マルウェア

Googleインフラ悪用、Remcos RAT拡散

Mainichisecu 2026年 4月 16日

Googleインフラ悪用によるRemcos配布手法

攻撃者がGoogleのクラウドインフラを悪用し、Remcosリモートアクセス型マルウェア（RAT）を配布する手口が確認されている。Google Cloud Storageを利用することで、メールおよびウェブフィルタリングの回避が図られている。

フィッシングメールはGoogle Driveを装った形式で送信され、ユーザーを偽のドキュメントアクセスページへ誘導する構成となっている。これにより、DMARCやSPF、DKIMといった認証を通過し、不正リンクへの誘導が行われる。

ANY.RUNの分析によれば、「storage.googleapis.com」上に悪性HTMLが配置され、クリック後はGoogle Workspaceを模倣したログインページへ遷移する。ここで認証情報が窃取され、その後のマルウェア感染につながる流れが確認されている。

フィッシングによる初期侵入後、ユーザーは「Bid-Packet-INV-Document.js」をダウンロードし、時間遅延を用いた回避処理を伴うスクリプトが実行される。その後、VBSを起点とした処理を経てPowerShellが起動し、.NETローダーをメモリ上で展開する構成となっている。

さらに、Microsoft署名の「RegSvcs.exe」を悪用し、Remcosペイロードがメモリに注入されることで、ファイルを残さない実行が行われる。これにより、従来の検知手法では把握が難しい挙動が確認されている。

また、本件は信頼性の高いクラウドサービスを起点とした多段階攻撃の一例とされる。こうした手法に対しては、プロセス挙動やレジストリ変更、ネットワーク通信を含めた継続的な監視と分析が重要となる。