--- title: "オープンソースからオープンに広がる脅威: Chaos RAT の進化をたどる" description: Chaos RAT は Go言語で書かれたオープンソースの RAT（リモートアクセス型トロイの木馬）で、Windows と Linux の両方に対応するクロスプラットフォーム型の脅威です。Cobalt Strike や Sliver のような人気のあるフレームワークに着想を得た Chaos RAT には、ユーザーがペイロードをビルドし、セッションを確立し、侵害されたマシンを制御できる管理パネルが備わっています。 canonical_url: https://www.acronis.com/ja/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/ locale: ja last_updated: 2026-10-27 --- * [ホーム](https://www.acronis.com/ja/tru/) * [すべての投稿](https://www.acronis.com/ja/tru/posts/) * [Santiago Pontiroli](https://www.acronis.com/ja/tru/authors/pontiroli-santiago/) 2025年6月4日(水) # オープンソースからオープンに広がる脅威: Chaos RAT の進化をたどる Chaos RAT は Go言語で書かれたオープンソースの RAT（リモートアクセス型トロイの木馬）で、Windows と Linux の両方に対応するクロスプラットフォーム型の脅威です。Cobalt Strike や Sliver のような人気のあるフレームワークに着想を得た Chaos RAT には、ユーザーがペイロードをビルドし、セッションを確立し、侵害されたマシンを制御できる管理パネルが備わっています。 著者: **[Santiago Pontiroli](https://www.acronis.com/ja/tru/authors/pontiroli-santiago/)** その他の利用可能な言語[English](https://www.acronis.com/en/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/) [Deutsch](https://www.acronis.com/de/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/) [Español](https://www.acronis.com/es/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/) [Français](https://www.acronis.com/fr/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/) [Italiano](https://www.acronis.com/it/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/) [Português](https://www.acronis.com/pt/tru/posts/from-open-source-to-open-threat-tracking-chaos-rats-evolution/) **著者：****Santiago Pontiroli, Gabor Molnar, Kirill Antonenko** ## サマリー * Acronis TRU （脅威リサーチユニット）は、最近発生した Linux および Windows への攻撃の中で、既知のマルウェアファミリーである Chaos RAT の新たな亜種を発見しました。 * Chaos RAT は、2022 年に初めて登場したオープンソースのリモート管理ツール（RAT）です。2024 年に進化し、2025 年に TRU によって新たなサンプルが発見されました。 * TRU のリサーチャーは、Chaos RAT の Web パネルに、攻撃者がサーバー上でリモートコードを実行できる重大な脆弱性を発見しました。今回確認された Chaos RAT のサンプルは、被害者に Linux 環境向けのネットワークトラブルシューティングツールをダウンロードさせようとしていた形跡が示されています。 * Go 言語（Golang）で開発された Chaos RAT は、Windows と Linux システムとのクロスプラットフォーム互換性を提供します。これは、いかに便利な正規ツールであっても脆弱性を抱えることで、サイバー犯罪に転用されるリスクがあることを改めて示しています。 * 全体として利用は限定的であるものの、最近のサンプルからChaos RATが依然として活発であることが確認されています。検出率が低いため、スパイ活動、データ窃取、ランサムウェアなどの侵入後の活動のための足掛かりを築く機会が生まれます。 * この技術分析では、アクロニスの TRU チームが Linux の亜種に焦点を当て、YARA ルール、侵害の指標、および EDR を使用した脅威ハンティングのヒントなど、防御側のための実践的な検出戦略を紹介します。 ## はじめに Chaos RAT は Go言語で書かれたオープンソースの RAT（リモートアクセス型トロイの木馬）で、Windows と Linux の両方に対応するクロスプラットフォーム型の脅威です。Cobalt Strike や Sliver のような人気のあるフレームワークに着想を得た Chaos RAT には、ユーザーがペイロードをビルドし、セッションを確立し、侵害されたマシンを制御できる管理パネルが備わっています。Go言語ベースのマルウェアは、C++ や他の一般的な言語で書かれたものに比べて動作が遅く、サイズも大きくなる傾向がありますが、Go言語のクロスコンパイル機能のおかげで、**開発時間を短縮でき、柔軟性も向上**しています。 ![Image 1: Figure 1](https://staticfiles.acronis.com/images/content/821c97601f1d9e0726bfd37c62fd5eb4.png) Figure 1 元々はリモート管理のための合法的なツールとして設計された Chaos RAT ですが、オープンソースの性質上、脅威アクターにより悪用されています。Chaos RAT は 2017 年に開発が始まりましたが、実際に攻撃に悪用されていることが初めて確認されたのは 2022 年 11 月でした。それ以来、Linux 版の亜種が次々に登場しており、その多くが暗号資産マイニングキャンペーンで悪用されています。本分析では、Chaos RAT のアーキテクチャ、実際の攻撃での使用状況、検出と緩和の手法について深く掘り下げます。 ## Chaos RAT の解析: コード、機能、通信 ### デリバリー 通常、Chaos RAT は悪意のあるリンクや添付ファイルを含むフィッシングメールを介して被害者に感染します。初期のサンプルでは、RAT とは無関係の悪意あるスクリプトを展開し、脅威アクターが永続化目的で悪用することの多いタスクスケジューラ **/etc/crontab**ファイルの改変が行われました。この仕組みにより、攻撃者はターゲットシステムに再度アクセスすることなく、実際のペイロードを更新・変更することができます。これは、cron ジョブが実行されるたびにペイロードがリモートから取得されるためです。初期のキャンペーンでは、この手法を用いて暗号通貨マイナーと Chaos RAT を別々に配信していたことから、Chaos RAT は主に侵害されたデバイス上での偵察や情報収集のために使用されていたことが分かります。 ![Image 2: Figure 2](https://staticfiles.acronis.com/images/content/0aacf23e551dc88908895d36f1f8b429.png) Figure 2 Virus Total で発見され、インドから提出されたこの最新の[サンプルでは](https://www.virustotal.com/gui/file/68cfa09cf83a02c0c38ae95598d8660611efaf01a34c68157b6cfc9011ee5e13)、NetworkAnalyzer.tar.gz という名前の tar.gz 圧縮アーカイブファイルに、最終的な Chaos RAT ペイロードが含まれていました。被害者がどのようにしてこのパッケージを受け取ったかについての追加情報はありませんが、入手できた情報によると、Linux 環境向けのネットワークトラブルシューティングユーティリティをダウンロードするように誘導していると考えられます。 ![Image 3: Figure 3](https://staticfiles.acronis.com/images/content/8e49ae3dc98d434921c54a81907f981a.png) Figure 3 ### 概要 Chaos RAT の現在も活発にメンテナンスされている最新版ソースコードは、GitHub 上で公開されており、最終更新日は 2024 年 10 月です。このバージョンは、Windows および Linux の両プラットフォームを対象とした 64 ビットクライアントの構築専用に設計されています。その開発が継続していることから、互換性の拡大、ペイロード生成機能の改良、通信プロトコルの強化などを目的とした機能向上が継続していることを示唆しています。 ### 管理パネル Chaos RAT の管理パネルは、ペイロードの構築、管理、制御のための集中管理インターフェイスとして機能します。ブラウザ経由で分かりやすいダッシュボードを備えており、攻撃者やリサーチャーはこの豊富な機能を使いながら、侵害されたシステムとやり取りできます。検出された管理者パネルの数は少ないものの、VirusTotal の新たなサンプルが確認されていることや検出率の低さから、Chaos RAT が依然として現実の攻撃に使用されていることが考えられます。 ![Image 4: Figure 4](https://staticfiles.acronis.com/images/content/c976d24a9e375d87384e9b012003caff.png) Figure 4 管理パネルは、以下のコマンドを実行することで、ローカルで起動できます。 **PORT=8080 SQLITE_DATABASE=chaos go run cmd/chaos/main.go** サービスが開始されると、パネルには任意のWebブラウザを用いて**http://localhost:8080** からアクセスでき、デフォルトのログイン資格情報は **admin:admin** です。 管理パネルには、クライアントの管理、ペイロードの生成、キャンペーンの監視を行うためのタブがあります.**ダッシュボードには**、クライアント ID、IP、OS の詳細、接続統計が表示されます。**ペイロードジェネレーターは**、Windows 用と Linux 用の 64 ビットペイロードを作成することができ、Windows 用には「Run Hidden」などのオプションが用意されています。 ![Image 5: Figure 5](https://staticfiles.acronis.com/images/content/3fa5064dcd87dbe6a766a64bf6d44a03.png) Figure 5 ![Image 6: Figure 6](https://staticfiles.acronis.com/images/content/ea691a3654a108b670d04e6fc9c6763f.png) Figure 6 **[****クライアント管理****]**タブは、ID、オペレーティングシステム、IP、最後に見たタイムスタンプなどの詳細情報とともに接続されたクライアントを表示します。個別または一括でのコマンド実行をサポートしています。**[****ファイルエクスプローラー****]****タブは**、ファイルの閲覧、アップロード、ダウンロード、削除、実行の各操作が可能で、ディレクトリ階層を再帰的にたどることができます。 ![Image 7: Figure 7](https://staticfiles.acronis.com/images/content/8e3d6cb9859608c65234a6e4247fc4fd.png) Figure 7 **[****リモートシェル****]****タブは**、Windows または Linux システム上でコマンドをリアルタイムで実行できます。**[****設定****]**タブは、資格情報、ポート、データベースパスなどの設定を変更できます。 ![Image 8: Figure 8](https://staticfiles.acronis.com/images/content/e3c856586e3caead59bfb909ba2e3f14.png) Figure 8 ### 実行 Windows 版には、ビルドのステップでコンソール出力を非表示にする「Run Hidden」オプションがありますが、Linux にはありません。実行すると、サーバーアドレスと接続状況が表示されます。 ![Image 9: Figure 9](https://staticfiles.acronis.com/images/content/fef0a019e03f10e768f28fb9ca1c5b0b.png) Figure 9 Linux システムでは、この出力を「/dev/null」デバイスにリダイレクトすることで、非表示にできます。 Chaos RAT の古いバージョンと新しいサンプルの主な違いは、古いもの（下図左側）では、IP アドレス、ポート、その他のデータをエンコードせずにプレーンテキストとして格納されることです。ただし、トークン値はどちらのバージョンも、Base64 でエンコードされています。最新の亜種（下図右側）では、すべてのデータがエンコードされた 1 つの Base64 文字列として格納され、それを読み取るための追加関数が実装されています。 ![Image 10: Figure 10](https://staticfiles.acronis.com/images/content/55b0426c602ced484a8e40139cfb39b7.png) Figure 10 私たちは最近、ChaosRAT プロジェクトの最新版を使ってコンパイルされた、2 つの新たに確認されたバイナリを解析しました。そのうちの 1 つ（サンプル 2 ）は、さらに UPX ユーティリティでパックされていました。 #### デコードされたコンフィギュレーションデータ 各サンプルには、フィールド名がランダム化された Base64 エンコード済みの設定オブジェクトが含まれています。デコードすると、これらのフィールドは**C2****サーバーのポート番号**、**IP****アドレス**、認証に使用される**JWT****トークンといった**主要の値に割り当てられていることが確認できます。 **サンプル****1** _SHA256:_ _1e074d9dca6ef0edd24afb2d13cafc5486cd4170c989ef60efd0bbb0_ { "86pYnySllR": "5223", "S7mOecuru0": "176.65.141.63", "vu2Yr4lh2E": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdXRob3JpemVkIjp0cnVlLCJleHAiOjE3Njk1ODEyMzQsInVzZXIiOiJkZWZhdWx0In0.gQ7sfb0DF74yrFsdCO1dy1Vb3YBhEv2utn7PdcB4kC4" } **サンプル 2** _SHA256:a51416ea472658b5530a92163e64cfa51f983dfabe3da38e0646e92fb14de191_ { "Svy1ITNLYV": "7419", "WiBZgQLch7": "91.208.197.40", "bIffmObdNe": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdXRob3JpemVkIjp0cnVlLCJleHAiOjE3NzI0NTg2NTYsInVzZXIiOiJkZWZhdWx0In0.5crbatKoe-6CogXJwgzOl_RSBnydG5l_Lf-ahO2HAu0" } 図示されているように、フィールド名は単純なパターン検出を回避するためにランダム化されていますが、その構造と目的は一貫しています。 #### JWT の内訳 埋め込まれた JSON Web トークン（ JWT ）は標準フォーマットに従い、有効期限のタイムスタンプ（ exp フィールド）のみが異なります。 **サンプル****1** { "alg":"HS256", "typ":"JWT" } { "authorized":true, "exp":1769581234, "user":"default" } ********サンプル****2******** { "alg":"HS256", "typ":"JWT" } { "authorized":true, "exp":1772458656, "user":"default" } このトークンは、コマンド & コントロールインフラストラクチャーとのクライアント/サーバー通信における認証と認可に使用されます。 #### 構成後の動作 構成情報が解析されると、マルウェアは情報収集ルーチンへと進みます。この機能は、システムのメタデータ、ネットワークの詳細、およびオペレータが感染したマシンをプロファイリングするのに役立つ潜在的な識別子を含む詳細なホストデータを収集します。 * ホスト名 * 現在の名前 * MAC アドレス * IP アドレス * 現在の時刻 * OS 名 * OS アーキテクチャ システムが OS 名を取得すると、各 OS に特有の関数実行パスを決定するために、グローバル変数が割り当てられます。Windows システムでは「1」、Linux では「0」に設定されます。この変数を設定すると、RAT はコンパイルされたクライアントがサポートする追加サービスを初期化し、検出された OS に基づいて機能を調整します。 ![Image 11: Figure 11](https://staticfiles.acronis.com/images/content/7de5ca09ee6347eb46950e80c6c406bf.png) Figure 11 その後、RAT は無限ループに入り、サーバーの稼働状況を継続的に監視します。サーバーに到達できなかった場合は、30 秒ごとに再試行されます。接続が確立されると、RAT は収集したシステムデータをサーバーに送信し、30 秒間隔でコマンドの受信をチェックします。 ![Image 12: Figure 12](https://staticfiles.acronis.com/images/content/fd8704d196b6d4bc3e7dad28242281f8.png) Figure 12 サーバーと通信するために、クライアントはリクエストを送信する前に、IP アドレスとポートに次のいずれかの文字列を付加します。 * **/client** - 新しい接続を初期化する * **/health** - サーバーが利用可能かどうかをチェックする * **/device** - デバイス情報を送信する クライアントがサーバーへの接続に失敗した場合、以下のメッセージが出力されます。 ![Image 13: Figure 13](https://staticfiles.acronis.com/images/content/bf0eb1727b6c4ed7803ab79162d75f90.png) Figure 13 サーバーからコマンドを取得するには、確立された接続から最後に取得したメッセージを読み込みます。サーバーからの各メッセージは JSON 形式で送信されるため、Chaos RAT クライアントはまずそれを逆シリアル化します。 ![Image 14: Figure 14](https://staticfiles.acronis.com/images/content/232d25bdf06516ba917d6b5fb9713a66.png) Figure 14 次に、コマンド値を取得し、事前定義された文字列のセット（使用可能なコマンド）をロードします。これらの文字列は、取得した値と比較され、実行すべき操作が決定されます。 ![Image 15: Figure 15](https://staticfiles.acronis.com/images/content/fc837b15b3d5637dacf26c53029d878e.png) Figure 15 ### コマンドセットと機能 * **getos**- OS 名、バージョン、アーキテクチャ、ユーザー名、MAC アドレス、IP アドレス、現在の日時などのシステム情報を収集します。 * **screenshot**-**kbinani/screenshot** ライブラリを使用してスクリーンショットをキャプチャし、PNG 形式でエンコードした後、Base64 エンコードを施してサーバーに送信します。 * **restart** - システムを再起動します。Windows ではshutdown -r -t 00**を、**Linux では reboot を使用します。 * **shutdown** - システムをシャットダウンします。Windows では shutdown -s -t 00**を、**Linux では poweroff を使用します 。 * **lock**-**user32.dll****の****LockWorkStation** 関数を使用して Windows システムをロックします。**Linux****ではサポートされていません。** * **sign-out**- ユーザーをログアウトします。Windows では **shutdown -L** コマンドを使用します。**Linux****ではサポートされていません。** * **explore**- 指定したパスからファイルとディレクトリを一覧表示します。ファイル名とその更新日時を提供します。ディレクトリを再帰的にたどることができます。 * **download**- 指定したファイルをクライアントからサーバーにアップロードします。Base64 エンコーディングなしの **POST** リクエストによって開始されます。 * **upload**-**GET**リクエストで指定されたファイルをサーバーからクライアントにダウンロードし、データをローカルファイルに書き込みます。 * **delete**- クライアントのファイルシステムから指定されたファイルを削除します。 * **open-url**- デフォルトのブラウザで URL を開きます。Windows では **start** コマンドを、Linux では**xdb**ユーティリティを使用します。 ### コマンド機能の詳細 #### GetOS このコマンドは、OS 名、バージョン、アーキテクチャ、ユーザー名、MAC アドレス、IP アドレス、現在の日時などのシステム情報を取得します。 ![Image 16: Figure 16](https://staticfiles.acronis.com/images/content/de7459302056844214492b29d31dc51d.png) Figure 16 #### Screenshot この機能は、[別のオープンソースプロジェクトから](https://github.com/kbinani/screenshot)流用されたものです。スクリーンショットを撮ったら、エンコード関数に渡して PNG 形式に変換します。サーバーに送信する前に、Base64 でエンコードします。サーバー上では、この画像はダウンロードフォルダに保存されます。 ![Image 17: Figure 17](https://staticfiles.acronis.com/images/content/0a683bbba232c201c47e837b874fd712.png) Figure 17 #### Reboot と shutdown これらのコマンドの実行はオペレーティングシステムによって異なります。Windows の場合、再起動には「shutdown -r -t 00」コマンドを使用し、システムのシャットダウンには「shutdown -s -t 00」コマンドを使用します。Linux の場合は「reboot」と「poweroff」コマンドを使用します。 ![Image 18: Figure 18](https://staticfiles.acronis.com/images/content/66d083479d27ee925d573b4dcea8bf57.png) Figure 18 #### Lock と sign out これらのコマンドは Windows 版でのみサポートされています。「lock」操作では、「user32.dll」の「LockWorkStation」関数を使用します。 Rundll32.exe user32.dll, LockWorkStation 「sign-out」コマンドは「shutdown -L」コマンドを使って実行します。 ![Image 19: Figure 19](https://staticfiles.acronis.com/images/content/3f73675622405947fd94eaf935df037d.png) Figure 19 #### File explorer この関数は、システム上のファイルを一覧表示するために使用されます。ホームディレクトリから開始し、「ReadDir」関数を実行します。そして、見つかったファイルの種類をチェックします。ファイルがディレクトリの場合は、その名前だけを取得してリストに追加します。 { "path":"/home/dev/go", "files":null, "directories":[ "bin", "pkg" ] } リストされたディレクトリにファイルが含まれている場合は、ファイル名の他に最終更新日も返します。 { "path":"/home/dev", "files":[ { "filename":".bash_history", "mod_time":"2025-03-06T10:28:28.788848322Z" }, { "filename":".bash_logout", "mod_time":"2024-03-31T08:41:03Z" }, { "filename":".bashrc", "mod_time":"2024-03-31T08:41:03Z" } ] } #### Download と upload download コマンドがクライアントに届いたら、それをサーバーにアップロードする必要があります。コマンドには、パラメータとして完全なファイルパスが含まれています。 ![Image 20: Figure 20](https://staticfiles.acronis.com/images/content/f5ad889f379afc4e2e778edeffcc1369.png) Figure 20 まず、クライアントはファイル内容を読み取り、POSTリクエストを作成し、そこにファイルデータも書き込みます。続いて、構成情報から取得したトークンを含む Cookie とコンテンツタイプを設定します。このリクエストは、Base64 エンコーディングなしで送信されます。 ![Image 21: Figure 21](https://staticfiles.acronis.com/images/content/dd5deb39438723667fc9c518ae83ee80.png) Figure 21 アップロードファイルがクライアントに送信されると、クライアントは、引数で指定されたファイルをローカルシステム上にダウンロードします。これを行うには、サーバーに「GET」リクエストを送信し、取得したデータをファイルに書き込みます。 ![Image 22: Figure 22](https://staticfiles.acronis.com/images/content/0b794f152641d408d9897f582afa25c0.png) Figure 22 いずれの場合も、ファイルをダウンロードまたはアップロードした後、処理が正常に完了したことを示すために、ファイルのフルパスを含む追加パケットを送信します。失敗した場合は、結果として「0」を含むパケットを送信します。 #### Open URL Windows システムでは、「start」コマンドを使用して、システムのデフォルトブラウザで URL を強制的に開かせます。Linux システムでは、この目的のために「xdb」ユーティリティを使用します。 ![Image 23: Figure 23](https://staticfiles.acronis.com/images/content/31f75b396bf85590512f4ffa39143f1d.png) Figure 23 #### Command execution Chaos RAT は、リクエスト内の「command」フィールドに端末コマンドを格納します。クライアント側で既存のコマンドと一致しない場合、そのコマンドは端末に渡されます。実行されたコマンドの出力結果はサーバーに返送されます。 ![Image 24: Figure 24](https://staticfiles.acronis.com/images/content/0b21b3943379a262f81ba8b4c6b48932.png) Figure 24 コマンドが実行されると、結果が Base64 でエンコードされ、JSON 形式でサーバーに送信されます。各クライアントは、ホストの MAC アドレスを自分の ID として使用します。 ![Image 25: Figure 26](https://staticfiles.acronis.com/images/content/ce53a8be41ac4a412b76b2e918a3b72f.png) Figure 25 ![Image 26: Figure 26](https://staticfiles.acronis.com/images/content/ce53a8be41ac4a412b76b2e918a3b72f.png) Figure 26 ## Chaos RAT は攻撃者にコントロールパネルの制御権を与えます。 Chaos RAT は、その手口の受け皿になりました。その Web パネルに重大な脆弱性があり、攻撃者はサーバー上でリモートコードを実行することができました。本来は他者を制御するためのツールが、今度は制御される側へと立場が逆転したのです。 #### 脆弱性： CVE-2024-30850 問題の核心は、Chaos RAT のバックエンドにある BuildClient 関数でした。この関数は、サーバーアドレス、ポート、ファイル名などのユーザー入力を受け取り、エージェントバイナリを構築するためのシェルコマンドを生成していました。一部の入力検証は行われていたものの、exec.Command（"sh", "-c", buildCmd）が使われていたことで、悪意ある入力によって任意のコマンドが挿入される恐れがありました。こうして、認証されたユーザーが、RAT をホスティングするサーバー上でコードを実行できるようになりました。 ![Image 27: Figure 27](https://staticfiles.acronis.com/images/content/9e0c959b8d71963f0386c87cfa7c5f52.png) Figure 27 #### エクスプロイト：CVE-2024-31839 攻撃者は、管理パネルの XSS 脆弱性を悪用して、偽装したエージェントのコールバックを作成することができました。エージェントのデータに悪意のあるスクリプトを埋め込むことで、管理者のブラウザセッションのコンテキストで、JavaScript を実行することができました。このサーバー側のコマンドインジェクションと、クライアント側の XSS が組み合わさることで、強力な攻撃ベクトルが生み出されました。 #### 予想外の結末：リックロールされる 例えば、セキュリティ研究者でリックロールの専門家としても知られる Chebuya 氏は、この脆弱性を利用し、Chaos RAT の管理パネルに Rick Astley の「Never Gonna Give You Up」を再生させることで、その危険性を実証しました。詳細については、Chebuya 氏の記事をご覧ください：[偽装エージェントによる CHAOS RAT のリモートコード実行](https://blog.chebuya.com/posts/remote-code-execution-on-chaos-rat-via-spoofed-agents/)。 ![Image 28: Figure 28](https://staticfiles.acronis.com/images/content/06a17e56bee47cbf88883ad03c1c80c1.png) Figure 28 影響 このマルウェアは、ファイル管理、リバースシェルアクセス、ネットワークトラフィックのプロキシ機能を備えています。これらの機能は、スパイ活動やデータ窃取を容易にしたり、ランサムウェアなどの侵入後の攻撃活動の足掛かりとして利用されたりする可能性があります。 オープンソースのため脅威アクターは容易に改変・転用することができ、シグネチャベースの検出を回避できる新たな亜種を作成できます。また、複数のアクターが明確な繋がりなく同様のツールを使用できるため、アトリビューションの特定が複雑になり、サイバー犯罪と国家支援活動の境界が曖昧になります。 実例 複数のAPT（高度な持続的脅威）グループが、オープンソースのリモートアクセス型トロイの木馬（RAT）を活動に使用していることが確認されています。APT41とAPT36はどちらもNjRATを使用し、APT10はQuasarRATを使用しています。Blind Eagle（APT-C-36）はAsyncRATを利用することが知られています。さらに、APT34とAPT35はどちらも、キャンペーンにPupy RATを利用しています。 Chaos RATをはじめとするオープンソースマルウェアを使用する理由 1. 紛れ込める：公開されているマルウェアを使用することで、APTグループは日常的なサイバー犯罪の喧騒に紛れ込むことができます。低レベルの攻撃者がRATを広く使用している場合、特定のキャンペーンを実行しているのが高度な攻撃者なのか、それともスクリプトキディなのかを判断することが難しくなります。 2. スピードとコスト：十分なリソースを持つAPTであっても、迅速に行動するか、複数の標的にまたがって作戦を展開する必要があります。オープンソースマルウェアは、「十分に機能する」ツールキットを提供し、迅速にカスタマイズして展開できます。 3. 帰属の回避：複数の攻撃者が同じオープンソースマルウェアを使用すると、帰属の特定が困難になります。マルウェアだけに基づいて特定のグループへの活動を容易に結び付けることはできず、高度な脅威アクターが機密性の高い作戦を隠れ蓑にしてしまう可能性があります。 ## 結論 最初は開発者向けのツールであったものが、瞬く間に脅威アクターの格好の武器へと変わることがあります。この Go言語 ベースの RAT は、シンプルな Web インターフェイスと、強力なシステムコントロールを Windows と Linux に提供し、侵害されたシステム上でリバースシェル、ファイル操作、リモートコマンドの実行が可能です。 Chaos は実際に確認されており、サイバーセキュリティにおける重大な問題である「オープンソースソフトウェアの武器化」を象徴しています。迅速なデプロイ機能、Linux を標的にしたステルス性、柔軟な構成など、[**オープンソースは諸刃の剣であり、悪の手に渡れば深刻な被害をもたらす**](https://www.youtube.com/watch?v=dQw4w9WgXcQ)ことを思い知らされます。 ## アクロニスによる検出 Acronis Cyber Platform (旧称 Acronis Cyber Protect Cloud) は、ChaosRAT のさまざまなコンポーネントを「Trojan.Linux.ChaosRAT.A」として正常に検出します。以下のスクリーンショットでご確認ください。 ![Image 29: Figure 29](https://staticfiles.acronis.com/images/content/6a8be568f6ac482db1c469177679a922.png) Figure 29 ![Image 30: Figure 30](https://staticfiles.acronis.com/images/content/100f3964103ddf1c8ab975d67f90030e.png) Figure 30 ![Image 31: Figure 31](https://staticfiles.acronis.com/images/content/103c2f4ef7ef8cc0fda28994d4158cb6.png) Figure 31 アクロニスは最近、[Acronis EDR の](https://dl.acronis.com/u/baas/rn/25.03/en-US/AcronisCyberProtectCloud_relnotes.htm#AdvancedSecurity+XDREDRsupportforLinuxworkloads-5) Linux サポートを[発表しました](https://www.acronis.com/en-us/products/cloud/cyber-protect/security-edr/)。この機能強化により、EDR のカバレッジが複合環境に広がり、Windows、macOS、そして新たに Linux ワークロードに対して万全の保護が可能になりました。Acronis EDR が Linux システム上で不審なファイルや悪意のあるプロセスを検出すると、これらの検出結果は自動的に MITRE ATT&CK フレームワークにマッピングされ、潜在的な脅威に対するより深い洞察を提供します。 このアップデートにより、Linux デバイスに対していくつかの是正措置が実行可能になりました。これには、悪意のあるプロセスの停止、ファイルの検疫、許可またはブロックリストへの項目の追加、影響を受けたシステムのバックアップからのリカバリなどが含まれます。 この新機能は、Ubuntu 22.04 および CentOS 7.x オペレーティングシステムをサポートし、[Acronis XDR でも](https://www.acronis.com/en-us/products/cloud/cyber-protect/extended-detection-and-response/)利用できます。 ## 侵害の指標 ### ファイル ![Image 32: オープンソースからオープンに広がる脅威: Chaos RAT の進化をたどる](https://staticfiles.acronis.com/images/content/37df7351fb85d078e7b3188f53dd2a53.png) ## YARA ![Image 33: オープンソースからオープンに広がる脅威: Chaos RAT の進化をたどる](https://staticfiles.acronis.com/images/content/a30613c188974a36d3f7abe3dbf8c28f.png) ## 参考資料および関連サイト（年代順） 1. **Chaos RAT****に関するツイート****（****by Cyberteam008****）** 2025 年 4 月 15 日。 [https://x.com/Cyberteam008/status/1889516549129802007](https://x.com/Cyberteam008/status/1889516549129802007) 2. **GitHub****アドバイザリーデータベース。****tiagorlampert CHAOS****にクロスサイトスクリプティングの脆弱性****(CVE-2024-31839)** 2024 年 4月 12 日。 [https://github.com/advisories/GHSA-c5rv-hjjc-jv7m](https://github.com/advisories/GHSA-c5rv-hjjc-jv7m) 3. **偽装エージェントを介した****CHAOS RAT****でのリモートコード実行（****by Chebuya****）** 2024 年 4 月 5 日。 https://blog.chebuya.com/p [osts/remote-code-execution-on-chaos-rat-via-spoofed-agents/](https://blog.chebuya.com/posts/remote-code-execution-on-chaos-rat-via-spoofed-agents/) 4. **CVE-2024-30850****（****by Chebuya****）に関するツイート** 2024 年 4 月 5 日。 [https://x.com/_chebuya/status/1776371049095192847](https://x.com/_chebuya/status/1776371049095192847) 5. **MAL_LNX_Chaos_Rat_Dec22****（****Nextron-Systems****による****Valhalla****ルール****）** 2022 年 12 月 14 日。 [https://valhalla.nextron-systems.com/info/rule/MAL_LNX_Chaos_Rat_Dec22](https://valhalla.nextron-systems.com/info/rule/MAL_LNX_Chaos_Rat_Dec22) 6. **Chaos****は、****Go****ベースのスイスアーミーナイフのようなマルウェア（****Lumen****ブログ）** 2022 年 9 月 28 日。 https://blog.lumen.com/chaos-is-a-go-based-swiss-army [-knife-of-malware/](https://blog.lumen.com/chaos-is-a-go-based-swiss-army-knife-of-malware/) 7. **CHAOS:****リモート管理ツール（****GitHub****リポジトリ）**[https://github.com/tiagorlampert/CHAOS](https://github.com/tiagorlampert/CHAOS) 関連記事 [アクロニスサイバー脅威アップデート（2026 年 7 月）](https://www.acronis.com/ja/tru/posts/acronis-cyberthreats-update-july-2026/) [アクロニス サイバー脅威アップデート（2026 年 3 月）](https://www.acronis.com/ja/tru/posts/acronis-cyberthreats-update-march-2026/) [イスラエルのミサイル警報システム「Red Alert」を装ったモバイルスパイウェアキャンペーン](https://www.acronis.com/ja/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [アクロニス サイバー脅威アップデート（2026 年 2 月）](https://www.acronis.com/ja/tru/posts/acronis-cyberthreats-update-february-2026/)