今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、最近再び出現したマルウェア「XWorm」について分析しています。このマルウェアには 35 以上のプラグインが含まれており、その中にはユーザーがファイルを暗号化・復号化できる機能を持つものもあります。 続いて、当社のチームが、マイクロソフトが自社の「Teams」アプリケーションを標的とした、いくつかの高度な脅威をどのように特定し、阻止したかについて解説します。 最後に、GoAnywhere Managed File Transfer（MFT）に存在する重大な脆弱性に対する積極的な悪用について調査いたします。
XWormマルウェアが、一時活動を休止した後、ランサムウェアを伴って再び姿を現しました
Trellix社は、 において、XWormマルウェアの変遷を追跡してきました。このマルウェアは、当初の開発者がプロジェクトから手を引いた後、最近再び姿を現しました。
XWorm v6 は、モジュール式のプラグインシステムを採用した高度なリモートアクセストロイの木馬であり、認証情報の窃取、リモート制御、および持続化メカニズムなど、さまざまな悪意のある活動を実行します。 このバージョンのXWormでは、ステルス機能の強化、メモリからのプラグインベースの実行、および他のマルウェアファミリーとの連携が導入されています。
XWormの衰退と再台頭
XWormの開発者は、 2024年の終わり頃にXWorm V5.6 をリリースした後、アカウントを削除したため、研究者たちはこれが最終バージョンであると見なしています。 この動きを受けて、他の関係者もこのマルウェアのクラック版を配布・使用し始めました。
2025年6月（）において、研究者たちは、XWorm V6のリリースを告知する新しい投稿を発見しました。 このバージョンでは、以前のバージョンに存在していたRCEの脆弱性に対する修正に加え、その他のいくつかの更新が行われています。 多くの人々が、この発表がマルウェアの本来の開発者によるものなのか、それとも単にマルウェアの知名度を利用しようとしている人物によるものなのか、疑問を抱きました。
XWorm V6：XWormの最新バージョン
Trellixは最近、VirusTotal上でXWorm V6 のサンプル数が増加していることを確認しました。
このマルウェアの V6 種を用いた攻撃キャンペーンは、フィッシングサイト（）や悪意のあるウェブサイトを通じて配信される、 という悪意のあるJavaScriptファイルから始まります。 これにより、PowerShellスクリプトがダウンロードされ、実行されます。このスクリプトは、アンチマルウェアスキャンインターフェース（AMSI）を無効化し、インジェクターツールを配布します。 このツールは、正規のWindowsプログラムに悪意のあるコードを埋め込みます。 その後、最終的なペイロードであるXWorm V6は、そのコマンド＆コントロール（C2）サーバーに接続します。
XWorm V6 のプラグイン
このマルウェアには「plugin」と呼ばれるコマンドが搭載されており、これによりユーザーは追加のペイロードを実行できるようになります。 ペイロードはすべて、メモリ上で読み込まれ、実行されるDLLです。
Trellixは、このマルウェアの C2 台のサーバーからのネットワークトラフィックを記録し、マルウェアが使用しているプラグインを特定しました。その詳細については、次のセクションで説明します。 また、同社は、このマルウェアがDarkCloud、Phantom Stealer、Remcos RATなど、他のマルウェアファミリーを実行していることも確認しました。
XWormのプラグインの分析
XWormは現在、 35 個以上のプラグインに対応しています。 これらには、リモートセッションを確立するための「RemoteDesktop.dll」、データを盗み出すプラグイン、およびファイルシステムへのアクセスや操作を可能にする「FileManager.dll」などが含まれます。
このマルウェアには、「Ransomware.dll」というプラグインも含まれており、これによりユーザーはファイルを暗号化および復号化することができます。 攻撃者がこのランサムウェアプラグインを使用すると、デスクトップの壁紙として使用する画像、BTCアドレス、メールアドレス、および身代金の金額をカスタマイズすることができます。
Trellixの 氏は、より技術的な内容をお求めの方のために、レポートの中でこれらのプラグインのいくつかについて詳しく解説しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
XWorm V6 は、モジュール型マルウェアの進化形であり、攻撃者が最小限の痕跡を残しながら、極めて標的を絞った機能を展開できるようにします。 V6 で利用可能なモジュールの数が非常に多いため、担当者はターゲットごとに機能をカスタマイズすることが可能ですが、その一方で、の脅威の検出と対応 はより複雑になっています。
XWormの高度な持続化手法、認証情報の窃取モジュール、および他のマルウェアファミリーとの連携により、同マルウェアは、特に長期にわたる侵害を伴うものにおいて、スパイ活動や金融攻撃の両方において強力なツールとなっています。
マイクロソフト、Teamsを標的とした複数の脅威を阻止しました
マイクロソフトは、「 」を特定し、同社のTeamsアプリケーションを標的とした一連の高度なサイバー脅威を阻止しました。これには、ソーシャルエンジニアリング、マルウェアの配布、および犯罪者や国家主体のアクターによるコラボレーション機能の悪用などが含まれます。
Teamsに限定されたものではありませんが、マイクロソフトによると、「Teams内でセキュリティ対策が不十分なユーザー、グループ、テナントを列挙できる」オープンソースのフレームワークがいくつか存在します。 これらのオープンソースツールは、Microsoft Teamsのさまざまな情報を収集することができ、特定のプライバシー設定が有効になっていない場合は、ユーザーの現在の在席状況まで明らかにしてしまう可能性があります。
Microsoft Teamsが直面する脅威に対抗するため、マイクロソフトは、偽のEntra IDテナントや、脅威アクターによる無料テナントおよび試用サブスクリプションの悪用に対する防御策の改善を継続しています。 また、同社は、組織が進化し続けるリスクを先手を打って軽減できるよう、ID、エンドポイント、アプリケーション、データにまたがる多層的な防御戦略を提示しています。
初回アクセス
攻撃者は、Microsoft Teamsを利用した初期侵入の一環として、いくつかの異なる手口を用いています。 その手口の一つが、悪名高いテクニカルサポート詐欺であり、これによりリモート監視・管理（RMM）ツールがダウンロードされてしまいます。
その一例として、Storm-1811による攻撃が挙げられます。この攻撃では、技術サポートを装い、攻撃者自身が作成した大量の迷惑メールに関する問題を解決しようと試みました。 その後、RMMツールがダウンロードされ、マルウェアやランサムウェアのペイロードを配信するために使用されました。
[サイバー犯罪者が「親切心」を悪用している実態、ヘルプデスクへの攻撃がどのように進化しているか、そしてITチームが先手を打つために何をすべきかについてご紹介します]
マイクロソフトはまた、Midnight Blizzardがテクニカルサポートを装い、被害者にアカウントの確認やアクセス用の認証コードの入力を促した事例についても指摘しています。 ディープフェイクやAIは、Teamsを介したこのソーシャルエンジニアリングをさらに効果的にするだけでしょう。
粘り強さ
こうした攻撃を継続させるため、攻撃者はスタートアップフォルダ内のショートカットを悪用して悪意のあるツールを実行させたり、スティッキーキーなどのアクセシビリティ機能を悪用したりしています。 また、アクターは、アクセス権限を持つテナント内でゲストユーザーアカウントを作成し、アクセス権を維持することもできます。
マイクロソフトは、Storm-2373がデバイスのコード認証フローを悪用して認証トークンを取得した事例について指摘しています。 この攻撃者は、被害者とTeamsのチャットでやり取りを行い、信頼関係を築いた上で、認証を促してトークンを盗み出しました。
実行と権限昇格
管理者アカウントは、脅威アクターにとって有益です。なぜなら、さらなる悪意のある活動を行うために必要な、高い権限が付与されているからです。 これらの管理者アカウント以外にも、攻撃者は一般ユーザーを標的にし、メールで送信される場合と同様に、Teams経由で送られてきたリンクやファイルを開かせるよう仕向けています。
権限の昇格を目的として、攻撃者が自身が制御するデバイスを登録し、権限グループの変更を試みていることが確認されています。
認証情報のアクセス
有効なリフレッシュトークンを持つ攻撃者は、Teams API を利用して、ユーザーになりすますことが容易にできます。 脅威アクターがトークンを傍受するために流用しうる、管理者レベルのツールがいくつか存在します。 さらに、攻撃者はパスワードスプレー攻撃を利用して認証情報を取得する可能性があります。
発見
また、攻撃者は、Microsoft Teams へのアクセス権がある場合、Teams の設定データを分析し、アプリを列挙するなどして、情報収集に Teams を活用することが知られています。
マイクロソフトは、AzureHoundを活用してある組織のMicrosoft Entra IDの設定を列挙した攻撃者「Void Blizzard」を例として挙げています。 その俳優は、ユーザー、ロール、グループ、アプリなどに関する詳細情報を把握することができました。 その俳優は、Teamsの会話の一部にもアクセスすることができました。
横方向の動きと収集
マイクロソフトは、攻撃者がTeamsへの管理者権限を取得した場合、外部通信設定を悪用し、組織間の信頼関係を有効化することで、組織内を横方向に移動する可能性があることを指摘しています。
[攻撃者をその場で阻止――横方向の移動を阻止し、ネットワークを内側から外側まで守る、実証済みの3つの戦略をご紹介します]
また、攻撃者は、自らの目的を達成するために役立つ可能性のあるその他の情報やデータを収集するため、Teamsを標的にしようとする場合もあります。
C2 および情報漏洩
攻撃者は、Teamsを通じて、多くの場合ファイルの添付を利用して、マルウェアを配布しようとします。 一部のツールには、Microsoft Teamsで C2 のチャンネルを作成するための機能が特に備わっているものもあります。
攻撃者は、情報漏洩のためにTeamsのメッセージを利用することもあります。 マイクロソフトが指摘しているように、この目的のために特別に開発されたツールが存在します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Microsoft Teamsが引き続き悪用されている事実は、コラボレーション・プラットフォームが現代の攻撃対象領域において不可欠なものとなっていることを浮き彫りにしており、防御側はこれらを従来のエンドポイントや電子メールシステムと同様に厳重に管理する必要があります。
さらに、攻撃者が信頼を得るために正当なテナントやブランドを利用している事実は、 の本人確認が、表面的な指標にとどまらず、特に外部との連携が頻繁に行われる環境においては、より踏み込んだ対応が必要であることを痛感させます。
マイクロソフトのレポートには、この脅威を特定し、防御するためのDefenderによる検知情報やハンティングクエリに加え、役立つ緩和策や保護策に関するガイダンスが数多く掲載されています。
Storm-1175は、GoAnywhere MFTの重大な脆弱性を悪用します
マイクロソフトは、GoAnywhere MFT に存在する重大な脆弱性（CVE-2025-10035）が実際に悪用されていることを確認しました（ ）。この脆弱性により、偽造されたライセンス応答を介して、認証なしのリモートコード実行が可能となります。
金銭を目的とする脅威アクター「Storm-1175」は、この脆弱性を積極的に悪用してランサムウェアを展開し、データを盗み出しています。このため、早急な対策とパッチ適用が推奨されています。
[最新の脆弱性管理が、混乱を安心感へと変える仕組みをご覧ください]
CVE-2025-10035について
先月、GoAnywhere MFTのライセンスサーブレットに存在する「 CVE-2025-10035 」という脆弱性について詳述したセキュリティアドバイザリが公開されました。 この脆弱性はCVSSスコア 10と評価されており、コマンドインジェクションやリモートコード実行につながる可能性があります。 マイクロソフトはその後、Storm-1175として追跡されている脅威アクターが、この脆弱性を悪用していることを確認しました。
この脆弱性は、GoAnywhereのMFTライセンスサーブレット管理コンソールにおけるデシリアライゼーションの欠陥です。 この問題はバージョン 7.8.3 までのバージョンに影響を及ぼし、「攻撃者が偽造されたライセンス応答の署名を作成することで署名検証を迂回できるようになり、その結果、攻撃者が制御する任意のオブジェクトの逆シリアル化が可能になる」とされています。 この脆弱性を悪用する場合、攻撃者がライセンス応答を偽造または傍受できるのであれば、認証を行う必要がないとされており、これによりこの脆弱性のリスクが高まります。
マイクロソフトによると、この脆弱性を悪用することで、攻撃者はシステムやユーザーの調査を行うほか、追加のツールを展開することも可能となり、その間も長期にわたってアクセス権を維持し続けることができるとのことです。
Storm-1175 および CVE-2025-10035
マイクロソフトは、Storm-1175がこの脆弱性を悪用して多段階攻撃を行っていることを確認しました。 初期アクセスを得るために、攻撃者はGoAnywhere MFT内の脆弱性を悪用します。 また、持続性を確保するために、RMMツールを使用し、そのバイナリをGoAnywhere MFTプロセス内に配置しました。
その後、その攻撃者は、ネットワーク内を横方向に移動する前に、情報収集コマンドを使用したり、追加のツールを展開したりすることが可能となります。 RMMツールは、 C2 件の用途で再び使用され、データ処理が行われました。 ある事例では、 メデューサ・ランサムウェア も使用されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Storm-1175が、 CVE-2025-10035 の脆弱性を一般に公表される前から悪用し始めていたという点に留意することが重要です。 これは、脅威アクターがゼロデイ脆弱性を特定し、それを攻撃に利用する手腕をますます磨いており、そのスピードは防御側の対応を上回ることも少なくないことを示しています。
GoAnywhere MFTは、企業環境において安全なファイル転送のために広く利用されているため、この脆弱性は、 サードパーティ製ツール の単一の欠陥が、いかに連鎖的な影響を及ぼし得るかを示す典型的な例となっています。
[Taniumがサードパーティ製アプリの監視をどのように効率化し、セキュリティの強化とコンプライアンス対応の簡素化を実現しているかをご覧ください]
また、マイクロソフトは、本レポートに「 」の緩和策および保護に関するガイダンス（ ）も掲載しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ へアクセスし、Taniumのディスカッションフォーラム へお進みいただき、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。