WikiLeaks が暴露した CIA の Hive マルウェア:未知の脅威アクターが改造/悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

Continue reading “WikiLeaks が暴露した CIA の Hive マルウェア:未知の脅威アクターが改造/悪用している”

Dark Pink という APT グループ:APAC の政府/軍事を狙って7件の攻撃を達成

Dark Pink APT Group Targets Governments and Military in APAC Region

2023/01/11 TheHackerNews — アジア太平洋地域における政府機関/軍事組織などが、未知の高度持続的脅威 (APT:Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に7つの攻撃を成功させた」と述べている。

Continue reading “Dark Pink という APT グループ:APAC の政府/軍事を狙って7件の攻撃を達成”

Turla APT の奇妙な動き:10年前のマルウェア・インフラからバックドアを展開

Russian Turla Hackers Hijack Decade-Old Malware Infrastructure to Deploy New Backdoors

2023/01/08 TheHackerNews — ロシアのサイバー・スパイグループ Turla が、10年前のマルウェアの攻撃インフラを利用して、ウクライナのターゲットに、独自の偵察ツールやバックドア・ツールを配布していることが確認された。Google 傘下の Mandiant は、この活動を UNC4210 という未分類のクラスタ名で追跡しており、乗っ取られたサーバを調査したところ、2013年に VirusTotal にアップロードされた ANDROMEDA (別名 Gamarue) というマルウェアの亜種に該当したと述べている。

Continue reading “Turla APT の奇妙な動き:10年前のマルウェア・インフラからバックドアを展開”

AWS Elastic IP transfer を悪用する新たな攻撃ベクター:Mitiga が警告

Organizations Warned of New Attack Vector in Amazon Web Services

2022/12/20 InfoSecurity — Amazon Web Services (AWS) に新たに導入された機能を悪用するセキュリティ脅威が、Mitiga の研究者たちにより発見された。この攻撃は、2022年10月に発表された AWS の Amazon Virtual Private Cloud 機能である、Elastic IP transfer を悪用するものだ。この機能は、ある AWS アカウントから別のアカウントへの、Elastic IP アドレスの移行を容易にするものである。したがって、IP の乗っ取りに成功した脅威アクターは、他者における信頼と信用の持ち方に応じて、幅広い攻撃を仕掛けることが可能になる。

Continue reading “AWS Elastic IP transfer を悪用する新たな攻撃ベクター:Mitiga が警告”

Glupteba ボットネットが復活:ブロックチェーンを用いて再生される?

Glupteba botnet is back after Google disrupted it in December 2021

2022/12/19 SecurityAffairs — 2021年12月に Google は、Grupteba ボットネットが運用するインフラを停止したことを発表し、また、ボットネットを作成/運用したとするロシア人 Dmitry Starovikov と Alexander Filippov を提訴した。Grupteba ボットネットは 2011年ころから活動しており、2021年12月時点で研究者たちは、世界中に点在する 100万台以上の Windows PC により、このブロックチェーン対応のボットネットが構成されていると推定していた。

Continue reading “Glupteba ボットネットが復活:ブロックチェーンを用いて再生される?”

GoTrim ボットネットのブルートフォース攻撃:WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開/クレジットカード窃取スクリプトの注入/フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Continue reading “GoTrim ボットネットのブルートフォース攻撃:WordPress サイトを狙っている”

Redis の CVE-2022-0543 を狙う Redigo マルウェア:ステルス型バックドアを仕掛ける

New Redigo malware drops stealthy backdoor on Redis servers

2022/12/01 BleepingComputer — Redigo と命名された Go ベースの新しいマルウェアが、Redis サーバの脆弱性 CVE-2022-0543 を標的にしてステルス・バックドアを仕込み、コマンド実行を可能にしていることが判明した。この脆弱性 CVE-2022-0543 (CVSS:10.0) は、Redis (Remote Dictionary Server) ソフトウェアに存在し、2022年2月に発見/修正されているものだ。

Continue reading “Redis の CVE-2022-0543 を狙う Redigo マルウェア:ステルス型バックドアを仕掛ける”

Chrome の悪意のエクステンション VenomSoftX:Google Sheets を装い暗号通貨を窃取 

Google Chrome extension used to steal cryptocurrency, passwords

2022/11/21 BleepingComputer — VenomSoftX という情報窃取型の Google Chrome エクステンションが、Windows マルウェアにより展開され、ユーザーの暗号通貨やクリップボードの内容を窃取している。 この Chrome エクステンションは、Windows マルウェア ViperSoftX によりインストールされ、JavaScript ベース の RAT (Remote Access Trojan) として、また、暗号通貨ハイジャッカーとして機能する。 ViperSoftX は 2020年から存在しており、CerberusColin Cowie のセキュリティ研究者により、また、Fortinet のレポートにより、以前から公表されている。

Continue reading “Chrome の悪意のエクステンション VenomSoftX:Google Sheets を装い暗号通貨を窃取 “

Cobalt Strike のハッキング・バージョンは 34 種類:YARA ルールで排除を目指す Google

Google Identifies 34 Cracked Versions of Popular Cobalt Strike Hacking Toolkit in the Wild

2022/11/21 TheHackerNews — 先週に Google Cloud は、Cobalt Strike には 34 種類のハッキングされたバージョンが存在、野放し状態で悪用されていることを明らかにした。その中で、最も古いものは、2012年11月にリリースされたバージョンだという。GCTI (Google Cloud Threat Intelligence) チームの調査結果によると、Cobalt Strike は 1.44 から 4.7  までのバージョンがあり、合計で 275 種類のユニークな JAR ファイルが存在するようだ。そして、最新のバージョンは 4.7.2 だ。

Continue reading “Cobalt Strike のハッキング・バージョンは 34 種類:YARA ルールで排除を目指す Google”

中国のハッカー集団 Billbug:標的はアジア諸国における政府と防衛の機関

Chinese hackers target government agencies and defense orgs

2022/11/15 BleepingComputer — Billbug (a.k.a. Thrip/Lotus Blossom/Spring Dragon) として追跡されているサイバースパイ活動家が、アジア諸国の認証局/政府機関/防衛組織を標的としたキャンペーンを展開している。最新の攻撃は3月ころから観測されているが、この脅威アクターは、10年以上前からステルスで活動している、中国の国家支援グループだと思われる。Billbug の活動は、過去6年間  [123] にわたり、複数のサイバー・セキュリティ企業により記録されている。

Continue reading “中国のハッカー集団 Billbug:標的はアジア諸国における政府と防衛の機関”

IceXLoader マルウェアの感染が増大:Windows Defender を巧みに回避

Phishing drops IceXLoader malware on thousands of home, corporate devices

2022/11/10 BleepingComputer — 現在進行中のフィッシング・キャンペーンにより、数千のホーム/コーポレート・ユーザーが、マルウェア IceXLoader の新バージョンに感染していることが判明している。 この夏に、マルウェア・ローダー IceXLoader の野放し状態での悪用が発見されたが、その後にツールの機能が強化され、多段階の配信チェーンを導入されるという、バージョン 3.3.3 がリリースされている。2022年6月に Fortinet が、この Nim ベースのマルウェアを発見したときのバージョンは 3.0 であり、また、ローダーとしての重要な機能が欠けており、開発中というような印象だったという。

Continue reading “IceXLoader マルウェアの感染が増大:Windows Defender を巧みに回避”

Raccoon Stealer V2 の調査:収集されたアクティビティから実行プロセスを推測

Inside Raccoon Stealer V2

2022/11/02 TheHackerNews — Raccoon Stealer が再び話題になっている。米国当局は、このプログラムの背後にいるマルウェア・アクターの一人である Mark Sokolovsky を逮捕した。2022年7月に Raccoon Stealer は閉鎖されたが、その数カ月後に Raccoon Stealer V2 が流行りだしている。先週の、司法省 (DoJ) プレスリリースによると、このマルウェアは 5,000万件のクレデンシャルを収集したとのことだ。この記事では、Raccoon Stealer V2 情報窃盗犯の最新バージョンについて簡単に説明していく。

Continue reading “Raccoon Stealer V2 の調査:収集されたアクティビティから実行プロセスを推測”

中国 APT10 の標的は日本の政府機関など:K7Security を悪用する LODEINFO マルウェアとは?

Hacking group abuses antivirus software to launch LODEINFO malware

2022/10/31 BleepingComputer — APT10 として追跡されている中国のハッキング・グループ Cicada は、セキュリティ・ソフトウェアを悪用することで、日本の組織に対してマルウェア LODEINFO の新バージョンをインストールしていたことが確認されている。 標的となったのは、日本国内の報道機関/外交機関/政府機関/公共機関/シンクタンクなどであり、いずれもサイバー犯罪の標的として高い関心を集める組織である。

Continue reading “中国 APT10 の標的は日本の政府機関など:K7Security を悪用する LODEINFO マルウェアとは?”

Microsoft IIS ログを悪用する Cranefly マルウェア:3つの文字列で侵害を完遂

Hackers use Microsoft IIS web server logs to control malware

2022/10/28 BleepingComputer — Microsoft Internet Information Services (IIS) の Web サーバのログを経由して、感染端末のマルウェアを制御するという、これまでにはなかった手法を、ハッキング・グループ Cranefly (UNC3524) が採用しているという。Microsoft IIS は Web サーバであり、Web サイトや Web アプリをホストするために使用されている。また、Microsoft Exchange の Outlook on the Web (OWA) などのソフトウェアでも、管理アプリや Web インターフェイスをホストするために使用されている。

Continue reading “Microsoft IIS ログを悪用する Cranefly マルウェア:3つの文字列で侵害を完遂”

Access-as-a-Service へと進化した Raspberry Robin:Clop ランサムウェアの展開を推進か?

Raspberry Robin Operators Selling Cybercriminals Access to Thousands of Endpoints

2022/10/28 TheHackerNews — Raspberry Robin ワームは Access-as-a-Service へと進化し、IcedID/Bumblebee/TrueBot (Silence)/Clop などの、他のペイロード展開に採用されつつある。Microsoft Security Threat Intelligence Center (MSTIC) は、「このマルウェアは、複雑で相互接続されたマルウェア・エコシステムの一部であり、従来からの USB ドライブ拡散を超えた、多様な感染方式を実現している」と詳述している。Raspberry Robin は、USB ドライブを介して Windows システムに拡散するマルウェアであり、感染させた QNAP ストレージ・サーバを Command and Control に使用することから、 サイバー・セキュリティ企業 Red Canary は QNAP Worm とも呼んでいる。

Continue reading “Access-as-a-Service へと進化した Raspberry Robin:Clop ランサムウェアの展開を推進か?”

Docker/Kubernetes の脆弱なインスタンスを狙う:Kiss-a-dog クリプトジャッキング

New Cryptojacking Campaign Targeting Vulnerable Docker and Kubernetes Instances

2022/10/27 TheHackerNews — 脆弱な Docker/Kubernetes インフラを標的とし、暗号通貨の不正マイニングを行う、新たなクリプトジャッキング・キャンペーンが発覚した。このアクティビティを Kiss-a-dog と名付けた CrowdStrike は、その Command and Control インフラについて、ミスコンフィグレーションのある Docker/Kubernetes インスタンスへの攻撃で知られる、TeamTNT などのグループとの重複があることを明らかにした。この、kiss.a-dog[.]top というドメインに由来する侵入は、2022年9月に発見されており、Base64 エンコードされた Python コマンドを用いて、侵入したコンテナでシェル・スクリプト・ペイロードを起動するものである。

Continue reading “Docker/Kubernetes の脆弱なインスタンスを狙う:Kiss-a-dog クリプトジャッキング”

CISA が RedEye をリリース:C2 ログの可視化や Cobalt Strike 追跡などに対応

CISA releases open-source ‘RedEye’ C2 log visualization tool

2022/10/14 BleepingComputer — 米国の Cybersecurity and Infrastructure Security (CISA) は、Command and Control (C2) アクティビティ可視化し報告するオペレーター向けに、オープンソースの分析ツール RedEye を発表した。この RedEye は、レッドチームとブルーチームの双方に対応し、実用的な意思決定につながるデータを、簡単に測定する方法を提供する。

Continue reading “CISA が RedEye をリリース:C2 ログの可視化や Cobalt Strike 追跡などに対応”

Ducktail の PHP バージョン:Facebook ビジネス・アカウントの窃取を狙っている

New PHP Version of Ducktail Malware Hijacking Facebook Business Accounts

2022/10/14 TheHackerNews — Zscaler の最新の調査結果によると、Ducktail と呼ばれる情報窃取マルウェアの PHP バージョンが、クラックされた正規のアプリやゲーム用のインストーラーの形で、野放し状態で配布されていることが発覚した。Zscaler ThreatLabz の研究者である Tarun Dewan と Stuti Chaturvedi は、「旧バージョン (.NetCore) と同様に、最新バージョン (PHP) も、保存したブラウザ認証情報/Facebook アカウント情報などの、機密情報の流出を目的としている」と述べている。

Continue reading “Ducktail の PHP バージョン:Facebook ビジネス・アカウントの窃取を狙っている”

Bumblebee マルウェア:標的システムに特化したペイロードをロードして攻撃する

Bumblebee Malware Loader’s Payloads Significantly Vary by Victim System

2022/10/04 DarkReading — 3月に表面化した、きわめて悪質なマルウェア・ローダー Bumblebee の最新分析により、企業ネットワークの一部としてのシステム向けのペイロードと、スタンドアロン・システム向けのペイロードでは、その種類が大きく異なることが判明した。たとえば、Active Directory サーバを共有しているような、ドメインの一部として認識されたシステムの場合には、Cobalt Strike のような高度なポスト・エクスプロイト・ツールを実行するよう、このマルウェアはプログラムされている。

Continue reading “Bumblebee マルウェア:標的システムに特化したペイロードをロードして攻撃する”

Chaos は Golang ベースのマルウェア:複数の CPU にまたがり Windows/Linux に感染

Researchers Warn of New Go-based Malware Targeting Windows and Linux Systems

2022/09/28 TheHackerNews — この数カ月にわたり、Chaos と呼ばれる多機能な Go ベースの新たなマルウェアが、Windows/Linux/SOHO ルーター/企業サーバーなどをボットネットに取り込み、その勢力を急速に拡大している状況が明らかになった。Lumen の Black Lotus Labs の研究者たちは、「Chaos の機能には、ホスト環境の列挙/リモートシェル・コマンドの実行/追加モジュールのロード/SSH 秘密鍵の窃盗/ブルートフォースによる自動伝播などに加えて、DDoS 攻撃の設定も含まれている」 と、The Hacker News に述べている。

Continue reading “Chaos は Golang ベースのマルウェア:複数の CPU にまたがり Windows/Linux に感染”

FormBook が8月のトップ・マルウェア:Emotet は5位に転落という急激な動き

FormBook Knocks Off Emotet As Most Used Malware in August

2022/09/14 InfoSecurity — FormBook が、現時点で最も多く発見されたマルウェアとなったが、2022年1月に再登場してからトップの座を守ってきた、Emotet を退けての結果である。 FormBook は、Windows OS を標的とする情報窃取ツールであり、認証情報の取得/スクリーン・ショットの収集/キーストローク監視/ログ取得などを行うものである。また、Command and Control (C&C) の命令に従ってファイルをダウンロードし、実行できる。さらに、強力な回避技術と比較的安価な価格も特徴である。

Continue reading “FormBook が8月のトップ・マルウェア:Emotet は5位に転落という急激な動き”

マルウェアを解析する:ANY.RUN サンドボックスを用いたハンティングの流れとは?

How to Do Malware Analysis?

2022/09/14 TheHackerNews — Malwarebytes’ Threat Review for 2022 の調査結果によると、2021年には4000万台の Windows ビジネス・コンピュータで脅威が検出された。このような攻撃に対抗し、脅威を回避するためには、マルウェアの解析が欠かせない。今回は、悪意のプログラムの調査の目的と、サンドボックスを使ったマルウェア解析の方法を紹介していく。

Continue reading “マルウェアを解析する:ANY.RUN サンドボックスを用いたハンティングの流れとは?”

Shikitega というステルス型 Linux マルウェア:多段階展開で検知を巧みに回避

New Linux malware evades detection using multi-stage deployment

2022/09/06 BleepingComputer — Shikitega という新たなステルス型 Linux マルウェアが、PC や IoT デバイスにペイロードを流し込み、感染させていることが発見された。このマルウェアは、脆弱性を悪用して権限を昇格させ、crontab を介してホスト上で永続性を確立する。そして最終的に、感染させたデバイス上で、暗号通貨マイナーを起動させる。Shikitega は非常にステルス性が高く、静的な署名ベースの検出を不可能にするポリモーフィック・エンコーダを使用して、ウイルス検出を回避する。

Continue reading “Shikitega というステルス型 Linux マルウェア:多段階展開で検知を巧みに回避”

Google Play に侵入/潜伏する SharkBot:狙いはバンキング・ログイン情報の窃取

SharkBot malware sneaks back on Google Play to steal your logins

2022/09/04 BleepingComputer — マルウェア SharkBot の新バージョン/アップグレード版が Google Play ストアに復活し、数万回インストールされているアプリを介して、Android ユーザーのバンキング・ログイン情報を狙っていることが判明した。 このマルウェアは2つの Android アプリに存在し、Google の自動審査に提出された時点では、悪意のコードは含まれていなかった。ただし、ユーザーがドロッパー・アプリをインストールし起動した後に発生するアップデートで、SharkBot が追加されていたという。

Continue reading “Google Play に侵入/潜伏する SharkBot:狙いはバンキング・ログイン情報の窃取”

Google Translate アプリを装う Windows マルウェアが登場:1ヶ月の潜伏を経て発症

Windows malware delays coinminer install by a month to evade detection

2022/08/29 BleepingComputer — Google Translate/MP3 Downloader を装う新たな悪意のキャンペーンにより、暗号通貨マイニング・マルウェアが 11ヶ国に配布されていることが判明した。この偽のアプリケーション群は、正規のフリーソフトウェア・サイトを通じて配布されている。そのため、サイトの一般訪問者に対して、また、検索エンジンを介して、悪意のアプリケーションを広められていることになる。

Continue reading “Google Translate アプリを装う Windows マルウェアが登場:1ヶ月の潜伏を経て発症”

Tox P2P Messenger とクリプトマイナー:IPFS 上の C2 サーバとして重宝される

Crypto Miners Using Tox P2P Messenger as Command and Control Server

2022/08/24 TheHackerNews — 脅威アクターたちは、Tox P2P Messenger を Command and Control Server (C2) の手段として使用し始め、ランサムウェアの交渉のための連絡手段という、以前の役割を拡大しているようだ。Uptycs の調査結果では、ボットとして機能する ELF (Executable and Linkable Format) アーティファクト “72client” を分析し、侵入したホスト上で Tox プロトコルを用いてスクリプトを実行できることを明らかにした。

Continue reading “Tox P2P Messenger とクリプトマイナー:IPFS 上の C2 サーバとして重宝される”

Dark Utilities という C2-as-a-Service が登場:すでに 3,000人のサブスクライバーを獲得

Thousands of hackers flock to ‘Dark Utilities’ C2-as-a-Service

2022/08/04 BleepingComputer — セキュリティ研究者たちが、サイバー犯罪者が悪意の作戦で使用する Command and Control (C2) センターを、簡単かつ安価に設置できる Dark Utilities という新たなサービスを発見した。Dark Utilities とは、Windows/Linux/Python ベースのペイロードをサポートするプラットフォームを脅威アクターに提供し、C2 通信路の実装に関連する労力を不要にするサービスである。

Continue reading “Dark Utilities という C2-as-a-Service が登場:すでに 3,000人のサブスクライバーを獲得”

Woody RAT というリモートアクセス・トロイの木馬が登場:標的はロシアの組織

New Woody RAT used in attacks aimed at Russian entities

2022/08/04 SecurityAffairs — Malwarebytes の研究者たちは、Woody RAT と呼ばれる新たなリモート・アクセス型トロイの木馬で、ロシアの組織を標的とする未知の脅威アクターを観察した。攻撃者は、Follina Windows の欠陥 (CVE-2022-30190) を悪用するアーカイブ・ファイルや Microsoft Office ドキュメントを用いて、マルウェアを配信していた。

Continue reading “Woody RAT というリモートアクセス・トロイの木馬が登場:標的はロシアの組織”

RapperBot ボットネットは Mirai 由来:SSH サーバにブルートフォースを仕掛けて休眠

New Linux malware brute-forces SSH servers to breach networks

2022/08/04 BleepingComputer — 2022年6月の中旬から、RapperBot と呼ばれる新しいボットネットが攻撃が検知されているが、その後の調査により、Linux SSH サーバーにブルートフォースで侵入し、デバイスに足場を築くことに重点を置いていることが判明した。研究者たちによると、RapperBot は Mirai トロイの木馬をベースにしているが、可能な限り多くのデバイスを無秩序に感染させるという、マルウェア本来の動作から逸脱しているようだ。

Continue reading “RapperBot ボットネットは Mirai 由来:SSH サーバにブルートフォースを仕掛けて休眠”

XLoader ボットネットの最新技術:確率論を用いて C2 サーバーの所在を隠す

New XLoader botnet uses probability theory to hide its servers

2022/05/31 BleepingComputer — 脅威アナリストたちが明らかにしたのは、ボットネット・マルウェア XLoader の新バージョンでは、確率論を用いた Command and Control (C2) サーバー隠蔽機能が実装され、マルウェアの対策が困難になるという点である。それにより、マルウェアの運営者は、特定された IP アドレスのブロックによりノードを失うというリスクを負うことなく、同じインフラを使い続けることが可能となり、また、追跡/特定のリスクも低減されるという。

Continue reading “XLoader ボットネットの最新技術:確率論を用いて C2 サーバーの所在を隠す”

研究者たちが逆侵入:データ強奪犯 Karakurt は Conti シンジケートの一員だと判明

Karakurt revealed as data extortion arm of Conti cybercrime syndicate

2022/04/14 BleepingComputer — サイバー犯罪者が管理するサーバーに対して、逆侵入したセキュリティ研究者たちにより、最近になって出現した Karakurt データ強奪グループと、Conti ランサムウェアとの関連性が発見され、この2つのギャングが同じオペレーションに属することが明らかになった。ロシアの組織である Conti ランサムウェア・シンジケートは、あるハッキング・グループによる内部会話やソースコードの大量流出にもかかわらず、機能不全に陥ることもなく、現時点で最も盛んなサイバー犯罪者グループの1つであり続けている。

Continue reading “研究者たちが逆侵入:データ強奪犯 Karakurt は Conti シンジケートの一員だと判明”

EnemyBot という Mirai 亜種:Router/IoT デバイスを大量に収穫して勢力を拡大中

New EnemyBot DDoS botnet recruits routers and IoTs into its army

2022/04/13 BleepingComputer — Mirai ベースの新しいボットネット・マルウェア EnemyBot は、モデム/ルーター/IoT デバイスの脆弱性を介して感染させたデバイスの勢力を拡大させ、それを操作する脅威アクターが Keksec であることが確認されている。この脅威グループは、クリプトマイニングと DDoS を専門としており、いずれも IoT デバイスに巣食い、そのコンピュータ資源を乗っ取ることが可能な、ボットネット・マルウェアにより支えられている。

Continue reading “EnemyBot という Mirai 亜種:Router/IoT デバイスを大量に収穫して勢力を拡大中”

Google Play に粘着する SharkBot バンキング RAT は次世代型:テストが終わると蠢き出す

Google Removes Dangerous Banking Malware From Play Store

2022/04/08 DarkReading — 2021年10月に表面化し、現在も野放しになっている、SharkBot と呼ばれる危険な Android バンキング・トロイの木馬は、Google Play という信頼できるモバイル・アプリ・ストアを通じて、マルウェアを配布しようとする脅威アクターの執念を示す最新の事例である。

この不正プログラムは、発見者が次世代型と表現しているように、銀行口座にログインしている被害者に、感染させた Android 端末を使用させ、多要素認証の制御をバイパスし、銀行口座からひそかに不正送金するものだ。SharkBot は、認証情報やクレジットカード情報を盗むことも可能であり、また、検出の複雑化により発見を遅らせるなどの、複数の機能を搭載している。

Continue reading “Google Play に粘着する SharkBot バンキング RAT は次世代型:テストが終わると蠢き出す”

Microsoft が Trickbot 対策オープンソース・ツールを公表: MikroTik ルーターをスキャン

Microsoft Releases Open Source Tool for Securing MikroTik Routers

2022/03/17 SecurityWeek — TrickBot は、2016年から出回っているマルウェアである。当初は金融データを盗むために設計されたバンキング・トロイの木馬だったが、現在では幅広い情報を狙うことができる、モジュール型の情報窃取マルウェアへと進化している。研究者の中には、このマルウェアは限界に達しており、利用可能な膨大な IoC により簡単に検出できるようになったことで、その開発チームはランサムウェア・グループの Conti により買収されたと考える者もいる。

Continue reading “Microsoft が Trickbot 対策オープンソース・ツールを公表: MikroTik ルーターをスキャン”

Cyclops Blink ボットネット:ロシアから ASUS ルーターを狙っている

New Variant of Russian Cyclops Blink Botnet Targeting ASUS Routers

2022/03/17 TheHackerNews — ASUS ルーターが、Cyclops Blink と呼ばれる新たなボットネットのターゲットとして浮上してきた。このマルウェアは、侵害したネットワークへのリモート・アクセスを取得する足がかりとして、WatchGuard ファイアウォール・アプライアンスを悪用したことが明らかになってから、約1ヶ月後のことである。

Trend Micro が発表した新しいレポートによると、このボットネットの主な目的は、価値の高いターゲットに対するさらなる攻撃のための、インフラを構築することである。ただし、感染した全てのホストについて調べたところ、重要な経済/政治/軍事などの組織は標的にしていないことが判明している。

Continue reading “Cyclops Blink ボットネット:ロシアから ASUS ルーターを狙っている”

サイバー・セキュリティの指標:IOC と IOA の違いと活用方法

IOCs vs. IOAs — How to Effectively Leverage Indicators

2022/03/16 SecurityIntelligence — サイバーセキュリティ・チームは、サイバー・セキュリティ攻撃/敵対的行動/高度持続的脅威 (APT)、そして、恐ろしいゼロデイ脆弱性の特定を任務としている。この取り組みを通じて、サイバーセキュリティ担当者と運用チームは、効果的な監視/検出/対応の戦略において Indicators of Compromise (IOC) と Indicators of Attack (IOA) を適切に活用することに、同じ苦労を抱えている。

Continue reading “サイバー・セキュリティの指標:IOC と IOA の違いと活用方法”

中国 APT41 動きを捕捉:米国州政府のネットワークをゼロデイ脆弱性で狙っている

U.S. State Governments Targeted by Chinese Hackers via Zero-Day in Agriculture Tool

2022/03/08 SecurityWeek — 中国政府に支援されていると思われる脅威グループが、ゼロデイ脆弱性などを悪用し、米国の州政府のネットワークに侵入していたことが明らかになった。サイバー・セキュリティの調査企業である Mandiant は、2021年5月に米国州政府のネットワークへの攻撃を調査するよう要請され、このキャンペーンに気づいたと、火曜日に公開したブログ記事で述べている。

Continue reading “中国 APT41 動きを捕捉:米国州政府のネットワークをゼロデイ脆弱性で狙っている”

Emotet の追跡調査:2021年11月より着実に勢力を回復し 13万台に感染

Emotet growing slowly but steadily since November resurgence

2022/03/08 BleepingComputer — 現時点で 179カ国で 13万台のシステムに感染している Emotetボットネットは、依然として野放し状態で安定的に配布され続けている。かつては 160万台のデバイスを支配下に置いていた、世界的な支配力には遠く及ばないかもしれないが、このマルウェアは今も復活を続けており、日々強力になっていることが示される。Emotet の活動は、2番目のメジャー・バージョンが配布されていた 2019年に停止し、2021年11月に Trickbot の力を借りて復活している。

Continue reading “Emotet の追跡調査:2021年11月より着実に勢力を回復し 13万台に感染”

TrickBot の進化:難読化された 20本以上のモジュールを自在に操る

TrickBot developers continue to refine the malware’s sneakiness and power

2022/02/16 CyberScoop — Check Point Research によると、汎用性の高いマルウェア TrickBot の開発者は、サイバーセキュリティ・アナリストの一歩先を進み、金融機関やテクノロジー企業の顧客に対して大きな危険をもたらし続けているとのことだ。水曜日に発表した調査結果で同社は、「TrickBot の開発者は、アンチ分析と難読化の機能を幾重にも備えており、専門家がマルウェアのコードを解析しようとする際に、Command and Control との通信を遮断し、動作を完全に停止することがある。

Continue reading “TrickBot の進化:難読化された 20本以上のモジュールを自在に操る”

FritzFrog P2P ボットネットが医療/教育/政府などの組織に蔓延

FritzFrog P2P Botnet Attacking Healthcare, Education and Government Sectors

2022/02/10 TheHackerNews — P2P の Golang ボットネットが、1年以上の時を経て再登場し、1ヶ月の間に合計 1,500台のホストに感染し、医療/教育/政府機関のサーバーを危険にさらしている。FritzFrog と名付けられた、この分散型ボットネットは、SSH サーバーを公開 (クラウドインスタンス/データセンターサーバー/ルーターなど) している、あらゆるデバイスを標的としており、感染したノード上で悪意のペイロードを実行できる」と、Akamai の研究者が HackerNews に寄せたレポートで述べている。

Continue reading “FritzFrog P2P ボットネットが医療/教育/政府などの組織に蔓延”

Qbot マルウェアの高速性に注意:感染から 30分後にはメールと認証情報が盗み出される

Qbot needs only 30 minutes to steal your credentials, emails

2022/02/08 BleepingComputer — Qbot (別名:Qakbot/QuakBot) として知られる広範なマルウェアだが、最近は高速での攻撃に戻ってきており、アナリストによると、最初の感染から機密データを盗み出すまでに、30分ほどしか必要としないとのことだ。DFIR の新しいレポートによると、Qbot は 2021年10月に、このような高速でのデータ窃盗攻撃を行っていたが、Qbot の背後にいる脅威アクターが、同様の戦術に戻ってきたようだ。

Continue reading “Qbot マルウェアの高速性に注意:感染から 30分後にはメールと認証情報が盗み出される”

ロシアのハッキング・グループ Gamaredon:標的はウクライナの西側政府組織

Russian Gamaredon Hackers Targeted ‘Western Government Entity’ in Ukraine

2022/02/04 TheHackerNews — 先月に、ロシアのハッキング・グループ Gamaredon は、ウクライナで活動する欧米政府機関への侵入を試みましたが、それは両国間の緊張が続く中でのことだった。Palo Alto Networks 脅威インテリジェンス・チーム Unit 42 は、2月3日に公開した新しいレポートの中で、「このフィッシング攻撃は 1月19日に行われたと述べ、別のフィッシングやマルウェアをサポートするために使用されている、彼らのインフラの3つの大規模なクラスターをマッピングした 」と付け加えている。

Continue reading “ロシアのハッキング・グループ Gamaredon:標的はウクライナの西側政府組織”

MSHTML の脆弱性を悪用:政府/防衛を狙うハッカーの動きを検知

Hackers Exploited MSHTML Flaw to Spy on Government and Defense Targets

2022/01/25 TheHackerNews — 火曜日にサイバー・セキュリティ研究者たちは、西アジアの国家安全保障政策を監督する政府高官や防衛産業に携わる人々を標的とした、複数のステージで構成されるスパイ活動について明らかにした。セキュリティ企業である Trellix (McAfee Enterprise と FireEye が合併) は、The Hacker Newsに掲載されたレポートの中で、この攻撃は、Microsoft OneDrive を Command and Control (C2) サーバーとして活用している点が特徴であり、可能な限り目立たないようにするために6つのステージに分かれていると述べている。

Continue reading “MSHTML の脆弱性を悪用:政府/防衛を狙うハッカーの動きを検知”

Trickbot の巧妙なインジェクション手法:防御側の検出と分析を困難にする

Trickbot Injections Get Harder to Detect & Analyze

2022/01/25 DarkReading — トロイの木馬 Trickbot の作者は、このマルウェアに複数の防御層を追加し、悪意のオペレーションで用いられるインジェクションの、防御側による検出と分析を困難にしている。これらの機能は、マルウェアの配布目的で Trickbot が再利用される前に設計されていたものであり、オンライン・バンキング詐欺を目的とした攻撃を、想定したものと思われる。

Continue reading “Trickbot の巧妙なインジェクション手法:防御側の検出と分析を困難にする”

Cobalt Strike 亜種の Vermilion Strike が Linux 上に展開されている

Linux Implementation of Cobalt Strike Beacon Targeting Organizations Worldwide

2021/09/13 TheHackerNews — 月曜日に研究者たちは、政府機関/通信事業者/情報技術者/金融機関などを標的にした、Cobalt Strike Beacon の Linux 版と Windows 版を新たに発見した。この、ペネトレーション・テスト・ツールの、未確認バージョンは Vermilion Strike というコードネームで呼ばれ、あまり使われない Linux ポートの1つを指している。

Continue reading “Cobalt Strike 亜種の Vermilion Strike が Linux 上に展開されている”