Visual Studio Codeのリモートトンネル機能がサイバースパイ攻撃に悪用される、中国関連アクターが関与か

佐々山 Tacos

2024.12.11

12月11日：サイバーセキュリティ関連ニュース

Visual Studio Codeのリモートトンネル機能がサイバースパイ攻撃に悪用される、中国関連アクターが関与か

The Hacker News – Dec 10, 2024

中国に関連すると思われるサイバースパイグループが、南ヨーロッパの大手ITサービスプロバイダー数社に対する攻撃において、Visual Studio Codeのトンネル機能とMicrosoft AzureのインフラをC2通信のために利用していたという。これには、悪意ある活動を正規の活動に見せることにより検出を回避しようとする意図があったものと見られる。SentinelOne SentinelLabsとTinexta Cyberの研究者らが共同レポートの中で報告した。

これらの攻撃は、「Operation Digital Eye」と名付けられたキャンペーンの一環として、2024年6月後半から7月中旬にかけて行われたもの。ターゲットとなった組織はデータ管理やインフラ、サイバーセキュリティのサービスを多様な業界の顧客に提供しており、サイバースパイアクターらにとっては格好の標的だったものと思われる。この攻撃の一番の特徴が、C2を行う目的でMicrosoft Visual Studio Codeのリモートトンネル機能が利用されていた点。この機能はエンドポイントへのリモートアクセスを実現するためのもので、攻撃者はこれを用いることにより任意のコマンドを実行したり、ファイルを改ざんすることができるようになるとされる。なお今回の攻撃においては、データ抜き取りのフェーズに到達する前に悪意ある活動は検出され、無効化されている。

Operation Digital Eyeの攻撃ではまず、SQLインジェクションが初期アクセスベクターとして使われる。正規のペネトレーションテストツール「SQLmap」によってコード実行が達成されると、攻撃者はインターネットに露出したアプリケーションやデータベースサーバーに侵入。次に、PHPベースのWebシェル「PHPsert」をデプロイし、これを使って足場の確保および永続的なリモートアクセスの確立を実現するという。その後の活動としては、偵察、クレデンシャル収集、ほかのシステムへのラテラルムーブメントなどが挙げられる。

このほか、SentinelLabsとTinexta Cyberのブログ記事には、中国関連アクターの関与を示唆するマルウェアの詳細など、さらに詳しい情報が記されている。

関連記事：中国ハッカー、東南アジア組織へのスパイ攻撃でVisual Studio Codeを悪用

ファイル転送ツールが再び大規模ハッキング試みるハッカーの標的に：Cleo製品のRCE脆弱性が悪用される（CVE-2024-50623）

TechCrunch – December 10, 2024

Cleo社のファイル転送ソリューションにおける脆弱性CVE-2024-50623が大規模攻撃のために悪用されていると、Huntressの研究者が報告。Cleoはこの脆弱性を今年10月30日に開示し、パッチもリリースされたが、Huntressが12月9日に公開したブログ記事によれば、このパッチでは同脆弱性のリスクを緩和できていないという。

CVE-2024-50623は制限されていないファイルアップロードおよびダウンロードの脆弱性で、悪用が成功した場合はリモートコード実行に繋がる恐れがあると説明されている。影響を受けるツールはLexiCom、VLTransfer、Harmonyで、いずれもエンタープライズユーザーによってファイル転送の管理のために広く使用されているという。

Huntressの研究者John Hammond氏は、脅威アクターたちが12月3日からこれらのソフトウェアを大量に悪用しているのが観測されたと報告。同氏によれば、Huntress社では17,000を超えるLexiCom、VLTransfer、Harmonyサーバーに保護を提供しているものの、そのうち少なくとも24組の組織がサーバーを侵害されたという。被害組織には、消費者向け製品メーカー、物流企業、食品サプライヤーなどが含まれるとされる。Huntressはどの脅威アクターがこの攻撃を実施しているのかや、データを盗まれたCleo顧客はいるのかなどの詳細をまだ明かしていないものの、Hammond氏によれば、同社は攻撃者がシステムを侵害後、「ポストエクスプロイトの活動」を行っていたのを観測済みだという。

エンタープライズ向けのファイル転送ツールといえば、ハッカーや恐喝グループから人気を集めるターゲット。過去にはClopランサムウェアグループによってProgress Software製のツールMOVEit TransferやFortra製ソフトウェアGoAnywhereが悪用され、多数の組織が侵害されていた。Cleo社は現在、CVE-2024-50623に対するパッチの開発を進めているとしている。パッチがリリースされるまでの間は、インターネットに露出したシステムをファイアウォールで保護しておくことが望ましいとのこと。