11月の月例パッチで修正されたWindowsのゼロデイ、ウクライナへの攻撃で悪用される：CVE-2024-43451

11月の月例パッチで修正されたWindowsのゼロデイ、ウクライナへの攻撃で悪用される：CVE-2024-43451

BleepingComputer – November 13, 2024 

2024年11月の月例セキュリティ更新プログラムでマイクロソフトが修正したWindowsのゼロデイ脆弱性CVE-2024-43451は、ウクライナのターゲットを狙う進行中の攻撃でおそらくロシアのアクターによって悪用されているという。今年6月にこのキャンペーンを観測したClearSkyが報告した。

CVE-2024-43451は、サポート対象のWindowsの全バージョンに影響を与えるNTLMハッシュ開示スプーフィングの脆弱性。これを悪用することで、攻撃者は自身が制御するリモートのサーバーへ強制的にログイン済みユーザーを接続させ、当該ユーザーのNTLMv2ハッシュを盗み取れるようになるとされる。前述の通り11月12日リリースの月例パッチで修正されており、マイクロソフトもアドバイザリの中で悪用について認めていた。

翌13日には、ClearSkyが同ゼロデイの悪用についてのブログ記事を更新。これによると、同社が6月に観測した実際の攻撃ではまず、6月より前にすでに侵害されていたウクライナ政府のサーバー（osvita-kp.gov[.]ua）からフィッシングメールが送信されていた。このメールは受信者に対して学歴証明書の更新を促す内容で、悪意あるURLファイルが含まれている。受信者がこのファイルを右クリックするか、削除するか、または移動させることによりCVE-2024-43451がトリガーされ、攻撃者のサーバーとの接続が確立されてしまうという。加えて、SparkRATマルウェアなどのさらなる有害ファイルのダウンロードも行われることになる。

ClearSkyの研究者らはさらに、SMBプロトコル経由でNTLMハッシュを盗み出そうとする試みが観測されたことについても伝えている。これらのパスワードハッシュはパス・ザ・ハッシュ攻撃で使われる可能性があるほか、平文のパスワードを得るためにクラッキングされる恐れがあるという。

ウクライナのコンピューター機器対応チーム（CERT-UA）はClearSkyから共有された情報を踏まえ、ロシアの脅威グループとされるUAC-0194のメンバーがこの攻撃の実施者であろうとの評価を下している。

ランサムウェアレポート＆インテリジェンス要件定義ガイド、無料配布中！

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価