Akiraランサムウェア、MFAで保護されたSonicWall VPNアカウントをも侵害

Akiraランサムウェア、MFAで保護されたSonicWall VPNアカウントをも侵害

BleepingComputer – September 28, 2025

AkiraランサムウェアによるSonicWall SSL VPNデバイスを狙った攻撃が引き続き行われる中、ワンタイムパスワード（OTP）ベースの多要素認証（MFA）が設定されている場合でも、同ランサムウェアは認証を成功させていることが明らかに。Arctic Wolfが9月26日公開のブログ記事の中で警告した。

SonicWall SSL VPNデバイスといえば、2025年7月にAkiraランサムウェアオペレーションの標的となっている旨が報じられ、この攻撃に未知の新たなゼロデイが使われているのではないかという疑惑が生じた。その後8月にSonicWallが明らかにした調査結果により、これらの侵入に使われたのはゼロデイではなく2024年9月に開示された不適切なアクセス制御の脆弱性CVE-2024-40766であったことがわかっている。

今回のArctic Wolfの新たなレポートによれば、SonicWall製ファイアウォールを狙った攻撃キャンペーンは今なお続いており、OTPベースのMFAが有効化されている場合でも、Akiraはアカウントへの不正ログインを成功させているという。これが可能となった理由は正確には不明だが、Akiraのアフィリエイトがそれ以前にすでに盗まれていたOTPシードを使った説と、有効なトークンを生成するその他の手法を発見した説が提唱されている。

第1の説に関してArctic Wolfが言及したのが、Google Threat Intelligence Group（GTIG）が7月に公開した別のレポート。この中でGTIGは同様のSonicWall VPNの悪用について報告しており、過去にOTPシードを窃取されていたと思しきSMA 100シリーズのアプライアンス上に、金銭的動機を持つグループUNC6148がルートキット「OVERSTEP」を展開していたことが伝えられている。

GTIGは、UNC6148が事前にゼロデイ攻撃で窃取された盗難OTPシードを利用しているとの考えを示したが、どのCVEが悪用されたかまでは突き止められていないと語った。また攻撃者はセキュリティアップデートが適用された後のデバイスへの不正アクセスも成功させており、GTIGはこれについて、「UNC6148がそれ以前の侵入時にすでに盗まれていた認証情報とワンタイムパスワード（OTP）シードを利用しているのであろう」と「高い確度」で評価しているという。

Arctic Wolfによれば、侵入を成功させた後のAkiraの動きは非常にすばやく、多くの場合5分以内に内部ネットワークのスキャンを実施。Impacket SMBセッションセットアップリクエストやRDPログインを採用し、dsqueryやSharpShares、BloodHoundといったツールを使ってActive Directoryオブジェクトの列挙を行うという。また、Veeam Backup & Replicationのサーバーが狙われ、MSSQLおよびPostgreSQLの認証情報の抽出が試みられるケースもいくつかあったことや、マイクロソフトの正規実行ファイルconsent.exeの悪用を伴うBYOVD攻撃でエンドポイント保護プロセスが無効化されていることなどもわかっている。

SonicOS 7.3.0や8.0.2といった最新版を使用するデバイスも影響を受けた例があることから、管理者には過去に脆弱なファームウェアを使用したことのあるデバイス上のVPN認証情報を、たとえその後アップデート済みだとしてもすべてリセットすることが強く推奨されている。

【開催決定！】日本最大級サイバー（脅威）インテリジェンスイベント

サイバーインテリジェンスイベント「Cyber Intelligence Summit 2025」を11月に開催します！

サイバー脅威インテリジェンスとセキュリティ戦略についての国際セキュリティカンファレンス「Cyber Intelligence Summit 2025」を2025年11月5日〜7日、ベルサール虎ノ門にて開催します。

3大メガバンクスペシャル対談に加え、JC3、公安調査庁、楽天、リクルート、パナソニックなどからスペシャリストが登壇！海外からもアナリストや専門家が多数登壇予定です！

開催概要

名 称：Cyber Intelligence Summit 2025

日 程：2025年11月5日（水）、6日（木）、7日（金）

会 場：ベルサール虎ノ門（オンライン配信無し）

主 催：株式会社マキナレコード

料 金：フルパス ¥10,000｜展示パス 無料

翻 訳：英日同時通訳付き

登 録：特設サイトより事前登録

Day,01&02　一般企業中心（官公庁の方も歓迎）

民間企業においてサイバー脅威インテリジェンスに携わる部門のご担当者（情報セキュリティ部門、リスク管理、経営企画、IT・CISO室など）、またはその関連分野に関心をお持ちの方。官公庁・自治体のサイバー対策・情報分析部門にご所属の方もご参加いただけます。

Day,03　官公庁限定（主に法執行機関）

国内の官公庁、自治体、法執行機関（警察庁・都道府県警察、防衛省関連機関等）において、サイバー対策、情報保全、脅威インテリジェンス業務に携わる職員の方。

※Day3は官公庁、自治体、法執行機関所属の方に限りご参加いただけます。

※個人名義や企業所属でのご登録はできません。