「Exchange Server」脆弱性、10グループ以上が悪用か - パッチ公開前にも

マイクロソフトよりセキュリティ更新プログラムが公開された3月2日以降、さらに攻撃は拡大。同日より「APT41」「BARIUM」などとしても知られる「Winnti」が東アジアに拠点がある石油会社や建設機械メーカーのメールサーバーを侵害。侵害された組織において「リモートアクセスツール（RAT）」の「PlugX」が検出された。

また別名「CactusPete」としても知られる「Tonto」が、東ヨーロッパの商社やソフトウェア開発やサイバーセキュリティを専門とするコンサルティング会社を攻撃。攻撃グループ「Mikroceen」のほか、攻撃グループが特定されていないものの「ShadowPad」を悪用した攻撃活動や、「Cobalt Strike」をダウンロードする攻撃、「IISバックドア」などを設置する攻撃も観測しているという。

攻撃を展開したほとんどは、スパイ活動を目的とするグループだが、クリプトマイナーを展開する「DLTMiner」などの悪用も検知。今後多くの攻撃者によって脆弱性が悪用されることは避けられないとESETは指摘した。

ラテラルムーブメントにより侵害を受けるおそれがあるとして、直接インターネットへ接続されていないサーバも含めてマイクロソフトのガイダンスに従い、パッチの適用など対策を講じるよう呼びかけている。

（Security NEXT - 2021/03/18 ）ツイート

「Exchange Server」脆弱性、10グループ以上が悪用か - パッチ公開前にも

関連リンク

PR

関連記事