3DアーティストのHaikal Shakyl氏は6月4日（水）、Blenderファイル（.blend）のマルウェア感染事例をXで投稿した。ArtStationやFiverr、Discord、Gmailなどで拡散されているファイルは、一見無害な「椅子の3Dモデル」に偽装されているが、内部には悪意のあるPythonスクリプトが隠されている。Blender側で「Pythonスクリプトの自動実行」が有効にされている場合、このファイルを開くと即座にマルウェアが実行されてしまうという。

▲今回マルウェアの埋め込みが確認された椅子の.blendファイル

▲「Pythonスクリプトの自動実行（Auto Run Python Scripts）」はプリファレンス（Preferences）→「セーブ＆ロード（Save & Load）」内にあるオプション。デフォルトではオフになっている

■Save & Load(セーブ&ロード)（Blender Manual）
https://docs.blender.org/manual/ja/3.0/editors/preferences/save_load.html#prefs-auto-execution

同氏はRedditに本事案の詳細を投稿しており、それによると、仮想マシンで本ファイルを開き、PCの自動シャットダウン、有害なWebサイトの自動オープン、システムへの不正アクセスを確認したという。このマルウェアは「Guliver」や「KursorV4」と呼ばれる情報窃盗型（Information Stealer）とされ、キーロガー、ランサムウェア、クリプトマイナーなどの機能をもつ可能性があるとのこと。本ファイルの流通期間は約6か月間と推定されている。

■WARNING: malware in .blend file.（Haikal Shakyl氏によるRedditの投稿）
https://www.reddit.com/r/blender/comments/1l2tj36/warning_malware_in_blend_file/

類似の事例について

■Blender Marketのスパムメール（2025年4月）

今回の事例と同様、悪意あるPythonスクリプトが埋め込まれた.blendファイルが旧Blender Market（現Superhive）のベンダー宛てスパムメールに添付されていた。

Virus from a spam email from a sketchy BlenderMarket user
https://blenderartists.org/t/virus-from-a-spam-email-from-a-sketchy-blendermarket-user/1587591

■3Dプリント用ファイルにシェルコードを隠してメールで拡散（2023年7月）

Windowsがネイティブでサポートする3Dプリント用ファイル形式「.3mf」のファイルに悪意あるシェルコードを隠してメールで配信した事例。

Modeling Malicious Code: Hacking in 3D
https://trustedsec.com/blog/modeling-malicious-code-hacking-in-3d

CGWORLD関連情報

●Blender用ツール「Baga River Generator」リリース！　手描きのラインからリアルな河川のモデルを作成

Antoine Bagattini氏がBlender内で手描きのラインからリアルな河川のモデルを作成できるツール「Baga River Generator」をSuperhiveとGumroadでリリース。価格はSuperhive版が17ドル（約2,450円）、Gumroad版が9.9ドル（日本向け割引適用後、約1,430円）。
https://cgworld.jp/flashnews/01-202506-Baga-River-Generator.html

●テクスチャペイントBlenderアドオン「Ucupaint 2.3」リリース！　オープンソース、リアルタイムAOの新レイヤー＆マスクタイプ、全レイヤーとマスクのリベイクなど

ucupumar氏がオープンソースのテクスチャペイントBlenderアドオン「Ucupaint 2.3」をGitHubとBlender Extensionsでリリース。リアルタイムAOの新レイヤー＆マスクタイプ、ベイク済みの全レイヤーとマスクのリベイク、レイヤーのペースト時に、ベイク済み画像をリベイクするオプションなどの新機能を搭載する。対応するBlenderはバージョン4.2以降。
https://cgworld.jp/flashnews/01-202506-Blender-Ucupaint23.html

●Blender用AIアドオン「Video Depth Ai」リリース！　動画からデプスマップ→ディスプレイスメントマップを生成し3Dアニメーション化

Blender Proceduralが動画からデプスマップを生成し3Dアニメーションを生成できるBlenderアドオン「Video Depth Ai」をSuperhiveでリリース。処理はクラウドまたはローカル（NVIDIA GPUユーザー向け）で行われ、アニメーション化された3Dディスプレイスメントマップをスピーディに生成できる。価格は14ドル（約2,030円）。
https://cgworld.jp/flashnews/01-202505-Video-Depth-Ai.html