「Barracuda ESG」脆弱性、修正の7カ月前に悪用の痕跡

「CVE-2023-2868」は、同アプライアンスへの特定部分に対するアクセスを確保するために利用され、侵害された端末内からは「SALTWATER」「SEASPY」「SEASIDE」と名付けられた複数のマルウェアが確認されており、情報漏洩が生じていた。

「SALTWATER」は、アプライアンスのSMTPデーモンをトロイの木馬化したもので、バックドアとして動作。任意のファイルをアップロードしたりダウンロードできるほか、コマンドの実行、プロキシ、トネリングなどの機能を備える。

一方「SEASPY」は、パケットキャプチャのフィルタとして稼働。25番ポート上のトラフィックについて監視を行なっていた。またバックドアとしても起動が可能だという。

さらに「SEASIDE」によりSMTP通信における「HELO」「EHLO」コマンドを監視。リバースシェルを確立するためコマンド＆コントロールサーバのIPアドレスやポート番号を受信していた。

同社は影響を受けた可能性があるユーザーに対し、同製品のユーザーインタフェースを通じて実施すべき対策について通知した。特定の顧客とも連絡を取っているが、今後の調査によっては対象者が増える可能性もあるとしている。

（Security NEXT - 2023/06/01 ）ツイート