攻撃者の狙いがわかれば手厚く防御すべき場所が明らかになります。

2021年12月9日、Apache Log4j 2のリモート コード実行(RCE)ゼロデイ脆弱性が、野放し状態で悪用されていることが明らかになりました。Log4Shellは、共通脆弱性評価システム(CVSS)によって、最高スコアである10に評価されました。

Log4j脆弱性の悪用を防ぐことを目的とした脅威防御シグネチャは、2月2日までに、1億2,600万回近くトリガされました。Log4jは、Unit 42が解析を行った数か月間しか公開されていなかったにもかかわらず、過去1年間で攻撃者がアクセスを確立するために脆弱性を悪用した事案のほぼ14%を占めました。

最近でも、6月23日にCISAは、悪意ある攻撃者が現在も引き続きVMware HorizonシステムのLog4Shellを悪用しているとの注意喚起を発表しました。

2021年9月16日、米国CISAは、高度な持続型脅威(APT)攻撃者が、パスワードのセルフサービス管理およびシングル サインオンのソリューションであるZoho ManageEngine ADSelfService Plusで新たに見つかった脆弱性を盛んに悪用しているとの警報を発しました。 その後、Unit 42は、TiltedTempleとして監視していた脆弱性を使用して、持続的に活発な攻撃を行う、検出が困難なキャンペーンの存在を発表しました。

このTiltedTempleキャンペーンは、テクノロジ、防衛、医療、エネルギー、金融、教育の各業界に属する13を超える標的を攻撃し、その目標は侵害された組織から機密文書を収集、窃取することと思われます。 Unit 42がインシデント対応した事案では、初期アクセスを確立するために攻撃者が悪用した脆弱性の約4%を、Zoho ManageEngine ADSelfService Plusが占めました。

しかし、観測された攻撃の一部の特徴から、脆弱性に関連するリスクを評価する場合に、単に件数を考慮するだけでは不十分であることが浮き彫りになりました。

ProxyShellとは、Microsoft Exchangeの3つの脆弱性、CVE-2021-34473、CVE-2021-34523、CVE-2021-31207を悪用することで動作する攻撃チェーンです。 この攻撃チェーンは、攻撃者によるリモート コード実行を可能とします。つまり物理的にアクセスすることなく、侵害されたシステム上で悪意あるコードを実行できるようになります。

2021年8月21日、米国のCISAはProxyShellに対して緊急勧告を発令しました。 攻撃者は、ProxyShell脆弱性が明らかになるや否や盛んに悪用しはじめました。攻撃者が脆弱性を悪用して初期アクセスを確立したUnit 42の事案の半分以上でProxyShellが使用されていました。