Asia – IoT OT Security News

中国 – 台湾の緊張関係とサイバー戦争：PlugX マルウェアを仕込んだフィッシング攻撃が激化

Cyber Warfare Escalates Amid China-Taiwan Tensions

2023/05/18 InfoSecurity — 中国と台湾の間で緊張が高まるにつれて、台湾へのサイバー攻撃が大幅に増加していることが、Trellix のセキュリティ専門家たちの新しいレポートで明らかになった。特に台湾の産業界を狙うサイバー攻撃が急増しており、その主な目的は、マルウェアの配布と機密情報の窃取であると、同社は指摘している。

NATO サイバー防衛ハブ：ウクライナ／アイスランド／アイルランド／日本が加入

4 Countries Join NATO Cyber Defense Center

2023/05/17 SecurityWeek — CCDCOE (Cooperative Cyber Defence Centre of Excellence) サイバー・セキュリティ・センターの 15周年記念日に、この発表があった。この、エストニアのタリンに本部を置く組織は、現時点において 39カ国のメンバーで構成されていつが、そこには非 NATO 国である、ウクライナ／アイスランド／アイルランド／日本も含まれる。

MerDoor という高スティルス性のマルウェア：５年前からのバックドア展開を確認 – Symantec

Stealthy MerDoor malware uncovered after five years of attacks

2023/05/15 BleepingComputer — 南アシア／東南アジアの政府機関／航空機関／通信機関を標的に、Lancefly という新たな APT ハッキング・グループが、カスタム Merdoor バックドア・マルウェアを展開している。今日の Symantec Threat Labs の発表で明らかにされたのは、Lancefly が2018年以降において、スティルス性の高い標的型攻撃で Merdoor バックドアを展開し、企業ネットワーク上での永続性の確立／コマンドの実行／キーロギングを行ってきたことだ。

RA Group という新たなランサムウェア：Babuk クローンで３社を侵害している

New Ransomware Gang RA Group Hits U.S. and South Korean Organizations

2023/05/15 TheHackerNews — RA Group という名の新たなランサムウェア・グループが、流出した Babuk ランサムウェアのソースコードを活用して、独自のロッカー・バリアントを派生させている。サイバーセキュリティ企業 Cisco Talos によると、このサイバー犯罪集団は、遅くとも 2023年4月22日から活動しているとされ、急速に活動を拡大しているとのことだ。

QR コードで $20,000 を盗まれる：偽のアンケートで Android マルアプリに感染

QR codes used in fake parking tickets, surveys to steal your money

2023/05/08 BleepingComputer — QR コードは便利なものであるため、スーパーボウルの広告や駐車料金の徴収といった、合法的な組織で多く利用されている一方で、この技術を悪用する詐欺師も出現している。シンガポールではタピオカの専門店で QR コード・アンケートに答えた女性が $20,000 を騙し取られ、米国や英国では QR コード付きの偽駐車違反キップの事例が確認されている。

Kimsuky APT は北朝鮮由来：ReconShark という偵察ツールで標的を狙い続ける

N. Korean Kimsuky Hackers Using New Recon Tool ReconShark in Latest Cyberattacks

2023/05/05 TheHackerNews — Kimsuky という名の、北朝鮮の国家に支援される脅威アクターは、進行中のグローバル・キャンペーンの一環として、ReconShark という新たな偵察ツールを使用していることが判明した。 SentinelOne の研究者である Tom Hegel と Aleksandar Milenkoski は、「ReconShark は、スピアフィッシング・メールおよび、文書のダウンロードにつながる OneDrive リンク、そして、悪意のマクロの実行を介して、標的とする個人に対して配信されている」と述べている。

BlackBerry 脅威レポート：１位米国／２位ブラジル／３位日本という攻撃頻度が判明

BlackBerry Report Surfaces Increasing Rate of Cyberattacks

2023/05/05 SecurityBoulevard — BlackBerry が発表した脅威インテリジェンス・レポートによると、同社のサイバー・セキュリティ・ソフトウェア／サービスを利用している組織に対して、2022年12月〜2023年2月には１分あたり12件のサイバー攻撃が行われ、そのうち 1.5件は新しいマルウェア・サンプルに基づく攻撃であることが判明した。BlackBerry のレポートでは、これらの攻撃が行われているロケーションの変化についても指摘されている。１位の米国に次いで、２位はブラジル、３位は日本、４位はカナダとなり、シンガポールが初めて Top-10 にランクインしたとのことだ。

Earth Longzhi という中国ハッカー・グループ：DLL 悪用マルウェアでアジアを狙う

Chinese Hacker Group Earth Longzhi Resurfaces with Advanced Malware Tactics

2023/05/03 TheHackerNews — 中国の国家支援ハッカー集団が再登場し、台湾／タイ／フィリピン／フィジーなどの、政府／医療／テクノロジー／製造業を標的とする、新たなキャンペーンを展開している。この Earth Longzhi グループは、APT41 (別名 HOODOO／Winnti) のサブグループであり、半年以上も活動を停止していたが、Earth Baku／SparklingGoblin／GroupCC などのクラスターと重複した動きを見せている。Earth Longzhi は、2022年11月にサイバー・セキュリティ企業により検出され、東アジア／東南アジア／ウクライナなどの組織への攻撃が分析されている。

ScarCruft という北朝鮮の APT：感染チェーンに大容量 LNK ファイルを使用 – Check Point

North Korea-linked ScarCruft APT uses large LNK files in infection chains

2023/05/02 SecurityAffairs — 北朝鮮に関連する ScarCruft APT グループ (別名：APT37／Reaper／Group123) による、2022年以降の攻撃に関するレポートが、Check Point の研究者たちにより公開され。このレポートによると、観測された感染チェーンでは、マルウェアの配信手段が、悪意のドキュメントから、悪意のペイロードを埋め込んだ大容量の LNK ファイルに変わったとのことだ。

TBK DVR カメラの脆弱性 CVE-2018-9995 の悪用：攻撃試行が５万回に達した – Fortinet

Hackers Exploit High Severity Flaw in TBK DVR Camera System

2023/05/02 InfoSecurity — TBK の DVR カメラ・システムに存在する５年前の脆弱性 CVE-2018-9995 が、2023年4月の時点で、野放し状態で悪用されていることが、Fortinet のセキュリティ研究者たちの調査により判明した。この深刻な脆弱性は、悪意を持って細工された HTTP クッキーを処理する際に、カメラで生じるエラーに起因する。この脆弱性の悪用に成功したリモートの攻撃者は、認証を回避して管理者権限を取得し、最終的にはカメラからビデオ・フィードへとアクセスする可能性を引き起こす。

北朝鮮の Lazarus／ScarCruft：戦術の拡大と標的のグローバル化 – Kaspersky 調査

Lazarus, ScarCruft North Korean APTs Shift Tactics, Thrive

2023/04/28 DarkReading — 北朝鮮の APT (Advanced Persistent Threats) は、新たなペイロードの開発における TTP (Tactics, Techniques, and Procedures) を変更することで、新たな分野や個人を偏りなく標的にすることへ向けて進化し、その個人が北朝鮮人であったとしても標的にし始めている。Kaspersky は、APT Trends Report Q1 2023 において、世界各地における APT 活動の進展を紹介している。たとえば、ロシアでは、動機に決定的な違いがあっても、脅威の主体が重なり合い、協力し合っている。また、イランでは、MuddyWater や OilRig といった既知のグループが新たなキャンペーンを実施し、マルウェアを修正している。特に前者は、エジプト／カナダ／マレーシアといった、遠方の国々へと広がっている。

Tencent QQ ユーザーをハッキング：中国 APT の Evasive Panda が関与 – ESET

Tencent QQ users hacked in mysterious malware attack, says ESET

2023/04/26 BleepingComputer — Tencent QQ メッセージング・アプリの自動アップデートの一部として、マルウェア MsgBot を配布するという謎の攻撃に、Evasive Panda と呼ばれる中国の APT ハッキング・グループが関与していることが判明した。Evasive Panda とは、2012年頃から活動しているサイバースパイ・グループであり、これまでに中国本土／香港／マカオ／ナイジェリア／東南アジア／東アジアなどの国々で、さまざまな組織や個人を標的としてきた。

3CX サプライチェーン攻撃：北朝鮮ハッカーによるインフラ侵害が懸念される – Symantec

North Korean 3CX Hackers Also Hit Critical Infrastructure Orgs: Symantec

2023/04/21 SecurityWeek — 3CX を標的としたサプライチェーン攻撃を仕掛けた、北朝鮮のハッキング・グループが、エネルギー分野の主要インフラ組織２社と、金融取引に関わる他の企業２社にも侵入していたことが、Symantec の新しい調査により判明した。Trading Technologies のトレーディング・ソフトウェアである、X_Trader インストーラから始まる一連の攻撃は、3CX 以外の企業にも被害を及ぼしており、下流への将来的な影響も懸念されている。Symantec の脅威情報部門は、米国と欧州にある２つの主要インフラ組織が大きな懸念材料になると、新たに公開した文書で警告している。

Google レッドチーム・ツールの悪用：中国の APT41 による攻撃で発見される

Hackers abuse Google Command and Control red team tool in attacks

2023/04/17 BleepingComputer — 台湾のメディアとイタリアの就職支援会社に対するデータ窃取攻撃において、中国の国家支援ハッキング・グループ APT41 が、レッドチーム・ツール GC2 (Google Command and Control) を悪用していたことが判明した。APT41 は HOODOO とも呼ばれ、米国／欧州／アジアにおける広範な業界をターゲットにすることで知られる、中国政府に支援されたハッキング・グループである。2014年から Mandiant は、このハッキング・グループを追跡しており、その活動は BARIUM や Winnti といった、その他の中国のハッキング・グループと重複すると述べている。

台湾の PC メーカー MSI にランサムウェア攻撃：Money Message が二重脅迫

Taiwanese PC Company MSI Falls Victim to Ransomware Attack

2023/04/08 TheHackerNews — 台湾の PC 会社である MSI (Micro-Star International) は、同社のシステムが侵害されるという、サイバー攻撃の被害者であることを公式に認めた。同社は、ネットワークの異常を検出した後に、速やかにインシデント・レスポンスとリカバリーの措置を開始したと述べている。また、このインシデントについて、法執行機関に報告したとも述べている。しかし MSI は、この攻撃の発生時期と、ソースコードなどのプロプライエタリ情報の流出の有無については、具体的な情報を開示していない。

3CX VoIP にサプライチェーン攻撃：Win／Mac アプリがトロイの木馬化され暗号通貨が狙われる

Cryptocurrency companies backdoored in 3CX supply chain attack

2023/04/03 BleepingComputer — 3CX のサプライチェーン攻撃の影響を受けた被害者の一部が、Gopuramマルウェアによりシステムにバックドアを仕掛けられた。この悪意のペイロードを流し込んだ脅威アクターは、暗号通貨企業を主たるターゲットにしているという。Lazarus Groupとして追跡されている北朝鮮の脅威アクターによる、大規模なサプライチェーン攻撃に被害に遭った VoIP 通信会社 3CX は、同社の顧客が使用する Windows／macOS のデスクトップ・アプリを、トロイの木馬化させてしまった。

LockBit が韓国の国税庁をハッキング：盗んだデータを公表すると脅迫している

LockBit leaks data stolen from the South Korean National Tax Service

2023.04/01 SecurityAffairs — 2023年3月29日に、LockBit ランサムウェア・ギャングは、韓国の国税庁をハッキングしたことを公表した。同グループは、この韓国の機関を Tor リーク・サイトに追加し、身代金が支払われない場合には、2023年4月1日までに盗み出したデータを公開すると脅している。主として、内税の査定と徴収を担当する国税庁は、1966年3月3日に大蔵省の外郭団体として設立されている。

中国の原子力エネルギー部門が標的：APT アクター Bitter は南アジアから攻撃する

China’s Nuclear Energy Sector Targeted in Cyberespionage Campaign

2023/03/28 SecurityWeek — サイバースパイ・キャンペーンを展開する南アジアの APT アクターが、中国の原子力エネルギー部門を標的にしていると、Intezer が最新情報として報告している。2021年ころから活動している Bitter という名のグループは、中国／バングラデシュ／パキスタン／サウジアラビアのエネルギーおよび政府組織を標的とすることで知られており、その戦術として、Excel／Microsoft Compiled HTML Help (CHM)／Windows Installer (MSI) ファイルの悪用を特徴としている。

CatB ランサムウェアの検出回避テクニック：DLL 検索順序ハイジャックとは？

Researchers Shed Light on CatB Ransomware’s Evasion Techniques

2023/03/20 TheHackerNews — CatB ランサムウェアのオペレーターは、検出を回避してペイロードを起動するために、DLL 検索順序ハイジャックと呼ばれる攻撃手法を使用していると確認されている。2022年末に出現した CatB99／Baxtoy とも呼ばれる CatB だが、Pandora という別のランサムウェア株の “進化形または直接的なリブランド” だと言われるのは、コード・レベルの類似性に関する分析が進んだ結果である。Pandora を使用してきたのは、Bronze Starlight (別名 DEV-0401／Emperor Dragonfly) だとされている。中国に拠点を置く、この脅威アクターは、真の目的を隠すために、短命のランサムウェア・ファミリーを採用することで知られている。

Fortinet のゼロデイ悪用：ハッキングの背景に存在する中国系ハッカー集団とは？

Fortinet zero-day attacks linked to suspected Chinese hackers

2023/03/16 BleepingComputer — Fortinet のゼロデイ脆弱性 CVE-2022-41328 を悪用してマルウェアを展開するという、政府機関に対する一連の攻撃の背景には、中国のハッカー集団の存在があるようだ。先週に Fortinet が開示したように、この脆弱性の悪用に成功した脅威アクターは、パッチ未適用の FortiGate ファイアウォール・デバイス上で、不正なコード／コマンドを実行することで、マルウェア・ペイロードを展開できるとされる。さらに、このマルウェアの分析を進めることで、データの流出／侵害デバイス上でのファイルのダウンロードと書き込み／細工された ICMP パケット受信によるリモートシェルのオープンといった、サイバースパイ活動にも利用可能なことが判明した。

Tick APT Group：東アジアの政府機関や軍事機関をサプライチェーンから狙っている

Tick APT Group Hacked East Asian DLP Software Firm

2023/03/15 InfoSecurity — 政府機関や軍事機関向けの DLP (data-loss prevention) ソフトウェアを開発する、東アジアの企業を標的とした新たなマルウェアキャン・ペーンは、Tick という名の APT グループに起因することが判明した。2023年3月14日 (火) に ESET が発表したアドバイザリによると、この脅威アクターは DLP 企業の内部アップデート・サーバに侵入し、ネットワーク内にマルウェアを配信したという。その後に、同社が使用する正規のツール・インストーラをトロイの木馬化し、同社の顧客２社のコンピュータでマルウェアが実行される状況に至ったという。

Dark Pink は中国の APT グループ：ASEAN 諸国の政府機関に KamiKakaBot を配布

Dark Pink APT Group Deploys KamiKakaBot Against South Asian Entities

2023/03/13 InfoSecurity — Dark Pink として知られる脅威アクターが、ASEAN (東南アジア諸国連合) 諸国の複数の政府機関に対する KamiKakaBot マルウェアの配布に関与していたことが判明した。先週に EclecticIQ の研究者たちは、2023年2月に行われた攻撃に関するレポートを公開した。このレポートでは、「この新しいキャンペーンでは、東南アジア諸国の軍事／政府機関に対するソーシャル・エンジニアリングのルアーとして、ヨーロッパと ASEAN 諸国の交流関係が悪用されている可能性が非常に高い。EclecticIQ の研究者たちは、このグループの国籍を特定するだけの決定的な証拠を得ていないが、攻撃者の目的や行動パターンから、Dark Pink は中国の APT グループであろうと考えている」と説明されている。

Akamai が DDoS 攻撃を緩和：アジアでは最大級の 900Gbps という規模だった

Akamai mitigates record-breaking 900Gbps DDoS attack in Asia

2023/03/09 BleepingComputer — Akamai が発表したのは、APAC 地域の顧客に仕掛けられた、過去最大の DDoS 攻撃を緩和したというものである。DDoS (Distributed Denial of Service) 攻撃とは、標的となるサーバに大量のリクエストを送信してキャパシティを枯渇させることで、そのサーバがホストする Web サイト／アプリケーションなどのオンライン・サービスを、正規のユーザーからアクセスできない状態にするものだ。

Mustang Panda は中国由来：新たな MQsTTang バックドアで欧州／台湾を狙っている

Chinese Hackers Targeting European Entities with New MQsTTang Backdoor

2023/03/03 TheHackerNews — 中国に拠点を置く Mustang Panda が、2023年1月に開始したソーシャルエンジニアリング・キャンペーンの一環として、MQsTTang と呼ばれる新たなカスタム・バックドアを使用していることが確認された。ESET の研究者である Alexandre Côté Cyr は、新しいレポートの中で「MQsTTang は、このグループにおける大半のマルウェアとは異なり、既存のファミリーや一般に公開されているプロジェクトをベースにしていないようだ」と述べている。

Redis データベース・サーバが標的：３つ目のクリプトジャッキング・キャンペーンが登場

New Cryptojacking Campaign Leverages Misconfigured Redis Database Servers

2023/03/02 TheHackerNews — Redis データベース・サーバのミスコンフィグレーションが、新しいクリプトジャッキング・キャンペーンのターゲットとなっているが、そこで悪用されているのは、正規のオープンソース・コマンドライン・ファイル転送サービスである。Cado Security は、「このキャンペーンを支えていたのは、transfer[.]sh である。つまり、数多くのサービスなどで普通に使われる、pastebin[.]com などのコード・ホスティング・ドメインをベースにした、検出を回避する試みの可能性がある」と、The Hacker News と共有したレポートで述べている。

Iron Tiger ハッキング・グループは中国由来の APT27：Linux 版のカスタム・マルウェアを投入

Iron Tiger hackers create Linux version of their custom malware

2023/03/01 BleepingComputer — Iron Tiger こと APT27 ハッキング・グループは、カスタム・リモートアクセス・マルウェア SysUpdate の新しい Linux 版を用意し、企業で使用される広範なサービスを標的にしようとしている。Trend Micro の最新レポートによると、このハッカーは 2022年7月より Linux 版をテストし始めている。そして、2022年10月になると、複数のペイロードが野放し状態で活動し始めまた。

PureCrypter のキャンペーンの狙いは政府機関：AgentTesla などのマルウェアを配布

PureCrypter used to deliver AgentTesla to govt organizations

2023/02/27 SecurityAffairs — PureCrypter マルウェア・ローダーを使用し、政府機関を標的としたキャンペーンを展開する未知の脅威アクターを、Menlo Labs の研究者たちが発見した。このキャンペーンは、侵害した NPO のドメインを C2 サーバとして悪用して、Redline Stealer／AgentTesla／Eternity／Blackmoon／Philadelphia Ransomware などのマルウェアを配信し、セカンド・ステージ・ペイロードを展開しようとするものだ。専門家たちが発見したのは、アジア太平洋地域 (APAC) ／北米の複数の政府系組織に対する、複数のマルウェア配信の試みである

GuLoader の標的は e-Commerce 業界：NSIS ファイルでマルウェアをドロップ

GuLoader Malware Using Malicious NSIS Executables to Target E-Commerce Industry

2023/02/06 TheHackerNews — 先月末に、韓国と米国の e-Commerce 業界が、現在進行中の GuLoader マルウェア・キャンペーンの被害を受けていたことを、サイバーセキュリティ企業の Trellix が明らかにした。このマルスパム活動の特徴は、その侵入の手口を、マルウェアを混入した Microsoft Word 文書から、マルウェアをロードするための NSIS 実行ファイルへと移行している点だ。このキャンペーンでは、ドイツ／サウジアラビア／台湾／日本などの国々も対象となっている。

2022年に盗まれた暗号通貨は総額で $3.8bn 相当：北朝鮮へは $1.7bn が流れた

Record $3.8bn Stolen Via Crypto in 2022

2023/02/02 InfoSecurity — 北朝鮮の国家に支援されたハッカーと、安全性が担保されない DeFi (Decentralized Finance) プロトコルにより、2022年は暗号通貨強盗の記録的な年になったと、Chainalysis がレポートしている。ブロックチェーン分析の同社は、発表を予定されている Annual Crypto Crime Report に先立ち、その数字を予告している。2022年には合計で $3.8bn 相当の暗号通貨が盗まれたが、そのうちの 82％が DeFi プロトコルの弱点を狙ったものであり、2021年との比較で73% の増加となる。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

DragonSpark という中国の APT：Golang ソースの実行時解釈で検出を回避

Hackers use Golang source code interpreter to evade detection

2023/01/24 BleepingComputer — DragonSpark という名で追跡されている、中国語を話すハッキング・グループは、東アジアの組織に対してスパイ攻撃を行う際に、検出を回避するために Golang ソースコードの解釈を採用していることが確認された。この攻撃は SentinelLabs により追跡されており、DragonSpark は SparkRAT と呼ばれるオープンソース・ツールに採用し、感染させシステムから機密データを盗み、コマンドを実行し、ネットワーク上での横移動などを行うと、研究者たちは報告している。SentinelLabs が観測した侵入経路は、オンラインで公開されている脆弱な MySQL データベース・サーバだった。

Ethereum $100M 相当が Harmony から消えた：北朝鮮の Lazarus と APT38 の犯行

FBI: North Korean hackers stole $100 million in Harmony crypto hack

2023/01/24 BleepingComputer — FBI の発表によると、2022年6月に Harmony Horizon から $100 million 相当の Ethereum が盗まれたが、その背後には、北朝鮮の国家的なハッキング・グループ Lazarus と APT38 が存在することが確認されたという。Harmony Horizon は Ethereum のクロス・チェーンブリッジであり、2022年6月に侵害を受け、MultiSigWallet の制御をハッカーが奪ったことで、大量のトークンが犯罪者のアドレスに転送された。

Samsung Galaxy Store の２つの脆弱性：2023/01 のアップデートで対応

Samsung Galaxy Store App Found Vulnerable to Sneaky App Installs and Fraud

2023/01/23 TheHackerNews — Samsung の Galaxy Store App にセキュリティ欠陥が存在し、ローカル攻撃者による任意のアプリのインストールや、Web 上の不正なランディング・ページへの誘導などが可能なことが判明した。NCC Group が発見した、脆弱性 CVE-2023-21433／CVE-2023-21434 は、2022年11月／12月の時点で Samsung に通知されている。同社は、これらのバグを Medium のリスクとして分類し、2023年1月初めに出荷された、バージョン 4.5.49.8 で対応している。

FortiOS SSL-VPN の脆弱性 CVE-2022-42475：中国由来のハッカーが 2022年10月から侵害

Chinese hackers used recently patched FortiOS SSL-VPN flaw as a zero-day in October

2023/01/20 SecurityAffairs — 先日にパッチが適用された FortiOS SSL-VPN の脆弱性 CVE-2022-42475 を、中国の脅威アクターと思われる人物が、ゼロデイとして悪用したことを、Mandiant の研究者たちが報告している。この脆弱性は、欧州の政府機関やアフリカの MSP などを標的とする、一連の攻撃で悪用されたと、同社は述べている。この脆弱性は、2022年12月に Fortinet により対処されているが、攻撃自体は 10月の時点で生じていた。専門家たちが集めた証拠によると、中国のサイバースパイ活動の一環であることが示唆されている。

Aflac／Zurich でハッキングが発生：日本人顧客約 200万人の情報が漏洩

Millions of Insurance Customers Compromised Via Supplier

2023/01/13 InfoSecurity — 保険会社である Aflac／Zurich は、第三者である請負業者がハッキングについて報告した後に、数百万人の日本人顧客の情報が侵害され、売りに出されていたことを明らかにした。両社の発表では、ハッキングされた業者の名前は明らかにされていないが、東京の通信社である時事通信の現地レポートでは、米国内の下請け業者に原因があるとされている。このインシデントの被害を受けたのは、Aflac のがん保険加入者 130万人と、Zurich の自動車保険契約者 76万人を含む、合計で約 200万人の顧客だという。

Dark Pink という APT グループ：APAC の政府／軍事を狙って７件の攻撃を達成

Dark Pink APT Group Targets Governments and Military in APAC Region

2023/01/11 TheHackerNews — アジア太平洋地域における政府機関／軍事組織などが、未知の高度持続的脅威 (APT：Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に７つの攻撃を成功させた」と述べている。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

北朝鮮の脅威アクターの稼ぎ高：５年間で $1.2B で 2022年だけで $626 M

North Korea-linked hackers stole $626 million in virtual assets in 2022

2022/12/22 SecurityAffairs — 韓国の諜報機関である国家情報院 (National Intelligence Service) は、これまでの５年間において、北朝鮮に関連する脅威アクターたちが盗み出した暗号通貨などの仮想資産が、1.5 trillion won ($1.2 billion) 相当になることを明らかにした。AP 通信の報道によると、今年だけで暗号資産の半分以上に相当する、800 billion won ($626 million) が盗まれたと、この諜報機関は述べているようだ。

MirrorFace という中国語圏の APT：参院選 2022 で政治団体を狙っていた

Researchers Uncover MirrorFace Cyber Attacks Targeting Japanese Political Entities

2022/12/15 TheHackerNews — MirrorFace というコードネームで呼ばれる、中国語圏の APT (Advanced Persistent Threat) グループが、日本の政治団体を標的としたスピアフィッシング・キャンペーンに関与していることが判明した。このキャンペーンは、ESET により Operation LiberalFace と名付けられ、LODEINFOと呼ばれるインプラントとMirrorStealerと呼ばれる未知のインフォ・スティーラーの配信を目的とし、日本の無名政党のメンバーにフォーカスするものである。

TikTok における子供の保護に問題：米国のインディアナ州政府が提訴

TikTok Hit by US Lawsuits Over Child Safety, Security Fears

2022/12/08 SecurityWeek — 12月7日に米国のインディアナ州は、中国の TikTok アプリが、子供の安全性について虚偽の主張をしていると訴え、２件の訴訟を起こした。この訴訟は、TikTok が国家安全保障上の脅威であり、中国のスパイの手先であるという、複数の非難を受けたものだ。このように、米国内では TikTok に関する問題が山積してる。

中国のハッカー集団 Billbug：標的はアジア諸国における政府と防衛の機関

Chinese hackers target government agencies and defense orgs

2022/11/15 BleepingComputer — Billbug (a.k.a. Thrip／Lotus Blossom／Spring Dragon) として追跡されているサイバースパイ活動家が、アジア諸国の認証局／政府機関／防衛組織を標的としたキャンペーンを展開している。最新の攻撃は３月ころから観測されているが、この脅威アクターは、10年以上前からステルスで活動している、中国の国家支援グループだと思われる。Billbug の活動は、過去６年間 [1, 2, 3] にわたり、複数のサイバー・セキュリティ企業により記録されている。

ウイグル人を弾圧するスパイウェア：国家に支援される APT15 が悪意のアプリを配布

Uyghurs Targeted With Spyware, Courtesy of PRC

2022/11/12 DarkReading — 中国政府は、イスラム教徒のウイグル族弾圧の一環として、スパイウェアを導入し、宗教的過激派と見なされる人物を検挙／拘束していると報告されている。Lookout Threat Labs の研究者たちによると、中国の支援を受けた脅威グループが、スパイウェア BadBazaar／Moonshine を、ウイグル語のサイトや SNS に広めているようだ。これらのスパイウェアは、VPN／WhatsApp／イスラム教アプリなどを使用する、同政府の言う “犯罪予備軍“ の捕捉を目的としているという。

Cobalt Strike ローダーの新種 Symatic：中国 APT41 と持続性のあるバックドア展開

New hacking group uses custom ‘Symatic’ Cobalt Strike loaders

2022/11/09 BleepingComputer — これまで知られていなかった Earth Longzhi という中国の APT (Advanced Persistent Threat) ハッキング集団が、東アジア／東南アジア／ウクライナの組織を狙っている。この脅威アクターは、2020年から活動しており、カスタム・バージョンの Cobalt Strike ローダーを用いて、被害者のシステムに持続性のあるバックドアを仕込んでいる。Trend Micro の最新レポートによると、Earth Longzhi の TTP は Earth Baku と同様のものであり、この２つのグループは、国家が支援する APT41 の下部組織であると考えられる。

Microsoft の 2022 Digital Defense Report：国家による主要インフラへのハッキングが急増

Nation-State Hacker Attacks on Critical Infrastructure Soar: Microsoft

2022/11/07 SecurityWeek — Microsoft の 2022 Digital Defense Report によると、ウクライナとその同盟国を標的としたロシアのサイバー攻撃が主な原因で、主要インフラに対する国民国家のハッカー攻撃が急増しているという。2020年6月〜2021年6月にかけて、Microsoft が観測した国民国家の攻撃のうち、主要インフラを狙ったものは全体の 20％だった。その割合は、2021年7月〜2022年6月の期間には、40%に増加している。

TikTok がプライバシー・ポリシーを改定：欧州ユーザーへの中国からのアクセスを開始

New TikTok Privacy Policy Confirms Chinese Staff Can Access European Users’ Data

2022/11/03 TheHackerNews — 人気の短編動画共有サービス TikTok は、欧州ユーザー向けのプライバシー・ポリシーを改訂し、そのユーザー・データに対するアクセスを、中国を含む世界各地の従業員に許す方針を明確にした。この、ByteDance が所有するプラットフォームは、ヨーロッパのユーザー・データを、現時点においては米国とシンガポールに保管している。そして、今回の改訂については、ヨーロッパのユーザーに対する従業員のアクセスを制限し、地域外へのデータの流れを最小限に抑え、情報を現地に保管するという、継続的なデータ・ガバナンスの一環であるとしている。

大阪急性期総合医療センターにランサムウェア攻撃：電子カルテ・システムに障害

Osaka Hospital Halts Services After Ransomware Attack

2022/11/01 InfoSecurity — 大阪の主要な病院である大阪急性期総合医療センターが、ランサムウェアのサイバー攻撃により電子カルテ・システムを破壊され、通常の医療サービスを停止している。救急医療は継続して行われているが、同センターの職員は記者団に対し、10月31日未明に病院のシステムに障害が発生し、アクセスできなくなったと語っている。

中国 APT10 の標的は日本の政府機関など：K7Security を悪用する LODEINFO マルウェアとは？

Hacking group abuses antivirus software to launch LODEINFO malware

2022/10/31 BleepingComputer — APT10 として追跡されている中国のハッキング・グループ Cicada は、セキュリティ・ソフトウェアを悪用することで、日本の組織に対してマルウェア LODEINFO の新バージョンをインストールしていたことが確認されている。標的となったのは、日本国内の報道機関／外交機関／政府機関／公共機関／シンクタンクなどであり、いずれもサイバー犯罪の標的として高い関心を集める組織である。

Deadbolt 感染が 674% の急増：止まらない QNAP ユーザーへの攻撃

Deadbolt Ransomware Extorts Vendors and Customers

2022/10/19 InfoSecurity — 今年のトピックとして、NAS デバイスを標的としたランサムウェアが多発し、ベンダーとエンド・ユーザーの両方を恐喝して収益を得ていることが、新しい報告書により明らかになった。Group-IB の調査レポート Deadbolt ransomware: nothing but NASty は、今年に出現した、このマルウェアのサンプル分析に基づくものだ。いまも進行している Deadbolt キャンペーンでは、ゼロデイ脆弱性を最初のアクセス／攻撃ベクターとして悪用し、SMB／学校／個人ユーザーなどが所有する、台湾のベンダー QNAP の NAS デバイスを標的としている。

大宮化成工業に LockBit 3.0 がヒット：世界中の主要サプライチェーンに影響？

Japanese tech firm Oomiya hit by LockBit 3.0. Multiple supply chains potentially impacted

2022/10/17 SecurityAffairs — LockBit 3.0 RaaS を利用するアフィリエイトが、日本のハイテク企業である大宮化成工業にヒットした。同社は、マイクロ・エレクトロニクスと設備システム機器の設計／製造を行う企業である。大宮化成の事業は、化学製品／工業製品の製造／設計および、電子材料の設計、医薬品開発、工場製造の、４つの主要分野に分かれている。

中国によるサイバー攻撃：過去 10年間にわたる APT の実態を整理する

Report Shows How China Has Been Using Cyberattacks Over the Past Decade

2022/10/14 InfoSecurity — 2022年10月12日に、コンサルティング会社 Booz Allen Hamilton が発表したレポートによると、中国の国家が支援するサイバー攻撃は、米国の国家安全保障に対する脅威を増大させているという。このレポート Same Cloak, More Dagger: Decoding How the People’s Republic of China (PRC) Uses Cyber Attacks は、米国企業や同盟国の CISO／脅威アナリストを対象にしている。