ある中国系のサイバースパイ活動が、中央アジア各国の政府組織を積極的に標的にしていることが分かりました。攻撃者は7種類のマルウェアファミリーから成る、大半が未確認だったリモートアクセス型トロイの木馬(RAT)群を用いて、選定した被害者に対する長期的なアクセスを確立・維持しています。
Bitdefender Labsの研究者たちは、SilkParasiteと呼ばれる高度標的型攻撃(APT)グループによるものとされるこの活動を、2025年後半から追跡してきました。きっかけは、経済政策の意思決定に関わる中央アジアの政府機関で感染を検知したことでした。本日公開された報告書によると、このキャンペーンはウズベキスタン、トルクメニスタン、キルギス、タジキスタン、カザフスタンにまたがる政府機関を標的とし、各省庁や政府組織に合わせて調整されたスピアフィッシングの誘導手口を使用しています。
標的となった人物は通常、地域向けに調整されたOffice文書を含むメッセージを受け取ります。文書はパスワード保護されたRARアーカイブに格納されている場合もあり、開封するとマクロが起動してマルウェア配布チェーンが実行され、RATが展開される仕組みです。報告書によると、一部のアーカイブでは、セキュリティゲートウェイや自動解析システムによる添付ファイルの検査を困難にするため、攻撃者がパスワードを本文メールに記載しているといいます。
検出された7種類のマルウェアのうち5種類はこれまで未確認のもので、Bitdefenderにより後から命名されました。DriveSilkRAT、CookiETagRAT、NomadRAT、GoginRAT、NodeEdgeRATです。このキャンペーンで確認された残る2つのRATファミリーは、既に文書化されていたSpiceRATとBloodAlchemyです。
Bitdefenderによると、全体として「このツールセットは小規模かつモジュール化されており、専門的に作り込まれている上、AI支援による開発の痕跡も見られる」とのことです。この活動は、中国系の脅威活動とAIの攻撃者による活用の両面で重要な戦略的・技術的進化を示しており、世界規模での影響を及ぼす可能性があります。
SilkParasiteの地政学的な動機
この活動は、これまでFamousSparrowとして追跡されてきた中国系の活動と直接的なつながりがあり、より広範なShadowPad関連のエコシステムとも間接的な関連があると、BitdefenderのテクニカルソリューションズディレクターであるMartin Zugec氏はDark Reading取材に対して述べています。しかし同氏は「そのすべてが同じ基盤的な手法を土台にしている」と説明します。
Zugec氏によれば、この活動の発見は地政学、技術力、そして進化する中国系グループの手口に対する洞察という複数の観点から特に注目に値するといい、中でも地政学的な側面が「他のすべての土台になっている」としています。SilkParasiteの攻撃は、ロシアの影響力が中央アジア全域で後退する中、中国が経済的にその空白地帯へ進出している様子を示しており、「サイバースパイ活動は影響力の後を追う」ものだと同氏は述べています。
「SilkParasiteは、そうした変化がテレメトリ上でどう表れるかを示す例です。かつてはモスクワの勢力圏に確固として位置していた地域の政府や組織から情報を収集する中国系の攻撃主体というわけです」とZugec氏は説明します。
RATが示すのは局所的ではなくグローバルな手口
技術的な観点から見ると、この活動で展開された新種のマルウェアは、防御側に対し、ますます検知回避性を高めている中国系マルウェアの展開状況の現状を示す手がかりを与えてくれます。
「このマルウェアは小型でモジュール化されており、マルウェアらしく見えないように特別に作られています」とZugec氏は述べます。「コマンドチャネルはGoogle Driveのような信頼されたサービス上で動作させ、正規に署名されたアプリケーションの内部に隠れ、意図的に痕跡を最小限に抑えています」。つまり、防御側が「大型で自己完結型のインプラント」を探し続けている限り、SilkParasiteが展開しているものを見逃してしまうと同氏は指摘します。
3つ目の重要な知見は、中国系グループが複数の作戦間でどのようにツールや手口を共有しているかという点に関するもので、SilkParasiteの活動は、これらのAPTが世界各地で標的とする地域において今後起こり得る事態の前触れである可能性が高いことを示唆しています。
従来、中国系のキャンペーンはしばしば共有バックドアと結び付けられてきました。共通のインプラントが、一見無関係に見える複数の作戦に現れることで、防御側は識別可能な技術的な指紋を得ることができていたのです。
SilkParasiteはこれとは異なるモデルを示しています。運用者はバックドアを共有する代わりに、世界各地のキャンペーンで同じ運用手法や慣行を再利用しながら、それぞれ別個のマルウェアファミリーを開発できるというものです。「本報告書に記録された手法は移植可能であり、来週にはあなたの環境に出現してもおかしくありません」とZugec氏は警告します。
AI「生成」ではなくAI「支援」
研究者たちはまた、このキャンペーンで使用された新種のマルウェアについて、AI支援による開発と整合する複数の手がかりを発見しました。これは、ステルス性を求める運用者にとって戦略的な利点になるとZugec氏は述べています。
報告書によると、その証拠には、Gogin RATに残されたGoのテスト関数や、いかにも連番的なプレースホルダーの暗号化キー、NodeEdgeRATにおける「change_this_key」という設定値、そして異なるプログラミング言語で実装されているにもかかわらずNomadRATとGoginRATの間で共通する高レベルのアーキテクチャなどが含まれます。
マルウェアを完全に自動生成させるのではなく、開発の「ツール」としてAIを活用することは、SilkParasiteにステルス性の面で優位性をもたらす戦略的な判断だとみられると、Zugec氏はDark Readingに語っています。というのも、完全にAI生成されたマルウェアは、コードが往々にして派生的で肥大化し、ノイズが多くなりがちなため、高度なスパイ活動には不向きだからだと同氏は説明します。
「それはAPTが目指すものすべてに反します」とZugec氏は説明します。「彼らの技術は、目的達成のために痕跡を最小化することにあります。ですから、ステルス性を犠牲にしてスピードや量を優先するというのは、そもそも選択肢に入りません。だからこそ、実際のサイバースパイ活動においてAIの有用性は依然として非常に限定的だと私たちは考えていますし、『AIが攻撃を強化している』という語り口はこのグループには当てはまらないのです」。
SilkParasiteへの対策
SilkParasiteが多数の新種RATを使用しているからといって、防御側が新世代のセキュリティ製品を新たに用意する必要があるとは限りません。むしろ実際にはその逆だとZugec氏は述べます。組織を安全に保つ鍵となるのは、既存のツールを活用しつつ、こうした作戦の仕組みへの理解を深め、その理解に基づいて行動できるだけの十分な予防・検知・対応能力を既存の体制で確保することだと同氏は助言します。
「ほとんどの組織は、自覚している以上の能力をすでに保有しています。土台が不安定なまま新しいプラットフォームを継ぎ足しても、ノイズが増えるだけです」と同氏は述べます。既存の技術を組み合わせつつ、強固な予防・保護対策への投資を進めることは、単なるマルウェアの物量作戦で攻めてくる攻撃者に対して、防御側がより有利な立場を築く助けにもなります。
「この種の脅威に対するAIの現実的な影響は、マルウェアが賢くなることではなく、私たちが『凡庸さの工業化』と呼ぶ、同じようなものが量産される状況です」とZugec氏は述べます。「そうした状況には、既存のツールで十分対応できます」。
翻訳元: https://www.darkreading.com/threat-intelligence/silkparasite-central-asian-orgs-flurry-rats
