AIを活用したToxNetV2 Linuxボットネット、LLMでシェルコマンドやSSHコマンドを生成

AArch64 Linux向けのP2P型ボットネット「ToxNetV2」は、コントローラーの処理フローに大規模言語モデル(LLM)を組み込み、ボットネットやホストのテレメトリ情報を実際の操作アクションの提案に変換しています。

この実装では、NVIDIA NIMがホストするz-ai/glm-5.2モデルの出力を、ローカルシェルの実行、ファイル書き込み、リモートSSHコマンド、永続的な状態変更、クロスコンパイルといったコントローラー側の各種機能と連携させています。

Joe Reverser氏が公開した分析によると、このマルウェアは完全に自律的で自己改変を行うボットネットではないとされています。

マルウェア分析ツール

むしろ、オペレーターによる承認を前提としたモデルを採用しています。テレメトリ情報を収集してLLM分析に送信し、それを構造化された「ACTION:」レコードに変換したうえで保留中のタスクとしてキューに登録し、認証済みのオペレーターが「aiexec」コマンドを発行して初めて実行される仕組みです。

このワークフローにより、AIが生成した推奨事項と、影響の大きい実際の操作との間に人間の承認プロセスが挟まる形になります。ただし、モデルの出力が最終的には実際の実行機構にまで到達し得る点は変わりません。

同一のToxNetV2バイナリは、通常のボットとしても、ボットネットのコントローラーとしても機能できるとされています。

このマルウェアは「c2.data」という名前のファイルからTox状態を復元すると、コントローラーモードに移行し、AIサブシステムを初期化します。この状態ファイルがない場合は、通常のボットとして動作します。

これにより、ボットネット内での役割が分離されています。通常のノードはスキャン、拡散、ホスト管理、ネットワーク攻撃といった機能を維持する一方、コントローラーは全体の調整とAI支援による意思決定を担います。

したがって、LLMはすべての感染ホストに組み込まれているわけではなく、コントローラー側の中枢に配置され、コントローラーとボット双方のテレメトリ情報をまとめて分析できるようになっています。

コントローラーのAIレビュー経路は、プロセスの状態、負荷平均、メモリ消費量、ディスク使用量、ボットネットのカウンター情報など、システムおよびボットネットに関する情報を収集します。

より広範なレビューでは、ハードコードされたリモートサーバーから取得した情報も追加で組み込まれる場合があります。

ToxNetV2 Linuxボットネット

Joe securityの研究者らによると、このマルウェアはその後、埋め込まれたプロンプトを使ってこのコンテキスト情報をNVIDIA NIMに送信します。このプロンプトには、モデルの拒否応答を減らし実行可能な回答を引き出すよう設計されたENI/VEILジェイルブレイクプロンプトも含まれています。

クラウドセキュリティサービス

モデルの応答すべてが実行可能なアクションになるわけではありません。例えば「aiprompt」コマンドは、オペレーターが入力した任意のテキストを受け付け、通常のテキスト応答を返すだけです。

しかし、「aifix」「aistrategy」「aidaily」「aiideas」といった自動化されたワークフローは、「ACTION:」エントリを含む応答を解析し、認識したレコードをコントローラーの保留中アクションへと変換することができます。

それらのアクションには、モデルが指定したローカルシェルコマンドを実行する「shell_cmd」、ローカルファイルを作成または上書きする「write_file」、モデルが指定したコマンドをroot権限でリモート実行する「ssh_check」などが含まれます。

そのほかにサポートされているアクションとして、状態の保存、ログエントリの追加、オペレーターへのアラート発行、AIメモリの保存、タスクの重み付けの変更、固定のコンパイルワークフローの実行などがあります。

重要な点として、構造化されたアクションはキュー内にとどまり、オペレーターが「aiexec」を通じて承認するまで実行されません。このコマンドは保留中アクションのリスト全体を処理し、クリアします。

ログ記録、メモリ、状態処理などの影響が小さい一部の操作については、ヘルス分析中に自動的に処理される場合があります。

このため、ToxNetV2は完全に手放しの自律型エージェントというよりも、AI支援型の運用レイヤーとして捉えるほうが実態に近いといえます。

回収されたコードには、モデルがマルウェアを書き、コンパイルし、展開し、既存のボットインスタンスを置き換えるという、完結した自律サイクルは確認されていません。

また、一部のアクション名は、実際のハンドラーの動作を誇張して表現しています。例えば「restart_worker」アクションは、プロセスを直接再起動するのではなく、再起動要求を記録するだけです。

同様に、「compile_deploy」の処理経路は固定のローカルソースコードをコンパイルして出力バイナリを生成しますが、研究者らは自動配布や再展開の段階までは確認できませんでした。

今回の重要な発見は、より限定的なものです。ToxNetV2は、運用テレメトリと権限の強いコントローラー機能との間に、LLMによる解釈というプロセスを挿入している、という点です。

このAIコンポーネントは、暗号化されたP2P型の指揮統制、拡散ロジック、スキャンワーカー、ホスト制御機能、17種類のネットワーク攻撃ランチャーなど、より広範なTOXベースのアーキテクチャの中で動作しています。

このマルウェアには、Toxのブートストラップおよびリレー記録が25件含まれており、そのうち23件は一般に公開されているTox関連インフラに対応しています。残る2件は45.130.151[.]214を参照しており、このアドレスはAIモジュールのroot SSH接続先としても設定されています。

マルウェア分析ツール

HTTPおよびTelnet経由の拡散処理は、45.151.139[.]113からシェルスクリプトを取得・実行しようと試みますが、分析時点ではペイロードを入手できませんでした。

このSSHエンドポイントとボットネットインフラの間に重なりが見られることから、このアドレスは攻撃者が管理しているものと考えられます。

ToxNetV2は、注目すべきマルウェア設計パターンを示しています。LLMはボットネットに元々備わっていない能力を新たに付与しているわけではありませんが、状況の解釈を助け、既存のシェル、SSH、ファイル、インフラ制御といった各機能をどう活用すべきかを提案する役割を担っているのです。

侵害指標(IOC)

注: IPアドレスおよびドメインは、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再び有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

★ どのセキュリティツールを削減すべきか?1ページでスコアリング – 継承されたセキュリティスタックガイドをダウンロード