米サイバー軍が「Outlook」の脆弱性を悪用した活動について警告

　米サイバー軍は、「Outlook」の脆弱性を活発に悪用する動きが見つかっているとして、Twitterで警告している。政府のネットワークにマルウェアを潜り込まれる恐れがあるとみられる。

　この脆弱性は、Microsoftが2017年10月の月例パッチで修正したCVE-2017-11774だ。

　SensePostのセキュリティ研究者が発見したこのOutlookの脆弱性が悪用されると、攻撃者がOutlookのサンドボックスを回避し、Outlookが実行されているOS上で任意のコードを実行することが可能になる。

過去にはイランのハッカーがこの脆弱性を利用

　この不具合は2017年の秋にSensePostの研究者によって非公開の形で報告されたものだが、2018年にはイラン政府の後援を受けたハッキンググループ「APT33」（Elfinとも呼ばれる）によって兵器化された。同グループは、ディスクを消去するマルウェア「Shamoon」を開発した可能性があることで知られている。

　2018年12月後半には、APT33のハッカーがこの脆弱性を悪用してウェブサーバーにバックドアを仕掛ける活動を行っていたとの報告もあったとされる。同グループは後に、被害者のシステムをマルウェアに感染させるために、このバックドアを利用してCVE-2017-11774を悪用する攻撃コードを被害者の受信箱に送り込んだという。

　CVE-2017-11774を利用した攻撃が進められていたとされるのは、APT33が開発した別のハッキングツールである、悪名高いShamoonの変種の発見を報告するレポートが公表されたのと同じ頃だ。

　当時、FireEyeのAPT33に関するレポートとShamoonの配布の間につながりがあることを示す証拠はなかった。

　しかし米国時間7月2日、Chronicle Securityの研究者Brandon Levene氏は、米ZDNetへの電子メールで、米サイバー軍がアップロードしたマルウェアのサンプルは、2017年1月前後に発生したShamoon関連の活動と関係があるように見えると話した。

　またLevene氏は、もしCVE-2017-11774とこれらのマルウェアサンプルの間に関係に関する見方が事実であれば、Shamoonの攻撃を実行したグループが、どのように標的を攻撃したかについての手がかりが得られるかもしれないとしている。

イランによるハッキング活動の増加

　米サイバー軍のTwitterアカウントは、経済的な動機から活動するハッカーについては扱っておらず、対象を米国の敵対国だけに絞っている。この日公表されたマルウェアサンプルは、米サイバー軍が観測している新たな攻撃（米国の組織に対して行われている新たな攻撃である可能性が高い）と、以前のAPT33のマルウェアサンプルを結びつけるもののようだ。

　米サイバー軍はAPT33を名指ししたわけではないが、Symantecは数カ月前、APT33の活動が活発になっていると警告している。

　米サイバー軍は、米国政府のネットワークを攻撃するマルウェアを分析しているだけでなく、サイバー攻撃作戦の実施も担っている。米国防総省は6月、イラン軍が米国の偵察ドローンを撃墜したことを受けて、イランのロケット弾やミサイルなどを管理するシステムに対してサイバー攻撃を実施している。イランのハッカーが米国政府のネットワークを攻撃し、米国がそれに対抗している状況を考えれば、この2国はすでに極めて静かで極めて非公式なサイバー戦争の最中にあると考えることもできるだろう。

　Levene氏はまた、米サイバー軍がTwitterアカウントでロシア以外のマルウェアに関する情報を公表したのはこれが初めてだと指摘している。

USCYBERCOM has discovered active malicious use of CVE-2017-11774 and recommends immediate #patching. Malware is currently delivered from: 'hxxps://customermgmt.net/page/macrocosm' #cybersecurity #infosec

— USCYBERCOM Malware Alert (@CNMF_VirusAlert) 2019年7月2日