Sygnia、中国関連の「Fire Ant」がインフラを標的にしていることを発見

サイバーセキュリティ企業Sygniaは、中国関連の脅威アクター「Fire Ant」と呼ぶグループを特定した新しい調査結果を発表した。同社によると、このグループは信頼されたインフラを標的にしているという。この調査結果はSygniaのインシデント対応業務から得られたもので、これまでにも他の注目すべき脅威グループを表面化させてきた同じフォレンジック調査に基づいている。Sygniaの公開情報におけるFire Antの具体的な手口に関する詳細は限られているものの、新たな国家関連アクターの命名と追跡は、業務運営において第三者システムや共有インフラに依存する組織にとって重要である。

Fire Antとは誰か、そしてなぜ重要なのか？

SygniaはFire Antを、中国との関連があり、信頼されたインフラを標的にしているのが観察された脅威アクターと説明している。サイバーセキュリティの用語では、「信頼されたインフラ」とは一般に、組織が依存し、しばしばデフォルトで安全であると想定しているシステム、ネットワーク、第三者サービスを指す。例えば、認証システム、ネットワーク管理ツール、共有サービスプロバイダーなどである。攻撃者が個々の企業の正面玄関ではなく、この種のインフラを侵害すると、一度に複数の下流被害者に及ぶ足がかりを得る可能性がある。

このパターンは、セキュリティ研究者が長年にわたって追跡してきたより広範な傾向と一致している。国家関連グループは、各標的を直接攻撃するよりも効率的なアクセスを提供するため、サプライチェーンやインフラレベルの侵害をますます好むようになっている。SygniaによるFire Antの特定は、セキュリティチームが共有システムや第三者システムへの露出を監査する際に注意すべきグループのリストに、新たな名前付きアクターを追加するものである。

Sygniaのより広範な脅威調査：Vice SocietyとLuna Moth

Fire AntはSygniaのインシデント対応チームが調査している唯一の脅威アクターではない。同じフォレンジック調査の一環として、これまでにVice Societyも調査されている。これは、攻撃者が被害者のデータを暗号化すると同時に、身代金が支払われなければ盗んだファイルを漏洩させると脅す二重恐喝攻撃で知られるランサムウェアグループである。Sygniaの調査員は、Vice Societyの運営者がどのように被害者の環境を移動し、データを外部に持ち出したかを詳しく調べ、Vice SocietyランサムウェアがOneDriveをデータ窃取に悪用した方法についての貴重な現場レベルの知見を提供した。この調査は、攻撃者が企業がすでに信頼している日常的なクラウドストレージツールを、機密の企業データを盗むためのパイプラインに変える方法を示している。

Sygniaのチームはまた、Luna Mothとして知られるグループも特定している。同社はこれを、偽のサブスクリプション詐欺師に似せつつ、最終的には企業データの窃取に焦点を当てているグループと説明している。総合すると、これらの調査は、二重恐喝スキームを実行するランサムウェア集団から、正当なサービスを装ったソーシャルエンジニアリング主導のグループまで、攻撃者が多様化し、すべてが同じ目標、すなわち価値ある企業情報を手に入れることに収斂している脅威環境の姿を描き出している。

サプライチェーンと信頼されたインフラの問題

Sygniaの調査においてFire Ant、Vice Society、Luna Mothを結びつけているのは、共通のツールセットではなく、共通の戦略的論理である。これらの各アクターは、それぞれ異なる方法で、組織が日常的に依存しているシステムやサービス、それがクラウドストレージプラットフォーム、サブスクリプションサービス、中核的なネットワークインフラのいずれであっても、そこに置かれた信頼を悪用する。防御側にとって、これは単一組織の境界を保護するだけではもはや不十分であることを意味する。セキュリティチームは、第三者のツールやインフラプロバイダーがどのように侵入口になり得るかについての可視性を確保し、自らの直接的な管理範囲外から発生する攻撃を想定したインシデント対応計画を策定する必要がある。

これは、マネージドサービスプロバイダー、クラウドプラットフォーム、テクノロジースタックの大部分を外部委託している企業など、共有インフラに大きく依存している分野の組織にとって特に重要である。インフラレベルの侵害は、攻撃者と直接関わったことのない多くの組織に影響を波及させる可能性がある。

これはあなたにとって何を意味するか

あなたの組織がクラウドストレージ、第三者のIT管理ツールを使用している場合、またはマネージドサービスプロバイダーに依存している場合、Sygniaの調査は自社のネットワーク境界を超えて目を向けるよう促すものである。ベンダーやサービスプロバイダーに、どのような監視とアクセス制御を導入しているかを尋ね、自社チームが信頼されたプラットフォームへのデータの出入りを可視化できるようにしておこう。Sygniaが追跡してきたような二重恐喝ランサムウェアやデータ窃取に焦点を当てたグループは、あなたがすでに信頼しているインフラを侵害できれば、システムに直接侵入する必要はないのだ。

個々の従業員にとっては、実用的なアドバイスは一貫している。予期しないサブスクリプションや請求のプロンプトに注意し、異常なアカウント活動は公式チャネルを通じて確認し、不審なものはすぐにITまたはセキュリティチームに報告することだ。

重要なポイント

SygniaによるFire Antの特定は、信頼されたインフラを標的とする脅威アクターのリストに、中国関連の新しい名前を追加するものであり、Vice SocietyやLuna Mothのようなグループが信頼されたプラットフォームやサービスを悪用して企業データを窃取する方法を暴露する同社の継続的な取り組みと並行して行われている。組織は、第三者インフラへの露出をレビューし、クラウドストレージと共有サービスを中心とした監視を強化し、研究者がこれらのグループの活動方法について詳細を発表し続けるにつれて、最新情報を把握しておくべきである。信頼されたインフラは、それが信頼されているがゆえに攻撃者を引き付け続けるだろう。そのため、継続的な警戒は任意ではなく不可欠なのである。