1件のMDRアラートが1,048ファイルの生成AI活用マルウェア製造ラボを暴露-Rapid7がWebDAV配信基盤の全容を公開|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月28日更新日時: 2026年07月28日

Rapid7のManaged Detection and Response(MDR)チームは2026年7月20日、1件の不審なアラートを追跡した結果、完全に稼働中のマルウェア配信ラボが丸ごと公開された状態のサーバーを発見したと報告しました。通常の調査であれば単一のペイロードを見つけるにすぎないところ、OPSEC(運用上のセキュリティ)の失敗によって露出したこのサーバーには、攻撃者の開発ワークスペースそのものが残されており、フィッシング用の囮ページ、ファイル名偽装テスト、LOLBinsの実行テスト、暗号化されたドロッパー、ClickFix型のページ、そして攻撃者自身が書いた内部文書を含む1,048件ものファイルが確認されました。最も注目すべきは、攻撃者が生成AI(LLM)を積極的に活用して囮コンテンツの作成やテスト文書の整備を行っており、Rapid7はこれを「攻撃者がモダンなソフトウェアプロダクトチームのように行動した」と総括している点です。

サマリー

Rapid7のMDRチームは、ユーザーがWebDAV経由で取得したコンテンツをrundll32.exeで実行したというアラートを起点に、公開状態の攻撃者サーバーを発見しました
露出したディレクトリには1,048件のファイルが開発ワークスペース形式で保存されており、453件のショートカットベースの配信ランチャー、236件のファイル名偽装テスト、146件のURLおよびLOLBins実行テスト、89件の暗号化ドロッパーが含まれていました
アクティブなキャンペーンは2つ確認されています。1つはメキシコ政府のCURPと呼ばれる国民ID照会を偽装したフィッシングサイト(gobf[.]mx)を起点とし、search-ms:プロトコルハンドラ経由でWebDAV共有を開かせてファイルレスの.NET情報窃取マルウェアを展開するもの、もう1つはUbisoftの署名済みバイナリにトロイの木馬化したDLLをサイドローディングさせてモジュール型.NET RATを展開するものです。いずれも最終ペイロードはPureRATです
テレメトリの分析では2026年6月20日〜26日の約5.5日間で77,098件のリクエストが3,892のユニークIPから101か国にわたって記録され、転送量は約45.9GBに達しました。メキシコが全トラフィックの82.5%、ランチャー起動イベントの96.9%を占めました
攻撃者は生成AI(LLM)を囮コンテンツの作成、テスト文書の整備、構造化されたREADMEファイルの作成に活用しており、使用されたツールはClaude Code・GitHub Copilot CLI・Cursorにインスパイアされた汎用オープンソースのAIコーディングエージェントCodeRRRとみられます
ロシア語のコメントとフォルダ名(testikはロシア語の「テスト」の縮小形)から、ロシア語話者による運用が推定されます
OPSEC上の失敗として、サーバー自体が公開状態だった以外に、管理パネル「Simba Service」がデフォルトのポートと認証情報のまま放置されていました

整理表

項目	内容
公開日	2026年7月20日
調査元	Rapid7 Managed Detection and Response(MDR)チーム
発見の端緒	ユーザーがWebDAV経由のコンテンツをrundll32.exeで実行したMDRアラート
露出したファイル数	1,048件(開発ワークスペース形式)
稼働中のキャンペーン数	2つ(CURP偽装・DlrtyGames)
最終ペイロード	PureRAT(.NET製)
テレメトリ期間	2026年6月20〜26日(約5.5日間)
リクエスト数	77,098件(3,892ユニークIP、101か国)
転送量	約45.9GB
主要標的	メキシコ(82.5%のトラフィック、96.9%の起動イベント)
AI活用	囮コンテンツ作成・テスト文書整備・README整備にLLM活用
使用されたAIツール	CodeRRR(汎用オープンソースAIコーディングエージェント)
推定属性	ロシア語話者(フォルダ名・コメントから推定、特定は未確認)
OPSECの失敗	サーバーの公開放置、Simba Service管理パネルのデフォルト認証情報

発見の経緯-1件のMDRアラートから全貌が露わに

Rapid7のMDRチームによれば、今回の発見は、ユーザーがWebDAV経由で取得したコンテンツをrundll32.exeで実行したというアラートがきっかけでした。このアラートを追跡したチームは、アラートの発生源として攻撃者のWebDAV配信サーバーにたどり着きました。通常、こうした調査では単一のペイロードを特定するにとどまることがほとんどですが、今回は攻撃者がサーバーを公開状態のまま放置していたため、配信サーバーの中身を丸ごと確認できるという異例の機会が生まれました。

露出したディレクトリには1,048件のファイルが、まるでソフトウェア開発の作業ディレクトリのような体裁で整理されていました。内訳は、453件のショートカットベースの配信ランチャー、236件のファイル名偽装テスト、146件のURLおよびLOLBins実行テスト、89件の暗号化ドロッパー、WebDAVスクリプト、ClickFix型のページ、そして攻撃者自身が記述した内部文書です。Rapid7がこの状況に遭遇したのは、攻撃者がキャンペーンを構築中だったタイミングであり、完成したツールだけでなく、失敗した実験や試行錯誤の記録、テスト用の注釈も残っていました。こうした開発過程の痕跡が丸ごと入手できるケースは極めて稀です。

2つのアクティブなキャンペーン

Rapid7の分析によれば、このラボでは同時に2つのキャンペーンが稼働していました。

1つ目はCURP偽装キャンペーンです。CURPはメキシコ政府が管理する国民識別番号であり、攻撃者はgobf[.]mxという、政府の公式サイトを模したタイポスクワットドメインを設置しました。被害者がこの偽サイトを訪問してダウンロードボタンを押すと、ブラウザはsearch-ms:というWindowsのURIプロトコルハンドラを呼び出します。search-ms:プロトコルはWindowsエクスプローラーの検索機能を呼び出すものですが、攻撃者はこれを悪用して攻撃者のWebDAV共有をWindowsエクスプローラーのウィンドウとして被害者のデスクトップに表示させます。被害者にはまるで正規のファイル一覧が表示されたように見え、その中のファイルを実行することでマルウェアのインストールが始まります。この手口は、当サイトで既報のClickFix攻撃と同様に、OSの正規機能を利用してセキュリティ対策を回避しながら被害者に操作を実行させるソーシャルエンジニアリングの応用です。

2つ目はDlrtyGamesキャンペーンで、こちらはUbisoftが署名した正規のバイナリを使って悪意あるDLLをサイドローディングさせ、モジュール型の.NET RATを展開するものです。いずれのキャンペーンも最終的なペイロードはPureRATで共通しています。

攻撃チェーンの技術的詳細

CURPキャンペーンの攻撃チェーンを技術的に追うと、WebDAV経由で配信されるFcqlehローダーがAESとGZipを組み合わせて埋め込みペイロードを復号し、Assembly.Load(byte[])というAPIを使ってペイロードをメモリ上に直接ロードします。その後、EV署名を持つQihoo 360の正規プロセスにプロセスホロウィング経由でコードをインジェクションすることで、悪意あるコードが信頼されたプロセスの名前で動作します。このファイルレス実行とプロセスインジェクションの組み合わせにより、ディスク上の痕跡が最小化され、シグネチャベースの検知を回避します。

分析の過程でRapid7が復号したインメモリの設定には、ペイロードのバージョン4.4.3と、ビルドタグ「06x12x2026SantaEbash2」が含まれており、このタイムスタンプは2026年6月12日のツールキットと一致していました。最終的に起動した情報窃取マルウェアが標的とするのは、暗号資産ウォレット、ブラウザの認証情報、セッションクッキー、Telegramのセッションデータです。これらは当サイトで既報のVEIL#DROPによるファイルレスマルウェア展開とも共通する、情報窃取マルウェアが一貫して狙う標的と合致しています。

生成AIを「プロダクト開発」に活用した攻撃者

今回の発見で最も注目されるのが、攻撃者による生成AIの組織的な活用です。Rapid7は、露出したサーバー上の証拠から、攻撃者が以下の作業にLLMを利用していたと結論づけています。囮コンテンツの作成(フィッシングサイトの文言等)、多数のWindowsバイナリのテスト方法の詳細な文書化、そして構造化されたREADMEファイルの整備です。フォルダ構造や文書の体裁は、まるでソフトウェア製品の開発チームが残したもののように整然と整理されており、Rapid7はこれを「攻撃者がモダンなソフトウェアプロダクトチームのように行動した」と評しています。

使用されたAIツールはCodeRRR(Coderrr)と呼ばれる汎用のオープンソースAIコーディングエージェントで、The Hacker Newsが2026年7月20日時点でGitHub上に公開中であることを確認しています。このツールはClaude Code、GitHub Copilot CLI、Cursorからインスパイアされたものとされており、攻撃者専用のツールではなく一般に利用可能な開発支援ツールです

。当サイトで既報のFakeGitキャンペーンにおけるAgentBaitingで示されたように、AIを使った攻撃の高度化は特別なゼロデイツールを必要とせず、一般に公開されたAIエージェントやコーディングツールの活用によって進んでいます。

テレメトリが示す攻撃の規模と標的

Rapid7が入手した配信パネルのテレメトリは、2026年6月20日から26日にかけての約5.5日間を記録したものでした。この期間に77,098件のリクエストが3,892のユニークなクライアントIPから101か国にわたって記録され、転送量は約45.9GBに達しています。

地理的な分布では、メキシコが全トラフィックの82.5%を占め、攻撃の起動イベントの96.9%もメキシコからのものでした。単一のCURPの囮ページだけで2,441件の起動イベントのうち2,384件(97.7%)を発生させており、メキシコのユーザーに絞り込んだ標的型のキャンペーンであることが数字からも明確に示されています。一方でそれ以外の国からのトラフィックは、スキャナや研究者によるアクセスと考えられています。

OPSECの失敗が生んだ調査機会

今回の発見は、攻撃者のOPSECの失敗なしには実現しなかったものでした。サーバー自体が公開状態だったことに加え、管理用のadminパネル「Simba Service」がデフォルトのポートと認証情報のまま放置されていたことが確認されました。このパネルにはMDRアラートの追跡中にアクセスできた状態であり、攻撃の詳細なテレメトリを入手できたのはこのためです。

ロシア語のコメントやフォルダ名(testikはロシア語の「テスト」の縮小形)から、ロシア語話者が運用しているコンテキストが示唆されますが、Rapid7はこれをもって特定の個人や組織を帰属先と確定するものではないとしています。なお、Check PointがStealth Falcon関連の報告で取り上げたWebDAV working-directory hijackの脆弱性CVE-2025-33053(CVSS 8.8、CISAのKEVカタログに登録済み)との技術的な関連性も指摘されています。

情報システム部門への示唆

今回のRapid7の調査が示す実務的な示唆は複数あります。

第一に、WebDAVおよびsearch-ms:プロトコルハンドラ経由の配信を高リスクのシグナルとして扱うことです。特にWebDAV関連の不審なアクティビティがフィッシングに続く形で現れた場合や、WindowsユーティリティがリモートのWebDAVコンテンツをフェッチするパターンは優先度高く対応すべきです。rundll32、mshta、bitsadmin、certutilなど、今回のテスト一覧で頻繁に確認されたLOLBinsの実行に対して厳格な制御を適用することも有効です。

第二に、ファイルレス実行とプロセスインジェクションへの対処です。今回のFcqlehローダーが用いたAES+GZip復号→リフレクティブローディング→EV署名プロセスへのプロセスホロウィングという手口は、ディスク上の痕跡を最小化しながらEDRの検知を回避しようとするものです。Assembly.Load(byte[])のAPIコールや、正規の署名済みプロセスからの異常なメモリ書き込みパターンを検知できる振る舞い検知型EDRの設定強化が有効です。

第三に、生成AIを活用した攻撃の量産化・高速化への備えです。今回の事例は、CodeRRRのような誰でも利用できるAIコーディングエージェントが攻撃ツールの開発・文書化・テストを加速させていることを具体的に示しています。防御側も同様にAIを活用した脅威インテリジェンスや検知の自動化で対抗する必要性が高まっており、MDRやSOCによる継続的な監視の価値が改めて示された事案といえます。