セキュリティ製品のゼロデイ脆弱性を突くことに長けた中国系とみられるハッカーが、再び動き出しました。研究者らの調査により、BeyondTrustの顧客を狙った攻撃が8月下旬までさかのぼることがわかっています。
Mandiantの研究者によると、中国政府の支援を受けているとみられるスパイ集団が、この深刻な脆弱性「CVE-2026-102764」を悪用しました。同集団はこれまで「UNC5221」として追跡されてきましたが、現在は「Armory Castle」と呼ばれています。攻撃者は侵入後、権限昇格、侵害したネットワーク内の横展開、検知の回避といった複数の手口を駆使していました。
この攻撃グループは、2023年以降、Ivanti製品の一連の脆弱性を繰り返し悪用してきました。また、「CitrixBleed」として広く知られるCitrix NetScalerのゼロデイ脆弱性も突いています。さらに、平均潜伏期間が400日に及んだ昨年のBrickstorm攻撃キャンペーンも実行しており、いずれも広範囲に被害をもたらしました。
Google Threat Intelligence Group（GTIG）のシニアアナリストであるKelli Vanderlee氏は、メールで次のように述べました。「現時点で影響を受けたことを把握している組織はごく少数です。ただ、この活動が巧妙に隠されていたことやゼロデイが使われたことを考えると、脆弱性の公表前に、ほかにも侵害を受けた組織がある可能性があります」
Mandiantは、各組織に対して「広範な悪用に備える」よう警告しました。Armory Castleやほかの攻撃グループは過去にも、脆弱性の公表後に無差別的で大規模な悪用を行ったことがあるためです。
MandiantとGTIGは、Armory Castleと今回の攻撃キャンペーンに関する分析を公開しました。これと同じ木曜日に、BeyondTrustもRemote Supportの脆弱性を公表しています。同社のセキュリティチームによると、悪用された脆弱性へのパッチは、セルフホスト型の顧客向けに10月8日に公開しました。クラウド版には同日、更新を自動で適用したということです。
BeyondTrustは独自に調査を進め、侵害されたセルフホスト型の顧客をめぐる調査ではMandiantと連携しました。そのうえで、Armory Castleの手際の良さを指摘しています。
同社のセキュリティチームはブログ記事で、次のように述べました。「この攻撃者は被害者ごとにインフラとツールを入れ替えるため、攻撃元の特定は行動に基づいて行うことになります。ある侵入で確認された痕跡が、次の侵入でも使われることはほとんどありません。この攻撃者は以前から、運用上のセキュリティに対する高い意識、プロフェッショナルな手法、そして優れた技術を示してきました」
BeyondTrustの広報担当者は、すでに何社が侵害されたのかという質問や、積極的に悪用されていたゼロデイをなぜもっと早く公表しなかったのかという質問への回答を控え、セキュリティアドバイザリーを参照するよう述べるにとどまりました。
同社によると、ゼロデイが悪用された最初の事例は8月29日で、9月28日に検知して封じ込めたということです。
BeyondTrustはまた、9月27日に別のセキュリティベンダーの製品でゼロデイの悪用が確認されたことを受けて、今回の不正な活動を検知したとしています。このタイミングは、Citrix NetScalerが公表した一連のゼロデイと一致します。公表までの2日近く、憶測が飛び交い、不安が広がっていました。
BeyondTrustは、3週間以上も気づかれなかったCitrix NetScalerへの攻撃と、自社のリモートアクセス製品への攻撃との間に関連や重複があるかどうかについては言及していません。
GTIGの研究者らは、標的の全体的な傾向を評価できるだけの証拠はないとしています。そのうえで、脆弱性の影響を受ける可能性があるすべての組織に対し、パッチを適用し、公表前の不審な活動がなかったか調査するよう促しました。
この攻撃グループがこれまでに標的としたのは、ビジネスプロセスアウトソーシング事業者、政府機関、法律サービス、テクノロジー企業、SaaS事業者などです。
GTIGのテクニカルリードであるDan Perez氏は、次のように述べました。「Armory Castleは、依然として最も目立つ中国系の攻撃グループの一つです。さまざまなエッジデバイス技術を執拗に狙い、ゼロデイ脆弱性を使って複数の業界や地域に広く攻撃を仕掛けています。そのうえ、ツールも絶えず拡充・進化させています」
Vanderlee氏は次のように述べています。「これはArmory Castleの確立された手口です。エッジデバイスは通常、EDR（エンドポイントでの検知と対応）に対応していません。そこを狙えば、攻撃者は検知される機会を最小限に抑えながら、標的ネットワークへのステルス性の高い持続的なアクセスを維持できます」
翻訳元: https://cyberscoop.com/china-espionage-attacks-beyondtrust-zero-day-armory-castle/
