#malware

What jumps out to me is how unglamorous this is. Not a model jailbreak, not some exotic prompt-injection stunt, just infostealer malware doing what infostealer malware always does: vacuum up browser cookies and saved credentials, then sell access to whoever can turn it into money. Claude is just the billable surface area here. That’s actually the part I find most useful. If a user says their usage “refilled and then drained” without them touching the account, that sounds a lot like session theft

What jumps out to me is not the malware part — that part is depressingly normal — but the shape of the theft. If an attacker can lift an already-authenticated browser session, then password changes and 2FA don’t help much in the moment. That’s the uncomfortable bit. The user may think “my Claude account is safe because I use strong auth,” while the real compromise happened somewhere else entirely, probably on a machine that went off the rails after a cracked game or some other shady download. I

Fortinetの FortiClient EMS にあった重大な脆弱性 CVE-2026-35616 が、すでに攻撃に悪用されていた 攻撃者は正規の管理機能を乗っ取り、「Fortinetの更新」に見せかけた malware を端末へ配布していた 配布されたのは EKZ Infostealer と呼ばれる credential stealer（認証情報を盗む malware） 盗まれるのは password だけでなく、browser の cookie や autofill 情報まで含まれる 一度 EMS を押さえられると、管理対象の全 endpoint が一気に危険になる のがかなり厄介 The Hacker News が伝えているのは、Fortinet の FortiClient Endpoint Management Server（EMS） にあった重大な flaw が、攻撃者に悪用されていたという話です。 この脆弱性は CVE-2026-35616 とされ、CVSS score は 9.1。かなり重い部類です。 ざ

中国寄りとみられる脅威グループ Webworm が、2025年に新しいバックドア EchoCreep と GraphWorm を追加していたことが判明 C2（Command and Control、攻撃者がマルウェアに命令を出すための通信先）に Discord と Microsoft Graph API を悪用 目立ちにくい proxyツール や SoftEther VPN も使い、追跡されにくくする工夫が進んでいる EchoCreep はファイルのアップロード/ダウンロードとコマンド実行、GraphWorm はさらに高度な制御や OneDrive とのやり取りが可能 初期侵入の手口はまだ不明だが、`dirsearch` や `nuclei` で脆弱なWebサーバーを探している形跡がある この記事の後半では、BadIIS という別のマルウェアが MaaS（Malware-as-a-Service、売買・貸し出し型の犯罪ツール）化している話も出てきて、こちらもかなり厄介 The Hacker News が伝えたのは、**We

露出したばかりのShai-Hulud wormのsource codeを使った初期のクローン攻撃が確認された 攻撃者はNPM（JavaScriptのパッケージ配布基盤）に悪意あるパッケージを公開していた その中にはShai-Huludをほぼそのまま写したものもあれば、typosquatting（似た名前で誤クリックを狙う手口）やDDoS botnetを使うものもあった つまり、1人の攻撃者が複数の手口を使い分けており、今後さらに供給網攻撃が増える前触れかもしれない SecurityWeekによると、Shai-Hulud wormのsource codeがGitHubで公開されてから、わずか数日で“クローン”が出てきたそうです。調べたのはOx Securityです。 ここでいう worm は、いわゆる自己増殖するマルウェアです。感染した端末からさらに広がるので、普通のマルウェアよりもずっと厄介。しかも今回のShai-Huludは、感染した開発者のcredentials（認証情報）、API keys、tokens、その

Laravel-Langの複数PHPパッケージで、サプライチェーン攻撃が発生したと報じられた 攻撃者はソースコード本体ではなくgit tagをすり替え、悪性コミットへ向けた 影響は700以上のバージョンに及ぶ可能性がある 悪性コードは`autload.files`経由で自動実行され、PHPアプリ起動時に勝手に動く 盗む対象がかなり広く、クラウド、Kubernetes、CI/CD、パスワードマネージャ、ブラウザ情報、暗号資産まで狙う 実行後に自己削除まで行うので、痕跡を残しにくい The Hacker News が伝えたところによると、Laravel-Lang に属する複数の PHP パッケージが改ざんされ、認証情報を盗むためのマルウェアを配布するために悪用されたそうです。対象になったのは次のパッケージです。 `laravel-lang/lang` `laravel-lang/http-statuses` `laravel-lang/attributes` `laravel-lang/actions` Laravel-Lang は、PHP/

Windowsに昔から入っている `MSHTA` が、攻撃者に悪用されている 入口はフィッシングや「無料ソフト」「クラック版」を装った誘導が多い `LOLBIN`（正規ツールの悪用）なので、見た目では不審さが出にくい `Lumma`、`Amatera`、`ClipBanker`、`PurpleFox` などの配布に使われている 対策は「ユーザー教育」だけでなく、「古い機能を止める」技術的対策も重要 最近のサイバー攻撃で、ちょっと皮肉なのがこの話です。 Windowsの“昔ながらの正規機能”が、マルウェア配布の便利な道具になっているんですね。SecurityWeekの記事は、Microsoftの `MSHTA` という古いユーティリティが、静かにマルウェアをばらまく攻撃で急増していると伝えています。 率直に言うと、これはかなり厄介です。 なぜなら `MSHTA` は「怪しい外部ツール」ではなく、Microsoftが署名した正規の機能だからです。セキュリティ製品から見ると、完全に即ブロックしづらい。攻撃者からすると、これほど都合のいい入口はありません。 `MSHTA` は

GitHubは、社員の端末に悪意あるVS Code拡張機能が入ったことで、内部リポジトリが漏えいしたと認めた 影響を受けたのは顧客データではなく、GitHub内部のリポジトリだと説明している 攻撃者側は約4,000リポジトリの窃取を主張しており、GitHubの調査結果とかなり近い この事件は、開発者向けツールの“便利さ”がそのまま攻撃面にもなることを改めて示した VS Code拡張機能を悪用する手口は珍しくなく、過去にも似た事例が何度も起きている GitHubが、約3,800の内部リポジトリが侵害されたと確認しました。きっかけは、同社の社員が悪意あるVS Code拡張機能をインストールしてしまったことです。 VS Codeとは、Microsoftの人気コードエディタ「Visual Studio Code」のこと。 そして拡張機能は、エディタに機能を足すためのプラグインです。たとえばコード補完を強化したり、特定のクラウドサービスとつないだりできます。便利な反面、ここに“毒入り”が混ざると厄介です。かなり厄介です。 GitHubはこの