中国系集団、AIで組んだ探索基盤でPAN-OS機器25台を掌握と報告　日本・台湾・韓国にも被害、米政府関連の環境を含む

AIで組んだ探索基盤と19,000台の指紋採取

Dreamの分析では、作戦は10月8日に攻撃者がAIを組み込んだ基盤「aiscan」を構築したことから始まり、10月23日までに約19,000台のファイアウォールの指紋を採取して240の標的に絞り込んだ。侵入後はウェブシェルの設置、内部へのトンネリング、LDAPからの認証情報の抽出、Active Directoryの列挙が行われた。被害25台のうち3台は米政府関連の環境にあり、Dreamのクフィル・フライシャーは少なくとも2台が米政府のサーバーだと述べる。帰属は命名規則や中国の認証局による認証の存在などの指標で補強されているが、公的機関による確認はない。

PHP2Shellとカーネル脆弱性の連鎖

PHP2Shellは共通脆弱性評価で9.2の深刻度を持つPHPの脆弱性で、Fragnesiaは10月28日にCISAの悪用済み脆弱性カタログに登録されたLinuxカーネルの権限昇格の欠陥である。Palo Alto Networksは10月29日の更新で、インターネットに露出したPAN-OS管理インターフェースへの悪用を確認し、各系列の修正版を提供した。露出している機器は設置台数の約0.02%とされる。

一方、Unit 42はPHP2Shellを欧州の政府機関と結びつけた10月23日の記述を撤回した。PHPの潜在的な脆弱インスタンスは2,260万件超と推計され、修正済みの割合は約2.6%にとどまるとの観測もあるため、同じ連鎖が他のアプライアンスへ波及する余地は大きい。

日本を含む被害地と「AI支援型」の位置づけ

被害地に日本、台湾、韓国が含まれる点は、10月下旬にTrendAIやCrowdStrikeが報告した日本を標的とするAI利用の攻撃基盤と重なる。Dreamは今回の作戦を自律型の攻撃とは区別し、AIが偵察と標的の絞り込みを支援した「AI支援型」と位置づける。中国のオープンウェイトモデルが攻撃の道具として使われた事実は、輸出管理や公開重みモデルの規制を巡る議論に実例を加える。日本の組織では、露出した管理インターフェースの点検と、カーネル脆弱性の修正適用の確認が直近の課題となる。