Microsoft SharePointのRCE脆弱性、企業ネットワークの侵害目的で悪用される：CVE-2024-38094

Microsoft SharePointのRCE脆弱性、企業ネットワークの侵害目的で悪用される：CVE-2024-38094

BleepingComputer – November 2, 2024

今年7月の月例セキュリティ更新プログラムで修正されたMicrosoft SharePointのRCE脆弱性CVE-2024-38094は、企業ネットワークへの初期アクセス獲得目的で悪用されているとRapid7の研究者が報告。この脆弱性は先月22日にCISAのKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加されたことで、攻撃者により悪用されていることが判明していたが、攻撃の詳細などは明かされていなかった。

Rapid7が観測した攻撃では、攻撃者はまず一般公開されていたPoCエクスプロイトを使ってCVE-2024-38094を悪用し、SharePointサーバーへの不正アクセスを達成。その後、Microsoft Exchangeサービスのアカウントを侵害し、このアカウントに付与されていたドメイン管理者権限を取得したという。次に、アンチウイルスソフトのHoroungをインストールして既存のセキュリティソリューションとの対立を生み出すことにより、検出されることなくラテラルムーブメント目的でImpacketをインストールすることに成功したとされる。

次のステップで攻撃者は、さまざまなツールを使用。これには、クレデンシャルハーベスティング用のMimikatz、リモートアクセス用のFRP、ネットワークスキャン用のeverything.exe、Certify.exe、kerbruteなどが含まれる。また、アクセスを持続させるためのスケジュールタスクのセットアップや、検出回避目的でのWindows Defenderの無効化などのアクションが実施されたという。

上記に加え、攻撃者はバックアップデータの侵害も試みたが、これは失敗に終わったとされる。バックアップを標的にするのはランサムウェア攻撃でよくみられる手口ではあるものの、Rapid7の研究者らはデータ暗号化を観測しなかったことから、今回の攻撃のタイプは不明のままとのこと。

ランサムウェアレポート＆インテリジェンス要件定義ガイド、無料配布中！

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価