急激な拡張が進むNetryx RAT

Netryx RAT は、2026年11月上旬に公開および急速なアップデートが確認された、Rust言語ベースのリモートアクセス型トロイの木馬（RAT）です。
当初はブラウザ認証情報の窃取や暗号資産クリッパーといったインフォスティーラーとしての性質が強かったものの、わずか数日の間に（既存ツールからのリブランドや流用を背景としつつ）管理パネル、リレーサーバ、バックドア、HVNC（Hidden Virtual Network Computing）などの機能を統合し、総合的な遠隔操作プラットフォームへと急速に進化しています。
さらに、実験的なLLM（大規模言語モデル）連携コードがバイナリ内に組み込まれている点や、サンドボックス分析結果に対して即座に回避策（Hardening）を適用するリアクティブな開発姿勢が特徴です。
この脅威の特徴的な部分をみてみましょう。

• 実験的なLLM（大規模言語モデル）の統合
  • 機能内容:
    解析サンプル（DeviceSync.exe）内に、オペレータからのプロンプト入力、APIキーの適用、モデル選択を行い、LLMサービスへリクエストを送信して応答を受信するワークフローおよび構造体がコンパイル済みで実装されています。
  • 現状の制限:
    現時点では、LLMの応答を基に自動でコマンドを実行するような「完全自律型AIマルウェア」としての動作は確認されておらず、HTTPレスポンスの処理不備なども見られます。
    ただし、マルウェア本体（エージェント）側からLLMサービスを呼び出し、AIアシスタント機能として活用しようとする設計がコードレベルで確認されています。
• 幅広い情報窃取（インフォスティーラー）機能
  • 機能内容:
    v0.2.2〜v0.3.3にかけて窃取機能が急拡大し、53カテゴリにわたる標的（ブラウザの保存パスワード、Cookie、クレジットカード情報、暗号資産ウォレット、FTPクライアント、VPN、開発ツール、ゲーミングアカウントなど）を対象としています。
  • 高度なバイパス:
    最新のGoogle Chromeで導入された保護機能「App-Bound Encryption」の復号サポートを謳っており、資格情報窃取の専門性が高められています。
• 多層的な遠隔制御とプラットフォーム化
  • 構成:
    「オペレータパネル」「エージェント（感染端末側）」「リレーサーバ」による3層アーキテクチャを採用しており、Docker経由のLinuxリレー運用にも対応しています。
  • 遠隔操作能力:
    ユーザの画面操作を妨げずに裏でデスクトップを操作するHVNC、キーロガー、Webカメラの盗撮、対話型シェル、リバースプロキシ、Python/Luaスクリプトのリモート実行など、標準的な商用RATと同等以上の遠隔操作機能を備えています。
• 迅速かつ防御側にリアクティブな開発サイクル
  • コミュニティ主導の改修:
    Telegram等を介してバグ報告用Botやチュートリアルを配備し、コミュニティのフィードバックを取り入れながらv0.2.2からv0.3.8まで連日マイナーバージョンをリリースしています。
  • 解析ツール（Joe Sandbox）への即時対抗:
    公開サンドボックス（Joe Security）で自マルウェアが検知・分析された直後、v0.3.7にて「Joe Sandbox hardening」と称し、検出レポートで指摘されたインストール名、通信プロトコル、文字列難読化、サンドボックス・デバッガ検知ロジックの修正を迅速に反映しています。

Netryx RAT は依然として開発初期段階（アーリーステージ）にあり、コードの未実装部分や動作の不安定さが見られるものの、以下の観点から警戒すべき脅威です。

• 多機能化のスピード
  単なる窃盗ツールから、持続性（Persistence）・遠隔操作・検知回避を備えたフルスペックRATへと短期間で変貌を遂げています。
• AI活用の先駆け
  マルウェアバイナリ内にLLMリクエスト処理をあらかじめ組み込む設計が確認されており、将来的に攻撃運用の効率化や自律型ペイロードへ発展する技術的兆候を示しています。
• 対検知の俊敏性
  サンドボックス等の公開防御インテリジェンスを攻撃者側が逆監視し、即座に回避コードをリリースするサイクルが定着しつつあります。

セキュリティ運用においては、Rust製不審バイナリの挙動監視、不審な外部LLM APIエンドポイント宛の通信、App-Bound Encryption対象フォルダやレジストリ自動起動領域への不審なアクセスに対する継続的な監視が推奨されます。

LLM連携やアジャイルな改修サイクルは目新しさを失いつつあるトレンドの踏襲ですが、それは裏を返せば、この種の高機能かつリアクティブな脅威が今や標準的に量産される段階に入ったことを示しています。

Netryx RAT Emerges Publicly as Development Accelerates and LLM Integration Takes Shape
https://iqblack.com/insight/netryx-rat-emerges-publicly-as-development-and-llm-integration/