CVE-2023-25717 検出: 新しいマルウェアボットネット AndoryuBot が Ruckus Wireless 管理パネルの RCE 脆弱性を悪用

AndoryuBot と名付けられた新たな DDoS ボットネットは、CVE-2023-25717 として追跡される新たにパッチが適用された深刻な脆弱性を悪用して、Ruckus Wireless 管理パネルを脅かしています。この脆弱性の基本 CVSS スコアは 9.8 に達しており、リモートコード実行（RCE）やワイヤレスアクセスポイント（AP）機器の完全な妥協につながる可能性があります。

CVE-2023-25717 の悪用試行を検出

脆弱性の悪用を積極的に検出することは 2021 年以来のトップコンテンツ優先事項となっています 広く使用されているソフトウェアソリューションが妥協され、野外攻撃で積極的に利用されている CVE の発見数が増加しているためです。

Andoryu ボットネットに Ruckus Wireless AP デバイスを奴隷化するために CVE-2023-25717 が積極的に悪用されているため、サイバーディフェンダーは感染を迅速に特定し、積極的に対応するための信頼できる検出コンテンツのソースを必要としています。SOC Prime チームは最近、新しい Sigma ルールをリリースしました。これは組織内で内部的にラテラルムーブメントを行い、追加の持続性の拠点を確立するためのリモートコード実行試行を特定します：

Ruckus Wireless AP CVE-2023-25717 の可能性のある悪用試行（プロキシ経由）

この Sigma ルールは、 MITRE ATT&CK v12 フレームワークに準拠しており、リモートサービスの悪用（T1210）技術に対応したラテラルムーブメント戦術を扱っており、18 の業界をリードする SIEM、EDR、XDR、および BDP ソリューション全体で適用できます。

敵を凌ぐため、また新たに出現する脅威を常に把握するために、SOC Prime プラットフォームは最もトレンディな脆弱性に対する悪用試行に対応する検出コンテンツのバッチをキュレートしています。Explore Detection ボタンを押すだけで、関連する ATT&CK や CTI の参照を含む関連メタデータを伴った関連する Sigma ルールに即座に掘り下げることができます。

検出を探索する

CVE-2023-25717 の説明

2023 年 2 月に悪意のあるアリーナで脚光を浴びた新しいマルウェア ボットネット AndoryuBot が、Ruckus デバイスを狙う形で再登場しました。2023 年 4 月以来観察され続けている現在進行中の悪意のあるキャンペーンでは、CVE-2023-25717 として知られる最近パッチを適用された RCE の脆弱性が悪用されており、これは Ruckus Wireless 管理パネル v.10.4 およびそれ以前の全てに影響を与えます。

によると、 Fortinet の研究では、最新の AndoryuBot キャンペーンは、新たにパッチを適用されたセキュリティの欠陥 CVE-2023-25717 を利用するアップグレードされたボットネットバージョンを使用します。この脆弱性は、最新の AndoryuBot キャンペーンにおいて武器化され、対応する Ruckus サイバーセキュリティ勧告に基づいて 2 月初旬に最初に発見され、パッチが適用されました。 しかし、この脆弱性に影響を受けたサポートの終了したデバイスモデルはパッチを適用できず、システムを潜在的な DDoS 攻撃にさらしました。

感染の連鎖は、悪意のある HTTP GET 要求を介して標的ユーザーの IP アドレスを取得することを目的とした AndoryuBot が影響を受けた Ruckus デバイスに影響を与えることで始まり、その後、SOCKS プロトコルを通じて C2 サーバーへの接続を試み、さらに DDoS 攻撃を開始するためのサーバーからのコマンドを受信することを期待します。

2023 年 5 月初旬、 FortiGuard Labs は、既に発行されていた 4 月の研究を更新し、CVE-2023-25717 の悪用試行の増加数を取り上げ、脆弱性が野外で積極的に活用され、PoC コードが公開されています。影響を受けたデバイスの総合的な妥協を引き起こす可能性があり、サイバーディフェンダーはこの Ruckus 脆弱性の成功した悪用試行によるサイバー攻撃に対抗するために緊急の対策を講じる必要があります。

企業全体や産業を麻痺させる壊滅的な攻撃からインフラストラクチャを適時に防御します。 ATT&CK フレームワークに合わせた Sigma ルールで新たに出現する脅威を検出します。 25+ の SIEM、EDR、および XDR フォーマットに対応した 150 を超える CVE エクスプロイトに対応する検出を無料で利用できます。 https://socprime.com/。また、オンデマンドプランで 800 を超える検証済みの検出ルールが利用可能です。 /my.socprime.com/pricing/