AI生成スクリプトとSysGoRATが政府のLinuxサーバーを標的に

Palo Alto Networks Unit 42の研究チームは、2025年10月から2026年4月にかけて政府関連のLinuxインフラを狙ったサイバー諜報キャンペーンを確認しました。この作戦はCL-UNK-1211として追跡されており、大規模言語モデル（LLM）を利用して攻撃用スクリプトを生成し、SysGoRATと呼ばれるカスタムのGoベースバックドアを展開しています。

何が起きたか

脅威アクターは、国家系組織に関連するLinux環境に焦点を当て、広範な偵察活動を行い、ネットワークへの永続的なアクセスを維持しました。主な目的には、機密データベースからのデータダンプや政府メールボックスからの情報漏洩が含まれており、特にソーシャルメディアアカウントへのアクセス権限を与える可能性のある認証情報を狙っていました。この活動は、従来のエクスプロイト後のテクニックを加速するために自動化された知能を利用する方向への変化を示しています。

アクセスを維持するため、攻撃者はオープンソースツール、カスタムのクロスプラットフォームバックドア、およびWebシェルを組み合わせた多様な手法を採用しました。このキャンペーンの特徴的な点は、悪意ある活動を正当なセキュリティ評価のように偽装しようとしたことです。オペレーターはエンドポイント保護を無効化し、システムログを消去し、防御側を混乱させインシデント対応を遅らせるために欺瞞的なレッドチームマーカーを設置しました。

研究者のRoey Porat氏とTom Fakterman氏は、攻撃者が機密データベースからデータをダンプし、政府メールボックスから情報を漏洩させようとしたことを指摘しています。このキャンペーンでは、AIエージェントによって生成されたと見られる悪意あるPHPおよびシェルスクリプトに大きく依存していました。これらのスクリプトには、標準的な開発者ドキュメントではなく、会話形式で段階的な推論ノートが含まれており、AIのプロンプト出力から直接コピーされたか、自動エージェントによって展開されたことを示唆しています。

仕組み

技術実行の中核は、Go言語で書かれたカスタムリモートアクセストロイアン「SysGoRAT」です。これはWindowsおよびLinuxシステムの両方で永続性をサポートし、ハードコードされたIPアドレスとの間でWebSocket経由のコマンド＆コントロール接続を確立します。接続後、トロイアンは任意のコマンドを実行し、インタラクティブシェルを起動し、スクリーンショットを撮影し、ファイルを漏洩させ、双方向でデータをリレーするためのプロキシ接続を確立できます。

認証情報の収集は3つの具体的な方法で行われました。第一に、攻撃者はパスワードを盗むように設計された悪意あるバージョンで.bashrcファイルを置き換えました。第二に、PHPログインページにコードを注入して管理者認証情報を捕捉しました。第三に、設定ファイルとコマンド履歴をスキャンし、平文の電子メール、SMTP、およびデータベースパスワードを探しました。これらの手法により、彼らは横方向移動を行い、侵害されたネットワーク内でのアクセスを深めることができました。

AIの利用は運用スクリプトの作成にも及びました。例えば、search_social.phpという名前のPHPスクリプトは、電子メールヘッダー内のソーシャルメディアアカウント関連キーワードを検索するために展開されました。別のスクリプトzip_mails.shは、メールを圧縮して漏洩させることを意図していましたが、構文エラーにより失敗しました。これらのエラーは、人間が開発したマルウェアに見られるような厳格なテストが欠如している可能性があるなど、AI生成コードの現在の限界を浮き彫りにしています。

主要な詳細

• CL-UNK-1211として追跡されたこのキャンペーンは、2025年10月から2026年4月まで政府のLinuxインフラを標的としました。
• 攻撃者は、永続性を維持し、104.194.158[.]65:443との間でWebSocketを通じて通信するために、GoベースのトロイアンであるSysGoRATを使用しました。
• 悪意あるスクリプトには会話形式の推論ノートが含まれており、大規模言語モデルまたはAIエージェントによる生成を示唆しています。
• 認証情報の窃取には、.bashrcファイルの変更、PHPコードの注入、および設定ファイル内の平文パスワードのスキャンが含まれていました。
• 脅威アクターは、活動を認可されたセキュリティテストのように偽装するために、偽のレッドチームマーカーを設置し、ログを消去しました。
• より広範な業界レポートでは、Storm-0940やOnyx SleetなどのグループによるARTEXやPentAGIといったエージェント型フレームワークの濫用が示されています。

なぜ重要なのか

Linuxインフラを管理するエンジニアリングチームにとって、このキャンペーンは、隠密性よりも速度と量が勝る新しいクラスの脅威を浮き彫りにします。AIの使用により、攻撃者はスクリプトを迅速に生成・適応させることができ、手動でのオーバーヘッドを最小限に抑えます。今回のケースではAI生成コードにエラーが含まれていましたが、マシンスピードで攻撃を開始できる能力は、検出と対応のためのタイムラインを圧縮し、より高速な自動防御を必要とします。

攻撃的オペレーションと防御的マーカーの混在は、セキュリティオペレーションセンターにとって大きな課題となります。攻撃者がレッドチームアーティファクトを設置すると、調査努力を停滞させる曖昧さが生じます。チームは、不審な活動の有無だけでなく、一見したセキュリティテストマーカーの正当性も検証する必要があり、インシデント対応ワークフローの複雑さが増しています。

さらに、ARTEXのようなオープンソースのエージェント型フレームワークへの依存は、高度なツールがより利用可能になりつつあることを示しています。特定のツールが削除されたとしても、ARTEX PROやScopeWeaverといった変種がすぐに出現します。高度な攻撃能力の民主化が進むことで、組織は敵対者が脆弱性をスキャンし大規模に悪用できる強力な自動ペネトレーションテストツールにアクセスできると想定する必要があります。

対策

• 外部IPへの異常なWebSocket接続、特に永続的なコマンド＆コントロールチャネルの確立を試みるものを監視してください。
• .bashrcファイルとPHPログインページを監査し、認証情報を収集する可能性のある不正な変更や注入コードがないか確認してください。
• 設定ファイルとコマンド履歴をスキャンして平文パスワードを探し、シークレット管理ソリューションの使用を徹底してください。
• 本番システムで見つかったすべてのレッドチームマーカーやセキュリティ評価活動に対して、厳格な検証プロセスを実施してください。
• サーバーログを確認し、ログ消去やエンドポイント保護の無効化の兆候を探ってください。これらは侵害の初期指標です。
• 会話形式のコメントや非標準的なコーディング構造など、AI生成スクリプトのパターンを識別するために検出ルールを更新してください。