正規の「リモート管理ソフト」が攻撃者のバックドアに - 米政府が警戒呼びかけ

攻撃に用いられた正規ソフトは、自己完結型の実行ファイル（PEファイル）を用いており、端末の管理者権限やインストール作業を必要とせず、ローカルユーザー権限で動作。正規利用者における利便性を考慮した設計が、攻撃者にとっても悪用しやすい仕様となっている。

また正規ソフトウェアのため、マルウェア対策などで検知されず、ソフトウェアのインストールを制限するポリシーを設定していてもバイパスされるおそれがあるとして攻撃の危険性を強調した。

またこれまでも注意喚起が行われてきたが、ネットワーク管理、エンドポイント監視、サポートなどのサービスを提供し、日常的にリモート管理ツールを利用しているマネージドサービスプロバイダー（MSP）やITヘルプデスクなども、攻撃者のターゲットになっているとあらためて指摘。

多数の顧客へアクセスする権限を持っており、こうした事業者が侵害されると、顧客環境へランサムウェアによる攻撃がしかけられたり、情報の窃取が行われるなど大きなリスクになるとして、あらためて攻撃に警戒するよう求めた。

CISAでは「IoC（Indicators of Compromise）」情報として、攻撃に用いられたドメインを公開。また悪意あるメールへの対策をはじめ、リモート管理ツールの利用状況を可視化し、本来の目的以外で利用されているツールを検出したり、アプリケーション実行の制御やアクセスできる経路を限定するなど、対策を講じるよう呼びかけている。

（Security NEXT - 2023/01/27 ）ツイート

正規の「リモート管理ソフト」が攻撃者のバックドアに - 米政府が警戒呼びかけ

関連リンク

PR

関連記事