Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

正規の「リモート管理ソフト」が攻撃者のバックドアに - 米政府が警戒呼びかけ

攻撃に用いられた正規ソフトは、自己完結型の実行ファイル(PEファイル)を用いており、端末の管理者権限やインストール作業を必要とせず、ローカルユーザー権限で動作。正規利用者における利便性を考慮した設計が、攻撃者にとっても悪用しやすい仕様となっている。

また正規ソフトウェアのため、マルウェア対策などで検知されず、ソフトウェアのインストールを制限するポリシーを設定していてもバイパスされるおそれがあるとして攻撃の危険性を強調した。

またこれまでも注意喚起が行われてきたが、ネットワーク管理、エンドポイント監視、サポートなどのサービスを提供し、日常的にリモート管理ツールを利用しているマネージドサービスプロバイダー(MSP)やITヘルプデスクなども、攻撃者のターゲットになっているとあらためて指摘。

多数の顧客へアクセスする権限を持っており、こうした事業者が侵害されると、顧客環境へランサムウェアによる攻撃がしかけられたり、情報の窃取が行われるなど大きなリスクになるとして、あらためて攻撃に警戒するよう求めた。

CISAでは「IoC(Indicators of Compromise)」情報として、攻撃に用いられたドメインを公開。また悪意あるメールへの対策をはじめ、リモート管理ツールの利用状況を可視化し、本来の目的以外で利用されているツールを検出したり、アプリケーション実行の制御やアクセスできる経路を限定するなど、対策を講じるよう呼びかけている。

(Security NEXT - 2023/01/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

WP向けプラグイン「SiteGuard WP Plugin」に脆弱性 - アップデートを
サイバー攻撃で従業員などの個人情報が流出した可能性 - 森永製菓
学生が患者の個人情報含むカルテの写真をSNSに投稿 - 名古屋大病院
Trellixの不正侵入防止製品に複数脆弱性 - アップデートを
1月のランサム被害に関するあらたな情報流出を確認 - 綜研化学
ぐんまフラワーパークの元指定管理者が個人情報を不正利用
都再委託先でランサム被害 - データにはパスワード設定
「Chrome」にアップデート - 複数の脆弱性に対応
海外子会社へのサイバー攻撃、国内サーバでも痕跡確認 - フジクラ
イベント応募フォームで設定ミス、個人情報が閲覧可能に - 松竹