{ "id": "2b80a536-623d-4962-80d5-4f54b59b8c93", "created_at": "2026-04-06T00:19:21.617794Z", "updated_at": "2026-04-10T03:32:21.294218Z", "deleted_at": null, "sha1_hash": "1301b6fdc56dad46f0fa19b01680766cb1118a23", "title": "AppDomainManager Injectionを悪用したマルウェアによる攻撃について", "llm_title": "", "authors": "", "file_creation_date": "0001-01-01T00:00:00Z", "file_modification_date": "0001-01-01T00:00:00Z", "file_size": 798411, "plain_text": "AppDomainManager Injectionを悪用したマルウェアによる攻撃\r\nについて\r\nBy NTTセキュリティ・ジャパン株式会社\r\nPublished: 2024-08-22 · Archived: 2026-04-05 15:01:10 UTC\r\nBy Rintaro Koike\r\nPublished August 22, 2024 | Japanese\r\nはじめに\r\n2024年7月頃から、AppDomainManager Injectionを使用してマルウェアを実行する攻撃を観測していま\r\nす。AppDomainManager Injectionは2017年に概念が公表され、その後PoCや解説ブログ[1][2][3][4][5]が公\r\n開されているテクニックです。他方、AppDomainManager Injectionを実際に悪用した攻撃事例はほとん\r\nど報告されておらず、一般的にあまり知られていません。\r\n本稿では、実際にAppDomainManager Injectionの悪用が確認された攻撃について、その攻撃フローやテ\r\nクニックを紹介します。\r\nなお、本攻撃事例は国家支援の攻撃グループの関与が推察され、今後もこうした攻撃手法が拡大して\r\nいくことが懸念されます。こうしたことを踏まえ、本稿はAppDomainManager Injectionのメカニズムと\r\n危険性を把握し、適切な対策を講じるための一助となることを目指しています。\r\n攻撃フロー\r\n今回観測された攻撃は、攻撃者が用意したWebサイトからZIPファイルをダウンロードするパターン\r\nと、スピアフィッシングメールでZIPファイルを添付するパターンの2種類が存在します。いずれの場\r\n合も、ZIPファイルの中には悪性なMSCファイルが含まれており、ユーザがそれを開くことで攻撃が進\r\n行します。\r\nhttps://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nPage 1 of 6\n\nMSCファイルを悪用した攻撃事例については過去にブログを公開[6]していますが、現在でも活発に悪\r\n用が継続しています。特に、GrimResourceと呼ばれる手法[7]が使用され始めており、今回の攻撃も\r\nGrimResourceを使用しています。\r\n従来の悪性MSCファイルの場合、攻撃者はMSCファイル内のリンクをユーザにクリックさせる必要が\r\nありました。しかし、GrimResourceはそのステップを省略し、ユーザがMSCファイルを開いただけで\r\n悪性挙動を実現することができます。\r\n以前のブログ[6]でも紹介したとおり、MSCファイルはエクスプローラで表示した際のアイコンを自由\r\nに設定することができます。悪性MSCファイルの多くは、PDFファイルやMicrosoft Wordファイルのよ\r\nうに偽装しており、一見するとそれがMSCファイルであるかどうか判断することが難しくなっていま\r\nす。今回観測された悪性MSCファイルは、Windowsの証明書ファイルやPDFファイルのようなアイコン\r\nが設定されていました。\r\nhttps://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nPage 2 of 6\n\n悪性MSCファイルは GrimResourceを用いてapds.dllを悪用し、埋め込まれたJavaScriptコードを実行しま\r\nす。\r\n多少の難読化は施されていますが、最終的には以下のようなVBScriptコードが実行されます。これによ\r\nって、4つのファイルをダウンロードして保存し、oncesvc.exeを実行します。このときダウンロード・\r\n実行されたoncesvc.exeはファイル名だけが変更されたMicrosoftの正規のdfsvc.exeです。\r\nAppDomainManager Injection\r\noncesvc.exe は何ら細工が施されておらず、Microsoftの署名が付与された正規のバイナリです。ただ\r\nし、同じディレクトリにEXEファイルと同名のconfigファイル oncesvc.exe.config が配置されています。\r\nこのexe.configファイルは一般的に構成ファイル[8]と呼ばれており、.NET Frameworkにおいてアプリケ\r\nーションの動作を制御するための情報が記されています。\r\nMSCファイルによって作成されたexe.configには、以下のように dependentAssembly という設定が記述さ\r\nれています。これはアプリケーションに予め記述したバージョンとは異なるバージョンのアセンブリ\r\nhttps://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nPage 3 of 6\n\nをロードするためのバージョンリダイレクトと呼ばれている機能[9]です。攻撃者はこれを使って、外\r\n部のDLLファイルを正規のEXEファイルにロードさせます。\r\n外部から読み込まれたDLLファイルには、AppDomainManagerクラスを継承したクラスが定義されてお\r\nり、この中のInitializeNewDomain関数が呼び出されます。攻撃者はInitializeNewDomain関数から悪意の\r\nある挙動を実行することが可能です。\r\n.NET FrameworkのバージョンリダイレクトとAppDomainManagerクラスを使って悪性挙動を実現する手\r\n法はAppDomainManager Injectionと呼ばれており、レッドチームやペネトレーションテストに従事する\r\n人たちの間では知られているテクニックです。しかしながら、実際に攻撃で悪用された事例は極めて\r\n稀で、一般的にブルーチームではほとんど知られていません。\r\nこの手法によって実行されたDLLファイルは、ロードされたEXEファイルがプロセス主体となるため、\r\n悪性挙動はそのEXEファイルから実行されているように見えます。\r\nまた、AppDomainManager Injectionは.NET Framework製の幅広いアプリケーションにおいて有効で、そ\r\nの範囲は極めて膨大です。AppDomainManager Injectionが可能なファイルの中で、Microsoft社の電子署\r\n名が付与されたアプリケーションのリストが公開[10]されており、その膨大さが垣間見えます。こうし\r\nたアプリケーションは基本的にデフォルトのWindows環境に存在しているため、攻撃者はexe.configフ\r\nァイルを準備するだけでAppDomainManager Injectionを行うことができます。\r\n現在マルウェアの実行手法としてはDLL Side-Loadingが一般的ですが、AppDomainManager Injectionは\r\nDLL Side-Loadingよりも遥かに容易で、今後悪用が増加する可能性が懸念されます。\r\n攻撃者の帰属\r\nhttps://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nPage 4 of 6\n\n今回の攻撃キャンペーンでは、最終的にCobaltStrikeビーコンを使用して標的環境の侵害を行っている\r\nことを確認しています。その際に使用されたローダや攻撃者インフラの特徴を調査した結果、APT41に\r\n類似した手法であると推定されます。\r\n関連した攻撃を調査したところ、この攻撃者は台湾の政府機関、フィリピンの軍、ベトナムのエネル\r\nギー系の組織などを標的としていた可能性があります。これらの国々はいずれも南シナ海に面してい\r\nます。南シナ海においては、昨今関係国による衝突が相次ぎ、近隣諸国の緊張が高まっていることが\r\n報告されています[11]。\r\nまた、類似した攻撃事例についてAhnLab社からブログ[12]が公開されています。その攻撃事例では日\r\n本の防衛力に関するハングル語のデコイ文書が使用されていたと報告しています。こうしたことか\r\nら、今後標的が拡大していく可能性が考えられます。\r\nおわりに\r\n本稿では、AppDomainManager Injectionを使用してマルウェアを実行する攻撃について紹介しました。\r\n現時点において、AppDomainManager Injectionはあまり広く知られていない攻撃手法です。しかしなが\r\nら、既に海外では、国家が支援する攻撃グループによって悪用されていることが推定されています。\r\n本手法は、現時点において、広く知られていないことから、攻撃者にとって一方的に有利な状況であ\r\nることは明らかです。このため、今後、こうした攻撃が拡大していく可能性が懸念されます。\r\nまた、従来のようなDLL Side-Loadingよりも検知が困難なため、本手法による攻撃を自組織で検知でき\r\nるようにすることを推奨します。\r\nIoC\r\nkrislab[.]site\r\nmsn-microsoft[.]org\r\ns2cloud-amazon[.]com\r\ns3bucket-azure[.]online\r\ns3cloud-azure[.]com\r\ns3-microsoft[.]com\r\ntrendmicrotech[.]com\r\nvisualstudio-microsoft[.]com\r\nxtools[.]lol\r\n参考文献\r\n[1] MITRE ATT\u0026CK, \"Hijack Execution Flow:\r\nAppDomainManager\", https://attack.mitre.org/techniques/T1574/014/\r\n[2] Pentest Laboratories, \"AppDomainManager Injection and\r\nDetection\", https://pentestlaboratories.com/2020/05/26/appdomainmanager-injection-and-detection/\r\n[3] GitHub, \"TheWover/GhostLoader\", https://github.com/TheWover/GhostLoader\r\n[4] Rapid7, \"AppDomain Manager Injection: New Techniques For Red\r\nhttps://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nPage 5 of 6\n\nTeams\", https://www.rapid7.com/blog/post/2023/05/05/appdomain-manager-injection-new-techniques-for-red-teams/\r\n[5] Purple Research, \"Let Me Manage Your AppDomain\", https://ipslav.github.io/2023-12-12-let-me-manage-your-appdomain/\r\n[6] NTTセキュリティ・ジャパン, \"Operation ControlPlug: MSCファイルを使った標的型攻撃キャンペー\r\nン\", https://jp.security.ntt/tech_blog/controlplug\r\n[7] Elastic, \"GrimResource - Microsoft Management Console for initial access and\r\nevasion\", https://www.elastic.co/security-labs/grimresource\r\n[8] Microsoft, \"Configure apps by using configuration files\", https://learn.microsoft.com/en-us/dotnet/framework/configure-apps/\r\n[9] Microsoft, \"Redirecting assembly versions\", https://learn.microsoft.com/en-us/dotnet/framework/configure-apps/redirect-assembly-versions\r\n[10] GitHub, \"Mr-Un1k0d3r/.NetConfigLoader\", https://github.com/Mr-Un1k0d3r/.NetConfigLoader/blob/main/signed.txt\r\n[11] 外務省, \"最近の南シナ海における緊張の高まりについ\r\nて\", https://www.mofa.go.jp/mofaj/press/release/pressit_000001_00796.html\r\n[12] AhnLab, \"아마존서비스를악용하는 MSC파일유포중\", https://asec.ahnlab.com/ko/82554/\r\nSource: https://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nhttps://jp.security.ntt/tech_blog/appdomainmanager-injection\r\nPage 6 of 6", "extraction_quality": 1, "language": "JA", "sources": [ "MISPGALAXY", "Malpedia" ], "references": [ "https://jp.security.ntt/tech_blog/appdomainmanager-injection" ], "report_names": [ "appdomainmanager-injection" ], "threat_actors": [ { "id": "4d5f939b-aea9-4a0e-8bff-003079a261ea", "created_at": "2023-01-06T13:46:39.04841Z", "updated_at": "2026-04-10T02:00:03.196806Z", "deleted_at": null, "main_name": "APT41", "aliases": [ "WICKED PANDA", "BRONZE EXPORT", "Brass Typhoon", "TG-2633", "Leopard Typhoon", "G0096", "Grayfly", "BARIUM", "BRONZE ATLAS", "Red Kelpie", "G0044", "Earth Baku", "TA415", "WICKED SPIDER", "HOODOO", "Winnti", "Double Dragon" ], "source_name": "MISPGALAXY:APT41", "tools": [], "source_id": "MISPGALAXY", "reports": null }, { "id": "e698860d-57e8-4780-b7c3-41e5a8314ec0", "created_at": "2022-10-25T15:50:23.287929Z", "updated_at": "2026-04-10T02:00:05.329769Z", "deleted_at": null, "main_name": "APT41", "aliases": [ "APT41", "Wicked Panda", "Brass Typhoon", "BARIUM" ], "source_name": "MITRE:APT41", "tools": [ "ASPXSpy", "BITSAdmin", "PlugX", "Impacket", "gh0st RAT", "netstat", "PowerSploit", "ZxShell", "KEYPLUG", "LightSpy", "ipconfig", "sqlmap", "China Chopper", "ShadowPad", "MESSAGETAP", "Mimikatz", "certutil", "njRAT", "Cobalt Strike", "pwdump", "BLACKCOFFEE", "MOPSLED", "ROCKBOOT", "dsquery", "Winnti for Linux", "DUSTTRAP", "Derusbi", "ftp" ], "source_id": "MITRE", "reports": null }, { "id": "2a24d664-6a72-4b4c-9f54-1553b64c453c", "created_at": "2025-08-07T02:03:24.553048Z", "updated_at": "2026-04-10T02:00:03.787296Z", "deleted_at": null, "main_name": "BRONZE ATLAS", "aliases": [ "APT41 ", "BARIUM ", "Blackfly ", "Brass Typhoon", "CTG-2633", "Earth Baku ", "GREF", "Group 72 ", "Red Kelpie ", "TA415 ", "TG-2633 ", "Wicked Panda ", "Winnti" ], "source_name": "Secureworks:BRONZE ATLAS", "tools": [ "Acehash", "CCleaner v5.33 backdoor", "ChinaChopper", "Cobalt Strike", "DUSTPAN", "Dicey MSDN", "Dodgebox", "ForkPlayground", "HUC Proxy Malware (Htran)" ], "source_id": "Secureworks", "reports": null } ], "ts_created_at": 1775434761, "ts_updated_at": 1775791941, "ts_creation_date": 0, "ts_modification_date": 0, "files": { "pdf": "https://archive.orkl.eu/1301b6fdc56dad46f0fa19b01680766cb1118a23.pdf", "text": "https://archive.orkl.eu/1301b6fdc56dad46f0fa19b01680766cb1118a23.txt", "img": "https://archive.orkl.eu/1301b6fdc56dad46f0fa19b01680766cb1118a23.jpg" } }