国家関連の攻撃者、Ciscoルーターをスパイ活動の標的に

Sygniaが日曜日に公開した報告書によると、高度な技術を持つ中国系の攻撃者が、Cisco IOS XRオペレーティングシステムを搭載したルーターを悪用し、価値の高いネットワークや重要インフラにまで及ぶスパイ活動キャンペーンを展開しているといいます。 

この攻撃者はFire Antとして追跡されており、VMware環境を悪用したことで2025年に広く知られるようになりました。研究者らによれば、今回の新たなキャンペーンは、信頼されたネットワーク環境へのさらなる侵入拡大を示しているといいます。   

「観測された活動は、長期的なスパイ活動と極めて整合性が高いものです」と、Sygniaのインシデント対応ディレクターであるAsaf Perlman氏はCybersecurity Diveに語りました。「Fire Antはネットワークトラフィックと管理者権限の認証情報を収集し、経路や信頼関係をマッピングした上で、複数の永続的なアクセス手段を確立し、検知される可能性を減らすために証拠を改ざんしていました」

Cisco製デバイスは近年、高度な脅威グループの標的になることが多い製品です。これは、こうしたデバイスが組織への信頼された経路となり得ることが一因です。 

不審な活動

Sygniaの調査は、あるCisco IOS XRルーターで不審な活動が確認されたことをきっかけに始まったと、Perlman氏は述べています。研究者らによると、稼働中の設定情報やコミット履歴からはその存在理由を説明できないにもかかわらず、GRE(Generic Routing Encapsulation)トンネルインターフェースが稼働していたといいます。 

「これは、デバイスの動作状態や管理者が参照できる証拠そのものが、もはや信頼できない可能性を示していました」とPerlman氏は述べています。 

攻撃者は、認証プロセスを妨害して認証情報を窃取するために、TACACS(Terminal Access Controller Access Control Point)と呼ばれるアクセスの関門部分を侵害していました。 

調査の結果、研究者らがBridgeAgentと呼ぶ、トンネリングと永続化のためにZabbixを装ったインプラントなど、独自の攻撃ツールが新たに発見されました。Zabbixは通常オープンソースの監視ツールですが、このインプラントは攻撃者によってバックドアとして利用されていました。

TacTapと名付けられた2つ目のツールは、認証情報の収集に使われていました。

Perlman氏は、被害を受けた組織や、関連する他システムの環境を保護する必要があるとして、標的となった組織の所在地や業種についての詳細な言及は控えました。 

調査は不審なルーターの活動にとどまらず、侵害されたLinuxインフラや追加のネットワーク活動、そして長期的な永続化メカニズムの発見など、さまざまな問題へと及びました。 

対策

Perlman氏は、セキュリティチームが環境を強化するために取るべき手順として、以下を挙げています。 

• 専用の管理経路を用いて、ネットワークおよび管理インフラへの特権アクセスを制限する。 
• 想定外のGREやトンネルインターフェース、また動作状態と可視化された設定情報との間の不整合を監視する。
• ルーターの認証やネットワークのテレメトリを管理対象デバイスの外部で一元管理し、侵害されたシステム上の証拠が容易に改ざんされないようにする。 

Sygniaは以前、VMware ESXiおよびvCenter環境を標的とした2025年のFire Antによるスパイ活動キャンペーンを追跡していました。この活動は、中国系グループUNC3886によるスパイ活動を追跡していたMandiantの調査結果と重なるものでした。 

UNC3886は以前にも、カスタムバックドアを用いてJuniper MXルーターを標的にしたことがあり、これはより広範なスパイ活動の一環でした。 

Ciscoの広報担当者からは、現時点でコメントを得られていません。