ESGアプライアンスを狙うバックドア「WHIRLPOOL」

ESGアプライアンスを狙うバックドア「WHIRLPOOL」

はじめに

昨今、企業にとって、電子メールを通じたやり取りは必要不可欠なものとなっています。それと同時に、電子メールを狙った脅威も増加しており、企業はセキュリティ対策の強化が求められています。

多くの企業が、電子メールのセキュリティ対策として、Barracuda Networks社のEmail Security Gateway（ESG）アプライアンスを導入しています。ESGアプライアンスは、迷惑メール対策やウイルス対策など、多層的なセキュリティ機能を備えており、多くの企業から信頼を得ています。

しかしながら、近年、このESGアプライアンスの脆弱性を突いた攻撃が確認されています。悪意のある攻撃者は、この脆弱性を悪用し、企業のシステムに侵入して機密情報を盗み出したり、システムを破壊したりする可能性があります。 そのため、ESGアプライアンスを利用している企業は、早急にセキュリティ対策を見直す必要に迫られています。

具体的には、Barracuda Networks社が提供するセキュリティパッチを適用したり、ESGアプライアンスのファームウェアを最新版にアップデートしたりするなどの対策が有効です。また、ファイアウォールや侵入検知システムなどの他のセキュリティ対策と組み合わせて、多層的なセキュリティ対策を構築することも重要です。

WHIRLPOOLとは

– WHIRLPOOLとはWHIRLPOOLは、特定の種類のESGアプライアンスに発見された、CVE-2023-2868として知られる脆弱性を突く攻撃手法です。この脆弱性は、悪意のある第三者にシステムへの侵入を許し、本来許可されていない操作を実行させてしまう危険性があります。WHIRLPOOLの巧妙な点は、Barracudaの正規サービスを装って活動することにあります。これは、セキュリティ対策ソフトや管理者の監視を潜り抜けやすく、発見をより困難にする要因となります。もし、対象となるESGアプライアンスを使用している場合、早急にWHIRLPOOLへの対策を講じる必要があります。具体的には、Barracudaから提供されるセキュリティパッチを適用する、怪しい通信を監視する、アクセス制限を強化するといった対策が有効です。WHIRLPOOLは、セキュリティ対策の重要性を改めて認識させる事例と言えるでしょう。常に最新の情報を入手し、システムを安全な状態に保つよう心がけることが重要です。

SEASPYとの連携

– SEASPYとの連携WHIRLPOOLは単独で動くバックドアではなく、SEASPYと呼ばれる別の悪意のあるプログラムと連携して動作することが確認されています。このSEASPYは、攻撃者が遠隔から被害者のシステムを操作する司令塔のような役割を担います。攻撃者はまず、WHIRLPOOLを仕掛けることで標的のシステムに侵入します。WHIRLPOOLはシステム内部に潜み、SEASPYとの通信経路を確保します。この通信経路は、攻撃者が用意した外部のサーバー、いわゆるC2サーバーとの間で確立されます。SEASPYは、このC2サーバーとWHIRLPOOLの間の通信を管理し、攻撃者の指示をWHIRLPOOLに伝えたり、WHIRLPOOLが収集した情報を攻撃者に送ったりします。攻撃者は、SEASPYを通じてWHIRLPOOLに様々な指示を出すことが可能になります。例えば、機密情報の探索、ファイルの改ざん、システムの機能停止など、悪意のある活動を実行させることができます。このように、WHIRLPOOLとSEASPYが連携することで、攻撃者は標的のシステムに対して持続的なアクセスを確立し、長期間にわたって悪意のある活動を行うことが可能になります。

WHIRLPOOLの動作

– WHIRLPOOLの動作WHIRLPOOLは、32ビットのELFファイル形式で提供される悪意のあるソフトウェアです。ELFファイルは、主にLinuxなどのUNIX系OSで使用される実行ファイル形式の一つであり、WHIRLPOOLはこの形式を利用して標的のシステムに侵入します。攻撃が開始されると、WHIRLPOOLはまず、攻撃者が用意した外部のサーバーであるC2サーバーと通信を行います。この際、WHIRLPOOLはC2サーバーから、攻撃の指示や次の活動に必要な情報を受け取ります。具体的には、C2サーバーのIPアドレスとポート番号を受信し、それらを用いて標的システムへの侵入経路を確保します。WHIRLPOOLは、通信の安全性を確保するためにTLS(Transport Layer Security)プロトコルを利用したリバースシェルを構築します。リバースシェルとは、標的となるシステムから攻撃者のシステムへの接続を確立する技術であり、外部からの侵入を困難にするファイアウォール等のセキュリティ対策を回避するために利用されます。こうして確立されたリバースシェルを通じて、攻撃者は標的システムと自由に通信できるようになり、まるで自分の端末を操作するかのように、遠隔から様々なコマンドを実行することが可能になります。これにより、攻撃者は機密情報の窃取やシステムの破壊活動など、様々な悪意のある活動を行うことが可能となります。

CISAによる警告

– サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)からの注意喚起近年、環境、社会、ガバナンス(ESG)への意識が高まり、企業活動においてもESGへの取り組みが重視されるようになりました。それに伴い、企業のESG関連情報を一元管理するESGアプライアンスと呼ばれるシステムが導入されています。

しかしながら、2023年、このESGアプライアンスを狙ったサイバー攻撃が確認されました。攻撃者は「WHIRLPOOL」と呼ばれる脆弱性を利用し、システムへの不正アクセスを試みたとされています。

この事態を受け、アメリカのサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、WHIRLPOOLに関する詳細な分析レポートを公表しました。このレポートには、WHIRLPOOLの仕組みや攻撃の手法、具体的な対策方法などが詳しく記載されています。

CISAは、ESGアプライアンスを導入している全ての組織に対し、早急にセキュリティパッチを適用するよう強く求めています。また、システムのセキュリティ対策を見直し、最新の状態に保つことが重要です。その他、従業員に対するセキュリティ意識向上のための研修なども有効な対策として挙げられています。

対策

– 対策悪意のある攻撃から大切な情報を守るためには、いくつかの対策を組み合わせることが重要です。 これらの対策をしっかりと行うことで、安全性を高めることができます。-# システムの最新状態を維持する情報機器やソフトウェアは、常に最新の状態で利用することが大切です。新たに発見された脆弱性や問題に対応するため、開発元が提供する更新プログラムを迅速に適用しましょう。 古いまま放置すると、攻撃者に狙われやすくなってしまいます。-# 多層防御でセキュリティを強化する一つの対策だけでは、巧妙化する攻撃を防ぎきれません。 複数のセキュリティ対策を組み合わせることで、より強固な防御体制を築きましょう。例えば、外部からの不正なアクセスを防ぐ「ファイアウォール」、怪しい活動を検知する「侵入検知システム」、有害なプログラムの活動を止める「ウイルス対策ソフト」などがあります。 これらを併用することで、多層的な防御壁を作り、攻撃のリスクを大幅に減らすことができます。-# セキュリティ意識の向上セキュリティ対策は、システムだけでなく、利用する人の意識も大切です。 従業員一人ひとりが、セキュリティの重要性を理解し、日頃から注意を払うことが重要です。具体的には、不審なメールを開かない、怪しいウェブサイトにアクセスしない、パスワードを定期的に変更するなどの基本的な対策を徹底する必要があります。 また、企業は、従業員向けにセキュリティに関する教育や訓練を定期的に実施し、最新の脅威情報や対策方法を共有することが重要です。これらの対策を総合的に講じることで、システムを悪意のある攻撃から効果的に保護することができます。