The Hacker Newsは、「China-Linked Fire Ant Hijacks Cisco Routers to Steal Credentials and Blind Security Logs」において、中国との関連が疑われる脅威グループ「Fire Ant」がシスコ製ルータを侵害して攻撃プラットフォームを構築したと報じた。

セキュリティ企業「Sygnia」の調査レポート「Fire Ant Evolves: From Hypervisors to Trusted Infrastructure | Sygnia」により明らかになった。脅威グループはCisco IOS XRルータを侵害すると永続性を確保し、専用のマルウェアを展開することで攻撃プラットフォームを構築したという。

認証情報を窃取

「Fire Ant」は2025年初頭ごろから観察されるようになった比較的新しい脅威グループとされる。当初の主な攻撃目標はVMwareハイパーバイザーで、ネットワーク資産への不正アクセスを試みる攻撃が特定された。

ところが今回のSygniaの調査では、Cisco IOS XRルータ、TACACS(Terminal Access Controller Access Control System)サーバ、ネットワークのルーティング、認証および管理に使用されるLinux管理ホストを標的に攻撃を実施したことが明らかになった。攻撃者は能力を急速に向上させ、標的を拡大している可能性がある。

初期の侵入経路は特定されていないが、Cisco IOS XRルータに侵入した攻撃者はルータを攻撃プラットフォームに変え、ネットワークトラフィックを傍受し、認証情報を収集した。さらに、防御を困難にする目的でログの記録やテレメトリの収集を妨害したとされる。

ルータ内ではGeneric Routing Encapsulation(GRE)トンネルが稼働しており、通信先を調査するとLinuxシステムの存在が特定された。このシステムの通信分析で、SSH、HTTP/HTTPS、SMB/RPC関連ポート、RDPなどへの攻撃の試みが確認された。

さらに攻撃者は複数のシスコ製ルータの通信を傍受し、PCAPファイルとして外部に送信。送信先のFTPサーバは傍受を開始した当日に構築されており、標的環境の近くに収集インフラを準備したと推測されている。

攻撃はTACACSサーバにも及び、サーバ内からはVMCIソケットベースのバックドアが発見された。このバックドアはVMware VSOCK/VMCIインタフェースを介した通信をサポートし、ゲストOSへのアクセスを提供したとされる。

このサーバからは高度なTACACS認証情報収集ツールセットも発見され、認証フロー内のTACACSセッションを監視していたことも特定された。この監視により認証情報の収集に成功したとみられ、認証情報を「/var/log/.tacplus.acct」に暗号化して保存していた。

Linux管理インフラ全体への攻撃も確認された。Medusaルートキット、カスタムSSHバックドア、偽装バイナリ、認証情報キャプチャ、ホストレベルの設定変更などを展開し、耐久性のある攻撃プラットフォームを構築したとされる。これら一連の活動から、Fire Antは侵害した環境を手当たり次第に悪用する特徴が読み取れる。

侵入を防止する対策はまだわからず

攻撃者は侵害したサーバ、各種デバイス内に保存されたログ、テレメトリを改変、妨害する。そこでSygniaはフォレンジック調査を実施する際にはメモリ、保存データ、ネットワーク、認証、設定を検証して矛盾や不可解な点を評価すべきとしている。

調査では初期の侵入経路を特定できておらず、侵入を防止する回避策は示されていない。しかしながら、同社は侵害の検出に役立つ情報として、脅威ハンティング、セキュリティ侵害インジケーター(IoC: Indicator of Compromise)、Yaraルールを公開した。当該ルーターを運用している管理者は、これら情報を活用して侵害の検出およびセキュリティ強化に役立てることが望まれている。