Palo Alto Networksは2026年10月15日、政府機関と国家関連インフラのLinux環境を狙った諜報攻撃の分析を公表しました。同社のUnit 42は、攻撃スクリプトにAI生成を示唆する痕跡があったと報告しています。情シスにとっては、PHP設定の改変による継続的なアクセスの確保と、PHPログインページや利用者の環境設定の改変による認証情報の窃取が、それぞれ点検の焦点です。
AI利用の可能性を指摘、攻撃者の帰属は未確定
Unit 42が観測した活動期間は2025年10月～2026年4月です。同チームは、この活動をCL-UNK-1211として追跡しています。国家支援の活動なのか、サイバー犯罪なのかは確定していません。
複数の攻撃スクリプトには、AIとのやり取りを思わせる注釈がありました。Unit 42は、大規模言語モデル(LLM)によるコード生成か、自動AIエージェントによる展開の可能性を指摘しています。ただし、AIが自律的に攻撃全体を実行したと確定した報告ではありません。
攻撃者は、侵入後の環境を調べ、継続してアクセスできる状態を作ろうとしていました。独自のバックドアに加え、公開ツールや、Web経由で不正操作するWebシェルも使われています。日本での被害の有無や、対策サービスの日本での提供については、発表には書かれていません。
PHP設定と.bashrcを改変し、アクセス確保と認証情報窃取
具体的な手口の一つが、PHPの設定項目「auto_prepend_file」の改変です。攻撃者はこれを使い、継続的にアクセスできる仕組みを設けようとしました。これとは別に、PHPのログインページには、管理者の認証情報を記録するコードを挿入していました。
また、シェルの起動時などに使う設定ファイル「.bashrc」を改変し、管理権限でコマンドを実行するsudoのパスワードを盗む仕組みを設置しました。盗んだパスワードを正規のsudoに渡すことで、利用者が異常に気付きにくくしていました。設定ファイルやコマンド履歴から、平文のパスワードも探しています。
Unit 42がSysGoRATと名付けたGo製の遠隔操作マルウェアは、WindowsとLinuxで動作し、WebSocketで指令サーバーに接続します。攻撃者は主にメモリー上で動く遠隔操作用のシェルで痕跡を抑え、データベース全体の書き出しと外部への持ち出しも試みました。
端末保護の無効化やシステムログの消去、正規のセキュリティ評価を装う偽の標識の設置も試みています。評価作業らしい記録があることだけで、正規の作業と判断しないことが重要です。
影響する会社・しない会社
- 影響する: Linux基盤を運用する政府機関や国家関連インフラの運営組織です。今回報告された標的に当たり、設定改変や継続的なアクセスの有無を確認する材料になります。
- 影響する: Linux上でPHPのログインページやsudoを使う会社では、報告された認証情報窃取の手口を点検に利用できます。ただし、これらを使う会社すべてが標的になったという報告ではありません。
- 影響しない: 影響がないと断定できる会社の条件は、発表には書かれていません。SysGoRATはWindowsでも動作するため、Linuxを使っていないという理由だけで無関係とは判断できません。
情シスが今日やること
以下は、報告された手口を自社の点検に落とし込むための手順です。発表に対応期限の指定はありません。
- 今日の確認対象を決めます。IT資産台帳でLinuxサーバーを抽出し、運用担当者にPHPのログインページとsudoの利用有無を確認してください。委託運用なら、同じ確認項目を委託先へ渡します。
- 対象サーバーでPHPのauto_prepend_file設定、ログインページのコード、利用者の.bashrcを確認します。承認された設定や変更記録と照合し、説明できない追記があれば、正規の変更かを担当者に確認してください。
- 端末監視と通信制御の管理画面で、不審な対話型シェルと外向き通信を確認します。Unit 42は、厳格な外向き通信制御と不審な対話型シェルの端末監視を対策に挙げています。監視できていない対象も記録してください。
- セキュリティ担当と運用責任者に確認結果を共有します。端末保護の無効化、ログ消去、評価作業を装う痕跡があれば、承認済みの作業記録と突き合わせます。不審点が残る場合は、通常の設定変更とは分け、インシデント対応として扱う判断を求めてください。
