Brute Ratel – IoT OT Security News

C2 Tracker はコミュニティ主導の IOC Feed ツール：Shodan と Censys を活用して何ができる？

C2 Tracker: A Community-Driven IOC Feed for Cybersecurity

2024/08/06 SecurityOnline — 日々進化するサイバー・セキュリティ脅威の状況において、最新かつ信頼できる脅威インテリジェンスへのアクセスは、最も重要なことである。この C2 Tracker は、Shodan と Censys の検索を活用して、既知のマルウェア／ボットネット Command and Control (C2) インフラに関連する IP アドレスを収集する、無料のオープンソース IOC (Indicator of Compromise) フィードである。

オープンソースの Merlin ツールキット：国家組織に対する攻撃に悪用される

Hackers use open source Merlin post-exploitation toolkit in attacks

2023/08/09 BleepingComputer — オープンソースのポスト・エクスプロイト／C2 フレームワークである、Merlin を悪用する脅威アクターによる、国家組織への攻撃が相次いでいると、ウクライナの CERT-UA が警告している。Merlin は、Go ベースのクロス・プラットフォームのポスト・エクスプロイト・ツールキットであり、GitHub を通じた無料での入手が可能であり、セキュリティ専門家がレッドチームの演習に利用するための、広範なドキュメントも提供している。

バンキング OSS サプライチェーン攻撃：銀行員を装う脅威アクターが悪意の npm パッケージを展開

Banking Sector Targeted in Open-Source Software Supply Chain Attacks

2023/07/24 TheHackerNews — 銀行業界を初めて標的とする、オープンソース・ソフトウェアのサプライチェーン攻撃が、サイバー・セキュリティの研究者たちにより発見された。Checkmarx は先週に公開したレポートで、「これらの攻撃では、被害者である銀行の Web 資産に悪意の機能を追加することで、特定のコンポーネントを標的にするといった、高度なテクニックが使用されている」と述べている。

Google レッドチーム・ツールの悪用：中国の APT41 による攻撃で発見される

Hackers abuse Google Command and Control red team tool in attacks

2023/04/17 BleepingComputer — 台湾のメディアとイタリアの就職支援会社に対するデータ窃取攻撃において、中国の国家支援ハッキング・グループ APT41 が、レッドチーム・ツール GC2 (Google Command and Control) を悪用していたことが判明した。APT41 は HOODOO とも呼ばれ、米国／欧州／アジアにおける広範な業界をターゲットにすることで知られる、中国政府に支援されたハッキング・グループである。2014年から Mandiant は、このハッキング・グループを追跡しており、その活動は BARIUM や Winnti といった、その他の中国のハッキング・グループと重複すると述べている。

EX-22 という悪意のフレームワークが登場：システム侵入後の作業が容易に

New EX-22 Tool Empowers Hackers with Stealthy Ransomware Attacks on Enterprises

2023/02/28 TheHackerNews — EXFILTRATOR-22 (別名 EX-22 ) という、新たな Post-Exploitation フレームワークが野放し状態で発見された。その主目的は、企業ネットワーク内で検知されずに、ランサムウェアを拡散させることにあるという、サイバー・セキュリティ企業の CYFIRMA は最新レポートで、「このツールには、システムに侵入した後の作業を容易にするための、幅広い機能が搭載されている」と述べている。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

QBot の新しい戦略：SVG ベクター画像ファイル内にマルウエアを隠し持つ

Attackers use SVG files to smuggle QBot malware onto Windows systems

2022/12/14 BleepingComputer — QBot マルウェアのフィッシング・キャンペーンは、SVG (Scalable Vector Graphics) ファイルを悪用して Windows 用の不正なインストーラーをローカルに作成する、HTML スマグリングの新たな配布方法を採用している。この攻撃は、JavaScript を含むエンベッド SVG ファイルにより行われ、Base64 エンコードされた QBot マルウェアのインストーラーを再構築し、ターゲットのブラウザを通じて自動的にダウンロードさせるものだ。

Windows の MoTW ゼロデイを悪用：Qbot 投下フィッシング・キャンペーンが発覚

New attacks use Windows security bypass zero-day to drop malware

2022/11/19 BleepingComputer — 新たに発見されたフィッシング攻撃は、Windows のゼロデイ脆弱性を利用して、Mark of the Web のセキュリティ警告を表示せずに、マルウェア Qbot をドロップするものだ。Web やメールなどを介して、信頼できないリモートからのファイルがダウンロードされると、Windows は Mark of the Web (MoTW) と呼ばれる特別フラグを、それらのファイルに追加する。

Black Basta ランサムウェアの新戦術：Qakbot 経由でネットワークに侵入して Brute Ratel C4 を展開

Black Basta Ransomware Hackers Infiltrate Networks via Qakbot to Deploy Brute Ratel C4

2022/10/17 TheHackerNews — Black Basta ランサムウェア・ファミリーの背後にいる脅威アクターは、 Qakbotトロイの木馬を用いる最近の攻撃において、第２段階のペイロードとして Brute Ratel C4フレームワークを展開していることが確認された。Trend Micro は、先週に発表した技術分析で、最新の敵対的シミュレーション・ソフトウェア Brute Ratel C4 が、Qakbot 感染を通じて配信される初めてのケースだと述べている。この侵入は、兵器化された ZIP アーカイブ・リンクを含むフィッシング・メールを介して達成され、横方向への移動には Cobalt Strike が使用されている。

Brute Ratel ポスト・エクスプロイト・キットのクラック版：残念なことに蔓延の兆し

Hackers now sharing cracked Brute Ratel post-exploitation kit online

2022/09/28 BleepingComputer — Brute Ratel のポスト・エクスプロイト・ツールキットがクラックされ、ロシア語圏と英語圏のハッキング・コミュニティで無料で共有されている。Brute Ratel C4 (BRC4) を知らない人のために説明すると、これは Mandiant と CrowdStrike の元レッドチーマーである、Chetan Nayak が作成したポスト・エクスプロイト・ツールキットのことである。

Sliver Tookit という最新／最強の攻撃ツール：Cobalt Strike は過去の遺物に？

Hackers adopt Sliver toolkit as a Cobalt Strike alternative

2022/08/25 BleepingComputer — 脅威アクターたちの好みが、正規のペンテスト・スイートである Cobalt Strike から、あまり知られていない類似のフレームワークを使う方向へと変化している。Brute Ratel (Red Teaming Tool) のに続くものとして、Sliver と呼ばれるオープンソースのクロスプラットフォーム・キットが、魅力的な代替品になりつつありる。さらに、Sliver を悪用するアクティビティは、ツールキット／動作／コンポーネントなどの分析から導き出された、ハンティング・クエリから検出されている。

Brute Ratel C4 という強力なレッドチーム・ツール：Cobalt Strike のように悪意のペイロード化するのか？

2022/07/06 SecurityAffairs — Palo Alto Networks Unit 42 の研究者は、2022年5月19日にVirusTotal データベースにアップロードされたことで、大半のアンチウイルス製品が良性と判断していたサンプルに、レッドチーム／敵対攻撃シミュレーションのためのツールである、Brute Ratel C4 (BRc4) に関連するペイロードが含まれていたことを発見した。Cobalt Strike Beacons とは異なり、BRc4 ペイロードは普及していないが、同様の機能を備えている。このツールは、EDR (endpoint detection and response) や AV (antivirus) などによる、セキュリティ検出を回避するように設計されている。VirusTotal 上のベンダー間で検知されなかったことからも、このツールの有効性は明らかだ。