1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. ハッカー集団・脅威アクターに関する動向
  5. Microsoft Teamsを悪用したMatanbuchus 3.0マルウェアとサイバー攻撃の脅威とその実態

Microsoft Teamsを悪用したMatanbuchus 3.0マルウェアとサイバー攻撃の脅威とその実態

セキュリティニュース

投稿日時: 更新日時:

Microsoft Teamsを悪用したMatanbuchus 3.0マルウェアとサイバー攻撃の脅威とその実態

2025年7月、セキュリティ企業Morphisecは、マルウェア・アズ・ア・サービス（MaaS）として提供されている「Matanbuchus」マルウェアの最新バージョン「3.0」に関する詳細な脅威分析レポートを公開しました。

特筆すべきは、Microsoft Teamsを介した攻撃が確認された点です。これは、従来のメール経由やドライブバイダウンロードとは一線を画した、企業コミュニケーションの信頼性を逆手に取る新たなサイバー攻撃の手法です。

Matanbuchusとは

Matanbuchusは2021年からその存在が確認されているローダー型マルウェアです。

攻撃者が独自のペイロード（情報窃取ツールやランサムウェアなど）をターゲットのマシンに配布するために利用されます。MaaSとして提供されていることから、多様な攻撃者がこれを購入・使用することで、同一のマルウェアが異なる目的で使われるリスクが高まります。

Matanbuchusの特筆すべき点は、Microsoft ExcelやWindows PowerShellなど、合法的なツールや機能を悪用する点にあります。

また、Cobalt Strike Beaconと組み合わされることで、侵入後のラテラルムーブメント（横展開）や権限昇格などの行動も可能にします。

また、EDRやアンチウイルスソフトを無力化するため、プロセス一覧を取得し、CrowdStrike（csfalconservice.exe）やDefender（msmpeng.exe）など主要なEDR製品の存在を確認します。これにより、検知を回避しながら最適な攻撃手法を選択する「アダプティブ型マルウェア」と言えます。

Microsoft Teamsを装った初動攻撃

Morphisecの調査によれば、攻撃者はITヘルプデスクを装ってMicrosoft Teams上で標的企業の社員にコンタクトを取りました。

通話中に「Quick Assist（Windowsのリモートサポート機能）」を利用してリモート接続を確立し、「スクリプトの実行によって問題を解決する」と称してMatanbuchus Loaderの実行を促しました。

これにより、攻撃者は従業員自身により、悪意あるスクリプトが実行され、感染の初動が完了しました。信頼される社内ツールを装うこの手法は、セキュリティ教育を受けた従業員であっても騙される可能性が高く、ソーシャルエンジニアリングとして警戒すべきポイントです。

COMベースの永続化

Matanbuchus 3.0は、単にスタートアップに登録するだけでなく、Windows COMインターフェースを活用した永続化機構を採用しています。regsvr32の-iスイッチを利用し、DllInstall関数を起動することで、通常の検知から逃れる工夫が施されています。

また、タスクスケジューラをCOM経由で操作し、5分ごとに悪性DLLを呼び出すような「EventLogBackupTask」というタスクも生成されます。

後続の攻撃ステージ

初期感染後、マルウェアはC2サーバへ情報を送信し、被害端末の環境（OSバージョン、管理者権限の有無、インストール済みのEDRなど）をもとに最適な後続攻撃を受け取ります。後続の攻撃手法としては以下が挙げられます。

  1. MSIファイルによるインストール

  2. プロセスホロウイング（msiexecへのコード注入）

  3. rundll32を用いた悪性DLLの実行

  4. 直接的なPowerShellやCMDコマンドの実行

  5. WQLクエリを通じた情報収集

特にWQLクエリによるサービス一覧、インストール済みアプリケーション、ホットフィックス情報の収集は、後続の特権昇格や横展開に活用される恐れがあります。

サプライチェーン管理の重要性

今回の攻撃では、notepad-plus-plu[.]orgという偽サイトを利用し、Notepad++のアップデータに見せかけた「GenericUpdater.exe」と偽のXMLファイルを同梱したZIPファイルが使われました。これは「タイポスクワッティング（Typo-Squatting）」と呼ばれる手法で、正式なドメイン名（notepad-plus-plus.org）に似せた名前でユーザーを騙します。

この手法は特にエンドユーザーのミスに依存するため、ソフトウェアアプリケーションの確認とソフトウェアサプライチェーン管理がますます重要になっています。

参照

https://engage.morphisec.com/hubfs/Matanbuchus%20Threat%20Analysis.pdf

関連記事

EDRSilencerがエンドポイントセキュリティを回避する手段に悪用EDRSilencerがエンドポイントセキュリティを回避する手段に悪用 ハッカーがPHPの脆弱性を悪用し、日本を標的にサイバー攻撃を実行(CVE-2024-4577)ハッカーがPHPの脆弱性を悪用し、日本を標的にサイバー攻撃を実行(CVE-2024-4577) VSCodeに偽の拡張機能 prettier-vscode-plus-「Prettier – Code formatter」に偽装VSCodeに偽の拡張機能 prettier-vscode-plus-「Prettier – Code formatter」に偽装 キヤノン製プリンタードライバーにバッファオーバーフローの脆弱性(CVE-2025-1268)キヤノン製プリンタードライバーにバッファオーバーフローの脆弱性(CVE-2025-1268) 偽のグーグルクロームアップデートでPowerShellを実行させる偽のグーグル クロームのエラーで悪意のあるPowerShellを実行させるよう誘導-ClickFixによるソーシャルエンジニアリング SonicWall、偽装されたNetExtenderアプリによる情報窃取キャンペーンを警告SonicWall、偽装されたNetExtenderアプリによる情報窃取キャンペーンを警告 ClickFix(クリックフィックス)の実像をMicrosoftが発表-人間確認を装ってコマンド実行を誘う新手のソーシャルエンジニアリングClickFix(クリックフィックス)の実像をMicrosoftが発表-新手のサイバー攻撃の実態とは Arc ブラウザのWindowsリリースを狙った偽ダウンロードサイトが観測され、マルウェア感染の恐れArc ブラウザのWindows版を狙う偽ダウンロードサイトが観測され マルウェア感染の恐れ SonicWall VPNにゼロデイ攻撃、Akiraランサムウェアが数時間以内に展開 ― MFAを回避してドメイン支配もSonicWall VPNにゼロデイ攻撃、Akiraランサムウェアが数時間以内に展開 ― MFAを回避してドメイン支配も