Ciscoのメールセキュリティ製品にゼロデイ攻撃 - 構成や侵害状況の確認を

同社では現地時間2025年12月10日にあらたな攻撃キャンペーンとして脆弱性の悪用を確認。攻撃は少なくとも2025年11月下旬ごろより展開されているという。

利用しているツールやインフラなどから、中国系のグループによる攻撃キャンペーンの可能性があると同社は評価。攻撃グループを「UAT-9686」として追跡している。

攻撃キャンペーンの調査は現在も継続中だが、脆弱性が悪用され、マルウェア「AquaShell」が機器上に設置されていたことが明らかとなった。

「HTTP」経由で任意のコマンドを実行できるウェブシェルで、永続的にアクセスするためのバックドアとして動作する。

さらに攻撃キャンペーンでは、SSHによるリバーストンネルを確立する「AquaTunnel」、ログの痕跡を削除する「AquaPurge」、トンネリングツール「Chisel」などの利用も確認された。

（Security NEXT - 2025/12/18 ）ツイート