タイ財務省(MOF)を標的とした脅威アクターが、サイバースパイ活動とみられる作戦の一部を自律型AIエージェントに実行させていたことが分かりました。
脅威インテリジェンス企業のHunt.ioは7月23日、リサーチブログ記事でこのインシデントの詳細を公開しました。スパイ活動自体はニュース性があるとはいえ、それ自体は特に珍しい出来事ではありません。しかし今回の攻撃が際立っているのは、攻撃者がAIエージェントの支援を受けていた点です。使用されたのは、Hermesというオープンソースツールを通じた自律型AIエージェントでした。
7月9日から13日にかけて、Hunt.ioのプラットフォームAttack Captureは、香港でホストされた3つの同時並行的なオープンディレクトリを特定しました。これらには複数のCVEを狙うエクスプロイトコード、Webシェル、suo5 HTTPトンネル、カスタムスクリプトが含まれていました。
Hunt.ioが発見したところによると、タイ財務省を標的としたこの攻撃は、主に制限なしの「YOLO」モードで動作するHermesエージェントによって遂行されていました。このモードでは、人間の承認なしにエージェントが機能できるようになっています。
これは、攻撃者が脅威作戦の大部分を大規模言語モデル(LLM)に肩代わりさせる最新の事例です。今月初めには、セキュリティ・インシデント対応企業のSygniaが、単独の攻撃者がAIを用いて複雑なキャンペーンを指揮した事例を詳細に報告しています。この攻撃はAmazon Web Services(AWS)を利用する大手企業の環境を狙ったもので、最終的に恐喝の成功にまで至りました。
タイ政府はこの攻撃についてコメントしていませんが、Hunt.ioによると、同社と別のセキュリティ研究者Bob Diachenko氏は7月15日にこの攻撃をタイの国家CERTおよび国家サイバーセキュリティ庁(NCSA)に報告したとのことです。政府側は同日中に受領を確認し、Hunt.ioによれば公表は「標準的な7日間の開示猶予期間」に従って保留されていました。
ハッカーはどのようにAIをタイ政府への攻撃に使ったのか
Hunt.ioは初期侵入の正確な手口を特定できなかったものの、攻撃者のインフラには、前述のWebシェルに加え、LinuxとWindowsの両方を標的とした権限昇格用のエクスプロイトコードが多数用意されていました。研究者によれば、特定された攻撃インフラ内のファイルは「現在も進行中の侵入」を示しており、ツールが展開され内部アクセスが拡大している状況だったとのことです。
ブログ記事には「目的特化型のスクリプトが、ハードコードされた認証情報を使うHiveServer2クライアントと、WebHDFS経由でコマンドを発行し出力を返す悪意あるHive UDFを用いて、MOFのHadoopインフラを標的としている」と記されています。
研究者たちは環境内のインフラの中から「Hades」を特定しました。これはGo言語で書かれたWindows・Linux両対応のカスタムインプラント型マルウェアで、財務省固有の偵察・エクスプロイト・認証情報窃取ツールと共にホストされていました。今回の調査では、HadesがMOF環境内のどこに展開されていたかまでは明らかにされていませんが、その主な機能には対話型のリモートシェルアクセス、永続化タスク、メモリ上での実行、ファイル転送、そしてSOCKSプロキシ機能が含まれていました。SOCKSプロキシとは、侵害済みのマシンをネットワークトラフィックの中継点に変える手法です。
Hermesはこうした機能群を支援する形で使われていました。脅威アクターはこれを使い、システムの列挙、権限昇格、ファイルやサービスの探索、ネットワーク偵察を実施しました。研究者はまた、Hermesが「オープンソースプロジェクトのLinPEAS(Linux Privilege Escalation Awesome Script)を活用し、さらにネットワーク内を移動していた」ことも指摘しています。
Hunt.ioは「追加のログからは、オペレーターがPDF、DOC、XLSファイルおよび財務事務次官室に関連する人事記録が含まれるコンテンツディレクトリを列挙するようエージェントに指示していたことが読み取れます。ただし、これらのファイルが実際に窃取されたことを示す証拠はありません」と記しています。
Hunt.ioの研究責任者であるEsteban Borges氏はDark Reading の取材に対し、同社は財務省の環境からいかなる種類のデータも窃取された証拠は見つからなかったと述べています。
今回特定された攻撃者インフラは、以前ShadowPadの制御サーバーとして使われていたこと(ShadowPadマルウェアは中国の国家支援型スパイ活動グループとの関連が指摘されています)、香港を拠点とするインフラであること、そして複数の中国語による痕跡が見られることから、Hunt.ioは「この活動の背後にいる攻撃者は中国語話者であるか、あるいは中国語に精通している人物である」との「中程度から低程度の確度の評価」を下しています。
AIを活用した攻撃と、お粗末な運用セキュリティ
Hunt.ioは防御側に向けて、次のような対策を推奨しています。HiveServer2の認証モードを確認すること(デフォルト設定ではSASL PLAIN経由で渡された認証情報を検証せずにそのまま受け入れてしまい、今回のオペレーターのスクリプトはまさにその挙動を悪用するよう書かれていました)。HiveServer2のUDFブロックリストを適用すること。今回攻撃者が使用したものと類似したPHPファイルがないか、Webルートを再帰的に監査すること。そしてsudoとpolkitにパッチを適用し、攻撃者が用いたエクスプロイトから保護すること、といった内容です。
その他の推奨事項および侵害の痕跡(IOC)については、ブログ記事内で確認できます。
Hunt.ioがこの種の攻撃を特定したのは今回が初めてではありません。2週間前にも、中国系とみられるオペレーターがClaude CodeとDeepSeekを使い、4カ国にまたがる金融システムを標的にしたキャンペーンについて、Hunt.ioが詳細を報告しています。
Borges氏は、こうしたAIを活用する攻撃者には運用セキュリティの甘さという共通パターンが見られると指摘しています。今回のタイへの攻撃が発覚したのは3つのディレクトリが露出していたためであり、以前の攻撃が発覚したのも、インフラが誰でも閲覧できるオープンディレクトリとして放置されていたためでした。
同氏は次のように述べています。「いずれのケースでも、自動化によって大量の記録が生成され、いずれの場合もオペレーターはそれを適切に管理していませんでした。こうした作戦を高速化する同じツール群が、証跡も生み出してしまうのです。それが放置されて露出すれば、侵入がどのように行われたかを直接のぞき見る窓になってしまいます」。さらに続けます。「それによって実際に攻撃者の摘発が容易になるかどうかは、まだ分かりません。ただ、これまでのところAIを多用した作戦ほど、より多くの痕跡を残しており、少なくはなっていません」
