Cobalt Strike – IoT OT Security News

Cobalt Strike 4.12 が正式リリース：REST API／User Defined C2 などを導入

Cobalt Strike 4.12 Adds New Injection, UAC Bypasses & C2 Features

2025/11/25 gbhackers — Fortra が、Cobalt Strike 4.12 を正式にリリースした。そこで導入されたのは、レッドチーム・オペレーションと攻撃的セキュリティ調査を強化するために設計された、包括的な新機能のスイートである。このアップデートに新たに含まれるものには、最新の GUI／画期的な REST API／User Defined Command and Control (UDC2)／高度なプロセス・インジェクション技術／新しい UAC バイパスなどに加えて、段階的にロードする Malleable C2 オプションにより強化された回避機能がある。

Cobalt Strike Beacon を展開するキャンペーンを発見：標的国がロシアから日本／中国などへと拡大

Hackers Deploy Cobalt Strike Beacon Using GitHub and Social Media

2025/07/30 gbhackers — ロシアなどの IT 業界に混乱をもたらす、高度なサイバー攻撃キャンペーンの存在が確認されたが、そこでは Cobalt Strike Beacon が展開され、高度な検出回避技術が駆使されているという。このキャンペーンを背後で操る攻撃者は、GitHub／Microsoft Learn Challenge／Quora に加えて、ロシアの SNS などのプラットフォーム上のユーザー・プロファイル内に、ペイロード情報を巧妙に隠している。つまり、悪意のデータを、正当なユーザーが生成するコンテンツに混在させることで、この攻撃者はセキュリティ検出の回避を試みている。この手法により、広く使用されるポスト・エクスプロイト・ツール Cobalt Strike の、複雑な実行チェーンの構築が可能になっている。

Ivanti Connect Secure の脆弱性 CVE-2025-0282／22457 を悪用：Cobalt Strike を展開するキャンペーンとは？

Threat Actors Exploiting Ivanti Connect Secure Vulnerabilities to Deploy Cobalt Strike Beacon

2025/07/18 CyberSecurityNews — Ivanti Connect Secure VPN デバイスを標的とする高度なマルウェア攻撃キャンペーンは、2024年12月以降において深刻な脆弱性 CVE-2025-0282／CVE-2025-22457 を積極的に悪用している。この進行中の攻撃で展開されるマルウェア・ファミリーは、MDifyLoader／Cobalt Strike Beacon／vshell／Fscan などであり、侵害されたネットワークへの長期的なアクセスを確立する APT の手法が確認されている。

Cobalt Strike の無許可コピーが 80% も減少：Fortra の２年間にわたる努力が報われてきた

Cobalt Strike Abuse Dropped 80% in Two Years

2025/03/10 SecurityWeek — Cobalt Strike の開発元である Fortra によると、この敵対者シミュレーション・ツールの悪用が、直近の２年間で大幅に減少しているという。Cobalt Strike は、敵対者シミュレーション用に設計された正規のポスト・エクスプロイト・ツールだが、悪意の活動に活用できるクラック版のコピー (通常は旧バージョン) を作成する方法を、脅威アクターたちは見つけ出した。このツールは、利益を追求するサイバー犯罪者と、国家に支援される APT グループにより悪用されている。

PHP-CGI の脆弱性 CVE-2024-4577 を悪用：日本の技術／通信／e コマースへの攻撃を観測

PHP-CGI RCE Flaw Exploited in Attacks on Japan’s Tech, Telecom, and E-Commerce Sectors

2025/03/07 TheHackerNews — 2025年1月以降から、日本の組織を主な標的とする悪意のキャンペーンが確認されている。現時点において、その背後にいる脅威アクターの正体は不明だ。2025年3月6日に公開された技術レポートで、「攻撃者は、Windows 上の PHP-CGI 実装に存在するリモート・コード実行 (RCE) の脆弱性 CVE-2024-4577 を悪用し、被害者マシンでイニシャル・アクセスを獲得していた。続いて、一般に公開されている Cobalt Strike kit である TaoWu のプラグインを利用し、侵害後の攻撃活動を行っていた」と、Cisco Talos の研究員である Chetan Raghuprasad は述べている。

SocGholish マルウェアの脅威：武器化された ZIP を侵害済みの Web サイトからドロップ

SocGholish Malware Dropped from Hacked Web Pages using Weaponized ZIP Files

2025/02/14 gbhackers — SocGholish マルウェア・フレームワークによる一連のサイバー攻撃では、正規のブラウザ更新を装う悪意の ZIP ファイルを配信するために、すでに侵害された Web サイトが悪用されていることが判明している。

CISA KEV 警告 25/02/07：Trimble Cityworks の脆弱性 CVE-2025-0994 が悪用されている

CISA Warns of Active Exploits Targeting Trimble Cityworks Vulnerability

2025/02/07 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Trimble Cityworks GIS-centric 資産管理ソフトウェアに影響を及ぼすキュリティ上の欠陥が、実際に悪用されているという警告と、Known Exploited Vulnerability (KEV) カタログへの登録である。

Malware から Microsoft LOLBin へ：2024年上半期の脅威データを分析 – Sophos

2024 Sees Sharp Increase in Microsoft Tool Exploits

2024/12/13 InfoSecurity — 最新の Sophos Active Adversary Report が示すのは、脅威アクターによる正規の Microsoft ツールの悪用が、2023 年と 2024 年上半期の比較において、51% も増加していることだ。2024 年上半期に分析された 190 件のサイバー・インシデントにおいて、187 件で Microsoft 製品を用いる、Living Off the Land Binaries (LOLbins) が観測された。そのうちの 64 件は、Sophos データセットに１回だけ出現していたと、研究者たちは述べている。

VOIDMAW というテクノロジー：メモリス・キャナーに対する新たなバイパス手法を提示

VOIDMAW: A New Bypass Technique for Memory Scanners

2024/10/21 SecurityOnline — マルウェア検出技術が進化するにつれ、それらの回避を試みる、攻撃者たちの手法も進化している。そのような手法の１つである VOIDMAW とは、悪意のコードを巧妙に隠蔽してアンチウイルス・ソフトウェアを回避する、革新的なメモリ・スキャン・バイパス技術のことである。VOIDMAW は、マルチスレッド・ペイロードをサポートし、すべての C2 (Command-and-Control) ビーコンと互換性があり、さらに、 .NET 以外のバイナリ・ファイルも実行できるため、攻撃者にとって強力なツールとなる。

GhostStrike の解説：Sliver C2 の解析から Cobalt Strike などへと対象を拡大

GhostStrike: Open-source tool for ethical hacking

2024/10/17 HelpNetSecurity — GhostStrike は、倫理的ハッキングやレッドチームでの運用に特化された、高度なサイバー・セキュリティのための、オープンソース・ツールである。このツールは、Windows システム上での検知をステルス的に回避する hollowing プロセスなどの、最先端の技術を組み込んでおり、ペンテストやセキュリティ評価に役立つものとなっている。

新規の脅威アクター Storm-0501：オンプレからクラウドに侵入して Microsoft 365 アカウントを狙う

Ransomware attackers hop from on-premises systems to cloud to compromise Microsoft 365 accounts

2024/09/30 HelpNetSecurity — RaaS (ransomware-as-a-service) 組織の１つである Storm-0501 が、標的のクラウドとオンプレミスの環境を侵害していることが確認された。9月26日に公開したブログで Microsoft は、「最新の脅威アクターである Storm-0501 は、企業のオンプレミス環境からクラウド環境へと移動するために、脆弱な認証情報や過剰な特権のアカウントを悪用していることが確認された。彼らは認証情報を盗み、それを使ってネットワークを制御し、最終的にクラウド環境への持続的なバックドア・アクセスを確立する。そして、オンプレミスにランサムウェアを展開していた」と詳述している。

Earth Baxia サイバー・スパイ：GeoServer の CVE-2024-36401 を武器にして APAC を狙う

Sophisticated Cyber Espionage: Earth Baxia Uses CVE-2024-36401 and Cobalt Strike to Infiltrate APAC

2024/09/19 SecurityOnline — サイバースパイ集団 Earth Baxia が、洗練されたスピアフィッシング攻撃と、GeoServer の脆弱性 CVE-2024-36401 の悪用を通じて、台湾の政府機関や APAC 諸国を標的にしていることが、最近の Trend Micro のレポートにより判明した。この攻撃は、通信／電力／政府などの主要セクターに侵入する、従来からの継続的な取り組みの一環だとされる。

COFF／PE ローダーのツール Goffloader がリリース – Praetorian

Goffloader: In-Memory Execution, No Disk Required

2024/09/04 SecurityOnline — セキュリティ企業 Praetorian は、BOF ファイルや管理されていない Cobalt Strike PE ファイルの実行を、ディスクへのファイル書き込みに依存することなく、メモリ内でダイレクトに実行できるように設計されたツール GoffLoader をリリースした。

C2 Tracker はコミュニティ主導の IOC Feed ツール：Shodan と Censys を活用して何ができる？

C2 Tracker: A Community-Driven IOC Feed for Cybersecurity

2024/08/06 SecurityOnline — 日々進化するサイバー・セキュリティ脅威の状況において、最新かつ信頼できる脅威インテリジェンスへのアクセスは、最も重要なことである。この C2 Tracker は、Shodan と Censys の検索を活用して、既知のマルウェア／ボットネット Command and Control (C2) インフラに関連する IP アドレスを収集する、無料のオープンソース IOC (Indicator of Compromise) フィードである。

VMware ESXi への認証バイパスの攻撃：複数のランサムウェアが悪用 – Microsoft

Microsoft: Ransomware gangs exploit VMware ESXi auth bypass in attacks

2024/07/29 BleepingComputer — VMware ESXi の認証バイパスの脆弱性を悪用するランサムウェア集団が、積極的な攻撃を展開していると、Microsoft が警告している。この Medium レベルの脆弱性 CVE-2024-37085 は、Microsoft のセキュリティ研究者である Edan Zwick／Danielle Kuznets Nohi／Meitar Pinto により発見され、6月25日にリリースされた ESXi 8.0 U3 で修正されている。このバグを悪用する攻撃者は、ESX Admins グループを作成し、新規ユーザーの追加を可能にするものであり、それらのユーザーに対しては、ESXi ハイパーバイザー上の完全な管理者権限が自動的に割り当てられるという。

Black Basta の戦術：ソーシャル・エンジニアリングで Windows Quick Assist を侵害

Windows Quick Assist abused in Black Basta ransomware attacks

2024/05/15 BleepingComputer — 金銭的な動機に基づくサイバー犯罪者たちが、ソーシャル・エンジニアリング攻撃で Windows Quick Assist 機能を悪用し、被害者のネットワーク上に Black Basta ランサムウェアのペイロードを展開している。Microsoft は、遅くとも 2024年4月中旬から、このキャンペーンを調査している。同社の観察によると、脅威グループ (Storm-1811) は、さまざまな電子メール配信サービスにアドレスを登録した後に、標的に対する大量の電子メール配信を行うことで攻撃を開始する。

Linux を標的とする OSS Pupy RAT：充実したポスト・エクスプロイト機能でアジアを狙う

Linux Systems Targeted: Open-Source Pupy RAT Exploited in Attacks Across Asia

2024/04/21 SecurityOnline — Pupy と呼ばれるパワフルな RAT (Remote Access Trojan) が、韓国を含むアジア全域の Linux システムを標的とした攻撃で積極的に武器化されている。AhnLab Security Emergency Response Center (ASEC) のセキュリティ研究者たちが、先日に発見したのは、Pupy の巧妙なオペレーションの存在であり、そこでは Decoy Dog という新たな亜種も用いられているという。

TeamCity の脆弱性 CVE-2024-27198：さまざまな脅威アクターが武器化している

TeamCity Flaw Leads to Surge in Ransomware, Cryptomining, and RAT Attacks

2024/03/20 TheHackerNews — 先日に公開された JetBrains TeamCity の脆弱性を悪用する複数の脅威アクターが、ランサムウェア／暗号通貨マイナー／Cobalt Strike ビーコンや、Spark RATと呼ばれる Golang ベースの RAT などを展開している。この攻撃は、脆弱性 CVE-2024-27198 (CVSS：9.8) を悪用するものであり、敵対者は認証手段を回避し、影響を受けたサーバの管理者権限を取得する可能性を持つ。

Earth Krahang は中国由来の APT：ありきたりの OSS ツールで 48の政府機関を侵害

Chinese APT ‘Earth Krahang’ Compromises 48 Gov’t Orgs on 5 Continents

2024/03/19 DarkReading — これまで正体不明だった、中国のスパイ・グループが特定された。このフループは、標準的な TTP (Tactics／Techniques／Procedures) を用いながらも、23カ国の少なくとも 70組織への侵入に成功したが、そこには政府機関の 48組織も含まれていたという。Earth Krahang は、高レベルの軍事 APT ではないようだ。Trend Micro の研究者たちは新たなレポートの中で、中国共産党 (CCP) が契約した、民間のハッカー雇用オペレーションである、iSoon の一部である可能性を示唆している。

Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887：KrustyLoader マルウェアの配布に悪用

Hackers Exploiting Ivanti VPN Flaws to Deploy KrustyLoader Malware

2024/01/31 TheHackerNews — 最近に公開された Ivanti Connect Secure (ICS) VPN (Virtual Private Network) デバイスの２つのゼロデイ脆弱性が、KrustyLoader というペイロードの配信に悪用されている。KrustyLoader とは、オープンソースの Sliver 攻撃シミュレーション・ツールを投下するために使用される、Rust ベースのツールのことである。悪用が確認されている脆弱性 CVE-2023-46805 (CVSS：8.2)／CVE-2024-21887 (CVSS：9.1) は、認証されていない攻撃者に対して、影響を受けやすいアプライアンス上でのリモート・コード実行を許す可能性があるものだ。

Notepad++ に仕込まれた悪意のコード：Google 検索の広告で偽アプリが宣伝されている

Malicious Notepad++ Google ads evade detection for months

2023/10/17 BleepingComputer — Google 検索に表示される新たな不正広告キャンペーンにより、人気のテキスト・エディタ Notepad++ をダウンロードしようとするユーザーが標的とされているが、そこでは検出や分析を回避するための高度なテクニックが使用されているという。マルウェアを配布するために作られた、偽ソフトウェアの Web サイトを宣伝する不正広告キャンペーンが盛んであり、Google 広告を悪用する脅威アクターが増加している。

ShadowSyndicate というハッカー集団：複数のランサムウェアと C2 サーバを巧みに運用

ShadowSyndicate hackers linked to multiple ransomware ops, 85 servers

2023/09/26 BleepingComputer — 現在、ShadowSyndicate として追跡されている脅威アクターのインフラを、セキュリティ研究者たちが特定した。これまでの１年間で ShadowSyndicate は、７種類のランサムウェア・ファミリーを展開していたようだ。Group-IB のアナリストは、2022年7月以降の侵害において ShadowSyndicate が Quantum／Nokoyawa／BlackCat/ALPHV／Clop／Royal／Cactus／Play などのランサムウェアを使用していたことを、さまざまな確度から断定している。

Gelsemium というステルス APT の柔軟性：悪意のツール群を防御策に応じて運用

Evasive Gelsemium hackers spotted in attack against Asian govt

2023/09/23 BleepingComputer — Gelsemium として追跡されているステルス性の APT が、2022年から2023年の半年間にわたって、東南アジアの政府を標的とした攻撃で観測された。Gelsemium は2014年から活動しているサイバースパイ集団であり、東アジアおよび中東の政府／教育機関／電子機器メーカーを標的としている。

WinRAR 用の偽 PoC エクスプロイト：PowerShell を介して VenomRAT を展開

Fake WinRAR proof-of-concept exploit drops VenomRAT malware

2023/09/20 BleepingComputer −−− 最近に修正された WinRAR の脆弱性に対する偽 PoC エクスプロイトが、あるハッカーにより GitHub で広めており、VenomRAT マルウェアのダウンローダーに感染させようとしている。この偽 PoC エクスプロイトは、Palo Alto Networks の Unit 42 チームの研究者たちにより発見され、2023年8月21日の時点で攻撃者により、悪意のコードが GitHub にアップロードされたことが報告されている。この攻撃は、すでに阻止されているが、 GitHub から調達した PoC の、安全性を確認せずに実行することのリスクが、改めて浮き彫りにされている。

Earth Lusca の SprySOCKS という Linux バックドア：中国から各国の政府機関を狙っている

Earth Lusca’s New SprySOCKS Linux Backdoor Targets Government Entities

2023/09/19 TheHackerNews — Earth Lusca と呼ばれる中国由来の脅威アクターが、SprySOCKS という未知の Linux バックドアを用いて、各国の政府機関を標的としていることが確認された。Earth Lusca は、2022年1月に Trend Micro により初めて文書化され、アジア／オーストラリア／ヨーロッパ／北米の公共機関および民間企業に対する攻撃の詳細が報告された。この 2021年から活動しているグループは、スピアフィッシングや水飲み場攻撃を利用して、サイバー・スパイ活動を展開している。なお、その活動の一部は、RedHotel という名前で Recorded Future が追跡している、別の脅威クラスターと重複している。

Microsoft SQL がターゲット：FreeWorld ランサムウェアを展開する脅威アクターたち

Threat Actors Targeting Microsoft SQL Servers to Deploy FreeWorld Ransomware

2023/09/01 TheHackerNews — Microsoft SQL サーバのセキュリティの低さを悪用する脅威アクターが、Cobalt Strike を配信した上で、FreeWorldと呼ばれるランサムウェアを展開している。サイバー・セキュリティ企業 Securonix は、このキャンペーンを DB#JAMMER と名付け、そのツールセットとインフラの使用方法が際立っていると述べている。セキュリティ研究者である Den Iuzvyk と Tim Peck と Oleg Kolesnikov は、「これらのツールの中には、列挙ソフトウェア／RAT ペイロード／クレデンシャル窃盗のためのソフトウェアおよび、ランサムウェアのペイロードが含まれている。ここで選択されたランサムウェアのペイロードは、FreeWorld と呼ばれる Mimic ランサムウェアの新たな亜種だと思われる」と技術的な詳細の中で述べている。

オープンソースの Merlin ツールキット：国家組織に対する攻撃に悪用される

Hackers use open source Merlin post-exploitation toolkit in attacks

2023/08/09 BleepingComputer — オープンソースのポスト・エクスプロイト／C2 フレームワークである、Merlin を悪用する脅威アクターによる、国家組織への攻撃が相次いでいると、ウクライナの CERT-UA が警告している。Merlin は、Go ベースのクロス・プラットフォームのポスト・エクスプロイト・ツールキットであり、GitHub を通じた無料での入手が可能であり、セキュリティ専門家がレッドチームの演習に利用するための、広範なドキュメントも提供している。

Nitrogen というキャンペーン：Google／Bing の広告を介してマルウェアを展開

New Nitrogen malware pushed via Google Ads for ransomware attacks

2023/07/26 BleepingComputer — Nitrogen マルウェアによる、イニシャル・アクセス・キャンペーンは、Google や Bing などの検索広告で偽ソフトウェア・サイトを宣伝し、疑念を持たないユーザーたちに、Cobalt Strike やランサムウェアのペイロードに感染させていくものだ。Nitrogen マルウェアの目的は、企業ネットワークへのイニシャル・アクセスを脅威アクターたちに提供し、データ窃取やサイバー・スパイ活動を行わせ、最終的に BlackCat／ALPHV ランサムウェアを展開させることにある。7月26日に Sophos が発表したレポートには、Nitrogen キャンペーンに関する詳細な説明として、AnyDesk／Cisco AnyConnect VPN／TreeSize Free／WinSCP などの一般的なソフトウェアになりすまし、主に北米の技術組織や非営利組織をターゲットにしている状況が記されている。

バンキング OSS サプライチェーン攻撃：銀行員を装う脅威アクターが悪意の npm パッケージを展開

Banking Sector Targeted in Open-Source Software Supply Chain Attacks

2023/07/24 TheHackerNews — 銀行業界を初めて標的とする、オープンソース・ソフトウェアのサプライチェーン攻撃が、サイバー・セキュリティの研究者たちにより発見された。Checkmarx は先週に公開したレポートで、「これらの攻撃では、被害者である銀行の Web 資産に悪意の機能を追加することで、特定のコンポーネントを標的にするといった、高度なテクニックが使用されている」と述べている。

Sophos の名を語る SophosEncrypt という RaaS：ID Ransomware に被害者からの投稿

Cybersecurity firm Sophos impersonated by new SophosEncrypt ransomware

2023/07/18 BleepingComputer — サイバー・セキュリティ・ベンダーの Sophos が、新しい RaaS (ransomware-as-a-service) になりすまされているが、この脅威アクターは同社の名前を取り込んだ、SophosEncrypt という名前で活動している。この、昨日に MalwareHunterTeam により発見されたランサムウェアは、当初は Sophos 自身のレッドチームによる演習の一環と考えられていた。しかし、Sophos X-Ops チームは、この暗号化ツールを作成したのは自分たちではなく、その立ち上げについて調査中であるとツイートした。

WinSCP の偽サイトへ誘導：Google と Bing での悪意の広告キャンペーンでCobalt Strike を展開

BlackCat ransomware pushes Cobalt Strike via WinSCP search ads

2023/07/01 BleepingComputer — BlackCat ランサムウェア・グループ (別名 ALPHV) は、Windows 用ファイル転送アプリケーション WinSCP の公式 Web サイトを模倣した偽ページに人々を誘い込み、マルウェアを仕込んだインストーラーをプッシュするという、マルバータイズ・キャンペーンを行っている。WinSCP (Windows Secure Copy) とは、SFTP／FTP／S3／SCP クライアントおよび、SSH ファイル転送機能を持つ、人気のフリー・オープンソースのファイル・マネージャでああり、SourceForge だけで毎週 40万もダウンロードされている。

Google Play にインド APT 由来のスパイウェア：VPN／Chat アプリを装っていた

Android spyware camouflaged as VPN, chat apps on Google Play

2023/06/19 BleepingComputer — Google Play 上の３件の Android アプリが、標的のデバイスから位置情報や連絡先リストなどを収集するに、国家に支援された脅威アクターにより運用されていたことが判明した。それらの悪意の Android アプリを発見した Cyfirma は、「遅くとも 2018年以降において、東南アジアの著名な組織を標的としている、インドのハッキング・グループ APT-C-35 (DoNot) が操作していたと、中程度の信頼性で判断している」と述べている。

Mystic Stealer という新種のマルウェア：40 の Web ブラウザと 70 のエクステンションが標的

New Mystic Stealer Malware Targets 40 Web Browsers and 70 Browser Extensions

2023/06/19 TheHackerNews — Mystic Stealer と呼ばれる新たな情報窃取マルウェアが、約40種類の Web ブラウザと70種類以上の Web ブラウザ・エクステンションから、データを窃取できることが判明した。2023年4月25日に、このマルウェアは、月額 $150 という価格で発売されていたが、そこで採用されるメカニズムは、暗号通貨ウォレット／Steam／Telegram などを標的にするものであり、分析にも抵抗するという。InQuest と Zscaler の研究者たちは、「そのコードは、ポリモーフィック文字列難読化／ハッシュベースのインポート解決／定数のランタイム計算を使用して、高度に難読化されている」と、先週に発表された分析で述べている。

Buhti というランサムウェア：LockBit／Babuk のコードを流用する新たな脅威

New Buhti ransomware gang uses leaked Windows, Linux encryptors

2023/05/25 BleepingComputer — Buhti と命名された新しいランサムウェア・オペレーションが、LockBit／Babuk ランサムウェア・ファミリーの流出コードを使用して、Windows／Linux システムを狙っている。Blacktail として追跡されている Buhti の背後にいる脅威アクターは、独自にランサムウェアを開発せずに、”double-extortion” として知られるカスタムデータ流出ユーティリティを使用して被害者を脅迫している。2023年2月に Palo Alto Networks の Unit 42 チームにより、野放し状態で活動している Buhti が発見されたが、Goland ベースのランサムウェアであり、Linux を標的としていることが確認されている。

Cobalt Strike の Golang 亜種が登場：Apple macOS を狙う中国の APT とは？

Hackers Using Golang Variant of Cobalt Strike to Target Apple macOS Systems

2023/05/16 TheHackerNews — Golang で実装された Geacon という名の Cobalt Strike 亜種が、Apple macOS システムをターゲットとする脅威アクターたちの注目を集める可能性があるという。VirusTotal に掲載される Geacon ペイロードの数が、この数カ月で増加していることを確認した SentinelOne が調査結果を発表した。セキュリティ研究者である Phil Stokes と Dinesh Devadoss はレポートの中で、「これらのペーロードには、レッドチーム・オペレーションで使用されたものもあると思われるが、本物の悪意あ攻撃の特徴を持つものもある」と述べている。

Earth Longzhi という中国ハッカー・グループ：DLL 悪用マルウェアでアジアを狙う

Chinese Hacker Group Earth Longzhi Resurfaces with Advanced Malware Tactics

2023/05/03 TheHackerNews — 中国の国家支援ハッカー集団が再登場し、台湾／タイ／フィリピン／フィジーなどの、政府／医療／テクノロジー／製造業を標的とする、新たなキャンペーンを展開している。この Earth Longzhi グループは、APT41 (別名 HOODOO／Winnti) のサブグループであり、半年以上も活動を停止していたが、Earth Baku／SparklingGoblin／GroupCC などのクラスターと重複した動きを見せている。Earth Longzhi は、2022年11月にサイバー・セキュリティ企業により検出され、東アジア／東南アジア／ウクライナなどの組織への攻撃が分析されている。

PaperCut MF／NG の脆弱性 CVE-2023-27350：Cl0p ランサムウェアが悪用 – Microsoft 報告

Microsoft: Cl0p Ransomware Exploited PaperCut Vulnerabilities Since April 13

2023/04/27 SecurityWeek — Microsoft の発表によると、FIN11 および TA505 と提携している Cl0p ランサムウェアのオペレーターが、パッチが適用されたばかりの PaperCut の脆弱性を、4月13日から悪用し始めたようだ。問題の脆弱性は、PaperCut MF／NG プリント管理システムに影響を与えるものだ。この脆弱性 CVE-2023-27350 (CVSS：9.8) の悪用に成功した攻撃者は、認証をバイパスしてシステム権限でリモート・コード実行 (RCE) を行うことが可能になる。この脆弱性は、2023年3月にリリースされたバージョン 20.1.7／21.2.11／22.0.9 で修正されているが、それと同時に、PaperCut MF／NG の情報漏えいの脆弱性 CVE-2023-27351 に対応されている。

CryptBot 配布者を Google が訴訟：サイバー犯罪エコシステムに責任を求める

Google Gets Court Order to Take Down CryptBot That Infected Over 670,000 Computers

2023/04/27 TheHackerNews — 4月26日 (水) に Google は、CryptBot と呼ばれる Windows ベースの情報窃取型マルウェアの配信を阻止し、その増殖を減速させるために、米国の裁判所から仮の命令を取得したことを発表した。この取り組みは、マルウェアの犯罪オペレーターだけでなく、その配布により利益を得る者に対して責任を追求する措置でもあると、Google の Mike Trinh と Pierre-Marc Bureau は述べている。

BumbleBee マルウェア：Google 広告や SEO ポイズニングを介して配布 – Secureworks

Google ads push BumbleBee malware used by ransomware gangs

2023/04/22 BleepingComputer — エンタープライズをターゲットにしたマルウェア Bumblebee が、Zoom／Cisco AnyConnect／ChatGPT／Citrix Workspace などの人気ソフトウェアを宣伝する Google 広告や、SEO ポイズニングを介して配布されている。Bumblebee は 2022年4月に発見されたマルウェア・ローダーであり、ネットワークへのイニシャル・アクセスやランサムウェア攻撃に使用される、バックドア BazarLoader の代替として、Conti チームが開発したものだと考えられている。

Conti 元メンバーと FIN7 開発者の共闘：新たな Domino マルウェアを配布している

Ex-Conti members and FIN7 devs team up to push new Domino malware

2023/04/17 BleepingComputer — Conti ランサムウェアの元メンバーが、FIN7 脅威アクターと手を組み、企業ネットワークへの攻撃において、Domino という新たなマルウェア・ファミリーを配布しているようだ。Domino は、２つのコンポーネントから構成される、比較的に新しいマルウェア・ファミリーである。最初に、Domino Backdoor という名前のバックドアをドロップし、そのバックドアが Domino Loader をドロップすることで、情報を窃取する DLL マルウェアが、他のプロセスやメモリに注入されていく。

Google レッドチーム・ツールの悪用：中国の APT41 による攻撃で発見される

Hackers abuse Google Command and Control red team tool in attacks

2023/04/17 BleepingComputer — 台湾のメディアとイタリアの就職支援会社に対するデータ窃取攻撃において、中国の国家支援ハッキング・グループ APT41 が、レッドチーム・ツール GC2 (Google Command and Control) を悪用していたことが判明した。APT41 は HOODOO とも呼ばれ、米国／欧州／アジアにおける広範な業界をターゲットにすることで知られる、中国政府に支援されたハッキング・グループである。2014年から Mandiant は、このハッキング・グループを追跡しており、その活動は BARIUM や Winnti といった、その他の中国のハッキング・グループと重複すると述べている。

Cobalt Strike のクラック版を潰せ：Microsoft と Fortra が取り締まりを発表

Microsoft and Fortra crack down on malicious Cobalt Strike servers

2023/04/06 BleepingComputer — Microsoft／Fortra／Health-ISAC (Health Information Sharing and Analysis Center) の三者は、サイバー犯罪者が使用する主要ハッキングツールである、Cobalt Strike のクラック・コピーをホストするサーバに対する、広範な法的取り締まりを発表した。Microsoft の Digital Crimes Unit (DCU) の Amy Hogan-Burney は、「世界中でホストされている Cobalt Strike のクラックされたレガシー・コピーを取り締まるには、粘り強く取り組む必要がある。Fortra のセキュリティ・ツールの、正当な利用を保護するための重要な行動である。Microsoft も同様に、自社の製品／サービスの正当な利用を守るために尽力している」と述べている。

CISA KEV 警告 23/04/01：スパイウェアなどを対象に９件の危険な脆弱性を追加

CISA adds bugs exploited by commercial surveillance spyware to Known Exploited Vulnerabilities catalog

2023/04/01 SecurityAffairs — CISA は、KEV (Known Exploited Vulnerabilities) カタログに、９件の脆弱性を新たに追加した。そのうちの５件は、セキュリティ監視ベンダーが自社の商用スパイウェアでモバイル機器を狙うために使用するエクスプロイトの一部である。これらの脆弱性のカタログへの追加は、Google Threat Analysis Group (TAG) が最近に発表した、Android／iOS／Chrome などに対して複数のゼロデイ脆弱性を使用した２つの異なるキャンペーンに関する詳細レポートを受けたものだ。

Emotet が本気の戦略シフト：OneNote ファイルを介した配布が始まった

Emotet malware now distributed in Microsoft OneNote files to evade defenses

2023/03/18 BleepingComputer — 現時点において Emotet マルウェアは、Microsoft のセキュリティ制限を回避して、より多くのターゲットに感染させるために、OneNote ファイルを添付したＥメールで配布されている。Emotet は、歴史的に悪名高いマルウェア・ボットネットであり、悪意のマクロを仕込んだ Word や Excel の添付ファイルを通じて配布されていた。これらの添付ファイルを、ユーザーが開いてマクロを有効にすると、DLL がダウンロード／実行され、Emotet マルウェアがデバイスにインストールされる。このマルウェアがロードされると、Ｅメールの連絡先やメールの内容が盗まれ、今後のマルウェア・キャンペーンで悪用されるようになる。また、企業ネットワークへのイニシャル・アクセスを提供する、他のペイロードもダウンロードされる。

FBI／CISA／MS-ISAC の共同勧告：ランサムウェア LockBit 3.0 攻撃について

US Government Warns Organizations of LockBit 3.0 Ransomware Attacks

2023/03/17 SecurityWeek — 今週に、FBI／CISA／MS-ISAC は共同で、ランサムウェア LockBit 3.0 のオペレーションに関するアラートを発表した。LockBit は2020年1月以降において、Ransomware-as-a-Service (RaaS) モデルをベースに活動し、広範囲におよぶ企業や重要インフラ事業体をターゲットに、さまざまな TTP (Tactics, Techniques, and Procedures) を用いてきた。

SILKLOADER という検出回避に優れたマルウェア：中国／ロシアの犯罪エコシステムが連携？

Chinese and Russian Hackers Using SILKLOADER Malware to Evade Detection

2023/03/16 TheHackerNews — 中国／ロシアのサイバー犯罪エコシステムに属する脅威アクター・グループが、感染させたマシン上に Cobalt Strike をロードするために設計された、新たなマルウェアを使用していることが確認されている。フィンランドのサイバー・セキュリティ企業 WithSecure は、DLL のサイドローディング技術を利用して、商業的アドバイザリを装うソフトウェアを配信する、このマルウェアを SILKLOADERと名付けた。

Emotet の活動再開を捕捉：2023 大規模キャンーペンのトリックは大容量ファイル？

Emotet malware attacks return after three-month break

2023/03/07 BleepingComputer — 2023年03月07日 (火) の朝の時点で、Emotet マルウェアの活性化が観測されている。このマルウェアは、３ヶ月間の休息を経て、再び悪意の電子メールを送信し、そのネットワークを再構築し、世界中のデバイスへの感染を広め始めている。Emotet は、悪意の Word／Excel 添付ファイルを隠し持つ子メールで配布される、悪名高いマルウェアである。それらの文書をユーザーが開いたとき、マクロが有効になっていると、Emotet DLL がダウンロードされ、メモリにロードされる。そして、ロードされた Emotet は静かに待機し、リモートの Command and Control (C2) サーバからの指示を待つ。

EX-22 という悪意のフレームワークが登場：システム侵入後の作業が容易に

New EX-22 Tool Empowers Hackers with Stealthy Ransomware Attacks on Enterprises

2023/02/28 TheHackerNews — EXFILTRATOR-22 (別名 EX-22 ) という、新たな Post-Exploitation フレームワークが野放し状態で発見された。その主目的は、企業ネットワーク内で検知されずに、ランサムウェアを拡散させることにあるという、サイバー・セキュリティ企業の CYFIRMA は最新レポートで、「このツールには、システムに侵入した後の作業を容易にするための、幅広い機能が搭載されている」と述べている。

Zoho ManageEngine の脆弱性 CVE-2022-47966 の PoC 悪用が始まった：直ちにパッチを！

Experts Sound Alarm Over Growing Attacks Exploiting Zoho ManageEngine Products

2023/02/23 TheHackerNews — 複数の Zoho ManageEngine 製品に影響を及ぼすパッチ公開済の脆弱性が、2023年1月20日以降において、複数の脅威アクターにより悪用されていたことが判明した。この脆弱性 CVE-2022-47966 (CVSS：9.8) は、リモート・コード実行を許すものであり、悪用に成功した未認証の攻撃者は、影響のあるシステムを完全に乗っ取ることが可能になる。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。