SimpleHelp Authentication Bypass Vulnerability Exploited in the Wild to Deploy TaskWeaver Loader
2026/06/30 CyberSecurityNews — SimpleHelp の Remote Monitoring and Management (RMM) ソフトウェアに存在する、深刻な認証バイパス脆弱性が実環境で積極的に悪用されている。それにより展開されているのは、新たに確認されたローダー TaskWeaver や、情報窃取ツール Djinn Stealer などの高度なマルウェアである。Blackpoint – Adversary Pursuit Group (APG) のセキュリティ研究者によると、この侵入チェーンは CVE-2026-48558 の悪用から始まるという。
SimpleHelp の認証バイパス脆弱性が悪用される
この脆弱性は、OpenID Connect (OIDC) の認証プロセスに影響を及ぼすものであり、適切な署名検証を欠く偽造 ID トークンを送信する攻撃者に対して、認証バイパスを許してしまう。
その結果として、攻撃者はインターネット上に公開された SimpleHelp サーバに対して、技術者レベルの不正なアクセス権を取得できる。侵入後は、信頼された RMM 環境を悪用して、正当な操作に見せかけながら悪意の活動を実行している。SimpleHelp の組み込み機能を悪用する攻撃者が、管理対象システム全体にファイルを転送し、リモート・コマンドを実行して、被害範囲を大幅に拡大している状況が確認されている。
(source : Blackpointcyber )
最初に展開されるペイロードは TaskWeaver であり、”jquery.js” という無害に見えるファイルを装う、高度に難読化された Node.js ベースのローダーである。その名称にもかかわらず、このファイルは正規の jQuery ライブラリとは無関係であり、”node.exe” を介して実行される。従来型のマルウェア・ペイロードではなく、柔軟な配信メカニズムとして機能する。
また、TaskWeaver は、攻撃者が制御するインフラとの暗号化通信を確立して追加のペイロードを動的に取得し、AES-256-GCM と RSA-2048 を組み合わせて C2 トラフィックを保護することで、検出および分析を困難にしている。
さらに、固定されたコマンドを埋め込むのではなく、任意の JavaScript ペイロードを実行できるモジュール型ローダーとして動作するため、攻撃者は攻撃手法をリアルタイムで適応させることが可能となる。
(source: Blackpointcyber )
このキャンペーンで確認された第 2 段階のペイロードは、Windows／macOS／Linux システムを標的とする、クロス・プラットフォームの情報窃取マルウェア Djinn Stealer である。
このマルウェアは、クラウド・サービスの認証情報 (AWS／Azure／Google Cloud)、ソース管理および開発者トークン (GitHub／Git コンフィグ)、パッケージ・レジストリの認証情報 (npm／PyPI／Maven) などを収集する。その他にも、インフラのシークレットと SSH キーや、ブラウザ・データとセッション・トークン、暗号資産ウォレット、AI 開発ツールの認証情報といった、幅広い機密データを収集するよう設計されている。
特に、AI アシスタントのトークン窃取が深刻なリスクをもたらしている。その理由は、これらのトークンにより、リポジトリ／データベース／クラウド環境へのアクセスが許可されることが多い点にある。
(source: Blackpointcyber )
攻撃者は、AI ツールに付与された権限を継承できるため、侵害の影響は最初に感染したシステムを超えて拡大する。この攻撃が示すのは、単一の認証バイパスが大規模な侵害や情報漏洩へと連鎖し得ることである。さらに、信頼された RMM プラットフォームを悪用することで、特にマネージド・サービス・プロバイダ (MSP) 環境において、複数のエンドポイント／顧客環境への集中管理されたアクセスが不正に取得されている。
このキャンペーンに関連する侵害の痕跡 (IoC) に含まれるのは、不審な Node.js の実行 (node.exe による jquery.js の実行)／trycloudflare ドメインへの接続／dev-tunnels 類似ドメインとの C2 通信などである。なお、Djinn Stealer の実行中に、env.json／processList.txt／linux-process-env.json／telemetry.json／user-dirs.txt といった偵察ファイルが生成される。
侵害の痕跡 (IoC)
| Category | Indicator | Value |
|---|---|---|
| File | TaskWeaver | jquery.js |
| TaskWeaver SHA-256 | 00cc86d1144020c24c8fbb3a8dc6b908926497ebd23be3bf854360f93d1c8f4c | |
| Djinn Stealer | upload | |
| Djinn Stealer SHA-256* | f4a72600a3735c2a4d843875ea61bbb6f935a1af51a81f2fbc992ce11ba94afc | |
| Network | Loader staging | *.trycloudflare[.]com |
| TaskWeaver C2 | a[.]dev-tunnels[.]com | |
| TaskWeaver URI | POST /api/<base64url>.<base64url>.<base64url> | |
| Djinn Stealer exfiltration | 96[.]126[.]130[.]126:58942 | |
| User-Agent | telemetry-client/1.0 | |
| Host & Behavioral | Execution | node.exe <path>\jquery.js |
| Reconnaissance artifacts | processList.txt, linux-process-env.json, env.json, telemetry.json, user-dirs.txt |
注記：IP アドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化されている (例: [.] )。MISP／VirusTotal／SIEM などの管理された脅威インテリジェンス・プラットフォーム内でのみ、元の表記へ戻すべきである。
積極的な悪用が確認されたことを受け、Cybersecurity and Infrastructure Security Agency (CISA) は、CVE-2026-48558 を Known Exploited Vulnerabilities (KEV) カタログへ追加し、修正対応の緊急性を強調している。
Blackpoint APG が強く推奨するのは、SimpleHelp に対して速やかにパッチを適用し、インターネットへの公開を制限するとともに、強力な認証を強制し、漏洩した可能性のある認証情報をローテーションすることだ。さらに、ユーザー組織にとって必要なことは、侵害されたシステムからアクセス可能な、すべての認証情報を侵害されたものとして扱うことである。
このキャンペーンが示すのは、初期アクセスがサイバー攻撃の第一段階に過ぎないことである。真の目的は、クラウド・プラットフォーム／開発パイプライン／エンタープライズ・インフラ全体への持続的なアクセスを可能にする、認証情報やトークンの窃取にある。
訳者後書：このキャンペーンが深刻な被害をもたらした原因は、 SimpleHelp の OIDC 認証プロセスにおいて、適切な署名検証を欠く偽造 ID トークンを受け入れてしまう、脆弱性 CVE-2026-48558 にあります。この認証バイパスの不具合により、攻撃者は正規の技術者レベルのアクセス権を不正に取得できてしまいます。システムへ侵入された後は、RMM の信頼された環境や組み込み機能が悪用され、リモートからのコマンド実行やマルウェア展開へとつながりました。一つの認証不備が原因で、連携する開発ツールやクラウド環境のトークンまで盗まれ、被害が大きく連鎖する仕組みになっています。よろしければ、SimpleHelp での検索結果も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.