SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を

Google Threat Intelligence Group（GTIG）とGoogle傘下のMandiantは、SonicWallのリモートアクセス製品「Secure Mobile Access（SMA）100シリーズ」を標的とした攻撃キャンペーンが展開されていることを明らかにした。製品利用者に侵害されていないか確認するよう促している。

現地時間2025年7月17日にレポートを公開し、攻撃グループ「UNC6148」による「SMA 100シリーズ」を標的とした攻撃キャンペーンについて報告したもの。同社が確認した攻撃ではサポートが終了した機器が標的となっており、バックドア「OVERSTEP」が設置されていた。

同グループは、少なくとも2024年10月以降に活動していたと見られ、攻撃には事前に取得された管理者アカウント、セッショントークン、ワンタイムパスワードのシード値などを用いて侵入していた。

資格情報の窃取は2025年1月ごろより展開されていたと見られる。その際に「CVE-2021-20035」「CVE-2021-20038」「CVE-2021-20039」「CVE-2023-44221」「CVE-2024-38475」「CVE-2025-32819」など既知の脆弱性が悪用されたり、ブラックマーケットなど外部より入手していた可能性があるが詳細はわかっていない。

さらに5月ごろより、何らかの方法を用いて侵入し、VPNセッションを確立してアプライアンス上にルートキット「OVERSTEP」を展開、さらなる攻撃につなげていた。侵入経路は不明だが、事前に取得した資格情報にくわえて、ゼロデイ脆弱性が悪用された可能性もあると指摘している。

使用されたマルウェアの「OVERSTEP」は、システム起動時に自動で実行されるよう永続性が確保されていた。ファイル操作系APIのフックを用いたり、ログを削除して活動を隠蔽。バックドアとなるリバースシェルを起動し、アクセス経路を確保するという。

（Security NEXT - 2025/07/24 ）ツイート

SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を

関連リンク

PR

関連記事