Ire identifies another LOTUSLITE specimen｜Microsoft Research、LOTUSLITE の新たな変種を Ire が特定 | AIニュース最前線

![image](https://www.microsoft.com/en-us/research/wp-content/uploads/2026/06/ProjectIre-BlogHeroFeature-1400x788-1.jpg) 一言で言うと プロジェクト・アイア（Project Ire）は、公開されているファミリーとツール、戦術、手順（TTPs: tools, tactics, procedures）を共有するが、侵害指標（IOC: indicators of compromise）は一切共有しない LOTUSLITE の変種を特定しました。 この LLM ドライブ型のエージェントは、ユーザーとの対話を一切行わずにサンプルの関数ごとの振る舞いレポートを生成し、それが悪意のあるものかどうかを判定します。 バイナリは脅威アクターを平文で名指ししますが、エージェントは帰属を拒否し、代わりに動作の静的解析に焦点を当てます。 私たちはマイクロソフトの自律型マルウェア分類エージェントであるプロジェクト・アイア（Project Ire）を、盲検状態であるマルウェアサンプルに向け、判定を求めました。このサンプルは、Acronis によって最近文書化された Windows DLL バックドアである LOTUSLITE の変種です。私たちのコピーのハッシュ値は彼らの IOC リストに含まれておらず、6 月 4 日現在、主要な EDR（CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto, ESET）のほとんどはまだこれをマルウェアとして検知していません。アイアは、インストールルーチン、C2 パケットレイアウト、コマンド ID、永続化メカニズム、オプフスキュレーション（obfuscation: 難読化）といった関数ごとの振る舞いレポートを生成しましたが、これは Acronis が公開した分析と一致しています。デコンパイラベースの 1 回の実行のみで、人間の事前知識は一切不要でした。 これは、署名一致や手動検査では不十分な場合に、行動ベースの自律型逆工学が達成しうるものです。脅威手法・戦術（TTPs）を共有していても、侵害指標（IOC）は共有していない変種であっても、署名リストをすり抜けることなく検出されます。新しいマルウェア分類は自動検証者が存在しない領域であり、ソフトウェアの挙動に対する深い調査と包括的な理解を要し、意図を表面化させて特定する必要があります。Ire は文脈なしで動作します：起源メタデータもテレメトリもアナリストからのプロンプトもありません。デコンパイラやバイナリ解析ツールを呼び出し、監査可能な証拠の連鎖を構築し、悪意ありか benign かという判断に至ります。 Acronis の脅威研究ユニット（TRU）は、政治的なテーマを持つ ZIP ファイルを通じて配信され、改名された Tencent KuGou ランチャーからサイドロードされる DLL バックドアである LOTUSLITE に関する記事（新しいタブで開く）を公開しました。インフラの重複やローダー/DLL の分割に基づき、Mustang Panda によるものと中程度の信頼度で帰属されています。報告書と一致する挙動を示すサンプルを VirusTotal で検索したところ、Acronis の IOC リストに含まれていない SHA-256 ハッシュ値を持つサンプルが一つ見つかりました。 そのサンプル：47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653（新しいタブで開く）。5 月 28 日にこれを検出した際、VirusTotal では 72 ベンダー中 1 社のみがこれをフラグ付けしていました。 ![image](https://www.microsoft.com/en-us/research/wp-content/uploads/2026/06/detections_initial.png)図 1. ファイルサンプル 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 の VirusTotal における検出状態（2026 年 5 月 28 日）。 一週間後には、検出数が 70 件中 7 に増加しました。検出されたクラスタは以下の通りです：Microsoft Trojan:Win32/Malgent!MSR、Kaspersky HEUR:Trojan-Dropper.Win32.Dorifel.gen、Rising Dropper.Dorifel!8.31E (CLOUD)、Cynet（スコア 100）、Elastic（中程度の信頼度）、Kingsoft、TrendMicro-HouseCall。Microsoft が検出を開始したことで、VirusTotal の一般的な脅威ラベルは「dropper.dorifel / malgent」へと変更されました。CrowdStrike Falcon、SentinelOne、Sophos、Trellix、Palo Alto、ESET は依然としてこれを検出できていません。VirusTotal はファイルタイプを pedll（PE DLL）と分類し、ファイル名を SmartPrintScreen.Print としています。 ![image](https://www.microsoft.com/en-us/research/wp-content/uploads/2026/06/detections_later.png)図 2. ファイルサンプル 47e51e82229e80a387c3cb100d39d3705e6360bbf9bfa1601dbc484e8d02e653 の VirusTotal における検出状態（2026 年 6 月 4 日）。 Ire を用いてこのサンプルを分析しました。解析には、単一のツール呼び出しを通じてデコンパイラベースのツールのみを使用しました。Ire の判定結果は「malicious（悪意あり）」でした。完全なレポートは Github で確認できます（新しいタブで開きます）。 Ire のキャリブレーションについて Ire のレポート（新しいタブで開く）における注目すべき観察事項の一つを、まず強調しておく必要があります。Ire は nfapi::nf_unRegisterDriver および NetFilter という名称が不審であると指摘しましたが、能動的なパケットの傍受があるとは明確に主張していません。問題となっている関数は Run キーに書き込みを行うものであり、ドライバをインストールするものではありません。ここで LLM 駆動型の分析が誤る可能性があります：示唆的な文字列が判断を誘導してしまうのです。nf_unRegisterDriver という名前の関数はカーネルレベルでの作業を行っているように聞こえ、不十分なエージェントであればこれをレポートに記述してしまいます。その結果、下流の防御担当者は幻を追いかけることになり、存在するかどうか不明な振る舞いに対する検出ルールを構築することになります。Ire は誤解を招く名称を指摘し、悪意の有無を最終的に判断する際に、この振る舞いを証拠の一つとして考慮しました。 2 つのレポートの比較 Acronis の試料 私たちのサンプル サンプルタイプ loader EXE + kugou.dll 悪意のある DLL そのもの：AMPV.dll (VT タイプ pedll) インストールディレクトリ C:\ProgramData\Technology360NB\ C:\ProgramData\SmartPrint\ インストールされた実行ファイル DataTechnology.exe SmartPrintScreen.exe Run キーの値 Lite360 DadaBank マーカー引数 –DATA– DaDaBar C2 マジック 0x8899AABB 0xB2EBCFDF 誘惑要素 ポリティカルなテーマを持つ ZIP、ベネズラをテーマにしたランチャー 偽の「PDF が破損しました」メッセージボックス Mustang Panda との関連 インフラと TTP の重複あり、中程度の信頼度（Acronis の判断） 独立して評価されていません；バイナリには文字列"BelievemeIamMustang-Panda"が literal に含まれています Ire の出力結果と Acronis のレポートを比較すると、分析したサンプルは LOTUSLITE マルウェアファミリーの行動プロファイルに一致します。両者ともローダー/DLL の分割構造を持ち、カスタムバイナリプロトコル（マジック DWORD を含む）を HTTPS で使用する C2 コミュニケーション、パイプを介したインタラクティブシェル、ディレクトリエヌメレーション、ファイル操作プリミティブ、チャンクアップロード、HKCU における永続化設定、Google および Microsoft サービスに擬態したトラフィックといった特徴を示しています。表面の詳細（ファイル名、パス、マジック値）は異なりますが、根本的な行動は一致しています。Ire は文字列の一致だけでなく、デコンパイルとリバースエンジニアリングを通じて特定できたこれらの行動に基づき、このサンプルを同一ファミリーに属するマルウェアとして正しく識別しました。 このサンプルは DLL（VirusTotal での pedll）であるため、インストールルーチンの動作は初見では思われるものとは異なります。DLL は C:\ProgramData\SmartPrint\ディレクトリに 2 つのファイルをコピーします。1 つはそれをサイドロードしたローダー EXE（ホストプロセスで GetModuleFileName(NULL) を取得し、SmartPrintScreen.exe として記述）であり、もう 1 つは DLL 自体（AMPV.dll、分析対象のサンプル）です。レジストリの Run キーは、ローダーを指しており引数に–DaDaBar が付与されています。次のログオン時にローダーが実行され、インストールパスから AMPV.dll をサイドロードします。これは Acronis が特定したパターンと同じですが、ファイル名が異なります。 これにより、バイナリの奇妙なエクスポート表面も説明がつきます。この DLL は、Query_Bank、BankSepah_Iran、BankToman_BMI、BankofChina、qrBankInit、JpgSymbolToBMP など、銀行や QR コードをテーマにした長いリストのエクスポート名を公開していますが、そのほとんどはメッセージボックスまたは ExitProcess に解決されます。この形状は、ホスト EXE が GetProcAddress を介してこれらのエクスポートのいずれかを呼び出し、LOTUSLITE のエントリーポイントに到達できるようにするために転用された、乗っ取られた銀行/QR SDK シェルを示唆しています。Acronis は自社のものを DataImporterMain と名付けています。Ire のレポートでは一致するエントリーポイント名は表面化していませんが、行動上の形状が同じであることが特定されています。 Acronis は、インフラストラクチャと TTPs（Tactics, Techniques, and Procedures：戦術・技術・手順）に基づき、マルウェアファミリーを Mustang Panda に帰属させる可能性を中程度の確信度で示していますが、当社のサンプルには「BelievemeIamMustang-Panda」という文字列がそのまま含まれており、何らかの隠蔽処理は施されていません。この文字列自体が作成者の直接証明となるわけではありません。これは開発者による痕跡、トロフィー、あるいは意図的な仕掛けである可能性もあります。当社は帰属判断を下すものではありませんが、バイナリが Acronis が他の手段で特定した同一のアクターを名指ししている点に留意し、この問いについては開かれたままとします。今回の発見に関するもう一つの考慮事項として、このような文字列は LLM（大規模言語モデル）駆動型分析に対する敵対的入力として機能し、判断結果にバイアスをかける可能性がある点が挙げられます。 Spotlight: Event Series ![image](https://www.microsoft.com/en-us/research/wp-content/uploads/2025/05/Research-Forum-hero_1400x788.jpg) Microsoft Research Forum 一般 AI の時代における研究に関するアイデアの継続的な交換に参加しましょう。最新のエピソードはオンデマンドでご覧ください。 オンデマンドで視聴する 新しいタブで開く なぜこれが重要なのか Ire はバイナリを静的に逆解析し、関数レベルからシステムレベルまでの振る舞いを特定することで、ソフトウェアが何を行うかを記述し、判断を下します。このサンプルの判断は、Ire が表面化させた特定の詳細（関数の役割、パケットレイアウト、コマンド ID、永続化レジストリキー、偽装文字列）に基づいた単一の Ire 実行によるものです。Ire はそのレポートや証拠連鎖において LOTUSLITE と名付けたことはありません。このファミリーマッピングは後日、Ire のレポートと Acronis のレポートを比較することによって私たちが行ったものです。Ire はこのサンプルを LOTUSLITE にマッピングすることを容易にするのに十分な精度で振る舞いを記述しました。 Project Ire による最新の発見やその他の興味深いサンプル検出については、プロジェクトページをフォローして最新情報を入手してください。 Ire のシステム出力レポートを見る 新しいタブで開くこの投稿「Ire が別の LOTUSLITE 試料を特定」は、Microsoft Research で最初に公開されました。

Microsoft Research、LOTUSLITE の新たな変種を Ire が特定

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト