中国系スパイウェアプラットフォーム「LightSpy」、少なくとも117台のサーバーで運用、ルーターも標的に

中国系の監視プラットフォーム「LightSpy」が、検証済みのルーター感染を伴う少なくとも117台のサーバーを使う規模にまで拡大していることが分かりました。

Black Hat USAにおいて、Arctic Wolfの研究者Dmitry Bestuzhev氏とDmitry Melikov氏は、LightSpyが13カ国以上で確認されていると述べました。このスパイウェアは少なくとも2018年から活動しており、2020年に公に文書化されています。 

今回の調査結果は、多くのセキュリティチームが見落としがちなネットワーク部分にまで脅威が及んでいることを示しています。

ルーターへのインプラントが同一ネットワーク上の機器全体に影響

BestuzhevとMelikovの両氏は、南アフリカとチェコでそれぞれ1台ずつ、感染したMikroTikルーターを確認したことを明らかにしました。

ルーターが侵害されると、LightSpyは管理者認証情報とDNS設定を変更できるようになります。攻撃者はトラフィックをプロキシ経由にリダイレクトし、デバイスに保存されているWi-Fiパスワードを取得することも可能です。

ゲートウェイを制御下に置くことで、同一ネットワークを利用する他のデバイスにも影響が及ぶ可能性があります。DNS設定を改変すれば通信を別の場所へ誘導でき、プロキシ制御を使えば、接続されているすべてのスマートフォンやパソコンにLightSpyをインストールすることなくトラフィックを迂回させることができます。 

同様のルーター侵害の事例は、エンドポイント中心の防御ではゲートウェイレベルのアクセスを検知しにくい理由を示しています。 

北京の1台のサーバーから、はるかに大規模な運用が明らかに

研究者らによると、調査は北京にある既知のコマンド&コントロール(C2)サーバーを起点とし、一致する証明書の特徴を手がかりに関連インフラを解明していったといいます。マッピングされたサーバーのうち、中国が33台と最も多くを占めていました。

研究者らは、調査の結果LightSpyの開発が深セン(Shenzhen)の小規模な民間ソフトウェア会社にまでたどれることが判明したとし、このプラットフォームと中国本土とのつながりを示すもう一つの証拠になると述べています。

LightSpyは現在も活発に開発が続けられているとみられます。研究者らが確認した最近のコードや新規登録されたインフラは2026年にまで及んでおり、このスパイウェアの開発が継続していることを示しています。

運営者向けパネル内にデモアクセス機能、課金管理機能、顧客ごとの設定機能が備わっていることから、このプラットフォームが複数の顧客にサービスを提供できる設計になっていることがうかがえます。BestuzhevとMelikovの両氏は、LightSpyを特定の運営者向けに作られたツールではなく、製品化された監視サービスと位置づけています。

ルーターの侵害はエンドポイント中心の防御をすり抜ける恐れ

支店やリモートワーカーを管理するセキュリティチームは、調査がノートパソコンやスマートフォンで止まってしまうと、侵入の一部を見逃す可能性があります。EDR(エンドポイント検知・対応)は主に監視対象デバイス上の活動を追跡するものであるため、エンドポイントに異常が見られないからといって、ゲートウェイが侵害されていないとは限りません。

説明のつかないDNS変更、プロキシ設定の改変、見慣れないルータースクリプトが見つかった場合は、ゲートウェイ自体を精査対象とすべきです。感染したルーターを経由し続けている限り、ノートパソコンを初期化したりスマートフォンを交換したりしても、あまり意味がない場合があります。

BestuzhevとMelikovの両氏は、防御側に対しMikroTik製デバイスのスケジュールスクリプトを確認し、DNSおよびプロキシ設定を点検するよう勧めています。ファームウェアを最新の状態に保ち、アウトオブバンド監視を活用することで、通常のエンドポイント制御では見逃されがちな不正な変更を発見しやすくなります。

LightSpyの事例は、影響を受けたエンドポイントを浄化した後も不審な活動が続く場合、インシデント対応の対象にルーターを含めるべきもう一つの理由となります。より広範なネットワークセキュリティの可視化によって、攻撃者が残した足場がゲートウェイ側に存在するかどうかを見極める助けになるでしょう。

関連記事: Barracuda社のBlack Hat 2026における調査では、AIメールアシスタントがビジネスメール詐欺(BEC)攻撃のスピードと規模をいかに拡大させ得るかが示されています。