「Microsoft Outlook」の脆弱性を狙う攻撃【前編】

「Microsoft Outlook」がパッチ公開後も狙われ続ける事態に

「Microsoft Outlook」に存在する脆弱性を悪用する攻撃者集団の攻撃活動が明らかになった。Microsoftがパッチを公開済みであるにもかかわらず、危険な状況が続いているのはなぜか。

公開 2024年01月18日 05時02分

[TechTarget]

印刷する連載新着通知を受け取る

　Microsoftは2023年3月、メールクライアント「Microsoft Outlook」における深刻な脆弱（ぜいじゃく）性「CVE-2023-23397」を公開した。この脆弱性には、共通脆弱性評価システム（CVSS：Common Vulnerability Scoring System）で9.8点のスコアが付いている。同社はその後アドバイザリー（セキュリティに関する情報）を公開し、「CVE-2023-23397が悪用された形跡は2022年4月にさかのぼる」と説明した。

　米国のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、CVE-2023-23397を既知の脆弱性カタログに追加し、優先的に対処すべき脅威であると判断した。Microsoftはパッチ（更新プログラム）を提供しているが、同社によれば依然として危険な状況が続いている。

Microsoftによるパッチ公開後も続く“危ない状況”

併せて読みたいお薦め記事

Windows製品／サービスの脆弱性

　Microsoftによると、エンドユーザーの操作を必要としない特殊なメールを攻撃者が送信することにより、CVE-2023-23397を悪用できるようになる可能性がある。その攻撃を回避するために、同社はMicrosoft Outlookをできるだけ早く更新するようユーザー企業に呼び掛けた。だが、ユーザー企業のMicrosoft Outlookは、依然として脆弱なままだ。

　同社は2023年12月に、同年3月に公開したブログエントリ（投稿）を更新し、パッチを適用していないMicrosoft Outlookに対して、CVE-2023-23397を悪用し続けている攻撃者集団の存在を明らかにした。その攻撃者集団が、ロシアの国家支援を受けている「Forest Blizzard」（「Fancy Bear」または「APT 28」としても知られる）だ。

　ポーランドのサイバーセキュリティを防衛する国家組織Wojsk Obrony CyberprzestrzeniはForest Blizzardの攻撃活動を検出し、Microsoftに報告した。同社によると、Forest Blizzardは権限昇格に関する脆弱性を悪用して、メールサーバ「Microsoft Exchange」内のメールアカウントに不正侵入している。

　Forest Blizzardは、米国、欧州、中東の政府、エネルギーおよび運輸企業を標的に活動する攻撃者集団だ。ゼロデイ脆弱性（パッチ未配布の脆弱性）を悪用し、人の心理を巧みに操って意図通りの行動をさせる「ソーシャルエンジニアリング」を使用してきた歴史がある。これまでに米国の民主党全国委員会（DNC：Democratic National Committee）や国際オリンピック委員会（IOC：International Olympic Committee）などが攻撃対象となってきた。

　「新しい技術とマルウェアを採用することで、Forest Blizzardはより洗練された痕跡を残すようになった」とMicrosoftは説明する。これはForest Blizzardが十分な資金とよく訓練された人材を有することを意味し、その活動の帰属先や追跡に長期的な課題を突き付けるものだ。

　Microsoft ExchangeやMicrosoft Outlookのメールアカウントに対する攻撃は後を絶たない。2023年7月には、中国が支援する攻撃者集団「Storm-0058」が、Microsoftの企業ネットワークに侵入して署名鍵を盗み出し、米国政府機関のMicrosoft Outlookアカウントを侵害した。

　次回は、Wojsk Obrony Cyberprzestrzeniが分析したForest Blizzardの活動の詳細を紹介する。