中国系ハッカー集団、Cisco製ルーターを秘密の攻撃基盤に転用

中国と関連が指摘されるサイバースパイ集団が、VMware環境への攻撃にとどまらず、企業がアクセス管理や重要システムの運用に利用するネットワーク・認証インフラを標的にする範囲へと活動を広げていることが、インシデント対応企業Sygniaの新たな調査結果で明らかになりました。詳細はSygniaが公表しています。

Sygniaが「Fire Ant」として追跡しているこの脅威アクターは、2026年にCisco IOS XRルーターを標的とし、活動の痕跡を隠蔽しながらネットワークトラフィックを収集していました。攻撃者はさらにTACACS認証基盤やLinux管理ホストも侵害し、接続された高価値環境へのアクセスを探っていました。

今回の調査結果は、Fire AntがVMware ESXiおよびvCenter環境で高度な持続的侵入を確立していたことを記録した、Sygniaが昨年公表した調査を土台としています。今回の一連の活動は、同集団がトラフィックの経路制御や企業ネットワークの運用管理に使われるインフラへと手法を拡張していることを示しています。

Sygniaは、影響を受けたネットワーク機器上でログを抑制し設定変更の活動を隠蔽しようとする試みを発見しました。侵害されたLinuxシステム上でも証拠が改ざんされていました。

Sygniaは今回の攻撃活動について、ある組織の信頼された基盤へのアクセスが他の高価値環境への侵入経路を開きかねない、いわば「標的の裏に潜む標的」というシナリオを生み出す可能性があると説明しています。Sygniaによれば、Fire Antは重要インフラに関連するシステムを探索していましたが、報告書ではその探索対象となった重要インフラのシステムが実際に侵害されたと断定するには至っていません。

Sygniaは、Fire Antの活動がMandiantによって追跡されている中国系サイバースパイ集団UNC3886に関して公に報告されている攻撃活動と強く重なると評価していますが、両者を確定的に同一のものとは扱っていません。Mandiantはこれまでに、UNC3886が従来型の監視を回避しようとしながらネットワーク機器やTACACS基盤を標的にしていたことを報告しています。

テレメトリ自体が標的になるとき

Fire Antによる一連の攻撃活動は、防御側にとって難しい問いを突きつけます。すなわち、攻撃を調査する際に用いる証拠を生成しているシステム自体を信頼できるのか、という問題です。

「証拠を生成するシステム自体が侵害されている場合、アラートやログ記録が存在しないことをもって、その行為が発生しなかった証拠とはもはや扱えません」と、IDCアジア太平洋サイバーセキュリティサービス部門のシニアリサーチマネージャーであるSakshi Grover氏は述べています。

AAAリクエスト、SNMPトラップ、コマンド出力の抑制により、管理者の活動、設定変更、認証情報の使用状況をめぐる記録に空白が生じかねません。

Grover氏は、企業が単一のデバイスや管理プレーンを証拠の唯一の拠り所として頼るべきではないと述べています。重要なテレメトリは別途管理されるシステムへエクスポートし、IDプラットフォームやネットワークフローデータといった独立した情報源と突き合わせて検証すべきだとしています。

テレメトリが原因不明のまま失われることや、異なる証拠源の間で食い違いが生じること自体が、有用な検知シグナルになり得ます。

セキュリティの焦点となるインフラ

Fire Antの事例は、高度なスパイ集団が従来型のエンドポイントを越えて、企業ネットワーク内で特権的な位置を占めるシステムに目を向けているという証拠をさらに積み重ねるものです。

Grover氏は、単一の攻撃キャンペーンだけで業界全体の潮流の変化を裏付けるものではないと慎重な姿勢を示しつつも、今回の事例は高度な中国系脅威アクターに共通する、監視が行き届きにくい高特権インフラを狙うという広範なパターンに合致していると述べています。

HFS Researchのアソシエイト・プラクティス・リーダーであるAkshat Tyagi氏は、セキュリティチームがこれまでエンドポイントやサーバーをそれらを接続・管理するシステムよりも厳重に監視してきたため、ネットワークインフラが依然として監視の死角になっていると指摘しています。

ネットワークインフラを掌握すれば、攻撃者はトラフィックを可視化できるだけでなく、信頼された接続を通じてつながるシステムへの潜在的な侵入経路も把握できてしまいます。

CISOが変えるべきこと

CISOにとって今回の事例は、ネットワーク・認証インフラにも、エンドポイントやサーバーと同水準のセキュリティ精査を適用すべきだと再認識させるものです。

Grover氏は、TACACSなどの認証システムをTier-0資産として扱うべきだと述べています。これらが侵害されると特権的な認証情報が露出するだけでなく、管理系の監査証跡自体も弱体化しかねないためです。

Counterpoint Researchのリサーチ担当バイスプレジデントであるNeil Shah氏は、企業内の他の領域に適用されているのと同じゼロトラストの原則を、このTier-0インフラにも及ぼすべきだと述べています。信頼されたシステムが今後も信頼できると思い込むのではなく、その完全性を継続的に検証する必要があるとしています。

「ゼロトラストは今やソフトウェアからハードウェアにまで及ぶ必要があります」とShah氏は述べています。つまり、特権的な認証経路を堅牢化し、管理系トラフィックや重要インフラ上で実行を許可するソフトウェアに対してより厳格な統制を課すということです。

Tyagi氏は、CISOはいわゆる「信頼の被害範囲」を封じ込めることにも注力すべきだと述べています。信頼されたシステムや接続が侵害された場合に、攻撃者がどこまで横展開できるかを制限するという考え方です。

そのためには、信頼された接続だからといって本質的に安全だと思い込むのではなく、ネットワークのつながりがどこまで到達可能にしているかを精査し、可能な限り機密性の高い環境を分離する必要があります。

インシデント対応計画は、ルーターや認証サーバー自体が侵害されている可能性を前提に策定すべきです。そのため組織は、独立して保持された証拠とバンド外アクセス手段を用意し、対応担当者が調査対象そのものである管理インフラに頼らざるを得ない状況を避ける必要があります。