December 6, 2023

How Darktrace Triumphed Over MyKings Botnet

Darktrace has provided full visibility over the MyKings botnet kill chain from the beginning of its infections to the eventual cryptocurrency mining activity.

Written by

Oluwatosin Aturaka

Analyst Team Lead, Cambridge

Inside the SOC

Darktrace cyber analysts are world-class experts in threat intelligence, threat hunting and incident response, and provide 24/7 SOC support to thousands of Darktrace customers around the globe. Inside the SOC is exclusively authored by these experts, providing analysis of cyber incidents and threat trends, based on real-world experience in the field.

Written by

Oluwatosin Aturaka

Analyst Team Lead, Cambridge

Dec 2023

Botnets: A persistent cyber threat

Since their appearance in the wild over three decades ago, botnets have consistently been the attack vector of choice for many threat actors. The most prevalent of these attack vectors are distributed denial of service (DDoS) and phishing campaigns. Their persistent nature means that even if a compromised device in identified, attackers can continue to operate by using the additional compromised devices they will likely have on the target network. Similarly, command and control (C2) infrastructure can easily be restructured between infected systems, making it increasingly difficult to remove the infection.

MyKings Botnet

One of the most prevalent and sophisticated examples in recent years is the MyKings botnet, also known as Smominru or DarkCloud. Darktrace has observed numerous cases of MyKings botnet compromises across multiple customer environments in several different industries as far back as August 2022. The diverse tactics, techniques, and procedures (TTPs) and sophisticated kill chains employed by MyKings botnet may prove a challenge to traditional rule and signature-based detections.

However, Darktrace’s anomaly-centric approach enabled it to successfully detect a wide-range of indicators of compromise (IoCs) related to the MyKings botnet and bring immediate awareness to customer security teams, as it demonstrated on the network of multiple customers between March and August 2023.

Background on MyKings Botnet

MyKings has been active and spreading steadily since 2016 resulting in over 520,000 infections worldwide.^[1] Although verified attribution of the botnet remains elusive, the variety of targets and prevalence of crypto-mining software on affected devices suggests the threat group behind the malware is financially motivated. The operators behind MyKings appear to be highly opportunistic, with attacks lacking an obvious specific target industry. Across Darktrace’s customer base, the organizations affected were representative of multiple industries such as entertainment, mining, education, information technology, health, and transportation.

Given its longevity, the MyKings botnet has unsurprisingly evolved since its first appearance years ago. Initial analyses of the botnet showed that the primary crypto-related activity on infected devices was the installation of Monero-mining software. However, in 2019 researchers discovered a new module within the MyKings malware that enabled clipboard-jacking, whereby the malware replaces a user's copied cryptowallet address with the operator's own wallet address in order to siphon funds.^[2]

Similar to other botnets such as the Outlaw crypto-miner, the MyKings botnet can also kill running processes of unrelated malware on the compromised hosts that may have resulted from prior infection.^[3] MyKings has also developed a comprehensive set of persistence techniques, including: the deployment of bootkits, initiating the botnet immediately after a system reboot, configuring Registry run keys, and generating multiple Scheduled Tasks and WMI listeners.^[4] MyKings have also been observed rotating tools and payloads over time to propagate the botnet. For example, some operators have been observed utilizing PCShare, an open-source remote access trojan (RAT) customized to conduct C2 services, execute commands, and download mining software^[5].

Darktrace Coverage

Across observed customer networks between March and August 2023, Darktrace identified the MyKings botnet primarily targeting Windows-based servers that supports services like MySQL, MS-SQL, Telnet, SSH, IPC, WMI, and Remote Desktop (RDP). In the initial phase of the attack, the botnet would initiate a variety of attacks against a target including brute-forcing and exploitation of unpatched vulnerabilities on exposed servers. The botnet delivers a variety of payloads to the compromised systems including worm downloaders, trojans, executable files and scripts.

This pattern of activity was detected across the network of one particular Darktrace customer in the education sector in early March 2023. Unfortunately, this customer did not have Darktrace RESPOND™ deployed on their network at the time of the attack, meaning the MyKings botnet was able to move through the cyber kill chain ultimately achieving its goal, which in this case was mining cryptocurrency.

Initial Access

On March 6, Darktrace observed an internet-facing SQL server receiving an unusually large number of incoming MySQL connections from the rare external endpoint 171.91.76[.]31 via port 1433. While it is not possible to confirm whether these suspicious connections represented the exact starting point of the infection, such a sudden influx of SQL connection from a rare external endpoint could be indicative of a malicious attempt to exploit vulnerabilities in the server's SQL database or perform password brute-forcing to gain unauthorized access. Given that MyKings typically spreads primarily through such targeting of internet-exposed devices, the pattern of activity is consistent with potential initial access by MyKings.^[6]

Initial Command and Control

The device then proceeded to initiate a series of repeated HTTP connections between March 6 and March 10^, to the domain www[.]back0314[.]ru (107.148.239[.]111). These connections included HTTP GET requests featuring URIs such as ‘/back.txt', suggesting potential beaconing and C2 communication. The device continued this connectivity to the external host over the course of four days, primarily utilizing destination ports 80, and 6666. While port 80 is commonly utilized for HTTP connections, port 6666 is a non-standard port for the protocol. Such connectivity over non-standard ports can indicate potential detection evasion and obfuscation tactics by the threat actors. During this time, the device also initiated repeated connections to additional malicious external endpoints with seemingly algorithmically generated hostnames such as pc.pc0416[.]xyz.

Darktrace UI image — Figure 1: Model breach showing details of the malicious domain generation algorithm (DGA) connections.

Tool Transfer

While this beaconing activity was taking place, the affected device also began to receive potential payloads from unusual external endpoints. On April 29, the device made an HTTP GET request for “/power.txt” to the endpoint 192.236.160[.]237, which was later discovered to have multiple open-source intelligence (OSINT) links to malware. Power.txt is a shellcode written in PowerShell which is downloaded and executed with the purpose of disabling Windows Defenders related functions.^[7] After the initial script was downloaded (and likely executed), Darktrace went on to detect the device making a series of additional GET requests for several varying compressed and executable files. For example, the device made HTTP requests for '/pld/cmd.txt' to the external endpoint 104.233.224[.]173. In response the external server provided numerous files, including ‘u.exe’, and ‘upsup4.exe’ for download, both of which share file names with previously identified MyKings payloads.

MyKings deploys a diverse array of payloads to expand the botnet and secure a firm position within a compromised system. This multi-faceted approach may render conventional security measures less effective due to the intricacies of and variety of payloads involved in compromises. Darktrace, however, does not rely on static or outdated lists of IoCs in order to detect malicious activity. Instead, DETECT’s Self-Learning AI allows it to identify emerging compromise activity by recognizing the subtle deviations in an affected device’s behavior that could indicate it has fallen into the hands of malicious actors.

Figure 2: External site summary of the endpoint 103.145.106[.]242 showing the rarity of connectivity to the external host.

Achieving Objectives – Crypto-Mining

Several weeks after the initial payloads were delivered and beaconing commenced, Darktrace finally detected the initiation of crypto-mining operations. On May 27, the originally compromised server connected to the rare domain other.xmrpool[.]ru over port 1081. As seen in the domain name, this endpoint appears to be affiliated with pool mining activity and the domain has various OSINT affiliations with the cryptocurrency Monero coin. During this connection, the host was observed passing Monero credentials, activity which parallels similar mining operations observed on other customer networks that had been compromised by the MyKings botnet.

Although mining activity may not pose an immediate or urgent concern for security unauthorized cryptomining on devices can result in detrimental consequences, such as compromised hardware integrity, elevated energy costs, and reduced productivity, and even potential involvement in money laundering.

Figure 3: Event breach log showing details of the connection to the other.xmrpool[.]ru endpoint associated with cryptocurrency mining activity.

Conclusion

Detecting future iterations of the MyKings botnet will likely demand a shift away from an overreliance on traditional rules and signatures and lists of “known bads”, instead requiring organizations to employ AI-driven technology that can identify suspicious activity that represents a deviation from previously established patterns of life.

Despite the diverse range of payloads, malicious endpoints, and intricate activities that constitute a typical MyKing botnet compromise, Darktrace was able successfully detect multiple critical phases within the MyKings kill chain. Given the evolving nature of the MyKings botnet, it is highly probable the botnet will continue to expand and adapt, leveraging new tactics and technologies. By adopting Darktrace’s product of suites, including Darktrace DETECT, organizations are well-positioned to identify these evolving threats as soon as they emerge and, when coupled with the autonomous response technology of Darktrace RESPOND, threats like the MyKings botnet can be stopped in their tracks before they can achieve their ultimate goals.

Credit to: Oluwatosin Aturaka, Analyst Team Lead, Cambridge, Adam Potter, Cyber Analyst

Appendix

IoC Table

IoC - Type - Description + Confidence

162.216.150[.]108- IP - C2 Infrastructure

103.145.106[.]242 - IP - C2 Infrastructure

137.175.56[.]104 - IP - C2 Infrastructure

138.197.152[.]201 - IP - C2 Infrastructure

139.59.74[.]135 - IP - C2 Infrastructure

pc.pc0416[.]xyz - Domain - C2 Infrastructure (DGA)

other.xmrpool[.]ru - Domain - Cryptomining Endpoint

xmrpool[.]ru - Domain - Cryptomining Endpoint

103.145.106[.]55 - IP - Cryptomining Endpoint

ntuser[.]rar - Zipped File - Payload

/xmr1025[.]rar - Zipped File - Payload

/20201117[.]rar - Zipped File - Payload

wmi[.]txt - File - Payload

u[.]exe - Executable File - Payload

back[.]txt - File - Payload

upsupx2[.]exe - Executable File - Payload

cmd[.]txt - File - Payload

power[.]txt - File - Payload

ups[.]html - File - Payload

xmr1025.rar - Zipped File - Payload

171.91.76[.]31- IP - Possible Initial Compromise Endpoint

www[.]back0314[.]ru - Domain - Probable C2 Infrastructure

107.148.239[.]111 - IP - Probable C2 Infrastructure

194.67.71[.]99 - IP- Probable C2 Infrastructure

Darktrace DETECT Model Breaches

Device / Initial Breach Chain Compromise
Anomalous File / Masqueraded File Transfer (x37)
Compromise / Large DNS Volume for Suspicious Domain
Compromise / Fast Beaconing to DGA
Device / Large Number of Model Breaches
Anomalous File / Multiple EXE from Rare External Locations (x30)
Compromise / Beacon for 4 Days (x2)
Anomalous Server Activity / New User Agent from Internet Facing System
Anomalous Connection / New User Agent to IP Without Hostname
Anomalous Server Activity / New Internet Facing System
Anomalous File / EXE from Rare External Location (x37)
Device / Large Number of Connections to New Endpoints
Anomalous Server Activity / Server Activity on New Non-Standard Port (x3)
Device / Threat Indicator (x3)
Unusual Activity / Unusual External Activity
Compromise / Crypto Currency Mining Activity (x37)
Compliance / Internet Facing SQL Server
Device / Anomalous Scripts Download Followed By Additional Packages
Device / New User Agent

MITRE ATT&CK Mapping

ATT&CK Technique - Technique ID

Reconnaissance – T1595.002 Vulnerability Scanning

Resource Development – T1608 Stage Capabilities

Resource Development – T1588.001 Malware

Initial Access – T1190 Exploit Public-Facing Application

Command and Control – T15568.002 Domain Generated Algorithms

Command and Control – T1571 Non-Standard Port

Execution – T1047 Windows Management Instrumentation

Execution – T1059.001 Command and Scripting Interpreter

Persistence – T1542.003 Pre-OS Boot

Impact – T1496 Resource Hijacking

References

^[1] https://www.binarydefense.com/resources/threat-watch/mykings-botnet-is-growing-and-remains-under-the-radar/

^[2] https://therecord.media/a-malware-botnet-has-made-more-than-24-7-million-since-2019

^[3] https://www.darktrace.com/blog/outlaw-returns-uncovering-returning-features-and-new-tactics

^[4] https://www.sophos.com/en-us/medialibrary/pdfs/technical-papers/sophoslabs-uncut-mykings-report.pdf

^[5] https://www.antiy.com/response/20190822.html

^[6] https://ethicaldebuggers.com/mykings-botnet/

^[7] https://ethicaldebuggers.com/mykings-botnet/

執筆者

Oluwatosin Aturaka

Analyst Team Lead, Cambridge

Inside the SOC

Written by

Oluwatosin Aturaka

Analyst Team Lead, Cambridge

Senior Director of Product

Watch the NIS2 Webinar

Blog

AI

August 19, 2026

When AI Becomes the Lure: A Fake Gemini Installer Delivers Vidar

Key takeaways

‍

Darktrace observed a customer download a fake Google Gemini installer hosted on Google Colab, resulting in the execution of the Vidar information stealer.
Darktrace identified the compromise through behavioral indicators, including suspicious process activity, anomalous network communications, and indicators of credential theft, before autonomously containing the threat.
The incident highlights how threat actors are increasingly exploiting trusted platforms and a growing interest in AI tools to distribute malware through seemingly legitimate software acquisition workflows.

‍

The Growing Abuse of Generative AI

As organizations are increasingly adopting generative AI tools into their daily workflows, attackers are adapting their distribution methods accordingly too. As part of their day-to-day work, users are now searching for AI assistants, programming tools, browser extensions, desktop applications, and productivity integrations.

Recent reports have highlighted campaigns that use fake AI software and AI-related installers to distribute malware and steal credentials [1]. Researchers have documented campaigns that exploit fake AI-themed websites and services to distribute information stealers and backdoors [2]. Security researchers have also observed attackers disguising malware as legitimate installers for AI software to increase the likelihood of victim interaction and execution [3].

In July 2026, Darktrace observed one such case within a customer environment in the Europe, Middle East and Africa (EMEA) region, where attackers used a fake generative AI installer to deliver the prolific information stealer Vidar. This incident highlights how threat actors are exploiting interest in AI services to distribute established malware using increasingly convincing social engineering techniques.

How a Fake Gemini Installer Delivered Vidar

Initial Access: From Search Result to Malware Download

Unlike many malware campaigns that begin with a phishing email, this activity appears to have originated from a user searching for and downloading software.

Darktrace first observed unusual activity on the customer network after a suspicious executable file was launched from a user’s Download folder. Further investigation revealed that the file purported to be a Google Gemini installer and was named “Download_Google_Gemini_For_Windows.exe”.

During the initial analysis, it was noted that the top search result for the suspicious filename associated pointed to a file hosted on Google Colab, a cloud-based Jupyter notebook platform, commonly used by developers, researchers, and data scientists to run code and machine learning workloads through a web browser. By leveraging another trusted Google platform, the attacker increased the likelihood that users would perceive the download as legitimate, making the lure more convincing to those searching for Gemini-related software.

‍

Figure 1: The Google Colab page containing a download prompt for the fake Google Gemini installer.

Further investigation of the Google Colab page revealed that the download prompt redirected users to a secondary site, hxxps://micronsoftwares[.]com, which posed as a "Windows Software Hub" download page and offered the fake Gemini installer for download.

‍

Figure 2: The secondary website posing as a "Windows Software Hub" download page, which likely hosted the fake Gemini installer.

While the investigation did not uncover any HTTP or file-download telemetry data that conclusively identified the download source, SSL communication sessions with Google Colab were detected immediately before the suspicious file was executed. The timing of these connections suggests that the user interacted with the Colab resource before being redirected to the secondary site from which the executable was downloaded.

‍

The user was not simply tricked into opening an email attachment; instead, the attacker embedded malicious content into a process many users would consider entirely legitimate: searching for and downloading software associated with a trusted platform.

‍

Weaponizing Trusted Platforms

At the time of review (July 15, 2026), Darktrace's Threat Research team confirmed that the Google Colab page was still active and prompting users to download a ZIP archive containing the binary file.

‍

The archive also appeared to contain a README file instructing users to run the binary file with administrator privileges and add it to their antivirus software’s exception lists. These instructions suggest that the campaign relied heavily on social engineering, convincing users to take actions that would facilitate malware execution and potentially bypass security checks.

The use of a legitimate platform also complicates the user’s decision-making. Downloads associated with a trusted service are often perceived as less suspicious than those hosted on unfamiliar domains. When combined with the branding of a widely used AI tool, the lure becomes even more convincing.

Malware Analysis

Darktrace’s Threat Research team identified the executable file as the information-stealing malware Vidar. Analysis revealed that the binary file was a newer Go-compiled variant that communicated with Telegram-based infrastructure. Darktrace’s researchers also identified dtm[.]kijangturbo88[.]top as a command-and-control (C2) endpoint associated with the activity. While the malware itself was not novel, the lure and delivery mechanism was.

For a deeper look at the information stealer, see Darktrace’s 2023 analysis of Vidar.

‍

**Figure 3:** Darktrace’s detection of the unusual outbound connection associated with the fake Gemini installer.

Shortly after execution, the process established communications with the external IP address 91.98.98[.]86 via port 443, directly linking the executable to suspicious network activity observed on the device. Subsequent open-source intelligence (OSINT) analysis of the revealed multiple malicious associations [5].

Additional Darktrace detections included unusual SSL activity from the affected device. Analysis of related SSL telemetry identified 91.98.111[.]49 as additional infrastructure associated with the activity [6].

Subsequent alerts from the customer's Microsoft Defender for Endpoint integration later confirmed activity consistent with the theft of browser credentials and other sensitive data from the affected endpoint.

Taken together, these detections provided a clear picture of the attack, from the execution of a suspicious file and unusual network connections to indicators of C2 activity and credential theft.

‍

**Figure 4:** Darktrace’s detection of anomalous activity following the execution of the fake Gemini installer, seen in the Model Alert Event Log.

Darktrace's Autonomous Response

Following the detection, Darktrace’s Autonomous Response took immediate containment action, including blocking communication with suspicious external infrastructure, including 91.98.98[.]86, and quarantining the compromised device.

Despite the apparent legitimacy of the activity, with the installer hosted on a trusted platform and resembling a routine software download, Darktrace was able to detect and contain the attack because the device's behavior deviated from its normal pattern.

‍

**Figure 5:** Automated containment actions implemented by Darktrace's Autonomous Response following the detection of activity associated with the fake Gemini installer.

Conclusion

This investigation highlights how threat actors continue to adapt established malware delivery techniques to emerging technology trends. While the malware itself was not new, the distribution method was. By disguising Vidar as a Google Gemini installer and hosting the malicious content on a trusted platform, the attack aligned its lure with a growing behavioral trend: users actively searching for AI tools and services as part of their day-to-day work.

Although fake installers are not a new phenomenon, the rapid rise of generative AI has created new opportunities for threat actors. Rather than relying solely on traditional delivery methods, attackers can now target users who are actively searching for AI applications. As AI adoption continues to accelerate across enterprise environments, organizations should remain alert to campaigns that exploit this interest through fake applications, malicious websites, manipulated search results, the misuse of trusted platforms, and AI-themed social engineering.

Credit to Rushanth Ramanathan (Cyber Analyst) Joanna Ng (Detection Engineer)

Edited by Ryan Traill (Content Manager)

Appendices

Darktrace Model Detections

Security Integration / C2 Activity and Integration Detection
Endpoint / New Suspicious Executable Launched
Endpoint / Process Connection / Unusual Connection from New Process
Anomalous Connection / Rare External SSL Self-Signed
Security Integration / High Severity Integration Detection
Antigena / Network / Significant Anomaly / Antigena Significant Security Integration and Network Activity Block

•Antigena / Network / Significant Anomaly / Antigena Significant Anomaly from Client Block

‍

List of Indicators of Compromise (IoCs)

‍

IoC	Type	Description
`Download_Google_Gemini_For_Windows.exe`	File	Fake Gemini-themed installer observed during the investigation.
`GoogleAppInstaller.exe`	File	Related executable identified through endpoint telemetry.
`91.98.98[.]86`	IP Address	External destination contacted by the malicious executable.
`91.98.111[.]49`	IP Address	Related infrastructure identified through SSL certificate pivoting.
`dtm[.]kijangturbo88[.]top`	Domain	Command-and-control endpoint identified during malware analysis.
`1e13c2c9eac72daf63fd00a9946878949e159ae6ec51b54ec64f942d79d61913`	SHA256	Malware sample associated with the fake Gemini installer.

MITRE ATT@CK Mapping

‍

MITRE ATT&CK Mapping	Tactic	Technique
Initial Access	`T1204`	User Execution
Execution	`T1204.002`	User Execution: Malicious File
Defence Evasion	`T1036`	Masquerading
Credential Access	`T1555`	Credentials from Password Stores
Credential Access	`T1555.003`	Credentials from Web Browsers
Command and Control	`T1071`	Application Layer Protocol
Exfiltration	`T1041`	Exfiltration Over C2 Channel

About the author

Rajendra Rushanth

Cyber Analyst

Blog

AI

August 13, 2026

信頼が新たなアタックサーフェスである理由：ダークトレースの2026年度中間脅威アップデート

2026年初頭、ダークトレースのアナリストによって専用に設計されたReact2Shellハニーポットは、その展開から2時間未満で侵害を受けました。この1つのデータをとって見ても2026年前半の脅威ランドスケープのペースを表していると言うことができますが、スピードは1つの側面に過ぎません。

過去6か月間の変化は、従来のマルウェアや脆弱性を中心とした攻撃から、信頼されるアイデンティティ、プラットフォーム、およびインフラの悪用への移行を示しています。多くの組織が広範囲にAIを導入するのに伴い、アイデンティティ、SaaSプラットフォーム、クラウドに対する権限、自動化フレームワーク、および非人間アイデンティティが、攻撃者に好まれる攻撃経路となっています。

攻撃者は、外部から侵入するよりも、防御者やユーザーが信頼するよう条件づけられている関係、サービス、認証済みチャネル内で活動する傾向が高まっています。

2025年と比較して何が変わったか？

2025年には、アイデンティティが新たな境界となり、攻撃者はますます従来のエクスプロイト手法を使うよりも信頼されるアカウント、SaaSプラットフォーム、そしてAIによって可能になった新手の手法を使うようになりました。2026年前半は、この進化の次の段階にあると言えます。アイデンティの悪用は依然として中心的ですが、信頼の問題は今やアカウントをはるかに超えてEメール認証、クラウドに対する権限、ソフトウェアサプライチェーン、AIゲートウェイ、リモート管理ツール、そして非人間アイデンティティにも及んでいます。

Theme	2025 (Mid-Year / Annual)	H1 2026
Identity	Credentials remained the weak link; identity emerged as the new perimeter.	Identity remains the entry point, but trust has become the new attack surface.
Cloud & SaaS	SaaS-targeted ransomware continued to rise.	Cloud and SaaS became the attacker's preferred operating environment.
AI	Large Language Models (LLMs) were suspected of influencing phishing shifts.	LLM-generated malware, compromised AI proxies, and the abuse of AI identities emerged.
Attack Surface Scale & Speed	Exponential growth of Common Vulnerabilities and Exposures (CVEs), with public proof-of-concepts appearing faster.	Cloud and AI adoption expanded the attack surface, while AI accelerated exploitation. One honeypot was compromised in under two hours.
Supply Chain	Legitimate services were increasingly abused.	Trusted maintainers and CI/CD workflows were weaponized.

アイデンティティとEメール：危険にさらされる信頼のシグナル

Eメールは信頼されるアイデンティティへの最も確実なルートであり、攻撃者はノイズを作り出すことよりも品質の向上に投資していることをデータが示しています。2026年前半において、フィッシングEメールの67%がDMARC認証を通過していました。ほとんどのフィッシングの試みに対して、阻止するには認証だけではもはや不十分なのです。フィッシングEメールの25.8%でVIPユーザーが標的となっており、22025年と同様に25%を上回る値ですが、期間全体を通じて上昇傾向にあります。重要な点は、フィッシングの巧妙さが高まり続けていることです：フィッシングEメールの37％が大量のテキストを含んでおり、2025年前半の32％から増加しています。また、39％は新手のソーシャルエンジニアリングテクニックを特徴としており、攻撃者が特定の標的にあわせてさらなるカスタマイズを行っていることを示唆しています。

ダークトレースの顧客に最も幅広く影響を与えている脅威もアイデンティティに焦点を当てたものであり、専用のStealCおよびAMOSインフォスティーラーを使った攻撃がこの半年間に多く見られています。これらのマルウェアの蔓延も、根本的にはアイデンティティの問題です。インフォスティーラーによって収集された認証情報がしばしば最初のアクセスベクトルとして使用され、攻撃チェーンの後の段階で格段に影響の大きい侵害につながります。また、マルウェアの投下には技術的弱点の悪用をほとんど必要としない点が重要です。ユーザー自身の手で悪意あるコードを実行させるClickFixソーシャルエンジニアリング手法は、依然としてよく見られます。最近観測されたある攻撃キャンペーンは17か国のダークトレース顧客で確認され、最も影響を受けたのは米国でした。この侵害はソフトウェアの欠陥から始まったものではなく、信頼されるユーザーが信頼されるアクションを実行したことが端緒となりました。

サプライチェーン：信頼が大規模に武器化される

3月と4月には共通の教訓が確認されました。それは信頼がサプライチェーン脆弱性となったということです。Axiosの侵害では幅広く使用されているメンテナーへの信頼が悪用され、Trivyキャンペーンは信頼されるCI/CDインフラ、リリースアーティファクト、およびコンテナイメージを利用して、正当な開発ワークフローに悪意あるコードを押し込みました。

これを最もはっきりと示した事例は、2月から3月にかけて観測されたキャンペーンです。多数のデバイスがHola VPNを使用している間に悪意のあるペイロードをダウンロードし、その後、Holaの配信パイプラインの侵害に関連していることが判明しました。ダークトレースの脅威調査チームは、公開アドバイザリがリリースされる前に、複数の顧客において繰り返し発生している異常な動作から、この侵害に関連する活動を特定しました。

最近では、攻撃者が正当なブロックチェーンインフラを悪用して、AMOSやPhexia等のインフォスティーラーを投下しているケースが見られます。セキュリティリソースが限られているユーザーによく使用されている一般的なVPN等のツールは、正当なC2インフラと組み合わせることで、攻撃者がはるかに広範な被害者層に到達することを可能にする一方、防御側は関連するエンドポイントを単純にブロックすることはできないため、やっかいな問題になります。

防御者にとっての課題は、もはや悪意のあるインフラを特定することではなく、信頼されるインフラが悪意のある動作を始めたときにそれを認識できるかどうかということです。

クラウドとSaaS：標的から作戦領域へ

5月から6月には、デバイス登録、クラウドデータ窃取、SaaS悪用、RDPの拡大、リモート管理ツール関連の活動が見られ、攻撃者がクラウドやSaaSを単なる標的としてではなく、むしろ好ましい作戦環境としてますます認識していることが示唆されました。

ダークトレース顧客でのある事例では、1つの侵害されたSaaSアカウントがEメール、SaaS、ネットワークレイヤーにわたる活動を引き起こし、これには受信トレイルールの変更、フィッシングの拡散、疑わしいインフラへの接続が含まれていました。これらの兆候のいずれも単独では決定的とは言えませんでしたが、総合すると明らかに侵入を示していました。これらの環境において、攻撃者はますます信頼管理をを回避する必要がなくなっています。信頼は、侵害されたアイデンティティ、委任されたアクセス権、および正当な管理ツールを通じて引き継ぐことができるからです。これは、2025年に見られたSaaSを標的としたランサムウェアの傾向の自然な進化であると言えます。ますます多くのケースにおいて、ビジネスが運営されるのと同じプラットフォームが、敵対者が作戦を展開するプラットフォームとなっています。

AI：攻撃の加速装置でありアタックサーフェス、そして信頼される、しかしリスクの高いアクター

信頼がアタックサーフェスなら、AIはそれが最も急激に拡大している領域であると言えます。ダークトレースの顧客基盤全体において、2026年前半にAIサービスへの接続は平均13％増加し、接続数は1600万回以上、標準的な組織は7つの異なるAIプロバイダーとやり取りするようになっています。そしてAIはもはや企業のごく一部ではありません。日々の業務に組み込まれています。この変化が3つの問題を生み出しましたが、これらはすべて2026年前半にダークトレースによって観測されています。

1. 攻撃倍増装置としてのAI

ダークトレースは、AIによって生成されたReact2Shellを悪用するマルウェアを特定しました。これは攻撃者がLLMを使用して有効なエクスプロイトコードを生成し大規模に展開したものです。脅威ランドスケープ全体で見ても同様の活動が増えており、効果的な攻撃作戦への参入障壁が崩れつつあることを示唆しています。最近のJadePuffer事例にも見られるように、エージェント型脅威アクターがインターネットに接続されたサーバーの脆弱性をエクスプロイトし、その後完全に自動化されたランサムウェア攻撃が開始されており、AIは脆弱性の公開から実際のエクスプロイトまでの過程を加速させています[1]。

2. アタックサーフェスとしてのAI

今やAIレイヤー自体も、調べてみる価値があります。あるオートメーション技術メーカーにおいて、侵害されたLLMプロキシが他のAIサービスへの踏み台として利用され、それが失敗すると攻撃者は暗号通貨マイニングに切り替えたという事例がありました。DarktraceのCyber AI Analystはこの侵入インシデントを明らかにし、Managed Threat Detectionサービスにより顧客への通知が行われたことにより、事態がそれ以上進行する前に封じ込めることができました。実務者にとっての教訓は明確です：AIゲートウェイ、プロキシ、モデルエンドポイントは、本番環境のクラウドワークロードと同様に扱うべきです。なぜなら、攻撃者は既にそうしているからです。

3. 信頼される、ただしリスクもあるアクターとしてのAI

Darktrace/ SECURE AIの観測結果からわかることは、最も一般的な現実世界のリスクはさらに判別が難しいということです。従業員が、個人識別情報（PII）、税務記録、身分証明書、会社の財務データ、人事記録、個人の医療データをLLMのプロンプトに入力することや、シャドーAIの蔓延、そしてモバイルデバイスからのAI使用の増加が挙げられます。28日間で約28,000人のユーザーから送信された約280,000件のプロンプトのうち、Darktraceはこれらのプロンプトの約1%（2,945件）に機密性の高いデータが含まれていることを特定しました。*

‍_{*プロンプトデータはユーザーのプライバシーを保護するために、集積および匿名化された形で分析されました。}

防御者にとって、課題はコンテキストです。つまり、正当なビジネス利用が重大なリスクに変わるタイミングを、プライバシーやユーザーの信頼を損なうことなく見極めることです。組織がAIシステムをますます信頼し、AIがマシンスピードで機密情報にアクセス、処理、共有するようになるなかで、アイデンティティ、アプリケーション、クラウドインフラと同様に、AIも保護および監視されなければなりません。

スピードと地政学：迅速な作戦、長期的な目標

2026年前半に行われたいくつかの調査では、攻撃者が新たに公開された脆弱性をいかに迅速に実用化し、パッチ適用サイクルが完了する前にOAST（Out-of-Band Application Security Testing）インフラおよび信頼されたクラウドサービスを通じてエクスプロイト検証を行っているかが明らかになりました。React2Shellは2時間で侵害され、BeyondTrustのエクスプロイトも1日未満で発生しました。このような状況の中で、国家を背後に持つ脅威アクターは、引き続き正当なサービス、クラウドインフラ、および信頼関係を通じた、長期的なアクセス、情報収集、および事前配置に重点を置いています。中国、ロシア、イラン、北朝鮮（DPRK）を背後に持つ作戦は共通の特徴を持っています。それは即座に混乱を起こすことよりも、永続化と戦略的な配置を優先するということです。

中国：ダークトレースは、中国系アクターが信頼されるサービス、DLLサイドローディング、およびモジュール型の侵入チェーンを通じた長期的なアクセスの獲得を優先している状況を確認しています。これはCrimson Echoレポートでも解説され、Twill Typhoonの手法に関連するアクティビティと一致しています。

イラン：ダークトレースによるZionSiphonの調査は、イランに関連するアクターのOT環境への関心を浮き彫りにし、諜報目的とインフラ破壊能力を融合させている実態を明らかにしています。

ロシア：ダークトレースによる調査、および業界全体のさまざまな報告は、ロシアがウクライナ関連の支援に関する長期的な情報収集のために、信頼関係とサプライチェーンを標的としていることを明らかにしています[2]。

北朝鮮：ダークトレースは、脆弱性の迅速な武器化と永続的アクセス技術を組み合わせた北朝鮮関連の活動を観測ししています。これにはAxiosのサプライチェーン侵害、React2Shellエクスプロイト、ステルス性のmacOS侵入が含まれています。

目的は脅威アクターによって異なっていましたが、手法は非常に一貫していました。信頼されるサービス、正当なインフラ、そして永続的アクセスは、即時の混乱よりも価値が高いことが示されています。

防御者のシフト

アイデンティティの侵害、サプライチェーン攻撃、SaaSの悪用、AIインフラの標的化、国家が支援する作戦、いずれのケースにおいても、攻撃者は防御のコントロールを突破するのではなく、信頼されたシステムを通じて行動することで成功を収めることが増えています。信頼されるユーザー、信頼されるソフトウェア、信頼されるインフラチャ、そしてますます信頼されるAIシステムは、すべて有効な攻撃経路となりました。

防御者にとっての課題はもはや、単にあるアクションが許可されるかどうかを判断することではなく、そのアクションがより広いコンテキストの中で正当かどうかを見極めることです。認証、評判、出自は依然として重要ですが、それだけではもはや十分とは言えません。攻撃者がますます信頼されるシステム内で活動するようになる中で、最も強力なシグナルは多くの場合動作の逸脱です。つまり、信頼されているアクティビティが期待される振る舞いと一致しなくなった時にそれを識別することです。

本稿の執筆にはNathaniel Jones（SVP, Global Threat Intelligence）、Emma Foulger（Global Threat Research Operations Lead）、Justin Torres （Senior Cyber Analyst） Daniel Levy（Threat Hunting Data Scientist）が協力しました。

‍
編集：Ryan Traill（Content Manager）

‍

付録1：脅威調査手法

ダークトレースの脅威調査チームは、顧客の運用環境に対する詳細な調査を行ってアクティブな脅威を識別し、主要な侵害インジケーター（IoC）を特定し、関連する脅威インテリジェンスを提供しています。この調査はダークトレースの異常ベース検知に基づいたもので、脅威調査チームによる徹底した分析およびコンテキスト化が行われています。検知された脅威は関連する顧客のセキュリティチームに直ちに報告されます。顧客がダークトレースの自律遮断テクノロジーを使用している場合、これらの脅威は速やかに緩和され、エスカレーションが阻止されます。

2026年1月1日から6月30日までの期間、ダークトレースは顧客ベースにおいて多種多様なサイバー脅威を調査しました。その多くは同様のTTPおよびIoCが短い期間内に一定の数の顧客に影響を及ぼした、複数の顧客を標的とした攻撃作戦的活動であったことが判明しています。

Eメールに関連する統計は、2026年1月1日から6月30日までの間に、すべてのクラウドホスト型顧客環境におけるDarktrace / EMAILの集約されたデータから導出されています。特異な観測値を除外するために、集約を行う前に標準的なデータ品質フィルタリングが適用されています。地域別の統計は、このデータセットの関連サブセットに基づいています。

付録2：キャンペーン - 地域およびセクター別の傾向

過去6か月間の脅威ランドスケープは上記の大まかなテーマにより定義されていますが、ダークトレースの顧客基盤全体でのキャンペーンクラスタリングにより、それらがセクター、地域、産業ごとにどのように異なっているかが明らかになりました。

ダークトレースの脅威調査チームは、顧客ベースに影響を与えるさまざまな脅威を調査しています。この調査を通じて、共通のTTPやインフラが観察され、短期間で多くの顧客に影響を与える、攻撃キャンペーンのような活動のクラスターが特定されました。

セクターおよび産業は、一貫した分類を確保するために標準産業分類（SIC）システムを使用して分類されています。本レポートのセクターおよび地域別の考察は、より広範な世界的な傾向を反映している一方で、ダークトレースの顧客基盤の分布にも影響を受けています。例えば、金融、製造、教育分野はダークトレースの顧客の中で多く、これらのセクターで観測される事例数が多くなる可能性があります。これは必ずしも特定のセクターにおけるリスクが高いことを示すものではなく、顧客の分布を反映しています。同様に、地域の傾向はダークトレースの顧客の地理的分布によって影響を受ける可能性があります。

2026年前半にダークトレースの脅威調査チームによって特定されたキャンペーンクラスターの分析では、明確な地域別の傾向が明らかになりました：

ヨーロッパ、中東、アフリカ（EMEA）がすべてのキャンペーンクラスター事例の60%を占めており支配的でした。
アメリカ大陸（AMS）は、その次に影響が大きかった地域でありキャンペーンクラスター事例の30%を占めていました。
アジア太平洋および日本（APJ）地域はキャンペーンクラスターの影響をあまり受けていませんでした。これは脅威アクターがこの地域の優先度を低くし、代わりに他の地域に注力した可能性を示しています。

産業セクターの標的化も地域によって大きく異なりました：

EMEA地域では、情報通信分野が大きく影響を受け、全体の25%を占めました。
対照的に、AMSでは標的はより均等に分布しており、教育、行政機関および防衛、金融および保険の各セクターがいずれもAMS地域の事例の20%以上を占めていました。
APJ地域ではキャンペーン活動はより均等に分散しており、特定のセクターが支配的な標的として浮上することはありませんでした。

いくつかの国はそれぞれの地域内でも際立った特徴がありました：

米国はAMS内のすべてのキャンペーンクラスターの60%を占めていました。
日本はAPJ全体のキャンペーン事例の40%を占めました。
EMEA地域では、英国とジンバブエがそれぞれ特定された事例の23%を占めており、両国ともさまざまなキャンペーンのタイプに影響を受けています。

‍

Inside the SOCおよび2026年度脅威調査の月次傾向：アクセスからインパクトまで

Month	Dominant Themes
January	Voice phishing, VPS infrastructure, WebSocket C2, RMM abuse, ransomware, infostealers (StealC), and trojanized installers (7-Zip).
February	Voice phishing, VPN intrusion, edge infrastructure compromise (BeyondTrust), and RMM abuse.
March	Sustained supply chain compromise (Hola VPN, Axios, Trivy), malicious browser extensions, phishing, and discovery tools.
April	Account creation abuse, payload delivery, VPN credential abuse, Fortinet exploitation, and botnet activity.
May	PowerShell, EtherHiding, data exfiltration, VPN access, business email compromise (BEC), ClickFix, and infostealers (AMOS).
June	RDP abuse, device registration, RMM usage, voice phishing, cloud data theft, botnet activity, blockchain abuse, ClickFix, and infostealers (AMOS).