本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
サイバーセキュリティ企業Sygniaは2026年8月27日付の調査報告で、中国政府の支援を受けている可能性が高いとみられるハッカーグループ「Fire Ant」がCisco IOS XRルーターや管理者認証基盤を侵害し、通信や認証情報の収集、接続先ネットワークの探索に悪用したと明らかにした。
不審なGREトンネルから侵害を追跡
調査の端緒となったのは、Cisco IOS XRルーター上で稼働していたGREトンネルだった。running configurationや変更履歴では、このトンネルが作成された経緯を説明できず、管理者から見える設定情報と実際の動作状態が一致していなかったという。
Sygniaによると、Fire Antは侵害したルーターを、隠密な通信、トラフィック収集、コマンド出力の操作、ログ抑制に利用した。複数のルーターで通信をPCAP形式で取得し、外部FTP基盤へ送信していたことも確認された。
TACACSとLinux管理基盤にも侵入
Fire AntはTACACS認証基盤にも侵入し、認証処理を傍受して管理者の認証情報を収集した。Linux管理ホストにも長期的なアクセス手段を設け、GREトンネルを経由して接続先の高価値環境を探索していた。
調査では、Linuxホスト上で動作する「BridgeAgent」と、TACACSの認証処理から認証情報を収集する「TacTap」の2つのツールが確認された。Sygniaは、Fire Antが2025年にVMware ESXiやvCenterなど仮想化基盤を中心に活動し、2026年にはルーター、認証基盤、Linux管理基盤へ対象を広げたと分析している。
Cybersecurity Diveによると、Sygniaは被害組織や接続先環境を保護するため、所在地や業種を明らかにしていない。Ciscoからは同記事の取材時点でコメントを得られなかった。
SygniaはFire Antを「China-nexus」と位置付け、Mandiantなどが報告するUNC3886との活動上の強い重なりを指摘している。
UNC3886は、Mandiantが追跡する中国関連のサイバー諜報グループで、これまでにVMwareのESXiやvCenter、Fortinet製品、Juniper製ルーターなどを標的にした侵害が確認されている。ネットワーク機器や仮想化基盤など、一般的なセキュリティ監視が届きにくい領域を狙い、ゼロデイ脆弱性や独自のバックドアを利用する高度な活動で知られる。
ただし、Fire AntをUNC3886と同一と断定したり、中国政府機関へ直接帰属させたりはしていない。Sygniaは2026年にもFire Antの活動を確認している。
