CCPのハッカー、F5の米国政府ネットワークに数年間潜伏

中国の国家支援サイバーユニットに関連するハッカーが、2023年後半にF5の内部ネットワークに侵入し、今年8月まで潜伏していたと、Bloombergは報じている。

シアトルを拠点とするサイバーセキュリティ企業は、提出文書において、そのシステムがほぼ2年間侵害され、攻撃者に内部インフラへの「長期かつ持続的なアクセス」を許可していたことを認めた。

この侵害により、ソースコード、機密設定データ、および85％のフォーチュン500企業および多くの米国連邦機関のネットワークを動かす技術であるBIG-IPプラットフォームにおける未公開のソフトウェア脆弱性に関する情報が暴露されたと報告されている。

ハッカーは、従業員が内部セキュリティポリシーに従わなかったためオンラインで公開されていたF5自身のソフトウェアを通じて侵入した。攻撃者はその脆弱なポイントを利用し、ロックダウンされるべきシステム内を自由に移動した。

F5は顧客に対し、この過失が同社がクライアントに指導しているのと同じサイバーガイドラインに直接違反するものであると伝えた。このニュースが報じられた際、F5の株価は10月16日に10%以上下落し、市場価値から数百万ドルが消し飛んだ。

「その脆弱性情報が公開されている以上、F5を使用しているすべての企業は、侵害されていると見なすべきです」と、英国のサイバーセキュリティサービス企業CyberQ Group Ltd.の創業者で、元HPセキュリティ執行役員のChris Woodsは述べています。

ハッカーはF5の自社の技術を使用して、潜行と制御を維持した

ブルームバーグ通信によると、F5は水曜日、中国の国家支援ハッカーが使用しているBrickstormというマルウェアの脅威ハンティングガイドを顧客に送信した。

F5によって雇われたMandiantは、BrickstormがハッカーにVMware仮想マシンやより深いインフラストラクチャ内を静かに移動させることを可能にしたと確認した。足場を固めた後、侵入者は1年以上沈黙を守り、企業のセキュリティログ保持期間を過ぎ去らせるという、古くながら効果的な戦術を用いた。

すべてのデジタル痕跡を記録するログは、コスト削減のため12ヶ月後に削除されることが多い。ログが消去されると、ハッカーは再活性化し、ソースコードや脆弱性レポートを含むBIG-IPからデータを抽出した。

F5は、一部の顧客データがアクセスされたことを認めたものの、ハッカーがソースコードを変更したり、盗んだ情報を使用してクライアントを攻撃したりしたという確かな証拠はないと述べた。

F5のBIG-IPプラットフォームは、負荷分散とネットワークセキュリティを処理し、デジタルトラフィックをルーティングしてシステムを侵入から守る。

米国と英国の政府が緊急警告を発出

米サイバーセキュリティ・インフラストラクチャ保安庁（CISA）は、この事件を「連邦ネットワークを対象とした『重大なサイバー脅威』」と呼んだ。水曜日に発出された緊急指令において、CISAはすべての連邦機関に対し、10月22日までにF5製品の特定と更新を命じた。

英国のナショナル・サイバーセキュリティセンター（NCSC）も水曜日に同侵害に関する警報を発出し、ハッカーがF5システムへのアクセスを利用して同社の技術を攻撃したり、追加の脆弱性を特定したりする可能性があることを警告した。

開示後、F5のCEOであるFrancois Locoh-Donouは顧客とのブリーフィングを開催し、侵害の範囲を説明した。Francoisは、同社が法執行機関や政府の調査官と連携して支援を依頼するために、CrowdStrikeとGoogleのMandiantを招集したことを確認した。

捜査に精通した関係者らは、中国政府が攻撃の背後にあるとブルームバーグに語った。しかし、中国の報道官はこの非難を「根拠がなく、証拠なしに行われたもの」として退けた。

Sygniaのサイバーセキュリティコンサルティング担当副社長であるIlia Rabinovichは、昨年Sygniaが開示した事例において、ハッカーはF5のアプライアンス内に潜伏し、「コマンド・アンド・コントロール」の拠点として使用して被害者のネットワークに検知されずに侵入したと述べた。「多数の組織がこれらのデバイスを導入しているため、それが巨大な事案へと発展する可能性があります」と彼は語った。