攻撃者たちはGitHubおよびSourceForge上に、ChatGPT、Claude、AutoTune、Kontakt、Ableton Live、ZENOLOGYなど広く使われているソフトウェアを装った偽のインストーラーやプラグインをホスティングしています。Malwarebytesによると、これらのダウンロードファイルはDinDoorと呼ばれるバックドアをインストールし、さらにDeno JavaScriptランタイム上に構築されたリモートアクセス型トロイの木馬（RAT）を読み込みます。
乗っ取られたYouTubeチャンネルが被害者を悪意あるリポジトリへ誘導します。偽ツールを宣伝する動画は合計5万回以上視聴されています。攻撃者はGitHubアカウントを使い回し、1アカウントに複数のリポジトリを作成しており、古いものが削除されると新たな囮を用意します。MalwarebytesはこのアクティビティをGitHubに報告し、フラグ付けされたリポジトリは削除されましたが、新たなリポジトリが出現することが予想されます。
AIで生成された動画を持つ乗っ取り済みYouTubeチャンネル（出典：Malwarebytes）
感染の仕組み
悪意あるリポジトリは訪問者に対してターミナルを開き、GitHubからMSIインストーラーまたはPowerShellスクリプトをダウンロードするコマンドを貼り付けるよう求めます。WindowsとmacOS両方のコマンドが用意されています。実行されると、スクリプトはScoopパッケージマネージャーとWinGetをインストールし、それらを使って正規のDenoランタイムをインストールします。その後、Denoを使ってリモートサーバーから直接DinDoorバックドアを取得・実行し、次のステージは標準入力経由でメモリ上で実行されるためディスクには一切書き込まれません。
DinDoorはレジストリのRunキーで永続化を確立し、コマンド＆コントロールサーバーにシステム情報を送信して、さらなるペイロードをダウンロードします。分析されたケースでは、そのペイロードの一つは以前Smokestという名前で追跡されていたDenoベースのRATです。コードの類似性から、同じ作者またはチームが両ツールを開発したことが示唆されます。
RATの機能
このRATは感染したマシンを広範に制御できます。任意のコマンドやPowerShellスクリプトの実行、スクリーンショットの取得、ファイル管理、プロセスの起動や強制終了、SOCKS5プロキシトンネルの開設が可能です。組み込みのスティーラーモジュールは50以上の暗号通貨ウォレット拡張機能と、Atomic Wallet、Exodus、Electrum、ByteCoinを含む10のウォレットアプリケーションを標的にしています。また、Chrome、Brave、Edge、Opera、Vivaldi、その他Chromiumベースのブラウザのデータや、Telegram、Discord、Lightcordのデータも収集します。
特筆すべき機能が一つあります。被害者の画面をライブ映像でストリーミングするために、RATはMicrosoft Edgeをひそかに起動し、Chrome DevTools Protocol経由で接続してWebRTCページを注入します。EdgeはP2P接続を通じて暗号化されたビデオフレームを直接攻撃者へ中継し、通信は正規のブラウザプロセスを経由します。この設計により、攻撃者はネットワーク検知を回避できます。
信頼できるプラットフォーム、正規のツール、隠されたペイロード
このキャンペーンは、信頼性の高いホスティング、正規の開発ツール、ソーシャルエンジニアリングを組み合わせています。GitHubとSourceForgeは開発者やパワーユーザーから信頼されています。Scoop、WinGet、Denoはいずれも主流のツールです。これらを組み合わせることで、攻撃者は署名なしのバイナリや異常なダウンロード元を監視するセキュリティ製品の目を逃れることができます。
「この偽ソフトウェアは、GitHubやSourceForgeなどのサイトから非公式ツール、クラックソフトウェア、コミュニティ配布のインストーラーをダウンロードする可能性が高い、クリエイター、AI愛好家、ゲーマー、技術に詳しいユーザーを標的に設計されているようです」と、MalwarebytesのマルウェアリサーチエンジニアであるGabriele OriniはGabriele Orini、説明しています。
翻訳元: https://www.helpnetsecurity.com/2026/05/27/deno-rat-malware-fake-chatgpt-claude-installers/
