中国支援のAPTグループUAT-8837、Sitecoreゼロデイを悪用し米重要インフラを攻撃

中国とつながりのあるAPTグループがSitecoreゼロデイを悪用し米重要インフラを標的

サイバーセキュリティ企業Cisco Talosの報告によると、中国とつながりのある高度持続的脅威（APT）グループUAT-8837が、北米の重要インフラセクターを少なくとも2025年から攻撃していることが判明した。同社は、この脅威グループが中国とつながりのある他のAPTキャンペーンと戦術的な重複があるとして、中国との関連性を中程度の確信度で評価している。

攻撃の技術的詳細

報告書では、具体的な侵害指標（IOC）や悪用されたSitecore CMSのゼロデイ脆弱性（CVEは未割り当て）の詳細は公開されていないが、Cisco Talosは以下の点を指摘している。

• 標的セクター：エネルギー、公共事業、産業システムなどの重要インフラ。
• 初期アクセス経路：広く利用されているエンタープライズ向けコンテンツ管理システム（CMS）Sitecoreの未修正の脆弱性を悪用した可能性が高い。
• 戦術的な重複：この脅威アクターの手法は、これまでに確認されている中国支援のAPTグループと一致しており、ラテラルムーブメント、永続化メカニズム、データ窃取手法などが含まれる。

影響分析

北米の重要インフラを標的としたこの攻撃は、破壊的な攻撃やスパイ活動の可能性を考慮すると、重大な懸念を引き起こしている。Sitecore CMSはエンタープライズ環境で広く利用されているため、大規模組織を侵害しようとする脅威アクターにとって高価値なターゲットとなっている。

• スパイ活動の動機：このキャンペーンは、産業制御システム（ICS）や運用技術（OT）ネットワークに関する情報収集を目的としている可能性がある。
• 破壊リスク：現時点では破壊的なペイロードは確認されていないが、このアクセスが将来的なサボタージュ攻撃に利用される可能性がある。
• サプライチェーンへの影響：Sitecoreのような広く利用されているCMSの脆弱性を悪用することで、APTグループは単一の脆弱性を通じて複数の組織を侵害することが可能となる。

セキュリティチーム向けの推奨対策

Cisco Talosはまだ完全なIOCや検出ルールを公開していないが、Sitecore CMSを使用している組織は以下の対策を講じるべきである。

1. 即時のパッチ適用：ゼロデイ脆弱性に対応するアップデートについて、Sitecoreのセキュリティアドバイザリを監視する。
2. 監視の強化：**エンドポイント検出および対応（EDR）やネットワークトラフィック分析（NTA）**を導入し、異常な挙動を検出する。
3. 重要ネットワークの分離：OT/ICS環境を企業ITネットワークから分離し、ラテラルムーブメントを制限する。
4. アクセス制御の見直し：CMS管理者に対して最小権限の原則と**多要素認証（MFA）**を強制する。
5. 脅威ハンティング：不正アクセス、異常なアウトバウンドトラフィック、認証情報の悪用の兆候を調査する。

Cisco TalosはUAT-8837の追跡を継続しており、調査の進展に伴い追加情報を公開する予定である。重要インフラセクターに属する組織は、警戒を怠らず、積極的な脅威検出を優先すべきである。

---

原文レポート：The Hacker News