LiteLLMハック、2026年最大のAIサプライチェーン侵害の1つを引き起こす

概要

PasteSwitchは、大規模で協調的に行われるマルバタイジングキャンペーンであり、検証済みのRedditアカウントを悪用して、ClickFix社会工学を通じて悪意あるペイロードを配布しました。この作戦は、ユーザーを騙してmacOSスティーラー、Windowsローダー、暗号通貨クリッパーをインストールするコードを実行させるために、欺瞞的なターミナルコマンドを使用しています。そのインフラストラクチャは非常に耐障害性が高く、ブロックチェーンベースのC2回転およびTLS SNIなりすましを使用して検出を回避しています。

調査

Hudson RockとADAMnetworksの研究者が、Reddit上のHBO Max広告が不審だというユーザーの報告を受けてキャンペーンを特定しました。調査により、macOSとWindowsをターゲットとした異なるプラットフォーム固有のブランチを持つ複雑な配信フレームワークが明らかになりました。アナリストはまた、PasteSwitchのコマンドおよびコントロールインフラストラクチャを管理するために使用されるBinance Smart Chain上の回転ドメインとスマートコントラクトも特定しました。

緩和策

組織はターミナルコマンドの実行に厳しい制御を施し、コピーペーストによる社会工学的行動の不審な動きを監視するべきです。セキュリティチームは、不正なスケジュールタスクの作成やメモリ内シェルコードの実行を検出するべきです。TLS SNIの不一致と、異常な直IPアドレスへのアウトバウンド接続の監視は、検出能力を向上させることができます。

対応策

不正な活動が検出された場合、影響を受けたエンドポイントは直ちに隔離され、侵害されたデバイスからアクセスされたアカウントの資格情報はリセットするべきです。レスポンダーはメモリ・フォレンジックを実施して、Amateraのようなインジェクトされたペイロードを特定するべきです。また、既知のPasteSwitch C2インフラストラクチャへの接続を確認するために、ブロックチェーン活動とネットワークテレメトリーの見直しも行うべきです。

シミュレーション実行

• 攻撃の概要とコマンド： 攻撃者がフィッシングリンクを介して初期アクセスを獲得しました。基本的なシグネチャベースの検出を回避するため、彼らは mshta.exe を使用してローカルの一時ディレクトリにホストされた悪意のあるHTAスクリプトを実行します。内部に侵入した後、攻撃者はエンコードされたPowerShellコマンドを使用して二段階目のペイロードをダウンロードし、スクリプトの意図を隠そうとします。最後に、再起動後もアクセスを維持するため、システムが起動するたびにPowerShellスクリプトを実行するスケジュールタスクを作成します。

• 回帰テストスクリプト：

  # 1. MSHTA実行をシミュレートする (T1218.005)
  # ダミーのHTAファイルを作成
  $htaContent = ""
  $htaPath = "$env:TEMPmalicious.hta"
  $htaContent | Out-File -FilePath $htaPath -Encoding ascii
  # MSHTAをトリガー（これはルールをトリガーするはずです）
  Start-Process "mshta.exe" -ArgumentList "`"$htaPath`""
  # 2. エンコードされたPowerShellをシミュレートする (T1027.017)
  # 'Write-Host "Malicious Payload Executed"' のエンコードバージョン
  $encodedCommand = "V3JpdGUtSG9zdCAiTWFsaWNpb3VzIFBheWxvYWQgRXhlY3V0ZWQi"
  # エンコードされたコマンドでPowerShellをトリガー（これはルールをトリガーするはずです）
  powershell.exe -NoProfile -EncodedCommand $encodedCommand
  # 3. スケジュールタスクの永続性をシミュレートする (T1053)
  # PowerShellコマンドを実行するタスクを作成
  $taskName = "WindowsUpdateCheck"
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ExecutionPolicy Bypass -WindowStyle Hidden -Command 'Write-Host Malicious Task'"
  Register-ScheduledTask -Action $action -Trigger (New-ScheduledTaskTrigger -AtLogOn) -TaskName $taskName -Description "Simulated Persistence"

• クリーンアップコマンド：

  # ダミーのHTAファイルを削除
  Remove-Item -Path "$env:TEMPmalicious.hta" -Force
  # スケジュールタスクを削除
  Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false