今月の主要ニュース
1. AnthropicのClaude Mythos、自律的な脆弱性発見を実証
- Anthropicは「Claude Mythos」AIモデルの限定プレビューを開始しました。このモデルは攻撃的能力における根本的な転換点を示すものであり、自動化された脆弱性発見が人間による修正対応を大規模に上回るペースで進む時代の到来を象徴しています。
- 同モデルは、主要なOSおよびブラウザにまたがるゼロデイ脆弱性を自律的に特定・連鎖させる能力を実証しました。具体的には、Apache ActiveMQに存在する13年前のリモートコード実行（RCE）脆弱性（CVE-2026-34197）と、NSAのGhidraツールにおける認証バイパスを独自に発見しています。
- その強力な攻撃的能力を考慮し、悪意ある攻撃者による悪用を防ぐため、アクセスは50の重要な業界パートナーに厳しく制限されています。
2. Axios npmパッケージを狙った大規模サプライチェーン侵害
- 北朝鮮に起因するとされる脅威アクターが、週間ダウンロード数1億件以上を誇るJavaScriptの基盤ライブラリ「Axios」npmパッケージのメインテナーアカウントを乗っ取りました。
- 攻撃者はWAVESHAPER.V2リモートアクセストロイの木馬（RAT）を含む悪意あるパッケージバージョンを公開し、Windows、macOS、Linuxシステムに影響を与えました。
- この攻撃はCI/CDパイプラインを直接標的とし、クラウドプロバイダーの認証情報（AWS、Azure、GCP）、Dockerシークレット、SSHキーを窃取しました。セキュリティツールへの攻撃から開発者の基幹インフラへの攻撃へと、脅威が重大なレベルにエスカレートした事例となっています。
3. Context.aiの侵害を起点としたVercelのサプライチェーン被害
- NextJSフレームワークを開発し、数万のAIアプリケーションをホスティングするクラウド開発プラットフォームVercelが、Context.aiという第三者のAIツールを起点とした侵害被害を受けました。
- 攻撃者は窃取したOAuthトークンを悪用してVercel従業員のGoogle Workspaceアカウントを乗っ取り、内部システムへのアクセスを獲得しました。これにより、デプロイ設定、ソースコード、API/NPM/GitHubトークン、顧客の認証情報が露出しました。
- この連鎖的な信頼チェーンの悪用により、脅威アクターは窃取したデータの代償として200万ドルの身代金を要求しようとしました。
ランサムウェアグループ上位
注：2025年、ランサムウェアの攻撃件数が急増した一方で支払い率は低下し、攻撃者はバックアップの破壊やカーネルレベルでのエンドポイントセキュリティの無効化など、いわゆる「回復拒否」戦術をますます採用するようになっています。
- The Gentlemen – 2026年において2番目に活発なランサムウェアグループとして台頭しています。Windows、Linux、NAS、BSD、ESXiを標的とするマルチプラットフォームのロッカーを利用します。アフィリエイトはインターネット向けVPN/ファイアウォールを経由してアクセスし、GPO経由で数時間以内にランサムウェアを展開します。SystemBCプロキシボットネットを活用して1,570社以上の企業ネットワークへの侵害に成功しており、主に製造業、テクノロジー、医療分野で320件以上の被害（2026年だけで240件）を主張しています。
- INC Ransom – 医療、法務、教育分野をグローバルに積極的に標的とする大規模な攻撃を展開しています。全米薬物乱用プログラム協会（National Association on Drug Abuse Programs）から237,830人以上の個人に影響を与える2TBのデータを窃取しています。
- Qilin – 重要インフラ、エンジニアリング、製造、医療分野を標的としたカスタマイズされた二重脅迫攻撃を専門とする活発なオペレーターです。2024年6月の攻撃によるNHSベンダーSynnovisへの継続的な影響は、侵害から22ヶ月で120件以上の重大な患者安全インシデントを引き起こしており、深刻な長期的影響を示しています。
- Kyber Ransomware – Windowsバリアントに量子耐性暗号（Kyber1024ハイブリッドスキーム）を実装した、最初に確認されたランサムウェアオペレーションです。VMware ESXi環境に対するデュアルバリアント攻撃の展開も観測されています。
- Storm-1175 (Medusa) – 中国と関連する金銭目的のグループで、米国、英国、オーストラリアを主な標的として高速なNデイ脆弱性の悪用に特化したMedusaランサムウェアを展開しています。脆弱性の公開開示から24時間以内にアクセス、データ窃取、完全なネットワーク暗号化を達成する迅速な武器化が特徴です。
Linux・クラウド・アイデンティティへの攻撃：主要脅威
これらの脅威は、深刻度スコア（CVSS）と、エンタープライズのクラウド・人工知能・アイデンティティ基盤への直接的かつ広範な影響に基づいて選定されています。
1. Flowise AIプラットフォーム任意コード実行（CVE-2025-59528）
- 種別：クラウド / AIオートメーションプラットフォーム
- 影響：未認証の攻撃者がFlowise AIプラットフォーム上で任意のJavaScriptインジェクションを実行できる深刻な脆弱性です。
- CVSS 10.0。2026年4月上旬に積極的な悪用が確認され、インターネットに公開された12,000〜15,000件のAIプラットフォームインスタンスという広大な攻撃対象領域を標的としています。
2. Nginx-ui Model Context Protocolの認証バイパス（CVE-2026-33032）
- 種別：クラウドインフラ管理 / アイデンティティ
- 影響：Model Context Protocol（MCP）統合における認証欠如の脆弱性により、未認証のリモート攻撃者が任意のコマンドを実行し、管理対象のNginxインスタンスを完全に乗っ取ることができます。
- CVSS 9.8。現在も実環境で積極的に悪用されています。攻撃者はデフォルトのIPホワイトリストを回避し、エンタープライズインフラ全体への持続的アクセスを目的としたウェブシェルを展開しています。
3. F5 BIG-IP APMリモートコード実行（CVE-2025-53521）
- 種別：アイデンティティ＆アクセス管理 / ネットワークインフラ
- 影響：当初はサービス拒否（DoS）として分類されていましたが、重要な企業VPN、SSOプラットフォーム、MFAシステムを管理するBIG-IP Access Policy Managerインスタンスの完全なシステム侵害を可能にすることが判明し、再分類されました。
- CVSS 9.3。F5は実環境での積極的な悪用を確認しています。国家系アクターは公知前にゼロデイとして数ヶ月にわたりこの脆弱性を悪用し、ウェブシェルを展開していました。
Rubrik Zero Labs LLM搭載高度分析システムからの知見
バックアップ内のトップ脅威：当社の高度分析システムは、実環境で確認された上位および急増中の脅威を特定し、そのデータをバックアップテレメトリと照合することでステルス型マルウェアを検出しています。以下は、第一線の防御を突破している可能性があるバックアップデータ内で最も多く確認されたファミリーです。
リモートアクセストロイの木馬（RAT）＆情報窃取ツール
これらのツールは主にユーザーへのスパイ行為、機密データの窃取、被害者マシンへの持続的な制御を目的として設計されています。
- Gh0st RAT：長年にわたり使用されている強力なトロイの木馬で、キーストロークの記録、ライブ映像・音声のキャプチャ、リモートWindowsホスト上のファイル管理に利用されます。APTグループによって頻繁に使用されています。
- Nanocore：ウェブカメラによる監視、リモートファイル操作、認証情報の窃取など、幅広い侵入活動を可能にするモジュール型の汎用RATです。
- Formbook：ウェブブラウザのフォームデータ収集、キーストロークの記録、各種アプリケーションからのパスワード窃取を専門とする代表的な情報窃取ツールです。
- SILKBELL：標的型サイバースパイ活動においてシステムのプロファイリングや二次ペイロードの展開に使用される、高度なダウンローダー兼バックドアです。
ランサムウェア
ファイルを暗号化して復号キーの代償として支払いを要求するマルウェアであり、支払いを確実にするために恐喝戦術を用います。
- LockBit：最も活発なRaaS（Ransomware-as-a-Service）オペレーションの一つで、極めて高速な暗号化速度と、窃取した被害者データを漏洩させる「二重脅迫」戦術で知られています。
ボットネット＆インフラツール
これらのプログラムは、大規模攻撃のためのネットワーク構築や匿名通信の実現を目的として、大量のデバイスを侵害するよう設計されています。
- Mirai：カメラやルーターなどのIoTデバイスを標的として大規模なボットネットを形成し、主に大規模DDoS攻撃の実行に使用される悪名高いマルウェアです。
- DARKCLOUD：インフラに特化したマルウェアで、「防弾」ホスティングサービスやボットネットとして機能し、他のマルウェアファミリーのコマンド＆コントロール（C2）トラフィックを隠蔽するために使用されます。
- SystemBC：SOCKS5プロキシを経由して悪意あるトラフィックをルーティングすることで隠蔽するプロキシベースのボットネットで、ランサムウェアの配送メカニズムとして頻繁に使用されます。
バックドア＆持続化メカニズム
標準認証のバイパスや特定の環境脆弱性の悪用により、システムへの長期的なアクセスを確保するために設計されたスクリプトまたはバイナリです。
- SNOWBELT：リモートコマンド実行とファイル転送機能を提供しながら、被害者のネットワーク上で低プロファイルを維持するよう設計されたステルス型バックドアツールです。
高度マルウェア分析で検出された主要脅威
SHA256：0e7816e8ef5f34851f2537db002fb196805ef76e28f2b25c589d54bd69d72e59（ネットワークトリガー型バックドアトロイの木馬）
概要：GTPDoorは通信インフラを標的とした高度に特化されたLinuxバックドアです。[syslogd]に偽装し、UDPポート2152上の特別に細工されたGTPパケットを受動的にスニッフィングすることで、アクティブなネットワーク接続を開くことなくリモートコマンドを実行し、データを窃取します。
First_Seen: 2026-04-10
SHA256： 2138fc6c95760c519c2a24e3f7956dfb50153fa38a3859abd21f64db7bdbdd5e（概念実証エクスプロイトツール / 脆弱性スキャナー）
概要：React Server Components（CVE-2025-55182）およびNext.js Server Actions（CVE-2025-66478）の深刻な脆弱性を悪用する包括的なPythonベースのフレームワークです。任意コード実行のための高度なガジェットチェーン、マルチスレッドによる一括スキャン機能、アウトオブバンドコールバック検証を備えています。
First_Seen: 2026-03-05
SHA256：24524a2ff17f18a350a884dfc4ac6eedbfbe7ad30698754cd6df73174166c6bc（権限昇格エクスプロイト（CVE-2015-1805））
概要：「iovyroot」はレースコンディションとヒープスプレーを利用してCVE-2015-1805カーネル脆弱性を標的とする権限昇格エクスプロイトです。Sony Xperia、Nexus、Huawei、Xiaomiモデルなど特定のAndroidデバイスのカーネルメモリを破壊することでroot権限を取得します。
First_Seen: 2017-08-20
SHA256：3b1ca89757eb7538841d828753964de49ee7563f229f3a1fbb0a33b02c6fa282（リモートアクセストロイの木馬（RAT）/ ボットネットクライアント / マルチステージインプラント）
概要：RogueImplantはAWS、Azure、GCP、Kubernetesなどの環境を検出する高度なクラウドネイティブのPython RATです。適応型の持続化機能を採用し、Kubernetesシークレットの窃取、Dockerコンテナからの脱出試行、ランサムウェアや暗号通貨マイニングを含む20以上のポストエクスプロイトトリガーを備えています。
First_Seen: 2026-04-10
SHA256： 5f7d0b20a66939f20fb8443851810f80435373f0612b74be48998a30abaf3e94（LinuxボットネットエージェントDDoSボット）
概要：Linux-TrojanDownloaderは、C2サーバーIPのデッドドロップリゾルバーとしてPastebinを利用するマルチアーキテクチャのボットネットエージェントです。広範なシステム偵察を行い、GitHubがホストするプロキシリストをトラフィックの難読化に使用し、リモートシェルコマンドを実行します。
First_Seen: 2026-04-06
SHA256：6b0b4a31545affd7842b06e8125514c3483feabbd8c2bcffc1c3836c58076d57（LD_PRELOAD持続化を利用するLinuxルートキット）
概要：AutoColorはLD_PRELOADハイジャックを活用して動的リンクされたプロセスに自身を注入するLinuxルートキットです。libcの関数をステルスにフックしてファイルとネットワーク接続を隠蔽しながら、SELinuxとauditdの保護を積極的に無効化します。
First_Seen: 2026-04-13
SHA256：72bb2e01ca126f936d500bb3bc05c575e6295a37806863cb556888b2aee8c40f（暗号通貨マイナー / ワーム）
概要：GHOST v6.0はMoneroとConfluxを標的とした高度な暗号通貨マイニングワームで、収集したSSHキーを通じて急速に拡散します。コンテナからの脱出、競合するマイナーの積極的な排除、memfd_createによるファイルレス実行、LD_PRELOADルートキットを使った深い隠蔽機能を備えています。
First_Seen: 2026-04-12
SHA256：842d326a9fd13a99648d7b52099852afa8951b97f9b15e858eb9589cbfdce6fb（ランサムウェア）
概要：Elite Enterprise Ransomwareはデータベースとウェブディレクトリに特化したLinuxサーバー環境を標的としています。マルチスレッドのChaCha20+RSA-4096ハイブリッド暗号化スキームを採用し、アクティブなアンチデバッグおよびアンチVM機能によって分析の回避を図ります。
First_Seen: 2026-04-20
SHA256：8edcc728a0564d0fafff164d02f312967a59ba3f5df0f06e8a357e005c72b9d1（認証情報ダンパー / メモリスクレイパー）
概要：VMKatzはVMware ESXiハイパーバイザーを専門的に攻撃する高度な認証情報収集フレームワークです。カスタムのインメモリELFローダーを使用してESXiのVIB保護をバイパスし、未署名のバイナリをロードすることでスナップショットファイルから認証情報を窃取し、VMFSデータストアを列挙します。
First_Seen: 2026-04-17
SHA256： b240638b287c0f843c2cafd86c19625fb4cfd50ab992b59233465cc40426f75a（スクリーン録画機能付きDiscordベースのリモートアクセストロイの木馬（RAT））
概要： この高度なRATはコマンド＆コントロール操作にDiscord Gateway WebSocketプロトコルを完全実装しています。カスタマイズされたスクリプト言語トランスパイラーを活用してプロセスのホロウイングを実行し、DPAPIを通じて認証情報を安全に保存し、ネイティブのWindows Media Foundation APIを活用した高品質なスクリーン録画も実行できます。
First_Seen: 2026-04-06
SHA256：c13d3432776c36b62ccd9c89f5774e6b229ac318ae756554ecde25a21270e4ec（自己増殖型ネットワークワーム / リモートコード実行エクスプロイト）
概要：ComfyUI AIインフラの脆弱性を標的とした高度に自律的なネットワークワームです。脆弱なプラグインを自動インストールし、二次ペイロードをダウンロード、ネットワークを継続的にスキャンしてボットネットを維持することでサプライチェーンを汚染します。
First_Seen: 2026-04-10
SHA256：c8cdf46fcbaebba29df13ca40a3ab8d37cdac54e333b3957facf4ef6c88cef34（Linux ELFプロセスインジェクションツール / 高度権限昇格フレームワーク）
概要： この高度なLinuxフレームワークは新しいseccompユーザー通知APIを悪用し、ファイルレスプロセスインジェクションを実行します。システムコールのインターセプト、ファイルディスクリプタのインジェクション、memfd_createを組み合わせてIFUNCリゾルバーをハイジャックし、従来のプロセス監視ツールを回避しながらシェルコードを実行します。
First_Seen: 2026-02-05
SHA256：d306e93b69c567579851c883ffc251df3644984f003d0a45d619b51da0a4358c（認証情報窃取ツール / ソーシャルエンジニアリングツール）
概要： Walkie Talkie Stealerはソーシャルコミュニケーションアプリ「WalkieTalkie」を装った機能豊富なPythonツールキットです。セッショントークンを窃取し、ChromeのApp-Bound Encryptionを回避してローカルデータを盗み、WebSocketおよびFirebase JWTトークンを悪用してリアルタイムのスパイ行為やDMスパム送信を行います。
First_Seen: 2026-04-17
SHA256：d4cf0ea01fd70016f760020f05890a33934c600030d93574dea316ec68667457（ELF Linuxマルウェア – ファイルレスローダーの可能性）
概要：このステージ1 Linux ELFローダーはmemfd_create()または/dev/shm共有メモリを活用してファイルレスの実行チェーンを確立します。ディスクベースのフォレンジックツールによる検出を回避するよう設計されており、一時的な匿名ファイルディスクリプタを使用し、実行後にシステムから自身を削除します。
First_Seen: 2026-04-13
SHA256：ea9a4ce28bfb4fe07e1896a4084465d9f51115924ead729511358277e5773242（リモートアクセストロイの木馬 / バックドア）
概要：「リモートサポートスクリプト」を装ったこのRATは、セキュリティ防御を体系的に解除し、Windows HomeのRDP制限を回避するためにtermsrv.dllをバイナリパッチします。OpenSSHサーバーをインストールして永続的なリバースSSHトンネルを開設し、Telegramボットを利用してシステムデータを窃取します。
First_Seen: 2026-04-06
