GitHubはマルウェアのショーウィンドウと化しており、被害者は不審なアーカイブを開く必要も偽サイトを訪れる必要もありません。Avyukt Securityの研究者らは、AI、サイバーセキュリティ、暗号資産、脆弱性研究向けのツールを謳う、それらしい体裁のリポジトリを攻撃者が何十個も仕立てていた「Operation RepoGhost」を突き止めました。ダウンロードしたプロジェクトを実行するだけで、水面下に隠された感染連鎖が同時に発動する仕組みです。
調査のきっかけは、CVE-2026-41940の実働エクスプロイトを探していたことでした。検索結果の中に、詳細なドキュメントまで備えた本格的な概念実証(PoC)に見えるGitHubリポジトリがあり、313個のスターと39個のフォークを獲得していました。しかしそのエクスプロイト自体は、対象の脆弱性とは何の関係もありませんでした。研究者らがコードの大半をたどると、無関係な別プロジェクト「claude-engineer」に行き着き、これは信頼性を演出するために付け加えられたものとみられます。
Pythonスクリプトに隠された多段階の攻撃連鎖
本物のペイロードは、このPythonスクリプトの冒頭にひっそりと潜んでいました。コードは正規のMicrosoft App-Vコンポーネントであるscriptrunner.exeを起動し、それを介して密かにPowerShellを開き、Pastebinから次のスクリプトを取得します。続いてGo言語で書かれた実行ファイルがマシンに送り込まれ、難読化された.NETアセンブリをメモリ上に直接ロードして、コマンド&コントロール(C2)サーバーへ接続します。
最終的なマルウェアは、情報窃取型(インフォスティーラー)として動作しました。ブラウザに保存されたセッションや認証情報、Discordトークン、稼働中のTelegramやSteamのセッション、暗号資産ウォレットのデータを探索します。もっとも、情報を盗み出す前にこのプログラムはWindowsの表示言語を確認し、ru-RU(ロシア語)ロケールを検知すると、その時点で即座に実行を停止する仕組みになっていました。
コミット履歴から見えてきた進化する攻撃手法
GitHubのコミット履歴からは、インフラがマルウェアの変化に合わせて移り変わってきたことが明らかになりました。最も古い活動は2025年11月にさかのぼり、当時の攻撃者はWindows向けにCountLoaderを配布していました。2026年1月にはmacOS向けのNovaStealerを仕込んだリポジトリが出現し、6月までには、Go言語で書かれた独自のWindows向けデータ窃取マルウェアに攻撃者の注力先が移っていました。
共通するコード断片、コミット履歴、インフラを手がかりに、研究者らは52個のリポジトリをRepoGhostに関連付けました。おとりとして使われたものの中には、偽のClaudeやSoraのプロジェクト、OSINTツール、React2Shellスキャナー、暗号資産ユーティリティ、トレーディングボット、著名な脆弱性を装った偽のPoCなどが含まれていました。
攻撃者の特定：ロシア関連の勢力
Avyukt Securityは、中程度から高い確度で、このキャンペーンをロシア語話者のハッカーによるものと断定しています。研究者らが分析の中で詳述しているとおり、その根拠は主に、マルウェアがロシア語版Windows上での実行を意図的に拒否する点と、これまでロシア語圏の犯罪者コミュニティで確認されてきたCountLoaderおよびNovaStealerファミリーが使われている点にあります。ただし研究者らは、単一の指標だけで攻撃者の出身を断定できるわけではない、と釘を刺しています。
翻訳元: https://meterpreter.org/operation-repoghost-github-malware/
