Fire Antハッカー集団、Ciscoルーターと TACACSサーバーを侵害し重要インフラを標的に

中国系脅威アクターFire Antは、スパイ活動の対象をVMwareハイパーバイザーから信頼された基盤インフラ層へと拡大し、Cisco IOS XRルーター、TACACS認証サーバー、Linux管理ホストを侵害しています。

この活動を調査したセキュリティ企業Sygniaによると、Fire Antは2025年に初めて報告されて以来、活動を継続しているとのことです。

Securityawareness training

同アクターの最新の活動からは、一般的なエンドポイントではなくインフラの制御プレーン資産へと標的を意図的にシフトさせていることがうかがえます。

ルーター、認証サーバー、管理システムを乗っ取ることで、同グループはネットワーク経路、管理者セッション、認証情報、環境をまたぐ信頼関係について戦略的な可視性を獲得しました。

Fire AntはCisco IOS XRルーターを侵害し、その動作環境を改変することで、永続化、秘密裏の通信、トラフィック収集、アンチフォレンジックを可能にしました。

調査担当者は、被害を受けたルーター上で、対応する実行中の設定やコミット履歴の記録が一切ないにもかかわらず動作していた、説明のつかないGREトンネルインターフェースを発見しました。これは、管理者がもはやデバイス自身の設定や監査ビューを信用できない状態にあったことを示しています。

ルーター用のツールキットには、正規のブート関連サービスを装う永続化スクリプトと、継続的なプロセスの可視性を下げるために断続的に起動されるacpidという名前のインプラントが含まれていました。

このマルウェアは、改変されたIOS XRのsyslogライブラリを埋め込み、「Health」という文字列を含むログイベントを選択的に抑制していました。通常のログ処理パイプラインにイベントを送ることなく、成功したかのような結果を返していたのです。

Fire Antはコマンドの出力も操作していました。リバースエンジニアリングの結果、悪意のあるコンポーネントがIOS XRのコマンド実行経路を改変し、showコマンドに除外フィルタを追加することで、VRF、トンネルソース、宛先、インターフェース設定といったトンネル関連の詳細を隠蔽していたことが判明しています。

この機能により、攻撃者はルーターのCLIを使用する管理者から悪意のあるネットワーク状態を直接隠すことができました。

侵害されたルーターはパケットキャプチャにも利用されていました。Fire Antは正規のアカウントを使ってルーター管理のワークフローを実行し、複数のインターフェースからPCAPファイルを収集した上で、外部のFTPインフラにアップロードしていました。

ルーターを介したトラフィック収集により、ネットワークトポロジー、管理通信、認証フロー、ルーティング関係、接続先環境間のトラフィックパターンが露呈するおそれがあります。

攻撃者は同時に、ネットワーク機器への管理アクセスを制御・監査するための重要な認証の要所であるTACACSサーバーも標的にしていました。

侵害を受けたシステムの1台で、Sygniaは、/usr/sbin/acppidにあるインジェクターと悪意のある共有ライブラリ/lib/libseconfd.soから構成される、TacTapと呼ばれる認証情報窃取ツールセットを特定しました。

TacTapは実行中のtac_plusプロセスに悪意のあるライブラリを注入し、acceptおよびaccept4関数をフックしていました。

これにより、インプラントは稼働中のTACACSセッション処理経路に直接組み込まれ、新たに受け付けられた管理者接続を傍受できるようになっていました。

Sygniaの研究者は、今回のキャンペーンについて、トラフィックの経路制御や管理者アクセスの検証、セキュリティテレメトリの保持を担うシステムを攻撃者が武器化し、接続された高価値・重要インフラ環境へ到達できることを示す事例だと述べています。

Securityawareness training

その後、インプラントはローカルのUnixソケット/var/run/acpid.lockを介して、接続のファイルディスクリプタを収集用プロセスに渡していました。

Fire Antによるキャンペーン

収集された認証情報のデータは/var/log/.tacplus.acctに書き込まれ、単一バイトのXORキー0xEFで簡易的に難読化されていました。

このバイナリにはハードコードされた外部IPアドレスとTelnetクライアント機能が含まれており、さらにIOS XR特有のルーティング、VRF、RIB、Telnet管理用のライブラリをインポートしていました。

この手法により、Fire Antは認証情報へのアクセスを得る一方で、防御側が重要システムへの侵入者や実行されたコマンドを特定するために依拠しているのと同じ認証基盤への信頼を損なわせています。

SygniaはさらにFire Antが、GREで接続されたLinux管理ホストを能動的な偵察・攻撃準備拠点として利用していたことも発見しています。

このホストは、SSH、Web、SMB/RPC、RDPの各サービスを含む、高価値・重要インフラ環境に関連するシステムに対して、接続試行とポートスキャンを繰り返し行っていました。

今回の調査では、これらの下流の標的が実際に侵害されたことまでは確認されておらず、観測された活動はスキャンと接続試行にとどまっています。

BridgeAgentという名前で追跡されているバックドアは、Zabbix監視コンポーネントを装っていました。

これはzabbix_agent.serviceユニットを通じて永続化され、root権限で動作し、表示上のコマンドラインを/usr/bin/gnome-shellに似せるよう変更し、/opt/.ICEauthorityから設定を復号した上で、ポート443経由のTLSで攻撃者が制御するインフラに定期的にアクセスしていました。

Sygniaが「標的の背後にいる標的」と表現する点こそが、中心的なリスクです。

Fire Antは、侵害した組織を単なる被害者としてだけでなく、接続されたネットワークをマッピングし、そこから情報を収集し、さらにはアクセスするための足がかりとなる、信頼された基盤インフラのプラットフォームとして利用しているとみられます。

そのため、ルーター、TACACSサーバー、ハイパーバイザー、踏み台ホスト、管理アプライアンスはもはや周辺的な運用資産ではなく、信頼の連鎖全体を露呈させかねない高価値の標的となっています。

組織は、単一の情報源に頼るのではなく、ルーターのログ、認証記録、設定状態、ネットワークテレメトリ、ディスク上の証拠、メモリ上の痕跡を互いに照合して検証すべきです。

Fire Antの手口は、ログ記録やコマンド出力、監査証跡をあえて不完全または誤解を招く内容にすることを狙っており、信頼された基盤インフラをアクセス経路であると同時に信頼できない証人へと変えてしまいます。

IOC(侵害指標)

注: 誤って解決やハイパーリンク化されるのを防ぐため、IPアドレスやドメインは意図的に無効化表記(defang、例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

★ どのセキュリティツールを削減すべきか、1ページで採点 – 継承されたセキュリティスタックガイドをダウンロード

Securityawareness training