バックドア

10月30日、安全研究者のPaul McCarty（6mile）がOpenSource Malwareブログで発表したところによると、AnthropicのClaude Code VS Code拡張がその日に改ざんされ、悪意のあるバージョン2.1.313がOpen VSXレジストリに公開された。この拡張は外部でanthropic.claude-code@2.1.313として識別され、主なJavaScriptパッケージの前に66行のローダーが挿入されている。研究者は、現在分析されたOpen VSXバージョンが悪意のあるサンプルであることのみ確認されており、慎重を期してMicrosoft VS Codeマーケットの同バージョンに脅威報告を提出した。記事によると、展開された拡張およびバンドルされたバイナリファイルは正常なバージョンと一致しており、違いはextension.jsのみにある。拡張はVS Codeの起動後およびWebviewが開かれたときにこのファイルをロードし、ユーザーはClaudeとの対話を開始することなくトリガーを引くことができる。ローダーはユーザーのSSH設定にsvc-telemetryとしてラベル付けされた攻撃者のキーを書き込み、ローカルSSHサービスを有効にしようとし、134.209.82.225に対してリバーストンネルを確立し、macOS、Linux、Windows上で持続化を設定し、その後暗号化されていないHTTPを介してそのアドレスの8099ポートにホスト偵察情報を送信する。注入段階では追加の実行可能ファイルやスクリプトはダウンロードされない。研究者によると、影響を受けたOpen VSX拡張の所有者はAnthropicの従業員Igor Kofmanであり、彼のアカウントが利用されたのか、他の配布プロセスが利用されたのかは不明である；Dean Hardcastleは事件発生時に彼に通知した。記事は、分析されたディレクトリの出所はまだ確立されておらず、関連する発見はAnthropicの公式マーケットまたは配布インフラが侵害されたことを単独で証明するものではなく、攻撃者の身元とインフラの帰属もまだ確認されていないと明記している。文中では、関連するファイルパス、キー注釈、起動項目を検索し、134.209.82.225の22および8099ポートを遮断し、クリーンなシステム上で影響を受けたアカウントがアクセスできる資格情報をローテーションすることを推奨している。

慢雾は脅威情報を発表し、最近ユーザーからのフィードバックを受けて、sol-liveという名前のGitHubリポジトリがSolidityの面接練習プロジェクトを装っていることが判明しましたが、その.vscode/settings.jsonにはリモートスクリプトをダウンロードして実行するコマンドが隠されています。ユーザーがプロジェクトのカスタムターミナル設定を起動すると、悪意のあるペイロードがトリガーされる可能性があります。慢雾の分析によると、関連する悪意のあるペイロードは、ブラウザのログインデータベース、ウォレット拡張ストレージ、macOSのKeychainファイルを収集することができ、さらにローカルファイルのスキャンとアップロード、リモートコマンドの実行、インタラクティブなシェルアクセスの提供、クリップボードの監視などの機能を持っています。macOSおよびLinux環境では、ユーザーが悪意のあるターミナル設定を手動で起動しない限り実行されません。Windows端の攻撃チェーンは、引用符の処理の問題によりまだ確認されていません。

工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が7月8日に通報したところによると、最近、アメリカのAnthropic社が開発したAIプログラミングツールClaude Codeに深刻なセキュリティバックドアのリスクが存在することが監視によって発見されました。通報によれば、影響を受けるClaude Codeのバージョンは2.1.91から2.1.196です。このツールには監視メカニズムが内蔵されており、ユーザーの同意なしに、リモートサーバーにユーザーの地域、IDなどの敏感なデータを無断で送信することができます。公式は、関連する機関やユーザーに対して、直ちに全面的な調査を行い、上記の影響を受けたバージョンの端末をアンインストールするか、関連するバックドアコードが削除された最新の安全バージョンにアップグレードすることを推奨しています。また、コアビジネスネットワーク内の開発ツールの外部接続権限の管理とトラフィック監視を強化し、敏感なデータの不正な外部送信を防ぐべきです。

慢雾のCISO @im23pads がXプラットフォームで発表したところによると、Claude Desktopがブラウザのバックドアファイルを秘密裏に書き込むことが明らかになりました。ユーザーがClaude Desktopアプリをインストールすると、このアプリはユーザーが全く知らないうちに、コンピュータ内のすべてのChromiumベースのブラウザに特別なファイルを書き込みます。このファイルは事前に承認されたバックドアに相当し、特定のブラウザ拡張機能と組み合わせて使用することで、ユーザーのブラウザに対する完全な制御権を得ることができます。

慢雾の創設者余弦がツイートで、Trust Wallet ブラウザ拡張の新バージョンがバックドア問題を完全に解決し、PostHog 関連のコードが含まれていないことを示しました。以前、情報源データに誤りがあったため、分析時に PostHog が完全に削除されていないと誤解されていました。PostHog はオープンソースの全リンク製品分析プラットフォームで、さまざまな情報を収集して分析するために使用できます。Trust Wallet ブラウザ拡張 2.68.0 バージョンにはバックドアがあり、このバージョンは PostHog を利用していました。

慢雾余弦 @evilcos は、Web3 求職者が面接中に悪意のあるコードの罠に遭遇したと警告しています。事件では、攻撃者が @seracleofficial を装い、求職者に Bitbucket 上のコードをレビューして実行するよう要求しました。被害者がコードをクローンした後、プログラムは直ちにローカルのすべての .env ファイルをスキャンし、秘密鍵などの敏感な情報を盗みました。慢雾側は、このようなバックドアは典型的なスティーラーに属し、ブラウザに保存されたパスワード、暗号ウォレットのリカバリーフレーズや秘密鍵などのプライバシーデータを収集できると指摘しています。専門家は、疑わしいコードのレビューに関与する場合は、必ず隔離された環境で操作し、実際のデバイスで直接実行して攻撃を受けることを避けるべきだと強調しています。

OKX の CEO Star はソーシャルメディアで次のように発表しました。「誰でも OKX Wallet にバックドアが存在することを証明する確かな証拠を提供できれば、OKX Wallet チームは 10 BTC を報酬として支払います。安全性と透明性は最低限の基準です。コミュニティの監査を歓迎します。」

ChainCatcher のメッセージによると、一財の報道では、NVIDIA の計算力チップに深刻なセキュリティ問題があることが明らかになったことに対し、NVIDIA は次のように応答しました。「ネットワークセキュリティは私たちにとって非常に重要です。NVIDIA のチップには「バックドア」は存在せず、誰もこれらのチップにリモートアクセスや制御を行う手段はありません。」

ChainCatcher のメッセージ、最近、NVIDIA の計算力チップに深刻なセキュリティ問題があることが明らかになりました。以前、アメリカの議員は、アメリカから輸出される先進的なチップには「追跡位置」機能を備えるよう求めました。アメリカの人工知能分野の専門家は、NVIDIA の計算力チップの「追跡位置」「リモートオフ」技術が成熟していることを明らかにしました。中国のユーザーのネットワークセキュリティとデータセキュリティを維持するために、《ネットワークセキュリティ法》《データセキュリティ法》《個人情報保護法》に基づき、国家インターネット情報局は 2025 年 7 月 31 日に NVIDIA 社と面談し、中国向けに販売される H20 計算力チップの脆弱性やバックドアのセキュリティリスクについて説明を求め、関連する証明資料の提出を要求しました。(金十)

ChainCatcher のメッセージ、湖北省云夢県検察院の報告によると、湖北云夢県検察院が起訴した「狸猫換太子」式の仮想通貨詐欺事件が最近、二審で原判決が維持されました。何某ら 4 人は、バックドアを持つ仮想通貨取引プラットフォームを通じて、コインの価格を操作し、投資家が担保にした暗号資産を違法に無価値な「Dコイン」に置き換え、合計で 103 名の投資家に 7776 万元以上の損失を与えました。この事件の 4 名の被告は、3 年から 13 年の間の懲役刑と罰金を科され、主犯の何某の上訴は却下されました。

ChainCatcher メッセージ、暗号 KOL @Xuegaogx が暴露、リリースされた KOL @hao3313076 の t3rn スクリプトにバックドアリスクが存在する疑い。秘密鍵入力呼び出しロジックと組み合わせることで、ユーザーの秘密鍵を Telegram API を通じて静かに ID 5963704377 のアカウントに送信することができます。この関数は、設定記録のログ出力を装って実際の行動を隠蔽し、実際の内容には平文の秘密鍵が含まれています。

ChainCatcher のメッセージによると、暗号セキュリティ研究機関 Aikido Security の監視により、公式 XRPL NPM パッケージにセキュリティの脆弱性が発見されました。このバックドアプログラムは、ユーザーの秘密鍵を盗み、攻撃者に送信します。影響を受けるバージョンは 4.2.1 から 4.2.4 までで、Aikido Security は古いバージョンを使用しているユーザーに対し、バージョンアップグレードを行わないように推奨しています。

ChainCatcher のメッセージ、Telegram の創設者 Pavel Durov が投稿し、フランス国民議会が通信アプリに対して法執行のためのバックドアを設置することを求める法案を否決したことを示しています。これにより、フランスはエンドツーエンドの暗号化を打撃する初の立法国とはなりませんでした。彼は、バックドアのメカニズムがすべてのユーザーのプライバシーの安全を脅かすと強調し、Telegram は特定の市場から撤退することを選ぶが、暗号保護に関して妥協することはないと述べました。

ChainCatcher のメッセージ、SlowMist がセキュリティ警告を発表し、The R0AR（@th3r0ar）脆弱性の根本原因は契約にバックドアが存在することであると述べています。デプロイメントプロセス中に、R0ARStaking 契約はストレージスロットを直接変更することで、指定されたアドレスの残高（user.amount）を改ざんしました。その後、攻撃者は緊急引き出し関数を通じて契約内のすべての資金を引き出しました。

ChainCatcher のメッセージ、3人のプログラマーが iToken ウォレットアプリに「バックドア」を埋め込み、ユーザーのデジタルウォレットの秘密鍵とリカバリーフレーズを不正に取得したため、懲役3年の判決を受け、各自に 3 万元の罰金が科せられました。鑑定の結果、3人は合計で 27,622 件のリカバリーフレーズ、10,203 件の秘密鍵を不正に取得し、19,487 件のデジタルウォレットアドレスを成功裏に変換しました。3人の被告はそれぞれ、リクエストロジックコードの作成、バックエンドサーバーの構築、ドメインの購入および秘密鍵の暗号化などの作業を担当していました。裁判所は同時に、3人が刑罰の執行を終えた後の3年間、ネットワークセキュリティ管理およびネットワーク運営に関連する業務に従事することを禁止しました。

ChainCatcher のメッセージによると、金十の報道で、Apple (AAPL.O) は英国でのバックドア命令の後、クラウド暗号化機能をキャンセルしました。以前の報道では、イーサリアムの共同創設者であるヴィタリック・ブテリンが「英国政府が Apple に iCloud のバックドアを設置するよう要求した」件について、Apple が英国市場から撤退することを選んでもユーザーデータを漏らすことは望まないと述べ、追加で Apple デバイスを購入すると表明しました。

ChainCatcher のメッセージ、イーサリアムの共同創設者である Vitalik Buterin が発表した内容は次のとおりです："Railgun のプライバシープールメカニズムにより、Railgun は監視やバックドアなしで犯罪収益の処理を回避できます。動作は以下の通りです：誰でも Railgun に入金できます。入金後、1 時間の検出期間があり、その間にさまざまなアルゴリズムがその入金が犯罪活動に由来する可能性があるかどうかを分析します。入金がフィルタリングを通過した場合、1 時間後にユーザーはゼロ知識証明（ZKP）を使用してプライベートな引き出しを行うことができます（ただし、十分な匿名性を得るために、より長い時間待つことをお勧めします）。入金がフィルタリングを通過しなかった場合、ユーザーは資金を自分のアドレスに引き出すことしかできません。このようにしても資金が凍結されたり押収されたりすることはなく、単にプライバシープールの匿名機能を享受できないだけです。もし誰かが Railgun のフィルタリングルールに同意しない場合、自由にフォークして自分のプライバシープールを作成できますが、十分な広範な公衆の支持を得られない場合、その匿名性は非常に限られたものになります。"

ChainCatcher のメッセージ、SlowMist の創設者である余弦が X プラットフォームで発表しました。「AdsPower のフィンガープリンティングブラウザが侵害事件を透明に開示しました。もしあなたが AdsPower を使用していて、1 月 21 日 18:00 から 1 月 24 日 18:00（UTC+8）の間に拡張ウォレットをインストールしたり、手動で拡張ウォレットを更新した場合、あなたの AdsPower 上の拡張ウォレット（MetaMask など）はバックドア付きのバージョンである可能性があります。このバックドアはあなたのリカバリーフレーズ/秘密鍵を盗む可能性があります。現在、私たちの介入調査によるとリスクは制御可能であり、公式の緊急対応も迅速です。このような状況で盗まれた場合は、関連情報を SlowMist のチャネルに提出できます。」

ChainCatcher のメッセージ、Scam Sniffer がソーシャルプラットフォームで警告を発表しました。Base チェーン上で新たに発行された「NUDEAI」と「MAGA」トークンが詐欺トークンであることが確認されました。攻撃者はスマートコントラクト内でバックドアコードを SafeMath.mod() から MerkleProof.verifyCalldata() 関数に移動させ、ユーザーの承認なしに資産を自由に移転できるようにしています。該当するトークンコントラクトアドレスはそれぞれ：NUDEAI（0xcb33289e...85d4cf95af3574）および MAGA（0xc20fd8...f703e8b522372901）です。Scam Sniffer は、transferFrom 関数を通じてバックドアを埋め込んだ詐欺トークンに注意するようユーザーに警告し、未知のトークンと相互作用する前に安全性の確認を行うことを推奨しています。

ChainCatcher のメッセージ、セキュリティ研究者 dm がソーシャルプラットフォームで投稿し、Github 上のある Web3 オープンソースプロジェクトがユーザーの Solana 秘密鍵を盗むことができると述べています。これに対し、慢霧の創設者余弦が X プラットフォームでコメントを投稿しました："このオープンソース bot には秘密鍵を盗むバックドアコードが含まれています。コードに不慣れな場合、オープンソースプロジェクトのコードに文字化けが存在するのを見たら警戒を高める必要があります。"