CyberAttack – Page 60 – IoT OT Security News

Microsoft の Digital Crimes Unit が Zloader マルウェアのグローバル・インフラを破壊

Microsoft disrupts Zloader malware in global operation

2022/04/13 BleepingComputer — Microsoft の Digital Crimes Unit (DCU) が主導する、数カ月にわたるグローバルな作戦により、ZLoader ボットネットの Command and Control (C2) サーバーとして使用されていた数十のドメインが破壊された。Microsoft が取得した裁判所命令により、ZLoader サイバー犯罪組織がボットネットの制御に使用していた 65 のハードコード・ドメインと、フォールバック／バックアップ通信チャネルの作成で使用していた、ドメイン生成アルゴリズムをにより登録された 319 のドメインを陥落させることになった。

SAP の Spring4Shell 情報が公開：全体で 30件以上のアドバイザリを提供

SAP Releases Patches for Spring4Shell Vulnerability

2022/04/13 SecurityWeek — 4月13日にドイツのソフトウェア・メーカー SAP は、April 2022 Security Patch Day で Spring4Shell 脆弱性に対処を含む、30以上の新規／更新のセキュリティ・アドバイザリを公開した。この Spring4Shellと呼ばれる脆弱性 CVE-2022-22965 は、世界で最も人気の Java アプリ開発フレームワークである Spring に存在し、リモートでコード実行を許す可能性がある。セキュリティ研究者たちは、すでにこの脆弱性を悪用しようとする動きを観測している。

EnemyBot という Mirai 亜種：Router／IoT デバイスを大量に収穫して勢力を拡大中

New EnemyBot DDoS botnet recruits routers and IoTs into its army

2022/04/13 BleepingComputer — Mirai ベースの新しいボットネット・マルウェア EnemyBot は、モデム／ルーター／IoT デバイスの脆弱性を介して感染させたデバイスの勢力を拡大させ、それを操作する脅威アクターが Keksec であることが確認されている。この脅威グループは、クリプトマイニングと DDoS を専門としており、いずれも IoT デバイスに巣食い、そのコンピュータ資源を乗っ取ることが可能な、ボットネット・マルウェアにより支えられている。

HP Teradici PCoIP に影響をおよぼす OpenSSL の脆弱性 CVE-2022-0778

Critical HP Teradici PCoIP flaws impact 15 million endpoints

2022/04/12 BleepingComputer — HP は、Windows／Linux／macOS 向けの Teradici PCoIP クライアント／エージェントに存在する深刻な脆弱性が、1500万台のエンド・ポイントに影響を与える可能性があるとして、警告を発している。先日に公開された OpenSSL 証明書解析バグにより、Teradici にに無限ループが生じることが発見された。

Center for Internet Security が提供する実証済みの防御ガイダンスとは？

Cyber defense: Prioritized by real-world threat data

2022/04/12 HelpNetSecurity — サイバー・セキュリティ侵害の影響は、あらゆる企業にとって痛手であり、一部の企業にとっては壊滅的なものとなる。マルウェア／ランサムウェア／Web アプリ・ハッキング／インサイダー権限の悪用／標的型攻撃という、今日の環境で見られる５大脅威はどれも深刻であり、長期間にわたる金銭的／風評的な損害をもたらす可能性を持つ。IBM の 2021 Cost of a Data Breach Report によると、金銭的コストに関しては平均で $4.24 million が費やされている。そして風評被害だが、定量化が難しく、克服するのに何年もかかる可能性がある。

Microsoft 2022-04 月例アップデートは２件のゼロデイと 119件の脆弱性に対応

Microsoft April 2022 Patch Tuesday fixes 119 flaws, 2 zero-days

2022/04/22 BleepingComputer — 今日は Microsoft は、April 2022 Patch Tuesday を発行し、２つのゼロデイ脆弱性を含む、合計で 119件の不具合を修正した。Microsoft は 119件の脆弱性（Microsoft Edgeの脆弱性26件を含まず）を修正したが、そのうちの 10件はリモートコード実行が可能なため Critical に分類されている。それぞれの脆弱性カテゴリに含まれる、バグの数は以下のとおりである。

CISA 警告：WatchGuard アプライアンスの深刻な脆弱性を悪用リストに追加

CISA warns orgs of WatchGuard bug exploited by Russian state hackers

2022/04/11 BleepingComputer — 月曜日に Cybersecurity and Infrastructure Security Agency (CISA) は、すべての連邦政府民間機関と米国組織に対して、WatchGuard Firebox および XTM Firewall 製品で積極的に悪用されているバグを修正するよう促した。ロシアの軍事情報機関 GRU に属するとされる、国家に支援されたハッキング・グループ Sandworm も、この深刻度の高い特権昇格の脆弱性 CVE-2022-23176 を悪用し、感染させた WatchGuard Small Office/Home Office (SOHO) ネットワーク・デバイスを用いて、Cyclops Blink と呼ばれる新しいボットネットを構築している。

Qbot マルウェアの戦術変更：感染ベクターを Macro から Windows Installer へ

Qbot malware switches to new Windows Installer infection vector

2022/04/11 BleepingComputer — 現在 Qbot ボットネットは、パスワード保護された ZIP アーカイブを添付したフィッシング・メールを介して、マルウェアのペイロードを送信しているが、その中に悪意の MSI Windows Installer パッケージも含まれる。これまでの Qbot オペレーターたちは、悪意のマクロを含む Microsoft Office ドキュメントを、フィッシング・メールにより配信し、標的デバイスにマルウェアをドロップするという手法を用いていたが、新しい戦術が使われたことになる。

6000人を対象にセキュリティ調査：人為的なリスクが最大の痛みを伴うという結論

Human activated risk still a pain point for organizations

2022/04/11 HelpNetSecurity — 広範囲に及ぶ業種の IT セキュリティ・リーダー 600人を対象に、脅威が高まる環境下という前提で、それぞれの組織のセキュリティ態勢について、匿名での調査が実施された。Egress の調査レポートによると、IT リーダーの 56% の回答として、セキュリティ攻撃に対して非技術系の従業員は、ある程度は備えている、あるいは、まったく備えていない、ことが明らかになった。さらに、回答者の 77％が、パンデミックが引き起こしたリモート化により、セキュリティ侵害が増加したと回答しており、組織には大きなリスクが存在し続けていることが判明した。

Microsoft の Autopatch 機能が７月から稼働：サーバー系は Patch Tuesday を継続

Microsoft’s New Autopatch Feature to Help Businesses Keep Their Systems Up-to-Date

2022/04/10 TheHackerNews — 先週に Microsoft は、Windows Enterprise E3 の一部として、2022年7月から Autopatch と呼ばれる機能を、一般に提供する方針だと発表した。Microsoft の Senior Product Marketing Manager である Lior Bela は、「このサービスは、登録されたエンド・ポイント上の Windows と Office のソフトウェアを、追加費用なしで自動的に最新の状態に保つものだ。毎月の第２火曜日は、ただの火曜日になる」と、先週の投稿で述べている。

中国の科学者が構築した衛星のセキュリティ欠陥を特定するシステムとは？

Chinese scientists build system ‘to identify satellite security flaws’

2022/04/09 SCMP — このプロジェクトに携わった軍事科学者によると、中国は軌道上の衛星のセキュリティの弱点を自動的に検出するための、新しいサイバー防衛インフラを構築したとのことだ。宇宙には何千もの衛星が存在するが、それぞれの衛星を構成する何百もの部品には、ハッカーに悪用される可能性のある、ソフトウェアやハードウェアの抜け穴が存在する。

その研究者によると、National University of Defence Technology in Changsha と Beijing Aerospace Control Centre が共同開発した、コンピューター・システム Ontology of Cyber Situational Awareness for Satellites (OntoCSA4Sat) は、衛星の詳細なデータベースを維持しているとのことだ。

保険会社とランサムウェア：上位 99社のうち 18% が影響を受けやすい状況にある

18% of the top 99 insurance carriers have a high susceptibility to ransomware

2022/04/08 HelpNetSecurity — Black Kite が発表したレポートは、保険分野におけるサイバー・リスクの高まりと、ランサムウェアの影響に対する懸念を示している。最も注目すべき点は、上位 99社の保険会社のうち、20％近くがランサムウェアの影響を受けやすい状況にあることだ。Black Kite の CSO である Bob Maley は、「サイバー保険の状況は、かつてないほど不安定になっている。デジタル・サプライチェーンは急速に拡大しており、サードパーティにおけるデータ漏洩やランサムウェア攻撃のリスクにさらされている。ビジネスを保護するためには、デジタル・ネットワークのサイバー健全性を徹底的に評価し、継続的に監視する必要がある」と述べている。

Google Play に粘着する SharkBot バンキング RAT は次世代型：テストが終わると蠢き出す

Google Removes Dangerous Banking Malware From Play Store

2022/04/08 DarkReading — 2021年10月に表面化し、現在も野放しになっている、SharkBot と呼ばれる危険な Android バンキング・トロイの木馬は、Google Play という信頼できるモバイル・アプリ・ストアを通じて、マルウェアを配布しようとする脅威アクターの執念を示す最新の事例である。

この不正プログラムは、発見者が次世代型と表現しているように、銀行口座にログインしている被害者に、感染させた Android 端末を使用させ、多要素認証の制御をバイパスし、銀行口座からひそかに不正送金するものだ。SharkBot は、認証情報やクレジットカード情報を盗むことも可能であり、また、検出の複雑化により発見を遅らせるなどの、複数の機能を搭載している。

Mirai と Spring4Shell：シンガポールに集中する攻撃はグローバル展開への予兆か？

Mirai malware now delivered using Spring4Shell exploits

2022/04/08 BleepingComputer — 現在、マルウェア Mirai は、Spring4Shell エクスプロイトを悪用して脆弱な Web サーバーを感染させ、DDoS 攻撃 (分散型サービス拒否攻撃) へと導こうとしている。Spring4Shell とは、CVE-2022-22965 として追跡されているリモートコード実行 (RCE) の深刻な脆弱性であり、エンタープライズ・レベルの Java アプリ開発プラットフォームとして広く利用されている、Spring Framework に影響を及ぼすものだ。

Accenture 調査：コンシューマを狙うサイバー詐欺が 2020〜2021 で 22.5％の増加

Consumer fraud tripled in the last two years

2022/04/08 HelpNetSecurity — Accenture の最新レポートによると、2020年から2021年にかけて、消費者詐欺の報告件数が前年比で３倍以上に増加しているという。また、この傾向に対抗する新しい戦略を見つけることが、公共の安全機関にとって困難になっていることが明らかになった。このレポートは、先進８カ国 (オーストラリア／カナダ／フランス／ドイツ／イタリア／シンガポール／英国／米国) における、消費者詐欺に関するデータをまとめたものであり、政府機関や企業を標的とした詐欺を除いた、コンシューマを標的とした詐欺と定義されている。

Microsoft がロシアの軍事サイバー・スパイ APT28 のドメインをダウンさせた

Microsoft takes down APT28 domains used in attacks against Ukraine

2022/04/07 BleepingComputer — Microsoft は、ロシアのハッキング・グループ APT28 が組織したウクライナ攻撃の阻止に成功し、攻撃インフラとして使用されていた７つのドメインをダウンさせた。ロシアの軍事情報機関 GRU と連携する Strontium (別名：Fancy Bear／APT28) は、これらのドメインを使用して、ウクライナのメディアなどの組織を標的にしていた。また、これらのドメインは、米国や奥州の政府機関／外交政策に関わるシンクタンクへの攻撃でも使用されていた。

BlackCat ランサムウェアが石油／ガス／鉱山／建設をターゲットにしている証拠とは？

BlackCat Ransomware Targets Industrial Companies

2022/04/07 SecurityWeek — BlackCat／ALPHV／Noberus として追跡されているランサムウェア・グループが使用するデータ窃取ツールを分析すると、このサイバー犯罪者が製造業ををターゲットにすることに、強い関心を持っていることが示唆される。2021年11月に BlackCat は出現し、Ransomware-as-a-Service (RaaS) モデルを利用することで、米国などの組織を標的にしてきた。

ランサムウェアに関する 2021年の調査：63% の組織が身代金を支払っている

63% of organizations paid the ransom last year

2022/04/06 HelpNetSecurity — CyberEdge Group のレポートによると、昨年は 71% の組織がランサムウェア攻撃の被害を受け、2017年の 55% から増加し、過去最悪の結果となった。また、被害に遭った組織のうち、要求された身代金を支払ったのは 63% であり、2017年の 39% から大きく増加している。

SpringShell 問題を抱える組織と脅威アクターたち：すでに６社に１社がターゲットに

SpringShell attacks target about one in six vulnerable orgs

2022/04/05 BleepingComputer — あるサイバー・セキュリティ企業の統計によると、ゼロデイ脆弱性 Spring4Shell の影響を受ける世界中の組織の約６社に１社は、すでに脅威者に狙われていることが判明した。この、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2022-22965 の、エクスプロイト・コードが公開されてから４日間で、悪用の試みが行われているようだ。テレメトリ・データを基にレポートをまとめた Check Point によると、この週末だけで 37,000件の Spring4Shell 攻撃が検出されたとのことだ。

FIN7 ギャングの戦略：運輸／保険／防衛をターゲットにサプライチェーン攻撃？

FIN7 Hackers Leveraging Password Reuse and Software Supply Chain Attacks

2022/04/05 TheHackerNews — この FIN7 と名付けられたサイバー犯罪グループは、当初からのアクセス・ベクターを多様化させ、ソフトウェア・サプライチェーン侵害や、盗まれた認証情報の利用などを取り入れていることが、新しい調査により明らかになった。インシデント・レスポンス会社である Mandiant は月曜日のレポートで、「複数の組織における FIN7 による活動のあとに続く、データ盗難／ランサムウェア展開／技術的重複から、長年に渡り FIN7 の行為者は、様々なランサムウェア・オペレーションと関連していたことが示唆される」と述べている。

CISA 警告：積極的に悪用されている Spring4Shell などを脆弱性リストに追加

CISA Warns of Active Exploitation of Critical Spring4Shell Vulnerability

2022/04/05 TheHackerNews — 月曜日に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、先日に公開された Spring Framework に影響を及ぼすリモートコード実行 (RCE) の脆弱性が、活発に悪用されているという証拠に基づき、Known Exploited Vulnerabilities Catalog に追加した。この深刻な脆弱性 CVE-2022-22965 (CVSS : 9.8) は、Java Development Kit 9 以降で動作する Spring Model-view-Controller (MVC) および、 Spring WebFlux アプリケーションに影響を与える。

Microsoft が Spring4Shell 攻撃を検出：広範囲のクラウドで少量の悪用の施行

Microsoft detects Spring4Shell attacks across its cloud services

2022/04/05 BleepingComputer — Microsoft は、深刻なリモートコード実行 (RCE) 脆弱性 (Spring4Shell／SpringShell) を標的とした少量の悪用の試みを、同社のクラウド・サービスにおいて追跡していると発表した。この Spring4Shell の脆弱性 CVE-2022-22965 は、最も広く使用されているライトウェイト Java オープンソース・フレームワークとされる、Spring Framework に影響を与える。

ロシアの人々に情報を届ける：Cloudflare が説明するブロック回避の状況

Russians bypass website blocks to access Western news sources

2022/04/04 BleepingComputer — Cloudflare は、ウクライナ情勢に関する正確な情報を得るために、ロシアの人々が欧米のニュースソースを利用するという傾向が強まっている兆候を捉えている。今日、Cloudflare が発表した新しいブログ記事では、ロシアのネット・ユーザーが英国／米国／フランスのニュースサイトにアクセスするために、ブロッキング回避ツールを積極的に採用していることを示す、統計的な証拠が提示されている。

VMware と Spring4Shell：RCE に対する複数のパッチが提供された

VMware patches Spring4Shell RCE flaw in multiple products

2022/04/04 Bleeping Computer — VMware は、同社のクラウドおよび仮想化の製品のいくつかに影響を及ぼす、深刻なリモートコード実行の脆弱性 (Spring4Shell) に対するセキュリティ・アップデートを公開した。Spring4Shell の影響を受ける VMware 製品の一覧は、同社のアドバイザリで確認できる。修正プログラムが提供されていないケースのために、VMware は一時的な解決策としてワークアラウンドをリリースしている。現時点において、Spring4Shell は活発に悪用される脆弱性でり、セキュリティ速報に記載されているアドバイスに従うことが極めて重要となる。

ロンドン市警の声明：Lapsus$ のメンバーとされる少年たちを逮捕／起訴した

UK charges two teenagers linked to the Lapsus$ hacking group

2022/04/02 BleepingComputer — 恐喝組織である Lapsus$ に協力した容疑で起訴された、英国の２人のティーンエイジャーが、金曜日の午前中に Highbury Corner Magistrates Court 法廷に出廷し、保釈された。ロンドン市警のMichael O’Sullivan 刑事の声明によると、16歳と 17歳の少年は、ハッキング・グループに関する国際的な捜査の結果、起訴されたとのことだ。

Rockwell の PLC に深刻な脆弱性：検知されずに物理的に影響をおよぼす Stuxnet タイプか？

Vulnerabilities in Rockwell Automation PLCs Could Enable Stuxnet-Like Attacks

2022/04/01 DarkReading — Rockwell Automation の Programmable Logic Controller (PLC) を、研究者たちが分析したところ、オートメーション・プロセスを変更する方法を攻撃者に提供することで、産業工程を中断し、工場に物理的損害を与えるなどの、悪意の行動を許す可能性のある、２つの深刻な脆弱性が発見された。

今週に、それらの脆弱性を発見した Claroty Team82 の研究者たちによると、攻撃者は異常な動作を検知されることなく、PLC 上で悪意のコードを実行できることから、Stuxnet 的な性質があるとされる。Rockwell Automation は、この２つの欠陥に関するアドバイザリを発表し、顧客に提供している。一連のアドバイザリには here と here からアクセスできるが、アカウントが必要となる。

Trend Micro の Apex Central における RCE の脆弱性 CVE-2022-26871 がFIX

Trend Micro fixes actively exploited remote code execution bug

2022/04/01 BleepingComputer — 日本のサイバー・セキュリティ企業である Trend Micro は、製品管理コンソールである Apex Central に存在する、任意のリモート・コード実行を攻撃者に許してしまう、深刻度の高いセキュリティ不具合にパッチを適用した。Apex Central とは、ネットワーク上の展開された Trend Micro 全体の製品およびサービスを、システム・アドミニストレータが管理するための Web ベース・コンソールである。このコンソールを使用すると、事前にスケジュールされたアップデートにより、各種のコンポーネントを展開することが可能になる。

Viasat 衛星ブロードバンド・サービスを攻撃する AcidRain マルウェアとは？

Viasat confirms satellite modems were wiped with AcidRain malware

2022/03/31 BleepingComputer — 2022年2月24日に発生した、KA-SAT 衛星ブロードバンド・サービスを標的とした攻撃では、SATCOM ルーター／モデムを消去するデータワイパー・マルウェアが投入され、ウクライナで数千人が、ヨーロッパ全体では数万人が影響を受けたという。SentinelOne の研究者たちが AcidRain と名付けた、このマルウェアはデバイスのファイル名にブルートフォースを仕掛け、見つかった全てのファイルを消去するよう設計されており、今後の攻撃でも容易に再展開できる。

Lapsus$ の犯行声明：IT 企業 Globant のデータ 70GB を流出させた

LAPSUS$ Claims to Have Breached IT Firm Globant; Leaks 70GB of Data

2022/03/30 TheHackerNews — データ強奪組織である Lapsus$ は、１週間の休暇後に Telegram で復帰を発表し、ソフトウェア・サービス企業の Globant のデータだと主張するものを流出させた。このグループは、54,000人のメンバーを有する Telegram チャンネルに、「我々は正式に休暇から戻ってきた」と書き込み、Globant の DevOps インフラに属するとされる、抽出されたデータと認証情報の画像を掲載した。

Spring Java Framework のゼロデイ脆弱性 CVE-2022-22963：RCE 防御のための緩和策

New Spring Java framework zero-day allows remote code execution

2022/03/30 BleepingComputer — Framework Spring Core の新たなゼロデイ脆弱性 Spring4Shell が公開され、それを利用するアプリケーション上で、未認証のリモートコード実行が可能になることが明らかにされた。Spring は、エンタープライズ・レベルの機能を持つ Java アプリケーションを、迅速かつ容易に開発できるようにするため、ソフトウェア開発者にとって極めて人気の高いアプリケーション・フレームワークである。それらのアプリケーションは、必要な依存関係をすべて備えたスタンドアロン・パッケージとして、Apache Tomcat などのサーバーにディプロイできる。

VMware Horizon Servers への Log4j 攻撃は衰えることなく継続している

Log4j Attacks Continue Unabated Against VMware Horizon Servers

2022/03/30 DarkReading — いつでも、どこでも、エンタープライズ・アプリへの安全なアクセスをリモート・ワーカーに提供するために、 VMware Horizon サーバーは数多くの組織に利用されている。しかし、2021年12月に公開された Apache Log4j のリモートコード実行の深刻な脆弱性により、VMware Horizon は攻撃者の人気のターゲットであり続けている。

今週のこと、Sophos の研究者たちは、2022年1月19日から現在に至るまで、脆弱な Horizon サーバーに対する攻撃の波が観測されていると発表した。攻撃の多くは、JavaX miner／Jin／z0Miner／XMRig 亜種などの、暗号通貨マイナーを展開しようとする脅威者の試みだった。しかし、他のいくつかの事例では、侵害したシステムで攻撃者たちが、永続的なアクセスを維持するためのバックドアをインストールするケースも確認されている。

サブドメインの乗っ取りが増加：クラウド台頭によりエスカレートしている

Subdomain takeover attacks on the rise and harder to monitor

2022/03/29 HelpNetSecurity — Detectify の調査によると、サブドメインの乗っ取りが増加傾向にあるが、現時点において、それらのドメインには多くの脆弱性があり、また、監視が難しくなっていることが判明した。Detectify は、2021年と 2020年の比較において、顧客の Web 資産の脆弱性が 25% 増となり、ドメインあたりの脆弱性数の中央値は２倍になったとしている。そして、組織のサイバー・セキュリティ・プログラムに対して、EASM (External Attack Surface Monitoring) ツールが提供する有用性が実証されたと述べている。

悪意の NPM パッケージを量産：サプライチェーン攻撃のための驚異のシステム

A Large-Scale Supply Chain Attack Distributed Over 800 Malicious NPM Packages

2022/03/29 TheHackerNews — RED-LILI と呼ばれる脅威アクターが、約800の悪質なモジュールを公開したが、NPM (Node Package Manager) パッケージ・リポジトリを標的として進行中の、大規模なサプライチェーン攻撃キャンペーンに関与していることが明らかになった。イスラエルのセキュリティ企業である Checkmarx は、「一般的に、攻撃者は匿名の使い捨ての NPM アカウントを使用し、そこから攻撃を開始する。今回の攻撃者は、NPM アカウントの作成プロセスを完全に自動化し、パッケージごとに１つの専用アカウントを開設していたようであり、新しい悪意のパッケージを一括して発見することを難しくしていた」と述べている。

CISA 警告：Chrome／Redis などの 32 件の脆弱性を悪用リストに追加

CISA warns orgs to patch actively exploited Chrome, Redis bugs

2022/03/28 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府民間機関に対し、野放し状態で積極的に悪用されている Google Chome のゼロデイと、Redis の深刻な脆弱性に対して、３週間以内にパッチするよう命じた。金曜日に公開された Google アドバイザリによると、Chrome のゼロデイ脆弱性 CVE-2022-1096 は、Chrome V8 JavaScript エンジンに存在するタイプ・コンフュージョンであり、脅威者に対して標的デバイス上で任意のコード実行を許す可能性があるとのことだ。

Anonymous が Nestlé を脅迫：ロシアから撤退しないとデータをリークする

Anonymous Claimed Data Leak to Force Nestlé Out of Russia

2022/03/28 SecurityBoulevard — プーチン大統領がウクライナへの無謀な侵攻を開始してからというもの、世界中の多国籍企業が自主的にロシアでの事業から撤退したが、ハッカー集団 Anonymous は、それに追随しない企業の背中を押そうと決意している。最近の Anonymous は、食品大手 Nestlé を攻撃し、顧客のデータ／電子メール／パスワードを流出させ、ロシアでビジネスを続けている他の企業に対して、次はアナタたちの番だと警告している。

Hive が Linux VMware ESXi 暗号化ツールを Rust に移植：解析と分析が困難に

Hive ransomware ports its Linux VMware ESXi encryptor to Rust

2022/03/27 BleepingComputer — ランサムウェア Hive は、VMware ESXi Linux 用の暗号化ツールを、Rust プログラミング言語で書き換え、セキュリティ研究者による身代金交渉のチェックを、難しくするための新機能を追加した。企業における仮想マシンへの依存度は、コンピュータ・リソースの節約／サーバの統合／バックアップの容易化などのニーズの中で高まっているが、このランサムウェア集団は、それらのサービスに特化した専用の暗号化ツールを作成している。

ロシアの侵略：ウクライナを標的にする中国のハッキング・グループ Scarab

Another Chinese Hacking Group Spotted Targeting Ukraine Amid Russia Invasion

2022/03/26 TheHackerNews — 先月のロシアによるウクライナ侵攻が始まってから、ウクライナを標的とする、複数のキャンペーンが立ち上がっている。その一環として、中国語を話す Scarabという脅威アクターが、HeaderTip と呼ばれるカスタム・バックドアを仕掛けているが、この紛争に関連する中国ベースのハッキング・グループとしては、Mustang Panda に続いて２つ目となる。SentinelOne の研究者である Tom Hegel は、今週に発表されたレポートの中で、「この悪質な活動は、侵攻が始まって以来、中国の脅威者がウクライナを標的とした最初の公的事例の 1 つとなるものだ」と述べている。

Kaspersky が FCC の禁止リストに追加：Huawei や ZTE と同じクラスに分類

Kaspersky added to FCC list that bans Huawei, ZTE from US networks

2022/03/25 CyberScoop — 金曜日に連邦通信委員会 (FCC) は、ロシアに本拠を置くサイバー・セキュリティ大手 Kaspersky を、米国の国家安全保障にとって受け入れがたいリスクをもたらす企業の、対象リストに追加した。この決定により、実質的に Kaspersky は、このリストが始まった 2021年に最初にリストに追加された、中国の通信ハードウェア・メーカーである Huawei や ZTE と同じクラスに入ることになる。

エネルギー分野への攻撃：米政府がロシアの国家支援ハッカーを起訴

Russian Nationals Indicted for Epic Triton/Trisis and Dragonfly Cyberattacks on Energy Firms

2022/03/25 DarkReading — 今日、米国政府は、2012年から2018年にかけて、世界のエネルギー分野を標的とした、２つの大規模な産業システム・サイバー攻撃キャンペーンを行った疑いで、ロシア政府のために働くロシア人４人を起訴するという、2021年に下された超大型起訴状を初公開した。

Honda の車両にバグ：リプレイ攻撃によりロック解除からエンジン始動まで

Honda bug lets a hacker unlock and start your car via replay attack

2022/03/25 BleepingComputer — 研究者たちは、Honda と Acura の一部の車種に影響をおよぼすリプレイ攻撃の脆弱性を公表した。この脆弱性により、車両の近くにいるハッカーは車のロックを解除し、エンジンを始動させることさえ可能になる。この攻撃は、キーフォブから車に送信される RF 信号を脅威者が捕捉し、その信号を再送信して車のリモート・キーレス・エントリー・システムを制御するものだ。研究者たちによると、この脆弱性は、ほとんどの古いモデルでは修正されていないとのことだ。しかし、ホンダのオーナーは、この攻撃から身を守るために、何らかの行動を起こすことができるかもしれない。

サイバー保険の現状：ウクライナ侵攻と戦争免責の関係は慎重に考えるべき

Cyber Insurance and War Exclusions

2022/03/24 DarkReading — サイバー保険は、通常、「戦争排除」または「敵対行為排除」の文言を組み込んでいる。基本的に保険会社は、戦争行為を防御できないという文言である。2022年 Q1 において、すでにサイバー保険市場は戦争排除条項を強化し、補償を拒否するようになっていた。ロシアによるウクライナ侵攻、そして予想されるサイバー攻撃の影響を考慮し、セキュリティ専門家は補償のギャップを判断するために、サイバー保険の補償内容を見直す必要がある。

FBI レポート：2021年のランサムウェアは重要インフラ 649 件を攻撃

FBI: Ransomware hit 649 critical infrastructure orgs in 2021

2022/03/23 BleepingComputer — FBI は、Crime Complaint Center (IC3) の 2021 Internet Crime Report を引用するかたちで、昨年には米国の複数の重要インフラ部門の少なくとも 649 組織が、ランサムウェアによりネットワークを侵害されたと発表した。ただし FBI は、重要インフラ分野で報告されたランサムウェア・インシデントの追跡が、2021年6月に開始されていることから、実際の数字は増大するはずだと述べている。また FBI は、Crime Complaint Center (IC3) に被害者が苦情を申し立てなかった場合も、その攻撃は統計に含まれないとしている。

Qihoo 360 の主張：中国からデータを盗み出すハッカーの背後に米 NSA がいる

Qihoo 360 says US NSA is behind hacking group that has stolen Chinese data

2022/03/23 SCMP — 米国の制裁対象となっている、中国のサイバー・セキュリティ企業の主張は、米国政府の支援を受けたハッカー集団が、10年以上にわたって中国を攻撃しているというものだ。中国の起業家 Zhou Hongyi が設立した Qihoo 360 は、APT-C-40 と呼ばれるハッキンググループが米国政府と提携しており、過去10年にわたり中国の大手企業／政府／研究機関／インフラをひそかに攻撃していると、最近の報告書で述べている。

ホワイトハウスからの要請：ロシアからのサイバー攻撃に備える体制が必要

White House issues call to action in light of new intelligence on Russian cyberthreat

2022/03/21 CyberScoop — 月曜日にバイデン政権は、国内インフラへのロシアからのサイバー攻撃の可能性が迫っていることを踏まえ、既知の脆弱性に対処し、サイバー防御を強化するよう民間企業に改めて呼びかけた。月曜日の記者会見で、ホワイトハウスの国家安全保障顧問である Anne Neuberger は、「この最新の警告は、進化する脅威情報に基づき、ロシア政府が米国の重要インフラに対するサイバー攻撃の可能性を模索している」ことを明らかにした。

ウクライナの研究者の反撃：Conti の最新ソースコードが新たにリークされる

Ukrainian Security Researcher Leaks Newer Conti Ransomware Source Code

2022/03/21 SecurityWeek — ロシアがウクライナ侵攻を開始した直後に、ランサムウェア・グループ Conti はロシアへの攻撃の報復として、ロシアの敵国の重要インフラを攻撃する用意があると声明を発表した。これを受けて、匿名の人物が Conti Leaks という Twitter アカウントを開設し、このランサムウェアから盗んだとされるファイルの公開を開始した。最初のリーク情報は、過去１年間に Conti のメンバー間で交わされたメッセージだった。

Lapsus$ ランサムウェアの主張：Microsoft のコード・リポジトリに侵入した

Lapsus$ gang claims to have hacked Microsoft source code repositories

2022/03/21 SecurityAffairs — Microsoft は、サイバー犯罪組織 Lapsus$ が社内の Azure DevOps ソースコード・リポジトリに侵入し、データを盗み出したという主張を調査していると発表した。この数ヶ月の間に、Lapsus$ は NVIDIA／Samsung／Ubisoft／Mercado Libre／Vodafone といった有名企業にも侵入している。

Anonymous がロシア国営石油パイプラインを攻撃：機密情報をリークサイトで公開

Anonymous leaked data stolen from Russian pipeline company Transneft

2022/03/20 SecurityAffairs — Anonymous の主張は、ロシアに本拠を置く国営石油パイプライン会社 Transneft の、社内研究開発部門である Omega Company をハッキングしたというものだ。Transneft は世界最大の石油パイプライン会社であり、ハッカーたちは 79GB の電子メールを盗み出し、非営利の内部告発組織 Distributed Denial of Secrets のリークサイトに公開した。ロシアによるウクライナ侵攻が続き、罪のない人々が亡くなっている中で、Anonymous はロシアの政府機関や民間企業を標的にしている。

CISA／FBI／EU の警告：ロシアによる衛星通信ネットワークの破壊は可能

EU and US agencies warn that Russia could attack satellite communications networks

2022/03/20 SecurityAffairs — 衛星通信ネットワーク (SATCOM) は、現代社会にとって重要なインフラであり、米国とEU の機関は、それに対する脅威の可能性を警告している。ウクライナの国家特殊通信情報保護局 (SSSCIP) の Chief Digital Transformation Officer である Victor Zhora は、VIASAT 攻撃について、「まさに戦争の始まりであり、本当に深刻な通信の損失だった」と述べている。紛争が続く中、European Union Aviation Safety Agency (EASA) は、ウクライナ紛争地域付近における Global Navigation Satellite Systems (GNSS) の断続的な停止について警告を発した。

Kubernetes を悪用するランサムウェア：Veritas の調査から見えてくるもの

How prepared are organizations to face a ransomware attack on Kubernetes?

2022/03/18 HelpNetSecurity — Veritas Technologies の新しい調査結果により、大半の組織が Kubernetes 環境において、直面する脅威対する準備が不十分であることが明らかになった。Kubernetes の急速な導入が、世界中の組織のミッション・クリティカルな環境で進んでいる。それらの組織の 86% が、今後２～３年の間に、この技術の導入を想定している。

Google が追跡：Conti／Diavol と連携するアクセス・ブローカー Exotic Lily

Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang

2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界の 650 の標的組織に対して、１日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。