LLM が推奨するダウンロードリンクが悪性サイトへ。GPU を狙うマイニング・リモートアクセス・ランサムウェアの複合キャンペーン
目次
- 要約 (TL;DR)
- キャンペーン概要 —— AI 検索ポイズニングの台頭
- 攻撃チェーン分析 —— DLL サイドローディングからマイニングまで
- ターゲット選定 —— GPU マイニング収益の最大化
- 韓国への影響
- Web3／暗号資産エコシステムへの影響
- 対応策
- IoCと検知指標
- 結論と提言
- 参考文献
要約 (TL;DR)
2026年5月26日、Microsoft Defender Experts と Microsoft Defender セキュリティ研究チームは、AI チャットボットとのやり取りを悪性ダウンロードサイト浮上のメカニズムとして利用する、活発なクリプトジャッキングキャンペーンについて警告した。Microsoft はこれを「ソーシャルエンジニアリングを従来の検索結果を超えて拡張し、悪性ソフトウェア推奨の可視性を高める新興の配信技術」と特徴づけた。
このキャンペーンは CrystalDiskInfo・HWMonitor・Display Driver Uninstaller・FurMark・K-Lite Codec Pack・PDFgear などの正規システムユーティリティを偽装する。標的は高性能 GPU の保有者であり、無差別な大量感染ではなくマイニング価値の高いシステムを選別する戦略である。150 を超える悪性ドメインが特定されている。
このキャンペーンの目標はマイニングにとどまらない。脅威アクターは ScreenConnect の展開を通じて侵害ホストに持続的リモートアクセスを確立し、これがデータ窃取・横展開・ランサムウェアといった後続活動につながりうる。当初は SEO ポイズニングで検索エンジンを汚染していたが、2026年4月以降に観測された亜種は、ユーザーが LLM ベースのツールにソフトウェアのダウンロード推奨を尋ねると、生成された応答の中に攻撃者が制御するドメインのリンクが提示される形へと進化している。
Key Judgments
| # | 判断 | 確度 |
|---|---|---|
| KJ-1 | AI 検索ポイズニングは従来の SEO ポイズニングの直接的拡張であり、LLM の信頼の後光（halo）ゆえに、ユーザーのクリック率は検索結果よりも高い可能性が高い。今後最も急速に成長する配信ベクトルである。 | High |
| KJ-2 | このキャンペーンの本質的リスクはマイニングではなく、ScreenConnect を介した持続的リモートアクセスである。マイニングは即時の収益化手段にすぎず、同じアクセスがデータ窃取やランサムウェアへ転じうる。 | High |
| KJ-3 | 高性能 GPU の標的選定は、暗号資産マイナー・AI 研究者・ゲーマー・ブロックチェーン開発者が優先被害群であることを示唆する。これは Web3／AI コミュニティが直接の標的であることを意味する。 | Medium-High |
| KJ-4 | DLL サイドローディング・プロセスハロウイング（process hollowing）・Defender 除外登録・分析ツール検知時のマイニング停止といった精巧な回避手法を備え、一般ユーザーが自力で検知するのは困難である。 | High |
2. キャンペーン概要 —— AI 検索ポイズニングの台頭
攻撃は、ユーザーが検索エンジンで信頼できるシステムユーティリティやハードウェア監視ソフトウェアを探す時に始まる。SEO ポイズニング手法で操作された悪性サイトが結果の上位に浮上する。
しかし、2026年4月以降に観測された亜種では、入口経路が変化した。ユーザーが AI チャットボットにソフトウェアのダウンロード推奨を尋ねると、生成された応答の中に攻撃者が制御するドメインのリンクが提示される。Microsoft はこれが観測されたパターンと相関データに基づくものだとしつつ、AI 検索結果ポイズニングという新興技術と一致する——従来の SEO ポイズニングを従来型検索エンジンの外へ拡張したもの——と評価した。
各悪性サイトには目立つダウンロードボタンがあり、クリックすると gleeze[.]com のキャンペーン固有サブドメインから ZIP アーカイブを取得する。このインフラは、脅威アクターが頻用する動的 DNS プロバイダ Dynu と関連している。悪性ツールを配信する 150 を超える悪性ドメインが特定されている。
3. 攻撃チェーン分析 —— DLL サイドローディングからマイニングまで
| 段階 | 挙動 |
|---|---|
| ① | ユーザーが ZIP をダウンロード → 正規実行ファイル + 悪性 DLL（autorun.dll）を含む |
| ② | 起動時に autorun.dll がサイドローディングされる → msiexec.exe で2つ目の悪性 DLL（vcredist_x64.dll）をインストール |
| ③ | vcredist_x64.dll は ScreenConnect インストーラパッケージ → 193.42.11[.]108（攻撃者サーバー）への接続を継続試行 |
| ④ | ScreenConnect セッションが SimpleRunPE.exe 実行の通路として使われる |
| ⑤ | レジストリ Run キー／スケジュールタスクで永続化、Microsoft Defender 除外登録、アンチ分析チェック、プロセスハロウイングでマイニングコードを実行 |
| ⑥ | 一部の侵害では、PowerShell スクリプトが遠隔ドライブからバイナリを取得し、vlc.exe に偽装してローカル保存・スケジュールタスク作成後に自己削除 |
| ⑦ | ハロウイングされたバイナリが攻撃者サーバーと通信し、ホスト情報を送信、ランタイムに該当するマイナーアーカイブをダウンロード・実行 |
サポートされるマイナーは3種：gminer、lolMiner、SRBMiner-MULTI。バイナリは永続化アーティファクトを再生成し、Defender 除外を再設定して除去に抵抗する。また実行中プロセスを監視し、次の分析ツールのいずれかを検知すると直ちにマイナーを終了する——taskmgr.exe、processhacker.exe/processhacker2.exe、procexp.exe/procexp64.exe、systeminformer.exe。これはユーザーがタスクマネージャーを開いて異常を探そうとした時にマイニングを止めて検知を回避する典型的手法である。
4. ターゲット選定 —— GPU マイニング収益の最大化
このキャンペーンは典型的な暗号資産マイニングの試みよりも意図的である。無差別な大量感染ではなく、GPU マイニング収益を最大化するエンドポイントを戦略的に選択する。偽装対象のソフトウェア（CrystalDiskInfo、HWMonitor、FurMark、Display Driver Uninstaller など）がいずれも高性能 GPU ユーザーに好まれる点が、これを裏付ける。
重要なのは、キャンペーンの目標が金銭的動機のみにとどまらない点である。脅威アクターは ScreenConnect を介して侵害ホストに持続的リモートアクセスを確立し、データ窃取・横展開・ランサムウェアといった後続活動に活用しうる。
5. 韓国への影響
このキャンペーンは韓国メディアではほとんど報じられなかったが、国内ユーザーにとって特に危険である。
第一に、韓国の AI チャットボット利用率は急増している。ユーザーが検索エンジンの代わりに LLM に「○○ プログラムはどこでダウンロードできる？」と尋ねる行動が一般化するにつれ、AI 検索ポイズニングの標的面が急速に拡大している。
第二に、韓国には高性能 GPU 保有層が厚い。ゲーマー、AI／ディープラーニング研究者、暗号資産マイナー、ブロックチェーン開発者など GPU 集約型ユーザー群が、まさにこのキャンペーンの標的である。偽装対象のユーティリティ（HWMonitor、FurMark など）は韓国の PC コミュニティでも標準的に推奨されるツールである。
第三に、ScreenConnect のような正規リモート管理ツール（RMM）の悪用は、国内のセキュリティソリューションに正常トラフィックと誤認されやすく、検知が遅れる。プロセスハロウイングで Microsoft 署名バイナリの下でマイニングが動作すると、一般ユーザーはもちろん、一部の EDR も見逃しうる。
6. Web3／暗号資産エコシステムへの影響
Web3／AI コミュニティは、このキャンペーンの第一の標的群に該当する。
第一に、ブロックチェーン開発者とマイナーは高性能 GPU ワークステーションを運用する。彼らはまさにキャンペーンが狙う「マイニング価値の高いシステム」であり、同時に暗号資産ウォレット・ノード鍵・デプロイ認証情報を同一マシンに置いている場合が多い。
第二に、ScreenConnect を介した持続的リモートアクセスは、単なるマイニングを超えてウォレット窃取・シード抽出・トランザクション改竄へ拡張しうる。本アナリストが CTI-2026-0422-MCP で警告した「単一マシンに資産・署名権限・開発ツールが集中した構造」がそのまま悪用される。
第三に、AI チャットボットのツール推奨の悪用は、本アナリストが MCP レポートで扱った「バイアス注入・推奨操作」脅威の実戦事例である。LLM が媒介する信頼そのものが攻撃面となり、Web3 開発者のように新しいツールを頻繁に探索する集団ほど露出が大きい。
7. 対応策
7.1 ユーザー・個人開発者
- ソフトウェアは常に公式サイトから直接ダウンロードする。AI チャットボットや検索結果のダウンロードリンクを盲信せず、ドメインを直接確認する（公式ドメインのブックマークを推奨）。
- ダウンロードした実行ファイルのデジタル署名を確認し、ZIP に正規 EXE と正体不明の DLL が同梱されていればサイドローディングを疑う。
- GPU 使用率・発熱の異常を監視する。マイナーは分析ツール実行時に停止するため、タスクマネージャーを開かない状態でのバックグラウンドの発熱・ファン音を観察する。
- 暗号資産ウォレットを GPU 作業用マシンから分離する。マイニング／レンダリング／ゲーミングマシンにホットウォレットを置かない。
7.2 組織・SOC
- RMM ツール利用ポリシーの策定 —— 承認されていない ScreenConnect・AnyDesk・TeamViewer のインストールを検知・遮断する。正規 RMM と悪用を区別する挙動ベースのルールを適用する。
- DLL サイドローディングの検知 ——
autorun.dll、vcredist_x64.dllの異常パスでのロード、msiexec.exeによる異常な DLL インストール挙動を EDR ルールに追加する。 - Defender 除外改竄の監視 —— Defender 除外リストへの無断追加を警報対象に設定する。
- プロセスハロウイングの検知 —— Microsoft 署名バイナリが異常なメモリ領域からコードを実行するパターンを監視する。
- 悪性インフラの遮断 ——
gleeze[.]comサブドメイン、193.42.11[.]108、Dynu 動的 DNS 関連の疑わしいドメインを遮断リストに追加する。
8. IoCと検知指標
⚠️ 本節は公開発表時点に基づく。運用適用前に最新の脅威インテリジェンスを再確認すること。
| 種別 | 指標 |
|---|---|
| 偽装ソフトウェア | CrystalDiskInfo、HWMonitor、Display Driver Uninstaller、FurMark、K-Lite Codec Pack、PDFgear |
| 悪性 DLL | autorun.dll、vcredist_x64.dll |
| 偽装実行ファイル | SimpleRunPE.exe、vlc.exe（偽装名） |
| C2／配布インフラ | gleeze[.]com サブドメイン、193.42.11[.]108、Dynu 動的 DNS |
| マイナー | gminer、lolMiner、SRBMiner-MULTI |
| RMM 悪用 | ScreenConnect（無断展開） |
| 永続化 | レジストリ Run キー、スケジュールタスク |
| 回避手法 | DLL サイドローディング、プロセスハロウイング、Defender 除外登録、分析ツール検知時のマイニング停止 |
| 悪性ドメイン規模 | 150 件以上 |
9. 結論と提言
このキャンペーンは、AI 支援配信・ソフトウェア偽装・持続的アクセスの結合が、脅威アクターがソーシャルエンジニアリングと収益化戦略を現代のユーザー行動に適応させる様を示している。2点が重要である。
第一に、信頼の所在が移動した。ユーザーは今や AI チャットボットの回答を検索結果よりも信頼し、攻撃者はまさにその信頼を狙う。AI 検索ポイズニングは SEO ポイズニングの次世代である。
第二に、マイニングは入口であって出口ではない。ScreenConnect を介した持続的アクセスはいつでもデータ窃取やランサムウェアへ転じうる。「ただのマイニングマルウェア」という安易な分類は危険である。
提言：
- ソフトウェアは公式ソースからのみ取得し、AI／検索の推奨リンクを検証なしに信頼しない。
- RMM ツールのガバナンスを確立し、無断インストールを遮断する。
- 暗号資産ウォレットと署名権限を GPU 作業用マシンから分離する。
- DLL サイドローディング・プロセスハロウイング・Defender 除外改竄の検知を SOC ルールに内在化する。
参考文献 (References)
[1] Ravie Lakshmanan, "AI Chatbot Recommendations Redirect Users to Cryptojacking Malware Sites", The Hacker News, 2026-05-27. https://thehackernews.com/2026/05/ai-chatbot-recommendations-redirect.html
[2] Microsoft Defender Experts & Microsoft Defender Security Research Team, "Poisoned Search Results: GPU Mining Cryptojacking Campaign Abusing ScreenConnect & Microsoft .NET Utilities", Microsoft Security Blog, 2026-05-26. https://www.microsoft.com/en-us/security/blog/2026/05/26/poisoned-search-results-gpu-mining-cryptojacking-campaign-abusing-screenconnect-microsoft-net-utilities/
[3] Dennis Kim, "MCP を狙う高度かつ潜伏型攻撃 —— 構造的問題か", CTI-2026-0422-MCP, 2026-04-22. https://github.com/gameworkerkim/CYBER-THREAT-INTELLIGENCE-REPORT/blob/main/Cti%202026%200422%20mcp%20kr.MD
© 2026 Dennis Kim (김호광) · 本文書は独立した CTI アーカイブ（TLP:GREEN）として公開される。 連絡先：[email protected] · GitHub: gameworkerkim/CYBER-THREAT-INTELLIGENCE-REPORT