Conti – Page 2 – IoT OT Security News

Google が追跡：Conti／Diavol と連携するアクセス・ブローカー Exotic Lily

Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang

2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界の 650 の標的組織に対して、１日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。

Microsoft が Trickbot 対策オープンソース・ツールを公表： MikroTik ルーターをスキャン

Microsoft Releases Open Source Tool for Securing MikroTik Routers

2022/03/17 SecurityWeek — TrickBot は、2016年から出回っているマルウェアである。当初は金融データを盗むために設計されたバンキング・トロイの木馬だったが、現在では幅広い情報を狙うことができる、モジュール型の情報窃取マルウェアへと進化している。研究者の中には、このマルウェアは限界に達しており、利用可能な膨大な IoC により簡単に検出できるようになったことで、その開発チームはランサムウェア・グループの Conti により買収されたと考える者もいる。

TrickBot による MikroTik ルーターの侵害：C2 サーバー連携のプロキシとして機能させる

TrickBot Malware Abusing MikroTik Routers as Proxies for Command-and-Control

2022/03/17 TheHackerNews — 水曜日に Microsoft は、マルウェア TrickBot について、これまで発見されていなかった、IoT デバイスを仲介した Command and Control (C2) サーバーとの、通信の確立に関する詳細な手法を発表した。Microsoft の Defender for IoT Research Team and Threat Intelligence Center (MSTIC) は、「TrickBotは、C2 サーバーのプロキシ・サーバーとして MikroTik ルーターを使用し、標準以外のポート経由でトラフィックをリダイレクトすることで、標準セキュリティ・システムによる検出から悪質な IP を回避させる、別の永続層を追加している」と述べている。

韓国の Naver が狙われている：大規模なフィッシングを仕掛けるのは TrickBot か？

Massive phishing campaign uses 500+ domains to steal credentials

2022/03/15 BleepingComputer — Google ライクな、韓国のオンラインプ・ラットフォーム Naver の認証情報を盗むために、数百のドメインを用いる大規模なフィッシング活動は、TrickBot ボットネットに関連するインフラとの重複を示している。この攻撃に使用されたリソースは、さまざまな攻撃に使用するためにログイン・データを収集する、サイバー犯罪者の取り組みの規模が大きいことを示している。Google と同様に、Naver は Web 検索から、電子メールや、ニュース、オンライン Q&A である Naver Knowledge iN に至るまで、多様なサービスを提供している。

CISA 対 Conti：マルウェア配信に使用された 100 ほどのドメイン名を公開

CISA updates Conti ransomware alert with nearly 100 domain names

2022/03/09 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、悪質な操作に使用された 100近いドメイン名で構成される IoC (indicators of compromise) を含む、Conti ランサムウェアに関する警告を更新した。この、2021年9月22日に公開された勧告には、米国内の組織を標的とした Conti ランサムウェア攻撃について、CISA と FBI が観測した詳細が含まれており、今回のサイバーセキュリティ勧告の更新には、米国シークレットサービスからのデータも含まれている。

ロシア対ウクライナのサイバー戦争：誰が誰を攻撃しているのか？

Russia-Ukraine, who are the soldiers that crowd cyberspace?

2022/03/04 SecurityAffairs — 現時点でのサイバー空間におけるシナリオを分析しようとしても、複数の脅威アクターが存在し、攻撃のアトリビューションが難解であるため、容易なことではない。セキュリティ・グループである CyberKnow は、グループとオペレーション、そして活動を公開するために使用されるチャネルについて、興味深い分析結果を提供している。

ウクライナの研究者が反撃：Conti ランサムウェアのソースコードが大規模に流出

Conti Ransomware source code leaked by Ukrainian researcher

2022/03/01 BleepingComputer — ウクライナの研究者たちが、ランサムウェア Conti オペレーターの内部の会話や、ランサムウェアのソース、管理パネルなどを流出さ、壊滅的な打撃を与え続けている。Conti がロシアによる侵略を支持し、ウクライナのアフィリエイトを混乱させた後に、ある研究者が動き出したことで、Conti にとって極めて不利な展開の１週間となった。

製造業に特化したランサムウェア：Kostovite／Petrovite／Erythrite とは？

Ransomware Trained on Manufacturing Firms Led Cyberattacks in Industrial Sector

2022/02/23 DarkReading — ウクライナ危機の深刻化と米国の対ロシア制裁を背景として、ロシアの国家支援ハッキング・チームによる破壊的な攻撃の可能性を懸念し、製造業のネットワーク事業者とセキュリティ・チームが厳戒態勢を敷いている。しかし、その現実の大半は、これまでの１年間のランサムウェア攻撃の急増という痛ましいものである。

製造業のインフラを攻撃するランサムウェア：圧倒的に活発な LockBit と Conti

LockBit, Conti most active ransomware targeting industrial sector

2022/02/23 BleepingComputer — 昨年のランサムウェア攻撃は、製造業の分野においても、この種のインシデントが脅威の No-1 になるほどまでに拡大した。LockBit と Conti という２つのランサムウェア・グループが、Industrial Control System (ICS)／Operational Technology (OT) 環境を持つ組織を、2021年に最も活発に侵害した。

Conti が TrickBot を買収：高ステルス性のマルウェア BazarBackdor へと移行か？

Conti ransomware gang takes over TrickBot malware operation

2022/02/18 BleepingComputer — TrickBot は、４年間にわたって活動を続け、何度もテイクダウンを経験してきたが、そのトップ・メンバーたちはランサムウェア・シンジケート Conti の傘下へと移動し、よりステルス性の高いマルウェア BazarBackdoor への置き換えを計画しているようだ。したがって、TrickBot の名前は消えていくと予測される。TrickBot は、機密情報やパスワードの窃取／Windows ドメインへの侵入／ネットワークへの初期アクセス確立／マルウェア配信などの、多様な悪意のアクティビティのために、複数のモジュールを使用する Windows マルウェアのプラットフォームである。

2021年のランサムウェア総被害額は $602 M：トップの Conti は $180 M も稼いだらしい

Organizations paid at least $602 million to ransomware gangs in 2021

2022/02/13 SecurityAffairs — 先週に、英国／米国／オーストラリアのサイバー・セキュリティ機関が、2021年にランサムウェアの脅威がグローバル化したとする共同勧告を発表した。ブロック・チェーン分析企業の Chainalysis が発表したレポートによると、2021年中に組織が支払った暗号通貨は $602 million 相当となる。この数字は、2020年の $692 million と比べて僅かに減少しているが、Chainalysis の専門家は、今後の数週間で他の支払いが追加される可能性があると述べている。

台湾の電子機器メーカー Delta を攻撃した Conti が $15 M の身代金を要求

Taiwanese Apple and Tesla contractor hit by Conti ransomware

2022/01/27 BleepingComputer — 台湾の電子機器メーカーであり、Apple／Tesla／HP／Dell などに電源を提供している Delta Electronics は、金曜日の朝に発見されたサイバー攻撃により、被害を被っていることを公表した。Delta は、スイッチング電源の世界最大のプロバイダーであり、2021年の売上高は $9 billion を超えているという。同社は、2022年1月22日の声明において、今回のインシデントで重要システムは影響を受けず、業務に大きな問題は生じていないと述べている。

Diavol ランサムウェアは TrickBot ギャングと関連している：FBI が正式に発表

FBI links Diavol ransomware to the TrickBot cybercrime group

2022/01/20 BleepingComputer — FBI の正式な発表により、ランサムウェア Diavol の活動と、バンキングトロイの木馬 TrickBot グループが結びつけられた。Wizard Spider として知られる TrickBot グループは、長年にわたって企業ネットワークに大損害を与えてきたマルウェアの開発者であり、Conti や Ryuk などのランサムウェアの攻撃や、ネットワークへの侵入、金融詐欺、企業スパイなどにつながっている。

インドネシアの中央銀行 Bank Indonesia が Conti に攻撃されデータ・リーク？

Indonesia’s central bank confirms ransomware attack, Conti leaks data

2022/01/20 BleepingComputer — インドネシア共和国の中央銀行である Bank Indonesia (BI) が、先月にランサムウェア攻撃を受け、同社のネットワークが襲われたことを、今日になって認めた。このインシデントでは、BI の従業員が所有する「非重要データ」を攻撃者が盗み出した後に、同行ネットワーク上の 10数台のシステムにランサムウェアのペイロードを展開したと、CNN Indonesia が報じている。しかし、BI の広報担当者によると、Reuter が最初に報じたように、この事件は BI の公共サービスに影響を与える前に軽減されたとのことだ。

Night Sky ランサムウェアによる Log4j バグの悪用：VMware Horizon のハッキングが開始された

Night Sky ransomware uses Log4j bug to hack VMware Horizon servers

2022/01/11 BleepingComputer — ランサムウェア Night Sky が、Log4j ロギング・ライブラリに存在する深刻な脆弱性 CVE-2021-44228 (Log4Shell) を悪用し、VMware Horizon システムへのアクセスを開始した。このランサムウェアは、正規の企業を装ったドメインから、Web 上に公開されている脆弱なマシンを標的としており、その中にはテクノロジーやサイバー・セキュリティ分野の企業も含まれている。

英国民保健サービス NHS の VMware Horizon が Log4Shell に狙われている

NHS Warns of Hackers Targeting Log4j Flaws in VMware Horizon

2022/01/07 TheHackerNews — 英国の国民保健サービス (National Health Service：NHS) のデジタル・セキュリティ・チームは、パッチが適用されていない VMware Horizon サーバーに存在するLog4j の脆弱性 (Log4Shell) を利用して、悪意の Web シェルを投下し、侵害したネットワーク上に持続的に存続して、次の攻撃をねらうという未知の脅威行為に対して警鐘を鳴らした。

Log4j 脆弱性：WebSocket を介した新たな攻撃ベクターと参入ランサムウェア

New Local Attack Vector Expands the Attack Surface of Log4j Vulnerability

2021/12/18 TheHackerNews — サイバー・セキュリティ研究者たちが、JavaScript による WebSocket 接続を介して、ローカル・サーバー上の Log4Shell 脆弱性を悪用するという、まったく新しい攻撃ベクターを発見した。

TellYouThePass ランサムウェアが復活：Log4Shell で Linux／Windows への攻撃を準備

TellYouThePass ransomware revived in Linux, Windows Log4j attacks

2021/12/17 BleepingComputer — 攻撃者たちが復活させたのは、TellYouThePass と呼ばれる、以前から存在しているアクティブではないランサムウェアであり、Apache Log4j ライブラリの深刻なリモートコード実行の脆弱性を標的とし、Windows および Linux デバイスへの攻撃のためにディプロイされている。KnowSec 404 Team の Heige は月曜日の Twitter で、Log4Shell と名付けられた脆弱性 CVE-2021-44228 を悪用するランサムウェアが、古い Windows システム上にドロップされたことを確認した後に、一連の攻撃を報告した。

Conti と Log4Shell：大物ランサムウェアは VMware vCenter に狙いを定める

Conti ransomware uses Log4j bug to hack VMware vCenter servers

2021/12/17 BleepingComputer — Conti のランサムウェアは、深刻な脆弱性である Log4Shell を利用して、組織内の VMware vCenter Server インスタンスに素早くアクセスし、仮想マシンを暗号化している。Conti は、この新しい攻撃手法の具体化に時間をかけることなく、Log4j の脆弱性を武器にした、最初の一線級のランサムウェア・ギャングとなった。

Emotet の復活と高機能化：TrickBot との協調は健在で危険度を増している

Emotet Is Back and More Dangerous Than Before

2021/12/10 DarkReading — アーノルド・シュワルツェネッガーが演じたターミネーターのように、恐ろしいマルウェア Emotet が、再び世界中のコンピュータに感染し、あらゆる組織をランサムウェア攻撃の危険にさらしている。今週、Check Point の研究者たちは、バンキング・トロイの木馬からマルウェアのダウンローダーに変化した Trickbot に感染したシステム上で、Emotet サンプルが投下されているのを確認したと報告している。

Emotet の Cobalt Strike ダイレクト投下機能：ランサムウェア攻撃までの時間が短縮される？

Emotet now drops Cobalt Strike, fast forwards ransomware attacks

2021/12/07 BleepingComputer — Emotet による Cobalt Strike Beacon の、ダイレクトなインストールが可能となり、また、ネットワークへのアクセスが可能となり、ランサムウェアによる攻撃が可能となるという、懸念が生じている。Emotet は、悪意の Word／Excel のドキュメントを取り込んだ、スパム・メールを介して拡散していくマルウェアである。

Emotet ボットネットの復活をお膳立てする Conti ランサムウェアの役割とは？

Emotet botnet comeback orchestrated by Conti ransomware gang

2021/11/19 BleepingComputer — ボットネット Emotet が復活した背景には、ランサムウェア Conti のメンバーに説得された、元オペレーターの存在があるという。Advanced Intelligence (AdvIntel) のセキュリティ研究者たちは、10ヶ月前に法執行機関が Emotet を停止した後に生じた、高品質なイニシャル・アクセス分野での空白が、このプロジェクトの再開を後押ししたと考えている。

Conti ランサムウェアが７月以降で稼いだ 30億円：その金の流れを追跡する

Conti ransomware operations made at least $25.5 million since July 2021

2021/11/19 SecurityAffairs — ブロックチェーン分析企業 Elliptic の支援を受けて、スイスのセキュリティ企業 Prodaft が実施した調査により、ランサムウェア Conti の運用者は、2021年7月以降に支払われた身代金のうち、少なくとも $25.5 million の収益を得ていることが明らかになった。

ロシアと中国のコラボ：Dark Web でハッカーたちは何を相談する？

Russian ransomware gangs start collaborating with Chinese hackers

2021/11/17 BleepingComputer — ロシア語圏のサイバー犯罪フォーラムにおいて、中国のハッカーたちに協力を求めているような、新たな動きが散見される。中国の脅威アクターを参加させようとする試みは、主に RAMP ハッキング・フォーラムで見られる。このフォーラムでは、中国語を話す人物の会話への参加や、ヒントの共有。共同での攻撃などが奨励されている。

Emotet が再生／復活：TrickBot を介してインフラを急速に拡大

Emotet malware is back and rebuilding its botnet via TrickBot

2021/11/15 BleepingComputer — スパム・キャンペーンや悪意の添付ファイルを介して広まる Emotet は、これまでに最も拡散したマルウェアだと言われてきた。Emotet は、感染したデバイスを悪用して他のスパム・キャンペーンを行い、QakBot (Qbot)／Trickbot マルウェアなどのペイロードをインストールしていた。これらのペイロードは、その後に、Ryuk／Conti／ProLock／Egregor などのランサムウェアを展開する脅威アクターのための、初期アクセスに使用されてきた。

Babuk ランサムウェアの復号ツールが無償でリークされた

Babuk ransomware decryptor released to recover files for free

2021/10/27 BleepingComputer — チェコのサイバーセキュリティ・ソフトウェア企業である Avast は、Babuk ランサムウェアの被害者に対して、ファイルを復元する復号ツールを作成し、無料で公開した。Avast Threat Labs によると、Babuk の復号ツールは、流出したソースコードと復号キーを使用して作成されたとのことだ。

FIN12 ランサムウェアは医療機関を狙う：時間をかけない素早い侵害が特徴

FIN12 hits healthcare with quick and focused ransomware attacks

2021/10/07 BleepingComputer — ランサムウェアの多くは、被害者のネットワーク上で時間をかけて、重要なデータを盗み出そうとする。しかし、あるグループは、機密性の高い、価値の高いターゲットに対して、マルウェアを素早く展開することを好む。FIN12 グループは、ファイルを暗号化するペイロードを、ターゲット・ネットワーク上で実行するのに２日もかけず、その大半で Ryuk ランサムウェアを用いている。

FBI／CISA／NSA 警告：Conti ランサムウェア攻撃が猛威を奮っている

FBI, CISA, and NSA warn of escalating Conti ransomware attacks

2021/09/22 BleepingComputer — 今日、CISA／FBI／NSA は、米国の組織を標的としたランサムウェア Conti の攻撃が増加しているとの警告を発した。米国の３つの連邦機関は、企業の IT 管理者に対し、組織のネットワーク・セキュリティ体制を見直し、Conti ランサムウェアから守るために、共同勧告に記載されている対策を直ちに実施するよう求めている。

Microsoft Windows PrintNightmare 最後の脆弱性 CVE-2021-36958 が FIX

Microsoft fixes remaining Windows PrintNightmare vulnerabilities

2021/09/14 BleepingComputer — Microsoft は、ゼロデイ脆弱性 PrintNightmare に残された、最後の問題点を修正するセキュリティ更新プログラムを公開した。この脆弱性は、Windows デバイスの管理者権限が、攻撃者により容易に取得されるという、深刻なバグである。

REvil ランサムウェアの謎：だれがオンラインに戻したのか？

REvil ransomware servers mysteriously come back online

2021/09/07 BleepingComputer — ランサムウェア REvil の、ダークウェブ・サーバーが、約２ヶ月ぶりに突然復活した。これがランサムウェア・ギャングの復帰を意味するのか、それとも法執行機関がサーバーをオンにしたのかは不明だ。7月2日に、Sodinokibi こと REvil ランサムウェア・ギャングは、Kaseya VSA リモート管理ソフトウェアのゼロデイ脆弱性を悪用し、約60社のマネージド・サービス・プロバイダー (MSP) と、1,500社以上のビジネス顧客を暗号化した。

Babuk ランサムウェアの全ソースコードがハッカー・フォーラムにリーク！

Babuk ransomware’s full source code leaked on hacker forum

2021/09/03 BleepingComputer — ある脅威アクターが、ロシア語ハッキング・フォーラムで、ランサムウェア Babuk の完全なソースコードをリークした。Babuk Locker は、Babyk とも呼ばれているが、2021年の初めに企業をターゲットにしてデータを盗み出し暗号化するという、二重窃取の手法を用いるランサムウェアである。

Conti ランサムウェアが Exchange ProxyShell 脆弱性を狡猾な手口で狙っている

Conti ransomware now hacking Exchange servers with ProxyShell exploits

2021/09/03 BleepingComputer — Conti ランサムウェアは、最近に公開された ProxyShell の脆弱性を悪用して、Microsoft Exchange サーバーに侵入し、企業ネットワークを侵害していくだろう。ProxyShell とは、Microsoft Exchange の脆弱性 (CVE-2021-34473 CVE-2021-34523 CVE-2021-31207) を連鎖させるエクスプロイトの名称であり、パッチが適用されていない脆弱のあるサーバーで、認証を回避したリモート・コード実行を許すことになる。

Conti PlayBook 英訳版：ランサムウェアの手口が明らかに

Translated Conti ransomware playbook gives insight into attacks

2021/09/02 BleepingComputer — Conti グループの攻撃 PlayBook が流出してから１ヶ月ほどが経ったが、(ロシア語からの) 自動翻訳による誤訳を解消するために、セキュリティ研究者たちが翻訳版を公開してくれた。この PlayBook は、Conti におけるランサムウェア攻撃の方法や、徹底した指示に関する情報を提供するだけではなく、スキルの低いアクターであっても、Conti ランサムウェアのアフィリエイトになれば、貴重なターゲットを攻撃できるようになっている。

LockFile ランサムウェアは間欠的暗号化で防御ラインを突破する

LockFile Ransomware Bypasses Protection Using Intermittent File Encryption

2021/08/28 TheHackerNews — 先月に出現した新しいランサムウェア・ファミリーは、間欠的暗号化 (intermittent encryption) と呼ばれる新しい技術を利用することで、ランサムウェア対策を回避する独自のトリックを備える。この LockFile と呼ばれるランサムウェアの作者は、ProxyShell や PetitPotam といった、最近の脆弱性を悪用して Windows サーバーを危険にさらしているが、ファイルの 16 Bytes ごとにスクランブルをかけることでランサムウェア防御を回避する、ファイル暗号化マルウェアを展開していることが判明した。

Nokia の米子会社に Conti ランサムウェアが侵入した

Nokia subsidiary discloses data breach after Conti ransomware attack

2021/08/23 BleepingComputer — Nokia の米子会社である SAC Wireless は、Conti ランサムウェアによる攻撃を受け、ネットワークへの侵入と、データの窃取、システムを暗号化を許し、また、データが流出したことを公表した。米国イリノイ州シカゴに本社を置く Nokia 子会社である SAC Wireless は、米国内の通信事業者および、基地局、OEM 企業などと取引を行っている。SAC Wireless は、5G および、4G LTE、スモールセル、FirstNet などの、セルラー・ネットワークの設計／構築／アップグレードなどを顧客に提供する企業である。

LockFile ランサムウェアは ProxyShell 脆弱性を介して Microsoft Exchange を攻撃する

LockFile ransomware attacks Microsoft Exchange with ProxyShell exploits

2021/08/21 BleepingComputer — LockFile と呼ばれる新しいランサムウェアが、最近になって公開された ProxyShell の脆弱性を悪用して Microsoft Exchange サーバーに侵入し、Windows ドメインを暗号化している。ProxyShell とは、３つの Microsoft Exchange の脆弱性を連鎖させることで、認証を回避してリモート・コードを実行する攻撃の名称である。この３つの脆弱性は、Devcore の Principal Security Researcher である Orange Tsai が発見したもので、彼は４月に開催されたハッキング・コンテスト Pwn2Own 2021 で、これらの脆弱性を連鎖させて Microsoft Exchange サーバーを乗っ取ることに成功している。

LockFile ランサムウェアは PetitPotam 攻撃で Windows ドメインを乗っ取る

LockFile ransomware uses PetitPotam attack to hijack Windows domains

2021/08/20 BleepingComputer — 少なくとも１人のランサムウェア脅威アクターが、最近発見された PetitPotam NTLM リレー攻撃手法を利用して、世界中の様々なネットワーク上の Windows ドメインを乗っ取り始めている。この攻撃の背後には、７月に初めて確認された、LockFile と呼ばれる新しいランサムウェア・ギャングがいるようだが、同業のグループとの類似性や参照点が見られる。

LockBit ランサムウェアが復活：セキュリティ・ベンダーたちが警鐘を鳴らす

Security Vendors Sound the Alarm on LockBit Ransomware’s Return

2021/08/19 DarkReading — 2019年に登場した Ransomware-as-a-Service (RaaS) である LockBit の運営者が再登場し、マルウェアの改良版を発表するとともに、ダークウェブや標的となる組織内からアフィリエイトを募るという、不吉で積極的なキャンペーンを展開している。

Conti ランサムウェアが内部分裂：怒りのアフィリエイトが Play Book を暴露した

Angry Conti ransomware affiliate leaks gang’s attack playbook

2021/08/05 BleepingComputer — 不満を抱いた Conti のアフィリエイトが、ランサムウェア運用者の情報を含む、攻撃を行うためのトレーニング資料を流出させた。Conti ランサムウェアは、RaaS (ransomware-as-a-service) として運営されており、コア・チームがマルウェアと Tor サイトを管理し、リクルートされたアフィリエイトがネットワーク侵入やデバイスの暗号化を行う仕組みになっている。そして、コア・チームが身代金の 20％～30％を受け取り、残りをアフィリエイトが受け取ることになる。

RaaS (Ransomware-as-a-Service) のエコシステムを解析する

Why RaaS Has Become Easier to Launch

2021/07/30 SecurityBoulevard — Intel 471 の研究者から、組織内のサイバー・セキュリティ・チームに向けたヒントが届いた。サイバー犯罪者が何を学び、どのように行動しているのかを積極的に把握することで、セキュリティ・ニーズに対する解決策を見出すことができる。犯罪者たちが容易に攻撃を仕掛けられるのは、私たちが日常的に目にしているものを、巧妙に組み合わせているからだ。つまり、日常的に見られるような、技術的なノウハウを持った人々が増えていることが前提にあり、そこに緻密なビジネス・モデルが組み合わさっている。