Malware – Page 22 – IoT OT Security News

企業に潜み続ける APT：脆弱な IoT／OT デバイスが理想のターゲットになっている

How APTs Are Achieving Persistence Through IoT, OT, and Network Devices

2022/06/23 DarkReading — IoT 攻撃に関する大半のニュースが、ボットネットやクリプトマイニングといったマルウェアに焦点を当てている。しかし、APT グループ UNC3524 が用いる攻撃手法を見れば分かるように、この種のデバイスは、ターゲットのネットワーク内部から、より有害な攻撃を仕掛けるための理想的な標的になっている。Mandiant のレポートは、「 UNC3524 の手法は、ネットワーク／IoT／OT デバイスの安全性の低さを悪用し、ネットワーク内部で長期的にアクティビティ持続する巧妙なものだ」と述べている。この種の APT (Advanced Persistent Threat) スタイルの攻撃は、近い将来において増加する可能性が高く、そのリスクを理解する必要がある。

CISA と CGCYBER の Log4Shell 共同勧告：依然として VMware Server はハッキング対象

CISA: Log4Shell exploits still being used to hack VMware servers

2022/06/23 BleepingComputer — 今日の CISA 警告は、Log4Shell のリモート・コード実行の脆弱性 CVE-2021-44228 が、国家を後ろ盾とするハッキング・グループなどの脅威アクターに悪用されており、VMware Horizon／Unified Access Gateway（UAG）サーバーが依然として標的にされているというものだ。攻撃者たちは、ローカルまたはインターネットにアクセスできる脆弱なサーバー上で、 Log4Shell をリモートがら悪用することで、機密データが保存される内部システムへのアクセスを獲得するまで、ネットワーク上の水平移動が可能になる。

Conti 解体新書：研究開発部／人事部を有するグローバル RaaS 産業に成長

Conti effectively created an extortion-oriented IT company, says Group-IB

2022/06/23 HelpNetSecurity — Group-IB の最新レポートによると、ランサムウェア・グループ Conti は、わずか１か月ほどで世界中の 40以上の企業を侵害し、最速の攻撃は３日で完了しているという。このレポートは、頻発するランサムウェア攻撃において、最も活発な組織 Conti の仕組みを詳述している。Conti は、この２年間で、企業／政府機関／国全体 (コスタリカ) を含む 850以上の被害者を生み出している。

NSA が Windows PowerShell 活用を提言：適正な利用により防御側の武器になる！

NSA shares tips on securing Windows devices with PowerShell

2022/06/22 BleepingComputer — 今日、National Security Agency (NSA) とサイバーセキュリティ・パートナー機関はシステム管理者たちに対して、Windows マシン上における悪意のアクティビティ防止／検出に PowerShell の使用を推奨するアドバイザリーを発表した。PowerShell は、サイバー攻撃で頻繁に使用され、主に侵入後の段階で悪用されているが、Microsoft の自動化およびコンフィグレーション・ツールに組み込まれたセキュリティ機能は、防御側のフォレンジック作業やインシデント対応の改善や、反復タスクの自動化にも有効とされる。

7-zip のセキュリティが強化：インターネットからのファイルに Mark-of-the-Web 識別子を付与

7-zip now supports Windows ‘Mark-of-the-Web’ security feature

2022/06/21 BleepingComputer — 7-zip は長年の要望に応え、Windows のセキュリティ機能である Mark-of-the-Web のサポートを追加し、悪意のダウンロード・ファイルに対する保護を強化した。それにより、Windows は、Web からダウンロードされた Mark-of-the-Web (MoTW) と呼ばれるドキュメントや実行ファイルに対して、’Zone.Id’ 代替データストリームを追加する。

Adobe Acrobat の問題：アンチ・ウィルス製品による PDF ファイル・モニタリングをブロック？

Adobe Acrobat may block antivirus tools from monitoring PDF files

2022/06/21 BleepingComputer — セキュリティ研究者たちは、Adobe Acrobat がアンチウィルス・ソフトウェアをブロックし、PDF ファイルをオープンする際の、セキュリティ的な可視化を拒否していることを発見し、ユーザーにリスクを生じさせることを明らかにした。Adobe の製品は、30 種類のセキュリティ製品のコンポーネントの、プロセスへのロードの有無をチェックしており、また、それらをブロックすることで、悪意のアクティビティ監視を本質的に拒否している。

Atlassian Confluence の脆弱性 CVE-2022-26134：脆弱なインスタンス数は減ったが攻撃が活発化

Atlassian Confluence Server Bug Under Active Attack to Distribute Ransomware

2022/06/18 DarkReading — Atlassian Confluence Server における、先日に公開リモートコード実行 (RCE) の深刻な脆弱性が一連の攻撃に頻繁にさらされ、マルウェアやランサムウェアなどが展開されている。Sophos の研究者たちによると、Windows／Linux サーバ上で動作する脆弱な Atlassian Confluence インスタンスに対して、脅威アクターによる自動化されたエクスプロイト攻撃が、これまでの２週間で複数回観測されているという。

Sophos Firewall のゼロデイ脆弱性 CVE-2022-1040：中国の DriftingCloud APT が修正前に悪用

Chinese DriftingCloud APT exploited Sophos Firewall Zero-Day before it was fixed

2022/06/17 SecurityAffairs — Volexity の研究者たちは、Sophos Firewall のゼロデイ脆弱性が中国の脅威アクターにより悪用され、ターゲットとされた企業のクラウド・ホスト Web サーバが侵害されていたことを発見した。この脆弱性 CVE-2022-1040 は、Sophos が修正する数週間前に中国の攻撃者に悪用され、ターゲットのシステムに Web シェルがドロップされていた。2022年3月25日に Sophos は、Sophos Firewall のユーザー・ポータル／Webadmin エリアに存在する、この認証バイパスの脆弱性を修正したと発表している。なお、脆弱性 CVE-2022-1040 (CVSS：9.8) は、Sophos Firewall 18.5 MR3 (18.5.3) 以前のバージョンに影響を及ぼす。

Google Play に潜む Android マルウェア：いまも生き続ける悪意のアプリ５点を暴く

Android malware on the Google Play Store gets 2 million downloads

2022/06/14 BleepingComputer — 先月にサイバー・セキュリティ研究者たちは、Google Play ストアに潜むアドウェアや情報窃取マルウェアを発見している。そのうちの、少なくとも５つのマルウェアは依然として生きており、200 万以上のダウンロードに到達していることが明らかにされた。アドウェア感染とは、煩わしく不要な広告を表示させるものであり、ユーザー・エクスペリエンスの低下／バッテリー消耗／デバイスの発熱／不正な請求などを引き起こす可能性がある。

Syslogk という Linux Rootkit：リモートから Magic Packet を介してバックドアを制御する

New Syslogk Linux Rootkit Lets Attackers Remotely Command It Using “Magic Packets”

2022/06/14 TheHackerNews — Syslogk という名の新しい Linux カーネル rootkit は、リモートから魔法のネットワーク・トラフィック・パケットを操る敵対者が、悪意のペイロードの隠蔽まで可能にすることが明らかになった。月曜日に Avast のセキュリティ研究者である David Álvarez と Jan Neduchal は、「Syslogk rootkit は Adore-Ng をベースにしているが、新しい機能が組み込まれており、ユーザーモード・アプリケーションとカーネル rootkit の検出を困難にしている」とレポートの中で語っている。

PureCrypter マルウエア・ローダー：$59／月で MS Office 初期感染キットも提供

Researchers Detail PureCrypter Loader Cyber Criminals Using to Distribute Malware

2022/06/14 TheHackerNews — サイバー・セキュリティ研究者たちは、PureCrypter と呼ばれるマルウェア・ローダーの、完成度の高い機能と仕組みについて詳細を説明している。このローダーは、サイバー犯罪者たちにより購入され、RAT (remote access trojans (RATs) や、情報スティーラーを配信するために使用されている。Zscaler の Roman Dumont は最新レポートで、「このローダーは、SmartAssembly で難読化された .NET 実行ファイルであり、圧縮／暗号化／難読化を利用してアンチウイルス・ソフトウェア製品による検出を回避する」と述べている。

Syslogk という Linux rootkit は危険：驚異的なスティルス性でバックドアを自在に制御

New Syslogk Linux rootkit uses magic packets to trigger backdoor

2022/06/13 BleepingComputer — Syslogk という名の新たな Linux rootkit マルウェアは、悪意のあるプロセスを隠すために使用されており、特別に細工された magic packets を用いて、デバイス上で眠っているバックドアを目覚めさせる。現時点において、このマルウェアは活発に開発が進められている。その作者は、古いオープンソースの rootkit である Adore-Ng をベースに、プロジェクトを進めているようだ。

Windows の脆弱性 Follina とウクライナ：ロシアのハッカーたちが悪用を始めている

Russian hackers start targeting Ukraine with Follina exploits

2022/06/13 BleepingComputer — ウクライナの Computer Emergency Response Team (CERT) は、ロシアのハッキング・グループ Sandworm が、Microsoft Windows Support Diagnostic Tool (MSDT) に存在するリモートコード実行の脆弱性 Follina (CVE-2022-30190) を、悪用している可能性があると警告している。このセキュリティ問題は、特別に細工された文書を選択する、または、開くことで発生する可能性があり、2022年4月以降において脅威アクターたちが、この問題を攻撃で悪用しているとのことだ。なお、ウクライナ CERT-UA は、この悪意の活動の背後に Sandworm というハッカー集団がいることについて、50% ほどの確率があると評価している。

PyPI パッケージ keep に含まれるタイプミス：悪意の依存関係とパスワード窃取

PyPI package ‘keep’ mistakenly included a password stealer

2022/06/12 BleepingComputer — PyPI パッケージである keep／pyanxdns／api-res-py の一部のバージョンには、悪意の request との依存関係が存在するため、バックドアが含まれることが判明した。たとえば、keep プロジェクトの大半のバージョンでは、HTTP リクエストを行うために正規の Python モジュール requests を使用しているが、keep v.1.2 にはマルウェアである request (s なし) が含まれている。BleepingComputer は、これが単なる誤植なのか自作自演なのか、それとも、メンテナ・アカウントの乗っ取りによるものなのかを確認するため、それぞれのパッケージの作者に問い合わせた。

Symbiote マルウエアの詳細：金融業界の Linux-Based システムに脅威をもたらす？

Symbiote Malware Poses Stealthy, Linux-Based Threat to Financial Industry

2022/06/11 DarkReading — ステルス性の高い Symbiote という Linux 上の脅威が、ラテン・アメリカの金融機関を標的としている。それにより、すべてのファイル／プロセス／ネットワークのアーティファクトがマルウェアにより隠され、ライブ・フォレンジックによる検出が事実上不可能な状態に陥っている。BlackBerry Research のブログ記事によると、このマルウェアは 2021年11月に露見している。Symbiote が、他の Linux マルウェアと異なる点は、単独で実行可能なファイルを使用して被害を与えるのではなく、実行中のプロセスに感染させるというアプローチにある。

Symbiote という新型 Linux マルウェア：巧妙なカモフラージュにより検出が不可能？

New Linux Malware ‘Nearly Impossible to Detect’

2022/06/11 DarkReading — Linux システムを攻撃する新型マルウェアが、認証情報を盗み出し、カモフラージュしながら被害者のマシンにリモート・アクセスしている。このマルウェアを研究している専門家たちは、それが標的型や大規模型の攻撃キャンペーンで使用されているのかどうか、結論づけられないと述べている。

Windows の脆弱性 Follina：Qbot／AsyncRAT などによる悪用が観測された

‘Follina’ Vulnerability Exploited to Deliver Qbot, AsyncRAT, Other Malware

2022/06/09 SecurityWeek — 最近になって公開された Windows の脆弱性を Follina (CVE-2022-30190) 悪用する、複数のマルウェアが配信されているが、現時点においても公式パッチが提供されていない状態である。この脆弱性は、Microsoft Support Diagnostic Tool (MSDT) に関連しており、特別に細工されたドキュメントを介した、リモートコード実行に悪用される可能性がある。

Atlassian Confluence の深刻な脆弱性 CVE-2021-26084 を Linux ボットネットが侵害

Linux botnets now exploit critical Atlassian Confluence bug

2022/06/08 BleepingComputer — Atlassian の Confluence Server／Data Center に存在するリモートコード実行 (RCE) 脆弱性を、複数のボットネットが狙っており、パッチが適用されていない Linux サーバーへの感染が広まっている。この脆弱性 CVE-2021-26084 の悪用に成功した未認証の攻撃者は、新たな管理者アカウントを作成し、コマンドを実行し、インターネットに公開されたサーバーを乗っ取り、最終的にはバックドアとしてリモート操作することが可能となる。

Facebook Messenger で大規模フィッシング：リダイレクト料で数百万米ドルを稼いだようだ

Massive Facebook Messenger phishing operation generates millions

2022/06/08 BleepingComputer — Facebook と Messenger を悪用した大規模なフィッシング・キャンペーンが、研究者たちにより発見された。それは、数百万人のユーザーをフィッシング・ページに誘い込み、アカウント情報を入力させ、広告を表示させるというものである。このキャンペーン運営者たちは、盗んだアカウントから友人たちをたどり、さらにフィッシング・メッセージを送ることにで、オンライン広告手数料から多額の収益を得ていた。

Emotet の最新情報：Google Chrome に保存されるクレジット・カード情報を盗もうとしている

Emotet malware now steals credit cards from Google Chrome users

2022/06/08 BleepingComputer — 現状における Emotet ボットネットは、Google Chrome のユーザー・プロファイルに保存されている、クレジット・カード情報を採取するように設計された・クレジット・カード盗用モジュールを被害者に感染させようとしている。このマルウェアは、クレジットカード情報 (氏名／有効期限／カード番号など) を盗み出した後に、通常の Emotet カード・スティーラー・モジュールが使用するものとは別の、Command and Control (C2) サーバーへと情報を送信する。

CCleaner Pro の海賊版を装うマルウェア：Google 検索に現れる怪しい広告に御用心

Poisoned CCleaner search results spread information-stealing malware

2022/06/08 BleepingComputer — Windows 最適化プログラム CCleaner Pro を検索すると、その海賊版の広告が表示され、騙されてインストールすると、パスワード／クレジットカード／暗号化ウォレットなどを盗み出すマルウェアを取り込むことになる。この新しいマルウェア配布キャンペーンは、Avast のアナリストが発見したものであり、FakeCrack と名付けられている。Avast の顧客テレメトリー・データによると、平均して１万件ほどの感染未遂が、日々検出されているとのことだ。これらの被害者の多くは、フランス／ブラジル／インドネシア／インドに在住している。

Radware 調査：2022 Q1 における DDoS 攻撃と App 攻撃の状況は悲惨だった

Q1 2022 DDoS and Application Attack Activity: An Overview

2022/06/08 SecurityBoulevard — 2022年 Q1 におけるサイバー・セキュリティの脅威の状況は、旧来／新規の敵が混在するものとなった。DDoS の脅威は新たな勢力により支配され、アプリケーション・セキュリティは従来からの攻撃ベクターに直面し続けている。これらの攻撃は、地政学的な不安定さ、ハクティビスト、国民国家の脅威者、新たな脆弱性の悪用にフォーカスする、脅威の状況により大幅に加速されている。2022年 Q1 に発生したネットワーク／アプリケーションに対する攻撃活動の詳細な分析は、Radware 2021-2022 Global Threat Analysis Report で確認できる。以下のハイライトを参照し、驚くべき結果を確認してほしい。

NSA／CISA／FBI 勧告：中国の国家支援ハッカーたちが Telecom／NSP を狙っている

U.S. Agencies Warn About Chinese Hackers Targeting Telecoms and Network Service Providers

2022/06/08 TheHackerNews — 米国のサイバーセキュリティ／情報機関は、少なくとも 2020年以降において、中国を拠点とする国家に支援されたサイバー行為者が、公共／民間組織のネットワークの脆弱性を悪用して侵害していると警告している。この広範な侵入キャンペーンでは、Small Office／Home Office (SOHO) ルーターやネットワーク接続ストレージ (NAS) デバイスなどの、すでに公表されているセキュリティ上の欠陥を悪用し、被害者のネットワークへの深いアクセスを獲得することを目的としている。

ThreatLabz 調査：ランサムウェア攻撃は前年比で 80% 増で手口も多様化

Ransomware attacks setting new records

2022/06/07 HelpNetSecurity — Zscaler は、毎年恒例の ThreatLabz Ransomware Report の調査結果を発表し、ランサムウェア攻撃が前年比で80%増加したことを明らかにした。2022年に最も広まったランサムウェアのトレンドとしては、二重脅迫／サプライチェーン攻撃／RaaS／リブランディング／地政学的扇動などが挙げられている。このレポートでは、サイバー犯罪者に最も狙われている業界の詳細や、二重脅迫やサプライチェーン攻撃による被害などが説明され、現在活動している最も活発なランサムウェアグループが紹介されている。

Windows のゼロデイ脆弱性 Follina CVE-2022-30190：Qbot のフィッシング攻撃が始まった

Qbot malware now uses Windows MSDT zero-day in phishing attacks

2022/06/07 BleepingComputer — Windows の深刻なゼロデイ脆弱性 Follina だが、現在進行中のフィッシング攻撃において、受信者を Qbot マルウェアに感染させるために悪用されている。月曜日に Proofpoint は、米国と欧州の政府機関を標的としたフィッシングで、このゼロデイ脆弱性が使用されていることを、初めて報告した。また先週には、中国のハッキング・グループ TA413 が、チベット人居住区を標的とした攻撃で、この脆弱性を悪用していることも明らかにされている。

モバイル・バンキング・トロイの木馬 Top-10：人気の金融アプリにオーバレイ攻撃を仕掛ける

10 Most Prolific Banking Trojans Targeting Hundreds of Financial Apps with Over a Billion Users

2022/06/06 TheHackerNews — 最も活発に動いているモバイル・バンキング・トロイの木馬 Top-10 は、Google Playストアで提供され、累積で 10億1000万回以上もダウンロードされている、639種類の金融アプリケーションに目をつけている。それらの標的にされたアプリには、PhonePe (Walmart)／Binance／Cash App／Garanti BBVA Mobile／La Banque Postale／Ma Banque／Caf-Mon Compte／Postepay／BBVA México などが含まれる。これらのアプリだけで、公式アプリマーケットプレースからのダウンロード数は、2億6,000万件を超えている。

Evil の新たな戦略：LockBit ランサムウェアの運用により制裁を逃れる？

Evil Corp switches to LockBit ransomware to evade sanctions

2022/06/02 BleepingComputer — 現時点におけるサイバー犯罪グループ Evil Corp は、米国財務省外国資産管理局 (OFAC：Office of Foreign Assets Control) が課す制裁を回避するため、ランサムウェア LockBit を標的ネットワークに展開する方法へと、切り替えていることが明らかになった。2007年から活動している Evil Corp (INDRIK SPIDER／ Dridex) は、Dridex マルウェアを展開した後にランサムウェアをビジネスへと転換した、パイオニアとして知られている。

RaaS ギャングとアクセス・ブローカーの緊密な関係：深化するエコシステムを追跡

Access Brokers and Ransomware-as-a-Service Gangs Tighten Relationships

2022/06/02 SecurityWeek — ここ数年、ダークウェブ・ウォッチャーたちは、サイバー犯罪集団の専門性の高まりに注目している。脅威アクターたちは、利益を最大化するための業務の効率化という目的のもとに、うまく組織化されている。アクセス・ブローカーと Ransomware-as-a-Service (RaaS) グループがより密接な関係になっていることは、明らかな進展である。

ウクライナの不安定化を狙うロシア：サイバー空間での戦いに “Z” は失敗している

Russia is ‘failing’ in its mission to destabilize Ukraine’s networks after a series of thwarted cyber-attacks

2022/06/02 DailySwig — ウクライナのサイバー耐性を揺るがすという任務に、ロシアは失敗している。言い換えるなら、ウクライナは、同国は圧制者からのサイバー攻撃をうまく阻止し続けている。これは、今週に開催された WithSecure の Sphere Conference で得られた教訓であり、同社の CRO である Mikko Hyppönen は、「プーチン政権は、ほぼ失敗している」と出席者に伝えた。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用前にハッカーが悪用

Hackers Exploiting Unpatched Critical Atlassian Confluence Zero-Day Vulnerability

2022/06/02 TheHackerNews — Atlassian が発した警告は、Confluence Server／Data Center に影響をおよぼすリモート・コード実行の脆弱性に関して、パッチ適用前のシステムが数多く存在し、それらが活発に悪用されているというものだ。オーストラリアに本拠を置く Atlassian は、サイバーセキュリティ会社 Volexity が、脆弱性 CVE-2022-26134 を特定したことの功績を認めている。

Conti の置きみやげ：Intel ファームウェアを標的とするスティルス攻撃が消えない

Conti ransomware targeted Intel firmware for stealthy attacks

2022/06/02 BleepingComputer — Conti ランサムウェアから流出したチャットを分析した研究者たちは、ロシアのサイバー犯罪グループ内のチームが、ファームウェアのハッキングを積極的に行ってきたことを発見した。このサイバー犯罪シンジケートのメンバーたちが交わしたメッセージによると、Conti の開発者は、Intel の Management Engine (ME) を活用してフラッシュを上書きし、System Management Mode (SMM) を実行させる PoC コードを作成していたことが判明した。

Clipminer マルウエアが野放し状態：トランザクション・ハイジャックにより $1.7 M が盗まれた

Clipminer malware gang stole $1.7M by hijacking crypto payments

2022/06/02 BleepingComputer — 脅威アナリストたちが、Clipminer という名の暗号通貨マイニング・マルウェアの大規模キャンペーン発見し、トランザクション・ハイジャックを行うオペレーターたちが、少なくとも $1.7 million の利益を得ていることが明らかになった。Broadcom 傘下 Symantec の研究者たちによると、Clipminer は KryptoCibule マルウェアをベースにしているとのことだ。どちらのトロイの木馬も、ウォレットを盗み出し、トランザクションをハイジャックし、感染させたマシンで暗号通貨を採掘することに重点を置いている。

FluBot がテイクダウン：FedEx／DHL 追跡アプリを装うマルウェアを確認しよう

FluBot Android Spyware Taken Dwn in Global Law Enforcement Operation

2022/06/01 TheHackerNews — 今回の国際的な法執行活動に参加した 11カ国により、FluBot と呼ばれるモバイル・マルウェアの脅威は取り除かれた。欧州警察機構 (Europol) は「この Android マルウェアは、SMS を介して積極的に拡散され、世界中の感染したスマートフォンから、パスワードやオンライン・バンキングの詳細などの、機密情報が盗み出された」と声明で述べている。この複雑な捜査には、オーストラリア／ベルギー／フィンランド／ハンガリー／アイルランド／ルーマニア／スペイン／スウェーデン／スイス／オランダ／米国などの各当局が関与している。

R4IoT キルチェーン実証概念：IoT／IT からの侵入と OT へのランサムウェア攻撃を簡潔に証明

Researchers Devise Attack Using IoT and IT to Deliver Ransomware Against OT

2022/06/01 SecurityWeek — ランサムウェアとは、恐喝の一種である。その唯一の目的は、被害者から金銭を引き出すことだ。産業界が身代金要求の回避に成功すると、攻撃者はもう一つのレベルの強要を、すなわちデータ恐喝を追加するという、二重の強要を作り出した。防御側が二重の恐喝を上手くわすようになると、攻撃者は再び進化を遂げるだろう。最も明白な道は、IT だけでなく OT (Operational Technology も攻撃することだろう。OT に対する攻撃の実現は困難だが、その効果を緩和することも同様に困難である。サイバー恐喝の進化は、OT に対する攻撃を、単なる可能性には留まらせない。

YODA という WordPress 検査ツール：24,000 のサイトで 47,000 の悪意の Plugin を検出

YODA Tool Found ~47,000 Malicious WordPress Plugins Installed in Over 24,000 Sites

2022/06/01 TheHackerNews — 24,931 の Web サイトで、47,337 もの不正な Plugin が発見された。そのうちの 3,685 の Plugin は正規のマーケットプレイスで販売され、攻撃者たちは $41,500 もの不正な収益を手にしている。ジョージア工科大学の研究者グループが実施した、８年間にわたる調査によると、この結果は、不正な WordPress Plugin を検出し、その起源を追跡することを目的とした、YODA と呼ばれる新しいツールから得られたものとなる。

ランサムウェアの調査：IBM X-Force が指摘する攻防時間の大幅な短縮とは？

Ransomware attacks need less than four days to encrypt systems

2022/06/01 BleepingComputer — 2021年におけるランサムウェア攻撃の持続時間は、イニシャル・ネットワーク・アクセスからペイロード展開までを計測した結果、平均で 92.5時間でとなった。2020年のランサムウェア・アクターたちは、攻撃を完了するまでに平均で 230時間を、また、2019年は 1637.6時間を費やしていた。この変化は、大規模オペレーションと高収益性を目指して、ランサムウェア運用者たちが時間をかけて進化させてきた、より合理的なアプローチを反映するものだ。

XLoader ボットネットの最新技術：確率論を用いて C2 サーバーの所在を隠す

New XLoader botnet uses probability theory to hide its servers

2022/05/31 BleepingComputer — 脅威アナリストたちが明らかにしたのは、ボットネット・マルウェア XLoader の新バージョンでは、確率論を用いた Command and Control (C2) サーバー隠蔽機能が実装され、マルウェアの対策が困難になるという点である。それにより、マルウェアの運営者は、特定された IP アドレスのブロックによりノードを失うというリスクを負うことなく、同じインフラを使い続けることが可能となり、また、追跡／特定のリスクも低減されるという。

EnemyBot の狙う脆弱性がエグイ：即座に VMware／Spring／F5 BIG-IP に対応

EnemyBot malware adds exploits for critical VMware, F5 BIG-IP flaws

2022/05/29 BleepingComputer — 複数のマルウェア・コードをベースにしたボットネット EnemyBot は、Webサーバー／CMS／IoT／Android 端末などで公開されたばかりの、深刻な脆弱性の悪用に迅速に対応し、その範囲を拡大している。このボットネットは、Securonix の研究者により 3月に初めて発見され、Fortinet から新しいサンプルの分析結果が提供された 4月には、すでに 12種類以上のプロセッサ・アーキテクチャの不具合を統合していた。このマルウェアは、分散型サービス拒否 (DDoS) 攻撃を主目的としており、新しいターゲット・デバイスをスキャンして感染させるモジュールも備えている。

VMware ESXi を狙う Cheers ランサムウェア：Linux 版に加えて Windows 亜種も登場か？

New ‘Cheers’ Linux ransomware targets VMware ESXi servers

2022/05/25 BleepingComputer — 新たなランサムウェア Cheers が登場し、脆弱性のある VMware ESXi サーバーを標的として活動を開始した。VMware ESXi は、世界中の大企業で一般的に使用されている仮想化プラットフォームであるため、Cheers による暗号化が行われると、その業務に深刻な支障をきたすとされる。

ChromeLoader マルウェアが急増：新たな脅威が Chrome／Safari を脅かす

New ChromeLoader malware surge threatens browsers worldwide

2022/05/25 BleepingComputer — マルウェア ChromeLoader は、2022年に入っていからの検出量が平均していたが、５月に入ってからは増加しており、ブラウザ・ハイジャックの脅威を拡大させる原因となっている。ChromeLoader は、被害者の Web ブラウザーの設定を変更し、不要なソフトウェアや、偽の景品やアンケート、アダルトゲーム、出会い系サイトなどを宣伝するための、検索結果を表示するブラウザー・ハイジャッカーである。

BPFDoor マルウェアは Solaris の脆弱性 CVE-2019-3010 を悪用して root を奪う

BPFDoor malware uses Solaris vulnerability to get root privileges

2022/05/25 BleepingComputer — Linux および Solaris 向けのステルス型マルウェア BPFdoor の、内部構造に関する新たな研究により、このマルウェアの背後にいる脅威アクターは、標的システム上で持続性を得るために、古い脆弱性を利用していることが明らかになった。BPFDoor はカスタム・バックドアであり、少なくとも５年間において、通信／政府／教育／物流などの組織への攻撃で、ほとんど検出されずに使用されてきた。

偽の PoC エクスプロイトに御用心：GitHub を悪用する新手のマルウェア配布方式

Cybersecurity Community Warned of Fake PoC Exploits Delivering Malware

2022/05/24 SecurityWeek — サイバー・セキュリティ・コミュニティのメンバーたちに、PoC エクスプロイトだと偽ってマルウェアを配信する、脅威アクターたちの新たな動きが、研究者たちにより暴かれた。5月19日に研究者たちは、2022日4月の Patch Tuesday アップデートで Microsoft が修正した、Windows の脆弱性数件の PoC エクスプロイトに見せかけた、悪意のソフトウェアが GitHub にホストされていることを報告した。

ダボス会議のインターポール：国家が開発したサーバー兵器がダークウェブで売られる日も近い

Nation-state malware could become a commodity on dark web soon, Interpol warns

2022/05/24 SecurityAffairs — インターポールの Secretary General である Jurgen Stock は、国家に支援されたマルウェアが、数年のうちにダークネット上で提供されるようになると発言した。ロシアとウクライナの紛争が続いているが、国家アクターと非国家アクターの双方が開発したマルウェアは、世界中の重要インフラや組織にとって深刻なリスクとなっている。

Trend Micro の DLL ハイジャック脆弱性が FIX：中国の APT による悪用が生じていた？

Trend Micro fixes bug Chinese hackers exploited for espionage

2022/05/24 BleepingComputer — Trend Micro が発表した内容は、中国の脅威グループが不正な DLL をサイドロードし、マルウェアを展開するために使用した、Trend Micro Security の DLL ハイジャック脆弱性に対するパッチ適用についてである。５月上旬に Sentinel Labs が明らかにしたように、Windows 上で動作するセキュリティ製品の高権限を悪用する攻撃者は、悪意を持って細工した独自の DLL をメモリ上にロードし、権限昇格とコードの実行を可能にしていたようだ。

ランサムウェア 2021年の調査：勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第２版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう１人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

PayPal の未パッチ脆弱性：クリック・ジャックの一撃で現金が盗まれる

New Unpatched Bug Could Let Attackers Steal Money from PayPal Users

2022/05/23 TheHackerNews — あるセキュリティ研究者が、PayPal 送金サービスに存在する、パッチが適用されていない脆弱性を発見したと主張している。この脆弱性を悪用する攻撃者が被害者を騙して、攻撃者が指示した取引を１回のクリックで完了させる可能性があると述べている。

PyPI リポジトリに悪意のパッケージ：Windows／Linux／macOS にバックドアを仕込む

Malicious PyPI package opens backdoors on Windows, Linux, and Macs

2022/05/21 BleepingComputer — Windows／Linux／macOS 上に Cobalt Strike ビーコンやバックドアをドロップし、サプライチェーン攻撃を行う悪意の Python パッケージが、PyPI レジストリでもう一つ発見された。PyPI は、開発者が自身の作品を共有し、他者の作品から利益を得るために利用される、オープンソース・パッケージのリポジトリであり、プロジェクトに必要な機能ライブラリをダウンロードする場所である。

Linux を侵食する XORDDoS ボットネット：活動量が６ヶ月で 254% の増加

The activity of the Linux XorDdos bot increased by 254% over the last six months

2022/05/20 SecurityAffairs — XORDDoS は XOR.DDoS とも呼ばれる Linux ボットネットであり、2014年に脅威フィールドに登場したものである。ゲームや教育の Web サイト攻撃に利用され、悪意のトラフィックが 150 GB/s に達する大規模な DDoS 攻撃を引き起こしたこともある。XORDDoS は、マルウェア活動の難読化／ルールベース検出メカニズムの回避／ハッシュベースの悪意のファイル検索／永続化メカニズム／アンチフォレンジックなどのテクニックを活用している。Microsoft の専門家は、これまでの６ヶ月の間に、XORDDoS に関連する活動は 254% 増であることを検知している。

Conti ランサムウェアの解体と分散化：リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

2022 Q1 ランサムウェア調査：最も好まれる脆弱性 Top-10 などが明らかに

Ransomware gangs rely more on weaponizing vulnerabilities

2022/05/19 BleepingComputer — セキュリティ研究者たちの指摘は、ランサムウェア・ギャングが企業ネットワークに侵入する際に、依然として外部リモート・アクセス・サービスが主要な経路であるが、脆弱性を悪用するケースも目立って増えてきているというものだ。フィッシングだけではなく、インターネットに公開されたアプリケーションの脆弱性を悪用は、脅威アクターによるデータの窃取や、システムの暗号化につながる、主要な侵害の方式となっている。