AI生成のペイロードが政府機関に対するCL-UNK-1211攻撃を強化

概要

CL-UNK-1211として追跡されている洗練された脅威クラスターが、AI生成のペイロードとスクリプトを使用して政府機関を標的にしています。攻撃者は主にLinux環境に焦点を当て、偵察、データベースのダンプ、メールボックスデータを含む機密情報の流出を行います。このキャンペーンには、カスタムのGoベースのRAT、Webシェル、および可視性を低下させる高度なアンチフォレンジック技術が含まれています。

調査

Unit 42は、初期アクセスからWebシェルを介した横移動とデータ流出に至る攻撃チェーンを分析しました。調査により、悪意のあるスクリプトに埋め込まれたAI生成の会話的なコメントが明らかになり、自動またはLLM支援によるコード作成を示しています。カスタムマルウェアSysGoRATや複数のインメモリリバースシェル技術も特定されました。

緩和

組織は、不正なリバースシェルとデータ流出を防ぐために厳しいアウトバウンドファイアウォールポリシーを施行するべきです。PwnKitのような脆弱性のタイムリーなパッチ適用とPHP設定のセキュリティ強化を通じてLinux環境を強化することが重要であり、 auto_prepend_fileなども含めます。異常なプロセスの振る舞いやログ改ざんを特定できる高度なエンドポイント保護の展開も強く推奨されます。

対応

悪意のある活動が検出された場合、インシデントレスポンダーはLinuxホストを隔離し、すべてのPHPおよびシェル設定を確認して不正な変更がないか確認するべきです。攻撃者がログを削除または操作しようとした可能性を考慮しながら、システムログを徹底的に調査します。影響を受けた環境全体で特定されたすべての管理およびサービスアカウントの包括的な資格情報のリセットを実施してください。

シミュレーション実行

• 攻撃ナラティブとコマンド： 敵対者はLinuxベースのプロダクションサーバーへの初期アクセスを得ました。持続性を確保しEDRによるフラグを防ぐため、Cortex XDRエージェントを無効にするつもりです。攻撃者はまず pgrep を使用して、「cortex」に関連付けられた実行中のプロセスを特定します。名前が確認されると、 pkill を使用して、そのパターンに一致するすべてのプロセスに終了シグナルを送信します。これは、標準的なシステムバイナリを使用して署名ベースのマルウェア警告を回避する「Living off the Land」アプローチです。

• 回帰テストスクリプト：

  #!/bin/bash
  # 「Cortex XDRプロセスの終了による防御回避」ルールをトリガーするシミュレーションスクリプト。
  
  echo "[+] シミュレーション開始：Cortexプロセスの識別..."
  # これは 'pgrep cortex' テレメトリを生成します
  pgrep cortex || echo "[-] Cortexプロセスが見つかりませんでしたが、テレメトリが生成されました。"
  
  echo "[+] 攻撃のシミュレーション：Cortexプロセスの終了を試みています..."
  # これは 'pkill cortex' テレメトリを生成します
  pkill cortex || echo "[-] pkillが実行されました (ターゲットはおそらく実行されていません)。"
  
  echo "[+] シミュレーション完了。"

• クリーンアップコマンド：

  # このシミュレーションスクリプトによって永続的な変更は行われません。
  # 実際のテスト環境でプロセスが停止された場合、
  # サービスを再起動する必要があります：
  # sudo systemctl start cortex-agent
  echo "[+] クリーンアップ：削除すべきアーティファクトはありません。"