ハッカーがSEOポイズニングを使用してGemini CLIとClaudeインストーラーを偽造

経済的動機を持つ脅威行為者は、Google のGemini CLIとAnthropicのClaude Codeになりすましながら、SEOポイズニングを使用して、ファイルレスのPowerShell情報窃取ツールを世界中の開発者ワークステーションに配信するアクティブなキャンペーンを実行しています。

2026年3月初旬にEclecticIQの研究者によって最初に特定されたこのキャンペーンは、AI開発者向けツーリングを狙ったサプライチェーン焦点のeクライム活動における計算された段階的なエスカレーションを表しています。

感染は、開発者による日常的なWebサーチから始まります。攻撃者はブラックハットSEO技術、キーワードスタッフィング、プライベートリンクネットワーク、および人工的なクリック水増しを使用して、攻撃者が管理するドメインを正規のベンダー結果の上に表示させます。

なりすましのためのSEOポイズニング

「Gemini CLI」を検索している被害者はtyposquatドメイン geminicli[.]co[.]com にアクセスし、Claude Codeユーザーは claudecode[.]co[.]com にリダイレクトされます。両方とも .co.com サフィックスを活用して正当性を装うために登録されています。

Researchers によって追跡された重複はありますが関連のあるキャンペーンで、InstallFix という名前で、Google Ads スポンサー結果を通じてのみ、ほぼ同一の偽の Claude Code インストールページを配信しました。つまり、攻撃者は検索結果の最上位に表示されるために費用を払いました。

研究者は、アメリカ、アジア太平洋地域、ヨーロッパ、およびAMEAの政府、電子機器、教育、食品・飲料セクターに対する攻撃を確認しました。

ソーシャルエンジニアリングのおとり文句は驚くほどシンプルです。視覚的に複製されたインストールページは、開発者にターミナルに単一のPowerShellコマンドを貼り付けるよう指示します。EclecticIQによると、この技術を有効にするのは、第1段階スクリプトの同時デュアル実行です。

隠された Shell.Application COMオブジェクトが、 irm | iex を介して gemini-setup[.]c[.]com から第2段階の情報窃取ツールをサイレントに取得して メモリ実行する一方で、同じスクリプトは、可視ターミナルで被害者に 正規の npm install -g @google/gemini-cli を実行します。

Claude Code バリアントの場合、EclecticIQ テレメトリが観察した mshta.exe が download-version[.]1-5-8[.]com に対して呼び出され、正規のMicrosoft Bingパッケージを含むZIP/HTA多形式ファイル（claude.msixbundle）を取得しました。これは有効な署名を持ちながら、追加の悪意のあるHTAペイロードを伴い、静的検出を回避するために特別に設計されたデュアル形式構造です。

第2段階のPowerShellペイロードは、即座に Windows のイベントトレーシング（ETW）を無効にし、AMSI をバイパスしてから収集を開始します。

約6,800行の難読化されたスクリプトとアンチサンドボックス qemu-ga チェックが、その後、幅広い表面全体で認証情報を収集します：Chrome、Edge、Brave、およびFirefoxのログインデータ；Slack、Teams、Discord、Zoom、Telegram からのセッショントークン；WinSCP、PuTTY、およびOpenVPN設定；OneDrive、Google Drive、MEGA、およびProton Driveからのクラウド同期ディレクトリ；およびOAuthトークン、SSHキー、およびCI/CD認証情報。

コラボレーションプラットフォームから盗まれたセッションクッキーはMFAを完全にバイパスし、アクセスブローカー市場に即座の再販売価値とともに供給します。

EclecticIQのキャンペーンの防弾ホスト 109.107.170[.]111 （オランダベースのMIRhosting）からのパッシブDNSピボットにより、Node.js、Chocolatey、KeePassXC、およびMoneroになりすまし、脅威行為者はおとり文句ブランドとC2ホスト名のみをローテーションする30以上のドメインのクラスタが明らかになりました。

このキャンペーンは、観察された .us.com 、 .us.org 、および .co.uk TLDパターンに基づいて、米国と英国に地理的に焦点を当てているようです。

侵害の指標

注： IPアドレスとドメインは、誤った解決またはハイパーリンクを防ぐために意図的に欠陥を持つ形式です（例： [.]）。MISP、VirusTotal、またはSIEMなどの制御された脅威インテリジェンスプラットフォーム内でのみ修復してください。

セキュリティチームは、コマンドラインテレメトリで irm | iex ダウンロード搖籃パターンを検索し、 -WindowStyle Hidden で生成された powershell.exe で警告を発する必要があります。

組織は、WDACまたはAppLockerを介して PowerShell 制約付き言語モードを実施し、特権のある開発者アカウントにFIDO2キーをデプロイし、信頼できないサイトでのクリップボード書き込みアクセスを防ぐようにブラウザーポリシーを構成する必要があります。

貼り付けと実行のソーシャルエンジニアリング（特にAIツールインストールワークフロー用）に対処する開発者の認識トレーニングは、利用可能な最も直接的な予防管理です。