる組織や個人になりすまし、メールの受信者にドキュメントを開かせたりリンクをクリックさせたりしています。初期アクセスに関する以下の調査結果は、Trend Microの記事と一致していますが、完全には同じではありません。

特にMirrorFaceは、AkaiRyū作戦においてMcAfeeが開発したアプリケーションとJustSystemsが開発したアプリケーションの両方を悪用して、ANELを実行しています。Trend Microは、Windows Management Instrumentation（WMI）とexplorer.exeをANELの実行プロキシの組み合わせとして報告していますが、ESETはWMIとwlrmdr.exe（Windowsログインリマインダー）の別の組み合わせを発見しました。また、MirrorFaceのオペレーターがなりすまして標的とやり取りしたメールもこのブログで提供します。

2024年6月20日、MirrorFaceは日本の調査機関に所属する2人の従業員を標的に、パスワードで保護された悪意のあるWord文書を配信しました。この文書がどのように配信されたかは不明です。

この文書は、単純なマウス移動操作でVBAコードを実行するように設計されています。文書内に配置されたテキストボックス上にマウスを移動すると、悪意のあるコードが実行されます。そして、署名されたMcAfeeの実行ファイルを悪用して、ANEL（バージョン5.5.4）をメモリに読み込みます。この侵害チェーンを、図1に示します。

2024年8月26日、MirrorFaceは中欧の外交機関を標的にしました。ESETが把握している限り、これはMirrorFaceがヨーロッパを標的にした最初で現在まででのところ唯一の事例です。

MirrorFaceのオペレーターは、この調査機関と日本のNGOとの過去の正規のやり取りを参照したメールメッセージ（図2を参照）を作成し、スピアフィッシング攻撃を仕掛けました。この正規のやりとりは、以前のキャンペーンで入手したものだと考えられます。図に示しているように、このスピアフィッシングのメッセージは、日本で開催されるEXPO 2025大阪・関西万博に関連しています。

最初のメールは無害でしたが、標的が応答すると、MirrorFaceのオペレーターは、悪意のあるOneDriveリンクを送信しました。このリンクは、The EXPO Exhibition in Japan in 2025.docx.lnkという名前のWord文書のように見せかけたLNKファイルが含まれるZIPアーカイブにアクセスします。この2番目のメッセージを図3に示します。MirrorFaceは、このアプローチによって標的がスピアフィッシング攻撃に関与するまでペイロードを隠蔽していました。

このLNKファイルを開くと、図4と図5に示している複雑な侵害チェーンが開始されます。

このLNKファイルは、cmd.exeを実行し、tmp.docxという悪意のあるWordファイルなどの追加のファイルをドロップします。normal_.dotmは、VBA コードを含む悪意のあるWordテンプレートを読み込みます。Word文書tmp.docxのコンテンツを図6に示します。この文書は、おそらく悪意のあるアクションがバックグラウンドで実行されている間、おとりとして機能することを目的としています。

VBAコードは、JustSystems Corporationから正規に署名されたアプリケーションを抽出し、ANELバックドア（バージョン5.5.5）をサイドローディングして復号します。これにより、MirrorFaceは侵害した後の攻撃を開始する足掛かりを確立しました。

「AkaiRyū作戦」では、MirrorFaceは独自のマルウェアだけでなく、さまざまなツール、そして一般に利用可能なRAT（リモートアクセス型トロイの木馬）をカスタマイズした亜種も利用しています。

ANEL（別名：UPPERCUT）は、以前はAPT10のみが使用していたバックドアです。2024年、MirrorFaceは初期段階のバックドアとしてANELを使い始めました。2018年までのANELの開発状況については、SecureworksがJSAC2019のプレゼンテーションで解説しています。2024年に確認されたANELの亜種については、Trend Microが公開しています。

ANELはバックドアであり、ディスクでは暗号化された形式でのみ確認されます。ローダーが実行前に復号した後にのみ、復号されたDLL形式がメモリ内で確認されます。ANELはHTTP経由でC&Cサーバーと通信し、通信が傍受された場合に備えて送信データは暗号化されます。ANELは、ファイル操作、ペイロード実行、スクリーンショット取得などの基本的なコマンドをサポートしています。

ANELLDR

ANELLDRは、ANELバックドアの復号とメモリ内の実行専用に使用されるローダーです。ANELLDRの詳細は、Trend Microの記事を参照してください。

HiddenFace

HiddenFaceは、MirrorFaceの現在の主力バックドアであり、モジュール性に重点を置いています。詳細は、ESETがJSAC 2024のプレゼンテーションで解説しています。

FaceXInjector

FaceXInjectorは、XMLファイルに保存されたC#インジェクションツールであり、Microsoft MSBuildユーティリティによってコンパイルおよび実行されます。これは、HiddenFaceの実行専用に使用されるツールです。HiddenFaceに関する前述のJSAC2024のプレゼンテーションでは、FaceXInjectorの詳細についても説明しています。

AsyncRAT

AsyncRATは、GitHubで公開されているRATです。2024年、MirrorFaceは高度にカスタマイズされたAsyncRATを攻撃の後半で使用し始めました。このグループは、AsyncRATの常駐を確保するため、マシンの起動時に実行されるスケジュールタスクが登録されます。このタスクが実行されると、一連の複雑な処理（図7を参照）を経てAsyncRATがWindowsサンドボックス内で起動されます。このサンドボックスは手動で有効化しなければならず、再起動も必要であり、MirrorFaceがどのようにこの機能を有効にしているのかは不明です。

AsyncRATを実行するために、侵害されたマシンには以下のファイルが配信されます。

• 7z.exe：正規の7-Zip実行ファイル。
• 7z.dll：正規の7-Zipライブラリ。
• <random>.7z：パスワードで保護された7zアーカイブ。setup.exeというAsyncRATが保存されています。
• <random>.bat：AsyncRATを展開して実行するバッチスクリプト。
• <random>.wsb：<random>.batを実行するためのWindowsサンドボックス設定ファイル。

トリガーされたスケジュールタスクは、.wsbをパラメータとしてWindowsサンドボックスを実行します。このファイルには、サンドボックスの設定データが含まれています（図8を参照）。

設定ファイルでは特に、ネットワーク通信とディレクトリマッピングの有効化の可否、専用メモリサイズ、起動時の実行コマンドが定義されます。図8に示したファイルでは、サンドボックスフォルダにあるバッチファイルが実行されます。バッチファイルは、7zアーカイブからAsyncRATを抽出して、1時間ごとにAsyncRATを実行するスケジュールタスクを作成して起動します。

MirrorFaceが使用するAsyncRATの亜種は、高度にカスタマイズされており、以下のような機能や変更が導入されています。

• サンプルのタグ付け：特定の被害者向けにAsyncRATをコンパイルでき、MirrorFaceは設定にタグを追加することでサンプルにマーク付けできます。タグが指定されない場合、マシンのNetBIOS名がタグとして使用されます。このタグは、他の追加機能でも使われます。
• Torを介したC&Cサーバーへの接続：MirrorFaceのAsyncRATは、Torクライアントをダウンロードして起動し、クライアントを介してC&Cサーバーとの通信を中継します。ハードコードされたC&Cドメインが.onionで終わる場合にのみ、AsyncRATはこのオプションを選択します。事例2：中欧の外交機関の調査では、両方の検体でこのアプローチが選択されていました。
• ドメイン生成アルゴリズム（DGA）：この亜種は、Torの代替としてDGAを使用し、C&Cサーバーのドメイン名を生成できます。DGAは、前述のタグを使用してマシン固有のドメインを生成することもできます。なお、HiddenFaceで使用されるDGAも、マシン固有のドメインを生成する可能性がありますが、AsyncRATで使用されるDGAとは異なります。
• 稼働時間：AsyncRATは、C&Cサーバーに接続する前に、現在の時刻と曜日が設定に定義された稼働時間と曜日の範囲内かどうかを確認します。MirrorFaceのAsyncRATは、この機能をHiddenFaceとも共有しています。

Visual Studio Codeのリモートトンネル

Visual Studio Codeは、Microsoftが開発した無料ソースコードエディタです。リモートトンネルは、Visual Studio Codeのリモート開発機能であり、これにより開発者はVisual Studio Codeをローカルで実行し、ソースコードやデバッグ環境をホストする開発マシンに接続できます。サイバー攻撃者はこれを悪用することで、リモートアクセスを可能にし、コードを実行して、侵害されたマシンにツールを配信できます。MirrorFaceによるリモートトンネルの使用は2024年から確認されていますが、リモートトンネルを使用しているAPTグループはMirrorFaceだけではありません。Tropic TrooperやMustang Pandaなどの中国とつながりのあるグループも、この手法を攻撃に利用しています。

事例2：中欧の外交機関の調査では、侵害後のMirrorFaceの活動の一部が明らかになりました。ESETは、標的となった機関と緊密に連携し、MirrorFaceが展開するマルウェアとツールについて深い洞察を得ました（表1を参照）。

この表は、侵害が確認されたマシン2台に展開されたマルウェアとツールを比較したものであり、展開の順序を時系列で示すものではありません。

MirrorFaceのオペレーターは、2024年8月26日に悪意のあるリンクを含むメールを同機関のCEOに送信しました。しかし、CEOはWindowsを実行するマシンにアクセスできなかったため、他の従業員2人にメールを転送しました。翌日、この2人がThe EXPO Exhibition in Japan in 2025.docx.lnkという有害なLNKファイルを開いたことで、同機関のマシン2台が侵害され、ANELが展開されました。したがって、8月27日が侵害された日（0日目）であると考えられます。この日に確認された活動は、攻撃の足掛かりの確立のみです。

1日目 – 2024年8月28日

翌日、MirrorFaceは活動を再開し、アクセス、制御、ファイル配信のための複数のツールを両方の感染マシンに展開しました。展開されたツールには、PuTTY、VS Code、HiddenFace（MirrorFaceの現在の主力バックドア）が含まれています。マシンAでは、Hidden Startツールの展開も試みました。マシンBでは、さらにcsvdeとAsyncRATをカスタマイズした亜種を展開しました。

2日目 – 2024年8月29日

2日目、MirrorFaceは両方のマシンで活動を継続し、さらに多くのツールを展開しました。マシンAでは、HiddenFaceの2番目のインスタンスを展開しました。マシンBでは、VS Codeのリモートトンネル、HiddenFace、AsyncRATを実行しました。これらに加えて、HiddenFace経由でfrpとRubeusを展開し、実行しました。マシンBでMirrorFaceの活動が観測されたのは、この日が最後です。

3日目 – 2024年8月30日

MirrorFaceは、マシンAでのみ活動を継続しました。前日の29日から同機関が攻撃への対応を開始したことから、その影響を受けてマシンBでのMirrorFaceの活動が阻止された可能性もあります。MirrorFaceは、マシンAでAsyncRATを展開し、スケジュールタスクを登録して常駐化を試みました。

6日目 – 2024年9月2日

週末の8月31日と9月1日には、マシンAでの活動はありませんでした。週明けの9月2日、マシンAの起動と同時にMirrorFaceの活動も再開しました。この日の大きな動きは、Google Chromeの連絡先情報、キーワード、自動入力データ、保存されたクレジットカード情報などのWebデータがSQLiteデータベースファイルにエクスポートされたことです。データがどのようにエクスポートされたのか、データが外部に流出したのか（または、どのように流出したのか）については、特定できませんでした。

2024年、MirrorFaceは戦術、手法、手順（TTP）とツールを刷新しました。2018/2019年頃に放棄されたと考えられていたANELを、初期段階のバックドアとして使用するようになっています。他の情報も合わせて総合的に考えると、MirrorFaceはAPT10傘下のグループであると結論付けけられます。MirrorFaceは、ANELに加えて、高度にカスタマイズされたAsyncRAT、Windowsサンドボックス、VS Codeリモートトンネルなどのツールも使用するようになっています。

MirrorFaceは「AkaiRyū作戦」の一環として、中央ヨーロッパの外交機関を標的としました。ESETが確認している限り、同グループがヨーロッパの組織を攻撃したのはこれが初めてです。使用されたTTPは、2024年のキャンペーンで確認されたTTPが刷新されたものです。この攻撃で「おとり」として利用されたのは、2025年に開催される大阪・関西万博です。標的とする地域が拡大している一方で、依然としてMirrorFaceが日本のイベントや地政学に焦点を当てていることが伺えます。

ESETは、標的となった組織と緊密に連携することで、通常は確認が難しい侵害後の活動を詳細に把握できました。それでも、全体像を把握するには依然として多くの情報が不足しています。MirrorFaceは運用を確実に保護するための対策を徹底しており、インシデント調査の妨害を目的として、配信したツールやファイルの削除、Windowsイベントログの消去、Windowsサンドボックスでのマルウェア実行といった手法を活用しています。

IoC（セキュリティ侵害の痕跡）の詳細なリストと検体は、ESETのGitHubリポジトリに掲載されています。

ファイル

この表は、MITRE ATT&CKフレームワークのバージョン16を使用して作成されています。

関連ブログ：
APTグループ「MirrorFace」が日本の政治団体を標的に実行したLiberalFace作戦の詳細