Visual Studio Codeのリモートトンネル機能がサイバースパイ攻撃に悪用される、中国関連アクターが関与か

12月11日：サイバーセキュリティ関連ニュース

Visual Studio Codeのリモートトンネル機能がサイバースパイ攻撃に悪用される、中国関連アクターが関与か

The Hacker News – Dec 10, 2024

中国に関連すると思われるサイバースパイグループが、南ヨーロッパの大手ITサービスプロバイダー数社に対する攻撃において、Visual Studio Codeのトンネル機能とMicrosoft AzureのインフラをC2通信のために利用していたという。これには、悪意ある活動を正規の活動に見せることにより検出を回避しようとする意図があったものと見られる。SentinelOne SentinelLabsとTinexta Cyberの研究者らが共同レポートの中で報告した。

これらの攻撃は、「Operation Digital Eye」と名付けられたキャンペーンの一環として、2024年6月後半から7月中旬にかけて行われたもの。ターゲットとなった組織はデータ管理やインフラ、サイバーセキュリティのサービスを多様な業界の顧客に提供しており、サイバースパイアクターらにとっては格好の標的だったものと思われる。この攻撃の一番の特徴が、C2を行う目的でMicrosoft Visual Studio Codeのリモートトンネル機能が利用されていた点。この機能はエンドポイントへのリモートアクセスを実現するためのもので、攻撃者はこれを用いることにより任意のコマンドを実行したり、ファイルを改ざんすることができるようになるとされる。なお今回の攻撃においては、データ抜き取りのフェーズに到達する前に悪意ある活動は検出され、無効化されている。

Operation Digital Eyeの攻撃ではまず、SQLインジェクションが初期アクセスベクターとして使われる。正規のペネトレーションテストツール「SQLmap」によってコード実行が達成されると、攻撃者はインターネットに露出したアプリケーションやデータベースサーバーに侵入。次に、PHPベースのWebシェル「PHPsert」をデプロイし、これを使って足場の確保および永続的なリモートアクセスの確立を実現するという。その後の活動としては、偵察、クレデンシャル収集、ほかのシステムへのラテラルムーブメントなどが挙げられる。

このほか、SentinelLabsとTinexta Cyberのブログ記事には、中国関連アクターの関与を示唆するマルウェアの詳細など、さらに詳しい情報が記されている。

関連記事：中国ハッカー、東南アジア組織へのスパイ攻撃でVisual Studio Codeを悪用

ファイル転送ツールが再び大規模ハッキング試みるハッカーの標的に：Cleo製品のRCE脆弱性が悪用される（CVE-2024-50623）

TechCrunch – December 10, 2024

Cleo社のファイル転送ソリューションにおける脆弱性CVE-2024-50623が大規模攻撃のために悪用されていると、Huntressの研究者が報告。Cleoはこの脆弱性を今年10月30日に開示し、パッチもリリースされたが、Huntressが12月9日に公開したブログ記事によれば、このパッチでは同脆弱性のリスクを緩和できていないという。

CVE-2024-50623は制限されていないファイルアップロードおよびダウンロードの脆弱性で、悪用が成功した場合はリモートコード実行に繋がる恐れがあると説明されている。影響を受けるツールはLexiCom、VLTransfer、Harmonyで、いずれもエンタープライズユーザーによってファイル転送の管理のために広く使用されているという。

Huntressの研究者John Hammond氏は、脅威アクターたちが12月3日からこれらのソフトウェアを大量に悪用しているのが観測されたと報告。同氏によれば、Huntress社では17,000を超えるLexiCom、VLTransfer、Harmonyサーバーに保護を提供しているものの、そのうち少なくとも24組の組織がサーバーを侵害されたという。被害組織には、消費者向け製品メーカー、物流企業、食品サプライヤーなどが含まれるとされる。Huntressはどの脅威アクターがこの攻撃を実施しているのかや、データを盗まれたCleo顧客はいるのかなどの詳細をまだ明かしていないものの、Hammond氏によれば、同社は攻撃者がシステムを侵害後、「ポストエクスプロイトの活動」を行っていたのを観測済みだという。

エンタープライズ向けのファイル転送ツールといえば、ハッカーや恐喝グループから人気を集めるターゲット。過去にはClopランサムウェアグループによってProgress Software製のツールMOVEit TransferやFortra製ソフトウェアGoAnywhereが悪用され、多数の組織が侵害されていた。Cleo社は現在、CVE-2024-50623に対するパッチの開発を進めているとしている。パッチがリリースされるまでの間は、インターネットに露出したシステムをファイアウォールで保護しておくことが望ましいとのこと。

Ivanti、深刻度が最も高いCSAの脆弱性について警告　認証バイパスを可能に（CVE-2024-11639）

BleepingComputer – December 10, 2024

Ivantiは10日、同社のCloud Services Appliance（CSA）ソリューションにおける、深刻度が最高評価「Critical」（CVSSスコア：10.0）の新たな脆弱性について顧客に警告した。

この欠陥（CVE-2024-11639）は認証バイパスの脆弱性。代替パスか代替チャネルを使用して認証を回避することで、リモートの攻撃者はユーザーの操作などを必要とせずに、Ivanti CSA 5.0.2以前の脆弱なアプライアンスで管理者権限を取得できるようになる。

またこのセキュリティアドバイザリには、同じくCSAに影響を与えるコマンドインジェクションの脆弱性（CVE-2024-11772）と、SQLインジェクションの脆弱性（CVE-2024-11773）の説明も記載されている。両脆弱性ともCVSSスコアは9.1で、深刻度はCVE-2024-11639と同様、「Critical」となっている。

同社は管理者に対し、脆弱なアプライアンスをCSA 5.0.3にアップグレードするよう推奨したほか、これらの脆弱性について、公表前に悪用された事例は認識していないと述べた。

同社はさらにDesktop and Server Management（DSM）、Connect SecureとPolicy Secure、Sentry、Patch SDK製品の各脆弱性に対するパッチもリリース。いずれも実際の攻撃で悪用された証拠は見つかっていないとしている。

【無料配布中レポート】

各種レポートを無料配布中！バナー画像よりダウンロード可能です。

地政学レポート

インテリジェンス要件定義に関するガイドブック

ディープ＆ダークウェブレポート