L3on🦉

🚀セキュリティ関連業務従事者(3年目)のアカウントです。
👾マルウェア解析に興味があります。

[ぴんく @PINKSAWTOOTH]

65535年振りに更新しました。
AI時代にこれをやる意味があるかはまだ不明ですが、LLMを活用した勉強方法とかも追記してます。
https://t.co/nkgEVfEaAi

[Anthropic @AnthropicAI]

Today, we're kicking off the first phase of the research preview for Model Hardware Standard (MHS): a new standard for AI agents to safely operate physical equipment in scientific research and advanced manufacturing.

Read more: https://t.co/XQ2y9EW7Af

[VulnCheck @VulnCheckAI]

VulnCheck recently uncovered ENDLESSDOORS, a pre-installed command-and-control implant in Zbtlink router firmware that phones home and can provide remote root access.

Read the full research from CTO @Junior_Baines: https://t.co/G61mpuhjbM

[Havox @Havox03]

DynLoader

A modular Windows loader focused on EDR evasion Built with indirect syscall (Tartarus Gate / Hell’s Gate), Manual PE parsing & Section mapping, API hashing & Dynamic resolution, fileless HTTP delivery (AES encrypted option), & more :)

https://t.co/N0wpp3yRMA

[R136a1 @TheEnergyStory]

Have you noticed that those deep-dive stories about complex Windows malware have pretty much vanished, especially in recent years? It feels like the era of "blockbuster" Windows malware has just gone silent, and this blog post tries to give some answers why.

https://t.co/sFsf3uPm5o

[MBSD NEWS @mbsdnews]

✨ 2026年4月9日「CIG Ransomware Information Portal」公開 ✨

従来ご好評いただいてきたPDF版「MBSD Ransomware Map」の知見を継承し、より直感的で使いやすいインタラクティブなWebアプリへと進化しました。ランサムウェア攻撃グループの全体像を可視化する新しいツールです。

【Ransomware Map機能】
タイムラインや関係図を自由に操作し、攻撃グループの変遷と相関関係を視覚的に探索できます。3種類のレイアウト（タイムライン／リンク／カスタム）から目的に応じた表示を選択でき、リブランドや系列のつながり、各グループの概要情報も把握できます。

【Ransomware Notes機能】
身代金メモ（ランサムノート）の全文検索・比較機能を搭載。共通フレーズや類似構造から攻撃グループ間の関連性を分析できます。インシデント発生時には、身代金メモの内容をもとに攻撃グループ候補の絞り込みや攻撃特徴の迅速な把握にも活用できます。
これらの機能を通じて得られた情報は、自組織の対策状況の見直しや強化にも役立ちます。脅威情報は定期的に更新しており、常に最新の動向を確認できます。

💡 登録不要・無料でご利用いただけます (※PCでの閲覧を推奨)
https://t.co/tup3eVSgkT

[L3on🦉 @L3onSW]

AIはトップCTFプレイヤーを超えるか？ AIによるサイバーセキュリティの攻防の最前線とこれから に参加を申し込みました！ https://t.co/thZkz4BvQ8 #WEST_SEC

[Sen Ueno @sen_u]

#P3NFEST で話した「AI時代を生き抜くセキュリティエンジニアの条件」の資料を公開しました。LLMの弱点を知ることで、AI時代に生き抜く条件について話しています。
セキュリティエンジニアじゃなくても、AIによって仕事のやり方などの転換を迫られている人にも役立つかも。
https://t.co/ykGaFD2bpR

[三輪信雄 @NobMiwa]

（進化する）生成AIを前提としたこれから本当に必要な「セキュリティ人材」のスペックを一から考え直さないと、使い物にならない人材を・・

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

国家支援型のAPTグループが、AIによるバイブコーディングで大量のマルウェアを生産し、品質ではなく物量で防御を圧倒する戦術に転換していることが報告されています。

生成されたマルウェア自体は品質が低く、C2サーバーのアドレスが仮置きのままだったり、タイムスタンプの処理ロジックが壊れていたりと、実用に耐えないものも混在しています。
ただ、脅威の本質はそこではなく、従来、マルウェアを複数のプログラミング言語で書き分けるには相応のスキルと時間が必要でしたが、AIを使えばNim、Zig、Crystalといったマイナー言語でも手軽に生成できます。

多くのエンドポイント検知エンジンはC++やC#など主要言語のマルウェアで蓄積したパターンをもとに動いているため、見慣れない言語で書かれたバイナリには既存のシグネチャがうまく機能しません。この弱点を突いて、言語も通信手段も異なる複数のマルウェアを1つの端末に同時に仕込み、1つが検知・除去されても別の経路でアクセスを維持できるようにするという戦法です。

C2の通信先もSlackやDiscord、Google Sheetsなど業務で日常的に使われるクラウドサービスに紛れ込ませているため、通信内容からの検知も容易ではありません。バイナリの種類と通信経路の両面で検知の網をかいくぐる構造になっており、現時点でたとえ品質が低くても、AIの進歩に伴ってその辺りはすぐに追いついてくるでしょうし、戦法の骨格としては侮れないところです。

【攻撃手口の概要】

・APT36はインドの防衛・政府セクターを長期的に標的としてきたグループで、Windows、Linux、macOSにまたがるマルウェアの運用が確認されている。なお、APT36への帰属は中程度の確信度とされている

・AIのバイブコーディングを使い、Nim、Zig、Crystalなどマイナー言語でマルウェアを生成。新しい亜種を日次で生産していると推定されている

・被害端末には異なる言語・異なる通信プロトコルの複数のマルウェアを同時に埋め込む。1つの経路が潰されても他が生き残る冗長構成

・C2通信にはSlack、Discord、Google Sheets、Supabase、Firebaseといった正規のクラウドサービスを利用。通常の業務トラフィックに紛れるため、通信の遮断が難しい

・マルウェアの品質自体は低く、構文的には正しいがロジックが未完成な状態。ブラウザの認証情報を窃取するツールでC2アドレスがプレースホルダーのまま、バックドアのタイムスタンプが毎回リセットされるといった不具合が複数確認されている

・報告ではこの動きを「凡庸さの最適化」と表現しており、技術的な洗練度の向上とは見なしていない。一方でAIツールの性能向上に伴い脅威が増す可能性も指摘されている。APT36自身、従来から既存のフレームワークやOSSを改変して運用してきた組織であり、バイブコーディングはその延長線上にある手段とされている

検知エンジンのチューニングが追いつかない言語で亜種を日々量産されると、個々の品質が低くても対処コストは跳ね上がります。マイナー言語によるシグネチャ回避と、正規クラウドサービスへのC2通信という組み合わせが、平凡なコードでも一定の成果を上げ得る構造を作っているという話題は興味深いところです。

https://t.co/Cj7ExjfAHd

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

ClickFixの亜種名がかなり増えてきたので、現時点で関連手口も含め把握できているものを整理してみました。

いずれもユーザー自身にキー操作を促す（コマンドを手動実行させる）ソーシャルエンジニアリングが共通点ですので、画面上の指示に従ってキー操作を誘導された場合は従わず警戒することが被害を防ぐ鉄則です。

▼【実行経路に特徴】
------------------------
　Runダイアログ、エクスプローラー、ターミナル、ダウンロード一覧など、コマンドを実行させる手段がそれぞれ異なる。
------------------------
・ClickFix（オリジナル）
　誘導操作：Win+R → Ctrl+V → Enter
　偽CAPTCHAやブラウザエラーで「ファイル名を指定して実行」にPowerShellコマンドを貼り付け・実行させる原型。2024年3月初確認。Win+Xなどバリエーションあり。

・FileFix
　誘導操作：ファイルアップロードボタン → エクスプローラーのアドレスバーにCtrl+V → Enter
　HTMLのファイルアップロードボタン経由でWindowsエクスプローラーを開かせ、アドレスバーにコマンドを貼り付け・実行させる。Win+R無効化のGPO対策を回避可能。2025年6月にPOC公開。

・TerminalFix
　誘導操作：PowerShell/cmd/Terminalを手動で開かせる → Ctrl+V → Enter
　ターミナルをユーザーに直接開かせてコマンドを貼り付け・実行させる。

・DownloadFix
　誘導操作：ダウンロード失敗 → Ctrl+Jでダウンロード一覧を開く → cmdファイルを手動実行
　ダウンロードを意図的に失敗させ、「修復」名目で悪性.cmdファイルを実行させる。

▼【心理的誘導に特徴】
------------------------
　偽の異常な状態（画面ロック、クラッシュ、表示崩壊）をユーザーに体験させ、修復の名目で操作に従わせる。
------------------------
・JackFix
　誘導操作：Win+R → Ctrl+V → Enter（偽全画面の指示に従う形）
　偽アダルトサイトから精巧な偽Windows Update画面や偽BSoDで全画面ロックし、パニック状態でコマンド実行を誘導。2025年11月に報告。

・GlitchFix（ErrTraffic）
　誘導操作：偽グリッチ表示 → 偽修正ボタンをクリック → Win+R → Ctrl+V → Enter
　改竄サイトのDOMを意図的に文字化け・CSS崩壊させ、ページが壊れたように見せかけて修正の名目で実行を誘導する。2025年12月に発見。

・CrashFix
　誘導操作：Win+R → Ctrl+V → Enter（ブラウザクラッシュ後の偽警告に従う形）
　偽広告ブロッカー拡張機能でブラウザを実際にクラッシュさせ、再起動時の偽警告からコマンド実行を誘導。ドメイン参加端末のみを標的とする企業環境特化型。2026年1月に確認。

▼【ペイロード配信チャネルに特徴】
------------------------
　誘導操作はClickFixの共通手法に準じるが、ペイロードの取得・配信経路に特徴がある。
------------------------
・DNS nslookup型
　nslookupで攻撃者管理DNSサーバーに問い合わせ、応答のName:フィールドからPowerShellコマンドを抽出・実行。HTTP通信を一切介さない。2026年2月に報告。

・DNS TXTレコード型（KongTuke）
　Resolve-DnsNameでGoogle Public DNS経由で攻撃者ドメインのTXTレコードを照会し、取得したコマンドをiexで即時実行するファイルレス型。企業DNSフィルタリングをバイパス。

・App-V LOLBin型
　Microsoft署名済みSyncAppvPublishingServer.vbsをLOLBinとしてPowerShell実行をプロキシ。Google Calendarからの設定取得やステガノグラフィでのペイロード秘匿を含む全ステージがインメモリで完結。

・ステガノグラフィ型
　画像のピクセルデータにマルウェアコードを隠蔽し、スクリプトが抽出・復号してメモリ内で実行するファイルレス配信。

・ClearFake/EtherHiding
　改竄WordPressサイトの偽CAPTCHAからClickFixを実行させ、ブロックチェーン上のスマートコントラクトに次段階JSを格納してテイクダウン耐性を確保。

・SVGファイル型
誘導操作：SVG内の偽Chromeエラー画面 → コマンドプロンプトでコマンドを貼り付け・実行
　SVGファイルをブラウザで開くと偽のChromeエラー画面が表示され、PowerShellコマンドの実行を誘導。メール添付のパスワード保護ZIPで配布された事例が確認されている。

▼【手口や対象の拡張】
------------------------
　対象OS・拡散経路・攻撃シナリオをOSとブラウザの枠を超えて多方面に拡張した手口。AI悪用なども。
------------------------
・ConsentFix
　誘導操作：OAuth認可コードを含むlocalhostのURLをコピー → フィッシングページに貼り付け
　OAuthコンセントフィッシングとClickFixを融合したブラウザ完結型。Azure CLIの認可コードURLをコピー&ペーストさせ、パスワード・MFA不要でMicrosoftアカウントを奪取。

・TikTok拡散型
　誘導操作：PowerShellでコマンドを貼り付け・実行
　AI生成と思われるTikTok動画で無料アクティベーションを装いPowerShellコマンドの実行を指示。1本の動画で50万回近い再生を記録。

・macOS AppleScript型
　誘導操作：Terminalでコマンドを貼り付け・実行
　互換性修正の名目のAppleScriptを実行させ、Apple署名済みバイナリのTCC認可を悪用して認証情報を窃取。

・ClickFake Interview（Lazarus Group）
　誘導操作：Windows: コマンドプロンプトでコマンドを実行 / macOS: Terminalでcurlコマンドを実行
　LinkedIn/X経由で暗号資産業界の非技術職に偽ビデオ面接を仕掛け、カメラドライバ修正の名目でGolangGhostバックドアを配布。

・生成AI/LLMプラットフォーム悪用型
　誘導操作：Terminalでコマンドを貼り付け・実行
　ChatGPT・Grok・Claude Artifactsの公開共有機能に偽ガイドをホストし、Google Adsの正規ドメイン広告からmacOS向けにTerminalコマンド実行を誘導。

・PromptFix
　誘導対象：人間ではなくAIエージェント（プロンプトインジェクション経由）
　ClickFixの概念をAgentic AIに適用し、AIエージェントに偽CAPTCHAをクリックさせドライブバイダウンロードを実行させる。研究段階。

[_Ray @_RayRT]

Introducing Cyllex - Advanced APT Emulation Framework.

https://t.co/WeF9QBYGcQ

I've been working on this for a while, pouring real effort and love into it. Not a quick release, I'm going step by step, building something solid. Some of the current features include:

▸ APT database with real-world campaign emulation
▸ Cross-platform agents via binary patching
▸ Agent, Agentless (WinRM/SSH), and Cloud execution
▸ Direct shell access for real-time interaction
▸ Interactive MITRE ATT&CK detection coverage tracking
▸ Calendar-based campaign scheduling
▸ Webhook notifications (Slack, Teams...)
▸ Robust TTPs: On-Premise (Windows/Linux), Cloud, and Containers

I'll be sharing updates as the project evolves. Thank you, and happy new year!

[解析mob @chayakonanaika]

コツコツと勉強したOPSECについてまとめてみました、技術部分は少ないですが"Your OPSEC Journey"に役立てば嬉しいです!
My OPSEC Journey: Evasion技術に魅せられて (CRTL→(OSEP) → CETP → Maldev → ODPC)
https://t.co/Uahg3fyxc9
#はてなブログ #EVASION #EDR #CETP #MALDEV #ODPC #CRTL #OPSEC

[Alex Matrosov @matrosov]

Checked out the new website (https://t.co/6mhn9Od1ni) for "Rootkits and Bootkits: Reversing Modern Malware and Next Generation Threats" by @vxradius , @sergeybratus and me.

The new book is in progress, stay tuned!

[L3on🦉 @L3onSW]

M365セキュリティ&ゼロトラスト勉強会 32 に参加を申し込みました！ https://t.co/C02aWpOTdf #m365sec

[MigawariIV @strinsert1Na]

本当はアドカレでこっちを書こうと思って間に合わなかったので26日に供養します。。。

はてなブログに投稿しました
俺の飯のタネだったマルウェア解析の仕事はそろそろAIに奪われるんだろうか - 切られたしっぽ https://t.co/vzzWFpOOKX

[TrendAI Japan @trendai_jp]

2025年11月に開催されたアサヒグループホールディングスの記者会見で明らかにされた内容を基に、今回の事例の特徴を考察します。

#ランサムウェア

https://t.co/YH2f1OCgRi

[Asuka Nakajima | 中島明日香 @AsuNa_jp]

Findy メディアさんにて、寄稿させて頂きました。

ハッカーに憧れてセキュリティ業界に入った私が、若手の頃にどんなことに悩み、何をしてきたのかなどについて書かせて頂きました！

https://t.co/8mn4BOEJ0g

[Kostas @Kostastsale]

🚀 𝗧𝗵𝗲 𝗘𝗗𝗥 𝗖𝗼𝗺𝗽𝗮𝗿𝗶𝘀𝗼𝗻 𝗦𝗲𝗿𝘃𝗶𝗰𝗲 𝗶𝘀 𝗼𝗳𝗳𝗶𝗰𝗶𝗮𝗹𝗹𝘆 𝗹𝗶𝘃𝗲!

This is the evolution of the EDR Telemetry Project, expanding everything people valued there into a full, feature-level comparison across multiple EDR products.

What it delivers:
• Analyst-led, hands-on evaluations
• Real capabilities, not marketing claims
• Clear breakdowns of strengths, gaps, and implementation details
• A practical handbook that empowers consultants, SOC leads, architects, and security teams to save significant time and money on evaluations.

🔥 𝗙𝗼𝗿 𝘁𝗵𝗲 𝗹𝗮𝘂𝗻𝗰𝗵 𝗽𝗲𝗿𝗶𝗼𝗱, 𝗲𝗮𝗿𝗹𝘆 𝗮𝗱𝗼𝗽𝘁𝗲𝗿𝘀 𝗰𝗮𝗻 𝘀𝗲𝗰𝘂𝗿𝗲 𝗹𝗶𝗳𝗲𝘁𝗶𝗺𝗲 𝗮𝗰𝗰𝗲𝘀𝘀.

If you want the full background and context, here’s the introductory blog, which also includes tips on choosing the best EDR for your needs:

https://t.co/0mEay5EXA4

[JPCERT/CC @jpcert_en]

New Blog Post: YAMAGoya: A Real-time Client Monitoring Tool Using Sigma and YARA Rules
https://t.co/gstGFRdDVV