6月脅威動向レポート:サプライチェーンワーム、AIによる悪用の加速、そして重大なゼロデイ脆弱性 | CXO Transformation

今月の主要トピック

1. サプライチェーンワーム「Miasma」がエコシステム侵害を産業化

• 「Miasma」ワームとして知られる高度に洗練された自己増殖型の認証情報窃取マルウェアが、複数の開発者エコシステムにまたがる壊滅的なサプライチェーン侵害を引き起こしました。
• この攻撃は、CI/CDパイプラインを操作し、悪意のあるPythonの.pthスタートアップフックを利用することで、Microsoft GitHubリポジトリ73件、PyPI/npmアーティファクト471件、Red Hatクラウドサービスパッケージ32件を組織的に乗っ取りました。
• このマルウェアはGitHubトークン、npmレジストリへのアクセス権、クラウド認証情報(AWS、GCP、Azure)を窃取する一方、AI支援型セキュリティスキャナーを混乱させるために設計された偽のLLMプロンプトインジェクションヘッダーを含む、高度な解析妨害技術を展開していました。

2. OracleのPeopleSoftゼロデイ脆弱性が教育機関の大規模侵害を招く

• 脅威アクターShinyHunters(UNC6240)は、Oracle PeopleSoft PeopleToolsの未パッチの認証バイパス・ゼロデイ脆弱性(CVE-2026-35273)を悪用し、未認証のリモートコード実行を可能にしました。
• この大規模な悪用キャンペーンにより100を超える組織が侵害を受け、その大半は高等教育機関が標的となりました。
• 緊急パッチが公開されるまでの約2週間にわたり攻撃は継続し、ノッティンガム大学の学生・職員45万4,600件の記録を含む、膨大な個人情報データベースが窃取される結果となりました。

3. Cisco SD-WANで相次ぐゼロデイ脆弱性、公表前から悪用が発生

• Ciscoのエンタープライズネットワークインフラは、ゼロデイ攻撃の相次ぐ連鎖に見舞われました。今回の脆弱性は、2026年に実際に悪用が確認されたCisco SD-WAN関連の脆弱性としては7件目となります。
• 最も深刻な脆弱性(CVE-2026-20245)は、認証済みのリモート攻撃者が悪意のあるCSVファイルのアップロードを通じてroot権限でコマンドを実行できるというものでした。
• Mandiantの発表によると、脅威アクターはベンダーによる公表の少なくとも2カ月前から、この脆弱性を実環境で悪用してシステムのパスワードファイルを操作していたとのことです。これは、重要インフラが晒される露出期間の深刻さを浮き彫りにするものです。

主要ランサムウェアグループ

注:今月のランサムウェアグループは、独自のEDR回避フレームワークを展開し、新たなコマンド&コントロール(C2)秘匿技術を活用するなど、著しい運用面での成熟度を示しました。

1. The Gentlemen – 同グループは、48種類の製品にまたがる400以上のセキュリティプロセスを標的にできる、極めて高度なEDR停止フレームワーク「GentleKiller」を展開し、ワームのような激しい横展開(ラテラルムーブメント)を可能にしました。医療・製造業を含む70カ国のグローバルなセクターに影響を及ぼし、確認された被害者数は合計478件に上ります。 
2. ShinyHunters (UNC6240) – リブランディングを行った同グループは大規模な恐喝キャンペーンを展開し、DentaQuestから260万件、Charter Communicationsから490万件のアカウントを窃取したほか、Oracle PeopleSoftのゼロデイ脆弱性を用いて45万件超の大学記録を窃取しました。
3. Qilin – 活動が非常に活発なこのグループは、Check Point VPNのゼロデイ脆弱性(CVE-2026-50751)をパッチ公開の実に1カ月前から悪用してネットワークに侵入し、世界各地の複数の被害者において完全なネットワーク侵入を実現しました。
4. INC Ransom – INCは大量かつ攻撃的な標的選定を継続しており、2023年以降の被害者総数が830件を超えたと主張しています。
5. Silent Ransom Group (Luna Moth) – このグループは従来のデジタル恐喝を物理的な領域にまでエスカレートさせ、IT担当者になりすました実働工作員をオフィスに侵入させ、データ窃取のためにUSBドライブを挿入するという手口を成功させています。

Linux/クラウド/アイデンティティに対する攻撃:主要な脅威

これらの脅威は、深刻度(CVSSスコア)の高さ、直ちに広範な影響が及ぶ点、そして企業環境における大規模な悪用が実際に確認されている点を踏まえて優先順位付けしています。

1. Check Point VPNのゼロデイ脆弱性、ランサムウェアによる悪用(CVE-2026-50751)

• 種別:ネットワークインフラ/アイデンティティ
• 影響:Check Point Remote Access VPNに存在する重大な認証バイパスの脆弱性により、廃止済みのIKEv1プロトコルの不備を通じて、未認証の攻撃者が有効なパスワードなしにVPNセッションを確立できてしまいます。
• CVSS 9.3 / 統計:Qilinランサムウェアの関連グループは、パッチが公開されるまでの32日間にわたりこのゼロデイ脆弱性を実環境で悪用しました。この事態を受け、CISAは連邦機関に対して緊急の是正措置を義務付けました。この脆弱性により、保護された企業ネットワークへの即座の横展開が可能になります。

2. Ivanti Sentryの最大深刻度のRCE脆弱性(CVE-2026-10520)

• 種別:クラウドインフラ/モバイル管理
• 影響:コマンドインジェクションの脆弱性により、未認証のリモート攻撃者がIvanti Sentryモバイルゲートウェイアプライアンス上でroot権限による任意のコード実行が可能になります。
• CVSS 10.0 / 統計:深刻度スコアが最大値となるこの脆弱性は、公表からわずか24時間以内に実環境での悪用が確認されました。これは、AIによって脆弱性の武器化(悪用コード開発)のタイムラインがかつてないほど短縮されていることを示しています。

3. Linuxの「Fragnesia」CIFS root権限昇格の脆弱性(CVE-2026-46300)

• 種別:Linuxオペレーティングシステム
• 影響:Linuxカーネルのxfrm ESP-in-TCPサブシステムに存在する権限昇格の脆弱性で、ローカル攻撃者がカーネルのページキャッシュを完全に操作し、root権限を取得することを可能にします。
• CVSS 7.8 / 統計:この19年前から存在する不具合は主要なLinuxディストリビューションの大半に影響を及ぼしており、Linuxサーバーインフラ、コンテナ化されたワークロード、ハイブリッド環境にとって重大な脅威となっています。概念実証(PoC)コードも一般に公開されています。

Rubrik Zero LabsのLLM搭載高度分析システムからの知見

バックアップに潜む主要な脅威:当社の高度分析システムは、実環境で観測された主要かつ拡大傾向にある脅威を特定し、そのデータをバックアップテレメトリと照合することで、水面下に潜むマルウェアを検出します。本セクションでは、今月分のデータをご紹介します。

最前線の防御を突破する脅威

確認された脅威のうち3.2%は、高い確度で最前線の防御をすり抜けたものと特定されています。この集団の背後には、それぞれ独自のツール群を持ち、目的を完遂するまで防御層を回避し続けるだけの運用上の規律を備えた、少数精鋭の名指しされた攻撃者集団が存在します。この防御突破集団に関連する名指しキャンペーンのうち77.3%には、攻撃者の特定情報、すなわちそのツールの背後にいる名指しの実行者が紐づいています。この集団の活動はテクノロジー、サイバーセキュリティ、医療の各業界に集中していますが、その手口自体は業界を問わず通用するものです。すなわち、認証情報の悪用、横展開、そして最前線の検知の目が届かない信頼境界を突く防御回避の手法です。

Evil Corp

Evil Corpは、大規模な銀行詐欺やランサムウェア攻撃で知られる、金銭目的のサイバー犯罪グループです。この防御突破集団の中では、Evil Corpのツールカタログに属する4種のマルウェアファミリーが確認されました。

• DOPPELPAYMER – C言語で書かれたランサムウェアで、ローカル、ネットワーク共有、リムーバブルデバイス上のファイルを暗号化します。防御突破集団全体のアラート活動の2.3%を占めました。
• FAKEUPDATES – JavaScriptで書かれたダウンローダーで、HTTPを介して通信し、実行するペイロードをディスクに書き込みます。防御突破集団全体のアラート活動の1.8%を占め、このツールに遭遇した環境のうち7.7%で防御担当者が隔離対応を行いました。
• DANABOT – Delphiで書かれたバックドアで、多くの場合、メインのペイロードを復号して実行するドロッパーを介して配布されます。こちらも防御突破集団全体のアラート活動の1.8%を占めました。
• VENOMRAT – .NETベースのバックドアで、TCP上の独自バイナリプロトコルを用いて通信し、シェルコマンドの実行やプラグインのダウンロードが可能です。防御突破集団全体のアラート活動の0.4%を占めました。

Lazarus

Lazarusは、金銭目的の攻撃活動とスパイ活動キャンペーンで知られる、北朝鮮国家の支援を受けた高度持続的脅威(APT)グループです。この防御突破集団の中では、Lazarusのツールカタログに属する3種のマルウェアファミリーが確認されました。

• HANGMAN – Conti、Hoplight、Lazarus、Nukespedとしても追跡されているこの亜種は、ファイルのアップロード・ダウンロード、プロセスおよびファイルシステムの管理、システム情報の収集、自身の設定の更新が可能です。防御突破集団全体のアラート活動の1.0%を占めました。
• LATEWIRE – Apost、Conti、Nukesped、Nukesped Trojanとしても追跡されているこのダウンローダーはC++で書かれており、C&Cサーバーからシェルコードをダウンロードして実行します。防御突破集団全体のアラート活動の0.3%を占めました。
• DARKSKY – BKDR、Conti、Joanap、Joanap Wormとしても追跡されているDARKSKYは、Windows SMB共有を介した拡散にブルートフォース認証攻撃を用い、設定されたコマンド&コントロールサーバーへログデータを送り返します。防御突破集団全体のアラート活動の0.1%を占めました。

Gentlemen

Gentlemenは、ランサムウェア活動、横展開、コマンド&コントロールの永続化を可能にするプロキシ・トンネリングインフラで知られるサイバー犯罪グループです。C言語で書かれたトンネリングツールで、独自バイナリプロトコルを用いてコマンド&コントロールサーバーからプロキシ関連のコマンドを取得するSYSTEMBCが、防御突破集団全体のアラート活動の0.9%を占めました。

高確度で防御を突破したと判定された集団のセクター構成を、集団全体の環境フットプリントに占める割合として示したもの。

ランサムウェア

今期に特定された脅威のうち、ランサムウェアファミリーが14.3%を占め、データセット全体で7種の異なるランサムウェアファミリーが確認されました。EGREGORがランサムウェア活動の55.9%を占めて首位となり、SODINOKIBIが1.5%、WANNACRYが1.1%で続きました。特筆すべきは、Nefilimの脅威アクターによる犯行として2020年3月に初めて報告された名指しキャンペーンに帰属するNEMTY.NEFILIMが、活動量自体は少ないものの、同期間内に2つの亜種として出現している点です。これは、日和見的なツールとは一線を画す特徴と言えます。

今期のランサムウェア活動全体のうち65%をサイバーセキュリティ業界の環境が占めました。この偏りは主にEGREGORのアラート量によるものですが、複数のファミリーにわたって一貫して見られる傾向でもあります。セキュリティ専門の組織は自社のテレメトリを通じて活動を検知・報告する傾向が強いため、監視体制が手薄な他業界と比較して、その割合が実態より高く見えている可能性があります。テクノロジー業界は残りの34%を占め、これにはソフトウェアベンダー、マネージドサービスプロバイダー、そして業務停止が直接的な収益への影響につながるインフラ事業者が含まれます。

Zero Labsのブログとインテリジェンス:

1. GhostChrome-Xの内部解剖:Chrome拡張機能の整合性検証のバイパス 
2. BeepRAT:通信事業者向けユーティリティの裏に潜む中国系ツールセット 
3. GitHubでハッシュ値の全リストを見る