Malware – Page 22 – IoT OT Security News

Twilio にデータ侵害が発生：従業員に対する SMS フィッシングが攻撃の侵入経路

Twilio discloses data breach after SMS phishing attack on employees

2022/08/08 BleepingComputer — クラウド・コミュニケーション企業の Twilio は、従業員の認証情報が SMS フィッシング攻撃で盗まれた後に、内部システムに侵入した攻撃者により、一部の顧客データに不正アクセスされたことを発表した。同社は、「2022年8月4日に、従業員の認証情報を盗むことを目的とした高度なソーシャル・エンジニアリング攻撃により、限られた数の Twilio 顧客アカウントに関連する情報への、不正アクセスを確認した」と述べている。

Dark Utilities という C2-as-a-Service が登場：すでに 3,000人のサブスクライバーを獲得

Thousands of hackers flock to ‘Dark Utilities’ C2-as-a-Service

2022/08/04 BleepingComputer — セキュリティ研究者たちが、サイバー犯罪者が悪意の作戦で使用する Command and Control (C2) センターを、簡単かつ安価に設置できる Dark Utilities という新たなサービスを発見した。Dark Utilities とは、Windows／Linux／Python ベースのペイロードをサポートするプラットフォームを脅威アクターに提供し、C2 通信路の実装に関連する労力を不要にするサービスである。

Woody RAT というリモートアクセス・トロイの木馬が登場：標的はロシアの組織

New Woody RAT used in attacks aimed at Russian entities

2022/08/04 SecurityAffairs — Malwarebytes の研究者たちは、Woody RAT と呼ばれる新たなリモート・アクセス型トロイの木馬で、ロシアの組織を標的とする未知の脅威アクターを観察した。攻撃者は、Follina Windows の欠陥 (CVE-2022-30190) を悪用するアーカイブ・ファイルや Microsoft Office ドキュメントを用いて、マルウェアを配信していた。

RapperBot ボットネットは Mirai 由来：SSH サーバにブルートフォースを仕掛けて休眠

New Linux malware brute-forces SSH servers to breach networks

2022/08/04 BleepingComputer — 2022年6月の中旬から、RapperBot と呼ばれる新しいボットネットが攻撃が検知されているが、その後の調査により、Linux SSH サーバーにブルートフォースで侵入し、デバイスに足場を築くことに重点を置いていることが判明した。研究者たちによると、RapperBot は Mirai トロイの木馬をベースにしているが、可能な限り多くのデバイスを無秩序に感染させるという、マルウェア本来の動作から逸脱しているようだ。

ウクライナのサイバー警察：フェイクニュース拡散に使われた 100万個のボットを停止

Ukraine takes down 1,000,000 bots used for disinformation

2022/08/03 BleepingComputer — ウクライナのサイバー警察 (SSU) は、SNS でフェイク・ニュースを拡散するために使用されていた、100万個のボットによる大規模なボットファームを停止させた。このボットファームの目的は、ウクライナ国家の公式情報を信用させず、同国の社会的／政治的状況を不安定にし、内戦を引き起こすことだった。ボットが拡散していたメッセージは、ロシアのプロパガンダに沿ったものであることから、そのオペレーターはロシアの特殊部隊のメンバーであると考えられている。

Microsoft のメール認証情報を狙うフィッシング・キット：MFA 回避機能を持つ？

Microsoft accounts targeted with new MFA-bypassing phishing kit

2022/08/03 BleepingComputer — Microsoft の電子メールサービスの認証情報を狙う、新たな大規模フィッシング・キャンペーンにおいて、カスタム・プロキシ・ベースのフィッシング・キットを用いられ、多要素認証 (MFA) を回避していることが判明した。このキャンペーンの目的は、エンタープライズ・アカウントに侵入して BEC (Business Email Compromise) 攻撃を行い、偽造書類を用いて支配下の銀行口座へと支払いを実行させることだと研究者たちは捉えている。

VirusTotal 報告：マルウェア攻撃で用いられる偽装の手口３パターンとは？

VirusTotal Reveals Most Impersonated Software in Malware Attacks

2022/08/03 TheHackerNews — 信頼関係を悪用してソーシャル・エンジニアリング攻撃の成功率を高める手段として、Skype／Adobe Reader／VLC Player などの正規のアプリケーションを模倣する、脅威アクターが増えている。また、VirusTotal の分析によると、最も偽装されている正規アプリのアイコンは、7-Zip／TeamViewer／CCleaner／Microsoft Edge／Steam／Zoom／WhatsApp などであることが判明している。

GitHub に 35,000 の悪意のリポジトリ：バックドア付きのクローンに御用心

35,000 code repos not hacked—but clones flood GitHub to serve malware

2022/08/03 BleepingComputer — GitHub における数千のリポジトリがフォーク (コピー) され、そのクローンにマルウェアが仕込まれていることが、ソフトウェア・エンジニアたちにより発見された。オープンソース・リポジトリでのクローン作成は、一般的な開発手法であり、開発者の間で推奨されることもあるが、今回のケースは異なるものとなる。具体的に言うと、脅威アクターたちが正規のプロジェクトのコピーを作成し、それを悪意のあるコードで汚染し、悪意のクローンに仕立て上げ、無防備な開発者をターゲットにするという流れになる。GitHub は、エンジニアの報告を受けた後に、悪意のあるリポジトリの大半を追放した。

Gootkit は AaaS (Access-as-a-Service)：ファイルレス技術でマルウェアをドロップ

Gootkit AaaS malware is still active and uses updated tactics

2022/08/02 SecurityAffairs — AaaS (Access-as-a-Service) モデルで動作するマルウェア Gootkit は、侵害されたシステム上に悪意のあるペイロードをドロップする手段として、さまざまな脅威グループに使用されている。Gootkit は、ファイルレス技術を使用して、SunCrypt／REvil (Sodinokibi) ／Kronos／Cobalt Strike などの、バンキング・マルウェア／ランサムウェアをドロップすることで知られている。

Facebook 上で宣伝されるアドウェア・アプリ：日本などから 700万回も DL されている

Facebook ads push Android adware with 7 million installs on Google Play

2022/07/30 BleepingComputer — Android デバイスの System Cleaner や Optimizer として、Facebook 上で積極的に宣伝されているアドウェア・アプリが存在するが、それらの Google Play Store 上でのインストール回数は数百万を数えている。それらのアプリは、約束された機能をすべて備えることもなく、デバイス上で可能な限り長期間に渡り居座り、広告を不正にプッシュしていく。

Google Play がドロッパーアプリ群を削除：Octo などのバンキング・マルウェアを配布

Over a Dozen Android Apps on Google Play Store Caught Dropping Banking Malware

2022/07/29 TheHackerNews — Google Play Store における、一見無害なドロッパー・アプリを利用した悪質なキャンペーンにより、ユーザーの端末がバンキング・マルウェアに感染する被害が発生していた。Trend Micro が DawDropper と総称する 17種類のドロッパー・アプリは、ドキュメント・スキャナー／QR コードリーダー／VPN サービス／コール・レコーダーなどの、生産性／実用性の高いアプリを装っていた。現在は、これらのアプリは全て、Play Storeから削除されている。

IPFS 分散型ファイル・システムとサイバー犯罪：フィッシング・キャンペーンの温床？

Researchers Warns of Increase in Phishing Attacks Using Decentralized IPFS Network

2022/07/29 TheHackerNews — IPFS と呼ばれる分散型ファイル・システム・ソリューションが、フィッシング・サイトをホストするための新たな温床になりつつあると、研究者たちが警告を発している。サイバー・セキュリティ企業の Trustwave SpiderLabs は、特定された過去３ヶ月間の攻撃キャンペーンの詳細を公開し、攻撃ベクターとして IPFS フィッシング URL を含む、3,000 以上の電子メールを確認したと述べている。

LockBit の新戦術：Windows Defender を悪用して Cobalt Strike をロードする経路を発見

LockBit operator abuses Windows Defender to load Cobalt Strike

2022/07/29 BleepingComputer — ランサムウェア LockBit 3.0 に関連する脅威アクターたちは、Windows Defender のコマンドライン・ツールを悪用して、感染させたシステムに Cobalt Strike Beacon をロードし、セキュリティ・ソフトウェアによる検出を回避していることが明らかになった。Cobalt Strike は、正規のペンテスト・スイートだが、その広範な機能は脅威アクターたちに好まれ、ネットワークでの偵察と横方向の移動をステルスで実行した後に、データを盗んで暗号化するために使用されている。

Microsoft の Office マクロ対策：ブロック後のハッカーたちの動向を統計値で見る

As Microsoft blocks Office macros, hackers find new attack vectors

2022/07/28 BleepingComputer — これまでのフィッシングでは、悪意の Office マクロを埋め込んだ添付ファイルでマルウェアを配布していたハッカーたちだが、Microsoft がデフォルトで Office マクロをブロックするようになってから戦術を変更し、ISO／RAR／LNK (Windows ショートカット) などの、新しいファイル・タイプへと添付ファイルを切り替えている。

AWS における Security／Privacy／Compliance 対応：クラウド・ユーザーを強力に支援

AWS Announces Enhancements to Cloud Security, Privacy, Compliance

2022/07/27 SecurityWeek — AWS が新たに立ち上げた Customer Incident Response Team (CIRT) は、顧客が責任を負うシステムやデータに影響を与える、アクティブなセキュリティ・イベント時に、ユーザーを支援することを目的とする。AWS CIRT との連携は、サポートケースを開設することで実施される。また、AWSのアカウントとワークロード向けの脅威検知サービスである Amazon GuardDuty に、マルウェア検知機能が追加されることも発表された。この Malware Protection 機能を有効にすると、EC2 インスタンスやコンテナ・ワークロードで不審なアクティビティが検出されたたときに、マルウェアスキャンが開始される。

Google Play Store 上の悪質アプリ 28種：マルウェアによる不正料金の請求など

These 28+ Android Apps with 10 Million Downloads from the Play Store Contain Malware

2022/07/27 TheHackerNews — Google Play Store においてアドウェアを配布する、累積ダウンロード数が 1000万近くに達する 30種もの悪質な Android アプリが発見された。火曜日の Dr.Web のポストには、「いずれのアドウェアも、画像編集ソフト／仮想キーボード／システムツール／ユーティリティ／通話アプリ／壁紙収集アプリなど、様々なプログラムに組み込まれていた」と記されている。

LockBit 3.0 と BlackMatter の関係を分析：専門家たちが指摘する類似点とは？

2022/07/27 TheHackerNews — サイバー・セキュリティ研究者たちは、ランサムウェア LockBit の最新版と、2021年11月に消えたランサムウェア DarkSide のリブランド版 BlackMatter との類似性を、あらためて指摘している。LockBit 3.0(LockBit Black) と呼ばれる新バージョンは、2022年6月にリリースされ、暗号通貨の支払いオプションとして Zcash を追加し、新しいリークサイトとバウンティプログラムを立ち上げた。

Microsoft 警告：IIS エクステンションを悪用する Exchange バックドアが増えている

Microsoft: IIS extensions increasingly used as Exchange backdoors

2022/07/26 BleepingComputer — Microsoft によると、IIS Web サーバーを狙う悪意のエクステンションは、Web シェルと比較して検出率が低いため、パッチの適用されていない Exchange サーバーをバックドアにしようとする攻撃者にとって、格好の標的になりつつあるようだ。これらの悪意のエクステンションは、侵害されたサーバーの奥深くに隠されており、多くの場合において、正規のモジュールと同じ場所にインストールされ、同じ構造を使用している。したがって、検出が非常に難しく、攻撃者に対して完全な永続化メカニズムを提供してしまう。

QBot による Windows Calculator 悪用：フィッシングを DLL サイドローディングで仕掛ける

QBot phishing uses Windows Calculator sideloading to infect devices

2022/07/24 BleepingComputer — マルウェア QBot のオペレーターたちは、感染させたコンピュータに悪意のペイロードをサイドロードするために、Windows Calculator を悪用している。DLL サイドローディングとは、Windows における Dynamic Link Libraries (DLL) の処理方法を悪用する一般的な攻撃方法である。偽装した DLL をロード・フォルダに配置することで、オペレーティング・システムに読み込ませるという手順で構成されている。

Google Chrome のゼロデイ脆弱性 CVE-2022-2294：Candiru スパイウェアが悪用

Chrome zero-day used to infect journalists with Candiru spyware

2022/07/21 BleepingComputer — イスラエルのスパイウェア・ベンダー Candiru が、Google Chrome のゼロデイ脆弱性を悪用していたことが判明した。彼らはスパイウェア DevilsTongue を用い、中東のジャーナリストや、彼らと利害関係のある人々に対してスパイ活動を行っていた。このヒープバッファ・オーバーフローの脆弱性 CVE-2022-2294 は、WebRTC に存在するものだ。悪用に成功した攻撃者が、ターゲット・デバイス上でコードを実行する可能性がある。Google は、2022年7月4日に、この脆弱性にゼロデイ・パッチを適用した際に、活発に悪用されていることを明らかにしていたが、それ以上の詳細は提供しなかった。

Microsoft の Office マクロ問題：無効化 → 有効化 → 再無効化という紆余曲折

Microsoft starts blocking Office macros by default, once again

2022/07/21 BleepingComputer — 今日 Microsoftは、今月の初めに一時的に取りやめていた、ダウンロードした Office 文書における VBA マクロの自動ブロックの展開を、ユーザーからのフィードバックにより再開したと発表した。この変更は、マクロがブロックされたときに利用可能な、オプションを理解しやすくするために、ユーザーと管理者に対するサポート・ドキュメントを改善した後に行われた。

Google Calendar に新たなブロック機能：フィッシング防止のために設定

Google Calendar provides new way to block invitation phishing

2022/07/20 BleepingComputer — 今日の Google Workspace チームの発表によると、Google カレンダーの招待状スパムをブロックする新しい方法が、従来からの G Suite Basic および Business ユーザーを含む、すべてのユーザーに対して提供が開始されたようだ。

ロシアの国家支援 APT29 ハッキング・グループ：DropBox／Google を介してマルウェアを配布

Russian Hackers Using DropBox and Google Drive to Drop Malicious Payloads

2022/07/19 TheHackerNews — APT29 として知られるロシアの国家支援されたハッキング・グループが、Google Drive や Dropbox などの正規のクラウド・サービスを利用して、侵害したシステム上に悪意のペイロードを配信するという、新しいフィッシング・キャンペーンを立ち上げていることが判明した。

Google Play が複数の悪質アプリを削除：Joker などのマルウェアを 10万人以上に配布

Several apps on the Play Store used to spread Joker, Facestealer and Coper malware

2022/07/19 SecurityAffairs — Google Play ストアから数十の悪質なアプリが削除されたが、それらは Joker／Facestealer／Coper という３つのマルウェア・ファミリーを配布していたという。セキュリティ企業 Pradeo の研究者たちは、Androidマルウェア Joker を拡散している複数のアプリを発見した。Joker マルウェアは、システム・アプリとして偽装された悪意のコードであり、Google Playプロテクト・サービスの無効化／悪意のアプリのインストール／偽レビューの生成／不正広告の表示など、広範な悪意の操作を実行できるようにする。

PLC／HMI パスワード・クラッキング・ツールによるマルウェア配信とは？

PLC and HMI Password Cracking Tools Deliver Malware

2022/07/18 SecurityWeek — HMI／PLC などの産業用製品のパスワードを解読できると主張するツールに、ゼロデイ脆弱性が発見され、これらのツールを使ったマルウェア配信が、脅威アクターにより行われていることが判明した。組織内の産業用システムを担当するエンジニアが、ある日、突然に、更新が必要な PLC／HMI や、プロジェクト・ファイルがパスワードで保護され、ログインできないとうい状況に直面することがある (パスワードの失念や、退職者による設定)。

Google Play に新たな Data Safety セクションが登場：App Permissions の削除は妥当なのか？

Google Removes “App Permissions” List from Play Store for New “Data Safety” Section

2022/07/15 TheHackerNews — Google は、Play ストアで Android アプリの Data Safety セクションを開始したのに続き、モバイル／Web のアプリの両方から、App Permissions セクションを削除する準備を進めているようだ。これは、今週の初めに、 Esper の Mishaal Rahman により言及されたものだ。

WordPress Plugin の脆弱性：160万のサイトをスキャンするキャンペーンが見つかった

Attackers scan 1.6 million WordPress sites for vulnerable plugin

2022/07/15 BleepingComputer — セキュリティ研究者たちは、160万近い WordPress サイトをスキャンし、認証なしでファイルをアップロードする脆弱なプラグインの存在を探し出そうとする、大規模なキャンペーンを検出した。この攻撃者は、Kaswara Modern WPBakery Page Builderをターゲットにしているが、真の狙いは深刻な脆弱性 CVE-2021-24284 に対するパッチを受ける前に、作者により放棄されたサイトへの攻撃にある。

Log4j ソフトウェア攻撃はエンデミックへ向かう：ただし完全な消滅には 10年を要する

Log4j Software Flaw ‘Endemic,’ New Cyber Safety Panel Says

2022/07/14 SecurityWeek — ジョー・バイデン大統領が設立した、新しい Cyber Safety Review Board によると、昨年に発見された、どこにでもあるソフトウェアに存在する脆弱性は、潜在的に 10年以上にわたってセキュリティ・リスクをもたらす風土病のようなものになるという。木曜日の報告書で、このサイバー安全審査委員会は、Log4j の脆弱性 CVE-2021-44228 による大規模なサイバー攻撃の兆候はないが、今後の数年間は悪用され続けるだろうと述べている。

Microsoft 警告：ビジネスメール侵害 (BEC) を目的とするフィッシング・キャンペーンに注意

Microsoft: 10,000 Organizations Targeted in Large-Scale Phishing Campaign

2022/07/14 SecurityWeek — Microsoft がユーザーに発した警告によると、１万を超える組織を対象にビジネス・メール侵害 (BEC) 追撃を行う、大規模なフィッシング・キャンペーンが発生しているようだ。このキャンペーンの一環として、攻撃者は、Adversary-in-the-middle (AiTM) フィッシング・サイトを用いて認証情報を盗み出し、MFA を有効にしているケースであっても、サインイン・セッションを乗っ取って認証をバイパスしている。

PayPal を装う新たなフィッシング・キット：狡猾な手口で個人情報を抜き取る

PayPal phishing kit added to hacked WordPress sites for full ID theft

2022/07/14 BleepingComputer — PayPal ユーザーを標的とした新たなフィッシング・キットにより、政府発行の身分証明書や写真などの、大量の個人情報を盗み出そうとするアクティビティが発見された。現時点において、４億人以上の個人および企業が、オンライン決済ソリューションとして PayPal を使用している。このキットは、ハッキングした正規の WordPress Web サイトをホストとしているため、ある程度は検出を回避することが可能である。

Android に新規マルウェア Autolycos が登場：Google Play で 300 万インストール！

New Android malware on Google Play installed 3 million times

2022/07/13 BleepingComputer — Google Play ストアで、ユーザーを密かにプレミアム・サービスに加入させる、新しい Android マルウェアが 300万回以上ダウンロードされたことが分かった。Autolycos と名付けられたこのマルウェアは、Evina のセキュリティ研究者 Maxime Ingrao により、少なくとも８つの Android アプリに含まれていることが発見された。この記事の執筆時点で、そのうちの２つが、Google Play ストアでまだ利用可能であることが判明している。

LockBit ランサムウェアの進化：Ngrok 悪用や Neshta 感染などの新たな手法とは？

Evolution of the LockBit Ransomware operation relies on new techniques

2022/07/09 SecurityAffairs — Cybereason の Global Security Operations Center (GSOC) Team は、脅威の状況を調査し、その攻撃を軽減するための推奨事項を提供する、Cybereason Threat Analysis Reports を発表した。ランサムウェア Lockbit の進化に着目する研究者たちは、全く異なる時期に発生した２つの感染について詳述し、そのオペレーションにおける進化の状況を浮き彫りにしている。

Windows の脆弱性 Follina CVE-2022-30190 を悪用する Rozena バックドアに注意！

Hackers Exploiting Follina Bug to Deploy Rozena Backdoor

2022/07/09 TheHackerNews — 新たに観測されたフィッシング・キャンペーンは、先日に公開された脆弱性 Follina (CVE-2022-30190) を悪用し、これまで文書化されていなかったバックドアを、Windows システム上に配布するものだった。今週に発表したレポートで、Fortinet FortiGuard Labs の研究者である Cara Lin は、「Rozena は、攻撃者のマシンに戻ってリモートシェル接続を注入することが可能なバックドア・マルウェアだ」と述べている。

Trickbot のシステマチックな活動：ロシアによるウクライナ攻撃で観測

Russian Cybercrime Trickbot Group is systematically attacking Ukraine

2022/07/08 SecurityAffairs — IBM の研究者たちは、ロシアを拠点とするサイバー犯罪者 Trickbot グループ (別名 Wizard Spider／DEV-0193／ITG23) が、ウクライナ侵攻以来、組織的に攻撃を続けてきたことを示す証拠を収集した。また、2022年2月以降においては、Conti ランサムウェア・グループが TrickBot マルウェアの運用を引き継ぎ、さらに BazarBackdoor マルウェアへと置き換えることを計画していた。

Microsoft Office の VBA マクロ・ブロック：突然のロールバックと大混乱のユーザー

Microsoft rolls back decision to block Office macros by default

2022/07/07 BleepingComputer — 今年の初めに Microsoft は、ダウンロードした Office 文書に含まれる VBA マクロをデフォルトでブロックすると発表したが、この木曜日には、この変更に関する通知を行うまでの間、「フィードバック」に基づきロールバックすると発表した。また、同社は、この決定の背後にある理由を説明できず、Access／Excel／PowerPoint／Visio／Word において、悪意の Office 文書に埋め込まれた VBA マクロが自動的にブロックされなくなることを、公には顧客に通知していない。

Brute Ratel C4 という強力なレッドチーム・ツール：Cobalt Strike のように悪意のペイロード化するのか？

2022/07/06 SecurityAffairs — Palo Alto Networks Unit 42 の研究者は、2022年5月19日にVirusTotal データベースにアップロードされたことで、大半のアンチウイルス製品が良性と判断していたサンプルに、レッドチーム／敵対攻撃シミュレーションのためのツールである、Brute Ratel C4 (BRc4) に関連するペイロードが含まれていたことを発見した。Cobalt Strike Beacons とは異なり、BRc4 ペイロードは普及していないが、同様の機能を備えている。このツールは、EDR (endpoint detection and response) や AV (antivirus) などによる、セキュリティ検出を回避するように設計されている。VirusTotal 上のベンダー間で検知されなかったことからも、このツールの有効性は明らかだ。

Hive RaaS が Rust にアップグレード：より洗練された暗号化方式が実装されている

Hive Ransomware Upgrades to Rust for More Sophisticated Encryption Method

2022/07/06 TheHackerNews — Ransomware-as-a-Service (RaaS) Hive のオペレーターたちが、Hive の構成を全面的に見直し、記述言語を GoLang から Rust へと移行し、より洗練された暗号化方式を採用し始めた。火曜日のレポートで Microsoft Threat Intelligence Center (MSTIC) は、「Hive は、複数の大規模なアップグレードを伴う最新の亜種で、最も急速に進化するランサムウェア・ファミリーの１つであることも証明しており、絶えず変化するランサムウェアのエコシステムを実証している」と述べている。

NPM サプライチェーン攻撃：IconBurst 混入のモジュールが 27,000回以上もダウンロード

NPM supply-chain attack impacts hundreds of websites and apps

2022/07/05 BleepingComputer — NPM のサプライチェーン攻撃は、2021年12月からたどる必要がある。そのとき、難読化された Javascript コードを含む、数十の悪意の NPMモジュールが用いられ、数百の下流にあるデスクトップ・アプリケーションと Web サイトが危険にさらされた。

SessionManager バックドアの発見：Microsoft IIS サーバへの攻撃で採用

SessionManager Backdoor employed in attacks on Microsoft IIS servers worldwide

2022/07/01 SecurityAffairs — Kaspersky Lab の研究者たちは、2021年3月以降に発生した Microsoft IIS Servers 標的の攻撃で採用された、新しい SessionManager バックドアを発見した。Kaspersky が公開した分析結果は、「2022年初頭に、私達は IIS バックドアの１つである SessionManager を調査した。そして、2022年4月下旬の時点で、私たちが特定したサンプルの大半に対して、一般的なオンライン・ファイルスキャン・サービスは悪意のフラグを立てていない状況だった。また、SessionManager は、依然として 20以上の組織に展開されていた。IIS モジュールをバックドアとして導入する脅威アクターは、標的組織の IT インフラへの永続的かつ耐更新性のある、スティルス性のあるアクセスを維持できる」と述べている。

SOHO Router を標的とする ZuoRAT マルウェア：米国／欧州の 80社をスティルス侵害

SOHO Routers in North America and Europe Targeted With ‘ZuoRAT’ Malware

2022/06/30 SecurityWeek — Lumen Technologies の脅威情報部門である Black Lotus Labs のセキュリティ研究者たちによると、ある SOHO (small office/home office) デバイスを標的とする RAT (remote access trojan) が、２年近く検出されなかった状況にあるという。この ZouRAT と名付けられたマルウェアは、リモートワーカーを標的とする巧妙なキャンペーンの一環として、北米／欧州に存在するデバイスに展開されており、国家に支援された脅威アクターによる犯行の可能性がある。研究者たちは、少なくとも 80 の事業体が影響を受けた可能性があると推定している。

Exchange の ProxyLogon と中国支援の APT：Building Automation System を攻撃

China-Backed APT Pwns Building-Automation Systems with ProxyLogon

2022/06/29 DarkReading — これまで未知とされてきた中国語圏の高度持続的脅威 (APT) アクターが、Microsoft Exchange の脆弱性 ProxyLogon を悪用してマルウェア ShadowPad を展開している。その最終目標は、ビルオートメーション・システム (BAS：Building Automation System) を乗っ取り、ネットワークに深く侵入することだと、研究者たちは述べている。

LockBit 3.0 が導入したバグバウンティ：情報の内容に応じて $1000〜 $1 million が支払われる

LockBit 3.0 introduces the first ransomware bug bounty program

2022/06/27 BleepingComputer — ランサムウェア・オペレーターである LockBit は、新たに LockBit 3.0 をリリースし、ランサムウェアとしては初めてのバグバウンティ・プログラムを導入し、新たな強奪戦術と Zcash 暗号通貨の支払いオプションについてもリークした。このランサムウェアは 2019年に立ち上げられた後に、最も多発するランサムウェアに成長し、2022年5月には全ランサムウェア攻撃の 40% を占めるまでに至った。

Microsoft WebView2 の悪用：MFA をバイパスする狡猾なフィッシング手法が証明された

Clever phishing method bypasses MFA using Microsoft WebView2 apps

2022/06/26 BleepingComputer — Microsoft Edge WebView2 アプリケーションを悪用する、巧妙で新たなフィッシング手法により、被害者の認証クッキーが盗み出され、攻撃者によるアカウントへのログイン時に、多要素認証がバイパスされることが可能になるという。数多くのデータ漏洩や、リモートアクセス型トロイの木馬 (RAT)、フィッシング・キャンペーンなどにより、盗み出されたログイン認証情報は膨大な量になっている。その一方で、多要素認証 (MFA) の採用が進んでいるため、標的の MFA ワンタイム・パスコードやセキュリティ・キーに対しても、攻撃者がアクセスできない限り、これらの盗み出した認証情報の悪用は難しくなっている。

LockBit の最近の戦術：著作権違反を主張する偽のメールに御用心

Fake copyright infringement emails install LockBit ransomware

2022/06/26 BleepingComputer — LockBit ランサムウェアのアフィリエイトは、標的に対して著作権違反を主張することで、そのデバイスにマルウェアを感染させるという、興味深いトリックを使用している。これらのマルウェアを送りつけられる電子メールの受信者は、クリエイターのライセンス承諾なしにメディアファイルを使用したと主張され、著作権侵害について警告される。一連のメールの文面には、受信者の Web サイトから侵害コンテンツを削除するか、法的措置に対処することを要求している。

米国／英国／NZ が PowerShell セキュリティ・ガイダンスを発行：Windows の安全性確保に不可欠

US, UK, New Zealand Issue PowerShell Security Guidance

2022/06/24 SecurityWeek — PowerShell を適切に設定／監視し、不正利用のリスクを排除するための共同ガイダンスが、CISA／NSA (米国)、NCSC-UK (英国) ／NZ NCSC (ニュージーランド) から発表された。Windows のスクリプト言語／コマンドライン・ユーティリティである PowerShell は、反復作業を自動化し、フォレンジックを可能にするものになる。つまりインシデント対応を向上させることで、ユーザー・エクスペリエンスを拡張し、OS の管理を支援することを目的にできる。

SMS Bomber ＋ Nimbda Backdoor：中国発のグレーウェアを悪用する意図はどこに？

Chinese Hackers Distributing SMS Bomber Tool with Malware Hidden Inside

2022/06/23 TheHackerNews — ハッカー集団 Tropic Trooper と関係のある脅威クラスタが、新たなキャンペーンの一環として、Nim 言語でコーディングされた、未知のマルウェアを使用していることが確認された。Nimbda と命名されたこの新しいローダーは、中国語のグレーウェア SMS Bomber ツールにバンドルされており、中国語圏で違法に配布されている可能性が高いと、イスラエルのサイバー・セキュリティ企業である Check Point は報告書で述べている。

企業に潜み続ける APT：脆弱な IoT／OT デバイスが理想のターゲットになっている

How APTs Are Achieving Persistence Through IoT, OT, and Network Devices

2022/06/23 DarkReading — IoT 攻撃に関する大半のニュースが、ボットネットやクリプトマイニングといったマルウェアに焦点を当てている。しかし、APT グループ UNC3524 が用いる攻撃手法を見れば分かるように、この種のデバイスは、ターゲットのネットワーク内部から、より有害な攻撃を仕掛けるための理想的な標的になっている。Mandiant のレポートは、「 UNC3524 の手法は、ネットワーク／IoT／OT デバイスの安全性の低さを悪用し、ネットワーク内部で長期的にアクティビティ持続する巧妙なものだ」と述べている。この種の APT (Advanced Persistent Threat) スタイルの攻撃は、近い将来において増加する可能性が高く、そのリスクを理解する必要がある。

CISA と CGCYBER の Log4Shell 共同勧告：依然として VMware Server はハッキング対象

CISA: Log4Shell exploits still being used to hack VMware servers

2022/06/23 BleepingComputer — 今日の CISA 警告は、Log4Shell のリモート・コード実行の脆弱性 CVE-2021-44228 が、国家を後ろ盾とするハッキング・グループなどの脅威アクターに悪用されており、VMware Horizon／Unified Access Gateway（UAG）サーバーが依然として標的にされているというものだ。攻撃者たちは、ローカルまたはインターネットにアクセスできる脆弱なサーバー上で、 Log4Shell をリモートがら悪用することで、機密データが保存される内部システムへのアクセスを獲得するまで、ネットワーク上の水平移動が可能になる。

Conti 解体新書：研究開発部／人事部を有するグローバル RaaS 産業に成長

Conti effectively created an extortion-oriented IT company, says Group-IB

2022/06/23 HelpNetSecurity — Group-IB の最新レポートによると、ランサムウェア・グループ Conti は、わずか１か月ほどで世界中の 40以上の企業を侵害し、最速の攻撃は３日で完了しているという。このレポートは、頻発するランサムウェア攻撃において、最も活発な組織 Conti の仕組みを詳述している。Conti は、この２年間で、企業／政府機関／国全体 (コスタリカ) を含む 850以上の被害者を生み出している。

NSA が Windows PowerShell 活用を提言：適正な利用により防御側の武器になる！

NSA shares tips on securing Windows devices with PowerShell

2022/06/22 BleepingComputer — 今日、National Security Agency (NSA) とサイバーセキュリティ・パートナー機関はシステム管理者たちに対して、Windows マシン上における悪意のアクティビティ防止／検出に PowerShell の使用を推奨するアドバイザリーを発表した。PowerShell は、サイバー攻撃で頻繁に使用され、主に侵入後の段階で悪用されているが、Microsoft の自動化およびコンフィグレーション・ツールに組み込まれたセキュリティ機能は、防御側のフォレンジック作業やインシデント対応の改善や、反復タスクの自動化にも有効とされる。