The rise of supply chain attacks

In recent years, the abuse of trusted software has become increasingly common, with supply chain compromises emerging as one of the fastest growing vectors for cyber intrusions. As highlighted in Darktrace’s Annual Threat Report 2026, attackers and state-actors continue to find significant value in gaining access to networks through compromised trusted links, third-party tools, or legitimate software. In January 2026, a supply chain compromise affecting MicroWorld Technologies’ eScan antivirus product was reported, with malicious updates distributed to customers through the legitimate update infrastructure. This, in turn, resulted in a multi‑stage loader malware being deployed on compromised devices [1][2].

An overview of eScan exploitation

According to eScan’s official threat advisory, unauthorized access to a regional update server resulted in an “incorrect file placed in the update distribution path” [3]. Customers associated with the affected update servers who downloaded the update during a two-hour window on January 20 were impacted, with affected Windows devices subsequently have experiencing various errors related to update functions and notifications [3].

While eScan did not specify which regional update servers were affected by the malicious update, all impacted Darktrace customer environments were located in the Europe, Middle East, and Africa (EMEA) region.

External research reported that a malicious 32-bit executable file , “Reload.exe”, was first installed on affected devices, which then dropped the 64-bit downloader, “CONSCTLX.exe”. This downloader establishes persistence by creating scheduled tasks such as “CorelDefrag”, which are responsible for executing PowerShell scripts. Subsequently, it evades detection by tampering with the Windows HOSTS file and eScan registry to prevent future remote updates intended for remediation. Additional payloads are then downloaded from its command-and-control (C2) server [1].

Darktrace’s coverage of eScan exploitation

Initial Access and Blockchain as multi-distributed C2 Infrastructure

On January 20, the same day as the aforementioned two‑hour exploit window, Darktrace observed multiple devices across affected networks downloading .dlz package files from eScan update servers, followed by connections to an anomalous endpoint, vhs.delrosal[.]net, which belongs to the attackers’ C2 infrastructure.

The endpoint contained a self‑signed SSL certificate with the string “O=Internet Widgits Pty Ltd, ST=SomeState, C=AU”, a default placeholder commonly used in SSL/TLS certificates for testing and development environments, as well as in malicious C2 infrastructure [4].

Utilizing a multi‑distributed C2 infrastructure, the attackers also leveraged domains linked with the Solana open‑source blockchain for C2 purposes, namely “.sol”. These domains were human‑readable names that act as aliases for cryptocurrency wallet addresses. As browsers do not natively resolve .sol domains, the Solana Naming System (formerly known as Bonfida, an independent contributor within the Solana ecosystem) provides a proxy service, through endpoints such as sol-domain[.]org, to enable browser access.

Darktrace observed devices connecting to blackice.sol-domain[.]org, indicating that attackers were likely using this proxy to reach a .sol domain for C2 activity. Given this behavior, it is likely that the attackers leveraged .sol domains as a dead drop resolver, a C2 technique in which threat actors host information on a public and legitimate service, such as a blockchain. Additional proxy resolver endpoints, such as sns-resolver.bonfida.workers[.]dev, were also observed.

Solana transactions are transparent, allowing all activity to be viewed publicly. When Darktrace analysts examined the transactions associated with blackice[.]sol, they observed that the earliest records dated November 7, 2025, which coincides with the creation date of the known C2 endpoint vhs[.]delrosal[.]net as shown in WHOIS Lookup information [4][5].

Subsequent instructions found within the transactions contained strings such as “CNAME= vhs[.]delrosal[.]net”, indicating attempts to direct the device toward the malicious endpoint. A more recent transaction recorded on January 28 included strings such as “hxxps://96.9.125[.]243/i;code=302”, suggesting an effort to change C2 endpoints. Darktrace observed multiple alerts triggered for these endpoints across affected devices.

Similar blockchain‑related endpoints, such as “tumama.hns[.]to”, were also observed in C2 activities. The hns[.]to service allows web browsers to access websites registered on Handshake, a decentralized blockchain‑based framework designed to replace centralized authorities and domain registries for top‑level domains. This shift toward decentralized, blockchain‑based infrastructure likely reflects increased efforts by attackers to evade detection.

In outgoing connections to these malicious endpoints across affected networks, Darktrace / NETWORK recognized that the activity was 100% rare and anomalous for both the devices and the wider networks, likely indicative of malicious beaconing, regardless of the underlying trusted infrastructure. In addition to generating multiple model alerts to capture this malicious activity across affected networks, Darktrace’s Cyber AI Analyst was able to compile these separate events into broader incidents that summarized the entire attack chain, allowing customers’ security teams to investigate and remediate more efficiently. Moreover, in customer environments where Darktrace’s Autonomous Response capability was enabled, Darktrace took swift action to contain the attack by blocking beaconing connections to the malicious endpoints, even when those endpoints were associated with seemingly trustworthy services.

Conclusion

Attacks targeting trusted relationships continue to be a popular strategy among threat actors. Activities linked to trusted or widely deployed software are often unintentionally whitelisted by existing security solutions and gateways. Darktrace observed multiple devices becoming impacted within a very short period, likely because tools such as antivirus software are typically mass‑deployed across numerous endpoints. As a result, a single compromised delivery mechanism can greatly expand the attack surface.

Attackers are also becoming increasingly creative in developing resilient C2 infrastructure and exploiting legitimate services to evade detection. Defenders are therefore encouraged to closely monitor anomalous connections and file downloads. Darktrace’s ability to detect unusual activity amidst ever‑changing tactics and indicators of compromise (IoCs) helps organizations maintain a proactive and resilient defense posture against emerging threats.

Credit to Joanna Ng (Associate Principal Cybersecurity Analyst) and Min Kim (Associate Principal Cybersecurity Analyst) and Tara Gould (Malware Researcher Lead)

Edited by Ryan Traill (Content Manager)

Appendices

Darktrace Model Detections

• Anomalous File::Zip or Gzip from Rare External Location
• Anomalous Connection / Suspicious Self-Signed SSL
• Anomalous Connection / Rare External SSL Self-Signed
• Anomalous Connection / Suspicious Expired SSL
• Anomalous Server Activity / Anomalous External Activity from Critical Network Device
  

List of Indicators of Compromise (IoCs)

• vhs[.]delrosal[.]net – C2 server
• tumama[.]hns[.]to – C2 server
• blackice.sol-domain[.]org – C2 server
• 96.9.125[.]243 – C2 Server

MITRE ATT&CK Mapping

• T1071.001 - Command and Control: Web Protocols
• T1588.001 - Resource Development
• T1102.001 - Web Service: Dead Drop Resolver
• T1195 – Supple Chain Compromise

References

[1] https://www.morphisec.com/blog/critical-escan-threat-bulletin/

[2] https://www.bleepingcomputer.com/news/security/escan-confirms-update-server-breached-to-push-malicious-update/

[3] hxxps://download1.mwti.net/documents/Advisory/eScan_Security_Advisory_2026[.]pdf

[4] https://www.virustotal.com/gui/domain/delrosal.net

[5] hxxps://explorer.solana[.]com/address/2wFAbYHNw4ewBHBJzmDgDhCXYoFjJnpbdmeWjZvevaVv

サイバーセキュリティにおいては、これまではインシデント、侵害、キャンペーン、そして脅威グループを中心にリスクを整理してきました。これらの要素は現在も重要です －しかし個別のインシデントにとらわれていては、エコシステム全体の形成を見逃してしまう危険があります。国家が支援する攻撃者グループは、個別の攻撃を実行したり短期的な目標を達成したりするためだけではなく、サイバー作戦を長期的な戦略上の影響力を構築するために使用するようになっています。  

当社の最新の調査レポート、Crimson Echoにおいてもこうした状況にあわせて視点を変えています。キャンペーンやマルウェアファミリー、あるいはアクターのラベルを個別のイベントとして分類するのではなく、ダークトレースの脅威調査チームは中国系グループのアクティビティを長期的に連続した行動として分析しました。このように視野を拡大することで、これらの攻撃者がさまざまな環境内でどのように存在しているか、すなわち、静かに、辛抱強く、持続的に、そして多くのケースにおいて識別可能な「インシデント」が発生するかなり前から下準備をしている様子が明らかになりました。  

中国系サイバー脅威のこれまでの変化

中国系サイバーアクティビティは過去20年間において4つのフェーズで進化してきたと言えます。初期の、ボリュームを重視したオペレーションは1990年代にから2000年代初めに見られ、それが2010年代にはより構造化された、戦略に沿った活動となり、そして現在の高度な適応性を備えた、アイデンティティを中心とした侵入へと進化しています。  

現在のフェーズの特徴は、大規模、攻撃の自制、そして永続化です。攻撃者はアクセスを確立し、その戦略的価値を評価し、維持します。これはより全体的な変化を反映したものです。つまりサイバー作戦は長期的な経済的および地政学的戦略に組み込まれる傾向が強まっているということです。デジタル環境へのアクセス、特に国家の重要インフラやサプライチェーン、先端テクノロジーにつながるものは、ある種の長期的な戦略的影響力と見られるようになりました。  

複雑な問題に対するダークトレースのビヘイビア分析アプローチ

国家が支援するサイバーアクティビティを分析する際、難しい問題の1つはアトリビューションです。従来のアプローチは多くの場合、特定の脅威グループ、マルウェアファミリー、あるいはインフラに判定を依存していました。しかしこれらは絶えず変化するものであり、さらに中国系オペレーションの場合、しばしば重複が見られます。

Crimson Echo は2022年7月から2025年9月の間の3年間にDarktrace運用環境で観測された異常なアクティビティを回顧的に分析した結果です。ビヘイビア検知、脅威ハンティング、オープンソースインテリジェンス、および構造化されたアトリビューションフレームワーク（Darktrace Cybersecurity Attribution Framework）を用いて、数十件の中～高確度の事例を特定し、繰り返し発生しているオペレーションのパターンを分析しました。  

この長期的視野を持ったビヘイビア中心型アプローチにより、ダークトレースは侵入がどのように展開していくかについての一定のパターンを特定することができ、動作のパターンが重要であることがあらためて確認されました。  

データが示していること

分析からいくつかの明確な傾向が浮かび上がりました：

• 標的は戦略的に重要なセクターに集中していたのです。データセット全体で、侵入の88%は重要インフラと分類される、輸送、重要製造業、政府、医療、ITサービスを含む組織で発生しています。   
• 戦略的に重要な西側経済圏が主な焦点です。米国だけで、観測されたケースの22.5%を占めており、ドイツ、イタリア、スペイン、および英国を含めた主要なヨーロッパの経済圏と合わせると侵入の半数以上（55%）がこれらの地域に集中しています。  
• 侵入の63%近くがインターネットに接続されたシステムのエクスプロイトから始まっており、外部に露出したインフラの持続的リスクがあらためて浮き彫りになりました。  

サイバー作戦の2つのモデル

データセット全体で、中国系のアクティビティは2つの作戦モデルに従っていることが確認されました。  

1つ目は“スマッシュアンドグラブ”（強奪）型と表現することができます。これらはスピードのために最適化された短期型の侵入です。攻撃者はすばやく動き  – しばしば48時間以内にデータを抜き出し  – ステルス性よりも規模を重視します。これらの侵害の期間の中央値は10日ほどです。検知の危険を冒しても短期的利益を得ようとしていることが明らかです。  

2つ目は“ローアンドスロー”（低速）型です。これらのオペレーションはデータセット内ではあまり多くありませんでしたが、潜在的影響はより重大です。ここでは攻撃者は持続性を重視し、アイデンティティシステムや正規の管理ツールを通じて永続的なアクセスを確立し、数か月間、場合によっては数年にわたって検知されないままアクセスを維持しようとします。1つの注目すべきケースでは、脅威アクターは環境に完全に侵入して永続性を確立し、600日以上経ってからようやく再浮上した例もありました。このようなオペレーションの一時停止は侵入の深さと脅威アクターの長期的な戦略的意図の両方を表しています。このことはサイバーアクセスが長期にわたって保有し活用するべき戦略的資産であることを示しており、これは最も戦略的に重要なセクターにおいて最もよく見られたパターンです。  

同じ作戦エコシステムにおいて両方のモデルを並行して利用し、標的の価値、緊急性、意図するアクセスに基づいて適切なモデルを選択することも可能だという点に注意することも重要です。“スマッシュアンドグラブ” モデルが見られたからといって諜報活動が失敗したとのみ解釈すべきではなく、むしろ目標に沿った作戦上の選択かもしれないと見るべきでしょう。“ローアンドスロー” 型は粘り強い活動のために最適化され、“スマッシュアンドグラブ” 型はスピードのために最適化されています。どちらも意図的な作戦上の選択と見られ、必ずしも能力を表していません。  

サイバーリスクを再考する

多くの組織にとって、サイバーリスクはいまだに一連の個別のイベントとして位置づけられています。何かが発生し、検知され、封じ込められ、組織はそれを乗り越えて前に進みます。しかし永続的アクセスは、特にクラウド、アイデンティティベースのSaaSやエージェント型システム、そして複雑なサプライチェーンネットワークが相互接続された環境では、重大な持続的露出リスクを作り出します。システムの中断やデータの流出が発生していなくても、そのアクセスによって業務や依存関係、そして戦略的意思決定についての情報を得られるかもしれません。サイバーリスクはますます長期的な競合情報収集に似てきています。

その影響はSOCだけの問題ではありません。組織はガバナンス、可視性、レジリエンスについての考え方を見直し、サイバー露出をインシデント対応の問題ではなく構造的なビジネスリスクとして扱う必要があります。  

次の目標

この調査の目的は、これらの脅威の仕組みについてより明確な理解を提供することにより、防御者がより早期にこれらを識別しより効果的に対応できるようにすることです。これには、インジケーターの追跡からビヘイビアの理解にシフトすること、アイデンティティプロバイダーを重要インフラリスクとして扱うこと、サプライヤーの監視を拡大すること、迅速な封じ込めのための能力に投資すること、などが含まれます。  

ダークトレースの最新調査、”Crimson Echo: ビヘイビア分析を通じて中国系サイバー諜報技術を理解する” についてより詳しく知るには、ビジネスリーダー、CISO、SOCアナリストに向けたCrimson Echoレポートのエグゼクティブサマリーを ここからダウンロードしてください。