6月の脅威動向:サプライチェーンワーム、AIによる悪用の加速、そして深刻なゼロデイ脆弱性

今月の主要ニュース

1. 「Miasma」サプライチェーンワームがエコシステム侵害を工業化

• 「Miasma」ワームとして知られる、極めて高度で自己増殖型の認証情報窃取マルウェアが、複数の開発者エコシステムにわたって壊滅的なサプライチェーン侵害を引き起こしました。
• この攻撃は、CI/CDパイプラインを操作し悪意のあるPythonの.pthスタートアップフックを利用することで、Microsoftの GitHubリポジトリ73件、PyPI/npmアーティファクト471件、Red Hatのクラウドサービスパッケージ32件を体系的に乗っ取りました。
• このマルウェアはGitHubトークン、npmレジストリへのアクセス権、クラウド認証情報(AWS、GCP、Azure)を窃取する一方、AI支援型セキュリティスキャナーを妨害するために設計された偽のLLMプロンプトインジェクションヘッダーを含む、高度な解析回避技術を展開していました。

2. Oracle PeopleSoftのゼロデイ脆弱性が教育機関での大規模侵害を招く

• 脅威アクターShinyHunters(UNC6240)は、Oracle PeopleSoft PeopleToolsに存在する未パッチの認証バイパス型ゼロデイ脆弱性(CVE-2026-35273)を悪用し、認証を経ない状態でのリモートコード実行を可能にしました。
• この大規模な悪用キャンペーンは100を超える組織を侵害し、主に高等教育セクターを標的にしていました。
• 緊急パッチが発行されるまで約2週間にわたって活動し、この侵害によりノッティンガム大学の学生・職員の記録454,600件を含む、膨大な個人情報データベースが窃取されました。

3. Cisco SD-WANのゼロデイ連鎖と公表前からの悪用

• Ciscoの企業向けネットワークインフラは、容赦ないゼロデイ攻撃の連鎖に見舞われ、2026年に入ってから実際に悪用が確認されたCisco SD-WANの脆弱性としては7件目となりました。
• 最も深刻な脆弱性(CVE-2026-20245)は、認証済みのリモート攻撃者が悪意のあるCSVファイルのアップロードを介してroot権限でコマンドを実行できるというものでした。
• Mandiantの開示によると、脅威アクターはベンダーによる一般公開の少なくとも2か月前から、この脆弱性を実環境で悪用してシステムのパスワードファイルを操作していたとされ、重要インフラが晒される期間の深刻さを浮き彫りにしています。

主要ランサムウェアグループ

注:今月のランサムウェアグループは、独自のEDR回避フレームワークを展開し、新たなコマンド&コントロール(C2)の秘匿技術を活用するなど、著しい運用面での成熟を示しました。

1. The Gentlemen – 同グループは、48種類の製品にまたがる400以上のセキュリティプロセスを標的にできる、極めて高度な「GentleKiller」EDR終了フレームワークを展開し、ワームのような深刻な水平展開(ラテラルムーブメント)を可能にしました。医療や製造業を含む70か国のグローバルなセクターに影響を及ぼし、記録された被害者数は合計478件に上ります。 
2. ShinyHunters(UNC6240) – ブランドを一新したこのグループは大規模な恐喝キャンペーンを主導し、DentaQuestから260万件、Charter Communicationsから490万件のアカウント情報を窃取したほか、Oracle PeopleSoftのゼロデイ脆弱性を用いて大学の記録45万件以上を盗み出しました。
3. Qilin – この非常に活発なグループは、Check Point VPNのゼロデイ脆弱性(CVE-2026-50751)をパッチ提供の1か月も前から悪用してネットワークに侵入し、世界各地の複数の被害者組織で完全なネットワーク侵入を実現しました。
4. INC Ransom – INCは大量かつ攻撃的な標的化を継続し、2023年以降の被害者総数が830件を超えたという節目を主張しています。
5. Silent Ransom Group(Luna Moth) – このグループは従来型のデジタル恐喝を物理的な領域にまで拡大させ、IT担当者になりすました実行役をオフィスに侵入させてUSBドライブを差し込ませ、データを窃取する手口に成功しました。

Linux/クラウド/アイデンティティ攻撃:主要な脅威

これらの脅威は、深刻度(CVSSスコア)、即座かつ広範な影響、そして企業環境における大規模な悪用の観測状況に基づいて優先順位付けしています。

1. Check Point VPNのゼロデイ脆弱性を悪用したランサムウェア攻撃(CVE-2026-50751)

• 種別:ネットワークインフラ/アイデンティティ
• 影響:Check Point Remote Access VPNに存在する深刻な認証バイパスの脆弱性により、非認証の攻撃者が旧式のIKEv1プロトコルの欠陥を突いて、有効なパスワードなしでVPNセッションを確立できてしまいます。
• CVSS 9.3 / 統計:Qilinランサムウェアの関連グループは、パッチが利用可能になるまでの32日間にわたってこのゼロデイ脆弱性を実環境で悪用し、CISAは連邦機関に対して緊急の修復措置を義務付ける事態となりました。この脆弱性は、保護された企業ネットワークへの即座の水平展開能力を攻撃者に与えます。

2. Ivanti Sentryの最大深刻度のリモートコード実行脆弱性(CVE-2026-10520)

• 種別:クラウドインフラ/モバイル管理
• 影響:コマンドインジェクションの脆弱性により、非認証のリモート攻撃者がIvanti Sentryモバイルゲートウェイアプライアンス上でroot権限による任意のコード実行が可能になります。
• CVSS 10.0 / 統計:考えうる最大の深刻度スコアを持つこの脆弱性は、開示からわずか24時間以内に実環境での悪用が確認され、AIによって加速する脆弱性の武器化タイムラインが前例のないほど短縮されていることを示しています。

3. Linuxの「Fragnesia」CIFS root権限昇格脆弱性(CVE-2026-46300)

• 種別:Linuxオペレーティングシステム
• 影響:Linuxカーネルの XFRM ESP-in-TCPサブシステムに存在する権限昇格の脆弱性で、ローカル攻撃者がカーネルのページキャッシュを完全に操作し、root権限を取得できてしまいます。
• CVSS 7.8 / 統計:19年前から存在するこの脆弱性は主要なLinuxディストリビューションの大半に影響を及ぼし、Linuxサーバーインフラ、コンテナ化されたワークロード、ハイブリッド環境にとって深刻な脅威となっています。概念実証(PoC)コードもすでに一般に公開されています。

Rubrik Zero LabsのLLM搭載高度分析システムによる知見

バックアップ内に潜む主要な脅威:当社の高度な分析システムは、実環境で観測された主要な脅威やトレンドの脅威を特定し、そのデータをバックアップのテレメトリと照合することで、潜伏型のマルウェアを検出します。本セクションでは今月分のデータをご紹介します。

最前線の防御を突破する脅威

今月確認された主要な脅威のうち3.2%が、最前線の防御をすり抜けたと高い確度で特定されました。その背後には、それぞれ独自のツール群を持ち、目的を達成するまで防御層による検知を回避し続けるだけの運用上の規律を備えた、特定可能な攻撃者集団が控えています。この防御突破コホートに紐づく特定済みキャンペーンのうち77.3%には攻撃者の帰属情報が付与されており、すなわち名前の判明したオペレーターがそのツールの背後に存在していることになります。このコホートの活動は技術、サイバーセキュリティ、医療分野に集中していますが、その手口自体はセクターを問わず通用するものです。すなわち、最前線の検知機構では捉えられない信頼境界を突く、認証情報の悪用、水平展開、防御回避といった基本手法です。

Evil Corp

Evil Corpは、大規模な銀行詐欺やランサムウェア活動で知られる金銭目的のサイバー犯罪グループです。防御突破コホートには、Evil Corpのカタログから4つのマルウェアファミリーが確認されました。

• DOPPELPAYMER – C言語で書かれたランサムウェアで、ローカルストレージ、ネットワーク共有、リムーバブルデバイス上のファイルを暗号化します。防御突破コホートのアラート活動の2.3%を占めました。
• FAKEUPDATES – JavaScriptで書かれたダウンローダーで、HTTP経由で通信し、実行のためにペイロードをディスクに書き込みます。防御突破コホートのアラート活動の1.8%を占め、このツールを検出した環境のうち7.7%で防御側が隔離措置を講じました。
• DANABOT – Delphiで書かれたバックドアで、多くの場合ドロッパーによって配布され、そのドロッパーがメインペイロードを復号・実行します。こちらも防御突破コホートのアラート活動の1.8%を占めました。
• VENOMRAT – .NETベースのバックドアで、TCP上の独自のバイナリプロトコルを用いて通信し、シェルコマンドの実行やプラグインのダウンロードが可能です。防御突破コホートのアラート活動の0.4%を占めました。

Lazarus

Lazarusは、金銭目的の活動とスパイ活動キャンペーンで知られる北朝鮮の国家支援型APT(高度標的型攻撃)グループです。防御突破コホートには、Lazarusのカタログから3つのマルウェアファミリーが確認されました。

• HANGMAN – Conti、Hoplight、Lazarus、Nukespedとしても追跡されているこの亜種は、ファイルのアップロード・ダウンロード、プロセスおよびファイルシステムの管理、システム情報の収集、設定の更新が可能です。防御突破コホートのアラート活動の1.0%を占めました。
• LATEWIRE – Apost、Conti、Nukesped、Nukesped Trojanとしても追跡されているこのダウンローダーはC++で書かれており、C&Cサーバーからシェルコードをダウンロードして実行します。防御突破コホートのアラート活動の0.3%を占めました。
• DARKSKY – BKDR、Conti、Joanap、Joanap Wormとしても追跡されているDARKSKYは、Windows SMB共有を介して拡散するためにブルートフォース認証攻撃を用い、ログデータを設定済みのコマンド&コントロールサーバーに送り返します。防御突破コホートのアラート活動の0.1%を占めました。

Gentlemen

Gentlemenは、ランサムウェア活動、水平展開、コマンド&コントロールの持続的な維持を可能にするプロキシ・トンネリングインフラで知られるサイバー犯罪グループです。C言語で書かれたトンネリングツールSYSTEMBCは、独自のバイナリプロトコルを用いてコマンド&コントロールサーバーからプロキシ関連のコマンドを取得するもので、防御突破コホートのアラート活動の0.9%を占めました。

高確度で判定された防御突破コホートの業種構成を、コホント全体における環境的な占有率として示したもの。

ランサムウェア

今期間、ランサムウェアファミリーは特定された脅威全体の14.3%を占め、データセット全体で7つの異なるランサムウェアファミリーが確認されました。EGREGORがランサムウェア活動全体の55.9%を占めて首位となり、SODINOKIBIが1.5%、WANNACRYが1.1%で続きました。特筆すべきは、2020年3月に初めて報告された特定キャンペーンを通じて脅威アクターNefilimに帰属するとされているNEMTY.NEFILIMが、今期間中に2つの亜種として出現している点です。これは活動比率こそ低いものの、日和見的なツールとは一線を画す兆候といえます。

サイバーセキュリティ分野の環境が、今期間のランサムウェア活動全体の65%を占めました。これは主にEGREGORのアラート量に牽引されたものですが、複数のファミリーにわたって一貫して見られる傾向でもあります。セキュリティに特化した組織は自らのテレメトリを通じて活動を検知・報告する傾向が強いため、計測体制が手薄な業界と比べて比率が高く出ている可能性があります。技術分野は残りの34%を占め、ソフトウェアベンダー、マネージドサービスプロバイダー、インフラ事業者など、業務の中断が直接的な収益への影響につながる領域に及んでいます。

Zero Labsのブログ・脅威インテリジェンス:

1. GhostChrome-Xの内部:Chrome拡張機能の整合性チェックを回避する手口 
2. BeepRAT:通信ユーティリティの裏に潜む中国系ツールセット 
3. GitHubでハッシュ値の全リストを見る