YouTubeゲーム動画とSEO汚染で企業網へ侵入 — Palo Altoが1万超のローダーと3種の新マルウェアを追跡

Palo Alto Networksの脅威インテリジェンス部門Unit 42は2026年9月9日、YouTubeのゲーム関連動画と検索エンジン最適化（SEO）汚染を入口とする大規模なペイ・パー・インストール（PPI）基盤の調査結果を公表した。論文の執筆者はUnit 42のRem Dudas氏だ。Unit 42はこの活動クラスターをCL-CRI-1171として追跡している。共通のローダー（感染の初期段階で別のマルウェアを呼び込む小さなプログラム）が、Docro Hijacker、ARKTunnel、Insomnia RATという3種のマルウェアを届けていた。Unit 42によれば、この基盤は少なくとも2年間水面下で稼働し、1万超のローダー検体と200超の回転ドメインが確認されている。

PPIは、感染させた端末へのアクセスを複数の買い手に販売する闇市場の仕組みだ。1つのローダーが複数の無関係なマルウェアを同じ端末に運び、それぞれが独自のC2（外部の指令サーバー）と目的を持つ。そのため、ローダー自体は使い捨ての汎用部品に見え、背後の多様なペイロードが見逃されやすいとUnit 42は指摘する。

二つの誘導経路 — YouTubeとSEO汚染

Unit 42は、CL-CRI-1171が少なくとも2つの誘導経路を使っていたと分析している。

YouTube経路では、11のチャンネルが数十万人規模の登録者を抱え、フレームレート改善やゲームのクラッシュ修正、設定調整といった実用的な動画を投稿していた。動画自体は有益だが、説明欄やコメントでのやり取りを通じてマルウェア付きツールのダウンロードリンクへ誘導していた。Unit 42がYouTubeへ通報した結果、これらのチャンネルは停止された。

SEO汚染経路では、利用者が正規ソフトを探して検索した際に、ファイルホスティングを装う偽のダウンロードページへ誘導する。ページはウイルススキャンのアニメーションを偽装した後、一連のリダイレクタを経由してトロイの木馬化されたアーカイブを配信する。Unit 42が再構成したWinDirStatの偽ページもこの手口の一例だ。この経路は企業端末や重要インフラ、政府機関の端末にも到達していた。

両経路はインフラを共有し、同じローダーと、8か月にわたる回転ドメインの運用パターンで結びついていた。回転ドメインはbubbleslip、churchpail、dinosaursjam等の二語複合パターンで、.xyz、.cfd、.space、.infoの各TLDに分散していた。各誘導URLにはclick_idというパラメータが含まれ、OS、ブラウザ、参照元SEOドメイン、検索キーワード、被害者の公開IPアドレスをBase64でエンコードして運んでいた。Unit 42によれば、ゲートはこのフィンガープリントを基に、誰にペイロードを渡すかを判定していた。

3種のペイロード — Docro Hijacker / ARKTunnel / Insomnia RAT

調査の起点は、2026年4月に別組織で発生した2件の感染だった。片方はBluetoothドライバ、もう片方はWinDirStatを装うファイルが起点で、感染後のチェーンが同一だったことから共通ローダーが浮かび上がった。このローダーが2025年7月から2026年4月にかけて届けていた3種が、今回詳細に解析された。

• Docro HijackerはUnit 42が今回初めて報告するブラウザーハイジャッカーだ。企業環境での持続的な滞在を狙う。
• ARKTunnelも同じく新規のトンネリング型マルウェアで、C2通信の隠蔽に使われる。
• Insomnia RATは以前から存在が示唆されていたバックドアの新変種で、Unit 42が今回命名した。遠隔操作（RAT）として端末を制御する。

これらはあくまで観測された一部だ。2026年6月の別の感染では、同じローダーからGCleanerとSocks5Systemzという全く異なる2種が配信されていた。Unit 42は、観測されたローテーションは構造的だが、1万超のOfferLoader検体が示す配信能力から、他にも多数のマルウェアファミリが運ばれていた可能性が高いと評価している。

企業が取るべき確認の手がかり

Unit 42は、Palo Alto Networks製品のAdvanced WildFire、Advanced URL Filtering、Advanced DNS Security、Cortex XDR/XSIAMが今回の脅威に対する保護に有効だと説明している。侵入が疑われる場合はUnit 42のインシデント対応窓口への相談を呼びかけている。

日本企業にとっても示唆は大きい。YouTubeのゲーム攻略情報や、検索上位に出てくるユーティリティのダウンロードページは、業務端末からもアクセスされ得る。**「YouTubeの人気チャンネルだから安全」「検索上位の配布サイトだから正規」**という前提は通用しない。Unit 42の調査は、一見些細な感染が、大規模なPPI基盤の氷山の一角であることを示している。

出典

• Palo Alto Networks Unit 42「Untracked Nightmares: The Threats Hiding Behind Commodity Infrastructure」（2026年9月9日、Rem Dudas氏）
  https://unit42.paloaltonetworks.com/ppi-network-malware-campaign-analysis/