AIが作った攻撃基盤が防御者の駆除を「観察」する — ReliaQuestがツールキット「Gryxa」を分析、管理画面に324台を確認

セキュリティ企業ReliaQuestの脅威リサーチチームは2026年8月28日、金銭目的の攻撃者が運用する攻撃ツールキット**「Gryxa」の分析を公開した。Gryxaの大部分は商用のAIコーディングエージェントの支援で開発されたとみられ、ReliaQuestはAIが攻撃作戦全体の構築に使われたのを観測した初の事例**と位置づけている。攻撃者が管理するWebコンソールには324台の侵害ホストが登録され、執筆時点で69台が稼働中だった。

AIが作った初の「作戦全体」

これまでの攻撃者によるAI利用は、作戦の規模拡大や、コマンド文の作成・窃取データの選別といった個別作業の効率化が中心だった。これに対しGryxaは、ツールキット本体から攻撃者が使う管理コンソール、署名付きの更新配信パイプラインまで、作戦全体がAIの支援で構築された点が新しいとReliaQuestは指摘している。

根拠は攻撃者自身の公開コードリポジトリにある。ReliaQuestが直接調べたところ、コミット履歴の過半数に商用AIコーディングエージェントが共同作成者として記録されていた。AIに毎回渡す開発ルールのファイルや、失敗した侵入の記録を35件番号付きで残した分析メモもあり、メモが指摘した問題を後のコミットが修正していた。ReliaQuestは、一人の攻撃者が本来は小さなチーム分の作業量をこなしていた可能性が高いと分析している。

コードには、AIモデルの安全対策をかわす狙いとみられる細工もあった。2件のスクリプトの先頭には「Authorized internal deployment - lab/competition scope only（承認された内部展開 — 実験・競技の範囲のみ）」という注釈が書かれていたが、どちらのスクリプトも実験用ではなく、持続化の監視や更新チャネルの固定といった攻撃機能だった。ReliaQuestは、攻撃者が正規のシステム管理作業を装う言葉でAIに手伝わせた可能性があるとみている。ただし攻撃者の入力内容やAIとのやり取り自体は確認できていないため、同社はこの点を推測と区別して記している。

正規の遠隔管理ソフトを隠れみのにする

Gryxaは、正規の遠隔監視・管理（RMM：Remote Monitoring and Management）ソフトウェアを攻撃者の隠れた出入口に転用する。RMMとは、管理者が離れた場所からパソコンを保守するための正規ツールで、攻撃者が悪用すると正規通信に紛れて遠隔操作できる。侵入経路はフィッシングの可能性が高いとされ、請求書を装ったファイル名の19MBの自己展開型実行ファイルが確認されている。ただしReliaQuestは配送の瞬間自体は観測しておらず、可能性の高い経路の一つと位置づけている。

ファイルを4か所の隠しフォルダーに分散し、起動の仕組みを何重にも備える点がGryxaの特徴だ。SYSTEM権限で1分・5分・15分間隔で動く3件のタスク、正規のMicrosoft製タスクに似せた名前の4件のタスク、再起動後も残るWMIイベント購読、メインとは別の場所に置いたファイルの予備を使い、削除したタスクは通常1分以内に復活するなど、残りの部品が消えた部分を復元する仕組みだ。ReliaQuestは、目に見えるRMMと主フォルダーの削除だけでは復旧経路が残ると警告している。

認証情報の窃取はChromium系ブラウザに保存されたログイン情報を狙う。Googleが2024年に導入したChromeのアプリ拘束暗号化（App-Bound Encryption）を迂回する3経路をコード中に備え、古い形式向けの経路も残すことで新旧どちらのブラウザにも対応する。モジュールは復号したログイン情報を約40の暗号資産取引所・金融技術ドメインと照合し、一致分を攻撃者に送信する。仮想通貨ウォレットの拡張機能は約69種の有無だけを記録する。ただしReliaQuestは、すべてのブラウザ版での復号成功を独自に検証したわけではないと明記している。

駆除の様子を攻撃者に送り、中継遮断にはEDR破壊で反撃する

Gryxaで最も注意すべき性質は、防御者の対処そのものを攻撃者に見せる点だとReliaQuestは指摘する。防御者が目に見えるRMMを除去すると、生き残った部品がWindowsのログやホストの痕跡を集めて攻撃者に送信し、攻撃者は駆除がどう行われたかを把握できる。RMMを悪用する他の攻撃者では文書化されていない振る舞いだという。

さらに、中継サーバへの接続が切れると約10〜13分で防御を破壊する対抗措置が動く。5分ごとに動く監視部品が中継の到達不能を数え、2回連続で失敗するとMicrosoft Defenderを無効化し、内蔵リストにあるEDR製品に停止・無効化のコマンドを出す。3回続けばレジストリから削除コマンドを読み取ってセキュリティエージェントを密かに削除する。つまり目に見える通信だけを遮断すると、防御が外される引き金になる。中継が回復するとDefenderは再び有効化されるため、Defenderが正常に見えることは無事の証拠にならない。追加された除外設定も元に戻らない。

ReliaQuestが推奨する封じ込めの順序

ReliaQuestは封じ込めの順序が重要だと強調し、次の手順を推奨している。まず攻撃者の基盤を遮断し、その後にサービス、スケジュールタスク、作業フォルダーを一括で除去する。エージェントのアンインストール保護に対応している製品では有効化しておくことが、削除の最終段階を止める決め手になるという。同社はまた、個別のツールキットの追跡より振る舞いに基づく検知のほうが長持ちするとの見方を示している。

AI支援で一人規模の攻撃者が数百台を運用する時代に入ったことを、この事例は示している。防御側は「見つけた部分を消す」対処が通用しない相手を前提に、基盤の遮断と持続化の全体把握を一体で進める必要がある。

出典

• ReliaQuest Threat Research「Gryxa: The AI-Built Toolkit That Watches How You Remove It」（2026年8月28日公開） https://reliaquest.com/blog/threat-spotlight-gryxa-ai-built-toolkit/