中国語話者ハッカー集団、Claude・Qwen・DeepSeekのAIエージェントを政府システム攻撃に悪用

中国語話者とみられる脅威アクターが、アジア各国の政府機関、政治団体、教育機関、産業組織を標的とした2件目の侵入キャンペーンにおいて、Claude、Qwen、DeepSeekを活用したAIエージェントを攻撃活動の一部として使用していたことが確認されました。

今回のキャンペーンは、7月に報告された政府機関・金融セクターを標的にClaude CodeとDeepSeekを使用した以前の作戦とは別物です。

今回新たに確認されたクラスターでは、研究者らが5台のサーバー上で120件のファイル内容一致を示した共有SOCKSプロキシエンドポイント(103.45.65[.]93:35888)を通じてインフラを関連付けました。

共有された痕跡には、SecFlowの設定ファイル、GLUTTONウェブシェルツール群、使い回されたプロキシ認証情報、そして偽装MySQLサービスとペイロード配布ホストとの直接的な接続関係が含まれていました。

標的には、台湾の国民党(Kuomintang)党史館、インドネシア外務省、中国本土の政府機関・教育機関、そしてベトナム・ダナンの産業システムが含まれていました。

確認された侵害の中で最も深刻だったのは、豊台区(Fengtai District)政府のオフィスオートメーション環境で発生したもので、攻撃者はWindowsコマンド実行権限を取得し、認証情報を窃取したうえ、政府関連および医療関連の記録を収集していました。

今回のキャンペーンの中心にあったのは、高レベルの目標を専門タスクへと変換するAIエージェント統合フレームワーク「SecFlow」です。

各ワーカーには偵察、脆弱性検証、エクスプロイト実行、情報収集、報告といった役割が割り当てられ、ファイルシステム、標的の設定情報、プロキシ経路、そして以前のタスクで生成された証拠を互いに共有していました。

CVE脆弱性アラート

復元されたランタイム設定からは、攻撃者がタスクのインターフェースを変更することなく、Claude、Qwen、DeepSeekの各モデルプロファイルを切り替え可能だったことが判明しています。

Claude ACPおよびQwen Codeのラッパーには、権限バイパス設定や「yolo」承認モードを含む広範な権限が付与されていました。

モデル関連の通信は、niestools[.]comという名前空間下のプライベートエンドポイントと、各プロバイダーの公式APIの両方を経由してルーティングされていました。

このモデル切り替え型のアーキテクチャが重要なのは、AIエージェントの実行基盤と、その裏で動くモデル本体を分離している点にあります。攻撃者は同一の攻撃ワークフローを維持したまま、プロバイダーやAPIルート、モデルの性能を切り替えられるのです。

AIシステムはタスクの整理や、コマンドの生成・調整を担っていましたが、実際の侵入行為自体は、公開されている概念実証(PoC)エクスプロイト、認証情報を狙った攻撃、独自スクリプト、ウェブシェル、マルウェアといった従来型の手法に依然として依存していました。

研究者らはまた、重大な運用上の弱点も発見しています。Shiroの脆弱性に関する誤検知(false-positive)が、AIワークフロー内でそのまま正しいものとして受け入れられ、その後27件を超える後続テストが無駄に失敗する結果を招いていました。

オープンディレクトリ152.42.200[.]25:9999に関するHunt.ioの攻撃レポートでは、主に台湾とインドネシアの政府システムを標的とするアクターの存在が評価されています。

今回の事案は、自律型または半自律型の攻撃ワークフローが、正当な発見事項と同じくらい効率的に、誤った前提までも増幅させてしまう可能性があることを浮き彫りにしています。

Hunt.ioの研究者らによると、5つの露出した攻撃者用ワークスペースを通じて明らかになった今回の活動は、従来型の攻撃ツールを置き換えるのではなく、偵察、エクスプロイト実行、侵入後の活動、報告作業をAIによるオーケストレーションがいかに加速させ得るかを示しているといいます。

AIを活用した政府機関攻撃

豊台区への侵害は、インターネットに公開されたオフィスオートメーションアプリケーションを起点に、ウェブシェルの展開、Windows環境の探索、認証情報の窃取、データベースへのアクセス、そして水平展開(ラテラルムーブメント)の試みへと段階的に進行しました。

攻撃者らはASPXコマンドシェルを展開し、Windowsコマンドの実行、プロセスおよびサービスの列挙、内部システムのスキャン、さらにOracleおよびMicrosoft SQL Serverサービスとの連携を行っていました。

攻撃者はLSASSのメモリダンプに加え、SAMおよびSYSTEMのレジストリハイブを収集し、その後Webからアクセス可能なハンドラーを経由して、データを37個のチャンクに分割してダウンロードしていました。

さらに822件のオフィスオートメーションアカウント記録を抽出し、新たに特権アカウントを1件追加で作成していました。これにより、展開済みのウェブシェルとは別に、アプリケーション層での持続的アクセス経路を確保していたことになります。

侵害を受けた環境には、管理文書や医療関連ファイル、患者情報を含む慢性疾患報告書などを含む、合計約1.28GB、約949件の添付ファイルが保存されていました。

その後、「SecBox」と名付けられたGo言語製のリモートアクセス型インプラントが、ASPXファイルを介して展開されました。

このマルウェアは、リモートシェルアクセス、ファイル転送、ポートスキャン、SOCKSプロキシ機能、ポートフォワーディング、そしてコマンド&コントロール経路を更新するためのデッドドロップ・リゾルバー機構をサポートしています。

SecFlowのワーカーには、Java、.NET、Node.jsをはじめとする複数のサーバーサイド形式に対応したウェブシェル生成機能「GLUTTON」の使用が指示されていました。

GLUTTONには、難読化、識別子のランダム化、文字列のエンコード、ステガノグラフィによる配信といったオプションが備わっていました。

復元されたローダーの一つは、RGBのピクセル値に実行可能なペイロードデータを隠したPNG画像を受け付ける仕様になっていました。

このペイロードはXORデコードされたのちメモリ上に直接読み込まれる仕組みで、攻撃者は実行可能コンテンツを画像通信に見せかけることで、拡張子やMIMEタイプに基づくフィルタリングの効果を弱めることができました。

今回のキャンペーンでは、Shellshock、Ghostcat、Spring4Shell、Apache Shiroのデシリアライゼーション脆弱性、Log4Shell、Grafanaおよび Nexusのパストラバーサル脆弱性、Nacosの認証バイパスなど、8件の既知脆弱性に対応したワークフローも組み込まれていました。

CVE脆弱性アラート

証拠からは、国民党党史館のパスに対してShellshockのペイロードが実際に送り込まれていたことが確認されたほか、XOR暗号化されたウェブシェルのクライアントが、インドネシア外務省のエンドポイントを参照していたことも判明しています。

今回の調査では、簡体字中国語による痕跡、繰り返し登場する「Nie」というハンドル名、中国製のプロキシ管理サービス、そしてniestools[.]comというモデルルーティング用インフラを根拠に、このインフラ群を中国語話者の攻撃者によるものと中程度の確度で分析しています。

ただし、現時点で得られている証拠だけでは、特定の国家支援型ハッキング集団への帰属を裏付けるには至っていません。

今回のキャンペーンは、防御側にとって今後さらに現実味を帯びていく状況を示しています。すなわち、AIエージェントが攻撃者のワークフローに組み込まれ、攻撃力を増幅させる存在として活用されつつあるということです。

セキュリティチームは、攻撃対象領域(アタックサーフェス)の管理、インターネットに公開されたアプリケーションへのパッチ適用、ウェブシェルの挙動監視、プロキシ通信を考慮したログ収集、そして不審な画像アップロードやHTTPベースのファイル転送パターンの検知を優先課題とすべきです。

侵害指標(IOC)

注: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無効化(defang)表記(例: [.])としています。再有効化(re-fang)は、MISP、VirusTotal、あるいは自社のSIEMといった管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 7段階のメトリック連動型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。