脅威研究者らが、中央アジア各国の政府機関を狙った攻撃で、これまで確認されていなかった5種類のマルウェアが使用されていることを発見しました。
「SilkParasite」と呼ばれるこのスパイ活動は、中国を拠点とする軍事レベルのハッカーによって展開されたとされ、開発過程の随所で人工知能が活用されていたとみられます。
サイバーセキュリティ企業のBitdefenderは今週、この攻撃キャンペーンに関する報告書を公開し、調査は中央アジアのある国（国名は非公表）で経済関連の政府機関において発見された不審な感染から始まったと説明しています。
数カ月にわたるフォレンジック調査と脅威ハンティングの結果、7種類のマルウェアファミリーと、約1年間にわたり継続していた攻撃活動が明らかになりました。
Bitdefenderは、ウズベキスタン、トルクメニスタン、キルギス、タジキスタン、ジョージア、カザフスタンの政府機関に関連するよう見せかけた悪意ある文書を発見しており、その中には複数の省庁になりすましたものも含まれていました。
同社は、ロシアの中央アジアにおける影響力低下によって生じた空白を、中国が経済面で埋めつつあると分析しており、これが同国が地域各国政府の経済部門をスパイする動機になっていると理論づけています。
Bitdefenderは、少なくとも1種類のマルウェア株と中国を拠点とする別のスパイ活動グループとの関連性から、このキャンペーンを中国に結び付けました。攻撃で使用されたIPアドレスの複数が、中国の通信企業に関連付けられています。Bitdefenderはこの1年間で、欧州と南アジアを標的とした中国関連の他の2つの攻撃キャンペーンも追跡しており、その中には南コーカサスを狙った一連の事案も最近含まれていました。
ハッカーらは、主にスピアフィッシングメールを通じて配布される悪意あるMicrosoft Office文書を通じて初期アクセスを獲得していました。おとり文書はアーカイブに格納され、メールゲートウェイのスキャンを回避する工夫が施されていました。
Bitdefenderは65件の感染を確認しており、その大半はアジア地域で発生したもので、7種類のマルウェアの中で最も広く使用されていたDriveSilkRATが関与していました。
DriveSilkRATがBitdefenderの目を引いたのは、大半のマルウェアとは異なり、専用のコマンド＆コントロールサーバーと通信しない点です。代わりに、共有のGoogleドライブフォルダにリンクされており、脅威アクターはこれを利用することで、多くの企業環境では精査の対象になりにくい通常のGoogleドライブのトラフィックとしてネットワーク監視をすり抜けています。
AIによる開発
SilkParasiteキャンペーンで注目すべき点の一つが、人工知能の活用です。
Bitdefenderは、メールのおとり文書のうち2件がAIによって生成されていたことを発見したほか、マルウェア株の開発過程でAIが使用されたことを示す他の証拠も確認しました。5種類のマルウェアはこれまで確認されたことのないものでした。
同社はこのキャンペーンについて、「痕跡を最小限に抑えるよう最適化された、プロフェッショナルなスパイ活動用ツールの一例だ。フットプリントを最小化し、動的にメモリ上で実行し、従来のマルウェアファミリーと似ないよう意図的に作り込まれている」と述べています。
「この種のAPT級マルウェアは、依然として明確に人間の専門家による作業です」と同社は述べています。「SilkParasiteは主に『支援型』です。能力の高い人間がエンジニアリングを担い、より速く作業を進めるためにAIを活用していますが、その結果いくつかの手がかりは残るものの、品質の低下は見られません」
マルウェアのコードに残された複数のプレースホルダーが、開発過程でAIが使用されたことを示す手がかりとなっており、高度な国家支援型の攻撃者でさえAI支援によるコーディングを行っていることを裏付けています。
高い能力を持つ脅威アクターは今後、「AIが役立つ場面ではプロフェッショナルなワークフローに組み込みつつ、機械的な出来の甘さが作戦の露見につながりかねない場面からは遠ざけるという形で、ゆっくりと選択的にAIを取り入れていく」だろうとBitdefenderは説明しています。
長年にわたる警告の末、AIがサイバー脅威の領域に浸透しつつある実態が形になりつつあるようです。水曜日には米国家安全保障局（NSA）が、名前を明かしていない脅威アクターがAI生成のエクスプロイトスクリプトを用いて重要な産業技術を標的にしており、現実世界で危険な攻撃を可能にし得るとの緊急警告を発表しました。
この警告に先立つ1週間前には、別の企業が台湾政府に対する自動化されたサイバー攻撃を確認したと主張していました。
翻訳元: https://therecord.media/china-cyber-espionage-central-asia
