ランサムウェアグループHive0163は、「Slopoly」と呼ばれるおそらくAI生成のマルウェアフレームワークを実験中であり、攻撃においてAI支援ツールへの明らかなシフトを示しています。
マルウェア自体はシンプルですが、その使用方法は、脅威アクターが今、大規模言語モデル（LLM）を使用してカスタムコマンドアンドコントロールクライアントをいかに迅速に生成・反復できるかを示しています。
Hive0163は、Interlock ランサムウェアがデータ窃盗と恐喝のために展開された複数の大規模グローバルランサムウェア事件にリンクされた、金銭目的のクラスターです。
このグループは、NodeSnake、InterlockRAT、JunkFictionローダー、Interlock ランサムウェアを含む、増え続ける民間の暗号化ツールとバックドアのアーセナルに依存しており、オペレーターに永続性、横方向の移動、大規模暗号化のための柔軟なオプションを提供しています。
2026年初頭にIBM X-Forceが調査した事件では、このグループは侵入の後期にSlopolyを導入する前に複数のバックドアを順序立てて使用しており、アクティブなランサムウェア操作中に「実戦」条件下でAI生成フレームワークをテストしていたことを示唆しています。
これは、ランサムウェアオペレーターが既存のプレイブックにAI支援を組み込み始めており、ツールを完全に置き換えるのではないという広範な業界報告と一致しています。
Slopoly：AI支援PowerShell C2クライアント
ランサムウェア対応中に、X-Forceアナリストが感染サーバ上で、彼らが「Slopoly」と命名した新しいC2フレームワークのクライアントコンポーネントとして機能するPowerShellスクリプトを発見しました。
X-Forceは、侵入をClickFixソーシャルエンジニアリング攻撃にまで遡りました。これは被害者をWindows実行ダイアログから悪意のあるPowerShellコマンドをペーストして実行するように騙したものです。
スクリプトは「C:\ProgramData\Microsoft\Windows\Runtime\」に配置され、「Runtime Broker」という名前のスケジュールタスク経由で永続化され、Hive0163が侵害されたサーバへのアクセスを1週間以上維持することができました。
このコードはLLM生成ソフトウェアの特徴を示しており、広範なコメント、詳細ログ記録、クリーンなエラーハンドリング、記述的な変数名を含んでおり、ランタイムで真の多形的動作がないにもかかわらず「多形的C2永続化クライアント」というラベルが付いたコメントを含みます。
Slopolyは定期的にJSON「ハートビート」ビーコンをC2サーバに送信し、HTTPを介してcmd.exeで受信したコマンドを実行し、アクティビティをpersistence.logファイルにログしており、シンプルながら効果的なバックドアとして機能しています。
この初期コマンドはNodeSnakeをデプロイしました。これはNodeJSベースの最初段階C2クライアントであり、ペイロードのダウンロード、シェルコマンドの実行、自身の更新、HTTPベースの通信を使用したビーコン間隔の調整ができます。
Hive0163はNodeSnakeを使用して、一般的にInterlockRATとして報告される、より高機能なJavaScriptバックドアを配信しました。これはWebSocketベースのC2、SOCKS5トンネリング、リバースシェル機能を追加しています。
Interlock ランサムウェアの動作
この場合、Interlock のWindows変種は、通常一時ユーザーディレクトリに配置されるJunkFictionローダーの内部にラップされた64ビットPEペイロードとして配信されました。
Interlock は、特定のディレクトリまたはファイルの暗号化、スケジュールタスクとして実行、実行後の削除、ファイルに埋め込む代わりに専用フォルダに暗号化キーを保存するスイッチを含む、複数のコマンドラインオプションをサポートしています。
後の段階で、攻撃者はファイル暗号化のためのInterlock ランサムウェア攻撃をトリガーする前に、データ流出のためのAzCopyとネットワーク偵察のためのAdvanced IP Scannerなどの典型的なランサムウェアツールと並行してSlopolyをデプロイしました。
ランサムウェアはすべての論理ドライブをスキャンし、コアシステムディレクトリと重要なファイルタイプをスキップしてから、RSAで保護されたファイルごとのセッションキーを使用してAES-GCMでターゲットファイルを暗号化し、カスタム拡張子を追加して、影響を受けたフォルダにFIRST_READ_ME.txtなどの身代金メモを残します。
プロセスを停止してファイルロックを解放するWindows Restart Manager APIを使用でき、スケジュールタスクのトレースを削除する前に暗号化の信頼性を向上させ、オプションで暗号化ツール自体も削除することができます。
技術的には、Slopolyは高度ではありませんが、その可能性が高いLLM由来は、攻撃者が特定の操作に合わせた「十分に良い」バックドアをどれほど迅速に製造できるかを強調しています。
これは、Palo Alto Networks Unit 42の広範な調査結果を反映しており、AIはすでに攻撃タイムラインを短縮し、参入障壁を低くし、テンプレート化されたAI支援スクリプトでキャンペーンをスケールすることを可能にする力の倍増として機能していると報告しています。
IBM X-Forceは、使用されたモデルはおそらくより低度なLLMであると評価していますが、それでも完全に機能するC2クライアントを生成し、ガードレールを回避し、大きな影響を与えるランサムウェアグループによって実運用されました。
武器化可能なAIへのアクセスが拡大するにつれて、防御者は、より短命で迅速に生成されるマルウェアファミリーに対応するために、検出、属性付与、インシデント対応の実践を適応させる必要があり、これらは時間とともにクラスター化および追跡することが難しくなります。
翻訳元: https://gbhackers.com/ai-generated-malware/
