C
月内に
攻撃者がAI（Claude OpusやCursor）を利用して、EDR（Sophos, CrowdStrike, Windows Defender）を回避するた…
📌 一言でいうと
攻撃者がAI（Claude OpusやCursor）を利用して、EDR（Sophos, CrowdStrike, Windows Defender）を回避するための自動マルウェアテストシステムを構築していることが判明しました。攻撃者はWindows Server 2022の仮想環境を構築し、Sliver C2サーバーを用いてMITRE ATT&CKに基づいた回避手法を継続的に検証しています。Pythonスクリプトにロシア語のコメントが含まれていたことから、ロシア圏の関与が示唆されています。
🔍該当判定
- Sophos、CrowdStrike、Windows Defenderのいずれかを導入している
- Windows Server 2022を社内サーバーや仮想マシンで利用している
- PCやサーバーで、身に覚えのない不審なファイルやプログラムが動作したという通知が出ている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
EDRの検知設定を最新に維持し、不審なユーザーフォルダ内での実行ファイル動作や、未知のC2通信（Sliver等）の兆候を監視することを推奨します。