AnyDesk を用いた Living-off-the-Land 攻撃：フィッシングと Blat SMTP によるデータ窃取

Attackers Exfiltrate AnyDesk Configuration Data via Blat SMTP in Aerospace Phishing Campaign

2026/07/07 gbhackers —サイレントかつ永続的なリモートアクセスのために AnyDesk を設定した上で、Blat SMTP ユーティリティを使用してコンフィグ・データを外部へ持ち出す、標的型スピアフィッシング・キャンペーンが確認された。分析によると、このオペレーターの目的は、長期的かつ秘匿性の高いアクセスの確立にある。そして、侵害のチェーンは、ポータブル版 AnyDesk の展開／無人アクセス用パスワードの設定／AnyDesk のコンフィグおよび認証情報のアーティファクトのアーカイブ化／攻撃者が制御するメール・インフラへ向けたアーカイブ送信で構成される。

“sales@vniir-avia.space” から送信された、件名が “счет на оплату” という最初のメッセージには、メール本文に記載されたパスワードで保護された RAR アーカイブが添付されている。これは、メール防御を回避するための意図的なアンチ・スキャン手法である。

ドロッパーは、おとりの PDF を実行し、echo リダイレクトを介して一連の “.cmd” ファイルを作成する。続いて、コマンド＆コントロール (C2) エンドポイントへ接続し、ポータブル版 AnyDesk／Blat (blat.exe)／Tray Minimizer／補助スクリプトを含む、悪意の RAR をダウンロードする。

一連の抽出が完了した後に、オペレーターが制御するバッチスクリプトが、ping ベースのスリープを使用して短時間の実行遅延を設定する。続いて、CLI を呼び出して事前定義されたパスワードを設定することで、無人アクセス用に AnyDesk を設定する。さらに、ポータブル版 AnyDesk を “%ProgramData%\AnyDesk” 配下へ展開して起動する。

Seqrite Threat Research Team が特定したのは、正規の業務請求書を装う標的型スピアフィッシング・キャンペーンである。このフィッシング・メールは、航空宇宙および航空システムに関連する、正規のロシア研究機関を偽装している。

Infection Chain (Source : Seqrite).
Infection Chain (Source : Seqrite).

続いて、このスクリプトは、AnyDesk の “service.conf”／”system.conf”／クライアント識別子／ログ／証明書を、パスワードで保護された “AnyDesk.rar” にパッケージ化し、Blat を使用して外部へ持ち出す。

航空宇宙フィッシングキャンペーンにおける SMTP

ネットワークのキャプチャで明らかにされたのは、”out@okbm-bus.nl” から “mail.versio.nl” を経由して “in@okbm-bus.nl” へと送信される、SMTP ベースのデータの持ち出しである。その際の件名は、被害者を一意に識別するため、AnyDesk “%COMPUTERNAME%/%USERNAME%” という形式で構成される。

また、抽出された実行ファイルの分析で明らかになったのは、Delphi によるコンパイルと、Smart Install Maker によるパッケージ化が行われていたことだ。この実行ファイルは、一時フォルダ配下に複数のコンポーネントをドロップし、追加ペイロードの取得／抽出／実行などを制御するためのバッチ・スクリプトを実行する。

DiE snap details (Source : Seqrite).
DiE snap details (Source : Seqrite).

永続化のために、このキャンペーンでは、”Auto apdate” という名前のスケジュール・タスクが登録される。このタスクは、ログオン時に昇格した権限で “Trays.exe -tray” を実行する。また、フォレンジック分析を妨げるため、一時アーティファクトを削除している。

確認された戦術は、Living-off-the-Land (LotL) の手法と一致する。つまり、正規ユーティリティである AnyDesk／Blat／WinRAR/driver.exe／4t Tray Minimizer を悪用し、アクティビティを通常のシステム操作に紛れ込ませ、検知を低減するものだ。

攻撃者は、独自のバイナリを配布するのではなく、完全な正規アプリケーションをアーカイブに同梱している。これにより、開発にかかる負担を最小化しながら、リモートアクセスおよび隠蔽を実現している。

The malicious batch file (Source : Seqrite).
The malicious batch file (Source : Seqrite).

公開されている報告の内容によると、航空宇宙をテーマにしたルアー／請求書を用いるスピアフィッシング／パスワード保護アーカイブ／AnyDesk および Blat の使用というパターンが、Rare Werewolf (別名：Librarian Ghouls) クラスターに結び付けられている。過去において、このクラスターは、ロシア／ベラルーシ／カザフスタンにおける産業／航空宇宙／エンジニアリング／エネルギー分野を標的としてきた。

これらのアーティファクトだけで帰属を断定することはできないが、2025年に文書化された Rare Werewolf のキャンペーンと、運用が広範に重複している。

防御において推奨される事項は、悪用されたツールおよびキャンペーン・パターンのブロックと検知に焦点を置くものとなる。それに加えて、パスワードで保護された添付ファイルに対して、厳格な検査を実施すべきである。

ProgramData 配下における、不正な AnyDesk のインストールおよびコンフィグ・ファイルの作成を監視し、エンドポイントから一般的ではないメールリレーへと向かう Blat の使用と、アウトバウンド SMTP セッションを検知すべきである。

さらに、AnyDesk と Tray Minimizer に対するアプリケーションの許可リストを実装し、リモートツールには多要素認証および条件付きアクセスを必須とするべきである。また、偽装ドメインの成功を減らすため、メールドメイン検証および DMARC の適用を強化すべきである。

エンドポイント・テレメトリおよびスケジュールタスクの監視は、”Auto apdate” という永続化アーティファクトの検知において効果的である。

侵害指標 (IOC)
TypeValue
Hash47854deb456cb08c651b7f9ae2f9d87c72d0719de6af233340632efb3c1980f4
Hash12648cd9d425f78db2dbc6e03c14f11e6ac6aadf8b3975c23cce9519e2b58d33
HashF57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae
Hash0dc0fa727f900ed5033f46f8ba6cf2d97d20ab95fd334cabc0f216da6e0622b0
IP198.54.120[.]13
IP194.87.57[.]81
IP2.23.88[.]201
IP109.106.178.14
Domainaviatronika[.]online
Domainvniir-avia[.]space
Domainfgub-vniir[.]space
Domainvniir-info[.]space
Domainnova-stream[.]site

注記：IP アドレスおよびドメインは、意図しない名前解決またはハイパーリンク化を防止するため、意図的に無害化されている。例えば、[.] が使用されている。再有効化は、MISP／VirusTotal／SIEM などの管理された脅威インテリジェンスプラットフォーム内でのみ実施すべきである。

訳者後書：航空宇宙分野などの組織を狙い、業務請求書を装って不正なメールを送りつける攻撃が発生しています。この問題の背景には、セキュリティ製品の検知をかいくぐるために、一般的な圧縮ツールや、正規の Remote Desktop ソフトウェア、メール送信ユーティリティを巧みに悪用する手法があります。今回の事例では、本来は便利なツールである AnyDesk や Blat が、リモート操作や設定情報の盗み出しに悪用されてしまいました。このように、信頼された正規ツールが攻撃の道具にされると、通常の業務利用との区別がつきにくく、密かに長期的な侵入を許してしまうリスクがあります。日頃からシステムの日常のログに目を配り、いつもと違う動きに気づける体制が必要となります。