「オペレーション・ハイランド」の深層：ベルベット・アントがLinuxログインに10年潜伏した方法

イスラエルに拠点を置くインシデント対応企業Sygniaは、「オペレーション・ハイランド」と名付けられた調査の結果を公開しました。これは近年の事例の中でも、最も規律正しく、かつ巧妙なサイバー諜報活動の一つを暴くものです。この活動は、Sygniaが「ベルベット・アント」として追跡する中国と関連のある脅威グループによるものと、高い確度で評価されています 。この作戦を定義づけるのは、単一の革新的なゼロデイ攻撃ではなく、「誰がログインできるかを決定するソフトウェアの中に棲みつく」という、極めて単純明快な発想でした。

10年にわたる侵入の段階的詳細

被害を受けたネットワークはインターネットに直接接続されておらず、機密性の高いシステムを多数抱えていました。Sygniaのフォレンジック調査による時系列分析では、攻撃者は少なくとも2016年にはすでに足場を確保しており、グループは環境内に10年近く潜伏していたことになります 。

最初の侵入口。侵入は、組織がまだ廃却していなかったインターネットに接続された、パッチ未適用の旧型F5 BIG-IPアプライアンスを経由して始まった可能性が高いと見られています。攻撃者はこの機器を制御下に置くと、それを踏み台にしてネットワークの深部へと侵入し、最終的にはエアギャップ化された内部セグメントにまで到達しました 。

バックドアの仕組み

ファイルスキャナーやエンドポイント検出が最終的に検知するようなカスタムマルウェアを仕掛けるのではなく、「ベルベット・アント」はOS自体の信頼の仕組みを転覆させました。グループは数十台のホストにわたり、Linuxの認証に関わる中核コンポーネント、具体的にはpam_unix.so（プラガブル認証モジュール）と複数のOpenSSHバイナリを、トロイの木馬化したバージョンに組織的に置き換えていたのです 。

このすり替えは、一つの埋め込みコードから二つの能力を提供しました。

1. マスターパスワードによる認証回避。バックドア化されたモジュールには、ハードコードされた秘密のパスワードが組み込まれており、これだけでどのユーザーアカウントにもアクセスでき、通常の認証を完全に回避できました。仮に管理者がすべてのユーザー資格情報を変更したとしても、攻撃者はこの「合言葉」一つで堂々と正面玄関から入り込むことが可能でした 。
2. サイレント資格情報収集。正当なログインイベントが発生するたびに、その情報がリアルタイムで捕捉され、認証する全ユーザーの平文パスワードが/usr/share/awk/nullfile.awkという隠しファイルに書き込まれました。これにより、「ベルベット・アント」はネットワーク内を動き回るノイズを一切発生させることなく、有効な資格情報を収集し続けられました 。

標準的な対策が機能しなかった理由

従来のインシデント対応手順は、OSのログインに関わるバイナリを敵が再コンパイルしてしまった場合を想定していません。Sygniaのレポートは、最初の何度かの復旧作業がなぜ失敗したのかを明確に示しています。

• 復旧の盲点。不審なファイルを削除し、悪意のあるプロセスを停止し、すべてのパスワードを変更するという標準的なワークフローは、攻撃者の主要な永続化メカニズムに対しては何の効果もありませんでした。トロイの木馬化されたpam_unix.soとSSHバイナリは、コンパイルされたロジック以外のあらゆる点で、正当なシステムファイルだったのです 。
• メタデータの偽装。攻撃者は、元のファイル名、パス、タイムスタンプ、そしておおよそのファイルサイズを保存していました。多くの企業環境で一般的な、ファイルのメタデータだけに依存したファイル完全性チェックでは、何の異常も検出できませんでした 。
• パスワード変更の無力さ。ハードコードされたマスターパスワードは認証モジュール自体の内部に存在していたため、全ユーザーの資格情報をリセットしても、敵を締め出す役には全く立たなかったのです 。
• 自己再構築の設計。調査中に収集された証拠から、このバックドアは部分的な修復を生き延びるように設計されていたことが示唆されています。仮にセキュリティチームが数台のホストを駆除しても、他の場所の認証スタックが侵害されたままであれば、グループは再び内部を横断移動し、再構築されたマシンを再び侵害することが可能でした 。

Sygniaが最終的に講じた修復措置は明確でした。影響を受けたすべてのホストを、改ざんされていないことが確認されている読み取り専用メディアから、OSごと完全に再構築する必要があったのです。ファイルの部分的な削除や部分的な再イメージングは不十分でした 。

手口のパターン

「ベルベット・アント」の成功は、特異な攻撃チェーンに依存しているわけではありません。むしろ、このグループは忍耐強さと、認証層へのカモフラージュに重点を置いた、成熟した作戦手順を示しています。

作戦パターン	観測された行動
ネットワーク境界からの初期アクセス	インターネットに公開されたパッチ未適用の企業向けアプライアンス、特にF5 BIG-IPやCisco Nexusスイッチを悪用し、内部ネットワークへの橋頭堡とします 。
主要な侵入手口としての認証機能の転覆	エンドポイントに従来型のリモートアクセス型トロイの木馬（RAT）を展開することを避け、代わりにLinux群全体のユーザーログインを検証するコンポーネント自体を置き換えます 。
冗長化された永続性ネットワーク	異なるネットワークセグメントに複数の足場を維持することで、一つのアクセスポイントや機器全体が失われても作戦が終了しないようにします 。
正規ツールの悪用（Living-off-the-land）	窃取した資格情報とSSHのような標準的な管理ツールを利用して内部を横断移動するため、検出ツールにかかるカスタムマルウェアの痕跡を最小限に抑えます 。
産業規模の資格情報収集	ネットワーク全体で成功した全ログインから平文パスワードを捕捉し、ネットワーク上のノイズを増やすことなく有効なID情報を着実に蓄積します 。
極めて長い潜伏期間	数日や数週間ではなく、何年にもわたって活動します。この「低頻度で遅い」テンポにより、短いログ保存期間や定期的なシステムメンテナンスがフォレンジック証拠を消し去ってしまう可能性があります 。

攻撃元の特定と関連する活動

Sygniaは、「オペレーション・ハイランド」を高い確度で「ベルベット・アント」によるものと特定し、このグループを中国の国家支援によるスパイ活動目的と結びつけています 。グループは、東アジアの大規模組織、特に通信事業者や重要インフラを標的にしています 。

過去や並行して行われたキャンペーンも、さらなる背景を提供しています。別の事例では、「ベルベット・アント」はSygniaの調査によって活動が明らかになるまで、少なくとも3年間、旧型のF5 BIG-IPアプライアンスを指令統制（C2）サーバーの代理として利用していました 。また、グループが過去の侵入でPlugXやShadowPadマルウェアを展開していたことも確認されており、カスタムメイドと公的に利用可能な能力の両方にまたがる幅広いツールキットを保持していることが示されています 。

防御側が今すぐ取るべき対策

「オペレーション・ハイランド」から得られる最も重要な防御の教訓は、認証スタックそのものが信頼できない場合、従来のエンドポイント保護や資格情報のローテーションだけでは不十分だということです。

防御側は、/lib/security/pam_unix.soやSSHデーモンバイナリなどの重要なシステムバイナリについて、ファイルのメタデータだけでなく、その暗号学的ハッシュを既知の良好なベースラインと比較するファイル完全性監視を最優先すべきです。また、すべての認証イベントを一元管理し、改ざん不可能な外部システムに記録することも不可欠です。十分なアクセス権を持つ攻撃者であれば、ホスト上のログを改ざんできるからです。多要素認証は依然として価値のある障壁ですが、認証チェックを完全に迂回するバックドア化されたPAMサービスに対しては、直接的な保護にはなりません。

「オペレーション・ハイランド」は、最も危険な永続化手法は、まるでマルウェアには見えず、皆が毎日信頼しているログインプロンプトそのもののように見えることを示しています。