Sygnia Consultingは6月17日(イスラエル時間)、「In-Depth Analysis: Velvet Ant's Prolonged Cyber Attack on a Large Organization」において、「Velvet Ant」と名付けられた中国の国家支援を受けているとみられる脅威アクターが、少なくとも2021年後半からF5 BIG-IPアプライアンスを足がかりに大規模なスパイ活動を実施していたと報じた。標的となった組織名は公開していないが、大企業が被害に遭ったと指摘している。
In-Depth Analysis: Velvet Ant's Prolonged Cyber Attack on a Large Organization
○F5 BIG-IPアプライアンスの悪用
F5の「BIG-IP」製品群の一つに、ネットワークセグメント間に配置されるBIG-IPアプライアンスがある。今回Sygniaが侵害調査を実施した組織においてもファイアウォール、Webアプリケーションファイアウォール(WAF: Web Application Firewall)、ロードバランサー、ローカルトラフィック管理などの機能を提供する2台のBIG-IPアプライアンスが稼働していたという。
ファイルサーバー上のPlugXはローカルのコマンド&コントロール(C2: Command and Control)サーバとしても機能し、ネットワーク上のさまざまなデバイスへの攻撃に使用された。Sygniaはこの通信が暗号化されていないことを発見しており、脅威アクターの戦術、技術、手順(TTPs: Tactics, Techniques, and Procedures)の詳細を明らかにしている。
エンドポイント検出応答(EDR: Endpoint Detection and Response)を導入する。また、認証情報を保護するためWindowsのLSASS(Local Security Authority Subsystem Service)にPPL(Protected Process Light)を適用し、Windows Credential Guardを有効にする(参考:「追加の LSA 保護を構成する | Microsoft Learn」)
F5 BIG-IPアプライアンスのようなネットワークエッジデバイスのセキュリティ強化には、プロアクティブなセキュリティ戦略の構築が必要。Sygniaはそのような防御戦略を確立するための包括的なガイダンスとして「Defending Your Network Edge Against the Next Zero-Day Exploit」を公開しており、ネットワークエッジデバイスのセキュリティ強化に役立てることが望まれている。