Malware – IoT OT Security News

Google Ads の悪用と情報窃取型マルウェアの配布：偽の Node.js インストーラーに御用心

Hackers Impersonate Node.js Installer in Google Ads to Deploy Infostealer Malware

2026/06/22 CyberSecurityNews — Node.js インストーラーを装う新たなマルウェア・ローダーを配布するために、ハッカーたちは偽の Google Ads を使用している。このキャンペーンは米国の Windows ユーザーを積極的に標的としており、正規に見えるスポンサード検索広告を 1 回クリックするだけで、被害者の端末に情報窃取型マルウェアが密かにインストールされる。この攻撃は、オンラインでソフトウェアを検索して、上位の検索結果を信頼するという、多くの人々の行動を悪用するものである。このケースでは、正規の Node.js プラットフォームを模倣する悪意のランディング・ページを、脅威アクターが構築していた。

HazyBeacon キャンペーンを分析：AWS Lambda 悪用のクラウドネイティブ攻撃

HazyBeacon Abuses AWS Lambda Function URLs for Stealthy Command-and-Control Operations

2026/06/19 gbhackers — HazyBeacon は、CL-STA-1020 として特定された、ステルス型のクラウド・ネイティブ・マルウェア・キャンペーンのことである。このマルウェアは、Amazon Web Services (AWS) Lambda Function URL を悪用することで、隠蔽された Command-and-Control (C2) チャネルを構築しており、攻撃者の戦術における大きな進化を示している。Qualys の最近の調査によると、このキャンペーンはミスコンフィグされたサーバレス・インフラを悪用して、主に東南アジア全域の政府機関を標的としている。その結果として、正規のクラウド活動の中に悪意のトラフィックを紛れ込ませることが可能となる。

Mastra npm パッケージ 140件以上で侵害：パスワード窃取マルウェアを配布

Hackers Compromised 140+ Mastra npm Packages to Deploy Password-Stealing Malware

2026/06/17 CyberSecurityNews — Mastra-AI npm エコシステムを標的とする、高度なサプライチェーン攻撃が発生した。Microsoft と Socket の研究者が特定したのは、開発者マシン／CI/CD ランナー／ビルド環境に情報窃取ペイロードを展開するよう設計された、141件以上の侵害済みパッケージである。このタイポスクワッティング依存関係を悪用するキャンペーンは、2026年6月17日に検出されたものであり、仮想通貨ウォレットデータやブラウザ履歴といった機密性の高い情報を窃取するための、多段階マルウェアを配布するものである。

脅威アクターのマルウェア・インフラが露出：原因は PHP インストールページのアンロック

Threat Actor Malware Platform Exposed via Unlocked PHP Installation Page

2026/06/15 CyberSecurityNews — PHP インストールページのミスコンフィグにより、稼働中のマルウェア配布プラットフォームの内部インフラが露出した。それにより、Potato のセキュリティ研究者は、脅威アクターのダッシュボードから管理者のアクセスを取得できる状態になった。当初は、偽のソフトウェア・ダウンロード・サイトに見えていたが、実際にはマルウェア配布に使用されるアクティブなバックエンド・システムであることが判明した。

Ghost CMS の CVE-2026-26980 を悪用：700 件以上のサイトで ClickFix マルウェア感染

Ghost CMS Vulnerability Exploited to Infect 700 Sites With ClickFix Malware

2026/05/26 gbhackers — 広く利用される Ghost CMS に存在する、深刻な SQL インジェクションの脆弱性 CVE-2026-26980 を積極的に悪用する脅威アクターが、大規模なページ・ポイズニング攻撃を通じて ClickFix マルウェアを配布している。この脆弱性により、攻撃者は認証を必要とせずにデータベース内の機密情報を抽出できるが、その中には Ghost Admin API キーが含まれる。

Gemini 悪用マルウェア PROMPTSPY：AI を悪用するゼロデイ・エクスプロイト開発の脅威

Google Warns of Hackers Using AI to Create Working Zero-Day Exploit

2026/05/11 CyberSecurityNews — Google Threat Intelligence Group (GTIG) が公開したのは、敵対的ワークフローにおいて生成 AI が急速に産業化している実態を詳述する、憂慮すべき内容の報告書である。その中で最も重要な発見は、サイバー犯罪シンジケートが AI 支援のみを用いて、実用的なゼロデイ・エクスプロイトの開発に成功した点である。この Python ベースのエクスプロイトは、人気のオープンソース Web 管理ツールにおける二要素認証 (2FA) をバイパスする目的で設計されていた。

Hugging Face と ClawHub を悪用するハッカーを検知：575+ の悪意の Skills がマルウェアをデプロイ

Hackers Leveraged Hugging Face and ClawHub With 575+ Malicious Skills to Deploy Malware

2026/05/08 CyberSecurityNews — 著名な AI プラットフォーム Hugging Face と ClawHub を悪用し、正規の AI ツールやエージェント・エクステンションを装いながら、トロイの木馬／暗号通貨マイナー／情報窃取マルウェアなどを配布する、進行中のマルウェア配布キャンペーンが確認された。このキャンペーンが示すのは、従来のソフトウェア・リポジトリから、信頼された AI エコシステムへと攻撃対象が移行している状況であり、サプライチェーン攻撃の大きな進化といえる。

Hugging Face を介したマルウェア配信：悪意の npm パッケージ “js-logger-pack” とは？

Malicious npm Package Turns Hugging Face Into Malware CDN and Exfiltration Backend

2026/04/23 CyberSecurityNews — “js-logger-pack” と名付けられた不正な npm パッケージにより、広く信頼される AI モデル・ホスティング・プラットフォーム Hugging Face が悪用され、マルウェア配布ネットワークやデータ窃取の基盤として機能していることが判明した。このキャンペーンが示すのは、攻撃者が正規クラウドサービスを悪用しながら検知を回避する、サプライチェーン攻撃手法の変化である。

TradingView を装うマルウェア・キャンペーン：Needle Stealer の配信と認証情報の窃取

Fake TradingView AI Agent Site is Delivering Needle Stealer Malware via Fake TradingClaw

2026/04/23 CyberSecurityNews — 人気の金融プラットフォーム TradingView を装う新たなマルウェア・キャンペーンが、トレーダーを騙してデータ窃取ツールをダウンロードさせるという事例が確認されている。この攻撃者は、AI 駆動のトレーディング・アシスタント TradingClaw を装い、偽物を宣伝する Web サイトを構築している。このサイトはドメイン “tradingclaw[.]pro” で運用され、正規の AI トレーディング製品の外観を忠実に模倣しているが、正規のスタートアップ “tradingclaw[.]chat” とは無関係である。

偽の GitHub リポジトリを連携させるマルウェア・オペレーション：SmartLoader／StealC Malware を配布

109 Fake GitHub Repos Spread SmartLoader, StealC Malware

2026/04/22 gbhackers — 偽の GitHub リポジトリを用いる連携型のマルウェア・オペレーションが、 LuaJIT ベースの SmartLoader と後続の StealC Infostealer を配布していることが確認された。悪意のリポジトリは 109 件であり、そのオペレーションに用いられるアカウントは 103 件である。このキャンペーンのコア要素は、オープンソース・コードのクローン／難読化された Lua ステージ／ブロックチェーン・ベースの C2 解決の組み合わせであり、検知回避とインフラの機動性を維持している。

偽の Zoom／Teams 会議に御用心：LinkedIn／Slack などで信頼を得る手口とは？

Cybercriminals Use Fake Zoom, Teams Calls to Deliver Malware

2026/04/08 gbhackers — 偽の Zoom／Microsoft Teams 会議を悪用し、被害者自身にマルウェアを実行させる手法が拡大している。その一方で、MetaMask の eth-phishing-detect システムを用いる Security Alliance (SEAL) が、このキャンペーンに関連する 164 の悪意のドメインをブロックしたと報告している。このキャンペーンが標的とするのは、主に暗号資産の専門家／Web3 開発者／投資家などであるが、現在はオープンソース・コミュニティも攻撃の対象となっている。

MaaS 化された ClickFix インフラを検出：Node.js ベースの Windows RAT と Tor を介した C2

Hackers Use ClickFix Lure to Drop Node.js-Based Windows RAT With Tor-Powered C2

2026/04/07 CyberSecurityNews — ClickFix ソーシャルエンジニアリングの新たな波が、Windows ユーザーを標的としている。この攻撃者は、偽のブラウザ検証ページを表示し、ユーザーに隠されたコマンドを実行させることで、Node.js ベースの Remote Access Trojan (RAT) を密かにシステムへ配置する。このマルウェアは、Tor ネットワークを介してオペレーターと通信してトラフィックを匿名化することで、攻撃インフラに対する追跡と遮断をきわめて困難にする。

GitHub を悪用する高度なマルウェア：LNK ファイル経由で韓国組織を標的化

GitHub-Backed Malware Spread via LNK Files in South Korea

2026/04/06 gbhackers — Windows ショートカット・ファイル (LNK) と GitHub を悪用する攻撃者が、韓国の組織を標的とするステルス性の高い多段階マルウェア攻撃を展開している。この攻撃は LNK ファイル／PowerShell／GitHub API を連携させ、通常の企業トラフィックに紛れ込みながら監視ツールを配布するものだ。武器化されたスクリプトを取り込む LNK ファイルにより、この攻撃は開始される。

PyPI に潜むマルウェア hermes-px：Claude Code システム・プロンプトの悪用と情報の窃取

Trojanized PyPI AI Proxy Uses Stolen Claude Prompt to Exfiltrates Data

2026/04/06 CyberSecurityNews — PyPI 上で発見された悪意の Python パッケージは、プライバシー重視の AI 推論ツールを装いながら、バックグラウンドでユーザーの機密データを密かに盗み出すものだ。この、Secure AI Inference Proxy として宣伝されるパッケージ “hermes-px“は、すべての AI リクエストを Tor ネットワーク経由でルーティングすることで、ユーザーの匿名性を保護すると主張している。

npm 上の悪意の undicy-http パッケージに注意：RAT とネイティブ・マルウェアを注入

New npm Supply Chain Attack Uses undicy-http to Deploy Screen-Streaming RAT and Browser Injector

2026/04/01 CyberSecurityNews — Node.js 開発者コミュニティ内で確認されたのは、悪意の npm パッケージ undicy-http をインストールした開発者のマシンを密かに侵害していくインシデントの発生である。このパッケージは、毎週数百万回のダウンロードを処理する Node.js に同梱される、公式 HTTP クライアント・ライブラリ undici を装っているが、HTTP クライアント機能は一切含まれていない。

VoidLink が示す脅威の実態：AI 生成マルウェアが実運用へ移行した

VoidLink Malware Framework Shows that AI-assisted Malware is Not Experimental Anymore

2026/03/30 CyberSecurityNews — AI を用いて危険なマルウェアを大規模に生成できるかという議論が、長年にわたりサイバー・セキュリティ専門家たちの間で展開されてきたが、その話は、すでに決着している。2026年初頭に発見された Linux ベースのマルウェア・フレームワーク VoidLink が示すのは、理論上の概念から完全な実戦投入の段階の脅威へと、AI 支援マルウェアが移行したことであり、セキュリティ・コミュニティが懸念し続けてきた境界を超えたことである。

Open VSX の悪意のエクステンションを検出：GitHub ダウンローダーを介して RAT などを展開

Open VSX Extension Delivers RAT and Stealer via GitHub Downloader

2026/03/19 gbhackers — Open VSX エクステンションの一つが、フル機能の RAT と情報窃取マルウェアを、GitHub から密かに取得していたことが判明した。open-vsx.org で提供される KhangNghiem/fast-draft エクステンションは、2026年3月17日時点で 26,000 件以上のダウンロード数が確認されている。このエクステンションには複数の悪意のリリースが含まれており、GitHub 上にホストされたダウンローダーを実行し、BlokTrooper/extension リポジトリから第 2 段階のペイロードを取得していた。確認された悪意のバージョンには、0.10.89／0.10.105／0.10.106／0.10.112 が含まれる。

FileZilla を偽装するマルウェア・キャンペーン：DLL サイドローディングと RAT の配布

Fake FileZilla Downloads Lead to RAT Infections Through Stealthy Multi-Stage Loader

2026/03/16 CyberSecurityNews — 偽の Web サイトを通じて Remote Access Trojan (RAT) を配布する、新たなマルウェア・キャンペーンが発見された。この攻撃者は、正規の FileZilla サイトを精密に模倣する Web サイトを構築してユーザーを欺き、悪意のインストーラー・ファイルをダウンロードさせる。この攻撃の目的は、ユーザーに信頼できる FTP クライアントをインストールしていると誤認させ、Windows システムを継続的に侵害することにある。

Hive0163 が AI 生成マルウェア Slopoly を実戦投入：攻撃チェーンの変化と実態とリスク

IBM Discovers ‘Slopoly’ AI-Generated Malware Linked to Hive0163 Ransomware

2026/03/16 gbhackers — AI により生成されたと思われるマルウェア・フレームワーク “Slopoly” を、実験的に使用するランサムウェア・グループ Hive0163 は、AI 支援ツールを活用する攻撃形態へと移行を進めている。このマルウェア自体は比較的単純であるが、Large Language Model (LLM) を用いる脅威アクターが、カスタム Command-and-Control (C2) クライアントを迅速に生成／改良する可能性を示している。

GlassWorm が拡散する 72 件の悪意のOpen VSX エクステンション：依存関係の推移を悪用

GlassWorm Spreads via 72 Malicious Open VSX Extensions Hidden in Transitive Dependencies

2026/03/14 gbhackers — GlassWorm マルウェア・キャンペーンは進化し、ソフトウェア開発者への攻撃を大幅に強化している。この攻撃者は、初期リリースで採用していたマルウェアを埋め込む手法を止め、依存関係の推移を悪用することで、開発者環境へ悪意のコードを潜り込ませる方法へと移行している。このステルス手法により、安全に見えるパッケージをインストールして信頼が確立された後に、別の感染エクステンションを自動的に取得するという事態が生じる。

AI 駆動の環境適応型マルウェア：オンデマンドで悪意のコードやコマンドを生成 – Google 調査

Google Warns of AI‑Driven Adaptive Malware Rewriting Its Own Code

2026/03/11 gbhackers — 2025年の脅威アクターたちは、人工知能の試験的利用から実運用への本格統合へと移行し、サイバー・セキュリティの状況を大きく変化させている。Google Threat Intelligence Group (GTIG) と Mandiant の新たな分析によると、いまの攻撃者たちは、動的に挙動を変更する適応型マルウェアや、自律型 AI エージェントを展開している。それにより、サイバー脅威の速度／規模／複雑性が著しく増大している。

Transparent Tribe の “vibeware”：AI 支援により大量生産されるマルウェアの脅威とは？

Transparent Tribe’s ‘Vibeware’ Move Points to AI-Made Malware at Scale

2026/03/09 gbhackers — Transparent Tribe (APT36) は、従来の既製ツール中心の運用から、“vibeware” と呼ばれる AI 支援型のマルウェア・モデルへ移行している。この現象が示すのは、LLM による低洗練度の持続的な攻撃が、産業規模で生み出される段階に入ったことだ。インドの政府機関や大使館などに対する最近のキャンペーンで、このグループは AI 主導の開発パイプラインへ移行し、複数の言語で書かれた使い捨て型インプラントを継続的に生成している。

Packagist に悪意の Laravel パッケージ：Windows／macOS／Linux に RAT を展開

Fake Laravel Packages on Packagist Deploy RAT on Windows, macOS, and Linux

2026/03/04 TheHackerNews — Laravel のユーティリティを装う悪意の Packagist PHP パッケージを、サイバー・セキュリティ研究者たちが発見した。それらは、Windows／macOS／Linux で動作するクロス・プラットフォーム型 Remote Access Trojan (RAT) を展開する経路として機能するものだ。対象パッケージは以下である。

nhattuanbl/lara-swagger（49 ダウンロード）
nhattuanbl/lara-helper（37 ダウンロード）
nhattuanbl/simple-queue（29 ダウンロード）

StegaBin キャンペーンと 26 件の悪意ある npm パッケージ：巧妙に機密データを窃取する RAT

New ‘StegaBin’ Campaign Deploys Multi-Stage Credential Stealer via 26 Malicious npm Packages

2026/03/03 gbhackers — StegaBin と呼ばれる新たなサプライチェーン攻撃が確認された。人気オープンソース・ライブラリを装う 26 個の悪意の npm パッケージを通じて JavaScript 開発者を標的とし、多段階のクレデンシャル窃取ツールキットおよびリモートアクセス型トロイの木馬 (RAT) を展開している。このキャンペーンは、過去において暗号資産／Web3 の開発者を標的とした Contagious Interview 作戦で知られる、北朝鮮関連の脅威アクター FAMOUS CHOLLIMA に帰属するとされる。

PNG 画像に偽装された Pulsar RAT：npm を標的とするサプライ・チェーン攻撃を検出

Hackers Hide Pulsar RAT Inside PNG Images in New NPM Supply Chain Attack

2026/02/22 hackread — 通常の PNG 画像に危険なウイルスを隠蔽する、新たなサイバー攻撃が発見された。数百万のソフトウェア開発者がツール共有に利用する、大規模 Web サイトである npm のレジストリ上の悪意あるパッケージを、Veracode Threat Research が発見した。このパッケージは通常のソフトウェアのように見えるが、実際の目的はユーザーのコンピュータを乗っ取ることにある。

OpenClaw 悪用キャンペーンの拡大：脆弱性 CVE-2026-25253 を介した API キー窃取／マルウェア展開

Multiple Hacking Groups Exploit OpenClaw Instances to Steal API key and Deploy Malware

2026/02/22 CyberSecurityNews — 複数のハッキング・グループにより、OpenClaw (旧称 MoltBot／ClawdBot) の脆弱性 CVE-2026-25253 が広範に悪用され、悪意あるペイロードの配布／展開が引き起こされていることが判明した。OpenClaw は、現在は OpenAI に所属する Peter Steinberger により開発された、オープンソースの自律型 AI フレームワークであり、2026年1月下旬に急速に普及した後に、深刻な攻撃の標的となっている。

GitHub フォークを悪用するマルウェア・キャンペーン：Triton を装う脅威アクターとリポジトリを特定

Malware in the Wild as Malicious Fork of Legitimate Triton App Surfaces on GitHub

2026/02/17 CyberSecurityNews — 正規の macOS アプリケーション Triton の悪意のフォークが、GitHub リポジトリを悪用しながらマルウェアを配布している。この不正リポジトリは “JaoAureliano” というアカウントの下で作成され、Otavio C. が開発した正規 Triton アプリのコピーを装っていた。実際には、正規ソフトウェアを提供せず、Windows 向けマルウェアを含む ZIP ファイルのダウンロードへとユーザーを誘導する仕掛けとなっていた。

ClickFix キャンペーンに新たな手口：ユーザーに DNS 設定変更を促しマルウェアをインストール

New Clickfix Exploit Tricks Users into Changing DNS Settings for Malware Installation

2026/02/14 CyberSecurityNews — ClickFix ソーシャル・エンジニアリング・キャンペーンに、カスタム DNS ハイジャック技術を用いてマルウェアを配布するという進化が確認された。この攻撃手法は、悪意のコマンドをユーザーに実行させ、DNS ルックアップを悪用して感染の次段階を取得するものである。それにより従来の検知手法を回避すると同時に、通常のネットワーク・トラフィックに紛れ込むことを可能にする。

Google Ads／Claude AI／Medium を悪用：macOS ユーザーを標的とするマルウェア・キャンペーンを観測

Threat Actors Exploit Claude Artifacts and Google Ads to Target macOS Users

2026/02/14 CyberSecurityNews — Google がスポンサーとなる検索結果や、Anthropic の Claude AI、Medium などの正規プラットフォームを悪用し、macOS ユーザーを標的とする高度なマルウェア・キャンペーンが確認された。確立されたオンライン・サービスに対するユーザーの信頼を悪用する 2 種類の攻撃手法により、潜在的な被害者は 15,000 人以上に到達している。

Google が警告する Gemini の悪用：段階マルウェア用の C# コードを動的に生成する脅威アクターとは？

Google Warns of Hackers Leveraging Gemini AI for All Stages of Cyberattacks

2026/02/12 CyberSecurityNews — 従来の検出手法を回避する脅威アクターたちは、Google の Gemini API を悪用することで、多段階マルウェア用の C# コードを動的に生成し始めている。Google Threat Intelligence Group (GTIG) は、2025年9月に観測された HONESTCUE フレームワークに焦点を当てた調査を実施し、その結果を 2026年2月の AI Threat Tracker レポートに詳述している。

悪意の npm パッケージ “duer-js” を検出：Windows／Discord を標的に Bada Stealer マルウェアを展開

Malicious ‘duer-js’ NPM Package Distributes ‘Bada Stealer’ Malware Targeting Windows and Discord Users

2026/02/12 gbhackers — 新たに発見された悪意の npm パッケージ duer-js が、主に Windows システムおよび Discord ユーザーを標的とする、高度な情報窃取型マルウェアを配布するために展開されている。このパッケージは、luizaearlyx というユーザーにより公開されており、”Bada Stealer” という名のカスタム・インフォスティーラーを含んでいる。この問題が報告された時点でも公開状態にあり、プロジェクトに組み込んでしまった開発者にとって深刻な懸念材料となっている。

LLM で React2Shell マルウェアを生成：最新サンプルが示す高度なテクノロジーとは？

Hackers Use LLM to Create React2Shell Malware, the Latest Example of AI-Generated Threat

2026/02/11 SecurityBoulevard — Darktrace の CloudyPots ハニーポット・ネットワークで、先日に捕捉されたマルウェアサンプルは、完全に AI により生成されたものである。2ヶ月前に公開され、現在も脅威であり続ける React2Shell 脆弱性を悪用するために、このマルウェアは構築されている。システムへの初期侵入を達成したマルウェアは、その後に暗号通貨マイニングを実行する。この名称が与えられていないマルウェアは、Large Language Model (LLM) などの AI ツールを用いて、その大部分を作成するという。

VoidLink マルウェア：高度なモジュール型設計と AI 支援開発を示唆する痕跡

VoidLink Malware Exhibits Multi-Cloud Capabilities and AI Code

2026/02/10 InfoSecurity — Linux ベースの Command and Control (C2) フレームワークであり、クラウドおよびエンタープライズ環境全体で、長期にわたる侵入を可能にするマルウェアについて、新たな調査結果が公開された。VoidLink として知られるマルウェアは、認証情報の窃取／データの外部送信に加えて、侵害済みシステム上での秘匿的な永続化を目的とするインプラント・バイナリを生成する。

Open VSX エクステンションに潜む高度なマルウェア：開発者を狙う狡猾なサプライチェーン攻撃

Sophisticated Malware Lurks In Open VSX Extension With 5,066 Downloads

2026/01/30 gbhackers — 人気の Angular Language Service を装う悪意の VS Code エクステンションが、Open VSX Registry 上で発見された。このマルウェアを起動させる機能を備えたエクステンションは、2 週間ほど前に公開され、5,066 回ダウンロードされていた。このエクステンションは正規の Angular ツールチェーン “@angular/language-service 21.1.0-rc.0″ と TypeScript 5.9.3 を同梱している。その一方で、”extension/index.js” ファイル内に悪意のコードが埋め込まれており、開発者に深刻なサプライチェーン・リスクをもたらす構成となっている。

Python ベース PyRAT における永続化の手法：Windows／Linux を標的とするマルウェアを検出

Python-based PyRAT with Cross-Platform Capabilities and Extensive Remote Access Features

2026/01/29 CyberSecurityNews — 高度な監視機能とデータ窃取機能を備え、Windows／Linux システムを標的とする、新たな Python ベースのリモート・アクセス型トロイの木馬 (RAT) が出現した。このマルウェアは、暗号化されていない HTTP チャネルを介して Command-and-Control (C2) 通信を確立し、リモートの攻撃者に対してコマンド実行／ファイル窃取／スクリーンショット取得を提供する構成となっている。

GitHub Desktop マルウェア・キャンペーン：公式インストーラを装う狡猾な手口で拡散

Attackers Hijack GitHub Desktop Repo to Spread Malware via Official Installer

2026/01/27 gbhackers — GitHub の fork アーキテクチャに内在する設計上の欠陥を悪用する脅威アクターが、正規の GitHub Desktop インストーラを装うマルウェアの配布を成功させている。この攻撃チェーンは、単純に見える極めて効果的な手法から始まる。攻撃者は使い捨ての GitHub アカウントを作成し、公式 GitHub Desktop リポジトリを fork する。その後に、README ファイル内のダウンロード・リンクを悪意のインストーラに差し替え、その変更を commit する。

npm マルウェア G_Wagon：高度に難読化されたペイロードによりブラウザ認証情報などを窃取

G_Wagon NPM Package Exploits Users to Steal Browser Credentials with Obfuscated Payload

2026/01/27 gbhackers — 正規の npm UI コンポーネント・ライブラリを装う、高度に洗練されたインフォスティーラー型マルウェアが、ansi-universal-ui パッケージを通じて開発者を標的としていることが判明した。このマルウェアは、研究者たちの間では G_Wagon と識別されている、多段階の難読化技術を用いて感染させたシステムから、ブラウザ認証情報／暗号資産ウォレット／クラウド認証キー／メッセージング・トークンを窃取するものである。

React2Shell CVE-2025-55182 悪用：明らかになった攻撃キャンペーンとマルウェアの実態

Attackers Exploit React2Shell Vulnerability to Target IT Sector Systems

2026/01/27 gbhackers — React Server Components における深刻な脆弱性が、実際の運用環境で悪用されていることが確認されている。この脆弱性 CVE-2025-55182 (React2Shell) を悪用する攻撃者は、世界中の多種多様な業種と企業を標的としている。React2Shell が影響を及ぼす対象は、React Server Components におけるクライアント／サーバ通信を担う Flight プロトコルである。この脆弱性は、安全でないデシリアライゼーションに起因するものであり、クライアントから送信されたデータを、サーバが十分な検証なしで受け入れることで、特定条件下におけるリモート・コード実行が可能となってしまう。

VoidLink が示す AI 生成マルウェア時代の到来：Check Point が警告

VoidLink Represents the Future of AI-Developed Malware: Check Point

2026/01/20 SecurityBoulevard — 1 人の個人と推測される脅威アクターが、AI を用いて単独で開発したとみられる高度なマルウェアが、Check Point の研究者たちにより発見された。このインシデントが示すのは、急速に進化する技術がサイバー脅威の生成方法を変化させる、先駆的な事例である。VoidLink と名付けられたマルウェアは、開発の初期段階で検出され、実際の攻撃で使用された形跡は確認されていない。しかし、異例のスピードで進められた設計と構築は、高度にモジュール化された構造を備えるものであり、迅速な進化を可能にする仕組みを持っている。そのため、発見当初は、大規模かつ潤沢な資金を有する攻撃者グループによるものと見られていた。

PDFSIDER マルウェアの積極的に悪用を確認：DLL サイドローディングによる EDR 回避

PDFSIDER Malware Actively Exploited to Evade Antivirus and EDR Defenses

2026/01/19 gbhackers — DLL サイドローディングを介して、Endpoint Detection and Response (EDR) システムを回避する、高度なバックドア型マルウェア亜種 PDFSIDER を、Resecurity のセキュリティ研究者たちが特定した。この脅威が示唆するのは、高度持続的脅威 (APT：Advanced Persistent Threat) のテクニックであり、回避メカニズムと暗号化された C2 (Command and Control) を組み合わせることで、侵害したシステムに対する秘匿的なアクセスを維持するものだ。

CrashFix マルウェア・キャンペーン：悪意のエクステンションによる偽ブラウザ警告表示の手法

CrashFix – Hackers Using Malicious Extensions to Display Fake Browser Warnings

2026/01/19 CyberSecurityNews — サイバーセキュリティ研究者が発見したのは、異例ではあるが効果的な戦術を用いる高度なマルウェア・キャンペーンである。このキャンペーンは、ユーザーのブラウザを意図的にクラッシュさせる手法を中核としている。この脅威は CrashFix と命名されており、正規の広告ブロッカー NexShield を装った悪意の Chrome エクステンションを通じて配布されている。ユーザーがオンラインでプライバシー・ツールを検索すると、悪意の広告により、Chrome Web Store 上で信頼できそうに見えるエクステンションのダウンロードへと誘導される。

StealC マルウェア管理パネルに XSS の脆弱性：脅威アクターの活動が解析可能に

Security Bug in StealC Malware Panel Let Researchers Spy on Threat Actor Operations

2026/01/19 TheHackerNews — 情報窃取マルウェア StealC の運用者が使用する Web ベース管理パネルに、クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、サイバーセキュリティ研究者たちが明らかにした。この脆弱性を通じて研究者たちは、StealC を運用する脅威アクターの活動に関する重要な情報を収集できた。先週公開されたレポートにおいて CyberArk の研究者 Ari Novick は、「この脆弱性を活用することで、StealC システムのフィンガープリントを収集し、アクティブなセッションを監視し、さらに情報窃取を目的として設計された悪意のインフラから、脅威アクター自身の Cookie を窃取することに成功した」と述べている。

GhostPoster エクステンションの長期潜伏キャンペーン：840,000 件のブラウザ・マルウェアを検出

GhostPoster Browser Malware Hid for 5 Years With 840,000 Installs

2026/01/16 hackread — 単一のブラウザ・エクステンションにおけるインシデントとして始まった事象は、多くのユーザーが予期しない大規模なサイバーセキュリティ上の懸念へと発展している。2025年12月に Koi Security が公開した分析結果によると、GhostPoster と名付けられた Firefox エクステンションは、ブラウザ・エクステンションの審査担当者が通常確認する警告サインを回避する悪意ある手法を採用していたことが明らかになった。

WinRAR の偽ダウンロード・サイトに注意：インストーラーを装うマルウェアを展開

Warning: Fake WinRAR Website Delivers Malware Disguised as Installer

2026/01/09 gbhackers —

中国の Web サイト経由で配布される偽の WinRAR インストーラーを通じて、高度なマルウェア攻撃がユーザーを標的としている。これらのインストーラーは、正規のソフトウェア・ダウンロードを装い、多層構造の悪意のペイロードを配信する。セキュリティ研究者が特定したのは、正規のソフトウェア・インストールに見せかけながらシステムを侵害するよう設計された、新たな悪意のファイル群である。

Maven Central からのマルウェア配信を検出：名前空間に対する巧妙なタイポスクワッティング

Hackers Infiltrated Maven Central Masquerading as a Legitimate Jackson JSON Library

2025/12/30 CyberSecurityNews — Maven Central で確認されたのは、正規の Jackson JSON ライブラリのエクステンションを装う新たなマルウェア攻撃である。Java 開発者たちが最も信頼するリポジトリである Maven Central 上で、タイポスクワッティングを介したマルウェアの拡散が検知された。この悪意のパッケージは、名前空間 “org.fasterxml.jackson.core/jackson-databind” を介して公開されている。正規の Jackson ライブラリは “com.fasterxml.jackson.core” 名前空間で提供されているが、悪意のパッケージは “org.fasterxml.jackson.core” を使用するという、巧妙な名前空間の偽装が図られている。

WebRAT マルウェア・キャンペーン：GitHub 上の偽の脆弱性情報と PoC を通じて拡散

WebRAT malware spread via fake vulnerability exploits on GitHub

2025/12/23 BleepingComputer — GitHub リポジトリを通じて配布される、最近公開された脆弱性の PoC エクスプロイトには、WebRAT マルウェアを拡散するための、悪質なキャンペーンも紛れ込んでいるという。WebRAT というマルウェアは、情報窃取機能を備えたバックドアとして、今年の初めに特定されたものだ。これまでは Roblox／Counter Strike／Rust などのゲーム向け海賊版ソフトウェアやチート・ツールを通じて拡散されてきたが、その拡散経路に GitHub が加わったことになる。

Office の脆弱性 CVE-2018-0802 が標的：Cloud Atlas 攻撃キャンペーンの感染チェーンを分析

Cloud Atlas Exploits Office Vulnerabilities to Execute Malicious Code

2025/12/19 gbhackers — Microsoft Office の旧来の脆弱性を悪用する Cloud Atlas 脅威グループは 2014年から活動しており、東ヨーロッパおよび中央アジアの組織に対して高度な攻撃を実施し、深刻なリスクをもたらし続けている。このグループにおける攻撃手段の拡張と感染チェーンの進化は、2025年上半期を通じてセキュリティ研究者により追跡および分析されてきた。その結果、これまで不明であったスクリプトおよび攻撃手法が明らかになった。

React2Shell を悪用する大規模な攻撃：KSwapDoor／ZnDoor などの Linux バックドアを拡散

React2Shell Vulnerability Actively Exploited to Deploy Linux Backdoors

2025/12/16 TheHackerNews — React2Shell (CVE-2025-55182 ) として知られるセキュリティ脆弱性を悪用する脅威アクターたちが、KSwapDoor／ZnDoor などのマルウェア・ファミリーを拡散していることを、Palo Alto Networks Unit 42 と NTT Security の調査結果が示している。Palo Alto Networks Unit 42 の Senior Manager of Threat Intel Research である Justin Moore は、「KSwapDoor は、ステルス性を念頭に設計された、リモート・アクセス・ツールである」と述べている。