【要約】【インシデント報告】Defender が有効なのに、開発機で5日間マイニングされていた [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
開発者が自作Botの動作不安定をAIのコード変更によるものと誤認した。しかし、真の原因は管理者権限を奪取したマルウェアによるCPUリソースの占有であった。攻撃者は検知を回避するために以下の手法を用いていた。
- ・Windows Defenderの除外リストを改ざんし、監視対象から外した。
- ・正規のタスク名やプロセス名を模倣し、管理者の目を欺いた。
- ・AppData等の開発者が日常的に利用するパスに実行ファイルを配置した。
- ・ログのローテーションを利用し、侵入経路の証拠を消失させた。
// Approach
開発者がClaude Code（AI）を調査エージェントとして活用し、システムの状態を多角的に検証した。単なる名前ベースの確認ではなく、以下の論理的なステップで実体を特定した。
- ・プロセス名ではなく、実行パスとCPU使用率の差分を用いて実体を特定した。
- ・タスクスケジューラの実行パスを精査し、偽装タスクを抽出した。
- ・「タスク削除 $ ightarrow$ プロセス停止 $ ightarrow$ 除外解除 $ ightarrow$ ファイル削除」の順で駆除した。
- ・Defenderの検知イベントを通知するタスクスケジューラによる自動化を構築した。
// Result
AIによる迅速な調査と、正しい手順に基づく駆除により、システムを正常な状態へ復旧させた。具体的な成果は以下の通りである。
- ・15コアを占有していたマイニングプロセスを完全に排除した。
- ・偽装タスクやDefenderの除外リスト改ざんの全容を解明した。
- ・管理者PowerShellで実行可能なセキュリティチェックリストを確立した。
- ・認証情報の漏洩を前提とした、セッション切断を含む事後対応指針を策定した。
Senior Engineer Insight
> 開発環境の複雑化は、攻撃表面を拡大させる。AIによる開発加速は、環境内の「未知のバイナリ」を増大させるリスクがある。運用監視においては、名前ではなく「パス」と「振る舞い」で判断する原則を徹底すべきだ。AIを調査に活用する手法は極めて有効だが、環境の不透明さを放置すれば、検知不能な潜伏を許す。セキュリティは、単にツールを入れることではなく、環境の構成要素を把握し続けることである。