今週は、攻撃者がZimbraのCollaboration Suite（ZCS）サーバー内にWebシェルやその他の任意のコンテンツを埋め込むことを可能にする、リモートコード実行（RCE）の脆弱性「 CVE-2022-41352」に関する最新情報をお届けします。
また、Ursnifの新たな亜種についても取り上げます。これは、同マルウェアファミリーが単純なバンキング型トロイの木馬から、ランサムウェアやデータ窃取攻撃を助長し得る脅威へと進化を遂げた、その最新の集大成と言えるものです。
最後に、正規のWindowsアップデートプロセスの一部に偽装するPowerShellバックドアの概要をご紹介します。
1. Zimbraの脆弱性を悪用した攻撃により、 900 台のサーバー（現在も増加中）がハッキングされました
カスペルスキーによると、Zimbraの脆弱性を悪用した攻撃により、約 900 台のサーバーが侵害されました。これは、さまざまなサイバー脅威アクター（業界の専門家が「高度なAPT」と呼ぶものを含む）が、のZimbra Collaboration Suite （ZCS） （新しいタブで開きます） に存在する重大な脆弱性をスキャンし、悪用した結果、約101台のサーバーが侵害されました。この脆弱性は、ゼロデイ脆弱性として存在し、約 1.5 ヶ月間パッチが提供されていませんでした。
「 CVE-2022-41352」として追跡されているこのセキュリティバグは、RCE（リモートコード実行）の脆弱性であり、攻撃者が送信した電子メールに添付された悪意のあるアーカイブファイルを通じて、脅威アクターがZCSサーバー内にWebシェルを仕込み、ウイルス対策ソフトのチェックを回避することを可能にするものです。
この脆弱性は、 2022年9月10日 で初めて報告されました。報告したのは、 の Zimbra 公式フォーラム （新しいタブで開きます） のユーザーで、そのユーザーは、自身のチームが、完全にパッチが適用された Zimbra インスタンスを起源とするセキュリティインシデントを検知したと投稿しました。 ユーザーから提供された詳細を確認した結果、Zimbraは、未知の脆弱性により、攻撃者が最新のZCSサーバーに任意のファイルをアップロードできていたことを確認いたしました。 この問題は、Zimbraのウイルス対策エンジン（Amavisとして知られています）が受信メールをスキャンする方法に関連しています（Amavisは、Zimbra内の「cpio」と呼ばれる機能を利用しています）。
Zimbraの CVE-2022-41352に対する回避策
Zimbraの における「 CVE-2022-41352 」（新しいタブで開きます） に対する一時的な回避策は、paxユーティリティをインストールし、Zimbraサービスを再起動することでした。 PaxはUbuntuにデフォルトでインストールされているため、UbuntuベースのZimbraインストール環境にはこの脆弱性が存在しないとの報告があります。
一方、Zimbra社はブログ記事 （新しいタブで開きます） において、cpioに依存することによるリスクを認めており、 では、推奨される緩和策を提示しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「これらの攻撃の大部分を引き起こした正体不明のAPTの犯行主体については、まだ特定されていませんが、CTIは以前にも、可能な限り多くの脆弱性のあるサーバーに対してウェブシェルが展開される、一見ランダムに見える同様の攻撃を確認しています。」 これらの事例 (新しいタブで開きます) において、脆弱性は Microsoft Exchange サーバー内に存在し、関与した Web シェルは「China Chopper」であり、犯行主体は中国と関連のある「HAFNIUM」でした。
「現在、Zimbraサーバー、特に中央アジアに所在するサーバーを標的とした一連の攻撃に、どの脅威グループ（もしあるとすれば）が関与しているのか、また、この敵対的活動が組織的なキャンペーンの一環であるかどうかは、現時点では不明です。」 分かっていることは、この活動が、その規模と強度の両面で、過去のAPT活動と確かに類似しているということです。 CISAの複数の勧告（ ）が示す通り、ZimbraのZCSソリューション内の脆弱性が、さまざまなAPTから強い関心を寄せられたのは、今回が初めてのことではありません（ （新しいタブで開きます） ）。
2。 「Ursnif」マルウェアの新たな亜種が、ランサムウェアとデータ窃取に重点を移しています
Mandiant社が最近発表したレポートでは、 のUrsnifマルウェアが、本来の目的や機能から明らかに逸脱している傾向について分析されています。 （新しいタブで開きます）
研究者たちは、Ursnifが、銀行詐欺を容易にするために設計されたトロイの木馬から、ランサムウェアやデータ窃取攻撃の土台を築くことができる、より多目的的なマルウェアへと進化していく様子を観察しました。 Ursnifはここ数年、変化を遂げてきました。
Ursnifとは何でしょうか？また、この新しいマルウェアの亜種とはどのようなものなのでしょうか？
Ursnif （新しいタブで開きます） （別名 ISFB ― これについては後述します）は、サイバー脅威の分野に登場してから10年以上が経過した現在もなお活動している、最も古く、かつ最も成功を収めているバンキングマルウェアファミリーの一つです。 このマルウェアの作成者や開発者たちは、長年にわたり複数のバージョンを開発しており、Ursnifはしばしば他のマルウェアファミリーや亜種と密接に関連しています。 このソフトウェアは、初めて広く知られるようになって以来、少なくとも2回にわたりソースコードが流出しており、その結果、現在も流通し続けている追加のバージョンが生まれています。
現時点では、Ursnifは単なる単一のマルウェアではなく、さまざまな亜種を含むファミリーと見なされています。 現在、多くの研究者がこのマルウェアファミリーを 、Gozi （新しいタブで開きます）、、/、ISFB （新しいタブで開きます）、、と呼んでいます。 これらのバリエーションには、次のようなものがあります：
- ISFB（）：Goziのリークされたソースコードに基づくものであり、多くのUrsnif亜種がこれを基にしています。 2014年以前に活動していました。
- Dreambot： Mandiant社は、これが最も成功した亜種の一つであると指摘しています。 アクティブ 2014-2020。
- IAP：最も活発に開発・配布されているISFBのブランチであり、イタリアを標的としたマルウェア攻撃が頻繁に発生しています。 2014年から現在まで活動中。
- RM2：また、GoziATとしても広く知られている RM2 は、数年前にChanitorマルウェア（別名Hancitor）を用いて活動を開始しました。 アクティブ 2016-2021。
- RM3：独自の実行ファイル形式を採用しているため、これは現時点で最も高度なバージョンであり、 2017以降、主にオセアニアと英国で被害が確認されています。 アクティブ 2017-2021。
- LDR4：最新の亜種であり、銀行詐欺からランサムウェアへの転換を示すものです。 現在有効です。
LDR4 は、6月23日においてMandiantによって初めて確認されました。 2022being は、採用関連のフィッシング攻撃の餌であるを利用して配信されました。 このメールには通常、不正アクセスを受けたウェブサイトへのリンクが含まれており、そのリンクをクリックすると、ユーザーは正規の企業を装ったドメインにリダイレクトされてしまいます。 このCAPTCHAの課題では、採用を装った誘いに関連するファイルとして、被害者に提示されるExcel文書がダウンロードされます。 その後、このドキュメントは「 LDR4 」ペイロードをダウンロードして実行します。
以前のUrsnif亜種とは異なり、 LDR4 亜種では、独自のPX実行ファイル形式が使用されなくなりました。 研究者たちは、この選択はトラブルシューティングの段階を過度に複雑化させないために行われたのではないかと考えています。というのも、マルウェア開発者は、その亜種のより重要な機能の微調整に注力したいと考える可能性が高いからです。 この新しい亜種も明らかにバックドアであり、戦略の転換という点において、UrsnifはEmotetやTrickBotに続く、数多くのマルウェアファミリーの最新例となっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Ursnif、あるいはその派生型が、脅威の情勢に初めて登場してから10年以上経った今でもなお影響力を維持しているという事実は、その開発者たちが、絶えず変化し続けるマルウェア業界の動向に遅れを取ることなく対応できていることを明確に示しています。」 「このマルウェアがバンキング型トロイの木馬からバックドアへと進化してきたことは、時代の変化に対応しようとしていることを示す有力な指標です。」
「しかし、その開発者たちは、2つの絶好の機会を活かせなかったようです。それは、専門の法執行機関の特別捜査チームによって、TrickbotとEmotetが摘発されたことです。」 もしUrsnifが、脅威の状況において多少の空白期間があった時期に方向転換していたならば、IcedIDのようなマルウェアと同様に、大成功を収めていたかもしれません。 とはいえ、Ursnifがこれまで示してきた高度な技術力と著しい成功実績を踏まえると、研究者たちは、この新しい亜種も同様に危険である可能性があると見ているのです。」
3。 専門家たちは、Windowsの更新プログラムを装った、目立たないPowerShellのバックドアについて警告しています
SafeBreach Labsによる最近の報告では、多くのメディアが「完全に検出不能」な新しい PowerShellバックドアとして報じているものが明らかになりました。。 このバックドアの存在は、実際に複数の研究者によって報告されていることからも明らかなように、実際に検出されていたことを考えると、これはかなり特異なケースだと言えます。 これまで報告されていなかったこのバックドアは、正規のWindowsアップデートプロセスの一部に偽装することで、極めて高いステルス性を実現しています。
PowerShell バックドアについて
このマルウェア自体は、主に感染したホスト上でデータの持ち出し活動を行います。 SafeBreach Labsが確認したこの攻撃は、PowerShellスクリプトを実行するためのマクロコードが含まれた悪意のあるWord文書から始まりました。 そのWord文書は「Apply Form.docm」というファイル名で、ヨルダンのIPアドレスから 2022年8月25日にアップロードされました。 このファイルは、最近頻繁に確認されている、LinkedInを悪用した求人応募を装ったスピアフィッシングの餌と関連していると考えられています。 なお、この初期エントリポイントが正常に機能するためには、その文書内でマクロが有効になっている必要がある点にご留意ください。
このマクロ・ドロッパー（updater.vbs）は、通常のWindowsアップデートの一部であるかのように装ったスケジュールされたタスクを作成します。 このスクリプトは、%appdata%\local\Microsoft\Windows にある偽の「update」フォルダから実行され、PowerShell スクリプトを実行します。
脅威アクターのミスが発見につながりました
SafeBreach Labsは、このバックドアの背後にいる脅威アクターが、予測可能な連番の被害者IDを使用したことで、重大なミスを犯したと指摘しました。 研究者たちは、さまざまな被害者を装うスクリプトを開発し、 C2 件の応答をパケットキャプチャファイル（pcap）に記録することに成功しました。 その後、彼らはそのpcapファイルから暗号化されたコマンドを抽出するために、2つ目のツールを実行しました。 この出力をCyberChefにパイプで送り、各被害者ID／番号に対応するコマンドを復号化しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「これは、PowerShellスクリプトが悪用された事例のうち、ごく最近の例に過ぎません。」 今月初め、 が報告した、マルウェアを配布するための珍しい「マウスオーバー」手法について、当サイトでも取り上げました。 今回の件全体は、一見些細なミス――あるいは今回のケースのように機能そのもの――が、壊滅的な結果をもたらしかねないということを、サイバー犯罪者にも、正当な開発者にも改めて認識させるべきものです。 とはいえ、このPowerShellバックドアの背後にいる攻撃者が、開発段階で単純なミスを犯し、それが原因で発見されてしまったとはいえ、このバックドアは高度に洗練されたものです。」
「このマルウェアがWindowsの更新プロセスの一部を装う能力や、LinkedInを介したソーシャルエンジニアリングの手法を用いている点は、一定レベルの実力を示唆しています。」 「この事例は、脅威がニュースで大きく取り上げられたり、派手な名前がついたりしていなくても、十分に被害を広げ得ることを改めて思い起こさせてくれます。というのも、この名もなきバックドアは、すでに60人以上の被害者を出しているからです。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
