カスペルスキーのグローバル調査分析チーム（GReAT）は、人気映画のトレントファイルに、これまで知られていなかったマルウェアを隠すことで個人ユーザーや組織を標的にする、多段階のサイバーキャンペーンを確認した。対象には、新作映画のThe Odysseyも含まれる。同社によると、このキャンペーンは2026年8月中旬に活動を開始し、現在も継続している。
カスペルスキーは、ロシア、トルコ、日本、ケニア、ウガンダ、コロンビアに加え、スペイン、オランダ、ベルギー、ドイツで数百人の被害者を特定した。被害を受けた組織は、ビジネス、政府、情報技術、コンサルティング、小売、運輸、農業の各分野に及び、リスクの範囲は個人の娯楽目的のユーザーを超えて広がっている。
キャンペーンの仕組み
攻撃者は、トレントファイルの保存に使われていた公開アーカイブサイトの一つを侵害し、ユーザーに到達させるために悪意のあるファイルを公開した。感染は、セキュリティソフトが疑わしいファイルを分析するために使用する隔離されたテスト環境を検出できるローダーから始まる。分析を検出すると、このツールは隠蔽や調査妨害のための措置を講じることができる。
被害者のデバイス上で有効化されると、マルウェアは、デバイスの再起動や悪意のあるプロセスの終了後も存在し続けるのに役立つ追加モジュールを展開する。また、Windowsのユーザーアカウント制御（UAC）を回避する機能も備えており、通常表示される警告メッセージを出さずに管理者権限を取得することを目的としている。これにより、攻撃者はデバイスにリモートでアクセスできる可能性がある。
コマンド＆コントロール基盤におけるSolanaの利用
このキャンペーンは、Solanaブロックチェーンを利用してコマンド＆コントロール（C2）サーバーのアドレスを取得する。この手法により、攻撃者のインフラはより柔軟になり、直接ブロックまたは解体できるサーバーに依存する場合と比べて、キャンペーンの停止が難しくなる。
なぜこのニュースが重要なのか
このキャンペーンは、非公式な情報源を通じて流通する娯楽ファイルが、特にマルウェアが分析環境の検出、永続化、権限昇格、制御サーバーへの柔軟なアクセス手段を組み合わせている場合、組織環境への侵入口になり得ることを示している。実際の影響は、疑わしいファイルのダウンロードを防ぐことだけにとどまらない。組織には、外部ソフトウェアの利用を管理し、エンドポイントを監視し、通常とは異なる挙動を調査することも求められる。
カスペルスキーは、公式または信頼できる情報源からファイルをダウンロードし、セキュリティソフトを無効にせず、有効なセキュリティソリューションを使用するよう推奨した。組織に対しては、外部ソフトウェアの利用ポリシーを策定し、エンドポイント保護機能と拡張された検出・対応機能を活用するとともに、専門的な知識が不足している場合には脅威インテリジェンス、侵入評価、インシデント対応のサービスを利用するよう呼びかけた。
カスペルスキーのGReATに所属するサイバーセキュリティ専門家、コンスタンチン・イサコフ氏は、このキャンペーンが映画ファイルの魅力と高度な技術基盤を組み合わせていると述べた。同社は、自社のソリューションが使用されたマルウェアを検出したことを確認しており、完全な技術分析はSecurelist.comで提供されている。一方、情報源ではマルウェアファミリーの名称や、被害を受けた組織数の詳細は明らかにされておらず、これらの点については元の技術分析を確認する必要がある。