中国の攻撃者がF5 BIG-IPアプライアンスを踏み台にスパイ活動

画像提供：マイナビニュース

Sygnia Consultingは6月17日(イスラエル時間)、「In-Depth Analysis: Velvet Ant's Prolonged Cyber Attack on a Large Organization」において、「Velvet Ant」と名付けられた中国の国家支援を受けているとみられる脅威アクターが、少なくとも2021年後半からF5 BIG-IPアプライアンスを足がかりに大規模なスパイ活動を実施していたと報じた。標的となった組織名は公開していないが、大企業が被害に遭ったと指摘している。

○F5 BIG-IPアプライアンスの悪用

F5の「BIG-IP」製品群の一つに、ネットワークセグメント間に配置されるBIG-IPアプライアンスがある。今回Sygniaが侵害調査を実施した組織においてもファイアウォール、Webアプリケーションファイアウォール(WAF: Web Application Firewall)、ロードバランサー、ローカルトラフィック管理などの機能を提供する2台のBIG-IPアプライアンスが稼働していたという。

これらアプライアンスはインターネットに直接接続されており、両方とも侵害されていたことが確認されている。これらは古くて脆弱なオペレーティングシステムを実行していたが、侵害経路は特定できていない。

Sygniaはフォレンジック調査を実施し、これらアプライアンスからsshによるリバーストンネルが構築されていたことを確認している。また、脅威アクターがこのトンネルを使用し、ローカルネットワーク内のファイルサーバ上で動作していた遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)の「PlugX」と通信していたことも確認している。

ファイルサーバー上のPlugXはローカルのコマンド＆コントロール(C2: Command and Control)サーバとしても機能し、ネットワーク上のさまざまなデバイスへの攻撃に使用された。Sygniaはこの通信が暗号化されていないことを発見しており、脅威アクターの戦術、技術、手順(TTPs: Tactics, Techniques, and Procedures)の詳細を明らかにしている。

○対策

SygniaはVelvet Antによる同様の攻撃から組織のネットワークを保護するため、次のような防御戦術の構築を推奨している。