GhostContainer: 新しい脆弱性がバックドア マルウェアを介して Microsoft Exchange サーバーを攻撃します。

Kaspersky の Global Research and Analysis Team (GReAT) は、オープンソース ツール上に構築された、これまで検出されたことのない高度なタイプのマルウェアである GhostContainer と呼ばれる新しいバックドア マルウェアを発見しました。

カスペルスキーによれば、攻撃者がインフラに侵入した痕跡を一切残していないため、現時点では特定のハッキンググループの責任を特定することは不可能だという。

GReATチームは、Microsoft Exchangeを使用した政府システムへのインシデント対応中にこのマルウェアを発見しました。GhostContainerは、大手テクノロジー企業を含むアジアの重要組織を標的とした、高度かつ持続的なAPT攻撃キャンペーンの一部であると考えられています。

カスペルスキーが発見した悪意のあるファイル「App_Web_Container_1.dll」は、実際には多機能バックドアであり、リモートから追加モジュールをロードすることで拡張・カスタマイズが可能です。このマルウェアは多数のオープンソースプロジェクトを活用し、検出を回避するために巧妙にカスタマイズされています。

GhostContainerがシステムにインストールされると、ハッカーは簡単にExchangeサーバーを完全に制御し、ユーザーに気付かれずに一連の危険な動作を実行できるようになります。このマルウェアは、正規のサーバーコンポーネントを巧妙に偽装し、様々な手法を用いて監視を回避し、ウイルス対策ソフトウェアによる検出やセキュリティ監視システムのバイパスを回避します。

さらに、このマルウェアはプロキシサーバーや暗号化トンネルとして機能するため、ハッカーが内部システムに侵入したり機密情報を盗んだりできる脆弱性を作り出します。この手口から、専門家はこのキャンペーンの主な目的はサイバースパイ活動である可能性が高いと推測しています。

カスペルスキーのアジア太平洋および中東・アフリカ地域グローバル調査分析チーム（GReAT）責任者であるセルゲイ・ロズキン氏は次のように述べています。「詳細な分析により、攻撃者はMicrosoft Exchangeサーバーへの侵入に非常に長けていることが明らかになりました。彼らはIISおよびExchange環境に侵入するために多数のオープンソースツールを活用し、容易に入手可能なオープンソースコードに基づいて高度なスパイツールを開発しています。私たちは、脅威の全体像をより深く理解するため、このグループの活動、攻撃の範囲、深刻度を継続的に監視していきます。」

GhostContainerは多数のオープンソースプロジェクトのコードを使用しているため、 世界中のサイバー犯罪グループやAPT攻撃による悪用に対して非常に脆弱です。特に、2024年末までにオープンソースプロジェクトで検出されたマルウェアパッケージは合計14,000個に達し、2023年末と比較して48%増加しました。この数字は、この分野におけるリスクレベルの上昇を示しています。

ビン・ラム

出典: https://www.sggp.org.vn/ghostcontainer-lo-hong-moi-tan-cong-may-chu-microsoft-exchange-thong-qua-ma-doc-backdoor-post805372.html