中国系と疑われる「Fire Ant」 — ハイパーバイザーからルータ・認証基盤・管理ホストへ侵入面を拡大、Sygniaが報告

Sygniaは2026年8月30日、2025年に初めて報告された諜報活動「Fire Ant」が2026年に入っても継続し、活動の焦点をハイパーバイザーから「信頼されたインフラ」層へ移したと公表した。報告書を執筆したのはSygniaのインシデントレスポンスチームで、同社はエッジルータや認証基盤、Linux管理ホストが標的になったと説明している。Sygniaはこの活動が公開情報で知られる「UNC3886」と強く重なると評価しつつ、特定の国家への断定は「中国系（China-nexus）と疑われる」と慎重な表現にとどめている。

何が起きたか — ハイパーバイザーからインフラ層へ

Fire Antは2025年の活動で、VMware ESXiなどのハイパーバイザーを特権的な足場として悪用する手口が報告されていた。Sygniaによると、2026年の活動では同じ戦略をネットワークと管理のインフラへ拡張した。攻撃者はエンドポイントやサーバ本体ではなく、環境同士をつなぎ、誰が何にアクセスできるかを決める層を狙った。具体的にはCisco IOS XRを搭載したエッジルータ、TACACSによる認証基盤、Linuxジャンプホストや仮想化された管理サーバが標的に含まれる。

Sygniaは、侵害された環境が「ターゲットの背後にあるターゲット」への橋渡しになり得ると指摘する。直接侵害された組織だけでなく、そこで信頼されているネットワーク経路や認証連携を通じて、接続された外部の高価値ネットワークや重要インフラにも到達可能な位置を確保したと分析している。報告書は「The compromise therefore had implications beyond the systems directly affected.（侵害の影響は直接影響を受けたシステムを超えて波及した）」と記している。

ルータを運用基盤化 — IOS XR向けツールキット

調査の端緒は、Cisco IOS XRルータで実行コンフィグやコミット履歴に記録がないままGREトンネルインタフェースが稼働したという不整合だった。Sygniaはこの乖離を手掛かりに、ルータのコントロールプレーンに直接作用する専用のツールキットが展開されていたことを突き止めた。

ツールキットはIOS XRのロギングやコマンド実行、ルーティング、VRF解決、AAA、Telnet管理といった機能と相互作用し、/etc/rc.d/init.d/grub-rommon に正規サービスを偽装した永続化スクリプトを配置した。攻撃者はコマンド出力を改ざんし、重要なルータログの出力を抑制したため、管理者が通常の監査記録だけを見ても改変を検出できない状態を作った。

さらに攻撃者は次のような活動を行ったとSygniaは報告している。

• BridgeAgentの展開 — Zabbixを偽装したバックドアで、外部サーバへ定期的にポーリングして指示を待つ。
• GREトンネルの作成 — 特定のVRFに紐づくGREカプセル化トンネルで運用上の到達範囲を拡張した。
• PCAP収集と外部送信 — 複数の侵害ルータでトラフィックをキャプチャし、PCAPファイルを外部のFTPサーバへアップロードして内部トポロジや経路関係を把握した。
• ファイアウォールと転送の改変 — SSH宛てトラフィックをポート22から443へリダイレクトし、Linux管理ホストでIPv4パケットフォワーディングを有効化して隠れたトンネルノードに転用した。

Sygniaは「Investigators could not rely on any single source of telemetry to accurately reconstruct the activity.（調査担当者は活動を正確に再構成するために単一のテレメトリ源に頼ることはできなかった）」と述べ、ルータ上の証跡が操作されていたことを強調している。

認証の要所を掌握 — TacTapによる窃取

Fire Antは管理アクセスを統制するTACACS基盤にも侵入した。Sygniaが「TacTap」と呼ぶツールセットは、認証デーモン内に悪性の共有オブジェクトを常駐させ、承認されたセッションを傍受して認証情報を収集する。窃取したデータは単一バイトのXORで符号化されていた。

ルータと認証基盤の両方を押さえることで、攻撃者は管理者が正規に利用する経路上で認証情報を収集できた。Sygniaは、正規アカウントの利用と悪性利用の区別が曖昧になり、監査証跡への信頼が低下したと指摘している。

Linux管理層での永続化 — 複数のアクセス経路

Linuxのジャンプホストや管理アプライアンスでは、長期にわたり生存する複数のインプラントが確認された。Sygniaは2025年から2026年にかけて稼働したままだったツールもあるとしている。

• Medusa関連コンポーネントやカスタムSSHバックドア — 正規のエンドポイント保護製品に偽装し、タイムスタンプを改ざんして同化を図った。
• パケットトリガー型リモートアクセス — TCPの宛先ポート443、541、8443、10443や、送信元ポート40443のUDPなど特定のパケットを契機に起動する。
• 対話型シェルの隠蔽 — HISTFILE を空にしてbash履歴への記録を無効化し、実行コマンドが履歴から見えないようにした。
• SELinuxの無効化 — ホストレベルの制約を除去した。

プロセスを削除してもメモリ上で動作が続くケースがあり、単一バイナリの除去だけでは駆除できないとSygniaは警告している。

背景とSygniaの評価

Sygniaは、Fire Antの手口がVMCIベースのバックドアやカスタムSSHアクセス、特定のマジック文字列（例: hpaVAj2FJ による起動判定）といった点でUNC3886の公開報告と強く重なると評価している。一方で展開の細部には差異があり、適応力の高いアクターであることを示すとも述べている。攻撃の帰属については「中国系の諜報グループと疑われる」とし、断定を避けている。

同社は、国家や非国家の複数のアクターがこうした手口を用いる可能性があるとしつつ、地政学的緊張の高まりと技術の拡散を背景に、国家による攻撃的サイバー能力の行使が武力紛争の外側でも増加した可能性が高いと指摘している。

Sygniaが推奨する対策

Sygniaは、ルータや認証サーバ、ハイパーバイザー、ジャンプホスト、管理アプライアンスを「第一級のセキュリティおよびフォレンジック資産」として扱うべきだと提言している。同社が報告書で推奨している主な対策は次のとおりである。

• エッジルータと認証インフラの硬化 — 設定と運用状態の不一致を監視し、不正なGREトンネルや想定外のVRF、改変されたファイアウォール規則を検出する。
• テレメトリの相互検証 — ログ単体を信頼せず、メモリ、ディスク、ネットワーク、認証、コンフィグの各証跡を突き合わせて検証する。
• 複数経路の想定 — 単一のバックドア除去で収束したと判断せず、複数の永続化経路と窃取された認証情報が残存している前提で資格情報のローテーションと再認証を行う。

Sygniaは、信頼されたインフラが侵害された場合、攻撃者は接続された環境への経路と、その利用を隠蔽する能力の両方を同時に得ると警告している。防御側はインフラ層を従来のエンドポイントやサーバと同等の監視・硬化・インシデント対応の対象として位置づける必要があると同社は呼びかけている。

出典

• Sygnia「Fire Ant Evolves: From Hypervisors to Trusted Infrastructure」（2026年8月30日） https://www.sygnia.co/blog/fire-ant-evolves-from-hypervisors-to-trusted-infrastructure/