事例S=1:500S=1:100
ボーイングのランサムウェア被害：侵入経路と経過
リモートアクセス用ゲートウェイ NetScaler の欠陥で正規のセッションを乗っ取られ、パスワードも多要素認証も問われなかった。
1 概要
2023年10月下旬に LockBit がリークサイトにボーイングを掲載した時点で、ランサムウェアの攻撃者はボーイングの部品流通事業に侵入していた。ボーイングは飛行の安全には影響しないサイバーインシデントと発表した。ボーイングの情報をもとにした米豪の共同勧告は、初期アクセスは NetScaler の CVE-2023-4966（Citrix Bleed）によるものだったとしている。
推定原因: リモートアクセス用ゲートウェイ NetScaler の欠陥で正規のセッションを乗っ取られ、パスワードも多要素認証も問われなかった。
出典: CISA・FBI・MS-ISAC・ASD's ACSC（共同） #StopRansomware: LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability (AA23-325A)
侵入口は Citrix NetScaler ADC / Gateway。第3章で扉の一つとして扱うリモートアクセス用のゲートウェイである。
S=1:100 2 事実情報
2.1 侵入口
ボーイングが提供した情報をもとにした共同勧告 AA23-325A は、LockBit 3.0 の実行者が CVE-2023-4966 を悪用してボーイング・ディストリビューションへの初期アクセスを得たのをボーイングが確認した、と記している。
出典: CISA・FBI・MS-ISAC・ASD's ACSC（共同） #StopRansomware: LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability (AA23-325A)
- 製品
- Citrix NetScaler ADC / Gateway
- CVE
- CVE-2023-4966
2.2 侵入後
勧告によれば、攻撃者は正規のセッションを乗っ取り、認証情報を収集し、横展開し、リモート管理ツールやスクリプトを使った。
2.3 被害
ボーイングは、部品流通事業の一部が影響を受け、飛行の安全には影響がないとした。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2023-10ごろ | 侵入者 | LockBit 3.0 の実行者が CVE-2023-4966 で初期アクセスを得る（日付の記載なし）。 | CISA・FBI・MS-ISAC・ASD's ACSC（共同） |
| 2023-11-02 | ボーイング | 報道に対しサイバーインシデントを認め、飛行の安全には影響しないと説明。 | TechCrunch |
| 2023-11-21 | CISA ほか | 共同勧告 AA23-325A を公表。 | CISA・FBI・MS-ISAC・ASD's ACSC（共同） |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| 初期アクセスは NetScaler ADC / Gateway の CVE-2023-4966 による。 | 記載 | CISA・FBI・MS-ISAC・ASD's ACSC（共同） |
| この欠陥では、正規のセッションを乗っ取ることでパスワードと多要素認証を回避できる。 | 記載 | CISA・FBI・MS-ISAC・ASD's ACSC（共同） |
S=1:100 4 結論
勧告は、LockBit 3.0 の実行者が CVE-2023-4966 でボーイング・ディストリビューションへの初期アクセスを得たとし、この欠陥で認証が素通りされる仕組みを説明している。
S=1:100 5 再発防止策
提言・実施の主体: CISA・FBI・MS-ISAC・ASD's ACSC
- NetScaler 機器は更新が済むまで隔離する。
- 修正済みのバージョンに更新する。
- 侵害の痕跡を探す。
- 認証情報を変更する。
出典: CISA・FBI・MS-ISAC・ASD's ACSC（共同） #StopRansomware: LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability (AA23-325A)
出典
出典: CISA・FBI・MS-ISAC・ASD's ACSC（共同） #StopRansomware: LockBit 3.0 Ransomware Affiliates Exploit CVE 2023-4966 Citrix Bleed Vulnerability (AA23-325A)TechCrunch Boeing confirms ‘cyber incident’ after ransomware gang claims data theft