Ivanti製品狙う「RESURGE」、米当局が検知や復旧方法を公開

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、Ivanti製品を侵害するマルウェア「RESURGE」などについて分析し、詳細を明らかにするとともに、製品利用者へ注意喚起を行った。

重要インフラで利用していた「Ivanti Connect Secure」より回収された3件のファイルを分析。Ivanti製品に確認されたバッファオーバーフローの脆弱性「CVE-2025-0282」を悪用して展開された「RESURGE」をはじめ、「SPAWNSLOTH」の亜種、「BusyBox」やスクリプトを含むカスタムバイナリなど、これらファイルの解析情報を取りまとめたもの。

コマンド＆コントロールサーバと通信するため、「SSHトンネル」を作成する点など、既知のマルウェア「SPAWNCHIMERA」に類似性が見られるも、独自のコマンドを備えるなど挙動が変化していたという。

具体的には、ウェブシェルの設置、ファイルの改ざん、認証情報の収集、アカウントの作成、権限昇格などのコマンドを実行でき、Ivantiで用意している整合性チェックを回避することも可能となっていた。

またウェブシェルに関しては、Ivantiの起動ディスクへコピーし、ブートイメージそのものを改変。永続的に動作するという。

（Security NEXT - 2025/03/31 ）ツイート

Ivanti製品狙う「RESURGE」、米当局が検知や復旧方法を公開

関連リンク

PR

関連記事