RESURGE マルウェア: Ivanti デバイスを狙うサイバー脅威

RESURGEマルウェアは、特にIvanti Connect Secure (ICS)アプライアンスの脆弱性を狙った、高度なサイバーセキュリティの脅威として出現しています。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA)によると、RESURGE はSPAWNCHIMERAとして知られる以前に特定されたマルウェアの亜種をベースにしていますが、顕著な機能強化が行われており、より永続的で危険なものとなっています。

この記事は、不安を煽るのではなく、IT プロフェッショナル、セキュリティ アナリスト、組織に RESURGE とその仕組み、リスクを軽減するために何ができるかについて知らせることを目的としています。

RESURGE マルウェアとは何ですか?

RESURGE は、ルートキット、ドロッパー、バックドア、ブートキット、プロキシ、トンネラーとして動作できる多機能マルウェアです。これは、 CVE-2025-0282として識別される既知のセキュリティ脆弱性を悪用するために展開され、以前に Ivanti Connect Secure、Policy Secure、および Neurons for ZTA Gateways に影響を与えました。

この脆弱性はスタックベースのバッファオーバーフローの欠陥であり、攻撃者が悪意のあるコードをリモートで実行できるようになります。パッチを適用せずに放置すると、サイバー犯罪者が侵入したネットワークにステルスかつ永続的な足掛かりを築くことになる可能性があります。

CISA による RESURGE の分析では、中国を拠点とするスパイ グループ (UNC5337) に起因する SPAWN マルウェア エコシステムのアップグレード版である SPAWNCHIMERA との類似点が示唆されています。ただし、RESURGE は追加機能を組み込むことでさらに進化しており、サイバー侵入のより効果的なツールとなっています。

RESURGE はどのように機能しますか?

脆弱な Ivanti デバイスに展開されると、RESURGE は一連の高度な機能を実行します。

1. 永続性とシステム操作
   • システムの再起動後も存続し、デバイスの再起動後も存在が維持されます。
   • システムの整合性チェックを変更し、重要なファイルを変更して検出を回避します。
2. Web シェルの展開
   • これにより、Web シェル アクセスが可能になり、資格情報の盗難、不正なアカウント作成、パスワードのリセット、権限の昇格に悪用される可能性があります。
   • 攻撃者はこのアクセスを利用してシステムの制御を維持し、さらなる侵入を容易にすることができます。
3. ブートレベルの操作
   • RESURGE は、悪意のある Web シェルを Ivanti デバイスの実行中のブート ディスクにコピーする可能性があります。
   • また、実行中の coreboot イメージを操作する機能も備えており、システムレベルの詳細な制御が可能です。

RESURGE が懸念される理由は何ですか?

侵害されたシステムに RESURGE が存在すると、セキュリティに重大な影響が生じます。

• データ侵害とスパイ活動:攻撃者はマルウェアを使用して機密の資格情報を盗み、アクセス制御を操作し、情報を収集する可能性があります。
• ネットワーク侵害:マルウェアのプロキシおよびトンネリング機能により、バックドア接続が作成され、外部の脅威が気付かれずに内部ネットワークにアクセスできるようになります。
• マルウェアの進化: RESURGE が以前のマルウェア系統に基づいているという事実は、その運営者が戦術を継続的に改良していることを示唆しており、将来の亜種はさらに耐性が強くなり、検出が困難になる可能性があります。

注目すべきことに、マイクロソフトは CVE-2025-0282 の脆弱性を、中国に関連する別の脅威グループである Silk Typhoon (旧称 Hafnium) にも関連付けています。これは、複数のサイバースパイグループがさまざまな攻撃キャンペーンで Ivanti の脆弱性を積極的に悪用していることを示しています。

組織はどのようにして自らを保護できるでしょうか?

RESURGE は既知のセキュリティ上の欠陥を悪用するため、パッチの適用は依然として最も重要な防御戦略です。Ivanti は脆弱性を修正するアップデートをリリースしており、組織はこれらのパッチを直ちに適用するよう求められています。

セキュリティ チームは、パッチ適用以外にも、侵害のリスクを最小限に抑えるために追加の予防策を講じる必要があります。

• 資格情報のリセットとローテーション:
  • 影響を受けた可能性があるすべてのドメイン ユーザーとローカル アカウントのパスワードを変更します。
  • 不正アクセスを防ぐために、特権アカウントと非特権アカウントの資格情報をリセットします。
• アクセス ポリシーを確認して調整する:
  • 影響を受けるデバイスの管理者権限を一時的に取り消します。
  • 可能な場合は多要素認証 (MFA) を実装して、セキュリティをさらに強化します。
• 異常を監視する:
  • ネットワーク ログとシステム ログを積極的に確認して、異常なアクティビティ、特に不正アクセスの試みがないか確認します。
  • エンドポイント検出および応答 (EDR) ソリューションを導入して、潜在的なマルウェアの動作を検出し、無効化します。
• セキュリティ監査を実施する:
  • ファイアウォール ルール、システムの整合性、アクセス ログを定期的に監査して、不正な変更が行われていないことを確認します。
  • 侵害の影響を制限するために、重要なシステムと公開されているサービスの間に厳密なセグメンテーションを実装します。

結論

RESURGE マルウェアの発見は、サイバー脅威、特に国家が支援するスパイ活動に関連する脅威が常に進化していることを浮き彫りにしています。このマルウェアは非常に洗練されていますが、組織は警戒を怠らず、パッチを適用し、強力なセキュリティ ポリシーを実施することで、そのリスクを軽減できます。

サイバーセキュリティに対して積極的な姿勢を取ることで、企業や政府機関は、Ivanti アプライアンス、そしてより広範な IT インフラストラクチャを新たな脅威から保護し続けることができます。RESURGE は、サイバーセキュリティが一度限りの取り組みではなく、継続的な適応と防御のプロセスであることを思い出させてくれます。