EclecticIQ のセキュリティ研究者は、サイバー脅威行為者が Google Gemini のコーディングツールと Anthropic の Claude Code を偽装した詐欺的なサイトを作成して、情報盗聴マルウェアを配信する新しい悪意あるキャンペーンを発見しました。
最初の警告は、ソーシャルメディアで @g0njxa として知られている独立したセキュリティ研究者からもたらされました。4月21日に、彼らはX 上で Gemini コマンドラインインターフェイス (CLI) を悪用した詐欺キャンペーンに旗を立てました。CLI は開発者がターミナルから直接 Gemini AI モデルと対話できるようにする機能です。
EclecticIQ の研究者がこれらの発見に基づいてキャンペーンを調査しました。彼らは脅威行為者が 2026 年 3 月初旬に悪意のあるドメインをデプロイし始めたことを発見しました。
彼らはまた、攻撃者がコントロールするドメインで .co.uk、.us.com、.us.org トップレベルドメインを選択していることから、このキャンペーンは米国と英国のユーザーを対象とした地理的に調整されたものである可能性が高いと評価しました。
インフォスティーラー機能
これらのドメインが標的にとって魅力的であることを確認するため、SEO ポイズニング手法を使用して詐欺的なドメインを正当な結果の上に表示し、被害者を本物の AI エージェント インストールページを模倣した攻撃者の制御下にあるインフラストラクチャに誘導しました。
これらのドメインは Windows エンドポイントを標的とし、PowerShell を通じてメモリ内で完全に実行されるインフォスティーラーにリードします。このインフォスティーラーは、幅広いアプリケーションから認証情報とセンシティブデータを収集し、暗号化された形式で結果をコマンドアンドコントロール (C2) サーバーに流出させます。
「スティーラーの収集範囲は、エンタープライズユーザーと開発者のワークステーションに対する意図的な焦点を明らかにしています」と、EclecticIQ の研究者は5月21日のレポートで指摘しました。
Chrome、Edge、Brave などの Chromium ファミリーブラウザと Firefox の両方を標的として、ログイン認証情報、セッションクッキー、自動入力データ、フォーム履歴を抽出します。
- Slack: ローカル状態キーとネットワーククッキーの抽出
- Microsoft Teams: LocalAppData 下の EBWebView キャッシュクッキー、DPAPI で保護されたローカル状態の復号化
- Discord: ローカルストレージ LevelDB ファイルとローカル状態
- Mattermost: セッションクッキーとローカル状態
- Zoom: Zoom.us.ini から抽出された DPAPI で保護された win_osencrypt_key
- Telegram Desktop: tdata セッションディレクトリ
- LiveChat、Notion、Zoho Mail Desktop: セッションクッキーとパーティション化されたストレージデータ
EclecticIQ は、これらのプラットフォームのいずれかのセッションクッキーまたはローカル状態キーが、内部チャネル、共有ファイル、クライアント通信、接続統合を含む被害者のワークスペースへの認証済みアクセスを許可することに注目しました。
インフォスティーラーはまた、リモートアクセスツール、OpenVPN 設定ファイル、暗号資産ウォレット（例：Brave Wallet の環境設定と Spectre ウォレットデータ）、クラウドストレージ（例：Proton Drive、iCloud Drive、Google Drive、MEGA、OneDrive）、ユーザーファイル、システムメタデータからデータを収集します。
最後に、攻撃者が被害者のデバイス上で任意のリモートコード実行タスクを実行できます。金銭的な動機を持つサイバー犯罪者は通常、このような機能を利用して、選ばれた被害者に対する実践的な侵害に移行し、侵害されたエンタープライズ環境内で対話的なコードを実行します。
Gemini CLI 攻撃チェーン
Gemini CLI にアクセスしていると思っている標的の被害者は、代わりに詐欺的なインストールページ geminicli[.]co[.]com にリダイレクトされます。このページは正当なインストール手順のように見えるものを表示します。
このページは、ユーザーに PowerShell コマンドをターミナルにコピーして貼り付けるよう促します。実行されると、このコマンドは gemini-setup[.]com に接続して、インフォスティーラー ダウンローダー ペイロードをダウンロードします。
ダウンロードが完了すると、インフォスティーラーは events[.]msft23[.]com でホストされている C2 サーバーへの接続を確立します。このインフラストラクチャは、侵害されたホストから流出したデータを受け取るために使用されます。
Claude Code 攻撃チェーン
3月30日に、EclecticIQ は誰かが Claude Code を偽装した 2 つの追加ドメイン claudecode[.]co[.]com と claude-setup[.]com を登録したことを観察しました。
Gemini CLI 詐欺と同様のパターンで、悪意あるドメイン claudecode[.]co[.]com は Anthropic の公式ドキュメントと視覚的に一致した複製されたインストールページをホストし、ユーザーにツールを「インストール」するための PowerShell コマンドを提示します。一方、claude-setup[.]com はダウンロードされた最終ペイロードをホストします。
実行後、インフォスティーラー マルウェアは流出したデータを events[.]ms709[.]com に送信します。これは Claude Code 詐欺キャンペーンの C2 サーバーとして機能します。
両方の攻撃チェーン間の類似性は、単一の脅威行為者が両方のキャンペーンの背後にいることを強く示唆しています。
画像クレジット：Stock all / aileenchik / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/gemini-claude-infostealers-seo/
