Malware – IoT OT Security News

GitHub フォークを悪用するマルウェア・キャンペーン：Triton を装う脅威アクターとリポジトリを特定

Malware in the Wild as Malicious Fork of Legitimate Triton App Surfaces on GitHub

2026/02/17 CyberSecurityNews — 正規の macOS アプリケーション Triton の悪意のフォークが、GitHub リポジトリを悪用しながらマルウェアを配布している。この不正リポジトリは “JaoAureliano” というアカウントの下で作成され、Otavio C. が開発した正規 Triton アプリのコピーを装っていた。実際には、正規ソフトウェアを提供せず、Windows 向けマルウェアを含む ZIP ファイルのダウンロードへとユーザーを誘導する仕掛けとなっていた。

ClickFix キャンペーンに新たな手口：ユーザーに DNS 設定変更を促しマルウェアをインストール

New Clickfix Exploit Tricks Users into Changing DNS Settings for Malware Installation

2026/02/14 CyberSecurityNews — ClickFix ソーシャル・エンジニアリング・キャンペーンに、カスタム DNS ハイジャック技術を用いてマルウェアを配布するという進化が確認された。この攻撃手法は、悪意のコマンドをユーザーに実行させ、DNS ルックアップを悪用して感染の次段階を取得するものである。それにより従来の検知手法を回避すると同時に、通常のネットワーク・トラフィックに紛れ込むことを可能にする。

Google Ads／Claude AI／Medium を悪用：macOS ユーザーを標的とするマルウェア・キャンペーンを観測

Threat Actors Exploit Claude Artifacts and Google Ads to Target macOS Users

2026/02/14 CyberSecurityNews — Google がスポンサーとなる検索結果や、Anthropic の Claude AI、Medium などの正規プラットフォームを悪用し、macOS ユーザーを標的とする高度なマルウェア・キャンペーンが確認された。確立されたオンライン・サービスに対するユーザーの信頼を悪用する 2 種類の攻撃手法により、潜在的な被害者は 15,000 人以上に到達している。

Google が警告する Gemini の悪用：段階マルウェア用の C# コードを動的に生成する脅威アクターとは？

Google Warns of Hackers Leveraging Gemini AI for All Stages of Cyberattacks

2026/02/12 CyberSecurityNews — 従来の検出手法を回避する脅威アクターたちは、Google の Gemini API を悪用することで、多段階マルウェア用の C# コードを動的に生成し始めている。Google Threat Intelligence Group (GTIG) は、2025年9月に観測された HONESTCUE フレームワークに焦点を当てた調査を実施し、その結果を 2026年2月の AI Threat Tracker レポートに詳述している。

悪意の npm パッケージ “duer-js” を検出：Windows／Discord を標的に Bada Stealer マルウェアを展開

Malicious ‘duer-js’ NPM Package Distributes ‘Bada Stealer’ Malware Targeting Windows and Discord Users

2026/02/12 gbhackers — 新たに発見された悪意の npm パッケージ duer-js が、主に Windows システムおよび Discord ユーザーを標的とする、高度な情報窃取型マルウェアを配布するために展開されている。このパッケージは、luizaearlyx というユーザーにより公開されており、”Bada Stealer” という名のカスタム・インフォスティーラーを含んでいる。この問題が報告された時点でも公開状態にあり、プロジェクトに組み込んでしまった開発者にとって深刻な懸念材料となっている。

LLM で React2Shell マルウェアを生成：最新サンプルが示す高度なテクノロジーとは？

Hackers Use LLM to Create React2Shell Malware, the Latest Example of AI-Generated Threat

2026/02/11 SecurityBoulevard — Darktrace の CloudyPots ハニーポット・ネットワークで、先日に捕捉されたマルウェアサンプルは、完全に AI により生成されたものである。2ヶ月前に公開され、現在も脅威であり続ける React2Shell 脆弱性を悪用するために、このマルウェアは構築されている。システムへの初期侵入を達成したマルウェアは、その後に暗号通貨マイニングを実行する。この名称が与えられていないマルウェアは、Large Language Model (LLM) などの AI ツールを用いて、その大部分を作成するという。

VoidLink マルウェア：高度なモジュール型設計と AI 支援開発を示唆する痕跡

VoidLink Malware Exhibits Multi-Cloud Capabilities and AI Code

2026/02/10 InfoSecurity — Linux ベースの Command and Control (C2) フレームワークであり、クラウドおよびエンタープライズ環境全体で、長期にわたる侵入を可能にするマルウェアについて、新たな調査結果が公開された。VoidLink として知られるマルウェアは、認証情報の窃取／データの外部送信に加えて、侵害済みシステム上での秘匿的な永続化を目的とするインプラント・バイナリを生成する。

Open VSX エクステンションに潜む高度なマルウェア：開発者を狙う狡猾なサプライチェーン攻撃

Sophisticated Malware Lurks In Open VSX Extension With 5,066 Downloads

2026/01/30 gbhackers — 人気の Angular Language Service を装う悪意の VS Code エクステンションが、Open VSX Registry 上で発見された。このマルウェアを起動させる機能を備えたエクステンションは、2 週間ほど前に公開され、5,066 回ダウンロードされていた。このエクステンションは正規の Angular ツールチェーン “@angular/language-service 21.1.0-rc.0″ と TypeScript 5.9.3 を同梱している。その一方で、”extension/index.js” ファイル内に悪意のコードが埋め込まれており、開発者に深刻なサプライチェーン・リスクをもたらす構成となっている。

Python ベース PyRAT における永続化の手法：Windows／Linux を標的とするマルウェアを検出

Python-based PyRAT with Cross-Platform Capabilities and Extensive Remote Access Features

2026/01/29 CyberSecurityNews — 高度な監視機能とデータ窃取機能を備え、Windows／Linux システムを標的とする、新たな Python ベースのリモート・アクセス型トロイの木馬 (RAT) が出現した。このマルウェアは、暗号化されていない HTTP チャネルを介して Command-and-Control (C2) 通信を確立し、リモートの攻撃者に対してコマンド実行／ファイル窃取／スクリーンショット取得を提供する構成となっている。

GitHub Desktop マルウェア・キャンペーン：公式インストーラを装う狡猾な手口で拡散

Attackers Hijack GitHub Desktop Repo to Spread Malware via Official Installer

2026/01/27 gbhackers — GitHub の fork アーキテクチャに内在する設計上の欠陥を悪用する脅威アクターが、正規の GitHub Desktop インストーラを装うマルウェアの配布を成功させている。この攻撃チェーンは、単純に見える極めて効果的な手法から始まる。攻撃者は使い捨ての GitHub アカウントを作成し、公式 GitHub Desktop リポジトリを fork する。その後に、README ファイル内のダウンロード・リンクを悪意のインストーラに差し替え、その変更を commit する。

npm マルウェア G_Wagon：高度に難読化されたペイロードによりブラウザ認証情報などを窃取

G_Wagon NPM Package Exploits Users to Steal Browser Credentials with Obfuscated Payload

2026/01/27 gbhackers — 正規の npm UI コンポーネント・ライブラリを装う、高度に洗練されたインフォスティーラー型マルウェアが、ansi-universal-ui パッケージを通じて開発者を標的としていることが判明した。このマルウェアは、研究者たちの間では G_Wagon と識別されている、多段階の難読化技術を用いて感染させたシステムから、ブラウザ認証情報／暗号資産ウォレット／クラウド認証キー／メッセージング・トークンを窃取するものである。

React2Shell CVE-2025-55182 悪用：明らかになった攻撃キャンペーンとマルウェアの実態

Attackers Exploit React2Shell Vulnerability to Target IT Sector Systems

2026/01/27 gbhackers — React Server Components における深刻な脆弱性が、実際の運用環境で悪用されていることが確認されている。この脆弱性 CVE-2025-55182 (React2Shell) を悪用する攻撃者は、世界中の多種多様な業種と企業を標的としている。React2Shell が影響を及ぼす対象は、React Server Components におけるクライアント／サーバ通信を担う Flight プロトコルである。この脆弱性は、安全でないデシリアライゼーションに起因するものであり、クライアントから送信されたデータを、サーバが十分な検証なしで受け入れることで、特定条件下におけるリモート・コード実行が可能となってしまう。

VoidLink が示す AI 生成マルウェア時代の到来：Check Point が警告

VoidLink Represents the Future of AI-Developed Malware: Check Point

2026/01/20 SecurityBoulevard — 1 人の個人と推測される脅威アクターが、AI を用いて単独で開発したとみられる高度なマルウェアが、Check Point の研究者たちにより発見された。このインシデントが示すのは、急速に進化する技術がサイバー脅威の生成方法を変化させる、先駆的な事例である。VoidLink と名付けられたマルウェアは、開発の初期段階で検出され、実際の攻撃で使用された形跡は確認されていない。しかし、異例のスピードで進められた設計と構築は、高度にモジュール化された構造を備えるものであり、迅速な進化を可能にする仕組みを持っている。そのため、発見当初は、大規模かつ潤沢な資金を有する攻撃者グループによるものと見られていた。

PDFSIDER マルウェアの積極的に悪用を確認：DLL サイドローディングによる EDR 回避

PDFSIDER Malware Actively Exploited to Evade Antivirus and EDR Defenses

2026/01/19 gbhackers — DLL サイドローディングを介して、Endpoint Detection and Response (EDR) システムを回避する、高度なバックドア型マルウェア亜種 PDFSIDER を、Resecurity のセキュリティ研究者たちが特定した。この脅威が示唆するのは、高度持続的脅威 (APT：Advanced Persistent Threat) のテクニックであり、回避メカニズムと暗号化された C2 (Command and Control) を組み合わせることで、侵害したシステムに対する秘匿的なアクセスを維持するものだ。

CrashFix マルウェア・キャンペーン：悪意のエクステンションによる偽ブラウザ警告表示の手法

CrashFix – Hackers Using Malicious Extensions to Display Fake Browser Warnings

2026/01/19 CyberSecurityNews — サイバーセキュリティ研究者が発見したのは、異例ではあるが効果的な戦術を用いる高度なマルウェア・キャンペーンである。このキャンペーンは、ユーザーのブラウザを意図的にクラッシュさせる手法を中核としている。この脅威は CrashFix と命名されており、正規の広告ブロッカー NexShield を装った悪意の Chrome エクステンションを通じて配布されている。ユーザーがオンラインでプライバシー・ツールを検索すると、悪意の広告により、Chrome Web Store 上で信頼できそうに見えるエクステンションのダウンロードへと誘導される。

StealC マルウェア管理パネルに XSS の脆弱性：脅威アクターの活動が解析可能に

Security Bug in StealC Malware Panel Let Researchers Spy on Threat Actor Operations

2026/01/19 TheHackerNews — 情報窃取マルウェア StealC の運用者が使用する Web ベース管理パネルに、クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、サイバーセキュリティ研究者たちが明らかにした。この脆弱性を通じて研究者たちは、StealC を運用する脅威アクターの活動に関する重要な情報を収集できた。先週公開されたレポートにおいて CyberArk の研究者 Ari Novick は、「この脆弱性を活用することで、StealC システムのフィンガープリントを収集し、アクティブなセッションを監視し、さらに情報窃取を目的として設計された悪意のインフラから、脅威アクター自身の Cookie を窃取することに成功した」と述べている。

GhostPoster エクステンションの長期潜伏キャンペーン：840,000 件のブラウザ・マルウェアを検出

GhostPoster Browser Malware Hid for 5 Years With 840,000 Installs

2026/01/16 hackread — 単一のブラウザ・エクステンションにおけるインシデントとして始まった事象は、多くのユーザーが予期しない大規模なサイバーセキュリティ上の懸念へと発展している。2025年12月に Koi Security が公開した分析結果によると、GhostPoster と名付けられた Firefox エクステンションは、ブラウザ・エクステンションの審査担当者が通常確認する警告サインを回避する悪意ある手法を採用していたことが明らかになった。

WinRAR の偽ダウンロード・サイトに注意：インストーラーを装うマルウェアを展開

Warning: Fake WinRAR Website Delivers Malware Disguised as Installer

2026/01/09 gbhackers —

中国の Web サイト経由で配布される偽の WinRAR インストーラーを通じて、高度なマルウェア攻撃がユーザーを標的としている。これらのインストーラーは、正規のソフトウェア・ダウンロードを装い、多層構造の悪意のペイロードを配信する。セキュリティ研究者が特定したのは、正規のソフトウェア・インストールに見せかけながらシステムを侵害するよう設計された、新たな悪意のファイル群である。

Maven Central からのマルウェア配信を検出：名前空間に対する巧妙なタイポスクワッティング

Hackers Infiltrated Maven Central Masquerading as a Legitimate Jackson JSON Library

2025/12/30 CyberSecurityNews — Maven Central で確認されたのは、正規の Jackson JSON ライブラリのエクステンションを装う新たなマルウェア攻撃である。Java 開発者たちが最も信頼するリポジトリである Maven Central 上で、タイポスクワッティングを介したマルウェアの拡散が検知された。この悪意のパッケージは、名前空間 “org.fasterxml.jackson.core/jackson-databind” を介して公開されている。正規の Jackson ライブラリは “com.fasterxml.jackson.core” 名前空間で提供されているが、悪意のパッケージは “org.fasterxml.jackson.core” を使用するという、巧妙な名前空間の偽装が図られている。

WebRAT マルウェア・キャンペーン：GitHub 上の偽の脆弱性情報と PoC を通じて拡散

WebRAT malware spread via fake vulnerability exploits on GitHub

2025/12/23 BleepingComputer — GitHub リポジトリを通じて配布される、最近公開された脆弱性の PoC エクスプロイトには、WebRAT マルウェアを拡散するための、悪質なキャンペーンも紛れ込んでいるという。WebRAT というマルウェアは、情報窃取機能を備えたバックドアとして、今年の初めに特定されたものだ。これまでは Roblox／Counter Strike／Rust などのゲーム向け海賊版ソフトウェアやチート・ツールを通じて拡散されてきたが、その拡散経路に GitHub が加わったことになる。

Office の脆弱性 CVE-2018-0802 が標的：Cloud Atlas 攻撃キャンペーンの感染チェーンを分析

Cloud Atlas Exploits Office Vulnerabilities to Execute Malicious Code

2025/12/19 gbhackers — Microsoft Office の旧来の脆弱性を悪用する Cloud Atlas 脅威グループは 2014年から活動しており、東ヨーロッパおよび中央アジアの組織に対して高度な攻撃を実施し、深刻なリスクをもたらし続けている。このグループにおける攻撃手段の拡張と感染チェーンの進化は、2025年上半期を通じてセキュリティ研究者により追跡および分析されてきた。その結果、これまで不明であったスクリプトおよび攻撃手法が明らかになった。

React2Shell を悪用する大規模な攻撃：KSwapDoor／ZnDoor などの Linux バックドアを拡散

React2Shell Vulnerability Actively Exploited to Deploy Linux Backdoors

2025/12/16 TheHackerNews — React2Shell (CVE-2025-55182 ) として知られるセキュリティ脆弱性を悪用する脅威アクターたちが、KSwapDoor／ZnDoor などのマルウェア・ファミリーを拡散していることを、Palo Alto Networks Unit 42 と NTT Security の調査結果が示している。Palo Alto Networks Unit 42 の Senior Manager of Threat Intel Research である Justin Moore は、「KSwapDoor は、ステルス性を念頭に設計された、リモート・アクセス・ツールである」と述べている。

React2Shell を悪用する PCPcat：CVE-2025-55182／29927 を悪用して59,000+ 台のサーバを侵害

New PCPcat Exploiting React2Shell Vulnerability to compromise 59,000+ Servers

2025/12/15 CyberSecurityNews — PCPcat と呼ばれる新たなマルウェア攻撃キャンペーンは、Next.js／React フレームワークの深刻な脆弱性を標的とするものであり、48 時間以内に 59,000 台以上のサーバに侵入している。この Next.js 環境を標的とするマルウェアは、認証なしでリモート・コード実行を可能にする、２つの深刻な脆弱性 CVE-2025-29927 と CVE-2025-55182 (CVE-2025-66478) を悪用している。この攻撃の手法は、プロトタイプ汚染およびコマンド・インジェクションを用いるものであり、脆弱なサーバ上で有害なコマンド実行を可能にする。

React2Shell に対する Google の警告：React／Next.js を標的とするマルウェア拡散キャンペーン

Google Warns Multiple Hacker Groups Are Exploiting React2Shell to Spread Malware

2025/12/13 CyberSecurityNews — Google Threat Intelligence Group (GTIG) が発表したのは、React Server Components に存在する深刻なセキュリティ脆弱性 CVE-2025-55182 が広範に悪用されている状況に対する警告である。この脆弱性 React2Shell を悪用する攻撃者は、パスワードを必要とせず、リモートからサーバを制御できる。2025年12月3日に脆弱性が公開された後に、複数のハッカー・グループが悪用していることを Google は確認している。攻撃者たちは、国家に支援されるスパイ・グループから、金銭的利益を目的とするサイバー犯罪者まで多岐にわたる。

VS Code に悪意のパッケージ：DLL ハイジャックにより開発者の機密情報を盗み出す

Researchers Find Malicious VS Code, Go, npm, and Rust Packages Stealing Developer Data

2025/12/09 TheHackerNews — Microsoft Visual Studio Code (VS Code) マーケットプレイスに存在し、開発者のマシンに情報窃取型マルウェアを感染させる２つの新たなエクステンションが、サイバー・セキュリティ研究者たちにより発見／報告された。これら悪意の VS Code エクステンションは、プレミアム・ダークテーマや人工知能 (AI) 搭載のコーディング・アシスタントを装うが、実際には追加ペイロードのダウンロード／スクリーンショットの撮影／データ窃取といった隠れた機能を秘めている。それにより収集された情報は、攻撃者が管理するサーバに送信される。

Foxit PDF Reader を装うマルウェア：偽の求人情報を介して ValleyRAT マルウェアを展開

Threat Actors Leveraging Foxit PDF Reader to Gain System Control and Steal Sensitive Data

2025/12/04 CyberSecurityNews — 悪意のファイルを正規の採用書類に偽装するサイバー犯罪者たちが、求職者のコンピュータにマルウェアを潜入させるために巧妙な手法を用いている。ValleyRAT と呼ばれる新たな攻撃キャンペーンは、偽の求人情報や企業資料を添付したメール・メッセージを通じて、求職活動中の人々を標的としている。この攻撃キャンペーンの主な手口は、人気の Foxit PDF Reader の武器化と悪用にある。

カレンダー・サブスクを悪用する脅威アクター：フィッシング攻撃やマルウェアを配布の盲点になっている

Threat Actors Exploit Calendar Subscriptions for Phishing and Malware Delivery

2025/11/29 InfoSecurity — デジタル・カレンダーのサブスク・インフラを操作する脅威アクターが、有害コンテンツを配布していることが判明した。誰もが知っているように、カレンダーをサブスクすれば、サードパーティがイベントを追加し、その通知がユーザーのデバイスで共有される。それにより、小売業者によるバーゲン日程や、スポーツ観戦の日程などが配信されている。

Google Meet の偽ページによるマルウェア攻撃：ClickFix 手法で悪意のペイロードを配信

Beware of Weaponized Google Meet Page uses ClickFix Technique to Deliver Malicious Payload

2025/11/29 CyberSecurityNews — 偽の Google Meet ランディングページを通じてリモート・ワーカーや組織を標的とする、高度なマルウェア攻撃が確認された。この攻撃は、偽装ドメイン “gogl-meet[.]com” 上で展開され、ClickFix と呼ばれるソーシャル・エンジニアリング手法でブラウザのセキュリティ制御を迂回し、リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) を被害者のシステムに直接送り込むものである。

SocGholish による RomCom ペイロードの配信を確認：偽のアップデートで騙して Mythic Agent を展開

RomCom Uses SocGholish Fake Update Attacks to Deliver Mythic Agent Malware

2025/11/26 TheHackerNews — RomCom として知られるマルウェア・ファミリーを背後で操る脅威アクターは、SocGholish と呼ばれる JavaScript ローダーを介して Mythic Agent を配信している。Arctic Wolf Labs の研究員 Jacob Faires は 11月25日 (火) のレポートで、「SocGholish による RomCom ペイロードの配信が確認されたのは、今回が初めてのことだ。その標的は、米国の土木工学関連の企業である」と述べている。

新たな ClickFix キャンペーン EVALUSION：Amatera Stealer と NetSupport RAT を配布

New EVALUSION ClickFix Campaign Delivers Amatera Stealer and NetSupport RAT

2025/11/17 TheHackerNews — 世界に蔓延する ClickFix ソーシャル・エンジニアリング戦術を用いて、Amatera Stealer と NetSupport RAT を展開するマルウェア・キャンペーンを、サイバー・セキュリティ研究者たちが発見した。今月に確認された新たな活動は、eSentire が EVALUTION という名称で追跡している。

Xanthorox AI が生成する多様なマルウェア：安全制限を排除した悪意の LLM が拡散

Threat Actors can Use Xanthorox AI Tool to Generate Different Malicious Code Based on Prompts

2025/11/17 CyberSecurityNews — ダークネット・フォーラムや犯罪コミュニティで注目を集めている危険な新ツールを、サイバー・セキュリティ研究者たちが確認した。このツールは、Xanthorox と呼ばれる悪意の人工知能プラットフォームであり、セキュリティ業界にとって深刻な懸念材料となっている。ChatGPT のようなチャットボットとして動作する Xanthorox であるが、最も大きな違いは、安全上の制限が一切存在しないところにある。

XWiki の脆弱性 CVE-2025-24893：RondoDox などの参戦と攻撃のピーク

RondoDox Exploits Unpatched XWiki Servers to Pull More Devices Into Its Botnet

2025/11/15 TheHackerNews — パッチ未適用の XWiki インスタンスを標的とするボットネット・マルウェア RondoDox が、深刻なセキュリティ欠陥を突き、任意のコード実行を可能にしていることが確認された。問題の脆弱性 CVE-2025-24893 (CVSS：9.8) は、評価インジェクションのバグである。このバグを悪用するゲスト・ユーザーは、”/bin/get/Main/SolrSearch” エンドポイントへのリクエストを通じて、任意のリモート・コード実行を可能にする。すでに XWiki のメンテナたちは、2025年2月下旬の時点でバージョン 15.10.11／16.4.1／16.5.0RC1 をリリースし、この問題に対処している。

Booking.com を偽装して宿泊客を狙う I Paid Twice 詐欺：ClickFix 経由で PureRAT 感染

“I Paid Twice” Scam Infects Booking.com Users with PureRAT via ClickFix

2025/11/07 hackread — Sekoia が公表したのは、ホテルの運営者を標的とし、その後に宿泊客を狙うという、広範かつ継続的なサイバー犯罪活動の詳細である。このサイバー脅威の検知／対応企業による調査は、宿泊施設の顧客を標的とするフィッシング・キャンペーンを、同社のパートナーが報告したことから始まった。予約代金をホテルと犯罪者の双方に支払わされた被害者のメール件名にちなみ、この報告は “I Paid Twice (二重支払い)” と命名された。

ClickFix の進化する手口を検出：オンライン販売業者のページを模倣してユーザーを欺く

Attackers upgrade ClickFix with tricks used by online stores

2025/11/07 HelpNetSecurity — ClickFix の手法を進化させる攻撃者が、オンライン販売業者を模倣するページで被害者に圧力をかけ、マルウェア感染につながる手順を実行させるという手口が発見された。それらのページに配置されるのは、要求された操作を説明するチュートリアル動画／操作完了までの残り時間を示すカウントダウン・タイマー／過去１時間に認証を行ったユーザー数を表示するカウンターなどであり、いずれもユーザーに考える余地を与えずに、迅速な行動を促すことを目的としている。

PROMPTFLUX という新型マルウェア：Gemini API を悪用して自身のコードを動的に書き換える

Google Warns of New PROMPTFLUX Malware Using Gemini API to Rewrite Its Own Source Code

2025/11/06 CyberSecurityNews — Google Threat Intelligence Group (GTIG) が公開したのは、Gemini API を悪用して自身のコードを動的に書き換える実験的なマルウェア・ファミリー PROMPTFLUX の詳細である。2025年11月4日に GTIG が発表した最新の AI Threat Tracker レポートによると、このマルウェアの形態が示すのは、単なる生産性向上ツールとして LLM の利用から、リアルタイムでの適応と検知回避のための LLM の直接統合へと、その手法が移行していることだ。

情報窃取マルウェア Vidar Stealer 2.0：Lumma を凌駕するブラウザ認証情報取得の新手法とは？

Vidar Stealer Exploits: Direct Memory Attacks Used to Capture Browser Credentials

2025/10/22 gbhackers — 2025年10月6日にサイバー犯罪者 Loadbaks は、Vidar Stealer v2.0 のリリースをアンダーグラウンド・フォーラムで発表した。この新バージョンは、メモリへのマルウェアの直接注入により、最新ブラウザのセキュリティ対策を回避する。この高度な情報窃取マルウェアは、C++ から純粋な C 実装への移行によりアーキテクチャを全面的に刷新し、パフォーマンスとステルス性を向上させている。今回のリリースの背景には、Lumma Stealer の活動量の低下があると思われる。それが示唆するのは、脅威環境の変化に適応するサイバー犯罪者たちが、より効果的な代替手段を積極的に模索している状況である。

Winos 4.0 の脅威が日本とマレーシアに拡大：PDF ファイル経由でマルウェアを配布

Winos 4.0 hackers expand to Japan and Malaysia with new malware

2025/10/18 SecurityAffairs — Winos 4.0 (ValleyRAT) を背後で操る脅威アクターが、台湾財務省の文書を装う PDF ファイルを介してマルウェアを配布しているが、その攻撃範囲が中国／台湾から日本／マレーシアへと拡大しているという。この攻撃者は、HoldingHands RAT (別名 Gh0stBins) を用いて、悪意のリンクを埋め込んだ PDF ファイルを、フィッシング・メールを通じて展開していた。

TikTok Video で拡散するマルウェア：自己コンパイルで検出を回避して PowerShell を実行

Hackers Using TikTok Videos to Deploy Self-Compiling Malware That Leverages PowerShell for Execution

2025/10/17 CyberSecurityNews — TikTok を悪用するサイバー犯罪者たちは、無料のソフトウェア・アクティベーションを装いながら危険なペイロードを配信するという、高度なマルウェア・キャンペーンを展開している。この攻撃は、 ClickFix 手法を彷彿とさせるソーシャル・エンジニアリング戦術を利用するものであり、何も知らないユーザーを騙して、システム上で悪意の PowerShell コマンドを実行させるものだ。

Stealit マルウェアの新たな活動を確認：Node.js 機能の悪用とWindows システムの標的化

New Stealit Malware Exploits Node.js Extensions to Target Windows Systems

2025/10/11 gbhackers — 実験的な Node.js 機能を悪用して Windows システムを感染させる新たな Stealit マルウェアの活動を、セキュリティ研究者が確認した。FortiGuard Labs のレポートによると、この攻撃者は Node.js の Single Executable Application (SEA) 機能を用いて、悪意のペイロードをパッケージ化して配布している。この新たな戦術は、Electron フレームワークに依存していた、従来の Stealit バージョンからの転換を示している。このマルウェアは、Mediafire や Discord などのファイル共有プラットフォームを経由し、人気ゲームや VPN ソフトウェアのインストーラーを装いながら拡散している。

WordPress を標的とする次世代 ClickFix：キャッシュ・スマグリングでステルス性を向上

Hackers Exploit WordPress Sites to Power Next-Gen ClickFix Phishing Attacks

2025/10/08 TheHackerNews — WordPress サイトを標的とする悪質な JavaScript インジェクション攻撃キャンペーンについて、サイバー・セキュリティ研究者たちが注意を喚起している。この攻撃は、怪しいサイトへとユーザーをリダイレクトするよう設計されている。Sucuri の研究者 Puja Srivastava は、先週公開された分析の中で、「悪意のサイトへの訪問者は、偽の Cloudflare 認証のようなドライブ・バイ・マルウェアのコンテンツを挿入される」と述べている。

TamperedChef マルウェア・キャンペーン：PDF Editor を装う長期潜伏型の攻撃

TamperedChef Malware Disguised as PDF Editor Hijacks Browser Credentials and Opens Backdoors

2025/10/06 gbhackers — TamperedChef と呼ばれる高度なマルウェア・キャンペーンが、正規の PDF Editor アプリを装うことで欧州の組織への侵害に成功したと、WithSecure の Strategic Threat Intelligence & Research Group (STINGR) が発表した。このキャンペーンが示すのは、説得力ある広告戦略と完全に機能するルアー・アプリを用いる脅威アクターが、機密認証情報を窃取し、永続的なバックドア・アクセスを確立した手法である。

GitHub にホストされたマルウェア：Malwarebytes／LastPass／Citibank／SentinelOne などを装う手口とは？

Weaponized Malware: GitHub Hosts Malware from Malwarebytes, LastPass, Citibank, SentinelOne, and More

2025/09/24 gbhackers — Mac ユーザーを標的とする大規模な攻撃キャンペーンで、偽の GitHub ページが悪用され、人気の正規アプリケーションを装う情報窃取マルウェアが拡散された。偽装されたソフトウェアに含まれていたのは、Malwarebytes for Mac／LastPass／Citibank／SentinelOne などの、数多くの有名ブランドである。ブランドへの成りすまし自体は目新しいものではないが、今回の攻撃キャンペーンが示した戦術の進化は、サイバー犯罪者がユーザーを誘導して有害なコードをインストールさせる手口にある。

ShadowV2 キャンペーン：AWS Docker と DevOps を悪用する DDoS-as-a-Service

ShadowV2 Botnet Infects AWS Docker Containers to Launch DDoS Campaign

2025/09/24 gbhackers — Darktrace の最新調査により、従来型マルウェアと DevOps テクノロジーを組み合わせる攻撃キャンペーンが確認された。この攻撃の中心には、GitHub CodeSpaces でホストされる Python ベースの C2 (Command and Control) フレームワークが存在する。脅威アクターは、Python スプレッダーにより開始される多段階の Docker デプロイを悪用し、その後に、RESTful な登録／ポーリング機構を持つ Go ベースの RAT を展開するという。

SonicWall SMA デバイスの OVERSTEP ルートキット対策：緊急パッチによるマルウェア除去

SonicWall Issues Emergency Patch to Remove ‘OVERSTEP’ Rootkit Malware on SMA Devices

2025/09/24 gbhackers — SonicWall SMA アプライアンス上に残存する OVERSTEP コンポーネントを、特定／削除するためのパッチには、強化されたファイル整合性チェックが導入されている。また、今回の更新により SMA システムは、将来における同様のカーネル・レベル脅威に対する防御が強化されるという。

IIS Server を介した SEO ポイズニング：BadIIS という巧妙なモジュールを検出

Hackers Hijacking IIS Servers Using Malicious BadIIS Module to Serve Malicious Content

2025/09/23 CyberSecurityNews — Operation Rewrite と呼ばれる高度なサイバー攻撃が、Microsoft の Internet Information Services (IIS) の Web サーバを乗っ取り、SEO ポイズニングと呼ばれる手法を用いて悪意のあるコンテンツを提供するという攻撃を活発化させている。2025年3月の時点で、この状況を検知した Palo Alto Networks は、BadIIS と呼ばれる悪意の IIS モジュールを使用する、中国語圏の脅威アクターによる攻撃であると、高い確度で結論付けている。

AI 搭載マルウェア MalTerminal の発見：GPT-4 を悪用してランサムウェアを生成

First-ever AI-powered ‘MalTerminal’ Malware Uses OpenAI GPT-4 to Generate Ransomware Code

2025/09/20 CyberSecurityNews — MalTerminal と呼ばれる AI 搭載マルウェアは、OpenAI の GPT-4 モデルを悪用することでランサムウェアやリバースシェルなどのコードを動的に生成し、脅威の開発と展開の方法に重大な変化をもたらしている。この発見は、AI 搭載マルウェア PromptLock の分析に続くものであり、攻撃者が大規模言語モデル (LLM) を武器化する明確な傾向を示している。

Ivanti EPMM に展開されているマルウェア：標的とされる脆弱性を CISA が分析

CISA Analyzes Malware From Ivanti EPMM Intrusions

2025/09/19 SecurityWeek — 米国のサイバー・セキュリティ機関である CISA は、Ivanti Endpoint Manager Mobile (EPMM) の２つの脆弱性を標的とする、マルウェアに関する技術情報を公開した。その対象となる脆弱性 CVE-2025-4427 (CVSS：5.3)／CVE-2025-4428 (CVSS：7.2) は、ハッカーたちによる攻撃で悪用された後の、2025年5月13日に公表された。

Ivanti EPMM の脆弱性 CVE-2025-4427／4428 を武器化：CISA が警告するマルウェアとは？

CISA Alerts of Hackers Targeting Ivanti Endpoint Manager Mobile Vulnerabilities to Distribute Malware

2025/09/19 gbhackers — Ivanti EPMM (Endpoint Manager Mobile) に存在する、深刻な脆弱性 CVE-2025-4427 (認証バイパス)／CVE-2025-4428 (コードインジェクション) を武器化したサイバー脅威アクターたちが、侵害したサーバ上に高度なローダーとリスナーを展開している。このマルウェアを構成する２つのコンポーネントは、Loader 1 (web-install.jar／ReflectUtil.class／SecurityHandlerWanListener.class) と、Loader 2 (web-install.jar／WebAndroidAppInstaller.class) であり、Apache Tomcat 環境に任意コードを挿入して永続性を維持するよう設計されている。

AWSDoor によるコンフィグ・ベースの永続化手法：AWS 環境内にマルウェアを隠蔽

AWSDoor – New Persistence Technique Allows Attackers to Hide Malware Within AWS Cloud Environment

2025/09/16 CyberSecurityNews — 攻撃者たちは、クラウド環境への長期的アクセスを維持するために、高度な手法を活用している。そして、新たに登場した AWSDoor という手口が、強大な脅威になり始めている。この悪意のツールは、IAM およびリソース・ベースの永続化手法を自動化し、従来からのマルウェアを配備することなく、AWS アカウント内に潜み続ける。