Tenable ブログ
ブログ通知を受信する
CVE-2019-0708: 「BlueKeep」脆弱性を狙い、仮想通貨マイナーを増やす攻撃が確認される
「BlueKeep」脆弱性の公開されてからほぼ6か月後、研究者らはこの脆弱性を突く初の攻撃を確認しています。
背景
11月2日、セキュリティ研究者のKevin Beaumont（@GossiTheDog@GossiTheDog）氏およびMarcus Hutchins（@MalwareTechBlog@MalwareTechBlog）氏は、「BlueKeep」として知られているCVE-2019-0708の初の攻撃を確認しました。
分析
マイクロソフトのリモートデスクトップサービスの重大なリモートコード実行の脆弱性であるCVE-2019-0708は、2019年5月に修正されています。マイクロソフトは、2017年のWannaCryのようにワームが広がる可能性を阻止するために、この脆弱性に対してサポート対象外のバージョンのWindows用のセキュリティ更新プログラムをリリースし、業界の話題なりました。Beaumont氏は、「ゲーム・オブ・スローンズ」にインスピレーションを受けて、脆弱性を「BlueKeep」と名付け、BlueKeepハニーポットを設定して、この脆弱性を悪用する攻撃を世界的に監視しています。
CVE-2019-0708 RDP vulnerability megathread, aka BlueKeep.
— Kevin Beaumont (@GossiTheDog) May 14, 2019
Going to nickname it BlueKeep as it’s about as secure as the Red Keep in Game of Thrones, and often leads to a blue screen of death when exploited.
この週末11月2日から、Beaumont氏はBlueKeepハニーポットでブルースクリーン（BSOD）を確認しました。
huh, the EternalPot RDP honeypots have all started BSOD'ing recently. They only expose port 3389. pic.twitter.com/VdiKoqAwkr
— Kevin Beaumont (@GossiTheDog) November 2, 2019
Beaumont氏はハニーポットからのカーネルクラッシュダンプをHutchins氏と共有し、Hutchins氏は、これがBlueKeepを悪用した最初の攻撃であることを確認しています。
Blog post on how I discovered mass exploitation of BlueKeep from a kernel dump of a crashed system. https://t.co/2tLdLNosYt
— MalwareTech (@MalwareTechBlog) November 3, 2019
Hutchins氏は攻撃者が最近リリースされたエクスプロイトモジュールを利用して暗号通貨（または「コイン」）マイナーを配布していることを特定し、この分析をブログで共有しています。この暗号通貨マイナーは、「BlueKeep Monero Miner」と呼ばれるもので、11月3日の時点では、VirusTotalスキャナーの44％で検出されています。Beaumont氏は、ブログ記事でもこの発見を共有しています。
BlueKeepが公開されてから初の攻撃が確認されるまでに数ヶ月かかりましたが、この脆弱性を狙った攻撃は予期されていました。7月に、WatchBogとして知られる暗号通貨マイニングボットネットは、脆弱なシステムを識別するためにBlueKeepスキャンモジュールを組み込み、8月には、BlueKeepのエクスプロイトがオープンソースツールに組み込まれるという噂もありました
この脆弱性を突いた攻撃はWannaCryレベルではありませんが、組織に脆弱なシステムがある場合は、早急にパッチを適用することをお勧めします。
ソリューション
Tenableは、以下のパッチを早急に適用することを推奨しています。次の表には、さまざまな製品の関連するセキュリティ更新プログラムとマンスリーロールアップが含まれています。
| セキュリティ更新プログラム | 製品 |
|---|---|
| 4499175 （セキュリティのみ） 4499164 （マンスリーロールアップ） |
|
| 4499180 （セキュリティのみ） 4499149 （マンスリーロールアップ） |
|
| 4499180 （セキュリティ更新プログラム） |
|
| 4500331 （セキュリティ更新プログラム） |
|
Tenableでは、パッチ適用に加えて、次の緩和手順を推奨しています。
- ネットワークレベル認証（NLA）を有効にします。マイクロソフトは回避策としてNLAを有効にすることを推薦しています。
- 境界ファイアウォールでRDP（デフォルトはTCPポート3389）をブロックします。
- 未使用のサービスを無効にします。
- サポート終了（EOL）オペレーティングシステムをアップグレードします。Windows 7のサポートは、2020年1月14日に終了します。
影響を受けているシステムの特定
Tenableは、マイクロソフトが脆弱性を開示した後、CVE-2019-0708のリモートチェックプラグインをリリースしました。このプラグインを利用すると、資格情報を提供せずに影響を受けるシステムを特定できます。
NLAが有効になっていないシステムを識別するには、次のプラグインを使用してください。58453
BlueKeep（CVE-2019-0708）を識別するためのすべてのプラグインのリストは、こちら。
詳細情報
- 「BlueKeep」脆弱性を狙った攻撃（KryptosLogic）に関するMarcus Hutchinsのブログ
- 「BlueKeep」脆弱性を狙った攻撃に関するKevin Beaumontのブログ
- マイクロソフトブログ‐CVE-2019-0708の修正プログラムを発表
- マイクロソフト、CVE-2019-0708 のユーザー向けガイダンス
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177: Frequently Asked Questions About Common UNIX Printing System (CUPS) Vulnerabilities
September 26, 2024Frequently asked questions about multiple vulnerabilities in the Common UNIX Printing System (CUPS) that were disclosed as zero-days on September 26.
Secure Your Sprawling Attack Surface With Risk-based Vulnerability Management
August 27, 2024The cloud, artificial intelligence (AI), machine learning and other technological breakthroughs are radically changing the modern work environment. New assets and services offer increased flexibility, growth potential and access to more resources. However, they also introduce new security risks. Managing vulnerabilities across this ever-expanding threat landscape requires a risk-based approach beyond point solutions and reactive patch management.
CVE-2024-7593: Ivanti Virtual Traffic Manager Authentication Bypass Vulnerability
August 14, 2024Ivanti released a patch for a critical severity authentication bypass vulnerability and a warning that exploit code is publicly available
Cybersecurity Snapshot: NIST Program Probes AI Cyber and Privacy Risks, as U.S. Gov’t Tackles Automotive IoT Threat from Russia, China
September 27, 2024A new NIST program will revise security frameworks like NIST’s CSF as AI risks intensify. Plus, the U.S. may ban cars with Russian and Chinese IoT components. Meanwhile, the CSA adds AI insights to its zero trust guide. And get the latest on cybersecurity budgets, SBOMs and the Ghost cybercrime platform!
CVE-2024-47076, CVE-2024-47175, CVE-2024-47176, CVE-2024-47177: Frequently Asked Questions About Common UNIX Printing System (CUPS) Vulnerabilities
September 26, 2024Frequently asked questions about multiple vulnerabilities in the Common UNIX Printing System (CUPS) that were disclosed as zero-days on September 26.
Establishing a Cloud Security Program: Best Practices and Lessons Learned
September 26, 2024As we’ve developed Tenable’s cloud security program, we in the Infosec team have asked many questions and faced interesting challenges. Along the way, we’ve learned valuable lessons and incorporated key best practices. In this blog, we’ll discuss how we’ve approached implementing our cloud security program using Tenable Cloud Security, and share recommendations that you may find helpful.
- Vulnerability Management