問い合わせフォーム発の巧妙なサイバー攻撃キャンペーン|セキュリティニュース-セキュリティ対策 Lab

投稿日時: 2025年08月28日更新日時: 2025年09月01日

チェック・ポイント・リサーチ（CPR）が追跡した「ZipLine」キャンペーンは、米サプライチェーンの要を担う製造業を狙い、

数週間にわたって信用を積み上げてから一気に侵入するサイバー攻撃の手口を発表しました。

攻撃キャンペーンの概要

最初の接点は攻撃者からのDMや不審メールではなく標的企業の公式サイトにある「お問い合わせ」フォームから始まります。

企業側が自ら折り返しメールを出すことで会話が始まり、NDAの取り交わしや「AI導入の影響評価」といったもっともらしいテーマで、ビジネスライクな文面の連絡が続きます。

十分な信頼が醸成された頃合いに、攻撃者はHerokuサブドメイン上に置いたZIPアーカイブのリンクを送り込み、ショートカット（.lnk）とPowerShellローダーを起点に、カスタムのインメモリ型インプラント「MixShell」を展開します。C2はまずDNS TXTトンネリング、失敗すればHTTPにフォールバック。ファイル操作やコマンド実行に加え、リバースプロキシで内部ネットワークへ踏み込む足場を構築します。

長期でやりとりしターゲットを信用させる

CPRが観測したすべてのケースで、最初の接触は標的のWebフォームからでした。企業は受付メールを返し、日程調整や窓口確認のやり取りに入ります。

攻撃者はここから粘り強く、1～2週間にわたり業務的な会話を続け、NDAレビューを求めるなど、いかにもありそうな実務の流れを演出します。

直近では「AIによる組織変革」を口実にした文章バリエーションも確認されました。

このメールは社内向け取り組みとして位置づけられ、「AI導入の影響評価」という形で、受信者にAIがチームのワークフローにどのような影響を与えるかに関する簡単なアンケートへの回答を求め、ターゲットへZIPを参照させます。

送付元のリンクはいずれも *.herokuapp.com のサブドメインで正規のPaaS基盤を中継点にすることで、受け手の警戒心とシステム側のレピュテーションフィルタの両方をくぐり抜けます。

ZIP、PDF、.lnk――見た目は業務文書、実態は埋め込みPowerShellの起動装置

配布されるZIPには、PDFやDOCXの「NDA」など実在しそうな書類が同梱され、同時に .lnk ファイルが仕込まれています。

このショートカットがPowerShellを起動し、まず最新のZIPの所在をデスクトップやダウンロード、ProgramDataなど複数箇所から探索します。ZIP本体のバイナリには、特定のマーカー文字列「xFIQCV」以降に次段のPowerShellスクリプトが埋め込まれており、ローダーはこれを抽出してメモリ上で実行します。

表向きはDOCXを開いてユーザーの違和感を抑えつつ、AMSIの初期化フラグ（System.Management.Automation.AmsiUtils.amsiInitFailed = $true）を細工してスキャンを無効化、コメント記号の除去やパス置換を経て、ペイロードを展開していきます。なお、すべてのZIPが常に悪性というわけではなく、同じ配信基盤から状況に応じて無害なアーカイブが配られる場合も観測されました。IPやユーザーエージェントなどの条件に応じて中身を出し分ける、動的な運用が疑われます。

「TypeLibハイジャック」で静かに常駐、Explorerが呼ぶだけで再実行

埋め込みPowerShellは持続化にも抜かりがありません。COMのタイプライブラリ（TypeLib）を用いたハイジャックで、CLSID {EAB22AC0-30C1-11CF-A7EB-0000C05BAE0B}（Microsoft Web Browser系）をローカルの Udate_Srv.sct に向け替えます。

Base64で隠したXMLスクリプトレットを script: モニカで書き出しておくと、対象のCOMが呼ばれるたびにコードが解釈・実行されます。Internet Explorerだけでなく、Explorer.exe自体が通常動作で当該COMを参照するため、再起動のたびに.lnkを介したペイロード起動が繰り返され、手を触れなくとも復活できる設計になっています。以降の展開は.NETのリフレクションと動的デリゲートを駆使し、VirtualAlloc で確保した実行メモリに復号済みシェルコードを流し込む完全メモリ内実行が基本です。ディスク痕跡を最小化し、検出をすり抜けます。

偽装企業ドメインを悪用

メールの送信元やC2に使われるドメインは、米国内で登記されたLLC名に一致するものが多く、なかには過去に実在企業が使っていたと見られる名称も含まれます。ただしWebサイトの中身は横並びで、テンプレートを複製して作られているので粗さが目立っています。

この中には「創業者の写真」と称して、ホワイトハウスの執事のストック写真がそのまま使い回されていたケースもあります。。

登録年は2015～2019年と古く、休眠・放置ドメインの再取得で歴史の長さを装い、レピュテーションの壁を低くしていると考えられます。

C2基盤としては tollcrm[.]com を皮切りに、同一NSや同一IP（例：172.210.58[.]69）に紐づく複数のCRM風ドメインが確認され、DNSトンネリング用の回答を返す役回りを担っていました。

サーバ上には未使用と思しき管理用の痕跡（空の被害者DBやコマンド実行パネル）も残っており、運用規模の大きさをうかがわせます。

証明書のオーバーラップから、他キャンペーンのインフラ（Zscaler／Proofpointが報告した「TransferLoader」「UNK_GreenSec」系）と生態系を一部共有している可能性も示唆されましたが、現時点で決定的な帰属の根拠ではありません。

ターゲットは広範囲の製造業

被害候補は数十社規模に上り、機械・金属・部品・装置といった広義の製造業が主軸です。半導体やコンシューマ、バイオ・製薬も混じり、サプライチェーンに資する業種全般で入口を探っている印象です。エンタープライズが多数派ではあるものの、中堅・中小も無視されていません。価値の高い大企業は時間をかけてでも落としに行き、対策の薄い中小は効率よく狙う――そんな二正面作戦が透けて見えます。

地理的には米国が8割超と明確な偏りがあり、攻撃インフラや言い回し、初期アクセスのベクトルまで米国市場に最適化されていました。

出典

https://research.checkpoint.com/2025/zipline-phishing-campaign/