研究者らは、稼働中の設定やコミット履歴では説明のつかないGRE(Generic Routing Encapsulation)トンネルインターフェースがCisco IOS XRルーター上でアクティブになっているのを発見し、Fire Antによるこの新たな手口を突き止めました。
インシデント対応企業Sygniaによると、この脅威アクターは標的をVMwareハイパーバイザーから、Ciscoルーター、TACACS認証サーバー、Linux管理ホストの侵害へとシフトさせています。
研究者らは、稼働中の設定やコミット履歴では説明のつかないGRE(Generic Routing Encapsulation)トンネルインターフェースがCisco IOS XRルーター上でアクティブになっているのを発見し、Fire Antによるこの新たな手口を突き止めました。
さらに分析を進めたところ、Fire Antはこれらのデバイスにカスタムマルウェアを展開しており、偽のシステムサービスによって永続化を実現していたことが判明しました。このサービスはインプラントを一定時間おきの隔たった時間帯にのみ実行する仕組みになっていました。
このマルウェアはトンネル関連情報を正規の管理者から隠すためにsyslogメッセージを選択的に抑制し、Fire Antのインフラへの発信Telnet接続を確立するとともに、ログを一切残さないインタラクティブシェルアクセスにも対応していました。
攻撃者はまた、管理者権限でのアクセスを悪用して複数のルーターからトラフィックをキャプチャし、生成されたPCAPファイルを外部のFTPサーバーにアップロードしていました。
これらのキャプチャデータからは、内部トポロジー、管理接続、認証フロー、ルーティング関係、そして接続先ネットワークとの間でやり取りされるトラフィックが露見する恐れがあります。
「この挙動により、ルーターの役割は単なる通過デバイスから収集プラットフォームへと変わります」とSygniaは説明しています。
「攻撃者がルーターを制御下に置いた時点で、そのデバイスは信頼された経路を流れるトラフィックを観測するための観測拠点となります」
秘匿されたGREトンネルは、侵害された一台のルーターと、Fire Antが拠点確保や偵察に利用していたレガシーLinuxサーバーとを接続していました。
そこを起点に攻撃者は、重要インフラに関連するシステムを含む、接続先の高価値環境内のシステムに対し、SSH、Webサービス、SMB/RPC、RDPで一般的に使用されるポートを通じて探査を行っていました。
Sygniaは、Fire Antの活動の狙いは最初の被害者組織の信頼されたインフラを侵害し、それを密かな橋頭堡として、接続先の高価値ネットワークへの侵入経路を探ることにあったとみています。同社はこの手口を「標的の先にある標的(target behind the target)」と呼んでいます。
.jpg)
研究者らはさらに、これまで確認されていなかったバックドア「BridgeAgent」も発見しました。Fire Antはこれを正規のZabbix監視エージェントに偽装させていました。
このバックドアはroot権限のsystemdサービスとして永続化し、TLSリバースシェルや侵害ホスト上での追加ペイロードの実行に対応しています。
.jpg)
Sygniaによると、Fire Antの活動はGoogleが以前に報告した中国系のスパイ活動集団UNC3886と大きく重複しているといいます。ただし研究者らは、ファイル名、パス、実装の詳細には相違点があるとも指摘しています。
研究者らは、Fire Antがシステムログや記録を組織的に改ざんし、調査担当者に有利となる証拠を隠すためにファイルのタイムスタンプまで変更していると警告しており、侵害されたインフラから取得したログは他のデータと突き合わせて検証すべきだと述べています。
Sygniaのレポートには、侵害指標(IoC)の詳細なリストに加え、Fire Antの活動を検知するためのハンティングルールとYARAルールも公開されています。
