事例S=1:500S=1:100
MITRE への侵入：Ivanti VPN のゼロデイと多要素認証の回避
当時まだ修正のなかった Ivanti の VPN 機器の2つの欠陥で、多要素認証を素通りされた。
1 概要
2024年1月から、攻撃者は Ivanti Connect Secure の2つのゼロデイ脆弱性を使って MITRE の VPN の一つに侵入し、研究用ネットワーク NERVE の VMware 基盤に入り込んだ。MITRE は2024年4月に公表した。ランサムウェアではなく諜報型の侵入で、MITRE は中国の国家主体の攻撃者によるものとしている。
推定原因: 当時まだ修正のなかった Ivanti の VPN 機器の2つの欠陥で、多要素認証を素通りされた。
出典: MITRE MITRE Concludes Its Internal Cyber-Attack Investigation
S=1:100 2 事実情報
2.1 侵入口
MITRE は、多要素認証を回避した Ivanti Connect Secure の2つのゼロデイ脆弱性が関わる事案だったと公表した。攻撃者はそれを使って MITRE の VPN の一つに侵入し、セッションを乗っ取って先へ進んだ。
出典: MITRE MITRE Concludes Its Internal Cyber-Attack Investigation
- 製品
- Ivanti Connect Secure
- CVE
- CVE-2023-46805, CVE-2024-21887
2.2 侵入後
攻撃者は VPN のセッションを乗っ取り、管理者アカウントで VMware 環境に横展開し、足場と永続化のための仮想マシンを作り、Web シェルとバックドアを仕掛けた。MITRE は VMware 基盤への横展開を検知できなかったと述べている。
2.3 被害
研究・試作用のネットワーク NERVE が侵害された。MITRE は法執行機関と外部のフォレンジック企業とともに調査した。
2.4 経過表
| 時刻 | 主体 | 出来事 | 出典 |
|---|---|---|---|
| 2024-01 | 侵入者 | Ivanti の2つのゼロデイで MITRE の VPN の一つへの侵入を始める。 | Help Net Security |
| 2024-04 | MITRE | 研究ネットワーク NERVE への侵入を公表。 | MITRE |
S=1:100 3 分析
| 項目 | 判断 | 出典 |
|---|---|---|
| Ivanti Connect Secure の2つのゼロデイが使われ、多要素認証が回避された。 | 記載 | MITRE |
| VMware への横展開は検知されなかった。 | 記載 | Help Net Security |
| MITRE が侵害に最初に気づいた時期。 | 不明 | Help Net Security |
S=1:100 4 結論
MITRE は法執行機関と外部のフォレンジック企業とともに、中国の国家主体の攻撃者が多要素認証を回避する Ivanti Connect Secure の2つのゼロデイで侵入し、VMware 基盤まで進んだと結論した。
S=1:100 5 再発防止策
本調査で読んだ資料には、再発防止策の一覧は公表されていない。
出典
出典: MITRE MITRE Concludes Its Internal Cyber-Attack InvestigationHelp Net Security MITRE breached by nation-state threat actor via Ivanti zero-days