Microsoft、中国のハッカーに関連するSharePoint脆弱性攻撃の流出を調査

Microsoftは、サイバーセキュリティパートナー向けの早期警告システムであるMicrosoft Active Protections Program（MAPP）からの流出が、中国のハッカーによる未修正の脆弱性をSharePointサーバーソフトウェアで悪用するのを可能にした可能性を調査している。

同社の最新の修正パッチは完全に重大な欠陥を解決できなかったため、テクノロジー大手のシステムが洗練された世界的なサイバースパイ活動に晒される結果となった。

火曜日のブログ投稿で、Microsoftは、この悪用がリネンタイフーンとバイオレットタイフーンという2つの中国国家支援グループ、および中国に拠点を置くことが疑われる第3のグループによって行われていると述べた。

Microsoft、サイバーセキュリティパートナープログラムからの疑わしい流出を調査

同社は現在、公開パッチリリース前にパートナーと共有されたMAPPプログラムの詳細が流出し、これらの攻撃の拡散を加速させた可能性を調査している。

Microsoftは、「すべてのパートナープログラムの有効性とセキュリティを継続的に評価し、必要に応じて必要な改善を行っている」と確認した。

この SharePointの脆弱性 この脆弱性は5月、ベトナムのセキュリティ研究者であるDinh Ho Anh Khoa氏がベルリンで開催されたTrend MicroのZero Day Initiative主催のサイバーセキュリティカンファレンス「Pwn2Own」で実証した際に初めて明らかになった。Khoa氏は10万ドルの賞金を受け取り、Microsoftは7月に初期パッチを発行した。

しかし、Trend Microの脅威認識責任者であるDustin Childs氏は、MAPPパートナーは6月24日、7月3日、7月7日の3段階でこの脆弱性について通知されていたと述べた。偶然にも、Microsoftは最初の攻撃試行が7月7日に始まったと指摘した。

Childs氏は、最も可能性が高いシナリオは「MAPPプログラムの誰かがその情報を使用して攻撃コードを作成した」ことだと示唆した。彼は特定のベンダーを名指ししなかったが、攻撃試行の大部分が中国から起源していることに言及し、流出がその地域の企業から来た可能性を「合理的に推測できる」と述べた。

中国国家支援のハッカーが未修正のSharePoint脆弱性を悪用

これはMicrosoftがMAPP関連の流出問題に対処した初めての事例ではない。10年前、同社は非開示契約違反を理由に、中国に本社を置く杭州DPTech Technologies Co., Ltd.との関係を解消した。Microsoftはその当時、リスクが存在し、脆弱なデータが悪用される可能性があることを理解していたと認めた。

2008年に開始されたMAPPプログラムは、セキュリティベンダーに脆弱性の技術的詳細、および場合によってはサンプルの概念実証コードを事前に通知し、顧客をよりよく保護することを目的としていた。今回の流出は、プログラムの使命である「攻撃者ではなく防御者を強化する」ことに真っ向から反するものである。

Microsoftは流出の源を特定したかどうかを明らかにしていないが、秘密保持契約（NDA）の違反は真剣に受け止められると強調した。

過去の流出事例が再浮上、MicrosoftがMAPPプログラムの信頼性を再考

2021年、Microsoftは少なくとも2つの中国のMAPPパートナーがExchangeサーバーの脆弱性に関する情報を流出させた疑いがあると推測していた。これはMicrosoftが中国のスパイグループ「Hafnium」によるものと特定した世界的なハッキングキャンペーンにつながった。これは同社の史上最悪の侵害事件の一つであり、欧州銀行監督局やノルウェー議会を含む数万台のExchangeサーバーがハッキングされた。

2021事件の後、同社は MAPPプログラムの見直しを検討したが、最終的に変更が行われたかどうか、または流出が発見されたかどうかについては明らかにしなかった。

大西洋評議会の報告によると、2021年の中国の法律により、企業やセキュリティ研究者は新たに発見された脆弱性を48時間以内に工業情報化省に報告する義務がある。北京サイバークンルンテクノロジー有限公司など、MAPPに関与している一部の中国企業は、国家安全保障省が運営する中国国家脆弱性データベースにも参加しており、二重報告義務に関する懸念をさらに高めている。

スイス連邦工科大学チューリッヒ校セキュリティ研究センターの研究者であるEugenio Benincasa氏は、中国企業がMicrosoftの機密保持ルールと国家の報告義務をどのように調整するかにおける透明性の欠如を指摘している。「これらの企業の一部がセキュリティ機関と連携していることは知られており、中国の脆弱性管理は非常に中央集権的である」と彼は述べた。「これは明らかにさらなる審査が必要な分野だ。」