中国系APT「Twill Typhoon」が日本含むAPACを標的、Sogou IME経由でFDMTPバックドアを展開

「国家系APTって名前は聞くけれど、本当に自社が狙われるのだろうか？」
「正規Windowsツールを使った攻撃って、どうやって見抜けるのだろう？」

チップス

ボス、Darktraceが中国系のAPTが日本も含むアジアを狙ってるって出してたんでしゅ。Sogou入力って中国系のソフトでしゅよね…？

ボス

ふふふ、するどい。「Twill Typhoon」と名付けられたグループが、Sogou Pinyin IMEのDLLハイジャックを起点にFDMTPバックドアを送り込んでくる構図だ。日本企業もスコープに入っているからな、油断は禁物だぞ。

本記事では、Darktraceが報告したTwill Typhoonの諜報キャンペーンの概要と、日本企業がいま備えるべき防御の考え方をやさしく整理します。
多国籍に拠点を持つ企業や、製造業・素材産業のセキュリティ担当者の方に役立つ内容です。

読み終えるころには、自社が同様の攻撃を受けたときに何を見ればよいのか、検知の軸が見えてくるはずです。

Twill Typhoonキャンペーンの概要

まずはDarktraceが観測した攻撃の輪郭と、特徴的な攻撃ステップを押さえます。

2025年秋から続くAPAC企業への執拗な諜報活動

Twill Typhoonは2025年9月以降、複数の顧客環境で観測された中国系APTグループです。
主戦場はアジア太平洋（APAC）地域で、日本・台湾・東南アジアの企業や中華系のディアスポラを抱える組織が対象になっています。
目的は破壊や金銭ではなく、長期に居座って機密情報を抜く「諜報」型の活動である点が特徴です。
詳細はIndustrial Cyberの報道に整理されています。

チップス

製造業を狙うAPTって設計図とか開発データを抜きに来るって聞きましゅが、それを長期に潜まれるのは怖いでしゅ…！

ボス

そうだな。気づかれずに数か月以上居座れる相手は、業界の競争力そのものを削りに来る。発見の遅れが致命傷になるわけだ。

攻撃の仕組みと検知の鍵

続けて、攻撃の具体ステップと、なぜ従来型の検知では不足するのかを整理します。

正規ファイル＋悪意DLL＋FDMTPの3段構成

Twill Typhoonの侵入チェーンは「正規実行ファイル」「設定ファイル」「悪意DLL」の3点セットを段階的に取得・配置し、最後に更新版のFDMTPバックドアを起動する流れです。
初期足場ではClickOnceやVisual Studioの正規Windowsコンポーネントを悪用し、Sogou Pinyin IMEのDLLハイジャックを起点に侵入します。
FDMTPはシステムプロファイリング、リモートコマンド実行、レジストリ永続化、プラグイン機構による機能拡張に対応した多機能バックドアで、活動範囲を内部で広げていきます。

IoC固定の検知から振る舞いベース検知へ

Darktraceは「個別のIoCだけに頼った検知はすぐに陳腐化する」と指摘し、行動シーケンスを軸にした検知の重要性を強調しています。
具体的にはClickOnce経由の不審なファイル取得、Sogou IMEを介したDLL読み込み、レジストリ永続化、外向き通信の組み合わせを連鎖として捉える設計が有効です。
EDR・XDRの検知ロジックを振る舞いベースに見直し、ハッシュ値偏重の運用から脱却することが、Twill Typhoonに限らず長期潜伏型APTへの王道の対策になります。

チップス

振る舞いって難しそうでしゅが、要は「単発じゃなく動きの連鎖を見る」って意味でしゅよね…！

ボス

その通りだ。攻撃者は単発のツールを差し替え続けるが、ふるまいの順序まで完全に変えるのは難しい。そこを見抜く目を養えば、強い守りになるな。

まとめ

Twill Typhoonは、日本企業のWindows端末が国家系APTの主戦場であり続ける現実を改めて示した事例です。
正規ツールを駆使する攻撃を見抜くには、IoCの追いかけ合いから一歩進み、振る舞いと連鎖で異常を捉える運用への移行が欠かせません。
監視体制やルール整備の手が足りない現場では、即戦力のフリーランス専門家を巻き込む選択肢も検討する価値があります。