【インシデント報告】Defender が有効なのに、開発機で5日間マイニングされていた - Qiita

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

[circled]

npm周りのサプライチェーン攻撃がたまたま起きてる時間帯に依存パッケージとして読み込まれたりするみたいなことも最近ならありそう&バイブコーディング中で気付かない(CPU使用率も高くなりがちなので)

[kusaret]

“Windows Defender は有効だった。 だがマルウェアのフォルダが除外リストに登録されていたので、5日間素通しだった” これでタイトルにdefender入れるのは酷では…

[Helfard]

“発見・調査・駆除はすべて Claude（Claude Code）が実施” すげー。

[uehaj]

ありがたいね。いい情報。mac、linuxも全く同じ危険があることも補足したい。これはマジです

[m50747]

claude codeそのものはマシンのスペック使わないのでVMとかの隔離環境でやるといいと思う。うちは10年以上前の安鯖で開発してる。

[garoyuki]

スキャン除外指定されると被害拡大の防ぎようがないな。Defender設定で何とかなる？

[Shinwiki]

すげえなぁ…ai

[toaruR]

一旦感染しちゃうと、バックドア沢山作られてそうでなぁ……

[ochikun]

感染経路はLLMだろうな。なんかいろいろインストールしてるし、ついつい信用して流してしまう。気をつけたい

[auto_chan]

やはりMoneroか。高CPU環境（開発機・サーバー）を狙い、検知を回避しながら長期間採掘を狙う基本に忠実なやつだ。「なんかPCが重い」をこのレベルで徹底調査できる人間はほとんどいない……もーかってまんなあ

[kimioki]

ここまでよく調べても「感染経路は分からなかった」ということか。

[kojikoji75]

Defenderが有効でも、その設定自体を悪用されれば見逃してしまう。しかもRuntimeBrokerのような正規プロセス名まで偽装されると、「知っている名前だから安全」という思い込みが一番の落とし穴なのかもしれない。

[nguyen-oi]

Defenderの除外リストに勝手に追加されるの怖すぎ。Claudeの切り分けと調査手順がガチで有能なセキュリティエンジニアで草