中国を拠点とするハッカーが、複数の手法を駆使して普及率の高いCisco製ルーターを侵害し、それを踏み台にして組織を監視したり、認証情報を窃取したり、他の組織への侵入を図ったりしていたことが分かりました。
サイバーセキュリティ企業のSygniaは、同社が「Fire Ant」と呼ぶハッキング活動に関する最新のレポートの中で、その巧妙さと有効性から防御側を警戒させる一連の侵害について詳しく報告しています。
Sygniaでインシデント対応ディレクターを務めるAsaf Perlman氏は、次のように述べています。「Fire Antは単にシステムを侵害しただけではありません。それらのシステムが依拠する信頼レイヤーそのものを侵害したのです。多くの組織がレガシー技術として見過ごしがちなルーター、認証サーバー、管理インフラが、攻撃者にとって到達範囲・可視性・制御力を得るための足がかりになりました」
「今回の調査結果が重要である理由はまさにそこにあります。その意義は最初に侵害された環境にとどまらず、影響を受けたインフラが、他の接続された価値の高い環境へと通じる経路になり得たという点にあるのです」
Sygniaによると、Fire AntはGoogle CloudのMandiant部門が「UNC3886」と呼ぶグループと重なりがあるとされています。UNC3886は2022年から2024年にかけて、著名な戦略的組織を狙った一連の攻撃に関与していたグループです。
Sygniaの研究者らによれば、Fire Antのハッカーはインフラを乗っ取り、それらのシステムを使って情報や認証情報を収集した上で、持続的なアクセス経路を構築し、自らの活動の痕跡を隠していたといいます。
このイスラエル拠点の企業によると、最近の活動は、攻撃者がもはやエンドポイントやサーバー、クラウドワークロードだけを標的にしているのではないことを示しています。彼らが狙っているのは、複数の環境の間に位置するインフラ、すなわちルーター、ハイパーバイザー、アクセスアプライアンス、Linux管理ホストなど、「信頼性、到達可能性、可視性を生み出す」システムです。
Sygniaが追跡した今回の最新キャンペーンは、Cisco IOS XRルーターを狙った攻撃に焦点を当てています。同社は、このグループが持続的なアクセスを確保し、組織全体への広範なアクセスを可能にする重要な認証情報を収集するために使用していた新たなツールを発見しました。
攻撃者はまた、ログを隠蔽し、自らの活動の証拠となり得るものを操作するための対策も講じていました。ファイルを削除したり、ファイアウォールのルールを改ざんしたりすることも頻繁にあったといいます。
Sygniaは、2025年にFire Antについて報告した後も、このグループは2026年になっても活動を続け、ハイパーバイザーの侵害にとどまらない手口へと進化を遂げたと指摘しています。2026年の侵害activityは、被害組織自体だけでなくサードパーティ環境にも影響を及ぼしていたことが確認されており、インフラの相互関係を悪用して価値の高いネットワークや重要インフラに侵入していました。Sygniaは、このキャンペーンで影響を受けた組織の名前は明らかにしていません。
ルーターがもたらす「視点」
今回のキャンペーンで発見されたマルウェアは、ルーターを制御し、攻撃者の目的に沿って扱いやすくなるよう改変するために特別に構築されたものでした。
Fire Antの攻撃者は、複数のCiscoルーターからトラフィックを取得し、外部インフラへデータをアップロードしていることが確認されています。彼らは単一のアクセスポイントで満足せず、「環境全体にわたる」複数のネットワーク上の視点を確保することを狙っていました。
これにより攻撃者は、システムや管理者、接続されたネットワークがどのように相互作用しているかについて、より広範な視野を得ることができました。
研究者らは次のように記しています。「この活動は、今回の調査から得られた核心的な知見の一つを裏付けています。すなわち、脅威アクターがルーターを制御下に置くと、単に到達範囲を得るだけではないということです。彼らは『視点』そのものを手に入れるのです」
「Fire Antはネットワークインフラを利用して環境を内側から観察し、横展開や認証情報の標的選定、ネットワーク間アクセスの計画立案に役立つ情報を収集していました」
攻撃者は、事実上の管理チェックポイントとして機能するTACACSと呼ばれる特定のサーバーを侵害することにも長けていたと研究者らは述べています。これらのサーバーはユーザーを認証し、コマンドを承認し、活動を記録する役割を担っています。
このレイヤーを侵害することで、脅威アクターは認証情報が使用される都度それを収集し、管理者の活動を観察し、正規のアカウントによる操作と悪意ある活動との区別を曖昧にすることが可能になりました。
Sygniaは、今回のレポートがルーターやハイパーバイザーなどを、監視・強化・インシデント対応への備えが求められる「第一級」のセキュリティ・フォレンジック資産として扱う必要性を示していると警鐘を鳴らしています。
各国政府やサイバーセキュリティ企業は、中国政府系のグループがCiscoのファイアウォールやルーターを標的にしてきたと以前から警告してきました。2024年には、これまでにも米国の重要インフラ組織が関わる複数の重大インシデントへの関与が指摘されてきた中国政府系のスパイ部隊Volt Typhoonが、米国・英国・オーストラリアにおいてサポート終了(EOL)となったCiscoルーターやネットワーク機器を標的にしていることが確認されています。
昨年には、Salt Typhoonキャンペーンの一環として、1,000台を超えるCiscoネットワーク機器が中国のアクターに標的とされたと防御側の専門家が報告しています。
2025年9月から12月にかけては、Palo Alto NetworksのUnit 42と連邦サイバー防衛機関が繰り返し、中国を拠点とするハッカーがCisco Adaptive Security Appliance(ASA)を攻撃していると警告していました。ASAは、政府機関や大企業がさまざまなセキュリティ機能を単一のアプライアンスに統合するために広く利用している人気の製品です。
複数の専門家が、Sygniaの今回の調査結果は脅威アクターの狙いを示すという点で示唆に富むと述べています。Cobaltのバイスプレジデントを務めるAndrew Obadiaru氏は、防御側がほとんど注視していないインフラ上で目立たないよう振る舞うことにFire Antがこれほどまでに労力を注いでいた点が、最も印象的だったと語りました。
同氏によると、今回標的とされたデバイスは通常セキュリティツールの監視対象外にあり、アラートを発生させないため攻撃者にとって魅力的な標的になっているといいます。
Obadiaru氏は次のように述べています。「この、長期間にわたって居座り続けるインフラレベルのアクセスというパターンは、通信・ネットワークインフラを狙う他の中国系スパイクラスターで見られてきたものと一致しています。これは、管理インフラ全体における信頼関係について、定期的なチェックではなく継続的な検証を行うべきだということを示しています」
翻訳元: https://therecord.media/router-hacks-fire-ant-group-china
