マルウェアを解析する:ANY.RUN サンドボックスを用いたハンティングの流れとは?

How to Do Malware Analysis?

2022/09/14 TheHackerNews — Malwarebytes’ Threat Review for 2022 の調査結果によると、2021年には4000万台の Windows ビジネス・コンピュータで脅威が検出された。このような攻撃に対抗し、脅威を回避するためには、マルウェアの解析が欠かせない。今回は、悪意のプログラムの調査の目的と、サンドボックスを使ったマルウェア解析の方法を紹介していく。

Continue reading “マルウェアを解析する:ANY.RUN サンドボックスを用いたハンティングの流れとは?”

Google Play に侵入/潜伏する SharkBot:狙いはバンキング・ログイン情報の窃取

SharkBot malware sneaks back on Google Play to steal your logins

2022/09/04 BleepingComputer — マルウェア SharkBot の新バージョン/アップグレード版が Google Play ストアに復活し、数万回インストールされているアプリを介して、Android ユーザーのバンキング・ログイン情報を狙っていることが判明した。 このマルウェアは2つの Android アプリに存在し、Google の自動審査に提出された時点では、悪意のコードは含まれていなかった。ただし、ユーザーがドロッパー・アプリをインストールし起動した後に発生するアップデートで、SharkBot が追加されていたという。

Continue reading “Google Play に侵入/潜伏する SharkBot:狙いはバンキング・ログイン情報の窃取”

Google Translate アプリを装う Windows マルウェアが登場:1ヶ月の潜伏を経て発症

Windows malware delays coinminer install by a month to evade detection

2022/08/29 BleepingComputer — Google Translate/MP3 Downloader を装う新たな悪意のキャンペーンにより、暗号通貨マイニング・マルウェアが 11ヶ国に配布されていることが判明した。この偽のアプリケーション群は、正規のフリーソフトウェア・サイトを通じて配布されている。そのため、サイトの一般訪問者に対して、また、検索エンジンを介して、悪意のアプリケーションを広められていることになる。

Continue reading “Google Translate アプリを装う Windows マルウェアが登場:1ヶ月の潜伏を経て発症”

Tox P2P Messenger とクリプトマイナー:IPFS 上の C2 サーバとして重宝される

Crypto Miners Using Tox P2P Messenger as Command and Control Server

2022/08/24 TheHackerNews — 脅威アクターたちは、Tox P2P Messenger を Command and Control Server (C2) の手段として使用し始め、ランサムウェアの交渉のための連絡手段という、以前の役割を拡大しているようだ。Uptycs の調査結果では、ボットとして機能する ELF (Executable and Linkable Format) アーティファクト “72client” を分析し、侵入したホスト上で Tox プロトコルを用いてスクリプトを実行できることを明らかにした。

Continue reading “Tox P2P Messenger とクリプトマイナー:IPFS 上の C2 サーバとして重宝される”

XLoader ボットネットの最新技術:確率論を用いて C2 サーバーの所在を隠す

New XLoader botnet uses probability theory to hide its servers

2022/05/31 BleepingComputer — 脅威アナリストたちが明らかにしたのは、ボットネット・マルウェア XLoader の新バージョンでは、確率論を用いた Command and Control (C2) サーバー隠蔽機能が実装され、マルウェアの対策が困難になるという点である。それにより、マルウェアの運営者は、特定された IP アドレスのブロックによりノードを失うというリスクを負うことなく、同じインフラを使い続けることが可能となり、また、追跡/特定のリスクも低減されるという。

Continue reading “XLoader ボットネットの最新技術:確率論を用いて C2 サーバーの所在を隠す”

EnemyBot という Mirai 亜種:Router/IoT デバイスを大量に収穫して勢力を拡大中

New EnemyBot DDoS botnet recruits routers and IoTs into its army

2022/04/13 BleepingComputer — Mirai ベースの新しいボットネット・マルウェア EnemyBot は、モデム/ルーター/IoT デバイスの脆弱性を介して感染させたデバイスの勢力を拡大させ、それを操作する脅威アクターが Keksec であることが確認されている。この脅威グループは、クリプトマイニングと DDoS を専門としており、いずれも IoT デバイスに巣食い、そのコンピュータ資源を乗っ取ることが可能な、ボットネット・マルウェアにより支えられている。

Continue reading “EnemyBot という Mirai 亜種:Router/IoT デバイスを大量に収穫して勢力を拡大中”

TellYouThePass ランサムウェアが復活:Golang によるクロス・プラットフォームと Log4Shell

TellYouThePass ransomware returns as a cross-platform Golang threat

2022/01/12 BleepingComputer — TellYouThePass ランサムウェアは、Golang でコンパイルされたマルウェアとして再登場し、多様なオペレーティング・システムにおいて、特に macOS と Linux を標的にすることが容易になった。このマルウェアは、先月に Log4Shell エクスプロイトと組み合わせることで、脆弱なマシンを狙うために使用されたことで注目されている。今回、Crowdstrike が発表したレポートは、Windows 以外のプラットフォーム向けのコンパイルを容易にする、コードレベルの変更による復活に注目している。

Continue reading “TellYouThePass ランサムウェアが復活:Golang によるクロス・プラットフォームと Log4Shell”

Google が宣戦布告:巨大なロシアン・ボットネット Glupteba を潰せ

Google disrupts massive Glupteba botnet, sues Russian operators

2021/12/07 BleepingComputer — 現在、世界中の 100万台以上の Windows PC を支配し、毎日のように数千台の感染デバイスを増やしている Grupteba ボットネットを崩壊させる対策を、Google は講じていることを発表した。Glupteba は、ブロックチェーンに対応したモジュール型のマルウェアであり、2011年以降に米国/インド/ブラジル/東南アジア諸国を含む、世界中の Windows デバイスを標的にしている。

Continue reading “Google が宣戦布告:巨大なロシアン・ボットネット Glupteba を潰せ”

Linux マルウェアの浸透:Web スキマーとバックドアで e-Commerce が狙われる

Hackers deploy Linux malware, web skimmer on e-commerce servers

2021/11/18 BleepingComputer — セキュリティ研究者たちは、オンラインシ・ョップの Web サイトにクレジットカード・スキマーを注入した攻撃者が、侵害した電子商取引サーバーに Linux バックドアを展開していることを発見した。PHP でコーディングされた、この Web スキマー (顧客の決済情報/個人情報を盗むスクリプト) は、/app/design/frontend/ フォルダ内に .JPG 画像ファイルとして追加され、カモフラージュされている。

Continue reading “Linux マルウェアの浸透:Web スキマーとバックドアで e-Commerce が狙われる”

Conti ランサムウェアが内部分裂:怒りのアフィリエイトが Play Book を暴露した

Angry Conti ransomware affiliate leaks gang’s attack playbook

2021/08/05 BleepingComputer — 不満を抱いた Conti のアフィリエイトが、ランサムウェア運用者の情報を含む、攻撃を行うためのトレーニング資料を流出させた。Conti ランサムウェアは、RaaS (ransomware-as-a-service) として運営されており、コア・チームがマルウェアと Tor サイトを管理し、リクルートされたアフィリエイトがネットワーク侵入やデバイスの暗号化を行う仕組みになっている。そして、コア・チームが身代金の 20%~30% を受け取り、残りをアフィリエイトが受け取ることになる。

Continue reading “Conti ランサムウェアが内部分裂:怒りのアフィリエイトが Play Book を暴露した”

Cobalt Strike の新たなバグにより悪意のサーバーがダウンした?

New Cobalt Strike bugs allow takedown of attackers’ servers

2021/08/04 BleepingComputer — セキュリティ研究者が、ビーコン C2 (command-and-contro) 通信チャネルの遮断や、新たなデプロイメントを阻止する、Cobalt Strike のサービス拒否 (DoS) 脆弱性を発見した。Cobalt Strike は、レッドチーム (セキュリティの専門家が、自組織のインフラを攻撃する役割で行動し、セキュリティ・ギャップや脆弱性を発見する) の攻撃フレームワークで使用するために設計された、正規のペネトレーション・テスト・ツールだ。

Continue reading “Cobalt Strike の新たなバグにより悪意のサーバーがダウンした?”