Fire Ant：ハイパーバイザーレベルのスパイ活動を徹底解析

エグゼクティブサマリー

• 2025年初頭以降、Sygniaは「Fire Ant」と名付けた高度なサイバー諜報キャンペーンを追跡・対応してきました。このキャンペーンは、VMware ESXiやvCenterなどの仮想化基盤およびネットワークアプライアンスを主要な標的としており、インフラレベルへの侵入と持続的なアクセスの確保を目的としていました。
• 攻撃者は、ステルス性と高度な技術を組み合わせたマルチレイヤーの攻撃手法を駆使し、セグメント化された内部ネットワークや制限された環境への横展開（lateral movement）を実現。表面上は隔離されたと見なされる領域に対してもアクセスを獲得していました。
• 本攻撃は高い持続性（persistence）とオペレーショナルな柔軟性を特徴とし、封じ込めの試みにも即座に適応。リアルタイムでTTP（戦術・技術・手順）を変化させながら、侵害されたインフラへのアクセスを維持する動きが確認されました。
• Sygniaの分析により、今回のキャンペーンではUNC3886との技術的な共通点が多数確認されています。具体的には、vCenterおよびESXiの脆弱性を悪用した手口、特定のバイナリの使用、標的業界の類似性などが見られました。
• 本事案は、従来のエンドポイントセキュリティでは可視化が困難な、ハイパーバイザーおよび仮想インフラ層での監視・検知体制の重要性を改めて浮き彫りにしています。特に、仮想環境に特化したログ分析や振る舞い検知の整備が急務であることを示唆しています。

背景

2025年初頭以降、Sygniaは「Fire Ant」と呼称する脅威アクターによる一連のインシデントを追跡・対応してきました。このグループは一貫して仮想化およびネットワークインフラを標的としており、それらのシステムを初期アクセスの足掛かり、横展開、および長期的な潜伏（persistence）の手段として悪用しています。

Fire Antの活動は、インフラ層に特化したTTP（戦術・技術・手順）を特徴としており、従来のエンドポイント型セキュリティ製品では検知が困難な検出閾値以下の領域で作戦行動を実行しています。これは、従来のセキュリティスタックにおける重大な盲点を突くものであり、検知・防御体制の再考を迫るものです。

攻撃者は、標的組織のVMware ESXiホストおよびvCenterサーバに対して強固なコントロールを確立し、その後、ホストからゲストOSへの未認証コマンド実行や仮想基盤上での資格情報窃取を通じてゲスト環境にピボットしていました。

さらに、ネットワークアプライアンスの侵害やトンネリング手法を用いることでネットワークセグメンテーションを一貫して回避。正規に許可された通信経路を慎重に利用しながら、セグメント間を移動する能力が確認されています。

Sygniaの調査では、Fire Antが高い運用レジリエンスを備えていることが明らかとなりました。具体的には、駆除や封じ込めの試みに直面すると、ツールセットの入れ替え、冗長なバックドアの設置、ネットワーク設定の改変などを行い、アクセスの再確立を図っていました。

本レポートでは、Sygniaのインシデント対応およびフォレンジック調査に基づき、Fire Antによるインフラレベルの能力とTTPの詳細を技術的に解説します。

技術的分析

最初の検知は、ゲスト仮想マシン内で実行された1つの悪意のあるプロセスから始まりました。注目すべき点は、その親プロセスが VMware Tools の一部である ‘vmtoolsd.exe’ であったことです。この詳細は、コマンドがゲスト内部から実行されたのではなく、ホスト側から注入された可能性を示唆していました。この異常により調査の焦点は仮想化レイヤに移り、より広範なキャンペーンの存在が明らかとなりました。

以下の分析では、Fire Ant のキャンペーンにおける3つの主要領域を取り上げます：仮想化インフラの侵害と制御に使用されたツールセット、セグメント間の横移動とネットワークアクセスに利用された技術、そして積極的な駆除活動の中でも持続的アクセスを維持するための脅威アクターの顕著な手法です。

VMware仮想化環境における脅威アクターの能力

この脅威アクターは、VMwareインフラの侵害および悪用において高度な能力を示しており、体系的なアプローチを取っていました：

1. vCenterの初期侵害：CVE-2023-34048 を悪用し、vCenter に対して認証不要のリモートコード実行を実現。仮想化管理レイヤの制御を取得しました。
2. ESXiホストへのラテラルムーブメントと永続化：vCenter から ‘vpxuser’ サービスアカウントの認証情報を抽出し、それを用いて接続された ESXi ホストにアクセス。ESXi ホストおよび vCenter の両方に複数の永続的バックドアを展開し、再起動後もアクセスを維持できるようにしていました。
3. ゲストVMへのアクセスおよび悪用：ハイパーバイザーの制御を得た後、攻撃者はゲスト仮想マシンに直接的にアクセス。VMXプロセスを操作し、CVE-2023-20867 を利用して、ゲスト内の認証情報なしに PowerCLI 経由でコマンドを実行。セキュリティツールを改ざんし、ドメインコントローラーを含むメモリスナップショットから認証情報を抽出していました。

このアプローチにより、ハイパーバイザーからゲストオペレーティングシステムに至るまでのフルスタック侵害が可能となり、持続的かつ秘匿性の高いアクセスを実現していました。

仮想化インフラの侵害

CVE-2023-34048 を利用した vCenter の悪用

悪意ある動きが始まる少し前に、vCenterサーバの‘vmdird’プロセスが突然クラッシュしていました。これは、CVE-2023-34048という脆弱性が悪用された可能性が高いです。 CVE-2023-34048は、vCenter ServerのDCERPCプロトコルの処理にあるバッファの範囲外への書き込みミスによる脆弱性で、ネットワーク経由で認証なしにリモートコードを実行される危険があります。

この発見は、Google Cloud Threat Intelligence の報告と一致しており、UNC3886がvCenterを攻撃する際にCVE-2023-34048を利用していたことが記録されています(link)。

Cookie生成によるvCenterユーザーインターフェースへのアクセス

脅威アクターは、侵害したvCenterへのアクセスを利用して、オープンソーススクリプト vCenter_GenerateLoginCookie.pyを使い、vCenterの証明書信頼機構を悪用して認証を回避し、偽造された認証クッキーを生成しました。
このスクリプトは、ターゲットのアドレス、ホスト名、ドメイン、および3つの証明書ファイル（‘idp_cert.txt’、‘trusted_cert_1.txt’、‘trusted_cert_2.txt’）へのパスといった入力を必要とします。これらの証明書はすべて、脅威アクターがオープンソーススクリプト  vCenter_ExtraCertFromMdb.pyを使用して抽出し、侵害されたホストの ‘/var/tmp/’ に保存されていました。
これらの情報を用いてスクリプトを実行することで、脅威アクターは有効なセッション用クッキーを生成し、認証情報やログインイベントなしにvCenterの管理者ユーザーインターフェースへアクセスすることを可能にしました。

vCenter『vpxuser』認証情報の収集

脅威アクターは、侵害したvCenterへのアクセスを利用して、『vpxuser』アカウントの認証情報を取得しました。『vpxuser』は、vCenterがESXiホストを管理するために自動的に作成するシステムアカウントであり、フル管理権限を持っています。
また、『vpxuser』はvCenterのコア管理タスクに使用されるため、ロックダウンモードの制限対象外となっています。これにより、直接ログインが無効化されている場合でも脅威アクターはホストレベルでのアクセスを維持し、接続されたすべてのESXiホストの制御を獲得できました。

Persistent Backdoor on vCenter

脅威アクターは環境内のvCenterサーバに対し、『ksmd』という名前の持続的バックドアバイナリを『/usr/libexec/setconf/ksmd』に展開しました。このバイナリはTCPポート7475で待機し、リモートコマンド実行やファイル操作を可能にするよう設定されていました。
バックドアはリモートログイン直後に展開され、システムの再起動後も活動を維持していました。
ファイル名、ハッシュ値、および展開手法は、Google Cloud Threat Intelligenceによって以前報告され、UNC3886に帰属するVIRTUALPITAマルウェアファミリーと一致しています。

ESXiにおける永続化と署名されていないVIBの利用

脅威アクターは悪意のあるvSphere Installation Bundles（VIB）を使用して、複数のESXiホストに持続的なバックドアを設置しました。VIBは、VMwareがドライバーやアップデート、サードパーティ製ソフトウェアを配布するためのパッケージ形式です。
調査により、無許可の3つのVIBが発見され、それらには『/bin』フォルダに展開されたバイナリや、『/etc/rc.local.d/』に埋め込まれたカスタムスクリプトを参照する設定ファイルが含まれており、システム起動時にこれらが実行される仕組みとなっていました。

特定された3つのVIBの受け入れレベルは「partner」に設定されており、署名検証を回避するために「–force」フラグを付けて展開されていました。
バックドアのファイル名やハッシュ値、展開手法は、Google Cloud Threat Intelligenceにより以前に報告され、UNC3886に帰属するとされるVIRTUALPITAマルウェアファミリーと一致しています。

ESXiの永続化：‘local.sh’の改変

署名されていないVIBに加え、脅威アクターはESXiホストの『/etc/rc.local.d/local.sh』を直接変更し、『/bootbank/autobackup.bin』にあるPythonスクリプトを実行させていました。

このPythonスクリプトはHTTPベースのバックドアとして機能し、ローカルでポート8888のWebサーバーを起動します。

このスクリプトはリモートでのコマンド実行やファイルのダウンロード・アップロード機能を提供します。

このスクリプトはPython 2およびPython 3の両方に対応しており、デーモンとしてバックグラウンドで動作します。
Pythonベースのバックドアはダブルフォーク（double-fork）を使って端末から切り離し、バックグラウンドで実行されます。また、標準入力（stdin）、標準出力（stdout）、標準エラー（stderr）を‘/dev/null’にリダイレクトしています。

ESXiログ改ざん

脅威アクターは、ESXiホスト上のログ記録を妨害するため、システムログの転送を担うVMware標準のsyslogデーモン『vmsyslogd』プロセスを強制終了させました。この操作により、ローカルログの書き込みとリモートログの転送が両方とも停止し、監査証跡が元から断たれました。侵入の初期段階でシステムレベルのログ記録を抑制することで、脅威アクターはフォレンジックの可視性を制限し、リアルタイム検知および事後の解析を困難にしました。

ハイパーバイザーアクセスの悪用

PowerCLIおよびVMXプロセスの改変を利用したゲストコマンド実行（CVE-2023-20867）

脅威アクターは、ゲスト仮想マシン内での認証なしにコマンドを実行するためにPowerCLIを悪用しました。これは、認証不要のホストからゲストへの操作（コマンド実行を含む）を許すVMware Toolsの脆弱性であるCVE-2023-20867の悪用によって実現されました。
PowerCLIの ‘Invoke-VMScript’ コマンドレットを使用し、脅威アクターはゲストマシン上でエンコードされたPowerShellコマンドを実行していました。

これらのコマンドは vmtoolsd.exe を通じてルーティングされ、その出力は C:\Windows\TEMP\vmware-system\powerclivmware* 配下の一時ファイルにリダイレクトされることで、追加のユーザー操作を伴わずに結果を取得できるようになっていました。

ゲストマシンへの認証なしでのコマンド実行を可能にするために、攻撃者はESXiホスト上のVMXプロセス内のメモリを改変するELFバイナリ tools を展開しました。このバイナリは、VMXプロセスIDに紐づくcartel ID、メモリアドレス、動作モードなどの引数を受け取って実行され、VMXプロセス内の制御ロジックを書き換えることで、PowerCLI経由のコマンドがゲスト側の認証を完全にバイパスできる状態にしていました。

メモリスナップショットからの認証情報ダンピング

攻撃者は、サスペンドまたはスナップショット取得済みの仮想マシンから .vmem（仮想メモリ）ファイルに直接アクセスし、認証情報を抽出しました。
仮想マシンのメモリを含むスナップショットは、vim-cmd vmsvc/snapshot.create コマンドを使って作成されました。

取得された .vmem ファイルに対して、UpdateApp というバイナリが実行されました。これは、オープンソースの Volatility Framework をコンパイルして改変したツールで、hashdump や lsadump などのコマンドを通じて、ドメインコントローラーなどの重要なシステム上の NTLM ハッシュや認証情報を抽出する目的で使用されました。

攻撃者は認証情報の抽出が完了した後、vim-cmd vmsvc/snapshot.remove を使用してスナップショットを削除し、フォレンジック上の痕跡を最小限に抑えました。この手法により、ゲストOS内でのアーティファクト生成やプロセス作成を伴うことなく、認証情報へのアクセスが可能となっていました。

ゲストEDRの改ざん

攻撃者は、PowerCLIによるゲストOSへの未認証操作を利用して、仮想マシン上にカスタム実行ファイル updatelog.exe を展開・実行しました。このツールは、SentinelMonitor.sys を第1引数として以下のようなコマンドで呼び出されました：

実行後に該当の実行ファイル（updatelog.exe）は削除され、直接の解析はできなかったものの、SentinelOneエージェントが記録した最後のプロセス生成イベントはこの ‘updatelog.exe’ の実行でした。その後も同マシン上では追加のモニタリングツールによりプロセス生成のテレメトリが継続して収集されており、システム自体は引き続き稼働していたことが強く示唆されます。可視性が失われたのはSentinelOneエージェントのみだったと考えられます。

V2Ray を用いたゲストネットワークのトンネリング

さらに、攻撃者は PowerCLI の未認証ゲスト操作機能を悪用し、仮想マシン上に ‘update.exe’ というバイナリを展開・実行しました。このバイナリは、プロキシ通信のための暗号化トンネルを構築するオープンソースのプラットフォームである V2Ray フレームワークであることが判明しました。

また、同時に配置されていた構成ファイルには、TCPポート58899でのリスナーの設定と、ネットワーク制限下にある資産とのコマンド＆コントロール通信のための上流プロキシ設定が記述されていました。

不正な仮想マシンの展開

攻撃者は、複数の ESXi ホスト上に未登録の仮想マシンを手動で展開し、ネイティブバイナリ ‘/bin/vmx’ に ‘-x’ 引数を付けて実行することで、.vmx ファイルから直接 VM を起動しました。これにより、vCenter への登録を回避して仮想マシンを起動することが可能となります。

この手法は、標準的な仮想マシンの登録ワークフローを回避し、vCenter の管理下にない状態で仮想マシンを稼働させることができるため、管理インターフェースから不可視の「不正VM（rogue VM）」としてバックグラウンドで動作し続けることになります。これらの仮想マシンは、インベントリツールや通常のモニタリングにも表示されません。

さらに、それぞれの仮想マシンには、VMware の仮想NICで通常使用される範囲外の MAC アドレスが割り当てられており、この MAC スプーフィングにより、ホスト ESXi との関連付けが困難になります。このようなケースでは、侵害されたシステムを特定するために、物理スイッチの MAC テーブルを確認するか、サブネット内のすべての ESXi ホストをスキャンして未登録の仮想マシンを発見する必要があります。

ネットワークインフラの操作

この脅威アクターは、標的環境のネットワーク構成やポリシーに関して深い理解を示しており、セグメンテーション制御を巧みに迂回して内部の隔離された資産にまで到達しました。ネットワークインフラの侵害と信頼されたシステムを経由したトンネリングにより、セグメント間の境界を体系的に突破し、隔離ネットワークへのアクセスおよびクロスセグメントでの持続的な潜伏を確立しました。

侵害されたインフラを経由したセグメント間のブリッジング

F5 Load Balancers

脅威アクターは、F5 Load Balancerに存在する重大な脆弱性（CVE-2022-1388）を悪用して侵害を行いました。この脆弱性は、iControlREST APIにおいて認証を必要としないコマンド実行を可能にするものであり、攻撃者はこれを利用してステージング用のWebシェルを「/usr/local/www/xui/common/css/css.php」に設置しました。

攻撃者は、設置したウェブシェルを利用して、‘/xui/common/css/’ ディレクトリに複数の追加ウェブシェルを展開しました。その中には、ロードバランサーに接続された複数のネットワーク間の橋渡しを可能にするトンネリング用ウェブシェルも含まれていました。

Webサーバー

攻撃者は、Javaベースで動作する社内のWebサーバーを利用して、オープンソースプロジェクト「Neo-reGeorg」をベースとしたトンネリング用ウェブシェルをホストしていました。http://github.com/L-codes/Neo-reGeorg.

これにより攻撃者は、ファイアウォールポリシーによって許可された暗号化かつ永続的なアプリケーション層のトンネルを通じて、内部ネットワークへの追加アクセスを獲得していました。

Medusa Rootkit を利用した Linux 踏み台ホスト

環境全体への長期的なアクセスを維持するため、攻撃者は、オープンソースの Medusa Rootkit の亜種を展開し、重要な Linux ピボットポイント上に秘匿性の高い永続化手法を確立しました。(https://github.com/ldpreload/Medusa/tree/main)

Medusa Rootkit はインタラクティブなシェルを提供し、SSH認証情報を ‘remote.txt’ というファイルに記録する機能を備えています。これにより、侵害されたデバイスへのバックドアアクセスと認証情報の収集という二重の目的が実現されます。

Trusted Endpoint を利用した通信トンネルの確立

攻撃者は ‘netsh portproxy’ コマンドを用いて、サーバーおよび管理者のワークステーション上でポートフォワーディングを有効化し、機密システムへの直接的な通信を制限する厳格なアクセス制御リスト（ACL）を回避しました。信頼されたエンドポイントを経由して通信を中継することで、ファイアウォールルールやネットワークセグメンテーションの制御を回避しつつ、ネットワーク制限下にある資産へ到達することに成功しました。

ネットワーク制御のバイパス

重要資産のインターネット公開

侵害された仮想化インフラストラクチャ内で、攻撃者は自身が制御する一部の仮想マシンに対して、公開ネットワークに露出したネットワークインターフェースを設定しました。この構成により、ネットワーク内への追加の侵入経路が確立され、ネットワークセキュリティ制御を回避して外部から直接攻撃対象システムへアクセス可能となりました。

IPv6通信を利用した IPtables 回避

攻撃者は IPv4 向けに設定されたフィルタリングルールを IPv6 を使って回避しました。これは、デュアルスタック環境において IPv6 トラフィックが監視やフィルタリングの対象外となっている一般的なギャップを悪用したものです。

Fire Ant は重要インフラ内にトンネルを埋め込み、信頼された管理者経路を悪用し、制御の隙間を突くことで、分断されたネットワーク間に複数の冗長な通信経路を構築しました。その結果、対応が行われている最中でも自由にネットワーク内を移動できる状況を作り出していました。

根絶耐性

攻撃者は、事前に構築していた冗長な内部ネットワークへのアクセス経路を活用することで、駆除対応をすり抜けながら積極的に行動を続けていました。防御側がシステムのクリーンアップやツール・永続化手法の除去を進める中で、攻撃者は再び資産を侵害し直していました。

再侵害後、攻撃者は展開していたツールセットを入れ替え、実行方法を変更し、バイナリ名を変更することで検知を回避していました。

さらに攻撃者は、インシデント対応そのものを調査し、ログを確認したり、フォレンジックツールを調べたりしており、一部のケースでは自らのペイロードをこれらのツールになりすました名称に変更していました。

こうした攻撃者の行動は、すべてのアクセス経路を一度に制御された形で排除する、全社的かつ連携された駆除活動の必要性を示しています。その後も、再侵入の試みを即座に検知するための、状況に応じた継続的なモニタリングが不可欠です。

UNC3886 との関係性とアトリビューションの重複

Sygnia は最終的なアトリビューション（関与の断定）を控えていますが、Fire Ant のキャンペーンに見られる複数の要素、特に VMware 仮想化インフラを標的とした独自のツールセットおよび攻撃手法は、脅威グループ UNC3886 に関するこれまでの調査結果と強く一致しています。

また、インシデント期間中に観測された攻撃者の活動時間帯や、コマンド実行時に見られた軽微な入力ミスなどは、中国語キーボードレイアウトと一致しており、過去の地域的な活動インジケーターとも整合性があります。

Fire Ant の検知と防御

Fire Ant の攻撃キャンペーンが浮き彫りにした戦略的リスク

信頼されたインフラに潜む盲点

Fire Ant は一貫して、ESXi ホスト、vCenter サーバー、F5 ロードバランサーといったインフラ系システムを標的としていました。これらのシステムは、一般的な検知・対応プログラムに組み込まれていないことが多く、検知・対応ソリューションが導入されていない、あるいは生成されるテレメトリが非常に限られているため、攻撃者にとっては長期的かつ秘匿性の高い拠点として理想的な資産となっています。

ネットワークセグメンテーションの回避

Fire Ant は、ネットワーク境界を自然にまたぐインフラコンポーネントを侵害することで、ラテラルムーブメント（横展開）を実現しました。信頼されたサービスを経由したトンネリングや、正規の経路を用いたネットワーク間のピボットを通じて、攻撃者は高度に制限された環境に到達し、従来のACL、ファイアウォールポリシー、セグメンテーション制御を回避しました。

こうしてセグメント化されたネットワーク間の境界を橋渡しすることで、Fire Ant は本来「安全」かつ「信頼済み」とされていたネットワーク内で自由に活動できる状態を作り出し、内部の信頼境界を事実上崩壊させていました。

業務継続性のレジリエンス

Fire Ant は、対応作業を最終的な終結と捉えず、一時的な中断と見なしていました。攻撃者は冗長化されたアクセス経路を使って環境に再侵入し、検知回避のためにバイナリを再改変し、防御側の活動を積極的に監視して戦術を調整していました。

複数のケースでは、クリーンアップ直後に再度資産を侵害し、フォレンジックのワークフローに溶け込むように名前を変更したツールを使用していたことも確認されています。これらは、連携し一斉に行う駆除作業と、それを補完する継続的な監視の必要性を強調する事例です。

監視と検出のアプローチ

Fire Ant のキャンペーンで明らかになった活動は、仮想化インフラの強化と監視の重要性を改めて浮き彫りにしています。従来のセキュリティコントロールは、ESXi や vCenter、関連コンポーネントを見落としがちであり、重要な可視性と対応のギャップを生んでいます。防御側はこれらのシステムを攻撃対象領域の一部として認識し、適切に監視・保護する必要があります。

ESXiホストにおける可視化の向上

ESXi のログ転送設定に関する詳細な手順については、Sygnia の「ESXi 防御戦略」に関するブログをご参照ください。同ブログでは、永続的なログ記録の有効化や、ログを中央の syslog サーバーへ転送する方法が詳しく解説されています。この設定は可視性確保に不可欠です。

Fire Ant 活動のモニタリング

1. ‘vmsyslogd’ プロセスの予期せぬ終了
   攻撃者によって ‘vmsyslogd’ プロセスが終了されると、該当 ESXi からの syslog 転送が完全に停止します。syslog の急な停止を監視することで、この異常を検知できます。
2. ‘vim-cmd’ または ‘esxcli’ コマンドの不正実行
   スナップショット作成（例：‘vim-cmd vmsvc/snapshot.create’）やホスト管理コマンドが、非標準ユーザーや許可されていない自動化ウィンドウ外で実行された場合にアラートを発生させます。
3. ESXi ホスト上での異常なプロセス実行
   ESXi は閉鎖的なアーキテクチャのためプロセスのベースラインが非常に安定しています。‘/tmp’、‘/scratch’ などの書き込み可能なパスに新規または予期しないバイナリ（例：tools、update、ksmd）の実行があれば疑わしいと判断し監視します。既知の正常ベースラインに存在しないプロセス名も警戒対象です。
4. ‘vmx -x’ による不正な仮想マシン起動
   ‘/bin/vmx’ バイナリを ‘-x’ オプション付きで直接実行する動きを監視します。これは vCenter 登録を回避し、インベントリや管理画面に仮想マシンが表示されない不正起動方法です。正規運用では稀なため、発見時は即調査が必要です。
5. 親プロセス ‘vmtoolsd.exe’ からのゲストコマンド実行
   ゲスト VM 内で ‘cmd.exe’ や ‘powershell.exe’ が親プロセス ‘vmtoolsd.exe’ から生成されるプロセス作成イベントを監視します。ホストからゲストへのコマンド注入を示唆し、通常の操作では稀です。エンコードコマンドや異常なスクリプト実行を伴う場合は特に警戒します。
6. アクティブな仮想マシンでの EDR エージェントの応答停止
   稼働中の仮想マシンにもかかわらず、EDR エージェントからの最新テレメトリがないケースを監視します。VM インベントリ、vCenter 状態、Active Directory ログと EDR チェックインを照合し、不整合があれば改ざんや可視性妨害の可能性があります。

ハードニングおよび防止策

VMware ESXi および vCenter インフラを利用したスパイ活動に対抗するため、防御側は積極的かつ多層的なセキュリティ対策を採用する必要があります。以下の戦略は、攻撃対象領域の縮小、不正アクセスの防止、そして仮想化資産の運用セキュリティ強化を目的としています。

1. セキュリティパッチの適用
   • ESXi および vCenter サーバーが最新のセキュリティパッチを適用した最新版ソフトウェアを実行していることを確認する。
2. 強力なパスワードの適用と定期的な変更の徹底
   • ユニークで安全なパスワードを使用する。
   • すべての ESXi の root アカウントおよび vCenter の管理者ユーザーに対して、使い回しのない複雑なパスワードを割り当てる。
   • 緊急用のブレイクグラスアカウントの認証情報は、日常的に露出しないようにパスワードボールトで安全に保管し、必要時にのみアクセスできるようにする。
   • 定期的なパスワード変更を実施する。
   • 特権ID管理（PIM）ソリューションを導入し、パスワードの定期的な自動ローテーションとアクセス監査を行う。
   • 自動化が難しい場合は、管理者アカウントおよびブレイクグラスアカウントの手動ローテーション手順を文書化し、最長180日を超えない間隔で変更を行う。
3. セグメンテーションおよび分離の徹底
   • 可能な限り、ESXi ホストへの直接アクセスを制限し、管理操作は vCenter を経由して行うことを徹底する。
   • ファイアウォールルールを適用し、vCenter へのアクセスを指定されたジャンプサーバー、PAM ソリューション、または管理用サブネットのみに制限する。
4. ESXiホストでロックダウンモードを有効化する
   • 通常のロックダウンモードを適用し、直接の SSH、HTTPS、DCUI へのアクセスを防止。管理操作はすべて vCenter 経由で行うことを必須とする。
   • 許可された例外ユーザー（例：バックアップツール用）を最小限に絞り、定期的に見直す。
5. ESXiホストでセキュアブートを有効化する
   • ESXiホストでセキュアブートを有効化し、署名されていない不正なVIB（VMwareインストールバンドル）のインストールを防止する。

VMwareインフラの高度な緩和策や包括的なハードニングについて詳しく知りたい方は、以下のSygniaブログ記事をご参照ください：

• ESXi Ransomware Attacks: Evolution, Impact, and Defense Strategy
• Breaking the Virtual Barrier: From Web-Shell to Ransomware

これらの多層的なハードニング戦略を実施することで、組織は仮想化インフラを狙った最新の攻撃手法に対する曝露を大幅に減らすことができます。これらの対策は、諜報活動を目的としたAPTや金銭目的のランサムウェア攻撃者の双方にとって、特に通信業界などリスクの高い分野において、侵害のコストと複雑性を大幅に引き上げる役割を果たします。

もし本攻撃の影響を受けた、または類似の攻撃を防ぐためのご相談をご希望の場合は、以下までご連絡ください。

メール：[email protected]
24時間ホットライン：+1-877-686-8680

執筆者: Sygnia IR 及び ES チーム

本アドバイザリおよび記載の情報・推奨事項は一般的な参考情報として提供しており、特定の状況や組織に対する専門的助言の代わりにはなりません。情報は信頼できるソースから取得し分析を行っていますが、初期調査に基づく内容のため、内容の正確性や完全性を保証するものではありません。

Sygnia は本アドバイザリの利用により生じたいかなる損害や不利益について責任を負いかねます。あらかじめご了承ください。