ロシアのAPT28による新種マルウェア、LLMに悪意あるWindowsコマンド生成を指示

ロシアのサイバースパイグループAPT28は、大規模言語モデル（LLM）にクエリを送り、コマンドを生成するマルウェアを開発しました。ウクライナのCERTによってLAMEHUGと名付けられたこのマルウェアは、最近ウクライナ政府機関を標的としたスピアフィッシング攻撃で使用されており、攻撃者がAIを攻撃に利用する新たな事例となっています。

フィッシングメールは侵害されたメールアカウントから送信され、ウクライナの省庁の担当者になりすましていたとCERT-UAの報告書は伝えています。マルウェアはZIPアーカイブ内に含まれており、.pif（MS-DOS実行ファイル）拡張子が付いていましたが、.exeや.py拡張子のバリエーションも確認されています。

CERT-UAは、これらの攻撃をUAC-0001として追跡していますが、セキュリティコミュニティではAPT28として広く知られています。西側の情報機関は、このグループをロシア軍参謀本部情報総局（GRU）の第26165部隊、または第85主特殊サービスセンター（GTsSS）と公式に関連付けています。

APT28は、Sofacy、Pawn Storm、Fancy Bearとも呼ばれ、2004年ごろから西側諸国の標的に対するサイバー作戦に従事していますが、ウクライナでも非常に活発であり、2022年2月のロシア侵攻以前から活動していました。

昨年、米司法省はGRUの将校5名と民間協力者1名を、ウクライナのコンピュータインフラに対する破壊的サイバー攻撃および米国を含むNATO加盟26カ国の政府コンピュータシステムの探索行為で起訴しました。APT28の活動が世界規模であることから、新たなLAMEHUGマルウェアが西側諸国を標的とするのも時間の問題かもしれません。

リアルタイムでLLM APIにクエリを送信

これまで、攻撃者がLLMを使って悪意あるスクリプトやより巧妙なフィッシングメールを作成する事例が確認されています。また、サイバー犯罪フォーラムでは、検閲されていないLLMや脱獄済みLLMのサブスクリプションサービスも多数販売されています。

しかし、LAMEHUGの開発者は、LLMに直接クエリを送る機能をマルウェア自体に組み込むという異なるアプローチを取りました。そのために、LAMEHUGはウェブ上で最大のLLMやAI資産のホスティングプラットフォームであるHugging FaceのAPIを利用しています。

LAMEHUGには、Hugging Face経由でQwen 2.5-Coder-32B-Instructモデルに組み込みクエリを送信する機能があり、モデルに対してWindowsシステム管理者として振る舞い、フォルダを作成し、コンピュータ、ネットワーク、Active Directoryドメインに関する情報を収集してテキストファイルに保存するコマンドリストを生成するよう指示します。

別のクエリでは、Documents、Downloads、Desktopフォルダ内のすべての.pdfおよび.txtドキュメントを再帰的に新たに作成したC:\Programdata\info\配下のステージングディレクトリにコピーするコマンドリストを生成するようモデルに指示します。

LAMEHUGはPythonで記述され、PyInstallerでソースコードから実行可能バイナリにコンパイルされています。CERT-UAは、Appendix.pif、AI_generator_uncensored_Canvas_PRO_v0.9.exe、AI_image_generator_v0.95.exe、image.pyとして配布されているのを確認しており、それぞれ感染端末からのデータ流出方法に機能的な違いがあります。マルウェアのコマンド＆コントロールサーバーは、正規だが侵害されたインフラ上にホスティングされていました。

LLMが組織や従業員にとって一般的なツールやリソースとなりつつあるのと同様に、攻撃者にとっても有用です。LAMEHUGはその最新の一例に過ぎません。研究者らは最近、LLMが脆弱性発見やエクスプロイト開発タスクを実行する能力をテストし、バグが多くほとんど効果的でないことを発見しました。しかし、数か月で急速な改善も観察されています。今後、AI支援による攻撃や高度なハッキングが増加し、AI支援プログラミングが普及したのと同じ現象が起きる可能性があります。

LLMを利用して実行コマンドに多様性を持たせることで、攻撃者は攻撃チェーンのこの部分に多態性を持たせ、検出シグネチャの回避を狙っている可能性があります。