GreyNoise が新機能を公開：C2 検知による侵害済みエッジデバイスの検出

GreyNoise Launches C2 Detection for Exploited Edge Devices

2026/04/08 gbhackers — GreyNoise が発表した新機能 “C2 Detection”は、ファイアウォール／ルータ／VPN システムなどのエッジ・デバイス資産を対象とし、従来のセキュリティ・ツールでは可視化が困難な侵害済みデバイスを特定するものだ。これらのエッジ・デバイス資産が、攻撃の標的となる機会が増加しているが、その一方では可視性が低いという課題がある。エンドポイントとは異なり、これらのデバイスの大半は侵害されてもアラートを生成しない。EDR エージェントは存在せず、ログも最小限であり、侵害を示す明確な兆候もほぼ確認できない。

侵害後の攻撃者たちは、デバイスが制御するインフラ (C2 サーバ) へと密かに接続し、悪意のペイロードやマルウェアをダウンロードし、追加指示を待機する。それにより攻撃者は、防御側からは正常に見える状態を保持しながらアクセスを維持する。

現時点のエッジ・デバイスは、インターネット上で最も活発に悪用されている対象の一つであり、セキュリティ・チームは効果的な監視に苦慮している。この課題に対して GreyNoise の C2 Detection は、アウトバウンド・トラフィックに着目することで対処する。この種の通信が、侵害の唯一の兆候となる場合が多い。

ペイロード起点のインテリジェンス

この機能は、GreyNoise のグローバル・センサー・ネットワークで観測された、エクスプロイト・ペイロードを分析することで動作する。実環境における攻撃成功に反応するのではなく、ペイロード内に埋め込まれたコールバック先を直接抽出する。

その後に、接続先でホストされているマルウェアを収集／分析し、初期ペイロード配布から Command-and-Control (C2) サーバに至るまでの攻撃インフラをマッピングする。

このアプローチは、ペイロード起点のインテリジェンスと呼ばれ、悪意のコールバック IP と関連マルウェア・ハッシュを介して継続的に更新されるデータセットを構築する。

アウトバウンド・トラフィックの活用

セキュリティ・チームは、このインテリジェンスを自組織のアウトバウンド通信ログと照合することで、侵害されたデバイスを検知できる。

たとえば、組織内のファイアウォールが、既知の悪意のコールバック IP へ接続した場合には、それは侵害の強い指標となる。GreyNoise は攻撃フェーズに関するコンテキスト情報も提供し、分析および対応を支援する。

このプラットフォームは API を通じて SIEM／SOAR と連携し、自動化されたワークフローを実現する。ファイル・ダウンロード・サーバとの一致により調査トリガーが発動され、C2 インフラとの一致により即時の封じ込め対応が促される。

さらに、攻撃者のインフラは長期間にわたり存続する傾向があるため、過去のログを分析することで侵害が開始された時期の特定も可能になる。

GreyNoise は、コールバック IP を以下の 3 段階に分類している。

  • Unconfirmed：ペイロードが観測されたがマルウェア配布は未確認
  • Stage 1 (File Downloaded)：マルウェア配布が確認済み
  • Stage 2 (C2 Suspected)：C2 活動の強い証拠が存在

この分類により、攻撃キル・チェーン上の段階に基づいた、優先順位付けが可能となる。

インバウンド監視からの拡張

従来、GreyNoise はインバウンド・スキャン活動を中心に分析していたが、この機能により侵害後の段階の可視化へと分析の範囲を拡張している。

新機能には以下が含まれる。

  • コールバック IP データセット
  • VirusTotal との相関分析を含むマルウェア・ファイル／ハッシュ・インテリジェンス
  • コールバック・インフラ識別のための新クエリ・パラメータ

また、この新たな機能により、対象デバイスがボットネット活動の一環としてスキャンを実行している場合の検知が補完される。アウトバウンド通信の検知を通じて、侵害に対する別の視点からの確認が可能となり、限られたログや間接的な指標への依存を低減できる。

アウトバウンド・トラフィックを信頼性の高い検知シグナルとして活用することで、重要なネットワーク・デバイスに対する侵害の有無が確認されるため、従来は把握が困難であった課題に対して、より明確な判断が可能となる。

訳者後書：GreyNoise の新機能を紹介する記事です。この問題の核心は、エッジ・デバイス特有の見えにくさにあります。ファイアウォールなどの境界デバイスには、EDR などの監視ツールの導入が不可能であり、生成されるログも非常に少ないため、一度侵入を許すと発見が極めて困難です。この盲点を突く攻撃者は、内部から外側へ通信を行うことで密かに制御を確立します。このアウトバウンド通信という、わずかな侵害の痕跡を正確に捉えることが、被害を最小限に抑える鍵となります。よろしければ、GreyNoise での検索結果も、ご参照ください。