2016年以降、中国と関連があるとされるハッカー集団が、約10年間秘密裏に運用されてきた機密性の高いネットワークに侵入した疑いが持たれている。最近明らかになったスパイ活動では、Linuxコンポーネントを置き換えることで完全な制御を確保するなど、極めて高度な手口が用いられていたことが判明した。この事件は、世界の情報システムのセキュリティに対する深刻な懸念を引き起こしている。
Linuxの中核層に侵入する中国グループ
中国の情報機関との関連が疑われるベルベット・アント・グループは、前例のないスパイ活動を行った。攻撃者は従来のマルウェアを追加するのではなく、プラグイン認証モジュール（PAM）とOpenSSHバイナリという2つの重要なコンポーネントを完全に置き換えた。この手口により、攻撃者は侵害したマシン上のあらゆる接続、あらゆるコマンド、あらゆるユーザー名を完全に制御できるようになった。
これらの改変は綿密に計画されていた。Sygnia社は、このpam_unix.soモジュールの9つの亜種を発見した。それぞれが別々の環境でコンパイルされていた。これらの亜種の機能は、ハードコードされたパスワードを使用して認証を回避するものから、ユーザー名とパスワードを隠しファイルに密かに保存するものまで多岐に渡る。
暗号化されたログ記録とローテーションするバックドアを備えた高度なスパイ活動
Velvet Antは、ssh、sshd、scpなどのツールを改変し、キー入力、ユーザーID、コマンドを暗号化しました。これらのログファイルには、システムによる検出を回避するために偽のタイムスタンプが付けられていました。さらに、特別な-dフラグを使用することで、自身のセッション中のログ記録を防止し、検出を回避していました。
特に巧妙な手法が用いられた。グループは、曜日ごとに異なるアクセスパスワードを割り当て、7つのMD5ハッシュを用いたバックドアシステムを構築した。この方法により、永続的かつ検出困難なアクセスが保証された。
アクセスが遮断されるリスクがあるにもかかわらず、解決には長期間にわたる複雑な作戦が必要となる。
これらの重要なコンポーネントの交換は、セキュリティチームの介入を複雑化させた。交換が失敗すれば、マシンへのリモートアクセスがすべて遮断されるという、極めて危険な賭けとなる。リスクを最小限に抑えるため、Sygniaは各コンポーネントを隔離されたラボでテストした後、段階的かつ管理された方法で本番環境に展開した。
これらの予防措置は、システムレベルのコンポーネントを監視することの重要性を具体的に示すものでもあります。Sygniaは、Windows環境下におけるPAM、OpenSSH、さらにはLSASSコンポーネントを、保護を必要とする重要な要素として監視する必要性を強調しています。
システムセキュリティチームへの推奨事項
- エンドポイントの継続的な監視と、重要ファイルの整合性チェックを実施する。
- 認証フローの上流で多要素認証を適用することで、情報漏洩が発生した場合のリスクを軽減できます。
- 機密性の高いコンポーネントを更新する前に、確実なロールバック手順を準備してください。
- 認証モジュールやシステムバイナリにおける異常を検出できるよう、チームを訓練する。
- 潜在的な改ざんを検出するために、隠しファイルとタイムスタンプの定期的な分析を取り入れる。
グローバルなサイバーセキュリティに対する地政学的および技術的な課題
Sygniaの調査によって明らかになり、複数の専門メディアが報じたこのスパイ活動は、Linuxシステムのセキュリティが技術的な問題だけでなく、政治的な問題でもあることを示している。米国とその同盟国は、これらの攻撃をデジタル主権に対する直接的な脅威として指摘している。
この事例は、中国が同様のキャンペーンで80カ国以上を標的にしていると非難されている、より広範な状況の一部です。これらの問題については、[関連ページへのリンク]でさらに詳しく調べることができます。 これらの作戦の広大な地政学的範囲。
これらの脅威を分かりやすい言葉で理解したい人にとって、GoogleとSygniaのアプローチは、分かりやすい分析によって明らかにされており、サイバーセキュリティにおける警戒の重要性を示す完璧な事例研究となる。
Linuxインフラストラクチャを保護するための教訓
経験から、正規のツールと並行してマルウェアをインストールするという標準的な手法が必ずしも最善策とは限らないことが明らかになっている。今回の攻撃は、認証メカニズムそのものを深く標的にしたものであり、まさにデジタル上の妙手と言えるだろう。まるで、所有者に知られずに家の鍵を交換するようなものだ。
システム管理者は、適切な監視ツールを使用して、PAMおよびOpenSSHモジュールの監視を必ず強化する必要があります。これらのアーキテクチャをより深く理解するための資料は、[ウェブサイト/プラットフォーム名]で入手できます。 Linux認証に特化したプラットフォーム。
Velvet Antはどのようにして検知されずにアクセスを維持できたのか？
PAMモジュールとOpenSSHバイナリを仕掛けのあるバージョンに置き換えることで、このグループはすべての接続をフィルタリングし、認証情報を記録すると同時に、ログファイルのタイムスタンプを偽造することができた。
PAMモジュールとOpenSSHモジュールの監視が重要な理由は何ですか？
これらのコンポーネントは、Linuxにおける認証の中核を成すものです。これらが侵害されると、システムへの完全なアクセス権限が付与され、検出と対策が極めて困難になります。
この種の侵入を検知するために推奨されるツールは何ですか？
エンドポイント検出、整合性チェック、および上流での多要素認証の実装を組み合わせることで、システムをより効果的に保護できます。
主要コンポーネントが侵害された場合、どうすべきでしょうか？
生産現場での介入を行う前に、実験室での安全な再配置を検討すべきであり、正確なロールバック手順とリモートアクセスに対する警戒強化が必要である。
ソース： www.clubic.com