これはGMOさんを攻撃した(と自称している)ハッカー集団からの声明ですが、この内容が本当だとすると、お名前ドットコムデスクトップクラウドには「初歩的 かつ 非常に大きな」脆弱性が存在していたみたいですね。 僕は現在はLinux系が専門なので知りませんでしたが、 ・WindowsのRDPでは、管理者がリモートログインした際に接続先の端末に認証情報が残り、その端末の管理者権限を持つユーザーに窃取・悪用される可能性がある ようですね。(とんでもない仕様なのでこれはまずMicrosoftが悪いw) そのため、RDPによる信頼度の低い端末への接続においては、Restricted Admin Modeなどを設定して認証情報を保護する必要があるのだそうです。 この保護はActive DirectoryのGPOとかで割と簡単に設定できるようで、そしてこのRDPの脆弱性に関しては割と広く知られている初歩的なものみたいですね。 ところが、GMOさんの管理チームは何らかの理由でこの設定やっていなかったか、もしくは単に失念してしまったのかなと。 この設定漏れにより、保守担当者がRDPでユーザーのVPSに接続した際に管理者アカウントの認証情報が漏洩し、VPS内で管理者権限を持つ攻撃者がその認証情報を取得してActive Directory全体の管理者に昇格し、他の顧客のVPSにマルウェアをばら撒いた、という展開のようですね。 そしてもう一点「ドライブリダイレクション」という記述がありますが、この機能が有効になっていると、RDPのリモート側からローカル端末のファイルを読み書きできてしまうのだそうです。(これもとんでもない仕様ですがｗ) なのでこの機能を悪用するとユーザーのVPSからローカル端末に対してマルウェアを配置することが可能になるわけですが、ハッカー集団の情報が事実ならば、お名前ドットコムデスクトップクラウドさんでは2019年からずっとこの機能が有効化されていたようです。 これも何か理由があってそうしたのかもしれませんが、事実だとしたらなんでそんな恐ろしい機能をONにしていたのかなと😅 これらを考慮すると、先ほどGMOさんが発表した第4報の 「民間事業者単独の防御・事後対応のみでは、国境を越えて暗躍する高度なサイバー犯罪集団による国民資産の略奪を根絶することは困難です。」 の部分に関してはちょっと同意しかねる部分が出てきますね。 個人的な見解としては 「あなた方のサービス、WindowsのRDPを使ってサービスを管理するなら誰でも当然のように知っておくべき初歩的な脆弱性を、長期に渡って放置していてそこを攻撃されただけですよね？」 という感想になってしまいます笑😅 まあハッカー集団が本当のことを言ってると確定したわけではないですが、サービスは全く新規に作り直すとのことなので、他の企業さんの今後の参考のためにもGMOさん側からも詳細な攻撃情報を出してほしいとこですね。 普段Windows使わないので色々と学びになりました。やっぱりLinuxがいいですね笑