- Sygniaが報告、中国系Fire Antが仮想化基盤を超えてルーター、TACACS、Linuxホストへ対象を拡大
- 侵害されたルーターは作戦用プラットフォームとして機能
- 「本当の標的の背後にある標的」を狙い、信頼関係を悪用してより広範なスパイ活動を展開
中国を拠点とするサイバースパイ集団Fire Antは、もはや仮想化プラットフォームだけを標的にしているわけではありません。ルーター、認証システム、Linux管理ホストにも狙いを定めています。サイバーセキュリティ研究者のSygniaによると、同グループは最近シスコのIOS XRルーターを標的にしているのが確認されたということです。
ルーターを侵害した後、攻撃者は単にネットワーク内を移動する目的だけに使うのではないと研究者らは説明しています。それどころか、ルーターを本格的な作戦用プラットフォームへと作り変え、トラフィックを収集し、通信を確立し、コマンド出力を改ざんし、さらには防御側のレーダーをかいくぐるためにログ記録まで抑制しているといいます。
認証システムに関しては、Fire AntがTACACSサーバーを狙う様子が確認されています。管理者はTACACSサーバーをネットワーク機器へのアクセス時の認証に利用しており、犯罪者はこれを悪用して貴重な認証情報を窃取するとともに、監査ログの信頼性を弱体化させています。さらにSygniaによれば、Fire AntはLinux管理ホストも標的にしているとのことです。研究者らは、カスタムのSSHバックドアや正規ソフトウェアを装ったマルウェアを含む、複数の永続的なインプラントとバックドアを確認しました。
本当の標的の背後にある標的
このキャンペーンの狙いは、犯罪者が他の環境へ到達できるような足場を築くことにあるようです。Sygniaはこれを「本当の標的の背後にある標的」というシナリオだと表現しています。
「これは本レポートで先に紹介した『本当の標的の背後にある標的』という概念を裏付けるものです。Fire Antが侵害した組織に関心を持つのは、単一の環境を侵害しようとする試みとしてだけでなく、可視性や情報収集、そして直接の被害者を超えたアクセスの可能性をもたらしうるインフラを掌握しようとする取り組みとして理解すべきです。その戦略的な価値は、当該組織が接続先の環境との間に築いている信頼関係にあります」とSygniaは説明しています。
Fire Antについては、2025年に初めて観測されたという事実以外、ほとんど何もわかっていません。一部の研究者は、Googleが以前確認した中国のスパイ集団であるUNC3886として追跡されている脅威アクターと大きく重なる部分があると主張しています。しかし、両者には無視できない相違点も存在するため、帰属の特定には至っていません。
