Unit 42、AI生成痕跡のあるスクリプトで政府Linux基盤を狙う攻撃を報告

何が発表されたか

Unit 42は、2025年10月から2026年4月にかけての攻撃活動を「CL-UNK-1211」として追跡していると報告した。標的は政府機関と国家関連インフラで、主にLinuxサーバとデータベース環境である。

• オープンソースツール、独自のクロスプラットフォーム型バックドア、広範なWebシェルを使い、偵察・永続的アクセスの維持・データベースのダンプを行った
• 政府のメールボックスを持ち出し、SNSアカウントへ到達しようとする試みも確認された
• 防御回避として、エンドポイント保護の無効化、ログの消去、偽のレッドチーム痕跡の設置を試みていた
• Go製の独自RATは「SysGoRAT」と名付けられている

AI利用の痕跡として、攻撃者のPHPおよびシェルスクリプトに、AI特有の会話調のコメントや推論メモが残されていた点が挙げられている。Unit 42は、コードが大規模言語モデルによって生成されたか、自動AIエージェントによって実行された可能性があるとしている。ほかの兆候として、スクリプト内のセクション見出し、Base64エンコードされたコマンドの多用、PHP・JavaScript・Bash・Pythonの頻繁な切り替えが示された。

取るべき対応

Unit 42が挙げている対策は次のとおり。Linuxサーバを自社やクライアントのために運用している場合に関係する。

• 多くの攻撃でリバースシェルが使われていたため、送信方向のファイアウォール規則を厳格に適用する
• 標準的なユーティリティが対話シェルを起動する挙動を、エンドポイント検知で警告対象にする
• PHPの設定ファイル、とくに auto_prepend_file 設定の変更と、想定外のWebシェルの出現を監視する
• シェル履歴やシステムログを消去しようとする試み、セキュリティエージェントを停止しようとする試みを監視する
• Linuxサーバとデータベースに対する可視性を十分に確保する
• 侵害が疑われる場合は、影響を受けたシステムを再構築し、設定・更新・パッチを含めて堅牢化する
• レポート掲載のIOC（ハッシュ、IP、ドメイン）を検知に利用する。緊急時はUnit 42のインシデントレスポンスに連絡する

Webサイトやアプリをサーバ上で運用している受託側にとっては、auto_prepend_file の改変とWebシェルの監視、送信方向の通信制限が、今日から確認できる項目となる。