ロードするために設計された、新たなマルウェアを使用していることが確認されている。SILKLOADERと名付けた。対する検出能力が向上したことで、脅威アクターたちは代替手段を探している。検出を回避するためにフレームワークを伝播させる、新しい方法を考案する必要性に迫られている。研究者たちは、「そのための、最も一般的な手法は、パッカー/クリプター/ローダーなどの技術の利用により、自動生成されるビーコン/ステージャーペイロードに複雑さを加えることだ」と述べている。サイドローディング方式を採用しているところにある。実行することで、正規のアプリケーションを乗っ取るという点で共通している。一緒にドロップされる、特別に細工されたlibvlc.dllファイルにより、このようなオペレーションを実現する。大きく重複する戦術とツールが用いられていた。ビーコンを出現させ、ネットワークへの足がかりを取得するという戦術が用いられていた。「この脅威アクターは、この社会福祉団体の内側で、数ヶ月間にわたり足場を維持した。ビーコンを展開しました。使用して検知を回避し、ビーコンのペイロードを配信することに切り替えた」と述べている。トロイの木馬などの攻撃に関与していたことが分かっている。類似性を示しているようだ。ビーコン/暗号化装置/サードパーティの関連会社が提供するインフラなどを共有し、異なる戦術で複数の侵入を実現している可能性が指摘されている。プログラムを通じて、既製のローダーとして、ロシア系脅威アクターたちに提供されている可能性があるという。提供しているグループを通じて提供される場合もある。グループから流れ出た元メンバーや、密接な関係を持っていた脅威アクターたちだと思われる」と述べている。サンプルは、2022年の初期バージョンにまで遡る。それらのローダーは、中国/香港の被害者をターゲットにした、複数の攻撃で使用されたと推察される。関連のインシデントは、その全てがロシアのサイバー犯罪者に起因するとされている。現状において、2つの仮説がある。2022年5月〜2022年7月において、関連する脅威アクターにより使用されたという仮説である。「そのビルダーまたはソースコードは、2022年7月〜2022年9月の間に、ロシアの脅威アクターに取得された。オリジナルを作成した中国の脅威アクターは、このローダーを使用しなくなった時点で、ロシアの脅威アクターに売却した」と付け加えている。双方は、検出曲線の先を行くために、脅威アクターがアプローチを洗練させ、再構築するという、最新の例に過ぎない。研究者たちは、「サイバー犯罪のエコシステムが、モジュール化されたサービスを利用するにつれて、単なる脅威グループによる攻撃だと、断定することが不可能になっている。攻撃で用いられる、特定のコンポーネントを追跡することが重要だ」と結論付けている。これまで、中国とロシアの脅威アクター間の連携という話は聞いたことがありません。サイドローディングの仕組みが詳しく解説されています。この手のマルウェアに感染すると、かなり厄介なことになるようです。