Malware – IoT OT Security News

偽の Zoom／Teams 会議に御用心：LinkedIn／Slack などで信頼を得る手口とは？

Cybercriminals Use Fake Zoom, Teams Calls to Deliver Malware

2026/04/08 gbhackers — 偽の Zoom／Microsoft Teams 会議を悪用し、被害者自身にマルウェアを実行させる手法が拡大している。その一方で、MetaMask の eth-phishing-detect システムを用いる Security Alliance (SEAL) が、このキャンペーンに関連する 164 の悪意のドメインをブロックしたと報告している。このキャンペーンが標的とするのは、主に暗号資産の専門家／Web3 開発者／投資家などであるが、現在はオープンソース・コミュニティも攻撃の対象となっている。

MaaS 化された ClickFix インフラを検出：Node.js ベースの Windows RAT と Tor を介した C2

Hackers Use ClickFix Lure to Drop Node.js-Based Windows RAT With Tor-Powered C2

2026/04/07 CyberSecurityNews — ClickFix ソーシャルエンジニアリングの新たな波が、Windows ユーザーを標的としている。この攻撃者は、偽のブラウザ検証ページを表示し、ユーザーに隠されたコマンドを実行させることで、Node.js ベースの Remote Access Trojan (RAT) を密かにシステムへ配置する。このマルウェアは、Tor ネットワークを介してオペレーターと通信してトラフィックを匿名化することで、攻撃インフラに対する追跡と遮断をきわめて困難にする。

GitHub を悪用する高度なマルウェア：LNK ファイル経由で韓国組織を標的化

GitHub-Backed Malware Spread via LNK Files in South Korea

2026/04/06 gbhackers — Windows ショートカット・ファイル (LNK) と GitHub を悪用する攻撃者が、韓国の組織を標的とするステルス性の高い多段階マルウェア攻撃を展開している。この攻撃は LNK ファイル／PowerShell／GitHub API を連携させ、通常の企業トラフィックに紛れ込みながら監視ツールを配布するものだ。武器化されたスクリプトを取り込む LNK ファイルにより、この攻撃は開始される。

PyPI に潜むマルウェア hermes-px：Claude Code システム・プロンプトの悪用と情報の窃取

Trojanized PyPI AI Proxy Uses Stolen Claude Prompt to Exfiltrates Data

2026/04/06 CyberSecurityNews — PyPI 上で発見された悪意の Python パッケージは、プライバシー重視の AI 推論ツールを装いながら、バックグラウンドでユーザーの機密データを密かに盗み出すものだ。この、Secure AI Inference Proxy として宣伝されるパッケージ “hermes-px“は、すべての AI リクエストを Tor ネットワーク経由でルーティングすることで、ユーザーの匿名性を保護すると主張している。

npm 上の悪意の undicy-http パッケージに注意：RAT とネイティブ・マルウェアを注入

New npm Supply Chain Attack Uses undicy-http to Deploy Screen-Streaming RAT and Browser Injector

2026/04/01 CyberSecurityNews — Node.js 開発者コミュニティ内で確認されたのは、悪意の npm パッケージ undicy-http をインストールした開発者のマシンを密かに侵害していくインシデントの発生である。このパッケージは、毎週数百万回のダウンロードを処理する Node.js に同梱される、公式 HTTP クライアント・ライブラリ undici を装っているが、HTTP クライアント機能は一切含まれていない。

VoidLink が示す脅威の実態：AI 生成マルウェアが実運用へ移行した

VoidLink Malware Framework Shows that AI-assisted Malware is Not Experimental Anymore

2026/03/30 CyberSecurityNews — AI を用いて危険なマルウェアを大規模に生成できるかという議論が、長年にわたりサイバー・セキュリティ専門家たちの間で展開されてきたが、その話は、すでに決着している。2026年初頭に発見された Linux ベースのマルウェア・フレームワーク VoidLink が示すのは、理論上の概念から完全な実戦投入の段階の脅威へと、AI 支援マルウェアが移行したことであり、セキュリティ・コミュニティが懸念し続けてきた境界を超えたことである。

Open VSX の悪意のエクステンションを検出：GitHub ダウンローダーを介して RAT などを展開

Open VSX Extension Delivers RAT and Stealer via GitHub Downloader

2026/03/19 gbhackers — Open VSX エクステンションの一つが、フル機能の RAT と情報窃取マルウェアを、GitHub から密かに取得していたことが判明した。open-vsx.org で提供される KhangNghiem/fast-draft エクステンションは、2026年3月17日時点で 26,000 件以上のダウンロード数が確認されている。このエクステンションには複数の悪意のリリースが含まれており、GitHub 上にホストされたダウンローダーを実行し、BlokTrooper/extension リポジトリから第 2 段階のペイロードを取得していた。確認された悪意のバージョンには、0.10.89／0.10.105／0.10.106／0.10.112 が含まれる。

FileZilla を偽装するマルウェア・キャンペーン：DLL サイドローディングと RAT の配布

Fake FileZilla Downloads Lead to RAT Infections Through Stealthy Multi-Stage Loader

2026/03/16 CyberSecurityNews — 偽の Web サイトを通じて Remote Access Trojan (RAT) を配布する、新たなマルウェア・キャンペーンが発見された。この攻撃者は、正規の FileZilla サイトを精密に模倣する Web サイトを構築してユーザーを欺き、悪意のインストーラー・ファイルをダウンロードさせる。この攻撃の目的は、ユーザーに信頼できる FTP クライアントをインストールしていると誤認させ、Windows システムを継続的に侵害することにある。

Hive0163 が AI 生成マルウェア Slopoly を実戦投入：攻撃チェーンの変化と実態とリスク

IBM Discovers ‘Slopoly’ AI-Generated Malware Linked to Hive0163 Ransomware

2026/03/16 gbhackers — AI により生成されたと思われるマルウェア・フレームワーク “Slopoly” を、実験的に使用するランサムウェア・グループ Hive0163 は、AI 支援ツールを活用する攻撃形態へと移行を進めている。このマルウェア自体は比較的単純であるが、Large Language Model (LLM) を用いる脅威アクターが、カスタム Command-and-Control (C2) クライアントを迅速に生成／改良する可能性を示している。

GlassWorm が拡散する 72 件の悪意のOpen VSX エクステンション：依存関係の推移を悪用

GlassWorm Spreads via 72 Malicious Open VSX Extensions Hidden in Transitive Dependencies

2026/03/14 gbhackers — GlassWorm マルウェア・キャンペーンは進化し、ソフトウェア開発者への攻撃を大幅に強化している。この攻撃者は、初期リリースで採用していたマルウェアを埋め込む手法を止め、依存関係の推移を悪用することで、開発者環境へ悪意のコードを潜り込ませる方法へと移行している。このステルス手法により、安全に見えるパッケージをインストールして信頼が確立された後に、別の感染エクステンションを自動的に取得するという事態が生じる。

AI 駆動の環境適応型マルウェア：オンデマンドで悪意のコードやコマンドを生成 – Google 調査

Google Warns of AI‑Driven Adaptive Malware Rewriting Its Own Code

2026/03/11 gbhackers — 2025年の脅威アクターたちは、人工知能の試験的利用から実運用への本格統合へと移行し、サイバー・セキュリティの状況を大きく変化させている。Google Threat Intelligence Group (GTIG) と Mandiant の新たな分析によると、いまの攻撃者たちは、動的に挙動を変更する適応型マルウェアや、自律型 AI エージェントを展開している。それにより、サイバー脅威の速度／規模／複雑性が著しく増大している。

Transparent Tribe の “vibeware”：AI 支援により大量生産されるマルウェアの脅威とは？

Transparent Tribe’s ‘Vibeware’ Move Points to AI-Made Malware at Scale

2026/03/09 gbhackers — Transparent Tribe (APT36) は、従来の既製ツール中心の運用から、“vibeware” と呼ばれる AI 支援型のマルウェア・モデルへ移行している。この現象が示すのは、LLM による低洗練度の持続的な攻撃が、産業規模で生み出される段階に入ったことだ。インドの政府機関や大使館などに対する最近のキャンペーンで、このグループは AI 主導の開発パイプラインへ移行し、複数の言語で書かれた使い捨て型インプラントを継続的に生成している。

Packagist に悪意の Laravel パッケージ：Windows／macOS／Linux に RAT を展開

Fake Laravel Packages on Packagist Deploy RAT on Windows, macOS, and Linux

2026/03/04 TheHackerNews — Laravel のユーティリティを装う悪意の Packagist PHP パッケージを、サイバー・セキュリティ研究者たちが発見した。それらは、Windows／macOS／Linux で動作するクロス・プラットフォーム型 Remote Access Trojan (RAT) を展開する経路として機能するものだ。対象パッケージは以下である。

nhattuanbl/lara-swagger（49 ダウンロード）
nhattuanbl/lara-helper（37 ダウンロード）
nhattuanbl/simple-queue（29 ダウンロード）

StegaBin キャンペーンと 26 件の悪意ある npm パッケージ：巧妙に機密データを窃取する RAT

New ‘StegaBin’ Campaign Deploys Multi-Stage Credential Stealer via 26 Malicious npm Packages

2026/03/03 gbhackers — StegaBin と呼ばれる新たなサプライチェーン攻撃が確認された。人気オープンソース・ライブラリを装う 26 個の悪意の npm パッケージを通じて JavaScript 開発者を標的とし、多段階のクレデンシャル窃取ツールキットおよびリモートアクセス型トロイの木馬 (RAT) を展開している。このキャンペーンは、過去において暗号資産／Web3 の開発者を標的とした Contagious Interview 作戦で知られる、北朝鮮関連の脅威アクター FAMOUS CHOLLIMA に帰属するとされる。

PNG 画像に偽装された Pulsar RAT：npm を標的とするサプライ・チェーン攻撃を検出

Hackers Hide Pulsar RAT Inside PNG Images in New NPM Supply Chain Attack

2026/02/22 hackread — 通常の PNG 画像に危険なウイルスを隠蔽する、新たなサイバー攻撃が発見された。数百万のソフトウェア開発者がツール共有に利用する、大規模 Web サイトである npm のレジストリ上の悪意あるパッケージを、Veracode Threat Research が発見した。このパッケージは通常のソフトウェアのように見えるが、実際の目的はユーザーのコンピュータを乗っ取ることにある。

OpenClaw 悪用キャンペーンの拡大：脆弱性 CVE-2026-25253 を介した API キー窃取／マルウェア展開

Multiple Hacking Groups Exploit OpenClaw Instances to Steal API key and Deploy Malware

2026/02/22 CyberSecurityNews — 複数のハッキング・グループにより、OpenClaw (旧称 MoltBot／ClawdBot) の脆弱性 CVE-2026-25253 が広範に悪用され、悪意あるペイロードの配布／展開が引き起こされていることが判明した。OpenClaw は、現在は OpenAI に所属する Peter Steinberger により開発された、オープンソースの自律型 AI フレームワークであり、2026年1月下旬に急速に普及した後に、深刻な攻撃の標的となっている。

GitHub フォークを悪用するマルウェア・キャンペーン：Triton を装う脅威アクターとリポジトリを特定

Malware in the Wild as Malicious Fork of Legitimate Triton App Surfaces on GitHub

2026/02/17 CyberSecurityNews — 正規の macOS アプリケーション Triton の悪意のフォークが、GitHub リポジトリを悪用しながらマルウェアを配布している。この不正リポジトリは “JaoAureliano” というアカウントの下で作成され、Otavio C. が開発した正規 Triton アプリのコピーを装っていた。実際には、正規ソフトウェアを提供せず、Windows 向けマルウェアを含む ZIP ファイルのダウンロードへとユーザーを誘導する仕掛けとなっていた。

ClickFix キャンペーンに新たな手口：ユーザーに DNS 設定変更を促しマルウェアをインストール

New Clickfix Exploit Tricks Users into Changing DNS Settings for Malware Installation

2026/02/14 CyberSecurityNews — ClickFix ソーシャル・エンジニアリング・キャンペーンに、カスタム DNS ハイジャック技術を用いてマルウェアを配布するという進化が確認された。この攻撃手法は、悪意のコマンドをユーザーに実行させ、DNS ルックアップを悪用して感染の次段階を取得するものである。それにより従来の検知手法を回避すると同時に、通常のネットワーク・トラフィックに紛れ込むことを可能にする。

Google Ads／Claude AI／Medium を悪用：macOS ユーザーを標的とするマルウェア・キャンペーンを観測

Threat Actors Exploit Claude Artifacts and Google Ads to Target macOS Users

2026/02/14 CyberSecurityNews — Google がスポンサーとなる検索結果や、Anthropic の Claude AI、Medium などの正規プラットフォームを悪用し、macOS ユーザーを標的とする高度なマルウェア・キャンペーンが確認された。確立されたオンライン・サービスに対するユーザーの信頼を悪用する 2 種類の攻撃手法により、潜在的な被害者は 15,000 人以上に到達している。

Google が警告する Gemini の悪用：段階マルウェア用の C# コードを動的に生成する脅威アクターとは？

Google Warns of Hackers Leveraging Gemini AI for All Stages of Cyberattacks

2026/02/12 CyberSecurityNews — 従来の検出手法を回避する脅威アクターたちは、Google の Gemini API を悪用することで、多段階マルウェア用の C# コードを動的に生成し始めている。Google Threat Intelligence Group (GTIG) は、2025年9月に観測された HONESTCUE フレームワークに焦点を当てた調査を実施し、その結果を 2026年2月の AI Threat Tracker レポートに詳述している。

悪意の npm パッケージ “duer-js” を検出：Windows／Discord を標的に Bada Stealer マルウェアを展開

Malicious ‘duer-js’ NPM Package Distributes ‘Bada Stealer’ Malware Targeting Windows and Discord Users

2026/02/12 gbhackers — 新たに発見された悪意の npm パッケージ duer-js が、主に Windows システムおよび Discord ユーザーを標的とする、高度な情報窃取型マルウェアを配布するために展開されている。このパッケージは、luizaearlyx というユーザーにより公開されており、”Bada Stealer” という名のカスタム・インフォスティーラーを含んでいる。この問題が報告された時点でも公開状態にあり、プロジェクトに組み込んでしまった開発者にとって深刻な懸念材料となっている。

LLM で React2Shell マルウェアを生成：最新サンプルが示す高度なテクノロジーとは？

Hackers Use LLM to Create React2Shell Malware, the Latest Example of AI-Generated Threat

2026/02/11 SecurityBoulevard — Darktrace の CloudyPots ハニーポット・ネットワークで、先日に捕捉されたマルウェアサンプルは、完全に AI により生成されたものである。2ヶ月前に公開され、現在も脅威であり続ける React2Shell 脆弱性を悪用するために、このマルウェアは構築されている。システムへの初期侵入を達成したマルウェアは、その後に暗号通貨マイニングを実行する。この名称が与えられていないマルウェアは、Large Language Model (LLM) などの AI ツールを用いて、その大部分を作成するという。

VoidLink マルウェア：高度なモジュール型設計と AI 支援開発を示唆する痕跡

VoidLink Malware Exhibits Multi-Cloud Capabilities and AI Code

2026/02/10 InfoSecurity — Linux ベースの Command and Control (C2) フレームワークであり、クラウドおよびエンタープライズ環境全体で、長期にわたる侵入を可能にするマルウェアについて、新たな調査結果が公開された。VoidLink として知られるマルウェアは、認証情報の窃取／データの外部送信に加えて、侵害済みシステム上での秘匿的な永続化を目的とするインプラント・バイナリを生成する。

Open VSX エクステンションに潜む高度なマルウェア：開発者を狙う狡猾なサプライチェーン攻撃

Sophisticated Malware Lurks In Open VSX Extension With 5,066 Downloads

2026/01/30 gbhackers — 人気の Angular Language Service を装う悪意の VS Code エクステンションが、Open VSX Registry 上で発見された。このマルウェアを起動させる機能を備えたエクステンションは、2 週間ほど前に公開され、5,066 回ダウンロードされていた。このエクステンションは正規の Angular ツールチェーン “@angular/language-service 21.1.0-rc.0″ と TypeScript 5.9.3 を同梱している。その一方で、”extension/index.js” ファイル内に悪意のコードが埋め込まれており、開発者に深刻なサプライチェーン・リスクをもたらす構成となっている。

Python ベース PyRAT における永続化の手法：Windows／Linux を標的とするマルウェアを検出

Python-based PyRAT with Cross-Platform Capabilities and Extensive Remote Access Features

2026/01/29 CyberSecurityNews — 高度な監視機能とデータ窃取機能を備え、Windows／Linux システムを標的とする、新たな Python ベースのリモート・アクセス型トロイの木馬 (RAT) が出現した。このマルウェアは、暗号化されていない HTTP チャネルを介して Command-and-Control (C2) 通信を確立し、リモートの攻撃者に対してコマンド実行／ファイル窃取／スクリーンショット取得を提供する構成となっている。

GitHub Desktop マルウェア・キャンペーン：公式インストーラを装う狡猾な手口で拡散

Attackers Hijack GitHub Desktop Repo to Spread Malware via Official Installer

2026/01/27 gbhackers — GitHub の fork アーキテクチャに内在する設計上の欠陥を悪用する脅威アクターが、正規の GitHub Desktop インストーラを装うマルウェアの配布を成功させている。この攻撃チェーンは、単純に見える極めて効果的な手法から始まる。攻撃者は使い捨ての GitHub アカウントを作成し、公式 GitHub Desktop リポジトリを fork する。その後に、README ファイル内のダウンロード・リンクを悪意のインストーラに差し替え、その変更を commit する。

npm マルウェア G_Wagon：高度に難読化されたペイロードによりブラウザ認証情報などを窃取

G_Wagon NPM Package Exploits Users to Steal Browser Credentials with Obfuscated Payload

2026/01/27 gbhackers — 正規の npm UI コンポーネント・ライブラリを装う、高度に洗練されたインフォスティーラー型マルウェアが、ansi-universal-ui パッケージを通じて開発者を標的としていることが判明した。このマルウェアは、研究者たちの間では G_Wagon と識別されている、多段階の難読化技術を用いて感染させたシステムから、ブラウザ認証情報／暗号資産ウォレット／クラウド認証キー／メッセージング・トークンを窃取するものである。

React2Shell CVE-2025-55182 悪用：明らかになった攻撃キャンペーンとマルウェアの実態

Attackers Exploit React2Shell Vulnerability to Target IT Sector Systems

2026/01/27 gbhackers — React Server Components における深刻な脆弱性が、実際の運用環境で悪用されていることが確認されている。この脆弱性 CVE-2025-55182 (React2Shell) を悪用する攻撃者は、世界中の多種多様な業種と企業を標的としている。React2Shell が影響を及ぼす対象は、React Server Components におけるクライアント／サーバ通信を担う Flight プロトコルである。この脆弱性は、安全でないデシリアライゼーションに起因するものであり、クライアントから送信されたデータを、サーバが十分な検証なしで受け入れることで、特定条件下におけるリモート・コード実行が可能となってしまう。

VoidLink が示す AI 生成マルウェア時代の到来：Check Point が警告

VoidLink Represents the Future of AI-Developed Malware: Check Point

2026/01/20 SecurityBoulevard — 1 人の個人と推測される脅威アクターが、AI を用いて単独で開発したとみられる高度なマルウェアが、Check Point の研究者たちにより発見された。このインシデントが示すのは、急速に進化する技術がサイバー脅威の生成方法を変化させる、先駆的な事例である。VoidLink と名付けられたマルウェアは、開発の初期段階で検出され、実際の攻撃で使用された形跡は確認されていない。しかし、異例のスピードで進められた設計と構築は、高度にモジュール化された構造を備えるものであり、迅速な進化を可能にする仕組みを持っている。そのため、発見当初は、大規模かつ潤沢な資金を有する攻撃者グループによるものと見られていた。

PDFSIDER マルウェアの積極的に悪用を確認：DLL サイドローディングによる EDR 回避

PDFSIDER Malware Actively Exploited to Evade Antivirus and EDR Defenses

2026/01/19 gbhackers — DLL サイドローディングを介して、Endpoint Detection and Response (EDR) システムを回避する、高度なバックドア型マルウェア亜種 PDFSIDER を、Resecurity のセキュリティ研究者たちが特定した。この脅威が示唆するのは、高度持続的脅威 (APT：Advanced Persistent Threat) のテクニックであり、回避メカニズムと暗号化された C2 (Command and Control) を組み合わせることで、侵害したシステムに対する秘匿的なアクセスを維持するものだ。

CrashFix マルウェア・キャンペーン：悪意のエクステンションによる偽ブラウザ警告表示の手法

CrashFix – Hackers Using Malicious Extensions to Display Fake Browser Warnings

2026/01/19 CyberSecurityNews — サイバーセキュリティ研究者が発見したのは、異例ではあるが効果的な戦術を用いる高度なマルウェア・キャンペーンである。このキャンペーンは、ユーザーのブラウザを意図的にクラッシュさせる手法を中核としている。この脅威は CrashFix と命名されており、正規の広告ブロッカー NexShield を装った悪意の Chrome エクステンションを通じて配布されている。ユーザーがオンラインでプライバシー・ツールを検索すると、悪意の広告により、Chrome Web Store 上で信頼できそうに見えるエクステンションのダウンロードへと誘導される。

StealC マルウェア管理パネルに XSS の脆弱性：脅威アクターの活動が解析可能に

Security Bug in StealC Malware Panel Let Researchers Spy on Threat Actor Operations

2026/01/19 TheHackerNews — 情報窃取マルウェア StealC の運用者が使用する Web ベース管理パネルに、クロスサイト・スクリプティング (XSS) の脆弱性が存在することを、サイバーセキュリティ研究者たちが明らかにした。この脆弱性を通じて研究者たちは、StealC を運用する脅威アクターの活動に関する重要な情報を収集できた。先週公開されたレポートにおいて CyberArk の研究者 Ari Novick は、「この脆弱性を活用することで、StealC システムのフィンガープリントを収集し、アクティブなセッションを監視し、さらに情報窃取を目的として設計された悪意のインフラから、脅威アクター自身の Cookie を窃取することに成功した」と述べている。

GhostPoster エクステンションの長期潜伏キャンペーン：840,000 件のブラウザ・マルウェアを検出

GhostPoster Browser Malware Hid for 5 Years With 840,000 Installs

2026/01/16 hackread — 単一のブラウザ・エクステンションにおけるインシデントとして始まった事象は、多くのユーザーが予期しない大規模なサイバーセキュリティ上の懸念へと発展している。2025年12月に Koi Security が公開した分析結果によると、GhostPoster と名付けられた Firefox エクステンションは、ブラウザ・エクステンションの審査担当者が通常確認する警告サインを回避する悪意ある手法を採用していたことが明らかになった。

WinRAR の偽ダウンロード・サイトに注意：インストーラーを装うマルウェアを展開

Warning: Fake WinRAR Website Delivers Malware Disguised as Installer

2026/01/09 gbhackers —

中国の Web サイト経由で配布される偽の WinRAR インストーラーを通じて、高度なマルウェア攻撃がユーザーを標的としている。これらのインストーラーは、正規のソフトウェア・ダウンロードを装い、多層構造の悪意のペイロードを配信する。セキュリティ研究者が特定したのは、正規のソフトウェア・インストールに見せかけながらシステムを侵害するよう設計された、新たな悪意のファイル群である。

Maven Central からのマルウェア配信を検出：名前空間に対する巧妙なタイポスクワッティング

Hackers Infiltrated Maven Central Masquerading as a Legitimate Jackson JSON Library

2025/12/30 CyberSecurityNews — Maven Central で確認されたのは、正規の Jackson JSON ライブラリのエクステンションを装う新たなマルウェア攻撃である。Java 開発者たちが最も信頼するリポジトリである Maven Central 上で、タイポスクワッティングを介したマルウェアの拡散が検知された。この悪意のパッケージは、名前空間 “org.fasterxml.jackson.core/jackson-databind” を介して公開されている。正規の Jackson ライブラリは “com.fasterxml.jackson.core” 名前空間で提供されているが、悪意のパッケージは “org.fasterxml.jackson.core” を使用するという、巧妙な名前空間の偽装が図られている。

WebRAT マルウェア・キャンペーン：GitHub 上の偽の脆弱性情報と PoC を通じて拡散

WebRAT malware spread via fake vulnerability exploits on GitHub

2025/12/23 BleepingComputer — GitHub リポジトリを通じて配布される、最近公開された脆弱性の PoC エクスプロイトには、WebRAT マルウェアを拡散するための、悪質なキャンペーンも紛れ込んでいるという。WebRAT というマルウェアは、情報窃取機能を備えたバックドアとして、今年の初めに特定されたものだ。これまでは Roblox／Counter Strike／Rust などのゲーム向け海賊版ソフトウェアやチート・ツールを通じて拡散されてきたが、その拡散経路に GitHub が加わったことになる。

Office の脆弱性 CVE-2018-0802 が標的：Cloud Atlas 攻撃キャンペーンの感染チェーンを分析

Cloud Atlas Exploits Office Vulnerabilities to Execute Malicious Code

2025/12/19 gbhackers — Microsoft Office の旧来の脆弱性を悪用する Cloud Atlas 脅威グループは 2014年から活動しており、東ヨーロッパおよび中央アジアの組織に対して高度な攻撃を実施し、深刻なリスクをもたらし続けている。このグループにおける攻撃手段の拡張と感染チェーンの進化は、2025年上半期を通じてセキュリティ研究者により追跡および分析されてきた。その結果、これまで不明であったスクリプトおよび攻撃手法が明らかになった。

React2Shell を悪用する大規模な攻撃：KSwapDoor／ZnDoor などの Linux バックドアを拡散

React2Shell Vulnerability Actively Exploited to Deploy Linux Backdoors

2025/12/16 TheHackerNews — React2Shell (CVE-2025-55182 ) として知られるセキュリティ脆弱性を悪用する脅威アクターたちが、KSwapDoor／ZnDoor などのマルウェア・ファミリーを拡散していることを、Palo Alto Networks Unit 42 と NTT Security の調査結果が示している。Palo Alto Networks Unit 42 の Senior Manager of Threat Intel Research である Justin Moore は、「KSwapDoor は、ステルス性を念頭に設計された、リモート・アクセス・ツールである」と述べている。

React2Shell を悪用する PCPcat：CVE-2025-55182／29927 を悪用して59,000+ 台のサーバを侵害

New PCPcat Exploiting React2Shell Vulnerability to compromise 59,000+ Servers

2025/12/15 CyberSecurityNews — PCPcat と呼ばれる新たなマルウェア攻撃キャンペーンは、Next.js／React フレームワークの深刻な脆弱性を標的とするものであり、48 時間以内に 59,000 台以上のサーバに侵入している。この Next.js 環境を標的とするマルウェアは、認証なしでリモート・コード実行を可能にする、２つの深刻な脆弱性 CVE-2025-29927 と CVE-2025-55182 (CVE-2025-66478) を悪用している。この攻撃の手法は、プロトタイプ汚染およびコマンド・インジェクションを用いるものであり、脆弱なサーバ上で有害なコマンド実行を可能にする。

React2Shell に対する Google の警告：React／Next.js を標的とするマルウェア拡散キャンペーン

Google Warns Multiple Hacker Groups Are Exploiting React2Shell to Spread Malware

2025/12/13 CyberSecurityNews — Google Threat Intelligence Group (GTIG) が発表したのは、React Server Components に存在する深刻なセキュリティ脆弱性 CVE-2025-55182 が広範に悪用されている状況に対する警告である。この脆弱性 React2Shell を悪用する攻撃者は、パスワードを必要とせず、リモートからサーバを制御できる。2025年12月3日に脆弱性が公開された後に、複数のハッカー・グループが悪用していることを Google は確認している。攻撃者たちは、国家に支援されるスパイ・グループから、金銭的利益を目的とするサイバー犯罪者まで多岐にわたる。

VS Code に悪意のパッケージ：DLL ハイジャックにより開発者の機密情報を盗み出す

Researchers Find Malicious VS Code, Go, npm, and Rust Packages Stealing Developer Data

2025/12/09 TheHackerNews — Microsoft Visual Studio Code (VS Code) マーケットプレイスに存在し、開発者のマシンに情報窃取型マルウェアを感染させる２つの新たなエクステンションが、サイバー・セキュリティ研究者たちにより発見／報告された。これら悪意の VS Code エクステンションは、プレミアム・ダークテーマや人工知能 (AI) 搭載のコーディング・アシスタントを装うが、実際には追加ペイロードのダウンロード／スクリーンショットの撮影／データ窃取といった隠れた機能を秘めている。それにより収集された情報は、攻撃者が管理するサーバに送信される。

Foxit PDF Reader を装うマルウェア：偽の求人情報を介して ValleyRAT マルウェアを展開

Threat Actors Leveraging Foxit PDF Reader to Gain System Control and Steal Sensitive Data

2025/12/04 CyberSecurityNews — 悪意のファイルを正規の採用書類に偽装するサイバー犯罪者たちが、求職者のコンピュータにマルウェアを潜入させるために巧妙な手法を用いている。ValleyRAT と呼ばれる新たな攻撃キャンペーンは、偽の求人情報や企業資料を添付したメール・メッセージを通じて、求職活動中の人々を標的としている。この攻撃キャンペーンの主な手口は、人気の Foxit PDF Reader の武器化と悪用にある。

カレンダー・サブスクを悪用する脅威アクター：フィッシング攻撃やマルウェアを配布の盲点になっている

Threat Actors Exploit Calendar Subscriptions for Phishing and Malware Delivery

2025/11/29 InfoSecurity — デジタル・カレンダーのサブスク・インフラを操作する脅威アクターが、有害コンテンツを配布していることが判明した。誰もが知っているように、カレンダーをサブスクすれば、サードパーティがイベントを追加し、その通知がユーザーのデバイスで共有される。それにより、小売業者によるバーゲン日程や、スポーツ観戦の日程などが配信されている。

Google Meet の偽ページによるマルウェア攻撃：ClickFix 手法で悪意のペイロードを配信

Beware of Weaponized Google Meet Page uses ClickFix Technique to Deliver Malicious Payload

2025/11/29 CyberSecurityNews — 偽の Google Meet ランディングページを通じてリモート・ワーカーや組織を標的とする、高度なマルウェア攻撃が確認された。この攻撃は、偽装ドメイン “gogl-meet[.]com” 上で展開され、ClickFix と呼ばれるソーシャル・エンジニアリング手法でブラウザのセキュリティ制御を迂回し、リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) を被害者のシステムに直接送り込むものである。

SocGholish による RomCom ペイロードの配信を確認：偽のアップデートで騙して Mythic Agent を展開

RomCom Uses SocGholish Fake Update Attacks to Deliver Mythic Agent Malware

2025/11/26 TheHackerNews — RomCom として知られるマルウェア・ファミリーを背後で操る脅威アクターは、SocGholish と呼ばれる JavaScript ローダーを介して Mythic Agent を配信している。Arctic Wolf Labs の研究員 Jacob Faires は 11月25日 (火) のレポートで、「SocGholish による RomCom ペイロードの配信が確認されたのは、今回が初めてのことだ。その標的は、米国の土木工学関連の企業である」と述べている。

新たな ClickFix キャンペーン EVALUSION：Amatera Stealer と NetSupport RAT を配布

New EVALUSION ClickFix Campaign Delivers Amatera Stealer and NetSupport RAT

2025/11/17 TheHackerNews — 世界に蔓延する ClickFix ソーシャル・エンジニアリング戦術を用いて、Amatera Stealer と NetSupport RAT を展開するマルウェア・キャンペーンを、サイバー・セキュリティ研究者たちが発見した。今月に確認された新たな活動は、eSentire が EVALUTION という名称で追跡している。

Xanthorox AI が生成する多様なマルウェア：安全制限を排除した悪意の LLM が拡散

Threat Actors can Use Xanthorox AI Tool to Generate Different Malicious Code Based on Prompts

2025/11/17 CyberSecurityNews — ダークネット・フォーラムや犯罪コミュニティで注目を集めている危険な新ツールを、サイバー・セキュリティ研究者たちが確認した。このツールは、Xanthorox と呼ばれる悪意の人工知能プラットフォームであり、セキュリティ業界にとって深刻な懸念材料となっている。ChatGPT のようなチャットボットとして動作する Xanthorox であるが、最も大きな違いは、安全上の制限が一切存在しないところにある。

XWiki の脆弱性 CVE-2025-24893：RondoDox などの参戦と攻撃のピーク

RondoDox Exploits Unpatched XWiki Servers to Pull More Devices Into Its Botnet

2025/11/15 TheHackerNews — パッチ未適用の XWiki インスタンスを標的とするボットネット・マルウェア RondoDox が、深刻なセキュリティ欠陥を突き、任意のコード実行を可能にしていることが確認された。問題の脆弱性 CVE-2025-24893 (CVSS：9.8) は、評価インジェクションのバグである。このバグを悪用するゲスト・ユーザーは、”/bin/get/Main/SolrSearch” エンドポイントへのリクエストを通じて、任意のリモート・コード実行を可能にする。すでに XWiki のメンテナたちは、2025年2月下旬の時点でバージョン 15.10.11／16.4.1／16.5.0RC1 をリリースし、この問題に対処している。

Booking.com を偽装して宿泊客を狙う I Paid Twice 詐欺：ClickFix 経由で PureRAT 感染

“I Paid Twice” Scam Infects Booking.com Users with PureRAT via ClickFix

2025/11/07 hackread — Sekoia が公表したのは、ホテルの運営者を標的とし、その後に宿泊客を狙うという、広範かつ継続的なサイバー犯罪活動の詳細である。このサイバー脅威の検知／対応企業による調査は、宿泊施設の顧客を標的とするフィッシング・キャンペーンを、同社のパートナーが報告したことから始まった。予約代金をホテルと犯罪者の双方に支払わされた被害者のメール件名にちなみ、この報告は “I Paid Twice (二重支払い)” と命名された。