Malware – Page 2 – IoT OT Security News

EvilAI というマルウェアを検出：LLM を用いて生成され静的シグネチャ・スキャナを回避

EvilAI: Leveraging AI to Steal Browser Data and Evade Detection

2025/09/12 gbhackers — Trend Research が追跡する新たなマルウェア・ファミリー EvilAI が、この数週間にわたり、正規の AI 駆動型ユーティリティを装いながら活動している。これらのトロイの木馬は、プロフェッショナルなユーザー・インターフェイスや有効なコード署名に加えて実際の機能を備えており、企業／個人のセキュリティ対策を回避していく。

ToneShell の最新亜種を検知：Scheduler COM を悪用する Mustang Panda グループの戦略とは？

New ToneShell Variant Uses Task Scheduler COM Service to Maintain Persistence

2025/09/12 gbhackers — ToneShell の最新の亜種は、Windows Task Scheduler COM サービスを悪用する戦術により、永続化における顕著な進化を示している。これまでは、この軽量バックドアは、DLL サイド・ローディング手法で配信されていたが、新たな機能として高度な永続化メカニズムと解析回避を搭載しており、セキュリティ・チームにとって大きな課題が生じている。Intezer のサイバー・セキュリティ研究者たちが確認した、ToneShell バックドアの新亜種は、中国拠点の Mustang Panda グループにおける攻撃手段の進化を示すものである。

人気の npm パッケージ 18種類にマルウェア侵害：それらの総ダウンロード数は 20億回／週

Hackers Hijack 18 Popular npm Packages Downloaded Over 2 Billion Times Weekly

2025/09/09 gbhackers — 毎週 20億回以上もダウンロードされている、きわめて人気の高い npm パッケージ 18個をハッカーが乗っ取り、暗号通貨のユーザーと開発者を標的とする高度なマルウェアを注入しているという。Aikido のレポートによると、9月8日の早朝にセキュリティ・フィードが警告したのは、chalk／debug／chalk-template／supports-color などの人気パッケージ 18個が迅速に更新され、悪意のコードにより汚染されたことだ。

X の Grok AI が手助け：ブロックを回避して悪質な広告やマルウエアを展開する手法とは？

Threat actors abuse X’s Grok AI to spread malicious links

2025/09/03 BleepingComputer — X に搭載されている AI アシスタント Grok を悪用する脅威アクターが、このプラットフォームが悪質広告の抑制を目的として導入した、リンク投稿への制限を回避している。Guardio Labs の研究員 Nati Tal によると、この広告主はアダルト・コンテンツなどの怪しい動画広告を掲載することが多く、意図的に本文にリンクを取り込まず、X によるブロックを迂回しているという。

Python マルウェア Inf0s3c Stealer が新登場：Discord チャネル経由で Windows データを窃取

New Stealthy Python Malware Leverages Discord to Steal Data From Windows Machines

2025/09/03 CyberSecurityNews — Python ベースの高度な情報窃取マルウェア Inf0s3c Stealer が、サイバー・セキュリティ分野に登場した。このマルウェアは、Discord チャンネルを介してデータを窃取する、先進的な機能を実現している。具体的に言うと、従来からのシステム偵察技術と、現代的な通信プラットフォームを、組み合わせるように設計されている。それにより検出を回避しながら、侵害した Windows システムからホスト識別子／CPU 情報／ネットワークコンフィグ／ユーザーデータなどの機密情報を、体系的かつ効率的に収集する包括的なグラバーとして機能している。

新たな ClickFix 攻撃を検出：AnyDesk を装い MetaStealer マルウェアを拡散

New ClickFix Attack Mimic as AnyDesk Leverages Windows Search to Drop MetaStealer

2025/09/02 CyberSecurityNews — 新たに検出された ClickFix の亜種が、正規の AnyDesk インストーラーを装いながら、情報窃取マルウェア MetaStealer を拡散している。この攻撃者は、偽の Cloudflare Turnstile 認証ページを介してユーザーを誘導し、細工された Windows プロトコル・ハンドラを実行させるものだ。そして最終的には、PDF に偽装された悪意の MSI パッケージを配信していく。

AppSuite PDF Editor を装うバックドア：Windows システムを侵害して任意のコマンドを実行

AppSuite PDF Editor Exploit Lets Hackers Run Arbitrary Commands

2025/08/29 gbhackers — AppSuite PDF Editor に巧妙なバックドアを仕掛けた脅威アクターは、Windows システムを侵害し、任意のコマンドを実行できる状況にあった。そのインストール動作を疑問視した AppSuite は、潜在的に迷惑なプログラムとしてフラグ付けしていたが、難読化されていた悪意のコンポーネントが分析されたことで、その本質が明らかになった。

武器化された PuTTY が Bing で配布：永続化されたバックドアから Kerberos と AD を攻撃

Weaponized PuTTY Via Bing Ads Exploit Kerberos and Attack Active Directory Services

2025/08/26 CyberSecurityNews — Microsoft Bing 上のスポンサード検索結果を悪用する、マルバタイジング・キャンペーンにより武器化された PuTTY が配信されている。この悪意の PuTTY は、永続性を確立し、キーボードによる操作を可能にするものであり、Active Directory サービス・アカウントを標的とする Kerberoasting 攻撃を実行できる。LevelBlue の MDR SOC が公開した調査結果によると、検索広告と SEO ポイズニングを介して配布された、トロイの木馬化された管理ツールに関連する Oyster／Broomstick バックドア追跡調査により、悪意の PuTTY 展開が裏付けられているという。

新たな Mirai 亜種が登場：Cisco／TP-Link などの脆弱性を標的に DDoS 攻撃を実行

New Stealthy Malware Hijacking Cisco, TP-Link, and Other Routers for Remote Control

2025/08/26 gbhackers — Cisco／TP-Link などの重要インフラ・デバイスを標的とする、高度なマルウェア攻撃キャンペーンを、FortiGuard Labs が発見した。この Gayfemboy マルウェアは、新たな Mirai 亜種であり、高度な回避技術とマルチ・プラットフォーム対応の機能を備えている。すでに、DrayTek／TP-Link／Raisecom／Cisco などの脆弱性を悪用し、バックドア・アクセスと分散型サービス拒否 (DDoS) 攻撃の機能を備えた、永続的なボットネット・インフラを構築している。

YouTube 動画の偽ダウンロード・サイトで DigitalPulse／Honeygain／Infatica の亜種が拡散：新たなプロキシウェア脅威とは？

Proxyware Malware Poses as YouTube Video Download Site, Delivering Malicious JavaScript

2025/08/26 gbhackers — YouTube 動画の偽ダウンロード・ページを介して、プロキシウェア・マルウェアを拡散する攻撃が継続的に行われていることを、AhnLab Security Intelligence Center (ASEC) のサイバー・セキュリティ研究者たちが発見した。正規の動画ダウンロード・サービスを模倣する攻撃者は、WinMemoryCleaner などの正規のツールを装う悪意の実行ファイルを、ユーザーにインストールさせるよう促す。この攻撃者は、GitHub をマルウェアのホスティングに悪用するという、過去の事例と共通する手口を採用しており、特に韓国で感染が拡大している。

Google Play からダウンロードされた悪意のアプリは 1,900 万＋：バンキング・トロイの木馬 Anatsa を調査

Malicious apps with +19M installs removed from Google Play because spreading Anatsa banking trojan and other malware

2025/08/25 SecurityAffairs — Anatsa (Tea Bot) というバンキング・トロイの木馬の感染調査において、Zscaler の ThreatLabz が発見したのは、合計で 1,900 万回以上もインストールされた、77 個の悪意の Android アプリの存在である。複数の Anatsa デコイ・アプリは、それぞれが５万回以上ダウンロードされている。これらの悪意のアプリから、Google Play ユーザーへと、複数のマルウェア・ファミリが配信されていた。

QuirkyLoader などの戦略を検証：Agent Tesla／AsyncRAT／Snake Keylogger の配信経路を整理する

Hackers Using New QuirkyLoader Malware to Spread Agent Tesla, AsyncRAT and Snake Keylogger

2025/08/21 TheHackerNews — QuirkyLoader という新たなマルウェア・ローダーの詳細が、サイバー・セキュリティ研究者たちにより公開された。このローダーは、2024年11月からスパム・メール・キャンペーン経由で展開されており、InfoStealer から RAT (remote access trojans) にいたる、次世代のマルウェア・ペイロードの配信で利用されている。

PipeMagic マルウェアが ChatGPT アプリを偽装：Windows の脆弱性 CVE-2025-29824 を悪用

PipeMagic Malware Imitates ChatGPT App to Exploit Windows Vulnerability and Deploy Ransomware

2025/08/19 gbhackers — PipeMagic マルウェアを背後で操るのは、金銭目的の脅威アクター Storm-2460 だとされており、常に変化し続けるサイバー脅威の顕著な例を示している。このマルウェアは、GitHub 上の正規のオープンソース ChatGPT デスクトップ・アプリケーションを装っている。この高度なモジュール式のバックドアは、Windows の Common Log File System (CLFS) における、権限昇格の脆弱性 CVE-2025-29824 を悪用し、標的型攻撃を容易にするものだ。

WinRAR のゼロデイ CVE-2025-8088 が FIX：フィッシングを介した RomCom マルウェア配信で悪用

WinRAR 0-Day in Phishing Attacks to Deploy RomCom Malware

2025/08/11 CyberSecurityNews — WinRAR に発見された深刻なゼロデイ脆弱性を悪用する攻撃者は、高度なフィッシング攻撃を通じて RomCom マルウェアを拡散させている。悪意のアーカイブ・ファイルを配信する攻撃者は、この脆弱性 CVE-2025-8088 (CVSS v3.1：8.4) を悪用することで、被害者のシステム上で任意のコード実行を可能にする。

SVG ファイルによるフィッシング攻撃：埋め込まれた悪意の JavaScript でマルウェアを実行

Hackers Weaponizing SVG Files With Malicious Embedded JavaScript to Execute Malware on Windows Systems

2025/08/07 CyberSecurityNews — Scalable Vector Graphics (SVG) ファイルを、高度な攻撃ベクターとして悪用し始めたサイバー犯罪者たちは、無害に見える画像ファイルをフィッシング攻撃ツールへと変化させ、Windows システム上で悪意の JavaScript 実行を可能にしている。この脅威は、SVG ファイルの XML ベース構造を利用し、ユーザーのデフォルト Web ブラウザ上で悪意のファイルが開かれる際に、そこに埋め込まれたスクリプトを実行することで、従来からのセキュリティ対策を回避していく。

マルウェアの複雑さを定量化：89 万回以上のスキャンから得られた悪意の行動テレメトリとは？

Malware Complexity Jumps 127% in Six Months

2025/08/06 InfoSecurity — サイバー攻撃の標的に対して、脅威アクターが用いるツールセットが急速に進化しており、これまでの６ヶ月の間に、マルウェアの複雑性が 127% も増加したと、重要インフラに特化するサイバー・セキュリティ企業 OPSWAT が述べている。

JPEG を武器化する北朝鮮の APT37：多段階攻撃によりmspaint などのプロセスに悪意のコードを挿入

APT37 Hackers Weaponizes JPEG Files to Attack Windows Systems Leveraging “mspaint.exe”

2025/08/04 CyberSecurityNews — 北朝鮮の APT37 (Reaper) グループによる、洗練された新しいサイバー攻撃の波が確認されている。この攻撃は、JPEG イメージ・ファイルに埋め込まれた高度なマルウェアを用いて、Microsoft Windowsシステムを侵害するものであり、セキュリティ回避戦術およびファイル・レス攻撃手法の進化を示す事例でもある。

CISA が公表した OSS プラットフォーム Thorium：マルウェア／フォレンジック分析を支援

CISA open-sources Thorium platform for malware, forensic analysis

2025/07/31 BleepingComputer — 2025年7月31日 (木) に米国の CISA が発表したのは、マルウェア／フォレンジック用の OSS プラットフォーム Thorium を、政府／公共部門／民間部門へ向けて公開するという声明である。この Thorium は、スケーラブルなサイバー・セキュリティ・スイートであり、サンディア国立研究所との提携により開発されたものである。

Cobalt Strike Beacon を展開するキャンペーンを発見：標的国がロシアから日本／中国などへと拡大

Hackers Deploy Cobalt Strike Beacon Using GitHub and Social Media

2025/07/30 gbhackers — ロシアなどの IT 業界に混乱をもたらす、高度なサイバー攻撃キャンペーンの存在が確認されたが、そこでは Cobalt Strike Beacon が展開され、高度な検出回避技術が駆使されているという。このキャンペーンを背後で操る攻撃者は、GitHub／Microsoft Learn Challenge／Quora に加えて、ロシアの SNS などのプラットフォーム上のユーザー・プロファイル内に、ペイロード情報を巧妙に隠している。つまり、悪意のデータを、正当なユーザーが生成するコンテンツに混在させることで、この攻撃者はセキュリティ検出の回避を試みている。この手法により、広く使用されるポスト・エクスプロイト・ツール Cobalt Strike の、複雑な実行チェーンの構築が可能になっている。

SAP の深刻な脆弱性 CVE-2025-31324 を悪用：Linux マルウェア Auto-Color の抑制的な振る舞い

Critical SAP flaw exploited to launch Auto-Color Malware attack on U.S. company

2025/07/30 SecurityAffairs — SAP NetWeaver の脆弱性 CVE-2025-31324 を悪用する脅威アクターが、米国の化学関連企業を標的として Auto-Color Linux マルウェアを展開した事例について、サイバー・セキュリティ企業 Darktrace が報告している。Darktrace によると、2025年4月の時点で、米国拠点の化学企業のネットワーク内において、Auto-Color バックドア・マルウェアの活動が確認されたという。そのときの脅威アクターは、３日間にわたりネットワークにアクセスし、複数の不審なファイルのダウンロードを試行しながら、Auto-Color に関連する不正なインフラと通信していたようだ。

マルウェアの開発能力を考える：AI が人間を凌駕する状況を “Koske” が証明

AI-Generated Linux Miner ‘Koske’ Beats Human Malware

2025/07/25 DarkReading — 新たに発見されたクリプトマイナーが示すのは、人工知能 (AI) を駆使して開発されるマルウェアは完全に新しいものであり、人間が作成するマルウェアを超えるコードを生成しているという事実である。Aqua Nautilus の研究者たちは、ハニーポットから新たな Linux マルウェアを発見し、それを Koske と命名した。このマルウェアは、本質的にクリプトマイナーであり、感染させたコンピュータの能力を特定し、Monero／Ravencoin などの 18種類の暗号通貨を獲得するために最適化された、マイナーを実行するように設計されている。

Amazon Q の脆弱性 CVE-N/A が FIX：リポジトリの侵害と謎めいたマルウェアの展開

Amazon AI coding agent hacked to inject data wiping commands

2025/07/25 BleepingComputer — Visual Studio Code 用の GenAI アシスタントである Amazon Q Developer Extension に、あるハッカーがデータ・ワイパー・コードを埋め込んだという。この Amazon Q の GenAI アシスタントを用いる開発者たちは、無料のエクステンションに支援され、コーディング／デバッグ／ドキュメント作成／カスタム・コンフィグ設定などを可能にしている。Microsoft の Visual Studio Code (VSC) マーケットプレイスで入手が可能な Amazon Q の人気は高く、インストール数は 100 万件近くに達している。

LLM-Powered マルウェアが登場：ロシアの APT28 が採用する AI 機能の統合とは？

First Known LLM-Powered Malware From APT28 Hackers Integrates AI Capabilities into Attack Methodology

2025/07/24 CyberSecurityNews — 新たに明らかになった LAMEHUG 攻撃が示唆するのは、サイバー・セキュリティにおける画期的な出来事である。大規模言語モデル (LLM) を実環境のマルウェアにダイレクトに組み込むロシア政府系 APT28 (Fancy Bear) は、それぞれの感染させたホストから、カスタマイズされたシェル・コマンドを即座に受信できるようにしている。Hugging Face の公開 API を介することで、攻撃者は　Qwen2.5-Coder-32B-Instruct モデルを呼び出す。この手法により、従来の静的ペイロード制約を回避し、これまでにはなかった柔軟性を実現している。

DeerStealer は最先端のマルウェア：武器化された LNK と LOLBin Tool による動的な攻撃とは？

DeerStealer Malware Spread Through Weaponized .LNK and LOLBin Tools

2025/07/22 gbhackers — 高度に難読化された多段階の攻撃チェーンを通じて、DeerStealer インフォスティーラーを拡散する、新たなサイバー攻撃の波が出現している。そこで用いられるのは、Windows ショートカット・ファイル “.LNK” と、正規のシステム・ユーティリティを悪用する、Living-off-the-Land Binaries and Scripts (LOLBin/S) という手口である。

SVG ファイルに取り込まれる悪意の JavaScript：ステガノグラフィによる武器化が進んでいる

Threat Actors Weaponizing SVG Files to Embed Malicious JavaScript

2025/07/17 CyberSecurityNews — Scalable Vector Graphics (SVG) ファイルを精密誘導型マルウェアへと、脅威アクターたちが巧妙に変貌させている。フィッシング攻撃で配信される、無害に見える “.svg” 形式の悪意の添付ファイルが、メール・フィルターにより静止画像として誤認され、安全のためのメールゲート・ウェイをすり抜けていく。さらに、それらのファイルを受信者がプレビューするだけで、隠された JavaScript がブラウザ内で実行され、目に見えないリダイレクト・チェーンがトリガーされ、攻撃者のインフラへと被害者が誘導されていくという。

Chrome の武器化された Extension 群：アップデートにより悪意へと変貌し 170 万人を騙す

Weaponized Chrome Extension from Webstore With Verification Badge Infected 1.7 Million Users

2025/07/08 CyberSecurityNews — Chrome ユーザー 170万人以上を感染させた、高度なマルウェア攻撃キャンペーンは、正当に見える 11個のブラウザ・エクステンションを配布するものだった。それらの、すべてのエクステンションは、Google による認証済みバッジを取得し、Chrome Web Store において注目の広告として掲載されていた。このインシデントは、最大級のブラウザ・ハイジャック攻撃であり、ユーザーが安全なエクステンションを見分けるための信頼シグナルが、悪用されたことになる。なお、この “Malicious11” キャンペーンを発見したのは、Koi Security のサイバー・セキュリティ研究者たちである。

LNK ファイル攻撃が 50% も急増：４種類のマルウェア・カテゴリーを特定／分析する

Surge in LNK File Weaponization by 50%, Fueling Four Major Malware Types

2025/07/03 gbhackers — Palo Alto – Unit 42 のテレメトリ・データによると、マルウェア配布における Windows ショートカット (LNK) ファイルの武器化が前年から 50% も増加し、悪意の LNK サンプルは、2023年の 21,098 件から 2024年の 68,392 件へと急増しているという。本来の LNK ファイルは、複雑なフォルダ構造をナビゲートせずに、ファイルやアプリケーションへアクセスするための仮想リンクとして使用されるが、その柔軟性からサイバー犯罪者にとっても、強力な攻撃ツールとなっている。

Remcos RAT がフィッシング経由で拡散中：戦術は “.pif” ファイルの悪用と UAC バイパス

Hackers Deliver Remcos Malware Via .pif Files and UAC Bypass in Windows

2025/06/30 gbhackers — DBatLoader マルウェアを介して、Remcos リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) が配信する、高度なフィッシング・キャンペーンが確認されている。ANY.RUN のインタラクティブ・サンドボックスで解析された、この攻撃チェーンは、UAC (User Account Control) バイパス技術／不明瞭化されたスクリプト／LOLBAS (Living Off the Land Binaries and Scripts) の悪用／永続化メカニズムなどを組み合わせ、検出を回避しながらシステムへの侵入を図るものだ。

Rust マルウェアを解析する RIFT (Rust Identification and Function Tagging)：OSS ツールとして Microsoft が公開

RIFT – Microsoft’s New Open-Source Tool to Analyze Malware in Rust Binaries

2025/06/30 CyberSecurityNews — Rust バイナリ内に隠されたマルウェアを識別／分析する、サイバー・セキュリティ・アナリストたちを支援するためにデザインされた、画期的な OSS ツールである RIFT (Rust Identification and Function Tagging) が、Microsoft からリリースされた。これまでの５年間で、サイバー・セキュリティ・コミュニティが目の当たりにしてきたのは、Rust ベースのマルウェア開発へと向かう大きな移行だった。注目すべき Rust への移行例としては、2021年12月の BlackCat ランサムウェア、そして、2022年6月の Hive ランサムウェアが挙げられる。

Windows／Linux を標的とする活動を観測：正規ツールとマルウェアを組み合わせる戦術

Threat Actors Exploit Windows and Linux Server Vulnerabilities to Deploy Web Shells

2025/06/28 gbhackers — ファイル・アップロードの脆弱性を悪用する脅威アクターが、Windows／Linux システムに対して、Web シェルや高度なマルウェアを展開する様子が確認されている。この攻撃キャンペーンの特質は、公開されている正規ツールと悪意のカスタム・ペイロードの組み合わせにあり、イニシャル・アクセス／永続化／ラテラル・ムーブメントなどを介して組織ネットワークの侵害を試行する、高度に組織化された取り組みを示している。

ConnectWise コンフィグを悪用する EvilConwi マルウェア：Authenticode スタッフィング攻撃とは？

Threat Actors Abuse ConnectWise Configuration to Build a Signed Malware

2025/06/24 CyberSecurityNews — 正規の ConnectWise リモート・アクセス・ソフトウェアを悪用し、有効な署名を持つ悪意のアプリケーションを作成するという、高度なマルウェア攻撃が出現した。このマルウェアが示すのは、サイバー犯罪の戦術の大きな進化である。2025年3月以降において、セキュリティ研究者たちが確認しているのは、EvilConwi と呼ばれる手法を用いる攻撃の急増である。それは、ConnectWise アプリケーションの正規のデジタル署名を維持する攻撃者に対して、カスタムなリモート・アクセス・マルウェアの作成を許す手法である。

Shadow Vector マルウェアの脅威：SVG イメージを入口に AsyncRAT／RemcosRAT を展開

Shadow Vector Malware Uses SVG Images to Deliver AsyncRAT and RemcosRAT Payloads

2025/06/23 gbhackers — Acronis Threat Research Unit (TRU) が発見したのは、驚くべきサイバー脅威の展開である。Shadow Vector と呼ばれる脅威キャンペーンが、悪意の SVG (Scalable Vector Graphics) ファイルという新たな攻撃ベクターを用いて、コロンビアの国民を積極的に標的化しているのだ。信頼できる国家機関を装うスピアフィッシング・メールに埋め込まれた、これらの SVG ファイルは緊急の裁判所通知を装うものであり、国民の信頼を悪用して危険なペイロードをダウンロードさせようとする。

PowerShell Loader の進化：中国で発見された高ステルス性のポスト・エクスプロイト・ツール

PowerShell Loaders Use In-Memory Execution to Evade Disk-Based

2025/06/20 gbhackers — 最近の脅威ハンティング・セッションで明らかにされたのは、中国のサーバ “IP: 123.207.215.76” のオープン・ディレクトリにホストされている、“y1.ps1” という名の高度な PowerShell スクリプトの存在である。このシェルコード・ローダーとして動作するスクリプトは、2025年6月1日に初めて検出されたものであり、高度なインメモリ実行技術を用いて、従来からのディスク・ベースの検出メカニズムを回避していくという。

JPEG に潜むマルウェア：ステガノグラフィと Base64 難読化を巧妙に実装

Malicious Payload Found in JPEG Image Using Steganography and Base64 Obfuscation

2025/06/16 gbhackers — 無害に見える JPEG イメージの中に、悪意のペイロードを隠す巧妙な手法を、サイバー・セキュリティ研修者である Xavier が明らかにした。この発見が浮き彫りにするのは、データの中に悪意を隠すステガノグラフィ技術を用いるサイバー脅威が、その複雑さが増している状況であり、情報セキュリティ・コミュニティで大きな関心を集めている。これらの隠されたペイロードを、動的な解析により発見できるという Xavier の発見は、こうした脅威を解読するための、説得力のあるケース・スタディとなっている。

React Native Package 16種類に RAT：一晩で仕込まれた組織的な悪意とは？

Developers Beware! 16 React Native Packages With Million of Download Compromised Overnight

2025/06/09 CyberSecurityNews — 一週間のダウンロード数が合計で 100万回以上に達するという、人気の React Nativeパッケージ 16件が、巧妙なサプライチェーン攻撃により侵害され、NPM エコシステムに対する脅威が深刻化している。この、2025年6月6日に開始された攻撃では、React Native Aria エコシステムと GlueStack フレームワーク内のパッケージに体系的なバックドアが仕掛けられ、持続的なシステム制御とデータ窃取機能を確立する、高度なリモートアクセス型トロイの木馬 (RAT) が展開された。

Wazuh Server RCE 脆弱性 CVE-2025-24016：Mirai 亜種による攻撃を観測

Critical Wazuh Server RCE Vulnerability Exploited to Deploy Mirai Variants

2025/06/09 CyberSecurityNews — Wazuh サーバに存在する深刻なリモート・コード実行の脆弱性が悪用されていることを、Akamai のセキュリティ研究者たちが発見した。この OSS セキュリティ・プラットフォームの脆弱性 CVE-2025-24016 (CVSS：9.9) は、今年の初めに公表されたものだが、実環境での攻撃が報告されたのは初めてのことである。この脆弱性を悪用する API アクセス権を持つリモート攻撃者は、悪意を持って作成された JSON ファイルを通じて、任意のコードを実行できるようになる。なお、この脆弱性が影響を及ぼす範囲は、Wazuh のバージョン 4.4.0〜4.9.0 である。

npm／PyPI エコシステムが標的：新たなサプライチェーン・マルウェア攻撃の詳細が判明

New Supply Chain Malware Operation Hits npm and PyPI Ecosystems, Targeting Millions Globally

2025/06/08 TheHackerNews — GlueStack 関連の 12以上のパッケージを標的とする、マルウェア拡散を目的としたサプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。Aikido Security は、「”lib/commonjs/index.js” への変更時に侵入した、このマルウェアを操作する攻撃者は、シェル・コマンドの実行／スクリーン・ショットの撮影／感染マシンへのファイル・アップロードが可能にする。これらのパッケージのダウンロード数は、合計で毎週約 100万回に達している」と、The Hacker News に述べている。

OpenSSH を武器化する脅威アクター：”dllhost.exe” 偽装マルウェアを解析する

Hackers Weaponize Free SSH Client PuTTY to Deliver Malware on Windows

2025/06/02 gbhackers — Linux／Windows システムにおいて、OpenSSH は安全なリモート管理を行うための標準ツールとなっている。その一方で、Windows 10 のバージョン 1803 で、OpenSSH がデフォルト・コンポーネントとして組み込まれて以来、Living Off the Land Binary (LOLBIN) として悪用されるケースも増えている。つまり、攻撃者たちは、信頼できるシステム・ツール ssh.exe を悪用して検出を回避し、永続的なアクセスを確立しようとしている。

Bitdefender のフェイク・サイト：OSS マルウェアによる階層化された侵入アプローチを採用

Fake Bitdefender Site Spreads Trio of Malware Tools

2025/05/28 InfoSecurity — 偽装された Bitdefender Web サイトを介したマルウェア・キャンペーンにより、VenomRAT などの悪意のツールが配布され、被害者システムの深層への攻撃が生じているようだ。”DOWNLOAD FOR WINDOWS” というタイトルの偽サイトは、Bitdefender の正規のウイルス対策ダウンロード・ページを模倣しているが、訪問者がリダイレクトされる先は、Bitbucket Amazon S3 にホストされている悪意のサイトである。

NPM 上の悪意のパッケージがネットワーク情報を収集：60 件のマルウェア・パッケージを発見

Dozens of malicious packages on NPM collect host and network data

2025/05/23 BleepingComputer — NPM インデックスで発見されたのは、機密性の高いホスト／ネットワークのデータを収集し、脅威アクターが制御する Discord Web フックへと送信する、60 件の悪意のパッケージである。Socket の脅威調査チームによると、これらのパッケージは、5月12日以降において、３つのパブリッシャー・アカウントから NPM リポジトリにアップロードされたものだという。

Skitnet という多段型インフォ・スティーラーに注意：ステルス性を備え Black Basta ランサムウェアなどを配信

Ransomware Gangs Use Skitnet Malware for Stealthy Data Theft and Remote Access

2025/05/19 TheHackerNews — Skitnetと呼ばれるマルウェアを、ポスト・エクスプロイトで使用する複数のランサムウェア・グループが、機密データを窃取し、侵害したホストをリモート制御しようとしている。スイスのサイバー・セキュリティ企業 PRODAFT は、「Skitnet は、RAMP などのアンダーグラウンド・フォーラムで、2024年4月から販売されている。さらに、2025年の初頭以降においては、複数のランサムウェア攻撃者が、実際の攻撃で Skitnet を使用しているのを確認している」と、The Hacker News に述べている。

Google Calendar を C2 サーバに変える：NPM に仕掛けられた高ステルス性のマルウェアとは？

Sophisticated NPM Attack Leverages Google Calendar for Advanced Communication

2025/05/16 gbhackers — npm エコシステムで判明した驚くべき問題は、無害に見えるパッケージ os-info-checker-es6 の中に、きわめて洗練されたマルウェア攻撃が埋め込まれていることだ。2025年3月19日に、このパッケージは初めて公開され、そのイニシャル・バージョンは無害に見えたが、その後に複雑な脅威へと急速に進化している。具体的に言うと、初期のイテレーションは、基本的な OS 情報の収集に重点を置いていたが、3月22日〜23日に行われたアップデートでは、プラットフォーム対応の固コンパイル済み Node.js モジュールと、複雑な難読化技術が導入された。

Check Point のマルウェア・レポート 2025/04：FakeUpdates／Remcos／AgentTesla の蔓延と戦術の高度化

FakeUpdates, Remcos, AgentTesla Top Malware Charts in Stealth Attack Surge

2025/05/12 hackread — Check Point Research (CPR) が発表したのは、2025年4月に実施した調査の結果である。それが示すのは、より複雑で巧妙な手法を用いる攻撃者が、有害なソフトウェアを拡散しているという懸念すべき傾向である。一部の著名なマルウェア・ファミリーが依然として活動しているが、システムへの感染手法はというと、より巧妙化しており、検出が困難になっているという。

npm で新たなリポジトリ汚染：人気パッケージ “rand-user-agent” が標的にされた

Supply chain attack hits npm package with 45,000 weekly downloads

2025/05/08 BleepingComputer — npm パッケージ “rand-user-agent” がサプライチェーン攻撃を受け、難読化されたコードを注入されたことが判明した。このコードは、ユーザーのシステム上で RAT(Remote Access Trojan) を起動させるよう設計されている。“rand-user-agent” パッケージは、ランダムなユーザー・エージェント文字列を生成するツールであり、Web スクレイピング／自動テスト／セキュリティ研究などに役立つものだ。このパッケージは、現在では非推奨となっているが、週平均で 45,000 件ものダウンロード数を誇っている。

MirrorFace という脅威：強力なカスタム・マルウェアを武器に日本と台湾の組織を狙う

MirrorFace Targets Japan and Taiwan with ROAMINGMOUSE and Upgraded ANEL Malware

2025/05/08 TheHackerNews — MirrorFace として知られる国家主導の脅威アクターが、日本と台湾の政府機関および公的機関を標的とするサイバー・スパイ活動の一環として、ROAMINGMOUSE と呼ばれるマルウェアを展開していることが確認された。2025年3月の時点で Trend Micro が検知した活動は、スピアフィッシングのルアーを用いて、ANEL と呼ばれるバックドアの最新バージョンを配信するものだ。

GeoVision の製造中止 IoT 機器の脆弱性 CVE-2024-6047／11120：ボットネット LZRD による悪用を観測

Botnet Exploits Old GeoVision IoT Devices via CVE-2024-6047 & CVE-2024-11120

2025/05/07 SecurityOnline — GeoVision の製造中止となった IoT デバイスに存在する、２つのコマンド・インジェクション脆弱性が積極的に悪用されていることを、Akamai の Security Intelligence and Response Team (SIRT) が特定した。Akamai は、「2024年6月／11月に公開された、脆弱性 CVE-2024-6047／CVE-2024-11120 が、積極的に悪用された初めての事例となる」と述べている。

Linux が標的の Go モジュール・マルウェア：ディスク完全削除でサプライチェーンを狙う

Malicious Go Modules Deliver Disk-Wiping Linux Malware in Advanced Supply Chain Attack

2025/05/03 TheHackerNews — サイバー・セキュリティ研究者たちが発見した、３つの悪意のある Go モジュールは、次段階のペイロードを取得する難読化コードにより、Linux システムのプライマリ・ディスクを永久に上書きし、起動不能にする可能性があるものだ。それらのパッケージ名は、以下の通りである：

github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy

Magento エクステンションを狙うサプライチェーン攻撃：６年前から Tigren／Meetanshi／MGS が標的化？

Magento supply chain attack compromises hundreds of e-stores

2025/05/02 BleepingComputer — Magento エクステンション 21種類を狙うサプライチェーン攻撃により、500～1,000 件の eコマース・ストアが侵害を受けており、その中には、$40 billion 規模の多国籍企業のものも含まれている。この攻撃を発見した Sansec の研究者によると、2019年から一部のエクステンションにはバックドアが仕掛けられていたが、悪意のあるコードが有効化されたのは、2025年4月になってからだという。

PyPI に７つの悪意のパッケージ：Gmail SMTP への信用を悪用する新たな手口

Seven Malicious Packages Exploit Gmail SMTP to Run Harmful Commands

2025/05/02 gbhackers — Python Package Index (PyPI) に公開された７つのパッケージに、相互に関連する悪意が潜んでいることが、Socket 脅威調査チームの研究者たちにより発見された。それは、Python オープンソース・コミュニティを揺るがす、大規模なサプライチェーン・セキュリティ・インシデントを示すものだ。