Evil Corp – IoT OT Security News

Raspberry Robin マルウェアの C2 ドメイン約 200件を特定：ロシアとの関係と EU 経由での拡散

Researchers Uncover ~200 Unique C2 Domains Linked to Raspberry Robin Access Broker

2025/03/25 TheHackerNews — Raspberry Robin マルウェアに関連する約 200のユニークな C2 (command-and-control) ドメインが、Silent Push の調査により発見された。Silent Push は、「Raspberry Robin (別名：Roshtyak／Storm-0856) は、複雑で進化し続ける脅威アクターであり、他の犯罪グループに対して初期アクセス・ブローカー (IAB：initial access broker) サービスを提供している。それらのグループの多くは、ロシアとつながりがある」と、 The Hacker News に共有したレポートで述べている。

SocGholish マルウェアの脅威：武器化された ZIP を侵害済みの Web サイトからドロップ

SocGholish Malware Dropped from Hacked Web Pages using Weaponized ZIP Files

2025/02/14 gbhackers — SocGholish マルウェア・フレームワークによる一連のサイバー攻撃では、正規のブラウザ更新を装う悪意の ZIP ファイルを配信するために、すでに侵害された Web サイトが悪用されていることが判明している。

マルウェア・ローダー Top-3 による寡占化：QakBot／SocGholish／Raspberry Robin

3 Malware Loaders Detected in 80% of Attacks: Security Firm

2023/08/28 SecurityWeek — サイバー犯罪者たちの間で最も人気のマルウェア・ローダーは、QakBot／SocGholish／Raspberry Robin の３つであり、観測された攻撃の 80％を占めていると、サイバー・セキュリティ企業 ReliaQuest が報告している。2023年1月1日〜7月31日で観測されたインシデントのうち、QakBot 30％／SocGholish 27％／Raspberry Robin 23％を占めるという状況になっている。同社によると、観測されたインシデントの全てが、ネットワークの侵害につながったわけではなく、問題を引き起こす前に検出／停止されたローダーもあるとのことだ。

Access-as-a-Service へと進化した Raspberry Robin：Clop ランサムウェアの展開を推進か？

Raspberry Robin Operators Selling Cybercriminals Access to Thousands of Endpoints

2022/10/28 TheHackerNews — Raspberry Robin ワームは Access-as-a-Service へと進化し、IcedID／Bumblebee／TrueBot (Silence)／Clop などの、他のペイロード展開に採用されつつある。Microsoft Security Threat Intelligence Center (MSTIC) は、「このマルウェアは、複雑で相互接続されたマルウェア・エコシステムの一部であり、従来からの USB ドライブ拡散を超えた、多様な感染方式を実現している」と詳述している。Raspberry Robin は、USB ドライブを介して Windows システムに拡散するマルウェアであり、感染させた QNAP ストレージ・サーバを Command and Control に使用することから、サイバー・セキュリティ企業 Red Canary は QNAP Worm とも呼んでいる。

Cisco をハッキングした Yanluowang の手口：従業員の認証情報漏洩から始まった

Cisco confirms that data leaked by the Yanluowang ransomware gang were stolen from its systems

2022/09/12 SecurityAffairs — 8月に Cisco が公表したのは、Yanluowang ランサムウェア・ギャングが同社のネットワークに、5月下旬に侵入して内部データを盗んだというインシデントに関する詳細である。 Cisco Security Incident Response (CSIRT) と Cisco Talos が実施した調査で判明したのは、被害者のブラウザに保存された認証情報と同期している、個人の Google アカウントを操作する脅威アクターが、Cisco の従業員の認証情報を漏洩させたことである。

Cisco をハッキングした Yanluowang：Evil Corp や Conti との関連性が見えてきた

Infra Used in Cisco Hack Also Targeted Workforce Management Solution

2022/09/01 TheHackerNews — 2022年5月に Cisco を標的とした攻撃のインフラは、その１カ月前の 2022年4月にも、無名のワークフォース管理ソリューション保有企業に対して、侵害に採用されたが未遂に終わっていた。この調査結果を公表したサイバーセキュリティ企業 eSentire は、この侵入が、Evil Corp のアフィリエイトで UNC2165 (mx1r) と呼ばれる、犯罪行為者の仕業である可能性を指摘している。

Mandiant 対 Lockbit：サイバー・セキュリティ大手に仕掛ける意図は何処に？

Lockbit ransomware gang claims to have hacked cybersecurity giant Mandiant

2022/06/06 SecurityAffairs — 今日、ランサムウェア・ギャング LockBit は、ダークウェブ・リークサイトで公開している被害者リストに、サイバーセキュリティ企業である Mandiant を追加した。Mandiant は、ランサムウェア・ギャングの主張を調査しているが、LockBit は、356841件のファイルを盗み出し、オンラインで流出させる計画だと宣言している。

Evil の新たな戦略：LockBit ランサムウェアの運用により制裁を逃れる？

Evil Corp switches to LockBit ransomware to evade sanctions

2022/06/02 BleepingComputer — 現時点におけるサイバー犯罪グループ Evil Corp は、米国財務省外国資産管理局 (OFAC：Office of Foreign Assets Control) が課す制裁を回避するため、ランサムウェア LockBit を標的ネットワークに展開する方法へと、切り替えていることが明らかになった。2007年から活動している Evil Corp (INDRIK SPIDER／ Dridex) は、Dridex マルウェアを展開した後にランサムウェアをビジネスへと転換した、パイオニアとして知られている。

全米ライフル協会がロシアの Evil Corp ランサムウェアにハッキングされた？

A Russian-speaking ransomware gang says it hacked the National Rifle Association

2021/10/27 CyberScoop — Grief と呼ばれるランサムウェア・グループが、水曜日に全米ライフル協会 (NRA) をハッキングし、同協会のものとされる13件の文書を公開し、同協会が身代金を支払わなければ、さらに多くの文書を公開すると主張している。

バイデン米国大統領：30カ国が連携してサイバー攻撃を阻止していく

US unites 30 countries to disrupt global ransomware attacks

2021/10/01 BleepingComputer — 今日、バイデン米国大統領は、世界中の組織に影響を与えている一連の攻撃の背後にあるランサムウェア・ギャングを、米国が中心となる 30カ国が共同して取り締まることを発表した。バイデン大統領は、「今月、米国は 30カ国を集め、サイバー犯罪と戦うために、法執行機関の協力体制の強化、暗号通貨の不正使用の阻止、外交的関与における協力を加速さる」と述べている。

保険大手 CNA のデータ侵害は偽のブラウザ・アップデートが入口だった

Ransomware gang breached CNA’s network via fake browser update

2021/07/22 BleepingComputer — 米国の大手保険会社 CNA Financial は、2021年3月に生じたランサムウェア攻撃において、Phoenix CryptoLocker のオペレーターたちが、どのようにネットワークに侵入し、データを盗み出し、ランサムウェア・ペイロードをディプロイ展開したのかを明らかにした。２ヵ月前の5月13日に CNA は、攻撃で影響を受けたシステムを復旧させた後に、完全に回復した状態で業務を開始したと発表した。そして、今月の初めに提出した法的通知で明らかにしたように、CNA は事件の発見直後から第三者のセキュリティ専門家と協力して調査を実施し、ランサムウェア攻撃の正確なタイムラインを見つけ出した。

Evil Corp の新種ランサムウェアは米当局の制裁をかわすために PayloadBin と名乗る

New Evil Corp ransomware mimics PayloadBin gang to evade US sanctions

2021/06/06 BleepingComputer — 新種のランサムウェアである PayloadBIN だが、US Treasury Department’s Office of Foreign Assets Control (OFAC) の制裁を逃れるためにブランド名を変更した、サイバー犯罪組織 Evil Corp が作成したものだとされる。

保険大手の CNA Financial は $40 Million をランサム・ギャングに支払ったらしい

Insurance Firm CNA Financial Reportedly Paid Hackers $40 Million in Ransom

2021/05/21 TheHackerNews — 米保険大手の CNA Financial は、2021年3月に発生した攻撃の後、システムへのアクセス権を回復するためにランサムウェア・ギャングに対して $40 Million を支払い、これまでの身代金の中で最も高額なものになったと、Bloomberg は推測している。