BlackMatter – IoT OT Security News

LockBit 3.0 と BlackMatter の関係を分析：専門家たちが指摘する類似点とは？

2022/07/27 TheHackerNews — サイバー・セキュリティ研究者たちは、ランサムウェア LockBit の最新版と、2021年11月に消えたランサムウェア DarkSide のリブランド版 BlackMatter との類似性を、あらためて指摘している。LockBit 3.0(LockBit Black) と呼ばれる新バージョンは、2022年6月にリリースされ、暗号通貨の支払いオプションとして Zcash を追加し、新しいリークサイトとバウンティプログラムを立ち上げた。

BlackCat ランサムウェアが Bandai Namco を攻撃：顧客情報の漏えいなどを調査中

Bandai Namco confirms hack after ALPHV ransomware data leak threat

2022/07/13 BleepingComputer — ゲーム・パブリッシング大手の Bandai Namco は、顧客の個人情報が盗まれる可能性のある、サイバー攻撃を受けたことを認めた。Bandai Namco は、Elden Ring／Dark Souls／Pac-Man／Tekken／Gundam／Soulcalibur などの、数多くの人気ビデオゲームを手がける日本のパブリッシャーである。この月曜日に、BlackCat ランサムウェア (別名 AlphV) が、 Bandai Namco のネットワークに侵入し、一連の攻撃の最中に、同社の企業データを盗んだと主張している。

BlackCat の新手法：情報のリーク先がパブリック・インターネットに切り替わった

Ransomware gang publishes stolen victim data on the public Internet

2022/06/15 HelpNetSecurity — BlackCat (Alphv) ランサムウェア・グループは、被害者の組織から盗み出した従業員や顧客の機密データをクリアネット (パブリック・インターネット) サイトに掲載し、侵入後に沈黙を守る企業に対して支払いを迫るという新しい戦術を試みている。また、以前のランサムウェア・ギャングと同様に、漏洩した情報を用いて被害者である個人とダイレクトに連絡を取り、「オンライン検索が可能な誰もが、対象となる個人情報／財務情報／医療情報などが入手できる」と、通知しているものと思われる。

Microsoft 警告：Exchange Server のハッキングにより BlackCat ランサムウェアが広まっている

Microsoft: Exchange servers hacked to deploy BlackCat ransomware

2022/06/13 BleepingComputer — Microsoft によると、BlackCat ランサムウェアのアフィリエイトが、未パッチの脆弱性を狙うエクスプロイトを用いて、Microsoft Exchange サーバーを攻撃しているとのことだ。Microsoft のセキュリティ専門家が観察した１つの事例では、攻撃者は被害者のネットワークをゆっくりと移動し、認証情報を盗んで情報を流出させ、二重の恐喝に利用しているようだ。最初の侵害から２週間後に、この脅威者は、パッチの適用されていない Exchange サーバーを侵入経路とし、PsExec を介してネットワーク全体に BlackCat ランサムウェアのペイロードを展開させた。

BlackCat RaaS について FBI が警告：全世界で 60の組織が侵害されている

BlackCat Ransomware gang breached over 60 orgs worldwide

2022/04/22 SecurityAffairs — 米国連邦捜査局 (FBI) は、2021年11月に活動を開始した BlackCat ランサムウェア (別名：ALPHV／Noberus) により、少なくとも全世界で 60 の事業体が侵害されたとする Flash Report を公開した。同組織はアドバイザリで、世界中で少なくとも 60 の事業体に侵入した Ransomware-as-a-Service である、BlackCat／ALPHV などによる攻撃に関連する、主要な Indicators Of Compromise (IOCs) を Flash Report で発表した。ユーザーおよび管理者が、FBI Flash CU-000167-MW の IOC と技術的な詳細を確認し、推奨される緩和策を適用することを推奨していると、CISA は述べている。

BlackCat ランサムウェアが石油／ガス／鉱山／建設をターゲットにしている証拠とは？

BlackCat Ransomware Targets Industrial Companies

2022/04/07 SecurityWeek — BlackCat／ALPHV／Noberus として追跡されているランサムウェア・グループが使用するデータ窃取ツールを分析すると、このサイバー犯罪者が製造業ををターゲットにすることに、強い関心を持っていることが示唆される。2021年11月に BlackCat は出現し、Ransomware-as-a-Service (RaaS) モデルを利用することで、米国などの組織を標的にしてきた。

2021年のランサムウェア総被害額は $602 M：トップの Conti は $180 M も稼いだらしい

Organizations paid at least $602 million to ransomware gangs in 2021

2022/02/13 SecurityAffairs — 先週に、英国／米国／オーストラリアのサイバー・セキュリティ機関が、2021年にランサムウェアの脅威がグローバル化したとする共同勧告を発表した。ブロック・チェーン分析企業の Chainalysis が発表したレポートによると、2021年中に組織が支払った暗号通貨は $602 million 相当となる。この数字は、2020年の $692 million と比べて僅かに減少しているが、Chainalysis の専門家は、今後の数週間で他の支払いが追加される可能性があると述べている。

LockBit の Linux バージョンは VMware ESXi サーバーを標的にする

Linux version of LockBit ransomware targets VMware ESXi servers

2022/01/26 BleepingComputer — LockBit は最新のランサムウェアであり、Linux の暗号化機能を用いた、VMware ESXi の仮想マシンの暗号化に特化していることが判明している。その一方で、一般的な企業では、コンピュータ・リソースの節約／サーバーの統合／バックアップの容易さなどの理由から、仮想マシンへの移行が進んでいる。そのような状況を受け、これまでの１年間でランサムウェア・ギャングたちは、人気の高い VMware vSphere／ESXi 仮想化プラットフォームを標的とする、Linux エンクリプターを作成するよう、戦術を進化させてきた。

Prometheus という Crimeware-as-a-Service (CaaS)：フィッシングとリダイレクトを促進

Russian Hackers Heavily Using Malicious Traffic Direction System to Distribute Malware

2022/01/19 TheHackerNews — サブスクリプション・ベースの Crimeware-as-a-Service (CaaS) ソリューションと、クラックされた Cobalt Strike のコピーの連携が確立され、脅威アクターによる侵入後の活動を支えるツールとして提供されていると、研究者たちは疑っている。この種のサービスだと言われる Prometheus の存在は、サイバー・セキュリティ企業である Group-IB が、悪意のソフトウェア配布キャンペーンの詳細を開示した 2021年8月に明らかにされた。

BlackMatter ランサムウェアのロジックに欠陥：Active Directory 保護のヒントになるのか？

How to Proactively Limit Damage From BlackMatter Ransomware

2022/01/08 DarkReading — 米国の重要インフラ企業や大規模組織などへの攻撃に多用される、ランサムウェア BlackMatter のコードに重大な論理的欠陥があり、状況によってはマルウェアの有効性を制限できる。Illusive は、この欠陥のあるロジックを起動できれば、BlackMatter が自社の環境にもたらす被害を軽減できる可能性があると発表した。

米国務省が 10億円の報奨金：DarkSide ランサムウェアに関する情報を収集

State Department offers $10 million reward for help identifying DarkSide ringleaders

2021/11/04 CyberScoop — 木曜日に米国の State Department は、ランサムウェア DarkSide のリーダーの居場所に関する情報に $10 million、同グループの関連会社の逮捕または有罪につながる情報に $5 million の懸賞金をかけることを発表した。DarkSide は、５月に燃料供給会社 Colonial Pipeline をハッキングして、操業停止に追い込んでいる。それにより、米国の一部の地域では、ガソリンスタンドでパニック的な買い占めが発生した。

BlackMatter から LockBit への継承：アフェリエイトと被害者が移動しているらしい

BlackMatter ransomware moves victims to LockBit after shutdown

2021/11/03 BleepingComputer — ランサムウェア BlackMatter が活動を停止したことで、そのアフィリエイトたちは、競合する LockBit には被害者を移動させ、恐喝を継続している。今朝、BlackMatter のメンバーが行方不明とったが、法執行機関からの圧力が強まっていることもあり、同組織が閉鎖されるというニュースが流れた。

Hive ランサムウェアによる暗号化：Linux と FreeBSD がターゲットに追加

Hive ransomware now encrypts Linux and FreeBSD systems

2021/10/29 BleepingComputer — ランサムウェア Hive は、Linux や FreeBSD をターゲットに開発された新種のマルウェアを用いて、これらのプラットフォームも暗号化してしまう。しかし、スロバキアのインターネット・セキュリティ企業 ESET が発見したように、Hive の新しい暗号化ツールは開発中であり、機能が不足している。

全米ライフル協会がロシアの Evil Corp ランサムウェアにハッキングされた？

A Russian-speaking ransomware gang says it hacked the National Rifle Association

2021/10/27 CyberScoop — Grief と呼ばれるランサムウェア・グループが、水曜日に全米ライフル協会 (NRA) をハッキングし、同協会のものとされる13件の文書を公開し、同協会が身代金を支払わなければ、さらに多くの文書を公開すると主張している。

FBI／CISA／NSA の BlackMatter 対策：防御のための詳細情報を勧告として共有

FBI, CISA, NSA share defense tips for BlackMatter ransomware attacks

2021/10/18 BleepingComputer — 今日、Cybersecurity and Infrastructure Security Agency (CISA) および、Federal Bureau of Investigation (FBI)、National Security Agency (NSA) は、ランサムウェア BlackMatter の活動に関する詳細を記載する勧告を発表した。また、この３組織は、この敵対者のネットワーク上での活動を把握し、防御するのに役立つ情報を提供している。

Olympus アメリカがサイバー攻撃を受けている：９月の欧州攻撃はランサムウェア？

Olympus US was forced to take down computer systems due to cyberattack

2021/10/12 SecurityAffairs — 2021年10月10日に、医療技術大手のオリンパスはサイバー攻撃を受け、アメリカ (米国／カナダ／ラテンアメリカ) のコンピュータ・ネットワークの停止を余儀なくされた。同社はプレス・リリースで、「不審な活動を検知したため、直ちにフォレンジックの専門家を含む専門の対応チームを動員し、この問題に最優先で取り組んでいるところだ。

VMware ESXi Server を狙うランサムウェア：Python で３時間で仕事を終わらせる

Unnamed Ransomware gang uses a Python script to encrypt VMware ESXi servers

2021/10/05 SecurityAffairs — Sophos の研究者たちがランサムウェア攻撃を調査していたところ、Python スクリプトを使う攻撃者が、VMware ESXi サーバ上の仮想マシンを暗号化していたことが分かった。Sophos の研究者たちが調査した攻撃では、ランサムウェアのオペレーターが、最初の侵入から僅か３時間後に、VMware ESXi サーバの仮想ディスクを暗号化していた。

FBI／CISA／NSA 警告：Conti ランサムウェア攻撃が猛威を奮っている

FBI, CISA, and NSA warn of escalating Conti ransomware attacks

2021/09/22 BleepingComputer — 今日、CISA／FBI／NSA は、米国の組織を標的としたランサムウェア Conti の攻撃が増加しているとの警告を発した。米国の３つの連邦機関は、企業の IT 管理者に対し、組織のネットワーク・セキュリティ体制を見直し、Conti ランサムウェアから守るために、共同勧告に記載されている対策を直ちに実施するよう求めている。

広告業の Marketron が Blackmatter ランサムウェアに攻撃されている

Marketron marketing services hit by Blackmatter ransomware

2021/09/21 BleepingComputer — この週末に、ランサムウェア BlackMatter が、ビジネスソフトウェア・ソリューション・プロバイダーである Marketron を襲い、メディア業界の 6,000社以上の顧客に影響が生じた。この Marketron は、放送局やメディア企業向けに、クラウド・ベースの収益トラフィック管理ツールを提供している。収益管理と視聴者エンゲージメントを専門とし、毎年 $5 billion の広告収入を取り扱っている。

REvil ランサムウェアのマスター復号キーには法執行機関が絡んでいる？

Free REvil ransomware master decrypter released for past victims

2021/09/16 BleepingComputer — ランサムウェア REvil 用のマスター復号キーが無料で公開され、このギャングが姿を消す前に暗号化された、すべての被害者のデータが復元できるようになった。REvil マスター復号キーは、サイバーセキュリティ企業の Bitdefender が、信頼できる法執行機関と共同で作成したものだ。

Olympus の医療サービスは止まっていない：マルウェア攻撃についての続報

Olympus insists medical services ‘uninterrupted’ by malware attack

2021/09/14 DailySwig — 医療機器メーカーのオリンパスは、先週にサイバー攻撃を受けて一部の IT システムが停止したが、顧客にサービスが正常に稼働していることを確認した。9月14日に発表された最新情報によると、この 9月8日に発生したインシデントは、EMEA (欧州／中東／アフリカ) における販売と製造のネットワークの一部に影響を与えた、マルウェアによる攻撃の試みであることが確認された。

Olympus がサイバー攻撃に遭っている：BlackMatter ランサムウェアの犯行か？

BlackMatter ransomware hits medical technology giant Olympus

2021/09/13 BleepingComputer — 医療技術のリーディング・カンパニーである Olympus は、先週に EMEA (欧州／中東／アフリカ) の一部で IT システムに影響を与えた、サイバー・セキュリティ・インシデントの可能性を調査している。Olympus は、全世界で 31,000人以上の従業員を擁し、100年以上の歴史を持ち、医療／ライフサイエンス／産業機器業界向けに製品開発を行う企業である。

REvil ランサムウェア完全復活：フルパワーで攻撃を再開

REvil ransomware is back in full attack mode and leaking data

2021/09/11 BleepingComputer — REvil ランサムウェア・グループがが完全に復活し、新たな被害者を攻撃し、盗んだファイルをデータ漏洩サイトで公開している。2019年以降、Sodinokibi こと REvil ランサムウェア・グループは、世界中の組織に対して攻撃を行い、盗んだファイルの流出を止める複合キーと引き換えに、$1 million の身代金を要求してきた。その活動期間において、JBS／Coop／Travele／GSMLaw／Kenneth Cole／Grupo Fleury などの、有名企業に対して数多くの攻撃を仕掛けてきた。

REvil ランサムウェアの謎：だれがオンラインに戻したのか？

REvil ransomware servers mysteriously come back online

2021/09/07 BleepingComputer — ランサムウェア REvil の、ダークウェブ・サーバーが、約２ヶ月ぶりに突然復活した。これがランサムウェア・ギャングの復帰を意味するのか、それとも法執行機関がサーバーをオンにしたのかは不明だ。7月2日に、Sodinokibi こと REvil ランサムウェア・ギャングは、Kaseya VSA リモート管理ソフトウェアのゼロデイ脆弱性を悪用し、約60社のマネージド・サービス・プロバイダー (MSP) と、1,500社以上のビジネス顧客を暗号化した。

ランサムウェアが好む企業：地域／規模／業種などを分析する

Ransomware gangs target companies using these criteria

2021/09/06 BleepingComputer — 最近のランサムウェア・ギャングは、ダークウェブのマーケット・プレイスや他の脅威アクターから、標的のネットワークへのアクセス権を購入するケースを増やしている。こうした取引を仲介する広告を分析することで、どのような企業をランサムウェアが攻撃対象としているのかを知ることができる。

LockFile ランサムウェアは間欠的暗号化で防御ラインを突破する

LockFile Ransomware Bypasses Protection Using Intermittent File Encryption

2021/08/28 TheHackerNews — 先月に出現した新しいランサムウェア・ファミリーは、間欠的暗号化 (intermittent encryption) と呼ばれる新しい技術を利用することで、ランサムウェア対策を回避する独自のトリックを備える。この LockFile と呼ばれるランサムウェアの作者は、ProxyShell や PetitPotam といった、最近の脆弱性を悪用して Windows サーバーを危険にさらしているが、ファイルの 16 Bytes ごとにスクランブルをかけることでランサムウェア防御を回避する、ファイル暗号化マルウェアを展開していることが判明した。

BlackMatter ランサムウェアの Linux バージョンは VMware ESXi を標的とする

Linux version of BlackMatter ransomware targets VMware ESXi servers

2021/08/05 BleepingComputer — BlackMatter ランサムウェアが、ギャングたちの仲間入りをして、VMware ESXi 仮想マシン・プラットフォームを標的にした、Linux 用の暗号化ソフトウエアを開発した。エンタープライズでは、リソース管理やディザスタ・リカバリのために、サーバーを仮想マシンに移行する傾向が強まっている。VMware ESXi は最も一般的な仮想マシンプラット・フォームであるため、企業を標的としたランサムウェアの大半が、この仮想マシンを標的とする暗号化ツールをリリースし始めている。

DarkSide / REvil の後継者だと主張する BlackMatter ランサムウェアが登場した

BlackMatter ransomware group claims to be Darkside and REvil succesor

2021/07/28 SecurityAffairs — 今週に活動を開始した BlackMatter は、新しいランサムウェア・ギャングであり、また、Darkside と REvil グループの後継者であると主張している。BlackMatter は、他のランサムウェアと同様に、システムを暗号化する前に被害者から搾取したデータを、公開するリークサイトを開設している。BlackMatter ランサムウェアを最初に発見したのは、Recorded Future の研究者であり、Exploit や XSS といたサイバー犯罪フォーラムに掲載された広告を利用して、このグループがアフィリエイト・ネットワークを構築していると報告している。