金銭的動機を持つ脅威アクターが、人気のAIコーディングアシスタントになりすましてソフトウェア開発者を標的にするケースが増加しています。
新たに発見されたキャンペーンでは、攻撃者がSEOポイズニングを活用してGemini CLIおよびClaude Codeの偽インストールページを上位表示させ、最終的に高度なファイルレスのPowerShellインフォスティーラーによってエンタープライズネットワークを侵害しています。
このキャンペーンは、2026年3月初旬に独立した脅威リサーチャーの@g0njxaによって最初に発見され、検索エンジンの結果を操作することに依拠しています。
開発者が公式のGeminiまたはClaudeツールを検索すると、geminicli[.]co[.]comやclaudecode[.]co[.]comといったタイポスクワッティングドメインに誘導されます。これらの悪意あるサイトは、ユーザーを欺くために正規ベンダーのドキュメントを完璧に複製しています。
標準的なインストーラーのダウンロードを提供する代わりに、これらのページは被害者に対してターミナルへ1つのPowerShellコマンドをコピー＆ペーストするよう指示します。この手法は、一行のセットアップスクリプトを詳しく確認せずに実行するという開発者の一般的な習慣を悪用したものだと、Eclecticiqは述べています。
コマンドが実行されると、gemini-setup[.]comやclaude-setup[.]comといったステージングサーバーに接続し、悪意あるペイロードをダウンロードします。疑惑を避けるため、最初のスクリプトは2つのアクションを同時に実行します。
一方では、Googleの公式npmレジストリから要求されたパッケージ（npm install -g @google/gemini-cli）を正規の手順でインストールし、通常の依存関係解決とプログレスバーをユーザーに提示します。
その裏では、非表示ウィンドウを使用してirm [URL] | iexコマンドパターンにより、第2段階のインフォスティーラーを直接メモリ上にダウンロード・実行します。
起動後、PowerShellスクリプトはMicrosoft Windowsエンドポイントの可視性を即座に無効化しようとします。PSEtwLogProvider.m_enabledフラグにパッチを当ててPowerShell固有のイベントトレーシング（ETW）テレメトリを抑制し、マルウェア対策スキャンインターフェース（AMSI）をバイパスします。
これにより、高度に難読化されたマルウェアが、ヒューリスティックまたはシグネチャベースのセキュリティアラートを発生させることなく、事実上監視されていない環境で動作することが可能になります。
完全にメモリ上で動作するこのインフォスティーラーは、開発者ワークステーションから高価値な資産を抽出することに重点を置いていると、Eclecticiqは述べています。
実行時に読み込まれる組み込みのC#型を使用して、監視が厳しいコマンドレットをバイパスし、Windows資格情報マネージャーを照会し、実行中のプロセスを列挙して環境をマッピングします。
このマルウェアは、広範にわたる機密エンタープライズデータを収集します。
窃取されたデータはその後パッケージ化され、events[.]msft23[.]comやevents[.]ms709[.]comといったコマンド＆コントロール（C2）サーバーへ送信されます。
窃取されたセッション情報は攻撃者に内部ワークスペースへの認証済みアクセスを付与するため、多要素認証を事実上バイパスし、地下のアクセスブローカー市場において非常に高い価値を持ちます。
オランダのプロバイダーMIRhostingにホストされているインフラのパッシブDNS分析により、より大規模な作戦の存在が明らかになっています。
Eclecticiqのリサーチャーは、Node.js、Chocolatey、KeePassXCなど他の主要な開発者ツールを標的とした30以上の関連ドメインを特定しています。
nodejs-setup.co[.]comのようなドメインは、ユーザーに偽のChocolateyインストールスクリプトを実行するよう指示し、複数の偽ドメインを単一のソーシャルエンジニアリングの流れに組み込んでいます。
おとりとなるブランドやC2ホスト名をローテーションしながら、基盤となるPowerShellインプラントを維持することで、脅威アクターは開発者のワークフローに対する深い理解を示しています。
開発者はソースコードリポジトリやエンタープライズネットワーク全体で昇格した権限を持っているため、これらの日和見的な攻撃は深刻なサプライチェーンリスクをもたらします。
注意： IPアドレスおよびドメインは、誤った名前解決やハイパーリンクを防ぐため、意図的にデファング処理（例：[.]）されています。再ファング処理は、MISP、VirusTotal、またはSIEMなどの制御された脅威インテリジェンスプラットフォーム内でのみ行ってください。
セキュリティチームは、コマンドラインテレメトリ内のirm | iexダウンロードパターンを積極的に探索し、この脅威を軽減するために開発者ワークステーションにPowerShell制約言語モード（CLM）を適用することを推奨します。
翻訳元: https://cyberpress.org/seo-poisoning-gemini-claude-installers/