2026年1月18日付の脅威インテリジェンスレポートで、PDFSIDERと呼ばれる新種マルウェアが報告されました。PDFSIDERは、正規アプリケーションに偽のDLLを読み込ませるDLLサイドローディングを悪用してバックドアを展開し、AES-256-GCMで暗号化したC2通信を確立します。ディスク痕跡を抑えたメモリ中心の動作、サンドボックスや解析環境を避けるチェック、暗号ライブラリの組み込みなど、ステルス性を強く意識した作りです。
目次
フォーチュン100企業が標的に
レポートでは、攻撃者が技術サポートを装って従業員に接触し、QuickAssistを使ったソーシャルエンジニアリングで端末の遠隔操作を狙ったとされています。結果として侵入は阻止されたものの、少なくともフォーチュン100クラスの大企業が攻撃対象になり得る事が記載されています。
感染経路と実行の流れ
初期侵入は標的型攻撃メールが起点です。
メールに添付されたZIPアーカイブに、PDF24 Appと表示された正規の実行ファイルが含まれ、被害者がこれを起動すると感染が始まります。実行ファイルは正規署名を持つとされ、見た目だけでは不審性を判断しづらい作りとなっています。
ここで使われるのがDLLサイドローディングです。
正規アプリケーションのそばに偽のcryptbase.dllを配置し、アプリが本来読み込むべきシステムDLLの代わりに攻撃者のDLLをロードさせます。
利用者が正規アプリを起動しただけで不正コードが同じプロセス文脈で動き出すため、検知や調査が難しくなります。
端末上での挙動 見えないコマンド実行と情報送信
PDFSIDERは起動後にWinsockを初期化し、暗号化通信の準備と端末情報の収集を行い、バックドアとして動作します。
レポートでは、匿名パイプを作成し、cmd.exe /C に攻撃者指定のコマンドを渡して実行、CREATE_NO_WINDOWで画面に表示を出さずに処理する、と記載されています。コマンド出力は回収され、端末固有IDの生成などとあわせて外部へ送信されます。
暗号化C2 Botan内蔵とAES-256-GCM
解析対象のDLLにはBotan暗号ライブラリが組み込まれており、AES-256-GCMでC2通信を暗号化しているとされています。
AES-GCMは認証付き暗号で、通信内容を隠すだけでなく改ざん検知も含むため、C2プロトコルとして整った設計を意図していることが読み取れます。レポートの記述では、データはメモリ内で復号され、平文がディスクに残りにくい点も示唆されています。
解析・検知回避 アンチVMとデバッガ検知
PDFSIDERは解析環境で動作しないよう複数のチェックを行うとされます。
例として、GlobalMemoryStatusExで搭載RAM量を評価し、低RAM環境では早期終了するロジック、IsDebuggerPresentでデバッガの有無を確認するロジックが挙げられています。実務的には、サンドボックスでの再現や自動解析に乗りにくい方向へ寄せた作りで、初動での可視化を遅らせる狙いが見えます。
デコイの使い方
攻撃者は被害者を開封へ誘導するためのデコイも併用するとされています。レポートでは、PLA関連機関が作成したように見せかけた偽文書を用いた例が触れられています。テーマ性で心理的な引っかかりを作り、添付ZIPの実行につなげる典型的な手口です。
IOC（侵害指標）
レポートで提示された主要な指標は以下です。端末調査では、正規のPdf24.exeと同じ場所にcryptbase.dllが置かれているか、という観点がまず効きます。
-
Cryptbase.dll（Malicious）MD5：298cbfc6a5f6fa041581233278af9394
-
Pdf24.exe（Clean）MD5：a32dc85eee2e1a579199050cd1941e1d
-
C2 IP：45.76.9.248
出典
PDFSIDER Malware – Exploitation of DLL Side-Loading for AV and EDR Evasion
関連記事
EDRSilencerがエンドポイントセキュリティを回避する手段に悪用
VS Codeの拡張機能を悪用する画面キャプチャ型 マルウェア「Bitcoin Black」「Codo AI」
ハッカーがPHPの脆弱性を悪用し、日本を標的にサイバー攻撃を実行(CVE-2024-4577)
中国系 ハッカーがMOTEX(エムオーテックス)のLanScopeへゼロデイ サイバー攻撃
中国のハッカーがFortinetのゼロデイ脆弱性を悪用し、資格情報を盗む
PHPの脆弱性(CVE-2024-4577)を悪用してハッカーがバックドアを仕掛ける
サイバー攻撃者が偽のDeepSeek ダウンロードサイトを利用しマルウェアを拡散
ランサムウェア グループがWindowsのゼロデイ 脆弱性をサイバー攻撃に悪用(CVE-2025-29824)
偽のTeams／Google Meetの偽配布サイトで「Oyster」バックドアが再拡散
