GreyNoiseは、ネットワークの端に置かれたエッジ機器を侵害し、通信の中継に使う住宅用プロキシへ組み込む攻撃を報告しました。同社によると、34カ国の少なくとも143台が侵害されており、機器の管理だけでなく、住宅用IPからの認証ログの見方も点検対象になります。資料では発表日を確認できません。
NASや録画装置を侵害し、通信帯域を収益化
攻撃者は被害機器にPawns.appを導入していました。GreyNoiseは、他人の機器の通信帯域を使って収益を得る「プロキシジャッキング」と説明しています。
同社が悪用を確認した対象は、D-Link ShareCenter NASのCVE-2024-3272とCVE-2024-3273、Ubiquiti UniFi Video NVRのCVE-2021-44228、SAP NetWeaver Visual ComposerのCVE-2025-31324です。NASはネットワーク経由で利用する保存装置、NVRはネットワーク映像の録画装置です。HikvisionやDahuaのDVR/NVRも狙われたとみられています。
一部の機器には、再アクセス用にSSH鍵認証も設定されていました。これは鍵を使って遠隔接続するための認証方式です。点検では、導入されたアプリだけでなく、意図しない接続手段が残っていないかも確認対象になります。
なお、GreyNoiseは、侵害の痕跡を示す情報(IOC)としてハッシュ値を掲載したPawns.appのバイナリについて、無断で導入されたものでなければ必ずしもマルウェアではないと注意しています。ファイルの存在だけで不正と断定せず、導入の承認や利用目的も確認する必要があります。
所在地が合う住宅用IPでも、認証の安全性は判断できない
GreyNoiseは別の侵入事案も紹介しました。製品デモ先のEntra IDログを調べたところ、認証元は住宅用IPで、利用者の所在地とも整合していました。しかし、複数の利用者が同じ住宅用IPから認証していたことが調査の転機となり、その組織の追加調査で深刻な侵入が確認されました。
同社は、住宅用プロキシが、位置情報に基づく不審ログイン検知を回避し得ると指摘しています。同一の住宅用プロキシIPから複数の企業利用者が認証している状況の精査に加え、端末識別子、セッション識別子、User-Agentの不一致の検知を推奨しています。User-Agentは、ブラウザーなどの利用環境を示す情報です。
同社は、自社観測網との通信履歴をIP単位で確認する無料サービスも案内しています。利用にはGreyNoiseアカウントの作成またはサインインが必要です。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 悪用が確認されたD-Link ShareCenter NAS、Ubiquiti UniFi Video NVR、SAP NetWeaver Visual Composerを使う会社です。対象の脆弱性との照合が必要ですが、該当製品の利用だけで侵害が確定するわけではありません。
- 影響する: HikvisionやDahuaのDVR/NVRを使う会社は、攻撃対象とみられる機器として棚卸しの対象になります。また、Entra IDなどの認証ログを確認する担当者には、住宅用IPをどう評価するかという点で関係します。
- 影響しない: 影響がないと断定できる製品・版・地域の条件は、発表には書かれていません。列挙された機器を使っていないことだけで、住宅用プロキシ経由の不正認証まで対象外にはできません。
情シスが今日やること
以下は報告を踏まえた確認手順です。対応期限は発表には書かれていません。
- 今日の初動として、IT資産台帳でNAS、録画装置、SAP NetWeaver Visual Composerの有無と管理担当者を確認します。該当する担当者には、製品名と報告された脆弱性番号を渡し、利用環境との照合を依頼します。
- 対象機器の管理画面や設定記録で、導入アプリとSSH鍵認証の設定を確認します。Pawns.appや見覚えのない鍵があれば、導入・登録した担当者と承認記録を照合し、説明がつかないものはインシデント対応担当へ共有します。
- Entra IDを使う会社は、その認証ログで同じ住宅用IPから複数利用者が認証していないか確認します。記録がある範囲で端末識別子、セッション識別子、User-Agentも突き合わせ、所在地が一致するという理由だけで調査を終えない手順にします。
- 利用者への案内に、無料アプリ導入のリスクと個人端末へのパッチ適用を盛り込みます。機器の管理担当と認証ログの担当が異なる場合は、それぞれの確認結果を同じ窓口に集め、未確認の機器やログを残さないよう担当を決めます。
