Claude CodeやCursorといったコーディングエージェントは、開発者がシェルを開いたりファイルを編集したりAPIを呼び出したりプロジェクト用ヘルパーをインストールしたりする際に用いる、信頼されたベンダー署名済みのツールです。
しかし、この「信頼」こそが検知を難しくしています。承認済みのコーディングエージェント配下で起動された活動であっても、深刻度の高いコマンド＆コントロール（C2）通信と酷似する可能性があるためです。
macOSの開発者向けエンドポイントから得られたElastic Securityのテレメトリは、このリスクを如実に示しています。
Claude Code配下で稼働していたシェルが、認証情報付きのHTTPリクエストを一時的なトンネルドメインに送信し、アプリケーションの各種メトリクスを取得したうえで、Cloudflare Quick Tunnelを作成し、さらにLaunchAgentによる永続化まで行っていたのです。
直接の子プロセスは大抵の場合、Claude Codeがすべてのバイナリを直接起動するのではなく、zshシェルおよび各種ユーティリティでした。
この活動自体がマルウェアであると断定できるわけではありません。しかし、防御側が調査すべき結果を生み出していたのは確かです。コマンドライン上に認証情報が現れていたこと、リバーストンネルによってローカルサービスが外部に露出していたこと、そしてログアウトや再起動を乗り越えて存続するよう設計された永続化の仕組みです。
Elasticのガイダンスも同様に、アナリストに対して、通常とは異なる生成AIの通信先を、プロセスの引数、設定変更、ダウンロードされたファイル、関連するエンドポイントイベントと合わせて調査するよう推奨しています。
2つの異なる調査経路が、いずれも同一の7月23日の活動期間に行き着きました。一方はトンネル関連の通信先に関するドメインレピュテーションのシグナルから始まったものです。
もう一方は、生成AIツールに関連する永続化アクティビティを含む、相関の取れたエンドポイント検知から始まりました。
このホストでは、それ以前の数日間にすでに、トンネルおよびVPN型バイナリ、不審なPython実行、そしてコーディングエージェント由来の子プロセス数の増加についてアラートが発生していました。
7月23日、これらのシグナルが一点に収束しました。lhr[.]lifeおよびtrycloudflare[.]comのホストへの認証情報付きリクエストが、cloudflared、ngrokバイナリ、そして新規のLaunchAgentファイルと同時に出現したのです。
最初に注目すべきパターンは、コーディングエージェントの系統下にあるシェルがcurlを用いて、トンネル経由で公開された/loginエンドポイントに対し、HTTP 200が返るまでポーリングを繰り返していたというものでした。
その後、認証を行ったうえで、支出データや広告データといったメトリクスを取得するために/api/summaryパスをリクエストしていました。
この挙動はビーコン通信に似ている可能性があります。繰り返される準備確認ループ、認証情報付きのPOSTリクエスト、公開トンネルのホスト名、自動化されたデータ取得——これらはいずれも、C2インプラントがリモートサーバーにチェックインする挙動とよく似ています。
とはいえ、同じ一連の動作は、開発者が一時的なトンネル経由で公開したローカルダッシュボードを単にテストしているだけ、という可能性もあります。
このセッションはその後、cloudflaredを起動し、Cloudflare Quick Tunnelインフラストラクチャを通じてlocalhost上のサービスを公開しました。この方式では、エンドポイントがトンネルプロバイダーへアウトバウンド接続を確立し、プロバイダー側が公開URLを発行します。
これにより、リモートユーザーは、インバウンドのファイアウォールルールや従来型のポートフォワーディングを設定することなく、ローカルアプリケーションにアクセスできるようになるとElasticは述べています。
この仕組みはテストやデモの用途には便利ですが、認証情報付きのアクセスや永続化と組み合わさると、より懸念すべきものとなります。テレメトリにはさらに、PlistBuddyなどのツールで作成されlaunchctl経由で読み込まれたLaunchAgent関連のファイルも記録されていました。
監視役のように振る舞うLaunchAgentは、公開URLを定期的にテストし、トンネルが機能しなくなった場合には再起動をかけることができます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に把握し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/agent-tunnels-mimic-c2/
