イランのハッカーがVPNの脆弱性を利用して企業・政府ネットワークにバックドアを設置
2月16日、サイバーセキュリティ企業ClearSkyは、イランを後ろ盾とするハッカー集団が、Pulse Secure、Fortinet、Palo Alto Networks、Citrixなどの企業が提供するVPNソリューションに存在する既知のCVEを悪用してコンピューターネットワークに侵入する、持続的かつ長期にわたるキャンペーンを明らかにしました。一部のケースでは、新たなCVEが公開されてから数時間以内に、対象のVPNに対する攻撃が開始されていました。ハッカーは対象のネットワークに侵入すると、脆弱性がパッチ適用された後でもネットワークへのアクセスを継続できるようにするバックドアを設置しました。標的となった業種には、ITおよびコンピューティング、公益事業、防衛、石油、航空が含まれます。
設置されたバックドアは検出・除去が困難です。ClearSkyは、ハッカーがすべてのバックドアを一斉に起動させて全国規模で公益事業、通信、交通ネットワークをダウンさせる可能性があるとして、将来的な大規模インフラ攻撃の可能性について警告しています。
公開されたCVEの悪用
Mitre Corporationは、公開されているソフトウェアパッケージの情報セキュリティ上の脆弱性を特定・共有し、セキュリティ専門家がより効率的に脆弱なソフトウェアを理解、修正、または回避できるようにすることを目的として、National Cybersecurity FFRDCを運営・維持しています。
現在、これらのCVEは、ClearSkyがAPT34-OilRig、APT33-Elfin、APT39-Chaferと特定するイランを後ろ盾とするハッキング集団によって悪用されており、彼らはこれを「Fox Kitten Campaign」と呼んでいます。
Fox Kittenにおいて、OilRigなどのAPTグループは、Pulse Secure「Connect」VPN向けに公開された脆弱性(CVE-2019-11510)、Fortinet FortiOS VPN(CVE-2018-13379)、Palo Alto Networks「Global Protect」VPN(CVE-2019-1579)といった既知の脆弱性を利用します。これらのCVEはそれぞれ、VPNソフトウェアの欠陥を通じて、攻撃者が各種ネットワーク機能に未認証のままアクセスできてしまうものです。
例えば、CVE-2019-11510では、「未認証のリモート攻撃者が特別に細工したURIを送信することで、任意のファイル読み取りを実行できる」とされています。言い換えれば、対象のVPNを特定し、特定のUniform Resource Identifier(URI)を送信することで、ハッカーはVPNにログインすることなく、本来VPNによって保護されているはずのファイルを読み取ることができるのです。
さらに、イランのAPTグループは、CVEが公開されてから数時間から1、2週間という比較的短い期間で、いわゆる「1日脆弱性(1-day vulnerabilities)」を悪用することに成功しています。イランのグループは、新たに発見された脆弱性を悪用する手法を編み出し、それを標的のVPNに応用する能力を持っており、これは標的のVPNを迅速に特定する高度な能力を示唆しています。
VPNが狙われやすい理由
VPNの利点は、インターネット上のどこからでも安全かつセキュアな情報とプライベートな通信への入り口として機能することです。これが可能なのは、VPNが固定されたグローバルIPアドレスを持つゲートウェイと、開いた通信ポートを備えているためで、従業員や信頼されたユーザーがネットワークへの入り口を見つけ、理論上は安全な鍵を使って認証を行い、信頼された空間の内部へと通過できるようになっています。
しかしFox Kittenキャンペーンに関与したAPTグループがそうしているように、ハッカーがVPNゲートウェイの既知のグローバルIPアドレスとCVEを組み合わせて認証プロセスを回避し、VPN内部のリソースへアクセスするようになると、この利便性は一転して危険なものになります。
VPNがホストされているグローバルパブリックIPアドレス上に存在する開いたポートこそが、現在のセキュリティ上のジレンマの根本原因です。VPNサーバーは定義上、ルーティング可能なグローバルIPアドレス上に存在し、正規のユーザーが接続を開始してユーザー名とパスワードでログインできる開いたポートを提供する必要があります。問題は、開いたポートが未承諾のインバウンドトラフィックにも対して脆弱だという点です。誰でも接続を開始できてしまうため、悪意ある者は盗んだ認証情報を使ったり、ブルートフォースでログインを試みたり、ソーシャルエンジニアリングの手口を用いたり、VPNサーバーソフトウェアのバグを悪用したりして、ネットワークへのアクセスを得ることができます。
remote.itが開いたポートの脆弱性を排除
remote.itは、ポートフォワーディングとグローバルIPアドレスに関する根深いセキュリティ問題を解決しようとするネットワーキング業界のベテランたちによって作られました。特にリモートアクセスを提供するために開いたポートを持つデバイスがインターネット上で公開・可視化されることは、つい最近まで、TCP/IPネットワーキングの誕生以来避けられない必要なセキュリティ上の妥協とされてきました。
ユーザーがパブリックなグローバルIPアドレスを持つゲートウェイを見つけて開いたポートでログインすることに依存しないプライベートネットワークを構築すれば、ハッカーがネットワークに侵入するために利用する主要な攻撃対象領域を排除することができます。
remote.itのバーチャルプライベートインターネット(VPI)ソリューションは、正規のユーザーからはインターネット経由で100%到達可能でありながら、開いたポートは存在せず、非正規のユーザーからはゲートウェイが完全に見えなくなるプライベートネットワークを構築します。こうしてremote.itは、既存のVPNソフトウェアを一切変更することなく、世界中に導入されているVPNの全設置台数における最大の脆弱性に対処しています。
remote.itは、既存のTCP/IPネットワーク上にネットワークオーバーレイとして機能し、プライベートな認証とプライベートなネットワークルーティングを実現します。VPI上のデバイスは、VPNにアクセスする場合と同様に、VPI内のリソースへの管理されたアクセス権を持ちます。異なる点は、権限がユーザーまたはデバイスアカウントごとに定義されるということです。ハッカーが認証を回避して単純に「すべてにアクセスする」方法は存在せず、VPNの場合のように狙うべき特定のネットワークデバイスも存在しません。
開いたポートを排除しましょう
従来のVPNがずっとそうしてきたからといって、オンラインセキュリティが永続的な攻撃対象領域をインターネット上に持ち続ける必要はありません。ネットワーキングに対する新たなアプローチにより、企業はremote.itのバーチャルプライベートインターネットのような革新的なセキュリティソリューションを構築できるようになっています。
remote.itは開発者にとって無料であり、企業にとってもライセンス取得と導入が簡単です。クイックスタートプロセスでわずか10分で始めることができ、200KB未満のネットワーキングデーモンをインストールするだけで、どのデバイスでもremote.itを有効にできます。remote.itは、IoTデバイスの大規模な一括登録および管理にも対応しています。