FortiClientのゼロデイ脆弱性、BrazenBamboo APTに悪用される

FortiClientのゼロデイ脆弱性、BrazenBamboo APTに悪用される

Securityonline[.]info – November 15, 2024

Volexityは、FortinetのWindows版VPNクライアント「FortiClient」におけるゼロデイ脆弱性が、中国関連のAPTグループBrazenBambooによって悪用されていることを確認した。なおBrazenBambooは、マルウェアLIGHTSPYやDEEPPOSTを開発したことでも知られる脅威アクター。

この欠陥は認証情報を開示する恐れのあるもので、ユーザーが同VPNへ認証を行った後、当該ユーザーの認証情報がプロセスメモリ内に残存してしまうことに起因する。実際の攻撃ではBrazenBambooがこれを悪用し、モジュール型マルウェアのDEEPDATAを用いてクライアントのプロセスメモリから直接VPNの認証情報を盗んでいたという。Volexityは今年7月に同脆弱性を特定し、Fortinetにも通知を行ったが、現時点ではまだ修正されておらず、CVE-IDも割り当てられていない。

DEEPDATAは侵害されたシステムから機微なデータを抜き取るように設計された、高度なポストエクスプロイトフレームワーク。その機能はFortiClientの認証情報の窃取にとどまらず、Wi-Fiの認証情報とシステム情報を抽出したり、音声やキー入力を記録したり、LINEやTelegramといったメッセージングアプリからデータを収集したりする機能なども備えている。

今回のFortiClientの悪用行為は、広く使用されている企業向けツールのセキュリティを確保することの重要性を浮き彫りにしている。VPNクライアントはリモートの作業環境に不可欠であるため、上記の脆弱性はFortinetソリューションを使用する組織に重大なリスクをもたらしかねないとのこと。

【無料配布中！】ランサムウェアレポート＆インテリジェンスの要件定義ガイド

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価