中国関連のスパイ集団「Fire Ant」、Ciscoルーターや認証サーバーを侵害しログ隠蔽と認証情報窃取を実行
要点
- 中国関連の脅威アクター「Fire Ant」が、Cisco IOS XRルーターやTACACS認証サーバーなどを侵害していたことが判明した。
- 攻撃者はルーター専用のマルウェアを用いてログ転送を制限し、管理者コマンドの出力を改ざんして自身の存在を隠蔽していた。
- TACACSサーバーでは、実行中の認証プロセスに不正ライブラリを注入して認証情報を盗み出す新手法「TacTap」が確認された。
- 侵害されたルーターはトラフィック傍受やパケット採取の拠点として悪用され、重要インフラを含む接続先への探索が行われていた。
- セキュリティ企業Sygniaは、本活動が中国関連グループ「UNC3886」の活動と強く重複していると分析している。
サイバーセキュリティ企業のSygnia（シグニア）は2026年8月31日、中国との関連が指摘されるサイバースパイグループ「Fire Ant」が、Cisco IOS XRルーターや認証サーバーなどを侵害する作戦を展開していたとする調査結果を公表しました。攻撃者はネットワーク機器を情報収集の拠点へと変貌させ、トラフィックの監視や認証情報の窃取を行うと同時に、防御側の調査を妨害する高度なログ隠蔽を行っていたとのことです。
仮想化基盤からネットワーク中枢機器へと広がる攻撃対象
Sygniaによると、Fire Antは従来標的としていたVMwareの仮想化環境から攻撃範囲を広げ、通信の経路制御や認証、ネットワーク管理を担う重要機器を標的にしているといいます。具体的には、Cisco IOS XRルーター、ネットワーク機器の認証や認可を一元管理するTACACS（Terminal Access Controller Access-Control System）サーバー、Linux管理ホストなどが侵害を受けました。
攻撃者は侵害したルーターを踏み台にし、信頼されたネットワーク経路を通過する通信を把握できる有利な観測地点を確保していたとされています。Sygniaは、同グループがこの足がかりを利用して重要インフラを含む高価値な接続先環境への侵入経路を探索していたと評価しています。ただし、それらのネットワークに対する活動はポートスキャンや接続試行に留まっており、実際の侵害までは確認されていないとのことです。
ルーターの異常検知と専用マルウェアによる巧妙な隠蔽工作
一連の調査は、Cisco IOS XRルーター上で不審な挙動が確認されたことから始まりました。設定ファイルやコミット履歴に作成記録が存在しないにもかかわらず、異なるネットワーク間をカプセル化して接続するGRE（Generic Routing Encapsulation）トンネルが稼働していたことが発覚の契機となりました。なお、ルーターへの最初の侵入経路については特定されていません。
このトンネルを追跡したところ、旧式のLinuxシステムへ接続されていることが判明しました。Fire Antはそのシステムから、接続先ネットワークの管理ポートやサービスポート（SSH、HTTP、SMB、RDP）に対して反復的な接続試行やポートスキャンを実施していました。
ルーターに導入されていたマルウェアは、汎用的なLinux向けではなく、Cisco IOS XRの制御中枢（コントロールプレーン）向けに専用設計されたものでした。このマルウェアには以下の特徴的な隠蔽機能が組み込まれていました。
- ログ転送の選別: 改ざんされたシステムライブラリが含まれており、外部へ送信されるログメッセージ内に「Health」という文字列が含まれている場合のみ転送を許可し、それ以外のセキュリティ関連ログを握りつぶしていました。
- 管理者コマンドの出力改ざん: コマンド実行パスが改変されており、管理者が設定を確認する
showコマンドを実行すると、自動的に特定の文字列を除外する| excludeフィルターが付加され、攻撃者が作成したトンネル設定が画面上に表示されないよう偽装されていました。
さらに攻撃者は、複数のCisco機器から通信データそのものを記録するパケットキャプチャ（PCAP）を取得し、外部のFTPサーバーへアップロードして持ち出していました。送信先となったFTPサーバーの1台は、データ送信当日に構築されたとみられています。
TACACSサーバーを狙う新ツールセット「TacTap」
ネットワーク機器のアクセス管理を司るTACACSサーバーにおいても、Fire Antによる高度な攻撃活動が確認されました。Sygniaは、同サーバー上で展開されていた認証情報窃取ツールセットを「TacTap」と命名しています。
TacTapに含まれるインジェクター「acppid」は、サーバー上で稼働しているtac_plus認証プロセスへ悪意のあるライブラリを注入します。このライブラリは新規接続を受け入れる関数をフック（処理を横取り）し、確立されたセッションのハンドルをローカルのUnixソケット経由で別のプロセスへ渡す仕組みとなっていました。
盗み出された認証情報はローカルファイル（/var/log/.tacplus.acct）へ書き出され、1バイトのXOR鍵（0xEF）によって簡易的な難読化が施されていました。Sygniaは、稼働中のtac_plusプロセスにライブラリを注入するこの具体的な手法について、過去に公表された例がない新手の攻撃技術であると説明しています。
攻撃グループの背景と関連性
Fire Antの活動は、2025年7月にSygniaが公開したVMware ESXiやvCenter環境の脆弱性悪用事例に続くものです。同社は、今回の攻撃手法や特徴が仮想化基盤や境界ネットワーク機器を標的とする中国系スパイ集団「UNC3886」の公開情報と強く重複していると指摘しています。ただし、今回の報告では確定的な同一グループとしての帰属までは行っていません。
なお、UNC3886を最初に報告した米Mandiantによると、同グループと他の中国系サイバー攻撃作戦（「Salt Typhoon」や「Volt Typhoon」など）との間には技術的な重複は見られないとされています。