AIツールで攻撃を自動化するサイバー犯罪集団「UAT-10147」の手口が判明──WindowsとLinuxサーバーを標的に17万件規模で展開

要点

• 中国語を使用するサイバー犯罪集団「UAT-10147」が、AIツールを組み合わせてWebサーバーへの攻撃を大規模化させていることがCisco Talosの調査で判明した。

• 攻撃者は約17万件に及ぶURLリストを用意し、教育、メディア、テクノロジー、ゲーム業界などを標的にSEO詐欺やデータ窃盗を行っていた。

• 攻撃手順にPentestGPTなどのAIツールを導入し、エクスプロイトの改良や侵入後ワークフローの自動化、手順書作成などを効率化していた。

• Windows環境では偽装スケジュールタスクやBadIIS、Linux環境では複数の権限昇格脆弱性を突いて新種マルウェア「SPECTRE」などを配置していた。

• 米シスコシステムズのセキュリティ研究部門であるCisco Talosは、中国語圏のサイバー犯罪グループ「UAT-10147」が、AIツールを活用して世界規模でWebサーバーを標的とした攻撃を展開しているとする調査レポートを公開した。同グループは教育、メディア、テクノロジー、ゲーム業界などのWindowsおよびLinuxサーバーに存在する既知の脆弱性を悪用し、侵入を試みていたという。攻撃者が利用していたオープンディレクトリの解析から、約17万件に上る標的リストや高度に自動化された攻撃手法の詳細が明らかになった。

AIツールを組み込んだ攻撃プロセスの自動化

UAT-10147の大きな特徴は、攻撃サイクルの各段階に人工知能（AI）を活用したツールを統合している点にある。Cisco Talosの報告によると、同グループはペネトレーションテスト（システムの安全性を検証する侵入テスト）用の「PentestGPT」や「DeepAudit」といったAIツールのほか、Metasploitやysoserialなどのオープンソース攻撃フレームワークを組み合わせて運用していた。

攻撃者はAIを利用して、脆弱性を悪用するプログラム（エクスプロイト）の改良や動作エラーのトラブルシューティング、侵入成功後の作業フローの自動化、攻撃手順書の生成などを行っていたとされる。これにより、攻撃に関わる一連の手法を大規模かつ効率的に実行する体制を整えていたという。

今回の活動が発覚したきっかけは、侵害されたサーバーと通信していた公開ディレクトリ（IPアドレス「139.180.197[.]150」）の発見だった。ディレクトリ内のファイルを分析したところ、約17万件のURLが記載されたターゲットリストが確認された。攻撃者は処理効率を高めるため、このリストを約1万件ずつ17個のファイルに分割して標的を管理していた。リスト上で標的とされていた国の上位5か国は米国、インド、英国、ドイツ、オランダだったが、実際の被害はブラジル、ボリビア、中国、カナダ、ベトナムなどに集中していた。活動の主な目的は、検索結果を不正に操作するSEO詐欺や機密データの窃盗とみられている。

Windows環境における多段階ペイロードと永続化の手口

Windowsサーバーへの攻撃では、WebサイトやIIS（マイクロソフトのWebサーバー機能）の既知の脆弱性を悪用して遠隔から不正なコードを実行し、最初の足場を確保する。その後、自動化スクリプトを用いてSEO詐欺やデータ窃盗のためのマルウェアを展開していた。

一連の攻撃ステップでは、まずWindows標準の証明書管理ツール「certutil」を悪用したバッチスクリプトを実行し、外部サーバー（adminapi.tippusoni[.]in）から権限昇格ツール「EfsPotato」、第2のバッチスクリプト、遠隔操作用ツール「Quasar RAT」をダウンロードする。続いてEfsPotatoによってシステム最高権限を奪取し、セキュリティ機能であるMicrosoft Defenderの監視除外リストに自身を追加する。

さらに、事後調査（フォレンジック）による検知を妨害するため初期の攻撃ファイルを削除した上で、第2のバッチスクリプトを通じてQuasar RATをバックグラウンドで起動する。その際、「Google Chrome Start」という正規のブラウザ起動に見せかけたスケジュールタスクを作成し、システムの再起動後も活動を維持できる仕組みを構築していた。最終的には高権限を悪用して第3のバッチスクリプトをダウンロードし、Webサーバーに寄生するバックドア「BadIIS」や、既存のマルウェア「Gh0stCringe」、さらに新種のインプラント（潜伏して遠隔操作を可能にする不正プログラム）「SPECTRE」を配置していた。使われていたBadIISは、複数の犯罪グループで共有されているサービス型マルウェア（MaaS）の特定亜種であることが判明している。

Linuxサーバーの権限奪取とバックドアの展開

Linuxサーバーに対する攻撃においても、同様に既知の脆弱性を突いて初期アクセスを獲得したのち、複数の既知のローカル権限昇格（LPE）脆弱性を悪用して最高管理者権限（root権限）を奪う手口が確認された。

悪用されたLinuxの権限昇格脆弱性には、2022年の「CVE-2022-0995」や「CVE-2022-0847」（通称Dirty Pipe）、2021年の「CVE-2021-3156」のほか、2015年や2010年に報告された古い脆弱性（CVE-2015-5287、CVE-2015-3246、CVE-2010-3904）が含まれていた。

root権限を掌握した攻撃者は、遠隔の指令サーバー（C2サーバー）と通信を確立するため、複数のバックドアを導入していた。確認されたバックドアには、MeterpreterやGh0st RATの亜種とされる「Noodle RAT」に加え、今回新たに確認されたクロスプラットフォーム対応のインプラント「SPECTRE」が含まれていた。

幅広い既知の脆弱性を標的とした攻撃基盤

UAT-10147はキャンペーン全体を通じて、多種多様なソフトウェアの既知の脆弱性を攻撃に利用していた。確認されている脆弱性には、電子メール基盤ソフトZimbraの「CVE-2022-27925」や、AjaxProの「CVE-2021-23758」、ASP.NET向けUIコンポーネントであるTelerik UIの「CVE-2019-18935」、さらに「CVE-2021-29441」などが含まれる。

Cisco Talosは、同グループが公開されている脆弱性とAIによる自動化技術を巧みに組み合わせることで、サーバーの侵害から侵入後の活動に至るまでを大規模に展開していたと分析している。