Malware – Page 18 – IoT OT Security News

サイバー犯罪組織の求人広告：開発者 61%／攻撃者 16%／設計者 10% という分布

Cybercrime job ads on the dark web pay up to $20k per month

2023/01/30 BleepingComputer — サイバー犯罪グループによるダークウェブでの求人広告は、高額給与／有給休暇／有給病欠などを開発者やハッカーに提示することで、ビジネスとしての運営を支えているようだ。Kaspersky は 2020年3月〜6月の間に、155ヶ所のダークウェブに掲載された 20万件の求人広告を分析し、Hacking／APT グループは主にソフトウェア開発者 (全広告の61％) の採用を目指し、きわめて競争力の高い条件で勧誘しているようだ。

Emotet／REvil を配信する TrickGate：巧妙な検出回避で６年間も生き続ける

Hackers Use TrickGate Software to Deploy Emotet, REvil, Other Malware

2023/01/30 InfoSecurity — TrickGate という名の悪意のソフトウェア・サービスは、６年以上にわたり脅威アクターたちに利用され、EDR (Endpoint Detection and Response) 保護ソフトウェアをバイパスしてきたようだ。この Check Point Research (CPR) が発表した調査結果は、今日の未明に InfoSecurity と共有された。最新のアドバイザリによると、Emotet／REvil／Maze などのグループに属する複数の脅威アクターたちが、このサービスを悪用してマルウェアを展開していたことが示唆される。

Titan Stealer という情報スティーラーを発見：Golang ベースで検出を巧みに回避

Titan Stealer: A New Golang-Based Information Stealer Malware Emerges

2023/01/30 TheHackerNews — Titan Stealer という名の Golang ベースの新たな情報窃取型マルウェアが、Telegram チャンネルで宣伝されていることが判明した。Uptycs のセキュリティ研究者である Karthickkumar Kathiresan と Shilpesh Trivedi の最新のレポートには、「このスティーラーは、感染した Windows マシンから、ブラウザや暗号ウォレットからのクレデンシャル・データ／FTP クライアントの詳細／スクリーンショット／システム情報／掴んだファイルなどの、さまざまな情報を盗み出す」と記されている。

Realtek の脆弱性 CVE-2021-35394：IoT サプライチェーン 1.4 億のデバイスに危機

Realtek Vulnerability Under Attack: Over 134 Million Attempts to Hack IoT Devices

2023/01/30 TheHackerNews — 2022年8月から始まった、Realtek Jungle SDKのリモートコード実行の脆弱性を悪用する攻撃が急増していることに、研究者たちが警告を発している。Palo Alto Networks の Unit 42 によると、現在進行中のキャンペーンは、2022年12月の時点で 1億3400万件のエクスプロイト試行を記録し、その 97％が直近の４ヶ月間で発生したと言われている。攻撃の 50% 近くが米国 (48.3%) から発生しており、それに続くのが、ベトナム (17.8%)／ロシア (14.6%)／オランダ (7.4%)／フランス (6.4%)／ドイツ (2.3%)／ルクセンブルク (1.6%) などである。さらに、ロシアで発生した攻撃の 95% は、オーストラリアの組織を標的にしていた。

Gootkit は SEO ポイズニング・マルウェア：難読性の高い無差別攻撃

Gootkit Malware Continues to Evolve with New Components and Obfuscations

2023/01/29 TheHackerNews — マルウェア Gootkit を操る脅威アクターは、そのツールセットを新たなコンポーネントで強化し、難読性の高い感染チェーンを構築している。Google 傘下の Mandiant は、UNC2565 という名称で Gootkit の活動を監視しているが、このグループだけが独占して使用するマルウェアであることを指摘している。Gootkit は、Gootloader とも呼ばれ、検索エンジン最適化 (SEO) ポイズニングと呼ばれる手法により、合意書や契約書などのビジネス関連文書を検索する人々を騙して、危険な Web サイトへと誘導することで拡散していく。

ChatGPT でセキュリティを強化：2023年を変えていく３つの視点とは？

3 Ways ChatGPT Will Change Infosec in 2023

2023/01/28 DarkReading — 2022年11月30日に OpenAI が、ChatGPT をテスト用に公開した直後から、世界中に嵐を巻き起こった。AI や ML の「革新」に満足できなかった業界にとって、この反応は非常に重要なものだった。情報セキュリティにとって AI が、まさに革命的なものであることが、ようやく明らかになった瞬間だと、私は捉えているが、その可能性に期待してきた多くの人々も同様だと思う。

Golden Chickens という Malware-as-a-Service：背後で操る人物を追跡せよ

Experts Uncover the Identity of Mastermind Behind Golden Chickens Malware Service

2023/01/27 TheHackerNews — Golden Chickens という Malware-as-a-Service の背後にいる脅威アクターの身元が、現実世界でのオンライン・ペルソナ “badbullzvenom” として活動している人物であると、サイバー・セキュリティ研究者たちが明らかにした。eSentire の Threat Response Unit (TRU) は、16ヶ月に及ぶ調査を経て発表した包括的なレポートの中で、「２人の人物が “badbullzvenom” アカウントを共有されているという、複数の言及を発見した」と述べている。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

Exchange サーバと ProxyNotShell：緩和策では攻撃を防げないと Microsoft が警告

Microsoft urges admins to patch on-premises Exchange servers

2023/01/26 BleepingComputer — 今日、Microsoft が公表したのは、オンプレミスの Exchange サーバに対する累積アップデート (CU： Cumulative Update) の適用であり、また、緊急のセキュリティ・アップデートに対しても、導入の準備を整えておくよう顧客に呼びかけた。Exchange サーバのアップデート・プロセスについて、同社は簡単だと述べているが、多くの管理者が同意しないかもしれない。具体的な手順として、アップデートをインストールした後には必ず、Exchange Server Health Checker スクリプトの実行を推奨しているという。

Python に PY#RATION というマルウェア：WebSocket でスティルス C2 通信

New stealthy Python RAT malware targets Windows in attacks

2023/01/25 BleepingComputer — Python ベースの新しいマルウェアが発見されたが、侵入したシステムを操作するための (RAT：Remote Access Trojan) 機能を備えていることが判明した。脅威分析会社 Securonix の研究者により、PY#RATION と名付けられた新しい RAT は、WebSocket プロトコルを用いて C2 Server と通信し、被害者のホストからデータを流出させるものだ。同社の技術レポートでは、このマルウェアの動作が分析されている。PY#RATION キャンペーンが始まった 2022年8月以降において、複数のバージョンが確認されていることから、この RAT が活発に開発されていると、研究者たちは示唆している。

DragonSpark という中国の APT：Golang ソースの実行時解釈で検出を回避

Hackers use Golang source code interpreter to evade detection

2023/01/24 BleepingComputer — DragonSpark という名で追跡されている、中国語を話すハッキング・グループは、東アジアの組織に対してスパイ攻撃を行う際に、検出を回避するために Golang ソースコードの解釈を採用していることが確認された。この攻撃は SentinelLabs により追跡されており、DragonSpark は SparkRAT と呼ばれるオープンソース・ツールに採用し、感染させシステムから機密データを盗み、コマンドを実行し、ネットワーク上での横移動などを行うと、研究者たちは報告している。SentinelLabs が観測した侵入経路は、オンラインで公開されている脆弱な MySQL データベース・サーバだった。

Ethereum $100M 相当が Harmony から消えた：北朝鮮の Lazarus と APT38 の犯行

FBI: North Korean hackers stole $100 million in Harmony crypto hack

2023/01/24 BleepingComputer — FBI の発表によると、2022年6月に Harmony Horizon から $100 million 相当の Ethereum が盗まれたが、その背後には、北朝鮮の国家的なハッキング・グループ Lazarus と APT38 が存在することが確認されたという。Harmony Horizon は Ethereum のクロス・チェーンブリッジであり、2022年6月に侵害を受け、MultiSigWallet の制御をハッカーが奪ったことで、大量のトークンが犯罪者のアドレスに転送された。

Emotet が新たなバイパス手法で再登場：クレカ窃取と横移動の新モジュールを追加

Emotet Malware Makes a Comeback with New Evasion Techniques

2023/01/24 TheHackerNews — マルウェア Emotet は、Bumblebee／IcedID などの危険なマルウェアの感染経路となる一方で、その手口を改良し、レーダーを回避し続けている。2021年初頭に、捜査当局が Emotet のインフラを排除したが、同年末には活動を再開しており、フィッシング・メールを介して配布される、持続的な脅威として存在し続けている。このウイルスは、サイバー犯罪グループ TA542 (別名 Gold Crestwood／Mummy Spider) に帰属するものであり、バンキング型トロイの木馬として 2014年に登場した後に、マルウェア配布者へと進化してきた。

Sliver は Cobalt Strike の後継：多様な機能を搭載する C2 フレームワーク

Threat Actors Turn to Sliver as Open Source Alternative to Popular C2 Frameworks

2023/01/23 TheHackerNews — Cobalt Strike や Metasploit に代わるオープンソースのフレームワークであり、合法的な Command and Control (C2) フレームワークである Sliver が、脅威アクターたちの支持を集めていることが判明した。サイバー・セキュリティ企業である BishopFox が開発した Sliver は、Golang ベースのクロスプラットフォームなポスト・エクスプロイト・フレームワークであり、レッドチームが使用することを想定して設計されている。先週に Cybereason が実施した徹底的な分析により、この Sliver の内部構造が詳細まで明らかにされた。

Microsoft のマルウェア対策：Excel XLL add-in の制限が 2023年3月から始まる

Microsoft plans to kill malware delivery via Excel XLL add-ins

2023/01/23 BleepingComputer — Microsoft が取り組んでいるのは、インターネットからダウンロードされた XLL アドインを、自動的にブロックする機能を追加することで、Microsoft 365 における XLL アドインを保護することである。それにより、この感染経路を悪用するマルウェア増加の傾向に、対処することが可能となる。Microsoft は、「この数カ月で増加しているマルウェア攻撃に対抗するため、インターネットからダウンロードされる XLL アドインを、ブロックするための対策を実施している」と述べている。同社によると、この新機能は 2023年3月から、Current／Monthly Enterprise／Semi-Annual Enterprise チャネルの、デスクトップ・ユーザーを対象に一般提供される予定だという。

Microsoft OneNote ファイルに要注意：新たなマルウェア配布が始まっている

Hackers now use Microsoft OneNote attachments to spread malware

2023/01/21 BleepingComputer — OneNote の添付ファイルをフィッシング・メールに使用する攻撃者たちが、被害者のマシンにリモート・アクセスに対応するマルウェアを感染させ、さらなるマルウェアのインストールや、パスワードの窃取、暗号通貨ウォレット侵害へとエスカレートさせようとしている。長年にわたり攻撃者たちは、電子メールに添付した Word／Excel ファイルに隠したマクロを起動させ、マルウェアをダウンロード／インストールするという方式で、マルウェアを配布してきた。しかし、2022年7月に Microsoft は、Office 文書に含まれるマクロをデフォルトで無効にし、マルウェアの配布に利用できないようにした。

製造業の 76% に未パッチの深刻な脆弱性：マルウェア感染は 40% 以上

Critical Manufacturing Sector in the Bull’s-eye

2023/01/21 DarkReading — 製造業の４社に３社以上が、未パッチの深刻度の高い脆弱性をシステム内に抱えていることが、この分野に関する調査で明らかになった。SecurityScorecard による最新のテレメトリ測定では、これらの組織における深刻な脆弱性は、前年比で増加していることが示されている。同社の共同設立者／CEO である Aleksandr Yampolskiy は、「2022年において、我々のプラットフォーム上の製造業の IP アドレスから調べたところ、約 76% 組織でパッチが適用されていない CVE を発見された」と述べている。

Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966：活発な悪用と攻撃

Critical ManageEngine RCE bug now exploited to open reverse shells

2023/01/20 BleepingComputer — 複数の Zoho ManageEngine 製品に影響を及ぼす、深刻な RCE (Remote Code Execution) の脆弱性が、攻撃に悪用されている。この脆弱性の悪用コードと詳細な技術分析を、Horizon3 のセキュリティ研究者たちが公開する２日前に、サイバーセキュリティ企業の Rapid7 が最初の悪用の試みを検知していた。Rapid7 は、「我々は、少なくとも 24種類のオンプレミス ManageEngine 製品に影響を与える、未認証のRCE 脆弱性 CVE-2022-47966 の悪用から生じる、さまざまな侵害に対応している。2023年1月17日 (UTC) の時点で、複数の組織にまたがる悪用を観測している」と述べている。

透明の SVG ファイルにマルウェア：この見えない敵に対処できるのか？

Phishers Use Blank Images to Disguise Malicious Attachments

2023/01/20 InfoSecurity — フィッシング詐欺師たちが、従来からのセキュリティ・フィルタを回避するために、透明の画像イメージを使用するという新たな革新的な手法を、セキュリティ研究者たちが発見した。Check Point の事業会社である Avanan が検知した問題の電子メールは、一見すると正規の DocuSign メッセージとして受信されたものだ。メール本文に記載されたリンクは、ユーザーを通常の DocuSign のページへと誘導するものだが、末尾に記載された HTML 添付ファイルは疑わしいものだった。

ChatGPT でマルウェア開発：継続的な変異により捕捉／検出が困難になる

ChatGPT Creates Polymorphic Malware

2023/01/18 InfoSecurity — CyberArk のサイバー・セキュリティ研究者が、OpenAI の ChatGPT とテキストベースの対話を行い、新たな多形態マルウェア (Polymorphic Malware) を作成したと報告している。先日に同社が InfoSecurity と共有した技術文書によると、ChatGPT を用いて作成されたマルウェアは、「攻撃者による努力や投資を大幅に抑制した上で、簡単にセキュリティ製品を回避し、緩和を面倒なものにする」ことが可能だという。

GitHub Codespaces の悪用方法が判明：新たな侵害ベクターからマルウェアを配布

Hackers Can Abuse Legitimate GitHub Codespaces Feature to Deliver Malware

2023/01/17 TheHackerNews — 脅威アクターたちが、GitHub Codespaces の正規の機能を悪用して、被害者のシステムへマルウェアを配信することが可能であるという、新たな研究の結果が明らかになった。GitHub Codespaces とは、クラウドベースのカスタマイズ可能な開発環境のことである。それを利用するユーザーは、Web ブラウザや Visual Studio Code との統合を介して、指定したコードベースのデバッグ／メンテナンス／変更のコミットを実行できる。また、ポート・フォワーディング機能により、コードスペース内の特定のポートで動作する Web アプリケーションに、ローカルマシンのブラウザから直接にアクセスし、テスト／デバッグを行うことも可能だ。

WikiLeaks が暴露した CIA の Hive マルウェア：未知の脅威アクターが改造／悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

Qbot 7%／Emotet 4%／XMRig 3% という調査結果：2022年12月のマルウェア・レポート

Qbot Overtakes Emotet in December 2022’s Most Wanted Malware List

2023/01/16 InfoSecurity — 2022年12月において、野放し状態での悪用が発見されたマルウェアとして、Qbot トロイの木馬が Emotet を追い抜き、世界中の組織の 7％に影響を及ぼしたことが判明した。さらに、ブロックチェーン対応の、トロイの木馬型ボットネットである Grupteba マルウェアが、2022年7月以降において、初めて Top-10 に返り咲いた。この調査結果は、2022年12月の Global Threat Index に発表した Check Point Software Technologies が、電子メールで InfoSecurity と共有したものだ。

PyPI に悪意の３つのパッケージ：数日で 500件以上のダウンロードにいたる

Malicious ‘Lolip0p’ PyPi packages install info-stealing malware

2023/01/16 BleepingComputer — ある脅威アクターが、PyPI (Python Package Index) リポジトリにアップロードした３つの悪意のパッケージには、開発者たちのシステムに情報窃取マルウェアをドロップするコードが搭載されている。Fortinet が発見した悪意のパッケージは、その全てが 2023年1月7日〜12日の間に、”Lolip0p” という作者によりにアップロードされたものだ。それらの名称は、colorslib／httpslib／libhttps であり、すでに PyPI からは削除されている。

Raccoon／Vidar 情報スティーラーが蔓延：AnyDesk／Notepad++／Zoom などをルアーに使う

Raccoon and Vidar Stealers Spreading via Massive Network of Fake Cracked Software

2023/01/16 TheHackerNews — Raccoon や Vidar などの情報窃取型マルウェアの配布において、250以上のドメインで構成される大規模で弾力性のあるインフラが、2020年初頭から利用されている。サイバー・セキュリティ企業である SEKOIA は、今月の初めに発表した分析で、「偽のソフトウェア・カタログを使用すると、約 100 の Web サイトへとリダイレクトされた後に、GitHub などのファイル共有プラットフォームでホストされている、ペイロードをダウンロードすることになる」と述べている。

StrRAT／Ratty マルウェア：ポリグロット方式で検知を回避して配布される

Cybercriminals Using Polyglot Files in Malware Distribution to Fly Under the Radar

2023/01/13 TheHackerNews — StrRAT／Ratty などのリモート・アクセス型トロイの木馬は、ポリグロットと悪意の Java アーカイブ (JAR) ファイルの組み合わせで配布されており、検知を回避する新しい方法を、脅威アクターが継続的に発見していることを、改めて浮き彫りにしている。Deep Instinct のセキュリティ研究者 Simon Kenin のレポートには、「攻撃者たちは、JAR ファイル形式を適切に検証できないセキュリティ・ソリューションを混乱させるために、ポリグロット手法を使用している」と述べている。

ChatGPT の悪用が始まる：人工知能の倫理をバイパスするロシアのハッカーたち

Russian Hackers Try to Bypass ChatGPT’s Restrictions For Malicious Purposes

2023/01/13 InfoSecurity — ロシアのサイバー犯罪者たちが、OpenAI の API 制限をバイパスして ChatGPT チャットボットにアクセスし、不正なアクションを試みる様子が、ダークウェブ・フォーラムで確認されている。ある脅威アクターたちは、OpenAI の無料アカウント制限を回避するために、アップグレード・ユーザーとして支払いに盗んだカードを使用する方法を議論していた。また、OpenAI の地理的なコントロールを回避する方法についてブログを投稿した者や、半合法的なオンライン SMS サービスを使って ChatGPT に登録するチュートリアルを作成した者もいる。

Telegram Bot とフィッシング：2022年の悪用は前年比で 800% 増

Telegram Bot Abuse For Phishing Increased By 800% in 2022

2023/01/12 InfoSecurity — Telegram Bot からのフィッシング情報の流出先として悪用が、2021年〜2022年の間に 800% も増加した。この新データは、2023年1月12日に Cofense のセキュリティ研究者たちが、それらに関する最新データをレポートとして発表した。この伸びを調査した結果は、資格情報をフィッシングする際の配信方法として、HTMLの添付ファイルを使用する戦術が、ますます一般的になっていることに関連している。

IcedID マルウェアの蔓延：侵入から24時間以内に Active Directory ドメインを侵害

IcedID Malware Strikes Again: Active Directory Domain Compromised in Under 24 Hours

2023/01/12 TheHackerNews — 先日に発生した IcedID マルウェア攻撃では、イニシャル・アクセスから 24時間以内に、無名ターゲットの Active Directory ドメインが侵害されていたという。今週に発表されたレポートで Cybereason の研究者たちは、「この脅威アクターは攻撃の最中に、偵察コマンド操作／認証情報窃取／横方向への移動に加えて、侵入したホスト上での Cobalt Strike の実行という手順を踏んでいた」と述べている。IcedID (別名 BokBot) は、2017年にバンキング・トロイの木馬としてスタートした後に、他のマルウェアを支援するドロッパーへと進化し、Emotet／TrickBot／Qakbot／Bumblebee／Raspberry Robin などの仲間に加わった。

Dark Pink という APT グループ：APAC の政府／軍事を狙って７件の攻撃を達成

Dark Pink APT Group Targets Governments and Military in APAC Region

2023/01/11 TheHackerNews — アジア太平洋地域における政府機関／軍事組織などが、未知の高度持続的脅威 (APT：Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に７つの攻撃を成功させた」と述べている。

Red Hat がマルウェア検知サービスを発表：IBM X-Force との連携で安全を担保

Red Hat Announces General Availability of Malware Detection Service

2023/01/11 SecurityWeek — 2023年1月10日に Red Hat は、Red Hat Enterprise Linux (RHEL) システム向けのマルウェア検出サービスの、一般提供を開始したことを発表した。IBM X-Force との提携で生まれた Insights サービスは、既知の Linux マルウェアに関連する 180 以上のシグネチャのデータベースを使用し、RHEL システム内のマルウェアをスキャンするものだ。

AnyDesk に大量の偽サイト：Vidar マルウェアを配布する 1,300 以上のドメイン

Over 1,300 fake AnyDesk sites push Vidar info-stealing malware

2023/01/10 BleepingComputer — AnyDesk の公式サイトを装う 1,300以上のドメインを用いて、情報スティーラー・マルウェア Vidar を仕込んだ Dropbox フォルダーへと、すべてのターゲットをリダイレクトさせる、大規模なキャンペーンが進行中だ。AnyDesk は、Windows／Linux／mac OS向けの、リモート・デスクトップ・アプリであり、セキュアなリモート接続／システム管理のために、世界中で数百万人が使用している。この人気から、AnyDesk は、マルウェア配布キャンペーンで頻繁に悪用されている。たとえば、2022年10月に、AnyDesk のフィッシング・サイトを利用する Mitsu Stealer のオペレーターが、新しいマルウェアをプッシュしていることを Cyble が報告している。

Zoom ユーザーを狙う IcedID マルウェア：精巧な偽 Web ページによるフィッシングに御用心

IcedID malware campaign targets Zoom users

2023/01/07 SecurityAffairs — 先日に Cyble の研究者たちは、人気のビデオ／オンライン会議プラットフォーム Zoom のユーザーをターゲットにして、IcedID マルウェアを配信するフィッシング・キャンペーンを発見した。IcedID バンキング型トロイの木馬は、2017年に初めて登場し、Gozi／Zeus／Dridex などのオンライン・バンキング・マルウェアと同様の機能を有している。

PyPI に悪意のパッケージが登場：CloudFlare Tunnel を悪用するトロイの木馬

Malicious PyPi packages create CloudFlare Tunnels to bypass firewalls

2023/01/07 BleepingComputer — PyPI (Python Package Index) 上の６つの悪意のパッケージが Cloudflare Tunnel を悪用し、リモート・アクセスに対するファイアウォール制限をバイパスしている間に、InfoStealer／RAT (Remote Access Trojan) 機能を備えたマルウェアをインストールしていることが発見された。これらの悪意のパッケージは、ブラウザーに保存されている機密情報の窃取／キーロガーを用いた入力情報の窃取に加えて、シェルコマンドの実行などを試みる。この６つのパッケージを発見したのは、新しいキャンペーンについて PyPI を注視している Phylum Research Team である。

ChatGPT という人工知能：フィッシング／BEC／マルウェア開発に利用できる？

ChatGPT Artificial Intelligence: An Upcoming Cybersecurity Threat?

2023/01/06 DarkReading — 人工知能 (AI) に秘められる可能性は、サイバー・セキュリティへの取り組み方を含めて、私たちの生活の多くの側面に革命をもたらす。しかし、それは、慎重に管理する必要がある、新たなリスクと課題も提示している。AI をサイバー・セキュリティに活用する方法の１つは、サイバー脅威を検知して対応できる、インテリジェントなシステムの開発を通じてとなる。これは、ある AI チャット・ボットからの返答であり、私が AI とサイバー脅威について書いてほしいと頼んだときのものだ。もうお分かりだと思うが、この世で一番人気の ChatGPT である。

Visual Studio Code Marketplace の侵害は容易：悪意のエクステンションの登録方法とは？

VSCode Marketplace can be abused to host malicious extensions

2023/01/06 BleepingComputer — 悪意の Visual Studio Code エクステンションを、VSCode Marketplace に驚くほど簡単にアップロードできることを、そして、この弱点を脅威アクターたちが、すでに悪用している兆候を、研究者たちは発見した。Visual Studio Code (VSC) とは、Microsoft が公開しているソースコード・エディタであり、世界中のプロフェッショナル・ソフトウェア開発者の約 70%が使用しているものだ。Microsoft は、VSCode Marketplace とという名の、IDE 用のエクステンション・マーケットを運営することで、アプリ機能の拡張や、多様なカスタマイズ・オプションをアドオンとして提供している。

SpyNote のオープン化：金融機関を標的とする Android スパイウェアが進化

SpyNote Strikes Again: Android Spyware Targeting Financial Institutions

2023/01/05 TheHackerNews — 2022年10月以降において、SpyNoteと呼ばれる Android マルウェアの新バージョンが、金融機関を標的にしている。ThreatFabric は The Hacker News と共有したレポートの中で、「このスパイウェアが増加した背景には、開発者がソースコードを公開したことにある。つまり、他の脅威アクターによるスパイウェアの開発／配布が容易になり、銀行機関をターゲットにするケースが増えている」と述べている。このマルウェアが装う有名な金融機関には、Deutsche Bank／HSBC U.K.／Kotak Mahindra Bank／Nubank などがある。

Automated Libra という脅威：GitHub CAPTCHA のバイパスで 20,000 アカウントを作成

Hackers use CAPTCHA bypass to make 20K GitHub accounts in a month

2023/01/05 BleepingComputer — Automated Libra と呼ばれる南アフリカの脅威アクターは、クラウド・プラットフォームのリソースを悪用した、暗号通貨マイニングから利益を得る手法を進化させている。Palo Alto Networks Unit 42 によると、この脅威アクターは、新しい CAPTCHA 解決システムをマイニングに用いて、CPU リソースを積極的に悪用している。また、Feejacking と Play and Run を組み合わせて、クラウド・リソースを無料で乱用しているとのことだ。

BitRAT マルウェアは $20 で使い放題：銀行の顧客情報を悪用するフィッシング・キャンペーン

BitRAT malware campaign uses stolen bank data for phishing

2023/01/03 BleepingComputer — クラウド・セキュリティ企業の Qualys によると、最近のマルウェア・キャンペーンにおける脅威アクターたちは、リモート・アクセス型トロイの木馬 BitRAT に感染させるために、コロンビアの銀行から窃取した顧客情報を、フィッシング・メールのルアーに用いているという。さらに同社は、アクティブなフィッシング攻撃における BitRAT ルアーを調査していたところ、コロンビアの非公開の銀行インフラが、攻撃者により乗っ取られていたことを発見した。

WordPress サイトを標的とする Linux マルウェア：20種類以上のテーマ／プラグインを悪用

WordPress Security Alert: New Linux Malware Exploiting Over Two Dozen CMS Flaws

2022/01/02 TheHackerNews — WordPressサイトを標的とする未知の Linuxマルウェアが、20数種類のプラグイン／テーマの欠陥を悪用して、脆弱なシステムを侵害していることが判明した。ロシアのセキュリティ・ベンダーである Doctor Web は、「もし、対象となる WordPress サイトが、重要な修正を行っていない場合や、古いバージョンのアドオンを使用している場合には、標的となる Web ページに悪意の JavaScript が注入される恐れがある。その結果として、攻撃されたページの任意の領域をユーザーがクリックすると、他のサイトにリダイレクトされる」と、先週のレポートで説明している。

Excel への再攻撃を狙う APT：新たな手口は XLL Add-in 侵入ベクター

APT Hackers Turn to Malicious Excel Add-ins as Initial Intrusion Vector

2022/12/28 TheHackerNews — インターネットからダウンロードされた Office ファイルの Visual Basic for Applications (VBA) マクロについて、Microsoft がデフォルトでのブロックを決定したことで、多くの脅威者が、この数カ月で攻撃方法を変更するようになった。Cisco Talos によると、APT (Advanced Persistent Threat) や各種のマルウェア・ファミリーは、イニシャルの侵入経路として Excel Add-in (.XLL) ファイルを使用する傾向を強めているとのことだ。

Google 検索の広告を悪用：マルウェアを正規のソフトウェアに仕込んで配布

Hackers abuse Google Ads to spread malware in legit software

2022/12/28 BleepingComputer — Google Ads のプラットフォームを悪用するマルウェアのオペレーターが、人気のソフトウェア製品を検索している無防備なユーザーに対して、マルウェアをばらまくというケースが増加している。これらのキャンペーンにおいて、なりすましに利用されているのは、Grammarly／MSI Afterburner／Slack／Dashlane／Malwarebytes／Audacity／μTorrent／OBS／Ring／AnyDesk／Libre Office／Teamviewer／Thunderbird／Brave などの製品である。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

GuLoader という VBScript ダウンローダ：セキュリティを回避してシェルコードを注入

GuLoader Malware Utilizing New Techniques to Evade Security Software

2022/12/26 TheHackerNews — サイバー・セキュリティ研究者たちは、GuLoader と呼ばれる高度なマルウェア・ダウンローダと、そこで採用されるセキュリティ・ソフトウェア回避のための、各種のテクニックを公開した。CrowdStrike の研究者である Sarang Sonawane と Donato Onofri は、先週に公開された技術レポートで、「新しいシェルコード分析防止技術は、プロセス・メモリ全体をスキャンして、仮想マシン (VM) 関連の文字列を探すことで、研究者や敵対者の環境を妨害しようと試みる」と述べている。

APT と地政学的な背景：2022年に猛威を奮った脅威 Top-5 を分析

2022 Top Five Immediate Threats in Geopolitical Context

2022/12/26 TheHackerNews — 2022年も終わりに近づいているがが、この激動の年に最も懸念された脅威に対するテスト数を見ると、特定の脅威に対する脆弱度について、それぞれのサイバーセキュリティ・チームがチェックした、脅威ベースの視点が得られる。2022年1月1日〜12月1日に、Cymulate Security Posture Management Platform でレジリエンスを検証するために、最も多くテストされた脅威は以下の通りである。

PrivateLoader という PPI サービス：情報窃取型マルウェア RisePro を配布

PrivateLoader PPI Service Found Distributing Info-Stealing RisePro Malware

2022/12/26 TheHackerNews — PrivateLoader として知られる Pay-Per-Install (PPI) マルウェア・ダウンローダー・サービスが、既知の情報搾取マルウェア RisePro の配布に使用されていることが判明した。2022年12月13日に Flashpoint は、Russian Market と呼ばれる不正なサイバー犯罪マーケットにおいて、このマルウェアを用いて流出した複数のログセットを検出し、新たな窃盗グループを発見した。

FIN7 ハッキング・グループの正体：Exchange を SQL インジェクションで自動攻撃

FIN7 hackers create auto-attack platform to breach Exchange servers

2022/12/22 BleepingComputer — ハッキング・グループ FIN7 は、Microsoft Exchange に存在する SQL インジェクションの脆弱性を悪用した自動攻撃システムにより、企業ネットワークに侵入してデータを盗み出し、財務規模に基づいてランサムウェア攻撃のターゲットを選定している。この自動攻撃システムは、数年前から FIN7 の活動を注意深く監視してきた、Prodaft の脅威インテリジェンス・チームにより発見されたものだ。

GodFather というバンキング・トロイの木馬：400 以上の金融アプリが標的

GodFather Android Banking Trojan Targeting Users of Over 400 Banking and Crypto Apps

2022/12/21 TheHackerNews — GodFather と呼ばれる Android バンキング・トロイの木馬が、16カ国にまたがる 400以上の銀行および、暗号通貨アプリのユーザーを標的としている。Group-IB が The Hacker Newsと共有したレポートには、「米国／トルコ／スペイン／イタリア／カナダなどのユーザーにサービスを提供する、215 の銀行および、94 の暗号ウォレット・プロバイダ、110 の暗号交換プラットフォームが、そのターゲットに含まれている」と記されている。

PyPI に W4SP Stealer：大量の亜種が出回り 2500回もダウンロードされた

Hackers bombard PyPi platform with information-stealing malware

2022/12/20 BleepingComputer — Python パッケージ・リポジトリである PyPI に、情報窃取マルウェアを取り込んだ悪意のパッケージが相次いでドロップされ、ソフトウェア開発者のデータが盗み出されている。このキャンペーンでドロップされたマルウェアは、オープンソース W4SP Stealer のクローンであり、PyPI 上で 2022年11月に広まったマルウェア感染の原因となったものでもある。それ以来、W4SP をドロップする 31個のパッケージが、PyPI リポジトリから削除されてはいるが、このマルウェアの運営者は、マルウェアを再導入するための新たな方法を模索し続けているようだ。

KmsdBot ボットネットは DDoS 傭兵：ゲームサーバから高級ブランドまでが標的

KmsdBot Botnet Suspected of Being Used as DDoS-for-Hire Service

2022/12/20 TheHackerNews — KmsdBot ボットネットの継続的な分析により、それが DDoS-for-Hire であり、他の脅威アクターに提供されている可能性が浮上してきた。Akamai は、その理由として、KmsdBot ボットネットが攻撃した業界や地域が異なる点を挙げている。注目すべきターゲットとしては、Grand Theft Auto V や Red Dead Redemption 2 のゲーム改造を行う FiveM や RedM があるが、その一方では、高級ブランドやセキュリティ企業なども挙げられている。