CL-STA-1238 ― 公開AIペンテスト基盤Cairnで自律的に侵入
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
← タグ一覧へ
タグ / 攻撃手法
標的型攻撃
すべての面から10件。公開日の新しい順。（APT のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Poisoned Source ― 解析タグ改ざんなどでスマホに既知脆弱性を攻撃
Sekoia は、改ざんした正規サイト、なりすましの中継サイト、8月27日〜9月3日に改ざんされたウクライナの Web 解析サービス Plerdy の3経路で、未更新の iPhone・Android にゼロクリックの n-day 攻撃（iOS は DarkSword）を配る水飲み場攻撃を報告した。Cookie や端末内のデータを盗むもので、Sekoia は中〜高の確度で APT29 によるものと評価している。
Lazarus ― 韓国の必須セキュリティソフト配下でマルウェアを実行
Kaspersky は、Lazarus が遅くとも2025年7月から韓国のソフトウェア・建設・通信機器の企業を狙った「Operation FlashHole」を報告した。韓国の金融サイトで導入を求められる INISAFE CrossWeb EX のプロセスから攻撃が始まり、GitHub の非公開リポジトリを C2 に使うローダーや、耐量子暗号（ML-KEM-1024）を使う LPEClient などがメモリ上で動いていた。
Binance ― ホットウォレットから暗号資産が大量流出
10月29日（UTC）、Binance のウォレットから10のブロックチェーンで約63.6億ドル相当が約20分で引き出された。Binance は DevOps エンジニアのノートPC侵害から出金サービスのコンテナに入られたとみており、Ethereum では事前署名した EIP-7702 の委任50件でホットウォレットが乗っ取られた。TRM Labs と Chainalysis は北朝鮮の TraderTraitor によるものと評価し、約27億ドルが凍結された。
KeyDrift ― Cisco SD-WANの制御装置に鍵収集マルウェアが潜伏
Cisco Talos が、2月に修正された CVE-2026-20127（CVSS 10.0、認証回避）を悪用して Catalyst SD-WAN の Controller と Validator に置かれたマルウェア「KeyDrift」を公表した。正規の vdaemon プロセスに注入され、復号後の制御メッセージから拠点間通信の AES-256 鍵とみられる32バイトを抜き出して RSA で暗号化して保存し、UDP で送り出せる。攻撃者 UAT-11473 は宇宙・衛星、防衛・航空宇宙、政策研究を狙い、基盤は Volt Typhoon の中継網 Silent Train と大きく重なる。
VMware ESX ― 操作をログに残さない欠陥がゼロデイ悪用されていた
CISAは2026年10月28日、VMware ESXの記録不備の欠陥CVE-2026-41709（CVSS 2.7）をKEVに追加した。CrowdStrikeは同日、中国系とする攻撃者WARP PANDAが2026年初めまでゼロデイとして悪用したと報告した。修正は7月のVMSA-2026-0006で出ている。
Volt Typhoon ― 使い捨て中継網で管理基盤のゼロデイを悪用
Lumen Black Lotus Labs が3年間追跡した Volt Typhoon の中継網「Silent Train」を公表した。27種類超のSOHO・IoT・企業機器を必要なときだけ乗っ取って4〜6段のSSH中継を組み、使い終わると痕跡を消す。この網を通じて Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestrator のゼロデイ4件（ほかに Quest KACE の可能性）が悪用され、ハワイ・カリフォルニア・テキサスの通信・防衛・重要インフラが狙われた。
MythicRatatoskr ― C2をYggdrasil網に隠すバックドアとデータ消去
ESETは、ウクライナの穀物物流企業への2025年の攻撃で、新しいGo製バックドア「MythicRatatoskr」が使われたと公表した。C2サーバーは、端末同士がエンドツーエンドで暗号化されたIPv6でつながる分散型のメッシュ網「Yggdrasil」の中にあり、国家系の攻撃者がこの網をこう使ったのは知る限り初めてだという。UAC-0099が7月にスピアフィッシングで入り、約2か月後にSandwormがグループポリシーでSDeleteを配ってデータを消した。C2をYggdrasilメッシュ網の中に隠したバックドア、UAC-0099の侵入をSandwormが引き継ぎウクライナの穀物物流企業でデータ消去。
TA419 ― AI政策の専門家を狙うAitMフィッシング
Proofpointが中国寄りのTA419を報告。無害なメールで信頼を得てから偽OneDrive経由でMicrosoft 365のログインを中継し、MFA後のセッションCookieを奪う。日本の組織や防衛相のなりすましドメインも。元米政府高官やAnthropic社員を装ってAI政策の専門家に接近、MFAごとセッションを奪うAitMフィッシング。
Star Blizzard ― ClickFixからCosmicPulseを入れる諜報攻撃
ロシア系Star Blizzardが、ClickFixに代わりVHDXと偽メンテ名のスケジュールタスク（RedFlick）でCosmicPulseを配布。2026年に13件超の大規模キャンペーン。Star Blizzard RedFlick。ClickFixからVHDX＋スケジュールタスクへ、1操作でCosmicPulseを入れるespionage配信。