悪意のあるコード

韓国聯合ニュースの報道によると、マイクロソフトの脅威インテリジェンスが29日に発表した報告書は、北朝鮮のハッカー組織が人工知能を利用して韓国のユーザーに対するサイバー攻撃を加速させていることを示しています。カスタマイズされたフィッシング文書、偽の求人、身分の偽装から、悪意のあるコードの開発やソフトウェアサプライチェーン攻撃にまで拡大しています。マイクロソフトは、8つの北朝鮮関連のハッカー組織のAIの採用レベルを評価しました。その中で3つは、四段階の中で最高の「運用定型」段階に達しており、AIを日常の攻撃プロセスに組み込んでいます。さらに4つは「加速」段階にあり、1つは「拡張」段階にあります。報告書によると、組織は今年の8月から9月にかけて、異なるターゲットに対して100以上のPDFフィッシング文書をカスタマイズして生成し、数分以内に数十件を大量に生産する事例が見られました。今年の6月8日から12日には、3社の偽装会社を利用して、AI、ブロックチェーン、サイバーセキュリティの専門家に対して偽の求人を発信するケースも発生しました。さらに、マイクロソフトは北朝鮮のハッカーがCursorなどのAIプログラミングツールを利用してコード生成、デバッグ、検出回避を支援している可能性があると分析しています。北朝鮮の情報総局傘下の「Onyx Sleet」（韓国側では安達利尔と呼ばれる）と「Pearl Sleet」は、10月下旬から実戦でオープンソースのAIペネトレーションテストフレームワークARTEXを使用しています。マイクロソフトは、上記の組織はAIを利用して攻撃の速度と効率を向上させているものの、完全に自律的な攻撃段階には達しておらず、企業に対して求職者の身分確認、フィッシング防止、悪意のあるコード検出を強化することを推奨しています。

慢雾によると、そのセキュリティチームは日常の脅威インテリジェンス調査の中で、Udeskカスタマーサービスシステムに関連するスクリプトudeskApi.2026-10-16.cached.jsが悪意のあるローダーに埋め込まれていることを発見しました。このローダーは16進数でエンコードされたアドレスを隠し、非同期でリモートスクリプトdeeps.jsをロードします（ソースはudeskqlobal[.]comで、ドメイン名はqで始まります）。このスクリプトは、ページでアクセス可能なCookie、localStorage、sessionStorageを読み取り、フォームやログイン、認証リクエストを傍受し、データをudeskqlobal[.]com/c.phpに送信します。攻撃者はこれを利用してセッションを偽装したり、アカウントを乗っ取ったりする可能性があります。このデータ収集行為は、ターゲットサイトのルールに制限されず、一致しないページも影響を受ける可能性があります。慢雾の分析によると、このスクリプトはmgbx[.]com、bikingex[.]およびbitxex[.]ioの3種類のサイトにも対応しており、200ミリ秒ごとにチャージページをスキャンし、識別されたチャージアドレスを事前設定されたBTC、EVM、TRON、Solana、LTC、DOGEのアドレスに置き換えます。同時に、スクリプトはクリップボードAPIをラップし、コピーボタンを置き換え、コピーイベントを傍受することで、ユーザーが見ることができ、コピーするのは改ざんされたアドレスだけになります。ユーザーがこのアドレスに送金すると、資金は攻撃者のアドレスに流れます。

Binance Walletが安全に関するお知らせを発表しました：iPhoneユーザーはFomoPeekアプリがインストールされているか確認してください。バイナンスは、コミュニティが最近公表した安全事件に注意を払っています。SlowMistなどのセキュリティ会社によると、サードパーティアプリFomoPeek（バージョン1.1-1.2）には悪意のあるコードが含まれており、iOSシステムの脆弱性を利用してデバイスの最高権限を取得し、プライベートキー、リカバリーフレーズ、ログイン資格情報、チャット履歴、ファイルなど、デバイスに保存されている機密データにアクセスする可能性があります。このようなマルウェアはデバイス自体を直接攻撃します。攻撃が成功した場合、影響を受けたデバイス上のすべてのアプリのデータにアクセスされる可能性があります。以下の内容を確認してください：iOS 26.xまたはそれ以前のバージョンを実行しているiPhoneまたはiPadを使用していますか？FomoPeekアプリをインストールしたことがありますか？上記の2つの項目がユーザーの状況に該当する場合は、以下の手順を直ちに実行することをお勧めします：FomoPeekアプリを削除し、再インストールしないでください。iOSシステムを最新バージョンに更新してください。自己管理ウォレットを使用しているユーザーの場合：そのアプリをインストールしたことがないデバイスで新しいウォレットを作成し、資産を新しいウォレットアドレスに移動してください。何らかの異常な資産活動を発見した場合は、影響を受けたデバイスと関連する証拠を保持し、カスタマーサポートに連絡してさらなる調査を行ってください。すべてのユーザーに注意喚起します：信頼できないソースからのアプリをインストールしないでください。また、デバイスのソフトウェアを最新の状態に保ってください。

慢雾は安全警告を発表し、最近FomoPeekユーザーの資産が盗まれた報告を多数受け取ったと述べています。OKXのセキュリティチームと共同で調査した結果、影響を受けたユーザーの一部は以前にFomoPeek 1.1--1.2バージョンをインストールまたは使用しており、関連アプリには悪意のあるコードが含まれていることが判明しました。慢雾は、FomoPeekには正常な業務とは無関係なモジュールが存在し、その中の1つはiOSシステムに対するカーネル脆弱性を利用するフレームワークを含んでおり、8種類の異なる攻撃方法をサポートし、デバイスのモデルやiOSバージョンに応じて自動的に利用方法を選択できると述べています。影響を受けるシステムにはiOS 12から18.7およびiOS 26から26.1が含まれます。利用が成功した場合、アプリはiOSサンドボックスを突破し、Keychainデータにアクセス、復号化する可能性があり、その結果、秘密鍵、リカバリーフレーズ、ログイン資格情報およびその他の機密ファイルが漏洩する恐れがあります。さらに、FomoPeekはその公開サービスとは無関係な隠れたサーバーに接続し、リモート指令を受信することができます。慢雾は、分析したキャプチャされた平文トラフィックが、関連する攻撃機能が現在有効な状態であり、定期的に自動的に実行されることを示していると述べています。慢雾は、FomoPeek 1.1--1.2バージョンをインストールまたは使用したことがあるユーザーに対し、資産に異常がないかを直ちに確認し、決してそのアプリをインストールしたことがない信頼できるデバイスで新しい秘密鍵とリカバリーフレーズを生成し、できるだけ早く資産を新しいアカウントに移動し、最新のiOSバージョンにアップグレードし、FomoPeekを使用し続けたり再インストールしたりしないようにすることを推奨しています。

Blockaid が X プラットフォームで発表したセキュリティアラートによると、そのシステムは Yield Yak ウェブサイトのフロントエンドに対する攻撃を検出しました。このプロジェクトのサブドメイン vote.yieldyak.com に eleven drainer の悪意のあるコードが埋め込まれました。Blockaid は、今回の攻撃手法が昨日 Gitcoin.co が遭遇したセキュリティ事件に類似していると指摘しています。

Decrypt の報道によると、マイクロソフトの脅威インテリジェンス部門は、攻撃者が PyPI プラットフォームを通じて配布される Mistral AI ソフトウェアパッケージに悪意のあるコードを埋め込んだことを明らかにしました。この悪意のあるコードは、開発者が Linux システムで使用する際に自動的に実行され、transformers.pyz という名前の悪意のあるファイルをダウンロードし、バックグラウンドで実行します。このファイル名は、広く使用されている Hugging Face Transformers ライブラリを模倣して視覚的に混乱させるように意図されています。マイクロソフトは、この悪意のあるソフトウェアが主に開発者のログイン資格情報とアクセストークンを盗むことを指摘し、ロシア語システムを回避することがあり、一部のコードはイスラエルまたはイランにあるデバイスのファイルをランダムに削除する可能性があると述べています。この攻撃は、9 月に開始された "Shai-Hulud" サプライチェーン攻撃活動に関連しています。Mistral は、調査の結果、攻撃が侵害された開発者のデバイスから発生したことを示しており、同社のインフラは侵害されていないと応じています。

市場の情報によると、Socket は npm コアパッケージ axios の 1.14.1 バージョンが活発なサプライチェーン攻撃に遭遇したことを検出しました。攻撃者は悪意のある依存パッケージを注入し、axios に悪意のあるコードを埋め込みました。axios を使用している開発者は、すぐにバージョンを固定し、プロジェクトのロックファイルを確認することをお勧めします。

GoPlus Security が発表したセキュリティ警告によると、Silverfort のセキュリティ研究者は OpenClaw のスキルリポジトリ ClawHub に深刻な脆弱性を発見しました。攻撃者は内部関数 downloads:increment を呼び出すことで、すべての防御機構を回避し、単一の curl リクエストで数分以内にダウンロード数を 2 万回以上に増やすことができ、悪意のあるコードを含むスキルを検索ランキングの第一位に押し上げ、ユーザーや AI エージェントに自動的にインストールさせることができます。悪意のあるスキルが実行されると、暗号財布や API キーなどの敏感なデータを盗むことができます。現在、この脆弱性は 24 時間以内に修正されました。GoPlus はユーザーに対し、高いダウンロード数が安全を意味するわけではないと警告し、AgentGuard を使用して安全スキャンと防御を行うことを推奨しています。

慢雾の監視によると、Apifox デスクトップクライアントはサプライチェーン攻撃に遭い、その公式 CDN がホスティングするフロントエンドスクリプトファイルに高度に難読化された悪意のある JavaScript コードが注入されました。影響を受けたユーザーは、認証情報の盗難、機密データの漏洩、リモートコマンドの実行などのリスクに直面する可能性があり、悪意のあるコードは自動的に実行され、高度に隠蔽されています。慢雾はユーザーに対し、すべてのトークンを直ちに取り消し、パスワードをリセットし、ログアウトして再ログインしてセッションを無効にし、*.apifox.it.com ドメインをブロックし、ローカルストレージをクリアし、API ログと異常な活動を確認することを推奨しています。

慢雾余弦 @evilcos は、Web3 求職者が面接中に悪意のあるコードの罠に遭遇したと警告しています。事件では、攻撃者が @seracleofficial を装い、求職者に Bitbucket 上のコードをレビューして実行するよう要求しました。被害者がコードをクローンした後、プログラムは直ちにローカルのすべての .env ファイルをスキャンし、秘密鍵などの敏感な情報を盗みました。慢雾側は、このようなバックドアは典型的なスティーラーに属し、ブラウザに保存されたパスワード、暗号ウォレットのリカバリーフレーズや秘密鍵などのプライバシーデータを収集できると指摘しています。専門家は、疑わしいコードのレビューに関与する場合は、必ず隔離された環境で操作し、実際のデバイスで直接実行して攻撃を受けることを避けるべきだと強調しています。

ChainCatcher のメッセージ、オンチェーン探偵 ZachXBT が明らかにしたところによると、Steam ゲーム BlockBlasters に悪意のあるコードが含まれており、約 15 万ドルの暗号資産の損失を引き起こしたとのことです。このゲームは Steam プラットフォームで 1 か月以上ダウンロードが許可されています。

ChainCatcher のメッセージ、SlowMist の CISO @im23pds がツイートで ChromeV8 エンジンの脆弱性 CVE-2025-6554 を警告しています。この脆弱性により、攻撃者は巧妙に構築されたウェブページを通じて悪意のあるコードを実行することができます。現在、関連する PoC が公開されており、悪用されています。ユーザーはアップグレードに注意し、フィッシング攻撃による資産損失を避ける必要があります。

ChainCatcher のメッセージによると、公式の発表で CoinMarketCap が X プラットフォームで投稿し、ウェブサイトから悪意のあるコードを特定して削除したことを示しています。チームは引き続き調査を行い、安全性を強化するための措置を講じています。以前の情報では、CoinMarketCap の公式サイトに「ウォレットを確認する」という悪意のあるポップアップが表示され、公式はユーザーにウォレットをリンクしないようにとのツイートを発表しました。

ChainCatcher のメッセージによると、Cointelegraph が報じたところによれば、WinterMute は CrimeEnjoyor を発表しました。これは、ユーザーを新しいウォレット窃盗戦略から保護するために、イーサリアムの委任契約内の悪意のあるコードを警告するコードです。

ChainCatcher のメッセージによると、暗号コミュニティのメンバー Cat（@0xCat_Crypto）が明らかにしたところによれば、ある Web3 スタートアッププロジェクトがスマートコントラクトコードにハードコーディングされた承認ウォレットアドレスを含んでいたため、数十万 USDT が転送されました。事件では、ある従業員が提出したコントラクトコードに疑わしい点がありましたが、その従業員は関連コードを作成したことを否定し、悪意のあるコードは人工知能プログラミングアシスタントによって自動生成され、十分な審査を受けていないと主張しています。現在、関与しているウォレットの帰属は確認できず、コードの作成主体も特定が難しい状況です。SlowMist の余弦は、初期調査の結果、Cursor と Claude 3.7 モデルを使用した環境下で、AI が自動補完したアドレスが関与する悪意のあるアドレスと一致しないことを示し、AI コード生成による悪用の可能性を排除しました。この悪意のあるアドレスはスマートコントラクトの所有者権限を持っており、プロジェクト側の資金が完全に転出される結果となりました。

ChainCatcher のメッセージによると、SlowMist が X プラットフォームで発表したところによれば、Safe の開発者のデバイスが侵害され、悪意のあるコードがフロントエンドに注入され、攻撃が取引パラメータを傍受して変更しました。迅速な確認の結果、Safe フロントエンドの js ファイルの背後に確かに悪意のあるコードが存在することが判明し、関連アドレス（0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516）は ByBit の 15 億資産を巻き上げる悪意のある実行契約に関与しています。

ChainCatcher のメッセージ、Bybit の共同創設者兼 CEO Ben Zhou は X プラットフォームで Sygnia と Verichains によって提供されたハッカー鑑識報告を発表しました。この報告では、悪意のあるコードが UTC 時間 2 月 19 日 15:29:25 に展開されたことが明らかにされており、特に Bybit のイーサリアム マルチシグ コールドウォレットを標的としています。

ChainCatcher のメッセージ、AabyssTeam の創設者が X でセキュリティ警告を発表しました。Cyberhaven セキュリティ会社がフィッシングメール攻撃を受け、その結果、公開したブラウザプラグインに悪意のあるコードが埋め込まれ、ユーザーのブラウザ Cookie やパスワードを読み取ろうとしています。後続のコード分析により、複数のブラウザプラグインが攻撃を受けていることが判明し、Proxy SwitchyOmega (V3) などが含まれています。これらのプラグインは Google ストアで 50 万人のユーザーに影響を与えており、現在注目されています。慢雾の創設者余弦はその警告を転送し、この種の攻撃は OAuth2 攻撃チェーンを使用しており、「ターゲットブラウザ拡張」の開発者から「拡張の公開権限」を取得した後、バックドア付きのプラグイン拡張の更新を公開することを示しています。ブラウザを起動するたびに、または拡張を再度開くたびに自動的に更新がトリガーされる可能性があり、バックドアの埋め込みは気づきにくいです。ウォレット拡張プログラムの発行者に対して、決して油断しないように警告しています。

ChainCatcher のメッセージによると、Scam Sniffer の監視により、KlapAI がハッカーに侵入され、フロントエンドに悪意のあるコードが注入されたことが確認されました。ユーザーは慎重に使用し、フィッシングリスクを避けるようにしてください。

ChainCatcher のメッセージによると、Ledger はソーシャルプラットフォームで、正規の Ledger Connect Kit 1.1.8 バージョンが現在プッシュされたと発表しました。Ledger と WalletConnect は、悪意のあるコードが無効化されたことを確認しました。ユーザーは安全に Ledger Connect Kit を使用できますが、ユーザーには 24 時間待機し、ブラウザのキャッシュをクリアすることを推奨します。以前、ハッカーは Ledger Connect Kit の脆弱性を利用して約 48.4 万ドルの資産を盗みました。SlowMist の創設者である余弦は、Ledger ウォレット自体は影響を受けておらず、影響を受けているのは Ledger というモジュールに依存しているいくつかの DApp であると強調しました。