司法省、ロシア軍情報機関による米国標的攻撃に対抗

司法省、ロシア軍情報機関による米国標的攻撃に対抗

Kimberly Hayek 著、The Epoch Times より（強調は当社）

司法省とFBIは火曜日、ロシア軍情報機関の部隊に制圧された米国内の小規模オフィスおよびホームオフィスルーターのネットワークの一部を無力化するため、裁判所の承認を得た技術的作戦を実施したと発表した。
2026年3月11日、ワシントンDCの司法省。Madalina Kilroy/The Epoch Times

ロシア軍第26165部隊（APT28、Sofacy Group、Forest Blizzard、Pawn Storm、Fancy Bear、Sednitとしても知られる）は、ロシア軍参謀本部情報総局の一部であり、世界中で悪意のあるドメインネームシステム（DNS）ハイジャック作戦を実行するためにルーターを侵害していた。

彼らは米軍関係者、米国政府、そしてロシア政府が情報収集を期待していた重要インフラを標的とした。

ペンシルベニア州東部地区担当米国検事のデビッド・メトカーフは、機密データが奪われたと述べた。

「国家間の敵対者による継続的な侵略に直面し、米国政府は同様に積極的に対応するだろう」とメトカーフは述べた。「FBIおよび世界中のパートナーと協力し、我々は国家のサイバーセキュリティに対するこのような脅威を阻止し、暴露することに尽力している。」

FBIサイバー部門のブレット・レザーマン副部長は、米国および世界のルーターが侵害されており、FBIは米国民を標的とする国家支援型攻撃者にコストを課し、特定するために当局を引き続き使用すると述べた。

「この脅威の規模を考えると、警鐘を鳴らすだけでは不十分だった」とレザーマンは述べた。「FBIは、米国内の侵害されたルーターを強化するために、裁判所の承認を得た作戦を実施した。」

Operation Masquerade と名付けられたFBIの作戦は、日常的な消費者向けデバイスを悪用するロシアの国家支援型サイバー脅威を継続的に弱体化させるための最新の米国による行動である。

2024年以降、GRUの工作員は世界中のTP-Linkルーターの既知の脆弱性を攻撃し、管理者の認証情報を盗んでいた。その後、デバイスへの不正アクセスを取得し、設定を変更して、GRUが制御する悪意のあるリゾルバにDNSクエリをリダイレクトした。

工作員は、高価値のトラフィックを特定してから傍受するための自動フィルターを設置した。悪意のあるリゾルバは、Microsoft Outlook Web Access を含む正規のサービスに見える偽のDNSレコードを返した。

これにより、被害者が暗号化されたネットワークトラフィックだと思っていたものに対する中間者攻撃が可能になった。GRUは、侵害されたルーターのローカルネットワーク上のデバイスから、暗号化されていないパスワード、認証トークン、電子メール、その他の機密データを収集することができた。

この作戦には、Lumen の Black Lotus Labs、Microsoft Threat Intelligence、MIT Lincoln Laboratory による技術的貢献が含まれた。

「Operation Masquerade はFBIボストンによって主導された。これは、ロシアのGRUが23州以上にわたる米国の知らぬ間に所有するルーターを武器化して機密性の高い政府、軍事、重要インフラ情報を盗んだことから、我々の国土を守っている最新の例である」とFBIボストン支局の特別捜査官テディ・E・ドックスは述べた。

彼は、FBIが最先端技術を採用し、民間セクターおよび国際的なパートナーを活用して悪意のある活動と戦い、ルーターを修復したと指摘した。

ペンシルベニア州東部地区に提出された訴訟文書には、FBIが米国内の対象ルーターにのみ送信されるコマンドをどのように開発・テストしたかが詳述されている。

これらのコマンドは、GRUの計画の証拠を明らかにし、デバイスのDNS設定をインターネットサービスプロバイダーの正規のリゾルバにリセットし、元の不正アクセスポイントをシャットダウンした。TP-Linkルーターのファームウェアとハードウェアの設定は、この作戦が通常のルーター機能を中断したり、ユーザーの個人データを収集したりしないことを確認した。

正規の所有者は、ハードウェアボタンによる工場リセット、またはルーターのWebインターフェースを介した手動での設定復元によって設定を変更できる。

FBIはまた、インターネットサービスプロバイダーと協力して、影響を受けたユーザーに通知している。

小規模オフィスおよびホームオフィスルーターの所有者は、EOL（サポート終了）またはEOS（サービス終了）のデバイスを交換し、最新のファームウェアにアップグレードし、DNSリゾルバがインターネットサービスプロバイダーから提供されたものと同じであることを確認し、不要なリモート管理アクセスを防ぐためにファイアウォールルールを確認することが推奨される。

GRUの第26165部隊は、2025年5月にサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）および国際パートナーからの共同勧告の対象となった。この勧告は、同部隊がウクライナへの支援を提供する西側の物流およびテクノロジー企業を攻撃した方法を詳述していた。2022年に遡るこのキャンペーンは、米国、ドイツ、フランスを含む13カ国の組織に影響を与えた。

2025年4月、フランス当局は、2021年以降の一連のハッキングが同じGRU部隊によるものだと述べた。

「ロシア軍情報サービス（GRU）は、数年前からAPT28と呼ばれるサイバー攻撃のオペレーションモードをフランスに対して展開してきた。2021年以降、約10のフランスの組織を標的にしている」と、フランスの外務大臣ジャン＝ノエル・バロ氏はソーシャルメディアプラットフォームXに投稿した。

2024年2月の無力化作戦で、司法省は世界中の数百の小規模またはホームオフィスルーターをマルウェアで攻撃していたGRU管理下のボットネットを解体した。FBIは同じマルウェアを使用して盗まれたデータをコピーして削除し、同時にファイアウォールルールを変更してリモート管理アクセスを禁止した。

Tyler Durden
Wed, 04/08/2026 - 17:40