ゲームチート偽装や24時間以内のランサムウェア暗号化など、巧妙化するサイバー攻撃の手法が判明

要点

• NuGetパッケージを偽装したゲームチートツールを起点とし、情報を窃取するスパイウェアに感染させる攻撃が確認された。

• 攻撃グループ「UAT-11795」が、実在するIT管理やWeb会議などのツールの偽インストーラーを用いて、遠隔操作ツールを展開している。

• 南アジアのITサービス企業が、侵入からわずか24時間以内にネットワークを暗号化する新型ランサムウェア「Spirals」の被害に遭った。

• サイバーセキュリティ分野の複数の調査から、新たな手法やツールを用いた多様な攻撃事例が明らかになった。ゲームのチートツールを装うパッケージによる感染や、実在する定番ソフトウェアになりすました偽インストーラーの配布、さらには侵入から丸1日以内にネットワーク全体を暗号化する極めて迅速なランサムウェアの攻撃など、サイバー脅威は多様化と巧妙化を続けている。

NuGetパッケージを悪用したゲームチートによるスパイウェア感染

セキュリティ企業のSocketは、開発者向けのプラットフォームであるNuGet（.NET向けパッケージ管理システム）上で、悪意ある11個のパッケージが公開されていたことを報告した。これらのパッケージは、ゲームのチートツールや自動化ボットなどを装っているが、実際には第1段階のダウンローダー（プログラムをダウンロードして実行するマルウェア）として機能する。

このプログラムは、AIモデルの共有プラットフォームであるHugging FaceやGitHub Releases上の「pepegit666」というアカウントから、「pepesoft.exe」という第2段階のPythonペイロード（悪意あるプログラム）をダウンロードして実行する。また、予備の通信手段として、休止状態のBitTorrentを用いた仕組みも備わっている。

回収されたペイロードは、AWS形式の鍵情報を用いて遠隔で設定を取得し、Googleスプレッドシートへの認証やハードウェア情報の登録、禁止リストとの照合などを行う。さらに、一部のプログラムはTelegramのボットコマンドを露出させており、被害マシンのスクリーンショットを設定されたチャット宛てに送信する機能も持っているという。

偽インストーラーで遠隔操作ツールを展開する「UAT-11795」

金銭目的で活動するロシア語話者の攻撃グループ「UAT-11795」による攻撃キャンペーンも明らかになった。この活動は少なくとも2025年6月から行われており、主に米国や欧州のユーザーが標的となっている。

攻撃者は、IT管理ツール「MobaXterm」やWeb会議ツール「Zoom」「WebEx」、データベース管理ツール「DBeaver」、オンラインゲームプラットフォーム「FaceIT」などの偽のインストーラーを使用する。これを通じて、Pythonベースの遠隔操作ツール「Starland RAT」や、指令サーバーからの指示を実行する「WLDR agent」を展開する。

Cisco Talosの調査によると、WLDR agentはPowerShellベースのプログラムであり、暗号化されたビーコン（生存確認）通信やタスク管理などの高度な機能を備えている。また、同グループは認証情報や暗号資産ウォレットの資産、組織内の管理情報を盗み出す「CastleStealer」や「Remcos RAT」の展開にも関わっている。

感染経路には、ブラウザの修復画面を装って不正プログラムを実行させる「ClickFix」という手法が使われている。このClickFixは、他のマルウェア「TELEPUZ」や、macOS向けの情報窃取ツール「ClickLock Stealer」の配布にも悪用されていた。Group-IBの調査では、ClickLock Stealerは主要なブラウザや暗号資産ウォレット拡張機能など多岐にわたるデータを標的とし、パスワードや秘密鍵などを盗み出している。

24時間以内にネットワークを暗号化する新型ランサムウェア「Spirals」

さらに、侵入からわずか24時間以内にネットワーク全体の暗号化を完了させる新型ランサムウェア（データを暗号化し復旧と引き換えに金銭を要求するマルウェア）「Spirals」の脅威も報告された。2026年6月に南アジアのITサービス企業がこの攻撃の被害に遭っている。

SymantecおよびCarbon Blackの調査チームによると、このSpiralsはプログラミング言語のRustで開発されており、新規のマルウェアか今回の攻撃専用に開発されたものと考えられる。

攻撃者はまず、インターネット上に公開されていたIIS（マイクロソフト製のWebサーバーソフト）サーバーを侵害し、外部から操作するための「Webシェル」と呼ばれる不正スクリプトを設置した。その後わずか3時間のうちに、ネットワーク内での情報収集やセキュリティ対策ソフトのアンインストール、SAM（OSのログイン情報を管理するデータベース）のコピーを行い、システム管理用ツールのPsExecを利用してランサムウェアをネットワーク全体に展開した。

被害企業には、6日以内に身代金が支払われなければデータを公開するという脅迫文が残されており、攻撃者はTor（匿名化ネットワーク）経由での交渉を要求しているが、グループの特定には至っていない。

今回の報告は、開発プラットフォームのライブラリやビジネスで広く使われているツール、Webサーバーの構成など、日常的な接点が標的にされた事例を示している。いずれの攻撃も巧妙かつ迅速に進行する特徴があり、セキュリティ調査各社は引き続き注視している。