中国とつながりのある脅威アクター「Fire Ant」が、Cisco IOS XRルーターをはじめとする信頼済みインフラを侵害し、ネットワークの監視、認証情報の窃取、隠密なアクセスの維持、そして重要インフラへの侵入経路の探索を行っていたことが分かりました。
この攻撃キャンペーンは、攻撃者がルーターを単なる通信経路としてだけでなく、監視・攻撃プラットフォームとしても悪用できることを示しています。調査担当者は、Cisco IOS XRルーター上に、説明のつかないGREトンネルインターフェースを発見しました。
このインターフェースは稼働状態にあったものの、それを裏付ける設定内容やコミット履歴が一切見当たりませんでした。これは、通常の管理記録が改ざんまたは隠蔽される一方で、ルーターの動作状態自体が書き換えられていたことを示唆しています。
Fire Antは、IOS XR環境向けに特別に作られた複数の悪性コンポーネントを展開しました。あるインプラントは起動パス上に配置され、正規のサービスに見せかけられていました。
このインプラントは特定の時間帯に別のコンポーネントを起動する仕組みになっており、これによりマルウェアは持続性を保ちながら、日常的な点検で発見される可能性を低く抑えていました。
このマルウェアはルーターのログ記録処理も改変していました。特定のメッセージが転送されないよう選択的に妨害し、重要なセキュリティイベントを隠蔽していたのです。
別のコンポーネントはコマンド実行を操作し、ルーターの出力結果にフィルターを追加していました。これにより、管理者からトンネル設定やルーティング詳細、その他の構成情報を隠すことが可能になっていました。
攻撃者はルーターを使ってネットワークトラフィックの傍受も行っていました。複数のルーターインターフェースからPCAPファイルを生成し、外部のFTPサーバーにアップロードしていたのです。
これらのパケットキャプチャからは、内部ネットワークの構成、認証活動、管理接続、さらに接続先環境間のトラフィックまで明らかになる可能性があります。
ルーターを掌握することで、Fire Antは到達範囲と可視性の両方を手に入れました。これらのデバイスは信頼された立ち位置を提供し、攻撃者はそこからネットワーク活動を観察し、他システムへの侵入経路を計画することができたのです。
このGREトンネルは、侵害された環境とレガシーなLinuxシステムとを接続していました。Fire Antはこのホストを利用して繰り返し接続を試み、高価値環境や重要インフラ関連システムに対するスキャンを実施していました。
スキャンの対象には、SSH、HTTP、HTTPS、SMB、RPC、RDPといった一般的なサービスが含まれていました。研究者たちはzabbixagentという名前のバックドアを発見しており、これは正規の監視コンポーネントに見せかけて設計されたものでした。
このインプラントはsystemdサービスを通じてroot権限で動作し、暗号化された設定データを保存するほか、HTTPS経由で外部インフラと通信し、リバースシェルによるアクセスにも対応していました。さらに、このLinuxホスト上で追加のツールも実行していたとsygniaは述べています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な表記に戻す場合は、MISP、VirusTotal、あるいはご利用のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、より迅速な検知・調査・対応を-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/cisco-routers-turned-spy/
