イランの支援を受けたハッカーが、1年前のバグを修正できなかった米国連邦政府機関に侵入した。

米政府のサイバーセキュリティ機関は、イラン政府の支援を受けたハッカーが、約1年前に修正された脆弱性「Log4Shell」に対するパッチを当てていなかった連邦政府機関に侵入したと発表した。

サイバーセキュリティ・インフラセキュリティ庁は木曜日に発表した警告の中で、連邦文民行政機関（FCEB）が2月初めにイラン政府のハッカーによって侵入されたと述べた。

CISAは、侵害を受けたFCEB機関の名前を明かさなかったが、そのリストには国土安全保障省、財務省、連邦取引委員会などが含まれている。また、CISAの広報担当者マイケル・フェルドマン氏は、TechCrunchが取材した際に質問への回答を拒否した。

CISAは、数ヶ月後の4月、連邦政府機関のネットワーク上で疑わしい活動が初めて確認されたと述べた。これは、連邦政府機関の民間ネットワークの保護に使用されている政府運営の侵入検知システム「Einstein」を用いた遡及分析中に行われたものだった。CISAは、ハッカーがパッチ未適用のVMware Horizo​​nサーバー上で、広く普及しているオープンソースのログ記録ソフトウェア「Log4j」の重大なゼロデイ脆弱性「Log4Shell」を悪用し、管理者レベルおよびシステムレベルのアクセス権で組織のネットワークへの初期アクセスを獲得したことを発見した。

VMwareは12月にHorizo​​nサーバ向けのセキュリティパッチをリリースしました。しかし、今回の侵害は、CISAがすべての連邦民間機関に対し、12月23日までにLog4Shellの脆弱性の影響を受けるシステムにパッチを適用するよう命じていたにもかかわらず発生しました。

CISAは、組織のネットワークに侵入した脅威アクターが、ハッカーが侵入したコンピュータ上で仮想通貨をマイニングするために一般的に悪用するオープンソースの暗号資産マイニングソフトウェアXMRigをインストールしたことを確認しました。攻撃者はまた、オープンソースの認証情報窃取ツールMimikatzもインストールし、パスワードを収集して新しいドメイン管理者アカウントを作成しました。この新しく作成されたアカウントを使用して、ハッカーはWindows Defenderを無効化し、複数のホストにNgrokリバースプロキシを埋め込み、将来のアクセス維持を図りました。

攻撃者は、不正なドメイン管理者アカウントが検出され終了した場合に備えて、バックアップとして複数のホスト上のローカル管理者アカウントのパスワードも変更しました。