IcedID マルウェアの蔓延:侵入から24時間以内に Active Directory ドメインを侵害

IcedID Malware Strikes Again: Active Directory Domain Compromised in Under 24 Hours

2023/01/12 TheHackerNews — 先日に発生した IcedID マルウェア攻撃では、イニシャル・アクセスから 24時間以内に、無名ターゲットの Active Directory ドメインが侵害されていたという。今週に発表されたレポートで Cybereason の研究者たちは、「この脅威アクターは攻撃の最中に、偵察コマンド操作/認証情報窃取/横方向への移動に加えて、侵入したホスト上での Cobalt Strike の実行という手順を踏んでいた」と述べている。IcedID (別名 BokBot) は、2017年にバンキング・トロイの木馬としてスタートした後に、他のマルウェアを支援するドロッパーへと進化し、Emotet/TrickBot/Qakbot/Bumblebee/Raspberry Robin などの仲間に加わった。

Continue reading “IcedID マルウェアの蔓延:侵入から24時間以内に Active Directory ドメインを侵害”

Zoom ユーザーを狙う IcedID マルウェア:精巧な偽 Web ページによるフィッシングに御用心

IcedID malware campaign targets Zoom users

2023/01/07 SecurityAffairs — 先日に Cyble の研究者たちは、人気のビデオ/オンライン会議プラットフォーム Zoom のユーザーをターゲットにして、IcedID マルウェアを配信するフィッシング・キャンペーンを発見した。IcedID バンキング型トロイの木馬は、2017年に初めて登場し、Gozi/Zeus/Dridex などのオンライン・バンキング・マルウェアと同様の機能を有している。

Continue reading “Zoom ユーザーを狙う IcedID マルウェア:精巧な偽 Web ページによるフィッシングに御用心”

Excel への再攻撃を狙う APT:新たな手口は XLL Add-in 侵入ベクター

APT Hackers Turn to Malicious Excel Add-ins as Initial Intrusion Vector

2022/12/28 TheHackerNews — インターネットからダウンロードされた Office ファイルの Visual Basic for Applications (VBA) マクロについて、Microsoft がデフォルトでのブロックを決定したことで、多くの脅威者が、この数カ月で攻撃方法を変更するようになった。Cisco Talos によると、APT (Advanced Persistent Threat) や各種のマルウェア・ファミリーは、イニシャルの侵入経路として Excel Add-in (.XLL) ファイルを使用する傾向を強めているとのことだ。

Continue reading “Excel への再攻撃を狙う APT:新たな手口は XLL Add-in 侵入ベクター”

Google 検索の広告を悪用:マルウェアを正規のソフトウェアに仕込んで配布

Hackers abuse Google Ads to spread malware in legit software

2022/12/28 BleepingComputer — Google Ads のプラットフォームを悪用するマルウェアのオペレーターが、人気のソフトウェア製品を検索している無防備なユーザーに対して、マルウェアをばらまくというケースが増加している。これらのキャンペーンにおいて、なりすましに利用されているのは、Grammarly/MSI Afterburner/Slack/Dashlane/Malwarebytes/Audacity/μTorrent/OBS/Ring/AnyDesk/Libre Office/Teamviewer/Thunderbird/Brave などの製品である。

Continue reading “Google 検索の広告を悪用:マルウェアを正規のソフトウェアに仕込んで配布”

Emotet の大規模マルスパム・キャンペーンを検出:IcedID や Bumblebee などをドロップ

Notorious Emotet Malware Returns With High-Volume Malspam Campaign

2022/11/21 TheHackerNews — Emotet マルウェアだが、IcedID や Bumblebee などのペイロードをドロップするためにデザインされた、大規模なマルスパム・キャンペーンの一部として、再び勢いを増して戻ってきた。先週に Proofpoint は、「2022 年11月初旬から、1日あたり数十万通の電子メールが送信されている。この、新たなアクティビティは、Emotet が主要なマルウェア群の配信ネットワークとして機能し、完全に復活したことを示唆している」と述べている。標的となる主な国々としては、米国/英国/日本/ドイツ/イタリア/フランス/スペイン/メキシコ/ブラジルなどが挙げられている。

Continue reading “Emotet の大規模マルスパム・キャンペーンを検出:IcedID や Bumblebee などをドロップ”

Access-as-a-Service へと進化した Raspberry Robin:Clop ランサムウェアの展開を推進か?

Raspberry Robin Operators Selling Cybercriminals Access to Thousands of Endpoints

2022/10/28 TheHackerNews — Raspberry Robin ワームは Access-as-a-Service へと進化し、IcedID/Bumblebee/TrueBot (Silence)/Clop などの、他のペイロード展開に採用されつつある。Microsoft Security Threat Intelligence Center (MSTIC) は、「このマルウェアは、複雑で相互接続されたマルウェア・エコシステムの一部であり、従来からの USB ドライブ拡散を超えた、多様な感染方式を実現している」と詳述している。Raspberry Robin は、USB ドライブを介して Windows システムに拡散するマルウェアであり、感染させた QNAP ストレージ・サーバを Command and Control に使用することから、 サイバー・セキュリティ企業 Red Canary は QNAP Worm とも呼んでいる。

Continue reading “Access-as-a-Service へと進化した Raspberry Robin:Clop ランサムウェアの展開を推進か?”

Black Basta ランサムウェアの新戦術:Qakbot 経由でネットワークに侵入して Brute Ratel C4 を展開

Black Basta Ransomware Hackers Infiltrate Networks via Qakbot to Deploy Brute Ratel C4

2022/10/17 TheHackerNews — Black Basta ランサムウェア・ファミリーの背後にいる脅威アクターは、 Qakbotトロイの木馬を用いる最近の攻撃において、第2段階のペイロードとして Brute Ratel C4フレームワークを展開していることが確認された。Trend Micro は、先週に発表した技術分析で、最新の敵対的シミュレーション・ソフトウェア Brute Ratel C4 が、Qakbot 感染を通じて配信される初めてのケースだと述べている。この侵入は、兵器化された ZIP アーカイブ・リンクを含むフィッシング・メールを介して達成され、横方向への移動には Cobalt Strike が使用されている。

Continue reading “Black Basta ランサムウェアの新戦術:Qakbot 経由でネットワークに侵入して Brute Ratel C4 を展開”

IcedID マルウェア運用に変化:複数の配信経路により効果を測定している?

Hackers behind IcedID malware attacks diversify delivery tactics

2022/10/10 BleepingComputer — IcedID マルウェアによるフィッシング・キャンペーンの背後にいる脅威アクターは、さまざまなターゲットに対して、最も効果的な攻撃を仕掛けるために、多種多様な配布方法を利用していると思われる。2022年9月に、Team Cymru の研究者たちは、複数のキャンペーンを観測したが、いずれも微妙に異なる感染経路を辿っており、有効性を評価するための戦術が取られていると考えているようだ。

Continue reading “IcedID マルウェア運用に変化:複数の配信経路により効果を測定している?”

Google TAG 警告:Conti ランサムウェアの元メンバーがウクライナを攻撃している

Google says former Conti ransomware members now attack Ukraine

2022/09/07 BleepingComputer — Google によると、サイバー犯罪組織 Conti の元メンバーの一部が、現在 UAC-0098 として追跡されている脅威グループに参加し、ウクライナの組織やヨーロッパの非政府組織 (NGO) を標的にしているという。UAC-0098 は、イニシャル・アクセス・ブローカーであり、企業ネットワーク内の侵害済みシステムへの、バンキング型トロイの木馬 IcedID を用いるアクセスを、ランサムウェア・グループに提供することで知られている。

Continue reading “Google TAG 警告:Conti ランサムウェアの元メンバーがウクライナを攻撃している”

Active Directory と Bumblebee:侵害後に BazarLoader/TrickBot/IcedID などをロード

Hackers Using Bumblebee Loader to Compromise Active Directory Services

2022/08/18 TheHackerNews — BazarLoader/TrickBot/IcedID といった脅威アクターたちが、ターゲットのネットワークを侵害する際に、マルウェアローダーとして Bumblebee を利用するケースが増大している。Cybereason の研究者である Meroujan Antonyan と Alon Laufer は、技術文書で、「Bumblebee のオペレーターたちは、集中的な偵察活動を行い、実行されたコマンドの出力をファイルへリダイレクトして抽出する」と述べている。

Continue reading “Active Directory と Bumblebee:侵害後に BazarLoader/TrickBot/IcedID などをロード”

Microsoft の Office マクロ対策:ブロック後のハッカーたちの動向を統計値で見る

As Microsoft blocks Office macros, hackers find new attack vectors

2022/07/28 BleepingComputer — これまでのフィッシングでは、悪意の Office マクロを埋め込んだ添付ファイルでマルウェアを配布していたハッカーたちだが、Microsoft がデフォルトで Office マクロをブロックするようになってから戦術を変更し、ISO/RAR/LNK (Windows ショートカット) などの、新しいファイル・タイプへと添付ファイルを切り替えている。

Continue reading “Microsoft の Office マクロ対策:ブロック後のハッカーたちの動向を統計値で見る”

Windows の脆弱性 Follina CVE-2022-30190 を悪用する Rozena バックドアに注意!

Hackers Exploiting Follina Bug to Deploy Rozena Backdoor

2022/07/09 TheHackerNews — 新たに観測されたフィッシング・キャンペーンは、先日に公開された脆弱性 Follina (CVE-2022-30190) を悪用し、これまで文書化されていなかったバックドアを、Windows システム上に配布するものだった。今週に発表したレポートで、Fortinet FortiGuard Labs の 研究者である Cara Lin は、「Rozena は、攻撃者のマシンに戻ってリモートシェル接続を注入することが可能なバックドア・マルウェアだ」と述べている。

Continue reading “Windows の脆弱性 Follina CVE-2022-30190 を悪用する Rozena バックドアに注意!”

ランサムウェア 2021年の調査:勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第2版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう1人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

Continue reading “ランサムウェア 2021年の調査:勝ち続ける帝国のパワーを数々の指標が証明”

Bumblebee という新たなマルウェア:TrickBot/BazaLoader 系で最凶か?

Cybercriminals Using New Malware Loader ‘Bumblebee’ in the Wild

2022/04/28 TheHackerNews — これまでマルウェア・キャンペーンにおいて、サイバー犯罪者たちが BazaLoader と IcedID を配信してきたことは確認されているが、現在では Bumblebee という、活発に開発されている新しいローダーに移行したと言われている。エンタープライズ・セキュリティ企業である Proofpoint が The Hacker News と共有したレポートには、「Bumblebee が脅威の現場に現れたタイミングや、複数のサイバー犯罪グループにより使用されていることから、BazaLoader の直接の代替品ではないにしても、他のマルウェアを好んでいた脅威アクターたちが好んで使用する、新しい多機能ツールが登場したと思われる」と記されている。

Continue reading “Bumblebee という新たなマルウェア:TrickBot/BazaLoader 系で最凶か?”

Prometheus という Crimeware-as-a-Service (CaaS):フィッシングとリダイレクトを促進

Russian Hackers Heavily Using Malicious Traffic Direction System to Distribute Malware

2022/01/19 TheHackerNews — サブスクリプション・ベースの Crimeware-as-a-Service (CaaS) ソリューションと、クラックされた Cobalt Strike のコピーの連携が確立され、脅威アクターによる侵入後の活動を支えるツールとして提供されていると、研究者たちは疑っている。この種のサービスだと言われる Prometheus の存在は、サイバー・セキュリティ企業である Group-IB が、悪意のソフトウェア配布キャンペーンの詳細を開示した 2021年8月に明らかにされた。

Continue reading “Prometheus という Crimeware-as-a-Service (CaaS):フィッシングとリダイレクトを促進”

Microsoft Exchange を狙うリプライ・チェーン攻撃は止まらずに継続している

Microsoft Exchange servers hacked in internal reply-chain attacks

2021/11/20 BleepingComputer — ProxyShell や ProxyLogon を利用する脅威アクターたちが、Microsoft Exchange サーバーのハッキング/マルウェアの配布/社内の返信用電子メールの侵害/検知の回避などを継続している。悪意の電子メール・キャンペーンを行う場合、脅威アクターたちにとって最も難しいのは、ユーザーが送信者を十分に信頼するように仕向け、不正なリンクや不正プログラムを開くように仕向けることだ。

Continue reading “Microsoft Exchange を狙うリプライ・チェーン攻撃は止まらずに継続している”

Prometheus TDS という MaaS (Malware-as-a-Service) とトラフィック操作攻撃

A Wide Range of Cyber Attacks Leveraging Prometheus TDS Malware Service

2021/08/05 TheHackerNews — 複数のサイバー犯罪グループが、MaaS (Malware-as-a-Service) ソリューションを活用して、Campo Loader / Hancitor / IcedID / QBot / Buer Loader / SocGholish などのペイロードを展開する悪意のソフトウェア配布キャンペーンを、ベルギーの個人や米国の政府機関/企業/法人に対して実施している。この Prometheus というサービスは、2020年8月からアンダーグラウンドなプラットフォームで月額250ドルで販売されている。マルウェアが混入された Word や Excel のドキュメントを配布することで、ユーザーをフィッシング・サイトや悪意のサイトに誘導することを目的とした、TDS (Traffic Direction System) であることが、The Hacker News に共有された Group-IB の報告書で明らかになった。

Continue reading “Prometheus TDS という MaaS (Malware-as-a-Service) とトラフィック操作攻撃”