AI ブランドを偽装する攻撃者

Sophos X-Ops は、「AI アクティビティ」とタグ付けされた Managed Detection and Response (MDR) の 1 年間の事例を分析しました。分析対象となった 34 件のほぼすべてにおいて、攻撃者は正規の AI サイトやソフトウェアの偽物を作成し、ユーザーをマルウェアに感染させていました。

攻撃者は、AI ソフトウェアへの需要が急速に高まっていることにつけ込んで、Claude、ChatGPT、Copilot などのユーザーが信頼するブランドを騙る偽ソフトウェアを作成し、マルウェア感染の手段にしています。これは、防御する側にとっては朗報です (少なくとも悪いことばかりではありません)。なぜなら、マルウェアへの感染は、既存のセキュリティ対策で十分に対処できる課題だからです。

調査方法

今回の分析は、2025 年 7 月 2 日から 2026 年 6 月 29 日までの 1 年間に及ぶ Sophos MDR の対応事例と、Counter Threat Unit (CTU) インテリジェンス、および SophosLabs の調査に基づいています。

この期間中、86 件の MDR 事例に AI 関与のタグが付けられました。ソフォスの AI 脅威分類法に照らして各事例を検証した結果、34 件を実際の攻撃者による AI アクティビティと認定しました。

さらに、アナリストによる調査で以下の 4 件を特定しました。Cursor を悪用した検知回避の事例、SonicWall SMA 経由のランサムウェアの侵入、AI コーディングエージェントで構築された Slack 制御型のカスタム RAT、そして未報告のバックドアを仕込む偽 Claude サイトの 4 件です。これらを加えて、合計 38 件を本分析のデータセットとしました。

残りの事例のうち、25 件は動作検知を誤作動させた無害な AI 開発者ツールによるものであり、27 件は AI 関連キーワードが偶然含まれていただけでした。

図 1: AI の関与が見られた MDR 事例の概要

AI ソフトウェアのなりすまし: 偽の AI インストーラー

AI ソフトウェアのなりすましは、全 38 件のうち 30 件を占めており、偽の AI インストーラーによるキャンペーンが最大のグループでした。おとりとして最も悪用されたブランドは Claude であり、分析した事例の 26 件で使用されていました。

これらのインシデントの多くは、「InstallFix」として知られる手法を用いています。これは ClickFix 手法の亜種であり、ソフトウェアのインストールを装うものです。典型的な攻撃チェーンでは、AI コーディングツールを検索したユーザーが、悪意のある広告や改ざんされた検索結果を通じて、タイポスクワッティングされた偽サイトへと誘導されます。

ClickFix 攻撃がエラー画面や検証手順 (偽の CAPTCHA など) を偽装するのに対し、InstallFix のページには一見すると非常に洗練された手順付きのインストールガイドが表示されます。どちらの手口も、最終的にはユーザー自身が (多くの場合難読化されている) コマンドをコピーして実行することで、マルウェア感染に至ります (図 2 を参照)。

図 2: 偽の Claude 「InstallFix」のサイト。ユーザーは悪意のある広告を介してこのサイトに誘導される

ある事例では、偽の Claude サイトが被害者に対し、mshta というワンライナーを実行するよう指示し、これによって download-version[.]1-9-18[.]com からペイロードが取得されました。そのペイロードは、claude または claude.msixbundle という名前の Windows アプリパッケージインストーラーでした。続いて、irm <url> | iex というワンライナーがメモリ内でコードを実行し、ブラウザに対してプロセスハロウイングを試みました。

また、他の関連事例では、LummaStealer が同じ AI ブランドのインフラを通じて配信されており、使用されていたのは前述の InstallFix 手法ではなく、偽の CAPTCHA ページという従来の ClickFix 手法でした。

この手口のバリエーションとして、悪意のある libcef.dll を仕込んだ Claude Setup.zip アーカイブや、実体はマルウェアローダーである再パッケージ化された claude.exe などが見られました。ソフォスの MDR 対応事例以外で最も巧妙だった例としては、DLL サイドローディングを実行し、それまで報告されていなかったバックドア (ソフォスが「Beagle」と命名) を配信する偽の Claude サイトがありました。

防御側から見れば、今回調査したなりすまし事例において決定的な防御となったのは、AI 固有の技術要素ではなく、従来の配信手法やペイロードの動作に基づいた対策でした。最善の防御策は、これまでと変わらず「確認済みのベンダードメインから AI ツールをインストールすること」です。

AI ソフトウェアのなりすまし: AI をテーマにした悪意のあるブラウザ拡張機能

AI アシスタントになりすましたブラウザ拡張機能が複数確認されました。例えば、「DeepSeek、ChatGPT、Claude を搭載した AI サイドバー」として宣伝されていたものは、実際は情報窃取ツールとして機能し、コマンドアンドコントロール (C2) インフラへ信号を送信していました。ユーザーは拡張機能に対してブラウザセッションや保存された認証情報への広範なアクセス権を許可する傾向にあるため、情報窃取型マルウェアは攻撃者にとって機密データを収穫するための魅力的な手段となります。

ソフォスが調査した最近の事例では、4 社の顧客企業が偽の Perplexity 拡張機能をインストールしていました。この拡張機能はブラウザを乗っ取り、検索を傍受するとともに攻撃者の管理下にあるインフラストラクチャを通じて閲覧テレメトリをリアルタイムで外部に流出させていました。

この拡張機能は Chrome Web ストアを通じて配布され、ブラウザ検索を perplexity-ai[.]online 経由でリダイレクトし、インストール後に Tilda でホストされたランディングページをユーザーに表示していました。ソフォスが確認したこのアクティビティは、本キャンペーンに関する Microsoft のレポートと一致するものでした。

図 3: インストール後に表示される偽の Perplexity 拡張機能のランディングページ

図 4: Chrome Web ストア上の拡張機能リスト。67 件のレビューで星 4.7 の評価と、インストール数 1 万という数字は、正規の拡張機能であるかのような印象を与える可能性がある

AI をテーマにしたソーシャルエンジニアリング

攻撃者は、ソーシャルエンジニアリングの手口においても、AI のブランドをおとりとして利用しています。前述のインストーラーキャンペーンとは異なり、これらの手法の最終段階では偽の AI ソフトウェアは登場しません。代わりに、おとりとして登場します。例えば、Windows の「ファイル名を指定して実行」ダイアログ経由で finger.exe を実行させる ClickFix 形式のおとりで AI テーマのドメインが使用されている事例や、認証情報フィッシングに AI ブランドが利用されている事例が確認されています。これには、被害者を EvilProxy の「AitM (中間者攻撃)」キットへと誘導する偽の Microsoft Copilot ドキュメント共有や、OpenAI ブランドを装ってログイン情報を収集するキャンペーンなどが含まれます。

これらの手法は、macOS ユーザーを標的とした 3 つの ClickFix キャンペーンで見られたものと似ています。それらのキャンペーンでは、ユーザーの AI ツールに対する信頼につけ込み、おとりの誘導先を偽ブランドのダウンロードサイトから本物の ChatGPT プラットフォーム上の会話共有機能へとシフトさせていました。

ソフォスが確認した事例では、多様なアプローチが用いられていました。例えばある事例では、AI ブランドをおとりに使用してユーザーを引きつけ、悪意のある検索広告を介して Claude をテーマにしたページへ誘導し、PowerShell のワンライナーを実行させるという、AI ブランドを全面に出したおとりが使われていました。

別の事例では、AI 要素が全くない、ごく一般的な改ざんされたサイトが侵入元となっており、AI というテーマは C2 の URL にのみ使用されていました (例えば、code[.]verification-claude-cdn[.]beer という URL が、侵害されたコンサルティング企業のサイトから配信されていました)。

また、公開レポートと一致する、ChatGPT の共有リンクをおとりにした事例についても調査を行いました。これとは別に、ChatGPT Atlas のユーザーが騙されて curl コマンドを実行し、その結果、情報窃取型マルウェアがインストールされた事例も確認しました。

AI サプライチェーンの侵害: エージェント起点型攻撃への入口

攻撃者が AI ソフトウェアのサプライチェーンを標的にしていた事例も 2 件検知されました。1 件目では改ざんされた LiteLLM PyPI パッケージがエンドポイント上で実行され、2 件目では NPX 経由でインストールされた claude-mem npm プラグインが、リモートの GitHub リポジトリからコードを取得して実行していました。

どちらの事例でも悪意のあるパッケージが実行されたことは確認できましたが、インストールを開始したのが人間なのか AI エージェントなのかまでは特定できませんでした。この区別が重要となるのは、ソフォスの分類法における「エージェント起点型の侵害」というサブカテゴリが、AI エージェント自身によってパッケージが取得される際の動作を定義しているためです。人間であれば変更履歴を確認するために一旦停止しますが、エージェントの場合は「パブリッシュ」から「環境内での実行」までのタイムラグが消失します。

人間が介入することなく依存関係を取得・実行するエージェント型開発ツールが主流になるにつれ、この種の脅威はさらに一般的になる可能性があります。これに対抗するには、ポリシーの策定、依存関係のレビュー、およびセキュアバイデザインに基づいた制御が不可欠です。

AI 生成された可能性のある攻撃ツール: SonicWall SMA アプライアンスを介したランサムウェアの侵入

あるランサムウェアの事例では、分析データセット中のどの事例よりも多くの AI 生成ツールの痕跡が確認されました。攻撃者は CVE-2026-15409 および CVE-2026-15410.として公開された一連の脆弱性を悪用し、SonicWall SMA アプライアンス経由で初期アクセスを果たしました。

攻撃者は macOS デバイスから標的のネットワークへ接続していましたが、これ自体が異例のことです。ソフォスの対応事例では、手動で侵入を行う攻撃者の端末はほぼ例外なく Windows か Kali Linux です。

興味深いことに、Qwen3.5 のファインチューニング用 Hugging Face リポジトリにある中国語の README ファイルの中に、このデバイスのホスト名 macdeMac-Studio への言及を発見しました。これが実際に同じデバイスやオペレーターによるものかは断定できないため、あくまで手がかりとしました。

図 5: macdeMac-Studio に言及している Hugging Face の Qwen3.5 ファインチューニング用 README

一般的なオープンウェイトモデルのアブリテレーション版は、モデルをホストするプラットフォーム上で公開されることが多いため、攻撃者は自ら開発することなく、ダウンロードするだけで非検閲モデルを入手できます。ホスト名の関連性は状況証拠に過ぎませんが、オペレーターのマシンが LLM ファインチューニングツールに接続されていた可能性を示唆しています。

このモデルは、以前から特定の攻撃グループの関心を集めていました。The Gentlemen ランサムウェアグループから流出した内部チャットによると、2026 年 4 月にメンバーに対して非検閲型の Qwen3.5 ビルドが推奨されていました (図 5 を参照)。

共有されていたリポジトリは「アブリトレーション」されたビルドでした (アブリテレーションとは、オープンウェイトモデルの重みレベルを修正する技術です。拒否を引き起こす内部活性化パターンを特定し、重みを書き換えて除去することで、再学習のコストをかけず、またジェイルブレイクプロンプトのような不安定さを回避しながら、安全機能を排除することができます)。

図 6: The Gentlemen ランサムウェアグループから流出した内部チャットで推奨されていた、非検閲版の Qwen3.5 ビルド (2026 年 4 月)

攻撃に使用された Base64 でエンコードされた PowerShell コマンドには、各ステップを説明する詳細なコメントが含まれており、LLM 生成されたコード特有の統一されたテンプレート構造を有していました。

内部ネットワークの探索に使われた、別の Base64 エンコードされた PowerShell スクリプトには、中国語のコードコメントが含まれていました。ソフォスの経験上、難読化された悪意ある PowerShell スクリプトにコメントが残されていること自体が珍しく、前述の README ファイルでも確認された中国語が使われている点も手がかりとなります。

その後、攻撃者は最終的にランサムウェアを展開するのに先立ち、ダミーファイル (テキスト、JSON、SQL ダンプ、バックアップ、ドキュメント、メール形式) のディレクトリを作成し、その一覧を一時ファイルに出力することで、書き込み権限のテストを行いました (下図参照)。

cmd.exe /C mkdir C:\test_enc & echo Hello World > C:\test_enc\test1.txt & echo Second file > C:\test_enc\test2.txt & echo {"data":"test"} > C:\test_enc\data.json & echo SQL dump > C:\test_enc\db.sql & echo backup data > C:\test_enc\backup.bak & echo This is a test document > C:\test_enc\readme.doc & echo email content > C:\test_enc\email.msg & dir C:\test_enc > C:\Windows\Temp\pMGiNNjc.tmp 2>&1

経験上、人間のオペレーターがこれほど几帳面に書き込み権限をテストすることは滅多にありません。このコマンドは、ペイロードが標的とするファイル形式を列挙するよう生成されたツールの挙動に見えます。

しかし、続いて実行されたランサムウェアは、著しく稚拙なものでした。自身の身代金要求メッセージまで暗号化してしまい、被害者はそのメッセージを読むことすらできなかったのです。これは攻撃の初期段階で見られた能力の高さとは対照的であり、オンデマンドで生成されたペイロードの特徴と一致する可能性があります。

ソフォスはこの事例を、「人間のオペレーターが侵入を指揮し、AI 生成されたツールが用いられた可能性が高い事例」と判断し、ソフォスの分類法では「AI の悪意のある利用」カテゴリの「AI 生成型」サブカテゴリに分類しています。ただし、証拠は状況証拠に過ぎず、AI がペイロードを作成したと確定するものではありません。

AI 生成された攻撃ツール: AI コーディングエージェントで構築された Slack 制御型のカスタム RAT

前述の事例とは対照的に、このインシデントについて分析は一切不要でした。というのも、マルウェアのソースコードだけでなく、開発者が AI コーディングエージェントを使ってツールを構築していたことを示すコミット履歴そのものを回収できたからです。

ある金融サービス企業が、MDR に登録されていないデバイスで実行されていた独自開発の PHP アプリケーションに対する SQL インジェクション攻撃を介して侵入されました。攻撃者は Web シェルを展開して探索コマンドを実行し、認証情報へのアクセスを試みた上、オープンソースの TCP トンネリングツールである Chisel の市販ビルドを実行しました。

攻撃者が MDR で保護されたデバイスへのラテラルムーブメントを試みた際、保護機能が起動し、ソフォスのインシデント対応チームが即座に対応を引き継ぎました。

図 7: マルウェアリポジトリのコミット履歴。「claude」アカウントがオペレーターとともにコミットを行っている

このリポジトリには、AI コーディングエージェント向けのオープンソースエージェント型スキルフレームワークである superpowers のドキュメントに加え、マルウェアのアーキテクチャを定めた計画書が含まれていました。そのアーキテクチャとは、Slack チャネルをポーリングしてホストタグ付きコマンドを受信する Rust 製の Windows バイナリであり、コマンドの実行、リバースシェルの確立、URL からのファイルダウンロード、DPAPI で暗号化された設定のダウンロード、およびスケジュールタスクとしての展開といった機能を備えていました。

コミット履歴からは、数日間にわたる開発の経緯が読み取れました。具体的には、リバースシェル機能の追加と削除、設定ファイルの暗号化、標準ユーザー権限でのデプロイパスの強化、そしてプロジェクト内の文字列「rat-agent」を目立たないように「svc」に変更する操作などが行われていました。公開 README では、このツールは作成者自身の Windows マシンをリモート管理するためのエージェントであると説明されていました (図 8 を参照)。

図 8: リポジトリにあったマルウェアの実装計画書。Slack をポーリングする Rust エージェントと superpowers エージェント型フレームワークの使用が明記されている

これは、ソフォスのデータの中で最も明確な「AI 生成型攻撃ツール」の事例であり、攻撃者自身のソースコードとコミット履歴から開発プロセスを完全に特定できた唯一のケースです。人間のオペレーターが AI コーディングエージェントを使用し、実際に動作するカスタム RAT を作成していました。

しかし、朗報もありました。このマルウェアは監視対象外のデバイスに感染し、比較的珍しい C2 チャネルを使用していましたが、監視対象のエンドポイントに侵入した瞬間、動作検知機能によって捕捉されました。

AI 強化型と AI オーケストレーション型: 未確認の脅威

ソフォスのテレメトリや対応事例において「確認されなかったもの」を把握しておくことも重要です。Sophos X-Ops 分類法における「AI 強化型」サブカテゴリに該当するのは、実行時にモデルを呼び出してコマンドを生成するマルウェアです。本記事執筆時点で、ソフォスのテレメトリにおいてそのような事例は確認されていませんが、顕著な例として、CERT-UA が「APT28/UAC-0001 (IRON TWILIGHT) によるもの」と中程度の確信度で特定した LAMEHUG が挙げられます。これは実行時に Hugging Face 経由で Qwen2.5-Coder-32B-Instruct を使用して、コマンドを生成すると報告されています。

また「AI オーケストレーション型」サブカテゴリに該当するのは、人間の関与を最小限に抑え、エージェントがキルチェーンを実行するケースです。これまでのところ実例は確認されていませんが、最近発生した OpenAI の HuggingFace のインシデントや Anthropic による情報開示は、そうした機能が技術的に可能であることを示唆しています。

攻撃者が実際に AI を機能として利用している事例を確認しましたが、それらは人間の関与度が最も低い、つまり人間が制御を行う「AI 生成型」サブカテゴリに属していました。Cursor を検知回避ツールの開発に利用していた攻撃者の事例では、AI はツールの開発とテストを加速させはしたものの、ワークフローを主導していたのは人間でした。前述した SonicWall SMA のランサムウェアの侵入事例もこのサブカテゴリに該当するもので、AI がツールを作成したように見えますが、実際に操作をしたのは人間でした。これは、サイバー犯罪フォーラムで見られる状況とも一致しています。ソフォスがダークウェブに関するレポートで報告した通り、AI への関心は非常に高いものの、実際の導入や運用は依然として手探りの状態にあります。

ただし、2 つの点に留意する必要があります。第一に、実際に確認された導入事例は、利用可能な AI の能力に後れを取っています。OpenAI の実験用エージェントは、ゼロデイ脆弱性を悪用して研究用サンドボックスを脱出し、Hugging Face の本番インフラに到達したと報じられています。また Anthropic による 14 万 1,006 回の評価テストでは、モデルがテスト環境の境界を越えて本番システムに入り込んだケースが 3 件確認されています。

ソフォスの CISO である Ross McKerchar が指摘しているように、こうした事例は、モデルがゼロデイ脆弱性を見つけ出し、それらを連鎖させて組織の環境内を移動できることを示す現時点で最も有力な証拠です。ただし、ステルス性の低さが制約となる可能性があります。というのも、どちらの事例においても、導入済みであった検知機能によってそのアクティビティを捕捉していたからです。

第二に、前述の侵入事例は数か月前のものであり、進歩の早いこの分野においては決して新しいものではありません。Anthropic の 3 件の事例は、本番システムに到達した際の動作が異なる 3 世代のモデルにまたがっていました (最も古いモデルは攻撃を継続したのに対し、最新のモデルは自律的に停止しました)。攻撃者の行動はモデルの能力向上に追従すると予想されるため、ソフォスは引き続き監視を強化していきます。

防御担当者が今すぐ取り組むべき対策

• AI ソフトウェアを、需要が高く標的になりやすい他のソフトウェアと同様に管理する
• 入手先を検証済みのベンダードメインに限定し、既知のタイポスクワッティングをブロックする
• これらのキャンペーンで用いられる配信手法に目を光らせる (AI のブランド名が使われていても、検知対象となる動作自体が変わるわけではないため)
• ブラウザ拡張機能 (特に AI 関連のもの) について、提供元の信頼性に照らして監査を行う
• 他のソフトウェアと同様、AI の依存関係もサプライチェーンガバナンスの管理下に置く
• 何よりも先に、監視の死角を解消する: AI による生成が最も明らかだった事例において、侵入の起点となったのは、MDR に登録されていなかった 1 台のデバイスでした。管理対象外のデバイスやレガシーシステムは、多くの場合、侵入の起点となります。
• 独自開発の Web アプリケーションやレガシー Web アプリケーションを、優先的に対処すべき攻撃対象領域とする: 前述の侵入事例も、カスタマイズされた PHP アプリケーションに対する SQL インジェクションから始まりました。したがって、エンドポイント対策と並行して、アプリケーションレイヤーのテスト、パッチ適用、および Web アプリケーションファイアウォールの導入が極めて重要です。

変化の激しいこの分野では、細かい違いを区別することが重要であるため、ソフォスは各事例を分類法に基づいてラベル付けしています。ブランド偽装による誘い込みと、エージェントによるサプライチェーン侵害は、どちらも「AI の脅威」ですが、必要となる防御策は全く異なります。前者はダウンロードのサイバーハイジーンと既存のエンドポイント検知、後者は依存関係のガバナンスが求められます。これらを 1 つのカテゴリとして扱うことは、どちらにとっても有効な対策にはつながりません。インシデントが発生した際には、具体的な分類を行い、データが示す客観的な事実に注目することが推奨されます。

ソフォスによる対策

本記事で解説した脅威に関連するソフォスの対策は、以下の通りです。

• Mal/HTMLGen-A
• Troj/WebShel-BU
• Troj/Beagldr-A
• ATK/DonutLdr-B
• OSX/InfoStl-FQ
• WIN-EVA-PRC-MSHTA-HTTP
• WIN-EXE-PSH-SUSP-IEX-1
• WIN-PROT-BEHAVIORAL-MALWARE-EXEC-19C-T1218-005
• WIN-PROT-BEHAVIORAL-MALWARE-C2-10A-T1071-001
• WIN-PROT-AMSI-AMSI-PROTECTION-AMSI-PSDLR-G
• WIN-EXE-PRC-POWERSHELL-WITH-BASE64-START-1
• Troj/RAT-NG
• Troj/WebShel-KB
• PHP/WebShell-CD
• ATK/Chisel-F / WIN-PROT-VDL-MALWARE-ATK-CHISEL-F
• WIN-CRD-PRC-PSQL-SUSP-VEEAMBACKUP-1

本記事で解説したインシデントの IOC (セキュリティ侵害の痕跡) は、ソフォスの GitHub リポジトリで公開しています。