FBIとCISAが警告を発したのは「AndroxGh0st」と呼ばれるマルウェアに関するものだ。AndroxGh0stを使ったサイバー攻撃者たちの動きが活発化していると、注意喚起している。

　Tech系情報サイト「Bleeping Computer」の2024年1月16日の記事で警告の内容が紹介された。それによれば、Androxgh0stを使用するサイバー攻撃者たちがクラウド資格情報を窃取するbotネットを構築し、窃取した情報を使ってさらに不正な活動をしているという。

　AndroxGh0stとは2022年12月にサイバーセキュリティ企業Laceworkが発表したマルウェアで、PHPフレームワーク「Laravel」の脆弱（ぜいじゃく）性を突き、その環境ファイル（.env）に不正にアクセスして情報を盗み出すというものだ。

　同ファイルにはMicrosoft 365やAWS、「SendGrid」や「Twilio」などのクラウドサービスの認証情報はこのファイルに含まれているため、ターゲットにされやすい。2023年3月にはセキュリティ企業Fortinet傘下のFortiGuard Labsが「1日に4万台を超えるコンピュータがAndroxGh0stによる攻撃を受け、.envファイルをスキャンされたことを観測した」と発表をした。

　FBIとCISAによれば、AndroxGh0stは公開認証情報やAPIをスキャンして乗っ取る他、不正アクセスツール「WebShell」の展開やSMTP（Simple Mail Transfer Protocol）の悪用を手助けする機能もサポートしているという。

　AndroxGh0stを使うサイバー攻撃者たちは、盗み出したTwilioやSendGridの認証情報を悪用し、ターゲット企業になりすましてスパムメールをバラまいている。またAWSの認証情報を使って勝手に新しいユーザーを作成したり、ユーザーポリシーを変更したりといった動きも確認されている。不正にAWSインスタンスを作成し、AndroxGh0stによる攻撃を継続的に仕掛けるbotネットの構築を試みるケースもあるという。

　他にも、不正に得たアクセス権でWebサイトに侵入し各種データを窃取したり、偽のWebサイトを作成してバックドアを設置したりと、やりたい放題の悪行ざんまいだ。

　CISAは基本的な対処方法として「インターネットに接続されたシステムで悪用された既知の脆弱性へのパッチ適用を優先する」「必要なサーバとサービスのみがインターネットに公開されていることを確認する」「.env内のクラウドの認証情報を全て削除するか、それができない場合は.envファイルに認証情報がリストされているプラットフォームやサービスを確認して、不正なアクセスがないかどうかを確認する」などの対応を推奨している。

　さらにCISAは連邦政府の各機関に対しても、2024年2月6日までにAndroxGh0stによる攻撃からシステムを保護するよう早急に措置を施すようにと通達しているというから、事態は深刻のようだ。勤務先でも気になることがあれば、確認しておきたいところだ。

上司X：　またまた悪のサイバー攻撃者たちの暗躍をFBIとCISAが警告している、という話だよ。

ブラックピット：　また新手の手口ですか。

上司X：　ああ。どうもbotネットを構築しながらいろいろ悪さをしているようだ。しかし、この手の話は尽きないものだなあ。

ブラックピット：　今回はクラウドサービスが狙われてしまうんですね。

上司X：　どれもメジャーなクラウドサービスだからな。AWSなんてどこの会社でも使ってるだろうに。

ブラックピット：　どこの会社も、ってのは言い過ぎかもしれませんが、実際のところ利用している企業は多いですしね。

上司X：　認証情報が盗まれて悪用される。年初から厄介なことになってきたものだ。

ブラックピット：　Laravelも人気ありますもんね。PHPのフレームワークの中では断トツの人気ですし。その脆弱性を狙ってくるんだから、攻撃者ってなんともズルい。

上司X：　ズルいというか抜け目がないというかね。脆弱性については幾つか報告されていてその都度修正されているはずだから、企業側も十分に対策しておかないとな。FBIとCISAがそろって警告を出すぐらいのサイバー攻撃だ。大きな被害が出なければいいがな。