Ransomware – Page 6 – IoT OT Security News

Mallox ランサムウェアが 174％増：脆弱な MS-SQL サーバを介してネットワークに侵入

Mallox Ransomware Exploits Weak MS-SQL Servers to Breach Networks

2023/07/20 TheHackerNews — 2023年における Mallox ランサムウェアの活動が、前年比で 174％増加していることが、Palo Alto Networks Unit 42 の新たな調査結果で明らかになった。セキュリティ研究者の Lior Rochberger と Shimi Cohen は、「Mallox ランサムウェアは、他の多くのランサムウェア脅威アクターと同様に、二重の恐喝のトレンドに従っている。その手口は、組織のファイルを暗号化する前にデータを盗み、その後に、被害者に身代金料金を支払わせるために、盗んだデータをリークサイトで公開するというものだ」と The Hacker Newsと共有したレポートの中で述べている。

Sophos の名を語る SophosEncrypt という RaaS：ID Ransomware に被害者からの投稿

Cybersecurity firm Sophos impersonated by new SophosEncrypt ransomware

2023/07/18 BleepingComputer — サイバー・セキュリティ・ベンダーの Sophos が、新しい RaaS (ransomware-as-a-service) になりすまされているが、この脅威アクターは同社の名前を取り込んだ、SophosEncrypt という名前で活動している。この、昨日に MalwareHunterTeam により発見されたランサムウェアは、当初は Sophos 自身のレッドチームによる演習の一環と考えられていた。しかし、Sophos X-Ops チームは、この暗号化ツールを作成したのは自分たちではなく、その立ち上げについて調査中であるとツイートした。

MOVEit ハッキング：340 の組織と 1800万人を超える個人が侵害された – Emsisoft

MOVEit Hack: Number of Impacted Organizations Exceeds 340

2023/07/17 SecurityWeek — Clop グループが仕掛ける MOVEit 攻撃により、影響を受けた組織の数は 340 に達し、1800万人を超える被害者を生み出したと報じられている。サイバー・セキュリティ企業 Emsisoft の脅威アナリストであり、このキャンペーンを監視している Brett Callow は、現時点において米国内の 58 の教育機関を含む、347 の組織が影響を受けていると述べた。この中には、先週に学生と従業員のデータが盗まれた可能性のある、コロラド州立大学も含まれている。

金融サービスにおけるランサムウェア被害額：2018〜2022 の５年間で $32 bn

Ransomware Costs Financial Services $32bn in Five Years

2023/07/14 InfoSecurity — 世界の金融サービス組織は、2018年以降におけるランサムウェアの侵入により、$32bn 相当以上のダウンタイムを生じていると、最新のレポートが主張している。Comparitech は、これまでの５年間における、金融業界で確認された 225件の攻撃を分析し、平均的な組織で起こったインシデントにより、２週間のダウンタイムが生じていることを明らかにした。

2023年の恐喝型ランサムウェアは大成功：暗号通貨犯罪の被害額は 62% ダウン

Crypto Crime Down 62% but Ransomware Activity Surges

2023/07/12 InfoSecurity — Chainalysisによると、2023年上半期の既知の犯罪組織への暗号通貨の流入は、2022年の同時期と比較して 65％減少したが、ランサムウェアは最大級の１年になる勢いだという。同社は 2023年上半期のブロックチェーン活動を分析し、Crypto Crime Midyear Update をまとめた。それによると、暗号ミキサーやリスクの高い取引所のような、危険なエンティティでの取引量も、前年同期比で 42％減と大幅に減少した。しかし、合法的なサービスにとの取引量も 28％減少した。

MOVEit の脆弱性 CVE-2023-34362：Clop ランサムウェア攻撃が 257社に達した

Clop: Behind MOVEit Lies a Loud, Adaptable and Persistent Threat Group

2023/07/12 InfoSecurity — MOVEit サイバー攻撃は拡大し続けており、毎日のように数多くの企業が被害者リストに挙げられている。Emsisoft の脅威アナリストである Brett Callow によると、2023年7月11日までに、この攻撃の犠牲となった企業は 257社で、個人は 17,750,524名に上るという。その一方で、この攻撃を行ったとされるランサムウェア・グループ Clop は、リークサイトの被害者リストを更新し続けている。新たに追加されたのは、大手金融会社 (Deutsche Bank／ING Bank／Post Bank) や 25 の米国の学校などだ。

MOVEit Transfer の３つの深刻な脆弱性が FIX：各バージョンごとに確認すべきアップデートとは？

MOVEit Transfer customers warned to patch new critical flaw

2023/07/07 BleepingComputer — Clop ランサムウェアの最近における大規模な侵入で、主として悪用されているソフトウェアである MOVEit Transfer の、深刻な SQL インジェクション脆弱性を含む３つの脆弱性が修正された。この SQL インジェクションの脆弱性は、特別なクエリを細工した攻撃者による、データベースへの不正アクセスやコード実行および、データベースの改ざんを可能にするものだ。そして、これらの攻撃の前提条件として挙げられるのは、対象となるアプリケーションの入出力データにおける、適切なサニタイズが欠落となる。

RedEnergy という Stealer-as-a-Ransomware：ブラジルとフィリピンのインフラを攻撃している

RedEnergy Stealer-as-a-Ransomware Threat Targeting Energy and Telecom Sectors

2023/07/05 TheHackerNews — RedEnergy と名付けられた高度なランサムウェアの脅威が、ブラジルとフィリピンの公共／電力／石油／ガス／テレコム／機械などの部門を標的として、LinkedIn のページを介した野放し状態での攻撃を行っていることが発見された。Zscaler の研究者である Shatak Jain と Gurkirat Singh は、「このマルウェアは各種のブラウザから情報を盗み出す能力を持ち、機密データの流出を可能にすると同時に、ランサムウェア活動を実行するための、さまざまなモジュールを組み込んでいる」と、最近の分析結果を説明している。研究者たちは、被害者に最大限の損害を与えることを目的として、データ窃盗と暗号化を組み合わせていると指摘している。

75% の消費者は覚悟を決めている：ランサムウェアに攻撃されたベンダーからは逃げ出すぞ！

75% of consumers prepared to ditch brands hit by ransomware

2023/07/05 HelpNetSecurity — 消費者の 40% は、ベンダーが提供するデータ保護能力に懐疑的であり、75% はランサムウェア攻撃を受けた場合に別の企業に移行するという、Object First の調査結果が公表された。さらに、消費者はベンダーに対してデータ保護の強化を求めている。信頼性の高いバックアップ／リカバリ／パスワード保護／ID アクセス管理戦略などの、包括的なデータ保護対策を持つ企業を、消費者の 55% が支持しているという。組織がデジタル・トランスフォーメーションへの取り組みを強化するにつれて、データ量は飛躍的に拡大する一方で、ランサムウェア攻撃がサイバー脅威の主流となっている。

名古屋港に最大規模のランサムウェア攻撃：操業停止に追い込まれる

Japan’s largest port stops operations after ransomware attack

2023/07/05 BleepingComputer — 日本最大の港湾である名古屋港がランサムウェア攻撃の標的となり、現在コンテナ・ターミナルの運営に影響が出ている。日本の総貿易量のおよそ 10％を占めている名古屋港は、21の埠頭と 290のバースを運営しており、毎年 200万個以上のコンテナと 1億6500万トンの貨物を取り扱っている。また、世界最大の自動車メーカーのひとつであるトヨタ自動車は、この港を利用して大半の自動車を輸出している。

TSMC への LockBit 攻撃：身代金として $70 million が要求されているが・・・

TSMC denies LockBit hack as ransomware gang demands $70 million

2023/06/30 BleepingComputer — 台湾のチップ製造大手の TSMC (Taiwan Semiconductor Manufacturing Company) に対して、LockBit ランサムウェアが $70 million を要求しているが、同社はハッキングされたことを否定している。TSMC は世界最大級の半導体メーカーであり、その製品は、スマートフォン／高性能コンピューティング／IoT デバイス／自動車／デジタル家電などの、さまざまなデバイスで使用されている。

Akira ランサムウェアの Linux 版が登場：VMware ESXi サーバが標的に

Linux version of Akira ransomware targets VMware ESXi servers

2023/06/28 BleepingComputer — Akira ランサムウェアは、Linux 暗号化ツールを使用して VMware ESXi 仮想マシンを暗号化することで、世界中の企業に対して二重の恐喝攻撃を仕掛けている。このランサムウェアは、2023年3月に登場して以来、教育／金融／不動産／製造／コンサルティングなどの、さまざまな業界の Windows システムを標的としてきた。Akira を操る脅威アクターは、企業を標的とした他のランサムウェア・ギャングと同様に、侵害したネットワークからデータを盗み、ファイルを暗号化して、被害者に二重の恐喝を行い、数百万ドルもの支払いを要求する。

MOVEit 攻撃の新たな被害者：Schneider Electric と Siemens Energy が攻撃された

Schneider Electric and Siemens Energy are two more victims of a MOVEit attack

2023/06/27 SecurityAffairs — MOVEit 攻撃の新たな被害者５社が、Clop ランサムウェア・グループにより、ダークウェブのリークサイトに追加された。そのうちの Schneider Electric と Siemens Energy の２社は、世界中の重要な国家インフラで利用される、産業用制御システム ICS (Industrial Control Systems) を提供するベンダーである。

MOVEit ゼロデイ侵害の被害が拡大：保険／年金などの契約者 3.2M 人分のデータが流出？

MOVEIt breach impacts GenWorth, CalPERS as data for 3.2 million exposed

2023/06/23 BleepingComputer — PBI Research Services (PBI) を侵害した、最近の MOVEit Transfer データ窃取攻撃により、合計で 475万人分のデータが盗まれたと、同社の顧客三社が公表している。一連の攻撃は 2023年5月27日に始まっており、Clop ランサムウェア・ギャングが MOVEit Transfer のゼロデイ脆弱性を悪用し、数百の企業からデータを盗んだインシデントだとされている。この１週間において Clop ランサムウェア・ギャングは、被害者に対する身代金支払いのプレッシャーとして、影響を受けた組織をデータ漏洩サイトに段階的にリストアップし、企業を恐喝し始めている。

Azure／Outlook／OneDrive への執拗な DDoS 攻撃：Anonymous Sudan の犯行だと Microsoft が判定

Microsoft confirms Azure, Outlook outages caused by DDoS attacks

2023/06/18 BleepingComputer — Microsoft が発表したのは、先日に Azure／Outlook／OneDrive の Web ポータルで発生した障害が、同社サービスの Layer 7 に対する DDoS 攻撃であったというものだ。この攻撃は、Microsoft が Storm-1359 として追跡している脅威アクター (別名 Anonymous Sudan) に起因するものだと見られている。この障害は 2023年6月初旬に発生し、Outlook.com (7日)／OneDrive (8日)／Microsoft Azure (9日) という順序で、それぞれの Web ポータルが標的となった。

Killnet の主張：REvil／Anonymous Sudan と連携して欧米の金融組織を攻撃する

Killnet Threatens Imminent SWIFT, World Banking Attacks

2023/06/17 DarkReading — Killnet と呼ばれる親ロシア派のハッカー集団が、ランサムウェア・ギャング REvil の復活に関与していると主張している。その目的はというと、欧米の金融システムに対する攻撃である。しかし、これまで Killnet が行ってきた DDoS 攻撃の実績からすると、単なる威勢のいい脅しに過ぎないのかどうかは不明である。6月16日にロシアの Telegram チャンネルに投稿されたビデオで Killnet は、SWIFT 銀行システム (2018年に Lazarus の標的となった)／Wise 国際電信送金システム／SEPA欧州内決済サービス／欧州米国の中央銀行などの機関に対して、攻撃を仕掛けるという脅しをかけている。

MOVEit とデータ窃取攻撃：Clop ランサムウェア・ギャングが被害者への恐喝を開始

Clop ransomware gang starts extorting MOVEit data-theft victims

2023/06/15 BleepingComputer — MOVEit を介したデータ窃取攻撃の被害者となった企業に対する、Clop ランサムウェア・グループによる恐喝が始まった。この動きは、5月27日に Clop が、ファイル転送プラットフォーム MOVEit Transfer のゼロデイ脆弱性を悪用し、そのサーバに保存されているファイルを盗み出したことに起因している。Clop の主張は、この攻撃により数百の企業に侵入したというものであり、交渉が成立しなければ 6月14日にデータ漏洩サイトに掲載すると脅迫している。さらに、要求額が支払われない場合には、盗み出したデータの流出を、6月21日から開始すると述べている。

LockBit の被害総額が $91M に達した：CISA／FBI／MS-ISAC などが共同勧告

CISA: LockBit ransomware extorted $91 million in 1,700 U.S. attacks

2023/06/14 BleepingComputer — CISA が発表した共同アドバイザリには、2020年以降の米国組織に対する約 1,700件の攻撃において、LockBit ランサムウェア・ギャングが、約 $91M の恐喝に成功していると記されている。RaaS (Ransomware-as-a-Service) オペレーションである LockBit は、2022年におけるランサムウェアの脅威をリードし、そのデータ漏洩サイトで開示した犠牲者の数は最多であったと、米国／英国／オーストラリア／カナダ／ドイツ／フランス／ニュージーランドなどの、それぞれの当局が述べている。

サイバー恐喝攻撃は蔓延の傾向：欧米から東南アジアへと移行する攻撃対象

Cyber extortion hits all-time high

2023/06/12 HelpNetSecurity — Orange Cyberdefense によると、近年におけるサイバー恐喝攻撃は蔓延の傾向を示しており、あらゆる規模や業種の組織にとって、大きな脅威になっているという。同社の調査で確認された。合計 6,707件の企業被害者のデータを分析したところ、国や業種により被害者数に変動があり、新たな地域にも攻撃が広がっていることが判明した。2022年にはサイバー恐喝被害者数は 8% の減少というデータが示されているが、この減少は短期間に限定されたものであり、最新データである 2023年 Q1 の状況は、これまでで最大のボリュームとなっている。

日本の製薬会社エーザイにランサムウェア攻撃：サーバの一部が暗号化された

Pharmaceutical Giant Eisai Hit By Ransomware Incident

2023/06/08 InfoSecurity — 日本の製薬会社であるエーザイは、6月3日 (土) に発生したランサムウェアの被害に遭い、同グループにおける一部サーバが暗号化されたことを発表した。このサイバー攻撃の結果として、物流システムを含む複数のシステムが、一時的にオフラインになった。なお、エーザイの Web サイトやメールシステムは稼働しており、現時点ではデータ流出の可能性を調査中とのことだ。

Linux の新型ランサムウェア BlackSuit：Royal ランサムウェアとの類似性が判明

New Linux Ransomware BlackSuit is similar to Royal ransomware

2023/06/02 SecurityAffairs — 2022年に注目を集めたランサムウェア・ファミリー Royal は、2023年5月初旬にテキサス州ダラスの IT システムに対する攻撃を行っている。人手によるオペレーションを特徴とする Royal ランサムウェアは、2022年9月に初めて脅威環境に登場し、最大で数百万ドルの身代金を要求してきた。Royal ランサムウェアは C++ で書かれており、Windows システムに感染し、データ復旧を防ぐために全てのボリュームシャドウコピーを削除する。このランサムウェアは、ローカルネットワーク上のネットワーク共有とローカルドライブを、AES アルゴリズムで暗号化していくとされる。

ランサムウェアとアクセス・ブローカー：地下でつながり利益を上げるグループたち – WithSecure

Ransomware Gangs Adopting Business-like Practices to Boost Profits

2023/05/30 InfoSecurity — WithSecure の最新のレポートから推察されるのは、ランサムウェア・ギャングが利益を上げるために、各種のビジネスライクな手法を採用している点であり、それにより個々のグループを判別することが、防御側にとって困難になっていることだ。フィンランドで開催された Sphere23 において、WithSecure の Senior Threat Intelligence Analyst である Stephen Robinson は、このような合法的なビジネス手法を反映する動きは、TTPs (Tactics, Techniques and Procedures) が曖昧になっていることを示唆すると述べている。

Buhti というランサムウェア：LockBit／Babuk のコードを流用する新たな脅威

New Buhti ransomware gang uses leaked Windows, Linux encryptors

2023/05/25 BleepingComputer — Buhti と命名された新しいランサムウェア・オペレーションが、LockBit／Babuk ランサムウェア・ファミリーの流出コードを使用して、Windows／Linux システムを狙っている。Blacktail として追跡されている Buhti の背後にいる脅威アクターは、独自にランサムウェアを開発せずに、”double-extortion” として知られるカスタムデータ流出ユーティリティを使用して被害者を脅迫している。2023年2月に Palo Alto Networks の Unit 42 チームにより、野放し状態で活動している Buhti が発見されたが、Goland ベースのランサムウェアであり、Linux を標的としていることが確認されている。

バックアップの重要性について再考：ランサムウェアから身を守るために – Veeam

Backup Repositories Targeted in 93% of Ransomware Attacks

2023/05/24 InfoSecurity — Veeam の 2023 Ransomware Trends Report によると、依然としてランサムウェアの脅威は生き続けており、これまでの 12ヶ月間において、85% の組織が少なくとも１回は、そのような攻撃を受けたことがあるとしている。このレポートは、「このような傾向が続けば、ランサムウェア攻撃による損失が、利益を上回るという組織が多くなる」と警告している。

ドイツの兵器メーカー Rheinmetall にランサムウェア攻撃：BlackBasta が犯行を主張

Arms maker Rheinmetall confirms BlackBasta ransomware attack

2023/05/23 BleepingComputer — ドイツの自動車／兵器メーカーである Rheinmetall AG が公表したのは、BlackBasta ランサムウェア攻撃を受け、民需ビジネスに影響が及んだことだ。 Rheinmetall は、自動車／軍用車／兵器／防空システム／エンジン／各種鉄鋼製品などを製造するドイツのメーカーであり、従業員数は 25,000人以上、$7 billion 以上の年間売上高を有している。

Windows 環境に潜む悪意のカーネル・ドライバ：BlackCat ランサムウェアの回避策が判明

Malicious Windows kernel drivers used in BlackCat ransomware attacks

2023/05/22 BleepingComputer — ALPHV ランサムウェア・グループ (別名 BlackCat) が、署名された不正な Windows カーネル・ドライバを採用し、攻撃時におけるセキュリティ・ソフトウェアによる検出を回避していることが確認された。Trend Micro が確認した ALPHV のドライバは、昨年末のランサムウェア攻撃が生じた際に、Microsoft／Mandiant／Sophos／SentinelOne などが発見した、POORTRY という名のマルウェアの改良版である。

MalasLocker ランサムウェアが Zimbra サーバを攻撃：身代金のかわりに慈善団体への寄付を要求

MalasLocker ransomware targets Zimbra servers, demands charity donation

2023/05/17 BleepingComputer — Zimbra サーバをハッキングして電子メールを盗み出し、ファイルを暗号化するという、新たなランサムウェア・オペレーションが確認されている。しかし、この脅威アクターは、暗号化装置を提供しデータ漏洩を防ぐために、身代金の支払いに代えて慈善団体への寄付を要求すると主張している。BleepingComputer により MalasLocker と名付けられた、このランサムウェア・オペレーションは、2023年3月末に Zimbra サーバへの攻撃を開始し、メールが暗号化されたと、Zimbra フォーラムでは被害者たちは報告している。

Qilin は新たな RaaS：Rust／Go を採用により高度なステルス攻撃を成功させている

Qilin’s Dark Web Ransomware Targets Critical Sectors

2023/05/15 InfoSecurity — Qilin ランサムウェア・グループの、オペレーションおよび Ransomware-as-a-Service (RaaS) プログラムに関する、新たな情報が明らかになった。Group-IB の Threat Intelligence Team は、最新の調査研究の一環として Qilin 内部に潜入した。そこから得られた分析の結果として、重要セクターをターゲットとしていることや、採用されている高度な技術に関する洞察が明らかになったと述べている。Qilin は Agenda とも呼ばれるランサムウェアであり、2022年8月に発見されてから、深刻な脅威として浮上しているとのことだ。

2023 Q1 のランサムウェア・レポートを提供：Dashboard Ransomware Monitor というプロジェクト

Introducing the DRM-Report Q1 2023: Unveiling the Current State of Ransomware

2023/05/15 SecurityAffairs — サイバー・セキュリティ監視の独立したプラットフォームである Dashboard Ransomware Monitor が、2023年 Q1 における DRM-Report を発表した。この包括的なレポートは、世界中で憂慮すべきランサムウェア攻撃の増加を掘り下げ、サイバー犯罪者の活動の状況について、貴重な洞察を提供するものだ。

RA Group という新たなランサムウェア：Babuk クローンで３社を侵害している

New Ransomware Gang RA Group Hits U.S. and South Korean Organizations

2023/05/15 TheHackerNews — RA Group という名の新たなランサムウェア・グループが、流出した Babuk ランサムウェアのソースコードを活用して、独自のロッカー・バリアントを派生させている。サイバーセキュリティ企業 Cisco Talos によると、このサイバー犯罪集団は、遅くとも 2023年4月22日から活動しているとされ、急速に活動を拡大しているとのことだ。

CISA／FBI の共同勧告：PaperCut の脆弱性 CVE-2023-27350 が悪用されている

PaperCut Software Flaw Sparks Ransomware Attacks, CISA Warns

2023/05/12 InfoSecurity — PaperCut ソフトウェアの深刻な脆弱性が、近ごろの一連のランサムウェア攻撃に悪用されていると、米国の CISA が警告を発している。広く採用されている印刷管理ソリューション PaperCut に存在する、脆弱性 CVE-2023-27350 の悪用に成功した攻撃者は、認証情報を必要とせずに悪意のコードをリモートで実行できるようになる。その結果として、攻撃者はランサムウェアの展開に成功し、機密データへの不正アクセスに成功している。

Babuk ランサムウェアのソースコード流出：VMware ESXi を狙う脅威アクターたちが特定された

Leaked source code of Babuk ransomware used by 10 different ransomware families targeting VMware ESXi

2023/05/12 SecurityAffairs — 2021年に流出した Babuk ランサムウェアのソースコードをベースにして、VMware ESXi ロッカーを使用する 10件のランサムウェア・ファミリーを、SentinelLabs の研究者たちが特定した。研究者たちが指摘するのは、これらのランサムウェア・ファミリーが、2022年下半期〜2023年上半期に確認されている点である。つまり、Babuk ランサムウェアのソースコードを使用する、脅威アクターが増加していると推測されるという。それらの脅威アクターたちは、流出したソースコードを利用することで、Linux システムを標的としたランサムウェアを、専門知識がなくても作成できるようになると、専門家たちは説明している。

Cyber Threat Landscape 2023/04：リスク・インテリジェンスの指標 – Flashpoint

Risk Intelligence Index: The April 2023 Cyber Threat Landscape

2023/05/11 SecurityBoulevard — Flashpoint の最新のランサムウェア・インフォグラフィックは、サイバー犯罪者が採用する戦術の洗練と、進化する脅威の状況を痛烈に描き出している。2023年4月に、同社のアナリストたちは、合計で 411件のランサムウェア攻撃を観測している。

Dragos が制した攻防戦：セキュリティ企業を狙った侵害と脅迫を分析する

Dragos Employee Hacked, Revealing Ransomware, Extortion Scheme

2023/05/11 DarkReading — セキュリティ企業は、サイバー攻撃から身を守るために、一般的な組織よりも態勢を整えるべきだという意見があるかもしれない。先日の Dragos では、新入社員の個人的な電子メール・アカウント侵害の後に発生したソーシャル・エンジニアリング攻撃で、既知のランサムウェア・グループが脅迫を開始したが、失敗したようである。

Akira というランサムウェアが登場：すでに 16社を侵害したと主張している

Meet Akira — A new ransomware operation targeting the enterprise

2023/05/07 BleepingComputer — 新たなランサムウェア Akira が、世界中の企業ネットワークに侵入してファイルを暗号化し、徐々に犠牲者のリストを増やし、million-dollar の身代金を要求している。2023年3月に検出された Akira は、すでに 16社の企業に対して攻撃を行ったと主張している。それらの企業には、教育／金融／不動産／製造／コンサルティングなどの、さまざまな業種が含まれている。Akira という名前の、別のランサムウェアが、2017年にリリースされているが、今回のオペレーションとは関連性はないと考えられている。

Western Digital へのデータ侵害：３月のサイバー攻撃で顧客データが盗まれたことを認める

Western Digital says hackers stole customer data in March cyberattack

2023/05/07 BleepingComputer — 2023年3月にサイバー攻撃を受けた Western Digital は、ハッカーに機密個人情報が盗まれたことを認め、オンラインストアを休止し、顧客にデータ侵害の通知を送った。同社は、2023年5月5日(金) の午後にデータ侵害通知をＥメールで送信し、顧客のデータが保存されていた、Western Digital のデータベースが盗まれたことを警告した。Western Digital は、「2023年3月26日頃に、不正な第三者による侵害が発生し、当社のオンラインストア・ユーザーの限定的な個人情報を含む、Western Digital データベースのコピーを取得したことが、調査により判明した」と述べている。

T-Mobile でデータ侵害が発生：2023 年に入って二度目の深刻なインシデントを公表

T-Mobile discloses second data breach since the start of 2023

2023/05/01 BleepingComputer — 2023年2月下旬から1ヶ月以上にわたって、T-Mobile の数百人分の個人情報に、攻撃者がアクセスしていたことが判明し、同社は今年に入ってからの２度目のデータ漏洩を公表した。T-Mobile が過去に報告したデータ漏洩インシデント (最新のものは 3700万人に影響を与えた) と比較すると、今回は 836人の顧客が影響を受けただけだった。それでも、漏洩した情報の量はきわめて広範囲に及び、影響を受けた個人は、個人情報の盗難やフィッシング攻撃にさらされることになる。

Western Digital のデータ侵害：脅威アクター ALPHV からの脅迫がエスカレート

Hackers leak images to taunt Western Digital’s cyberattack response

2023/05/01 BleepingComputer — BlackCat という名で活動する ALPHV ランサムウェア・オペレーションだが、Western Digital から盗んだとする内部メールやビデオ会議のスクリーン・ショットを公開し、同社が侵害に対応する間もシステムにアクセスし続けていた可能性が高いことを示した。この情報の開示は、4月17日に脅威アクターが Western Digital に対して、身代金が支払われない場合は、我慢できないところまで痛めつけると、警告した後のことである。

2023年 Q1 のサイバー攻撃：グローバルでの件数は 7% の増加 – Check Point 調査

Global Cyber Attacks Rise by 7% in Q1 2023

2023/04/28 InfoSecurity — 2023年 Q1 におけるサイバー攻撃は、昨年同期と比較して全世界で 7% 増加し、調査対象となった各企業は、平均で 1248件／週の攻撃に直面していることが判明した。この数字は、Check Point の最新調査レポートによるものであり、教育／研究の分野が最も多くの攻撃を受け、平均で 2507件／週 (前年比で 15% 増) まで上昇したことも示されている。このレポートには、「攻撃の量は僅かな上昇に留まっているが、正規のツールを武器化する方法を見つけ出したサイバー犯罪者による、洗練された悪意のキャンペーンを目撃している」と記されている。

Google Play の 2022年の戦い：ブロックした悪質なアプリは 140万件！

Google Blocked 1.4 Million Bad Apps From Google Play in 2022

2023/04/28 SecurityWeek — Google Play におけるセキュリティ機能の強化により、悪質なアプリケーションの公開が、2022年には 140万件以上もブロックされたとのことだ。強化されたポリシーに加えて、機械学習とアプリ審査プロセスの改善を組み合わせたことで、Google Play のポリシーに違反する悪質なアプリを、自動的にブロックすることができたと、同社は述べている。さらに、Android の保護とポリシーの強化に加えて、開発者への教育が進んだことで、これまでの３年間で 50万件以上のアプリにおいて、不必要な機密権限へのアクセスが遮断されたと Google は付け加えている。

PaperCut MF／NG の脆弱性 CVE-2023-27350：Cl0p ランサムウェアが悪用 – Microsoft 報告

Microsoft: Cl0p Ransomware Exploited PaperCut Vulnerabilities Since April 13

2023/04/27 SecurityWeek — Microsoft の発表によると、FIN11 および TA505 と提携している Cl0p ランサムウェアのオペレーターが、パッチが適用されたばかりの PaperCut の脆弱性を、4月13日から悪用し始めたようだ。問題の脆弱性は、PaperCut MF／NG プリント管理システムに影響を与えるものだ。この脆弱性 CVE-2023-27350 (CVSS：9.8) の悪用に成功した攻撃者は、認証をバイパスしてシステム権限でリモート・コード実行 (RCE) を行うことが可能になる。この脆弱性は、2023年3月にリリースされたバージョン 20.1.7／21.2.11／22.0.9 で修正されているが、それと同時に、PaperCut MF／NG の情報漏えいの脆弱性 CVE-2023-27351 に対応されている。

RTM Locker ランサムウェア：強力な暗号化機能で VMware を狙う – Uptycs

RTM Locker Ransomware Targets Linux Architecture

2023/04/27 InfoSecurity — Linux システムを標的とする新たなランサムウェアのバイナリが発見されたが、RTM Ransomware-as-a-Service グループに起因するものであることが判明した。Uptycs のセキュリティ研究者たちが、4月26日 (水) に公開したアドバイザリでは、RTM グループが Linux バイナリを作成したのは初めてのことだという、調査結果が共有されている。同社は、「この Locker ランサムウェアは、Linux／NAS／ESXi ホストに感染するものであり、Babuk ランサムウェアから流出したソースコードに影響を受けているようだ」と説明している。

Veeam Backup & Replication の脆弱性：ロシアの FIN7 サイバー犯罪組織が狙っている – WithSecure

FIN7 Hackers Caught Exploiting Recent Veeam Vulnerability

2023/04/26 SecurityWeek — ロシアのサイバー犯罪グループ FIN7 だが、パッチ未適用の Veeam Backup & Replication インスタンスを、最近の攻撃で悪用していることが確認されたと、サイバーセキュリティ企業 WithSecure が報告している。2015年頃から存在し、Anunak／Carbanak とも呼ばれる FIN7 は、主にクレジット・カード情報の窃盗にフォーカスする金銭的動機のあるグループだ。セキュリティ研究者たちは、多数のサブグループが、FIN7 傘下で活動していると考えている。これまでの数年間において、FIN7 の活動と重なる脅威アクターたちの中には、REVIL／DarkSide／BlackMatter／Alphv／Black Basta といったランサムウェアへ移行していった者も見られるという。

Evil Extractor という攻撃ツール：情報スティーラーでありランサムウェアも含む

Evil Extractor Targets Windows Devices to Steal Sensitive Data

2023/04/21 InfoSecurity — Kodex が “教育用“ として開発した、Evil Extractor という攻撃ツールが、Windows ベースのマシンを標的とした攻撃に悪用されている。2023年4月10日 (木) に公開されたアドバイザリで、「このマルウェアは、3月30日に観測されたフィッシング・キャンペーンで見つかったものであり、アドバイザリに含まれるサンプルまで辿り着いた。このキャンペーンは、正規の Adobe PDF や Dropbox ファイルなどを装うものであり、ロードすると PowerShell を活用した悪意の活動を開始する」と、Fortinet のセキュリティ研究者たちは主張している。

AuKill マルウェア：悪意のドライバーで EDR を無力化してから攻撃を開始

‘AuKill’ Malware Hunts & Kills EDR Processes

2023/04/21 DarkReading — 標的とする企業の EDR (Endpoint Detection and Response) 防御を無効化するために、脅威アクターがランサムウェアを展開する前に用いる、AuKill というサイバー犯罪ツールが登場した。このツールは、悪意のデバイス・ドライバーを利用して、標的システムへと侵入するものだ。最近の２つのインシデントでは、ランサムウェア Medusa Locker を展開する前に AuKill を使用している敵対者を、Sophos が観察している。同社は、別のインシデントにおいて、ランサムウェア LockBit のインストール前に、すでに侵害したシステムで、この EDR キラーを使用しする攻撃者を発見している。

LockBit が macOS 用のマルウェアを開発：サンプルが検出されたが完成度は？

Researchers Discover First Ever Major Ransomware Targeting macOS

2023/04/19 DarkReading — 悪名高い LockBit ランサムウェア・グループが、macOS デバイス用のマルウェアを開発した。これは、主要なランサムウェア・グループが、Apple の領域に踏み込む初めてのケースになる。LockBit は、世界で最も多発する Ransomware-as-a-service (RaaS) オペレーターの１つであり、注目を集める攻撃／洗練された悪意のプログラム／グレードAの PR などで知られている。

Microsoft SQL に Trigona ランサムウェア：脆弱なサーバに侵入してペイロードを展開

Microsoft SQL servers hacked to deploy Trigona ransomware

2023/04/19 BleepingComputer — セキュリティが不十分でインターネットには公開されていない、Microsoft SQL (MS-SQL) サーバに侵入した脅威アクターたちが、 Trigona ランサムウェアのペイロードを展開し、全てのファイルを暗号化している。MS-SQL サーバが頻繁に侵害される理由として挙げられるのは、推測しやすいアカウント認証情報を悪用したブルートフォース攻撃や辞書攻撃が成功するためである。サーバへの侵入に成功した脅威アクターは、CLR Shell というマルウェアを展開する。今回の攻撃を発見した韓国のサイバー・セキュリティ企業 AhnLab の研究者たちが、このマルウェアを CLR Shell と命名した。

Conti 元メンバーと FIN7 開発者の共闘：新たな Domino マルウェアを配布している

Ex-Conti members and FIN7 devs team up to push new Domino malware

2023/04/17 BleepingComputer — Conti ランサムウェアの元メンバーが、FIN7 脅威アクターと手を組み、企業ネットワークへの攻撃において、Domino という新たなマルウェア・ファミリーを配布しているようだ。Domino は、２つのコンポーネントから構成される、比較的に新しいマルウェア・ファミリーである。最初に、Domino Backdoor という名前のバックドアをドロップし、そのバックドアが Domino Loader をドロップすることで、情報を窃取する DLL マルウェアが、他のプロセスやメモリに注入されていく。

Western Digital のデータ侵害：数千万円の身代金が要求されている

Western Digital Hackers Demand 8-Figure Ransom Payment for Data

2023/04/15 DarkReading — デジタル・ストレージ・ブランド SanDisk の傘下にある、コンピュータ・ドライブ・メーカーの Western Digital Corp から約 10TB のデータが盗まれ、数千万円以上の身代金が要求されているとの報道があった。

Vice Society ランサムウェア：新しいデータ窃盗ツールに PowerShell を導入

Vice Society ransomware uses new PowerShell data theft tool in attacks

2023/04/14 BleepingComputer — ランサムウェア・グループの Vice Society は、侵害したネットワークからのデータ盗難を自動化するために、かなり高度な PowerShell スクリプトを導入し始めた。企業や顧客のデータを盗むことは、ランサムウェア攻撃における常套手段である。そして、盗み出したデータにより、被害者への恐喝や、他のサイバー犯罪者への転売を行い、莫大な利益を得ていく。