SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を

設定ファイルのエクスポートやインポートが行われていたほか、VPN機器内の証明書やワンタイムパスワードのシード情報、データベース「SQLite」の情報を収集していた。

標的とされた組織の情報がリークサイトに公開されたという。また「UNC6148」の活動は、ランサムウェア「Abyss」など過去の攻撃と類似点が確認されている。

SonicWallでは現地時間2025年7月23日にアップデートを公開し、「SMA 100シリーズ」に関する重要度が「クリティカル（Critical）」とされる脆弱性「CVE-2025-40599」を修正。同社は「CVE-2025-40599」の悪用について確認されていないとしている。

Googleではサポートが終了した機器が標的になったとしており「CVE-2025-40599」との因果関係はわかっていないが、GTIGとMandiantによりゼロデイ攻撃の疑いが指摘されている点にもアドバイザリで言及。「IoC（Indicators of Compromise）」情報をもとにユーザーに対処を促している。

Mandiantは、証拠が確認されていない場合も、パスワード、ワンタイムパスワードのシード、証明書といったすべての資格情報をすぐに変更するよう推奨した。不審なVPN接続、ログを削除する操作、外部へのHTTP通信などが確認された場合は、アプライアンスをネットワークから隔離し、フォレンジック調査を実施するよう呼びかけている。

（Security NEXT - 2025/07/24 ） ツイート

PR

関連記事

「ManageEngine ADAudit Plus」に脆弱性 - 4月に修正実施
「BIND 9」にキャッシュ汚染など複数脆弱性 - 修正版を公開
WordPress向けSSOプラグインに認証回避の脆弱性
「Chrome」に今月5度目のセキュリティ更新 - 脆弱性4件に対処
「Dell PowerProtect Data Manager」にアップデート - 脆弱性359件を修正
「SharePoint」「Check Point」の脆弱性悪用で警告 - 米当局
「Node.js」、セキュリティ更新を7月27日にリリース予定
Check Point製品の管理機能に脆弱性 - すでに悪用も、侵害調査を
管理甘い「家庭用IoT機器」、犯罪の踏み台に - 官民連携で対策へ
「Firefox 153」など公開、脆弱性を修正 - ESR版は重要度「クリティカル」