中国との関連が疑われる脅威グループ「Fire Ant」がシスコ製ルータを侵害し、認証情報を窃取する攻撃プラットフォームを構築していたことが、セキュリティ企業Sygniaの調査レポート「Fire Ant Evolves: From Hypervisors to Trusted Infrastructure」で明らかになった。
攻撃対象の拡大と手口
Fire Antは2025年初頭ごろから観測されている比較的新しい脅威グループで、当初はVMwareハイパーバイザーを主な標的としていた。今回の調査では、Cisco IOS XRルータ、TACACSサーバ、ネットワークのルーティングや認証・管理に使われるLinux管理ホストを標的にした攻撃が確認された。
攻撃者はCisco IOS XRルータに侵入すると、永続性を確保して専用マルウェアを展開。ルータを攻撃プラットフォームに変え、ネットワークトラフィックを傍受して認証情報を収集し、ログ記録やテレメトリ収集を妨害した。
インフラ全体への攻撃
ルータ内ではGREトンネルが稼働し、通信先のLinuxシステムを経由してSSH、HTTP/HTTPS、SMB/RPC関連ポート、RDPなどへの攻撃が確認された。傍受した通信はPCAPファイルとして外部のFTPサーバに送信され、そのサーバは傍受開始当日に構築されていた。
TACACSサーバではVMCIソケットベースのバックドアが発見され、VMware VSOCK/VMCIインタフェースを介してゲストOSへのアクセスが可能だった。さらに、TACACS認証情報を収集するツールセットが認証フロー内のセッションを監視し、収集した認証情報を「/var/log/.tacplus.acct」に暗号化して保存していた。
Linux管理インフラ全体では、Medusaルートキット、カスタムSSHバックドア、偽装バイナリ、認証情報キャプチャ、ホストレベルの設定変更などが展開され、耐久性のある攻撃プラットフォームが構築された。
検出と対策
Sygniaはフォレンジック調査の際、メモリ、保存データ、ネットワーク、認証、設定を検証し、矛盾や不可解な点を評価すべきとしている。初期の侵入経路は特定されておらず、侵入を防ぐ回避策は示されていない。
同社は侵害検出に役立つ情報として、脅威ハンティング、侵害インジケーター（IoC）、Yaraルールを公開しており、該当ルータを運用する管理者はこれらの情報を活用した侵害検出とセキュリティ強化が求められている。
