英国の学校群を狙った3AMランサムウェアの攻撃は、サイバー犯罪者がAIを人間のオペレーターの代替ではなく「戦力増幅装置」として使う未来を、早くも垣間見せるものかもしれません。
Bitdefenderは本日、実際の攻撃で確認された「ハイブリッドAIランサムウェア攻撃」に関する調査結果を公表しました。一連の行動のうち、どれが人間によるもので、どれがエージェント的な要素によるものかも分析しています。表面的には、この攻撃は比較的単純です。同社のブログ記事によると、3AMランサムウェアのアフィリエイトが英国の学校を攻撃し、「その後、一般的なWindowsツールを使ってドメイン間の信頼関係を構築し、他の学校へ侵入範囲を広げた」といいます。
攻撃者はバックアップの認証情報を盗み、不正なドメイン管理者アカウントを作成しました。さらに、それまで独立していた複数のActive Directoryドメイン間に信頼関係を確立して学校間を移動し、データを窃取したうえで3AMランサムウェアを展開しています。つまり、Bitdefenderは作戦の一部をAIが実行したと主張しているものの、攻撃の大半は見慣れたランサムウェアの手口をなぞっていました。
この攻撃が興味深いのは、同社が指摘するように、AIが関与する攻撃の既存の分類にうまく当てはまらない点です。マルウェアの全部または大部分を大規模言語モデル（LLM）が作成した「AI生成型」の攻撃とは言い切れません。人間のエンジニアがツールを作り、AIで作業を高速化した「AI支援型」とも違います。LLMが行動を指揮し、いわば全体を取り仕切る「AI運用型」の攻撃でもありません。
今回のケースでは、AIシステムがコマンドの繰り返し生成やトラブルシューティングを担い、人間のオペレーターが高度な意思決定を行っていたようだと、Bitdefenderは主張しています。
攻撃者のプロファイル：一部は人間、一部はエージェントか
攻撃の多くの要素は、ランサムウェアとしては典型的なものでした。たとえば、環境寄生型（LOTL：living-off-the-land）の手法を多用しています。これは、マルウェアに頼らず、被害者のマシンにすでにあるツールを悪用する手口です。今回はPowerShell、Windows Management Instrumentation（WMI）、reg、netsh、rundll32のほか、Windowsにプリインストールされているドメイン管理・スケジューリング用のユーティリティが使われました。攻撃者は「Impacket風のリモート実行ツール」に加え、Mimikatzと、すでに公開されているVeeamのスクリプトも使用しています。
しかし、攻撃自体はありふれていたものの、Bitdefenderはいくつかの点からエージェントループ（AIエージェントを動かす制御構造）が使われた可能性があると分析しています。一部の操作は、人間のオペレーターではなくプログラムが実行したように見えたといいます。
ブログ記事は次のように述べています。「コマンドには、モデルが書いたものに特有の兆候がある。バックアップソフト（企業で広く使われているVeeam製品）のWebインターフェースを呼び出す際に、ベンダーのドキュメント（Veeam REST API認証）と一致しないポートとログイン方式を使っていた。マニュアルを見ず、記憶に頼って書いた場合に起こりがちなミスだ。さらに、確認用ファイル、自己ラベル付きの出力、同じスクリプトの連番付きリビジョンも見られた。リトライの挙動もループのようだ」
別の例として、研究者はPowerShellコマンドを試行する間隔に注目しました。その間隔は、人間が手作業で入力するよりも短く、LLMが単独で指揮する場合よりも長かったといいます。個々のタスクの間隔は長いのにリトライの間隔は短いという特徴は、「人間が次のステップを選び、モデルがリトライを処理している場合の見え方」だと指摘しています。
Bitdefenderは、攻撃者が作業に使っていたマシンにはアクセスできなかったため、AIモデル自体に関する具体的な証拠は記録できなかったと断っています。この調査は、あくまで「この攻撃は人間がエージェントと並行して操作しているように振る舞う」という主張です。防御側が対策を考える際の、作業仮説の一つといえるでしょう。
この点について、BitdefenderのテクニカルソリューションズディレクターであるMartin Zugec氏はDark Readingに対し、「金銭目的のサイバー犯罪者にとっては、技術面でも経済面でも、完全自律型の攻撃よりハイブリッド型のほうが合理的だ」と語っています。
単なるランサムウェア攻撃にとどまらない
仮に単発の事例だとしても、この状況は注目に値します。主な被害者が重要分野の組織だったためです。また、Bitdefenderの事例は、アフィリエイトがAIエージェントを使い、繰り返しのトラブルシューティングやコマンド生成を任せて攻撃を拡大した可能性を示唆しています。ただし、攻撃者がAIなしでは持ち得なかったAI由来の能力までは、報告書は示していません。
さらに、同様の他の教育機関が標的になる可能性もあります。調査ブログによると、攻撃者は「ドメインコントローラーからドメイン間の信頼関係を列挙し、SYSVOL（Active Directoryがログオンスクリプトを保存する共有フォルダーで、任意のドメインユーザーが読み取り可能）を検索して、他の学校の名前とサブネットを探した」といいます。
朗報もあります。この攻撃の大部分は典型的なランサムウェアの手口に沿っていたため、通常のランサムウェアを止める防御策は、今回の調査で説明された攻撃も止められるのです。
Zugec氏はさらに、エージェント型のループは、侵害指標（IoC）の観点では「うるさい」と指摘します。その行動の多くが反復的で、力任せの性質を持つためです。同氏は次のように述べています。「エージェントループは攻撃を静かにするのではなく、反復的にする。同じコマンドの再実行、小さな修正、連番付きのスクリプト、ディスクに残るプローブ用ファイルなどだ。最速のリトライでも40秒以上かかっていた。『マシンの速度』というのは、非常に高くつくインシデントについての宣伝文句にすぎない。実際の攻撃、特にローカルモデルを使う場合は、より遅くてうるさいパターンになると見ている。決め手は速度ではなく、反復だ」
同社は予防に重点を置くよう推奨しています。具体的には、ドメインごとの管理者認証情報を分離する、バックアップを攻撃対象になり得るものとして扱う、リモート実行と管理共有を既知の管理ホストに限定する、使用しないマシンではインタープリターとシェルをブロックする、すべてのマシンにエンドポイントセキュリティツールを導入する、といった対策です。
ブログ記事は次のように結んでいます。「量や速度に左右されない対策を選ぶべきだ。そうした対策なら、1回目の操作も100回目の操作も同じように止められるからだ」
翻訳元: https://www.darkreading.com/data-privacy/3am-affiliate-ai-loops-european-school-attack
