今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、SystemBCについて調査を行っています。SystemBCは、侵害された仮想プライベートサーバー（VPS）インフラを活用し、ランサムウェアや認証情報の窃取といったサイバー犯罪活動を支援している大規模なプロキシボットネットです。 次に、チームは「ShinyHunters」に注目しています。これは金銭を目的としたデータ恐喝グループで、現在は企業のクラウドアプリケーションを標的にしています。
また、AIで生成されたコードを用いてSVGファイル内の悪意のあるペイロードを難読化し、従来の検知手法を回避することを目的とした、高度な フィッシングキャンペーンの概要も掲載されています（ ）。
SystemBCボットネットがVPSインフラを標的としています
Lumen Technologies（ ）のBlack Lotus Labsチームは、SystemBCボットネットに関する新たな詳細情報を公開しています。これには、その広範な拡散範囲、持続的な感染、および複数の脅威アクターのサービスとの連携などが含まれています。
SystemBCボットネットは長年にわたり活動しており、毎日数千台のシステムに感染させています。 特に、Black Lotus Labsによると、このマルウェアは帯域幅と持続性を最大化するためにVPSインフラを好んで利用しており、被害者の大半がVPSを利用しているとのことです。
他のボットネットと同様、これらの被害者は悪意のあるトラフィックのプロキシとして利用されてしまいます。 Black Lotus Labsによると、SystemBCは、一般家庭用IPアドレスではなくVPSシステムを採用することで、「長期間にわたり、膨大なトラフィック量を処理できるプロキシを提供している」とのことです。
研究者たちは、いくつかのネットワークでこれらのプロキシが使用されていることを確認しました。 このボットネットの主な利用者の1つは、「REM Proxy」と呼ばれるプロキシネットワークです。 このネットワークは、ここ数年、ランサムウェアの攻撃者たちと関連付けられており、ユーザーに対して3種類のパッケージを提供しています。その最上位プランは、検出率が低いとされています。 このレポートには、ご関心のある方のために、REM Proxy（ ）についてさらに詳しく解説した の記事が掲載されています。
最初の侵入経路は特定できませんでしたが、Black Lotus Labs の調査によると、各被害者システムにはパッチが適用されていない CVE が約 20 件存在し、そのうち 1 件以上が「重大」と分類されるものでした。
[パッチが適用されていないソフトウェアが最大の弱点にならないように――より賢明なパッチ適用戦略によって、リスクを軽減し、回復力を高め、コンプライアンスを維持する方法をご確認ください]
グローバルなテレメトリおよび被害者分析
このプロキシネットワークを利用する攻撃者は、まずSystemBCに属する C2 個のIPアドレスを標的にします。 これにより、ユーザーはボットネットに組み込まれた被害者のいずれかに誘導されます。 テレメトリのデータによると、SystemBCは1日あたり約 1,500 体のアクティブなボットを維持しており、その80％が5つの主要なVPSプロバイダーに集中しています。 この感染の集中化により、感染期間が長期化する要因となっており、システムのほぼ 40％が1か月以上も侵害された状態が続いています。
VPSプロバイダーの間では、特定の標的化パターンは確認されませんでした。 しかし、Black Lotus Labsは、そのほとんどに悪用されやすい脆弱性が含まれていると判断しました。 研究者たちは、多くの攻撃を、被害者を勧誘していると思われる単一のIPアドレスと結びつけました。
プロキシ分析
SystemBCボットネットの運営者や利用者は、IPアドレスがローテーションされたり難読化されたりしていないという事実から判断すると、検知回避やステルス性についてはそれほど重視していないようです。 このボットネットは、攻撃の規模を最優先としています。
このボットネットのユーザーのほとんどは、このネットワークを利用してWordPressの認証情報を総当たり攻撃で解読し、おそらくは利益を得るためにそれらを販売している運営者です。 このボットネットは、ロシアの大手ウェブスクレイピングサービスや、ベトナムを拠点とする「 VN5Socks 」プロキシサービス、そして「REM Proxy」にもサービスを提供しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Black Lotus Labsが指摘しているように、SystemBCは長年にわたり根強く存在し続けており、「サイバー脅威の情勢において根深い脅威」となっています。
SystemBCが侵害されたVPSインフラを利用していることは、ボットネット戦略の転換を示しており、ステルス性よりも安定性と帯域幅を重視する傾向が見られます。 これにより、検知は難しくなりますが、いったん特定されれば追跡は比較的容易になる可能性があります。
感染が継続していることやIPローテーションが行われていないことは、運用上の不注意か、あるいは脅威アクターが回避策よりも処理能力やアクセス性を優先し、防御側の対応が遅れることを見越した計算されたトレードオフのいずれかを示唆しています。
ShinyHuntersは、エンタープライズ向けクラウドアプリケーションをターゲットとしています
EclecticIQ（）によると、ShinyHuntersグループは、機密データを盗み出し、被害者に身代金の支払いを強要するために、企業のクラウドアプリケーションを標的とするケースが増加しているとのことです。 ShinyHuntersは現在、AIによるボイスフィッシング、サプライチェーン攻撃、悪意のある内部関係者といった戦術を組み合わせて攻撃を行っています。
ShinyHuntersは 2020 年に初めて登場し、Telegramや英語圏のサイバー犯罪者フォーラムで活動しています。 EclecticIQは、グループ「 2025」の中で最も活発なメンバーとみられる3名を特定し、これらのメンバーが「 」「Scattered Spider」、「The Com」、および「Lapsus$」といった他のグループと緩やかなつながりを持っていると指摘しています。
メンバーの一人であるユカリは、「ShinyHunters」と「Scattered Spider」の両方のメンバーであると考えられています。 EclecticIQは、このメンバーが、最初のシステム侵害、SIMスワッピング攻撃、および のボイスフィッシング（）に関与していると見ています。 ShinyHuntersのリーダーであるShinyCorpは、おそらくeCrimeの犯行グループを通じてメンバーを勧誘していると思われます。 一般的に、ShinyHuntersのメンバーは、複数のグループにまたがって活動していることが多いようです。
AI音声エージェントと「Scattered Spider」のアフィリエイトネットワーク
ShinyHuntersは、VoIPベースの通話サービスを利用してフィッシング詐欺を行い、AIを活用した音声通話プラットフォームを用いて、 へのソーシャルエンジニアリング攻撃を自動化しています。。 例えば、このグループはBland AIを利用して、「電話での会話中に被害者の反応に合わせて、話の内容や手口をリアルタイムで動的に調整し、対応を柔軟に変化させている」とのことです。 攻撃者は、より人間らしく聞こえるよう声のスタイルを変更することができ、モデルはそのトーンや応答を調整して、信憑性を高めます。
ShinyHuntersのリーダーによると、攻撃における音声通話の部分はScattered Spiderのメンバーによって行われていますが、一部のメンバーはThe Comを利用していたとのことです。 ShinyHuntersは、Telegramのグループを通じて、音声通話によるフィッシング詐欺の参加者を積極的に募集しています。
クラウドアプリケーションのユーザーを標的としたヴィッシング攻撃
EclecticIQによると、このグループは、IT担当者を装い、被害者に接続コードを入力させたり、攻撃者が制御するアプリケーションへの承認を行わせたりすることで、Salesforceアプリケーションを侵害するためのヴィッシング攻撃も実施していたとされています。 2025では、ShinyHuntersがOktaのSSOログインページを偽装して認証情報を盗み出そうとしていることも確認されています。
[攻撃者がヘルプデスクをどのように悪用しているのかを知り、データが盗まれる前にソーシャルエンジニアリングによる脅威を未然に防ぐ方法を学びましょう]
ShinyHuntersは、企業の開発環境を標的とするために、BrowserStackのAPIキーを盗んだとされています。 EclecticIQはまた、このグループがCloudflareのゼロトラストリソースを標的にしたと見ています。
採用担当者の募集
8月末、「scattered LAPSUS$ hunters 4.0” 」というTelegramチャンネルが、Okta、Microsoft SSO、Citrix VPN、GitHubなどのシステムへのアクセス権を提供できる組織の内部関係者を探しているという募集メッセージを投稿しました。 その投稿では、アクセス権と引き換えに金銭的な報酬が提示されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
設定ミスのあるクラウドサービスや、 記載されているような不十分なID管理 は、脅威アクターにとって格好の標的となっており、クラウド環境も従来のインフラと同様に厳格に管理する必要があることを示しています。
このグループが盗まれた認証情報に依存している事実は、 MFA（）や条件付きアクセスポリシー、継続的な監視などを含む、堅牢なID保護戦略の重要性を浮き彫りにしており、IDこそが新たな境界線であることを示しています。
少なくとも、ShinyHuntersの事例は、エンタープライズ向けSaaSが高価値な標的であることを改めて私たちに思い起こさせてくれます。
フィッシング攻撃では、検知を回避するためにAIが生成したコードが使用されています
マイクロソフトは最近、 という、AIで生成されたコードを用いてSVGファイル内の悪意のあるペイロードを難読化し、従来の検知手法を回避する高度なフィッシングキャンペーンを突き止めました。
高度な戦術が用いられたにもかかわらず、マイクロソフトのAIを活用したセキュリティシステムは、行動や状況に関するシグナルを分析することで、この脅威を正確に特定し、阻止することに成功しました。
フィッシング攻撃の手口とペイロード
8月、マイクロソフトは、乗っ取られたメールアカウントを利用してフィッシングメッセージを送信し、認証情報を盗み出そうとするフィッシング攻撃を特定しました。 この攻撃キャンペーンの背後にいる攻撃者は、差出人アドレスと受信者アドレスが同じに見えるように「自己宛てメール」の手法を用い、メッセージの真の宛先をBCC欄に隠していました。
フィッシングメールの本文には、受信者に対して「ファイルが共有されました」と伝え、そのファイルの添付ファイルとされるものが含まれていました。 添付ファイルの名前は「 “23mb – PDF- 6 pages.svg」となっており、被害者にPDFファイルだと錯覚させるために、そのようにラベル付けされたSVGファイルでした。 このファイルを開くと、被害者は の偽のCAPTCHAプロンプトが表示されるページ（ ）にリダイレクトされ、認証情報が盗み取られます。
マイクロソフトは、SVGコードを分析し、その難読化の手法を解明しました。 このコードは、棒グラフや月ごとのラベルが配置された、ビジネス分析用のダッシュボードのように見えるように設計されました。 しかし、これらは不透明度がゼロに設定され、塗りつぶしも透明になっていたため、目に見えなくなっていました。 ペイロードの真の機能も、ビジネスツールを活用して隠されていました。
マイクロソフトは、この攻撃の目的が、ユーザーをフィッシングのランディングページにリダイレクトし、ブラウザのフィンガープリントを取得し、セッション追跡を開始することであると判断しました。
[ChatGPTがサイバーセキュリティをどのように変革しているか――攻撃者と防御者の双方に力を与えている――そして、貴社が先手を打つために何ができるかについてご紹介します]
AIを活用したキャンペーン分析
マイクロソフトは、攻撃者がペイロードの機能を隠蔽するためにAIを利用した可能性があると考えています。 この仮説を裏付けるため、彼らはCopilotにそのファイルを分析させ、それがAIによって作成されたものかどうかを判断してもらいました。
Copilotは、そのコードが合成されたものであり、LLM、あるいはLLMを利用するツールによって生成されたものである可能性が極めて高いと回答しました。 Copilotは、これを裏付ける証拠として、具体的には以下の5点を提示しました。具体的には：
- 関数名や変数名の説明過多や冗長な命名
- モジュール化され、過剰に設計されたコード構造
- 一般的なコメント
- 定型的な難読化手法
- CDATAおよびXML宣言の珍しい使い方
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
AIによる難読化は、フィッシングの手口の高度化における転換点となっています。 攻撃者はもはや単に人間の行動を模倣するだけでなく、機械知能を活用して、検出やリバースエンジニアリングがより困難なコードを作成するようになっています。
悪意のあるコードを隠すためのビジネス用語の活用は、特に巧妙な手法であり、専門用語に対する信頼を悪用して、ヒューリスティックフィルタや人間の疑念をすり抜けるものです。
マイクロソフトによるこの成功した検知事例は、特にAIによって生成された脅威が文脈を認識する能力を高めている現在において、静的コード検査よりも行動ベースの分析が重要であることを浮き彫りにしています。 また、マイクロソフトは、この脅威の特定に役立つ推奨事項 、、Defenderによる検知情報、およびハンティングクエリを公開しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
