脅威インテリジェンス•2026-07-24•Cyber-Sec.Space Research Lab

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月24日

本号では、Check Point CVE-2026-16232 SmartConsole 認証回避の悪用状況、ロシア背景の LAUNDRY BEAR による Zimbra 脆弱性攻撃、偽 Claude Desktop 悪意広告キャンペーン、および Chaos ランサムウェアの最新動向を分析します。

⚡ グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月24日
📝 エグゼクティブサマリー — 10秒で把握
🔍 重大インシデント：技術分析
1. CVE-2026-16232：Check Point SmartConsoleの認証バイパス
2. CVE-2025-66376：LAUNDRY BEARが、Zimbraメールの閲覧を諜報活動へ転換
3. msaRAT：Chaosランサムウェアの攻撃者がChromeとEdgeを秘匿C2プロキシとして使用
4. FakeAgent：偽のClaude Desktop広告がSectopRAT関連ローダーを配布
🔐 データ侵害監視
Origin Energyが顧客データの露出を確認
🛡️ 本日の防御アクション項目
P0 — 直ちに対応
P1 — コントロールプレーン侵害を調査
P2 — 信頼されたアプリケーションの悪用を検知
IDおよびデータ保護の優先事項
📌 最終評価

⚡ グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月24日

対象期間： 2026年7月23日 08:00 — 2026年7月24日 08:00（UTC+8）

本号では、対象期間中に初めて公表された、または重要な更新が行われたサイバーセキュリティ動向を取り上げます。

公式ベンダーアドバイザリ、政府機関の警告、一次脅威調査を優先しています。技術的詳細、攻撃主体の特定、または侵害規模が未確認の場合は、その制約を明示しています。

📝 エグゼクティブサマリー — 10秒で把握

🔴 Check PointのCVE-2026-16232は、実際に悪用されているセキュリティ管理プレーンの脆弱性です。 特定の公開設定下では、未認証の攻撃者がアプリケーションログイントークンを取得し、完全な管理者権限でSmartConsoleへアクセスできます。Check Pointによると、少数の顧客が影響を受けており、CISAはこの脆弱性を既知の悪用された脆弱性カタログ（KEV）へ追加しました。
🔴 ロシア政府の支援を受けるLAUNDRY BEARが、メール諜報活動のためにZimbraのCVE-2025-66376を悪用しています。 被害者は、脆弱なClassic Webメールインターフェースで悪意のあるメールを表示するだけで被害を受ける可能性があります。その後、攻撃は過去90日分のメール、認証情報、アドレス帳データ、認証関連の成果物を窃取しようとします。
🟠 Chaosランサムウェアの攻撃者は、msaRATを使用してChromeまたはEdgeをマルウェアの外部C2クライアントへ変えています。 RATはChrome DevTools Protocolを介してヘッドレスブラウザを制御し、WebRTC、Cloudflare Workers、Twilio TURNインフラを経由して通信します。
🟠 偽のClaude Desktopを利用したマルバタイジングキャンペーンは数千人のユーザーへ到達し、少なくとも29組織で悪意のある活動を発生させました。 被害者はBing広告から、正規のClaude.aiドメイン上にある悪意のあるユーザー生成ページへリダイレクトされ、その後SectopRATまたは近縁の派生版に関連するDLLサイドローディング型ローダーをダウンロードしました。

🔍 重大インシデント：技術分析

1. CVE-2026-16232：Check Point SmartConsoleの認証バイパス

Check Point CVSS： 9.3 — Critical
CISA-ADP CVSS v3.1： 9.1 — Critical
アナリストによる運用優先度： 🔴 Critical
直接的な影響： Check Pointセキュリティ管理環境の完全な管理者制御
悪用状況： Check Pointが確認済み。CISA KEVへ掲載
主な公開条件： 十分に制限されたTrusted Client制御なしで、管理サーバーがインターネットから到達可能

インシデント概要

Check Pointは、Security ManagementおよびMulti-Domain Management環境のSmartConsoleログイン処理に影響する認証バイパス脆弱性CVE-2026-16232が、実際に悪用されていることを公表しました。

未認証のリモート攻撃者はアプリケーションログイントークンを取得し、それを使用して完全な管理者権限でSmartConsoleへ認証できる可能性があります。

Check Pointによると、観測された悪用は、以下の特定の高リスク設定を使用していた少数の顧客に影響しました。

管理サービスがインターネットへ直接公開されていた。
Trusted Clientの制限が、リモートアクセスを十分に限定していなかった。

Smart-1 Cloudの顧客は、すでに保護されていました。

影響を受けるリリースファミリーには、以下が含まれます。

R81.10
R81.20
R82
R82.10
Check Pointが特定した、これより古いサポート対象およびサポート対象外リリース

Check Pointは2026年7月22日にJumbo Hotfixを公開しました。CISAのKEVカタログでは、米国連邦文民機関に対し、7月25日までの修復期限が設定されています。

技術的詳細

SmartConsoleは、単なるエンドポイント管理アプリケーションではありません。

以下を制御するためのインターフェースです。

セキュリティポリシー
ネットワークおよびサービスオブジェクト
管理者権限
脅威防御設定
ログ設定
管理対象ゲートウェイ全体へのポリシー配布

脆弱な信頼フローは、概念的には以下のように表せます。

未認証のリモートリクエスト
            ↓
アプリケーションログイントークンの取得
            ↓
SmartConsoleがトークンを受け入れる
            ↓
完全な管理権限を持つ管理セッション
            ↓
セキュリティポリシーおよび設定の変更

根本的なセキュリティ上の問題は、攻撃者が、管理サービスによって十分な本人確認の証拠として受け入れられるアプリケーショントークンを取得できることです。

認証に成功すると、攻撃者は通常、正規のセキュリティ管理者にのみ許可される以下の操作を実行できる可能性があります。

ファイアウォールルールの変更
ネットワークおよびサービスオブジェクトの変更
セキュリティ設定の変更
管理者の作成または変更
管理対象ゲートウェイへのポリシー配布
ログ、検査、脅威防御制御の弱体化

このため、CVE-2026-16232は、単一のファイアウォールプロセスに影響する脆弱性よりも重大です。

管理サーバーが侵害されると、複数の下流セキュリティゲートウェイの動作を変更する仕組みとして利用される可能性があります。

Check Pointは、リモートからの悪用には以下が必要だと説明しています。

管理サーバーIPへのネットワークアクセス
Trusted ClientsまたはGUI Clientsを十分に制限していない設定

重要性

セキュリティ管理プラットフォームは、価値の高いコントロールプレーンです。

通常のサーバーが侵害された場合、防御側はそのホストを隔離できます。

しかし、セキュリティポリシーを定義するプラットフォームが侵害された場合、攻撃者は制御そのものを変更することで、悪意のある活動を正規の操作に見せかけられる可能性があります。

想定される結果は、以下のとおりです。

管理環境の侵害
        ↓
ファイアウォールルールの変更
        ↓
新たな外部または横方向アクセス経路
        ↓
検査またはログ記録の低下
        ↓
管理対象ネットワーク全体での永続的アクセス

緩和策と脅威ハンティング

最新のCheck Point Jumbo Hotfixを直ちにインストールする。
SmartConsoleおよび管理サーバーへのアクセスを、以下に制限する。
- 専用管理ネットワーク
- 承認済みジャンプホスト
- VPNまたはID認識型の管理アクセス
- 明示的に信頼されたIPアドレスおよびサブネット
Trusted Clients／GUI Clients設定を確認し、広範、旧式、または無制限のエントリを削除する。
暗黙的な制御接続ルールが引き続き有効であり、管理アクセスがファイアウォールポリシーによって保護されていることを確認する。
以下の兆候を調査する。
- 不明なアプリケーションログイントークン
- 見慣れないIPアドレスからの管理セッション
- 新しい管理者アカウント
- Trusted Clientsの変更
- 承認された時間帯外のセキュリティポリシーまたはオブジェクト変更
- ゲートウェイへの予期しないポリシーインストール
- ログ、検査、脅威防御設定の無効化
- 新しい管理API活動
- 見慣れないアカウントによる設定エクスポート
現在のゲートウェイポリシーを、既知の正常な設定バックアップと比較する。
修復後に記録されたイベントだけでなく、Hotfixインストール前に行われた変更も確認する。
悪用が疑われる場合は、以下を実施する。
- 管理者パスワードをローテーションする
- APIおよびアプリケーショントークンを失効させる
- アクティブな管理セッションを終了する
- すべての管理対象ゲートウェイを確認する
- 不正なポリシー変更を元に戻す
- パッチ適用前に新しいアクセス経路が作成されていないか調査する
悪用に成功した場合は、単なる管理サービスの公開ではなく、セキュリティコントロールプレーンの侵害として扱う。

参考資料

Check Point Support — sk185169

Check Point — SmartConsole認証バイパスの実際の悪用

NVD — CVE-2026-16232

CISA — 既知の悪用された脆弱性カタログ

2. CVE-2025-66376：LAUNDRY BEARが、Zimbraメールの閲覧を諜報活動へ転換

MITRE CNA CVSS v3.1： 7.2 — High
NVD CVSS v3.1： 6.1 — Medium
アナリストによる運用優先度： 🔴 外部公開され、未パッチのZimbra環境ではCritical
脅威アクター： LAUNDRY BEAR（Void Blizzard、CL-STA-1114、TA488としても追跡）
直接的な影響： 認証済みセッションの悪用、メール窃取、認証情報へのアクセス
永続化リスク： アプリケーションパスワードの作成、プロトコルの有効化、メールボックスへの継続アクセス
悪用状況： 少なくとも2025年7月からゼロデイとして悪用されていたことを確認。CISA KEVへ掲載
修正版： Zimbra 10.0.18および10.1.13

インシデント概要

複数国政府による共同アドバイザリは、継続中のメール諜報キャンペーンを、ロシア政府の支援を受けるグループLAUNDRY BEARによるものと特定しています。

この作戦は、Zimbra Collaboration Suiteを使用する組織を標的としています。

同グループは、脆弱性が公表され、2025年11月に修正される数か月前の2025年7月から、CVE-2025-66376の悪用を開始していました。

従来型のフィッシングとは異なり、被害者は以下を行う必要がありません。

ファイルをダウンロードする
マクロを有効化する
リンクをクリックする
アプリケーションを承認する

悪意のあるJavaScriptは、認証済みユーザーが脆弱なZimbra Classic Webメールインターフェースで細工されたメールを表示した時点で実行されます。

キャンペーンは、以下に関連する組織を標的としてきました。

政府
防衛
エネルギー
法執行機関
教育
メディア
テクノロジー
非政府組織

アドバイザリは、LAUNDRY BEARの目的を、金銭的恐喝ではなく、秘匿された情報収集であると評価しています。

CVSSの不一致

MITREのCNA評価では、この脆弱性のCVSS v3.1スコアは7.2ですが、NVDは6.1と評価しています。

大きな違いの1つは、ユーザー操作の扱いです。

MITRE CNA： UI:N
NVD： UI:R

運用上、被害者は脆弱なClassicインターフェースで悪意のあるメールを表示する必要があります。

ただし、必要な操作は、添付ファイルを開いたり警告を承認したりする特別な操作ではなく、通常のメールボックス利用です。

価値の高い組織が使用する外部公開・未パッチ環境では、実証済みのゼロデイ悪用とセッションレベルの影響を考慮すると、低い基本スコアであってもCriticalの運用優先度が妥当です。

技術的詳細

CVE-2025-66376は、HTMLメール内のCSS @importディレクティブのサニタイズが不十分であることに起因する、保存型クロスサイトスクリプティング脆弱性です。

攻撃者は、悪意のあるHTML、CSS、SVG要素を含む細工されたメールを送信します。

ユーザーがメールを開くと、そのコンテンツは信頼されたZimbra Webメールのオリジン内でレンダリングされます。

概要は以下のとおりです。

悪意のあるHTMLメール
        ↓
CSS @import処理がサニタイズを回避
        ↓
SVG onloadハンドラーが実行
        ↓
Base64ペイロードがデコード
        ↓
XOR暗号化されたJavaScriptが復号
        ↓
ユーザーのZimbraセッション内でスクリプトが実行

ペイロードは認証済みWebメールのコンテキストで動作するため、Zimbra APIを呼び出し、被害者のセッションから利用可能な情報へアクセスできます。

Ulejによる収集ワークフロー

政府アドバイザリは、Ulejと呼ばれる独自機能について説明しており、12段階の非同期処理でデータ収集と持ち出しを試みます。

標的となる情報には、以下が含まれます。

過去90日分の迷惑メール以外のメール
被害者のメールアドレス
メールボックス認証情報
グローバルアドレス一覧のデータ
2FAスクラッチコード
OAuthコンシューマー情報
デバイス状態情報
ブラウザまたはパスワードマネージャーの自動入力で露出した保存済み認証情報
既存のアプリケーション固有パスワード

マルウェアはさらに、以下を試みます。

メールアクセス用プロトコルを有効化する
ZimbraWebという名前の新しいアプリケーションパスコードを作成する
元のブラウザセッション終了後もアクセスを維持する

情報持ち出しインフラ

収集されたデータは、Flowerbedと呼ばれる攻撃者管理のフレームワークへ送信されます。

政府アドバイザリは、Flowerbedを、以下の4つの主要コンポーネントを含むDockerベースのPythonプロジェクトとして説明しています。

Catcher： DNSおよびHTTP経由で持ち出されたデータを受信
Certbot： Let’s Encrypt証明書の生成を自動化
Nginx： HTTPSリバースプロキシを提供し、SNIに基づいて接続をフィルタリング
Gardener： サービスのヘルスチェックを実行

このフレームワークはHTTPSとDNSの両方で窃取情報を受信できるため、一方の持ち出し方式がブロックされた場合でも、作戦の回復力が高まります。

アドバイザリはまた、比較的単純なFlowerbedコードベースの一部開発にAIが利用された兆候があると指摘しています。

重要性

CVSSがMediumまたはHighであっても、認証済みメールセッション内でコードが実行される場合、深刻な運用リスクを引き起こす可能性があります。

被害者は、明らかなセキュリティ上の誤りを犯す必要がありません。

ユーザーがメールを開く
      ↓
悪意のあるコードが認証済みメールボックスのコンテキストを引き継ぐ
      ↓
メールおよび認証データが収集される
      ↓
メールボックスへの永続的アクセスが確立される可能性

このため、以下だけに焦点を当てた従来のセキュリティ意識向上メッセージの有効性は低下します。

リンクをクリックしない
添付ファイルを開かない
マクロを有効化しない

緩和策と脅威ハンティング

以下へアップグレードする。
- Zimbra 10.0.18以降
- Zimbra 10.1.13以降
直ちにパッチを適用できない場合は、以下を実施する。
- 脆弱なClassic Webメールインターフェースの使用を停止する
- サポート対象のデスクトップまたはモバイルメールクライアントへユーザーを移行する
- 可能な場合、Webメールサービスへのインターネットアクセスを制限する
以下を含む悪意のあるメールを検索する。
- 繰り返されるCSS @importディレクティブ
- 不審なSVG要素
- onload属性内のBase64コンテンツ
- 難読化またはXOR復号されたJavaScript
- 既知のキャンペーンインフラへの参照
Zimbraの活動から、以下を確認する。
- 約90日分に及ぶ大量のメールアクセス
- SearchGalRequest操作の繰り返し
- CreateAppSpecificPasswordRequest
- ZimbraWebという名前のアプリケーションパスコード
- GetScratchCodesRequest
- 予期しないメールプロトコルの有効化
- 新しい転送ルール
- 新しいメールボックス代理アクセス
- OAuthコンシューマーまたは委任アクセスの変更
被害が疑われるユーザーについては、以下を実施する。
- 関連する悪意のあるメールを隔離する
- アクティブセッションを失効させる
- パスワードをリセットする
- MFAを再登録する
- 2FAスクラッチコードを再生成する
- 不正なアプリケーションパスワードを削除する
- 転送、フィルター、OAuthアクセス、委任権限を確認する
- メール持ち出しが発生した可能性のある過去期間を特定する
同じメールを受信した、または同じインフラへアクセスした他のメールボックスに、関連活動がないか検索する。

参考資料

複数国共同サイバーセキュリティアドバイザリ — Zimbraを標的とするロシアのフィッシング

Zimbra Security Advisories

NVD — CVE-2025-66376

CISA — 既知の悪用された脆弱性カタログ

Reuters — ロシアの攻撃者が従来型ソーシャルエンジニアリングなしでZimbraを悪用

3. msaRAT：Chaosランサムウェアの攻撃者がChromeとEdgeを秘匿C2プロキシとして使用

アナリストによる運用優先度： 🟠 High
脅威との関連： Chaosランサムウェアの攻撃者
カテゴリ： Rust製リモートアクセス型トロイの木馬／信頼されたアプリケーションの悪用
主な回避手法： 外部C2通信が正規ブラウザプロセスから発生

インシデント概要

Cisco Talosは、Chaosランサムウェア作戦に関連する、msaRATと呼ばれる新しいRust製リモートアクセス型トロイの木馬を分析しました。

このマルウェアは、自身のプロセスから外部C2へ直接接続することを避けます。

代わりに、以下を実行します。

ChromeまたはEdgeをヘッドレスモードで起動する。
Chrome DevTools Protocolを介してブラウザを制御する。
ブラウザへ外部通信チャネルを作成させる。
ブラウザとマルウェアの間で、localhostを介してC2データを中継する。

ネットワークの観点では、通信は信頼されたブラウザが、既知のクラウドおよび通信インフラへ接続しているように見えます。

技術的詳細

msaRATは、環境変数またはレジストリパスからChromeまたはEdgeを特定した後、CreateProcessWを使用してブラウザを起動します。

ブラウザは、以下を有効化するコマンドラインフラグ付きで起動されます。

ヘッドレスモード
リモートデバッグポート
攻撃者が制御するブラウザプロファイル
Chrome DevTools Protocolへのアクセス

その後、msaRATは以下へ問い合わせます。

/json/list/

ブラウザは、WebSocketエンドポイントを含むデバッグ対象の詳細を返します。

RATはこのエンドポイントへ接続し、以下を含むCDPコマンドを発行します。

Target.createTarget
Page.enable
Runtime.enable
Page.setBypassCSP
Runtime.addBinding
Runtime.evaluate

これらのコマンドは、以下を実行します。

新しいブラウザタブを作成する
ブラウザ側のコンテンツ制限を弱める
通信用コールバックを登録する
攻撃者が制御するJavaScriptを注入する

WebRTC C2の構築

注入されたJavaScriptは、WebRTC DataChannelを作成します。

通信の流れは、以下のとおりです。

msaRATプロセス
      ↓ localhost WebSocket
ヘッドレスChromeまたはEdge
      ↓
シグナリング用Cloudflare Worker
      ↓
WebRTCネゴシエーション
      ↓
Google STUN／Twilio TURN
      ↓
リモートオペレーター

ブラウザはCloudflare Workerへ接続し、STUNおよびTURN設定を取得します。

Talosは、以下を観測しました。

STUNにstun2.l.google.com
TURNリレーにglobal.turn.twilio.com

攻撃者は、直接的なP2P経路に依存せず、TwilioのTURNサービスを経由するようチャネルを強制できます。

ブラウザはまた、リクエストのOriginおよびRefererをMicrosoft関連の通信に偽装します。

RATは、以下のようなJavaScriptコールバックを登録します。

msaOpen
msaClose
msaError
msaMessage
dataAck

ブラウザが受信したデータは、これらのCDPバインディングを介してマルウェアへ渡されます。

重要なテレメトリ上の空白は、以下のとおりです。

msaRAT → localhostとのみ通信
ブラウザ → 外部C2通信を実行

外部ソケットを作成したプロセスだけを基準にネットワーク活動を帰属するセキュリティ製品では、通信プロセスがRATではなくChromeまたはEdgeとして見える可能性があります。

緩和策と脅威ハンティング

以下からChromeまたはEdgeが起動された場合にアラートを生成する。
- MSIインストーラー
- Windowsサービス
- スケジュールタスク
- スクリプトインタープリター
- 通常ではない非対話型の親プロセス
- ログインユーザーなしで実行されるプロセス
以下を含むブラウザのコマンドライン引数を調査する。
- --headless=new
- --remote-debugging-port
- 標準外の--user-data-dir
- 予期しないプロキシまたは証明書フラグ
Chrome DevTools Protocolエンドポイントへのlocalhost WebSocket接続を検知する。
ブラウザプロセスについて、以下を監視する。
- 対応するユーザー操作がないWebRTC DataChannel
- 予期しないTURN通信
- サーバーからTwilio TURNインフラへの接続
- 新たに起動されたヘッドレスブラウザからのCloudflare Worker通信
- 表示ウィンドウのない長時間稼働ブラウザプロセス
ブラウザの外部通信を、以下と相関分析する。
- プロセスの親子関係
- 対話型ユーザーセッション
- ブラウザウィンドウの表示状態
- リモートデバッグ活動
- localhost WebSocket接続
特にWindows Updateを装うインストーラーなど、予期しないMSIパッケージを調査する。
実行ファイルが署名済みで広く利用されているという理由だけで、ChromeまたはEdgeの通信を自動的に無害と分類しない。
未承認ソフトウェアがリモートデバッグ機能付きでブラウザプロセスを起動できないよう、アプリケーション制御ポリシーを適用する。

参考資料

Cisco Talos — Chaos msaRAT：ブラウザを利用して秘匿C2チャネルを構築

4. FakeAgent：偽のClaude Desktop広告がSectopRAT関連ローダーを配布

アナリストによる運用優先度： 🟠 High
カテゴリ： マルバタイジング／信頼されたプラットフォームの悪用／DLLサイドローディング
観測範囲： 少なくとも29組織で関連する悪意のある活動
初期誘導： 「Claude Desktop App」を宣伝するBing広告
最終ペイロードの評価： SectopRATまたは近縁の派生版

インシデント概要

Huntressは、BingでClaudeデスクトップアプリケーションを検索するユーザーを標的としたマルバタイジングキャンペーンを特定しました。

スポンサー付き検索結果は、正規のClaude.aiドメイン上で公開されていた悪意のあるClaude Artifactへユーザーを誘導しました。

そのページは公式のClaude Desktopダウンロードページを模倣し、ユーザーをClaudeDesktop.exeを配布する攻撃者管理ドメインへリダイレクトしました。

Anthropicが悪意のあるArtifactを削除するまでに、Huntressは約7,100回のページ閲覧を記録しました。

7月21日から7月22日にかけて、Huntressは少なくとも29組織で関連する悪意のある活動を観測しました。

これは、すべての組織が同じ程度の侵害を受けたことを意味するものではありません。しかし、キャンペーンが広告表示やダウンロードページの閲覧を超えて進行していたことは確認できます。

技術的詳細

攻撃チェーンは、以下を組み合わせています。

信頼されたドメインの悪用
スポンサー付き検索広告
署名済みバイナリ
DLLサイドローディング
解析妨害制御
ブロックチェーンを利用したインフラ探索

Bingスポンサー付き検索結果
        ↓
正規Claude.ai上の悪意のあるArtifact
        ↓
攻撃者管理の外部ダウンロードサイト
        ↓
偽のClaudeDesktop.exe
        ↓
署名済みJetBrains CEFコンポーネント
        ↓
悪意のあるlibcef.dllをサイドロード
        ↓
ブロックチェーンを利用したC2探索
        ↓
SectopRAT関連ペイロード

ClaudeDesktop.exeという名前のファイルは、実際には正規のJetBrains Chromium Embedded Frameworkヘルパーコンポーネントです。

攻撃者は、署名済み実行ファイルと同じディレクトリに、悪意のあるlibcef.dllを配置します。

正規プログラムがローカルディレクトリからDLLを検索するため、攻撃者が制御するライブラリが読み込まれます。

これにより、署名済みで通常は信頼されるアプリケーションのコンテキスト内で、悪意のあるコードが実行されます。

ブロックチェーンを利用したC2探索

ローダーはVMProtectで保護されており、Ethereum互換スマートコントラクトを参照します。

このコントラクトは暗号資産を保管するのではなく、暗号化されたC2設定を提供します。

攻撃者は、元のマルウェアを変更することなく、コントラクトのトランザクションデータを更新してインフラを切り替えられます。

この手法は一般にEtherHidingと呼ばれます。

永続化と解析妨害

キャンペーンはさらに、最初の偽Claude実行ファイルと機能的に同一のDockerDesktop.exeを書き込み、デバイスを再感染させるスケジュールタスクを作成します。

Huntressは、以下の場所に別の永続化経路も特定しました。

%APPDATA%\Roaming\Microsoft\EdgeUpdate\Install\

sslconf.exeという名前の署名済みIBM SPSS実行ファイルが、悪意のあるtempdir.dllをサイドロードします。

第2段階DLLは、実行するかどうかを決定する前にグラフィックスハードウェアを検査するGPUベースのアンチVMチェックを使用します。

これにより、自動マルウェア解析環境内でペイロードが実行される可能性が低下します。

最終ペイロードの評価

Huntressは、以下に基づき、最終ペイロードをSectopRATまたは近縁の派生版と評価しました。

データ窃取機能
非表示VNCの動作
文字列および実装上の類似性
ブロックチェーントランザクションから復元されたC2情報

観測された文字列および動作は、以下の機能を示していました。

パスワードおよびブラウザCookieの窃取
支払カードおよび個人データの窃取
ローカルファイルの収集
VPNおよびメッセージング認証情報の窃取
対話型リモート制御のための非表示VNC

これらの機能はマルウェアの能力として扱うべきであり、影響を受けたすべての環境で、すべての機能が実際に使用されたことを示すものではありません。

緩和策と脅威ハンティング

AIデスクトップアプリケーションは、以下からのみインストールする。
- 確認済みのベンダーページ
- 管理された企業向けソフトウェア配布
- 承認済みアプリケーションカタログ
以下を、ダウンロードの安全性を証明する十分な根拠として扱わない。
- 検索順位
- スポンサー表示
- 正規のホスティングドメイン
- 署名済み実行ファイル
- よく知られた製品名
以下を調査する。
- 承認済みインストールパス外のClaudeDesktop.exe
- 予期しないスケジュールタスクに関連するDockerDesktop.exe
- 信頼されていないlibcef.dllを読み込むJetBrains CEFバイナリ
- tempdir.dllを読み込むsslconf.exe
- %APPDATA%\Roaming\Microsoft\EdgeUpdate\Install\
- 予期しないDefender除外設定
- デスクトップインストーラーからのEthereumまたはBSCコントラクト照会
読み込まれたDLLのハッシュを、正規ソフトウェアパッケージの想定値と比較する。
ユーザー書き込み可能ディレクトリからのDLL実行を制限する。
署名済みアプリケーションが読み込む未署名または不明なライブラリに、アプリケーション制御ポリシーを適用する。
実行が確認された場合、以下をローテーションする。
- ブラウザセッションおよびCookie
- 保存済みブラウザパスワード
- VPN認証情報
- 開発者トークン
- メッセージングアカウント
- クラウドおよびSaaSセッション
侵害後のアカウントアクセスがないか、ブラウザ、エンドポイント、IDプロバイダーのテレメトリを確認する。
偽インストーラーの削除だけで修復完了とせず、影響を受けたすべてのデバイスで第2段階ペイロードを調査する。

参考資料

Huntress — FakeAgent：Claude Desktopのマルバタイジングが.NET RATへ到達

🔐 データ侵害監視

Origin Energyが顧客データの露出を確認

アナリスト評価による影響： 🟠 影響が確認された顧客に対してMedium～High
確認済みステータス： 一部顧客データへの不正アクセスおよび開示
主張された規模： 約200万件の顧客記録。Originは未確認

インシデント概要

Origin Energyは、権限のない第三者が顧客情報へアクセスし、開示したことを確認しました。

影響を受けた可能性のあるデータには、以下が含まれます。

氏名
住所
生年月日
電話番号
アカウント情報
クレジットカード番号の一部
銀行口座情報の一部

Originによると、露出した金融情報は不完全であり、それ単独では取引に利用できません。

同社は、以下を実施しています。

影響が確認された顧客への通知
サイバーセキュリティ専門家との連携
オーストラリア連邦警察との調整
Australian Cyber Security Centreとの連携

犯行を主張する人物は、メディアに対し、約200万人の顧客に関するデータへアクセスしたと述べました。

Originは、この数字を確認していません。

したがって、確定した侵害件数ではなく、攻撃者の主張として扱う必要があります。

防御上の要点

一部の個人情報や金融情報でも、以下のような説得力の高い攻撃を可能にします。

フィッシング
ボイスフィッシング
アカウントのなりすまし
返金詐欺
支払先変更詐欺
認証情報回復機能を狙う攻撃

顧客は、電話やメッセージの送信者が以下の情報を知っている場合でも、注意する必要があります。

自宅住所
生年月日
電力アカウント
請求履歴
支払カード番号の末尾
銀行口座番号の末尾

これらの情報を知っていることは、送信者がOrigin、銀行、または政府機関の関係者である証明にはなりません。

緩和策

同様の顧客データを扱う組織は、以下を実施する必要があります。

以下の操作前に追加確認を要求する。
- 支払指示の変更
- 認証情報のリセット
- 連絡先情報の更新
- 新しい認証方式の登録
- アカウント情報の開示
以下を監視する。
- 顧客アカウントの繰り返し検索
- 大量データのエクスポート
- ヘルプデスク担当者へのなりすまし
- 露出した個人情報を使用したパスワードリセット試行
- 不正な返金または還付キャンペーン
露出した可能性のある具体的なデータ種類について、カスタマーサービスチームへ説明する。
生年月日や住所などの静的個人情報を、本人確認の十分な要素として使用しない。

参考資料

Origin Energy — セキュリティインシデント更新

Reuters — Origin Energyが顧客データ侵害を確認

🛡️ 本日の防御アクション項目

P0 — 直ちに対応

Check Pointの7月22日版Jumbo Hotfixをインストールする。
Check Point管理サーバーをインターネットから直接アクセスできないようにする。
SmartConsoleのTrusted Clientsを、承認済みの管理アドレスに制限する。
脆弱なZimbraサーバーを10.0.18、10.1.13以降へアップグレードする。
高価値のZimbraアカウントで、過去のメール持ち出しがないか調査する。
Zimbra悪用の可能性を排除できない場合、セッションおよびアプリケーションパスワードを失効させる。

P1 — コントロールプレーン侵害を調査

Check Point環境で、以下を検索します。

不明な管理トークン
不正な管理者アカウント
ポリシー変更
新しいネットワークオブジェクト
予期しないゲートウェイポリシーのインストール
ログまたは脅威防御設定の変更

Zimbra環境で、以下を検索します。

悪意のあるCSSおよびSVGメールコンテンツ
ZimbraWebという名前のアプリケーションパスワード
異常なGAL検索
約90日分のメールへの大量アクセス
予期しないプロトコルの有効化
転送、OAuth、または委任アクセスの変更

P2 — 信頼されたアプリケーションの悪用を検知

ヘッドレスChromeおよびEdgeを監視する。
Chrome DevTools Protocolのリモートデバッグ利用を検知する。
非対話型ブラウザプロセスからのWebRTCまたはTURN活動にアラートを生成する。
ユーザー書き込み可能ディレクトリからDLLを読み込む署名済みアプリケーションを調査する。
検索広告または公開ユーザー生成コンテンツを起点とするAIツールのダウンロードを確認する。
ブラウザのネットワーク活動を、プロセスの親子関係および対話型ユーザー活動と相関分析する。

IDおよびデータ保護の優先事項

FakeAgentの実行が確認された後、セッションを失効させる。
ブラウザ、VPN、開発者、SaaSの認証情報をローテーションする。
Origin Energyの顧客に、標的型なりすまし、返金詐欺、支払先変更詐欺について警告する。
アカウント、支払い、認証情報の変更を処理する前に、帯域外確認を必須とする。
静的な本人確認質問を、より強力でコンテキストを考慮した検証へ置き換える。

📌 最終評価

本日のインシデントには、1つの共通する防御上の教訓があります。

信頼されたシステムが、悪意のある行動を正規に見せかけるために、ますます利用されています。

正規に見えるSmartConsoleトークンが、セキュリティ管理プレーンの完全な制御へつながる可能性がある。
メールを閲覧するだけで、認証済みZimbraセッションが引き継がれる可能性がある。
ChromeまたはEdgeが、ランサムウェア攻撃者のC2通信を運ぶ可能性がある。
正規のClaude.aiページと署名済みソフトウェアコンポーネントが、RATを配布する可能性がある。
実在する顧客情報によって、不正な電話やメッセージが本物らしく見える可能性がある。

したがって、運用上の対応は、不明なバイナリやドメインをブロックするだけでは不十分です。

防御側は、以下を検証する必要があります。

誰が信頼されたトークンを作成または取得したか
認証済みセッションが通常どおり動作しているか
ブラウザが外部インフラと通信している理由
署名済みアプリケーションがどのライブラリを読み込んだか
個人情報がアカウント確認制御の回避に利用されていないか
セキュリティ管理プラットフォームが、自身の保護設定を変更していないか

防御上の優先事項は明確です。

信頼されたID、トークン、アプリケーション、コントロールプレーンがどのように動作しているかを検証し、その動作が本来の目的と一致しなくなった場合は調査してください。

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月24日

⚡ グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月24日

📝 エグゼクティブサマリー — 10秒で把握

🔍 重大インシデント：技術分析

1. CVE-2026-16232：Check Point SmartConsoleの認証バイパス

インシデント概要

技術的詳細

重要性

緩和策と脅威ハンティング

参考資料

2. CVE-2025-66376：LAUNDRY BEARが、Zimbraメールの閲覧を諜報活動へ転換

インシデント概要

CVSSの不一致

技術的詳細

Ulejによる収集ワークフロー

情報持ち出しインフラ

重要性

緩和策と脅威ハンティング

参考資料

3. msaRAT：Chaosランサムウェアの攻撃者がChromeとEdgeを秘匿C2プロキシとして使用

インシデント概要

技術的詳細

WebRTC C2の構築

緩和策と脅威ハンティング

参考資料

4. FakeAgent：偽のClaude Desktop広告がSectopRAT関連ローダーを配布

インシデント概要

技術的詳細

ブロックチェーンを利用したC2探索

永続化と解析妨害

最終ペイロードの評価

緩和策と脅威ハンティング

参考資料

🔐 データ侵害監視

Origin Energyが顧客データの露出を確認

インシデント概要

防御上の要点

緩和策

参考資料

🛡️ 本日の防御アクション項目

P0 — 直ちに対応

P1 — コントロールプレーン侵害を調査

P2 — 信頼されたアプリケーションの悪用を検知

IDおよびデータ保護の優先事項

📌 最終評価

関連する記事

ウィークリー・サイバーセキュリティ・ニュース：2026年7月27日

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月23日

グローバル・サイバーインテリジェンス・ダイジェスト：2026年7月22日