偽Claude広告から独自ランサムウェアまで、巧妙化するサイバー攻撃の手口が明らかに

要点

• 「xplogs22」がロシア等を狙い、遠隔操作ツール「XWorm」などを配信している。

• 恐喝グループ「Toy Ghouls」が、独自のランサムウェア「GenieLocker」でロシア企業を攻撃。

• ローダー「CastleLoader」の新規キャンペーンで、暗号資産の窃取やブラウザ常駐を狙う不正プログラムを確認。

• 被害者にコマンド入力を促し、ディスクに痕跡を残さず実行する「ClickFix」のファイルレス攻撃が進化。

• Google検索広告から偽のClaude導入チャットへ誘導し、情報窃取ツールを感染させる手口が判明。

• セキュリティ専門メディア「The Hacker News」は2026年7月30日、複数のセキュリティ企業の報告をもとに、巧妙化するサイバー攻撃の現状を発表した。独自ツールの開発や検索広告の悪用、ディスクに痕跡を残さないファイルレス攻撃など、攻撃手法の多様化が顕著になっているという。

「xplogs22」によるフィッシング攻撃とマルウェアの脅威

F6社の報告によると、2023年11月から活動している犯罪グループ「xplogs22」が、ロシアや独立国家共同体（CIS）諸国を標的にフィッシング攻撃を展開している。当初は「Formbook」などを使用していたが、2025年7月頃から遠隔操作機能を持つ「XWorm」へ移行した。
また、ロシアの銀行顧客を狙ったAndroid向けトロイの木馬（正規アプリを装って侵入するプログラム）「LunaSpy」の拡散も報告されている。セキュリティアプリを装って検出を逃れ、カメラ映像や音声、画面の録音、機密データの収集を隠密に実行する。

「Toy Ghouls」の独自ランサムウェア「GenieLocker」

カスペルスキーによると、恐喝グループ「Toy Ghouls」（別名「Bearlyfy」等）が、2026年3月から独自のカスタムランサムウェア「GenieLocker」を導入し、ロシアの製造業や金融、IT組織を攻撃している。以前は他者製の暗号化ツールを使用していたが、独自開発 of GenieLockerを採用して外部への依存を減らしたという。
実際の攻撃では、提携パートナーのネットワークから接続されたOpenVPNを利用して初期アクセスを確保。その後、RDPやSSHを介して感染を拡大させ、最終段階でWindows端末にはPE形式（実行可能ファイル形式）、LinuxやESXi仮想サーバーにはELF形式（Linux向け形式）のウイルスを適用し、システムを暗号化した。信頼関係を悪用して侵入し、結果としてサーバーの暗号化に至った形だ。

ローダー「CastleLoader」の新たなキャンペーン

アークティック・ウルフ社は、マルウェアをシステムにダウンロードさせるプログラム「CastleLoader」を用いた新たなキャンペーン「Noidret」を確認した。これまで同プログラムは、偽の警告で操作を促す「ClickFix」の手口を用い、遠隔操作ツールなどを配信していた。
今回は、「Needle Stealer」と呼ばれる情報窃取フレームワークに関連する新たなプログラムが配信された。Rust言語で開発されたデスクトップ用の暗号資産ウォレット偽装プログラムと、Go言語で記述されたブラウザ用の不正拡張機能インストーラーで、暗号資産の窃取やブラウザでの持続的な不正アクセスを目的としている。

ディスクに痕跡を残さない「ClickFix」のファイルレス攻撃

サイバープルーフ社によると、ユーザーを騙して操作を実行させる「ClickFix」の手法がさらに進化を遂げている。驚くべきことに、今回の手口では被害者にWindowsの「ファイル名を指定して実行」画面へ特定のコマンドを自ら貼り付けるよう誘導するという。
実行されたコマンドは、WebDAV（ウェブサーバー上のファイルを直接管理・編集する規格）のエンドポイントと通信し、システムプログラム rundll32.exe を悪用して不正ファイルを直接読み込んで実行する。この際、関数の実行命令として名前の代わりに内部番号を指定するため、コマンド履歴に具体的な関数名が残らない。これにより、ハードディスクに実体ファイルを保存することなく、メモリ上だけで処理を完結させる「ファイルレス攻撃」を実現し、追跡を困難にしている。

Google検索広告から偽Claudeガイドへと誘導する手口

ハントレス社によると、GoogleでAIアシスタント「Claude」のMac向けインストール方法を検索したユーザーが、検索結果のスポンサー広告を通じて悪意あるサイトへと誘導されている。
誘導先は、Claude公式サイトの本物の会話共有機能（claude.ai/share）を悪用したチャットページで、Appleの公式サポートを偽装したインストール手順が対話形式で案内される。親切なサポートガイドに見えるその画面の指示に従って操作を進めると、最終的にシステムから情報を抜き取るための不正プログラム「MacSync Stealer」がダウンロードされ、端末にインストールされる仕組みだ。