週刊サイバー脅威動向：PAN-OS脆弱性の悪用やDNS悪用の資産窃取など最新手口が判明

要点

• Palo Alto Networks製「PAN-OS」の認証バイパス脆弱性が、ランサムウェア集団「Qilin」や「Settra」に悪用されていることが判明した。

• ロシアが欧州全域でハイブリッド攻撃を激化させており、防衛力の試用やインフラ妨害、社会不安の醸成を狙っていると分析された。

• 暗号資産ウォレット窃取ツール「Noir」が、DNSのTXTレコードとDoHを悪用して通信先を特定する手口を用いていることが分かった。

• Rust言語製のトロイの木馬「CikaBika Bot」が、Discordを指令サーバーとして悪用し情報窃取を行っている実態が明らかになった。

• セキュリティ専門メディア「The Hacker News」は2026年10月15日、最新の週刊脅威レポート「ThreatsDay」を公開した。ReliaQuestやRecorded Futureなどのセキュリティ調査機関の報告に基づき、VPN機器の既知の脆弱性を狙うランサムウェア攻撃から、DNSやDiscordなど正規サービスを悪用する新手のマルウェアまで、直近で観測された深刻なサイバー脅威の実態が報告されている。

PAN-OS脆弱性を狙うランサムウェア「Qilin」「Settra」の侵入活動

セキュリティ企業ReliaQuestによると、Palo Alto NetworksのOS「PAN-OS」（同社製ファイアウォールなどの基盤ソフトウェア）の脆弱性「CVE-2026-0257」が、ランサムウェアグループ「Qilin」および「Settra」によって活発に悪用されているという。本脆弱性は、リモートアクセス機能「GlobalProtect」や「Prisma Access」に存在する認証バイパス（正規の認証手続きを経ずにシステムへの侵入を許す欠陥）である。2026年5月の公表後に実際の攻撃での悪用が本格化した。

ReliaQuestは、組織自身のVPNを経由するため正規のリモートワーク通信に見え、認証情報やデータの窃取、ランサムウェアの展開まで検知が遅れるリスクを警告している。パッチ適用に加え、不要な認証オーバーライドクッキーの無効化、適用後のアクティブセッションの全終了、「kali」などの不審なホスト名を持つ接続履歴の調査を求めている。パッチ適用だけでは事前に確立された不正アクセスを排除できない場合があるためだという。

欧州全域で激化するロシアのハイブリッド攻撃と3つの狙い

米調査企業Recorded Futureは、2022年2月のウクライナ全面侵略以降、ロシアが欧州全域でハイブリッド戦争（非対称戦争）の手法を激化させていると評価した。

これは軍隊の越境や空爆といった従来型の軍事衝突ではなく、心理戦、サイバー攻撃、物理的妨害を組み合わせた複合戦術である。同社はその目的として、以下の3点を挙げている。第一に、ロシア自身が正式な武力紛争へ軍事行動をエスカレートさせるかを評価するための防衛能力の試用。第二に、敵対国の重要インフラの機能低下。第三に、政府や国民へ恐怖の環境を醸成し、事態への対処能力を削ぎ落とすことにあると説明している。

DNSとAIを悪用する暗号資産ウォレット窃取ツール「Noir」

ネットワークセキュリティ企業Infobloxは、暗号資産（仮想通貨）ウォレットから資金を不正に抜き取るドレイナーキット「Noir」の分析結果を公表した。NoirはDNSのTXTレコードを参照してCloudflare Pages上の通信先プールを特定するという特異な仕組みを持つ。ローダーを介して配布され、公共のDoH（DNS over HTTPS：暗号化された通信でDNS問い合わせを行う仕組み）を経由して照会を行い、追跡を回避している。

Infobloxによると、Noirはシードフレーズや秘密鍵を直接盗み出さない。初期の閲覧権限を取得した後に標的ウォレットの状況に応じた専用の計画を組み立て、直接送金よりも警戒されにくい「支出権限（資産の使用許可）」を取得して攻撃者側のインフラから窃取を実行する。また、本ツールの作成や保守にはAIの支援が使われている疑いがあるという。

Discordを指令拠点にするRust製RAT「CikaBika Bot」

サイバー防衛企業Darktraceは、プログラミング言語Rustで開発された新型のリモートアクセス型トロイの木馬「CikaBika Bot」を確認した。RAT（感染端末を遠隔操作するマルウェア）である同ボットは、悪意あるLNKファイルや不正なペイロードが埋め込まれたPDFを含む文書偽装の罠から感染する。

Darktraceの分析によると、感染プロセスにはNim言語のローダー、PowerShellによるUACバイパス（管理者権限警告の回避）、DLL検索順序ハイジャック（正規プログラムが外部ライブラリを読み込む順序を悪用する攻撃）が用いられる。その後、チャットアプリDiscordをC2サーバー（マルウェアへ遠隔指示を送る指令サーバー）として悪用し、偵察や遠隔実行を行い、トンネリングツール「ngrok」を介してデータを外部流出させる。画面撮影やファイル転送の機能も備えているという。

補足

今回報告された脅威はいずれも、公表済み脆弱性の継続的な悪用に加え、DNSやDiscord、ngrokといった正規のオンラインサービスや通信規格を攻撃基盤として隠蔽・悪用している点が共通している。