VoidLink Linux C2、カーネルレベルのステルスを備えたLLM生成マルウェアを使用

VoidLinkは、マルウェア開発における懸念すべき進化を示しています。AI支援で構築された明確な兆候を備えた、高度なLinuxコマンド＆コントロール（C2）フレームワークです。

このLinuxマルウェアは、侵害されたシステムへの長期的なアクセスを目的として設計された、モジュール式のインプラントとして動作します。

クラウドプロバイダーを選り好みせず、AWS、Google Cloud Platform、Microsoft Azure、Alibaba Cloud、Tencent Cloudから積極的に認証情報を収集します。

インプラントは環境変数、設定ディレクトリ、クラウドのメタデータAPIを探索し、アクセスキーやサービストークンを盗み取ります。

インプラントは、マルチクラウドの認証情報窃取、コンテナ脱出手法、適応型ルートキット機能にまたがる印象的な技術力を示す一方で、そのソースコードにはLLM生成コード特有の兆候が見られ、最小限の人手レビューのまま本番投入されたことがうかがえます。

VoidLinkは単なる認証情報の窃取にとどまりません。Docker、Podman、Kubernetesコンテナ内で実行されているかどうかを検出し、これらの隔離環境から脱出するための専用プラグインを読み込みます。

docker_escape_v3およびk8s_privesc_v3モジュールは権限昇格を試み、さらにマルウェアはクラスター全体へのアクセスを提供し得るKubernetesサービスアカウントトークンを特に標的にします。

VoidLink Linux C2

ルートキットコンポーネントは、ホストのカーネルバージョンに応じて隠蔽手法を調整します。カーネル5.5以降を実行する最新システムでは、システムコールをインターセプトするeBPFベースのステルスに直面します。

古いカーネルではロード可能なカーネルモジュールが用いられ、4.0未満のレガシーシステムでは共有ライブラリ注入によるユーザーランドフックが行われます。この適応性により、VoidLinkは多様なLinux環境で有効に機能します。

C2通信はHTTPS上でAES-256-GCM暗号化を使用し、正当なWebトラフィックに偽装されます。

インプラントは通常のAPIリクエストやブラウザセッションを模倣し、ネットワークでの検知をより困難にします。アナリストは、IPアドレス8.149.128[.]10にハードコードされたC2サーバーを発見しました。

VoidLinkをプロが作り込んだマルウェアと区別するのは、残していく痕跡です。バイナリには最大8まで番号付けされた構造化された「Phase X:」ラベルが含まれており、なぜかPhase 7が欠落し、Phase 5が異なる関数にまたがって重複しています。

本番コードには冗長なデバッグログや、「successfully initialized（初期化に成功しました）」のような形式的なステータスメッセージが含まれており、熟練したマルウェア作者であれば通常は削除する痕跡が残っています。

パターンマッチング分析により、コメント内で等号文字が過剰に使用されていることが判明しました。これはAI生成コードで一般的な書式上の癖です。

ドキュメントのスタイルは、出力間の連続性が強制されないまま複数のLLMプロンプトを通じて生成されたコードであることを示唆しています。プロの開発者は可読性よりもステルス性を優先し、デバッグ情報を削除しますが、VoidLinkはその逆を行っています。

なぜこれが重要なのか

VoidLinkは研究用プロトタイプではなく、その背後に稼働中のインフラを伴う、機能するインプラントです。

このマルウェアは、クラウド環境のフィンガープリンティング、コンテナを意識したラテラルムーブメント、カーネルレベルの隠蔽、暗号化通信を首尾よく組み合わせています。

これまで専門的な知識を要したことが、AIコーディングエージェントを用いて組み上げられるようになりました。

有能なマルウェアを作り出すための障壁は大幅に下がりました。脅威アクターは、検知を回避し複雑な環境で永続化するインプラントを作成するために、もはや深い技術知識を必要としません。

防御側は、従来の開発サイクルでは不可能な速度で構築され、より広範に展開される、AI支援マルウェアが野生下にさらに出現することを想定すべきです。