Malware – Page 23 – IoT OT Security News

Clipminer マルウエアが野放し状態：トランザクション・ハイジャックにより $1.7 M が盗まれた

Clipminer malware gang stole $1.7M by hijacking crypto payments

2022/06/02 BleepingComputer — 脅威アナリストたちが、Clipminer という名の暗号通貨マイニング・マルウェアの大規模キャンペーン発見し、トランザクション・ハイジャックを行うオペレーターたちが、少なくとも $1.7 million の利益を得ていることが明らかになった。Broadcom 傘下 Symantec の研究者たちによると、Clipminer は KryptoCibule マルウェアをベースにしているとのことだ。どちらのトロイの木馬も、ウォレットを盗み出し、トランザクションをハイジャックし、感染させたマシンで暗号通貨を採掘することに重点を置いている。

FluBot がテイクダウン：FedEx／DHL 追跡アプリを装うマルウェアを確認しよう

FluBot Android Spyware Taken Dwn in Global Law Enforcement Operation

2022/06/01 TheHackerNews — 今回の国際的な法執行活動に参加した 11カ国により、FluBot と呼ばれるモバイル・マルウェアの脅威は取り除かれた。欧州警察機構 (Europol) は「この Android マルウェアは、SMS を介して積極的に拡散され、世界中の感染したスマートフォンから、パスワードやオンライン・バンキングの詳細などの、機密情報が盗み出された」と声明で述べている。この複雑な捜査には、オーストラリア／ベルギー／フィンランド／ハンガリー／アイルランド／ルーマニア／スペイン／スウェーデン／スイス／オランダ／米国などの各当局が関与している。

R4IoT キルチェーン実証概念：IoT／IT からの侵入と OT へのランサムウェア攻撃を簡潔に証明

Researchers Devise Attack Using IoT and IT to Deliver Ransomware Against OT

2022/06/01 SecurityWeek — ランサムウェアとは、恐喝の一種である。その唯一の目的は、被害者から金銭を引き出すことだ。産業界が身代金要求の回避に成功すると、攻撃者はもう一つのレベルの強要を、すなわちデータ恐喝を追加するという、二重の強要を作り出した。防御側が二重の恐喝を上手くわすようになると、攻撃者は再び進化を遂げるだろう。最も明白な道は、IT だけでなく OT (Operational Technology も攻撃することだろう。OT に対する攻撃の実現は困難だが、その効果を緩和することも同様に困難である。サイバー恐喝の進化は、OT に対する攻撃を、単なる可能性には留まらせない。

YODA という WordPress 検査ツール：24,000 のサイトで 47,000 の悪意の Plugin を検出

YODA Tool Found ~47,000 Malicious WordPress Plugins Installed in Over 24,000 Sites

2022/06/01 TheHackerNews — 24,931 の Web サイトで、47,337 もの不正な Plugin が発見された。そのうちの 3,685 の Plugin は正規のマーケットプレイスで販売され、攻撃者たちは $41,500 もの不正な収益を手にしている。ジョージア工科大学の研究者グループが実施した、８年間にわたる調査によると、この結果は、不正な WordPress Plugin を検出し、その起源を追跡することを目的とした、YODA と呼ばれる新しいツールから得られたものとなる。

ランサムウェアの調査：IBM X-Force が指摘する攻防時間の大幅な短縮とは？

Ransomware attacks need less than four days to encrypt systems

2022/06/01 BleepingComputer — 2021年におけるランサムウェア攻撃の持続時間は、イニシャル・ネットワーク・アクセスからペイロード展開までを計測した結果、平均で 92.5時間でとなった。2020年のランサムウェア・アクターたちは、攻撃を完了するまでに平均で 230時間を、また、2019年は 1637.6時間を費やしていた。この変化は、大規模オペレーションと高収益性を目指して、ランサムウェア運用者たちが時間をかけて進化させてきた、より合理的なアプローチを反映するものだ。

XLoader ボットネットの最新技術：確率論を用いて C2 サーバーの所在を隠す

New XLoader botnet uses probability theory to hide its servers

2022/05/31 BleepingComputer — 脅威アナリストたちが明らかにしたのは、ボットネット・マルウェア XLoader の新バージョンでは、確率論を用いた Command and Control (C2) サーバー隠蔽機能が実装され、マルウェアの対策が困難になるという点である。それにより、マルウェアの運営者は、特定された IP アドレスのブロックによりノードを失うというリスクを負うことなく、同じインフラを使い続けることが可能となり、また、追跡／特定のリスクも低減されるという。

EnemyBot の狙う脆弱性がエグイ：即座に VMware／Spring／F5 BIG-IP に対応

EnemyBot malware adds exploits for critical VMware, F5 BIG-IP flaws

2022/05/29 BleepingComputer — 複数のマルウェア・コードをベースにしたボットネット EnemyBot は、Webサーバー／CMS／IoT／Android 端末などで公開されたばかりの、深刻な脆弱性の悪用に迅速に対応し、その範囲を拡大している。このボットネットは、Securonix の研究者により 3月に初めて発見され、Fortinet から新しいサンプルの分析結果が提供された 4月には、すでに 12種類以上のプロセッサ・アーキテクチャの不具合を統合していた。このマルウェアは、分散型サービス拒否 (DDoS) 攻撃を主目的としており、新しいターゲット・デバイスをスキャンして感染させるモジュールも備えている。

VMware ESXi を狙う Cheers ランサムウェア：Linux 版に加えて Windows 亜種も登場か？

New ‘Cheers’ Linux ransomware targets VMware ESXi servers

2022/05/25 BleepingComputer — 新たなランサムウェア Cheers が登場し、脆弱性のある VMware ESXi サーバーを標的として活動を開始した。VMware ESXi は、世界中の大企業で一般的に使用されている仮想化プラットフォームであるため、Cheers による暗号化が行われると、その業務に深刻な支障をきたすとされる。

ChromeLoader マルウェアが急増：新たな脅威が Chrome／Safari を脅かす

New ChromeLoader malware surge threatens browsers worldwide

2022/05/25 BleepingComputer — マルウェア ChromeLoader は、2022年に入っていからの検出量が平均していたが、５月に入ってからは増加しており、ブラウザ・ハイジャックの脅威を拡大させる原因となっている。ChromeLoader は、被害者の Web ブラウザーの設定を変更し、不要なソフトウェアや、偽の景品やアンケート、アダルトゲーム、出会い系サイトなどを宣伝するための、検索結果を表示するブラウザー・ハイジャッカーである。

BPFDoor マルウェアは Solaris の脆弱性 CVE-2019-3010 を悪用して root を奪う

BPFDoor malware uses Solaris vulnerability to get root privileges

2022/05/25 BleepingComputer — Linux および Solaris 向けのステルス型マルウェア BPFdoor の、内部構造に関する新たな研究により、このマルウェアの背後にいる脅威アクターは、標的システム上で持続性を得るために、古い脆弱性を利用していることが明らかになった。BPFDoor はカスタム・バックドアであり、少なくとも５年間において、通信／政府／教育／物流などの組織への攻撃で、ほとんど検出されずに使用されてきた。

偽の PoC エクスプロイトに御用心：GitHub を悪用する新手のマルウェア配布方式

Cybersecurity Community Warned of Fake PoC Exploits Delivering Malware

2022/05/24 SecurityWeek — サイバー・セキュリティ・コミュニティのメンバーたちに、PoC エクスプロイトだと偽ってマルウェアを配信する、脅威アクターたちの新たな動きが、研究者たちにより暴かれた。5月19日に研究者たちは、2022日4月の Patch Tuesday アップデートで Microsoft が修正した、Windows の脆弱性数件の PoC エクスプロイトに見せかけた、悪意のソフトウェアが GitHub にホストされていることを報告した。

ダボス会議のインターポール：国家が開発したサーバー兵器がダークウェブで売られる日も近い

Nation-state malware could become a commodity on dark web soon, Interpol warns

2022/05/24 SecurityAffairs — インターポールの Secretary General である Jurgen Stock は、国家に支援されたマルウェアが、数年のうちにダークネット上で提供されるようになると発言した。ロシアとウクライナの紛争が続いているが、国家アクターと非国家アクターの双方が開発したマルウェアは、世界中の重要インフラや組織にとって深刻なリスクとなっている。

Trend Micro の DLL ハイジャック脆弱性が FIX：中国の APT による悪用が生じていた？

Trend Micro fixes bug Chinese hackers exploited for espionage

2022/05/24 BleepingComputer — Trend Micro が発表した内容は、中国の脅威グループが不正な DLL をサイドロードし、マルウェアを展開するために使用した、Trend Micro Security の DLL ハイジャック脆弱性に対するパッチ適用についてである。５月上旬に Sentinel Labs が明らかにしたように、Windows 上で動作するセキュリティ製品の高権限を悪用する攻撃者は、悪意を持って細工した独自の DLL をメモリ上にロードし、権限昇格とコードの実行を可能にしていたようだ。

ランサムウェア 2021年の調査：勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第２版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう１人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

PayPal の未パッチ脆弱性：クリック・ジャックの一撃で現金が盗まれる

New Unpatched Bug Could Let Attackers Steal Money from PayPal Users

2022/05/23 TheHackerNews — あるセキュリティ研究者が、PayPal 送金サービスに存在する、パッチが適用されていない脆弱性を発見したと主張している。この脆弱性を悪用する攻撃者が被害者を騙して、攻撃者が指示した取引を１回のクリックで完了させる可能性があると述べている。

PyPI リポジトリに悪意のパッケージ：Windows／Linux／macOS にバックドアを仕込む

Malicious PyPI package opens backdoors on Windows, Linux, and Macs

2022/05/21 BleepingComputer — Windows／Linux／macOS 上に Cobalt Strike ビーコンやバックドアをドロップし、サプライチェーン攻撃を行う悪意の Python パッケージが、PyPI レジストリでもう一つ発見された。PyPI は、開発者が自身の作品を共有し、他者の作品から利益を得るために利用される、オープンソース・パッケージのリポジトリであり、プロジェクトに必要な機能ライブラリをダウンロードする場所である。

Linux を侵食する XORDDoS ボットネット：活動量が６ヶ月で 254% の増加

The activity of the Linux XorDdos bot increased by 254% over the last six months

2022/05/20 SecurityAffairs — XORDDoS は XOR.DDoS とも呼ばれる Linux ボットネットであり、2014年に脅威フィールドに登場したものである。ゲームや教育の Web サイト攻撃に利用され、悪意のトラフィックが 150 GB/s に達する大規模な DDoS 攻撃を引き起こしたこともある。XORDDoS は、マルウェア活動の難読化／ルールベース検出メカニズムの回避／ハッシュベースの悪意のファイル検索／永続化メカニズム／アンチフォレンジックなどのテクニックを活用している。Microsoft の専門家は、これまでの６ヶ月の間に、XORDDoS に関連する活動は 254% 増であることを検知している。

Conti ランサムウェアの解体と分散化：リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

2022 Q1 ランサムウェア調査：最も好まれる脆弱性 Top-10 などが明らかに

Ransomware gangs rely more on weaponizing vulnerabilities

2022/05/19 BleepingComputer — セキュリティ研究者たちの指摘は、ランサムウェア・ギャングが企業ネットワークに侵入する際に、依然として外部リモート・アクセス・サービスが主要な経路であるが、脆弱性を悪用するケースも目立って増えてきているというものだ。フィッシングだけではなく、インターネットに公開されたアプリケーションの脆弱性を悪用は、脅威アクターによるデータの窃取や、システムの暗号化につながる、主要な侵害の方式となっている。

IT ヘルプ・デスクの調査：65％のチームが持続不可能なストレスを訴えている

65% of IT help desk teams report unsustainable levels of stress

2022/05/18 HelpNetSecurity — これまでの２年間において、IT 部門はビジネスの最前線に立ち、組織はデジタル・トランスフォーメーションを迅速に導入し、完全なリモートワークや分散型労働の実現を支援してきた。その一方で、Splashtop のレポートによると、米国内の IT ヘルプデスク・チームの 65％において、持続不可能なレベルのストレスを訴えるメンバーが増加しているようだ。さらに、回答者の 94% が、これまでの 12カ月間における自社のヘルプデスク部門が、雇用問題／人材確保問題／スキル不足の影響を受けたと回答している。その結果として、回答者の 67% が IT サポート目標の維持に問題があると報告している。

VMware 製品群の２つの深刻な脆弱性が FIX：認証バイパスで root 取得を許してしまう

VMware Releases Patches for New Vulnerabilities Affecting Multiple Products

2022/05/18 TheHackerNews — VMware は、Workspace ONE Access／Identity Manager／vRealize Automation に関連する、２つの脆弱性修正するパッチを発表した。認証バイパスの脆弱性 CVE-2022-22972 (CVSS：9.8) は、ネットワーク経由で UI にアクセスできる脅威アクターに対して、事前の認証なしに root 権限取得を許してしまうものである。もう１つの、ローカル権限昇格の脆弱性 CVE-2022-22973 (CVSS : 7.8) は、ローカル・アクセスを持つ攻撃者に対して、脆弱な仮想アプライアンス上で root への権限昇格を許してしまうものである。

UpdateAgent マルウェアは Mac を狙う：macOS Gatekeeper もバイパスするという

UpdateAgent Returns with New macOS Malware Dropper Written in Swift

2022/05/17 TheHackerNews — UpdateAgent という名で追跡されている、macOS マルウェアの新亜種が野放しの状態で発見され、また、継続的な機能のアップグレードが実施されていることが判明している。Jamf Threat Labs の研究者は報告書で、「おそらく、このマルウェアの最も大きな特徴の１つは、さまざまなペイロードをホストし、標的サーバーへの感染ステータスを更新するために、AWS インフラストラクチャに依存している点だ」と述べている。

Emotet の検出量が最多になった：HP Wolf Security 調査 2022 Q1

Emotet is the most common malware

2022/05/17 HelpNetSecurity — HP の Wolf Security 脅威リサーチ・チームが、Emotet が再登場した 2021年 Q4 と 2022年 Q1 を比較し、Emotet 悪質スパム・キャンペーンによる検出数が 28倍に増加していることを確認し発表している。現実のサイバー・セキュリティ攻撃の分析を提供する、最新の HP Wolf Security Threat Insights Report Q1-2022 によると、Emotet は 36 ランク・アップして、2022年 Q1 で最も多く検出されたマルウェア・ファミリーとなった (捕捉した全マルウェアの 9％)。

BPFdoor バックドアの脅威：ファイアウォールをすり抜ける Linux マルウェアの詳細

BPFdoor: Stealthy Linux malware bypasses firewalls for remote access

2022/05/12 BleepingComputer — 最近になって発見された BPFdoor (Berkeley Packet Filter) というバックドア・マルウェアは、５年以上も気づかれることなく、こっそりと Linux や Solaris システムを標的にしてきた。BPFdoor は、Linux/Unix のバックドアであり、脅威アクターは Linux シェルにリモートで接続し、侵害したデバイスに対する完全なアクセスを得るようになる。このマルウェアは、ポートを開く必要がなく、ファイアウォールで止めることもできず、Web 上のあらゆる IP アドレスからのコマンドに応答できるため、企業スパイなどの継続的な攻撃にとって最適なツールとなっている。

WordPress サイトへの大規模攻撃：悪意の JavaScript コード注入とリダイレクトが多発

Thousands of WordPress Sites Hacked to Redirect Visitors to Scam Sites

2022/05/12 TheHackerNews — サイバー・セキュリティ研究者たちが、侵害済みの WordPress サイトに悪意の JavaScript コードを注入し、訪問者を詐欺ページなどの悪意の Web サイトにリダイレクトし、不正なトラフィックを生成するという、大規模なキャンペーンについて公開している。

Nerbian RAT マルウェアは手強い：スティルス機能を満載して WHO を偽装する

New stealthy Nerbian RAT malware spotted in ongoing attacks

2022/05/11 BleepingComputer — Nerbian RAT と呼ばれる、新たなリモート・アクセス型トロイの木馬が発見された。この RAT は、研究者による検出や分析を回避する機能などの、豊富な機能を備えていることが判明している。この新しいマルウェアの亜種は、Golang で書かれているため、クロス・プラットフォームの 64 Bit 脅威となっており、現時点においてはマクロが混入された文書の添付ファイルを使用した、小規模な電子メール配信キャンペーンにより配布されている。この電子メール・キャンペーンは、Proofpoint の研究者たちが発見したものであり、同社は Nerbian に関するレポートも発表している。

西側諸国がロシアを批判：Viasat が運営する KA-SAT 衛星ネットワークへのサイバー攻撃

E.U. Blames Russia for Cyberattack on KA-SAT Satellite Network Operated by Viasat

2022/05/11 TheHackerNews — オーストラリア／カナダ／ニュージーランド／英国／米国からなる Five Eyes 諸国と、ウクライナと、欧州連合は、国際衛星通信 (SATCOM) プロバイダーへの攻撃を首謀し、欧州全体に影響を及ぼしたとして、ロシアを正式に非難した。2022年2月24日にクレムリンがウクライナに軍事侵攻する１時間前に、このサイバー攻撃は行われ、通信会社 Viasat が運営する KA-SAT 衛星ネットワークを標的とし、中央ヨーロッパの風力発電所とインターネット・ユーザーの業務を麻痺させた。

CISA 警告 5/10：F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 を KEV リストに追加

CISA tells federal agencies to fix actively exploited F5 BIG-IP bug

2022/05/11 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されるバグのリストに、BIG-IP ネットワーク・デバイスに深刻な影響を与える、脆弱性 CVE-2022-1388 を新たに追加した。BIG-IP ソリューションを使用する F5 の顧客の中には、連邦政府機関／Fortune 500 企業／銀行／サービス・プロバイダ／コンシューマ・ブランド (Microsoft／Oracle／Facebook など) が含まれているが、同社は Fortune 50 のうちの 48社が F5ユーザーだとしている。

Microsoft Windows における NTLM ゼロデイ脆弱性が FIX：ドメインを乗っ取りの可能性

Microsoft fixes new NTLM relay zero-day in all Windows versions

2022/05/10 BleepingComputer — Microsoft は、未認証の攻撃者がリモートから悪用し、Windows NT LAN Manager (NTLM) セキュリティ・プロトコルを介して、ドメイン・コントローラに強制的に認証させるという、Windows LSA スプーフィングのゼロデイ脆弱性に積極的に対処している。この LSA (Local Security Authority) とは、ローカル・セキュリティ・ポリシーを実施し、ローカル／リモートでのサインイン時にユーザーを認証する、保護された Windows サブシステムのことである。

F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 が FIX：デバイスの消去も起こり得る

Critical F5 BIG-IP vulnerability exploited to wipe devices

2022/05/10 BleepingComputer — 先日に公開された F5 BIG-IP の脆弱性は、デバイスのファイル・システムを消去し、サーバを使用不能にするという、破壊的な攻撃に悪用されかねないものである。先週に F5 は、脆弱性 CVE-2022-1388 を公開し、リモート攻撃者が認証なしで BIG-IP ネットワーク・デバイス上で、root としてコマンドを実行できる問題を示した。このバグは極めて深刻であるため、F5 は管理者に対して、可能な限り早急にアップデートを適用するよう促している。

F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 が FIX：bash を狙ったバックドア展開が多発

Hackers exploiting critical F5 BIG-IP flaw to drop backdoors

2022/05/09 BleepingComputer — F5 BIG-IP の、すべてのモジュールの複数のバージョンに影響を与える、深刻な脆弱性の悪用に成功した攻撃者たちが、悪意のペイロードをドロップするという脅威が大量に発生し始めている。先週に F5 は、BIG-IP iControl の REST 認証コンポーネントに影響を及ぼす、脆弱性 CVE-2022-1388 (CVSS：9.8) に対するパッチをリリースした。

新たなマルウェアを検出：Windows イベントログにシェルコードを隠す高度なスティルス性

Malware campaign hides a shellcode into Windows event logs

2022/05/07 SecurityAffairs — 2022年2月に Kaspersky の研究者たちは、Windows イベントログにシェルコードを隠すという、新しいテクニックを用いた悪意のキャンペーンを発見した。このテクニックにより、ファイル無しのトロイの木馬を隠すことが可能となる。また、専門家たちは、Event Tracing (ETW) と Anti-Malware Scan Interface (AMSI) に関連する、Windows ネイティブ API 関数にパッチを当てることで、その Dropper モジュールも検出を避けていたことに気づいた。

Anonymous と Ukraine IT Army の継続的な攻撃：ロシアの政府機関などのデータをリーク

Anonymous and Ukraine IT Army continue to target Russian entities

2022/05/06 SecurityAffairs — Anonymous の集団は、ロシアの企業や政府組織に対するサイバー戦争を継続している。以下は、同集団に標的とされた組織の最新リストであり、盗まれたデータは DDoSecrets プラットフォームを介して流出している。

ハッカー御用達の PrivateLoader 課金サービス：高度な NetDooka バックドアが展開されている

Hackers Using PrivateLoader PPI Service to Distribute New NetDooka Malware

2022/05/06 TheHackerNews — PrivateLoader という PPI (pay-per-install) マルウェア・サービスが、NetDooka という極めて高度なフレームワークを配布し、攻撃者が感染させたデバイスを完全にコントロールしている状況が発見された。木曜日に Trend Micro は、「このフレームワークは、PPI サービスを通じて配布され、ローダー／ドロッパー／保護ドライバーだけではなく、独自のネットワーク通信プロトコルを実装した、フル機能の RAT (remote access trojan) といった、複数のツールを含んでいる」と、レポートの中で述べている。

REvil の復活は本物：新たなマルウェア・サンプルから確認された継承の証拠とは？

REvil ransomware returns: New malware sample confirms gang is back

2022/04/30 BleepingComputer — ロシアと米国の緊張が高まる中、ランサムウェア REvil が、新たなインフラの構築と、暗号化方式の変更により、より標的を絞った攻撃を目論みながら再登場した。2021年10月に法的執行機関は、REvil ランサムウェア・ギャングの Tor サーバーを乗っ取り、その後に、ロシア当局によりメンバーが逮捕され、活動を停止した。しかし、ウクライナ侵攻の後に、米国は REvil ギャングに関する交渉プロセスから撤退し、通信手段を閉じたと、ロシア側は表明している。

OpenSSF の新プロジェクトが実用段階に：OSS リポジトリから悪意のパッケージを探し出す

New OpenSSF Project Hunts for Malicious Packages in Open Source Repositories

2022/04/29 SecurityWeek — Open Source Security Foundation (OpenSSF) が発表した新しいプロジェクトとは、オープンソース・リポジトリ内の悪意のパッケージの特定を、支援することを目的とするものだ。OpenSSF によると、この Package Analysis プロジェクトは、オープンソース・パッケージの挙動と機能 (アクセスするファイル／サポートするコマンド／接続する IP など) を特定し、疑わしい活動を明らかにし、変更を追跡することを目的としている。

JPCERT の EmoCheck が Emotet 64-bit に対応：簡単な操作でマルウェアを検出

EmoCheck now detects new 64-bit versions of Emotet malware

2022/04/28 BleepingComputer — 今月から感染が検出され始めたマルウェア Emotet の、64 Bit 版を検出するユーティリティ EmoCheck の新バージョンが、JPCERT からリリースされた。Emotet は、Word・Excel 文書／Windows ショートカット／ISO ファイル／パスワードで保護されたZIPファイルなどの、悪意の添付ファイルを含んだフィッシング・メールを介して、最も活発に配布されているマルウェアの１つである。これらのフィッシング・メールは、返信用チェーンメール／出荷通知／税務書類／会計報告書／ホリデーパーティ招待状などによりユーザーを騙し、ファイルを開かせるための独創的な誘い文句を使用している。

Bumblebee という新たなマルウェア：TrickBot／BazaLoader 系で最凶か？

Cybercriminals Using New Malware Loader ‘Bumblebee’ in the Wild

2022/04/28 TheHackerNews — これまでマルウェア・キャンペーンにおいて、サイバー犯罪者たちが BazaLoader と IcedID を配信してきたことは確認されているが、現在では Bumblebee という、活発に開発されている新しいローダーに移行したと言われている。エンタープライズ・セキュリティ企業である Proofpoint が The Hacker News と共有したレポートには、「Bumblebee が脅威の現場に現れたタイミングや、複数のサイバー犯罪グループにより使用されていることから、BazaLoader の直接の代替品ではないにしても、他のマルウェアを好んでいた脅威アクターたちが好んで使用する、新しい多機能ツールが登場したと思われる」と記されている。

Google Play 2021年の奮闘記：120 万件の悪質アプリをブロックしたけど・・・

1.2 Million Bad Apps Blocked From Reaching Google Play in 2021

2022/04/28 SecurityWeek — 2021年の Google は、Google Play にエントリーされた、120万件の悪質なアプリをブロックしたと主張している。しかし、依然としてサイバー犯罪者たちは、公式 Android アプリ・ストアを介して、マルウェアを配信する方法を見つけ出そうとしている。水曜日に Google が共有したデータによると、同社の自動化されたシステムにより、ポリシー違反アプリ 120万件がブロックされ、Google Play への公開が阻止され、数十億件の有害なインストールが防止されたようだ。

ドイツの風力発電機大手 Deutsche Windtechnik：標的型サイバー攻撃に遭う

Wind Turbine giant Deutsche Windtechnik hit by a professional Cyberattack

2022/04/27 SecurityAffairs — ドイツの風力発電機大手 Deutsche Windtechnik は、今月の上旬に同社システムの一部が、標的型プロフェッショナル・サイバー攻撃を受けたと発表した。この攻撃は 4月11日から12日の夜間にかけて行われ、同社はセキュリティ上の理由から、風力タービンへのリモート・データ・モニタリング接続を停止した。2日後に接続が再開されたが、同社は風力タービンに被害はなく、危険な状態にはならなかったと述べている。

Conti の活動がピーク値に戻る：逆リークを跳ね除けて被害者を増やしている？

Conti ransomware operations surge despite the recent leak

2022/04/27 SecurityAffairs — Secureworks の研究者たちは、ロシアを拠点とする脅威アクター Gold Ulrick として追跡されている Conti ランサムウェアについて、内部活動に関するデータリークにもかかわらず、活発に活動し続けていると述べている。このグループの、通信内容／ソースコード／運用情報などが公開されたが、その活動は 2021年に記録したピーク・レベルへと戻っている。

Emotet の新戦術：Windows ショートカット・ファイル内の PowerShell を介して展開される

Emotet malware now installs via PowerShell in Windows shortcut files

2022/04/26 BleepingComputer — 現時点における Emotet ボットネットは、PowerShell コマンドを取り込んだ Windows ショートカット・ファイル (.LNK) を介して、被害者のコンピュータを感染させるという戦術をとっている。つまり、現在はデフォルトで無効になっている Microsoft Office マクロから、新たな作戦へと移行している。これまでも、Emotet は Visual Basic Script (VBS) と .LNK ファイルを組み合わせて、ペイロードをダウンロードするコマンドを構築したので、Windows ショートカットの使用は目新しいものではない。しかし、それにより PowerShell コマンドを、ダイレクトに実行したのは今回が初めてとなる。

Log4Shell の現状調査：いまだに山積する問題と解決できない理由とは？

Public interest in Log4Shell fades but attack surface remains

2022/04/25 BleepingComputer — Apache Log4j ライブラリに存在する、深刻なゼロデイ脆弱性 Log4Shell が発見されてから４ヶ月が経過したが、利用可能なはずの修正プログラムの適用が、依然として大幅に遅れていることを、脅威アナリストたちは警告している。世間の関心と情報セキュリティ・コミュニティの焦点は、より新しい脆弱性の悪用などに移っているが、Log4Shell は引き続き大規模な問題であり、重大なセキュリティ・リスクであることに変わりはない。

Emotet の新たな戦略：Microsoft による VBA マクロ制限への対抗策を試している？

Emotet Testing New Delivery Ideas After Microsoft Disables VBA Macros by Default

2022/04/25 TheHackerNews — 大量の Emotet ボットネットを振りまく脅威アクターは、大規模な Malspam キャンペーンに取り込むための、新しい攻撃手法を小規模にテストしており、Microsoft が VBA マクロをデフォルトで無効にしたことに対して、素早く反応している可能性が浮上している。ProofPoint は、このグループの新しい活動を、典型的な行動からの逸脱だと指摘している。つまり、マルウェアを配布するための最新のフィッシング・メールは、典型的な大規模メール・キャンペーンと並行して、より選択的かつ限定的な攻撃を行うものだという、新たな視点を提起している。

VMware の深刻な RCE 脆弱性 CVE-2022-22954：イランからのバックドア展開を検出

Iranian Hackers Exploiting VMware RCE Bug to Deploy ‘Core Impact’ Backdoor

2022/04/25 TheHackerNews — 先日にパッチが適用された VMware の脆弱性を悪用する、Rocket Kitten というイランに関連する脅威アクターが、脆弱なシステムにイニシャル・アクセスを仕掛け、Core Impact ペンテスト・ツールを展開する様子が観察されている。この深刻な脆弱性 CVE-2022-22954 (CVSS：9.8) は、VMware Workspace ONE Access and Identity Manager に影響を与える、リモートコード実行 (RCE) の欠陥に起因するものだ。

VMware のレポート Modern Bank Heists：金融機関への破壊的な攻撃が増加

Financial leaders grappling with more aggressive and sophisticated attack methods

2022/04/21 HelpNetSecurity — VMware が発行したレポートは、金融業界のトップ CISO やセキュリティ・リーダーを対象に、サイバー犯罪カルテルの行動変化と、金融業界の守りのシフトについてまとめたものだ。このレポートによると、高度なサイバー犯罪組織の活動は、振り込め詐欺にとどまらず、市場戦略や証券口座の乗っ取りや、アイランド・ホッピングなどへと進化を遂げている。したがって、金融機関は破壊的な攻撃の増加に直面し、ランサムウェアの被害についても、過去数年に比べて増えていることが明らかになった。

T-Mobile の内部システムを Lapsus$ がハッキング：盗み出された認証情報で侵入？

T-Mobile confirms Lapsus$ hackers breached internal systems

2022/04/21 BleepingComputer — T-Mobile が確認したことは、恐喝組織 Lapsus$ が盗んだ認証情報を使って、数週間前に同社のネットワークに侵入し、内部システムにアクセスしたことである。T-Mobile は、セキュリティ侵害を発見した後に、このサイバー犯罪グループによるネットワークへのアクセスを遮断し、ハッキングに用いられた認証情報を無効にしたと付け加えている。また、このインシデントで、Lapsus$ で顧客や政府の機密情報を盗むことはなかったという。

Linux 上の Docker API 狙う暗号マイナー・マルウェア Lemon_Duck とは？

Docker servers hacked in ongoing cryptomining malware campaign

2022/04/21 BleepingComputer — Linux サーバ上の Docker API が、Lemon_Duck ボットネット・オペレーターによる、大規模な Monero 暗号キャンペーンの標的になっている。このクリプトマイニング・マイニング集団は、セキュリティが不十分な Docker システムや、ミス・コンフィグレーションのある Docker システムにとって常に脅威であり、近年では複数の大規模なエクスプロイト・キャンペーンが報告されている。

Microsoft Exchange をハックする Hive ランサムウェア：新たな攻撃手法で被害を拡大

Microsoft Exchange servers hacked to deploy Hive ransomware

2022/04/20 BleepingComputer — Hive ランサムウェアのアフィリエイトが、ProxyShell のセキュリティ問題に対して脆弱な Microsoft Exchange サーバーを標的として、Cobalt Strike ビーコンなどの様々なバックドアを展開している。この脅威アクターは、そこからネットワークを偵察し、管理者アカウントの認証情報を盗み、貴重なデータを流出させ、最終的にはファイル暗号化ペイロードを展開する。この情報は、セキュリティ分析を行う Varonis が、同社の顧客に対するランサムウェア攻撃を調査した際に得られたものである。

サイバー攻撃の初期感染：脆弱性悪用とサプライチェーン侵害が 50% 以上を占める

More Than Half of Initial Infections in Cyberattacks Come Via Exploits, Supply Chain Compromises

2022/04/20 DarkReading — Mandiant が実施した Incident Response (IR) 調査の最新レポートによると、攻撃者が被害者のネットワーク上で検知されずにいる日数は４年連続で減少し、2020年の 24日間から 2021年の 21日間へと短縮していることが明らかになった。この、Mandiant の IR 事例によると、最も危険な攻撃を素早く見つけるための検知能力は高まり、ランサムウェアは平均５日以内に検知され、ランサムウェア以外の攻撃は 2020年の45日間から 2021年の36日間へと短縮され、アクティブな状態を維持しているとのことだ。