今月の主要ニュース
1. Anthropic「Claude Mythos」、自律的な脆弱性発見能力を実証
- AnthropicはAIモデル「Claude Mythos」の限定プレビュー版を公開しました。これは攻撃能力における根本的な転換点を示すものであり、自動化された脆弱性発見が人間による修正のペースを大規模に上回るようになったことを意味します。
- 同モデルは主要なOSやブラウザにまたがるゼロデイ脆弱性を自律的に発見し、連鎖させる能力を実証しました。具体的には、Apache ActiveMQに存在する13年来のリモートコード実行（RCE）の欠陥(CVE-2026-34197)や、NSAのツール「Ghidra」における認証バイパスを独自に発見しています。
- その強力な攻撃能力ゆえ、敵対的な悪用を防ぐ目的で、アクセスは主要業界のパートナー50社に厳しく限定されています。
2. Axios npmパッケージ、大規模サプライチェーン侵害を受ける
- 北朝鮮関連とされる脅威アクターが、週間ダウンロード数1億回超という基幹的なJavaScriptライブラリ「Axios」のnpmパッケージについて、主要メンテナーアカウントを乗っ取りました。
- 攻撃者はリモートアクセス型トロイの木馬(RAT)「WAVESHAPER.V2」を含む悪意あるバージョンのパッケージを公開し、Windows、macOS、Linuxの各システムに影響を及ぼしました。
- この攻撃キャンペーンはCI/CDパイプラインを直接の標的とし、クラウドプロバイダーの認証情報(AWS、Azure、GCP)、Dockerのシークレット、SSHキーを窃取しました。セキュリティツールを狙う段階から、開発者の基幹インフラそのものを攻撃する段階への重大なエスカレーションを示しています。
3. Vercel、Context.aiの侵害を発端にサプライチェーン被害
- NextJSフレームワークの開発元であり、数万件のAIアプリケーションをホストするクラウド開発プラットフォームのVercelが、サードパーティ製AIツール「Context.ai」の侵害を発端とする被害を受けました。
- 攻撃者は窃取したOAuthトークンを悪用してVercel従業員のGoogle Workspaceアカウントを乗っ取り、内部システムへのアクセスを取得しました。これによりデプロイ構成、ソースコード、API/NPM/GitHubのトークン、顧客の認証情報が流出しました。
- この連鎖的な信頼関係の悪用を受け、脅威アクターは窃取したデータの見返りとして200万ドルの身代金を要求しました。
主要ランサムウェアグループ
注:2025年にはランサムウェア攻撃の件数が急増する一方で身代金支払い率は低下し、攻撃者はバックアップの破壊やカーネルレベルでのエンドポイントセキュリティ無効化といった「復旧妨害」戦術をますます採用するようになりました。
- The Gentlemen – 本グループは2026年において活動が2番目に活発なランサムウェアグループとして台頭しました。Windows、Linux、NAS、BSD、ESXiを標的とするマルチプラットフォーム対応のロッカーを使用します。系列アクターはインターネットに露出したVPN/ファイアウォールを侵入経路として利用し、数時間以内にGPO経由でランサムウェアを展開します。SystemBCプロキシボットネットを利用して1,570件超の企業ネットワークを侵害することに成功しており、製造業、テクノロジー、医療分野を中心に320件超（うち2026年だけで240件）の被害を主張しています。
- INC Ransom – このグループは大量攻撃キャンペーンを展開し、世界的に医療、法律、教育分野を積極的に標的としています。National Association on Drug Abuse Programsからは2TBのデータを窃取し、237,830人超に影響を及ぼしました。
- Qilin – 本グループは活発に活動しており、重要インフラ、エンジニアリング、製造業、医療分野に対するカスタマイズされた二重恐喝型攻撃を得意としています。NHS（英国国民保健サービス）のベンダーであるSynnovisへの継続的な攻撃（2024年6月の攻撃に端を発する）は、侵害発生から22カ月間で患者の安全に関わる重大インシデントを120件超引き起こしており、長期にわたる深刻な影響を浮き彫りにしています。
- Kyber Ransomware – Windows版に耐量子暗号（Kyber1024のハイブリッド方式）を実装した初の確認済みランサムウェアです。VMware ESXi環境を標的とした二種類の亜種による攻撃も観測されています。
- Storm-1175（Medusa） – 中国とのつながりが指摘される金銭目的のグループで、Medusaランサムウェアを展開し、米国・英国・オーストラリアにおける高速なNデイ脆弱性の悪用に重点を置いています。特筆すべきは兵器化までの窓が極めて短い点で、脅威アクターは脆弱性の公表からわずか24時間以内にアクセス取得、データ窃取、ネットワーク全体の暗号化を完了させています。
Linux／クラウド／IDへの攻撃:主要脅威
これらの脅威は、深刻度スコア(CVSS)の高さと、企業のクラウド、AI、ID基盤に及ぼす直接的かつ広範な影響に基づいて選定しています。
1. Flowise AIプラットフォームの任意コード実行(CVE-2025-59528)
- 種別: クラウド／AI自動化プラットフォーム
- 影響: 未認証の攻撃者がFlowise AIプラットフォーム上で任意のJavaScriptを注入できる深刻な脆弱性です。
- CVSS 10.0。2026年4月上旬に実際の悪用が始まり、公開状態でインターネットに露出しているAIプラットフォームのインスタンス12,000～15,000件という大規模な攻撃対象領域が標的となりました。
2. Nginx-uiのModel Context Protocolにおける認証バイパス(CVE-2026-33032)
- 種別: クラウドインフラ管理／ID
- 影響: Model Context Protocol(MCP)統合機能における認証欠落の欠陥により、未認証のリモート攻撃者が任意のコマンドを実行し、管理下のNginxインスタンスを完全に乗っ取ることが可能です。
- CVSS 9.8。現在も実際に悪用が続いています。攻撃者はデフォルトのIP許可リストをバイパスし、企業インフラ全体にわたる永続的なアクセスを確保するためWebシェルを展開しています。
3. F5 BIG-IP APMのリモートコード実行(CVE-2025-53521)
- 種別: ID・アクセス管理／ネットワークインフラ
- 影響: 当初はサービス拒否(DoS)の脆弱性として分類されていましたが、その後、企業の重要なVPN、SSOプラットフォーム、MFAシステムを扱うBIG-IP Access Policy Managerインスタンスにおいて、システムを完全に侵害できることが判明し、分類が見直されました。
- CVSS 9.3。F5は実際に悪用が確認されたことを認めています。国家的な関与が疑われるアクターは、公表前の数カ月間、本脆弱性をゼロデイとして悪用しWebシェルを展開していました。
Rubrik Zero LabsによるLLM活用型高度分析システムからの知見
バックアップ内に潜む主要脅威: 当社の高度分析システムは実際の攻撃で観測される主要な脅威やトレンドを特定し、そのデータをバックアップのテレメトリと照合することで、巧妙に潜伏するマルウェアを検出します。以下は、バックアップデータ内で確認された、第一線の防御をすり抜けている可能性が高い主要なマルウェアファミリーです。
リモートアクセス型トロイの木馬(RAT)＆インフォスティーラー
これらのツールは主に、ユーザーの監視、機密データの窃取、被害者のマシンに対する持続的な制御の維持を目的として設計されています。
- Gh0st RAT: 長年利用されている強力なトロイの木馬で、キーストロークの追跡、ライブ映像・音声の取得、リモートWindowsホスト上でのファイル管理に用いられ、APTグループによって頻繁に利用されています。
- Nanocore: モジュール式の汎用RATで、攻撃者はウェブカメラを介した監視、リモートでのファイル操作、認証情報の窃取など、幅広い侵害行為を実行できます。
- Formbook: 著名なインフォスティーラーで、ウェブブラウザからのフォームデータ収集、キーストロークの記録、各種アプリケーションからのパスワード窃取を得意としています。
- SILKBELL: 標的型サイバースパイキャンペーンにおいて、システムのプロファイリングや二次ペイロードの展開によく用いられる、高度なダウンローダー兼バックドアです。
ランサムウェア
ファイルを暗号化し、復号キーと引き換えに支払いを要求するために設計されたマルウェアで、支払いを確実にするための恐喝手法を伴うことが多く見られます。
- LockBit: 最も活発なRaaS(Ransomware-as-a-Service)事業の一つで、極めて高速な暗号化と、窃取した被害者データを流出させる「二重恐喝」戦術で知られています。
ボットネット＆インフラツール
これらのプログラムは、大規模攻撃向けのネットワークを構築したり、匿名化された通信を可能にしたりする目的で、多数のデバイスを侵害するよう設計されています。
- Mirai: 悪名高いマルウェアで、カメラやルーターなどのIoTデバイスを標的とし、大規模なボットネットに変えたうえで、主に大規模DDoS攻撃の実行に利用されます。
- DARKCLOUD: インフラに重点を置いたマルウェアで、「弾丸耐性(bulletproof)」ホスティングサービスとして、あるいは他のマルウェアファミリーのC2(コマンド＆コントロール)通信を隠蔽するボットネットとして利用されることが多く見られます。
- SystemBC: プロキシ型のボットネットで、攻撃者がSOCKS5プロキシ経由でトラフィックをルーティングすることで悪意ある通信を隠蔽するために使用され、ランサムウェアの配信手段としてもよく利用されます。
バックドア＆永続化の仕組み
標準的な認証をバイパスしたり、特定の環境の脆弱性を悪用したりすることで、システムへの長期的なアクセスを提供するよう設計されたスクリプトやバイナリです。
- SNOWBELT: 被害者のネットワーク上で目立たない状態を維持しながら、リモートコマンドの実行とファイル転送機能を提供するよう設計された、隠密性の高いバックドアツールです。
高度なマルウェア分析による主要脅威の解析結果
SHA256: 0e7816e8ef5f34851f2537db002fb196805ef76e28f2b25c589d54bd69d72e59（ネットワークトリガー型バックドア型トロイの木馬）
概要: GTPDoorは、通信事業者のインフラを標的とする高度に特化したLinux用バックドアです。[syslogd]になりすまし、UDPポート2152上で特別に細工されたGTPパケットを受動的に監視することで、能動的なネットワーク接続を確立することなくリモートコマンドの実行とデータの窃取を行います。
初観測日: 2026-04-10
SHA256: 2138fc6c95760c519c2a24e3f7956dfb50153fa38a3859abd21f64db7bdbdd5e（概念実証(PoC)エクスプロイトツール／脆弱性スキャナー）
概要: これは、深刻なReact Server Componentsの脆弱性(CVE-2025-55182)とNext.jsのServer Actionsの脆弱性(CVE-2025-66478)を悪用する、Pythonベースの包括的なフレームワークです。任意コード実行のための高度なガジェットチェーン、マルチスレッドによる一括スキャン機能、帯域外(OOB)によるコールバック検証機能を備えています。
初観測日: 2026-03-05
SHA256: 24524a2ff17f18a350a884dfc4ac6eedbfbe7ad30698754cd6df73174166c6bc（権限昇格エクスプロイト(CVE-2015-1805)）
概要: 「iovyroot」は、レースコンディションとヒープスプレーを利用してCVE-2015-1805のカーネル脆弱性を狙う権限昇格エクスプロイトです。Sony Xperia、Nexus、Huawei、Xiaomiの各モデルを含む特定のAndroidデバイスにおいて、カーネルメモリを破損させることでroot権限を取得します。
初観測日: 2017-08-20
SHA256: 3b1ca89757eb7538841d828753964de49ee7563f229f3a1fbb0a33b02c6fa282（リモートアクセス型トロイの木馬(RAT)／ボットネットクライアント／多段階インプラント）
概要: RogueImplantは、AWS、Azure、GCP、Kubernetesなどの環境を検知する高度なクラウドネイティブPython製RATです。適応型の永続化機能を備え、Kubernetesのシークレットを窃取し、Dockerコンテナからの脱出を試み、ランサムウェアやクリプトマイニングを含む20種類超の侵害後トリガーを保有しています。
初観測日: 2026-04-10
SHA256: 5f7d0b20a66939f20fb8443851810f80435373f0612b74be48998a30abaf3e94（Linuxボットネットエージェント／DDoSボット）
概要: Linux-TrojanDownloaderは、C2サーバーのIPアドレスを解決するためのデッドドロップとしてPastebinを利用する、複数アーキテクチャ対応のボットネットエージェントです。広範なシステム偵察を実施し、トラフィックの難読化にはGitHubでホストされているプロキシリストを利用し、リモートシェルコマンドを実行します。
初観測日: 2026-04-06
SHA256: 6b0b4a31545affd7842b06e8125514c3483feabbd8c2bcffc1c3836c58076d57（LD_PRELOADによる永続化機能を持つLinuxルートキット）
概要: AutoColorは、LD_PRELOADのハイジャックを利用して動的リンクされたプロセスに自身を注入するLinuxルートキットです。libc関数をひそかにフックしてファイルやネットワーク接続を隠蔽する一方、SELinuxやauditdの保護機能を積極的に無効化します。
初観測日: 2026-04-13
SHA256: 72bb2e01ca126f936d500bb3bc05c575e6295a37806863cb556888b2aee8c40f（暗号資産マイナー／ワーム）
概要: GHOST v6.0は、MoneroとConfluxを標的とする高度なクリプトマイニング型ワームで、窃取したSSHキーを介して急速に拡散します。コンテナからの脱出機能、競合するマイナーの積極的な停止、memfd_createを利用したファイルレス実行、そして深い隠蔽のためのLD_PRELOADルートキットを備えています。
初観測日: 2026-04-12
SHA256: 842d326a9fd13a99648d7b52099852afa8951b97f9b15e858eb9589cbfdce6fb（ランサムウェア）
概要: Elite Enterprise Ransomwareは、Linuxサーバー環境、特にデータベースやウェブディレクトリ19、20を標的としています。マルチスレッド対応のChaCha20+RSA-4096ハイブリッド暗号方式を採用し、分析を回避するために強力なアンチデバッグ機能・アンチVM機能を備えています。
初観測日: 2026-04-20
SHA256: 8edcc728a0564d0fafff164d02f312967a59ba3f5df0f06e8a357e005c72b9d1（認証情報ダンプツール／メモリスクレイパー）
概要: VMKatzは、VMware ESXiハイパーバイザーを特に標的とする高度な認証情報窃取フレームワークです22。独自のインメモリELFローダーを使用してESXiのVIB保護を突破し、署名のないバイナリを読み込み、スナップショットファイルから認証情報を窃取し、VMFSデータストアを列挙します。
初観測日: 2026-04-17
SHA256: b240638b287c0f843c2cafd86c19625fb4cfd50ab992b59233465cc40426f75a（画面録画機能を備えたDiscordベースのリモートアクセス型トロイの木馬(RAT)）
概要: この高度なRATは、コマンド＆コントロール操作のためにDiscord Gateway WebSocketプロトコルを完全に実装しています。カスタマイズされたスクリプト言語のトランスパイラーを利用し、プロセスのホロウイング、DPAPIによる認証情報の安全な保管、ネイティブのWindows Media Foundation APIを活用した高品質な画面録画の実行が可能です。
初観測日: 2026-04-06
SHA256: c13d3432776c36b62ccd9c89f5774e6b229ac318ae756554ecde25a21270e4ec（自己増殖型ネットワークワーム／リモートコード実行エクスプロイト）
概要: これは、ComfyUIのAIインフラの脆弱性を侵害するために構築された、高度な自律型ネットワークワームです。脆弱なプラグインを自動的にインストールしてサプライチェーンを汚染し、二次ペイロードをダウンロードし、ボットネットを維持するために継続的にネットワークをスキャンします。
初観測日: 2026-04-10
SHA256: c8cdf46fcbaebba29df13ca40a3ab8d37cdac54e333b3957facf4ef6c88cef34（Linux ELFプロセスインジェクションツール／高度な権限昇格フレームワーク）
概要: この高度なLinuxフレームワークは、新しいseccompユーザー通知APIを悪用してファイルレスなプロセスインジェクションを実行します。システムコールの傍受、ファイルディスクリプタの注入、memfd_createを組み合わせることで、IFUNCリゾルバーをハイジャックしてシェルコードを実行し、従来のプロセス監視ツールを確実に回避します。
初観測日: 2026-02-05
SHA256: d306e93b69c567579851c883ffc251df3644984f003d0a45d619b51da0a4358c（認証情報窃取ツール／ソーシャルエンジニアリングツール）
概要: Walkie Talkie Stealerは、ソーシャル通信アプリ「WalkieTalkie」を装った機能豊富なPython製ツールキットです。セッショントークンを窃取し、Chromeのアプリバウンド暗号化をバイパスしてローカルデータを盗み、リアルタイムのスパイ活動やDM爆撃のためにWebSocketおよびFirebase JWTトークンを悪用します。
初観測日: 2026-04-17
SHA256: d4cf0ea01fd70016f760020f05890a33934c600030d93574dea316ec68667457（ELF形式のLinuxマルウェア – ファイルレスローダーの可能性）
概要: このステージ1のLinux ELFローダーは、memfd_create()または/dev/shmの共有メモリを利用してファイルレスな実行チェーンを確立します。ディスクベースのフォレンジックツールを回避するよう構築されており、一時的な匿名ファイルディスクリプタを使用したうえで、実行後にシステムから自身を削除します。
初観測日: 2026-04-13
SHA256: ea9a4ce28bfb4fe07e1896a4084465d9f51115924ead729511358277e5773242（リモートアクセス型トロイの木馬／バックドア）
概要: 「リモートサポートスクリプト」を装って動作するこのRATは、セキュリティ防御を体系的に突破し、termsrv.dllをバイナリパッチしてWindows Home版のRDP制限をバイパスします。OpenSSHサーバーをインストールして永続的なリバースSSHトンネルを開き、システムデータの窃取にはTelegramボットを利用します。
初観測日: 2026-04-06
