IBM Discovers ‘Slopoly’ AI-Generated Malware Linked to Hive0163 Ransomware
2026/03/16 gbhackers — AI により生成されたと思われるマルウェア・フレームワーク “Slopoly” を、実験的に使用するランサムウェア・グループ Hive0163 は、AI 支援ツールを活用する攻撃形態へと移行を進めている。このマルウェア自体は比較的単純であるが、Large Language Model (LLM) を用いる脅威アクターが、カスタム Command-and-Control (C2) クライアントを迅速に生成／改良する可能性を示している。
Hive0163 は金銭目的の攻撃グループであり、Interlock ランサムウェアを用いることで、データ窃取および恐喝などの大規模攻撃インシデントに関与し続けている。
このグループは NodeSnake／InterlockRAT／JunkFiction loader／Interlock ランサムウェアなどの、独自のクリプターやバックドアを保有しており、永続化／横展開／大規模暗号化のための柔軟な攻撃基盤を持つ。
2026年初頭に、IBM X-Force が調査したインシデントで Hive0163 は、侵入の後期の段階で Slopoly を導入する前に、複数のバックドアを順番に使用していた。それが示すのは、ランサムウェア攻撃の最中に AI 生成フレームワークを実運用環境で試験していた可能性である。この動きは、既存の攻撃手法に AI 支援を組み込むという、脅威アクターたちの傾向と一致している。
Slopoly: AI 支援 PowerShell C2 クライアント
ランサムウェア攻撃の調査中において IBM X-Force の分析者たちは、侵害されたサーバ上で C2 フレームワークのクライアントとして機能する、新たな PowerShell スクリプトを発見した。このフレームワークが、”Slopoly” と命名されたものだ。
この侵入は、ClickFix とソーシャル・エンジニアリング攻撃により開始された。被害者は Windows の “ファイル名を指定して実行” ダイアログに、悪意の PowerShell コマンドを貼り付けて実行するよう誘導された。
このスクリプトは “C:\ProgramData\Microsoft\Windows\Runtime” に配置され、”Runtime Broker” という名前のスケジュール・タスクにより永続化された。それにより Hive0163 は、1 週間以上にわたり侵害サーバへのアクセスを維持した。
Slopoly のコードには、LLM により生成されたソフトウェアの特徴が見られる。具体的には、詳細なコメント／冗長なログ出力／明確なエラー・ハンドリング／説明的な変数名などである。コード内には “Polymorphic C2 Persistence Client” という記述が含まれるが、実行時に実際のポリモーフィック動作は確認されていない。
JSON 形式のハートビート・ビーコンを C2 サーバへ向けて定期的に送信する Slopoly は、HTTP 経由で受信したコマンドを “cmd.exe” を介して実行し、”persistence.log” ファイルに活動ログを記録する。機能としては単純であるが、有効なバックドアとして機能する。
NodeSnake と InterlockRAT
初期コマンドでは、NodeSnake が展開される。この NodeSnake は、NodeJS ベースの第一ステージ C2 クライアントであり、ペイロード・ダウンロード／shell コマンド実行／自己更新／HTTP 通信によるビーコン間隔変更などの機能を持つ。
Hive0163 は NodeSnake を使用して、InterlockRAT と呼ばれる JavaScript バックドアを展開する。InterlockRAT により追加される機能は、WebSocket ベース C2 通信／SOCKS5 トンネル／リバースシェルなどである。
Interlock ランサムウェアの動作
続いて、Windows 向け Interlock ランサムウェアが、JunkFiction ローダーに格納された 64-bit PE ペイロードとして配布され、ユーザーのテンポラリ・ディレクトリなどに配置される。
Interlock は、複数の CLI オプションをサポートしている。それにより可能になるのは、特定のディレクトリやファイルに対する暗号化／スケジュール・タスクとしての実行／実行後の自己削除／専用フォルダへの暗号鍵の保存などである。
攻撃プロセスの後期の段階で、攻撃者は Slopoly を展開することで、AzCopy を介したデータ流出と、Advanced IP Scanner によるネットワーク探索を実行する。そして、最終段階である Interlock ランサムウェア攻撃を実行する。
Interlock はすべての論理ドライブを走査し、システム・ディレクトリおよび重要ファイル・タイプを除外しながら対象となるファイルを暗号化する。この暗号化では AES-GCM が使用され、各ファイルごとに生成されたセッション・キーが RSA により保護される。さらに、Windows Restart Manager API を使用してプロセスを停止し、ファイル・ロックを解除することで暗号化の成功率を高めるという。
暗号化されたファイルには独自の拡張子が付与され、FIRST_READ_ME.txt などのランサムノートが配置される。その後に、スケジュール・タスクの痕跡を削除し、設定に応じて暗号化プログラム自体も削除する。
AI 支援マルウェアの意味
Slopoly 自体は高度なマルウェアではないが、LLM を利用することで攻撃者が、十分に機能するバックドアを短時間で生成できることを示している。
Palo Alto Networks の Unit 42 によると、AI が戦力増幅器として機能することで、攻撃時間の短縮／参入障壁の低下／テンプレート化された AI 支援スクリプトによる攻撃規模の拡大などが可能になるという。
IBM X-Force の分析によると、このマルウェア生成に使用されたモデルは、比較的低性能な LLM である可能性が高いが、それであっても、完全に機能する C2 クライアントの生成を実現し、高度なランサムウェア・グループにより実運用されている。
武器化された AI へのアクセスが拡大するにつれ、防御側にとって必要になるのは、検知／アトリビューション／インシデント・レスポンスの見直しである。生成が容易で寿命の短いマルウェア・ファミリの増加により、従来よりも追跡と分類が困難になる可能性がある。
AI 技術を悪用する脅威アクターたちにより、攻撃の効率が飛躍的に高まっている点が大きな問題となっています。Large Language Model (LLM) を活用することで、専門的な知識が乏しい脅威アクターであっても、実用的なバックドアを短時間で生成できるという環境が整いつつあります。攻撃の起点となったのは ClickFix と呼ばれる手法であり、そこから本格的な侵害が開始されます。この事例のように、AI の支援により、攻撃ツールが次々とカスタマイズされる現状では、従来のパターンに基づく対策だけではなく、実行プロセスの監視といった柔軟な防御の姿勢が求められています。よろしければ、カテゴリー AI/ML を、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.