GenAI-Power のマルウェア・ファクトリー：悪意の WebDAV サーバで発見された 1,000 以上の攻撃用ファイル

One Security Alert Exposed a GenAI-Powered Malware Factory Containing More Than 1,000 Attack Files

2026/07/21 CyberSecurityNews — 脅威アクターがマルウェアを構築／テスト／配信する方法について、通常では見られないほど詳細な状況が、単一のセキュリティ・アラートにより明らかになった。Rapid 7 の報告によると、公開状態となっていた WebDAV サーバには、フィッシングのルアー／ショートカットファイル／ドロッパー／テストメモなどに加えて、被害者アクティビティの追跡に使用されるツールなどの、1,000 件超のファイルが保存されていた。このオペレーションは、Windows ユーザーを標的にするものであり、偽の文書／身分記録のダウンロード／エラーページ／馴染みのあるビジネステーマなどを使用していた。

リモート WebDAV／悪意のショートカットや、ユーザー自身にコマンドを実行させる ClickFix 風の指示へと、被害者が誘導される可能性があった。この配信パターンは、Windows File Explorer と WebDAV の悪用キャンペーンでも見られるものである。

WebDAV 経由で取得したコンテンツをユーザーが “rundll32.exe” で実行していることを、あるアラートが示した後に、Rapid7 のアナリストたちが今回のインフラを特定した。

Rapid7 は、「この発見により、単一のペイロードをホストするサーバではなく、アクティブなテストと配信の環境が明らかになった」と、 Cyber Security News (CSN) に共有したレポートで述べている。

GenAI 搭載マルウェア工場

公開されていたディレクトリには、開発ワークスペースのように整理された 1,048 件のアーティファクトが含まれていた。

そこに含まれていたのは、453 件のショートカットベースの配信ランチャー／236 件のファイル名偽装テスト／146 件の URL および信頼された Windows ツールの実行テスト／89 件の暗号化ドロッパーや、WebDAV スクリプト／ClickFix ページ／内部オペレーター向けドキュメントなどである。

このアクターは、ルアー文の作成／テストドキュメント／構造化された README ファイルなどの、反復的な作業を高速化するために GenAI を使用していたようだ。

研究者たちが発見したものには、多数の Windows バイナリをテストするための詳細なガイダンスもある。それらは、単一の手法を適用／確認／改良する方法を示すものであり、ソフトウェア・チームが新製品をテストする手法に近いものだった。

主要な焦点の 1 つは、WebDAV 作業ディレクトリの悪用と、以前に関連付けられていた Windows ショートカット欠陥 CVE-2025-33053 だった。

攻撃者が制御するリモートロケーションから、正規の Windows プログラムに類似した名前のファイルがロードされる可能性が、この手法により生じる。このアプローチは、Windows WebDAV ゼロデイ悪用に関する報道でも議論されている。

このサーバには、二重拡張子／Unicode トリック／右横書き上書き文字／誤解を招くアイコン／隠しコマンドウィンドウを使用するデコイ文書も保存されていた。

被害者の技術的な弱点を悪用することよりも、有害なファイルを日常的な書類のように見せることに、このキャンペーンが注力していた点で、これらの詳細は重要である。

キャンペーンの到達範囲と防御

観測されたキャンペーンの 1 つは、メキシコの CURP 国家身分照会サービスを偽装し、被害者を不正サイトへ誘導していた。

訪問者が身分情報を入力し、ダウンロード・オプションを選択すると、そのサイトは正規の PDF を提供するのではなく、リモート WebDAV 共有を開く search-ms リクエストを発火させる。

主要なルアーは、実行試行と一致する形で 2,384 回もアクセスされていた。その一方で、このサーバは 101 カ国の 3,892 件のクライアント IP アドレスからの、77,098 件のリクエストを記録していた。

リクエストの 82.5% はメキシコからのものであり、観測された起動アクティビティの大半を占めていた。ただし、起動イベントだけで、マルウェアが実行されたことは証明できない。

配信されたペイロードには、ファイルレス型の情報窃取マルウェアと、モジュール型のリモートアクセスツールが含まれていた。

それらは、ブラウザ認証情報／Cookie／ウォレットデータ／メッセージング・セッション／スクリーンショット／キーストロークを収集するよう設計されていた。また、検出を困難にするために、プロセス・インジェクションなどの手法が用いられていた。

同様のソーシャルエンジニアリング圧力は、最近の ClickFix キャンペーン・ガイダンスの中心にもある。そこでは、偽の検証手順により、攻撃者が提供するコマンドを、ユーザーが実行するよう誘導される。

異常な WebDAV アクティビティを、ユーザー組織は優先度の高いシグナルとして扱うべきである。特に、フィッシング・メッセージの後に発生する場合や、Windows ユーティリティがリモート・コンテンツを取得している場合には、特に重視すべきである。

セキュリティチームは、rundll32.exe／davclnt.dll などの信頼されたツールを取り込んだコマンドラインを監査し、不要なアウトバウンド WebDAV アクセスを制限すべきである。また、WebDAV rundll32 検出アドバイスで示されているように、想定外の検証ページや文書アクセスページからコマンドをコピーしないよう、スタッフを訓練すべきである。

このインシデントが示すのは、Gen AI により新しいマルウェアが作成されないケースにおいても、悪意の運用が高速化され得ることである。

より大きなリスクは運用規模である。攻撃者は、説得力のあるルアーを作成し、多くの配信経路をテストし、ある手法が失敗した場合にキャンペーンを迅速に調整できる。

侵害指標 (IOC)

Type	Indicator	Description
Phishing domain	hxxps://gobf.mx	CURP campaign phishing page
WebDAV domain	onedrive.cv	WebDAV delivery server
File	ReportFinal.RLO.scr	CURP campaign lure
SHA-256	04A8018191F2E9E76072D072A933371D9D669A42DE2B2A087541CD3A653B0BA7C2	ReportFinal.RLO.scr
IP address	77.110.127.205	CURP campaign C2 infrastructure
Ports	56001-56003, 57666, 57777, 57888	Associated C2 ports
Domain	google.services.ug	C2 alias/domain
Campaign tag	06x12x2026SantaEbash2 v4.4.3	Stealer configuration tag
Scheduled tasks	brokerhost, netqueue32	Possible persistence artifacts
Staging paths	TEMP-XXXXX.tmp-Binary.exe; AppData\i686prod	CURP campaign staging artifacts
C2 endpoint	23.94.252.228:57666	DlrtyGames campaign C2
JA3	fc54e0d16d9764783542f0146a98b300	TLS client fingerprint
File	DlrtyGames.exe	DlrtyGames dropper
SHA-256	e8be17a7fbef48b45f1e958b3ae5ebdfcad58808969982c431a905eefcae5268	DlrtyGames.exe
File	discord-rpc.x64.dll	DLL sideloading component
SHA-256	449d1121fa275879af22a20407aa7253ac750ac8fa7ff5691101752600d645df	discord-rpc.x64.dll
File	profiler16.dll	Loader component
SHA-256	a88f5ee748e60f889d046718bfe3ddcf1c5f3cba2001cad587e8953a76bf7aa9	profiler16.dll
File	loader-pool.db	Image-carried encrypted module container
SHA-256	51a02eccdcae0483c7cbb9796738eee6c2a13b740d30e5417cda09bf418ea93b	loader-pool.db
SHA-256	82e67735cf822db8f2f759e742e5bf8c54fdbd01a4170619b9e0916e1b3f5923	.NET RAT payload
Staging path	C:\APPDATA\HKCU\appbg\i686\component\v832rc	DlrtyGames campaign staging artifact

注記：IP アドレスおよびドメインは、意図しない名前解決またはハイパーリンク化を防止するため、意図的に無害化されている。例えば、[.] が使用されている。再有効化は、MISP／VirusTotal／SIEM などの管理された脅威インテリジェンスプラットフォーム内でのみ実施すべきである。

GenAI-Power のマルウェア・ファクトリーと言うべき悪意の WebDAV サーバで、1,000 以上の攻撃用ファイルが発見されました。AI を悪用して作成する、偽の文書や WebDAV などの仕組みを利用し、Windows の環境に外部から不正なプログラムを読み込ませる手法が確認されています。これらの仕掛けに誘い込まれると、認証情報や閲覧履歴といった大切なデータが外部に流出する危険が生じます。このような影響を防ぐためには、信頼できないリンクや指示からコマンドを実行しないことや、不要な外部接続を制限することが効果的です。日頃からシステムの接続ログやツールの動きを点検し、予期しない通信が発生していないか確認して安全を保つ必要があります。