RESURGEマルウェア、ルートキットとWebシェル機能でIvantiの脆弱性を悪用（CVE-2025-0282）

nosa

2025.03.31

3月29〜31日：サイバーセキュリティ関連ニュース

RESURGEマルウェア、ルートキットとWebシェル機能でIvantiの脆弱性を悪用（CVE-2025-0282）

The Hacker News – Mar 30, 2025

米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は28日、RESURGE（libdsupgrade.so）と呼ばれる新しいマルウェアの詳細について明らかにした。

RESURGEはSPAWNCHIMERAマルウェアの改良版とされ、すでにパッチが適用されているIvanti Connect Secure（ICS）アプライアンスの脆弱性（CVE-2025-0282）を悪用する試みの一環として展開されたという。この欠陥はIvanti Connect Secure、Policy Secure、Neurons for ZTAゲートウェイに影響するスタックベースのバッファオーバーフロー脆弱性で、リモートコード実行につながる危険性がある。

CISAによると、RESURGEには「再起動後も存続可能といったSPAWNCHIMERAマルウェアの亜種の機能」に加え、Webシェルを作成・使用してファイルの変更や権限を昇格するなど「特徴的なコマンドが複数備わっている」ようだ。さらに「ルートキットやドロッパー、バックドア、ブートキット、プロキシ、およびトンネラーの機能も含まれる」ことが判明している。

またGoogle傘下のMandiantにより、CVE-2025-0282はSPAWNANT、SPAWNMOLE、SPAWNSNAILなど複数のコンポーネントで構成されるマルウェアのエコシステムSPAWNを配布するために武器化されていることがわかっている。この脆弱性は中国関連の脅威グループSilk Typhoon（旧称Hafnium）にゼロデイとして悪用されたことがあるもので、SPAWNを使っているのは同じく中国系のスパイグループUNC5337とされる。

日本のJPCERT/CCも先月、SPAWNを改良したSPAWNCHIMERAの配布にCVE-2025-0282が悪用されたことを確認している。

Threat Report

Ivanti

Silobreaker-CyberAlert

サイバースパイ

Ivanti製品のゼロデイ悪用、中国スパイグループUNC5337が関与か（CVE-2025-0282）

佐々山 Tacos

2025.01.09

Ivanti

Silobreaker-CyberAlert

サイバースパイ

Morphing Meerkatフィッシングキットが100超のブランドを標的に

SecurityWeek – March 28, 2025

サイバーセキュリティ企業Infobloxの調査により、あるフィッシング・アズ・ア・サービス（PhaaS）プラットフォームがDNSメール交換（MX）レコードを使い、100件以上のブランドに扮した偽ログインページを提供するフィッシングキットを生成していることが判明した。

このPhaaSプラットフォームの運営者は脅威アクターMorphing Meerkatの可能性が高く、スパムの大量配信、メールセキュリティシステムのバイパス、難読化といったサービスをユーザーに提供している。Infobloxによると、同アクターはアドテックインフラのオープンリダイレクト脆弱性を悪用し、侵害されたドメインを使用してフィッシングメールを送信。盗んだ認証情報をメールやチャットサービスを通じて配布しているという。観察されたアクティビティは、主に英国（iomart）と米国（HostPapa）のインターネットサービスプロバイダー（ISP）に集中しているようだ。

Morphing Meerkatのプラットフォームは侵害されたWordPressサイトを使って被害者をリダイレクトさせ、DNS MXレコードによるメールサービスプロバイダーの識別、動的なフィッシングページの提供とコンテンツの翻訳（12以上の言語に対応）を行っているとされる。Infobloxは「攻撃のほぼすべてがEメールユーザーのログイン認証情報をターゲットにしている。このPhaaSプラットフォームの開発者は、こういったアクティビティ専用にプラットフォームを設計したものと思われる」と指摘した。

このアクティビティはおそらく2020年1月頃に始まり、当初はGmail、Outlook、AOL、Office 365、Yahooを偽装。その後に大幅な進化を遂げ、現在では114の異なるブランドを偽装したWebテンプレートを動的にロードしている。