複数の政府当局とセキュリティ研究者が、Zyxel Networksのファイアウォールで見つかったディレクトリトラバーサルの脆弱性について警告した。攻撃者はランサムウェア「Helldown」を展開するためにこの脆弱性を積極的に悪用中だ。

　Zyxel Networksの脆弱性は「CVE-2024-11667」（注1）で、共通脆弱性評価システム（CVSS）のスコアは7.5だ。

　脆弱性が存在するのは同社が提供するファイアウォールのOS「ZLD」のファームウェアバージョン5.00から5.38におけるWeb管理インタフェースだ。この脆弱性を悪用することで、攻撃者は細工されたURLを利用してファイルをダウンロードまたはアップロード可能になる。サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2024年12月3日（現地時間）に（注2）、この脆弱性を既知の脆弱性のカタログ（KEV：Known Exploited Vulnerabilities Catalog）に追加した。

　サイバーセキュリティ事業を営むSekoia.ioのセキュリティ研究者による報告を受けて、Zyxel Networksはこの脆弱性を悪用の試みを確認したと伝えた（注3）。Zyxel Networksはユーザーに対し、ファームウェアを直ちに更新し、管理者パスワードを変更するよう強く促した。

ランサムウェアやActive Directoryと組み合わせた攻撃

　2024年11月下旬、ドイツ当局とZyxel Networksの関係者は（注4）、同社のファイアウォールの脆弱性がランサムウェア「Helldown」の展開に悪用されたという警告を発した。

　ドイツ当局は2024年12月4日に、「Cybersecurity Dive」に対し「Helldownは公開済みのランサムウェア『LockBit』を基にしており、さまざまなランサムウェアのバージョンの作成に利用されている」と述べた。

　ドイツのCERTの広報担当者によると、Helldownは2024年8月に初めて確認され、リークサイトで約32件の被害者を公開していたが、そのサイトは同年11月21日にアクセス不能になったという。

　Sekoia.ioによると、標的となった企業の大半は中堅・中小企業だったが（注5）、一部には大規模な組織も含まれていたという。被害者の多くは米国に所在していたようだ。

　Sekoia.ioの研究者は、Cybersecurity Diveに対し「一部の被害者はすでにサポートが終了したファイアウォールを使用していたものの、他の被害者はサポートが継続されているファームウェアが搭載された比較的新しいバージョンを使用していた」と述べた。

　サイバーセキュリティ事業を営むTruesecの研究者によると（注6）、攻撃者はZyxel Networksのファイアウォールにローカルアカウントを作成し、認証情報を抽出するために設計されたオープンソースのツール「Mimikatz」をダウンロードして標的企業の「Microsoft Active Directory」（AD）から認証情報を抜き出していたことが確認された。また、攻撃者はGitHubから高度なポートスキャナーもダウンロードしていたという。

　研究者によると、攻撃者はウイルス対策ソフトを無効化し、「TeamViewer」を展開するか、Windowsの既定のリモートデスクトッププロトコル（RDP）ツールを使用して標的企業のネットワーク内を移動していたという。