今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、「HexStrike AI」と呼ばれる新しいツールについて検証しています。このツールは、攻撃の成功までの時間を数日から数分に大幅に短縮します。 続いて、チームは「TinkyWinkey」の概要を説明します。これは、スパイ活動やデータ窃取を可能にするWindows用のキーロガーです。 最後に、Check Pointによる新たな調査結果をご紹介します。この調査では、APTグループ「Silver Fox」が、これまで知られていなかったMicrosoftの脆弱性を悪用したドライバーを巧みに利用し、エンドポイント保護機能を無効化して、ValleyRATマルウェアを展開することに成功した経緯が詳述されています。
サイバー攻撃の犯人たちは、HexStrike AIを利用してサイバー攻撃を仕掛けています
Check Pointが最近公開した記事「 」では、脅威アクターが「HexStrike AI」と呼ばれる新しいAIツールをどのように活用してサイバー攻撃を仕掛けているかについて解説しています。 攻撃者は、HexStrike AI により、脆弱性の悪用にかかる時間が 数日から 10 分未満 に短縮されると主張しています。
HexStrike AIとは何ですか？
HexStrike AIは、もともとレッドチームやセキュリティ研究者のためのツールとして設計されました。 リリース直後、チェック・ポイントは、悪意のある攻撃者たちが、このツールを攻撃に悪用する方法について話し合っているのを確認しました。 わずか数時間のうちに、一部の攻撃者は、約1週間前に公表されたCitrixのゼロデイ脆弱性を悪用するために、これをどのように活用すべきかについて具体的に議論していました。
HexStrikeのAIアーキテクチャ
チェック・ポイントは、HexStrike AIを「サイバー攻撃の遂行方法における根本的な転換」と表現しています。 このツールにより、Claude、GPT、CopilotなどのさまざまなAIモデルが、人間の介入や管理なしにツールを実行できるようになります。 また、MCPエージェントも導入されています。これは、Model Context Protocol（MCP）を介して通信を行うエージェントであり、LLMと現実世界の攻撃能力との間のギャップを埋める役割を果たします。 チェック・ポイントは、 のAIエージェント「 」が、ペネトレーションテスト、ディスカバリー、調査などに使用されるツールを含む150 種類以上のサイバーツールを自律的に実行できることを明らかにしました。
このレポートでは、HexStrikeの設計におけるいくつかの重要な点を取り上げています。 まず第一に、そのMCPオーケストレーション層です。 このフレームワークでは、他のLLMやツール機能との通信を行うためのFastMCPサーバーをセットアップします。 これらのツールは、エージェントが呼び出すことのできるコンポーネントとして機能し、プログラムによってコマンドを発行できるようにします。 チェック・ポイントは、大規模なツール統合についても強調しています。 このツールは自動化されており、耐障害性にも優れており、コマンドをワークフローとして抽象化することで、操作を繰り返し実行できるようにしています。
脆弱性の悪用
チェック・ポイントは、Citrix NetScaler ADCおよびGatewayアプライアンスに影響を及ぼす3つのゼロデイ脆弱性（これらは直前に公開されたものです）を背景に、攻撃者がHexStrike AIをどのように悪用したかを明らかにしています。
これらの脆弱性が公表されてから 12 時間の間に、チェック・ポイントは、HexStrike AIを活用して脆弱性のあるインスタンスをスキャンし、悪用する方法について、攻撃者たちが話し合っている様子を確認しました。 これは、 で述べられているように、AIを活用して、 偵察などの従来手作業で行われていた業務を自動化できることを改めて示しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
HexStrike AIは、AIが脅威アクターにとっていかに戦力を倍増させる存在となり得るか、また、高度な攻撃を実行するために必要な時間、スキル、労力をいかに削減できるかを示す好例です。
チェック・ポイントは、このツールがリリースされた後、脅威アクターたちがどれほど迅速にこのツールに殺到したか、また、実環境におけるゼロデイ攻撃の活用に向けた手段として、どれほど早く議論の対象となっていたかを強調しています。 攻撃者がAIツールを実戦運用するスピードはますます加速しており、AIが徐々に作戦の遂行やキルチェーン全体の実行に活用できるものになりつつあることを考えると、これは特に懸念される事態です。
チェック・ポイントは、この脅威に関して防御担当者が講じることができる、 が推奨する対応策をいくつか掲載しています。
「TinkyWinkey」キーロガーがWindowsシステムを脅かしています
Cyfirma社は、 にて、TinkyWinkeyというキーロガーに関する詳細情報を公開しています。これは、DLLインジェクションや低レベルAPI呼び出しといった高度な手法を用いて、キー入力を記録し、アクティブなウィンドウを監視し、システムデータを収集する、Windowsベースのステルス型マルウェアです。 そのモジュール式設計と永続的な実行により、TinkyWinkeyはスパイ活動やデータ窃取作戦において重大な脅威となっています。
TinkyWinkeyの概要
Cyfirma社は、 2025年6月の終了時に、TinkyWinkeyというキーロガーを初めて確認しました。 Cyfirmaによると、同マルウェアの「サービスおよびキーロガーコンポーネントは、柔軟性とステルス性を維持するための意図的な取り組みを示唆しており、これにより、さまざまなキャンペーンに合わせてマルウェアを更新したり、用途を変更したりすることが容易になっています。」
TinkyWinkeyの2つの主要な構成要素は以下の通りです：
- キーロガーの起動と実行を担当する「Tinky」サービス（ ）
- Winkeyキーロガー（ ）は、実際のキーボード入力内容を記録するツールです。
Cyfirma社によると、このマルウェアの主な機能には、システム情報の収集、キーロギング、ウィンドウの追跡、ログ記録、サービス管理、およびプロセス／セッションの管理が含まれるとのことです。
TinkyWinkeyの静的解析
まず、マルウェアはシステムの一時ディレクトリを特定し、必要なログファイルがそこに存在することを確認します。 このログファイルには、キーロギング処理の一環として、キャプチャされたキー入力が保存されます。 その後、OSのバージョンやプロセッサ情報など、ホストに関する情報を収集するために特別に用意されたいくつかの関数を呼び出します。
次に、このマルウェアはオペレーティングシステムのフィンガープリントを取得し、CPU情報を列挙し、ネットワーク上の識別情報の検出を行い、メモリ容量を列挙し、フォアグラウンドのウィンドウを監視して、ユーザーがアプリケーションを切り替えるタイミングを特定します。
主なキーロギング機能として、このマルウェアはキー入力をキャプチャするキーボードフックをインストールします。 現在使用中のキーボードを監視できるだけでなく、ユーザーがたまたま言語を切り替えた場合にもその記録を残すことができます。 Escape、Enter、Backspace などの特殊キーは、実際のログでは説明的な記号に置き換えられます。 通常のキーについては、マルウェアがそのキーコードを変換し、ログファイルに保存します。
このマルウェアは最終的に、継続的なメッセージループに入り、フォアグラウンドウィンドウとキーボードフックをアクティブな状態に保ち、潜伏を維持します。
TinkyWinkeyの動的解析
実行されると、「Tinky」という名前の悪意のあるWindowsサービスが登録されます。 これは、永続化のために起動時に呼び出されるように作成されています。
永続化の確立に成功した後、セカンダリペイロードである「winkey.exe」が実行されます。 このペイロードは、キーロギングモジュールを担うものです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
TinkyWinkeyは、Windowsの内部構造を高度に活用し、目立たない実行と包括的なログ記録機能を備えているため、脅威アクターの関心を引く可能性が高いと考えられます。
Cyfirmaが指摘しているように、このキーロガーの背後にいる攻撃者は、サービスとキーロガーのコンポーネントを明確に分離していました。 この意図的な分離は、柔軟性の面や、マルウェアの今後の更新において、攻撃者にとって有利に働くでしょう。 とはいえ、今後、このマルウェアの新たなバージョンや亜種が登場しても、驚くことではないでしょう。
Silver Fox APTは、脆弱性のあるドライバーを悪用してエンドポイントセキュリティを無効化します
チェック・ポイント社の新しいレポート『 』では、APTグループ「Silver Fox」が、これまで知られていなかったマイクロソフト署名付きの脆弱なドライバーを悪用し、のエンドポイント保護機能を密かに無効化 し、ValleyRATマルウェアを展開した経緯について解説しています。
このキャンペーンでは、ドライバー信頼モデルにおける重大な欠陥や、現代のサイバーセキュリティにおけるシグネチャベースの防御策の限界に焦点を当てています。
チェック・ポイント社の「Silver Fox APT」レポートにおける主な調査結果
5月下旬から、チェック・ポイントは、カスタムローダーを用いてWindowsデバイスを標的とした「Silver Fox」キャンペーンを検知しました。 このカスタムローダーは、特にカーネルドライバを悪用して、セキュリティ関連のプロセスを強制終了させました。 による終了したプロセスの完全な一覧（ ）は、レポートに記載されています。
チェック・ポイント社によると、このキャンペーンは、「既知の脆弱性を持つドライバーのみを使用していた従来の手法から、従来の検知メカニズムを回避する、これまで分類されていなかった署名付き脆弱性ドライバーを展開するという、大きな転換点となった」とのことです。
[最新の脆弱性管理が、いかにして混乱を秩序へと変え、脅威がビジネス上の問題となる前に、チームがそれらを検知し、優先順位を付け、是正するのを支援するかをご覧ください]
Silver Foxは、攻撃の際に「WatchDog」というマルウェア対策ドライバーを使用しましたが、このドライバーには脆弱性があることは公には知られておらず、マイクロソフト社による正規の署名も施されていました。 このドライバーと、脆弱性が確認されていた別の展開済みドライバーにより、任意のプロセスを強制終了させることが可能となりました。 この攻撃の最終的なペイロードは「ValleyRAT」バックドアであり、データの持ち出しやコマンドの実行などが可能で、この攻撃がSilver Foxによるものであると特定する一助となりました。
この攻撃に関与した C2 台のサーバーはすべて中国にホストされており、パブリッククラウドまたはウェブサービスを利用していました。 被害者学の観点から、チェック・ポイントは世界的な標的化の傾向を観察しました。
ローダー
チェック・ポイントは、Silver Fox APTによって使用されている複数のオールインワン・ローダーのサンプルを特定しました。これらはそれぞれ、ステルス性、持続性、およびペイロードの配信を目的として設計されています。 これらのローダーには、仮想環境やサンドボックス、特定のISPを検知する解析回避ルーチンが組み込まれており、検知された場合は実行を中止します。 また、RunTime フォルダを作成し、サービスを登録することで、起動時に確実に実行されるよう、永続性を確保しています。
このローダーには、2つの脆弱性を利用するドライバーがエンコードされたバイト文字列として埋め込まれています。1つはエンドポイント防御機能を無効化するために設計されたもので、もう1つはValleyRATバックドアを展開するためのものです。 対象システムのWindowsのバージョンに基づいて適切なドライバーが選択されるため、マルウェアは従来の検知メカニズムを回避しつつ、さまざまな環境に適応することができます。
EDR/AVキラー
前述の通り、EDR/AVキラーのルーチンはローダー内に組み込まれています。 感染したデバイスが実行している Windows のバージョンに応じて、該当する脆弱性のあるドライバーが削除されます。
使用するドライバにかかわらず、必要なサービスの作成には Windows API 関数が使用されます。 メインのロジックは、「終了させる対象プロセスのリスト（ Base64-encoded 件）」を順に処理することになります。このリストには、192 個のプロセス名が含まれています。 一致するものがあれば、処理は終了します。
新たに脆弱性が確認されたドライバー
チェック・ポイントは、これまで脆弱性が確認されていなかったドライバーについて、詳細に調査を行いました。 これは、正規に署名されたWatchDogアンチマルウェアドライバーです。
Zemana Anti-Malware SDK をベースとしたこのドライバーは、そのプロセスが保護モードで実行されているかどうかを確認することなく、任意のプロセスを強制終了させることができます。そのため、「脆弱性のあるドライバーを持ち込む（BYOD）」という手法に最適です。
ValleyRAT バックドア
チェック・ポイントが分析したすべてのサンプルにおいて、最終的にValleyRATバックドアが展開される結果となりました。 検出を回避するため、Windows API を通じてコールバックを呼び出し、分析ツールに関連するプロセスを検知します。 検出された場合、 20 秒間のスリープにより実行を遅らせ、ツールが検出されなくなるまで列挙を続けます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マイクロソフトが署名したドライバーの悪用は、Windows 環境における信頼の付与方法に、体系的な脆弱性があることを浮き彫りにしています。 「署名があれば安全である」という前提を、攻撃者がますます頻繁に悪用するようになっています。
この攻撃において、攻撃者はマルウェア対策ソリューションを終了させ、アラートを発生させることなく検知を回避しました。 このことから、単なるファイルのシグネチャだけでなく、ドライバの動作などについても監視を行う必要性が浮き彫りになっています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
