C
月内に
AIエージェントによる誤操作でのデータベース削除や、Gemini CLIのRCE脆弱性、Kimsukyによる製薬会社への標的型攻撃など、複数の脅威
📌 一言でいうと
AIエージェントによる誤操作でのデータベース削除や、Gemini CLIのRCE脆弱性、Kimsukyによる製薬会社への標的型攻撃など、複数の脅威が報告されました。また、PowerShellを介さずWindows標準ツール（cmdkey, regsvr32）を利用する新型のClickFix攻撃変種も確認されています。AIツールの権限管理の重要性と、巧妙化するフィッシング攻撃への警戒が求められます。
🏢影響範囲
製薬会社、AI開発・利用企業、Gemini CLI利用者、Windows OSユーザー
✅該当時の対応
Gemini CLIの最新版へのアップデート、AIエージェントへの最小権限原則の適用、不審なExcelファイルやCAPTCHAページの実行回避、Windows標準ツールの異常なコマンドチェーンの監視。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】不審なメールの添付ファイルおよび偽ページへの注意について
お疲れさまです。情報システム担当です。
現在、正規のファイル（Excel等）や、Webサイトの「認証画面（CAPTCHA）」を装った巧妙な攻撃が増加しています。
ご協力をお願いしたいこと:
1. 知り合いからのメールであっても、不自然な添付ファイル（特に.lnkファイル等）は開かないでください。
2. Webサイト閲覧中に「ブラウザの更新」や「認証」を促す指示に従い、コマンドを実行したりファイルをダウンロードしたりしないでください。
3. 不審な挙動に気づいた場合は、すぐに情報システム部門へ報告してください。
対応期限: 本日より継続的に注意してください
お疲れさまです。情報システム担当です。
現在、正規のファイル（Excel等）や、Webサイトの「認証画面（CAPTCHA）」を装った巧妙な攻撃が増加しています。
ご協力をお願いしたいこと:
1. 知り合いからのメールであっても、不自然な添付ファイル（特に.lnkファイル等）は開かないでください。
2. Webサイト閲覧中に「ブラウザの更新」や「認証」を促す指示に従い、コマンドを実行したりファイルをダウンロードしたりしないでください。
3. 不審な挙動に気づいた場合は、すぐに情報システム部門へ報告してください。
対応期限: 本日より継続的に注意してください
Subject: [Security Alert] Caution Regarding Suspicious Emails and Fake Web Pages
Dear Employees,
We have observed an increase in sophisticated attacks masquerading as legitimate files (e.g., Excel) or website "CAPTCHA" verification pages.
Please follow these guidelines:
1. Do not open suspicious attachments (especially .lnk files), even if they appear to come from a known contact.
2. Do not follow instructions to execute commands or download files when prompted by "browser updates" or "verification" pages while browsing.
3. Report any suspicious activity to the IT Security team immediately.
Deadline: Ongoing
Dear Employees,
We have observed an increase in sophisticated attacks masquerading as legitimate files (e.g., Excel) or website "CAPTCHA" verification pages.
Please follow these guidelines:
1. Do not open suspicious attachments (especially .lnk files), even if they appear to come from a known contact.
2. Do not follow instructions to execute commands or download files when prompted by "browser updates" or "verification" pages while browsing.
3. Report any suspicious activity to the IT Security team immediately.
Deadline: Ongoing
件名: 【共有】Gemini CLI脆弱性および新型ClickFix/Kimsuky攻撃への対応について
お疲れさまです。最新の脅威情報に関する共有です。
■ 概要
1. Gemini CLIにRCE脆弱性が発見され、--yoloモードのバイパス等によりコード実行が可能です。
2. ClickFixの変種がcmdkeyおよびregsvr32を利用し、PowerShellを介さずペイロードを投下しています。
3. Kimsukyが製薬会社を標的に、.lnkファイルと計画的タスクを用いた情報窃取を行っています。
■ 影響範囲
- Gemini CLI利用者
- Windows OS環境（特にSMBアクセス許可設定が緩い環境）
- 製薬業界および関連組織
■ 対応手順
1. Gemini CLIを最新バージョンにアップデートし、設定をレビューしてください。
2. EDR等でcmdkey.exeおよびregsvr32.exeによる不自然な外部DLLロードやコマンドチェーンを監視してください。
3. AIエージェント（Claude等）を導入している場合、APIトークンの権限分離とバックアップの物理的隔離を再確認してください。
■ 参考情報
- FreeBuf早报 / 各ベンダーアドバイザリ
対応優先度: 高
対応期限: 速やかに
お疲れさまです。最新の脅威情報に関する共有です。
■ 概要
1. Gemini CLIにRCE脆弱性が発見され、--yoloモードのバイパス等によりコード実行が可能です。
2. ClickFixの変種がcmdkeyおよびregsvr32を利用し、PowerShellを介さずペイロードを投下しています。
3. Kimsukyが製薬会社を標的に、.lnkファイルと計画的タスクを用いた情報窃取を行っています。
■ 影響範囲
- Gemini CLI利用者
- Windows OS環境（特にSMBアクセス許可設定が緩い環境）
- 製薬業界および関連組織
■ 対応手順
1. Gemini CLIを最新バージョンにアップデートし、設定をレビューしてください。
2. EDR等でcmdkey.exeおよびregsvr32.exeによる不自然な外部DLLロードやコマンドチェーンを監視してください。
3. AIエージェント（Claude等）を導入している場合、APIトークンの権限分離とバックアップの物理的隔離を再確認してください。
■ 参考情報
- FreeBuf早报 / 各ベンダーアドバイザリ
対応優先度: 高
対応期限: 速やかに
Subject: [Technical Share] Gemini CLI Vulnerability and New ClickFix/Kimsuky Attack Vectors
Dear Admin Team,
This is a technical update regarding several emerging threats.
■ Overview
1. A high-severity RCE vulnerability in Gemini CLI allows code execution via workspace trust mechanism bypasses.
2. A new ClickFix variant utilizes cmdkey and regsvr32 to deliver payloads silently, bypassing PowerShell detection.
3. Kimsuky is targeting pharmaceutical firms using multi-stage payloads via .lnk files and scheduled tasks.
■ Scope
- Gemini CLI users
- Windows OS environments
- Pharmaceutical sector
■ Mitigation Steps
1. Update Gemini CLI to the latest patched version immediately.
2. Configure EDR/SIEM to monitor abnormal command chains involving cmdkey.exe and regsvr32.exe.
3. Review AI Agent permissions (Principle of Least Privilege) and ensure backup isolation from production volumes.
■ Reference
- FreeBuf Early Report / Vendor Advisories
Priority: High
Deadline: Immediate
Dear Admin Team,
This is a technical update regarding several emerging threats.
■ Overview
1. A high-severity RCE vulnerability in Gemini CLI allows code execution via workspace trust mechanism bypasses.
2. A new ClickFix variant utilizes cmdkey and regsvr32 to deliver payloads silently, bypassing PowerShell detection.
3. Kimsuky is targeting pharmaceutical firms using multi-stage payloads via .lnk files and scheduled tasks.
■ Scope
- Gemini CLI users
- Windows OS environments
- Pharmaceutical sector
■ Mitigation Steps
1. Update Gemini CLI to the latest patched version immediately.
2. Configure EDR/SIEM to monitor abnormal command chains involving cmdkey.exe and regsvr32.exe.
3. Review AI Agent permissions (Principle of Least Privilege) and ensure backup isolation from production volumes.
■ Reference
- FreeBuf Early Report / Vendor Advisories
Priority: High
Deadline: Immediate