APT – IoT OT Security News

Mustang Panda は中国由来：新たな MQsTTang バックドアで欧州／台湾を狙っている

Chinese Hackers Targeting European Entities with New MQsTTang Backdoor

2023/03/03 TheHackerNews — 中国に拠点を置く Mustang Panda が、2023年1月に開始したソーシャルエンジニアリング・キャンペーンの一環として、MQsTTang と呼ばれる新たなカスタム・バックドアを使用していることが確認された。ESET の研究者である Alexandre Côté Cyr は、新しいレポートの中で「MQsTTang は、このグループにおける大半のマルウェアとは異なり、既存のファミリーや一般に公開されているプロジェクトをベースにしていないようだ」と述べている。

Iron Tiger ハッキング・グループは中国由来の APT27：Linux 版のカスタム・マルウェアを投入

Iron Tiger hackers create Linux version of their custom malware

2023/03/01 BleepingComputer — Iron Tiger こと APT27 ハッキング・グループは、カスタム・リモートアクセス・マルウェア SysUpdate の新しい Linux 版を用意し、企業で使用される広範なサービスを標的にしようとしている。Trend Micro の最新レポートによると、このハッカーは 2022年7月より Linux 版をテストし始めている。そして、2022年10月になると、複数のペイロードが野放し状態で活動し始めまた。

News Corp への不正侵入：2020〜2022年において中国由来の APT が潜み続けていた

News Corp says state hackers were on its network for two years

2023/02/24 BleepingComputer — マスメディア News Corp の発表によると、2022年に公開された情報漏えいの背後にいる攻撃者は、2020年2月から同社のシステムにアクセスし続けていたとのことだ。この状況が明らかになったのは、データ侵害の影響を受けた従業員にデータ侵害通知書が送られたからである。具体的に言うと、従業員の個人情報や健康情報の一部に不正アクセスが生じていたこと、そして、News Corp の複数の事業で使用されている、メールと文書保存システムにも不正アクセスが生じていたことが判明したのだ。

ワイパー・マルウェアが急増：ウクライナ侵攻により世界中で蔓延し始める

Russian Invasion Sparks Global Wiper Malware Surge

2023/02/23 InfoSecurity — セキュリティ・ベンダーの Fortinet によると、ウクライナ戦争により破壊的なマルウェアの新しい波が世界中に押し寄せており、それをサービスとして提供する、サイバー犯罪グループが増えているという。昨年にロシア軍が利用したワイパー・マルウェアだが、昨年にウクライナ国境を越えて急速に拡大し、その活動量は 2022 Q3 と Q4 の比較において 53％増になると、同社は指摘している。

プーチン大統領の演説を DDoS で妨害：ウクライナ IT Army の仕業か？

Putin Speech Interrupted by DDoS Attack

2023/02/21 InfoSecurity — Reuters の報道によると、2月21日 (火) のプーチン大統領による演説を放送していた複数の Web サイトがダウンしたが、分散型サービス妨害 (DDoS) 攻撃の疑いがあるという。この演説の間、複数の場所にいたジャーナリストたちは、All-Russia State Television and Radio Broadcasting Company (VGTRK) の Web サイトや、Smotrim のライブ・ストリーミング・プラットフォームにアクセスできない時間帯があったとのことだ。それぞれが表示したエラー・メッセージは、”技術的な作業が行われている” と “単にロードされなかっただけ” というものだった。

ノルウェーの Økokrim が大活躍：北朝鮮の APT グループ Lazarus から $5.9M を奪還

Norway Seizes Millions in North Korean Crypto

2023/02/20 InfoSecurity — 昨年にノルウェー当局は、北朝鮮の脅威アクターが盗み出した 60 million kroner ($5.9m) の暗号通貨を追跡／奪還し、この種の出来事としては過去最大の記録を打ち立てた。スカンジナビア諸国の対経済犯罪機関 (Økokrim) は、2022年3月の Ronin Network への襲撃以来、北朝鮮の脅威アクターたちによる大規模なマネーロンダリング指摘してきた。Økokrim の弁護士である Marianne Bender は、「Økokrim は、金銭の追跡が得意である。犯罪者が高度な手法を使ったとしても、ブロックチェーンには、金銭を追跡する高い能力があったことを、今回のケースが示している」と述べている。

WhiskerSpy という北朝鮮のマルウェア：ウォータリング・ホール攻撃で中国と日本を狙う

New WhiskerSpy malware delivered via trojanized codec installer

2023/02/18 BleepingComputer — セキュリティ研究者たちが発見したのは、北朝鮮に関心を示す個人を標的とする、最近の脅威アクター Earth Kitsune のキャンペーンで使用されている、新しいバックドア WhiskerSpy だ。この脅威アクターは、試行錯誤の末に、北朝鮮の親サイトのビジターからターゲットを選び出すという、ウォータリング・ホール攻撃として知られる手口を採用していた。この新しいオペレーションの存在は、2019年から Earth Kitsune の活動を追跡してきた、サイバーセキュリティ企業の Trend Micro の研究者たちにより、昨年末に発見された。

ウクライナ侵攻におけるロシアのサイバー戦略：この１年の活動を時系列で整理する

Google Report Reveals Russia’s Elaborate Cyber Strategy in Ukraine

2023/02/17 InfoSecurity — ロシアが支援するサイバー攻撃は、2020年と 2022年の比較において、ウクライナを標的としたものは 250％の、NATO 諸国を標的としたものは 300％の増加となった。このデータを提供しているのは、2月16日に公開された Fog of War: How the Ukraine Conflict Transformed the Cyber Threat Landscape という、Google Trust & Safety と Mandiant (現在は Google Cloud の一部) の共同レポートであり、Google Threat Analysis Group (TAG) による調査の結果の１つである。同レポートで Google が明らかにしているのは、サイバー・スペースで決定的な戦時的優位を得ようとする、ロシアの積極的かつ多面的な戦略が、2019年にまでさかのぼる可能性である。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。

MagicWeb という AD FS 狙いのマルウェア：ロシアの国家支援ハッカー Nobelium が開発

MagicWeb Mystery Highlights Nobelium Attacker’s Sophistication

2023/02/11 DarkReading — ロシアに関連する Nobelium グループが開発した、Active Directory Federated Services (AD FS) に対する高度な認証バイパス・マルウェアを、Microsoft が検出した。この、Microsoft が MagicWeb と呼ぶ Nobelium のマルウェアは、ユーザーの AD FS サーバにバックドアを埋め込み、特別に細工した証明書を使用して通常の認証プロセスを迂回させるものだ。Microsoft のインシデント対応担当者は、認証フローのデータを収集し、攻撃者が使用した認証証明書をキャプチャし、バックドアコードをリバース・エンジニアリングした。

Sliver マルウェアによる BYOVD 攻撃：Windows にバックドアを作る手順とは？

Hackers backdoor Windows devices in Sliver and BYOVD attacks

2023/02/06 BleepingComputer — Sunlogin の脆弱性を悪用して Sliver ポスト・エクスプロイト・ツールキットを展開し、Windows Bring Your Own Vulnerable Driver (BYOVD) 攻撃を仕掛けることで、セキュリティ・ソフトウェアを無効化するという、新しいハッキング・キャンペーンが観測されている。Sliver とは、Bishop Fox が作成したポスト・エクスプロイト・ツールキットであり、Cobalt Strike の代替手段として、昨年の夏から脅威アクターたちが利用し始めているものだ。その機能としては、ネットワーク監視／コマンド実行、反射型 DLL ロード／セッション生成／プロセス操作などが提供されている。

ChatGPT に関する調査：IT リーダーの 51% がサイバー攻撃の中核になると回答

IT Leaders Reveal Cyber Fears Around ChatGPT

2023/02/03 InfoSecurity — BlackBerry の最新調査によると、ChatGPT が１年以内にサイバー攻撃の中核として成功すると、セキュリティ・リーダーたちの過半数 (51%) が予想していることが明らかになった。この、北米／英国／オーストラリアの IT 意思決定者 1500人を対象にした調査では、すでに ChatGPT が他国への悪意の目的で使用されている可能性が高いと、71% が推定していることも判明した。ChatGPT とは OpenAI が開発した人工知能 (AI) 言語モデルをチャットボット形式で展開し、ユーザーの質問に対して迅速かつ詳細な回答を提供するものであり、2022年末に製品化されている。

2022年に盗まれた暗号通貨は総額で $3.8bn 相当：北朝鮮へは $1.7bn が流れた

Record $3.8bn Stolen Via Crypto in 2022

2023/02/02 InfoSecurity — 北朝鮮の国家に支援されたハッカーと、安全性が担保されない DeFi (Decentralized Finance) プロトコルにより、2022年は暗号通貨強盗の記録的な年になったと、Chainalysis がレポートしている。ブロックチェーン分析の同社は、発表を予定されている Annual Crypto Crime Report に先立ち、その数字を予告している。2022年には合計で $3.8bn 相当の暗号通貨が盗まれたが、そのうちの 82％が DeFi プロトコルの弱点を狙ったものであり、2021年との比較で73% の増加となる。

サイバー犯罪組織の求人広告：開発者 61%／攻撃者 16%／設計者 10% という分布

Cybercrime job ads on the dark web pay up to $20k per month

2023/01/30 BleepingComputer — サイバー犯罪グループによるダークウェブでの求人広告は、高額給与／有給休暇／有給病欠などを開発者やハッカーに提示することで、ビジネスとしての運営を支えているようだ。Kaspersky は 2020年3月〜6月の間に、155ヶ所のダークウェブに掲載された 20万件の求人広告を分析し、Hacking／APT グループは主にソフトウェア開発者 (全広告の61％) の採用を目指し、きわめて競争力の高い条件で勧誘しているようだ。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

Exchange サーバと ProxyNotShell：緩和策では攻撃を防げないと Microsoft が警告

Microsoft urges admins to patch on-premises Exchange servers

2023/01/26 BleepingComputer — 今日、Microsoft が公表したのは、オンプレミスの Exchange サーバに対する累積アップデート (CU： Cumulative Update) の適用であり、また、緊急のセキュリティ・アップデートに対しても、導入の準備を整えておくよう顧客に呼びかけた。Exchange サーバのアップデート・プロセスについて、同社は簡単だと述べているが、多くの管理者が同意しないかもしれない。具体的な手順として、アップデートをインストールした後には必ず、Exchange Server Health Checker スクリプトの実行を推奨しているという。

DragonSpark という中国の APT：Golang ソースの実行時解釈で検出を回避

Hackers use Golang source code interpreter to evade detection

2023/01/24 BleepingComputer — DragonSpark という名で追跡されている、中国語を話すハッキング・グループは、東アジアの組織に対してスパイ攻撃を行う際に、検出を回避するために Golang ソースコードの解釈を採用していることが確認された。この攻撃は SentinelLabs により追跡されており、DragonSpark は SparkRAT と呼ばれるオープンソース・ツールに採用し、感染させシステムから機密データを盗み、コマンドを実行し、ネットワーク上での横移動などを行うと、研究者たちは報告している。SentinelLabs が観測した侵入経路は、オンラインで公開されている脆弱な MySQL データベース・サーバだった。

Sliver は Cobalt Strike の後継：多様な機能を搭載する C2 フレームワーク

Threat Actors Turn to Sliver as Open Source Alternative to Popular C2 Frameworks

2023/01/23 TheHackerNews — Cobalt Strike や Metasploit に代わるオープンソースのフレームワークであり、合法的な Command and Control (C2) フレームワークである Sliver が、脅威アクターたちの支持を集めていることが判明した。サイバー・セキュリティ企業である BishopFox が開発した Sliver は、Golang ベースのクロスプラットフォームなポスト・エクスプロイト・フレームワークであり、レッドチームが使用することを想定して設計されている。先週に Cybereason が実施した徹底的な分析により、この Sliver の内部構造が詳細まで明らかにされた。

Microsoft のマルウェア対策：Excel XLL add-in の制限が 2023年3月から始まる

Microsoft plans to kill malware delivery via Excel XLL add-ins

2023/01/23 BleepingComputer — Microsoft が取り組んでいるのは、インターネットからダウンロードされた XLL アドインを、自動的にブロックする機能を追加することで、Microsoft 365 における XLL アドインを保護することである。それにより、この感染経路を悪用するマルウェア増加の傾向に、対処することが可能となる。Microsoft は、「この数カ月で増加しているマルウェア攻撃に対抗するため、インターネットからダウンロードされる XLL アドインを、ブロックするための対策を実施している」と述べている。同社によると、この新機能は 2023年3月から、Current／Monthly Enterprise／Semi-Annual Enterprise チャネルの、デスクトップ・ユーザーを対象に一般提供される予定だという。

FortiOS SSL-VPN の脆弱性 CVE-2022-42475：中国由来のハッカーが 2022年10月から侵害

Chinese hackers used recently patched FortiOS SSL-VPN flaw as a zero-day in October

2023/01/20 SecurityAffairs — 先日にパッチが適用された FortiOS SSL-VPN の脆弱性 CVE-2022-42475 を、中国の脅威アクターと思われる人物が、ゼロデイとして悪用したことを、Mandiant の研究者たちが報告している。この脆弱性は、欧州の政府機関やアフリカの MSP などを標的とする、一連の攻撃で悪用されたと、同社は述べている。この脆弱性は、2022年12月に Fortinet により対処されているが、攻撃自体は 10月の時点で生じていた。専門家たちが集めた証拠によると、中国のサイバースパイ活動の一環であることが示唆されている。

WikiLeaks が暴露した CIA の Hive マルウェア：未知の脅威アクターが改造／悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

Dark Pink という APT グループ：APAC の政府／軍事を狙って７件の攻撃を達成

Dark Pink APT Group Targets Governments and Military in APAC Region

2023/01/11 TheHackerNews — アジア太平洋地域における政府機関／軍事組織などが、未知の高度持続的脅威 (APT：Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に７つの攻撃を成功させた」と述べている。

Turla APT の奇妙な動き：10年前のマルウェア・インフラからバックドアを展開

Russian Turla Hackers Hijack Decade-Old Malware Infrastructure to Deploy New Backdoors

2023/01/08 TheHackerNews — ロシアのサイバー・スパイグループ Turla が、10年前のマルウェアの攻撃インフラを利用して、ウクライナのターゲットに、独自の偵察ツールやバックドア・ツールを配布していることが確認された。Google 傘下の Mandiant は、この活動を UNC4210 という未分類のクラスタ名で追跡しており、乗っ取られたサーバを調査したところ、2013年に VirusTotal にアップロードされた ANDROMEDA (別名 Gamarue) というマルウェアの亜種に該当したと述べている。

2023年の地政学を占う：国家に支援される脅威アクターは何を仕掛けてくる？

Geopolitical Tensions Expected to Further Impact Cybersecurity in 2023

2022/12/29 InfoSecurity — 地政学は 2023年においても、組織のサイバー・セキュリティとセキュリティ態勢に影響を与え続けるだろう。2022年2月に、ロシアによるウクライナ侵攻の動きが始まったとき、世界的な紛争がサイバー・セキュリティに与える影響力がクローズアップされた。それに伴い、ウクライナと西側同盟国が認識したことは、多額のロシア制裁に対する報復として、重要な国家インフラ (CNI : Critical National Infrastructure) へのサイバー攻撃の脅威が生じることだった。しかし、多くのサイバー・セキュリティ専門家が、2023年に向けて考えているのは、地政学的な問題である。

Excel への再攻撃を狙う APT：新たな手口は XLL Add-in 侵入ベクター

APT Hackers Turn to Malicious Excel Add-ins as Initial Intrusion Vector

2022/12/28 TheHackerNews — インターネットからダウンロードされた Office ファイルの Visual Basic for Applications (VBA) マクロについて、Microsoft がデフォルトでのブロックを決定したことで、多くの脅威者が、この数カ月で攻撃方法を変更するようになった。Cisco Talos によると、APT (Advanced Persistent Threat) や各種のマルウェア・ファミリーは、イニシャルの侵入経路として Excel Add-in (.XLL) ファイルを使用する傾向を強めているとのことだ。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

APT と地政学的な背景：2022年に猛威を奮った脅威 Top-5 を分析

2022 Top Five Immediate Threats in Geopolitical Context

2022/12/26 TheHackerNews — 2022年も終わりに近づいているがが、この激動の年に最も懸念された脅威に対するテスト数を見ると、特定の脅威に対する脆弱度について、それぞれのサイバーセキュリティ・チームがチェックした、脅威ベースの視点が得られる。2022年1月1日〜12月1日に、Cymulate Security Posture Management Platform でレジリエンスを検証するために、最も多くテストされた脅威は以下の通りである。

MirrorFace という中国語圏の APT：参院選 2022 で政治団体を狙っていた

Researchers Uncover MirrorFace Cyber Attacks Targeting Japanese Political Entities

2022/12/15 TheHackerNews — MirrorFace というコードネームで呼ばれる、中国語圏の APT (Advanced Persistent Threat) グループが、日本の政治団体を標的としたスピアフィッシング・キャンペーンに関与していることが判明した。このキャンペーンは、ESET により Operation LiberalFace と名付けられ、LODEINFOと呼ばれるインプラントとMirrorStealerと呼ばれる未知のインフォ・スティーラーの配信を目的とし、日本の無名政党のメンバーにフォーカスするものである。

Citrix ADC／Gateway のゼロデイ CVE-2022-27518：中国の APT5 による攻撃を NSA が指摘

Citrix and NSA urge admins to fix actively exploited zero-day in Citrix ADC and Gateway

2022/12/13 SecurityAffairs — Citrix ADC／Gateway のゼロデイ脆弱性 CVE-2022-27518 に対する、セキュリティ・アップデートの適用が管理者たちに推奨されている。この脆弱性は、中国に関連する脅威アクターたちが標的とする、ネットワークへのアクセスのために積極的に悪用されているという。Citrix のブログポストには、「この脆弱性を悪用する、少数の標的型攻撃を認識している」と記されている。この脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、対象となるアプライアンス上で任意のコード実行を可能にするという。

TAG-53 という親ロシア派ハッカー：米軍の兵器メーカーへの攻撃に関与

Russian Hackers Spotted Targeting U.S. Military Weapons and Hardware Supplier

2022/12/07 TheHackerNews — ロシアとつながりのある国家的なハッキング・グループが、米国に拠点を置く軍事兵器正規サプライヤーである Global Ordnance が使用する、Microsoft のログイン・ページを偽装する攻撃インフラに関連していることが判明した。Recorded Future によると、TAG-53 と命名された脅威アクターが、この新しい攻撃インフラを提供しているようだ。この驚異アクターは、Blue Callisto／Callisto／COLDRIVER／SEABORGIUM／TA446 などの呼び名で、サイバーセキュリティ・コミュニティでは有名な存在だという。

ロシアン・ハッカーを釣ってみた：ウクライナと NATO への攻撃体制が浮き彫りに

Russian Hackers Use Western Networks to Attack Ukraine

2022/12/06 InfoSecurity — 英国／米国などの組織において、そのネットワークへのアクセスを不正に維持しているロシアン・ハッカーたちが、ウクライナに対して攻撃を仕掛けていることが、Lupovis の最新レポートで明らかにされたな。スコットランドのセキュリティ企業である Lupovis は、ロシアの脅威アクターをおびき寄せるために Web 上にルアーを展開し、その TTP (Tactics, Techniques and Procedures) の研究で成果をあげた。

NATO の大規模サイバー演習：Cyber Coalition 22 の開催とウクライナへの意識

NATO Launches Massive Cyber-Defense Exercise

2022/12/02 InfoSecurity — 今週に NATO は、加盟国間のサイバー耐性強化を目的とする、Cyber Coalition 22 演習を開始した。この軍事同盟には、加盟国26カ国に加え、フィンランド／スウェーデン／ジョージア／アイルランド／スイス／日本／EU から 1000人の防衛担当者が集まり、産業界や学術界からも参加者が集まった。５日間にわたる演習は、電力網や NATO の資産に対するサイバー攻撃といった、現実的な課題を参加者に与え、ネットワークを守り、サイバースペースでの協力能力を強化することを目的にしているとのことだ。

Variston IT というスパイウェア：Chrome／Firefox／Defender の N-Day 脆弱性を悪用

Spyware Vendor Variston Exploited N-Days in Chrome, Firefox, Windows

2022/12/01 InfoSecurity — スペインのカスタム・セキュリティ・ソリューション・プロバイダーとされる Variston IT は、自社の Heliconia フレームワークで Chrome／Firefox／Microsoft Defender の N-Day 脆弱性を悪用し、ターゲット・デバイスにペイロードを展開するためのツールを配布している。これは、Google Threat Analysis Group (TAG) が、11月30日のアドバイザリで明らかにしたものであり、Google／Microsoft／Mozilla は 2021年と 2022年初旬に、この脆弱性を修正しているという。

OpenVPN／SoftVPN とトロイの木馬：Android ユーザーを狙う Bahamut というハッカー

Hackers modify popular OpenVPN Android app to include spyware

2022/11/24 BleepingComputer — 2017 年以降のサイバー・スパイ活動に関与する脅威アクターたちが、正規のソフトウェア SoftVPN や OpenVPN をトロイの木馬化し、Android 向けの偽 VPN ソフトウェアを作成し、被害者を誘い込んでいることが判明した。研究者たちによると、このキャンペーンは “高度な標的型“ であり、複数のアプリから連絡先／通話データ／デバイスの位置情報／メッセージなどの窃取を目的としているとのことだ。

Boa Web Sever への攻撃：2005年に開発終了しても IoT で利用される理由は？

Hackers Exploiting Abandoned Boa Web Servers to Target Critical Industries

2022/11/23 TheHackerNews — 火曜日に Microsoft は、2022年初めにインドの電力網事業体を狙った侵入行為において、現在では廃止されている Boa と呼ばれる Web サーバの、脆弱性が利用された可能性が高いことを明らかにした。この脆弱なコンポーネントは、何百万もの組織やデバイスに影響を与え得る、サプライチェーン・リスクをもたらすと、Microsoft のサイバーセキュリティ部門は述べている。

Nighthawk というレッドチームツール：Cobalt Strike のように悪用される可能性

Experts Warn Threat Actors May Abuse Red Team Tool Nighthawk

2022/11/22 InfoSecurity — Nighthawk と名付けられた、新たなレッドチーム・ツールが、脅威アクターにより間もなく悪用される可能性があると、セキュリティ研究者たちが警告している。このツールは、2021年後半に MDSec 社により開発されている。そして、Cobalt Strike や Brute Ratel のように、合法的な使用を目的として商業的に配布される RAT (Remote Access Trojan) として機能する、高度な C2 フレームワークと表現するのが適切だろう。しかし、これまでの２つのツールと同様に、悪意の人々に直ちに利用される可能性があると、Proofpoint は最新レポートの中で警告している。

Cobalt Strike のハッキング・バージョンは 34 種類：YARA ルールで排除を目指す Google

Google Identifies 34 Cracked Versions of Popular Cobalt Strike Hacking Toolkit in the Wild

2022/11/21 TheHackerNews — 先週に Google Cloud は、Cobalt Strike には 34 種類のハッキングされたバージョンが存在、野放し状態で悪用されていることを明らかにした。その中で、最も古いものは、2012年11月にリリースされたバージョンだという。GCTI (Google Cloud Threat Intelligence) チームの調査結果によると、Cobalt Strike は 1.44 から 4.7 までのバージョンがあり、合計で 275 種類のユニークな JAR ファイルが存在するようだ。そして、最新のバージョンは 4.7.2 だ。

LockBit が引き続きトップの座：Trellix の 2022年 Q3 サイバー脅威レポート

LockBit Remains Most Prolific Ransomware in Q3

2022/11/16 InfoSecurity — Trellix の最新レポートによると、2022年 Q3 に最も広まった LockBit ランサムウェアの亜種が、全体的な検出数の 5分の1以上 (22％) を占めたとのことだ。脅威インテリジェンス・ベンダーである Trellix は、センサーネット・ワークからのデータ／オープンソース・インテリジェンス／Trellix Advanced Research Center などから得たデータを調査／分析し、The Threat Report: Fall 2022 を編纂している。

中国のハッカー集団 Billbug：標的はアジア諸国における政府と防衛の機関

Chinese hackers target government agencies and defense orgs

2022/11/15 BleepingComputer — Billbug (a.k.a. Thrip／Lotus Blossom／Spring Dragon) として追跡されているサイバースパイ活動家が、アジア諸国の認証局／政府機関／防衛組織を標的としたキャンペーンを展開している。最新の攻撃は３月ころから観測されているが、この脅威アクターは、10年以上前からステルスで活動している、中国の国家支援グループだと思われる。Billbug の活動は、過去６年間 [1, 2, 3] にわたり、複数のサイバー・セキュリティ企業により記録されている。

ウイグル人を弾圧するスパイウェア：国家に支援される APT15 が悪意のアプリを配布

Uyghurs Targeted With Spyware, Courtesy of PRC

2022/11/12 DarkReading — 中国政府は、イスラム教徒のウイグル族弾圧の一環として、スパイウェアを導入し、宗教的過激派と見なされる人物を検挙／拘束していると報告されている。Lookout Threat Labs の研究者たちによると、中国の支援を受けた脅威グループが、スパイウェア BadBazaar／Moonshine を、ウイグル語のサイトや SNS に広めているようだ。これらのスパイウェアは、VPN／WhatsApp／イスラム教アプリなどを使用する、同政府の言う “犯罪予備軍“ の捕捉を目的としているという。

Cobalt Strike ローダーの新種 Symatic：中国 APT41 と持続性のあるバックドア展開

New hacking group uses custom ‘Symatic’ Cobalt Strike loaders

2022/11/09 BleepingComputer — これまで知られていなかった Earth Longzhi という中国の APT (Advanced Persistent Threat) ハッキング集団が、東アジア／東南アジア／ウクライナの組織を狙っている。この脅威アクターは、2020年から活動しており、カスタム・バージョンの Cobalt Strike ローダーを用いて、被害者のシステムに持続性のあるバックドアを仕込んでいる。Trend Micro の最新レポートによると、Earth Longzhi の TTP は Earth Baku と同様のものであり、この２つのグループは、国家が支援する APT41 の下部組織であると考えられる。

Microsoft の 2022 Digital Defense Report：国家による主要インフラへのハッキングが急増

Nation-State Hacker Attacks on Critical Infrastructure Soar: Microsoft

2022/11/07 SecurityWeek — Microsoft の 2022 Digital Defense Report によると、ウクライナとその同盟国を標的としたロシアのサイバー攻撃が主な原因で、主要インフラに対する国民国家のハッカー攻撃が急増しているという。2020年6月〜2021年6月にかけて、Microsoft が観測した国民国家の攻撃のうち、主要インフラを狙ったものは全体の 20％だった。その割合は、2021年7月〜2022年6月の期間には、40%に増加している。

RomCom RAT を展開する新たな動き：KeePass や SolarWinds の偽サイトに御用心

Hackers Using Rogue Versions of KeePass and SolarWinds Software to Distribute RomCom RAT

2022/11/03 TheHackerNews — RomCom RAT のオペレーターは、SolarWinds Network Performance Monitor／KeePass Password Manager／PDF Reader Pro などの、不正なバージョンを悪用するかたちでキャンペーンを進化させ続けている。このオペレーションのターゲットを構成するのは、ウクライナや英国などの英語圏の被害者たちである。BlackBerry Threat Research and Intelligence Team は、「ターゲットの地理的条件と、現在の地政学的状況を考慮すると、RomCom RAT の動機が経済的なサイバー犯罪にあるとは考えにくい」と新たな分析で述べている。

OPERA1ER という現金強奪者：４年間で銀行などから $11M 以上を盗み出した

Threat Actor “OPERA1ER” Steals Millions from Banks and Telcos

2022/11/03 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、フランス語圏の脅威グループによる長期的な APT キャンペーンの存在であり、４年間で銀行や通信事業者から少なくとも $11m を盗み出したグループのことである。Group-IB は、このグループを OPERA1ER と名付けたが、以前には DESKTOP-group や Common Raven など呼ばれていたようだ。Group-IB は、Orange CERT Coordination Center と協力して、レポート OPERA1ER. Playing God without permission を作成した。

SandStrike という Android 向けスパイウェア：悪意の VPN アプリ経由で端末に感染

Experts Warn of SandStrike Android Spyware Infecting Devices via Malicious VPN App

2022/11/02 TheHackerNews — これまで文書化されていなかった Android のスパイウェア・キャンペーンが、一見無害な VPN アプリを装って、ペルシャ語圏の人々を襲っていることが判明した。ロシアのサイバーセキュリティ企業である Kaspersky は、このキャンペーンを SandStrike という名前で追跡している。ただし、それは、特定の脅威グループに起因するものではない。

中国 APT10 の標的は日本の政府機関など：K7Security を悪用する LODEINFO マルウェアとは？

Hacking group abuses antivirus software to launch LODEINFO malware

2022/10/31 BleepingComputer — APT10 として追跡されている中国のハッキング・グループ Cicada は、セキュリティ・ソフトウェアを悪用することで、日本の組織に対してマルウェア LODEINFO の新バージョンをインストールしていたことが確認されている。標的となったのは、日本国内の報道機関／外交機関／政府機関／公共機関／シンクタンクなどであり、いずれもサイバー犯罪の標的として高い関心を集める組織である。

BlackLotus は新種の Windows UEFI ブートキット：ハッキングフォーラムで販売されている

Malware dev claims to sell new BlackLotus Windows UEFI bootkit

2022/10/17 BleepingComputer — ある脅威アクターが、新しい UEFI ブートキット BlackLotus をハッキングフォーラムで販売している。このツールは、国家を後ろ盾とする脅威グループに関連する機能を有している。UEFI ブートキットとは、システムのファームウェアに仕込まれるものであり、マルウェアが起動シーケンスの初期段階でロードされるため、OS 内で動作するセキュリティ・ソフトウェアからは検出されない。

Zimbra のゼロデイ CVE-2022-41352：約 900台のサーバーにハッキング被害

Almost 900 servers hacked using Zimbra zero-day flaw

2022/10/15 BleepingComputer — Zimbra Collaboration Suite (ZCS) の深刻な脆弱性が悪用され、約 900台のサーバがハッキングされていることが判明した。この脆弱性は公開から約 1ヶ月半にわたり、パッチ未適用のゼロデイ脆弱性だった。この脆弱性 CVE-2022-41352 は、攻撃者が ZCS サーバに Web シェルを植え付けると同時に、アンチウイルス・チェックを回避する悪意のアーカイブを添付した、メールの送信を可能にするリモート・コード実行の脆弱性である。

中国によるサイバー攻撃：過去 10年間にわたる APT の実態を整理する

Report Shows How China Has Been Using Cyberattacks Over the Past Decade

2022/10/14 InfoSecurity — 2022年10月12日に、コンサルティング会社 Booz Allen Hamilton が発表したレポートによると、中国の国家が支援するサイバー攻撃は、米国の国家安全保障に対する脅威を増大させているという。このレポート Same Cloak, More Dagger: Decoding How the People’s Republic of China (PRC) Uses Cyber Attacks は、米国企業や同盟国の CISO／脅威アナリストを対象にしている。

Polonium カスタム・バックドア：OneDrive 上の C2 Server を Microsoft が検出

Researchers Uncover Custom Backdoors and Spying Tools Used by Polonium Hackers

2022/10/12 TheHackerNews — Poloniumとして追跡されている脅威アクターが、2021年9月以降に７種類のカスタム・バックドアを用いてイスラエルの団体を狙うという、十数件の高度な標的型攻撃に関連していることが判明した。サイバー・セキュリティ企業の ESET は、エンジニアリング／IT／法律／通信／メディア／保険／ソーシャルサービスなどの、さまざまな垂直方向の組織への侵入があったと述べている。