RomCom backdoor ｜ブログ(ほぼこもセキュリティニュース)｜(株)コンステラセキュリティジャパン

RomComは脅威アクターグループの名称であり、マルウェアの名前ででもあります。
マルウェアはバックドア型マルウェアです。
最近のRomCom backdoorで、脆弱性を悪用した内容で悪用されている事例が確認されています。

CVE-2024-9680
これはFirefoxの脆弱性です。
Firefoxのアニメーションタイムライン機能に存在するメモリ使用後のバグで、ウェブブラウザのサンドボックス内でのコード実行を可能にします。
CVE-2024-49039
これはWindowsの脆弱性です。
Windowsタスクスケジューラサービスの権限昇格の脆弱性で、Firefoxのサンドボックス外でコードを実行できるようになります。

これらの脆弱性を組み合わせて悪用することで、脅威アクターは被害者の介入を必要とすることなくRomCom backdoorを被害者の環境に設置します。
RomComはこれまでにも多くの脆弱性を悪用してきている脅威アクターです。
RomComは主に金銭を目的とした活動を展開していて対象の業界も対象の地域も広い範囲にわたっています。
ここであげた脆弱性はどちらもすでに対応した更新が提供されています。
適切な機器管理とパッチケイデンスで脅威にあわないようにしていこうと思います。

RomCom exploits Firefox and Windows zero days in the wild
https://www.welivesecurity.com/en/eset-research/romcom-exploits-firefox-and-windows-zero-days-in-the-wild/