サイバーセキュリティ研究者は、Go言語で開発されたクロスプラットフォームのリモートアクセス型トロイの木馬（RAT）である「SparkRAT」を悪用した攻撃が増加していると報告している。このオープンソースツールは、モジュール化された設計と多彩な機能により、攻撃者の間で人気を集めている。

特に、東アジアの組織を狙った「DragonSpark」と呼ばれる作戦では、SparkRATが積極的に使用されており、攻撃者はMySQLデータベースやWebサーバーの脆弱性を悪用して侵入し、権限昇格ツールや追加のマルウェアと組み合わせて攻撃を展開している。さらに、偽の会議ページを利用してmacOSユーザーを標的にするなど、手口は多様化している。

専門家は、異常なWebSocket通信の監視や高度なエンドポイント検出ソリューションの導入、システムの定期的なパッチ適用、フィッシング対策の強化などを推奨している。SparkRATのオープンソース特性と高い機能性から、今後も多くの攻撃者に利用される可能性があり、継続的な警戒が求められる。

SparkRATの技術的特徴と攻撃者にとっての魅力

SparkRATは、クロスプラットフォーム対応のリモートアクセス型トロイの木馬（RAT）として、多くの攻撃者に利用されている。Go言語で開発されており、Windows、macOS、Linuxのすべてで動作可能な点が最大の特徴だ。これにより、標的の環境を選ばずに攻撃が展開できるため、特に広範な攻撃キャンペーンに適している。

このマルウェアの最大の強みは、モジュール化された設計と自動更新機能にある。攻撃者は、HTTP POSTリクエストを利用してSparkRATをアップデートできるため、感染後の機能強化や回避策の適用が容易に行える。さらに、C2（コマンド＆コントロール）通信にはWebSocketプロトコルを使用することで、一般的なネットワークトラフィックに溶け込み、検出を困難にしている。

攻撃者にとってのもう一つの魅力は、SparkRATがオープンソースであることだ。GitHub上で公開されており、誰でも自由に入手して改変できる。このため、新たな攻撃グループが独自のバージョンを作成し、既存のセキュリティ対策をすり抜ける可能性がある。オープンソースマルウェアは、進化のスピードが速く、対策側が後手に回るケースも少なくない。

こうした特徴を踏まえると、SparkRATは今後も多くの攻撃キャンペーンで使用される可能性がある。企業や個人は、WebSocket通信の監視を強化し、未知のマルウェアの検知能力を高める必要がある。

DragonSpark作戦の手法とその回避技術

「DragonSpark作戦」は、東アジアを中心に展開されている攻撃キャンペーンで、SparkRATが積極的に使用されている。特筆すべきは、攻撃者がYaegiフレームワークを活用し、Golangのソースコードをランタイムで実行している点だ。この技術により、一般的な静的解析ツールではコードの内容を事前に確認できず、検出を困難にしている。

攻撃の流れとしては、まず公開されたMySQLデータベースやWebサーバーの脆弱性を悪用し、標的環境に侵入する。その後、SharpTokenやBadPotatoといったツールを使い、権限昇格を試みる。これにより、通常のユーザー権限では実行できない操作を可能にし、システム全体を掌握できるようになる。

また、攻撃者は追加のマルウェアを展開し、侵害の範囲を広げている。たとえば、m6699.exeやShellCode Loaderを使用してバックドアを作成し、リモートからの操作を容易にする。この手法は、単にマルウェアを感染させるだけでなく、継続的な制御を維持するための戦略の一環と考えられる。

DragonSpark作戦のような高度な攻撃手法に対抗するには、脆弱性の管理が重要となる。特に公開されたデータベースやWebサーバーの設定を定期的に見直し、不要なアクセス権を制限することが求められる。さらに、リアルタイムでのログ監視を強化し、不審なアクセスを即座に検出できる体制を整える必要がある。

今後の脅威と個人・企業が取るべき対策

SparkRATは、オープンソースであるがゆえに今後も進化を続ける可能性が高い。攻撃者が独自の改変を加え、新たなバージョンを生み出すことで、既存のセキュリティ対策を回避する手口が増えることが予想される。また、DragonSpark作戦のように、ランタイムでのコード実行技術を活用したマルウェアが増加すれば、従来のシグネチャベースのアンチウイルス対策は十分に機能しなくなる恐れがある。

特に個人ユーザーは、フィッシング攻撃を通じてSparkRATに感染するリスクがあるため、信頼できないリンクをクリックしないことが重要だ。企業においては、WebSocket通信の監視を強化し、通常のネットワークトラフィックに隠れたC2通信を検出する技術を導入することで、被害を最小限に抑えることができる。

また、エンドポイントセキュリティの強化も不可欠だ。高度なRATを検出できる次世代アンチウイルス（NGAV）やエンドポイント検出・対応（EDR）ソリューションの導入を検討すべきである。特に、多層防御を採用し、単一の検出手法に依存しないセキュリティ対策を構築することが望ましい。

SparkRATのようなマルウェアは、今後もサイバー犯罪者に利用され続ける可能性が高い。そのため、企業も個人も、日々変化する脅威に対して継続的に対策を講じることが求められる。

Source：Cyber Security News