ブラジル政府の公式サイト20件以上が乗っ取られる、マルウェア「PhantomEnigma」配布の踏み台に

要点

• ブラジル政府の公式ウェブサイト20件以上が乗っ取られ、マルウェア「PhantomEnigma」の配布経路として悪用されている。

• 警察を装った偽の通知メールが起点で、送信ドメイン認証をパスすることで高い信頼性を偽装していた。

• 被害者は乗っ取られた政府ドメイン等を経由し、悪意あるインストーラーに誘導される。

• PhantomEnigmaは従来のブラウザ拡張型から、JavaScriptを実行できるモジュール式のバックドアへと進化している。

• C2サーバーのドメインが迅速に入れ替わるため、静的ブロックリストではなく振る舞い分析による対策が推奨されている。

• マルウェア分析プロバイダーのANY.RUNは2026年7月16日、ブラジル政府の公式サイト20件以上が乗っ取られ、マルウェア「PhantomEnigma」の配布経路に悪用されていることを明らかにした。同社が数百のサンドボックス（安全な仮想検証環境）セッションを分析した結果、キャンペーンの全貌が判明した。調査により、未公開のバックドア（不正侵入用の裏口）の挙動やインフラの関連性が確認され、銀行や公的機関がリスクにさらされている。

• この攻撃は、警察文書を装った「Ofício Polícia Civil（民事警察の職務）」や「Procuração Digital（デジタル委任状）」などの偽の公式通知メールから始まる。メールにはQRコードや、政府リソースに見せかけたリンクが含まれていた。

• これらのメールの一部は実際に侵害された正規のメールボックスから送信されていた。そのため、送信ドメイン認証技術であるSPF（送信元の検証）、DKIM（電子署名による改ざん防止）、DMARC（認証結果に基づく処理決定）の検証をすべて通過していた。これにより、通常のドメイン詐称メールよりも高い信頼性を偽装していた。

• 被害者は、最終的なマルウェアのインストーラーに到達する前に、乗っ取られた「.gov.br」ホストや警察サイトを模したドメインを経由する。政府システムは最終標的ではなく、信頼された配信インフラとして悪用されている。

• 実際に侵害が確認されたホストには、timon.ma.gov[.]brや州公安部門のloginam.sesp.es.gov[.]br、消防署のaplicacao.cbm.mt.gov[.]br、司法ポータルのprodoc.ap.gov[.]brなどがある。これらは配信チェーンの異なる段階で利用されており、複数のホストが別々の攻撃部門で共通して使用されていたことが、無関係に見えたキャンペーン同士の関連を特定する手がかりとなった。

• ANY.RUNのタイムラインによると、PhantomEnigmaは近年、配信経路とマルウェア本体の二つの側面で進化を遂げている。

• 配信経路の面では、2025年の銀行を標的とした活動から、2026年には乗っ取った「.gov.br」ウェブサイトやメールアカウントの悪用へとシフトした。これにより、新しい標的グループを設定することなく、ユーザーから疑われにくい信頼性の高いアクセス経路を確保している。

• また、マルウェア自体も高度化している。かつてはWebブラウザの拡張機能として動作するバンキングマルウェア（ネットバンキングの認証情報を盗み出す不正プログラム）だったが、現在はモジュール式のInno/Node.jsバックドアへと変貌した。このバックドアはJavaScriptを実行する能力を持ち、感染後に追加のペイロード（不正な実行データ）をダウンロードして実行可能となっている。

• こうしたインフラ悪用とマルウェアのモジュール化は、防衛側のセキュリティチームにとって深刻な視認性の低下（脅威の検知が困難になること）を招いている。信頼された公的インフラが使われることで警戒心が低下し、感染後に実行されるモジュール式ペイロードは動的に変化するためだ。さらに、C2サーバー（攻撃者が指令を送る制御サーバー）のドメインが頻繁に変更されるため、IPアドレス等を基にした静的なブロックリストはすぐに役に立たなくなる。

• ANY.RUNは、進化を続ける本キャンペーンに対し、静的な防御手法ではなく、振る舞い分析や継続的な脅威ハンティング（システム内に潜む脅威を能動的に捜索すること）の導入が、より確実な対策につながると説明している。