新たに報告されたキャンペーンは、攻撃者がVMware ESXゼロデイを他の脆弱性と組み合わせ、ネットワークを守る機器への侵入を図っていることを示している。Help Net Securityによると、攻撃者はVMware ESXゼロデイを悪用して痕跡を隠し、その後PHP2Shellの脆弱性をFragnesiaと呼ばれるバグと連鎖させてファイアウォールをroot化した。情報源の見出しは、この活動を中国のハッカーによるものとしている。

公開されている概要は短いため、本記事は報告された内容にとどめ、大企業以外にとってもなぜ重要かを説明する。

VMware ESXゼロデイについて報告されたこと

報告から際立つ要素は3つある。

  • VMware ESXゼロデイ。 ゼロデイとは、修正プログラムが利用可能になる前に悪用される脆弱性のことである。ESXはハイパーバイザーであり、物理サーバー上で仮想マシンを実行するソフトウェアだ。報告によると、攻撃者はこの脆弱性を痕跡を隠すために使用した。つまり、検知を回避するのに役立ったということである。
  • PHP2Shellの脆弱性。 これらは別のバグと連鎖され、ファイアウォールのより深い制御を獲得するために使われた。
  • Fragnesia。 PHP2Shellと組み合わせることで、このバグは攻撃者にファイアウォールの「root化」を可能にした。これは、デバイスに対する最高レベルの制御を獲得することを意味する。

情報源の概要には、影響を受けるバージョンやパッチの状況といった技術的な詳細は記載されていないため、読者は推測せず、ベンダーのアドバイザリで具体的内容を確認すべきである。

攻撃者がファイアウォールや仮想化ホストを狙う理由

ファイアウォールとハイパーバイザーは特権的な位置にある。ファイアウォールはネットワークとインターネット間のトラフィックを監視・制御する。ハイパーバイザーは多数のシステムを同時にホストする。いずれかを侵害すれば、攻撃者は通常のエンドポイントセキュリティツールではしばしば見通せない有利な視点を得られ、これは今回のキャンペーンのステルス性というテーマに合致する。

連鎖も繰り返し見られるパターンである。攻撃者は1つのバグに頼るのではなく、複数を連鎖させて初期アクセスから完全な制御へと移行する。同様の行動は他の報告でも見られており、中国のUTA0565ハッカーがChromeとWindowsのゼロデイを連鎖させた事例や、中国寄りのグループがゼロデイの悪用を競う様子に関するProofpointの報告がある。共通するのはスピードと忍耐である。素早く悪用し、その後は静かに留まる。

あなたにとっての意味

ほとんどの家庭ユーザーはVMware ESXを運用していない。しかし多くの人がルーターやファイアウォールに依存しており、中小企業はネットワークの境界に位置するファイアウォールアプライアンスを運用していることが多い。侵害された境界デバイスは、そこを通過するトラフィック（閲覧活動や暗号化されていないデータを含む）を露出させる可能性があり、攻撃者はそれを足がかりにして他のデバイスに到達できる。

これはパニックになる理由ではない。報告は標的型キャンペーンを描写しており、概要には一般家庭が狙われていることを示す内容はない。しかし、ネットワークを保護するデバイス自体が弱点になり得るという有用な注意喚起ではある。国家関与のより広範な活動は個人にも影響を及ぼしており、ジャーナリストや活動家を標的にした中国支援のスパイ活動キャンペーンのように、リスクプロファイルの高い人々にとって基本的な衛生管理は重要である。

VPNは、デバイスとVPNサーバー間のトラフィックを暗号化することで層を追加し、侵害されたローカルルーターが見られる範囲を制限する。しかし、root化されたファイアウォールを修正するものではなく、パッチ適用の代わりにもならない。

自身のルーターやファイアウォールで確認できること

  1. ファームウェアを更新する。 管理ページまたは製造元のサイトで最新バージョンを確認し、インストールする。
  2. デバイスが対応していれば自動更新を有効にする。
  3. 本当に必要でない限りリモート管理を無効にし、管理ページをインターネットに公開しないようにする。
  4. デフォルトの認証情報を変更し、強力で固有の管理者パスワードを使用する。
  5. サポート対象外のハードウェアを交換する。 セキュリティ更新を受けられなくなったデバイスは、新たな脆弱性が現れても修正できない。
  6. ログと設定を確認し、見覚えのないアカウント、変更されたDNS設定、予期しないポートフォワードがないか調べる。
  7. VMware ESXや同様のインフラを運用している場合は、 ベンダーのセキュリティアドバイザリに従い、速やかにパッチを適用する。

攻撃者は作業を拡大するために自動化をますます利用しており、AIエージェントがアジア全域のハッキングを支えているというHunt.ioの調査結果にも見られるように、これは timely なパッチ適用をより重要にしている。

主なポイント

VMware ESXゼロデイのキャンペーンは、ステルス性と連鎖が今や有能な攻撃者にとって標準であり、境界デバイスが価値ある標的であることを思い起こさせる。ゼロデイが存在するかどうかを制御することはできないが、露出を短縮することはできる。ファームウェアを最新に保ち、自動更新を有効にし、リモートアクセスを厳格にし、サポート対象外の機器を退役させることだ。VPNは複数の層のうちの1つとして扱う。今日からルーターやファイアウォールのファームウェアバージョンを確認することから始めよう。