AIを悪用したマルウェアや開発ツールのコード無断送信など、セキュリティ最新動向が判明

要点

• AI支援開発の痕跡が見られる新種のAndroidバンキング型トロイの木馬「RemControl」が、西欧やカナダなどで確認された。
• 中国Z.aiのAIコーディングツール「ZCode」が、利用者のローカルコードを無断でクラウドへ送信していた問題を受け、一部機能を停止した。
• 米CISAとFBIが、重要インフラ事業者に対して外部の制御システムインテグレーターへの権限付与を最小限に抑えるよう警告を発した。
• ロシアの多機能スーパーアプリ「MAX」が、内部のミニアプリに対して画面撮影やデータ改ざんなどの監視を行える構造であることが研究調査で明らかになった。

---

サイバーセキュリティ専門メディアのThe Hacker Newsは2026年9月24日、最新の脅威動向をまとめたニュースレポートを公開した。レポートでは、AI技術が悪用された不正プログラムやAI開発ツールの情報管理リスク、重要インフラのアクセス権限管理、国家主導型アプリの監視機能に関する各機関の調査結果が報告されている。

AI支援で開発された新種バンキングマルウェア「RemControl」の拡散

セキュリティ企業のGroup-IBによると、Android端末を標的とする未確認のバンキング型トロイの木馬「RemControl」が、西欧（イタリア、フランス、スペイン、ポーランド、ポルトガル）、中東、カナダの個人銀行利用者を対象に拡散している。本マルウェアは2026年7月に初めて観測された。

攻撃者はMetaの広告を通じてユーザーを誘導し、IPTVアプリ「TVTap」に偽装した不正なGoogle Playページからマルウェアをダウンロードさせている。感染した端末では、障害者支援機能であるAndroidのユーザー補助サービス（アクセシビリティサービス）が悪用され、正規の銀行アプリの上に偽の入力画面（フィッシングオーバーレイ）を重ねて表示する。さらに、端末画面のリアルタイム配信、キー入力履歴の取得、攻撃者による遠隔操作などの機能が実行される。

指令サーバー（C2サーバー）のアドレスは暗号化されたTelegram上のメッセージ経由で動的に取得されるため、プログラムを再ビルドすることなくインフラを柔軟に切り替えられる仕組みを備えている。管理パネルの文書やフィッシング用コード内には、AIアシスタントの出力テキストがそのまま残されるなど、開発にAIが利用された痕跡が確認された。また、コード内のロシア語コメントや運用手法の特徴から、ロシア語話者の関与や「Medusa UNKN」ボットネットとの関連性が指摘されている。

AIコーディングツール「ZCode」のコード送信問題と機能無効化

中国のAI企業Z.aiが提供するコーディングアシスタント「ZCode」において、初期設定の状態でユーザーのローカル環境にあるソースコードリポジトリが、同意なく中国国内のAlibaba Cloudサーバーへ送信されていたことが判明した。

この問題の発覚を受け、Z.aiはローカルリポジトリのスナップショットを生成・アップロードするワークフローを無効化し、GitHub上でコードベースを公開した。同様の事象としては、過去にSpaceXAIの「Grok Build」CLIがGitリポジトリ全体をGoogle Cloud Storageへアップロードしていた事例が確認されており、AI開発支援ツールの機密コード取り扱いに対する懸念が改めて浮き彫りとなっている。

米CISAとFBI、重要インフラ事業者へ第三者連携時の権限最小化を要請

米連邦捜査局（FBI）とサイバーセキュリティ・インフラセキュリティ庁（CISA）は、重要インフラ事業者を対象としたファクトシート（公式案内文書）を共同で公開した。

本文書は、産業制御システム（ICS：工場や発電所などの設備を制御するシステム）の構築や保守を請け負う外部インテグレーターと協業する際のリスク低減を目的としている。両機関は、外部事業者に制御プロセスへの過度なアクセス権や制御権を与えないよう注意を促し、必要な権限のみを付与する「最小権限の原則（PoLP）」の徹底を求めている。適切な権限管理が行われない場合、悪意ある攻撃者に侵入経路として悪用され、重要設備の停止や物理的な破壊工作につながる恐れがあると説明されている。

ロシアのスーパーアプリ「MAX」における広範な監視機能

ミシガン大学、カルガリー大学、ジョージア工科大学、インド工科大学デリー校の研究チームは、ロシアのVK（VKontakte）が開発した国家主導のスーパーアプリ「MAX」に関するフォレンジック調査結果を発表した。MAXはメッセージング、電子商取引、銀行、行政サービスなどを1つに統合したモバイルアプリである。

調査によると、MAXはアプリ内で動作する子機能（ミニアプリ）に対して中間者（Man-in-the-Middle）として振る舞い、広範な監視を実行できる構造になっていることが判明した。具体的には以下の機能が確認されている。

• 画面の無断キャプチャ: 特別なシステム権限を持たず、ユーザーへの通知も行わずにミニアプリの表示内容をスクリーンショットとして取得する。
• ローカルストレージへの完全アクセス: ミニアプリが端末内に保存しているデータの読み取りおよび書き込みを制限なく実行する。
• スクリプトの注入: 実行中のミニアプリにJavaScriptを注入し、動作を検知されることなくリアルタイムで改ざんする。
• 通信の媒介とルーティング: ミニアプリのすべてのネットワーク通信を仲介し、ロシア国内向けビルドでは通信をGOST規格のTLSプロキシ経由で転送する。

これらの調査結果により、国家主導の大規模統合アプリが利用者のプライバシーやデータに対して高度な介入能力を持っている実態が示されている。