ハッカーがSEOポイズニングを使用してGemini CLIとClaude Codeのインストーラーを偽装

ハッカーが検索エンジン最適化（SEO）技術を悪用して、Gemini CLIやClaude Codeなどの人気のあるAI開発者ツールになりすましてマルウェアを配布しています。

2026年3月初頭に最初に観察されたこのアクティビティは、攻撃者が検索エンジンの結果で正規のソースより上位にランク付けされた悪質なドメインを作成していることを示しています。

公式インストールガイドを検索する開発者は、信頼できるベンダーの実際のドキュメントに密接に模倣したこれらの偽のWebサイトにリダイレクトされます。ページにアクセスすると、被害者はツールをインストールするためにPowerShellコマンドをコピーして実行するように指示され、知らないうちに隠れたマルウェア感染をトリガーします。

観察された1つのケースでは、Gemini CLIを検索していたユーザーはタイポスクワッティングドメイン「geminicli[.]co[.]com」にリダイレクトされました。このサイトは正規のインストール手順に見える表示を行い、ユーザーに「gemini-setup[.]com」から悪意のあるPowerShellスクリプトを静かに取得するコマンドを実行するよう促しました。

このスクリプトはinfostealer（情報窃取マルウェア）をメモリ内で完全にダウンロードして実行し、ディスク上に最小限の法医学的証拠を残しました。

マルウェアは「events[.]msft23[.]com」などのコマンド・アンド・コントロール（C&C）インフラストラクチャとの通信を確立し、盗まれたデータが暗号化された形で流出します。

EclecticIQが明らかにした最近のキャンペーンは、経済的な動機を持つ脅威者がいかに検索結果を毒して、説得力のある偽のインストールページを通じてファイルレスのinfostealer マルウェアを配布してソフトウェア開発者をターゲットにしているかを強調しています。

偽のGemini CLIとClaude Code

AnthropicのClaude Codeをターゲットにした並行キャンペーンは、「claudecode[.]co[.]com」や「claude-setup[.]com」などのドメインを含む同様のインフラストラクチャと技術を使用しており、両方の操作の背後に単一の脅威者がいる可能性が高いことを示しています。

このキャンペーンを特に欺瞞的にしているのは、その二重実行方法です。悪意のあるスクリプトがバックグラウンドで実行されている間に、同時にnpmを経由して正規のGemini CLIをインストールします。

これはインストールの成功の錯覚を生成し、妥協をマスキングします。ユーザーがツールとの相互作用を開始するまでに、機密データは既に収集され、攻撃者が管理するサーバーに送信されています。

ピボットクラスターは「nodejs-setup.co[.]com」で、公式のNode.jsインストールページになりすましているドメインです。正規のNode.jsインストーラーを提供する代わりに、ページは訪問者に以下のPowerShellコマンドを実行するよう指示します。

infostealerは検出を回避し、ステルス的に動作するように設計されています。Windows用イベント追跡（ETW）やマルウェア対策スキャンインターフェース（AMSI）などの重要なWindows セキュリティ機能を無効にし、エンドポイント防御を事実上目盲にします。

ペイロードは非常に難読化されており、PowerShellを使用してメモリ内で完全に実行され、従来のセキュリティツールで検出することが困難になります。

アクティブになると、マルウェアは感染したシステムから広範囲の機密データを収集します。これには、ブラウザの認証情報、セッションクッキー、OAuthトークン、VPN設定、SSHキー、およびSlack、Microsoft Teams、Discord、Zoomなどのコラボレーションツールのデータが含まれます。

また、クラウドストレージディレクトリ、暗号資産ウォレット、およびローカルファイルをターゲットにし、攻撃者に個人環境と企業環境の両方への広範なアクセスを提供します。

注目すべきことに、マルウェアはリモートコード実行機能を含み、攻撃者が侵害されたシステムでコマンドを発行し、追加のペイロードをデプロイできるようにします。これにより、自動化されたデータ盗難からインタラクティブな直接操作攻撃への移行が可能になり、より深刻なネットワーク侵害のリスクが増加します。

インフラストラクチャ分析により、キャンペーンはbulletproof hosting（責任を回避するホスティング）サービスでホストされており、Node.js、Chocolatey、KeePassXCなどの開発者ツールになりすましている30以上の関連ドメインが含まれていることが明らかになりました。

1つのバリエーションでは、攻撃者は同じinfostealer ペイロードを配信するために複数の詐称ドメインを連鎖させた偽のNode.jsインストールページを使用し、さらに信頼性を高めました。

このキャンペーンは、脅威者がエンタープライズ環境でのAI ツールの採用の増加を利用して開発者の信頼を悪用している方法を示しています。開発者はしばしば昇格した特権を持ち、重要なシステムへのアクセスを持つため、初期アクセスのための高価値ターゲットになります。

RedLineやLummaC2などの主要なinfostealer操作に対する最近の法執行行動にもかかわらず、このキャンペーンは認証情報窃取エコシステムの継続と進化を浮き彫りにしています。低い運用コストと盗まれたデータへの高い需要が、これらの攻撃を継続的に推進しています。

セキュリティチームは、特にInvoke-RestMethodやInvoke-Expressionなどのコマンドが一緒に連鎖した使用を含む疑わしいPowerShellアクティビティを監視することをお勧めします。追加のインジケータには、隠れたPowerShell実行、スクリプト実行直後の異常なアウトバウンド接続、および正規の開発者ツールを模倣した疑わしいドメインへのトラフィックが含まれます。

このキャンペーンは、特に開発者ツールをインストールする際にソフトウェアソースを検証することの重要性を強化し、現代のエンタープライズ環境でAI採用とサプライチェーンリスク間の交差点の増加を強調しています。

IOCs（侵害の指標）

注：IPアドレスとドメインは、誤った解決またはハイパーリンクを防ぐために意図的に無効化されています（例：[.]）。MISP、VirusTotal、またはSIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ、ファングを再び有効にしてください。