Ransomware – Page 5 – IoT OT Security News

Toyota Financial Services が Medusa ランサムウェアに遭遇：サンプル・データが流出

Toyota confirms breach after Medusa ransomware threatens to leak data

2023/11/16 BleepingComputer — Toyota Financial Services (TFS) が確認したのは、Medusa ランサムウェアが主張する同社への攻撃の後に、欧州とアフリカの一部のシステムで不正アクセスを検出したことだ。トヨタ傘下の TFS は、トヨタの自動車を販売している市場の 90% に進出しており、顧客に対してローンを提供するグローバル企業である。

LockBit の攻撃対象は Citrix Bleed？ ICBC／Boeing などへの侵害の手口を追跡

LockBit ransomware exploits Citrix Bleed in attacks, 10K servers exposed

2023/11/14 BleepingComputer — Citrix Bleed と名付けられた脆弱性 CVE-2023-4966 の、PoC エクスプロイトを悪用する Lockbit ランサムウェアが、大規模な組織のシステムに侵入し、データを盗み、ファイルを暗号化している。この脆弱性 CVE-2023-4966 については、１カ月以上も前に Citrix が修正プログラムを公開しているが、インターネットに露出した何千ものエンドポイントにおいて、依然として脆弱なアプライアンスが運用されている。また、その多くは、米国内に存在している。

Hunters International というランサムウェア集団：Hive のソースコードとインフラを再利用

New Ransomware Group Emerges with Hive’s Source Code and Infrastructure

2023/11/13 TheHackerNews — Hunters International という新たなランサムウェアを操る脅威アクターが、すでに解体された Hive オペレーションからソースコードとインフラを入手して、独自の脅威活動を開始した。Bitdefender の Technical Solutions Director である Martin Zugec は、先週に発表したレポートの中で、「Hive の活動が停止した後に、そのリーダーは、残された資産を別のグループ Hunters International に譲渡するという、戦略的決定を下したようだ」と述べている。

Boeing 対 LockBit ランサムウェア：43GB のバックアップ・データが公表された

LockBit ransomware leaks gigabytes of Boeing data

2023/11/12 BleepingComputer — 民間航空機や防衛システムにサービスを提供する、最大級の航空宇宙企業である Boeing から盗まれたデータを、LockBit ランサムウェアのギャングが公開した。これより以前に LockBit は、もし Boeing が無視すれば、一連のデータを公開すると警告し、最新ファイルの約４GBのサンプルを公開していた。

京セラ AVX でデータ侵害：ランサムウェア攻撃で 39,000人分の個人情報が漏洩

Kyocera AVX says ransomware attack impacted 39,000 individuals

2023/11/09 BleepingComputer — Kyocera AVX Components Corporation (KAVX) は、ランサムウェア攻撃により 39,111人分の個人情報が流出したことを発表した。KAVX はアメリカの先端電子部品メーカーで、日本の半導体大手京セラの子会社である。10,000人以上の専門家を雇用しており、年間売上は $1.3 億である。同社による影響を受けた人々に対するデータ漏洩の通知では、ハッカーによる不正アクセスは 2023年2月16日〜3月30日の間に行われ、2023年10月10日に発見されたという。

中国工商銀行 ICBC でランサムウェア被害：Citrix Bleed CVE-2023-4966 の悪用？

World’s largest commercial bank ICBC confirms ransomware attack

2023/11/09 BleepingComputer — 中国工商銀行 (ICBC) は、11月8日 (水) に発生したランサムウェア攻撃により、同社のシステムに障害が発生したことを明らかにした。中国工商銀行 (ICBC) は、「米国東部時間2023年11月8日 (北京時間2023年11月9日) に、金融サービスがランサムウェア攻撃を受け、一部のシステムに障害が発生した。このインシデントを発見した直後から、影響を受けたシステムの接続を遮断／隔離し、直ちにインシデントを封じ込めた」と述べている。

日本航空電子工業へのランサムウェア攻撃：Alphv／Black が犯行を主張

Japan Aviation Electronics Targeted in Ransomware Attack

2023/11/09 SecurityWeek — 日本航空電子工業は、Alphv/BlackCat ランサムウェア・グループが犯行声明を出したサイバー攻撃から回復しつつある。1953年に設立され、東京都渋谷区に本社を置く日本航空電子工業 (JAE : Japan Aviation Electronics) は、電気コネクタ／航空宇宙用電子機器／ユーザーインターフェース関連機器を製造している。JAE は Web サイト上の通知で、このインシデントは 11月2日に発生し、同社のサーバの一部が外部からの不正アクセスを受けたと述べた。

SysAid IT のゼロデイ CVE-2023-47246：Clop ランサムウェアが攻撃を仕掛ける

Zero-Day Alert: Lace Tempest Exploits SysAid IT Support Software Vulnerability

2023/11/09 TheHackerNews — Microsoft の新たな調査結果によると、SysAid IT サポート・ソフトウェアのゼロデイ脆弱性を悪用する限定的な攻撃に、Lace Tempest という脅威アクターが関連しているようだ。Cl0p ランサムウェアを配布する Lace Tempest は、これまでに MOVEit Transfer や PaperCut サーバのゼロデイ脆弱性を悪用してきた。SysAid IT のパス・トラバーサルの脆弱性 CVE-2023-47246 は、オンプレミス・インストール内でコード実行にいたるものだとされ、バージョン 23.3.36 で修正されている。

Farnetwork という脅威アクター：５つの RaaS プログラムに関連付けられる – Group-IB

Threat Actor Farnetwork Linked to Five Ransomware Schemes

2023/11/08 InfoSecurity — セキュリティ研究者たちが公表したのは、過去数年間にわたって複数の RaaS (Ransomware-as-a-Service) プログラムに関与し、現在は別のプログラムを展開している脅威アクターの情報である。Group-IB は新しいレポートの中で、”farnetwork” は遅くとも 2019年から活動しており、アンダーグラウンドでは farnetworkl／jingo／jsworm／razvrat／piparkuka／farnetworkit として活動していると主張している。

Atlassian Confluence の脆弱性 CVE-2023-22518：Cerber ランサムウェアの攻撃を観測

Critical Atlassian Confluence bug exploited in Cerber ransomware attacks

2023/11/06 BleepingComputer — 先日にパッチが適用された、Atlassian Confluence に存在する深刻な認証バイパスの脆弱性を悪用する Cerber ランサムウェアが、被害者のファイルを暗号化している。Atlassian が不適切な認証の脆弱性と説明する CVE-2023-22518 (CVSS：9.1) は、Confluence Data Center／Confluence Server ソフトウェアの全てのバージョンに影響を及ぼす。10月31日 (火) にセキュリティ・アップデートをリリースした Atlassian は、この脆弱性の悪用によりデータが消去される可能性もあるため、脆弱性のある全てのインスタンスに対して、直ちにパッチを当てるよう管理者たちに警告した。

Apache ActiveMQ の脆弱性 CVE-2023-46604：TellYouThePass ランサムウェアが積極的に悪用

TellYouThePass ransomware joins Apache ActiveMQ RCE attacks

2023/11/06 BleepingComputer — インターネットに公開された Apache ActiveMQ サーバに存在する、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2023-46604 が、TellYouThePass ランサムウェア攻撃の標的にもなっている。この脆弱性 CVE-2023-46604 は、スケーラブルなオープンソース・メッセージ・ブローカーである ActiveMQ に存在し、悪用に成功した未認証の攻撃者に、任意のシェルコマンド実行を許してしまうものである。

Lockbit による攻撃を Boeing が認める：水面下での交渉が示唆される

Boeing Confirmed Its Services Division Suffered A Cyberattack

2023/11/02 SecurityAffairs — Boeing Company は、航空宇宙メーカーとして、また、防衛請負会社として、世界最大級の規模を誇っている。2022年における Boeing は、$66.61 billion の売上を記録し、15万6000人の従業員を擁していた。先週にランサムウェア集団 Lockbit は、Tor リーク・サイトの被害者リストに Boeing を追加した。このグループは、同社から膨大な量の機密データを盗んだと主張し、期限内 (2023年11月2日13:25:39 UTC) に連絡がなければ公開すると脅している。ただし、この記事を書いている時点では、このグループはサンプルを公開していない。

ランサムウェアに対抗する 40ヶ国の協調：金銭の支払いを止めるための署名とは？

Forty Countries Agree Not to Pay Cybercrime Ransoms

2023/11/01 InfoSecurity — 米国と同盟を締結している数十カ国が、デジタル恐喝者に対して、絶対に金銭を支払わないという協定に署名した。この動きが示すのは、ランサムウェアが国家安全保障と経済に与える影響の拡大である。この誓約は、International Counter Ransomware Initiative (国際ランサムウェア対策イニシアティブ) の、第２回年次総会で誓約が行われた。現時点で、ホワイトハウスは正式に発表していないが、出席したメディアにより概要が報告されている。

Boeing を侵害したと主張する LockBit：データ・リークの期限が迫っている

Boeing Investigates LockBit Ransomware Breach Claims

2023/10/30 InfoSecurity — 航空宇宙大手 Boeing から報告されたのは、同社の膨大な機密データを盗んだと主張する、ランサムウェア・グループに対する調査の途中経過である。現時点で多発している RaaS (ransomware-as-a-service) グループである、LockBit のリーク・サイトに新たなエントリーとして表示された Boeing は、対応を余儀なくされている。

Hunters International という新たな RaaS：Hive からソースコードを購入したと主張

New Hunters International ransomware possible rebrand of Hive

2023/10/29 BleepingComputer — Hive ランサムウェアが用いていたコードを再利用する、Hunters International という新たな RaaS (Ransomware-as-a-Service) ブランドが登場した。両者を関連性を示唆する仮説は、新しい暗号化プログラムの分析で明らかになった、この２つのランサムウェア・ギャングの間での、複数のコードの重複により裏付けられている。

Microsoft 警告：最も危険なサイバー犯罪集団 0ktapus の分析結果を参照してほしい

Microsoft: 0ktapus Cyberattackers Evolve to ‘Most Dangerous’ Status

2023/10/27 DarkReading — Microsoft の 0ktapus サイバー攻撃集団に対する評価は、最も危険な金融犯罪集団のひとつであり、しかもますます巧妙になっているというものだ。最近になって 0ktapus は、MGM と Caesars Entertainment に対して、ランサムウェアによる破壊的な攻撃を行ったことで話題になった。このグループは、Microsoft が Scatter Swine／UNC3944 とも呼ぶ Octo Tempest であり、英語圏に属している。このグループは、通常、敵対的中間者 (AitM) や、ターゲットへの電話を伴うソーシャル・エンジニアリング、SIM スワッピングなどの攻撃を行っている。また、暗号通貨の窃盗／データ流出による恐喝／ランサムウェア攻撃なども行うとされている。

SEIKO で発生した BlackCat データ侵害：60,000件の機密情報が流出と判明

Seiko “BlackCat” Data Breach: 60,000 Records on the Line

2023/10/25 InfoSecurity — Seiko Group Corporation (SGC) は、8月に発生したデータ漏洩につて、その範囲を公表した。同社の最新の通知は、60,000 件のレコードのセキュリティに重点を置いたものになっている。同社の Web サイトに、2023年8月10日の時点で公表されたデータ漏洩の通知は、7月28日に検知された不正アクセスに起因するものであり、ランサムウェア・グループ BlackCat がデータ漏洩サイトに、SEIKO をリストアップしたことを受けてのものである。なお、このインシデントは、個人情報保護委員会と警視庁に報告されたという。

American Family Insurance のシステムが一部停止：ランサムウェアの兆候が見られるという

American Family Insurance confirms cyberattack is behind IT outages

2023/10/21 BleepingComputer — 保険大手の American Family Insurance は、サイバー攻撃を受けたことを、そして、IT システムの一部が停止したことを認めた。American Family Insurance (AmFam) は、商業用と個人用の損害保険／自動車保険／生命保険に重点を置く保険会社であり、投資／退職のプランニングも提供している企業である。同社の従業員数は 13,000 人であり、2022 年の売上高は $14.4 billion である。

Microsoft Defender 対 Akira ランサムウェア：エンジニアリング分野への攻撃を封じ込めた

Microsoft Defender Thwarted Akira Ransomware Attack On An Industrial Engineering Firm

2023/10/16 SecurityAffairs — Microsoft の Defender for Endpoint が、Akira ランサムウェア・オペレーション (Storm-1567) による大規模なハッキング・キャンペーンの阻止に貢献したようだ。Microsoft によると、この攻撃は 2023年6月上旬に発生した、インダストリー組織を狙うものとのことだ。同社のサイバー防衛ソリューションは、他の機能を展開することなく、ランサムウェアのような人手による攻撃を自動的に防止できるとされる。

サイバー保険の最前線：MOVEit 攻撃に対する保証で何が変わるのか？

How MOVEit Is Likely to Shift Cyber Insurance Calculus

2023/10/14 DarkReading — 大手企業数十社の不正侵入で悪用された、ファイル転送ソフト MOVEit の開発元である Progress Software は、最近の証券取引委員会 (SEC) への提出書類の中で、$15 million のサイバー保険の全額を受け取るつもりだと述べている。しかし、この巨額の支払いは、保険会社自身のビジネスに対して、どのような影響を与えるのだろうか？ Progress が直面しているのは、集団訴訟／罰金／ビジネス・ブランドの失墜などであり、その損失をカバーするために数百万ドルが必要になるのは当然のことである。さらに、SEC への最新の 10-Q 提出書類によると、Progress Software は MOVEit ランサムウェアとは別のインシデントで、2022年11月に保険を受け取っている。

Ransomlooker で脅威情報を追跡：Cybernews が無償で提供する分析ツールとは？

Ransomlooker, A New Tool To Track And Analyze Ransomware Groups’ Activities

2023/10/12 SecurityAffairs — ランサムウェア・グループの恐喝サイトを監視して、彼らの主張の統合フィードを世界へ向けて配信するツール Ransomlooker が、Cybernews から発表された。同社の研究者たちが作成したツールにより、リアルタイムに更新される実用的な洞察が提供されることで、サイバー・セキュリティの専門家たちの日常業務が支援される。このツール提供するものは、データに対する様々な統計的洞察、および、攻撃の実行者を特定する機能、ジャーナリスティックな調査のための国／業界／時間軸などの、パラメータによるフィルタリング機能である。

WS_FTP Server の脆弱性 CVE-2023-40044：ランサムウェア攻撃が始まっている

Ransomware attacks now target unpatched WS_FTP servers

2023/10/12 BleepingComputer — インターネットに公開された WS_FTP サーバの、パッチ未適用の深刻度の高い脆弱性 CVE-2023-40044 が、ランサムウェア攻撃の標的になっている。先日に Sophos X-Ops のインシデント・レスポンダーたちが観測したのは、Reichsadler Cybercrime Group を自称する脅威アクターが、ランサムウェアのペイロードを展開しようと試み、失敗に終わったことだ。そこで用いられたのは、2022年9月に盗まれた LockBit 3.0 builder だとされる。同社は、「このランサムウェアの実行者が、最近に報告された WS_FTP Server ソフトウェアの脆弱性を悪用するまでに、長い時間は不要であった」と述べている。

WatchGuard Report によるマルウェア／ランサムウェア分析：統計値の増減からトレンドを読み解く

WatchGuard Threat Lab Report Finds Endpoint Malware Volumes Decreasing Despite Campaigns Growing More Expansive

2023/10/07 DarkReading — 今日、統合型サイバーセ・キュリティのグローバル・リーダーである WatchGuard Technologies は、同社の Threat Lab が分析した、マルウェアのトップトレンドや、ネットワークとエンドポイントのセキュリティ脅威について詳述する、最新の Internet Security Report を発表した。この調査結果における要点としては、マルウェアの 95% が暗号化された接続を介して到達することについて、また、広範囲に広がるキャンペーンとエンドポイント・マルウェアの減少や、二重の恐喝攻撃の増加とランサムウェア検出数の減少、いまも悪用される古いソフトウェアの脆弱性の存在などが挙げられている。

MGM Resorts のランサムウェア被害額：現時点の総額は $110 Million に達するという

MGM Resorts Says Ransomware Hack Cost $110 Million

2023/10/06 SecurityWeek — ホスピタリティとエンターテイメントの巨人である MGM Resorts の発表によると、先月に発生したランサムウェア感染に対する費用は、$110 million を超えるものであり、そこには一時的なコンサルティング費用 $10 million の含まれるという。SEC 8-K に提出された書類で MGM Resorts は、特にラスベガスの施設における業務が、このデータ強奪攻撃により支障をきたしたとしている。全体的な経済的損失には、約 $100 million 収入減などが含まれると推定される。

Sony で発生した MOVEit CVE-2023-34362 侵害：6,800人分の個人情報が漏えい

Sony confirms data breach impacting thousands in the U.S.

2023/10/04 BleepingComputer — Sony Interactive Entertainment (Sony) は、サイバー・セキュリティ侵害により個人情報が流出したとして、現従業員および元従業員と、その家族に対して通知を行った。Sony は、約 6,800人の個人に対して情報漏えいの通知を送付し、MOVEit Transfer プラットフォームのゼロデイ脆弱性が悪用され、不正アクセス者に侵入されたことを認めた。

JetBrains TeamCity の RCE 脆弱性 CVE-2023-42793：ランサムウェアによる攻撃を確認

Ransomware gangs now exploiting critical TeamCity RCE flaw

2023/10/02 BleepingComputer — JetBrains の TeamCity の CI/CD (continuous integration and continuous deployment) サーバに存在する深刻な脆弱性を、ランサムウェア・ギャングたちが標的にしはじめた。この脆弱性 CVE-2023-42793 (CVSS : 9.8) は、ユーザーとの対話を必要としない複雑度の低い攻撃を可能にする。したがって、認証バイパスに成功した未認証の攻撃者により、リモートからのコードを実行 (RCE) が引き起こされる。この脆弱性を発見／報告したのは、スイスのセキュリティ企業 Sonar である。そして、9月21日に JetBrains が、TeamCity 2023.05.4 をリリースし、この深刻な脆弱性に対処した１週間後に、Sonar による技術的な詳細が発表された。

Ransomed.vc ランサムウェア：NTT Docomo を次の標的としているらしい

Ransomed.vc Group Hits NTT Docomo After Sony Breach Claims

2023/09/27 InfoSecurity — 昨日に報道された、SONY におけるデータ流出に続く動きとして、ランサムウェア・シンジケート Ransomed.vc は、日本最大の通信会社である NTT docomo を標的としている。火曜日に Resecurity が発表したアドバイザリによると、Ransomed.vc は NTT docomo に対して$1m 以上の身代金を要求しているという。同様の身代金の要求を SONY が拒否し、データの流出につながったとされるが、それに続く動きである。

ShadowSyndicate というハッカー集団：複数のランサムウェアと C2 サーバを巧みに運用

ShadowSyndicate hackers linked to multiple ransomware ops, 85 servers

2023/09/26 BleepingComputer — 現在、ShadowSyndicate として追跡されている脅威アクターのインフラを、セキュリティ研究者たちが特定した。これまでの１年間で ShadowSyndicate は、７種類のランサムウェア・ファミリーを展開していたようだ。Group-IB のアナリストは、2022年7月以降の侵害において ShadowSyndicate が Quantum／Nokoyawa／BlackCat/ALPHV／Clop／Royal／Cactus／Play などのランサムウェアを使用していたことを、さまざまな確度から断定している。

RansomedVC ランサムウェアの主張：Sony のシステムから盗んだデータを販売する

Sony Investigating After Hackers Offer to Sell Stolen Data

2023/09/26 SecurityWeek — あるサイバー犯罪グループが、Sony のシステムに侵入して盗んだデータを、販売すると主張しいていることを受け、同社による調査が開始されたという。SONY の担当者は、「現在状況を調査中であり、現時点では、これ以上のコメントはない」と、SecurityWeek に述べている。この調査が開始されたのは、RansomedVC という新たなランサムウェア・グループが、Tor ベースの自身の Web サイトに被害者として Sony を掲載し、その全システムを侵害したと主張した後のことである。

Openfire の脆弱性 CVE-2023-32315：野放し状態での悪用が観測されている

Hackers actively exploiting Openfire flaw to encrypt servers

2023/09/26 BleepingComputer — Openfireメッセージング・サーバの深刻な脆弱性を積極的に悪用するハッカーたちが、ランサムウェアによる暗号化と、クリプトマイナー侵害を展開している。Openfire は、Java ベースのオープンソース・チャット (XMPP) サーバであり、すでに 900 万回もダウンロードされ、安全なマルチプラットフォーム・チャット通信のために広く使用されているものだ。脆弱性 CVE-2023-32315 の悪用により、Openfire の管理コンソールで、認証バイパスが引き起こされる。その結果として、未認証の攻撃者による、脆弱なサーバー上での新たな管理者アカウント作成にいたる可能性が生じる。

日本の Clarion がランサムウェアに遭遇：ALPHV が犯行を表明し恐喝している

ALPHV Group Claims The Hack Of Clarion, A Global Manufacturer Of Audio And Video Equipment For Cars

2023/09/24 SecurityAffairs — ALPHV ランサムウェア・グループの Tor 被害者リストに、車載用オーディオ・ビデオ機器の世界的メーカーである、日本の Clarion が追加された。Clarion Japan は、車載用音響／映像機器の世界的メーカーである、Clarion 株式会社の日本法人である。カーナビ／オーディオ／ビデオ・システムに加えて、バック・カメラなどの幅広い製品を開発／製造／販売している。また、Clarion Japan は、自動車のメンテナンス／修理等に関するソフトウェアのアップデートといった、様々なサービスも提供している。

Akira ランサムウェア：多様な戦術を用いて Linux システムを狙い始めている

Akira Ransomware Mutates to Target Linux Systems, Adds TTPs

2012/09/23 DarkReading — 2023年３月に登場した Akira ランサムウェアは、それ以降において進化を続けている。その、攻撃範囲は当初の Windows システムから Linux サーバへと拡大され、数々の TTP (Tactics／Techniques／Procedures) を採用するようになっている。LogPoint の Akira に関する詳細なレポートでは、被害者のファイルを暗号化し、シャドウコピーを削除し、データ復旧との引き換えに身代金の支払いを要求するという、高度に洗練されたランサムウェアだと解説されている。その感染チェーンは、多要素認証のない Cisco ASA VPN を積極的にターゲットとし、脆弱性 CVE-2023-20269 をエントリポイントとして悪用するものだ。

MFA に対する本質的な問題提起：Okta が護れなかった MGM Resorts インシデントとは？

Okta Agent Involved in MGM Resorts Breach, Attackers Claim

2023/09/16 DarkReading −−− 先週に発生した MGM Resorts と Caesars Entertainment へのサイバー攻撃だが、それを操る脅威アクターの主張は、組織の Active Directory に接続する軽量クライアントである Okta Agent をクラックし、何らかの方法で両社の Okta プラットフォームに侵入できたというものだ。Okta は、クラウド向けの IAM (Identity and Access Management) プロバイダーとして知られるサイバー・セキュリティ企業である。

BlackCat ランサムウェア：Sphynx 暗号化ツールで Azure Storage を攻撃

BlackCat ransomware hits Azure Storage with Sphynx encryptor

2023/09/16 BleepingComputer −−− BlackCat (ALPHV) ランサムウェア・グループが、窃取した Microsoft アカウントと、最近に発見された Sphynx 暗号化ツールを用いて、ターゲットの Azure クラウド・ストレージを暗号化しているようだ。最近に発生した情報漏えいを調査していた、Sophos X-Ops のインシデント・レスポンス担当者たちが、カスタム認証情報の利用がサポートされた、Sphynx の亜種の運用を発見した。この脅威アクターは、窃取したワンタイム・パスワード (OTP：One-Time Password) を用いて Sophos Central アカウントにアクセスした後に、改ざん防止機能を無効化し、セキュリティ・ポリシーを変更していた。これらの操作は、LastPass Chrome エクステンションを使用して、被害者の LastPass ヴォールトから OTP を盗んだ後に行われていたという。

3AM という新たなランサムウェア：LockBit の代替えとして攻撃を成功させる

When LockBit Ransomware Fails, Attackers Deploy Brand-New ‘3AM’

2023/09/14 DarkReading — ある建設業に対する最近の攻撃では、標的とするネットワーク上で LockBit の実行に失敗したハッカーが、未知のランサムウェアを二番手として展開することに成功したという。この新しいツールの機能として挙げられるのは、ホスト・コンピューター上のファイルをロックする前に、各種のサイバー・セキュリティやバックアップ関連のソフトウェアをブロックするという、どちらかというと標準的なものだ。

Akira が狙う Cisco ASA のゼロデイ CVE-2023-20269：ブルートフォース攻撃？

Cisco ASA Zero-Day Exploited in Akira Ransomware Attacks

2023/09/08 SecurityWeek — 今週に Cisco は、Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) ソフトウェアに存在する、ゼロデイ脆弱性について注意を喚起した。この脆弱性は、８月以降において Akira ランサムウェア攻撃で悪用されているものだ。この脆弱性 CVE-2023-20269 (CVSS：5.0) は、Cisco ASA／FTD のリモート・アクセス VPN 機能に存在し、ブルート・フォース攻撃の対象とされているため、認証なしでリモートから悪用される可能性がある。

ランサムウェア調査：データ侵害の先には何があるのだろう？ ESG／Keepit レポート

Ransomware attacks go beyond just data

2023/09/04 HelpNetSecurity — 2023 Ransomware Preparedness というレポートが、Enterprise Strategy Group (ESG) と Keepit により公表された。それによると、65% のユーザー組織が、自社の存続を脅かす Top-3 の１つとしてランサムウェアを捉え、13% の組織は最大の脅威だと捉えているようだ。

Microsoft SQL がターゲット：FreeWorld ランサムウェアを展開する脅威アクターたち

Threat Actors Targeting Microsoft SQL Servers to Deploy FreeWorld Ransomware

2023/09/01 TheHackerNews — Microsoft SQL サーバのセキュリティの低さを悪用する脅威アクターが、Cobalt Strike を配信した上で、FreeWorldと呼ばれるランサムウェアを展開している。サイバー・セキュリティ企業 Securonix は、このキャンペーンを DB#JAMMER と名付け、そのツールセットとインフラの使用方法が際立っていると述べている。セキュリティ研究者である Den Iuzvyk と Tim Peck と Oleg Kolesnikov は、「これらのツールの中には、列挙ソフトウェア／RAT ペイロード／クレデンシャル窃盗のためのソフトウェアおよび、ランサムウェアのペイロードが含まれている。ここで選択されたランサムウェアのペイロードは、FreeWorld と呼ばれる Mimic ランサムウェアの新たな亜種だと思われる」と技術的な詳細の中で述べている。

LockBit 3.0 Builder のリークと影響：312種類もの亜種が量産されている

LockBit 3.0 Ransomware Builder Leak Gives Rise to Hundreds of New Variants

2023/08/26 TheHackerNews — 昨年に発生した、LockBit 3.0 ランサムウェア・ビルダーの流出により、このツールを悪用する脅威アクターたちが、新たな亜種を生み出している。ロシアのサイバー・セキュリティ企業である Kaspersky は、LockBit の亜種を展開するランサムウェアの侵入を検出したが、身代金要求の手順が著しく異なっていたと述べている。Kaspersky のセキュリティ研究者である Eduardo Ovalle と Francesco Figurelli は、「このインシデントを操る攻撃者は、NATIONAL HAZARD AGENCY と呼ばれる、新たなグループに関連する見出しを持つ、新たな身代金メモを使用している」と述べている。

ランサムウェア攻撃の統計値：各セキュリティ企業のレポートを比較してみた

Cybersecurity Companies Report Surge in Ransomware Attacks

2023/08/23 SecurityWeek — いくつかのサイバー・セキュリティ企業が、この数週間において、それぞれのランサムウェア・レポートを発表しているが、その大半において攻撃の大幅な増加が示されている。ランサムウェア攻撃は、サイバー犯罪グループに大きな利益をもたらし続けているが、サイバー・セキュリティ企業の最新したレポートによると、その量と巧妙さの両方が増加しているという。そこで SecurityWeek では、一連のレポートを分析し、最も重視すべき傾向を要約してみた。

MOVEit 脆弱性への Clop 攻撃が止まらない：NCC Group の脅威レポート

Continued MOVEit Exploitation Drives Record Ransomware Attacks

2023/08/22 InfoSecurity — Clop ギャングによる MOVEit 脆弱性の継続的な悪用により、2023年7月のランサムウェア攻撃件数が記録的なレベルに達したと、NCC Group の脅威インテリジェンス・チームは述べている。研究者たちは、７月だけで 502件という、最大規模のランサムウェア攻撃を観測した。この数値は、2022年7月との比較で154% 増であり、2023年6月との比較で 16% 増となっている。

Akira ランサムウェア：Cisco VPN 製品を標的として組織に侵入している

Akira ransomware targets Cisco VPNs to breach organizations

2023/08/22 BleepingComputer — Akira ランサムウェアが、Cisco VPN 製品を攻撃ベクターとして企業ネットワークに侵入し、データ窃取を行った後に暗号化するという証拠が増えている。Akira ランサムウェアは、2023年3月以降に検出された新しいランサムウェアであり、その後に、VMware ESXi 仮想マシンを標的とする Linux 暗号化ツールも開発している。

SEIKO がハッキングされた：犯行を主張する BlackCat がサンプル・データを公開

Japanese watchmaker Seiko breached by BlackCat ransomware gang

2023/08/21 BleepingComputer — BlackCat／ALPHV ランサムウェア・ギャングの恐喝サイトに、SEIKO の名前が加わり、今月の初めに同社が公表した、サイバー攻撃への対応を要求している。SEIKO は世界最大級の規模を誇る歴史のある時計メーカーであり、従業員数は約 12,000人／年間売上高は $1.6 billion を超える。2023年8月10日に同社は、データ漏洩の通知を発表し、無許可の第三者が IT インフラの一部に不正アクセスし、流出させたことを認めた。

急増するランサムウェア攻撃：2023年上半期には 1,500件の被害が確認された – Rapid7

Ransomware Surges With 1500 Confirmed Victims This Year

2023/08/17 InfoSecurity — Rapid7 の 2023 Mid-Year Threat Review によると、2023年の上半期においては、全世界で少なくとも 1500の組織がランサムウェア攻撃の被害に遭っている。これらの攻撃の大半は、主要なランサムウェア・ギャングである、LockBit (35.3％)／ALPHV/BlackCat (14.2％)／Cl0p (11.9％) により実施されている。Rapid7 の Vulnerability Research Manager である Caitlin Condon は、「2023年上半期のデータを集計した時点では、MOVEit Transfer ハッキングにおける新たな被害者を集計している最中であり、Cl0p によるインシデント数は、調査結果よりも多い可能性がある」と InfoSecurity に語っている。

Monti ランサムウェアの最新 Linux encryptor：Conti からの継承を削減している

Monti Ransomware gang launched a new Linux encryptor

2023/08/15 SecurityAffairs — Monti ランサムウェアのオペレーターが、２ヶ月の休みを経て、暗号化ソフトを刷新した Linux バージョンを携えて戻ってきた。この亜種は、政府や司法の組織を狙った攻撃で使用されている。 Monti グループは、Conti ランサムウェア・ギャングが活動を停止した直後の、2022年6月から活動を開始している。研究者たちは、この２つのギャングの TTP に、複数の類似点があることに気づいた。つまり、Monti のオペレータも、Conti から流出したソースコード・ベースにして暗号化を行っていたのだ。

Abyss Locker ランサムウェア Linux 版：VMware ESXi サーバを狙っている

Linux version of Abyss Locker ransomware targets VMware ESXi servers

2023/07/29 BleepingComputer — Abyss Locker オペレーションは、Linux 暗号化ツールの開発における最新の事例であり、企業に対する攻撃において VMware の ESXi 仮想マシン・プラットフォームを標的にしている。リソース管理／パフォーマンス／ディザスタ・リカバリなどの向上を目的に、企業が個々のサーバーから仮想マシンへと移行するにつれて、ランサムウェア・ギャングたちは、このプラットフォームを標的とした暗号化ツールを開発するようになっている。

政府系サービス企業 Maximus に MOVEit ハッキング：最大 1100万人の個人情報を侵害

Up to 11 Million People Hit by MOVEit Hack at Government Services Firm Maximus

2023/07/27 SecurityWeek — 今週に、政府系サービス・プロバイダーの Maximus が発表したのは、2023年の前半において MOVEit サイバー攻撃を受け、最大で 1100万人分の個人情報が盗み出されたという被害の内容である。この、2023年5月末に公表された攻撃は、MOVEit Transfer の MFT (Managed File Transfer) ソフトウェアのゼロデイ脆弱性を悪用するもので、このソフトを介して、脅威アクターは転送されたデータを窃取していた。

Nitrogen というキャンペーン：Google／Bing の広告を介してマルウェアを展開

New Nitrogen malware pushed via Google Ads for ransomware attacks

2023/07/26 BleepingComputer — Nitrogen マルウェアによる、イニシャル・アクセス・キャンペーンは、Google や Bing などの検索広告で偽ソフトウェア・サイトを宣伝し、疑念を持たないユーザーたちに、Cobalt Strike やランサムウェアのペイロードに感染させていくものだ。Nitrogen マルウェアの目的は、企業ネットワークへのイニシャル・アクセスを脅威アクターたちに提供し、データ窃取やサイバー・スパイ活動を行わせ、最終的に BlackCat／ALPHV ランサムウェアを展開させることにある。7月26日に Sophos が発表したレポートには、Nitrogen キャンペーンに関する詳細な説明として、AnyDesk／Cisco AnyConnect VPN／TreeSize Free／WinSCP などの一般的なソフトウェアになりすまし、主に北米の技術組織や非営利組織をターゲットにしている状況が記されている。

2023 Q1／Q2 比較でランサムウェア攻撃が 74％の急増 – SonicWall

Ransomware Attacks Skyrocket in Q2 2023

2023/07/26 InfoSecurity — 2023 Q2 と Q1 の比較において、ランサムウェア攻撃が 74％も急増したことが、最新のレポートで明らかになった。2023 SonicWall Mid-Year Cyber Threat Report では、2023年に入ってからのランサムウェア攻撃件数について、２つの非常に不均衡な現象が観測された。SonicWall Capture Labs の研究者たちは、2023 Q1 に 5,120万件の攻撃を観測しているが、これは 2019 Q4 以降で最小の件数だった。しかし、Q2 にはランサムウェアが復活し、8,890万件の攻撃が確認され、Q1 から 74％の急増となった。

2023年6月のランサムウェア攻撃件数：活発な Clop などにより過去最高を記録

Clop Drives Record Ransomware Activity in June

2023/07/21 InfoSecurity — NCC Group の Global Threat Intelligence Team の分析によると、6月のランサムウェア攻撃は前年同月比 221%増の 434件となり、過去最高を記録したことが判明した。この増加の要因として挙げられるのは、MOVEit の脆弱性を悪用する Clop によるグローバル組織への攻撃、および、Lockbit 3.0 などのグループによる一貫したハイレベルの活動、そして、５月以降に登場した新たなグループだと、同社は主張している。