• Weaver Ant グループは、ステルス技術を用いて通信プロバイダーに侵入した。
  • このキャンペーンは 4 年以上にわたり検出されなかった。

発生したこと:通信業界での密かなスパイ活動が明らかに

中国に関連するハッカー集団「Weaver Ant」は、サイバーセキュリティ企業Sygniaの報告書によると、少なくとも 4 年間にわたりアジアの複数の通信プロバイダーに秘密裏に侵入していた。攻撃者は、暗号化トンネリングや Web シェルなどの高度な技術を用いて、永続性を維持し検出を逃れていた。

ハッカーは、東南アジア全域で侵害された Zyxel 製家庭用ルーターをリレーネットワークとして使用し、発信元を効果的に隠蔽していました。これにより、長期的なスパイ活動、認証情報の収集、内部ネットワーク活動の監視が可能になりました。攻撃者は、INMemory と名付けられたこれまで未知の Web シェルも展開し、サーバーメモリ上で直接ペイロードを実行して、フォレンジック痕跡をほとんど残さないようにしていました。

Sygnia の調査により、Weaver Ant が悪意のあるトラフィックを中継するためにオペレーショナルリレーボックス（ORB）の未プロビジョニングネットワークを使用し、インフラをさらに隠蔽していたことが判明しました。また、このグループは高い適応性を示し、侵害されたデバイスを介して通信プロバイダー間を移動しながら、セキュリティ対策を回避していました。

この侵害は、Sygnia の別の調査中に偶然発見されました。以前に無効化されたアカウントがサービスアカウントによって再アクティブ化されたことがきっかけでした。この再アクティブ化により、アナリストはより大規模なスパイキャンペーンを発見し、Weaver Ant が複数の通信ネットワークに広範にアクセスしていたことを確認しました。

こちらもお読みください:岐路に立つ通信事業者：Google Cloud の AI に関する行動喚起
こちらもお読みください:NVIDIA AI：通信事業者に AI-RAN と GenAI で革命をI

なぜ重要か

このキャンペーンの発覚は、長期にわたるサイバースパイ活動に対する重要通信インフラの脆弱性を浮き彫りにしています。通信の中心である通信事業者は、政府、商業、個人の活動に関する情報を収集しようとする国家主体にとって格好の標的です。

家庭用ルーターを中継に使用することで、攻撃者は従来のネットワーク検知システムを効果的に回避しました。この手法とメモリベースの Web シェルの使用は、ハッキング技術の進化を示しており、セキュリティチームによる侵入の追跡や遮断をより困難にしています。

さらに、数年にわたる攻撃の持続は、通信事業者がセキュリティフレームワークに体系的な弱点を抱えている可能性を示唆しています。このインシデントは、同様の侵害を防ぐための継続的な監視、高度な脅威検知システム、およびプロアクティブなサイバーセキュリティ対策の必要性を強調しています。