Tenable ブログ
ブログ通知を受信する
CVE-2019-0708: 「BlueKeep」脆弱性を狙い、仮想通貨マイナーを増やす攻撃が確認される
「BlueKeep」脆弱性の公開されてからほぼ6か月後、研究者らはこの脆弱性を突く初の攻撃を確認しています。
背景
11月2日、セキュリティ研究者のKevin Beaumont（@GossiTheDog@GossiTheDog）氏およびMarcus Hutchins（@MalwareTechBlog@MalwareTechBlog）氏は、「BlueKeep」として知られているCVE-2019-0708の初の攻撃を確認しました。
分析
マイクロソフトのリモートデスクトップサービスの重大なリモートコード実行の脆弱性であるCVE-2019-0708は、2019年5月に修正されています。マイクロソフトは、2017年のWannaCryのようにワームが広がる可能性を阻止するために、この脆弱性に対してサポート対象外のバージョンのWindows用のセキュリティ更新プログラムをリリースし、業界の話題なりました。Beaumont氏は、「ゲーム・オブ・スローンズ」にインスピレーションを受けて、脆弱性を「BlueKeep」と名付け、BlueKeepハニーポットを設定して、この脆弱性を悪用する攻撃を世界的に監視しています。
CVE-2019-0708 RDP vulnerability megathread, aka BlueKeep.
— Kevin Beaumont (@GossiTheDog) May 14, 2019
Going to nickname it BlueKeep as it’s about as secure as the Red Keep in Game of Thrones, and often leads to a blue screen of death when exploited.
この週末11月2日から、Beaumont氏はBlueKeepハニーポットでブルースクリーン（BSOD）を確認しました。
huh, the EternalPot RDP honeypots have all started BSOD'ing recently. They only expose port 3389. pic.twitter.com/VdiKoqAwkr
— Kevin Beaumont (@GossiTheDog) November 2, 2019
Beaumont氏はハニーポットからのカーネルクラッシュダンプをHutchins氏と共有し、Hutchins氏は、これがBlueKeepを悪用した最初の攻撃であることを確認しています。
Blog post on how I discovered mass exploitation of BlueKeep from a kernel dump of a crashed system. https://t.co/2tLdLNosYt
— MalwareTech (@MalwareTechBlog) November 3, 2019
Hutchins氏は攻撃者が最近リリースされたエクスプロイトモジュールを利用して暗号通貨（または「コイン」）マイナーを配布していることを特定し、この分析をブログで共有しています。この暗号通貨マイナーは、「BlueKeep Monero Miner」と呼ばれるもので、11月3日の時点では、VirusTotalスキャナーの44％で検出されています。Beaumont氏は、ブログ記事でもこの発見を共有しています。
BlueKeepが公開されてから初の攻撃が確認されるまでに数ヶ月かかりましたが、この脆弱性を狙った攻撃は予期されていました。7月に、WatchBogとして知られる暗号通貨マイニングボットネットは、脆弱なシステムを識別するためにBlueKeepスキャンモジュールを組み込み、8月には、BlueKeepのエクスプロイトがオープンソースツールに組み込まれるという噂もありました
この脆弱性を突いた攻撃はWannaCryレベルではありませんが、組織に脆弱なシステムがある場合は、早急にパッチを適用することをお勧めします。
ソリューション
Tenableは、以下のパッチを早急に適用することを推奨しています。次の表には、さまざまな製品の関連するセキュリティ更新プログラムとマンスリーロールアップが含まれています。
| セキュリティ更新プログラム | 製品 |
|---|---|
| 4499175 （セキュリティのみ） 4499164 （マンスリーロールアップ） |
|
| 4499180 （セキュリティのみ） 4499149 （マンスリーロールアップ） |
|
| 4499180 （セキュリティ更新プログラム） |
|
| 4500331 （セキュリティ更新プログラム） |
|
Tenableでは、パッチ適用に加えて、次の緩和手順を推奨しています。
- ネットワークレベル認証（NLA）を有効にします。マイクロソフトは回避策としてNLAを有効にすることを推薦しています。
- 境界ファイアウォールでRDP（デフォルトはTCPポート3389）をブロックします。
- 未使用のサービスを無効にします。
- サポート終了（EOL）オペレーティングシステムをアップグレードします。Windows 7のサポートは、2020年1月14日に終了します。
影響を受けているシステムの特定
Tenableは、マイクロソフトが脆弱性を開示した後、CVE-2019-0708のリモートチェックプラグインをリリースしました。このプラグインを利用すると、資格情報を提供せずに影響を受けるシステムを特定できます。
NLAが有効になっていないシステムを識別するには、次のプラグインを使用してください。58453
BlueKeep（CVE-2019-0708）を識別するためのすべてのプラグインのリストは、こちら。
詳細情報
- 「BlueKeep」脆弱性を狙った攻撃（KryptosLogic）に関するMarcus Hutchinsのブログ
- 「BlueKeep」脆弱性を狙った攻撃に関するKevin Beaumontのブログ
- マイクロソフトブログ‐CVE-2019-0708の修正プログラムを発表
- マイクロソフト、CVE-2019-0708 のユーザー向けガイダンス
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: CISA Says Midnight Blizzard Swiped U.S. Gov’t Emails During Microsoft Hack, Tells Fed Agencies To Take Immediate Action
April 12, 2024Check out CISA’s urgent call for federal agencies to protect themselves from Midnight Blizzard’s breach of Microsoft corporate emails. Plus, a new survey shows cybersecurity pros are guardedly optimistic about AI. Meanwhile, SANS pinpoints the four trends CISOs absolutely must focus on this year. And the NSA is sharing best practices for data security. And much more!
Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems
March 29, 2024Check out new guidance for banks on combating AI-boosted fraud. Plus, how to cut cyber risk when migrating SCADA systems to the cloud. Meanwhile, why CISA is fed up with SQLi flaws. And best practices to prevent and respond to DDoS attacks. And much more!
Tenable and Thales Collaborate to Provide Cyber Defense Simulations to Better Secure Operational Technology Environments
April 18, 2024The heart of the Welsh Valleys is home to the Thales Ebbw Vale campus, a world-class facility jointly funded by the Welsh government as part of its regeneration program for the region. At the core of the facility is the Cyber Range, a simulation and virtualization platform for training, testing, exercising and R&D. Tenable has joined the lineup of solutions used to run real world simulations in this controlled environment.
Oracle April 2024 Critical Patch Update Addresses 239 CVEs
April 17, 2024Oracle addresses 239 CVEs in its second quarterly update of 2024 with 441 patches, including 38 critical updates.
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
- Vulnerability Management