Ivanti CSAゼロデイ悪用、首謀者として最も疑わしきは中国アクター(CVE-2024-8190、CVE-2024-8963他)
SecurityWeek – October 14, 2024
先月から先週にかけて攻撃での悪用が報じられたIvanti Cloud Services Appliance(CSA)のゼロデイ脆弱性数件に関して、顧客環境への攻撃を調査したFortinetがレポートを公開。攻撃者は国家支援型のアクターだろうとの考えを明かした。
これらの攻撃においてメインで悪用されているのは、RCEの脆弱性であるCVE-2024-8190。ただし同脆弱性の悪用には権限を昇格させる必要があるため、この条件を満たすためにCVE-2024-8963、CVE-2024-9379、CVE-2024-9380などの脆弱性も併せて使われる。
Fortinetが観測した攻撃において、アクターはゼロデイ数件を使ってシステムを侵害した後、ラテラルムーブメントを実施しWebシェルを展開。情報収集やスキャン、ブルートフォース攻撃を行って、トラフィックのプロキシ処理のためにハッキングしたIvantiアプライアンスを悪用していたという。Fortinetはまた、この攻撃の注目すべき点として、アクターが上記のような脆弱性を悪用したのち、これらにパッチを適用していた点を挙げている。この目的はおそらく、ほかのハッカーたちによる悪用を防ぎ、自分たちの攻撃を邪魔されないようにするためだと思われるという。
Fortinetは、この攻撃の首謀者はいずれかの国家に支援されたアクターであろうとの考えを明かしたものの、具体的にグループを名指ししてはいない。ただ、以下のような理由から、中国と繋がりのあるグループの可能性が浮上しているとのこと。
- FortinetがIoCとして共有したIPのうち1件は、過去にUNC4841(中国との繋がりが指摘される脅威グループで、2023年後半のBarracudaのゼロデイ悪用で知られる)と関連付けられたものだった。
- Ivanti製品のゼロデイといえば、これまでにも中国の国家型ハッカーによる悪用が度々報告されている。
- 今回Fortinetによって観測された活動のうちいくつかは、中国の関与が指摘された過去のIvanti製品への攻撃でみられたものと類似していた。
ランサムウェアレポート無料配布中!
以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。
<レポートの主なトピック>
- 主なプレーヤーと被害組織
- データリークと被害者による身代金支払い
- ハクティビストからランサムウェアアクターへ
- 暗号化せずにデータを盗むアクターが増加
- 初期アクセス獲得に脆弱性を悪用する事例が増加
- 公に報告された情報、および被害者による情報開示のタイムライン
- ランサムウェアのリークサイト – ダークウェブ上での犯行声明
- 被害者による情報開示で使われる表現
- ランサムウェアに対する法的措置が世界中で増加
- サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
- 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠