米国と同盟国、ロシアによる重要インフラへの攻撃を警告

米国およびその他8カ国のサイバーセキュリティ機関は、ロシアの国家系ハッカーが、脆弱性があり設定が不十分なルーターを標的にして、重要インフラのネットワークに侵入しようとしているとして、共同警告を発した。

NSA、FBI、CISAに加え、オーストラリア、英国、カナダ、ニュージーランド、エストニア、フィンランド、フランス、イタリアの15の機関が共同で作成したこの勧告では、これらの攻撃の犯人をロシア連邦保安庁（FSB）第16センターのハッカーらであると特定している。

このハッカーグループ（「Berserk Bear」、「Energetic Bear」、 Crouching Yeti、Dragonfly、Ghost Blizzard、Static Tundra）は、インターネットに接続されたIPアドレス範囲をスキャンして、デフォルトまたは一般的なSNMP認証文字列を受け入れるルーターを探し出し、偽装したIPアドレスを使用してコマンドを発行し、デバイスの設定ファイルをコピーして、Trivial File Transfer Protocolを介して攻撃者が制御するサーバーへ持ち出している。

2025年8月、FBIはまた、同グループが2021年11月以来、Cisco IOSおよびCisco IOS XEソフトウェアの「Smart Install」機能に存在する重大な脆弱性（CVE-2018-0171として追跡されている）を利用して、重要インフラを標的にしているとの警告を発した。

これらの攻撃によるリスクが最も高い分野には、エネルギー、通信、防衛産業基盤、医療、金融サービス、防衛、および州・地方自治体の行政サービスが含まれる。

「Centre 16 [..] は、インターネット上で、デフォルトまたは脆弱なSNMP（Simple Network Management Protocol）パスワードやコミュニティ文字列を依然として使用しているデバイスをスキャンし、脆弱なルーターを探し回っているのが確認されている」と、英国国家サイバーセキュリティセンター（NCSC）は月曜日に警告した。

「この攻撃主体は、主にSNMPスキャンを使用して脆弱なルーターを特定・侵害しているが、シスコ製デバイスに関連する既知の脆弱性、シスコのSmart Install（SMI）機能、およびWebポータルの欠陥も悪用し、ネットワークデバイスの制御権を掌握している。」

同センターはまた、ネットワーク管理者らがこれらの攻撃に対してネットワークのセキュリティを強化できるよう、対策も提示した。具体的には、SNMPv3へのアップグレード、シスコのSmart Installの無効化、強力で一意なパスワードの強制適用、エッジファイアウォールでのTFTPおよびSNMPトラフィックのブロック、ソフトウェアおよびファームウェアの更新、サポート終了デバイスの交換などを強く推奨している。

​この勧告は、APT28に帰属するとされる別のキャンペーン「FrostArmada」を阻止した国際的な法執行機関による作戦を受けて発出されたものである （GRU第26165部隊と関連があり、「Fancy Bear」や「Forest Blizzard」としても追跡されているロシア軍情報機関）に帰属するとされる別のキャンペーン「FrostArmada」を阻止した国際的な法執行機関による作戦を受けて発行されたものである。同キャンペーンは、2025年12月までに120カ国にわたる18,000台のルーターに感染させていた。

ハッカーらは、侵害されたMikroTikおよびTP-Link製の小規模オフィス／ホームオフィス（SOHO）向けルーターのDNS設定を改ざんし、認証トラフィックを攻撃者が制御するサーバーへリダイレクトすることで、Microsoft 365のログイン情報やOAuthトークンを窃取していた。

裁判所が承認した作戦の一環として、米国司法省、ポーランド政府、および複数のサイバーセキュリティ企業の支援を受け、FBIは悪意のあるDNS設定を遠隔で削除して侵害されたルーターを保護し、正当なDNSリゾルバーへの接続を強制した。