多くの防御担当者にとって、フィッシング検知への対応はパスワードの強制変更で完結します。しかしMirage2FAは、その対応そのものを無意味にするよう設計されています。
この設計は実際に規模を拡大しています。ANY.RUNはこのキャンペーンを、3,518の組織にまたがる4,532件の侵害可能性があるアカウント(標的にされた9,426件のメールアドレスのうち約48%に相当)、および94カ国で記録された9,332件の個別の侵害イベントに関連付けています。
パスワードと2FAの両方が窃取されたケースは3,044件(34%)、シングルサインオン経由のログインは1,339件(15%)、残る388件はその他のカテゴリに分類されています。
有効なセッションはパスワード変更後も存続するため、封じ込めはID(アイデンティティ)インシデントとして扱う必要があります。すべてのアクティブセッションとトークンを無効化し、メール転送ルールやOAuth権限付与を見直し、乗っ取られたアカウントで実行された操作をすべて監査しなければなりません。
ログイン成功のうち3分の1(33.3%)はモバイル端末からのもので、モバイルではフィッシングページを見破ることがはるかに困難です。
【CTA 1】 SOCおよびMSSPチーム向けMirage2FAレポートの完全版を入手する。 SIEM/EDR向けのIOC一覧を完全収録。
被害は94カ国に及んでいますが、その大部分を占めるのは米国です。被害者数2,885件、全体の63.7%を占め、インド(5.1%)、シンガポール(4.1%)、英国(1.7%)、カナダ(1.7%)が続きます。
業種別ではテクノロジー企業が19.2%でトップに立ち、製造業(11.1%)、教育(9.9%)、コンサルティング(8.3%)、通信(6.6%)、医療(5.4%)、金融(3.1%)と続きます。
マネージドセキュリティサービスプロバイダー(MSSP)も被害の大きいグループに含まれています。乗っ取られたMSSPのアカウントが1つあるだけで、そのMSSPが保護している顧客企業全体に被害が連鎖しかねません。
この攻撃者は少なくとも2024年9月から活動を続けていますが、2026年に入って活動量が急増しました。サンドボックスでの検知件数は3月から着実に増加し、7月だけで(月の途中までのデータにもかかわらず)445件のMirage2FAセッションが記録されています。これはANY.RUNが分析したセッション全体1,249件のうちの数字です。
【CTA 2】 早期検知でアカウント侵害のコストを削減する。 プロアクティブな防御でビジネスインシデントを未然に防ぐ。
Mirage2FAは実行ファイルを一切ドロップしません。攻撃連鎖は、人事部門や401(k)給付通知を装ってAmazon SES経由で大量送信されるフィッシングメール(MITRE ATT&CK T1566.001/.002)から始まります。メールには.htm、.xhtml、.svgいずれかの添付ファイル、あるいは被害者にスマートフォンでリンクを開かせるためのQRコードが仕込まれています。
ファイルを開くと、ブラウザ上に埋め込まれたステージャーが実行されます(T1204.002)。このステージャーは受信者ごとに固有のトークン(攻撃者がLINXB64EMAILと呼ぶプレースホルダーにBase64エンコードされた被害者のメールアドレス)を保持しており、/xls/<token>.jsというパスを使ってリモートローダーにアクセスします(T1105)。
ANY.RUNのサンドボックス上では、添付ファイルを開くと「あなたが人間であることを確認してください」というスライダーが表示され、続いて被害者のメールアドレスが事前入力されたMicrosoft風のパスワード入力画面が現れます。ネットワークログを見ると、ローダーがuser.cheacker[.]storeから読み込まれ、C2へのWebSocket接続が確立し、xwps.phpハンドラーへのPOSTリクエストと、被害者を特定するためのapi.ipify.orgへの照会が行われていることが分かります。
サンドボックスでの1,249回の実行を通じて繰り返し確認された挙動は、フィッシング、難読化されたJavaScript、WebSocketを使ったAiTM(Adversary-in-the-Middle)通信、IPおよびブラウザのフィンガープリンティング、QRコードによる配信、Amazon SESの利用でした。
【CTA 3】 攻撃連鎖の全貌を60秒未満で確認する。 アカウント侵害が大規模インシデントへ発展する前に、調査時間を短縮する。
ANY.RUNは.htmサンプル629件(うち難読化453件)、XHTMLサンプル198件(うち難読化31件)、SVGサンプル187件(うち難読化12件)を解析しましたが、いずれもバイナリマルウェアは含まれていませんでした。最も単純な.htmは、uidトークンを設定し/api/xls/a1p2i.jsを取得するだけの2行のスタブです。
難読化されていないXHTML亜種は、全画面のiframeを生成してその中にドキュメントを書き込み、同じローダーを注入します。トークンは?refパラメータから取得します。
その難読化版は、rsy()という16進数-文字列デコーダーの背後に同じ挙動を隠しており、トークンは?sdvパラメータまたはURLフラグメントから読み込みます。
難読化された.htmは完全に自己完結型です。Base64でエンコードされたブロブをデコードし、各バイトを鍵0xAD(173)でXOR演算した上で、その結果をeval()に渡します。
SVGステージャーは、単独のSVGファイル内にインラインの<script>を悪用してブラウザをフィッシングURLへ直接リダイレクトさせ、トークンはクエリ文字列に含めます。このうち十数件は、リダイレクト先を隠すためにobfuscator.io風の文字列配列デコーダーでリダイレクト処理を包んでいます。
ローダーおよびC2通信は185.174.100.224に集約しており、AS-Colocrossing上でuser.cheacker[.]store、hvr.volatilesour[.]store、ver.bandhiem[.]com、pynutech[.]storeといったドメインを配信しています。
すべてのローダーリクエストは https://<host>/<3文字コード>/xls/<token>.js という同一の形式に従っており、コードにはapi、ulr、eor、pxk、dsk、tskなどが、トークンの接尾辞にはc2vやcptが使われています。ANY.RUNのThreat Intelligence Lookupでこのパターンを検索したところ、同一アドレス上の関連URL群が丸ごと洗い出されました。
攻撃者のテストメッセージは、実運用中のC2と同じ185.174.100.0/24サブネット内のIPアドレスから送信されており、ビルドを示すマーカーはLINXCODERSEMAILからLINXEMAIL、そしてLINXB64EMAILへと変遷しています。直近のテスト(パスワードにlinxzを使ったログイン)は2026年7月3日に行われています。
ANY.RUNは、パネルが自己記録するIPおよび位置情報はVPNやスプーフィングを反映している可能性があると注意を促しています。より確度の高い手がかりは、複数のボット間で使い回されているアドレスと、独自に観測したインフラとのサブネットの重複です。単一のボットIDによって、2024年から2025年にかけてのテストと2026年の攻撃キャンペーンとがつながることが確認されています。
この期間を通じて、このキットは単純なローダーからXOR、16進数、obfuscator.ioラッパーへと進化し、新たな/xls/ルートやトークンの亜種を追加しながら、ドメインをローテーションさせてきました。
Mirage2FAは従来型のMFAを無効化してしまうため、対策はそれ以上のものが求められます。ANY.RUNは、ゲートウェイで.htm、.xhtml、.svgの添付ファイルをブロックまたは隔離すること、HTMLスマグリングや難読化されたJavaScriptに対する検知ルールを追加すること、QRコードを使ったおとりやAmazon SES経由のメールを不審なものとして扱うことを推奨しています。
管理者、役員、財務担当者といった重要なユーザーは、FIDO2/WebAuthnキーやパスキーなど、フィッシング耐性のあるMFAへの移行を進めるべきです。これに加えて、セッションの有効期間短縮、トークンバインディング、Microsoft Entra IDの継続的アクセス評価(Continuous Access Evaluation)を組み合わせることで対策を強化できます。
脅威ハンティングを行う担当者向けに、このレポートはインフラの変化に左右されない兆候を挙げています。
【CTA 4】 SOCの脅威カバレッジを拡大する。 16,000社の実際の脅威データに基づく、99%ユニークなTIフィードを統合する。
ANY.RUNの完全版レポートには、60件を超えるフィッシングドメインと21件の攻撃者テスト用IPアドレスの一覧が完全な形で収録されています。
