Security News Daily

200万台規模のNetNutプロキシネットワーク摘発とAI自動化ランサムウェアの現実化

GoogleとFBIが200万台の住宅デバイスを悪用した大規模プロキシネットワークNetNutを摘発。同時期にCitrix Bleed 2とFortiBleedを悪用したランサムウェア攻撃が活発化し、AIエージェントによる完全自動化のランサムウェア攻撃も初めて確認された。

緊急プロキシネットワークランサムウェア脆弱性管理AIセキュリティネットワーク機器

今日のハイライト

本日のセキュリティ動向は、ネットワークインフラの脆弱性を悪用したランサムウェア攻撃の組織的深化と、AI技術による攻撃自動化の現実化という二つの大きな潮流を示しています。GoogleとFBIの連携による200万台規模の住宅用プロキシネットワーク摘発は、IoTデバイスの脆弱性がどこまで大規模な悪用プラットフォームとなりうるかを露呈させました。同時に、CitrixやFortinetといった境界防御機器のゼロデイ脆弱性が、AnubisやINC/Lynxといった主要ランサムウェアグループの標準的な侵入経路として定着しつつあります。

1. Google Disrupts NetNut Residential Proxy Network Spanning 2 Million Home Devices

重要度: 🔴 Critical (9/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

GoogleのThreat Intelligence Group（GTIG）がFBI、Lumenなどと連携し、NetNutと呼ばれる大規模住宅用プロキシネットワークの機能を大幅に低下させました。このネットワークは、約200万台の家庭用デバイスを不正に制御し、他者のトラフィック中継点として悪用する仕組みを持っていました。摘発により、利用可能なデバイスプールは数百万台規模で削減されました。

考察

IoTセキュリティの構造的課題: 200万台という数字は、家庭用ルーター、IPカメラ、スマート家電などの脆弱なIoTデバイスがいかに容易にボットネットの一部となりうるかを示しています。特に住宅用プロキシは、悪意あるトラフィックを「正当な家庭IPアドレス」として camouflage するため、金融詐欺や認証バイパス攻撃に広く悪用されます。

実務対策としては、企業側では住宅IPからの接続に対するリスクスコアリングの見直しが急務です。従来「住宅IP=低リスク」という前提は、こうしたプロキシネットワークの存在により崩壊しています。一方、個人・家庭側では、IoTデバイスのデフォルトパスワード変更やファームウェア更新の徹底、不要なポート開放の防止が唯一の防御策となります。ISPレベルでの異常トラフィック検知と顧客への通知体制の構築も、今後の重要なインフラ責任となります。

参照元

2. Ransomware Groups Turn to Citrix Bleed 2, BYOVD, and Supply Chain Credentials

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

Anubisランサムウェアグループの関連攻撃者が、**Citrix Bleed 2（CVE-2025-5777）**の脆弱性を悪用して初期アクセスを獲得していることが確認されました。攻撃者は、正当なRemote Management and Monitoring（RMM）ツールを悪用し、**BYOVD（Bring Your Own Vulnerable Driver）**技術を組み合わせて防御メカニズムを回避しています。

考察

境界防御機器のリスク顕在化: Citrix ADC/NetScalerはエンタープライズの境界に位置する重要なシングルポイントであり、ここでの認証情報漏洩やセッションハイジャックは内部ネットワークの完全な曝露を意味します。Citrix Bleed 2は公開直後からの悪用が確認されており、パッチ適用の猶予期間が事実上存在しない「ゼロデイに準ずる緊急度」を持っています。

BYOVD技術の増加は、EDR（Endpoint Detection and Response）製品のカーネルモードドライバを悪用してセキュリティソフトウェアを無力化する高度な手法です。実務では、Citrix製品の即座のパッチ適用に加え、RMMツールの使用監視が重要です。本来の管理用途のツールが悪用されるケースが増加しており、プロセス監視と異常なRMM実行の検知ルールを整備する必要があります。また、サプライチェーン認証情報の管理徹底と、特権アカウントの多要素認証強制が不可欠です。

参照元

3. FortiBleed Credential Theft Linked to INC and Lynx Ransomware Operations

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

FortiBleedと名付けられた認証情報窃取キャンペーンが、INCおよびLynxランサムウェア運用と関連付けられました。数十万台のFortiGateファイアウォールからSSL-VPN認証情報を窃取したこのキャンペーンは、後続の侵入（follow-on intrusions）のための準備段階として機能していました。攻撃者は被害者との交渉も積極的に行っています。

考察

ネットワーク機器の「信頼の崩壊」: FortiGateのような境界防御機器自体が侵害されることで、内部ネットワークは完全に無防備となります。特にSSL-VPNの認証情報窃取は、リモートワークを前提とした現代のIT環境において「裏口からの全アクセス権取得」を意味します。INCとLynxは、窃取した認証情報を「アクセス as a Service」として他の脅威アクターに販売する可能性も示唆されています。

防御策としては、FortiOSの緊急パッチ適用はもちろん、VPNログインの異常検知が重要です。地理的に不自然なアクセス、通常とは異なる時間帯のログイン、既知の悪意あるIPからの接続をリアルタイムで監視する必要があります。さらに、ネットワークセグメンテーションの徹底により、VPN経由のアクセスであっても重要な資産への到達を制限すべきです。FortiGateの管理インターフェースへのインターネット公開は絶対に避け、管理アクセスにはオフネットワーク経由の.jumpサーバーや特別な認証レイヤーを設けるべきです。

参照元

4. SharePoint RCE CVE-2026-45659 Added to CISA KEV After Active Exploitation

重要度: 🟠 High (8/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）が、Microsoft SharePoint ServerのCVE-2026-45659（CVSS 8.8）をKnown Exploited Vulnerabilities（KEV）カタログに追加しました。リモートコード実行（RCE）を可能にするこの脆弱性は、実際の攻撃で悪用されている証拠が確認されています。

考察

エンタープライズ協働ツールのリスク: SharePointは企業の文書管理と情報共有の中核を担うため、ここでのRCEは機密文書の窃取、改ざん、あるいはランサムウェア展開の起点となり得ます。CVSS 8.8という高い深刻度に加え、CISAのKEV登録は連邦政府機関に対する24時間以内の修義務を課すものであり、民間企業にとっても緊急性の指標となります。

実務的な対応としては、SharePoint Serverの即座のパッチ適用が第一ですが、Webシェル検知の強化も並行して必要です。SharePointへのRCE攻撃は多くの場合、Webシェルの設置に繋がるため、SharePointディレクトリ内の不審なファイル（特に.aspxや.ashx）の監視、IISログの異常なPOSTリクエストの分析が有効です。また、SharePointの管理インターフェースへのインターネット公開を最小限に抑え、WAF（Web Application Firewall）での仮想パッチ適用も検討すべきです。

参照元

5. AI Agent Exploits Langflow RCE to Automate Database Ransomware Attack

重要度: 🟠 High (8/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

Sysdigが、AIエージェントによる完全自動化のランサムウェア攻撃を初めて確認したと発表しました。JADEPUFFERと命名された攻撃者は、LangflowのRCE脆弱性を悪用し、大規模言語モデル（LLM）が侵入、認証情報窃取、横展開、データ窃取の全工程を自律的に処理しました。

考察

攻撃自動化の新たな段階: これまでの自動化ツール（Cobalt Strikeなど）は人間のオペレーターの判断と手動操作を前提としていましたが、LLMによる自動化は「意思決定」までを機械に委ねる点で質的に異なります。LangflowはAIワークフロー構築プラットフォームであり、ここが標的になったこと自体も象徴的です。

防御側の対応遅れの危険性: 従来のシグネチャベース検知では、AIが生成する多様な攻撃パターンを捉えきれません。**行動ベースの検知（Behavioral Analytics）**の重要性が増しており、特に「データベースへの大量アクセス後の暗号化処理」や「不審なデータ流出パターン」の検知が重要です。また、AI開発環境（Langflow、LangChainなど）のセキュリティはこれまで注目されにくかった分野ですが、RCE脆弱性を持つ開発ツールが攻撃の起点となりうることを示しています。AI開発基盤のセキュリティ評価とネットワーク分離は、今後の重要な検討事項となります。

参照元

まとめ

本日のニュースは、**「境界防御の脆弱性」と「攻撃自動化の高度化」**という二つの脅威ベクトルが同時に深まっていることを示しています。NetNutの摘発は、私たちが信頼していた「家庭ネットワーク」の清浄性が崩壊している現実を突きつけ、Citrix Bleed 2とFortiBleedは、いかにネットワーク機器の脆弱性がランサムウェアエコシステムの中核となっているかを示しています。

今後の注視ポイントとしては、AIエージェントによる自律的攻撃の実用化が最も重要です。JADEPUFFERの事例は、攻撃者が「人手」を必要としない完全自動化の侵害チェーンを構築しつつある証左であり、防御側もAIによる検知・対応自動化（AI vs AIの構図）への移行を急ぐ必要があります。同時に、SharePointやVPN機器などの既存インフラの緊急パッチ管理と、ゼロトラストアーキテクチャによる「侵害を前提とした防御」の徹底が、現実的なリスク低減策となります。

参照元