RESURGE マルウェア
研究者らは、Ivanti Connect Secure (ICS) アプライアンスのセキュリティ脆弱性 (現在は修正済み) を悪用した攻撃に利用された新しいマルウェア RESURGE を発見しました。この高度なマルウェアは、SPAWNCHIMERA マルウェア バリアントの機能を基に構築されていますが、その動作を変更する独自のコマンドを導入しています。
目次
多用途かつ脅威的なツールキット
RESURGE は単なるエクスプロイトではなく、ルートキット、ドロッパー、バックドア、ブートキット、プロキシ、トンネラーとして機能するなど、さまざまな機能を備えています。これらの機能により、侵入したシステムに対する持続性と制御を維持しようとする攻撃者にとって、RESURGE は強力なツールとなります。
悪用された脆弱性: CVE-2025-0282
このマルウェアは、以下の複数の Ivanti 製品に影響を与えるスタックベースのバッファ オーバーフロー脆弱性である CVE-2025-0282 を悪用します。
- Ivanti Connect Secure (バージョン 22.7R2.5 以前)
- Ivanti Policy Secure (バージョン 22.7R1.2 以前)
- Ivanti Neurons for ZTA Gateways (バージョン 22.7R2.3 以前)
この欠陥により、リモートコード実行が可能になり、攻撃者が RESURGE のような高度なマルウェアを展開できるようになります。
SPAWN マルウェア エコシステム
サイバーセキュリティ研究者は、CVE-2025-0282 の悪用を、次のようなコンポーネントを含むマルウェアの SPAWN エコシステムに関連付けています。
- 産卵
- スポーンモール
- スポーンネイル
このエコシステムは、サイバースパイ活動で知られる中国系スパイ集団 UNC5337 によるものとされている。
SPAWNCHIMERA: 進化した脅威
攻撃チェーンにおける注目すべき進化は、個々の SPAWN モジュールを 1 つのモノリシック マルウェアに統合する SPAWNCHIMERA 亜種です。このバージョンでは、大幅な機能強化が導入されています。
- UNIXドメインソケットによるプロセス間通信
- CVE-2025-0282 のパッチを適用して、ライバルの脅威アクターが同じ脆弱性を悪用するのを防ぐ
RESURGE: SPAWNCHIMERA の一歩先へ
最新の反復である RESURGE ('libdsupgrade.so') は、次の 3 つの追加コマンドで SPAWNCHIMERA を拡張します。
- 永続性とシステム操作: 'ld.so.preload' に自身を挿入し、Web シェルを設定し、整合性チェックを変更し、ファイルを変更します。
- 資格情報と権限の悪用- 資格情報の収集、アカウントの作成、パスワードのリセット、権限の昇格のために Web シェルの使用を有効にします。
- ブート永続性- Web シェルを Ivanti 実行中のブート ディスクにコピーし、コアブート イメージを変更して長期的なアクセスを確保します。
追加の調査結果: SPAWNSLOTH と DSMain
研究者らは、重要なインフラストラクチャ内の侵害された ICS デバイスからさらに 2 つのマルウェア アーティファクトも特定しました。
- SPAWNSLOTH ('liblogblock.so') – RESURGE 内に埋め込まれた亜種で、Ivanti デバイスのログを操作して痕跡を隠します。
- DSMain – オープンソースのシェル スクリプトと BusyBox のコンポーネントを含むカスタム 64 ビット Linux ELF バイナリ。カーネルの抽出とシステムのさらなる侵害を可能にします。
別の脅威アクターによるゼロデイ攻撃
注目すべきことに、CVE-2025-0282 は、中国と関係のある別のサイバースパイ集団である Silk Typhoon (旧称Hafnium ) によってもゼロデイ攻撃として悪用されています。これは、国家支援の脅威アクターの間でこの脆弱性が非常に重要であることを強調しています。
緩和戦略: 脅威に先手を打つ
これらのマルウェアの亜種は急速に進化しているため、組織は Ivanti インスタンスを保護するために直ちに行動を起こす必要があります。
- CVE-2025-0282 の脆弱性を解消するために最新バージョンにパッチを適用します。
- 特権アカウントと非特権アカウントの両方の資格情報をリセットします。
- すべてのドメインおよびローカル アカウントのパスワードをローテーションします。
攻撃者が積極的に攻撃手法を改良しているため、重要なインフラストラクチャと機密データを保護するには、積極的な防御対策が不可欠です。
