マルウェア

慢雾は脅威情報を発表し、最近ユーザーからのフィードバックを受けて、sol-liveという名前のGitHubリポジトリがSolidityの面接練習プロジェクトを装っていることが判明しましたが、その.vscode/settings.jsonにはリモートスクリプトをダウンロードして実行するコマンドが隠されています。ユーザーがプロジェクトのカスタムターミナル設定を起動すると、悪意のあるペイロードがトリガーされる可能性があります。慢雾の分析によると、関連する悪意のあるペイロードは、ブラウザのログインデータベース、ウォレット拡張ストレージ、macOSのKeychainファイルを収集することができ、さらにローカルファイルのスキャンとアップロード、リモートコマンドの実行、インタラクティブなシェルアクセスの提供、クリップボードの監視などの機能を持っています。macOSおよびLinux環境では、ユーザーが悪意のあるターミナル設定を手動で起動しない限り実行されません。Windows端の攻撃チェーンは、引用符の処理の問題によりまだ確認されていません。

慢雾の発表によると、LiteLLMは再びサプライチェーン攻撃に遭い、悪意のあるバージョンlitellm@1.107.0がPyPIパッケージおよびDockerイメージに影響を及ぼし、latest、main-stableなどのフローティングタグが含まれています。注入された悪意のあるコードは、Pythonの起動時に自動的に実行され、クラウド認証情報、AI APIキー、SSH秘密鍵などの敏感なデータを盗み、リモートコード実行をサポートします。影響を受けたバージョンは削除または置き換えられました。慢雾はユーザーに対し、1.107.0バージョンの使用を避け、クリーンなイメージから影響を受けた環境を再構築し、漏洩の可能性のある認証情報をローテーションし、バージョンを1.106.2に固定することを推奨しています。

慢雾余弦の監視によると、FOMOのウェブ版に対するブックマークフィッシングによる暗号通貨盗難攻撃が発生しています。このようなフィッシングウェブサイトは、ユーザーを偽の人間確認を完了させるように誘導し、JavaScriptの悪意のあるコードをブラウザのブックマークにドラッグして保存させます。ユーザーがそのブックマークを2回から3回クリックすると、以前にログインしたFOMOアカウントが攻撃者にハイジャックされ、アカウント内の暗号資産も即座に盗まれます。

慢雾安全予警によると、MemTensorのAIメモリツールチェーンが侵害されました。LLMおよびAIエージェント向けのオープンソースの長期メモリライブラリMemoryOS (PyPI)およびOpenClawランタイムに接続する公式プラグインmemtensor/memos-cloud-openclaw-plugin (npm)がクロスプラットフォームのGoバイナリに埋め込まれ、この悪意のあるプログラムはパッケージが読み込まれたりインポートされたりする際に実行されます。影響を受けたバージョンには、PyPI上のMemoryOS==2.34およびnpmプラグイン0.1.21、0.1.23、0.1.25が含まれます。その中で、影響を受けたnpmプラグインはユーザーのプロンプト内容の漏洩を引き起こす可能性があります。慢雾は以下の対処措置を講じることを推奨しています：既知の安全なバージョンにアンインストールまたはダウングレードすること (npm 0.1.20、PyPI 2.33)；sckitプロセスを終了すること；関連するインフラをブロックすること；ネットワーク活動を確認すること；および影響を受けた環境内の資格情報をローテーションすること。

朝鮮のハッカー組織 WaterPlum は、暗号通貨、AI、及び NFT 会社の採用担当者を装い、ソフトウェア開発者や IT 従事者に対して、プログラミングタスクやビデオ会議の修正ファイルに見せかけたマルウェアを配布しています。この組織は、100 以上の国で少なくとも 3 万台のデバイスを感染させ、2025 年 12 月から 2026 年 7 月にかけて 7000 以上の暗号通貨ウォレットから資金やアカウント情報を引き出し、少なくとも 1070 万ドルを盗みました。

日本警察庁はFBI、ASD/ACSC、BNDおよびBfVと共同で警報を発表しました。北朝鮮背景のネットワーク攻撃組織「WaterPlum」（別名 Contagious Interview）が求職者をターゲットにし、AI、暗号資産およびNFT企業を装って虚偽の求人情報を発信し、求職者にBeaverTail、InvisibleFerret、OtterCookieなどのマルウェアを含むNPMパッケージをダウンロードさせ、暗号資産ウォレット情報や機密データを盗み取っています。2026年7月までに、この組織は世界100カ国以上で3万台を超えるデバイスを感染させ、7000件以上の暗号資産ウォレット情報を盗み、彼らが管理するウォレットには少なくとも約17億円（約1071万ドル）の暗号資産が集まっています。日本警察庁は国内で初めて、地元の「支援者」によって設立された「ノートパソコンファーム」を発見し、北朝鮮のIT労働者がリモートで支援者の住居内のPCを操作して業務を受けており、関連する事件の金額は数億円に達しています。警察庁とFBIは、WaterPlumおよび一部の北朝鮮IT労働者が朝鮮労働党中央委員会軍需工業部313総局の統一指揮を受けており、得られた収益は直接北朝鮮の国家資金プールに流入していると評価しています。警察はIT技術者および企業発注者に対し、警戒を強化し、未確認の環境で第三者のコードを実行しないように注意を促しています。

Cointelegraph の報道によると、Chainalysis の報告は、過去 12 ヶ月間に攻撃者が公共ブロックチェーン上に悪意のあるソフトウェアの指示やインフラ情報を保存する回数が 420% 増加したことを示しています。国家背景のハッカーは、四半期ごとに約 3 分の 2 の新たな活動を寄与しています。Chainalysis は、以前は特定されていなかった Tron、Aptos、および BNB Smart Chain の活動を北朝鮮背景の組織 UNC5342 に関連付けています。報告書は、Tron と Aptos の取引におけるコーディングポインタが感染したデバイスを同じ BSC 取引に導くことを示しており、その取引にはリモートアクセスとデータ窃取インフラに接続するための暗号化されたサーバーアドレスと設定データが含まれています。公共ブロックチェーン上の情報は、ドメイン名、サーバー、またはコードリポジトリが閉鎖された後でもアクセス可能であり、悪意のあるソフトウェア活動の持続性を高めています。2025 年には、北朝鮮のハッカーが EtherHiding という類似の技術を使用して、スマートコントラクトに盗難コインコードを埋め込んでいました。さらに、2025 年 7 月以降、悪意のあるブロックチェーンへの書き込み量が 440% 増加しました。その時、高容量のオープンソース中国 AI モデルが悪意のあるコードを生成する能力を持ち始めました。Chainalysis のネットワーク犯罪研究責任者である Eric Jardine は、明確な時間的関連を発見したと述べていますが、攻撃者がこれらのモデルを使用したことを証明することはできませんでした。Chainalysis は、イラン情報省に関連する可能性のある脅威行為者を特定し、ビットコインブロックチェーンにコーディングされたコマンドと制御ルーティングデータを書き込み、中本聡と歴史的に関連のある有名なアドレスに小額の支払いを送信しました。このアドレスは攻撃者とは無関係であり、感染したデバイスが更新指示を取得するための恒久的な公共の場所として機能します。

ネットワークセキュリティ会社 Hudson Rock は、ストリーミングサービス HBO Max の Reddit 認証アカウントが今月初めにハッカーに乗っ取られ、約 48 時間内に 108 件の悪意のある広告が投下されたことを明らかにしました。これらの広告は存在しない HBO Max のネイティブ macOS アプリを餌にして、ユーザーを誘導してターミナルまたは PowerShell に悪意のあるコマンドを貼り付けさせる手法で、これを ClickFix と呼びます。研究者たちはこの行動を PasteSwitch と名付け、その配信システムは訪問者のデバイスと宣伝されているソフトウェアに応じて自動的に調整されます。観測された Mac 側のペイロードには MacSync と Atomic macOS（AMOS）情報窃取トロイの木馬が含まれ、ターゲットにはブラウザの資格情報、Telegram データ、Apple Notes、保存されたパスワードおよび暗号通貨ウォレットのリカバリーフレーズが含まれます。悪意のあるソフトウェアはまた、Binance スマートチェーン契約を可変 C2 アドレスの配信ポイントとして利用し、クリプトカレンシーのクリップボードハイジャックプログラムに関連付けられたクリップボードのウォレットアドレスを置き換えます。Malwarebytes によると、Reddit の管理者は通報を受けて関連広告を一時停止し、安全調査を開始しました。報告書ではアカウントが侵害された具体的な方法や被害者の数は明らかにされておらず、HBO Max ストリーミングサービス自体が攻撃された証拠も発見されていません。以前、ClickFix 手法は暗号通貨ユーザーを対象とした攻撃に何度も使用されており、約 2000 の侵害された WordPress サイトや偽装 CAPTCHA の悪意のある活動が含まれています。

慢雾の監視によると、2025年5月以降に活動しているブラジルの銀行マルウェアキャンペーンREF9334が最近明らかになりました。そのKREMLINマルウェアエコシステムは、多段階ローダーと悪意のあるブラウザ拡張機能を使用して、認証情報、セッショントークン、敏感なデータを盗みます。悪意のある拡張機能は、Chromiumの整合性メカニズム（Secure Preferences、HMAC、App-Bound暗号ハッシュを含む）を回避して、ユーザーの承認なしにChromeやEdgeにインストールされることがあります。このキャンペーンは、イーサリアムのスマートコントラクトを「デッドレター解決器」として使用し、C2エンドポイントとペイロードホスティングの位置を動的に更新します。ネットワークのカナリアドメインを登録した後、分析者は1515台の感染したホストがチェックインしているのを観察しました。そのうち98.75%はブラジルに位置しています。慢雾は、セキュリティチームに関連するマルウェア、ブラウザ拡張機能の活動、およびこのキャンペーンに関連するインフラを監視することを推奨しています。

Cointelegraph の報道によると、サイバーセキュリティ会社 Morphisec が、Anthropic の「Claude Opus 5 Free Desktop」に偽装した偽のデスクトップアプリが Windows マルウェア RevStealer を広めるために使用されていることを明らかにしました。このソフトウェアは、50 種類以上の暗号通貨ウォレットデータを盗むことができ、さらにブラウザのパスワード、Cookie、VPN 設定、メッセージ履歴、スクリーンショットなどの敏感な情報も収集します。RevStealer は、検出回避機能を備えており、実行前にターゲットデバイスの環境を検査します。デバッグや仮想環境の特徴が見つかった場合は、実行を停止します。さらに、ロシアのサイバーセキュリティ会社カスペルスキーも、暗号投資家を狙った新しいマルウェアフレームワーク OkoBot を発表しました。これにより、ウォレットファイルを収穫し、悪意のある拡張機能を注入し、ウォレットアプリケーションのウィンドウをキャプチャして資産を盗むことができます。

安全会社Huntressによると、ハッカーは偽のGoogle Docsファイル、GitHubにホストされた悪意のあるファイル、Claude.aiの偽ページを通じて、暗号通貨ユーザーに情報窃取マルウェアを広めています。攻撃者はソーシャルプラットフォームX上でCoinDeskの上級社員を装い、オンライン会議に参加するように誘導して、悪意のあるコードを含むGoogle Docs文書を開かせ、ユーザーにマルウェアを自らインストールさせるように仕向けています。MacユーザーはAtomic macOS Stealer（AMOS）の脅威に直面しており、ブラウザのパスワード、暗号ウォレットデータ、Telegramファイルを盗むことができます。Windowsユーザーには偽のGoogle API Connectorの更新がプッシュされ、インストール後にNetSupport RATと偽のLedgerハードウェアウォレットアプリが埋め込まれます。さらに、ハッカーはBingなどの検索エンジンに虚偽の広告を掲載し、ユーザーを偽のClaude.aiページに誘導して悪意のあるコマンドを実行させ、関連するマルウェアMacSyncとSectopRATはCookie、保存されたパスワード、リカバリーフレーズ、支払いカード情報を盗むことができます。安全会社Socketも同時期にChromeとEdgeを対象とした16種類の悪意のある拡張機能を発見しており、EVM、Solana、Tronのウォレット資産を空にすることができます。

加密プロジェクト Refi Hub の共同創設者 Numa Lunah は、Claude チャットウィンドウが提供するダウンロードリンクを使用して転写アプリをインストールしたためにハッキングされたと述べています。このリンクは偽のウェブサイトを指し、悪意のあるソフトウェアをバンドルしており、実行後に彼のデバイス内のすべての情報を盗もうとします。Numa Lunah は、問題のノートパソコンをクリーニングして再インストールしたが、機密情報の漏洩は見つからなかったと述べています。その後、彼はバックアップの中に汚染された Claude Code スキルファイル SKILL.md を発見しました。このファイルは彼自身が作成したスタイルガイドに偽装されており、毎回の読み込み時に悪意のあるソフトウェアを再ダウンロードし、認証情報を盗む指示が含まれています。Microsoft Defender Experts は、攻撃者が検索エンジン最適化の毒物攻撃から大規模言語モデルの回答毒物攻撃に移行していると警告しており、関連手段には攻撃者が制御するダウンロードリンクの推薦、AI ブランドの偽装インストーラー、汚染されたコードベースや代理スキルが含まれます。暗号業界の従事者は、リカバリーフレーズ、プライベートキー、ホットウォレット JSON、引き出し権限を持つ取引所 API キー、デプロイヤーキーなどの取り消し不可能な証明書を保持している可能性があります。

慢雾セキュリティチームは最近、「Qwen 3.8 27B ローカル量子モデル」を偽装した悪意のあるGitHubリポジトリを発見したと発表しました。このリポジトリは、モデルファイルが16GBを超えるべきだと主張していますが、実際にダウンロードされる内容は約487KBで、偽装ファイル、LuaJITインタプリタ、及び難読化されたLuaスクリプトが含まれています。慢雾は、Qwen公式プロジェクトが侵害されていないことを強調しています。慢雾の分析によると、この悪意のあるプログラムが実行されると、ホスト情報を収集し、スクリーンをキャプチャして攻撃者のC2サーバーに送信します。ハードコーディングされたサーバーが無効になると、Polygonチェーン上の契約からバックアップC2アドレスを読み取ります。攻撃者はチェーン上の取引を通じてインフラを切り替えることができます。その後のペイロードは、ブラウザのログイン情報、Cookie、履歴、メール、WinSCP、Steamの認証情報、及び暗号財布に関連するファイルや拡張データを盗むことができます。慢雾はまた、少なくとも23のGitHubリポジトリと29の類似の圧縮パッケージが同じLuaデリバリーチェーンを使用していることを発見しました。

ネットワークセキュリティ会社 Check Point Research は、StopAndProtect ランサムウェアキャンペーンが約 2000 の侵害された WordPress サイトを利用してマルウェアを拡散し、データを盗み、被害者を監視し、ランサムウェアを展開していることを発見しました。このキャンペーンは 5 月中旬に発見されました。7 月 24 日までに、このキャンペーンは 6000 を超える独立した IP アドレスを侵害しており、その中にはアメリカが 1852、ロシアとインドがそれぞれ 630 あります。侵害されたサイトは、マルウェアのホスティング、指令の送信、盗まれたファイル、スクリーンショット、活動ログの保存にも使用されました。攻撃者は偽の CAPTCHA を通じて Windows ユーザーを誘導し、PowerShell コマンドを実行させ、資格情報や暗号通貨ウォレットのリカバリーフレーズを盗み、ネットワークおよび USB デバイスを介して拡散させました。研究者は 3.1 万枚以上のスクリーンショットと 700 以上のデータ圧縮パッケージを収集し、攻撃者が誤って自ら感染した可能性があると考えています。

GoPlusの監視によると、VSCode拡張のSolidity Proは毒されており、過去のバージョンにはデータ窃取やリモート実行などの悪意のある機能が存在していました。開発者は自分がインストールした関連拡張を直ちに確認し、サードパーティのプラグインに対する警戒を高めることをお勧めします。

CNAの報道によると、シンガポール警察部隊（SPF）とシンガポールサイバーセキュリティ庁（CSA）は、虚偽の求人情報と侵害されたソフトウェアシステムに関与する暗号通貨詐欺事件が1180万ドルの損失を引き起こしたと発表しました。この詐欺グループはLinkedIn上で暗号会社の採用担当者を装い、偽のドメイン名を使用してメールを送り、ビデオ面接を行い、被害者に会社のデバイス上でマルウェアをダウンロードさせて「技術テスト」を完了させることで、セッショントークンを盗み、多要素認証を回避し、最終的に暗号通貨を移転しました。

Cointelegraph の報道によると、サイバーセキュリティ会社 BCA LTD の創設者 Mauro Eldritch と Telefónica Tech のネットワーク脅威インテリジェンスアナリスト Heiner García が共同で偽の暗号スタートアップ「Ballena Azul」を設立し、疑わしい北朝鮮の IT 労働者を制御された仮想デスクトップ環境で最大五週間働かせ、その行動を全て監視することに成功した。調査によると、関連する労働者が使用していた外部サーバーは、以前に InvisibleFerret、BeaverTail、OtterCookie などのマルウェアを配布していた北朝鮮のネットワーク作戦インフラと関連があることが示されている。また、労働者は ChatGPT を利用したプログラミングや Google Gemini による偽の身分証明書の作成に大きく依存していた。研究者は、北朝鮮の IT 労働者がアメリカの身分を偽造してリモートワークを得て、その報酬が最終的に平壌政権の大量破壊兵器プロジェクトに流れ込んでいると指摘しており、アメリカ財務省のデータによれば、このような計画は 2024 年に北朝鮮に約 8 億ドルの収入をもたらすとされている。

マイクロソフトの脅威インテリジェンスはXプラットフォームで発表し、一連の侵害されたウェブサイトのクラスターがClickFixとEtherHiding技術を使用してマルウェアを拡散していることを発見したと述べています。攻撃活動は毎日、世界中の数千台の企業および消費者デバイスに対して行われています。攻撃者はBase64エンコードされたJavaScriptを注入してBNBスマートチェーン（BNB Smart Chain）RPCゲートウェイに接続し、スマートコントラクトに保存された次の段階の指示を取得します。コントラクトの内容はデプロイ者のウォレットのみが変更できるため、従来の取り下げ手段では対処が難しいです。攻撃は偽の確認コードを使ってユーザーを騙し、実行ダイアログを開かせ、クリップボードの内容を貼り付けて攻撃者の命令を実行させるもので、conhost、cmd、PowerShell、mshtaなどのさまざまなシステムツールの悪用やコマンドの混乱技術が含まれています。成功裏に実行されると、資格情報の露出、持続的な確立、横移動、さらにはランサムウェア攻撃を引き起こす可能性があります。マイクロソフトは企業に対してDefenderの多層防護を有効にし、コマンドラインツールを制限し、PowerShellスクリプトのログ記録を有効にすることを推奨し、ユーザーに対して不明なソースのコマンドを実行ウィンドウやターミナルに貼り付けて実行しないよう警告しています。

SlowMistは、最近Web3の従事者を対象とした採用詐欺活動が新たに発見されたと発表しました。攻撃者は採用担当者を装い、被害者に「Relay」という名前のAI会議ソフトウェアをインストールさせるよう誘導しますが、実際には情報窃取のマルウェアです。このマルウェアはmacOSとWindowsのユーザーを同時にターゲットにし、ブラウザの認証情報、暗号ウォレットに関連するデータ、Keychainデータ、Telegramの会話などの敏感な情報を盗むことができます。SlowMistはサンプル分析を完了し、今回の攻撃チェーンの運用方法を公開しました。SlowMistは、オンライン面接や採用プロセスに参加する際には、見知らぬソフトウェアのインストールに注意し、検証されていないアプリケーションを実行しないようにし、異常なインストール要求やシステムパスワードの提示に注意するよう警告しています。

Crypto.newsによると、北朝鮮に関連するハッカー組織BlueNoroffは、偽のZoomおよびMicrosoft Teams会議を利用して暗号通貨ユーザーを分析し、その後マルウェアを配布しています。ハッカーはまず、被害者が信頼する暗号業界の連絡先アカウントを制御し、Calendlyなどを通じて一見正常な会議リンクを送信し、偽のZoom/Teamsドメインに誘導します。ユーザーが偽の会議ページに入ると、ページはブラウザ内のウォレットを静かにスキャンし、ウォレットの価値に基づいて攻撃を続行するかどうかを決定します。偽の会議では「Zoom/Teamsを更新する」またはコマンドを実行するよう求められ、実際にはマルウェアがダウンロードされます（WindowsおよびmacOSをサポート）。マルウェアはブラウザのキー、システムデータ、Telegramのセッションを盗みます。