Microsoft Research、LOTUSLITE の新たな変種を Ire が特定
Microsoft Research は、シグネチャ検知を回避する LOTUSLITE バリアントに対し、LLM ドライブのエージェント「Project Ire」が振る舞いベースの自動逆解析を行い、脅威アクターへの帰属を拒否しつつもマルウェアであることを特定した。
キーポイント
IOC に依存しない検知の実現
既存の EDR や VirusTotal で検出されなかった LOTUSLITE の新バリアントに対し、Project Ire は TTP（ツール・戦術・手順）の類似性に基づきマルウェアと判定した。
自律型逆解析エージェントの機能
ユーザーの介入なしにデコンパイラやバイナリ分析ツールを駆使し、インストールルーチンや C2 パケットレイアウトなど機能的な振る舞いを詳細に報告する。
脅威帰属への慎重な姿勢
バイナリ内で明確に脅威アクター名が示されているにもかかわらず、エージェントは安易な帰属を避け、客観的な振る舞い分析に焦点を当てた。
自動検証の限界と克服
新規マルウェア分類には自動検証者がいないという課題に対し、証拠チェーンを構築して「悪意あり/なし」の判定を下す自律的なアプローチを示した。
検出率の急上昇と誤検知リスク
1週間後には70件中7件の検出に増加し、Microsoftもトロイランを検出したが、CrowdStrikeやESETなど主要ベンダーは依然として見逃している。
LLM分析における名称の罠と慎重な判断
Ireは「nf_unRegisterDriver」などの不審な文字列を指摘したが、実際の挙動（ドライバインストールなし）に基づき誤った結論を避け、最終的な悪意判定に慎重に評価した。
Mustang Pandaとの関連性の明確化
サンプルには「BelievemeIamMustang-Panda」という文字列が埋め込まれており、Acronisの分析結果とTTP（戦術・技術・手順）に中程度の一致が見られる。
影響分析・編集コメントを表示
影響分析
この事例は、従来のシグネチャ依存型セキュリティ対策の限界を克服する次世代のマルウェア検知パラダイムを示しています。LLM を活用した自律的な逆解析エージェントが、高度に隠蔽された脅威でも振る舞いベースで特定できることは、セキュリティ業界における自動化と AI の実用化において重要な転換点となります。
編集コメント
「Project Ire」の実証は、AI が単なる情報処理ツールから、自律的な調査・分析担当者へと進化しつつあることを如実に示しています。特に IOC に依存しない検知能力は、今後増え続ける変種 malware に対する防御策として極めて重要です。
一言で言うと
プロジェクト・アイア（Project Ire）は、公開されているファミリーとツール、戦術、手順（TTPs: tools, tactics, procedures）を共有するが、侵害指標（IOC: indicators of compromise）は一切共有しない LOTUSLITE の変種を特定しました。
この LLM ドライブ型のエージェントは、ユーザーとの対話を一切行わずにサンプルの関数ごとの振る舞いレポートを生成し、それが悪意のあるものかどうかを判定します。
バイナリは脅威アクターを平文で名指ししますが、エージェントは帰属を拒否し、代わりに動作の静的解析に焦点を当てます。
私たちはマイクロソフトの自律型マルウェア分類エージェントであるプロジェクト・アイア（Project Ire）を、盲検状態であるマルウェアサンプルに向け、判定を求めました。このサンプルは、Acronis によって最近文書化された Windows DLL バックドアである LOTUSLITE の変種です。私たちのコピーのハッシュ値は彼らの IOC リストに含まれておらず、6 月 4 日現在、主要な EDR（CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto, ESET）のほとんどはまだこれをマルウェアとして検知していません。アイアは、インストールルーチン、C2 パケットレイアウト、コマンド ID、永続化メカニズム、オプフスキュレーション（obfuscation: 難読化）といった関数ごとの振る舞いレポートを生成しましたが、これは Acronis が公開した分析と一致しています。デコンパイラベースの 1 回の実行のみで、人間の事前知識は一切不要でした。
これは、署名一致や手動検査では不十分な場合に、行動ベースの自律型逆工学が達成しうるものです。脅威手法・戦術（TTPs）を共有していても、侵害指標（IOC）は共有していない変種であっても、署名リストをすり抜けることなく検出されます。新しいマルウェア分類は自動検証者が存在しない領域であり、ソフトウェアの挙動に対する深い調査と包括的な理解を要し、意図を表面化させて特定する必要があります。Ire は文脈なしで動作します：起源メタデータもテレメトリもアナリストからのプロンプトもありません。デコンパイラやバイナリ解析ツールを呼び出し、監査可能な証拠の連鎖を構築し、悪意ありか benign かという判断に至ります。
Acronis の脅威研究ユニット（TRU）は、政治的なテーマを持つ ZIP ファイルを通じて配信され、改名された Tencent KuGou ランチャーからサイドロードされる DLL バックドアである LOTUSLITE に関する記事（新しいタブで開く）を公開しました。インフラの重複やローダー/DLL の分割に基づき、Mustang Panda によるものと中程度の信頼度で帰属されています。報告書と一致する挙動を示すサンプルを VirusTotal で検索したところ、Acronis の IOC リストに含まれていない SHA-256 ハッシュ値を持つサンプルが一つ見つかりました。
そのサンプル：47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653（新しいタブで開く）。5 月 28 日にこれを検出した際、VirusTotal では 72 ベンダー中 1 社のみがこれをフラグ付けしていました。
image図 1. ファイルサンプル 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 の VirusTotal における検出状態（2026 年 5 月 28 日）。
一週間後には、検出数が 70 件中 7 に増加しました。検出されたクラスタは以下の通りです：Microsoft Trojan:Win32/Malgent!MSR、Kaspersky HEUR:Trojan-Dropper.Win32.Dorifel.gen、Rising Dropper.Dorifel!8.31E (CLOUD)、Cynet（スコア 100）、Elastic（中程度の信頼度）、Kingsoft、TrendMicro-HouseCall。Microsoft が検出を開始したことで、VirusTotal の一般的な脅威ラベルは「dropper.dorifel / malgent」へと変更されました。CrowdStrike Falcon、SentinelOne、Sophos、Trellix、Palo Alto、ESET は依然としてこれを検出できていません。VirusTotal はファイルタイプを pedll（PE DLL）と分類し、ファイル名を SmartPrintScreen.Print としています。
image図 2. ファイルサンプル 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 の VirusTotal における検出状態（2026 年 6 月 4 日）。
Ire を用いてこのサンプルを分析しました。解析には、単一のツール呼び出しを通じてデコンパイラベースのツールのみを使用しました。Ire の判定結果は「malicious（悪意あり）」でした。完全なレポートは Github で確認できます（新しいタブで開きます）。
Ire のキャリブレーションについて
Ire のレポート（新しいタブで開く）における注目すべき観察事項の一つを、まず強調しておく必要があります。Ire は nfapi::nf_unRegisterDriver および NetFilter という名称が不審であると指摘しましたが、能動的なパケットの傍受があるとは明確に主張していません。問題となっている関数は Run キーに書き込みを行うものであり、ドライバをインストールするものではありません。ここで LLM 駆動型の分析が誤る可能性があります：示唆的な文字列が判断を誘導してしまうのです。nf_unRegisterDriver という名前の関数はカーネルレベルでの作業を行っているように聞こえ、不十分なエージェントであればこれをレポートに記述してしまいます。その結果、下流の防御担当者は幻を追いかけることになり、存在するかどうか不明な振る舞いに対する検出ルールを構築することになります。Ire は誤解を招く名称を指摘し、悪意の有無を最終的に判断する際に、この振る舞いを証拠の一つとして考慮しました。
2 つのレポートの比較
Acronis の試料 私たちのサンプル
サンプルタイプ loader EXE + kugou.dll 悪意のある DLL そのもの：AMPV.dll (VT タイプ pedll)
インストールディレクトリ C:\ProgramData\Technology360NB\ C:\ProgramData\SmartPrint\
インストールされた実行ファイル DataTechnology.exe SmartPrintScreen.exe
Run キーの値 Lite360 DadaBank
マーカー引数 –DATA– DaDaBar
C2 マジック 0x8899AABB 0xB2EBCFDF
誘惑要素 ポリティカルなテーマを持つ ZIP、ベネズラをテーマにしたランチャー 偽の「PDF が破損しました」メッセージボックス
Mustang Panda との関連 インフラと TTP の重複あり、中程度の信頼度（Acronis の判断） 独立して評価されていません；バイナリには文字列"BelievemeIamMustang-Panda"が literal に含まれています
Ire の出力結果と Acronis のレポートを比較すると、分析したサンプルは LOTUSLITE マルウェアファミリーの行動プロファイルに一致します。両者ともローダー/DLL の分割構造を持ち、カスタムバイナリプロトコル（マジック DWORD を含む）を HTTPS で使用する C2 コミュニケーション、パイプを介したインタラクティブシェル、ディレクトリエヌメレーション、ファイル操作プリミティブ、チャンクアップロード、HKCU における永続化設定、Google および Microsoft サービスに擬態したトラフィックといった特徴を示しています。表面の詳細（ファイル名、パス、マジック値）は異なりますが、根本的な行動は一致しています。Ire は文字列の一致だけでなく、デコンパイルとリバースエンジニアリングを通じて特定できたこれらの行動に基づき、このサンプルを同一ファミリーに属するマルウェアとして正しく識別しました。
このサンプルは DLL（VirusTotal での pedll）であるため、インストールルーチンの動作は初見では思われるものとは異なります。DLL は C:\ProgramData\SmartPrint\ディレクトリに 2 つのファイルをコピーします。1 つはそれをサイドロードしたローダー EXE（ホストプロセスで GetModuleFileName(NULL) を取得し、SmartPrintScreen.exe として記述）であり、もう 1 つは DLL 自体（AMPV.dll、分析対象のサンプル）です。レジストリの Run キーは、ローダーを指しており引数に–DaDaBar が付与されています。次のログオン時にローダーが実行され、インストールパスから AMPV.dll をサイドロードします。これは Acronis が特定したパターンと同じですが、ファイル名が異なります。
これにより、バイナリの奇妙なエクスポート表面も説明がつきます。この DLL は、Query_Bank、BankSepah_Iran、BankToman_BMI、BankofChina、qrBankInit、JpgSymbolToBMP など、銀行や QR コードをテーマにした長いリストのエクスポート名を公開していますが、そのほとんどはメッセージボックスまたは ExitProcess に解決されます。この形状は、ホスト EXE が GetProcAddress を介してこれらのエクスポートのいずれかを呼び出し、LOTUSLITE のエントリーポイントに到達できるようにするために転用された、乗っ取られた銀行/QR SDK シェルを示唆しています。Acronis は自社のものを DataImporterMain と名付けています。Ire のレポートでは一致するエントリーポイント名は表面化していませんが、行動上の形状が同じであることが特定されています。
Acronis は、インフラストラクチャと TTPs（Tactics, Techniques, and Procedures：戦術・技術・手順）に基づき、マルウェアファミリーを Mustang Panda に帰属させる可能性を中程度の確信度で示していますが、当社のサンプルには「BelievemeIamMustang-Panda」という文字列がそのまま含まれており、何らかの隠蔽処理は施されていません。この文字列自体が作成者の直接証明となるわけではありません。これは開発者による痕跡、トロフィー、あるいは意図的な仕掛けである可能性もあります。当社は帰属判断を下すものではありませんが、バイナリが Acronis が他の手段で特定した同一のアクターを名指ししている点に留意し、この問いについては開かれたままとします。今回の発見に関するもう一つの考慮事項として、このような文字列は LLM（大規模言語モデル）駆動型分析に対する敵対的入力として機能し、判断結果にバイアスをかける可能性がある点が挙げられます。
Spotlight: Event Series
Microsoft Research Forum
一般 AI の時代における研究に関するアイデアの継続的な交換に参加しましょう。最新のエピソードはオンデマンドでご覧ください。
オンデマンドで視聴する
新しいタブで開く
なぜこれが重要なのか
Ire はバイナリを静的に逆解析し、関数レベルからシステムレベルまでの振る舞いを特定することで、ソフトウェアが何を行うかを記述し、判断を下します。このサンプルの判断は、Ire が表面化させた特定の詳細（関数の役割、パケットレイアウト、コマンド ID、永続化レジストリキー、偽装文字列）に基づいた単一の Ire 実行によるものです。Ire はそのレポートや証拠連鎖において LOTUSLITE と名付けたことはありません。このファミリーマッピングは後日、Ire のレポートと Acronis のレポートを比較することによって私たちが行ったものです。Ire はこのサンプルを LOTUSLITE にマッピングすることを容易にするのに十分な精度で振る舞いを記述しました。
Project Ire による最新の発見やその他の興味深いサンプル検出については、プロジェクトページをフォローして最新情報を入手してください。
Ire のシステム出力レポートを見る
新しいタブで開くこの投稿「Ire が別の LOTUSLITE 試料を特定」は、Microsoft Research で最初に公開されました。
原文を表示
At a glance
Project Ire identifies a LOTUSLITE variant that shares TTPs (tools, tactics, procedures) with the public family but none of its indicators of compromise (IOC).
The LLM-driven agent produces a function-by-function behavioral report on the sample without any user interaction to determine whether it is malicious.
The binary names a threat actor in cleartext; the agent declines to attribute and instead focuses on statically analyzing the behaviors.
We pointed Project Ire, Microsoft’s autonomous malware-classification agent, at a malware sample—blind—and asked for a verdict. The sample is a variant of LOTUSLITE, a Windows DLL backdoor recently documented by Acronis. Our copy’s hash isn’t in their IOC list, and as of June 4, most major EDRs (CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto, ESET) still don’t flag it as malware. Ire produced a function-by-function behavioral report—install routine, C2 packet layout, command IDs, persistence mechanism, obfuscation—that lines up with Acronis’s published analysis. One decompiler-based run, no human priors.
This is what behavioral, agentic reverse engineering can achieve when signature matching and manual inspections fall short. Variants that share TTPs but not indicators of compromise (IOC) get caught instead of slipping past signature lists. Novel malware classification is a domain with no automatic validator, requiring in-depth investigation and holistic understanding of the software’s behaviors to surface and determine intent. Ire operates without context: no origin metadata, no telemetry, no analyst prompt. It invokes decompilers and binary-analysis tools, builds an auditable chain of evidence, and reaches a malicious-or-benign verdict.
Acronis’s Threat Research Unit (TRU) published a writeup (opens in new tab) on LOTUSLITE, a DLL backdoor delivered through a politically themed ZIP, sideloaded through a renamed Tencent KuGou launcher. They attribute it to Mustang Panda at moderate confidence based on infrastructure overlap and the loader/DLL split. Hunting on VirusTotal for samples whose behavior matched the report, we surfaced one whose SHA-256 doesn’t appear in Acronis’s IOC list.
The sample: 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 (opens in new tab). When we picked it up on May 28, VirusTotal showed 1 of 72 vendors flagging it.
imageFigure 1. File Sample 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 detection state on VirusTotal on May 28, 2026.
A week later, that rose to 7 of 70. The cluster: Microsoft Trojan:Win32/Malgent!MSR, Kaspersky HEUR:Trojan-Dropper.Win32.Dorifel.gen, Rising Dropper.Dorifel!8.31E (CLOUD), Cynet (score 100), Elastic (moderate confidence), Kingsoft, TrendMicro-HouseCall. With Microsoft now flagging, VT’s popular threat label has shifted to dropper.dorifel / malgent. CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto, and ESET still miss it. VT lists the file type as pedll (PE DLL) and the filename as SmartPrintScreen.Print.
imageFigure 2. File Sample 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 detection state on VirusTotal on June 4, 2026.
We analyzed the sample with Ire, using only its decompiler-based tools through a single tool call. Ire’s verdict was “malicious”; you can review the complete report on Github (opens in new tab).
On Ire’s calibration
One noteworthy observation in Ire’s report (opens in new tab) is worth highlighting first. Ire flagged the nfapi::nf_unRegisterDriver and NetFilter naming as suspicious but explicitly did not claim active packet interception. The function in question writes the Run key; it does not install a driver. This is where LLM-driven analysis can go wrong: suggestive strings can steer the verdict. A function called nf_unRegisterDriver sounds like it does kernel-level work, and a less thorough agent would write that into the report. Downstream defenders would then chase a phantom, building detection rules for behavior that may or may not be there. Ire flagged the misleading name and considered the behavior as one piece of the evidence during its final adjudication of malice.
Comparing the two reports
Acronis specimenOur sample
Sample typeloader EXE + kugou.dllthe malicious DLL itself: AMPV.dll (VT type pedll)
Install dirC:\ProgramData\Technology360NB\C:\ProgramData\SmartPrint\
Installed exeDataTechnology.exeSmartPrintScreen.exe
Run-key valueLite360DadaBank
Marker arg–DATA–DaDaBar
C2 magic0x8899AABB0xB2EBCFDF
Lurepolitically themed ZIP, Venezuela-themed launcherfake “PDF corrupted” message box
Mustang Panda linkinfra and TTP overlap, moderate confidence (Acronis’s call)not independently assessed; binary contains the literal string BelievemeIamMustang-Panda
Comparing Ire’s output with Acronis’ report, the sample we analyzed matches the behavioral profile of the LOTUSLITE family of malware. Both show a loader/DLL split, HTTPS C2 carrying a custom binary protocol with a magic DWORD, interactive shell over pipes, directory enumeration, file primitives, chunked upload, HKCU persistence, and traffic camouflaged as Google and Microsoft services. The surface details differ—filenames, paths, magic value—but the underlying behaviors align. Ire correctly identified this sample as part of the same family of malware because of the behaviors it was able to identify through decompilation and reverse engineering, not on string match alone.
Because the sample is a DLL (pedll per VT), the sample’s install routine reads differently than it might look at first. The DLL copies two files into C:\ProgramData\SmartPrint\: the loader EXE that sideloaded it (its host process, obtained via GetModuleFileName(NULL), written as SmartPrintScreen.exe) and itself (AMPV.dll, the analyzed sample). The Run key points at the loader with –DaDaBar. On the next logon, the loader runs and sideloads AMPV.dll from the install path. This is the same Acronis-identified pattern but with different filenames.
This also explains the binary’s strange export surface. The DLL exports a long list of banking and QR-themed names (Query_Bank, BankSepah_Iran, BankToman_BMI, BankofChina, qrBankInit, JpgSymbolToBMP, and others), most of which resolve to a message box or ExitProcess. The shape suggests a hijacked banking/QR SDK shell, repurposed so the host EXE can call any one of those exports via GetProcAddress and reach the LOTUSLITE entry point. Acronis names theirs DataImporterMain. The Ire report does not surface a matching entry-point name, but it identifies that the behavioral shape is the same.
Acronis attributes the malware family to Mustang Panda at moderate confidence based on infrastructure and TTPs we don’t have access to, while our sample directly contains a literal actor-name string “BelievemeIamMustang-Panda” with no obfuscation. A string isn’t direct proof of authorship; it could be a developer artifact, a trophy, or a deliberate plant. While we are not making an attribution call, we note that the binary names the same actor that Acronis named through other means, and we leave the question open. Another consideration to make for this finding: a string like this can function as adversarial input to LLM-driven analysis, biasing the verdict.
Spotlight: Event Series
image
Microsoft Research Forum
Join us for a continuous exchange of ideas about research in the era of general AI. Watch the latest episodes on demand.
Watch on-demand
Opens in a new tab
Why this matters
Ire statically reverse-engineers binaries and identifies the behavior from the function to the system level to describe what the software does and determine a verdict. The verdict of this sample came from a single Ire run because of the specific detail Ire was able to surface: function roles, packet layout, command IDs, persistence registry keys, and decoy strings. Ire never named LOTUSLITE in its report or chain of evidence. The family mapping is ours, after the fact, comparing Ire’s report against Acronis report. Ire described the behavior precisely enough to make the mapping straightforward of this sample to LOTUSLITE.
Stay up to date on the latest findings and other interesting sample detections from Project Ire by following along on our project page.
View Ire’s system output report
Opens in a new tabThe post Ire identifies another LOTUSLITE specimen appeared first on Microsoft Research.
関連記事
ミニマックスが109BパラメータMoEモデル向けに開発したスパースアテンション手法「MSA」を発表
中国のAI企業ミニマックスは、長文コンテキストにおける計算コストを削減する新手法「MiniMax Sparse Attention（MSA）」を開発し、109BパラメータのMoEモデルで実証した。同社はさらに推論用カーネルをオープンソース化し、生産環境向けモデル「MiniMax-M3」もリリースした。
[AINews] GLM-5.2：世界最高峰のフロントエンドコーディングモデル、推測型デコーディングのための IndexShare を発表
Z.ai は週末に「GLM-5.2」をリリースし、この新モデルが世界最高のフロントエンドコーディング性能を持つと主張した。また、推測型デコーディング技術の向上を目指す「IndexShare」という仕組みも紹介された。
パッキングシーケンス、GQA、ALiBi、SwiGLU、因果アテンションを用いたメモリ効率的なTransformerの構築方法（xFormers活用）
MarkTechPost は、GPU上で高速かつメモリ効率の高いTransformerモデルを構築するための実践的ツールキット「xFormers」の使用法を紹介しています。記事では、標準的な実装との比較を通じて、因果マスクやパッキングシーケンス、グループ化クエリアテンション（GQA）、カスタムALiBi位置バイアスなどの技術を組み合わせ、訓練可能なGPTスタイルのモデルを実装する方法を解説します。
今日のまとめ
AI日報で今日の重要ニュースをまとめ読み