最初の侵入口。侵入は、組織がまだ廃却していなかったインターネットに接続された、パッチ未適用の旧型F5 BIG-IPアプライアンスを経由して始まった可能性が高いと見られています。攻撃者はこの機器を制御下に置くと、それを踏み台にしてネットワークの深部へと侵入し、最終的にはエアギャップ化された内部セグメントにまで到達しました 。

バックドアの仕組み

ファイルスキャナーやエンドポイント検出が最終的に検知するようなカスタムマルウェアを仕掛けるのではなく、「ベルベット・アント」はOS自体の信頼の仕組みを転覆させました。グループは数十台のホストにわたり、Linuxの認証に関わる中核コンポーネント、具体的にはpam_unix.so（プラガブル認証モジュール）と複数のOpenSSHバイナリを、トロイの木馬化したバージョンに組織的に置き換えていたのです 。

このすり替えは、一つの埋め込みコードから二つの能力を提供しました。

1. マスターパスワードによる認証回避。バックドア化されたモジュールには、ハードコードされた秘密のパスワードが組み込まれており、これだけでどのユーザーアカウントにもアクセスでき、通常の認証を完全に回避できました。仮に管理者がすべてのユーザー資格情報を変更したとしても、攻撃者はこの「合言葉」一つで堂々と正面玄関から入り込むことが可能でした 。
2. サイレント資格情報収集。正当なログインイベントが発生するたびに、その情報がリアルタイムで捕捉され、認証する全ユーザーの平文パスワードが/usr/share/awk/nullfile.awkという隠しファイルに書き込まれました。これにより、「ベルベット・アント」はネットワーク内を動き回るノイズを一切発生させることなく、有効な資格情報を収集し続けられました 。

標準的な対策が機能しなかった理由

従来のインシデント対応手順は、OSのログインに関わるバイナリを敵が再コンパイルしてしまった場合を想定していません。Sygniaのレポートは、最初の何度かの復旧作業がなぜ失敗したのかを明確に示しています。

• 復旧の盲点。不審なファイルを削除し、悪意のあるプロセスを停止し、すべてのパスワードを変更するという標準的なワークフローは、攻撃者の主要な永続化メカニズムに対しては何の効果もありませんでした。トロイの木馬化されたpam_unix.soとSSHバイナリは、コンパイルされたロジック以外のあらゆる点で、正当なシステムファイルだったのです 。
• メタデータの偽装。攻撃者は、元のファイル名、パス、タイムスタンプ、そしておおよそのファイルサイズを保存していました。多くの企業環境で一般的な、ファイルのメタデータだけに依存したファイル完全性チェックでは、何の異常も検出できませんでした 。
• パスワード変更の無力さ。ハードコードされたマスターパスワードは認証モジュール自体の内部に存在していたため、全ユーザーの資格情報をリセットしても、敵を締め出す役には全く立たなかったのです 。
• 自己再構築の設計。調査中に収集された証拠から、このバックドアは部分的な修復を生き延びるように設計されていたことが示唆されています。仮にセキュリティチームが数台のホストを駆除しても、他の場所の認証スタックが侵害されたままであれば、グループは再び内部を横断移動し、再構築されたマシンを再び侵害することが可能でした 。

Sygniaが最終的に講じた修復措置は明確でした。影響を受けたすべてのホストを、改ざんされていないことが確認されている読み取り専用メディアから、OSごと完全に再構築する必要があったのです。ファイルの部分的な削除や部分的な再イメージングは不十分でした 。

手口のパターン

「ベルベット・アント」の成功は、特異な攻撃チェーンに依存しているわけではありません。むしろ、このグループは忍耐強さと、認証層へのカモフラージュに重点を置いた、成熟した作戦手順を示しています。

攻撃元の特定と関連する活動

Sygniaは、「オペレーション・ハイランド」を高い確度で「ベルベット・アント」によるものと特定し、このグループを中国の国家支援によるスパイ活動目的と結びつけています 。グループは、東アジアの大規模組織、特に通信事業者や重要インフラを標的にしています 。

過去や並行して行われたキャンペーンも、さらなる背景を提供しています。別の事例では、「ベルベット・アント」はSygniaの調査によって活動が明らかになるまで、少なくとも3年間、旧型のF5 BIG-IPアプライアンスを指令統制（C2）サーバーの代理として利用していました 。また、グループが過去の侵入でPlugXやShadowPadマルウェアを展開していたことも確認されており、カスタムメイドと公的に利用可能な能力の両方にまたがる幅広いツールキットを保持していることが示されています 。

防御側が今すぐ取るべき対策

「オペレーション・ハイランド」から得られる最も重要な防御の教訓は、認証スタックそのものが信頼できない場合、従来のエンドポイント保護や資格情報のローテーションだけでは不十分だということです。

防御側は、/lib/security/pam_unix.soやSSHデーモンバイナリなどの重要なシステムバイナリについて、ファイルのメタデータだけでなく、その暗号学的ハッシュを既知の良好なベースラインと比較するファイル完全性監視を最優先すべきです。また、すべての認証イベントを一元管理し、改ざん不可能な外部システムに記録することも不可欠です。十分なアクセス権を持つ攻撃者であれば、ホスト上のログを改ざんできるからです。多要素認証は依然として価値のある障壁ですが、認証チェックを完全に迂回するバックドア化されたPAMサービスに対しては、直接的な保護にはなりません。

「オペレーション・ハイランド」は、最も危険な永続化手法は、まるでマルウェアには見えず、皆が毎日信頼しているログインプロンプトそのもののように見えることを示しています。

最初の侵入口。侵入は、組織がまだ廃却していなかったインターネットに接続された、パッチ未適用の旧型F5 BIG-IPアプライアンスを経由して始まった可能性が高いと見られています。攻撃者はこの機器を制御下に置くと、それを踏み台にしてネットワークの深部へと侵入し、最終的にはエアギャップ化された内部セグメントにまで到達しました 。

バックドアの仕組み

ファイルスキャナーやエンドポイント検出が最終的に検知するようなカスタムマルウェアを仕掛けるのではなく、「ベルベット・アント」はOS自体の信頼の仕組みを転覆させました。グループは数十台のホストにわたり、Linuxの認証に関わる中核コンポーネント、具体的にはpam_unix.so（プラガブル認証モジュール）と複数のOpenSSHバイナリを、トロイの木馬化したバージョンに組織的に置き換えていたのです 。

このすり替えは、一つの埋め込みコードから二つの能力を提供しました。

1. マスターパスワードによる認証回避。バックドア化されたモジュールには、ハードコードされた秘密のパスワードが組み込まれており、これだけでどのユーザーアカウントにもアクセスでき、通常の認証を完全に回避できました。仮に管理者がすべてのユーザー資格情報を変更したとしても、攻撃者はこの「合言葉」一つで堂々と正面玄関から入り込むことが可能でした 。
2. サイレント資格情報収集。正当なログインイベントが発生するたびに、その情報がリアルタイムで捕捉され、認証する全ユーザーの平文パスワードが/usr/share/awk/nullfile.awkという隠しファイルに書き込まれました。これにより、「ベルベット・アント」はネットワーク内を動き回るノイズを一切発生させることなく、有効な資格情報を収集し続けられました 。

標準的な対策が機能しなかった理由

従来のインシデント対応手順は、OSのログインに関わるバイナリを敵が再コンパイルしてしまった場合を想定していません。Sygniaのレポートは、最初の何度かの復旧作業がなぜ失敗したのかを明確に示しています。

• 復旧の盲点。不審なファイルを削除し、悪意のあるプロセスを停止し、すべてのパスワードを変更するという標準的なワークフローは、攻撃者の主要な永続化メカニズムに対しては何の効果もありませんでした。トロイの木馬化されたpam_unix.soとSSHバイナリは、コンパイルされたロジック以外のあらゆる点で、正当なシステムファイルだったのです 。
• メタデータの偽装。攻撃者は、元のファイル名、パス、タイムスタンプ、そしておおよそのファイルサイズを保存していました。多くの企業環境で一般的な、ファイルのメタデータだけに依存したファイル完全性チェックでは、何の異常も検出できませんでした 。
• パスワード変更の無力さ。ハードコードされたマスターパスワードは認証モジュール自体の内部に存在していたため、全ユーザーの資格情報をリセットしても、敵を締め出す役には全く立たなかったのです 。
• 自己再構築の設計。調査中に収集された証拠から、このバックドアは部分的な修復を生き延びるように設計されていたことが示唆されています。仮にセキュリティチームが数台のホストを駆除しても、他の場所の認証スタックが侵害されたままであれば、グループは再び内部を横断移動し、再構築されたマシンを再び侵害することが可能でした 。

Sygniaが最終的に講じた修復措置は明確でした。影響を受けたすべてのホストを、改ざんされていないことが確認されている読み取り専用メディアから、OSごと完全に再構築する必要があったのです。ファイルの部分的な削除や部分的な再イメージングは不十分でした 。

手口のパターン

「ベルベット・アント」の成功は、特異な攻撃チェーンに依存しているわけではありません。むしろ、このグループは忍耐強さと、認証層へのカモフラージュに重点を置いた、成熟した作戦手順を示しています。

攻撃元の特定と関連する活動

Sygniaは、「オペレーション・ハイランド」を高い確度で「ベルベット・アント」によるものと特定し、このグループを中国の国家支援によるスパイ活動目的と結びつけています 。グループは、東アジアの大規模組織、特に通信事業者や重要インフラを標的にしています 。

過去や並行して行われたキャンペーンも、さらなる背景を提供しています。別の事例では、「ベルベット・アント」はSygniaの調査によって活動が明らかになるまで、少なくとも3年間、旧型のF5 BIG-IPアプライアンスを指令統制（C2）サーバーの代理として利用していました 。また、グループが過去の侵入でPlugXやShadowPadマルウェアを展開していたことも確認されており、カスタムメイドと公的に利用可能な能力の両方にまたがる幅広いツールキットを保持していることが示されています 。

防御側が今すぐ取るべき対策

「オペレーション・ハイランド」から得られる最も重要な防御の教訓は、認証スタックそのものが信頼できない場合、従来のエンドポイント保護や資格情報のローテーションだけでは不十分だということです。

防御側は、/lib/security/pam_unix.soやSSHデーモンバイナリなどの重要なシステムバイナリについて、ファイルのメタデータだけでなく、その暗号学的ハッシュを既知の良好なベースラインと比較するファイル完全性監視を最優先すべきです。また、すべての認証イベントを一元管理し、改ざん不可能な外部システムに記録することも不可欠です。十分なアクセス権を持つ攻撃者であれば、ホスト上のログを改ざんできるからです。多要素認証は依然として価値のある障壁ですが、認証チェックを完全に迂回するバックドア化されたPAMサービスに対しては、直接的な保護にはなりません。

「オペレーション・ハイランド」は、最も危険な永続化手法は、まるでマルウェアには見えず、皆が毎日信頼しているログインプロンプトそのもののように見えることを示しています。