概要
今週のSecurityWeekまとめでは、AIを利用したマルウェアが詩を使ってC&Cサーバを切り替える手法や、GitHub Actionsを悪用したシークレット盗難が拡大したことが報告されました。また、暗号資産取引所へのハッキングで巨額資金を不正取得した容疑で有罪判決が下された事例や、CISAの人材確保インセンティブ制度の条件変更も取り上げられています。
技術的詳細・特徴
- 「PoeLLM」マルウェアはGitHubに掲載された詩の4語をIPアドレスに変換し、C&Cサーバを動的に切り替える。対象はLiteLLM、Ollama、Gotenberg、GiteaなどのAI/OSSサービスで、暗号通貨マイニングとボットネット拡大を狙う。
- GhostAction供給チェーン攻撃は、GitHub Actionsのワークフローを改ざんし、SSHキーやAWS・Azureの認証情報など2,577件のシークレットを盗み出した。影響は772リポジトリ（373組織）に及び、攻撃者は既存の2025年版プレイブックを再利用。
- Uranium Financeへのハッキングは、スマートコントラクトの脆弱性を突き、最初の1.4億ドルに続き53.3億ドル相当を不正取得。資金はTornado Cash経由で洗浄され、コレクションカードや古代ローマ硬貨の購入に使用された。
- CISAはサイバー人材保持インセンティブを2027年度まで継続するが、評価が「期待以上」以上でサイバー業務比率が51%以上という条件を追加。
影響・対策方法
AIサービスを外部に公開している組織は、認証・アクセス制御を強化し、不要なAPIキーを削除することが必須です。また、GitHubリポジトリのActions設定を最小権限に限定し、サプライチェーン監視を導入してください。暗号資産取引所はスマートコントラクトのコード監査と多層防御を徹底し、資金洗浄防止のためのトランザクションモニタリングを強化する必要があります。CISAの新基準に合わせ、人事評価と業務配分を見直すことでインセンティブを活用できます。
出典
情報元: SecurityWeek