中国系ハッカー集団、Ciscoルーターを不正なネットワークゲートウェイに悪用

サーバーが1台侵害されただけなら、被害はそのマシンだけにとどまるかもしれません。しかし、適切なルーターが侵害されれば、攻撃者はネットワーク全体を見渡せるようになってしまいます。

セキュリティ企業Sygniaによると、中国と関連のある脅威アクター「Fire Ant」がCisco IOS XRルーターを侵害し、その特権アクセスを利用してネットワークトラフィックを監視するとともに、周辺環境への隠密な接続を確立していたことが判明しました。

Sygniaによれば、この中国系アクターはLinux管理ホストや、TACACS(Terminal Access Controller Access-Control System)も侵害しており、認証システムへの不正アクセスを可能にしていたということです。 

Sygniaの調査では、重要インフラに関連するシステムを含む、価値の高い環境に対するスキャンや接続の試みの痕跡も見つかっています。攻撃者の狙いは、侵害した信頼済みインフラを踏み台として他の環境へ橋渡しすることにあったとみられ、Sygniaはこの手口を「標的の先にいる標的」を狙うものだと説明しています。 

Fire Antはいかにしてルーターを足がかりに変えたのか

Sygniaによると、攻撃者はルーターのコミットログから自らの活動の痕跡を隠していました。しかし調査担当者が、対応する記録のない稼働中のGRE(Generic Routing Encapsulation)トンネルを発見したことで、この食い違いをきっかけにCisco IOS XRルーターのさらなる詳細調査が行われることになりました。

その調査の結果、Fire Antがルーターへの特権アクセスを獲得し、これを利用してネットワークトラフィックを監視していたことが明らかになりました。

この活動をたどっていくうちに、調査担当者は組織のTACACS認証インフラにまでたどり着きました。そこで、Fire Antがこれらのサーバーを侵害し、独自の悪意あるツールセット「TacTap」を展開していたことが発覚しました。

これにより攻撃者は、管理者の認証情報や認証セッションという貴重なアクセス手段をさらに手に入れ、他のネットワーク機器への攻撃にも利用できる状態になりました。ルーターの侵害と並行して、Fire AntはLinux管理システム上に複数の永続化の仕組みを構築していました。これにより、個々のインプラントが発見・除去されても、別の手段でアクセスを取り戻せるようにしていたのです。

これらの一連の流れを総合すると、ルーター自体が最終目的ではなかったことが分かります。Fire Antはルーターを、より広範な目的を達成するための単なる発射台として利用していたにすぎません。

なぜルーターが狙われるのか

ルーターは大量のネットワークトラフィックが通過する地点に位置し、組織のインフラのさまざまな部分を接続しています。そのため、ネットワーク内部から到達可能な範囲を把握するうえで格好の観測地点となります。

この特性により、侵害されたルーターは通常のエンドポイントよりもはるかに価値の高い標的となります。

今回の選択は、攻撃者と最終的な標的システムとの間に位置するインフラを狙うFire Antの広範なパターンとも一致しています。 

このアクターは、以前はVMware仮想化環境を標的にしていましたが、今回はルーターや認証システムも同じ目的を達成するための別の経路になり得ることを示しています。すなわち、他の環境を見渡し、アクセスし、移動していくための信頼された足場を確保するという目的です。

SygniaはFire Antについて、UNC3886と関連付けられている活動と重複が見られる、中国と関係のあるアクターだとしています。米国当局も外国製ルーターについて警告を発しており、侵害されたルーターが監視やデータ窃取、他のネットワークへのアクセス手段として悪用され得ることを示しています。

ルーター侵害がユーザーにとって意味すること

今回のFire Antによるキャンペーンは、ルーターや管理インフラを「単なる背景の機器」として扱ってはならないことを示しています。攻撃者がこうしたシステムへの特権アクセスを一度獲得してしまうと、トラフィックの監視、他のネットワークセグメントへの到達、そして侵入の範囲を最初の機器から大きく広げてしまう認証情報の窃取まで可能になってしまう恐れがあります。

ルーターのコミットログには現れない稼働中のGREトンネルが発見された点は、特に重要です。この事実は、防御側が従来のログだけに頼るのではなく、機器の現在の状態を本来あるべき設定と比較する必要があることを示しています。

より大きな教訓は、悪意あるインプラントを1つ除去しただけでは侵入が終わったとは限らないということです。Fire Antはルーター、Linux管理ホスト、認証インフラにまたがってアクセスを維持していました。防御側は、攻撃者が完全に排除されたと確信できるまでに、複数の層にわたる調査を行う必要があります。

関連ニュース: 詐欺集団がIndeedの採用担当者になりすまし、求職者を偽のAndroid面接アプリへと誘導する手口が確認されています。このアプリはスパイウェアをインストールし、アクセシビリティ権限を悪用するほか、削除を困難にする機能も備えています。