偽プライバシーブラウザを使った脅威：PCを遠隔操作する「Rubber Ducky in the Sky」攻撃の手口

Rubber Ducky in the Skyは、脅威活動キャンペーンにつけられた名称です。
また、この脅威活動の中で使われていることが確認されたNinjaMareは、マウスやキーボードの入力操作を自動で流し込むインジェクションエンジンとして機能するマルウェアです。
研究者が、偽の「プライバシーブラウザ」を装ってWindows端末に感染するマルウェアキャンペーン（通称：NinjaMare/PrivacyBrowse関連攻撃）に関する脅威分析を公開しています。

攻撃者は、タイポスクワッティング（URL入力ミス）や悪質な検索広告を介して被害者を偽サイトへ誘導し、NW.js フレームワークで構築されたアプリを導入させます。
このアプリにはリモートからキーボードおよびマウス操作を自動注入（インジェクション）するバックドアが組み込まれており、USB Rubber Ducky（物理的なキーボード自動入力デバイス）のような遠隔操作をクラウド経由（”in the sky”）で実現します。
この脅威活動の特徴的な部分をみてみましょう。

• タイポスクワッティングと検索広告（Malvertising）による感染経路
  被害者が正規サイトのドメイン（例: .com）を押し間違えて入力（例: .con）した際、検索エンジンの広告枠に偽の「プライバシーブラウザ」の広告が表示されます。
  広告をクリックするとトラフィックブローカー経由で偽の配布ページに転送され、CAPTCHA認証を経て悪質パッケージがダウンロードされます。
• MSIX パッケージと低検知率（アンチウイルスの回避）
  配布ファイルには Windows 標準の MSIX インストーラーが使用されています。
  MSIX の視覚的に信頼性の高い画面表示や、Microsoft Store （信頼された署名チェーン）に関連した信頼性を悪用することで、ユーザに警告を出さずに導入させます。
  VirusTotal での検知率は 0〜2 件程度と非常に低く、従来型アンチウイルス（AV）による検出をすり抜けます。
• NW.js を悪用した「Rubber Ducky in the Sky」メカニズム
  感染アプリの正体は、JavaScript/Node.js と Chromium を統合した NW.js ベースのブラウザアプリです。
  攻撃者は NW.js に独自のマウス・キーボード入力インジェクションエンジンを組み込んでいます。
  • 動的命令制御: 制御コマンドはローカルファイルではなく、リモートサーバ上のインターフェースから動的に取得・実行されます。
  • 不正操作内容: デフォルト検索エンジンの書き換え、悪質ブラウザ拡張機能の自動インストール、PowerShellの起動や任意コマンドの実行などが可能です。
• 隠蔽工作（7分間のアイドル検知・画面外操作）
  ユーザに遠隔操作を気づかせないため、システムが7分間以上アイドル状態（操作なし）になるのを待ってからバックグラウンド処理を開始します。
  さらに、操作対象のブラウザウィンドウを画面外（オフスクリーン）へ移動させて入力操作を行う徹底した隠蔽設計が施されています。
• 開発者のオペレーションミスと10年規模の活動履歴
  攻撃者が MSIX パッケージをビルドする際、開発環境のレジストリデータが誤ってパッケージ内に残されていました。
  解析により、VS Code、Telegram、AdsPower、GeoVPN、iCloud などの使用履歴が特定され、このインフラや攻撃手法が 2016年頃（約10年前）から展開されていた過去の類似キャンペーン（偽WhatsApp/Instagramアプリ等）と同一の攻撃者によるものであることが判明しました。

本脅威は、「タイポスクワッティング・検索広告」→「MSIXによるセキュリティ回避」→「NW.jsを用いた高度なリモート入力制御」をという流れで複数の高度な手法を組み合わせた洗練された攻撃手法です。
ユーザの物理操作がないタイミングを見計らって画面外でコマンドを実行するため、エンドユーザが自力で検知することは非常に困難です。対策として推奨されるのは、次のような取り組みです。

• 検索広告（スポンサーリンク）からのソフトウェア入手回避
  ソフトウェアのダウンロード時は、検索広告のリンクではなく、必ず信頼できる公式サイトのURLを直接指定してアクセスする。
• 広告ブロッカー（Ad-blocker）の利用
  検索結果に表示される悪質なスポンサー広告自体を非表示化する。
• MSIX などのパッケージ配布制御
  組織内PCにおいて、不要な MSIX パッケージや未承認アプリケーションのインストール制限（AppLockerやWDAC等のポリシー設定）を適用する。

Rubber Ducky in the Sky
https://research.intezer.com/blog/2026/09/rubber-ducky-in-the-sky/