Gen Threat Labsは、攻撃者が正規のアカウント、ブラウザ設定、ブロックチェーンデータを攻撃経路の一部として悪用した2026年上半期の2つのキャンペーンを追跡しました。
Gen Threat Reportは、デジタル環境を形作る最大級のサイバー脅威を検証する半年ごとのレポートで、世界中の消費者に影響を及ぼすトレンドを詳細に分析しています。Genの2026年上半期版脅威レポートにも、注目すべき数字がいくつも並んでいます。
Genが検知した脅威のうち、詐欺が全体の約46%を占め、マルバタイジング(不正広告)もほぼ30%に達しました。同期間中、Genはeショップ詐欺攻撃1億1,420万件、テクニカルサポート詐欺攻撃2,030万件をブロックしています。
これらの数字は有用ではあるものの、実際には大きく異なる攻撃をわずかなカテゴリーに圧縮してしまっています。検知件数だけでは、最初の誘導がどのようにしてスクリプト実行に発展したのか、そのスクリプトがどのようにブラウザやプロキシの変更につながったのか、あるいは被害者がトランザクションに署名する前にウォレットアドレスがどのように差し替えられたのかは見えてきません。
2026年上半期に確認された2件の調査は、詳しく見る価値があります。1件目は、企業のメールボックス侵害を起点とし、プロキシとブラウザの操作で終わるバンキングマルウェアキャンペーンです。
2件目は、Rustベースのクリッパーを用いた暗号資産キャンペーンで、コマンド&コントロール(C2)インフラへのポインタをBinance Smart Chainから取得していました。
ペイロード自体は異なりますが、どちらのキャンペーンもユーザーの目の前にある信頼された仕組みを壊すことには依存していませんでした。バンキングキャンペーンは正規のアカウントを使って誘導メールを送りつけ、クリッパーは送金先アドレスをローカルで書き換えたうえで、ブロックチェーン側には有効なトランザクションとして記録させていました。
本物の企業から送られてきたビジネスメール
このバンキングキャンペーンは、チェコ、スロバキア、ポーランド、リトアニアのユーザーを標的にしていました。誘導メールは、出荷通知、請求書関連の連絡、スキャン文書の通知といった、一見ごく普通のビジネスメールを装っていました。あるメールは単に、出荷物のスキャンコピーを添付した旨を伝える内容でした。
複数のケースで、これらのメールは侵害された企業のメールボックスから実際に送信されていました。つまり、正規企業からのメールに見せかけていたのではなく、攻撃者がすでに乗っ取っていた正規のアカウントから直接送られてきていたのです。
正規のインフラを経由して送信されたメッセージであれば、SPFやDKIMの認証はそのまま通ってしまいますし、レピュテーションシステム側も正規の履歴を持つ送信者として扱ってしまう可能性があります。
添付ファイルを開くとJavaScriptのドロッパーが起動します。そこからPowerShellの複数段階を経て、シェルコードとバンキング機能に到達する流れです。確認されたインジケータからは、GepySが関与している可能性が示唆されています。
このマルウェアはプロキシ設定を変更し、ブラウザアドオンをインストールすることで、被害者のバンキングセッションのすぐそばに自らを配置していました。
単純化すると、この攻撃チェーンは次のような流れになります。侵害されたメールボックス→JavaScriptドロッパー→PowerShellの複数段階→シェルコードローダー→プロキシとブラウザの操作。
第3段階のペイロードの一つは、32ビットの位置独立型ローダーを使用していました。静的解析では、MMXおよびSSEのダミー命令、命令の途中へのジャンプ、LFSRで生成したキーストリームによる復号処理とそれに続くXORが確認されています。
これらの手法自体はいずれも目新しいものではありませんが、組み合わせることで、簡易的な静的解析を行いにくくするだけの十分な障壁を作り出していました。
この一連の攻撃チェーン全体を通じて、メールが果たす役割はユーザーに添付ファイルを開かせることだけでした。あとはJavaScriptとPowerShellが段階的な展開を担い、ローダーが解析を遅らせ、プロキシとブラウザの変更によって攻撃はバンキングセッションの領域へと移動していきました。
2026年上半期に確認された同種のキャンペーンでも、地域的・運用的に似たパターンが異なるペイロードとともに使われていました。イタリアでは、Booking.comをテーマにしたものを含む偽の請求書PDFが、Vercelでホストされたスクリプト(被害者ごとに難読化されたJavaScript)へとつながり、さらにBlogspotでホストされたPowerShellの段階を経てXWormへと至っていました。
ポーランドでは、請求書をテーマにしたフィッシングによって、ステガノグラフィを用いた.NETローダーが配布され、Remcos RATがインストールされていました。
Gen 2026年上半期脅威レポートを読む
Gen Threat Labsは、詐欺、マルウェア、個人情報漏洩、プライバシー、AIを悪用した脅威にわたって2026年上半期の動向を分析しました。
このレポートには、テレメトリデータ、ケーススタディ、そして攻撃がどのように正規のワークフローに入り込んでいくかについてのガイダンスが含まれています。
決済レイヤーと化したクリップボード
2件目のキャンペーンは、暗号資産アドレスをコピー&ペーストするという、はるかに小さなユーザー操作を悪用したものでした。
最終的なペイロードは、Rustでコンパイルされたクリップボードハイジャッカーでした。BTC、ETH、LTCを含む21種類のブロックチェーンにわたってコピーされた内容を監視し、ウォレットアドレスを検出します。マルウェアが対応するアドレスを認識すると、それを攻撃者が管理するアドレスに置き換えていました。
被害者から見れば、トランザクションはごく普通に見えたはずです。アドレスをコピーし、ウォレットや取引所に貼り付け、支払いを承認するだけです。
ブロックチェーン自体が侵害されたわけでも、ウォレットの暗号技術が破られたわけでもありません。トランザクション自体は有効なものでしたが、署名される前に、送金先はすでにローカル側で書き換えられていたのです。
ウォレットアドレスは長く、視覚的にも紛らわしい文字列であり、人間の目で正確に検証するのは困難です。多くのユーザーは最初と最後の数文字しか確認しないため、攻撃者にはざっと見ただけでは気づかれない置き換えアドレスを使う余地が生まれます。
C2の設計にはさらにもう一段の工夫が加えられていました。このマルウェアは、EtherHidingという手法を通じて、C2の名前解決の一部としてBinance Smart Chainを利用していました。バックエンド全体をオンチェーンに保存していたわけではありません。その代わりに、スマートコントラクトに保存されたデータからインフラへのポインタを読み取り、それを使って攻撃者が管理するインフラに到達していました。
解決先のドメイン、URL、あるいはIPアドレスはブロックしたり、テイクダウンしたり、置き換えたりすることが可能です。一方でスマートコントラクトのデータは公開された状態で読み取り可能なまま残るため、調査の手がかりとしては有用である反面、通常のテイクダウン手続きでは削除しにくいという特徴があります。
そのため、単純なネットワークIOC(侵害指標)のリストは、この仕組みの下ではすぐに陳腐化してしまいます。
コントラクトアドレス、そのデータを読み取る手法、返される値、そしてその後到達するインフラは、いずれも同一の調査対象として扱うべきものです。
検知は一連の流れを追う必要がある
バンキング攻撃チェーンについては、送信者認証を配信後のテレメトリと組み合わせる必要があります。添付ファイルがJavaScriptを起動し、PowerShellが追加の段階を取得し、シェルコードが実行され、プロキシが変更され、新しいブラウザ拡張機能がインストールされる――これらは無関係な出来事として個別に処理するのではなく、一連の流れとして相関させて扱うべきです。
メールボックス自体が侵害されている可能性がある以上、送信者に正規の履歴があるからといって、その活動の優先度を下げるべきではありません。
運用上可能であれば、組織はスクリプトインタープリタを必要としないユーザーに対して利用を制限し、ダウンロードされた添付ファイルにアプリケーション制御ポリシーを適用し、予期しないプロキシやブラウザ拡張機能の変更をアラート対象にすることができます。
侵害されたアカウントそのものが配信インフラにもなっている以上、メールボックスの乗っ取りを監視することも、同じ検知課題の一部として位置づけられます。
暗号資産キャンペーンについては、防御側はクリップボードを書き換えるプロセス、ウォレットアドレスのパターンマッチング、そして本来ブロックチェーンに問い合わせる必要のないはずのアプリケーションからのクエリを監視できます。スマートコントラクトのポインタと、それが解決するインフラは、現在のC2ドメインだけを完全なインジケータ一式として扱うのではなく、両者をセットで追跡すべきです。
暗号資産で決済を行うユーザーは、承認の直前に、署名デバイスやウォレットに表示される送金先アドレスの全体を必ず確認するべきです。
アドレス帳やアローリストを使えば、手作業による入力の繰り返しを減らせます。一方で、初めての送金先や変更された送金先については、最初と最後の文字だけを確認するのではなく、全体を照合する必要があります。
いずれのキャンペーンにおいても、最初の信頼判断は一見正当なものに見えつつ、その裏側ではすでにワークフロー全体が書き換えられていました。検知と検証は、認証済みのメール、コピーされた値、そして最終的な操作との間にある一連のステップをカバーする必要があります。
Genの2026年上半期脅威レポートは、詐欺、マルウェア、個人情報漏洩、プライバシー、AIを悪用した攻撃にわたる、より広範な全体像を扱っています。
