CubePilot、攻撃者がDNSとTLSをハイジャックした後にドローンサービスをオフラインにした

Why it matters

CubePilot's breach reached the trust layer around drone hardware: valid certificates, customer credentials and firmware distribution. Its checksum review will determine whether the incident remained an account compromise or touched aircraft software.

CubePilot、CEO Philip Rowse が率いる同社は、攻撃者がドメイン名設定を掌握し、すべての cubepilot.org サブドメインに対して有効なセキュリティ証明書を取得した後、ファームウェア、ドキュメント、コミュニティフォーラム、および OEM サービスをオフラインにしました。

攻撃者は 7月24日 の一部時間に CubePilot の DNS を制御し、それを利用して内部業務システム向けのトラフィックを傍受したと、CubePilotのセキュリティ通知 は述べています。その日にポータル、フォーラム、またはその他の影響を受けたサービスに入力された資格情報は取得されている可能性があります。BleepingComputerは報じたところによれば、これらの証明書は攻撃者が制御するサービスに有効な HTTPS 接続を表示させることを可能にしたはずです。

CubePilot は 7月24日 にドメインの制御を取り戻し、ネームサーバを復旧させた後、不正に発行された証明書を失効させました。7月29日 時点で、CubePilot の通知は依然としてインシデントを「進行中」と示していました。リセラーおよび OEM の注文、見積、サポートはドキュメントポータルやコミュニティフォーラムとともにオフラインのままでした。ファームウェアの検査はまだ進行中です。cubepilot.com のメールは稼働していました。

このインシデントはドローンのコンポーネントスタックの敏感な部分に波及します。CubePilot はフライトコントローラ、ナビゲーションハードウェア、および無人航空機の構成と運用に使用される関連システムを供給しています。これらの製品は測量や農業を含む商用用途に加え、政府や防衛の展開にも使われています。ファームウェアや技術文書を配布するチャネルが侵害されると、従来の企業サイトの侵害とは異なる種類のリスクが生じます。

A trusted connection to the wrong server

DNS は cubepilot.org のようなドメインをユーザーのコンピュータが接続するネットワークアドレスに変換します。これらのレコードを制御することで、攻撃者は CubePilot へのトラフィックを CubePilot の管理外のインフラに向けることができました。有効な TLS 証明書は、そうでなければユーザーに警告を発したかもしれない表示を取り除きました：ブラウザは通常の暗号化接続を示しつつ情報を攻撃者のサーバに送信できたのです。

CubePilot は 7月24日 に資格情報を入力した全ての人に、使い回しているパスワードを変更するよう伝えています。また、顧客にはパスワード、認証コード、支払い情報の要求を悪意あるものとして扱い、銀行口座情報や支払い要求の変更は普段の CubePilot の担当者に電話で確認するよう警告しました。

これらの指示は二つの差し迫ったリスクを指し示しています。第一は認証情報の再利用で、これにより一つ捕捉されたパスワードが無関係の企業システムへのアクセスに転用される可能性があります。第二は、CubePilot の業務インフラを通じて見積、サポートメッセージ、支払い指示を受け取ることに慣れているリセラーやドローン製造業者に対する請求書詐欺です。

CubePilot は証拠を保存し、関連するサービスプロバイダに通知し、インシデントを Australian Cyber Security Centre に報告し、法執行機関に付託したと述べています。CubePilot は、未承認アクセス期間中にどのデータに到達可能だったかを精査しています。

Firmware verification sets the stakes

最も重大な確認は、7月24日 と 7月25日 にダウンロードされたファームウェアイメージに関するものです。CubePilot は公開されたすべてのイメージのチェックサムを検証する間、これらのファイルをフラッシュしないようユーザーに指示しました。CubePilot は 7月24日 より前に入手されたイメージは影響を受けていないと見なしています。

この警告はファームウェアが改ざんされたことを示すものではありません。むしろ CubePilot が、影響を受けた配布経路をユーザーが意図したファイルを受け取ったという証拠としてまだ信頼できないことを示しています。チェックサムの検証により、ダウンロード可能なイメージが既知のビルドと一致するかどうかが判定されるはずです。

その区別はオートパイロットハードウェアにとって重要です。ファームウェアはセンサー、ナビゲーション、通信、飛行挙動を制御し得ます。ビジネスポータルが改ざんされればアカウントや請求書が露出する可能性がありますが、ファームウェアイメージが侵害されれば情報システムから航空機へと影響が及ぶ可能性があります。CubePilot の現在の証拠はトラフィックの傍受と資格情報窃取の可能性を確立しています。ファームウェアのレビューは、確認されたインシデントとソフトウェア供給網の妥協の可能性とを分ける制御です。

Rowse は現在検証中のハードウェアを中心にキャリアを築いてきました。ArduPilotの商用サポートディレクトリ は、彼が Pixhawk 2.1 を含む長年のオートパイロット設計業績を持つと評価しており、Pixhawk 2.1 は CubePilot CubeBlack として販売され、3DR Solo に使用されました。Pixhawkプロジェクト は CubePilot を Pixhawk 2 の設計の現行メーカーとして挙げています。

CubePilot はまた、ドローン構築者が使用するオープンソースソフトウェアと深いつながりを持っています。Rowse は 2024年の CubePilot フォーラム投稿 の中で、共同取締役の Michael Oborne が CubePilot Global の一員であると述べました。Oborne は ArduPilot 機体の設定・運用に使われるオープンソースの地上局アプリケーションである Mission Planner を作成しました。Mission Planner リポジトリ には何千ものコミットが含まれ、複数のファームウェア、更新、およびサポートサービスへの依存関係が文書化されています。

その経歴は、相互運用可能なハードウェアとオープンソースソフトウェアから航空機を組み立てるエンジニアの間で CubePilot に信頼を与えています。同時に、それはドキュメント、ダウンロード、フォーラム、サポートシステムといった機体外のサービスへ信頼を集中させます。組み立て者はボードを構成し、故障を解決し、どのソフトウェアをインストールするかを決定するためにこれらのサービスを必要とします。

Drone supply-chain scrutiny moves up the stack

CubePilot は政府および防衛の買い手向けに製造と所有構造を整えるために何年も費やしてきました。Rowse は 2024年 に、CubePilot Global がオペレーションをオーストラリアと台湾に移し、ほとんどの製品が台湾または米国で製造されていると書きました。CubePilot Global は Australian Business Register によれば 2023年7月 から登記されている活動的なオーストラリアの私企業です。

ハードウェアの由来はその調達論の一部分に過ぎません。7月24日 のインシデントは、ドメインの制御、証明書発行、ファームウェアホスティング、顧客ポータルの管理が同様に重要になり得ることを示しています。信頼された回路基板であっても、侵害された配布チャネルを通じてソフトウェアや指示を受け取る可能性があります。

CubePilot の対応は、ネームサーバの復旧、証明書の失効、サービスの停止により即時の露出を軽減しました。運用コストは明白です：検証が続く間、顧客は通常の注文、ドキュメント、サポートチャネルを利用できません。ドローン製造業者、リセラー、政府関連プログラムにサービスを提供する専門サプライヤーにとって、これらのチャネルは製品の一部です。これらのセキュリティが、工場を出た後に顧客がハードウェアを信頼できるかどうかを決定します。