今週の報道は、中国に関連するグループVolt Typhoonが米国の政府機関、防衛企業、重要インフラへの攻撃を隠すために使用したとされる「サイレント・トレイン」と呼ばれる隠密インフラについて伝えている。Volt Typhoonのサイレント・トレイン・ネットワークは、関与したマルウェアよりも、何から構築されたかという点で注目に値する。すなわち、多くの人が意識することのない小規模オフィスや家庭用ルーターを含む、侵害されたありふれた機器である。
元記事は簡潔であるため、本稿では報道された内容と読者が実行できることを分けて説明する。実践的な教訓は、政府や防衛の近くで働いているかどうかに関係なく当てはまる。
サイレント・トレインとVolt Typhoonが行っていること
報道によれば、Volt Typhoonはサイレント・トレインを、攻撃の発信元を隠すための隠密アクセス・ネットワークとして使用した。LumenのBlack Lotus Labsの調査を引用した報道は、このネットワークが4件のゼロデイ悪用キャンペーンと結びついていたと伝えている。標的はネットワーク管理プラットフォームやその他の企業制御システムとされ、トラフィックは侵害されたスモールオフィス・ホームオフィス（SOHO）機器やIoT機器のローテーションする連鎖を通じて中継されたとしている。一部の要約では、このネットワークは現在分断されたと述べられている。
ゼロデイとは、ベンダーがまだ把握していない脆弱性のことであり、攻撃者が使用を開始した時点ではパッチが存在しない。ゼロデイと絶えず変化する中継ネットワークを組み合わせることで、活動の追跡が困難になる。不審な接続を確認した防御者は、それが明らかに敵対的なインフラからではなく、家庭や小規模事業所にある一見普通の機器から来ていることに気づくかもしれない。
あるセキュリティジャーナリストのこの記事への論評は、当局が長年にわたりVolt Typhoonを高度でステルス性が高いと説明しながら、技術的詳細をあまり公表してこなかったことを指摘した。このような研究がその空白を埋め始めている。
侵害されたルーターが国家ハッカーにとって理想的な隠れ蓑となる理由
ルーター、ファイアウォール、カメラ、その他のエッジデバイスは、中継点として魅力的ないくつかの特徴を共有している：
- ネットワーク境界に位置する。 通过这些设备传递的流量看起来像正常的互联网活动。
- 几乎没有被更新。 多くの所有者はルーターを一度設置してから二度とログインしない。
- 经常达到生命周期终点。 ベンダーがパッチの提供を停止すると、既知の脆弱性は永久に未修正のままとなる。
- 没有安全监控。 ほとんどの家庭用および小規模オフィス用機器にはエンドポイント保護がなく、所有者がログを確認することはほとんどない。
攻撃者がこのようなデバイスの連鎖を制御している場合、政府の標的へのリクエストは、まず複数の住宅用または小規模事業用のIPアドレスを経由して跳ね返ることができる。これらのデバイスの所有者は何も異常に気づかない可能性があり、彼らの機器は他者の攻撃インフラの一部となる。
これは、国家に関連するグループが未修正の脆弱性を連鎖させて高価値の標的に攻撃を仕掛ける、より広範なパターンに合致する。一例として、ChromeとWindowsのゼロデイを悪用した中国のUTA0565キャンペーンがある。DeepSeek AIで攻撃量を倍増させる中国グループに関する調査は、この活動のペースが上昇し続ける可能性を示唆している。
家庭用および小規模オフィス用エッジデバイスを保護する方法
国家レベルのグループが政府機関を標的にするのを止めることはできないが、その踏み台の一つになることは避けられる。現実的なステップは以下の通り：
- ルーターのモデルとファームウェアのバージョンを確認する。 管理ページまたはベンダーアプリにログインし、利用可能なアップデートを探す。自動アップデートが提供されている場合は有効にする。
- デバイスがサポート終了かどうかを確認する。 ベンダーのサポートページを調べる。モデルがセキュリティアップデートを受け取らなくなった場合は、交換を計画する。未修正のファームウェアを完全に補う設定は存在しない。
- デフォルトの認証情報を変更する。 一意で強力な管理者パスワードを使用し、ベンダーが出荷時にデフォルトで設定していた場合はデフォルトのネットワーク名とログイン情報を変更する。
- リモート管理を無効にする。 必要でない限り、インターネットからの管理アクセスを無効にし、UPnPなどの機能も使用していなければ無効にする。
- 再起動と確認。 デバイスを定期的に再起動し、見慣れない設定、未知の接続デバイス、自分が行っていないDNS変更がないか確認する。
- IoT機器を交換または分離する。 カメラやスマートデバイスをゲストネットワークに配置し、アップデートを受け取らなくなったものは廃止する。
小規模事業者は、すべてのエッジデバイスの台帳を維持し、ベンダーのアドバイザリを追跡する担当者を割り当て、ファイアウォールと管理プラットフォームを優先度の高いパッチ適用対象として扱うべきである。
VPNが役立つ場面と役立たない場面
VPNはデバイスとVPNプロバイダー間のトラフィックを暗号化し、公共Wi-Fiなどの信頼できないネットワーク上での保護と、インターネットプロバイダーからの閲覧履歴の隠蔽を実現する。これらは実際の利点である。
VPNは脆弱な、または侵害されたルーターを修正するものではない。攻撃者がすでにインターネット接続に使用するデバイスを制御している場合、ノートPC上のVPNは攻撃者を排除せず、攻撃者があなたのルーターを他者のトラフィックの中継に使用することを防ぐこともできない。また、ファームウェアにパッチを適用したり、サポートされていないハードウェアを交換したりするものでもない。VPNはプライバシー保護の一層と考えるべきであり、ネットワークのエッジにある機器の保守の代替にはならない。
これがあなたにとって意味すること
ほとんどの読者にとって、サイレント・トレインの話は、廊下にあるルーターがインターネットのセキュリティ全体の一部であることを思い出させるものである。攻撃者がこれらのデバイスを重視するのは、監視もパッチ適用もされていないからだ。最新の状態に保つこと、またはサポート終了時に廃止することは、自分のネットワークを保護し、国家ハッカーから中継点を一つ奪うことになる。
今週、エッジデバイスを監査しよう
今後数日間で20分を確保し、Volt Typhoonのサイレント・トレイン・ネットワークの教訓を実践で確認しよう。ルーターのファームウェアを確認し、まだサポートされていることを確かめ、デフォルトのパスワードを変更し、リモート管理を無効にする。小規模オフィスを管理している場合は、その確認をファイアウォール、カメラ、その他のインターネットに面した機器にも広げよう。
攻撃者が境界デバイスを狙う別の例として、VMware ESXのゼロデイとPHP2Shellの連鎖がファイアウォールのroot化に使用された事例をお読みください。
