「Zimbra」の複数脆弱性が攻撃の標的に - 攻撃ツールの販売も

インターネット上に同ツールのインスタンスを公開しており、パッチのリリース後、すぐに適用できなかった場合は、脆弱性の修正だけでなく、すでに侵害されていることを想定して対応するようCISAでは呼びかけている。

対応にあたっては「IoC（Indicators of Compromise）」情報を提供しており、コマンド＆コントロールサーバとの通信が発生していないか確認したり、提供する「Snort」の定義ファイルを用いて検知を行うよう求めている。セキュリティベンダーからは「YARAルール」も提供されている。

侵害を確認した場合は、実行中のプロセス、異常な認証、ネットワーク接続などの情報を確認し、影響を受ける可能性のあるホストの隔離や遮断を実施。

侵害されたホストのイメージを取得した上で、あたらしいアカウント情報をプロビジョニングし、CISAやMS-ISACへ侵害を報告するようアナウンスしている。

（Security NEXT - 2022/08/23 ）ツイート