Volt Typhoonの「サイレントトレイン」。侵害機器を使い捨てのリレーにして、ゼロデイ攻撃の足跡を消す
はじめに
中国政府の支援を受けるとされるハッキンググループVolt Typhoonが、「サイレントトレイン（Silent Train）」というコードネームのフレームワークを使って、高価値システムへのゼロデイ攻撃を行っているという調査結果が報告されました。
今回の元情報は、報告内容を要約したテキストのみです。調査を行った組織名、具体的な被害件数、技術的な詳細（使われた脆弱性や機器の種類など）は含まれていません。そのため、この記事では示されている範囲の内容だけを整理します。
サイレントトレインとは
攻撃元を隠すためのリレーインフラです。侵害したデバイスを何台もつなぎ、攻撃の通信をそこ経由で送ることで、本当の発信元をたどりにくくします。
特徴は次のとおりです。
侵害されたSOHO機器（小規模オフィス・家庭用ルーターなど）、IoT機器、企業向け機器が、急速に入れ替わる「チェーン」を構成する
必要に応じて（オンデマンドで）チェーンを組み、特定の標的に対して使う
各操作のあとにクリーンアップして、検知や攻撃者の特定を最小限に抑える
継続的に更新される
「サイレントトレイン」という名前は、こうして静かに走って痕跡を残さない性質から付けられたとされています。
何が狙われているのか
報告は、このフレームワークがゼロデイ攻撃を容易にしていると述べています。修正パッチがまだ存在しない脆弱性を突くときに、使い捨てのリレーがあると、攻撃手法が見つかっても発信元に結びつけにくくなります。
標的の性質については、次のように評価されています。
戦略的な通信、重要インフラ、そのほかのエコシステムで、地政学的な緊張や危機のときに不可欠になるもの
防衛、物流、通信、軍事・民間の作戦を支える重要なエコシステム
特にインド太平洋地域で緊張や危機が高まっているときに、そこへのアクセスを維持する意図的な取り組みの証拠だとされている
つまり、今すぐ被害を出すためというより、危機が起きたときに使えるよう、あらかじめ入り込んで待機しておく（アクセスの事前配置）活動だと見ているわけです。
防御側にとっての難しさ
ここからは、報告の内容を踏まえた私見です。
攻撃の通信が、国内の一般的なルーターや企業機器を経由して来るため、海外からの不審な通信としてブロックするという発想が効きにくい
リレー機器が頻繁に入れ替わるので、IPアドレスの遮断リストを作っても、追いつきにくい
使い捨ての機器の持ち主（家庭や小規模事業者）は、自分の機器が攻撃に使われていることに気づきにくい
クリーンアップされると、事後の調査で証拠が残りにくい
自分でできる対策
記事に書かれた対策ではなく、一般的な備えです。
ルーターやIoT機器のファームウェアを最新にする。サポートが終了した機器は交換する
初期パスワードを変更し、管理画面をインターネットに公開しない
使っていない遠隔管理機能を無効にする
組織なら、エッジ機器（VPN、ファイアウォール、ルーター）のログを外部に保存し、普段と違う通信先や接続元を見られるようにする
重要インフラや通信、物流に関わる組織は、こうしたリレー経由の侵入を前提に、侵入後の横移動を検知する仕組みを整える
所感
印象に残った点は3つあります。
1つ目は、守る側の範囲が広がることです。攻撃に使われるのは、標的そのものではなく、無関係な家庭や小規模事業者の機器です。自分が狙われていなくても、機器が踏み台にされれば、間接的に攻撃に加担してしまいます。
2つ目は、「すぐ使わない侵入」という性格です。危機のときに備えて事前に入り込んでおくという見方は、被害が出ていなくても、侵入そのものが問題になることを意味します。検知や点検は、被害の有無にかかわらず必要になります。
3つ目は、帰属（誰がやったか）の判断の扱いです。攻撃元の特定は、技術的な痕跡と推定にもとづくもので、公開された報告では、研究者や政府機関の「評価」として示されるのが通例です。サイレントトレインのように、意図的に痕跡を消す仕組みがある場合、なおさら断定は難しくなります。報告の評価と、確認された事実は、分けて読みたいところです。
なお、元の情報が要約のみのため、報告の発表元や、どの程度の証拠にもとづく評価なのかは確認できていません。詳しく知りたい場合は、原典の調査レポートを確認するのが確実です。
参考: Volt Typhoon「サイレントトレイン」に関する調査報告の要約
