英 Royal Mail の国際郵便が止まった:LockBit ランサムウェアが脅迫を開始

LockBit ransomware operation behind the Royal Mail cyberattack

2023/01/13 SecurityAffairs — 英国で国際的な郵便と宅配を担う Royal Mail が、 サイバー。インシデントにより業務が深刻な事態に陥っていることを発表した。このインシデントは、Royal Mail の国際輸出サービスにだけに影響を与えているものであり、一時的に海外への商品発送が不能になったと、同社は述べている。攻撃の詳細については明らかにされていないが、その業務を復旧させるために、同社は 24時間体制で取り組んでいるとしている。

Continue reading “英 Royal Mail の国際郵便が止まった:LockBit ランサムウェアが脅迫を開始”

Cuba ランサムウェアも Exchange 侵害に参戦:Microsoft が警告する OWASSRF 欠陥とは?

Microsoft: Cuba ransomware hacking Exchange servers via OWASSRF flaw

2023/01/12 BleepingComputer — Microsoft によると、Cuba ランサムウェア/ギャングも、Exchange サーバに存在する深刻なサーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性を悪用して、Play ランサムウェア攻撃と同様に侵害を繰り返しているようだ。 先日には、この脆弱性 CVE-2022-41080 を悪用する Play ランサムウェアが、 OWASSRF ゼロデイと呼ばれる攻撃により、ProxyNotShell URL リライト緩和策をバイパスした後に、Rackspace ネットワーク上のパッチ未適用の Microsoft Exchange サーバを侵害している。

Continue reading “Cuba ランサムウェアも Exchange 侵害に参戦:Microsoft が警告する OWASSRF 欠陥とは?”

Microsoft と Rackspace:Exchange の ProxyNotShell 緩和策回避を巡って衝突?

Rackspace: Ransomware Attack Bypassed ProxyNotShell Mitigations

2023/01/05 DarkReading — マネージド・クラウド・ホスティングを提供する Rackspace Technology は、12月2日に発生した大規模なランサムウェア攻撃により、中小企業の顧客数千社のメール・サービスに障害が発生したことを発表した。その要因は、Microsoft Exchange Server におけるサーバー・サイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2022-41080 を悪用するゼロデイ攻撃にあるという。

Continue reading “Microsoft と Rackspace:Exchange の ProxyNotShell 緩和策回避を巡って衝突?”

Exchange Server の脆弱性 ProxyNotShell:60,000 台以上のサーバがパッチ未適用

Over 60,000 Exchange servers vulnerable to ProxyNotShell attacks

2023/01/03 BleepingComputer — オンラインに晒されてされている 60,000 台以上の Microsoft Exchange Server において、ProxyNotShell の1つであるリモート・コード実行 (RCE) の脆弱性 CVE-2022-41082 への、パッチが適用されていないことが判明した。インターネット・セキュリティの向上を目指す、非営利団体 Shadowserver Foundation のセキュリティ研究者たちの最新ツイートによると、バージョン情報 (サーバの x_owa_version ヘッダ) の追跡により、約 70,000 台の Microsoft Exchange Server が、ProxyNotShell 攻撃に対して脆弱であることが判明した。

Continue reading “Exchange Server の脆弱性 ProxyNotShell:60,000 台以上のサーバがパッチ未適用”

2022年のランサムウェア攻撃:米国での被害は政府/教育/医療など 200件

Ransomware impacts over 200 govt, edu, healthcare orgs in 2022

2023/01/02 BleepingComputer — 2022年のランサムウェア攻撃は、米国の政府/教育/医療などのパブリックな分野における、200以上の大規模組織に影響を与えた。情報源としての、公開レポート/開示ドキュメント/ダークウェブ・リーク/サードパーティなどから収集したデータによると、これらのランサムウェア攻撃の約半分において、ハッカーたちはデータを盗み出していたことが判明した。

Continue reading “2022年のランサムウェア攻撃:米国での被害は政府/教育/医療など 200件”

LockBit が謝罪:ポリシー違反のアフィリエイトが医療機関 SickKids を攻撃した件について

Lockbit apologized for the attack on the SickKids pediatric hospital and releases a free decryptor

2023/01/01 SecurityAffairs — ランサムウェア・グループ LockBit は、Hospital for Sick Children (SickKids) への攻撃について正式に謝罪し、同病院向けの復号器を無償で公開した。このグループはアフィリエイターたちに対して、医療機関への攻撃を禁止している。つまり、サイバー攻撃の被害が個人の死につながる可能性がある場合には、対象となる組織のシステムの暗号化を禁じるというポリシーを持っている。そのアフィリエイトの1つが、この規則に違反して SickKids を攻撃したことで、ブロックされたと、LockBit は述べている。

Continue reading “LockBit が謝罪:ポリシー違反のアフィリエイトが医療機関 SickKids を攻撃した件について”

医療機関へのランサムウェア攻撃:米国の 4200万人分の情報がダークウェブへ

Personal health information of 42M Americans leaked between 2016 and 2021

2022/12/31 SecurityAffairs — 2016年以降において、4200万人のアメリカ人の医療記録がダークウェブで販売されている。これらの情報は、医療機関へのサイバー攻撃により窃取されたものである。Jama Network の研究者たちは、米国の病院/診療所/医療提供組織に対する、2016年〜2021年のランサムウェア攻撃の傾向を分析した。攻撃による一般的な業務上の混乱としては、予約と手術のキャンセル/電子システムのダウンタイム/救急車の迂回などがあった。研究者たちは、業務上の混乱期間と、攻撃に関連する、その他のデータを算出した。

Continue reading “医療機関へのランサムウェア攻撃:米国の 4200万人分の情報がダークウェブへ”

FIN7 ハッキング・グループの正体:Exchange を SQL インジェクションで自動攻撃

FIN7 hackers create auto-attack platform to breach Exchange servers

2022/12/22 BleepingComputer — ハッキング・グループ FIN7 は、Microsoft Exchange に存在する SQL インジェクションの脆弱性を悪用した自動攻撃システムにより、企業ネットワークに侵入してデータを盗み出し、財務規模に基づいてランサムウェア攻撃のターゲットを選定している。この自動攻撃システムは、数年前から FIN7 の活動を注意深く監視してきた、Prodaft の脅威インテリジェンス・チームにより発見されたものだ。

Continue reading “FIN7 ハッキング・グループの正体:Exchange を SQL インジェクションで自動攻撃”

Exchange Server を攻撃する Play ランサムウェア:ProxyNotShell の緩和策をバイパス

Play ransomware attacks use a new exploit to bypass ProxyNotShell mitigations on Exchange servers

2022/12/21 SecurityAffairs — Crowdstrike によると、Play ランサムウェアの運営者は OWASSRF と呼ばれる新しいエクスプロイト・チェーンを用いて、ProxyNotShell 脆弱性に対する緩和策をバイパスすることで、Microsoft Exchange サーバをターゲットにしているようだ。この脆弱性の悪用に成功した認証済の攻撃者は、Exchange Server 2013/2016/2019 で権限を昇格を行い、そのシステムのコンテキストで PowerShell を実行し、脆弱なサーバ上で任意コード実行またはリモートコード実行の可能性を生じるという。

Continue reading “Exchange Server を攻撃する Play ランサムウェア:ProxyNotShell の緩和策をバイパス”

Rust への移行を進める Agenda ランサムウェア:検出と解析を困難にする亜種

Agenda Ransomware Switches to Rust to Attack Critical Infrastructure

2022/12/16 InfoSecurity — Agenda ランサムウェア・グループは、プログラミング言語 Rust で記述した新しいマルウェアにより、複数の企業に侵入している。Trend Micro の研究者たちは、この新たなキャンペーンを発見し、「この脅威アクターは、企業のサーバへの侵入を主張するだけではなく、その窃取したファイルを公開すると脅している」と述べている。

Continue reading “Rust への移行を進める Agenda ランサムウェア:検出と解析を困難にする亜種”

LockBit がカリフォルニア州政府を攻撃:76GB のデータを盗んだと主張

California Hit By Cyber-Attack, LockBit Claims Responsibility

2022/12/13 InfoSecurity — 月曜日にカリフォルニアの Cybersecurity Integration Center (Cal-CSIC) は、同州の財務局がサイバー攻撃を受けたことを公表した。Cal-CSIC のブログよると、この攻撃は、州/連邦政府のセキュリティ・パートナーとの連携により発見されたという。公表された声明には、「この脅威を特定した後に、デジタル・セキュリティ/オンライン脅威ハンターの専門家たちが迅速に配備され、侵入の範囲を評価し、将来の脆弱性を評価/抑制/緩和した」と記されている。

Continue reading “LockBit がカリフォルニア州政府を攻撃:76GB のデータを盗んだと主張”

Rackspace の Hosted Exchange にランサムウエア攻撃:M 365 への退避などで対応

Rackspace warns of phishing risks following ransomware attack

2022/12/09 BleepingComputer — 12月8日 (木) にクラウド・コンピューティング・プロバイダーの Rackspace は、同社の Microsoft Exchange ホスティング環境がランサムウェア攻撃を受けたことを受け、フィッシング攻撃のリスクが高まっていると、顧客に警告を発した。同社では、いまも調査が継続されており、影響を受けたシステムの復旧に取り組んでいるが、サイバー犯罪者が、このインシデントを悪用する可能性もあるとしている。

Continue reading “Rackspace の Hosted Exchange にランサムウエア攻撃:M 365 への退避などで対応”

Cryptonite というランサムウェア・ツールキット:誤ってワイパー型マルウェアに豹変

Open Source Ransomware Toolkit Cryptonite Turns Into Accidental Wiper Malware

2022/12/06 TheHackerNews — Cryptonite と呼ばれるオープンソースのランサムウェア・ツールキットだが、その構造とプログラミングの問題により、ワイパー機能を持つことが判明した。Cryptonite は、他のランサムウェア系統とは異なり、サイバー犯罪者の地下マーケットでは販売されていない。その代わりに、最近まで CYBERDEVILZ という脅威アクターが、GitHub リポジトリで無料で提供していた。このソースコードとフォークは、その後に削除されている。

Continue reading “Cryptonite というランサムウェア・ツールキット:誤ってワイパー型マルウェアに豹変”

FBI/CISA/HHS 共同警告:ランサムウェア Hive の被害額が約 $100M に到達

Hive Ransomware Has Made $100m to Date

2022/11/18 InfoSecurity — 昨日に FBI/CISA/HHS (Health and Human Services) が発表した共同警告によると、ランサムウェア亜種 Hive は、これまでに 1,300以上のグローバル企業から約 $100 million の利益を得ているという。この推定利益は、2021年6月に Hive が発見されてから、約15カ月の間に発生したものだ。被害組織は、政府/通信/主要な製造業/IT企業 など多岐にわたるが、特に医療機関へ攻撃が集中しているようだ。

Continue reading “FBI/CISA/HHS 共同警告:ランサムウェア Hive の被害額が約 $100M に到達”

LockBit が引き続きトップの座:Trellix の 2022年 Q3 サイバー脅威レポート

LockBit Remains Most Prolific Ransomware in Q3

2022/11/16 InfoSecurity — Trellix の最新レポートによると、2022年 Q3 に最も広まった LockBit ランサムウェアの亜種が、全体的な検出数の 5分の1以上 (22%) を占めたとのことだ。脅威インテリジェンス・ベンダーである Trellix は、センサーネット・ワークからのデータ/オープンソース・インテリジェンス/Trellix Advanced Research Center などから得たデータを調査/分析し、The Threat Report: Fall 2022 を編纂している。

Continue reading “LockBit が引き続きトップの座:Trellix の 2022年 Q3 サイバー脅威レポート”

ウクライナ CERT 対 ロシア IAB:新たなデータワイパー・キャンペーンの発見と追跡

Ukrainian CERT Discloses New Data-Wiping Campaign

2022/11/14 InfoSecurity — ウクライナのサイバー専門家たちが発見したのは、ロシアの脅威アクターと思われる者が、被害者の VPN アカウントを侵害し、ネットワーク・リソースへのアクセスや暗号化を実行するという、新たな攻撃キャンペーンの存在である。同国の CERT-UA (Computer Emergency Response Team) が発した新たな声明は、UAC-0118 として追跡されている FRwL (別名 Z-Team) により、ランサムウェア Somnia が使用されているというものだ。

Continue reading “ウクライナ CERT 対 ロシア IAB:新たなデータワイパー・キャンペーンの発見と追跡”

ランサムウェアとサイバー保険の関係:カバー率は 30% に過ぎないという調査結果

Only 30% of Cyber-Insurance Holders Say Ransomware is Covered

2022/11/11 InfoSecurity — Delinea の最新調査によると、保険金請求者への支払額が急増しているため、サイバー保険プロバイダーたちは、保険の適用範囲を限定しているとのことだ。セキュリティ・ベンダーである Delinea は、最新レポート Cyber-insurance: if you get it be ready to use it を作成するために、米国に拠点を置く IT 意思決定者 300人を対象に調査を実施した。

Continue reading “ランサムウェアとサイバー保険の関係:カバー率は 30% に過ぎないという調査結果”

Conti は死んでいない:Black Basta/BlackByte へのリブランドと欧米インフラへの攻撃

Conti Affiliates Black Basta, BlackByte Continue to Attack Critical Infrastructure

2022/11/08 InfoSecurity — 2022年の2月末から 7月中旬にかけて、BlackByte と Black Basta のデータ漏洩サイトに 81件の被害者組織が掲載された。そのうち 41% は欧州に拠点を置いており、大半がエネルギー/政府/運輸/製薬/施設/食品/教育などの主要インフラ分野に属している。残りの 59% は主に米国にあり、農業機械メーカー/小規模食料品チェーン/建設会社などの、複数の被害者が含まれている。

Continue reading “Conti は死んでいない:Black Basta/BlackByte へのリブランドと欧米インフラへの攻撃”

サイバー保険市場の動向:顧客のセキュリティ意識の向上が安定を導く

Cyber Insurance Market Stabilizing as Security Awareness Improves

2022/11/07 InfoSecurity — Risk Strategies の State of the Market 2022 Update によると、サイバー保険市場は、数年にわたる急激な料率上昇を経て、安定し始めているとのことだ。この保険代理店は、適切な条件の下において、2023年には料率の上昇が 10%~25% の範囲に減速する可能性があると予測している。つまり、2022年 Q1〜Q2 には平均で 50% の料率上昇があり、Q3 には 30%-40% に減速しているが、その傾向が続くとしている。

Continue reading “サイバー保険市場の動向:顧客のセキュリティ意識の向上が安定を導く”

Medibank にランサムウェア攻撃が発生:オーストラリア保険大手への脅迫が始まった

Ransomware gang threatens to release stolen Medibank data

2022/11/07 BleepingComputer — オーストラリアの医療保険会社 Medibank Private Limited に対する、10月のランサムウェア攻撃については、REvil の再始動と推測する説もあるが、BlogXX として追跡されているランサムウェア・グループが犯行を主張している。 Medibank は、オーストラリア最大の民間医療保険会社の1つであり、390 万人以上をカバーし、4,000人の従業員を擁している。これまでの Medibank への攻撃は、特定のランサムウェア・グループに起因するものとはされてなかった。しかし、今回の攻撃においては、同社のネットワーク上で観測された悪質な活動が、あるランサムウェアの活動に一致することが確認された。

Continue reading “Medibank にランサムウェア攻撃が発生:オーストラリア保険大手への脅迫が始まった”

LockBit 3.0 がタイマーをセット:Kearney & Company に身代金 $2M を要求

LockBit 3.0 gang claims to have stolen data from Kearney & Company

2022/11/06 SecurityAffairs — Kearney & Company は、政府機関向けに財務管理全般のサービスを提供する、最高峰の公認会計士事務所である。具体的に言うと、同社は米国政府に対して監査/コンサルティング/IT サービスを提供し、連邦政府全体における財務業務の有効性と効率性の向上に貢献している。

Continue reading “LockBit 3.0 がタイマーをセット:Kearney & Company に身代金 $2M を要求”

Microsoft の 2022 Digital Defense Report:ゼロデイ脆弱性を悪用する攻撃が急増している

Microsoft Warns of Uptick in Hackers Leveraging Publicly-Disclosed 0-Day Vulnerabilities

2022/11/05 TheHackerNews — Microsoft が警告するのは、公表されたゼロデイ脆弱性を国家や犯罪者が利用し、標的の環境を侵害するケースが増加していることだ。Microsoft は、114 ページにも及ぶ Digital Defense Report の中で、「脆弱性の発表から、その脆弱性が商品化されるまでの時間が、明らかに短縮されている」と述べている。したがって、ユーザー組織にとっては、このような脆弱性にタイムリーにパッチを当てることが不可欠であると指摘している。

Continue reading “Microsoft の 2022 Digital Defense Report:ゼロデイ脆弱性を悪用する攻撃が急増している”

LockBit のハッキング主張:自動車部品グループ Continental のデータを窃取

LockBit Claims Ransomware Attack on Continental

2022/11/04 InfoSecurity — ハッキング・グループ LockBit は、この8月に多国籍自動車グループ Continental にサイバー攻撃を仕掛けたと主張している。11月2日に LockBit は、リークサイトにおいて発表を行い、11月4日までの間に身代金が支払われなければ、Continental のデータを公開すると脅している。ダークウェブのブログ記事によると、Continental のネットワークから盗み出したデータの内容や、侵入の記事については、詳細を明らかにしていないとのことだ。

Continue reading “LockBit のハッキング主張:自動車部品グループ Continental のデータを窃取”

Microsoft の 2022 Digital Defence Report:ロシア対ウクライナのハイブリッド戦争の影響

“Disturbing” Rise in Nation State Activity, Microsoft Reports

2022/11/04 InfoSecurity — Microsoft の Corporate VP, Customer Security & Trust である Tom Burt は、11月3日に開催されたオンライン・プレス・ブリーフィングにおいて、2022 Microsoft Digital Defence Report (MDDR) について説明し、国家による攻撃的なサイバー活動が、この1年の間に劇的に増加していると述べている。

Continue reading “Microsoft の 2022 Digital Defence Report:ロシア対ウクライナのハイブリッド戦争の影響”

Deep Instinct の 2022 ランサムウェア・レポート:Conti の残像と LockBit の台頭

LockBit Dominates Ransomware Campaigns in 2022: Deep Instinct

2022/11/01 InfoSecurity — 2022年 Q1/Q2/Q3 におけるランサムウェア・キャンペーンでは、全体の 44% を LockBit RaaS グループが占めることになった。それに続くのが、Conti (23%)/Hive (21%)/Black Cat (7%)/Conti Splinters (5%) などであり、Quantum/Black Basta/Black Byte などの脅威アクター・グループで構成されるものだ。この数字は、Deep Instinct のレポートである 2022 Interim Cyber Threat Report をベースにしたものだ。

Continue reading “Deep Instinct の 2022 ランサムウェア・レポート:Conti の残像と LockBit の台頭”

大阪急性期総合医療センターにランサムウェア攻撃:電子カルテ・システムに障害

Osaka Hospital Halts Services After Ransomware Attack

2022/11/01 InfoSecurity — 大阪の主要な病院である大阪急性期総合医療センターが、ランサムウェアのサイバー攻撃により電子カルテ・システムを破壊され、通常の医療サービスを停止している。救急医療は継続して行われているが、同センターの職員は記者団に対し、10月31日未明に病院のシステムに障害が発生し、アクセスできなくなったと語っている。

Continue reading “大阪急性期総合医療センターにランサムウェア攻撃:電子カルテ・システムに障害”

KELA のダークウェブ調査:2022 Q3 の IAB 市場規模は $4M で対象は 576社

Hackers selling access to 576 corporate networks for $4 million

2022/10/31 BleepingComputer — 世界の 576社の企業ネットワークへのアクセス権を販売する、ハッカーたちのビジネスの累計額が $4,000,000 に達しており、企業への攻撃に拍車が掛かることが、新たなレポートで明らかになった。この調査は、イスラエルのサイバー・インテリジェンス企業である KELA が、Q3 2022 Ransomware Report としてを発表したものであり、イニシャル・アクセス販売の分野の活動は一定であるが、提供額の高騰が判明しているとのことだ。

Continue reading “KELA のダークウェブ調査:2022 Q3 の IAB 市場規模は $4M で対象は 576社”

SonicWall ランサムウェア統計 2022 Q3:米国は 51% 減で APAC は 56% 増

Ransomware Threat Shifts from US to EMEA and APAC

2022/10/26 InfoSecurity — SonicWall の 2022 Threat Mindset Survey によると、2022年 Q3 におけるランサムウェアの検出量は、過去2年間で最低となり、米国の組織への攻撃が衰退した。しかし、その他の地域での標的が、拡大していることも判明している。セキュリティ・ベンダーである SonicWall は、200カ国以上に展開された、100万個以上のセキュリティ・センサーなどを用いた独自の脅威検知ネットワークにより、こうした現状を明らかにしている。

Continue reading “SonicWall ランサムウェア統計 2022 Q3:米国は 51% 減で APAC は 56% 増”

Deadbolt 感染が 674% の急増:止まらない QNAP ユーザーへの攻撃

Deadbolt Ransomware Extorts Vendors and Customers

2022/10/19 InfoSecurity — 今年のトピックとして、NAS デバイスを標的としたランサムウェアが多発し、ベンダーとエンド・ユーザーの両方を恐喝して収益を得ていることが、新しい報告書により明らかになった。Group-IB の調査レポート Deadbolt ransomware: nothing but NASty は、今年に出現した、このマルウェアのサンプル分析に基づくものだ。いまも進行している Deadbolt キャンペーンでは、ゼロデイ脆弱性を最初のアクセス/攻撃ベクターとして悪用し、SMB/学校/個人ユーザーなどが所有する、台湾のベンダー QNAP の NAS デバイスを標的としている。

Continue reading “Deadbolt 感染が 674% の急増:止まらない QNAP ユーザーへの攻撃”

Ransom Cartel という新たな脅威:REvil ランサムウェアとの類似点を列挙

Ransom Cartel linked to notorious REvil ransomware operation

2022/10/18 BleepingComputer — 研究者たちは、新種のランサムウェア Ransom Cartel オペレーションを、暗号化器のコードの類似性に基づき、REvil ギャングと関連付けている。REvil は 2021年前半に頂点に達し、Kaseya MSP サプライチェーン攻撃で数千の企業を危険にさらし、コンピューター・メーカー Acer に $50 million の支払いを要求し、また、リリース前に盗み出したデバイスの設計図を使って Apple を恐喝している。ランサムウェア・ギャング REvil は、法執行機関からの強い圧力を受け、2021年10月に閉鎖された。そして、2022年1月にロシア当局は、このギャングのメンバー8人を逮捕し、金銭の差し押さえ、告訴を発表した。しかし 2021年12月には、REvil マルウェアとコードの類似性を持つ Ransom Cartel が、新しいランサムウェア活動が開始している。

Continue reading “Ransom Cartel という新たな脅威:REvil ランサムウェアとの類似点を列挙”

大宮化成工業に LockBit 3.0 がヒット:世界中の主要サプライチェーンに影響?

Japanese tech firm Oomiya hit by LockBit 3.0. Multiple supply chains potentially impacted

2022/10/17 SecurityAffairs — LockBit 3.0 RaaS を利用するアフィリエイトが、日本のハイテク企業である大宮化成工業にヒットした。同社は、マイクロ・エレクトロニクスと設備システム機器の設計/製造を行う企業である。大宮化成の事業は、化学製品/工業製品の製造/設計および、電子材料の設計、医薬品開発、工場製造の、4つの主要分野に分かれている。

Continue reading “大宮化成工業に LockBit 3.0 がヒット:世界中の主要サプライチェーンに影響?”

QBot マルウェアの最新キャンペーン:企業ユーザー 800人以上の感染を Kaspersky が警告

QBot Malware Infects Over 800 Corporate Users in New, Ongoing Campaign

2022/10/12 SecurityWeek — 9月28日以降に発生した、マルウェア QBot の最新キャンペーンにより、800以上の企業ユーザーが感染したと Kaspersky が警告している。Qakbot/Pinkslipbot とも呼ばれる QBot は、2009年から存在するバックドア/自己拡散機能を持つ情報窃取ツールであり、悪意の攻撃のイニシャル感染ベクターとして広く使用されてきた。2022年初めには、Microsoft Support Diagnostic Tool (MSDT) のリモート・コード実行の脆弱性 Follina (CVE-2022-30190) を悪用した攻撃で、QBot が配布されていた。

Continue reading “QBot マルウェアの最新キャンペーン:企業ユーザー 800人以上の感染を Kaspersky が警告”

Microsoft Exchange の新たな別のゼロデイ:悪用により LockBit ランサムウェアを配布?

Microsoft Exchange servers hacked to deploy LockBit ransomware

2022/10/11 BleepingComputer — Microsoft が進めている調査は、Exchange Server の新たなゼロデイ脆弱性がハッキングに悪用され、その後にランサムウェア Lockbit 攻撃の起動に使用されたという報告に対するものだ。2022年7月に発生した、少なくとも1件のインシデントでは、事前に Exchange Server に配置していた WebShell を用いて、侵入に成功した攻撃者が Active Directory 管理者への権限昇格を実行し、約 1.3TB のデータを窃取し、ネットワーク・システムの暗号化を行ったとされている。

Continue reading “Microsoft Exchange の新たな別のゼロデイ:悪用により LockBit ランサムウェアを配布?”

BazarCall フィッシング攻撃:コールバック型で進化するソーシャル・エンジニアリング

Callback phishing attacks evolve their social engineering tactics

2022/10/08 BleepingComputer — コールバック・フィッシング攻撃により、ソーシャル・エンジニアリングの手法が進化している。攻撃の第一段階においては、従来の手法である偽のサブスクリプションへの誘い文句を用いながら、被害者が感染やハッキングに対処するのを、手助けするような手法へと変化している。この攻撃が成功すると、被害者のデバイスはマルウェア・ローダーに感染し、リモートアクセス型トロイの木馬/スパイウェア/ランサムウェアなどの、追加のペイロードがドロップされる。

Continue reading “BazarCall フィッシング攻撃:コールバック型で進化するソーシャル・エンジニアリング”

ランサムウェア・ギャングが好む攻撃ベクター:No.1 は脆弱性の悪用で 52% を占める

Bug Exploitation Now Top Ransomware Access Vector

2022/10/04 InfoSecurity — Secureworks の最新調査によると、過去 12ヶ月間に発生した調査したランサムウェア・インシデントのうち、イニシャル・アクセス経路としてナンバーワンになったのは脆弱性の悪用であり、その比率が 52% に達したことが明らかになった。Secureworks の年次レポートである State of the Threat は、同社の Counter Threat Unit が行った、過去1年間の調査をベースに作成されている。

Continue reading “ランサムウェア・ギャングが好む攻撃ベクター:No.1 は脆弱性の悪用で 52% を占める”

Optus でデータ侵害: 豪テレコムの約 210万人の顧客記録が流出

Optus Hack Exposes Data of Nearly 2.1 Million Australian Telecom Customers

2022/10/04 TheHackerNews — 10月4日に、オーストラリアの通信大手である Optus は、9月末にデータ侵害に遭ったことを発表した。これにより、同社における現在/過去のユーザー約 210万人分の個人情報や、少なくとも1種類の ID 情報が流出したという。同社は、「攻撃が発生した理由と、再発の防止へ向けた改善のために、Deloitte が提供する外部フォレンジック評価のサービスを利用する」と述べている

Continue reading “Optus でデータ侵害: 豪テレコムの約 210万人の顧客記録が流出”

Bumblebee マルウェア:標的システムに特化したペイロードをロードして攻撃する

Bumblebee Malware Loader’s Payloads Significantly Vary by Victim System

2022/10/04 DarkReading — 3月に表面化した、きわめて悪質なマルウェア・ローダー Bumblebee の最新分析により、企業ネットワークの一部としてのシステム向けのペイロードと、スタンドアロン・システム向けのペイロードでは、その種類が大きく異なることが判明した。たとえば、Active Directory サーバを共有しているような、ドメインの一部として認識されたシステムの場合には、Cobalt Strike のような高度なポスト・エクスプロイト・ツールを実行するよう、このマルウェアはプログラムされている。

Continue reading “Bumblebee マルウェア:標的システムに特化したペイロードをロードして攻撃する”

BlackCat ランサムウェア:米国の防衛関連企業 NJVC を攻撃

BlackCat ransomware gang claims to have hacked US defense contractor NJVC

2022/10/02 SecurityAffairs — ALPHV/BlackCat ランサムウェア・ギャングが、米国の連邦政府/国防総省をサポートする IT 企業 NJVC に侵入したと主張している。同社は、情報機関/防衛機関/地理空間情報機関などを支援しており、世界中の拠点に 1,200人以上の従業員を擁している。BlackCat は、Tor リークサイトの被害者リストに NJVC を追加し、同社が身代金を支払わない場合には、盗み出したデータを公開すると脅迫している。 

Continue reading “BlackCat ランサムウェア:米国の防衛関連企業 NJVC を攻撃”

Optus でデータ侵害:豪テレコムの顧客記録 10,200件がダークウェブでリーク

Hacker Behind Optus Breach Releases 10,200 Customer Records in Extortion Scheme

2022.09/27 TheHackerNews — 月曜日に、オーストラリア連邦警察 (AFP:Australian Federal Police) は、通信事業者 Optus のハッキング事件を受けて、国外の法執行当局と共同で証拠の収集に努めていることを明らかにした。AFP は声明で、「ハッキング事件の背後にいる犯罪者を特定し、オーストラリア人を ID 詐欺から保護するために、Operation Hurricane が開始された」と述べている。

Continue reading “Optus でデータ侵害:豪テレコムの顧客記録 10,200件がダークウェブでリーク”

Microsoft SQL Server をハッキング:TargetCompany ランサムウェアの狙いはどこに?

Microsoft SQL servers hacked in TargetCompany ransomware attacks

2022/09/24 BleepingComputer — 脆弱な Microsoft SQL Server が、FARGO ランサムウェアの新たな攻撃の標的になっていると、セキュリティ研究者たちが警告している。MS-SQL Server は、インターネット・サービスやアプリのデータを保持するデータベース管理システムであり、これらを停止させると、ビジネスに大きな支障をきたすことになる。BleepingComputer は、2月に Cobalt Strike ビーコンを投下する同様の攻撃について、7月には脆弱な MS-SQL Server をハイジャックしてプロキシサービスの帯域を奪取する攻撃について、報告をしている。最近の攻撃の波は、より破滅的なものであり、データベースの所有者を脅迫して、手っ取り早く利益を得ることを目的としている。

Continue reading “Microsoft SQL Server をハッキング:TargetCompany ランサムウェアの狙いはどこに?”

LockBit 3.0 Builder が流出:不満を持つ開発者の裏切りがもたらす大きな影響とは?

LockBit ransomware builder leaked online by “angry developer”

2022/09/21 BleepingComputer — ランサムウェア LockBit だが、不満を持つ開発者とされる人物から、最新の暗号化ソフトのビルドが流出されるという裏切り行為を受けているようだ。この6月に、LockBit ランサムウェアは、2ヶ月間にわたるテストの後に、コードネーム LockBit Black と呼ばれる暗号化装置の Ver 3.0 をリリースした。この新バージョンは、「ランサムウェアを再び偉大なものにする」ことを約束し、新しいアンチ解析機能や、ランサムウェアのバグバウンティ・プログラム、新たな強奪方法などを追加している。しかし、2人 (あるいは同一人物) の不満分子が、Twitter で LockBit 3.0 Builder を流出させるなど、LockBit の運営者は厄介な情報漏洩に見舞われているようだ。

Continue reading “LockBit 3.0 Builder が流出:不満を持つ開発者の裏切りがもたらす大きな影響とは?”

VMware/Microsoft 警告:アドウェアからランサムローダーへと進化する ChromeLoader

VMware, Microsoft warn of widespread Chromeloader malware attacks

2022/09/19 BleepingComputer — VMware と Microsoft の警告は、現在進行中で蔓延している ChromeLoader マルウェア・キャンペーンにより、悪意のブラウザ・エクステンションや、node-WebKit マルウェアが、場合によってはランサムウェアまでがドロップされるという、かなり危険な脅威が迫っているというものだ。ChromeLoader の感染は 2022 Q1 に急増しており、Red Canary の研究者たちは、マーケティングのアフィリエイトや広告詐欺に利用される、ブラウザ・ハイジャッカーの危険性について警鐘を鳴らしていた。

Continue reading “VMware/Microsoft 警告:アドウェアからランサムローダーへと進化する ChromeLoader”

Emotet 最新情報:RaaS グループ Quantum/BlackCat などが活用し始めている

Emotet Botnet Started Distributing Quantum and BlackCat Ransomware

2022/09/19 TheHackerNews — 2022年の Conti 撤退後の Emotet マルウェアだが、Quantum/BlackCat などのRansomware-as-a-Service  (RaaS) グループにより活用され始めていることが判明した。このマルウェア Emotet は、2014年にバンキング型トロイの木馬として始まった。その後の、度重なるアップデートにより、被害者のマシンに他のペイロードをダウンロードする機能を実装し、攻撃者による遠隔操作に対応するなど、きわめて強力な脅威へと変化している。

Continue reading “Emotet 最新情報:RaaS グループ Quantum/BlackCat などが活用し始めている”

PuTTY トロイの木馬版:Amazon の求人情報をルアーにしてバックドアを配布

Hackers trojanize PuTTY SSH client to backdoor media company

2022/09/15 BleepingComputer — 北朝鮮のハッカーが、PuTTY SSH クライアントのトロイの木馬版を使用し、偽の Amazon Job Assessment を仕掛ける手段として、ターゲットのデバイスにバックドアを展開している。 このキャンペーンにおける斬新な要素は、PuTTY/KiTTY SSH ユーティリティのトロイの木馬版を使用して、バックドア (このキャンペーンの場合は AIRDRY.V2) を展開している点にある。今日の Mandiant 技術レポートによると、このキャンペーンを展開した脅威アクターは UNC4034 (別名 Temp.Hermit または Labyrinth Chollima) だとのことだ。このグループの最新の活動は、2020年6月から続いている Operation Dream Job キャンペーンに続くものであり、今回はメディア企業を標的にしていると見られている。

Continue reading “PuTTY トロイの木馬版:Amazon の求人情報をルアーにしてバックドアを配布”

QNAP NAS に大規模 DeadBolt キャンペーン:狙われる脆弱性 CVE-2022-27593

Thousands of QNAP NAS devices hit by DeadBolt ransomware (CVE-2022-27593)

2022/09/12 HelpNetSecurity — QNAP Systems は、同社の NAS デバイスのユーザーを標的とした、最新の DeadBolt ランサムウェア・キャンペーンと、攻撃者に悪用されている脆弱性 CVE-2022-27593 についての詳細情報を提供した。脆弱性 CVE-2022-27593 は、意図した制御範囲外のリソースへ向けて解決される、外部制御の参照に関するものであり、広く使用されている Photo Station アプリケーションに影響を及ぼすものである。

Continue reading “QNAP NAS に大規模 DeadBolt キャンペーン:狙われる脆弱性 CVE-2022-27593”

中規模リテール 422社の調査:2021年には 77% がランサムウェアの被害に遭った

Over Three-Quarters of Retailers Hit by Ransomware in 2021

2022/09/11 InfoSecurity — Sophos によると、世界の小売業の約 77%が、2021年にランサムウェアの被害に遭い、最も大きな被害を受けた業界にもなっている。セキュリティ・ベンダーである Sophos は、31カ国の中規模 (従業員数 100~5000人) である小売業者の回答者 422人を対象に、レポート The State of Ransomware in Retail 2022 を作成した。この数字は、2020年と比較して 75% という大幅な増加を示しており、全セクターの平均値よりも 11% 高く、小売業は2番目に大きな被害を受けた業界となった。

Continue reading “中規模リテール 422社の調査:2021年には 77% がランサムウェアの被害に遭った”

Bumblebee マルウェアはディスクに触れない:高度なスティルス性で侵害し続ける

Bumblebee malware adds post-exploitation tool for stealthy infections

2022/09/08 BleepingComputer — 新たに発見されたマルウェア・ローダー Bumblebee は、PowerSploit フレームワークを用いて、DLL ペイロードをメモリにステルス的に注入するものであり、野放し状態で感染を広げている。Bumblebee は4月に発見され、BazarLoader や TrickBot の背後にいると推測される、Conti シンジケートが組織するフィッシング・キャンペーンに関与している。

Continue reading “Bumblebee マルウェアはディスクに触れない:高度なスティルス性で侵害し続ける”

Cobalt Strike サーバに DDoS 攻撃:ロシアン・ランサムウェアを追撃するのは誰なのか?

Ransomware gang’s Cobalt Strike servers DDoSed with anti-Russia messages

2022/09/07 BleepingComputer — ランサムウェア・ギャングの元メンバーが運営する Cobalt Strike のサーバに、何者かが反ロシアのメッセージを流し込んで活動を妨害している。 最近のランサムウェアに関する動向だが、2022年5月に ContI は、内部インフラのシャットダウンを完了し、そのメンバーたちは Quantum/Hive/BlackCat といった他のランサムウェア・ギャングに分散していった。

Continue reading “Cobalt Strike サーバに DDoS 攻撃:ロシアン・ランサムウェアを追撃するのは誰なのか?”