USBは死んでいない。だが本当の戦いは、入られた後に始まる

古典的な手口が、現代的な中身で戻ってきた

USB メモリと LNK ショートカット。いかにも古い攻撃に見える。だが中身はかなり現代的だった。

Microsoft の Defender Security Research Team が 2026年6月17日に公開したブログで詳説した CryptoBandits（Defender 検知名 Trojan:Win32/CryptoBandits.A）は、2026年2月から稼働している暗号資産クリッパー型のマルウェアだ。

入口は古典そのもの。

• USB 内の .doc .xlsx .pdf などの文書を隠し、同名の .lnk ショートカットを置く。
• ユーザーは普通の文書を開いたつもりで、実際にはマルウェアを実行する。
• 感染後はスケジュールタスクで新しい USB の接続を監視し、同じ手口で再拡散する。

ユーザーは「文書を開いた」としか思っていない。これが厄介な点だ。

クリッパーでは終わらない

感染端末では、ステイラーが動き出す。

• 約 500ms ごとにクリップボードを監視し、暗号資産のアドレス、シードフレーズ、秘密鍵を盗む。
• コピーされた送金先アドレスを、攻撃者のアドレスに差し替える。しかも攻撃者アドレスは、先頭・末尾の文字を本物に似せてあり、ぱっと見では気づきにくい。
• 10秒ごとに画面のスクリーンショットを 5 枚撮り、curl で外部へ送信する。

ここまでは、典型的な clipper の挙動だ。怖いのはその先にある。

本当に怖いのは、C2 と EVAL

CryptoBandits は、ポータブルな Tor クライアント（ugate.exe にリネームされている）を同梱し、localhost:9050 の SOCKS5 プロキシ経由で .onion の C2（指令サーバ）に接続する。固定 IP やドメインを使わないため、ファイアウォールでの遮断やテイクダウンが難しい。

そして決定的なのが、C2 から EVAL 応答が返ると、攻撃者が送ったコードをその場で評価・実行できるという点だ。

つまりこれは、単なる「暗号資産泥棒」ではない。クリップボード監視、スクリーンショット送信、Tor 経由 C2、そして実行時コード実行を備えた軽量バックドアになっている。

まず、入口で止める

まず最初に止めることは重要だ。Microsoft も予防策を最優先で挙げている。

• リムーバブルメディアの AutoRun / AutoPlay を無効化する。
• グループポリシーで、USB からの .lnk 実行をブロックする。
• wscript.exe / cscript.exe などの Windows Script Host を制限する。

古典的な突破を許してはいけない。これは前提だ。だが、入口で止める前提だけで設計すると、入られた後の守備が空白になる。

守るべきは「入口」ではなく「攻撃チェーン全体」

今回の入口は、たしかに古典的だ。USB メモリ、LNK ファイル、ユーザー操作。ここだけを見ると、「USB を禁止すればよい」「入口対策を強化すればよい」という話に見える。

だが、CryptoBandits の怖さはそこではない。

本質は、入口の古さではなく、その後の展開の速さにある。USB/LNK で侵入し、軽量なローダーを動かし、Tor 経由で C2 に接続し、EVAL で次の命令を受け取る。入口は古典的でも、侵入後の制御は現代的だ。

だから、USB だけを見ていても足りない。LNK だけを検知しても足りない。入口で止められなかった場合に、どのプロセスが起動し、どこへ通信し、何を読み込み、次に何を実行しようとしているのか。その一連の挙動をチェーンとして見る必要がある。

つまり、必要なのは単なるシグネチャ追加ではない。相手の攻撃パターンを研究することだ。どこから入り、どう権限を広げ、どこで通信し、どの段階で検知できるのか。攻撃者の手順を知らなければ、防御側は点でしか守れない。

畳み掛ける攻撃に対応するには、点ではなく面で守るしかない。

では、具体的に何を見るか

CryptoBandits を例にとれば、見るべき「つながり」はこうなる。

Microsoft 自身も、静的シグネチャより挙動ベースの検知を優先するよう推奨している。予防と検知の両方を積み重ねていて、単一の点に賭けてはいない。

相手を研究するチームしか、生き残れない

これは、スポーツの守備とまったく同じだ。サッカーでもラグビーでも、相手の攻撃パターンを研究することは重要だ。いや、研究しているチームしか生き残れない。守備の構えは、相手の攻め筋を知って初めて意味を持つ。

面で見るには、どんなチェーンがあるか知らねば網は張れない。

我々は、もっと相手のことを知るべきだ。

その研究を支える手段の一つ

Aikido の Intel は、既知の CVE だけでなく、Aikido AI Pentest などで見つかった新しい攻撃パターンも公開している。誰でも閲覧できる。

このサイトでも、毎日その Intel をサマライズして日次レポートとして上げている。「これを入れれば防げる」という話ではない。いま何が出回っているかを掴み、自分たちのハンティング仮説を最新に保つための材料として使ってほしい。

最後に

どういうレポートにすべきかは、まだ試行錯誤している。こういう切り口が見たい、ここはこうしてほしい、というアイデアがあれば、ぜひ意見をもらえると嬉しい。

守りは、点ではなく面で。そして面を張り続けるために、相手を知り続ける。