FortiOSの新しいバグが政府ネットワークへの攻撃でゼロデイとして利用される（CVE-2022-41328）

山口 Tacos

2023.03.14

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年3月14日のサイバーアラートの中から、注目のニュースをピックアップしました（その他のニュースはページ後半に記載）。

Fortinet：FortiOSの新しいバグが政府機関ネットワークへの攻撃でゼロデイとして利用される

Bleeping Computer – Mar 13 2023 22:38

今月パッチがリリースされたFortiOSの新たな脆弱性CVE-2022-41328を、正体不明の攻撃者がゼロデイとして悪用していたとFortinetが報告。この悪用は、政府や大規模組織を狙った攻撃の中で実施されていたという。

CVE-2022-41328は深刻度の高い脆弱性で、脅威アクターによる許可されていないコードやコマンドの実行を可能にするもの。この脆弱性に対処するセキュリティアップデートは3月7日にリリースされていた。

Fortinetは先週公開したレポートの中で、同社のある顧客に属するFortiGateデバイス数台をハッキングおよびテイクダウンする目的で、CVE-2022-41328のエクスプロイトが使われていたことを明かした。この攻撃ではFortiManagerデバイス経由でこれらのFortigateファイヤウォールが侵害されたと同時に、FortiGateのパストラバーサルのエクスプロイトが実行されたという。攻撃で使われたマルウェアは、データ窃取、ファイルのダウンロード・書き込みを可能にするほか、特定のICMPパケットの受信時にリモートシェルを開けるようにするものだった。

Fortinetは、この攻撃が極度に的を絞ったものだったと結論付け、攻撃者が政府関連のネットワークを好んで狙っていることを示す証拠がいくつかあると述べた。同社によると、攻撃者は、FortiGateデバイスのOSのいくつかの箇所をリバースエンジニアリングするなど、「高度な能力」を示したという。

Fortinetの顧客には、FortiOSを直ちにパッチ済みバージョンへアップグレードし、今後起こり得る攻撃の試みを阻止することが推奨されている。

Fortinetのレポートはこちら

Zoll Medicalのデータ侵害、100万人に影響

SecurityWeek – Mar 13 2023 11:16

救命救急医療（クリティカルケア）機器・ソフトウェアメーカーのZoll Medical（ゾール・メディカル）が、約100万人の人々に対し、最近のデータ侵害で個人情報が漏洩した恐れがある旨を通知している。

同社は1月末に内部ネットワーク上で異常な動きを発見し、データ侵害を特定したという。ただ、同社がどんな種類のサイバー攻撃に遭ったのかや、ランサムウェアが展開されたのかについては不明。

Zollのデータ侵害通知には、2023年2月2日前後に個人情報が影響を受けた可能性がある旨や、調査が進行中である旨が記載された。また同社によれば、漏洩した可能性のある情報には名前、住所、生年月日、社会保障番号が含まれるという。

Zollによると、漏洩した恐れのある情報が不正利用された形跡はないとのこと。

CatBランサムウェア | MSDTCサービスを介したDLLハイジャッキングによってデータを窃取するため、ファイルロッカーが爪を研ぐ

SentinelOne – Mar 13 2023 13:52

SentinelOneは、ランサムウェア「CatB」の技術的分析と、同ランサムウェアによるMSDTCサービスの悪用について記載したブログ記事を投稿。

ランサムウェアファミリーCatB（CatB99やBaxtoyとも呼ばれる）は2022年後半に初めて観測され、11月以降、絶え間なくキャンペーンが観測されている。同ランサムウェアは、ランサムウェアペイロードの抽出・実行のためにMicrosoft Distributed Transaction Coordinator（MSDTC）を用いたDLLハイジャッキングを行っていることから、注目を集めている。

CatBのペイロードは2つのDLLセットとして配布される。1つはドロッパーDLLで、もう一つはランサムウェアペイロードを含むDLL。DLLサーチオーダーハイジャッキングを利用してドロッパーDLLがペイロードDLLをSystem32に投下すると、次にMSDTCサービスが悪用され、パーミッションと起動パラメータが操作される。これにより標的システムは、MSDTCが再起動された際に悪意あるペイロードDLLがMSDTCの実行可能ファイル内に注入されるという。

このほか、SentinelOneの記事では、CatBの回避戦術や暗号化の挙動の詳細と、認証情報やブラウザデータを盗もうとする試みについても説明されている。

2023年3月14日

ハイライト

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。