攻撃者は、接続開始時にFTPサーバーが表示するウェルカムメッセージを悪用し、Windows上で動作する2種類の新たなリモートアクセス型マルウェア、E4delとPINHOLEの配布に使われる悪意あるコマンドを隠している。MalwareHunterTeamは、2026年7月に確認された攻撃でこの手法を発見し、その後、脅威インテリジェンスプラットフォームのSOCRadarが調査を拡大して、8月まで継続的に使用されていたことを確認した。
FTPのウェルカムメッセージとは、ログイン前にサーバーが接続端末へ送信するテキストである。このキャンペーンでは、侵害されたシステムが受信する初期応答にコマンドが埋め込まれており、初期プログラムがそれを利用してリモートサーバーから指示を取得する。これは、一般的なウェブサービスではなくFTP経由でサーバーをデッドドロップ・リゾルバー（Dead-Drop Resolver）として利用する手法に似ている。
感染はどのように始まるのか？
SOCRadarのレポートによると、この攻撃チェーンはZIPファイルから始まり、研究者は初期アクセスがフィッシングによって行われる可能性が高いとみている。アーカイブを開くと、.LNKショートカットファイルを利用した感染チェーンが実行され、E4delまたはPINHOLEをインストールする2つの異なる経路に分岐する。いずれの経路でも、PowerShellプログラムはFTPサーバーのウェルカムメッセージから抽出される。
E4delとPINHOLEの機能
E4delは、Electronアプリケーション内にNode.jsを組み込んだ構成で、デジタル署名付きのDiscordアプリケーションを装っている。短時間または継続的なShellセッションを通じたコマンド実行、スクリーンショットの取得、WebSocketsによるデスクトップのストリーミングに加え、他のペイロードのダウンロードと実行をサポートする。研究者は、権限昇格を試みるcrypto32.nodeというNode.jsモジュールにも言及したが、分析のために入手することはできなかった。
一方、PINHOLEはPinterestの投稿とSurveyMonkeyのアンケート質問からコマンド＆コントロールの接続設定を抽出する。この方法により、情報源を変更する柔軟性と、無効化の難しさが得られる。プログラムは、埋め込みシェルコードを変動させる「Shellcode Fluctuation」と呼ばれる手法を使用し、毎回4キロバイトのペイロード部分だけをメモリ上に保持する。その後、Early Bird APC Injection技術を使い、最終的なアセンブリをApplicationFrameHost.exeという名前の一時停止プロセスへ注入する。
PINHOLEは14種類のコマンドをサポートしており、ファイルの一覧表示、ファイルのアップロードとダウンロード、コマンド実行、プロセス管理、スクリーンショットの取得、ブラウザーに保存された認証情報を窃取するモジュールの展開などが含まれる。分析時点で、プログラムの実行イベントは11件しか記録されておらず、キャンペーンが初期段階にあったことを示している。
なぜこの手法が重要なのか？
FTPメッセージを利用することは、コマンドを伝達する珍しい代替手段だが、X、GitHub、YouTubeなどのウェブサービスに依存する方法より必ずしも隠密性が高いわけではない。未知のFTPサーバーとの通信は、特にネットワーク内で通常見られる利用パターンと一致しない場合、防御チームにとってより明確な兆候となる可能性がある。研究者は、この手法がClickFix型のソーシャルエンジニアリングキャンペーンに適応可能だと考えている。
SOCRadarによると、FOFAを使った検索により、この技術が2026年7月初旬から武器化されていたことが判明し、8月には新たなインフラストラクチャーが確認された。同社のレポートには、ネットワーク内の悪意あるサーバーと感染端末を特定するために利用できる侵害指標が含まれている。