企業のネットワークの出入り口を守る機器「Check Point Security Gateway」が、正体不明の攻撃者に狙われていることがわかりました。Check Point自身が詳細を公表しています。攻撃を受けたのは、修正プログラム(パッチ)を適用していない機器です。
攻撃は二段階で行われたとされています。まず「PHP2Shell」と呼ばれる一連のセキュリティホールを突いて機器に最初の足がかりを作ります。続いて、これまで報告されていなかった、機器のOS「Gaia OS」の権限昇格の欠陥(一般的な権限しか持たない状態から、管理者並みの強い権限を手に入れられてしまう問題)を使い、「TSGA」というバックドアを設置しました。バックドアとは、攻撃者がいつでも機器に出入りできるようにする裏口のことです。
さらに、この攻撃ではESXi(仮想サーバーを動かすための基盤ソフト)上のファイルが消去されたことも報じられています。単なる侵入にとどまらず、システムを壊す目的も疑われます。
ゲートウェイは社内ネットワークを守る「門番」の役割を持つため、ここを乗っ取られると影響が広範囲に及びかねません。Check Pointの製品を使っている組織は、公式の案内を確認して最新の修正を適用し、不審な通信や設定変更がないか点検することが重要です。個人で使う機会は少ない製品ですが、勤務先や取引先が利用している場合は、対応状況を確認してみるとよいでしょう。