ESETが警告：WebwormがDiscordとMicrosoft Graphに潜む新バックドア「EchoCreep」「GraphWorm」を使用

サイバーセキュリティ企業ESETの研究チームは、中国と関係があるとされる高度持続的脅威（APT）グループWebwormの最新のスパイ活動を分析し、新しいバックドア型マルウェアの存在を確認した。2025年の活動では、正規のクラウドサービスを通信経路として利用することで、攻撃の発見を困難にする新しい手法が採用されているという。

特に注目されているのが、EchoCreepとGraphWormという2つのバックドアだ。いずれも一般的なクラウドプラットフォームを通信インフラとして利用し、攻撃者の指令（C2）や盗んだデータのやり取りを隠す仕組みになっている。

新バックドア「EchoCreep」と「GraphWorm」

ESETの分析では、今回のキャンペーンの中心となるツールとして以下の2つが確認された。

EchoCreep

• チャットサービスDiscordをコマンド＆コントロール（C2）通信に利用するバックドア
• Discordメッセージを通じて
  • ファイルのアップロード
  • マルウェアの実行状態の報告
  • 攻撃者からのコマンド受信
    が可能とされる

GraphWorm

• Microsoft Graph APIを利用するバックドア
• Microsoft 365のサービスにプログラムからアクセスできるAPIを悪用し、企業ネットワーク内の通常のクラウド通信に紛れ込むことができる

調査の過程で、研究者はこの攻撃に関連する400件以上のDiscordメッセージを復号し、感染端末の制御方法やデータ管理の実態を確認した。

正規クラウドサービスを“隠れみの”に

Webwormの大きな特徴は、攻撃インフラを自前のサーバーではなく、広く使われているクラウドサービスの中に隠している点だ。ESETによると、以下のようなサービスが悪用されていた。

• Discord：C2通信やファイル転送
• Microsoft Graph API：Microsoft 365環境を経由した通信
• Microsoft OneDrive：データ保存や転送
• GitHub：マルウェア運用や通信インフラの補助

企業や政府機関ではMicrosoft 365やクラウドサービスの利用が一般的であり、これらを全面的にブロックすることは現実的ではない。そのため攻撃通信が通常のクラウドトラフィックに見えてしまい、セキュリティ監視をすり抜けやすくなる。

欧州の政府機関が主な標的

ESETの調査によると、2025年の活動ではWebwormは欧州の政府機関を重点的に狙っていた。

確認された標的の国は次の通り。

• ベルギー
• イタリア
• ポーランド
• セルビア
• スペイン

また欧州以外では、南アフリカの大学に関連する活動も確認されている。

ただし、具体的な省庁や政府機関の名称は公表されていない。

従来型RATから“軽量ツール”へ戦術を変更

Webwormは少なくとも2022年から活動が確認されており、過去にはTrochilusや**9002 RAT（McRat）**などのリモートアクセス型マルウェアを利用していた。

しかしESETによると、近年は以下のような方向へツールセットを変化させている。

• プロキシツールやトンネル型ツールの活用
• 軽量なバックドアの利用
• クラウドサービスを通信チャネルとして使用

この戦術変更にはいくつかの利点がある。

• 感染端末上のマルウェアの痕跡が少ない
• 通信が正規サービスと同じに見える
• 従来のウイルス検知やシグネチャ型防御を回避しやすい

なぜ検知が難しいのか

今回のケースは、近年のサイバースパイ活動に共通する傾向を示している。それは正規のクラウドサービスを攻撃インフラとして利用する手法だ。

DiscordやMicrosoftのAPIのようなサービスは、世界中の企業や政府機関で日常的に利用されている。そのため、セキュリティチームは「通常の利用」と「攻撃者による悪用」を区別しなければならず、単純なドメインブロックでは対処できない場合が多い。

ESETは、こうした攻撃への対策として

• 挙動ベースの検知
• IDおよびアクセス監視
• 異常なクラウドAPI利用の分析

といった高度なセキュリティ監視の重要性が高まっていると指摘している。