SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を

設定ファイルのエクスポートやインポートが行われていたほか、VPN機器内の証明書やワンタイムパスワードのシード情報、データベース「SQLite」の情報を収集していた。

標的とされた組織の情報がリークサイトに公開されたという。また「UNC6148」の活動は、ランサムウェア「Abyss」など過去の攻撃と類似点が確認されている。

SonicWallでは現地時間2025年7月23日にアップデートを公開し、「SMA 100シリーズ」に関する重要度が「クリティカル（Critical）」とされる脆弱性「CVE-2025-40599」を修正。同社は「CVE-2025-40599」の悪用について確認されていないとしている。

Googleではサポートが終了した機器が標的になったとしており「CVE-2025-40599」との因果関係はわかっていないが、GTIGとMandiantによりゼロデイ攻撃の疑いが指摘されている点にもアドバイザリで言及。「IoC（Indicators of Compromise）」情報をもとにユーザーに対処を促している。

Mandiantは、証拠が確認されていない場合も、パスワード、ワンタイムパスワードのシード、証明書といったすべての資格情報をすぐに変更するよう推奨した。不審なVPN接続、ログを削除する操作、外部へのHTTP通信などが確認された場合は、アプライアンスをネットワークから隔離し、フォレンジック調査を実施するよう呼びかけている。

（Security NEXT - 2025/07/24 ） ツイート

PR

関連記事

マルチパートフォームデータを生成するnpmパッケージに脆弱性
「Chrome」のスクリプトエンジンに複数脆弱性 - アップデート公開
「CrushFTP」脆弱性、すでに被害も - 開示過程でトラブル
「SharePoint」「FortiWeb」の脆弱性悪用に警告 - 即日対応の緊急要請も
「Sophos Firewall」に複数の「クリティカル」脆弱性 - 対象機器は1％未満
「SharePoint Server」に深刻な脆弱性「ToolShell」 - すでに悪用も
セキュリティ管理ツール「Juniper Security Director」に脆弱性
「Java SE」にアップデート - 脆弱性11件を解消
「Livewire」にRCE脆弱性 - すみやかにアップデートを
「Cisco ISE」にクリティカル脆弱性を追加 - 旧パッチでは未対処