偽のChocolatey導入ページから情報窃取―ZscalerがArmorstealを解析

Zscalerは2026年10月22日、Chocolateyなどの導入ページを装ってマルウェア「Armorsteal」を配布する攻撃を公表しました。観測したのは同年9月からの活動です。検索結果から偽サイトへ誘導し、表示したPowerShellコマンドを利用者自身に実行させていました。

Chocolateyを装うページでは、マルウェアに加えて正規のインストーラーも実行していました。利用者からは導入が成功したように見える一方、背後で遠隔操作、監視、情報窃取の機能が配置されます。Chocolatey本体の配布元が侵害されたという報告ではなく、名前を似せた別サイトが入口です。

解析した機能は、保存パスワードやCookie、Discordのトークン、暗号資産ウォレット、SSH鍵などを収集します。キー入力やクリップボードの監視も含まれていました。報告は機能と配布経路の解析で、これらの情報が何人分流出したかは示していません。

確認された二つの偽サイトは9月下旬から10月初めに停止しましたが、10月初めには指令サーバーの切り替えも観測されています。Zscalerは、該当するダウンロードのPowerShellログ、不審な自動実行タスク、無断で追加されたDefenderの除外設定を確認するよう案内しています。