Windowsへのダウングレード攻撃可能にするゼロデイにPoCエクスプロイトが登場：CVE-2024-38202、CVE-2024-21302

8月21日：サイバーセキュリティ関連ニュース

Windowsへのダウングレード攻撃可能にするゼロデイにPoCエクスプロイトが登場：CVE-2024-38202、CVE-2024-21302

Securityonline[.]info – August 19, 2024

Windowsシステムへのダウングレード攻撃を可能にするゼロデイ脆弱性CVE-2024-38202およびCVE-2024-21302のPoCエクスプロイトコードを、SafeBreachが公開。両脆弱性は、最近開催されたBlack Hat 2024で同社の研究者により報告され、大きな話題を呼んでいた。

CVE-2024-38202はWindows Update スタックにおける特権昇格の脆弱性で、CVE-2024-21302はWindowsセキュアカーネルモードにおける特権昇格の脆弱性。両者を使ったダウングレード攻撃により、完全にアップデートされた状態のWindows 10、Windows 11、Windows Serverシステムの「パッチを解除」して、修正されていたはずの古い脆弱性を再び呼び戻すことが可能になるとされる。今回SafeBreachの研究者らは、これらの脆弱性を悪用してWindows Updateプロセスを乗っ取り、カスタムダウングレード攻撃を作成できるツール「Windows Downdate」をリリースし、GitHub上で公開。また、詳細な解説を記したブログ記事もすでに公開されている。

マイクロソフトは、現時点までにこれらのゼロデイを実際の攻撃で悪用しようとする試みは報告されていないと述べているが、PoCコードと技術的詳細がリリースされたことで、攻撃者が悪用を試行し始めるリスクは高まっている。利用者には、マイクロソフトが提供している緩和策を速やかに実施することが推奨される。

新マルウェアMsupedge投下する攻撃で、PHPのRCE脆弱性が悪用されていた可能性：CVE-2024-4577

BleepingComputer – August 20, 2024 

新たに発見されたバックドアマルウェア「Msupedge」が、台湾の大学のWindowsシステムに展開されていたとの報道。この攻撃では、今年6月に修正されたPHPのRCE脆弱性CVE-2024-4577が悪用された可能性が高いという。攻撃者が何者なのかはわかっていない。

被害大学への攻撃に使われたバックドアMsupedgeの特筆すべき性能は、C2サーバーとの通信にDNSトラフィックを使用する点。DNSトンネリングを利用することで、DNSクエリおよび応答の中にエンコードされたデータを埋め込み、C2サーバーからコマンドを受け取るという。この手法は、多くの脅威グループに採用されるものではあるが、実際の攻撃で観測されるケースはあまり多くないとされる。同バックドアは、プロセスの作成、ファイルのダウンロード、一時ファイルの管理など複数のコマンドをサポートしている。

このインシデントについて報告したシマンテックは、攻撃者は同大学のシステムを侵害するにあたってPHPの脆弱性CVE-2024-4577を悪用していた可能性が高いと考えている。CVE-2024-4577は重大なCGI引数インジェクションの脆弱性で、特定条件下で悪用された場合は認証されていない攻撃者によるリモートコード実行をも可能にし得るもので、Windows OSにインストールされたPHPに影響を与える。シマンテックによれば、ここ数週間の間に、複数の脅威アクターが脆弱なシステムを探すためのスキャン行為を行なっていたという。なお、先月には日本国内の複数組織においてもこの脆弱性が悪用され、システムにWebシェルが設置されていたとの報告が上がっていた。

【無料配布中！】ランサムウェアレポート＆インテリジェンス要件定義ガイド

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価