タグ / 攻撃手法
すべての面から30件。公開日の新しい順。（バックドア・スパイウェア・ブートキット・ワイパー・メモリ常駐型マルウェア・情報窃取・クリプトマイニング・ボットネット・インプラント・プロキシウェア・BYOVD のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Check Pointは11月12日、Security GatewayのMobile AccessポータルがPHP2Shell（CVE-2026-109618・109619、CVSS 9.2）で侵入され、Gaia OSのDynamicCLIの権限昇格CVE-2026-123039（CVSS 7.8）でrootを取られたと公表した。10月30日と11月2日の2回の攻撃で未修正の数十台が侵害され、一部ではESXiに移ってワイパーが実行された。対策は11月のJumbo Hotfix。
MSP（IT運用の委託先）が使うScreenConnectのクラウド版管理画面から、Run Commandで攻撃者のScreenConnectクライアントとツールキット「SCKit」が顧客の端末に一斉に入れられた。Huntressは6社のMSP、48組織の288台を確認し、ConnectWiseは関係が疑われる他社製拡張機能5種を約400の環境で止めた。侵入の入口は調査中。
分散ストレージSwarmのEthersphereで、攻撃者がリリース用のボットと保守者のGitHubアカウントを使い、11月9日にnpmの @ethersphere/bee-js 13.3.0（約75分公開）と、署名・公証済みのSwarm Desktop 0.56.2（約8時間半公開）を正規のCIから出した。どちらもノードのウォレット鍵と平文のパスワードを盗み、バックドアを入れる。
公開停止されたAIペネトレーションツールARTEXの「後継」を名乗るリポジトリが案内したDockerイメージ tomicdd/artex に、ログイン要求の captcha 欄に入れたコマンドをパスワード確認の前にrootで実行するバックドアがあった。BadByteは11月3日までに7,946回のpullと、11月2〜4日に62台の公開コンソールを確認した。Docker Hubは11月5日に該当イメージを削除したが、取得済みのコピーは残る。
QiAnXin XLab が、CWP のパネル用サーバー cwpsrv を差し替えた受動型バックドア CWPdoor を報告。専用ヘッダーと署名で命令を受け、該当要求のアクセスログを抑止する。Hunter 上で公開 CWP は34万超。初期感染経路は未解明。
Sekoia は、改ざんした正規サイト、なりすましの中継サイト、8月27日〜9月3日に改ざんされたウクライナの Web 解析サービス Plerdy の3経路で、未更新の iPhone・Android にゼロクリックの n-day 攻撃（iOS は DarkSword）を配る水飲み場攻撃を報告した。Cookie や端末内のデータを盗むもので、Sekoia は中〜高の確度で APT29 によるものと評価している。
『勝利の女神：NIKKE』の PC ランチャーが読み込む Level Infinite の CDN 上の JavaScript 4本が9月27日に改ざんされ、遅くとも10月23日から一部の起動時に遠隔操作エージェント「K2F」が送り込まれていたと研究者が報告した。Level Infinite は11月4日に改ざんの可能性を認めて修正を配信し、影響は調査中としている。
Linux サーバー向けセキュリティ製品 cPGuard の更新配信基盤（CDN）に11月2日、盗まれた認証情報で侵入され、5.88.12〜5.88.19 の更新にバックドアと情報収集のスクリプトが混入した。/etc/shadow、root の my.cnf・シェル履歴・SSH 関連ファイルが集められ、OPSSHIELD は少なくとも32台分のデータが攻撃者に回収されたと推定している。
Kaspersky は、Lazarus が遅くとも2025年7月から韓国のソフトウェア・建設・通信機器の企業を狙った「Operation FlashHole」を報告した。韓国の金融サイトで導入を求められる INISAFE CrossWeb EX のプロセスから攻撃が始まり、GitHub の非公開リポジトリを C2 に使うローダーや、耐量子暗号（ML-KEM-1024）を使う LPEClient などがメモリ上で動いていた。
Vega は、VMware 環境の棚卸しツール RVTools を検索した管理者を Google 広告から偽サイトに誘導し、本物の RVTools と一緒に Python 製の常駐プログラム DeviceSync を入れる改ざん版 MSI が配られていたと報告した。C2 には Cloudflare Workers が使われ、Vega はランサムウェアと関係が深い UNC2465 との関連を中程度の確度で指摘している。
Google の脅威インテリジェンスグループ（GTIG）は、中国の Android 機器メーカー Videostrong がファームウェアに組み込んだバックドア x.cpe により130万台超のセットトップボックスがボットネット化していたとして、警察庁などと C2 を停止した。端末は住宅用プロキシ、広告詐欺、追加のマルウェアの配布に使われ、アフィリエイトの C2 も止めたことで、XCPE 以外の経路で感染した少なくとも1,000万台への接続も断てると評価している。
日本交通は2026年10月30日、7月11日の社内システムへの不正アクセス（マルウェア感染）について第6報を出し、乗務員・職員、採用応募者、従業員の家族、事故の相手方など6区分・合計約29万人分の個人情報が漏えいした可能性があると公表した。一部にマイナンバーや健康診断結果、事故時のけがの状況を含む。乗客の配車・乗車情報は対象外。
10月29日、Cursor の VS Code 拡張マーケットプレイスで Anthropic.claude-code の改ざん版 2.1.312・2.1.313（Windows・macOS）が約11時間配布された。端末情報を送り、authorized_keys に攻撃者の SSH 鍵を足し、逆向き SSH トンネルを常駐させようとする。Cursor によると最大約5,000人が入れた可能性があり、どう公開されたかはまだ説明されていない。
Cisco Talos が、2月に修正された CVE-2026-20127（CVSS 10.0、認証回避）を悪用して Catalyst SD-WAN の Controller と Validator に置かれたマルウェア「KeyDrift」を公表した。正規の vdaemon プロセスに注入され、復号後の制御メッセージから拠点間通信の AES-256 鍵とみられる32バイトを抜き出して RSA で暗号化して保存し、UDP で送り出せる。攻撃者 UAT-11473 は宇宙・衛星、防衛・航空宇宙、政策研究を狙い、基盤は Volt Typhoon の中継網 Silent Train と大きく重なる。
Check Point Research が、「GPT-5.6 Sol」「GPT-6 Astra」「Claude Opus」のデスクトップ版を装う GitHub のリポジトリと GitHub Pages から配られるマルウェアを報告した。ZIP には OpenAI・Anthropic の正規の署名付き Setup.exe と偽の winmm.dll が入っており、DLLサイドローディングで動く。指示は Telegram のチャンネル画像から作るドメインの DNS TXT を Google の DNS over HTTPS で引き、最終的に Tor 経由で XMRig を動かしていた。
ESETは、ウクライナの穀物物流企業への2025年の攻撃で、新しいGo製バックドア「MythicRatatoskr」が使われたと公表した。C2サーバーは、端末同士がエンドツーエンドで暗号化されたIPv6でつながる分散型のメッシュ網「Yggdrasil」の中にあり、国家系の攻撃者がこの網をこう使ったのは知る限り初めてだという。UAC-0099が7月にスピアフィッシングで入り、約2か月後にSandwormがグループポリシーでSDeleteを配ってデータを消した。C2をYggdrasilメッシュ網の中に隠したバックドア、UAC-0099の侵入をSandwormが引き継ぎウクライナの穀物物流企業でデータ消去。
Kaspersky GReATは10月22日、中央アジア3か国の外交機関を狙った2026年初めの攻撃で、BlackLotusに似たUEFIブートキット「BlackX」が使われたと公表した（APT41と中程度の確度で関連づけ）。狙われた端末は更新済みだったが、Baton Drop（CVE-2022-21894）の悪用に使われる古いブートマネージャーの署名証明書「Windows Production PCA 2011」の失効は、管理者が手で有効にしない限り行われない。攻撃者はそこを突いて独自のMOKを登録し、カーネルドライバーで防御製品を無力化しようとした。APT41のUEFIブートキット「BlackX」。最新パッチを当てた端末でもSecure Bootを破れた、失効を「手動で有効にする」更新の隙間。
OVHcloud のコマンドラインツール ovhcloud-cli で、10月19日に開発者のGitHubアカウントを使って公開済みの v0.11.0〜v0.15.0 のバイナリとchecksums.txtが差し替えられた。ソースコードとビルドの仕組みは無事で、差し替えはGitHubのリリース画面・APIから直接行われた。中身はクラウドの認証情報、SSH鍵、AIコーディングツールの履歴などを集めて送る窃取型マルウェア。OVHcloud は根本原因を「リリースの不変化（immutable releases）を有効にしていなかったこと」とし、鍵は2025年10月に開発者の私物MacBookで入れた拡張機能から盗まれたと説明した。OVHcloud CLI のリリース差し替え。1年前に拡張機能で盗まれた開発者の鍵で、公開済み5リリースのバイナリとチェックサムが93分間すり替わった。
バックアッププラグイン UpdraftPlus の開発元 TeamUpdraft のサイトが10月17〜18日に不正アクセスを受け、遠隔管理サービス UpdraftCentral（クラウド版）の接続鍵を含む顧客データベースが盗まれた。攻撃者はその鍵で正しく署名したコマンドを接続先のWordPressサイトに送り、99種類以上の名前のバックドアプラグインを入れた。プラグインの脆弱性ではないため、サイト側のファイアウォールや二要素認証は効かなかった。修正版は UpdraftPlus 1.26.13／2.26.13（1.26.12／2.26.12 は鍵を消せない不具合あり）。UpdraftCentral の接続鍵流出。開発元のサイトから盗まれた正規の署名鍵で、WordPressサイトに「正しく署名された」バックドア入りプラグインが送り込まれた。
Plex Media Server に、インターネットから認証なしでプロセス権限のコード実行までつながる4件の欠陥（CVE-2026-96652／96654／96655／96656）があった。研究者 Zach Main が10月16日に技術詳細とPoCを公開し、翌日にはインターネットに出ている古いサーバーへ暗号通貨マイナーと住宅IP向けのプロキシウェアが送り込まれる悪用が観測された。修正は8月公開の 1.43.3.10861。インターネットから届く 1.43.3.10861 未満は乗っ取られたものとして扱う必要がある。認証なしのSSRFから管理者トークン、コーデックのdlopenへつなぎ、公開翌日にマイナーと住宅IP用プロキシが配られた。
WordPress向けSEOプラグイン Rank Math の有料版 PRO で、2026年10月15日20:02〜16日07:12（UTC）に公式サイトからダウンロード・更新された 3.0.123 にマルウェアが入っていた。版数は10月7日公開の正規版と同じで、版数では見分けられない。有効化したサイトは乗っ取られたものとして扱い、サイトを開くたびにバックドアを作り直す仕組みを先に止めてから掃除する必要がある。侵入経路と影響件数は公表されていない。Rank Math PRO 3.0.123 の配布物改ざん。公式サイトからの約11時間のダウンロードと更新に、自分を作り直すバックドアが入っていた。
2023年からWindowsの開発者を狙ってnpmに悪性パッケージを出し続けている「MALFEX」が、削除されたJavaScriptの部品を2日以内に作り直し、最後はローダーをコンパイル済みのNode.jsネイティブアドオン（DLL）に移した。imgdecodeはrequire()されただけで、対話型のコンソールで動いているときに限り、GitHubから暗号化されたシェルコードを取得し、停止状態で起動したdllhost.exeに注入する。インストールスクリプトを使わないため、install scriptを止める対策では防げない。SafeDepが分析を公開した10月13日以降も、10月18日昼の時点でnpmに残っている。npmパッケージ imgdecode（MALFEX）。インストールスクリプトなし、require()した瞬間に同梱のWindows用DLLがシェルコードを取りに行く。
Windows向けバックアップソフト AOMEI Backupper が更新の確認に使う2つの設定ファイルが、2026年4〜7月にAOMEIのサーバー上で1回5〜10分だけ書き換えられ、その間に問い合わせた端末がダウンローダー CROSSROAD とバックドア SHINYROAD を受け取った。設定ファイルには署名がなく、ダウンロードの正しさを示すMD5も同じファイルの中にあった。GTIGとMandiantは攻撃者をUNC7017と呼び、11か国の組織への影響を確認した。AOMEIはサーバー側を対処したと回答したが、すでに感染した端末は残るため、4〜7月の期間をさかのぼって調べる必要がある。
Unit 42が、通信事業者のマネージドサービス企業への長期侵入（CL-STA-0954、別名UNC5820）を公表した。攻撃者はFortiManagerの欠陥FortiJump（CVE-2024-47575）から500台超のFortiGateの設定・暗号鍵・シリアル番号を持ち出し、設定から復元した正規の認証情報でSSL-VPNに入り、FortiOSのCLIのパストラバーサル（CVE-2025-61624）で管理者からrootへ上がって、メモリ常駐型のARM64マルウェアPEERSTITCHを入れた。CVE-2025-61624は2026年4月に修正済みで、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。FortiOS CVE-2025-61624とPEERSTITCH。FortiManager 1台から500台超のFortiGateの設定と鍵が抜かれ、ディスクにもネットにも跡を残さない常駐型の実装へ。
カナダのCitizen Labは、イスラエルの広告会社Discover-Techが買った広告を通じて、報道機関Al Jazeeraの端末にCandiru（現Integrity Labs）のスパイウェアが送り込まれたと報告した。広告はふだん何も返さず、広告IDやIPアドレスで選んだ相手にだけ攻撃用のJavaScriptを1回だけ返すため、広告配信網の審査をすり抜けた。少なくとも45台が標的になり、この手口の広告は約7.5万のアプリと約12万のWebサイトに表示されていた。Googleなどは10月上旬に同社を締め出した。広告が表示されただけで感染、イスラエルの広告会社Discover-Techの「狙った1台にだけ攻撃コードを返す」配信でAl JazeeraにCandiruのスパイウェア。
Ledgerは東南アジアのリセラーCryptoBilis経由で購入した利用者の資金消失を調査し、影響を受けた1台に不正なハードウェアインプラントを確認した。自社インフラの侵害は否定。Bitqueryは6チェーン・315ウォレットから約9,320万ドルが引き出されたと報告するが、Ledgerは総額を公表していない。Ledger × CryptoBilis。正規リセラー経由の端末に不正なハードウェアインプラント、オンチェーンで約9,320万ドル規模の一斉引き出し。
Huntressが、バックアップ管理コンソールAhsayCBSの2件の脆弱性（CVE-2026-105133／105134）を悪用した攻撃を観測したと公表した。認証を迂回してからOSコマンドを実行し、JSPのWebシェルとXMRigマイナーを仕掛ける。NVDでは10.3.4で修正と書かれているが、Huntressは最新の10.3.4も影響を受けると確認しており、管理画面の公開を絞るしかない。AhsayCBS CVE-2026-105133／105134。認証回避とコマンド注入の連鎖でバックアップ管理コンソールが奪われ、最新版もまだ直っていない。
第一興商は10月8日、個人情報の取り扱いを委託している日本コロムビアグループの従業員の端末（PC1台）がマルウェアに感染し、その端末に一時的に保管されていた顧客情報などが漏えいしたおそれがあると公表した。対象はカラオケ「ビッグエコー」や飲食「DKダイニング」などで会員登録・予約をした客の氏名・性別・生年月日・メールアドレス・電話番号約863万1000件と従業員情報約9万3000件の計約872万4000件。実際の漏えいや不正利用は確認されていない。
Nozomi NetworksとFortiGuard Labsが、ルーターやDVRの既知の脆弱性で広がるLinuxボットネットCling（ClingSTUN）を報告。NAT越えのSTUN通信に登録と命令を紛れ込ませ、命令はGoogleのSTUNサーバーのIPアドレスを偽装した送信元から届いていた。Cling（ClingSTUN）。公開STUNサーバーとのやり取りに命令を紛れ込ませ、GoogleのSTUNを装って届くIoTボットネット。
China-nexusのWarlock運用者が、未パッチのオンプレSharePointから入り、SYSVOLにランサムを置いてドメイン複製で一斉展開する手口。Warlock（Longlegs / Storm-2603）。SharePoint侵入からSYSVOL複製でドメイン全体へランサムを配る。