「Exchange Server」へのゼロデイ攻撃、中国支援グループが関与か

脆弱性について報告したVolexityによると、攻撃キャンペーンは少なくとも1月6日ごろより展開されていたという。

1月に同社顧客において異常な挙動を検知し、外部へ大量のデータが送信されていることを確認。調査によりサーバサイドリクエストフォージェリ（SSRF）の脆弱性「CVE-2021-26855」を悪用し、認証なしにメールボックスの情報を盗んでいることを把握したという。

さらにマイクロソフトとの連携などにより、安全ではないデシリアライゼーションの脆弱性「CVE-2021-26857」や、認証後に任意のファイルが書き込み可能となる脆弱性「CVE-2021-26858」「CVE-2021-27065」などの悪用も判明した。

マイクロソフトでは、「Exchange」や「Windows」のイベントログなどを調査することで、侵入の痕跡について調査できると説明。ウェブシェルのハッシュ値や設置されるパス、ファイル名、攻撃に用いられたツールなどの情報を公開し、影響の有無を確認するよう求めた。

Volexityにおいても通信先となったIPアドレスをはじめとする「IoC（Indicators of Compromise）」情報を公開。注意を呼びかけている。

（Security NEXT - 2021/03/04 ）ツイート