インシデント対応企業Sygniaは、諜報グループFire Antが用いる新たな手法を明らかにした。この手法では、Cisco IOS XRルーターを侵害し、データ転送用の機器からネットワーク内部の監視・収集ポイントへと転用する。調査は、Ciscoルーター上で稼働しているGREトンネルのインターフェースが発見されたことをきっかけに始まった。このインターフェースには、運用設定にも承認済みの変更履歴にも説明がなかった。
Sygniaによると、同グループは標的範囲をVMwareハイパーバイザー環境からCiscoルーター、TACACS認証サーバー、管理に使われるLinuxサーバーへと拡大した。管理者権限を取得した後、攻撃者は偽のシステムサービスを介して永続化する専用マルウェアを植え付けた。このマルウェアは、定期的な検査中に発見される可能性を下げるため、時間帯を交替させながら植え付けたコードを実行するよう設計されていた。
ネットワークルーターを収集基盤に
このマルウェアにより、攻撃者はトンネルに関連するsyslogメッセージを隠し、攻撃者のインフラストラクチャーへ発信するTelnet接続を作成できた。さらに、記録を残さずにシェルへアクセスする対話型セッションも利用できた。管理者権限は、複数のルーターからデータトラフィックを取得し、PCAPファイルを外部のFTPサーバーへアップロードするためにも使われた。
これらのファイルからは、内部ネットワークの構成、管理通信、認証フロー、ルーティング経路間の関係、接続されたネットワークとの間で交換されたデータが明らかになる可能性がある。したがって侵害の影響は1台の機器にとどまらない。制御下に置かれたルーターは、複数の通信が通過する信頼された経路を監視する位置を攻撃者に与える。
高価値環境への橋渡し
隠されたGREトンネルは、侵害されたルーターの1台を古いLinuxサーバーに接続していた。Fire Antはこのサーバーを準備および偵察の拠点として利用した。このサーバーから攻撃者は、重要インフラに関連するシステムを含む、価値の高い接続環境にあるシステムを調査した。調査には、SSH、Web、SMB/RPC、RDPサービスで一般的に使われるポートが用いられた。
Sygniaはこの手法を「被害者の背後にいる被害者」を狙うものと説明している。これは、最初の被害者が保有する信頼されたインフラストラクチャーを侵害し、それを橋渡しとして他のネットワークへのアクセス経路を探索する手法である。研究者はまた、以前は文書化されていなかったBridgeAgentというバックドアを発見した。これは正規のZabbix監視エージェントを装っていた。このバックドアはroot権限でsystemdサービスとして動作し、TLSを介したリバースシェルと追加ペイロードの実行をサポートする。
防御チームにとって重要な点
Sygniaによると、Fire Antの活動は、Googleが以前に記録した中国の諜報グループUNC3886と大きく重複している。ただし、ファイル名やパス、実装の詳細には違いがある。同社は、この重複だけで両キャンペーンが同一であるとは証明できないと指摘している。
実務上より重要なのは、ルーターの設定やログだけに依存しても侵害を発見できない可能性がある点だ。攻撃者は証拠を隠すため、ログとファイルのタイムスタンプを改変していた。そのためSygniaは、侵害されたインフラストラクチャーから抽出したログを、他の情報源と照合して検証する必要があると警告している。同社の報告書には、拡充された侵害指標の一覧に加え、Fire Antの活動を検出するためのハンティングルールとYARAルールが含まれている。
これらの事実は、ネットワーク機器の保護が設定変更の防止だけに関わるものではなく、予期しないサービス、隠されたトンネル、発信接続、パケットキャプチャの痕跡を検出することにも関わることを示している。ただし、この記事では特定の被害者や収集されたデータ量についての詳細は示されておらず、これらは今後の調査に委ねられる未解決の問題である。