ランサム攻撃グループが「ESXi」脆弱性をゼロデイ攻撃に悪用

マイクロソフトによれば、2024年はじめに「Storm-0506」が北米企業を標的として「Black Basta」を展開した際、「CVE-2024-37085」を悪用していた。

攻撃チェーンを見ると、「Qakbot」を感染させることで初期アクセスを獲得。「Windows CLFS」の脆弱性「CVE-2023-28252」を悪用してデバイスにおける権限昇格を行っていた。

さらに「Cobalt Strike」と「Mimikatz」のPython版である「Pypykatz」を利用してドメイン管理者2人の資格情報を窃取。4件のドメインコントローラーに対し、バックドアの「SystemBC」やカスタムツールなどを展開して持続的なアクセスを獲得していた。

一連の攻撃で「ESXi」において「ESX Admins」グループを作成し、あらたなユーザーアカウントを追加後、ハイパーバイザー上のホストされていた仮想マシンで被害が生じていたことから、同脆弱性の把握に至ったという。

また同グループは「Microsoft Defender Antivirus」の改ざんを試みていたほか、ESXiハイパーバイザーにホストされていないデバイスに対しても「PsExec」を利用してデータを暗号化しようとしていた。

（Security NEXT - 2024/07/31 ）ツイート