中国関連クラスタ「JadeProx」、新型ローダーで病院や政府機関を侵害　偽Claudeサイトでも配布か

サイバーセキュリティ企業Group-IBは2026年7月23日、中国に関連するサイバースパイ活動クラスタ「JadeProx」の詳細な技術分析を公表した。同クラスタは、主要なエンドポイントセキュリティベンダーがこれまで文書化していなかったWindows用ローダー「TriBack Loader」を使い、ベトナムの公立病院のX線・MRI画像システムやマレーシア外務省のネットワークに侵入し、ホンジュラス国会にはマルウェアを送り付けていた。

同じマルウェアチェーンは、AnthropicのAI製品「Claude」を装ったフィッシングサイト「claude-pro.com」でも確認された。Sophosは、この偽サイトがマルバタイジングを通じて宣伝されていた可能性が高いと評価しており、2026年3月下旬以降にClaudeのダウンロード方法を検索した一般ユーザーも、悪意のあるインストーラーに遭遇した可能性がある。

■攻撃者の設定ミスから全貌が露呈

Group-IBは2026年4月中旬、Alibaba CloudのシンガポールリージョンでホストされていたIPアドレス「43.106.71[.]28」のステージングサーバーを発見した。ポート8000で動作していたPython HTTPサーバーでディレクトリ一覧表示が有効になっており、アドレスを知った第三者がフォルダ内のファイルを閲覧できる状態だった。

公開されていたディレクトリには、攻撃活動の詳細を段階ごとに示すbashのコマンド履歴が残されていた。そこには、ベトナムの病院が運用するPACS（画像保存通信システム）への侵入で使われたトンネリングコマンドが記録されていた。PACSは、患者のX線、CT、MRI画像を病院の臨床ネットワーク内で保存・配信するインフラである。

このほか、マレーシア外務省に対する複数のセッション記録、香港の教育分野に属する1万4,653件のURLを対象とした大規模な脆弱性スキャン、ホンジュラス国会宛てに作成されたフィッシングアーカイブも確認された。

サーバー上には、トンネリングツールのiox、suo5、Neo-reGeorg、オープンソースの脆弱性スキャナNuclei、ネットワークスキャナfscan、4種類のTriBack Loader、侵入後の活動に使うフレームワークなどが保存されていた。また、攻撃者が利用していたサーバー上でAlibaba Cloudのホストセキュリティ監視エージェントを無効化するためのスクリプト「fuckaliyun.sh」の改変版も置かれていた。

さらに、XMRig暗号資産マイニング用のリレーとSOCKS5プロキシのバイナリも配置されていた。これは、主目的とみられる情報収集活動と並行して、使用していないリソースを収益化する仕組みが運用されていた可能性を示す。Group-IBの報告書が公開された2026年7月23日までに、このステージングサーバーはオフラインになっていた。

■病院の画像システムや外務省への侵入手口

ベトナムの病院に対する侵入では、攻撃チェーンの一連の流れが確認された。攻撃者は、病院の外部公開サブドメインの一つでインターネットに露出していたJava Management Extensions（JMX）インターフェースを特定した。JMXはJavaアプリケーションの監視・管理に使われる仕組みだが、適切に保護されないまま外部公開されることがある。

攻撃者はJMXインターフェースを通じてウェブシェルを設置し、トンネリングツール「suo5」を使用して、設置したウェブシェルから病院内部のPACSネットワークへトラフィックを転送した。bashの履歴には、異なるサブドメインを標的とした少なくとも2件のsuo5セッションが記録されており、攻撃者が複数の足掛かりを確保しながら侵入を継続していたことがうかがえる。

PACSには、その病院が診療した患者の医療画像が保存されている。システムへのアクセスにより、診断記録、患者の身元、治療歴を把握できる可能性がある。こうした情報は、病院で治療を受けた政府関係者、軍関係者、外国人などをプロファイリングしようとする国家主体にとって、直接的な情報価値を持ち得る。

マレーシア外務省への侵入でも、ウェブシェルを設置してトンネリングツールを展開する同様の手法が使われた。最初の試行は必要なソフトウェア依存関係が不足していたため失敗したが、攻撃者は問題を調査して再試行し、成功していた。外務省が扱う外交上の通信は、国家支援型のスパイ活動が収集対象とする情報に当たる。

■香港の教育機関を狙った大規模自動スキャン

病院や外務省への侵入が人手を伴う標的型の活動だったのに対し、香港の教育分野に対する活動は、より大規模な自動スキャンから始まっていた。攻撃者は、香港の教育分野に属する1万4,653件のURLを脆弱性スキャナ「Nuclei」に入力し、重大度が「Critical」の脆弱性だけを抽出するよう設定していた。

自動スキャンでは教育関連インフラ全体から13種類の脆弱性が特定され、その後、攻撃者は手作業による悪用を試みた。追加の攻撃には、CVSS（共通脆弱性評価システム）のベーススコアがいずれも10点満点中9.8の4件の脆弱性が使われた。

対象となったのは、ASUSTOR ADMのフォトギャラリーソフトウェアに存在するSQLインジェクション脆弱性「CVE-2018-11511」、WordPress用10Web Photo GalleryプラグインのSQLインジェクション脆弱性「CVE-2021-24139」、Tenda AC11ルーターのスタックバッファオーバーフロー脆弱性「CVE-2021-31755」、WebSVNで任意のコマンド実行を可能にする「CVE-2021-32305」である。

原記事を掲載したThe Hacker Newsは、2026年7月23日に米国のNational Vulnerability Databaseで4件を確認したとしている。これらはすべて2018年から2021年の間に公開され、修正パッチも長年提供されているため、現在も悪用可能なのはパッチが適用されていないシステムに限られる。

Tenda AC11の脆弱性「CVE-2021-31755」は、2021年11月3日から米サイバーセキュリティ・社会基盤安全保障庁（CISA）の「既知の悪用された脆弱性カタログ」に掲載されている。米連邦政府機関に設定された修正期限は、掲載から2週間後にすでに経過している。

■偽Claudeサイトを通じて一般ユーザーにも配布か

攻撃の影響は、政府機関や医療機関だけにとどまらない。同じマルウェアチェーンは、2026年3月28日に登録されたドメイン「claude-pro.com」でも確認された。このドメインでは、AnthropicのAI製品「Claude」の製品ページを模倣したサイトが運営されていた。

訪問者がダウンロードリンクをクリックすると、「Claude-Pro-windows-x64.zip」というファイルが提供され、その中には悪意のあるMSIインストーラーが含まれていた。インストーラーを実行するとUAC（ユーザーアカウント制御）の確認画面が表示され、利用者が許可すると、再起動後もマルウェアを動作させるための3つのファイルがWindowsのスタートアップフォルダに配置された。

配置されるのは、正規のデジタル署名が付いたバイナリ、正規ファイルを装った悪意のあるDLL、暗号化されたペイロードファイルである。確認された事例では、正規バイナリとしてG DATAのセキュリティソフトの構成要素である「avk.exe」、悪意のあるDLLとして「avk.dll」が使われた。インストール処理はVBScriptによって制御され、二重拡張子「.vbs.bat」を持つバッチファイルは、実行から2秒後に自らを削除して痕跡を減らしていた。

この攻撃チェーンで導入されるバックドアは、最初に分析したSophosによって「Beagle」と名付けられた。Beagleは「license[.]claude-pro[.]com」のコマンド＆コントロールサーバーと通信し、コマンドの実行、ファイルのアップロードとダウンロード、ディレクトリの管理、自身のアンインストールを行える。比較的単純ながら必要な機能を備えたリモートアクセスツールであり、機能を絞ることで振る舞い検知の可能性を低くしているとも考えられる。

Sophosは、この偽サイトが有料のスポンサー検索結果として表示されるマルバタイジングキャンペーンの一部だった可能性が高いと評価している。この評価が正しければ、キャンペーンの活動期間中に「Claude AI download」などの語句を検索し、スポンサーリンクをクリックした利用者が、悪意のあるインストーラーに遭遇した可能性がある。正規のClaudeのダウンロード先は、Anthropicの公式サイト「claude.ai」である。

■EDR製品の監視を避ける「TriBack Loader」の仕組み

JadeProxの各感染チェーンでは、「TriBack Loader」と呼ばれるローダーが使われていた。Group-IBは4種類のビルドを特定した。いずれも基本的な構造は共通している一方、主要な構成要素が入れ替えられており、攻撃者が一つずつ手作業で作成したのではなく、専用のビルダーツールでバリアントを自動生成した場合と整合する。

4種類すべてに共通するのが、Group-IBが「3ファイルのサイドローディング構成」と呼ぶ仕組みである。正規のデジタル署名が付いたベンダー製バイナリ、そのバイナリと同じディレクトリに置かれた悪意のあるDLL、暗号化されたペイロードファイルの3つで構成される。

正規バイナリを実行すると、Windowsは同じディレクトリにある悪意のあるDLLを先に見つけ、正規プロセスのメモリ空間へ読み込む。読み込み元のプロセスが信頼された署名付きアプリケーションであるため、一部のセキュリティ製品では十分に検査されない可能性がある。

悪意のあるDLLは、暗号化されたペイロードに対して2段階の復号処理を行う。最初に全バイトの並びを反転し、続いてハードコードされた文字列から生成した鍵でローリングXORを適用する。Group-IBは、この2段階の復号パターンが「中国のAPTグループに関連するローダーで頻繁に見られる」と指摘している。復号結果は、DLLによって実行されるシェルコードとなる。

一般的なエンドポイントセキュリティ製品は、スレッド作成やメモリ上でのコード実行に関係する一部のWindows API、特にCreateThreadや実行権限付きのVirtualAllocを重点的に監視している。TriBack Loaderの各バリアントは、比較的監視の少ない異なるAPIを利用してシェルコードを実行していた。

バリアント1は、コードが一度だけ実行されることを保証するWindowsの初期化API「InitOnceExecuteOnce」を使用する。Group-IBによると、このAPIはCreateThreadや実行権限付きVirtualAllocを直接利用するパターンと比べ、EDR製品による監視が少ない。

バリアント2は、復号したペイロードをTimerQueueのコールバックとして登録する。スレッドではなくタイマーイベントとして実行することで、多くのセキュリティ製品が監視するCreateThreadのフックを避ける。

バリアント3は、ntdll.dll内の文書化されていないスレッド作成関数「EtwpCreateEtwThread」を使用する。この関数は実行時にGetProcAddressで取得されるため、APIの直接呼び出しを調べる静的解析では発見しにくい。Sophosも、偽Claudeサイトに関連するサンプルで同じ手法を独自に確認した。バリアント4については、暗号化された関連ファイルが入手できず、最終ペイロードは復元されていない。

正規のホストバイナリもバリアントごとに異なる。バリアント1と2はMicrosoft Service Hubの構成要素、バリアント3はG DATAのセキュリティバイナリ「avk.exe」、バリアント4はMicrosoft Malware Protectionのユーティリティ「MpCopyAccelerator.exe」を使用する。MpCopyAccelerator.exeは、過去の調査でMustang Pandaの配布チェーンとの関連が報告されている。

バリアント1と2は、攻撃者が侵入先に継続的な遠隔アクセス環境を構築できるオープンソースのポストエクスプロイテーションフレームワーク「AdaptixC2」を導入する。Group-IBは、公開サーバーから両方のビーコン設定を完全に復号し、C2ドメイン、HTTP通信プロファイル、通信休止時間を確認した。

AdaptixC2の設定の一つにはGitHub AnalyticsのセッションCookieが含まれていた。Group-IBは、これが中国関連グループ「Tropic Trooper」との関係で過去に文書化されたカスタムビーコンプロファイルにつながると判断したが、JadeProxとTropic Trooperを同一のクラスタとは認定していない。バリアント3はDonutLoaderを介してBeagleを導入する。

■多目的インフラとアトリビューションの難しさ

JadeProxのインフラは複数の用途を同時に担っていた。ホンジュラス向けのAdaptixC2ドメインでは、ベネズエラ・ボリバル州ピアール市の税務管理システムを模倣した認証情報窃取ポータルが稼働していた。サイトは市税関連のサービスを提供するように見せかけ、アカウントを作成した訪問者に、機密性の高い財務・個人文書のアップロードを促していた。ベネズエラのボリバル州では、鉱業分野における中国の経済的権益が確認されている。

Claude-Proキャンペーンに関連する別のIPアドレスは、「Vertex Trust Advisors」という偽の専門サービス企業サイトにつながっていた。このサイトはシンガポールのVertex Holdingsを模倣したものとみられ、雇用、法務、リスク管理などのサービスを掲げていた。現実的に見えるカバーサイトを表示することで、マルウェアだけを配布するドメインよりも、自動化されたドメイン評価システムから疑われにくくしていたと考えられる。

特定されたドメインはすべてNameSiloを通じて登録され、複数のドメインはCloudflareを経由していた。インフラはCloudflare、DigitalOcean、Alibaba US、CTG ServerがホストするIPなどに分散していた。「update-trellix[.]com」「update-crowdstrike[.]com」「update-sentinelone[.]com」の3ドメインは、エンドポイントセキュリティベンダーを装い、同じIPアドレスを共有していた。

Group-IBは、JadeProxを特定の既知の脅威グループに帰属させることを明確に見送っている。iox、fscan、suo5、Neo-reGeorg、AdaptixC2、ウェブシェルを使ったトンネリングといった手法やツールは、中国関連のAPT活動で広く共有されているためである。

Mustang Pandaとは署名付きバイナリを使うDLLサイドローディングやMpCopyAccelerator.exeの使用、Earth Luscaとは侵入後のツール群、UAT-5918とはアジアの政府・教育機関を狙う点、Tropic TrooperとはAdaptixC2のGitHubセッションCookieを介した関連が認められた。ただし、いずれの既知クラスタも今回の活動全体を説明するものではない。

一方、Alibaba Cloudでのホスティング、中国本土のAlibaba OSSバケットを使ったバイナリの配置、中国語のMSIインストーラー文字列、Alibabaの監視を避ける「fuckaliyun.sh」の使用など、インフラや構成要素には中国との関連を示す特徴がある。Group-IBは早期の断定を避けつつ、今後の関連付けに必要な痕跡を記録するため、JadeProxを独立した追跡クラスタとして扱っている。

ホンジュラス国会宛てのフィッシングアーカイブ「Estado de Cuenta.zip」には、ホンジュラスの大手飲料会社Cervecería Hondureñaからの支払い通知を装ったおとり文書が含まれていた。Group-IBによると、記載額は約5万7,000ホンジュラス・レンピラで、2026年7月23日時点の為替レートでは約2,129ドルに相当する。

■組織および一般ユーザーが今すぐ確認すべき点

Group-IBは、ファイル名、署名付きバイナリ、C2アドレスが変わっても維持されるサイドローディングチェーンの構造的特徴に着目した対策を示している。組織は、ユーザーが書き込み可能なディレクトリ、一時フォルダ、Windowsのスタートアップフォルダから実行される署名付きベンダー製バイナリを検知対象とする必要がある。特に、同じディレクトリに暗号化された.datまたは.logファイルが存在する場合は調査が必要だ。

標準とは異なるパスに「hostfxr.dll」「avk.dll」「MpClient.dll」が出現した場合も確認すべきである。入れ子になった「CL######」形式のフォルダ構造や、二重拡張子を持つ自己削除ファイル「~del.vbs.bat」も調査対象となる。

既知のネットワーク指標として、「claude-pro[.]com」「license[.]claude-pro[.]com」「sylverixstrategy[.]com」「gouvvbo[.]top」「vertextrust-advisors[.]com」「update-trellix[.]com」「update-crowdstrike[.]com」「update-sentinelone[.]com」、ステージングサーバーのIPアドレス「43.106.71[.]28」への通信をブロックするか、関連する通信履歴を調査することが推奨される。

インターネットに公開されたJavaアプリケーションへのパッチ適用を優先し、未修正のCVSS 9.8の脆弱性を持つ外部公開システムは、現在進行中のリスクとして扱う必要がある。特に今回利用された4件のCVEは優先的な確認対象となる。また、カスタムVBScript処理を使ってWindowsのスタートアップフォルダへファイルを配置するMSIインストーラーについても、アラートを設定することが望ましい。

Group-IBは、侵害指標、ファイルハッシュ、MITRE ATT&CKの技術マッピングを同社のThreat Intelligenceポータルで公開している。

今回の活動は、中国関連のスパイ活動で見られる、技術的に高度な独自ツールと一般公開されたフレームワークを組み合わせる手法を示している。標的となった病院、外務省、議会、教育機関はいずれも、国家主体にとって直接的な情報価値を持つデータを扱っていた。

活動の全体像が明らかになったのは、攻撃者がPython HTTPサーバーのディレクトリ一覧表示を無効にし忘れるという、回避可能な運用上のミスがあったためである。このミスがなければ、攻撃はさらに長期間発見されなかった可能性がある。

一般ユーザーにとって重要なのは、国家支援型とみられるスパイ活動で使われたマルウェアチェーンが、2026年春に偽のAIソフトウェアとして配布されていた点である。想定されるインストール先以外に「avk.exe」「NOVUpdate.exe」「hostfxr.dll」を含む不審なスタートアップ項目がある場合は、潜在的な侵害指標として扱い、公開されたファイルハッシュと照合して調査する必要がある。

東南アジアや中南米の医療、政府、教育、外交分野の組織は、Group-IBが公開した侵害指標について、安全が確認されるまでは現在も有効な脅威として扱うことが推奨される。

■注目ポイントQ&A

●偽のClaude AIインストーラーを誤ってダウンロードしたか確認する方法はありますか？

マルウェアはWindowsのスタートアップフォルダに、正規に見えるベンダー製バイナリ、悪意のあるDLL、暗号化されたペイロードファイルの3つを配置します。確認されたファイルには、G DATAの「avk.exe」、Microsoft Service Hubの構成要素、悪意のある「avk.dll」または「hostfxr.dll」、拡張子が.datまたは.logのペイロードがあります。

claude.ai以外のサイトからClaudeのインストーラーをダウンロードし、UACの確認画面で許可した場合は、通常「C:\Users\[ユーザー名]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup」にあるスタートアップフォルダに、予期しない実行ファイルがないか確認してください。Group-IBは、確認済みの悪意のあるファイルのハッシュをThreat Intelligenceポータルで公開しています。

●TriBack Loaderが一般的なEDR製品による検知を避けやすいのはなぜですか？

多くのエンドポイントセキュリティ製品は、CreateThreadなど、スレッド作成に関連する特定のWindows APIを重点的に監視しています。TriBack Loaderはこうした一般的な実行経路を避け、InitOnceExecuteOnce、TimerQueueコールバック、実行時に取得する文書化されていない関数EtwpCreateEtwThreadなどを使ってシェルコードを実行します。

これらのAPIには正規の用途もあり、一般的なスレッド作成APIと比べてEDRによる監視が少ないとされています。そのため、多くのセキュリティ製品が優先的に監視する実行方法よりも、検知につながる振る舞いの兆候が少なくなる可能性があります。

●なぜ中国関連のスパイ活動がベトナムの病院の医療画像システムを狙ったのですか？

病院のPACSには、病院が診療した患者の診断画像が保存されています。PACSへのアクセスによって、診断記録、患者の身元、治療歴などを把握できる可能性があります。

政府関係者、軍関係者、外国人などが受診していれば、国家の情報機関は医療情報を人物のプロファイリング、弱点の特定、別の作戦に向けた標的情報の作成に利用できる可能性があります。これは、医療情報と外交・政府情報を同じ活動の中で狙う、中国関連APTの既知の傾向と整合します。

●香港の教育機関への攻撃で使われた脆弱性は修正されていますか？

使用された「CVE-2018-11511」「CVE-2021-24139」「CVE-2021-31755」「CVE-2021-32305」は、いずれも2018年から2021年の間に公開され、修正パッチが提供されています。Tenda AC11の「CVE-2021-31755」は、2021年11月からCISAの既知の悪用された脆弱性カタログにも掲載されています。

これらの脆弱性を現在でも悪用できるのは、長年提供されているパッチが適用されていないシステムです。ただし、JadeProxが1万4,653件のURLをスキャンしたことだけから、未修正だったシステムの割合や、脆弱性の悪用に成功した組織数までは判断できません。

元記事: China-Nexus Hackers Breached Hospital X-Rays, Embassy, and Congress With New Malware Loader