SpyGlaceとは？機能・コマンドとv3.1.6〜v3.1.18の違いを徹底解説

WINDOWS DEFENSIVE SECURITY

SpyGlaceとは？APT-C-60が使う遠隔操作型マルウェアの機能・コマンド・過去版との違い

SpyGlaceは、東アジアを標的とする攻撃グループAPT-C-60が使用してきた、Windows向けのバックドア型マルウェアです。感染後の端末からシステム情報を収集し、攻撃者の指示に従ってファイル操作、追加モジュールの読み込み、プロセス起動、スクリーンショット取得、リモートシェルなどを実行します。

ESETはAPT-C-60の最終ペイロードをSpyGlaceと命名し、ThreatBookが過去に「TaskControler.dll」として公開分析したマルウェアと関連付けています。

2026年7月時点で、JPCERT/CCが日本国内の攻撃で確認した最新系統はv3.1.15、v3.1.17、v3.1.18です。ただし、2026年版で大きく変わったのはSpyGlace本体の機能より、侵入経路です。

Proton Driveまたはメール添付のRAR、LNK、mshta.exe、難読化JavaScript、jsDelivr、git.exe、GitHub・GitLab・Codebergという多段階の感染チェーンへ更新されました。JPCERT/CCは、2026年に確認した3バージョンについて、以前の版と比べた大きな機能差は確認していないとしています。

SpyGlaceは何をするマルウェアなのか

SpyGlaceを一言で表すなら、攻撃者が感染端末を遠隔操作するための「拡張可能なバックドア」です。

単に情報を送信するだけでなく、C2サーバーから受け取った命令に応じて端末内を調査し、必要なファイルを取得し、別のモジュールやプログラムを動作させられます。

2024年にJPCERT/CCが分析したv3.1.6は、初期化時に設定情報を読み込み、Mutexを作成し、外部サービスでネットワーク疎通を確認します。さらに、特定のユーザーディレクトリに置かれた複数種類のファイルを実行する処理も備えていました。

SpyGlaceが攻撃者へ送る初期情報には、コンピューター名、ユーザー名、CPU情報、OSのバージョン、SpyGlace自身のバージョンなどが含まれます。

JPCERT/CCの2025年分析では、これらの情報をBase64と独自改変されたRC4で処理してC2へ送信し、暗号化された追加ファイルの取得にはAES-128-CBCを使用することが確認されています。

重要なのは、SpyGlaceの公開コマンド一覧に、ファイル操作や画面取得だけでなく、DLLモジュールの読み込み・開始・停止・解放が含まれる点です。

つまり、公開された本体のコマンドだけで能力の上限を判断できません。攻撃者が追加モジュールを送り込めば、キャンペーンや標的に合わせて機能を拡張できる設計と考えられます。

これは公開されたコマンド構成からの推定であり、未確認の機能がすべて実装されているという意味ではありません。

SpyGlaceの主要コマンド

JPCERT/CCが公開したv3.1.6とv3.1.12〜v3.1.14のコマンドは、6グループに整理できます。

1．ファイルとディレクトリの操作

この組み合わせにより、攻撃者は端末内の構成を確認し、窃取対象を選び、追加ツールを送り込み、不要になったファイルを削除できます。

ただし、uploadが存在することは情報持ち出し能力を示しますが、公開資料だけで実際にどの文書が窃取されたかまでは判断できません。

2．プロセスの操作

v3.1.6では、プロセス一覧取得と停止が実装されていました。

一方、2025年に確認されたv3.1.12、v3.1.13、v3.1.14では、prockillとproclistがコマンドとして残っているものの、何もしない実装へ変更されていました。

削除ではなく無効化であるため、開発途中の整理、検知回避、外部モジュールへの機能移管など複数の可能性がありますが、理由は公開情報から断定できません。

3．DLL・追加モジュールの制御

uldは2025年確認版で追加されました。

JPCERT/CCによると、モジュール内の特定関数を呼び出し、約2秒後にアンロードします。終了前のクリーンアップ処理が必要なモジュールを扱いやすくする変更とみられます。

この変更は、SpyGlaceが単体完結型ではなく、追加DLLを組み合わせるプラットフォーム型のバックドアであることを示す重要な差分です。

4．端末情報の取得

SpyGlaceには、次の情報収集機能が確認されています。

攻撃者は、ストレージ構成や端末属性を確認し、対象端末ごとに後続処理を変えられます。

2025年の前段ダウンローダーでは、ボリュームシリアル番号とコンピューター名を組み合わせて感染端末を識別し、端末固有のファイルをGitHubへ配置して次段階を制御していました。

これはSpyGlace本体のコマンドではありませんが、攻撃全体が「感染させた全端末へ一律に配布する」のではなく、個体識別を伴う運用であることを示します。

5．画面の取得

画面取得は、表示中の資料、業務アプリ、チャット、メール、管理画面などを視覚的に把握するために悪用できます。

2025年版では、スクリーンショット関連とみられるモジュールの保存先がClouds.db、呼び出すエクスポート関数がmssc1へ変更されました。

ただし、JPCERT/CCは当該モジュール本体を確認できておらず、機能の詳細は未確定としています。

6．リモートシェルと稼働制御

2024年版の一覧では、cmdがリモートシェルとして記載されています。

2025年版のAppendixでは、cancelがRemote shellとして掲載され、さらにturn onとturn offが通信間隔の変更・リセットに対応しています。

名称の変更理由や内部実装の同一性は公表資料だけでは断定できないため、「2024年のcmdがそのままcancelへ改名された」とまでは言い切れません。

リモートシェルは、あらかじめ用意された機能だけでなく、OSコマンドを通じて追加調査や操作を行うための中核機能です。

防御側は特定のSpyGlaceコマンド文字列だけでなく、バックドアの子プロセスとして不審なコマンドインタープリターや管理ツールが起動していないかを確認する必要があります。

バージョンごとの違い

v3.1.12、v3.1.13、v3.1.14は、2025年6月27日、7月3日、7月16日に攻撃者管理のGitHubへ順次アップロードされていました。

短い期間に小刻みな版更新を行っており、Mutexや配置先など、検知・運用に影響する部分を調整していたことが分かります。

なお、v3.1.16が公開報告に登場しないからといって、存在しなかったとは限りません。

JPCERT/CCの表は、実際に確認できた検体を示すもので、すべての開発版の連番を保証するものではありません。

同様に、2026年版で機能差が確認されなかったという説明も、すべての内部コードが完全に同一という意味ではなく、分析された範囲で大きな機能変更が見つからなかったという意味で読むべきです。

過去版より危険になったのか

SpyGlace本体の機能が毎年大幅に増えているとは確認されていません。

むしろ、攻撃者は成熟した基本機能を維持しながら、前段のダウンローダー、永続化、正規サービス、ファイル形式、実行方法を更新しています。

2024年にはGoogle Drive、VHDX、LNK、git.exe、Bitbucket、StatCounterが使われ、v3.1.6が配布されました。

2025年にはVHDXがメールへ直接添付され、GitHub上の端末固有ファイルと2段階のダウンローダーを介してv3.1.12〜v3.1.14が配布されました。

2026年にはRAR、LNK、mshta.exe、JavaScript、jsDelivr、GitHub、GitLab、Codebergへと経路が拡張されています。

したがって、「最新版ほどコマンド数が多いから危険」という理解は正確ではありません。

危険性を高めているのは、SpyGlaceの遠隔操作能力に加え、Windows標準プログラムと正規クラウドサービスを連鎖させ、最終ペイロードが届くまでを細かく分割している点です。

APT-C-60とWPS Officeゼロデイの関係

SpyGlaceはRARやVHDXだけで配布されたわけではありません。

ESETは、APT-C-60がWPS Office for Windowsのコード実行脆弱性CVE-2024-7262を実際の攻撃で悪用し、最終的にSpyGlaceを展開していたと報告しました。

調査の過程では別経路の脆弱性CVE-2024-7263も発見され、両方とも修正されています。

この事例から分かるのは、SpyGlaceが特定の侵入方法に依存していないことです。

脆弱性悪用、クラウドリンク、仮想ディスク、圧縮ファイル、ショートカットなど、入口はキャンペーンごとに変わります。

防御側がSpyGlace本体のハッシュだけを監視しても、別版や別ローダーへ置き換えられれば検知できない可能性があります。

SpyGlaceをどう検知するか

第一に、IoCとTTPを分けて考えます。

IPアドレス、ハッシュ、リポジトリ名は即時照合に役立ちますが、攻撃者が変更しやすい情報です。

一方、採用担当者を狙うメール、アーカイブ内のLNK、正規プログラムによるスクリプト実行、COMハイジャッキング、端末固有IDを使うダウンローダー、正規コード共有サービスからの段階配布といった行動は、複数年にわたって繰り返されています。

第二に、プロセス・通信・ファイル作成・レジストリを時系列で関連付けます。

2026年型であれば、次の連鎖が重要です。

RARを展開
  ↓
LNKを実行
  ↓
mshta.exeを起動
  ↓
JavaScriptを実行
  ↓
jsDelivrからファイルを取得
  ↓
git.exeを起動
  ↓
複数の.dbファイルを結合
  ↓
追加ダウンローダーを実行
  ↓
SpyGlaceを展開

第三に、感染後の挙動として、未知のDLL読み込み、ユーザーディレクトリ配下の偽装された.datや.db、不自然なスクリーンショット取得、通常利用のない端末からのC2通信、バックドアからの子プロセス起動を監視します。

2025年版では自動実行パスやMutexが版ごとに変化しており、単一パスへの固定ルールより、署名・親子関係・作成元プロセス・通信を組み合わせる方が堅牢です。

まとめ

SpyGlaceは、APT-C-60が東アジアへのサイバー諜報活動で使用する、モジュール拡張型のWindowsバックドアです。

ファイルの列挙・削除・送受信、プロセス起動、DLLモジュール制御、ディスク情報取得、スクリーンショット、リモートシェルといった遠隔操作機能を備えています。

v3.1.6からv3.1.12〜v3.1.14では、プロセス関連コマンドの無効化、uldの追加、スクリーンショットモジュール参照先、自動実行パス、Mutexなどが変化しました。

2026年に確認されたv3.1.15、v3.1.17、v3.1.18では大きな機能差は報告されていませんが、配布経路はmshta.exeや複数の正規サービスを使う、より多段階な構成へ変化しています。

防御の要点は、SpyGlaceというファイル名やハッシュだけを探すことではありません。

入口となるメールから、LNK、正規プログラム、ダウンローダー、永続化、C2通信、追加モジュールまでを、一つの攻撃チェーンとして監視することが重要です。

SpyGlaceはRATですか？

遠隔操作、ファイル送受信、画面取得、プロセス起動、リモートシェルを持つため、広い意味ではRATまたはバックドアに分類できます。

公開資料では「custom backdoor」「remote access trojan」などの表現が使われています。

SpyGraceとSpyGlaceは別のマルウェアですか？

別のマルウェアではありません。

JPCERT/CCの2024年記事では当初SpyGraceと記載されましたが、2025年9月にESETの正式な呼称はSpyGlaceだったとして訂正されました。同じマルウェアを指す表記上の訂正です。

SpyGlaceにはキーロガー機能がありますか？

JPCERT/CCが公開した標準コマンド一覧には、明示的なキーロガーコマンドは掲載されていません。

ただし、DLLモジュールを追加・実行する機能があるため、公開一覧だけで追加機能の可能性を否定することはできません。一方、未確認の機能を「搭載している」と断定するのも不正確です。

v3.1.18が最も高機能ですか？

公開情報では、2026年に確認されたv3.1.15、v3.1.17、v3.1.18に、旧版と比べた大きな機能差は確認されていません。

バージョン番号が大きいことだけを根拠に、最も高機能とは判断できません。

ウイルス対策ソフトだけで防げますか？

多段階ダウンローダー、正規プログラム、正規クラウドサービス、暗号化・難読化を組み合わせるため、ファイルの静的検査だけでは不十分です。

メール防御、LNK・スクリプトの実行制御、EDRによる親子プロセス監視、ネットワークログ、レジストリ監視を組み合わせる必要があります。

GitHubやjsDelivrを遮断すれば防げますか？

正規業務への影響が大きく、攻撃者はBitbucket、GitHub、GitLab、jsDelivr、Codebergなどを入れ替えています。

ドメインの全面遮断だけでなく、接続元プロセス、取得ファイル、直前のLNK実行、後続のファイル作成を関連付けて判断することが重要です。