Cobalt Strike サーバに DDoS 攻撃:ロシアン・ランサムウェアを追撃するのは誰なのか?

Ransomware gang’s Cobalt Strike servers DDoSed with anti-Russia messages

2022/09/07 BleepingComputer — ランサムウェア・ギャングの元メンバーが運営する Cobalt Strike のサーバに、何者かが反ロシアのメッセージを流し込んで活動を妨害している。 最近のランサムウェアに関する動向だが、2022年5月に ContI は、内部インフラのシャットダウンを完了し、そのメンバーたちは Quantum/Hive/BlackCat といった他のランサムウェア・ギャングに分散していった。

Continue reading “Cobalt Strike サーバに DDoS 攻撃:ロシアン・ランサムウェアを追撃するのは誰なのか?”

Google TAG 警告:Conti ランサムウェアの元メンバーがウクライナを攻撃している

Google says former Conti ransomware members now attack Ukraine

2022/09/07 BleepingComputer — Google によると、サイバー犯罪組織 Conti の元メンバーの一部が、現在 UAC-0098 として追跡されている脅威グループに参加し、ウクライナの組織やヨーロッパの非政府組織 (NGO) を標的にしているという。UAC-0098 は、イニシャル・アクセス・ブローカーであり、企業ネットワーク内の侵害済みシステムへの、バンキング型トロイの木馬 IcedID を用いるアクセスを、ランサムウェア・グループに提供することで知られている。

Continue reading “Google TAG 警告:Conti ランサムウェアの元メンバーがウクライナを攻撃している”

Cisco をハッキングした Yanluowang:Evil Corp や Conti との関連性が見えてきた

Infra Used in Cisco Hack Also Targeted Workforce Management Solution

2022/09/01 TheHackerNews — 2022年5月に Cisco を標的とした攻撃のインフラは、その1カ月前の 2022年4月にも、無名のワークフォース管理ソリューション保有企業に対して、侵害に採用されたが未遂に終わっていた。この調査結果を公表したサイバーセキュリティ企業 eSentire は、この侵入が、Evil Corp のアフィリエイトで UNC2165 (mx1r) と呼ばれる、犯罪行為者の仕業である可能性を指摘している。

Continue reading “Cisco をハッキングした Yanluowang:Evil Corp や Conti との関連性が見えてきた”

Sliver Tookit という最新/最強の攻撃ツール:Cobalt Strike は過去の遺物に?

Hackers adopt Sliver toolkit as a Cobalt Strike alternative

2022/08/25 BleepingComputer — 脅威アクターたちの好みが、正規のペンテスト・スイートである Cobalt Strike から、あまり知られていない類似のフレームワークを使う方向へと変化している。Brute Ratel (Red Teaming Tool) のに続くものとして、Sliver と呼ばれるオープンソースのクロスプラットフォーム・キットが、魅力的な代替品になりつつありる。さらに、Sliver を悪用するアクティビティは、ツールキット/動作/コンポーネントなどの分析から導き出された、ハンティング・クエリから検出されている。

Continue reading “Sliver Tookit という最新/最強の攻撃ツール:Cobalt Strike は過去の遺物に?”

Windows 11 RDP セキュリティ強化:ブルートフォース攻撃に対するデフォルト保護機能の追加

Microsoft Adds Default Protection Against RDP Brute-Force Attacks in Windows 11

2022/07/25 TheHackerNews — Microsoft は Windows 11 の最新ビルドの一部において、Remote Desktop Protocol (RDP) ブルートフォース攻撃防止の措置を講じることで、進化する脅威に対するセキュリティ水準を高めようとしている。この措置により、Windows 11 ビルド (特に Insider Preview ビルド 22528.1000 以降) のデフォルト・ポリシーでは、無効なサインインを 10 回試行すると、アカウントが自動的に 10 分間ロックされるようになる。

Continue reading “Windows 11 RDP セキュリティ強化:ブルートフォース攻撃に対するデフォルト保護機能の追加”

Luna という Rust ベースのランサムウェアが登場:Windows/Linux/ESXi システムを狙う

New Rust-based Ransomware Family Targets Windows, Linux, and ESXi Systems

2022/07/20 TheHackerNews — Kaspersky のセキュリティ研究者たちは、Rust で書かれた、全く新しいランサムウェアである Luna の詳細を公開した。これは、BlackCat/Hive に続いて、このプログラミング言語を使用する3番目のマルウェアとなる。Luna は、非常にシンプルであり、Windows/Linux/ESXi システム上で動作し、Curve25519/AES を組み合わせて暗号化を行う。

Continue reading “Luna という Rust ベースのランサムウェアが登場:Windows/Linux/ESXi システムを狙う”

Hive RaaS が Rust にアップグレード:より洗練された暗号化方式が実装されている

Hive Ransomware Upgrades to Rust for More Sophisticated Encryption Method

2022/07/06 TheHackerNews — Ransomware-as-a-Service (RaaS) Hive のオペレーターたちが、Hive の構成を全面的に見直し、記述言語を GoLang から Rust へと移行し、より洗練された暗号化方式を採用し始めた。火曜日のレポートで Microsoft Threat Intelligence Center (MSTIC) は、「Hive は、複数の大規模なアップグレードを伴う最新の亜種で、最も急速に進化するランサムウェア・ファミリーの1つであることも証明しており、絶えず変化するランサムウェアのエコシステムを実証している」と述べている。

Continue reading “Hive RaaS が Rust にアップグレード:より洗練された暗号化方式が実装されている”

Conti がデータ漏洩と交渉のサイトを閉鎖:サイバー犯罪シンジケートとして活動を継続?

Conti ransomware finally shuts down data leak, negotiation sites

2022/06/24 BleepingComputer — Conti ランサムウェア・オペレーターは、データを漏洩させ、被害者と交渉するために使用されていた、Tor サーバで構成されるパブリックなインフラをついに閉鎖し、悪名高いサイバ犯罪ブランドとしての幕を閉じた。脅威情報アナリストの Ido Cohen によると、Conti のサーバーは水曜日にシャットダウンされており、現時点においてもオフラインであることを、BleepingComputer も確認している。

Continue reading “Conti がデータ漏洩と交渉のサイトを閉鎖:サイバー犯罪シンジケートとして活動を継続?”

Microsoft 警告:Exchange Server のハッキングにより BlackCat ランサムウェアが広まっている

Microsoft: Exchange servers hacked to deploy BlackCat ransomware

2022/06/13 BleepingComputer — Microsoft によると、BlackCat ランサムウェアのアフィリエイトが、未パッチの脆弱性を狙うエクスプロイトを用いて、Microsoft Exchange サーバーを攻撃しているとのことだ。Microsoft のセキュリティ専門家が観察した1つの事例では、攻撃者は被害者のネットワークをゆっくりと移動し、認証情報を盗んで情報を流出させ、二重の恐喝に利用しているようだ。最初の侵害から2週間後に、この脅威者は、パッチの適用されていない Exchange サーバーを侵入経路とし、PsExec を介してネットワーク全体に BlackCat ランサムウェアのペイロードを展開させた。

Continue reading “Microsoft 警告:Exchange Server のハッキングにより BlackCat ランサムウェアが広まっている”

ランサムウェア 2021年の調査:勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第2版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう1人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

Continue reading “ランサムウェア 2021年の調査:勝ち続ける帝国のパワーを数々の指標が証明”

Conti ランサムウェアの解体と分散化:リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

Continue reading “Conti ランサムウェアの解体と分散化:リブランドの状況と背景を探ってみた”

Microsoft Exchange をハックする Hive ランサムウェア:新たな攻撃手法で被害を拡大

Microsoft Exchange servers hacked to deploy Hive ransomware

2022/04/20 BleepingComputer — Hive ランサムウェアのアフィリエイトが、ProxyShell のセキュリティ問題に対して脆弱な Microsoft Exchange サーバーを標的として、Cobalt Strike ビーコンなどの様々なバックドアを展開している。この脅威アクターは、そこからネットワークを偵察し、管理者アカウントの認証情報を盗み、貴重なデータを流出させ、最終的にはファイル暗号化ペイロードを展開する。この情報は、セキュリティ分析を行う Varonis が、同社の顧客に対するランサムウェア攻撃を調査した際に得られたものである。

Continue reading “Microsoft Exchange をハックする Hive ランサムウェア:新たな攻撃手法で被害を拡大”

Hive が Linux VMware ESXi 暗号化ツールを Rust に移植:解析と分析が困難に

Hive ransomware ports its Linux VMware ESXi encryptor to Rust

2022/03/27 BleepingComputer — ランサムウェア Hive は、VMware ESXi Linux 用の暗号化ツールを、Rust プログラミング言語で書き換え、セキュリティ研究者による身代金交渉のチェックを、難しくするための新機能を追加した。企業における仮想マシンへの依存度は、コンピュータ・リソースの節約/サーバの統合/バックアップの容易化などのニーズの中で高まっているが、このランサムウェア集団は、それらのサービスに特化した専用の暗号化ツールを作成している。

Continue reading “Hive が Linux VMware ESXi 暗号化ツールを Rust に移植:解析と分析が困難に”

Hive ランサムウェアの暗号化アルゴリズムに欠陥:韓国の研究者たちが 95% 以上を復元

Master Key for Hive Ransomware Retrieved Using a Flaw in its Encryption Algorithm

2022/02/19 TheHackerNews — ランサムウェア Hive に感染したデータを、コンテンツへのアクセスをロックしている秘密鍵に頼らずに復号することに、初めて成功した研究者たちが、詳細を発表した。韓国の Kookmin University の研究者グループは、暗号化プロセスを分析した新しい論文の中で、「分析により特定された暗号学上の脆弱性を利用することで、攻撃者の秘密鍵を使わずにファイル暗号化キーを生成する、マスターキーを復元できた」と述べている。

Continue reading “Hive ランサムウェアの暗号化アルゴリズムに欠陥:韓国の研究者たちが 95% 以上を復元”

LockBit の Linux バージョンは VMware ESXi サーバーを標的にする

Linux version of LockBit ransomware targets VMware ESXi servers

2022/01/26 BleepingComputer — LockBit は最新のランサムウェアであり、Linux の暗号化機能を用いた、VMware ESXi の仮想マシンの暗号化に特化していることが判明している。その一方で、一般的な企業では、コンピュータ・リソースの節約/サーバーの統合/バックアップの容易さなどの理由から、仮想マシンへの移行が進んでいる。そのような状況を受け、これまでの1年間でランサムウェア・ギャングたちは、人気の高い VMware vSphere/ESXi 仮想化プラットフォームを標的とする、Linux エンクリプターを作成するよう、戦術を進化させてきた。

Continue reading “LockBit の Linux バージョンは VMware ESXi サーバーを標的にする”

Hive は1ヶ月で7億円も稼いでいる:メジャー・ランサムウェアの仲間入り?

Hive ransomware enters big league with hundreds breached in four months

2021/12/16 BleepingComputer — ランサムウェア Hive は、そのリーク・サイトに記載されている以上に活発で攻撃的な組織であり、この組織の存在が明らかになった6月下旬からは、毎日の平均で3社の企業が攻撃を受けている。セキュリティ研究者たちは、Hive の管理者パネルからダイレクトに情報を収集し、4ヶ月間で 350以上の組織が侵入されてることを確認した。

Continue reading “Hive は1ヶ月で7億円も稼いでいる:メジャー・ランサムウェアの仲間入り?”

欧州最大の家電量販店 MediaMarkt が Hive ランサムウェアに攻撃されている

MediaMarkt hit by Hive ransomware, initial $240 million ransom

2021/11/08 BleepingComputer — 家電量販店大手の MediaMarkt が ランサムウェア Hive に感染し、イニシャルの身代金として $240 million を要求され、また、オランダとドイツで IT システムが停止したことで、店舗運営に支障をきたしていると判明した。MediaMarkt は、ヨーロッパ最大の家電量販店であり、13カ国に 1,000以上の店舗を展開している。同社は、約53,000人の従業員を擁し、総売上高は €20.8 billion に達している。

Continue reading “欧州最大の家電量販店 MediaMarkt が Hive ランサムウェアに攻撃されている”

Hive ランサムウェアによる暗号化:Linux と FreeBSD がターゲットに追加

Hive ransomware now encrypts Linux and FreeBSD systems

2021/10/29 BleepingComputer — ランサムウェア Hive は、Linux や FreeBSD をターゲットに開発された新種のマルウェアを用いて、これらのプラットフォームも暗号化してしまう。しかし、スロバキアのインターネット・セキュリティ企業 ESET が発見したように、Hive の新しい暗号化ツールは開発中であり、機能が不足している。

Continue reading “Hive ランサムウェアによる暗号化:Linux と FreeBSD がターゲットに追加”

LockFile ランサムウェアは間欠的暗号化で防御ラインを突破する

LockFile Ransomware Bypasses Protection Using Intermittent File Encryption

2021/08/28 TheHackerNews — 先月に出現した新しいランサムウェア・ファミリーは、間欠的暗号化 (intermittent encryption) と呼ばれる新しい技術を利用することで、ランサムウェア対策を回避する独自のトリックを備える。この LockFile と呼ばれるランサムウェアの作者は、ProxyShell や PetitPotam といった、最近の脆弱性を悪用して Windows サーバーを危険にさらしているが、ファイルの 16 Bytes ごとにスクランブルをかけることでランサムウェア防御を回避する、ファイル暗号化マルウェアを展開していることが判明した。

Continue reading “LockFile ランサムウェアは間欠的暗号化で防御ラインを突破する”