2021 Microsoft Exchange Server データ侵害

2021年1月、オンプレミスのMicrosoft Exchange Serverで4件のゼロデイ脆弱性が発見され、攻撃者が影響を受けたサーバーのユーザーのメールやパスワード、サーバーの管理者権限、同じネットワーク上の接続デバイスに完全にアクセスできるようになることから、サイバー攻撃とデータ侵害の世界的な波が始まりました。攻撃者は通常、バックドアをインストールします。これにより、サーバーが後で更新されて元の脆弱性がなくなった場合でも、攻撃者は影響を受けたサーバーに完全にアクセスできます。2021年3月9日時点で、米国の約3万の組織に属するサーバー、英国の7,000台のサーバー、^[8]に加えて、欧州銀行監督局、ノルウェー議会、チリの金融市場委員会（CMF）のサーバーを含む25万台のサーバーが攻撃の被害に遭ったと推定されています。^{[9] [10] [11] [12] [13] [14] [アップデート]}

マイクロソフトは2021年3月2日、この脆弱性を修正するMicrosoft Exchange Server 2010、2013、2016、2019の更新プログラムをリリースしたが、これによって遡及的に被害が元に戻ったり、攻撃者が設置したバックドアが削除されたりすることはない。中小企業、地方機関、地方自治体はサイバー脅威から身を守るための予算が少ないことが多く、サイバー攻撃に対処する専門知識を持たない地元のプロバイダーにITサービスをアウトソーシングすることが多いため、攻撃の主な被害者であることが知られている。 ^[15]

2021年3月12日、マイクロソフトは、最初に感染したサーバーに展開され、すべてのファイルを暗号化してサーバーを操作不能にし、被害を回復するために支払いを要求する「新しいランサムウェアファミリー」を発見したと発表した。 ^[16] 2021年3月22日、マイクロソフトは、Exchangeサーバーの92％でこのエクスプロイトが修正または緩和されたと発表した。^[17]

Microsoft Exchangeは電子メールサーバーソフトウェアであるため、ビジネスネットワークに侵入しようとするハッカーにとって価値の高いターゲットと考えられており、Microsoftによると、「管理者がメンテナンスに使用するのと同じ組み込みツールやスクリプトを使用して、攻撃者がさまざまなタスクを実行できる独自の環境」を提供しているとのことです。^[18]過去に、Microsoft Exchangeは複数の国家グループによって攻撃を受けました。^{[19] [20]}

2021年1月5日、セキュリティテスト会社DEVCOREがマイクロソフトに脆弱性に関する最初の報告を行い、マイクロソフトは1月8日にそれを検証した。^[21] Microsoft Exchange Serverインスタンスの最初の侵害は、2021年1月6日にサイバーセキュリティ会社Volexityによって確認された。^[1] 1月末までに、Volexityは攻撃者が顧客2人をスパイできる侵害を観察し、マイクロソフトに脆弱性について警告した。マイクロソフトが侵害について警告を受けた後、Volexityはハッカーがパッチを期待してステルス性が低下したと指摘した。^[22]

2021年3月2日、別のサイバーセキュリティ企業であるESETは、ハフニウム以外にも複数の攻撃者が脆弱性を悪用しているのを観察していると報じた。^[4] Wiredは3月10日、脆弱性が修正された今、さらに多くの攻撃者が修正プログラムをリバースエンジニアリングして、まだ脆弱なサーバーを悪用しようとしていると報じた。2つのセキュリティ企業のアナリストは、攻撃者がサーバー上で暗号通貨マイニングソフトウェアを実行する準備をしている証拠が見え始めたと報告した。 ^[23]

2021年3月10日、セキュリティ研究者のグエン・ジャン氏は、このエクスプロイトの仕組みに関する概念実証コードをマイクロソフト所有のGitHubに投稿した。合計169行のコードである。このプログラムは意図的にエラーが書かれており、セキュリティ研究者はエクスプロイトの仕組みを理解できるものの、悪意のある人物がこのコードを使ってサーバーにアクセスできないようにしていた。同日遅く、GitHubは「最近公開された脆弱性の概念実証コードが含まれており、現在も悪用されている」としてこのコードを削除した。^{[24] [25]} 3月13日、別のグループが独自にエクスプロイトコードを公開したが、このコードは最小限の修正で機能した。これに対してCERTコーディネーションセンターのウィル・ドーマン氏は「エクスプロイトは今や完全に明らかになっている」と述べた。^[26]

この攻撃は、2020年の米国連邦政府のデータ侵害の直後に発生し、この事件ではマイクロソフトのOutlookウェブアプリとサプライチェーンも侵害された。マイクロソフトは、この2つの事件に関連性はないと述べた。^[27]

マイクロソフトは、この攻撃は当初、中国を拠点に活動する中国国家支援のハッキンググループ（高度で持続的な脅威）であるハフニウムによって実行されたと述べた。 ^{[5] [22] [6] [26]}ハフニウムは、ウェブシェルChina Chopper をインストールすることが知られている。^[26]マイクロソフトは、ハフニウムを「非常に熟練した洗練されたアクター」と特定し、歴史的に「感染症研究者、法律事務所、高等教育機関、防衛請負業者、政策シンクタンク、NGOなど、多くの業界セクターから情報を盗み出す目的で、米国内の組織を主に標的にしてきた」としている。^[28]ハッキングを発表したマイクロソフトは、これが「過去12か月間で、マイクロソフトが市民社会にとって重要な機関を標的とする国家グループを公表したのは8回目」であると述べた。^[28] 2021年3月12日の時点で、ハフニウムに加えて、それぞれ異なるスタイルと手順で脆弱性を悪用する少なくとも9つの異なるグループが存在していた。^{[7] [29]}

中国政府は関与を否定し、この告発は「根拠がない」と述べた。^{[22] [30]}

2021年7月19日の共同声明で、米国、英国、EU、NATO、その他の西側諸国は、国家安全部（MSS）がExchangeの侵害やその他のサイバー攻撃を実行したと非難し、「2021年3月初旬に公開されたMicrosoft Exchange Serverのゼロデイ脆弱性を利用して、中国のMSSに所属する悪意のあるサイバーアクターがサイバースパイ活動を行ったと高い確率で主張している」と述べた。 ^{[31] [32] [33] [34]}

ハッカーは4つのゼロデイ脆弱性を利用してMicrosoft ExchangeサーバーのOutlook Web Access (OWA)を侵害し、^[2]被害者のサーバーとネットワーク全体、および電子メールとカレンダーの招待状にアクセスできるようにしました。^[4]最初はサーバーのアドレスのみが必要でしたが、これは直接ターゲットにするか、脆弱なサーバーを大量にスキャンすることで取得できます。次に、攻撃者は2つのエクスプロイトを使用します。最初のエクスプロイトでは、攻撃者がサーバーに接続し、標準ユーザーとして誤って認証できるようにします。これにより、2番目の脆弱性が悪用され、そのユーザーのアクセスが管理者権限に昇格されます。^{[35] [36]}最後の2つのエクスプロイトでは、攻撃者が任意の場所にサーバーにコードをアップロードできます。 ^[36]このコードは、これらの管理者権限で自動的に実行されます。攻撃者は通常、これを使用してWebシェルをインストールし、侵害されたサーバーにバックドアを提供します。 ^[37]これにより、Webシェルがアクティブであり、Exchangeサーバーがオンになっている限り、ハッカーはサーバーに引き続きアクセスできます。^[29]

攻撃者がインストールしたウェブシェルを通じて、リモートからコマンドを実行できる。確認されたアクションには、サーバーからすべてのメールをダウンロードすること、Microsoft Exchangeが暗号化されていない状態でメモリに保存するユーザーのパスワードとメールアドレスをダウンロードすること、ユーザーを追加すること、影響を受けるシステムへのさらなるバックドアを追加すること、元のエクスプロイトの影響を受けないネットワーク内の他のシステムにアクセスすること、ランサムウェアをインストールすることなどがある。^[38]エクスプロイトに対してExchangeサーバーにパッチを適用しても、インストールされたバックドアは遡及的に削除されないため、攻撃者はウェブシェル、他のバックドア、および攻撃者が追加したユーザーアカウントが削除されるまでサーバーにアクセスし続けることになる。^[39]

2021年2月27日と28日には自動攻撃があり、2021年3月2日と3日には、攻撃者はスクリプトを使用してアドレスに戻り、後で戻ることができるようにウェブシェルをドロップしました。^[29] 3月7日までの週について、CrowdStrikeの共同創設者であるDmitri Alperovitchは次のように述べています。「先週の中旬から終わりまでにパッチを適用していなかったすべての潜在的な被害者は、少なくとも1人または複数の攻撃者によってすでに攻撃を受けています」。^[40]パッチが発表された後、同じ一連の脆弱性を使用する際の戦術は変化しました。^{[29] [41]}

Microsoft Exchange Serverのバージョン2010、2013、2016、2019が影響を受けることが確認されていますが、脆弱なエディションはまだ完全には特定されていません。^[42]クラウドベースのサービスであるExchange OnlineとOffice 365は影響を受けません。^[43]

ハッカーは脆弱性を悪用して広範囲の標的をスパイし、推定25万台のサーバーに影響を与えた。^{[11] [44]マイクロソフトのカスタマーセキュリティ＆トラスト担当副社長トム・バートは、標的には疾病研究者、法律事務所、大学、防衛関連企業、}非政府組織、シンクタンクなどが含まれていると書いている。^{[28] [9] [45]}

自動更新は通常、ダウンタイムやソフトウェアの問題による中断を避けるためにサーバー管理者によって無効にされており、 ^[46]これらの更新が既存のソフトウェアとサーバー設定でテストされた後、サーバー管理者によって手動でインストールされるのが慣例となっている。^[47]小規模な組織では、社内でこれを行うための予算が少ない場合や、サイバーセキュリティの専門知識を持たない地元のITプロバイダーに外注する場合が多いため、必要になるまで行われないことが多い。つまり、中小企業や学校や地方自治体などの地元の機関が、エクスプロイトを修正するための更新を受け取っていない可能性が高いため、攻撃の主な被害者であることがわかっている。地方の被害者は、通常ITサービスプロバイダーにアクセスできないため、「ほとんど独力で」対処する必要があると指摘されている。^[15] 2021年3月11日、チェックポイントリサーチは、過去24時間に「追跡している組織に対するエクスプロイトの試みの数は2〜3時間ごとに3倍になった」ことを明らかにした。^{[48] [49]}

チェック・ポイント・リサーチは、米国が最も攻撃を受けており、全エクスプロイト試行の17%を占め、次いでドイツが6%、英国とオランダがともに5%、ロシアが全エクスプロイトの4%となっていると報告している。政府/軍事部門は、エクスプロイト試行の23%を占め、最も標的となっているセクターであり、続いて製造業が15%、銀行・金融サービスが14%、ソフトウェアベンダーが7%、医療が6%となっている。^{[26] [50]}

この攻撃は、攻撃者が特定のユーザーのメールすべてを別々の企業Exchangeサーバーからダウンロードしていたことが発覚した後に発覚した。^[38]ワシントンの非公開シンクタンクは、攻撃者がソーシャルエンジニアリング攻撃で連絡先に説得力のあるメールを送信し、受信者にリンクをクリックするよう促していたと報告した。^[45] 2021年3月11日、ノルウェーの議会であるストーティングはハッキングの被害者であると報告し、「データが抽出された」と述べた。^[51]

欧州銀行監督機構も攻撃の標的となったと報告し、^[10]その後のプレスリリースで、システムへの影響の範囲は「限定的」であり、「EBAのシステムとデータの機密性は損なわれていない」と述べた。^[52]

セキュリティ会社ESETは、IT、サイバーセキュリティ、エネルギー、ソフトウェア開発、公共事業、不動産、通信、エンジニアリング企業、中東および南米の政府機関を侵害する「少なくとも10の」APTグループを特定した。1つのAPTグループは、 PowerShellダウンローダーを展開し、影響を受けたサーバーを暗号通貨のマイニングに使用していたことが確認された。^[7]サイバーリーズンのCEO、リオール・ディブは、APTグループハフニウムが「中小企業を標的にしている...Microsoft Exchangeへの攻撃は、SolarWinds攻撃の1,000倍壊滅的である」と述べた。^[53]

2021年3月12日、マイクロソフトセキュリティインテリジェンスは、当初感染していたサーバーに「DearCryと呼ばれる新しいランサムウェアファミリー」が展開され、デバイスのコンテンツを暗号化し、サーバーを使用できなくし、ファイルの回復に金銭を要求すると発表した。 ^[16]マイクロソフトは「身代金を支払ってもファイルにアクセスできる保証はない」と述べた。^[54]

2021年3月18日、ランサムウェアのサイバーギャングREvilの関連組織は、台湾のハードウェアおよび電子機器企業Acerから暗号化されていないデータを盗んだと主張し、暗号化されたデバイスの数は非公開であり、サイバーセキュリティ企業のAdvanced Intelは、このデータ侵害とランサムウェア攻撃をMicrosoft Exchangeの脆弱性と関連付けました。Advanced Intelは、2021年3月5日にAcerのMicrosoft Exchangeサーバーの1つが最初に標的にされたことを検出しました。REvilは5000万米ドルの身代金を要求し、これが支払われれば「復号化ツール、脆弱性レポート、および盗まれたファイルの削除を提供する」と主張し、2021年3月28日までに支払われない場合は身代金が2倍の1億米ドルになると述べていました。^[55]

2021年3月2日、マイクロソフトセキュリティレスポンスセンター（MSRC）は、アウトオブバンドの共通脆弱性識別子（CVE）リリースを公開し、クライアントにExchangeサーバーにパッチを適用していくつかの重大な脆弱性に対処するよう促した。^[3] 3月15日、マイクロソフトはワンクリックのPowerShellツールであるExchange On-Premises Mitigation Toolをリリースした。これは、脅威から保護する特定の更新プログラムをインストールし、インストールされているWebシェルも検出するマルウェアスキャンを実行し、検出された脅威を削除します。これは、利用可能な他の更新プログラムをインストールしないため、一時的な緩和策として推奨されています。^[56]

2021年3月3日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、政府ネットワークにExchangeのパッチ適用版への更新を強制する緊急指令を出した。3月8日、CISAはNBCニュースが「異例の率直なメッセージ」と評したツイートを投稿し、「あらゆるセクターのあらゆる組織」に脆弱性に対処するよう促した。^{[57] [58]}

懸念を表明した他の公的機関には、ホワイトハウス、ノルウェーの国家安全保障局、チェコ共和国のサイバー情報セキュリティ局などがある。^{[59] [60]} 2021年3月7日、CNNは、バイデン政権が侵害に対処するためにタスクフォースを結成する予定であると報じた。 ^[61]バイデン政権はタスクフォースへの参加を民間組織に呼びかけており、必要に応じて機密情報を提供する予定である。ジェイク・サリバン米国家安全保障担当大統領補佐官は、米国はまだ攻撃の責任を特定できる立場にないと述べた。^[48]

2021年7月、バイデン政権は西側同盟国連合とともに、サイバー攻撃の責任を正式に中国に押し付けた。政権は中国ハッカーによる脅威が続いていることを強調したが、いかなる形の制裁も伴わなかった。ホワイトハウスのジェン・サキ報道官によると、政権は中国に対する将来の影響を排除していないという。^[62]