Midnight Blizzard関連の攻撃活動が継続、悪意のあるファイルを配布
攻撃グループ「Midnight Blizzard」に関連するとされるマルウェア配布サーバーが、対策が講じられた後も2026年10月5日時点で稼働を続け、悪意のあるファイルを配布していたことが確認された。このサーバーは、PowerShellステージャーを実行するファイルをHTTPステータスコード「200 OK」で返しており、配布機能が引き続き有効な状態にあったという。この活動は、Microsoftが「CaptiveCrunch」として追跡する攻撃に関連し、Midnight Blizzardのサブクラスターとされる「Storm-2945」との関係も指摘されている。
ReversingLabsの分析では、2件のマルウェアハッシュを手掛かりに、PowerShellステージャーやGo言語で開発されたバックドアなど、攻撃に使用される主要な悪意のあるファイルが特定された。これらのファイルは、Microsoftが8月1日に関連する脅威について警告した後も、引き続き配布されていたとされる。さらに、Spectra Analyzeを用いた分析では、追加のPowerShellステージャーのビルドが複数確認されており、攻撃に使用されるファイルが継続的に生成されていた可能性が示されている。
この攻撃では、認証情報の窃取や感染環境へのアクセス維持を目的とした機能が確認されている。また、配布サーバーでは、正規のPolyfillライブラリを装ったJavaScriptバンドルが使用されており、通信内容の分析やセキュリティ製品による検知を回避する狙いがあるとみられる。確認された亜種には、ブラウザの閲覧履歴を収集する機能や、感染端末へのリモートアクセスを可能にする機能も含まれており、攻撃者が追加の情報を取得するために利用する可能性がある。
フィッシングインフラの継続的な運用と検知への対応
今回の攻撃キャンペーンでは、フィッシング用ドメインやホスティングサーバーのIPアドレスを利用した攻撃インフラが確認されている。複数のドメインやサーバーを組み合わせた構成により、関連するインフラの特定や一括した遮断が難しくなっているとみられる。ReversingLabsの分析では、攻撃に関連する追加のサーバーも発見された。また、攻撃者がClaude AIを利用してマルウェアの機能やコードを修正し、改変したインプラントの再配布を試みていることも指摘されている。
こうした活動に対し、セキュリティ担当者は関連するドメインやIPアドレスなどのネットワーク指標に加え、攻撃に特徴的な挙動を継続的に確認する必要がある。特に、不審なPowerShellの実行や認証情報へのアクセス、通常とは異なる外部通信などは、調査対象となる可能性がある。攻撃に使用されるサーバーやマルウェアが変更されることも踏まえ、脅威インテリジェンスを通じて検知情報を更新し、関連する活動の監視を継続することが求められる。