中国の攻撃者がF5 BIG-IPアプライアンスを踏み台にスパイ活動
マイナビニュース / 2024年6月20日 7時27分
Sygnia Consultingは6月17日(イスラエル時間)、「In-Depth Analysis: Velvet Ant's Prolonged Cyber Attack on a Large Organization」において、「Velvet Ant」と名付けられた中国の国家支援を受けているとみられる脅威アクターが、少なくとも2021年後半からF5 BIG-IPアプライアンスを足がかりに大規模なスパイ活動を実施していたと報じた。標的となった組織名は公開していないが、大企業が被害に遭ったと指摘している。
○F5 BIG-IPアプライアンスの悪用
F5の「BIG-IP」製品群の一つに、ネットワークセグメント間に配置されるBIG-IPアプライアンスがある。今回Sygniaが侵害調査を実施した組織においてもファイアウォール、Webアプリケーションファイアウォール(WAF: Web Application Firewall)、ロードバランサー、ローカルトラフィック管理などの機能を提供する2台のBIG-IPアプライアンスが稼働していたという。
これらアプライアンスはインターネットに直接接続されており、両方とも侵害されていたことが確認されている。これらは古くて脆弱なオペレーティングシステムを実行していたが、侵害経路は特定できていない。
Sygniaはフォレンジック調査を実施し、これらアプライアンスからsshによるリバーストンネルが構築されていたことを確認している。また、脅威アクターがこのトンネルを使用し、ローカルネットワーク内のファイルサーバ上で動作していた遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)の「PlugX」と通信していたことも確認している。
ファイルサーバー上のPlugXはローカルのコマンド&コントロール(C2: Command and Control)サーバとしても機能し、ネットワーク上のさまざまなデバイスへの攻撃に使用された。Sygniaはこの通信が暗号化されていないことを発見しており、脅威アクターの戦術、技術、手順(TTPs: Tactics, Techniques, and Procedures)の詳細を明らかにしている。
○対策
SygniaはVelvet Antによる同様の攻撃から組織のネットワークを保護するため、次のような防御戦術の構築を推奨している。
-
- 1
- 2
この記事に関連するニュース
-
中国の脅威グループ、シスコのスイッチにマルウェアを仕込む
マイナビニュース / 2024年7月4日 16時28分
-
日本の組織狙う環境寄生型サイバー攻撃、JPCERT/CCが警戒呼びかけ
マイナビニュース / 2024年6月27日 8時28分
-
Android向けトロイの木馬「Rafel」、古いデバイスに被害集中
マイナビニュース / 2024年6月26日 9時31分
-
エッジサービスの大規模エクスプロイトが攻撃者の主流トレンドに - ウィズセキュア、調査レポートを発表
PR TIMES / 2024年6月18日 11時15分
-
大規模エクスプロイトがランサムウェアの主要ベクトルに - WithSecureが調査
マイナビニュース / 2024年6月18日 10時42分
ランキング
-
1茨城と福島が逆に 「出川哲朗の充電させてもらえませんか?」番組中の地図に指摘相次ぐ
ねとらぼ / 2024年7月16日 19時0分
-
2「最高すぎ」 どう見ても「KAT-TUN」にしか見えないファミマに爆笑 「亀梨くんも入れてあげて」
ねとらぼ / 2024年7月15日 8時30分
-
3Excelをノーコードで自動化しよう! パワークエリの教科書 第10回 フォルダーからデータを取得する方法
マイナビニュース / 2024年7月15日 11時0分
-
4「MAX」元メンバー、21歳で加入→「脱退劇」後の現在は……ささやかれた“疑惑”巡り「私の努力不足」「プロの中に素人が入っちゃった」
ねとらぼ / 2024年7月16日 18時0分
-
5新1万円札で“定番の遊び”→“意外な人物”に激似と話題 「峠で速そう」「最速で財布から去っていく」
ねとらぼ / 2024年7月16日 20時45分
複数ページをまたぐ記事です
記事の最終ページでミッション達成してください