Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Exchange Server」へのゼロデイ攻撃、中国支援グループが関与か

脆弱性について報告したVolexityによると、攻撃キャンペーンは少なくとも1月6日ごろより展開されていたという。

1月に同社顧客において異常な挙動を検知し、外部へ大量のデータが送信されていることを確認。調査によりサーバサイドリクエストフォージェリ(SSRF)の脆弱性「CVE-2021-26855」を悪用し、認証なしにメールボックスの情報を盗んでいることを把握したという。

さらにマイクロソフトとの連携などにより、安全ではないデシリアライゼーションの脆弱性「CVE-2021-26857」や、認証後に任意のファイルが書き込み可能となる脆弱性「CVE-2021-26858」「CVE-2021-27065」などの悪用も判明した。

マイクロソフトでは、「Exchange」や「Windows」のイベントログなどを調査することで、侵入の痕跡について調査できると説明。ウェブシェルのハッシュ値や設置されるパス、ファイル名、攻撃に用いられたツールなどの情報を公開し、影響の有無を確認するよう求めた。

Volexityにおいても通信先となったIPアドレスをはじめとする「IoC(Indicators of Compromise)」情報を公開。注意を呼びかけている。

(Security NEXT - 2021/03/04 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Foxit PDF Reader」の警告画面に問題 - 悪用する攻撃も
米政府、脆弱性「Citrix Bleed」についてガイダンスを公開
「Citrix Bleed」に対する攻撃増加 - 著名ランサムグループも悪用
国内でも被害発生、「ColdFusion」の既知脆弱性狙う攻撃
露APT28のマルウェア「GooseEgg」が見つかる - 2019年4月よりゼロデイ攻撃を展開か
「VMware ESXi」も標的とするランサムウェア「Akira」に警戒を
初期侵入から平均62分で横展開を開始 - わずか2分のケースも
ランサムウェア被害による情報流出を確認 - アニエスベー
ランサムリークサイト、年間約4000件の投稿 - 身代金支払うも約2割で反古
「LockBit」にあらたなリークサイト - ブランド回復に躍起