「Noodle RAT」、WindowsとLinuxを標的にアジア太平洋地域で攻撃を展開

「Noodle RAT」、WindowsとLinuxを標的とするクロスプラットフォーム型バックドア

「Noodle RAT」と呼ばれるバックドア型マルウェアが、WindowsとLinuxの両方を標的とする攻撃で継続的に使用されている。中国語圏の攻撃者による利用が指摘されているこのマルウェアは、感染したシステムへの遠隔アクセスや情報窃取などの機能を備える。

Noodle RATは2016年頃から確認されていたものの、当初はGh0st RATやRekoobeの亜種として扱われていた。その後の分析により、WindowsとLinuxに対応する独立したマルウェアファミリーとして分類されている。

Noodle RATはOSごとに異なるC2（コマンド＆コントロール）通信の実装を備えている。Windows版ではGh0st RATとのコード上の共通点が確認されている一方、Linux版ではRekoobeやTiny SHellとの類似点が指摘されている。こうしたクロスプラットフォーム構成を持ち、アジア太平洋地域の複数の国を標的とした攻撃で使用されてきた。

また、Noodle RATはIron TigerやCalypso APTなどに関連する複数の攻撃キャンペーンで使用されたことが報告されており、サイバースパイ活動や金銭目的の攻撃との関連も指摘されている。C2通信にはTCP、SSL、HTTPなどが使用され、RC4やXORなどを組み合わせて通信やコマンドを難読化することで、ネットワーク上での検知を回避する。

防御側では、インターネットに公開されたアプリケーションの脆弱性対策に加え、Webシェルや不審なcronエントリ、通常とは異なるアウトバウンド通信などを確認することが、Noodle RATの活動を特定する手掛かりとなる。特にLinux環境では、暗号化された外部通信や不審なプロセスの実行を含め、エンドポイントとネットワークの双方から挙動を確認することが有効となる。

Noodle RATは長期間にわたって複数の攻撃キャンペーンで利用され、WindowsとLinuxの双方に対応する亜種が確認されている。既知の侵入経路やC2通信、永続化に利用される設定などを継続的に監視することで、感染や不審な活動を検知するための手掛かりとなる。