Windows Explorerを介したRATマルウェアが暗号資産を危険にさらす

Cofense Intelligenceは、脅威アクターがWindowsファイルエクスプローラーとWebDAVサーバーを悪用してブラウザのセキュリティを回避し、企業ターゲットにリモートアクセストロイの木馬（RAT）を押し込む方法を明らかにしています。

脅威アクターは、ウェブブラウザを一切経由せずにマルウェアを企業のマシンに直接押し込む方法を見つけました。Cofense Intelligenceは2026年2月25日に、WindowsファイルエクスプローラーのリモートWebDAVサーバーへの接続機能を武器にした活動を公開しました。この戦術は、標準のブラウザダウンロード警告を完全に回避します。ほとんどのユーザーは、ファイルエクスプローラーがインターネットサーバーにアクセスできることを知らないのです。

WebDAVは古いHTTPベースのファイル管理プロトコルです。現在ではほとんど使われていませんが、Windowsは2023年11月に非推奨としたにもかかわらず、依然としてファイルエクスプローラー内でネイティブにサポートしています。その非推奨から完全削除までの間に、攻撃者が踏み込む隙が生まれています。

フォルダは本当にフォルダではない

Cofense Intelligenceの公開レポートによると、このキャンペーンの規模は2024年2月に初めて現れ、その後2024年9月に急激に増加しました。それ以降も活動は続いています。攻撃は鈍化していません。この戦術に関連するすべてのアクティブ脅威レポートの87％は、複数のリモートアクセストロイの木馬（RAT）を最終ペイロードとして配信しています。最も頻繁に登場するのはXWorm RAT、Async RAT、DcRATです。

必読： 暗号セキュリティ侵害：1月のハッキング総額8600万ドル、フィッシングの急増

攻撃の仕組み

被害者はフィッシングメールを受け取ります。多くはドイツ語の請求書に偽装されています。メールにはURLショートカットファイル（.url）またはLNKショートカットファイル（.lnk）が添付されています。どちらも静かにファイルエクスプローラー内でWebDAV接続を開くことができます。ユーザーにはローカルフォルダのように見えますが、実際はそうではありません。

この攻撃の特に危険な点は、その後に続く連鎖です。スクリプトは別のWebDAVサーバーから追加のスクリプトをダウンロードします。正規のファイルとマルウェアが混在し、検知を曖昧にします。RATが到達する頃には、配信経路は複数の難読化層を通過しています。ブラウザのダウンロードをスキャンするセキュリティツールは、この一連の流れを見逃します。

Cofenseのレポートによると、影響を受けたキャンペーンの50％はドイツ語で行われており、英語のキャンペーンは30％を占めています。イタリア語とスペイン語も残りを構成しています。この分割は、ヨーロッパの企業メールアカウントを主なターゲット層として示しています。

あなたも知るべき： npm Wormが暗号鍵を盗み、19のパッケージを標的に

攻撃者はCloudflare Tunnelを利用して攻撃を支えています。これらの戦術に関連するすべてのアクティブ脅威は、trycloudflare[.]comの無料デモアカウントを使って悪意のあるWebDAVサーバーをホストしています。Cloudflareのインフラが被害者の接続をルーティングし、最初の検査では正当なトラフィックに見えます。デモアカウントは短期間で削除されるため、攻撃が活発になるとすぐに追跡が困難になります。

暗号資産保有者が直面する深刻なリスク

ここから危険が増します。XWormやAsync RATのようなRATは、感染したマシンへの持続的なリモートアクセスを可能にします。これにより、クリップボードの内容、ブラウザセッション、保存されたパスワード、暗号ウォレットのファイルなどがすべてアクセス可能になります。クリップボードの乗っ取りは、すでに数億ドル規模の暗号盗難に関連付けられており、RATが稼働していれば非常に簡単です。

セキュリティ追跡データによると、2026年1月のフィッシング被害額は3億ドルを超え、同期間のプロトコルハッキング被害額を大きく上回っています。Cofenseが記録した攻撃手法は、その流れに直接つながっています。WebDAVを介して金融チームの社員のマシンにRATを仕込むことは、単なる企業ITの問題ではなく、ウォレットの資金流出や鍵の盗難に直結します。

あなたも注目： 脅威の増加に伴い、2026年の暗号ウォレットのセキュリティが最優先事項に

組織が今すぐ取るべき対策

Cofenseのレポートは、特にCloudflare Tunnelのデモインスタンスへのネットワークトラフィックを監視することを推奨しています。EDRツールの行動分析機能を使い、リモートサーバーにアクセスするURLや.LNKファイルを検出すべきです。より根本的な対策は、ユーザー教育です。ほとんどの人は、ファイルエクスプローラーのアドレスバーがブラウザのように機能していることを知らないのです。

疑わしいURLを確認するのと同じ方法でアドレスバーを確認することが第一の防御ラインです。FTPやSMBを通じた類似の悪用も可能です。これらのプロトコルは企業内で広く使われており、外部サーバーにアクセスできます。Cofenseが記録している攻撃対象はWebDAVだけにとどまりません。

関連情報： 2025年のハッキングとセキュリティインシデント：暗号の弱点を露呈した一年

詳細な技術解説やIOC表、特定のアクティブ脅威レポートに関連付けられたCloudflare Tunnelドメイン例は、cofense.comで公開されているCofense Intelligenceレポートに掲載されています。