Emotet が 11月2日に活動を再開:Microsoft の Protected View を回避する戦術とは?

Emotet botnet starts blasting malware again after 5 month break

2022/11/02 BleepingComputer — マルウェア Emotet のオペレーションだが、サイバー犯罪作戦の活動がほとんど見られなかった約5ヶ月間の休暇を経て、再び悪質な電子メールを送信し始めている。Emotet のフィッシング・キャンペーンは、悪意の Excel/Word 文書を介して、マルウェアを配布し感染させるものだ。それらの文書を開いたユーザーが、マクロを有効にしていると、Emotet DLL がダウンロードされ、メモリに読み込まれる。

Continue reading “Emotet が 11月2日に活動を再開:Microsoft の Protected View を回避する戦術とは?”

Microsoft Office の VBA マクロ・ブロック:突然のロールバックと大混乱のユーザー

Microsoft rolls back decision to block Office macros by default

2022/07/07 BleepingComputer — 今年の初めに Microsoft は、ダウンロードした Office 文書に含まれる VBA マクロをデフォルトでブロックすると発表したが、この木曜日には、この変更に関する通知を行うまでの間、「フィードバック」に基づきロールバックすると発表した。 また、同社は、この決定の背後にある理由を説明できず、Access/Excel/PowerPoint/Visio/Word において、悪意の Office 文書に埋め込まれた VBA マクロが自動的にブロックされなくなることを、公には顧客に通知していない。

Continue reading “Microsoft Office の VBA マクロ・ブロック:突然のロールバックと大混乱のユーザー”

Microsoft の方針転換:Office VBA MoTW マクロはディフォルトで OFF

Microsoft plans to kill malware delivery via Office macros

2022/02/07 BleepingComputer — 4月上旬より Microsoft は、インターネットからダウンロードした VBA マクロを、いくつかの Microsoft Office アプリで有効にし難くし、脅威アクターたちに好まれるマルウェア配布方法を、事実上死滅させることを発表した。悪意の Office 文書に埋め込まれた VBA マクロの悪用は、Emotet/TrickBot/Qbot/Dridex などのマルウェをフィッシング攻撃でプッシュする際の、きわめて一般的な手法である。

Continue reading “Microsoft の方針転換:Office VBA MoTW マクロはディフォルトで OFF”

MSHTML の脆弱性を悪用:政府/防衛を狙うハッカーの動きを検知

Hackers Exploited MSHTML Flaw to Spy on Government and Defense Targets

2022/01/25 TheHackerNews — 火曜日にサイバー・セキュリティ研究者たちは、西アジアの国家安全保障政策を監督する政府高官や防衛産業に携わる人々を標的とした、複数のステージで構成されるスパイ活動について明らかにした。セキュリティ企業である Trellix (McAfee Enterprise と FireEye が合併) は、The Hacker Newsに掲載されたレポートの中で、この攻撃は、Microsoft OneDrive を Command and Control (C2) サーバーとして活用している点が特徴であり、可能な限り目立たないようにするために6つのステージに分かれていると述べている。

Continue reading “MSHTML の脆弱性を悪用:政府/防衛を狙うハッカーの動きを検知”

Emotet の新バージョンは奇抜な IP アドレス形式により検知を回避する

Emotet Now Using Unconventional IP Address Formats to Evade Detection

2022/01/23 TheHackerNews — マルウェア Emotet を用いたソーシャル・エンジニアリング・キャンペーンにおいて、セキュリティ・ソリューションによる検知を逃れるための、従来とは異なる IP アドレス形式が、初めて使用されたことが確認されている。Trend Micro の Threat Analyst である Ian Kenefick は、金曜日に発表したレポートの中で、IP アドレスの 16進数および8進数での表現が使用されており、これらの表現がオペレーティングシステムで処理されると、リモート・サーバーからのリクエストを開始するために、ドット付きの 10進数表現に自動的に変換されると述べている。

Continue reading “Emotet の新バージョンは奇抜な IP アドレス形式により検知を回避する”

Microsoft Office のマクロ警告を OFF にする新たなトリックが発見された

Hackers Use New Trick to Disable Macro Security Warnings in Malicious Office Files

2021/07/08 TheHackerNews — Microsoft Office 文書を武器として配布するフィッシング・キャンペーンでは、被害者にマクロを有効にするよう促し、感染の連鎖をダイレクトに引き起こすことが一般的だ。しかし、攻撃者は悪意のない文書を使用してセキュリティ警告を無効にし、その後にマクロコードを実行して、被害者のコンピュータに感染させろという、新たな発見があった。

Continue reading “Microsoft Office のマクロ警告を OFF にする新たなトリックが発見された”