Ivanti脆弱性、国内でも12月下旬より悪用 - マルウェアにパッチ機能

「SPAWNCHIMERA」では、プロセス間通信に、UNIXドメインソケットを使用するよう仕様が変更されており、Ivantiが提供する「整合性チェックツール（ICT）」で見逃すおそれがあるという。くわえて機能追加によりファイル出力を抑制し、痕跡がのこらないよう対策を講じていた。

また今回標的としていた脆弱性「CVE-2025-0282」の影響を抑制するパッチ機能を搭載。脆弱性が判明した関数における動作をマルウェアが動的に修正し、特定の条件のみ修正を無効化するしくみとなっていた。

脆弱性の影響を緩和することで、他攻撃者による侵入や、脆弱性に対するスキャンなどを妨害している可能性がある。また「SPAWNCHIMERA」は、別のマルウェア「SPAWNSLOTH」なども悪用していることがわかった。

同センターでは、「SPAWNCHIMERA」のハッシュ値や配置されたファイルパスなど「IoC（Indicators of Compromise）」情報を公開。引き続き「SPAWN」ファミリーを悪用されることが予想されるとして注意を呼びかけている。

（Security NEXT - 2025/02/13 ）ツイート