Cyber threats didn’t slow down last week—and attackers are getting smarter. We’re seeing malware hidden in virtual machines, side-channel leaks exposing AI chats, and spyware quietly targeting Android devices in the wild. But that’s just the surface. From sleeper logic bombs to a fresh alliance between major threat groups, this week’s roundup highlights a clear shift: cybercrime is evolving fast

先週もサイバー脅威は衰えることなく、攻撃者はますます賢くなっています。仮想マシンに隠されたマルウェア、AIチャットを暴露するサイドチャネルリーク、野生環境で静かにAndroidデバイスを狙うスパイウェアなどが確認されています。 しかし、これはほんの一部に過ぎません。スリーパー型ロジックボムから主要脅威グループ同士の新たな連携まで、今週のまとめは明確な変化を浮き彫りにしています。サイバー犯罪は急速に進化し、技術的なステルスと戦略的な連携の境界が曖昧になっています。 読む価値があります。ここにあるすべての話は、あなたのチームが今すぐ知っておくべき現実のリスクについてです。ぜひ全体を読んでください。 ⚡ 今週の脅威# Curly COMrades、Hyper-Vを悪用しLinux仮想マシンにマルウェアを隠蔽 — ロシアの地政学的利益を支援する脅威アクター「Curly COMrades」が、侵害されたWindowsマシン上でMicrosoftのHyper-Vハイパーバイザーを悪用し、隠されたAlpine Linuxベースの仮想マシンを作成して悪意あるペイロードを展開していたことが確認されました。この手法により、マルウェアはホストOSの可視性の外で完全に動作し、エンドポイントセキュリティツールを効果的に回避します。2025年7月に観測されたこのキャンペーンでは、CurlyShellおよびCurlyCatの展開が含まれていました。被害者は公表されていません。脅威アクターは、Hyper-VのDefault Switchネットワークアダプターを使用するよう仮想マシンを設定し、VMのトラフィックがHyper-Vの内部NATサービスを通じてホストのネットワークスタックを経由するようにし、すべての悪意ある外部通信が正規のホストマシンのIPアドレスから発信されているように見せかけていました。さらに調査により、攻撃者はまずDISMコマンドラインツールでHyper-Vハイパーバイザーを有効化し、グラフィカル管理インターフェースであるHyper-V Managerを無効化していたことが判明しました。その後、MP4ビデオファイルを装ったRARアーカイブをダウンロードし、その内容を展開。アーカイブには事前構築済みAlpine Linux VMに対応する2つのVHDXおよびVMCXファイルが含まれていました。最後に、Import-VMおよびStart-VM PowerShellコマンドレットを使って仮想マシンをHyper-Vにインポートし、「WSL」という名前で起動。これはWindows Subsystem for Linuxが使われているように見せかけるための偽装戦術です。「Curly COMradesが示した高度な手法は、EDR/XDRソリューションが一般化する中、脅威アクターがツールや仮想マシン分離などの技術でそれらを回避する能力を高めていることを裏付けています」とBitdefenderは述べています。これらの発見は、標的ネットワーク内で長期的なアクセスを維持しつつ、フォレンジック上の痕跡を最小限に抑える高度な手法を使う脅威アクターの姿を浮き彫りにしています。 🔔 注目ニュース# 暗号化通信でもAIチャットの話題を特定する「Whisper Leak」サイドチャネル攻撃 — Microsoftは、リモート言語モデルを狙った新たなサイドチャネル攻撃の詳細を公開しました。この攻撃により、暗号化保護があってもネットワークトラフィックを観測できる受動的な攻撃者が、会話のトピックを推測できる可能性があります。「インターネットサービスプロバイダ層の国家アクターや、ローカルネットワーク上、同じWi-Fiルーターに接続している者が、ユーザーのプロンプトが特定トピックかどうかを推測できる」と同社は述べています。この攻撃は「Whisper Leak」と命名されました。PoCテストでは、Alibaba、DeepSeek、Mistral、Microsoft、OpenAI、xAIの各モデルで98%以上の成功率で会話トピックを推測できることが判明。OpenAI、Mistral、Microsoft、xAIはリスク対策のため緩和策を導入済みです。 Samsungモバイルのゼロデイ脆弱性を悪用しLANDFALL Androidスパイウェアを配布 — Samsung Galaxy Androidデバイスの既に修正済みの脆弱性がゼロデイとして悪用され、「商用グレード」のAndroidスパイウェア「LANDFALL」がイラク、イラン、トルコ、モロッコで標的型攻撃に使われました。CVE-2025-21042（CVSS 8.8）という「libimagecodec.quram.so」コンポーネントのバッファオーバーフローが悪用され、リモート攻撃者が任意コードを実行可能だったとPalo Alto Networks Unit 42は報告。Samsungは2025年4月に修正済み。LANDFALLはインストール・実行されると、マイク録音、位置情報、写真、連絡先、SMS、ファイル、通話履歴などの機密データを収集します。Unit 42によれば、ゼロクリック手法でユーザー操作なしに脆弱性を悪用した可能性があるものの、WhatsAppに未知の脆弱性がある証拠や実際に悪用された証拠は現時点でありません。このスパイウェアはGalaxy S22、S23、S24シリーズおよびZ Fold 4、Z Flip 4を標的に設計されています。関与者や被害者数は不明です。 悪意あるNuGetパッケージに隠されたロジックボム、数年後に発動 — 9つの悪意あるNuGetパッケージが、時限式でペイロードを落としデータベース操作を妨害したり産業制御システムを破壊したりする能力を持つことが判明しました。これらは2023年と2024年に「shanhai666」というユーザーによって公開され、2027年8月や2028年11月など特定の日付以降に悪意コードを実行する設計です。一部のライブラリはSharp7という正規NuGetパッケージの機能拡張を謳っていますが、「Sharp7Extend」はインストール直後から悪意ロジックを発動し、2028年6月6日まで継続します。 Microsoft Teamsの脆弱性、なりすましリスクを露呈 — Microsoft Teamsに存在した4つの脆弱性（現在は修正済み）は、ユーザーを深刻ななりすましやソーシャルエンジニアリング攻撃にさらしていました。Check Pointによれば、攻撃者は会話を操作したり、同僚になりすましたり、通知を悪用できるとのこと。メッセージ内容を「編集済み」ラベルや送信者IDを残さず変更したり、通知の送信者を偽装して信頼できる人物からのように見せかけて悪意あるメッセージを開かせることが可能でした。また、プライベートチャットの表示名や通話通知の表示名を任意に変更し、発信者IDを偽装することもできました。これらの問題はMicrosoftにより修正済みです。 3大グループが連携、サイバー犯罪の新たな同盟 — Scattered LAPSUS$ Hunters（SLH）は、Scattered Spider、LAPSUS$、ShinyHuntersの合併によって結成され、2025年8月8日以降、少なくとも16のTelegramチャンネルを渡り歩いてきました。同グループは恐喝サービスを提供し、「Sh1nySp1d3r」ランサムウェアもテスト中。単なる流動的な協力関係ではなく、3つの著名な犯罪クラスターの作戦戦術を統合した協調的な同盟であり、恐喝、リクルート、オーディエンスコントロールを共通の旗印のもとで展開しています。ブランドの評判資本を結集し、強力で統一された脅威アイデンティティを創出。The Comという伝統的に緩やかなネットワーク内で初の本格的な同盟と見なされ、経済的動機の攻撃における力の増幅装置となっています。

YouTube video by Riverboat Jack

YouTube video by Riverboat Jack

APT groups from China, Russia, Iran & North Korea target construction firms, stealing RDP, SSH logins & project data via phishing.

RDP Monday: Flinty Foreword: In Praise of Pebbles and Pretend Once upon a sun-dappled afternoon, probably around snack time, I was the proud curator of Pebbleville, a thriving metropolis of shiny, speckled citizens who lived happily inside a shoebox. Admission was free, imagination compulsory. Each rock had a name, a story, and, quite possibly, a secret life of its own. Years later, I traded my rock-collecting badge for adult responsibilities, bills, coffee, and Wi-Fi passwords. But every now and then, a smooth stone on the sidewalk would wink at me, and I’d hear the faint giggle of a certain Flintwick, the mischievous spirit who once made my salt shakers dance.

Explore this week’s top cyber stories: stealthy virtual machine attacks, AI side-channel leaks, spyware on Samsung phones, and new ransomware threats.

Explore this week’s top cyber stories: stealthy virtual machine attacks, AI side-channel leaks, spyware on Samsung phones, and new ransomware threats.

Cyber threats didn’t slow down last week—and attackers are getting smarter. We’re seeing malware hidden in virtual machines, side-channel leaks exposing AI chats, and spyware quietly targeting Android devices in the wild. But that’s just the surface. From sleeper logic bombs to a fresh alliance between major threat groups, this week’s roundup highlights a clear shift: cybercrime is evolving fast

Els republicans defensen que és “de sentit comú” que aquells que tenen més habitatges “paguin més”, com passa amb la renda i adverteix que no s’entendria que partits catalans votin en contra de projec...

⚡ Weekly Recap: Hyper-V Malware, Malicious AI Bots, RDP Exploits, WhatsApp Lockdown and More Cyber threats didn't slow down last week—and attackers are getting smarter. We're seeing malware hidden in virtual machines, side-channel leaks exposing AI chats, and spyware quietly targeting Android devices in the wild. But that's just the surface. From sleeper logic bombs to a fresh alliance between major threat groups, this week's roundup highlights a clear shift: cybercrime is evolving fast, and the lines between technical stealth and strategic coordination are blurring. It's worth your time. Every story here is about real risks that your team needs to know about right now. Read the whole recap. ⚡ Threat of the Week Curly COMrades Abuses Hyper-V to Hide Malware in Linux VMs — Curly COMrades, a threat actor supporting Russia's geopolitical interests, has been observed abusing Microsoft's Hyper-V hypervisor in compromised Windows machines to create a hid..