BlackCat – IoT OT Security News

Microsoft 警告：ランサムウェアと情報窃取を仕掛ける 100以上の脅威アクターたち

Microsoft: Over 100 threat actors deploy ransomware in attacks

2023/01/31 BleepingComputer — 今日、Microsoft のセキュリティ・チームは、ランサムウェアを展開する 100以上の脅威アクターを追跡していると明かした。さらに、同チームは、昨年末までに活発に動き回っていた、50以上のランサムウェア・ファミリーを監視しているという。同社は、「最近のキャンペーンで多用されたランサムウェアのペイロードには、Lockbit Black／BlackCat (別名 ALPHV) ／Play／Vice Society／Black Basta／Royal などがある。ただし、防御のための戦略としては、それらのペイロードに注目するよりも、それらの展開につながる活動の連鎖に対して、もっと焦点を当てるべきだ。依然として、ランサムウェア・ギャングは、一般的な脆弱性を標的とし、パッチ未適用のサーバやデバイスを標的にしている」と述べている。

BlackCat ランサムウェア：米国の防衛関連企業 NJVC を攻撃

BlackCat ransomware gang claims to have hacked US defense contractor NJVC

2022/10/02 SecurityAffairs — ALPHV／BlackCat ランサムウェア・ギャングが、米国の連邦政府／国防総省をサポートする IT 企業 NJVC に侵入したと主張している。同社は、情報機関／防衛機関／地理空間情報機関などを支援しており、世界中の拠点に 1,200人以上の従業員を擁している。BlackCat は、Tor リークサイトの被害者リストに NJVC を追加し、同社が身代金を支払わない場合には、盗み出したデータを公開すると脅迫している。

Emotet 最新情報：RaaS グループ Quantum／BlackCat などが活用し始めている

Emotet Botnet Started Distributing Quantum and BlackCat Ransomware

2022/09/19 TheHackerNews — 2022年の Conti 撤退後の Emotet マルウェアだが、Quantum／BlackCat などのRansomware-as-a-Service (RaaS) グループにより活用され始めていることが判明した。このマルウェア Emotet は、2014年にバンキング型トロイの木馬として始まった。その後の、度重なるアップデートにより、被害者のマシンに他のペイロードをダウンロードする機能を実装し、攻撃者による遠隔操作に対応するなど、きわめて強力な脅威へと変化している。

Cobalt Strike サーバに DDoS 攻撃：ロシアン・ランサムウェアを追撃するのは誰なのか？

Ransomware gang’s Cobalt Strike servers DDoSed with anti-Russia messages

2022/09/07 BleepingComputer — ランサムウェア・ギャングの元メンバーが運営する Cobalt Strike のサーバに、何者かが反ロシアのメッセージを流し込んで活動を妨害している。最近のランサムウェアに関する動向だが、2022年5月に ContI は、内部インフラのシャットダウンを完了し、そのメンバーたちは Quantum／Hive／BlackCat といった他のランサムウェア・ギャングに分散していった。

Google TAG 警告：Conti ランサムウェアの元メンバーがウクライナを攻撃している

Google says former Conti ransomware members now attack Ukraine

2022/09/07 BleepingComputer — Google によると、サイバー犯罪組織 Conti の元メンバーの一部が、現在 UAC-0098 として追跡されている脅威グループに参加し、ウクライナの組織やヨーロッパの非政府組織 (NGO) を標的にしているという。UAC-0098 は、イニシャル・アクセス・ブローカーであり、企業ネットワーク内の侵害済みシステムへの、バンキング型トロイの木馬 IcedID を用いるアクセスを、ランサムウェア・グループに提供することで知られている。

Sliver Tookit という最新／最強の攻撃ツール：Cobalt Strike は過去の遺物に？

Hackers adopt Sliver toolkit as a Cobalt Strike alternative

2022/08/25 BleepingComputer — 脅威アクターたちの好みが、正規のペンテスト・スイートである Cobalt Strike から、あまり知られていない類似のフレームワークを使う方向へと変化している。Brute Ratel (Red Teaming Tool) のに続くものとして、Sliver と呼ばれるオープンソースのクロスプラットフォーム・キットが、魅力的な代替品になりつつありる。さらに、Sliver を悪用するアクティビティは、ツールキット／動作／コンポーネントなどの分析から導き出された、ハンティング・クエリから検出されている。

BlackCat の犯行声明：天然ガスパイプライン Creos から 150GB のデータを奪った

BlackCat ransomware claims attack on European gas pipeline

2022/08/01 BleepingComputer — BlackCat とも呼ばれるランサムウェア・ギャング ALPHV は、先週に、天然ガスパイプラインと電力ネットワークを中央ヨーロッパで運営する、Creos Luxembourg S.A. に対してサイバー攻撃を行ったと主張している。Creos のオーナーであり、EU5カ国でエネルギー供給事業を展開する Encevo は、7月22日〜23日にかけてサイバー攻撃を受けたと、7月25日に発表した。

Luna という Rust ベースのランサムウェアが登場：Windows／Linux／ESXi システムを狙う

New Rust-based Ransomware Family Targets Windows, Linux, and ESXi Systems

2022/07/20 TheHackerNews — Kaspersky のセキュリティ研究者たちは、Rust で書かれた、全く新しいランサムウェアである Luna の詳細を公開した。これは、BlackCat／Hive に続いて、このプログラミング言語を使用する３番目のマルウェアとなる。Luna は、非常にシンプルであり、Windows／Linux／ESXi システム上で動作し、Curve25519／AES を組み合わせて暗号化を行う。

BlackCat ランサムウェアが Bandai Namco を攻撃：顧客情報の漏えいなどを調査中

Bandai Namco confirms hack after ALPHV ransomware data leak threat

2022/07/13 BleepingComputer — ゲーム・パブリッシング大手の Bandai Namco は、顧客の個人情報が盗まれる可能性のある、サイバー攻撃を受けたことを認めた。Bandai Namco は、Elden Ring／Dark Souls／Pac-Man／Tekken／Gundam／Soulcalibur などの、数多くの人気ビデオゲームを手がける日本のパブリッシャーである。この月曜日に、BlackCat ランサムウェア (別名 AlphV) が、 Bandai Namco のネットワークに侵入し、一連の攻撃の最中に、同社の企業データを盗んだと主張している。

Conti がデータ漏洩と交渉のサイトを閉鎖：サイバー犯罪シンジケートとして活動を継続？

Conti ransomware finally shuts down data leak, negotiation sites

2022/06/24 BleepingComputer — Conti ランサムウェア・オペレーターは、データを漏洩させ、被害者と交渉するために使用されていた、Tor サーバで構成されるパブリックなインフラをついに閉鎖し、悪名高いサイバ犯罪ブランドとしての幕を閉じた。脅威情報アナリストの Ido Cohen によると、Conti のサーバーは水曜日にシャットダウンされており、現時点においてもオフラインであることを、BleepingComputer も確認している。

BlackCat の新手法：情報のリーク先がパブリック・インターネットに切り替わった

Ransomware gang publishes stolen victim data on the public Internet

2022/06/15 HelpNetSecurity — BlackCat (Alphv) ランサムウェア・グループは、被害者の組織から盗み出した従業員や顧客の機密データをクリアネット (パブリック・インターネット) サイトに掲載し、侵入後に沈黙を守る企業に対して支払いを迫るという新しい戦術を試みている。また、以前のランサムウェア・ギャングと同様に、漏洩した情報を用いて被害者である個人とダイレクトに連絡を取り、「オンライン検索が可能な誰もが、対象となる個人情報／財務情報／医療情報などが入手できる」と、通知しているものと思われる。

Microsoft 警告：Exchange Server のハッキングにより BlackCat ランサムウェアが広まっている

Microsoft: Exchange servers hacked to deploy BlackCat ransomware

2022/06/13 BleepingComputer — Microsoft によると、BlackCat ランサムウェアのアフィリエイトが、未パッチの脆弱性を狙うエクスプロイトを用いて、Microsoft Exchange サーバーを攻撃しているとのことだ。Microsoft のセキュリティ専門家が観察した１つの事例では、攻撃者は被害者のネットワークをゆっくりと移動し、認証情報を盗んで情報を流出させ、二重の恐喝に利用しているようだ。最初の侵害から２週間後に、この脅威者は、パッチの適用されていない Exchange サーバーを侵入経路とし、PsExec を介してネットワーク全体に BlackCat ランサムウェアのペイロードを展開させた。

Conti ランサムウェアの解体と分散化：リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

BlackCat RaaS について FBI が警告：全世界で 60の組織が侵害されている

BlackCat Ransomware gang breached over 60 orgs worldwide

2022/04/22 SecurityAffairs — 米国連邦捜査局 (FBI) は、2021年11月に活動を開始した BlackCat ランサムウェア (別名：ALPHV／Noberus) により、少なくとも全世界で 60 の事業体が侵害されたとする Flash Report を公開した。同組織はアドバイザリで、世界中で少なくとも 60 の事業体に侵入した Ransomware-as-a-Service である、BlackCat／ALPHV などによる攻撃に関連する、主要な Indicators Of Compromise (IOCs) を Flash Report で発表した。ユーザーおよび管理者が、FBI Flash CU-000167-MW の IOC と技術的な詳細を確認し、推奨される緩和策を適用することを推奨していると、CISA は述べている。

BlackCat ランサムウェアが石油／ガス／鉱山／建設をターゲットにしている証拠とは？

BlackCat Ransomware Targets Industrial Companies

2022/04/07 SecurityWeek — BlackCat／ALPHV／Noberus として追跡されているランサムウェア・グループが使用するデータ窃取ツールを分析すると、このサイバー犯罪者が製造業ををターゲットにすることに、強い関心を持っていることが示唆される。2021年11月に BlackCat は出現し、Ransomware-as-a-Service (RaaS) モデルを利用することで、米国などの組織を標的にしてきた。

2021年の DDoS 攻撃数は 975万件：パンデミック前のレベルを 14% 上回るペース

Cybercriminals launched 9.75 million DDoS attacks in 2021

2022/03/28 HelpNetSecurity — 2021年 2H において、サイバー犯罪者たちは約 440万件の DDoS (分散型サービス拒否) 攻撃を仕掛け、2021年の DDoS 攻撃の総数が 975万件に達したことが、NETSCOUT のレポートで明らかになった。これらの攻撃は、パンデミックの最盛期に記録したレベルからは 3% 減少しているが、パンデミック前のレベルを 14% 上回るペースで続いている。

Hive が Linux VMware ESXi 暗号化ツールを Rust に移植：解析と分析が困難に

Hive ransomware ports its Linux VMware ESXi encryptor to Rust

2022/03/27 BleepingComputer — ランサムウェア Hive は、VMware ESXi Linux 用の暗号化ツールを、Rust プログラミング言語で書き換え、セキュリティ研究者による身代金交渉のチェックを、難しくするための新機能を追加した。企業における仮想マシンへの依存度は、コンピュータ・リソースの節約／サーバの統合／バックアップの容易化などのニーズの中で高まっているが、このランサムウェア集団は、それらのサービスに特化した専用の暗号化ツールを作成している。

ドイツ大手石油貯蔵会社の Oiltanking を BlackCat ランサムウェアが攻撃

Major German fuel storage provider hit with cyberattack, working under limited operations

2022/02/01 CyberScoop — 日曜日に、ドイツの大手石油貯蔵会社である Ooltanking GmbH Group にサイバー攻撃が襲ったことを、同社の声明により確認した。Handelsblatt が入手したドイツ情報局の報告書によると、BlackCat ランサムウェアによる攻撃が生じたとされる。ドイツのニュース・メディア Handelsblatt が最初に報じたところによると、この攻撃は Oiltanking の IT システムに加えて、鉱物油貿易会社 Mabanaft の IT システムにも影響を与えた。両社は、ハンブルグに本社を置く、世界最大級のエネルギー供給企業である Marquard & Bahls グループに属している。

グローバル IT SP の Inetum がランサムウェア攻撃に遭ったが被害は限定的

Global IT services provider Inetum hit by ransomware attack

2021/12/24 BleepingComputer — クリスマス休暇まで１週間を切ったところで、フランスの IT サービス企業である Inetum Group がランサムウェア攻撃を受けたが、事業や顧客への影響は限定的だった。Inetum は 26カ国以上で事業を展開しており、航空宇宙／防衛／銀行／自動車／エネルギー／公益／ヘルスケア／保険／小売／公共部門／輸送／通信／メディアなどの、さまざまな分野にデジタル・サービスを提供している。