Cisco ファイアウォール製品のゼロデイ脆弱性を狙うサイバー攻撃集団

セキュリティブログ「Security Affairs」によると、APT組織「UAT4356」が Cisco のASAとFTDファイアウォールのゼロデイ脆弱性２件を2023年11月からエクスプロイトしてきたそうです。 Cisco のTalosチームはこのキャンペーンに「ArcaneDoor」という名前を付けて追跡しています。今までUAT4356が配布したマルウェアは「Line Runner」と「Line Dancer」というバックドアで、主に政府機関のネットワークで被害が見つかっています。正確な被害の規模と対象は公開されていません。問題の脆弱性はCVE-2024-20353とCVE-2024-20359だそうです。前者はDDoSの脆弱性、後者はローカルコード実行の脆弱性です。

Line Runnerは、ASAデバイスから攻撃者が持続的な攻撃を行えるようにするツールで、Line Dancerはメモリから任意シェルコードを実行させるツールです。UAT4356は「STORM-1849」とも呼ばれ、まだその正体については知られていません。

Cisco Talosチームは、「ネットワークの外を保護するのは時代に遅れる防御戦略だと言いますが、攻撃者は依然として外も狙っています。攻撃者が内部のデータを狙うとしても外のネットワークのデバイスを狙わないとは言い切れません。」と加えました。