IAB – IoT OT Security News

IAB たちの戦術転換：イニシャル・アクセスの低価格／大量販売で攻撃を加速 – Check Point 調査

Initial Access Brokers Shift Tactics, Selling More for Less

2025/04/11 TheHackerNews — アンダーグラウンド市場の仲介業者であるイニシャル・アクセス・ブローカー (IAB：Initial Access Broker) は、コンピュータ・システムやネットワークへの不正侵入を専門とし、そのアクセス権を他のサイバー犯罪者に販売することで利益を得ている。この“役割分担”により、IAB はソーシャル・エンジニアリングやブルートフォース攻撃などの手法を使った脆弱性の悪用という、自身の本業に専念できるというわけだ。

SendGrid の大規模データ侵害：848,000件の顧客データの窃取と販売を Satanic が主張

Hacker Claims Twilio’s SendGrid Data Breach, Selling 848,000 Records

2025/04/03 HackRead — Twilio 傘下のクラウド型メール配信プラットフォームである SendGrid で発生した大規模な情報漏えいについて、Satanic と名乗るハッカーが、自身の犯行だと主張している。サイバー犯罪者の人気プラットフォーム Breach Forums に、2025年4月3日に投稿された内容によると、Satanic は盗み出したとするデータを $2,000 で提供しており、その主張の裏付けとして、サンプル・データも公開している。

Raspberry Robin マルウェアの C2 ドメイン約 200件を特定：ロシアとの関係と EU 経由での拡散

Researchers Uncover ~200 Unique C2 Domains Linked to Raspberry Robin Access Broker

2025/03/25 TheHackerNews — Raspberry Robin マルウェアに関連する約 200のユニークな C2 (command-and-control) ドメインが、Silent Push の調査により発見された。Silent Push は、「Raspberry Robin (別名：Roshtyak／Storm-0856) は、複雑で進化し続ける脅威アクターであり、他の犯罪グループに対して初期アクセス・ブローカー (IAB：initial access broker) サービスを提供している。それらのグループの多くは、ロシアとつながりがある」と、 The Hacker News に共有したレポートで述べている。

CrowdStrike の 2025 Global Threat Report：高度化する犯罪グループを数値で分析する

Unpatched Vulnerabilities Attract Cybercriminals as EDR Visibility Remains Limited

2025/02/27 gbhackers — CrowdStrike 2025 Global Threat Report によると、サイバー攻撃者たちの集団は、合法的なビジネスの業務効率を模倣し、高度に組織化されたプロ組織へと進化している。このレポートが強調するのは、2024年のサイバー脅威の状況が大きく変化し、高度な戦術を採用する攻撃者が、GenAI などの最新テクノロジーを活用して、そのアクティビティを拡大している状況である。

Google Sheets を悪用するマルウェア：基本的な技術／機能による巧妙な手口とは？

Cyberattackers Exploit Google Sheets for Malware Control in Likely Espionage Campaign

2024/08/30 TheHackerNews — Google Sheets を Command and Control (C2) メカニズムとして悪用する、新しいマルウェア・キャンペーンを、サイバー・セキュリティ研究者たちが発見した。この、Proofpoint により検出された活動は、2024年8月5日から始まり、世界中の 70 を超える組織を標的にしているようだ。具体的に言うと、ヨーロッパ／アジア／米国における税務当局になりすまし、情報を収集して追加のペイロードを配信するために、Voldemort と呼ばれる独自のツールを使っている。

UNC5174 という中国ハッカー：F5／ScreenConnect の脆弱性を悪用して攻撃を展開

Chinese State-Linked Hackers Target Critical Systems; Exploit F5 and ScreenConnect Flaws

2024/03/22 SecurityOnline — UNC5174 という新たな脅威アクターが、ゼロデイおよび最近にパッチが適用された脆弱性を悪用して、一連の標的型侵入を仕掛けていることが、Mandiant のレポートにより明らかになった。同グループの活動は、技術力の高い標的攻撃により、特に政府／防衛／学術などの分野における、価値の高い組織をターゲットにするものだ。

ALPHV／BlackCat のサイトがシャットダウン：法的執行機関による対応か？

ALPHV/BlackCat Site Downed After Suspected Police Action

2023/12/11 InfoSecurity — 現時点で、最も活発な RaaS グループのひとつが、オンライン上で混乱に見舞われているが、諜報専門家は警察の行動によるものだとしている。12月8日 (金) の Twitter で、サイバー脅威情報会社 RedSense は、ALPHV (別名BlackCat) に属するリークサイトが、法執行機関によりダウンさせられたことを、確認できたと述べている。しかし、RedSense の推定は、警察の動きに関する直接的な情報によるものではなく、サイバー犯罪コミュニティから収集した情報に基づいているようだ。

ShadowSyndicate というハッカー集団：複数のランサムウェアと C2 サーバを巧みに運用

ShadowSyndicate hackers linked to multiple ransomware ops, 85 servers

2023/09/26 BleepingComputer — 現在、ShadowSyndicate として追跡されている脅威アクターのインフラを、セキュリティ研究者たちが特定した。これまでの１年間で ShadowSyndicate は、７種類のランサムウェア・ファミリーを展開していたようだ。Group-IB のアナリストは、2022年7月以降の侵害において ShadowSyndicate が Quantum／Nokoyawa／BlackCat/ALPHV／Clop／Royal／Cactus／Play などのランサムウェアを使用していたことを、さまざまな確度から断定している。

マルウェア・ローダー Top-3 による寡占化：QakBot／SocGholish／Raspberry Robin

3 Malware Loaders Detected in 80% of Attacks: Security Firm

2023/08/28 SecurityWeek — サイバー犯罪者たちの間で最も人気のマルウェア・ローダーは、QakBot／SocGholish／Raspberry Robin の３つであり、観測された攻撃の 80％を占めていると、サイバー・セキュリティ企業 ReliaQuest が報告している。2023年1月1日〜7月31日で観測されたインシデントのうち、QakBot 30％／SocGholish 27％／Raspberry Robin 23％を占めるという状況になっている。同社によると、観測されたインシデントの全てが、ネットワークの侵害につながったわけではなく、問題を引き起こす前に検出／停止されたローダーもあるとのことだ。

SEIKO がハッキングされた：犯行を主張する BlackCat がサンプル・データを公開

Japanese watchmaker Seiko breached by BlackCat ransomware gang

2023/08/21 BleepingComputer — BlackCat／ALPHV ランサムウェア・ギャングの恐喝サイトに、SEIKO の名前が加わり、今月の初めに同社が公表した、サイバー攻撃への対応を要求している。SEIKO は世界最大級の規模を誇る歴史のある時計メーカーであり、従業員数は約 12,000人／年間売上高は $1.6 billion を超える。2023年8月10日に同社は、データ漏洩の通知を発表し、無許可の第三者が IT インフラの一部に不正アクセスし、流出させたことを認めた。

ランサムウェアとアクセス・ブローカー：地下でつながり利益を上げるグループたち – WithSecure

Ransomware Gangs Adopting Business-like Practices to Boost Profits

2023/05/30 InfoSecurity — WithSecure の最新のレポートから推察されるのは、ランサムウェア・ギャングが利益を上げるために、各種のビジネスライクな手法を採用している点であり、それにより個々のグループを判別することが、防御側にとって困難になっていることだ。フィンランドで開催された Sphere23 において、WithSecure の Senior Threat Intelligence Analyst である Stephen Robinson は、このような合法的なビジネス手法を反映する動きは、TTPs (Tactics, Techniques and Procedures) が曖昧になっていることを示唆すると述べている。

Genesis のテイクダウン：Operation Cookie Monster が老舗のダークウェブを追い詰めた

FBI Seizes Genesis Cybercriminal Marketplace in ‘Operation Cookie Monster’

2023/04/06 DarkReading — 盗み出されたクッキーなどの、危険なデータを流通させるために広く利用されている、ダークウェブ・フォーラムのホームページが、米国連邦法執行機関の押収通知に置き換えられた。FBI が押収した Genesis Market は、盗み出されたクッキー／認証情報／トークンだけではなく、被害者のネットワークにイニシャル・アクセスするための、ボットなどのツールを提供する、最大かつ広範に利用されるダークウェブ・フォーラムの１つである。この出来事は、世界中でサイバー犯罪に関与している人々に、国際的な法執行機関が与えた新たな打撃である。

APAC のデータセンターが標的：新たなサイバー攻撃の証拠が発見された

Resecurity warns about cyber-attacks on data center service providers

2023/02/21 SecurityAffairs — カリフォルニアに拠点を置くサイバー・セキュリティ企業の Resecurity は、複数のデータセンターに対して、それらの組織と顧客を標的としたサイバー攻撃に関する警告を。 2021年9月から発してきたことを公表した。同社は最新のレポートで、通知の対象とされた組織は、サプライチェーンの重要な部分として機能しており、国家支援 APT／犯罪者／サイバー・スパイグループなどの格好のターゲットだと述べている。この、Resecurity による通知の詳細は、さらなる分析とリスク軽減のために、影響を受けた当事者および、中国／シンガポール政府の緊急対応チームと共有された。さらに、2022年と 2023年1月にアップデートされた同通知は、発見されたデータセットに Fortune 500 の大企業が多数存在していたことから、米国の法執行機関とも共有された。

Dark Web マーケットの 2022年：Hydra の閉鎖により市場規模が 50% に縮小

Dark Web Market Revenues Sink 50% in 2022

2023/02/09 InfoSecurity — Chainalysis によると、2022年4月に人気の Hydra Market が閉鎖されたおかげで、アンダーグラウンド・マーケットが生み出す収益は、2022年に２桁台の減少となった。このブロックチェーン分析会社によると、ダークウェブの収益は 2021年の $3.1bn から、2022年の $1.5bn へと減少した。そして、ロシア言語圏での Hydra 閉鎖の前後において、全市場の１日平均収益は $4.2m から $447,000 へと減少したという。

Microsoft 警告：ランサムウェアと情報窃取を仕掛ける 100以上の脅威アクターたち

Microsoft: Over 100 threat actors deploy ransomware in attacks

2023/01/31 BleepingComputer — 今日、Microsoft のセキュリティ・チームは、ランサムウェアを展開する 100以上の脅威アクターを追跡していると明かした。さらに、同チームは、昨年末までに活発に動き回っていた、50以上のランサムウェア・ファミリーを監視しているという。同社は、「最近のキャンペーンで多用されたランサムウェアのペイロードには、Lockbit Black／BlackCat (別名 ALPHV) ／Play／Vice Society／Black Basta／Royal などがある。ただし、防御のための戦略としては、それらのペイロードに注目するよりも、それらの展開につながる活動の連鎖に対して、もっと焦点を当てるべきだ。依然として、ランサムウェア・ギャングは、一般的な脆弱性を標的とし、パッチ未適用のサーバやデバイスを標的にしている」と述べている。

Initial Access Broker の活動量が１年で倍増：Group-IB の IAB 調査

Initial Access Broker Activity Doubles in a Year

2023/01/17 InfoSecurity — セキュリティ研究者たちが明らかにしたのは、IAB (Initial Access Broker) がダークウェブ上で企業アクセスを販売したケースが、2022年と2021年の比較において２倍に増加し、また、ブローカーの数も急増したことである。Group-IB が発見した IAB の販売活動は、2021年7月〜2022年6月の間に 2348件を数え、その被害に遭った被害組織の所在国数も、41％増の 96ヶ国になったという。最も標的になったのは米国企業であり、分野別では製造業 (5.8％) ／金融サービス (5.1％) ／不動産 (4.6％) ／教育 (4.2％) が上位を占めている。

Fortinet の深刻な脆弱性 CVE-2022-40684：アクセスを販売する IAB が登場？

Threat actors are offering access to corporate networks via unauthorized Fortinet VPN access

2022/11/29 SecurityAffairs — Cyble の研究者たちが認識しているのは、最近のパッチが適用された Fortinet 製品に存在する、深刻な脆弱性 CVE-2022-40684 を悪用する Initial Access Broker (IAB) が、企業ネットワークへのアクセスを販売している可能性が高いという状況である。10月の初旬に Fortinet は、FortiGate Firewall／FortiProxy Web Proxy に影響を及ぼす、認証バイパスの脆弱性 CVE-2022-40684 に対処している。この脆弱性の悪用に成功した攻撃者は、脆弱なデバイスにログインすることが可能であると、Fortinet は説明している。

ウクライナ CERT 対ロシア IAB：新たなデータワイパー・キャンペーンの発見と追跡

Ukrainian CERT Discloses New Data-Wiping Campaign

2022/11/14 InfoSecurity — ウクライナのサイバー専門家たちが発見したのは、ロシアの脅威アクターと思われる者が、被害者の VPN アカウントを侵害し、ネットワーク・リソースへのアクセスや暗号化を実行するという、新たな攻撃キャンペーンの存在である。同国の CERT-UA (Computer Emergency Response Team) が発した新たな声明は、UAC-0118 として追跡されている FRwL (別名 Z-Team) により、ランサムウェア Somnia が使用されているというものだ。

ドイツ銀行へのアクセスを IAB が販売：多数の引き合いがあると主張

An initial access broker claims to have hacked Deutsche Bank

2022/11/11 SecurityAffairs — 脅威アクター (0x_dump) は、多国籍投資銀行であるドイツ銀行をハッキングしたと主張し、そのネットワークへのアクセス権をオンラインで販売している。この IAB (Initial Access Broker) は、銀行ネットワークの約21000台のマシンにアクセス可能だと主張しており、その大半は Windows システムだとされる。また、侵害されたマシンは、Symantec EDR ソリューションで保護されていたと主張している。

KELA のダークウェブ調査：2022 Q3 の IAB 市場規模は $4M で対象は 576社

Hackers selling access to 576 corporate networks for $4 million

2022/10/31 BleepingComputer — 世界の 576社の企業ネットワークへのアクセス権を販売する、ハッカーたちのビジネスの累計額が $4,000,000 に達しており、企業への攻撃に拍車が掛かることが、新たなレポートで明らかになった。この調査は、イスラエルのサイバー・インテリジェンス企業である KELA が、Q3 2022 Ransomware Report としてを発表したものであり、イニシャル・アクセス販売の分野の活動は一定であるが、提供額の高騰が判明しているとのことだ。

Microsoft が引き起こしたミスコンフィグレーション：顧客／パートナーの機密情報 65,000 件が漏えい

Microsoft data breach exposes customers’ contact info, emails

2022/10/19 BleepingComputer — 今日になって Microsoft は、同社におけるサーバのミスコンフィグレーションにより、インターネット経由でアクセス可能な顧客の、機密情報の一部が流出したと発表した。Microsoft は 2022年9月24日に、脅威情報会社 SOCRadar のセキュリティ研究者から通知を受け、このサーバを保護した。Microsoft は、「このミスコンフィグレーションにより、Microsoft と見込み顧客とのやり取りに関する、サービス導入の計画／可能性／プロビジョニングなどの、一部のビジネス・トランザクション・データに対して、認証なしでアクセスできる可能性があった。このような事態が発生したことを受けて、顧客のアカウントやシステムが侵害された形跡がないことを確認した。そして、影響を受けた顧客にはダイレクトに通知する」と明らかにした。

IcedID マルウェア運用に変化：複数の配信経路により効果を測定している？

Hackers behind IcedID malware attacks diversify delivery tactics

2022/10/10 BleepingComputer — IcedID マルウェアによるフィッシング・キャンペーンの背後にいる脅威アクターは、さまざまなターゲットに対して、最も効果的な攻撃を仕掛けるために、多種多様な配布方法を利用していると思われる。2022年9月に、Team Cymru の研究者たちは、複数のキャンペーンを観測したが、いずれも微妙に異なる感染経路を辿っており、有効性を評価するための戦術が取られていると考えているようだ。

Bumblebee マルウェア：標的システムに特化したペイロードをロードして攻撃する

Bumblebee Malware Loader’s Payloads Significantly Vary by Victim System

2022/10/04 DarkReading — ３月に表面化した、きわめて悪質なマルウェア・ローダー Bumblebee の最新分析により、企業ネットワークの一部としてのシステム向けのペイロードと、スタンドアロン・システム向けのペイロードでは、その種類が大きく異なることが判明した。たとえば、Active Directory サーバを共有しているような、ドメインの一部として認識されたシステムの場合には、Cobalt Strike のような高度なポスト・エクスプロイト・ツールを実行するよう、このマルウェアはプログラムされている。

Cisco で発生した８月のデータ侵害：Lapsus$ ランサムウェア・グループとの関連性

Cisco Data Breach Attributed to Lapsus$ Ransomware Group

2022/09/13 DarkReading — Cisco のシステムへの侵入が確認されてから１カ月が経過したが、この攻撃は Lapsus$ グループによるランサムウェア攻撃であり、失敗したと、同社は報告している。このサイバー犯罪者は、ソーシャル・エンジニアリング攻撃で Cisco のシステムにアクセスし、従業員の Google パーソナル・アカウントを操作し、被害者のブラウザに保存されていた認証情報を盗み出した。

中規模リテール 422社の調査：2021年には 77% がランサムウェアの被害に遭った

Over Three-Quarters of Retailers Hit by Ransomware in 2021

2022/09/11 InfoSecurity — Sophos によると、世界の小売業の約 77％が、2021年にランサムウェアの被害に遭い、最も大きな被害を受けた業界にもなっている。セキュリティ・ベンダーである Sophos は、31カ国の中規模 (従業員数 100～5000人) である小売業者の回答者 422人を対象に、レポート The State of Ransomware in Retail 2022 を作成した。この数字は、2020年と比較して 75% という大幅な増加を示しており、全セクターの平均値よりも 11% 高く、小売業は２番目に大きな被害を受けた業界となった。

Cisco をハッキングした Yanluowang：Evil Corp や Conti との関連性が見えてきた

Infra Used in Cisco Hack Also Targeted Workforce Management Solution

2022/09/01 TheHackerNews — 2022年5月に Cisco を標的とした攻撃のインフラは、その１カ月前の 2022年4月にも、無名のワークフォース管理ソリューション保有企業に対して、侵害に採用されたが未遂に終わっていた。この調査結果を公表したサイバーセキュリティ企業 eSentire は、この侵入が、Evil Corp のアフィリエイトで UNC2165 (mx1r) と呼ばれる、犯罪行為者の仕業である可能性を指摘している。

Active Directory と Bumblebee：侵害後に BazarLoader／TrickBot／IcedID などをロード

Hackers Using Bumblebee Loader to Compromise Active Directory Services

2022/08/18 TheHackerNews — BazarLoader／TrickBot／IcedID といった脅威アクターたちが、ターゲットのネットワークを侵害する際に、マルウェアローダーとして Bumblebee を利用するケースが増大している。Cybereason の研究者である Meroujan Antonyan と Alon Laufer は、技術文書で、「Bumblebee のオペレーターたちは、集中的な偵察活動を行い、実行されたコマンドの出力をファイルへリダイレクトして抽出する」と述べている。

Cisco をハッキングした Yanluowang ランサムウェア：2.8GB のファイルを公開

Cisco hacked by Yanluowang ransomware gang, 2.8GB allegedly stolen

2022/08/10 BleepingComputer — 今日の Cisco の発表によると、5月下旬にランサムウェア・グループ Yanluowang が同社の企業ネットワークを侵害し、盗み出したファイルをオンラインに流出させると、恐喝されているようだ。この攻撃者は、侵害した従業員のアカウントにリンクされた、Boxフォルダから機密性のないデータのみを採取し、盗み出したと、同社は述べている。

Genesis は老舗ダークウェブ：サイバー犯罪者たちに洗練された情報とサービスを提供

Genesis IAB Market Brings Polish to the Dark Web

2022/08/08 DarkReading — アンダーグラウンドのサイバー犯罪経済における、イニシャル・アクセス・ブローカー (IAB initial access brokers) の役割の増大は、老舗の１つである Genesis Marketplace の進化に反映されており、時間の経過とともに洗練されてきたことが窺える。今週の Sophos のレポートでは、招待制として 2017年にスタートしたマーケット・プレイスを介して、認証情報やクッキーからデジタル指紋にいたるまで、他者のデータへの不正アクセスを脅威アクターに提供している、Genesis のビジネスが包括的に取り上げられている。

VMware Horizon Servers への Log4j 攻撃は衰えることなく継続している

Log4j Attacks Continue Unabated Against VMware Horizon Servers

2022/03/30 DarkReading — いつでも、どこでも、エンタープライズ・アプリへの安全なアクセスをリモート・ワーカーに提供するために、 VMware Horizon サーバーは数多くの組織に利用されている。しかし、2021年12月に公開された Apache Log4j のリモートコード実行の深刻な脆弱性により、VMware Horizon は攻撃者の人気のターゲットであり続けている。

今週のこと、Sophos の研究者たちは、2022年1月19日から現在に至るまで、脆弱な Horizon サーバーに対する攻撃の波が観測されていると発表した。攻撃の多くは、JavaX miner／Jin／z0Miner／XMRig 亜種などの、暗号通貨マイナーを展開しようとする脅威者の試みだった。しかし、他のいくつかの事例では、侵害したシステムで攻撃者たちが、永続的なアクセスを維持するためのバックドアをインストールするケースも確認されている。

アクセス・ブローカー Prophet Spider が Log4Shell 攻撃を増幅させる

IAB Prophet Spider Seizes Opportunity to Exploit Log4j Vulnerability

2022/02/02 SecurityBoulevard — イニシャル・アクセス・ブローカー (initial access broker：IAB) グループである Prophet Spider による攻撃は、最近になって発見された VMware Horizon での Log4j 脆弱性の悪用と相関関係があることが判明した。また、侵害の兆候を示すいくつかの指標は、自身の組織に対する攻撃の有無を、セキュリティ・チームが判断するのに役立つ。

Prophet Spider 攻撃を発見したBlackBerry Research & IntelligenceとIncident Response チームによると、昨年末に VMware は Log4Shell パッチと緩和のためのガイダンスを発行したが、多くの実装においてパッチが適用されていない。

ランサムウェアが好む企業：地域／規模／業種などを分析する

Ransomware gangs target companies using these criteria

2021/09/06 BleepingComputer — 最近のランサムウェア・ギャングは、ダークウェブのマーケット・プレイスや他の脅威アクターから、標的のネットワークへのアクセス権を購入するケースを増やしている。こうした取引を仲介する広告を分析することで、どのような企業をランサムウェアが攻撃対象としているのかを知ることができる。