Microsoftは、イランの国家による支援を受けたハッカーが現実世界のハッキングキャンペーンで「Zerologon」脆弱性を悪用していると明らかにした。
Microsoftは米国時間10月5日、Microsoft Threat Intelligence Center（MSTIC）が、国家の支援を受けたアクターMERCURYによる攻撃を検知しており、少なくとも2週間前から続いているとツイートした。
MSTIC has observed activity by the nation-state actor MERCURY using the CVE-2020-1472 exploit (ZeroLogon) in active campaigns over the last 2 weeks. We strongly recommend patching. Microsoft 365 Defender customers can also refer to these detections: https://t.co/ieBj2dox78
— Microsoft Security Intelligence (@MsftSecIntel) October 5, 2020
MSTICが攻撃に関係しているとするMERCURYは、イランが関与するハッカーグループとみられ、「MuddyWater」として広く知られている。
Microsoftの「Digital Defense Report」によると、MERCURYは、「難民関連の仕事に関与する多数の標的」を危険にさらしたほか、「中東のネットワークテクノロジープロバイダー」を標的としたという。
Zerologon（CVE-2020-1472）は2020年に開示された最も危険な脆弱性の1つだと多方面で説明されている。「Netlogon」プロトコルの実装に存在する特権昇格（EoP）の脆弱性だ。この脆弱性が悪用された場合、企業ネットワークでドメインコントローラーとして機能している「Windows Server」を簡単に乗っ取られてしまう可能性があるとされている。つまり実質的に組織の内部ネットワークを乗っ取ることができる恐れがあるとみられている。
Microsoftは8月、Zerologonのパッチをリリースした。このバグに関する詳細は9月に明らかにされた。
その後米国土安全保障省（DHS）は、連邦機関に対して、3日以内にドメインコントローラーに対するパッチを適用するか、さもなければ連邦機関のネットワークからドメインコントローラーを切り離すよう緊急指令を発出している。
Microsoftのセキュリティインテリジェンスチームは9月下旬、Zerologon脆弱性が実際に悪用されていることを確認しているとしていた。
Microsoft is actively tracking threat actor activity using exploits for the CVE-2020-1472 Netlogon EoP vulnerability, dubbed Zerologon. We have observed attacks where public exploits have been incorporated into attacker playbooks.
— Microsoft Security Intelligence (@MsftSecIntel) September 24, 2020
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
