SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を

設定ファイルのエクスポートやインポートが行われていたほか、VPN機器内の証明書やワンタイムパスワードのシード情報、データベース「SQLite」の情報を収集していた。

標的とされた組織の情報がリークサイトに公開されたという。また「UNC6148」の活動は、ランサムウェア「Abyss」など過去の攻撃と類似点が確認されている。

SonicWallでは現地時間2025年7月23日にアップデートを公開し、「SMA 100シリーズ」に関する重要度が「クリティカル（Critical）」とされる脆弱性「CVE-2025-40599」を修正。同社は「CVE-2025-40599」の悪用について確認されていないとしている。

Googleではサポートが終了した機器が標的になったとしており「CVE-2025-40599」との因果関係はわかっていないが、GTIGとMandiantによりゼロデイ攻撃の疑いが指摘されている点にもアドバイザリで言及。「IoC（Indicators of Compromise）」情報をもとにユーザーに対処を促している。

Mandiantは、証拠が確認されていない場合も、パスワード、ワンタイムパスワードのシード、証明書といったすべての資格情報をすぐに変更するよう推奨した。不審なVPN接続、ログを削除する操作、外部へのHTTP通信などが確認された場合は、アプライアンスをネットワークから隔離し、フォレンジック調査を実施するよう呼びかけている。

（Security NEXT - 2025/07/24 ）ツイート

SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を

関連リンク

PR

関連記事