Info-Stealer – IoT OT Security News

Gmail セキュリティに関する Google の声明：誤報が生じた背景と認証情報窃取のリスク

Google Denies Claims of Gmail Security Breach Impacting Millions

2025/10/28 CyberSecurityNews — 膨大な数のユーザーに影響を与えるとされる、大規模な Gmail セキュリティ侵害に関する主張に対して、Google は断固として否定している。同社は、Gmail サービスは安全であり、広範な侵害の証拠は存在しないと強調している。この誤情報は、既存のデータ漏洩で流出した認証情報に関する誤解から生じたものとみられている。

Infostealers-as-a-Service の台頭：攻撃のスキルとコストを低減し成功率を劇的に高める

Infostealers-as-a-Service Push Identity Hacks to Record Highs

2025/07/08 hackread — ユーザーのログイン情報／個人情報を標的とするサイバー攻撃を 156% も急増させ、オフィス／リモート・ワーカーの双方に影響を及ぼす、高度なインフォスティーラー／フィッシング・ツールキットの台頭を、eSentire のサイバーセキュリティ研究者たちが指摘している。それらの攻撃者は、ログイン情報およびセッション・クッキーの窃取に注力しており、その先にある、Business Email Compromise (BEC) や暗号通貨窃盗といった金融犯罪につなげていると、eSentire のレポートは指摘している。

Apple／Facebook／Google などから 160億件もの認証情報が漏洩：大規模なキャンペーンが発覚

Massive 16 Billion Passwords From Apple, Facebook, Google and More Leaked From 320 Million Computers

2026/06/20 CyberSecurityNews — 新たなレポートが報告するのは、Apple／Facebook／Google／GitHub／Telegram、政府サービスなどの主要プラットフォームからの、160億件ものログイン認証情報の発見である。30種類のデータセットから発見された、この大規模な漏洩は前例のない脅威であり、世界的なサイバー・セキュリティとデジタル・プライバシーへの懸念が生じている。漏洩したデータセットのサイズは大きく異なるものであり、最小のものには 1600万件以上のレコードが、最大のものには35億件以上の認証情報が含まれている。

Skitnet という多段型インフォ・スティーラーに注意：ステルス性を備え Black Basta ランサムウェアなどを配信

Ransomware Gangs Use Skitnet Malware for Stealthy Data Theft and Remote Access

2025/05/19 TheHackerNews — Skitnetと呼ばれるマルウェアを、ポスト・エクスプロイトで使用する複数のランサムウェア・グループが、機密データを窃取し、侵害したホストをリモート制御しようとしている。スイスのサイバー・セキュリティ企業 PRODAFT は、「Skitnet は、RAMP などのアンダーグラウンド・フォーラムで、2024年4月から販売されている。さらに、2025年の初頭以降においては、複数のランサムウェア攻撃者が、実際の攻撃で Skitnet を使用しているのを確認している」と、The Hacker News に述べている。

SendGrid の大規模データ侵害：848,000件の顧客データの窃取と販売を Satanic が主張

Hacker Claims Twilio’s SendGrid Data Breach, Selling 848,000 Records

2025/04/03 HackRead — Twilio 傘下のクラウド型メール配信プラットフォームである SendGrid で発生した大規模な情報漏えいについて、Satanic と名乗るハッカーが、自身の犯行だと主張している。サイバー犯罪者の人気プラットフォーム Breach Forums に、2025年4月3日に投稿された内容によると、Satanic は盗み出したとするデータを $2,000 で提供しており、その主張の裏付けとして、サンプル・データも公開している。

武器化された CAPTCHA に御用心：PowerShell の実行とマルウェアのデプロイ

Attackers Leverage Weaponized CAPTCHAs to Execute PowerShell and Deploy Malware

2025/03/21 gbhackers — 近ごろの高度なサイバー攻撃の急増の背景にあるのは、偽の CAPTCHA チャレンジを悪用してユーザーを騙す、脅威アクターたちの存在である。それにより、悪質な PowerShell コマンドを実行させ、マルウェア感染を引き起こしているという。HP Wolf Security Threat Insights Report for March 2025 が強調する、この戦術は、悪質な Web サイトへと潜在的な被害者を誘導し、検証手順を完了するように促すものである。

2024年に盗まれたパスワードは 10億個：Redline／Vidar／Raccoon が悪意の Top-3

Redline, Vidar and Raccoon Malware Stole 1 Billion Passwords in 2024

2025/01/21 HackRead — Specops のサイバー・セキュリティ研究者たちが、パスワードに関連する重大な問題について警鐘を鳴らしている。2025年1月21日 (火) に公開された、Specops Software の “2025 Specops Breached Password Report” によると、この１年間で、10億を超えるパスワードが、マルウェアにより盗まれたという。また、盗まれたパスワードのうちの数百万件は、標準的な複雑さの要件を満たしていたとのことだ。

Chrome Extension の危機：16種類の拡張機能をハックするキャンペーンが発覚

16 Chrome Extensions Hacked, Exposing Over 600,000 Users to Data Theft

2024/12/29 TheHackerNews — Chrome ブラウザのエクステンションを標的にする、新たな攻撃キャンペーンが発見された。この攻撃では、少なくとも 16 個のエクステンションが侵害され、60万人以上のユーザーが、データ漏洩や認証情報窃取の危険に直面する状況となっている。この攻撃は、Chrome Web Store のブラウザ・エクステンションの発行者を、フィッシング・キャンペーンの標的として侵害し、そのアクセス権限を悪用することで正規のエクステンションに悪意のコードを挿入し、ユーザーのクッキーやアクセス・トークンを盗み出すものだ。最初に被害を受けたエクステンション発行者は、サイバー・セキュリティ企業 Cyberhaven である。

Lumma インフォ・スティーラーの 400% 増が示す栄華盛衰：ESET Threat-Report-2024-h2

Infostealers Dominate as Lumma Stealer Detections Soar by Almost 400%

2024/12/26 InfoSecurity — サイバーセキュリティ企業 ESET によると、Lumma Stealer インフォ・スティーラーはサイバー犯罪者の間で人気を博しており、2024年後半にテレメトリでの検出数が 369% も急増したようだ。Lumma Stealer の登場は 2022年だが、2024 年の後半には、ESET が検出するインフォ・スティーラーの Top-10 のリストに入るようになった。

PyPI の悪意のパッケージ：キーストロークを盗みソーシャル・アカウントをハイジャック

Researchers Uncover PyPI Packages Stealing Keystrokes and Hijacking Social Accounts

2024/12/24 TheHackerNews — Python Package Index (PyPI) リポジトリにアップロードされた２つの悪意のパッケージが、侵害したホストから機密情報を盗み出していると、Fortinet FortiGuard Labs がフラグ付けしていることが発表された。

Silent Skimmer の復活：支払決済組織をターゲットにする持続性の高い手口とは？

Silent Skimmer Reemerges: New Tactics Target Payment Gateways

2024/11/10 SecurityOnline — Unit 42 の研究者が検出したのは、悪名高い金銭目的の脅威アクター Silent Skimmer による、新たな活動の足跡である。このサイバー犯罪者グループは、2023年に初めて特定されたが、その後は影に隠れたように見えた。しかし 2024年5月に、多国籍組織の決済インフラに対する、北米を拠点とする標的型攻撃で再浮上し、侵害したサーバから決済データを収集するという、新たな手法が明らかにされた。

Cortex XDR を回避する脅威アクター：痛恨のミスにより暴露されたツールキットと戦略

EDRsandblast Exploited: How Attackers are Weaponizing Open-Source Code

2024/11/03 SecurityOnline — Unit 42 の研究者たちが発見したのは、最近に発生した EDR (endpoint detection and response) 回避において、脅威アクターたちが使用していた、新たなツール・キットの存在である。この調査では、EDR 防御を回避するために攻撃者が用いた、戦術が明らかになっただけではなく、攻撃を背後で操る１人の脅威アクターの、身元に関する重大な発見にもつながった。

Meta の広告を巧みに悪用：SYS01 Infostealer キャンペーンが世界に広がっている

SYS01 Infostealer Campaign Exploits Meta Ads to Target Millions Worldwide

2024/11/02 SecurityOnline — オンライン広告への依存度が高まっている世界において、サイバー犯罪者たちは Meta の広大な広告エコシステムを悪用する機会を手にしている。そのような状況の中で、Bitdefender Labs が公表したレポートは、”SYS01 Infostealer” キャンペーンの詳細を記し、警告を発するものとなっている。このキャンペーンは、侵害した Facebook Business アカウントを悪用して、世界中のプラットフォームへ向けて、悪意の広告を配信する高度なマルバタイジング攻撃である。

Chrome の App-Bound Encryption がクラックされた：OSS のツールが GitHub で提供

Chrome’s App-Bound Encryption Cracked: Open-Source Tool Bypasses Security Measure

2024/10/27 SecurityOnline — Chrome の App-Bound Encryption で保護されたキーの復号を、新しくリリースされたオープンソース・ツールが成功させたことで、このセキュリティ機能の長期的な有効性について懸念が高まっている。Google Chrome のバージョン 127 で導入された App-Bound Encryption (ABE) は、復号機能を特定のアプリケーションにリンクすることで、ユーザーのセキュリティを強化することを目的としている。それにより、Cookie／パスワード／支払い情報などの機密データへの、悪意のプログラムによるアクセスを防止している。

FortiManager のゼロデイ脆弱性 CVE-2024-47575：未知の脅威グループ UNC5820 が悪用

New Threat Group UNC5820 Targets FortiManager Zero-Day CVE-2024-47575 in Global Cyberattack

2024/10/24 SecurityOnline — 10月24日に Mandiant が公開したレポートは、FortiManager アプライアンスのゼロデイ脆弱性 CVE-2024-47575 を悪用する攻撃が、複数の業界に及んでいることを警告するものだ。この脆弱性の悪用に成功した攻撃者は、欠陥のある FortiManager デバイス上で任意のコード／コマンドの実行を達成し、深刻なセキュリティ・リスクを引き起こす可能性を手にする。

Lumma Stealer マルウェア：偽の CAPTCHA ページを使用してペイロードを実行

Fake CAPTCHA Pages Used by Lumma Stealer to Spread Fileless Malware

2024/10/22 HackRead — Qualys TRU (Threat Research Unit) が公表したのは、MaaS (Malware-as-a-Service) モデルとして提供されるマルウェア Lumma Stealer が、ユーザーを欺くための手口を大幅に進化させていることだ。Qualys が HackRead に共有した調査結果は、偽の CAPTCHA ページを使用してユーザーを騙して永続的なペイロードを実行させる、アクティブな Lumma Stealer キャンペーンに関するものだ。この攻撃は、複数のステップで構成され、ファイルレス技術を用いる、巧妙かつ持続的なものとなっている。

IntelBroker によるデータ窃取の主張：Cisco の DevHub ポータルがオフラインに

Cisco takes DevHub portal offline after hacker publishes stolen data

2024/10/18 BleepingComputer — Cisco の発表は、DevHub ポータルのオフラインに関するものであり、同社の “非公開” のデータを脅威アクターが流出させたという報告を受けてのものである。しかし Cisco は、自社のシステムが侵害された証拠はないと主張している。Cisco のインシデント・レポートには、「問題のデータは、パブリックな DevHub 環境に存在するものであると判明した。DevHub とは、Cisco のリソース・センターであり、必要に応じてソフトウェア・コードやスクリプトなどを利用できるようにし、コミュニティをサポートするものだ」と記されている。

npm へ攻撃：難読化された悪意のパッケージを展開する北朝鮮の脅威グループ

North Korean Hackers Launch New Wave of npm Package Attacks

2024/08/29 InfoSecurity — 北朝鮮に関連する脅威グループが関与する悪意のアクティビティが、最近になって急増していることがサイバー・セキュリティ研究者によって特定された。それにより明らかになったのは、npm エコシステムを標的とする組織的なキャンペーンの存在である。この、2024年8月12日に始まったキャンペーンは、開発者たちの環境に侵入して、機密データを盗むように設計された悪意の npm パッケージを公開するものである。

Magento コマース・サイトへのスキマー注入：データ入力の瞬間にデータを傍受する手口とは？

Cyberattack on Magento: Hackers Inject Skimmer, Card Data Stolen

2024/08/25 SecurityOnline — 最近のことだが、Magento プラットフォームを利用する、多数のオンライン・ストアに対するサイバー攻撃が発生している。この攻撃では、サイトにスキマーが挿入され、カード番号／有効期限／CVV/CVC コードといった、顧客の支払いカード・データが盗まれている。それを受けて、Malwarebytes の専門家たちが、ハッカーによる情報窃取の方法について詳述している。

Qilin ランサムウェアの不可思議な行動：攻撃前に Google Chrome の認証情報を盗み出す

Qilin ransomware steals credentials stored in Google Chrome

2024/08/23 SecurityAffairs — Qilin ランサムウェアによる攻撃を、Sophos の研究者たちが調査した。この攻撃では、侵害した少数のエンドポイントの Google Chrome ブラウザから、ランサムウェアのオペレーターが認証情報を盗み出している。認証情報の収集活動については、通常のランサムウェア感染とは無関係であると、専門家たちは指摘している。

“.env”ファイルを悪用したクラウド・ストレージへの侵入：身代金が請求されるケースも – Unit42

Hide yo environment files! Or risk getting your cloud-stored data stolen and held for ransom

2024/08/15 HelpNetSecurity — 組織のクラウドストレージ・コンテナに侵入する、サイバー犯罪者たちが、機密データを流出させている。そのうちの、いくつかのケースでは、盗み出したデータを公開／売却を引き換えに、被害組織から身代金が支払われている。Palo Alto Networks Unit42 のレポートには、「このキャンペーンの背後にいる攻撃者は、おそらく大規模な自動化技術を活用し、迅速なオペレーションによる成功を得ている」と記されている。

Google Authenticator の偽広告に御用心：マルウェアを拡散する悪質なキャンペーンが発覚

Fake Google Authenticator Ads Spread Malware Through Google Search

2024/07/30 SecurityOnline — Google を装う脅威アクターたちが、Google Authenticator の偽広告を通じてマルウェアを拡散するという悪質なキャンペーンを、Malwarebytes Labs のサイバー・セキュリティ研究者が発見した。

Microsoft SmartScreen の脆弱性 CVE-2024-21412：マルウェア拡散に悪用されている

Hackers Exploit Microsoft Defender Smartscreen Bug CVE-2024-21412 To Deliver Acr, Lumma, And Meduza Stealers

2024/07/25 SecurityAffairs — 脆弱性 CVE-2024-21412 (CVSS：8.1) を悪用して、ACR Stealer／Lumma／Meduza などの情報スティーラーを拡散するマルウェア・キャンペーンが、Fortinet FortiGuard Labs の研究者たちにより発見された。悪用が観測された CVE-2024-21412 は、Microsoft Windows SmartScreen に存在する脆弱性であり、インターネット・ショートカット・ファイルのセキュリティ機能バイパスの欠陥だとされる。

GitHub 上の 3,000以上の偽アカウントで構成される DaaS：マルウェア配布で成功している

Over 3,000 GitHub accounts used by malware distribution service

2024/07/24 BleepingComputer — Stargazer Goblin として知られる脅威アクターが作成したのは、GitHub 上の 3,000以上の偽アカウントで構成される Distribution-as-a-Service (DaaS) であり、そこから情報スティーラー・マルウェアをプッシュしているという。このマルウェア配信サービスは Stargazers Ghost Network と呼ばれ、GitHub リポジトリと侵害済みの WordPress サイトを利用して、パスワード保護されたアーカイブを配布するが、その中にマルウェアが含まれている。ほとんどのケースにおいて、そこから配布されるマルウェアは、RedLine／Lumma Stealer／Rhadamanthys／RisePro／Atlantida Stealer などのインフォ・スティーラーである。

Microsoft MHTMLの脆弱性 CVE-2024-38112：Void Banshee APT が Atlantida スティーラーの配布に悪用

Void Banshee APT Exploits Microsoft MHTML Flaw to Spread Atlantida Stealer

2024/07/16 TheHackerNews — Void Banshee という APT グループが、最近に公開された Microsoft の MHTML ブラウザ・エンジンのゼロデイ脆弱性 CVE-2024-38112 を悪用し、Atlantida 情報窃取ツールを配信していることが確認された。この活動を 2024年5月中旬に観測したサイバーセキュリティ企業 Trend Micro によると、この脆弱性は、特別に細工されたインターネット・ショートカット (URL) ファイルを使用する、多段階攻撃チェーンの一部として使用されていたという。

DarkGate マルウェア：Samba と Excel を介して配布されている – Unit 42

Dark Gate Malware Campaign Uses Samba File Shares

2024/07/15 SecurityAffairs — 2024年3月〜4月に展開された、DarkGate マルウェア・キャンペーンに関するレポートを、Palo Alto Networks Unit 42 の研究者たちが公開した。このキャンペーンで用いられた手法は、公開されている SMB ファイル共有から、Microsoft Excel ファイルを介して、悪意のソフトウェア・パッケージをダウンロードさせるというものだった。Unit 42 の研究者たちによると、脅威アクターはマルウェアを配布するために、正規のツールやサービスを巧妙に悪用していたという。

Microsoft SmartScreen の脆弱性 CVE-2024-21412：情報窃取マルウェアの展開に悪用されている

Cybercriminals Escalate Attacks Exploiting Microsoft SmartScreen Flaw (CVE-2024-21412)

2024/07/07 SecurityOnline — Microsoft Defender SmartScreen の脆弱性 CVE-2024-21412 を悪用するサイバー攻撃が急増していることが、Cyble Research and Intelligence Labs (CRIL) が公開したレポートにより明らかになった。この脆弱性に対しては、すでにパッチが適用されているが、以前にも DarkGate や Water Hydra などの脅威グループのキャンペーンで悪用されていた。しかし、現在では、Lumma や MeduzaStealer といった情報窃取マルウェアを展開する、サイバー犯罪者たちにより広く悪用されている。

シンガポールの個人情報とダークウェブ：アンダーグラウンド取引が前年比で 230% 増 – Resecurity

Dark Web Sees 230% Rise in Singapore Identity Theft

2024/06/25 InfoSecurity — シンガポール国民から盗んだ個人情報を流通させる、ダークウェブ活動が大幅に増加していることを明らかになった。6月24日に Resecurity が公開したアドバイザリによると、サイバー犯罪者たちが販売している一連の盗難データが、詐欺／ID 窃盗／なりすまし詐欺／Know Your Customer (KYC) プロトコル回避などに悪用されるという。同社による指摘は、シンガポールのユーザーから盗み出した ID データを販売するアンダーグラウンド業者が、前年比で 230％増加しているというものだ。この急増と、データ侵害の増加は連動しており、消費者情報を保存する各種のオンライン・プラットフォームを危険にさらしている。

Truist Bank から盗まれたデータが $1 M で販売されている：Snowflake との関連性は？

Truist Bank confirms breach after stolen data shows up on hacking forum

2024/06/13 BleepingComputer — 米国の大手商業銀行 Truist が認めたのは、2023年10月のサイバー攻撃で同社のシステムが侵害されたことだ。その後に、ハッキング・フォーラムで脅威アクターが、同社のデータの一部を売りに出している。ノースカロライナ州シャーロットに本社を置く Truist Bank は、2019年12月の SunTrust Banks と BB&T (Branch Banking and Trust Company ) の合併により誕生している。

PyPI に新たな悪意のパッケージ：Crytic-Compiler を装い Lumma スティーラーを配布

Hackers Target Python Developers with Fake “Crytic-Compilers” Package on PyPI

2024/06/06 TheHackerNews — Lumma (別名：ummaC2) 情報スティーラーを配信するように設計された悪意の Python パッケージが、Python Package Index (PyPI) リポジトリにアップロードされたことを、サイバー・セキュリティ研究者たちが発見した。このパッケージは、crytic-compile という正規ライブラリのタイポスクワット版であり、PyPI のメンテナにより削除されるまでに、441回もダウンロードされている。

Snowflake のデータ侵害：Santander／Ticketmaster の侵害と関連している？

Snowflake account hacks linked to Santander, Ticketmaster breaches

2024/05/31 BleepingComputer — 最近に発生した Santander と Ticketmaster への侵害を主張する攻撃者は、クラウド・ストレージ企業 Snowflake の従業員のアカウントをハッキングし、データを盗んだと述べている。しかし Snowflake は、この情報漏洩について、顧客アカウントの安全性が不十分だったことに原因があると主張している。Snowflake クラウド・データ・プラットフォームは、世界の大企業を含む 9,437社の顧客に利用されている。その中には、Adobe／AT&T／Capital One／Doordash／HP／Instacart／JetBlue／Kraft Heinz／Mastercard／Micron／NBC Universal／Nielsen／Novartis／Okta／PepsiCo／Siemens／US Foods／Western Union／Yamaha などが名を連ねている。

Ebury ボットネットの脅威：14年をかけて 40万台の Linux サーバを侵害

Ebury Botnet Malware Compromises 400,000 Linux Servers Over Past 14 Years

2024/05/15 TheHackerNews — Eburyと呼ばれるボットネット・マルウェアは、2009年以降において 40万台の Linux サーバを危険にさらしており、そのうち10万台以上が、2023年の時点でも危険な状況にあると推定されている。この調査結果は、スロバキアのサイバーセキュリティ企業 ESET によるものである。同社は、このマルウェアについて、金銭的な利益を目的とした最も高度なサーバ・サイド・マルウェア・キャンペーンの１つだとしている。

“gitgub” というマルウェア・キャンペーン：GitHub ユーザーにRisePro インフォ・スティーラーを配布

“Gitgub” Malware Campaign Targets Github Users With Risepro Info-Stealer

2024/03/17 SecurityAffairs — RisePro インフォ・スティーラーを配信するように設計され、クラック済みのソフトウェアをホストする、少なくとも 13 の GitHub リポジトリを、G-Data の研究者たちが発見した。専門家たちが気づいたのは、このキャンペーンの運営者が、”gitgub” という名称を用いていたことだ。悪意の GitHub リポジトリに関する Arstechnica の情報を得て、研究者たちは調査を開始した。彼らは、このキャンペーンに関与しているリポジトリを特定するために、脅威ハンティング・ツールを作成した。その結果として判明したのは、すべてのリポジトリが同じダウンロード・リンクにつながるという、新たに作成されたリポジトリの存在である。

Ivanti の SSRF 脆弱性 CVE-2024-21893：新たな DSLog バックドアの展開に悪用される

Hackers exploit Ivanti SSRF flaw to deploy new DSLog backdoor

2024/02/12 BleepingComputer — Ivanti Connect Secure／Policy Secure／ZTA Gateway の SSRF (Server-Side Request Forgery) 脆弱性の悪用に成功した攻撃者が、脆弱なデバイス上に新しい DSLog バックドアを展開していることが分かった。この脆弱性 CVE-2024-21893 は、2024年1月31日にアクティブに悪用されるゼロデイとして公開されたものであり、Ivanti からはセキュリティ・アップデートと緩和策が共有されている。

MaaS 感染が最大の脅威：2023年下半期のサイバー攻撃 – Darktrace 調査

Malware-as-a-Service Now the Top Threat to Organizations

2024/02/06 InfoSecurity — Darktrace の最新の研究によると、2023年下半期に、組織にとっての最大の脅威となったのは、MaaS (Malware-as-a-Service) 感染だったという。Darktrace の 2023 年の “End of Year Threat Report” では、多くのマルウェアが機能横断的に適応していることが強調されている。そこに含まれるものには、リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojans) のようなマルウェア・ローダーと、情報窃取型マルウェアとの組み合わせも存在する。

Mispadu Stealer の亜種：Microsoft SmartScreen の CVE-2023-36025 を悪用

New variant of Mispadu Stealer is Exploiting CVE-2023-36025 Vulnerability

2024/02/04 SecurityOnline — 悪名高い Mispadu Stealer インフォ・スティーラーは、2019年以降のラテンアメリカ (LATAM) において、主にスペイン語／ポルトガル語圏の被害者を標的としている。最近になって Unit 42 の研究者たちが、Mispadu Stealer の現状／進化に関連する重要な情報を取得し、このマルウェアが悪用する SmartScreen の脆弱性に注目している。

PyPI に新たな悪意のパッケージ： Windows デバイス上に WhiteSnake マルウェアを展開

Malicious PyPI Packages Slip WhiteSnake InfoStealer Malware onto Windows Machines

2024/01/29 TheHackerNews — Python Package Index (PyPI) レポジトリ上で発見されたのは、WhiteSnake Stealer という情報窃取型マルウェアを、Windows システム上に配布する悪意のパッケージである。それらのマルウェアが埋め込まれたパッケージの名前は、nigpal／figflix／terer／seGMM／fbdebug／sGMM／myGens／NewGends／TestLibs111 である。そして、これらのパッケージをアップロードしているのは “WS “という脅威アクターだと、サイバーセキュリティ研究者たちは述べている。

Phemedrone スティーラー：Windows の脆弱性 CVE-2023-36025 を悪用している

Phemedrone Stealer: Exploiting CVE-2023-36025 for Defense Evasion

2024/01/14 SecurityOnline — 先日の Trend Micro のサイバー・セキュリティ研究者たちの発見により、サイバー脅威の世界における懸念すべき展開が明らかになった。脆弱性 CVE-2023-36025 の積極的な悪用が確認され、Phemedrone Stealer として呼ばれる未知のマルウェアの亜種が増殖していることが判明したのだ。

PyPI に潜む Blank Grabber マルウェア：Python 開発者たちを狙い続ける

“Blank Grabber” Malware in PyPI: A Silent Threat to Python Developers

2024/01/14 SecurityOnline — Python Package Index (PyPI) は、開発者のコーディング効率を向上させるための、膨大なパッケージ・ライブラリとして認識されている。しかし、この革新的なレポジトリに潜んでいる Blank Grabber マルウェアが、新たなサイバー・セキュリティの脅威となっている。

Meduza Stealer の新バージョン：106種類のブラウザと 107 種類の暗号通貨ウォレットに対応

New Version Of Meduza Stealer Released In Dark Web

023/12/29 SecurityAffairs — クリスマス・イブの夜に Resecurity の HUNTER 部隊は、透視型パスワード・スティーラーである Meduza の作者が、新バージョン 2.2 をリリースしたことを発見した。重要かつ主要な変更点には、より多くのソフトウェア・クライアント (ブラウザ／ウォレット・ベース) のサポートに加えて、アップグレードされたクレジットカード (CC) グラバーがある。そして、各種プラットフォーム上でパスワード・ストレージ・ダンプし、認証情報とトークンを抽出するための高度なメカニズムである。これら機能を総合する Meduza は、サイバー犯罪者による ATO (account takeover)／オンライン・バンキング情報窃取／金融詐欺において、Azorult／Redline／Racoon／Vidar Stealer の強力なライバルになるだろう。

OAuth エンドポイント MultiLogin：Google 認証クッキー復元の PoC もリリース

Malware abuses Google OAuth endpoint to ‘revive’ cookies, hijack accounts

2023/12/29 BleepingComputer — 複数の情報窃取型マルウェア・ファミリーが、情報が文書化されていない MultiLogin という、Google OAuth エンドポイントを悪用していることが判明した。このエンドポイントを悪用することで、たとえアカウントのパスワードがリセットされた後でも、期限切れの認証クッキーを復元して、ユーザーのアカウントにログインすることが可能になる。セッション・クッキーとは、認証情報を含む特殊なブラウザ・クッキーであり、認証情報を入力することなく、Web サイトやサービスに自動的にログインできるようにするものだ。この種のクッキーは有効期間が限られているため、脅威アクターがクッキーを盗んだとしても、アカウントへのログインのために無期限に使用することはできないのが通常である。

インフォ・スティーラーが台頭した 2023年：一般的なマルウェアとの違いは？

Info Stealers And How To Protect Against Them

2023/12/18 SecurityAffairs — インフォ・スティーラーとは、その名の通り、その他のマルウェアと同様に企業や個人のユーザーを麻痺させる可能性があるものだ。この種のマルウェアを、どのように防御すればよいのだろうか。インフォ・スティーラーは、情報窃盗とも呼ばれ、被害者のコンピュータやネットワークから機密情報や個人情報を密かに収集するように設計された、悪意のマルウェアの一種である。それらのマルウェアは、ログイン情報／財務情報／個人情報などの貴重なデータを盗むことを目的として作成されている。

RedLine マルウェアと ScrubCrypt 難読化ツール：脅威アクターたちの最新テクニックを解析

RedLine Stealer Malware Deployed Via ScrubCrypt Evasion Tool

2023/11/30 InfoSecurity — RedLine Stealer マルウェアによりユーザー組織を標的にするために、ScrubCrypt という難読化ツールの新バージョンが使用されていると、詐欺センサー・ネットワークの Human Security が警告している。Human の Satori Threat Intelligence Team は、ダークウェブで販売されている ScrubCrypt の新たなビルドを発見した。そして、RedLine Stealer によるアカウント乗っ取りや詐欺において、このビルドの利用が確認されたと述べている。

Booking.com を介したソーシャル・エンジニアリング：巧妙なキルチェーンを解説

Booking.com Customers Scammed in Novel Social Engineering Campaign

2023/11/30 InfoSecurity — Secureworks の新しい調査によると、Booking.com の顧客が斬新なソーシャル・エンジニアリング・キャンペーンの標的となり、サイバー犯罪者にとって大きな利益をもたらしているという。研究者たちによると、このキャンペーンは遅くとも１年前から行われているようだ。最初に、Vidar infostealer を介して、パートナー・ホテルの Booking.com 認証情報にアクセスする。続いて、この情報を悪用して Booking.com の顧客にフィッシング・メールを送り、支払い情報を渡すように騙して、金銭を盗み出すというインシデントが多発している。

Mac ユーザーを狙う偽のブラウザ・アップデート：Atomic Stealer というマルウェアが配布される

Atomic Stealer malware strikes macOS via fake browser updates

2023/11/25 BleepingComputer — ClearFake という名の偽ブラウザ・アップデート・キャンペーンが macOS にも拡大し、Atomic Stealer (AMOS) マルウェアによる、Apple コンピュータの標的化が進んでいるという。2023年7月に始まった、Windows ユーザーを標的とする ClearFake キャンペーンは、JavaScript インジェクションを介して侵害したサイト上に、偽の Chrome アップデート・プロンプトを表示するものだ。

Hunters International というランサムウェア集団：Hive のソースコードとインフラを再利用

New Ransomware Group Emerges with Hive’s Source Code and Infrastructure

2023/11/13 TheHackerNews — Hunters International という新たなランサムウェアを操る脅威アクターが、すでに解体された Hive オペレーションからソースコードとインフラを入手して、独自の脅威活動を開始した。Bitdefender の Technical Solutions Director である Martin Zugec は、先週に発表したレポートの中で、「Hive の活動が停止した後に、そのリーダーは、残された資産を別のグループ Hunters International に譲渡するという、戦略的決定を下したようだ」と述べている。

BunnyLoader は最強の Malware-as-a-Service：信じられないスピードで機能を強化している

New BunnyLoader threat emerges as a feature-rich malware-as-a-service

2023/10/02 BleepingComputer —

セキュリティ研究者たちがハッカー・フォーラムで発見した新しい MaaS (Malware-as-a-Service) は、システム・クリップボードの内容を盗んで置き換えることができるファイルレス・ローダーであり、BunnyLoader と名付けられている。このマルウェアの開発は急速に進んでおり、新機能の追加やバグ修正が行われたアップデート版が提供されている。現時点で提供されている機能としては、ペイロードのダウンロードと実行／キーログの収集／機密データと暗号通貨の窃取／リモートコマンド実行などがある。

Raccoon Stealer が復活：使い勝手と検出回避の能力を高めているようだ

Raccoon Stealer malware returns with new stealthier version

2023/08/15 BleepingComputer — 情報スティーラー・マルウェア Raccoon Stealer の開発者は、そのマルウェアの新バージョン 2.3.0 をサイバー犯罪者たちに宣伝するために、６ヶ月間の休暇を終えてハッカーフォーラムに復帰した。Raccoon は、最も有名かつ広範に利用されている情報スティーラー・マルウェアの１つであり、2019年から存在し、月額 $200 のサブスクリプションを通じて脅威アクターたちに販売されている。

Rilide という最凶の Chrome エクステンション：PowerPoint ファイルなどがルアー

Chrome malware Rilide targets enterprise users via PowerPoint guides

2023/08/03 BleepingComputer — Rilide Stealer という悪意の Chrome エクステンションが、暗号ユーザーや企業従業員を標的とした新たなキャンペーンにおいて、認証情報や暗号ウォレットの窃取に使用されている。Rilide は、Chrome／Edge／Brave／Opera などの Chromium ベースのブラウザ用の悪意のブラウザ・エクステンションであり、Trustwave SpiderLabs が 2023年4月に発見したものだ。Rilide は正規の Google Drive エクステンションを装いブラウザをハイジャックし、すべてのユーザー活動を監視し、メール・アカウントの認証情報や暗号通貨資産などの情報を盗み出すという。

Facebook のビジネス・アカウントが標的：新種の情報スティーラー NodeStealer 2.0 とは？

New Infostealer Uncovered in Phishing Scam Targeting Facebook Business Accounts

2023/08/01 InfoSecurity — Facebook のビジネス・アカウントを乗っ取るために、新種の情報スティーラーを用いるフィッシング・キャンペーンが、Unit 42 の研究者たちにより発見された。この、ベトナムの脅威アクターによると思われる、過去１年間にわたるキャンペーンは、広告詐欺などを目的として Facebook ビジネス・アカウントを標的とする、攻撃者が増加しているトレンドの一部とされている。ベトナムとの関連性については、Python スクリプトの文字列の多くがベトナム語で書かれているなどの、いくつかの要因に基づいて判断されている。