中国系のスパイ集団がAIエージェントを使い、11日間で200以上の組織を攻撃していたことが、先週のCrowdStrikeの発表で明らかになりました。また月曜日には、Kaspersky（カスペルスキー）が、中国語を話す攻撃者によるアフリカと中南米の教育機関を狙った別のキャンペーンの詳細を公表しました。
2つのキャンペーンに関連はないとみられますが、手口は共通しています。人間が標的と目的を決め、大規模言語モデル（LLM）がどのコマンドを実行するかを判断して、被害者のネットワーク内にあるインプラントへ送信するという流れです。
ARTEXでVapor Pandaの攻撃範囲が拡大
CrowdStrikeが「Vapor Panda」として追跡している中国系グループは、10月17日からARTEXと呼ばれるエージェント型フレームワークを使い始めました。同社の調べでは、その後の11日間に、1台のARTEXコントローラーが少なくとも14カ国の組織に対して使われました。
標的には、中南米、欧州、アジア、中東の外務省のほか、米国の防衛・半導体企業、通信事業者が含まれていました。
CrowdStrikeは、9つの組織で侵入後の活動を確認しており、グループはそこでバックドア「BloodAlchemy」を設置していました。米国のシンクタンクや欧州の政府機関など、少なくとも12の組織に対するパスワードスプレー攻撃も観測されています。
ARTEXフレームワークは主にDeepSeekで動作し、CrowdStrikeが特定できなかったもう1つの商用LLMも併用していました。メインのエージェントがプランナーエージェントとワーカーエージェントに作業を割り振り、得られた情報は共有グラフに記録されます。
ある侵入事案だけでも、プランナーエージェントは約14億の入力トークンを処理しました。回収されたやり取りの記録では、オペレーターが判断の分かれ目で中国語の指示を出して介入している様子が確認できます。
あるルートが失敗すると、エージェントは別のルートに切り替えました。ただし、使われた手法自体は既知のものでした。
ある製薬会社では、エージェントが署名なしのSAMLアサーションとXXEの脆弱性を組み合わせてクラウドインスタンスのメタデータサービスに到達し、そこから段階的にエンタープライズ管理者アカウントまで権限を拡大しました。
同社は次のように説明しています。「ギリシャの政府機関に対しては、オペレーターがエージェントに、同機関のメールサーバーから2022年にエクスポートされたディレクトリのデータを与えました。そこには、エクスポート以降ローテーションされていなかったとみられる認証キーが含まれていました。エージェントはこのキーを使って管理者トークンを偽造し、メールボックスを読み取りました。さらに、ユーザーの送信済みメールから回収したVPN設定と、オペレーターが2024年5月のメール流出に由来すると説明したVPNクライアントキーを使って、内部ネットワークに到達しました」
CrowdStrikeがVapor PandaによるAIツールの利用を確認したのは今回が初めてで、グループの標的リストもそれに伴って拡大しています。Microsoftが最近公表した、Storm-0940グループによる別のARTEX活動に関するレポートと合わせると、ARTEXフレームワークは中国系グループの間で広がりつつあるとみられると、CrowdStrikeは指摘しています。
数日でドメイン管理者を掌握
Kasperskyのレポートが扱うのは、アフリカと中南米の複数の国にある教育機関を狙った、より小規模なキャンペーンです。
攻撃者が使ったのは、Go言語で書かれたオープンソースのペネトレーションテストフレームワーク「CyberStrikeAI」です。LLMは攻撃者のコマンド＆コントロール（C2）サーバー上で動作し、次の手順を計画してコマンドを生成します。被害者のマシン上のインプラントにAI機能は組み込まれておらず、受け取った内容をそのまま実行するだけです。
攻撃者はまず、侵害したSQL Serverを足がかりに「手作業」で侵入し、約1日かけて偵察を行った後、2週間にわたって活動を止めました。しかしエージェントを導入すると、事態は急速に進みました。2分以内に永続化とローカル環境の偵察を済ませ、その後約5時間をかけてドメインの構造を把握しています。
数日後には、横展開、複数ホストでの認証情報のダンプ、データベースのエクスポートが1時間足らずで完了しました。エージェントの展開からドメイン管理者アカウントの侵害まで、全体で3〜4日しかかかっていません。
Kasperskyはこの活動を既知のグループとは結び付けていません。ただ、中国語を話すオペレーターの存在をうかがわせる手がかりはいくつかあります。スクリプト内の中国語コメント、中国のサービスdnslog[.]cnの利用、そしてC2サーバーの再起動がおもにUTC+8の業務時間帯に行われていたことです。
Kasperskyの研究者は次のように付け加えています。「ツール自体の出自も、間接的に同じ方向を示しています。CyberStrikeAIは中国のサイバーセキュリティコミュニティで開発されたもので、同コミュニティではよく知られています」
防御側が今すぐ取るべき対策
これまで、記録されている攻撃者によるAIの利用は、大半が準備段階にとどまっていました。フィッシングメールの作成、コードの修正、脆弱性の調査などです。今回のキャンペーンでは、モデルが侵入そのものの一部を担っています。
Kasperskyの研究者は次のように述べています。「HexStrike AIなどのツールが『発見と突破』のフェーズを、Sliver、Mythic、Havocが『足場の確立と制御』のフェーズをカバーするとすれば、CyberStrikeAIはキルチェーンを完結させます。Go言語で書かれた単一のサーバー側プロセスが、MCPを介してユーティリティを実行し、Webシェルの接続を処理し、インプラントにタスクを割り当てます。モデルは結果を分析し、次の行動を判断します」
「重要なのは、攻撃チェーンへのAIの導入が、検知にとって根本的に新しい課題をまだもたらしていないという点です。『知的』な作業はすべて攻撃者側に残っており、侵害されたホストで行われるのは、Kerberoasting、AS-REP Roastingによる偵察から、LSASSのダンプ、DCSync、Golden Ticket攻撃まで、おなじみの動作です」
これらの攻撃の新しさは、実行の速さと容易さにあると、研究者は付け加えています。
CrowdStrikeは、検知は導入されている範囲でしか機能せず、攻撃者はその隙間を探していると指摘しています。同社は、侵害の疑いがある場合はキーと認証情報をローテーションすること、SAML署名検証とIMDSv2を強制すること、ARTEXの痕跡を探索すること、インターネットに公開された機器にパッチを適用すること、あらゆる環境でEDRを稼働させることを組織に勧めています。
同社は「中国系の攻撃者は、今後12カ月にわたってARTEXのようなエージェント型フレームワークの採用を続け、市販のLLMと組み合わせる可能性が非常に高いとみられます。これにより、少人数のチームでも多数の標的への侵入を同時に素早く拡大できるようになります」と結論づけています。
Kasperskyの研究者はまた、モデルの進化に伴って、これらのツールが使う手法も高度化すると予想しています。オペレーターの役割も「タスクの設定から、モデルの動作の監視」へ移っていくとみています。
翻訳元: https://www.helpnetsecurity.com/2026/11/03/ai-powered-cyberattacks-artex-cyberstrikeai/
