”Typhoon” の真っ只中の嵐を乗り越える

1 min read

Cisco Talos は、いくつかの大手米国通信事業者に対する広範な侵入活動の報告を注意深く監視してきました。この活動は、2024 年後半に最初に報告され、その後米国政府によって確認されたもので、高度に洗練された脅威アクター「Salt Typhoon」によって実行されています。このブログでは、このキャンペーンに関する我々の観察結果を報告し、アクターの活動を検出し防止するための推奨事項を示しています。

公開されているレポートによれば、この脅威アクターは、いくつかのケースでコアネットワークインフラストラクチャにアクセスし、そのインフラストラクチャを使用し、様々な情報を収集することができたとされています。我々が発見した痕跡に基づいて、シスコの脆弱性（CVE-2018-0171）が悪用された可能性があるのは一件のみでした。これまでの調査による他のすべてのインシデントに関しては、脅威アクターが正当な被害対象者のログイン資格情報を取得することによって シスコデバイスへの Initial Access （初期アクセス）を得たと判断しています。脅威アクターは、複数のベンダーの機器を対象とした環境に長期間にわたって持続しており、あるケースでは 3 年以上アクセスを維持していました。

このキャンペーンの特徴は、ネットワークデバイス上での「Living-off-the-land （LOTL）」技術の使用です。通信事業者が主な被害者である一方で、ここに含まれる推奨事項はすべてのインフラストラクチャを防御する関係者にとって関連があり、できる限り考慮されるべきです。

このキャンペーン中に、新しいシスコの脆弱性は発見されませんでした。Salt Typhoon が他の 3 つの既知のシスコの脆弱性を悪用しているという報告がいくつかありますが、これらの主張を確認する証拠は見つかっていません。問題の脆弱性は以下にリストされています。これらの CVE にはそれぞれセキュリティ修正が利用可能です。脅威アクターはこれらの脆弱性を悪用するために公開されている悪意のあるツールを定期的に使用するため、これらの脆弱性の修正が不可欠です。

したがって、我々の推奨事項はこの特定のケースに関係なく、ネットワークインフラストラクチャを保護するためのベストプラクティスに従うことであり、これは一貫した標準的な指針となります。

• CVE-2018-0171 – Cisco IOS および IOS XE ソフトウェアの Smart Install リモート コード実行の脆弱性 （最終更新日: 2022 年 12 月 15 日）
• CVE-2023-20198、CVE-2023-20273 – Cisco IOS XE ソフトウェアの Web UI 機能における複数の脆弱性 （最終更新日: 2023 年 11 月 1 日）
• CVE-2024-20399 – Cisco NX-OS ソフトウェア CLI コマンド インジェクションの脆弱性 （最終更新日: 2024 年 9 月 17 日）

観察された活動

資格情報の使用と拡張 （Credential use and expansion）

このキャンペーン全体を通じて、漏洩された有効なクレデンシャル情報の使用が確認されていますが、すべてのケースで最初の認証情報が脅威アクターによってどのように取得されたかは現時点では判別できません。脅威アクターは、ネットワークデバイスの構成を取得し、弱いパスワード タイプ （ユーザー情報が暗号的に弱い方法でパスワードを保存できるセキュリティ構成できる機器）でのローカル アカウントを解読することで、追加の認証情報を取得することを積極的に試みているのことが確認されています。さらに、脅威アクターが、ネットワーク デバイスと バックエンドの認証・認可コンポーネントである、TACACS/RADIUS サーバー間で使用される Secret Key を含む、SNMP、TACACS、RADIUS トラフィックをキャプチャしているのも確認されています。このトラフィック キャプチャの目的は、後で使用するために追加の認証情報の詳細を列挙することであることが明確です。

設定情報の流出（Configuration exfiltration）

多くの場合、脅威アクターはデバイス構成情報を TFTP や FTP 経由で外部転送しています。これらの構成には、SNMP Read （読み取り） / Write（書き込み : R/W）の Community Stringsや、脆弱なパスワード暗号化タイプが使用されているローカル アカウントなど、そのような機器の構成上で機密性の高い認証情報が含まれていることがあります。弱い暗号化パスワード タイプを使用すると、攻撃者はオフラインでパスワード自体を簡単に復号化できます。機密性の高い認証情報に加えて、構成には名前付きインターフェイスが含まれることが多く、攻撃者は上流および下流のネットワーク セグメントをよりよく理解することができ、このような情報を使用してネットワーク内でさらに偵察し、その後にラテラルムーブメント（水平方向移動、横方向の移動）を行うことができます。

インフラのピボット（Infrastructure pivoting）

このキャンペーンの重要なポイントは、攻撃者が侵害されたインフラストラクチャを継続的に移動・利用し、またはピボットしていることに特徴付けられます。この「マシンからマシン」へのピボット、または「ジャンプ」は、おそらくいくつかの理由で実行されます。まず、これにより、脅威アクターは、通常はネットワーク通信が許可されない可能性のある信頼できるインフラストラクチャ セット内を移動できます。さらに、このタイプのインフラストラクチャからの接続は、ネットワーク防御者によって疑わしいとフラグ付けされる可能性が低く、脅威の攻撃者が検出されずに済みます。

脅威アクターは、ある通信事業者が運用する侵害されたデバイスから別の通信事業者のデバイスへと方向転換することがあります。最初の通信事業者に関連付けられたデバイスは、いくつかのケースでは、単なるホップ ポイントとして使用されており、最終的なターゲットではなかったと考えられる事象があります。これらのホップ ポイントの一部は、アウトバウンド データ流出操作の最初のホップとしても使用されることがあります。この方向転換の多くには、非常に様々なメーカーのネットワーク機器の使用が含まれていることが確認できています。

設定の変更（Configuration modification）

脅威アクターがデバイスの実行構成・設定の変更と、Bash および Guest Shell の両方に関連するサブシステムを変更したことを確認しました。（Guest Shell は、シスコデバイス上で実行される Linux ベースの仮想環境で、ユーザーは Bash を含む Linux コマンドやユーティリティを実行できます。）

実行構成の変更

• AAA/TACACS+ サーバーの変更（サーバー IP Address の変更）
• Loopback Interface の IP Address の変更
• GRE Tunnel の作成と使用
• ローカルアカウントの新規作成
• ACL（Access Control List）の変更、エントリ追加、削除
• SNMP Community Strings の変更
• 標準ポートとカスタムポートを利用した HTTP/HTTPS サーバーの変更、有効化

シェルアクセスの変更

• Guest Shell の有効化および無効化コマンド
• 基盤となる Linux Shell または Guest Shell 上の sshd_operns（ポート 57722）など、永続的なアクセスのためにカスタムポートにて SSH 代替サーバーを起動
  • /usr/bin/sshd -p X
• Linuxレベルの User の作成（「/etc/shadow」と「/etc/passwd」の変更）
• Linux レベルで Root または他のユーザーの下に SSH「authorized_keys」の追加

パケットキャプチャ

脅威アクターは、キャンペーン全体を通じて、以下に示す様々なツールと手法を使用してパケット データをキャプチャを行います。

• Tcpdump – Linux OS レベルでパケット データをキャプチャするために使用されるポータブル コマンド ライン ユーティリティ
  • tcpdump –i
• Tpacap – Cisco IOS XRで netio を介して特定のインターフェイスとの間で送受信されるパケットをキャプチャするために使用
  • tpacap –i
• Embedded Packet Capture（EPC）- パケット キャプチャ データのキャプチャとエクスポートを可能にする Cisco IOS 機能。
  • モニターキャプチャ CAP export ftp://<ftp_server>
  • モニターキャプチャ CAP start
  • モニターキャプチャ CAP clear

運用ユーティリティ（JumbledPath）

脅威アクターは、JumbledPath と呼ばれるカスタム ビルド ユーティリティを使用して、アクターが定義したジャンプ ホストを介してリモートの シスコデバイスでパケット キャプチャを実行することを観測しています。このツールは、ジャンプパスに沿ってログを消去、ログ記録に関する機能を停止し、圧縮され暗号化されたキャプチャを、アクターが定義した別の一連の接続またはジャンプを介して返そうとしました。これにより、脅威アクターは接続のチェーンを作成し、リモート デバイスでキャプチャすることが実行できています。このユーティリティを使用すると、要求の元の送信元と最終的な宛先を難読化でき、また、その操作者は、通常は非公開（またはルーティング可能）なデバイスまたはインフラストラクチャを移動できるようになります。

• APT
• Cisco Talos
• IOS XE
• IOS ルータ
• psirt
• Talos