Last Updated on 2024-07-04 04:57 by admin
中国に関連するハッカーが、Ciscoを含む複数のベンダーのネットワークデバイスを標的としたArcaneDoorサイバー攻撃の実行者である可能性があると、攻撃表面管理会社Censysが発表した。このサイバー諜報キャンペーンは2023年7月頃に開始され、2024年初頭に最初の確認された攻撃が検出された。攻撃は、未文書化の疑わしい洗練された国家支援アクターUAT4356（別名Storm-1849）によって行われ、Line RunnerとLine Dancerと呼ばれる2つのカスタムマルウェアの展開を含んでいた。侵入を容易にするために使用された初期アクセス経路はまだ発見されていないが、攻撃者はCisco Adaptive Security Appliancesの2つの現在修正された脆弱性（CVE-2024-20353およびCVE-2024-20359）を利用してLine Runnerを持続させていることが観察された。
Censysによると、攻撃者が管理するIPアドレスを調査した結果、攻撃者のインフラストラクチャと関連付けられたSSL証明書を提示するオンラインホストのうち4つがTencentおよびChinaNetの自律システム（AS）と関連付けられており、これは攻撃者が中国に基づく脅威アクターである可能性を示唆している。さらに、攻撃者が管理するIPアドレスの中には、パリに基づくホスト（212.193.2[.]48）があり、その主題と発行者は「Gozargah」と設定されているが、これはMarzbanという名前の反検閲ツールをホストするGitHubアカウントを参照している可能性がある。このソフトウェアは、中国語で書かれたウェブサイトを持つ別のオープンソースプロジェクトであるXrayに「動力を提供している」。これは、「これらのホストのいくつかが、偉大な防火壁を回避することを目的とした反検閲ソフトウェアに関連するサービスを実行していた」ことを意味し、「これらのホストの大部分が中国の著名なネットワークに基づいている」ことを示唆している。
フランスのサイバーセキュリティ会社Sekoiaは、2023年9月にPlugXトロイの木馬にリンクされたコマンドアンドコントロール（C2）サーバーを成功裏にsinkholeし、マルウェアのバリアントに関連付けられたIPアドレスを7ドルで取得したと発表した。このIPアドレス（45.142.166[.]112）のより密接な監視は、6か月間にわたって170カ国以上で249万以上のユニークなIPアドレスにわたるワームの存在を明らかにした。
【ニュース解説】
2023年7月頃に始まり、2024年初頭に最初の攻撃が確認されたArcaneDoorと名付けられたサイバー諜報キャンペーンは、Ciscoを含む複数のベンダーのネットワークデバイスを標的としています。この攻撃は、未文書化で疑わしい洗練された国家支援アクターであるUAT4356（別名Storm-1849）によって行われ、Line RunnerとLine Dancerという2つのカスタムマルウェアが展開されました。攻撃者は、Cisco Adaptive Security Appliancesの2つの修正済み脆弱性を利用して、Line Runnerを持続させることが観察されています。
Censysの調査によると、攻撃者が管理するIPアドレスの分析から、攻撃の背後に中国に基づく脅威アクターがいる可能性が示唆されています。特に、攻撃者のインフラストラクチャと関連付けられたSSL証明書を提示するオンラインホストのうち4つが、TencentおよびChinaNetの自律システム（AS）と関連付けられていることがこの仮説を支持しています。
さらに、攻撃者が管理するIPアドレスの中には、パリに基づくホストがあり、その主題と発行者が「Gozargah」と設定されています。これは、反検閲ツールMarzbanをホストするGitHubアカウントを参照している可能性があり、このツールは中国語で書かれたウェブサイトを持つXrayというオープンソースプロジェクトに「動力を提供している」とされています。これは、攻撃者が偉大な防火壁を回避する目的で反検閲ソフトウェアに関連するサービスを実行していたことを示唆しています。
このような攻撃は、国家支援のハッカーによるものと見られ、特にネットワークのエッジデバイスを標的とすることで、標的のインフラストラクチャ内での持続的なアクセスと情報収集を目的としています。これらの攻撃は、対象となる組織や国家のセキュリティ体制にとって重大な脅威をもたらし、サイバーセキュリティの強化と、特にネットワークデバイスの脆弱性への迅速な対応が求められます。
また、この攻撃キャンペーンは、国際的なサイバー諜報活動の複雑さと、国家間のサイバー戦争の新たな局面を示しています。サイバーセキュリティコミュニティは、このような脅威に対抗するために、情報共有と協力を強化する必要があります。同時に、個々の組織も、自らの防御策を見直し、強化することが重要です。
from China-Linked Hackers Suspected in ArcaneDoor Cyberattacks Targeting Network Devices.
