中国Salt Typhoon、中南米で新マルウェア

ESETは2026年9月17日、中国を背景とする諜報集団Salt Typhoonが新たなバックドアを中南米で運用していると報告した。 同集団はESET内部でFamousSparrowと呼ばれている。 新バックドアの名称はSparroWockyである。 遅くとも2025年8月以降、複数の国の政府機関の通信網で検出された。 The Register の Jessica Lyons の報道では、標的の地域的な偏りが指摘されている。

Salt Typhoonは2019年頃から通信事業者や政府機関に長期潜伏してきた集団として知られる。 侵入の発覚は2023年後半であった。 検知を逃れて持続的な接続を維持する手口が特徴である。 今回の報告は、その活動領域が中南米に移ったことを示す。 2025年半ばから2026年にかけて、標的の9割が同地域に集中したという。

中南米に集中する攻撃活動の全体像

ESETのマルウェア研究者は、2025年8月にSparroWockyの展開を確認した。 対象はアルゼンチン、エクアドル、グアテマラ、ホンジュラス、パナマ、ペルー、プエルトリコ、ベネズエラの政府機関であった。 いずれも知名度の高い組織が含まれる。 中国系の高度標的型攻撃集団が同地域を集中的に狙う事例は珍しいとされる。 その特異性が今回の報告の核心である。

標的転換の時期は2025年7月頃であった。 その約1か月後に新バックドアが確認された。 従来の基盤を使い回すのではなく、新規の植え付け手段を投入した形である。 地域集中と新ツールの登場が連動している。 ESETはこの連続性を重視している。

90%という集中度は、通常の諜報活動の分散傾向と異なる。 特定地域の政府反応を継続把握する意図がうかがえる。 通信や行政網への足場確保が目的と見る向きもある。 長期潜伏を前提とした初期設定の段階にある可能性がある。 今後の検体追加や被害開示が注目される。

新バックドアSparroWockyの構造

SparroWockyはC++で記述された組み込み型のバックドアである。 機能追加が可能な構造を採用している。 中南米への注力開始後に出現した。 既存の検知を回避する工夫が盛り込まれている。 解析対象は11月17日に翻訳された検体である。

名称はルイス・キャロルの詩「Jabberwocky」に由来する。 収集された複数の検体から同詩の第一連が見つかった。 研究者がその文字列を手掛かりに命名した。 詩の一節は以下の内容である。

’Twas brillig, and the slithy toves / Did gyre and gimble in the wabe: / All mimsy were the borogoves, / And the mome raths outgrabe.

こうした文字列は検体識別や帰属判断の補助材料になる。 攻撃者が意図的に残したかは不明である。 少なくとも同一系統の検体を束ねる指標になる。 ESETはこの特徴を基に系統整理を進めた。

オープンソース技術の悪用手法と回避

SparroWockyは公開された部品を組み込んでいる。 自前開発と既存資産の併用で開発期間を短縮している。 指令管理基盤との通信保護や防御回避が狙いである。 以下が確認された構成要素である。 いずれも正規用途を持つ技術である。

第一にMbed TLSである。 C言語の資料庫として指令管理基盤との保護通信に使う。 通信の秘匿化により検知と解読を困難にする。 第二にMinHookである。 WindowsのAPI接合用資料庫である。 新規に生成した糸筋の開始住所を隠し、防御製品の監視を逃れる。 第三にCOFF Loaderまたは類似の仕組みである。 記憶域上でCOFF形式の差し込み部品を動的に読み込み、実行する。

さらに特定の部品の変種を組み込んでいるとされる。 公開された要約では当該記述が途中で途切れている。 詳細な機能名や版数は現時点で確定できない。 ただし記憶域実行と組み合わせた拡張機構を持つ点は明確である。 本体を小さく保ち、機能は後から追加する設計と評価できる。

こうした設計は近時の高度標的型攻撃に共通する。 本体は潜伏と通信維持に専念する。 情報窃取や横展開の機能は追加部品として投入する。 防御側は本体の検出だけでなく、記憶域上の異常動作の監視が必要になる。 振る舞い検知と通信解析の併用が欠かせない。

米中対立を背景とした諜報意図の分析

ESETの研究者Alexandre Côté Cyr氏とRomain Dumont氏は、政治的背景に言及した。 米国のDonald Trump大統領による中南米政策の強化が要因と分析する。 中国の長期投資と米国の巻き返しが衝突しているという見立てである。 研究者は報告書で次のように記述した。

Donald Trump’s second presidential term has brought about an aggressive reaffirmation of US interests in Latin America, which threatens various long-term investments that China has cultivated throughout the continent in the last decade, in domains such as energy, mining, and telecommunications.

対象分野は電力、鉱業、通信などである。 中国は過去10年にわたり同大陸で権益を積み上げてきた。 米国の圧力が現地政府の対応を変化させる可能性がある。 その反応を早期に把握する必要が生じている。 諜報活動の動機として整合的である。

さらに研究者は活動目的について次の見解を示した。

We suspect that FamousSparrow’s activities are intended to help China better monitor and anticipate the reaction of local governments to current US pressures.

現地政府の反応の監視と予測が目的との見方である。 政策決定過程や通信基盤の動向が関心対象になると見る。 政府機関を直接狙う選定とも符合する。 通信事業者への過去の侵入実績も同様の文脈で理解できる。 地政学的な緊張が電脳空間に投影された事例である。

本記事は The Register に基づく（All Rights Reserved）。日本国著作権法32条の公正な引用に依拠する。

長期潜伏型侵入が突き付ける防御課題

Salt Typhoonの手口は長期潜伏と正規機能の悪用に特徴がある。 2019年からの活動が2023年後半まで発覚しなかった事実が重い。 通信事業者や政府機関は監視範囲が広く、異常の発見が遅れがちである。 今回も2025年8月の展開から報告まで時間を要した。 潜伏期間中の被害範囲の特定が課題になる。

防御側に求められるのは資産把握と通信の可視化である。 指令管理通信の宛先や証明書、時間帯の偏りを記録する。 端末側では記憶域実行や糸筋隠蔽の兆候を拾う。 MinHookのような接合技術は正規品にも使われるため、単純な検出は難しい。 複数の微弱な兆候を束ねる運用が重要になる。

開発基盤や運用管理の可視化も基盤防衛に寄与する。 例えば開発基盤の動向はCloudflare、VoidZero買収でVite/Astro開発強化が参考になる。 支出や資産の把握という観点ではRippling、AI支出追跡ツール『AI Spend Console』発表が示唆に富む。 公開技術の利活用という観点ではAI動画生成MoneyPrinterTurbo GitHubで急上昇が示すように、開放型部品の普及が続いている。 攻撃者はその潮流に便乗している。 防御側も部品表と出所管理を徹底する必要がある。

中南米の政府機関にとっては調達網の点検も急務である。 通信機器や委託開発、保守経路が侵入口になる。 多要素認証や特権分離だけでは長期潜伏を防げない。 記録の保全と外部との突合が欠かせない。 地域を越えた情報共有の枠組みが試されている。

編集部の見解

短期的影響について述べる。今後3〜6か月で中南米の政府機関や通信事業者を中心に検知規則の更新が進むと見る。ESETの検体情報を基に各国のCERTや防御製品が対応を強化する可能性がある。調達先や保守委託先の点検依頼も増えると見る。日本企業の中南米拠点も通信経路の棚卸しを求められると評価する。

長期的視点について述べる。1〜3年では電力や鉱業、通信をめぐる地政学的緊張が電脳諜報の常態化を招くと見る。組み込み型で拡張可能な植え付け手段が主流になると評価する。防御側は記憶域監視や通信解析への投資を迫られると見る。国際共同の帰属開示と制裁の連動も強まると評価する。

編集部からの問いを提示する。政府反応の予測を目的とする諜報に、技術的防御だけで対抗できるのだろうか。公開部品の悪用と正規利用を区別する基準をどう定めるべきだろうか。被害の長期潜伏を前提に、記録保全の義務期間をどう設計すべきだろうか。地政学と技術対策を接続する議論が問われていると評価する。

参考

• 「China’s Salt Typhoon backdoors Latin American orgs with new snooping malware」, by Jessica Lyons — The Register, 2026-09-17T18:00:17.000Z (ARR)
• 元記事URL: https://www.theregister.com/security/2026/09/17/chinas-salt-typhoon-backdoors-latin-american-orgs-with-new-snooping-malware/5297286