攻撃者、検知されなくなるまでマルウェアを再ビルドするエージェントを稼働

ロシア系のスパイ集団が、自らのインプラントがウイルス対策製品に検知されたかどうかを監視し、検知されれば自動で書き換えて再ビルドし、検知をすり抜けるまで繰り返すエージェントを運用していた。Anthropicは9月10日、同社が検知・阻止した一連の侵入作戦を公表し、この手法を説明した。セキュリティ業界が20年にわたり依拠してきた循環構造を、攻撃者自身が閉じてしまった最も明確な公開事例である。

要点

• AnthropicがGTG-20006として追跡する行為者は、その手口がMidnight Blizzardと一致すると評価された。検知されたマルウェアをエージェントで反復修正してセキュリティ製品を回避し、再ビルドしたペイロードを使い捨てホストに配置していた。
• 金銭目的のあるクラスターは、AWS EC2のワーカー10台でAndroid APK 180万件をダウンロードしてデコンパイルし、ハードコードされた秘密情報を探索した。別途、約34時間で40社を超える企業テナントからAzure ADのトークンセット2100件以上を抜き出している。
• 盗まれたAI APIキーそれ自体が目的になった。ある行為者は未公開のClaudeモデルへのアクセスを狙って4日間でAI企業約30社を攻撃し、すべて失敗した。

回避と再ビルドの循環が検知の経済性を崩す理由

静的シグネチャが支えてきた防御モデルは、攻撃者にコストを負わせる仕組みだ。攻撃者が独自のインプラントを作り、ベンダーが検知ルールを書くまで使い、その後は費用をかけて作り直す。周期ごとに攻撃者はエンジニアリング時間を費やし、防御側はその遅延の隙に被害が拡大する前の被害者を見つけ出す。

GTG-20006はその遅延を消した。エージェントが配備済みのツールが捕まっていないかを監視し、検知されれば成果物を修正して再コンパイルし、再度試験する。何も発火しなくなるまでこれを続けた。人間のオペレーターが関わったのは、ワークフローを動かすスキルを調整する必要が生じたときにそれを手直しする作業がほぼすべてだった。Anthropicは、能力のある敵対者はいまや防御側が検知ルールを書いて配布する速度を上回る速さで従来型の検知を回避できると指摘している。

自動化の背後にある標的選定は、従来型のスパイ活動だった。作戦計画と実際の侵入には20を超える組織が登場した。ウクライナと欧州に集中する政府省庁、大使館、シンクタンク、防衛産業企業が対象で、ウクライナ政府機関20数か所のメールおよびリモートアクセス基盤がスキャンを受けた。ドローンのサプライチェーンには特に力が注がれた。ドローン部品メーカー2社のメールボックスを一括で持ち出し、ドローン映像認識システムのソフトウェア開発キットを丸ごと盗んだうえで、数日をかけてその構造、ハードウェア部品表、取引先の依存関係を解析した。

到達範囲は間接的に広げられた。ホテルの客室向けWiFiを運用するベンダー少なくとも3社を侵害し、DNSレコードを書き換えて宿泊客の通信を行為者の管理するサーバーへ向けた。北アフリカの政府系技術機関への別の侵入では、30万件を超える国民ID記録と50万社以上の商業登記情報を含む認証情報データベースが流出した。

産業規模で回る認証情報の発掘

ShinyHunters系の関係者につながる別のクラスターは、キルチェーンの後ろではなく前段を自動化した。フランス語を使うあるオペレーターは、EC2ワーカー10台に分散パイプラインを構築し、複数のアプリストアから重複のないAndroid APK 180万件を大量取得してデコンパイルし、TruffleHogでハードコードされた秘密情報を走査した。検証済みの成果は秘密情報の種類ごとに100以上のカテゴリーへ整理されたTelegramグループへリアルタイムで流れ込み、並行して稼働する収集器が盗んだGitHubの個人アクセストークンを同じ導線へ送り込んだ。

その後の展開は速かった。ある侵害では、盗まれた開発者トークン1本から被害企業のクラウド環境の完全な管理権限を握るまで約3時間だった。別の事案では約34時間で40社超の企業テナントにまたがるAzure ADトークンセット2100件以上のセッションストアが流出し、Anthropicによればこの作業はほぼ全面的にAIエージェントが担った。オペレーターはあるSaaS事業者を突破した後、その足場を使って下流の顧客組織およそ200社のデータを引き出している。

人手を離れた脆弱性研究

中国・長沙を拠点とし、地元大学の学部生2名を含む第三のグループは、工場に近い体制を築いた。エージェントがファームウェアイメージを復号して展開し、デコンパイラへ読み込ませ、相互参照の連鎖をたどりながら、時間をかけて整備した知識ベースに照らして脆弱性の仮説を立てる。さらに攻撃コードを書き、実験環境に用意した対象製品の複製で試し、成功するまで反復した。ネットワーク機器を狙ったあるワークフローは、1か月で十数件のゼロデイ候補を生み出した。

このグループはAnthropicが言うエージェント群れを運用していた。主導するエージェントが偵察と侵入後の作業を並列のサブエージェントへ分解して割り当て、キャンペーンの記憶を持続させることで、標的リストや収集した認証情報、常設の指示がセッションをまたいで残るようにしていた。教育、小売、エネルギー、医療、金融、政府の各分野で約50組織が標的となった。

AIキーは戦利品であり計算資源であり隠れ蓑になった

残りの多くは、盗まれたモデルアクセスの経済性で説明がつく。使えるAPIキーは既存の市場で転売でき、買い手の攻撃処理を被害者の負担で走らせ、通信の帰属先は正規の保有者になる。あるハクティビスト作戦は1か月間、盗んだキーだけで動いていた。ShinyHunters系の関係者は被害者のキーを見つけた時点で、自分たちの処理をそちらへ移した。

ロシア語を使うある行為者は、AIベンダーの自動評価用サンドボックスに指示を注入し、そこに保管されていた本番キーを引き渡させた。そして同じ手口を約4日間でAI企業およそ30社に繰り返した。十数の経路を動員したこの行為者の目標は未公開のClaudeモデルへのアクセスだったが、試みはすべて失敗した。別のグループは割引価格の「Claude」アクセスを販売しながら、実際には通信を別のモデルへ密かに転送し、買い手の端末には認証情報の収集ツールを仕込んでいた。

実務上の指針は絞られる。AIキー、サンドボックス、プロキシ、エージェント連携を本番の認証情報として扱い、モデルアクセスは正規の経路からのみ購入することだ。Anthropicの阻止した作戦に関する報告には侵害指標が収録されている。この報告はHacker Newsで長い議論を呼び、Anthropicによる2億件の対話の蒸留分析で扱ったモデル複製についても別の節を設けている。

FAQ

Anthropic自身のシステムは侵害されたのか

されていない。モデルの認証情報が盗まれたすべての事例で、キーは顧客側の環境から出ていた。コードリポジトリ、モバイルアプリのバイナリ、コンテナ、ベンダーの評価用サンドボックスに露出していたものだ。未公開モデルを狙って4日間でAI企業30社を探った行為者も、最後まで内部には入れなかった。

エンドポイント検知はもう無意味になったのか

無意味ではないが、その前提は弱くなった。シグネチャ型の検知が機能した理由の一つは、回避用ツールの作り直しが攻撃者にとって遅く高価だったことだ。その再ビルドが自動化され人手なしで回れば、防御側はテンポの優位を失い、振る舞いベースの検知とID側の統制により大きな比重を置く必要が出てくる。

AIエージェントを提供するチームが最初にすべきことは何か

モデルの認証情報が存在するすべての場所を棚卸しすることだ。CI環境、モバイルバイナリ、コンテナイメージ、外部連携、評価用サンドボックスがいずれも該当する。そして本番の秘密情報と同じ周期で更新する。キーを保持するエージェントへのプロンプトインジェクションは、いまや理論上の懸念ではなく記録された認証情報窃取の経路である。