2026-11-06
Storm-2603ハッカーがSharePointを悪用しCloudflareトンネルでリモートアクセスを隠蔽
Storm-2603という中国を拠点とするハッカーグループが、SharePointの脆弱性を利用し、Cloudflareトンネルを悪用してリモートアクセスを隠蔽する攻撃を行いました。この攻撃は、MicrosoftがWarlockランサムウェアに関連付けているもので、ToolShellの脆弱性を利用してIISプロセス内にメモリ専用のウェブシェルを実行しました。攻撃者は、初期の足場を失った後もアクセスを維持するために、複数のトンネルを重ねて使用しました。Kasperskyは、この攻撃の帰属を中程度の信頼性で評価しています。
メトリクス
このニュースのスケール度合い
6.5
/10
インパクト
7.0
/10
予想外またはユニーク度
7.0
/10
脅威に備える準備が必要な期間が時間的にどれだけ近いか
7.0
/10
このニュースで行動が起きる／起こすべき度合い
7.0
/10
主なポイント
- ✓ Storm-2603は、SharePointのToolShell脆弱性を利用してリモートアクセスを確保しました。
- ✓ 攻撃者はCloudflareトンネルを使用し、アクセスを隠蔽する手法を採用しました。
社会的影響
- ! この攻撃は、企業のセキュリティ対策の重要性を再認識させるものです。
- ! 特に、クラウドサービスを利用する企業にとって、脆弱性管理が不可欠であることを示しています。
編集長の意見
Storm-2603の攻撃は、現代のサイバーセキュリティにおける脅威の進化を示しています。特に、攻撃者が利用する手法がますます洗練されていることが懸念されます。SharePointの脆弱性を悪用することで、攻撃者は企業の内部ネットワークに深く侵入し、持続的なアクセスを確保しました。このような攻撃は、特にリモートワークが普及する中で、企業のセキュリティ体制に対する新たな挑戦をもたらします。企業は、脆弱性を早期に発見し、修正するためのプロセスを強化する必要があります。また、攻撃者が使用するツールや手法に対する理解を深めることも重要です。今後、企業はセキュリティの強化に向けた投資を増やし、従業員に対する教育を行うことが求められます。特に、クラウドサービスやリモートアクセスに関連する脆弱性についての意識を高めることが重要です。さらに、セキュリティパッチの適用や、異常なトラフィックの監視を強化することが、攻撃の早期発見につながります。これらの対策を講じることで、企業はサイバー攻撃からの防御力を高めることができるでしょう。
背景情報
- i ToolShellの脆弱性（CVE-2025-53770およびCVE-2025-53771）は、以前の修正をバイパスするものであり、攻撃者はこれを利用してIISプロセス内にウェブシェルを実行しました。この手法により、攻撃者はシステムへの持続的なアクセスを確保しました。
- i 攻撃者は、特定のユーザーエージェントが検出された場合にのみ動作するカスタムモジュールを使用し、TCPトラフィックをHTTP経由でトンネルする双方向プロキシを構築しました。これにより、攻撃者はリモートでの操作を行うことが可能となりました。