Initial Access Brokers – IoT OT Security News

APAC のデータセンターが標的：新たなサイバー攻撃の証拠が発見された

Resecurity warns about cyber-attacks on data center service providers

2023/02/21 SecurityAffairs — カリフォルニアに拠点を置くサイバー・セキュリティ企業の Resecurity は、複数のデータセンターに対して、それらの組織と顧客を標的としたサイバー攻撃に関する警告を。 2021年9月から発してきたことを公表した。同社は最新のレポートで、通知の対象とされた組織は、サプライチェーンの重要な部分として機能しており、国家支援 APT／犯罪者／サイバー・スパイグループなどの格好のターゲットだと述べている。この、Resecurity による通知の詳細は、さらなる分析とリスク軽減のために、影響を受けた当事者および、中国／シンガポール政府の緊急対応チームと共有された。さらに、2022年と 2023年1月にアップデートされた同通知は、発見されたデータセットに Fortune 500 の大企業が多数存在していたことから、米国の法執行機関とも共有された。

Initial Access Broker の活動量が１年で倍増：Group-IB の IAB 調査

Initial Access Broker Activity Doubles in a Year

2023/01/17 InfoSecurity — セキュリティ研究者たちが明らかにしたのは、IAB (Initial Access Broker) がダークウェブ上で企業アクセスを販売したケースが、2022年と2021年の比較において２倍に増加し、また、ブローカーの数も急増したことである。Group-IB が発見した IAB の販売活動は、2021年7月〜2022年6月の間に 2348件を数え、その被害に遭った被害組織の所在国数も、41％増の 96ヶ国になったという。最も標的になったのは米国企業であり、分野別では製造業 (5.8％) ／金融サービス (5.1％) ／不動産 (4.6％) ／教育 (4.2％) が上位を占めている。

ドイツ銀行へのアクセスを IAB が販売：多数の引き合いがあると主張

An initial access broker claims to have hacked Deutsche Bank

2022/11/11 SecurityAffairs — 脅威アクター (0x_dump) は、多国籍投資銀行であるドイツ銀行をハッキングしたと主張し、そのネットワークへのアクセス権をオンラインで販売している。この IAB (Initial Access Broker) は、銀行ネットワークの約21000台のマシンにアクセス可能だと主張しており、その大半は Windows システムだとされる。また、侵害されたマシンは、Symantec EDR ソリューションで保護されていたと主張している。

KELA のダークウェブ調査：2022 Q3 の IAB 市場規模は $4M で対象は 576社

Hackers selling access to 576 corporate networks for $4 million

2022/10/31 BleepingComputer — 世界の 576社の企業ネットワークへのアクセス権を販売する、ハッカーたちのビジネスの累計額が $4,000,000 に達しており、企業への攻撃に拍車が掛かることが、新たなレポートで明らかになった。この調査は、イスラエルのサイバー・インテリジェンス企業である KELA が、Q3 2022 Ransomware Report としてを発表したものであり、イニシャル・アクセス販売の分野の活動は一定であるが、提供額の高騰が判明しているとのことだ。

Microsoft が引き起こしたミスコンフィグレーション：顧客／パートナーの機密情報 65,000 件が漏えい

Microsoft data breach exposes customers’ contact info, emails

2022/10/19 BleepingComputer — 今日になって Microsoft は、同社におけるサーバのミスコンフィグレーションにより、インターネット経由でアクセス可能な顧客の、機密情報の一部が流出したと発表した。Microsoft は 2022年9月24日に、脅威情報会社 SOCRadar のセキュリティ研究者から通知を受け、このサーバを保護した。Microsoft は、「このミスコンフィグレーションにより、Microsoft と見込み顧客とのやり取りに関する、サービス導入の計画／可能性／プロビジョニングなどの、一部のビジネス・トランザクション・データに対して、認証なしでアクセスできる可能性があった。このような事態が発生したことを受けて、顧客のアカウントやシステムが侵害された形跡がないことを確認した。そして、影響を受けた顧客にはダイレクトに通知する」と明らかにした。

Cisco で発生した８月のデータ侵害：Lapsus$ ランサムウェア・グループとの関連性

Cisco Data Breach Attributed to Lapsus$ Ransomware Group

2022/09/13 DarkReading — Cisco のシステムへの侵入が確認されてから１カ月が経過したが、この攻撃は Lapsus$ グループによるランサムウェア攻撃であり、失敗したと、同社は報告している。このサイバー犯罪者は、ソーシャル・エンジニアリング攻撃で Cisco のシステムにアクセスし、従業員の Google パーソナル・アカウントを操作し、被害者のブラウザに保存されていた認証情報を盗み出した。

Cisco をハッキングした Yanluowang：Evil Corp や Conti との関連性が見えてきた

Infra Used in Cisco Hack Also Targeted Workforce Management Solution

2022/09/01 TheHackerNews — 2022年5月に Cisco を標的とした攻撃のインフラは、その１カ月前の 2022年4月にも、無名のワークフォース管理ソリューション保有企業に対して、侵害に採用されたが未遂に終わっていた。この調査結果を公表したサイバーセキュリティ企業 eSentire は、この侵入が、Evil Corp のアフィリエイトで UNC2165 (mx1r) と呼ばれる、犯罪行為者の仕業である可能性を指摘している。

Active Directory と Bumblebee：侵害後に BazarLoader／TrickBot／IcedID などをロード

Hackers Using Bumblebee Loader to Compromise Active Directory Services

2022/08/18 TheHackerNews — BazarLoader／TrickBot／IcedID といった脅威アクターたちが、ターゲットのネットワークを侵害する際に、マルウェアローダーとして Bumblebee を利用するケースが増大している。Cybereason の研究者である Meroujan Antonyan と Alon Laufer は、技術文書で、「Bumblebee のオペレーターたちは、集中的な偵察活動を行い、実行されたコマンドの出力をファイルへリダイレクトして抽出する」と述べている。

Cisco をハッキングした Yanluowang ランサムウェア：2.8GB のファイルを公開

Cisco hacked by Yanluowang ransomware gang, 2.8GB allegedly stolen

2022/08/10 BleepingComputer — 今日の Cisco の発表によると、5月下旬にランサムウェア・グループ Yanluowang が同社の企業ネットワークを侵害し、盗み出したファイルをオンラインに流出させると、恐喝されているようだ。この攻撃者は、侵害した従業員のアカウントにリンクされた、Boxフォルダから機密性のないデータのみを採取し、盗み出したと、同社は述べている。

Genesis は老舗ダークウェブ：サイバー犯罪者たちに洗練された情報とサービスを提供

Genesis IAB Market Brings Polish to the Dark Web

2022/08/08 DarkReading — アンダーグラウンドのサイバー犯罪経済における、イニシャル・アクセス・ブローカー (IAB initial access brokers) の役割の増大は、老舗の１つである Genesis Marketplace の進化に反映されており、時間の経過とともに洗練されてきたことが窺える。今週の Sophos のレポートでは、招待制として 2017年にスタートしたマーケット・プレイスを介して、認証情報やクッキーからデジタル指紋にいたるまで、他者のデータへの不正アクセスを脅威アクターに提供している、Genesis のビジネスが包括的に取り上げられている。

Twitter のゼロデイ脆弱性：540 万件のアカウント情報流出に悪用される

Twitter confirms zero-day used to expose data of 5.4 million accounts

2022/08/05 BleepingComputer — Twitter は、最近発生したデータ流出の原因が、現在は修正済みのゼロデイ脆弱性にあったこと、そして、メールアドレス／電話番号をユーザーのアカウントにリンクさせるために悪用されていたことを発表した。BleepingComputer が７月に行った、ある脅威アクターたちへのインタビューで、この脆弱性を悪用に成功した彼らは、 540万人のユーザーアカウントのリストを作成していたことが判明した。

RapperBot ボットネットは Mirai 由来：SSH サーバにブルートフォースを仕掛けて休眠

New Linux malware brute-forces SSH servers to breach networks

2022/08/04 BleepingComputer — 2022年6月の中旬から、RapperBot と呼ばれる新しいボットネットが攻撃が検知されているが、その後の調査により、Linux SSH サーバーにブルートフォースで侵入し、デバイスに足場を築くことに重点を置いていることが判明した。研究者たちによると、RapperBot は Mirai トロイの木馬をベースにしているが、可能な限り多くのデバイスを無秩序に感染させるという、マルウェア本来の動作から逸脱しているようだ。

Palo Alto Unit 42 の調査：脆弱性が公表された 15分後には悪意のスキャンが始まる

Hackers scan for vulnerabilities within 15 minutes of disclosure

2022/07/26 BleepingComputer — この新しいレポートにより、脅威アクターたちは新しい CVE が公開されてから 15分以内に、脆弱なエンドポイントをスキャンしていることが明らかになった。Palo Alto Unit 42 の 2022 Incident Response Report によると、ハッカーたちは常にソフトウェ・アベンダーの掲示板を監視し、企業ネットワークへのイニシャル・アクセスやリモートコード実行に利用できる、新しい脆弱性の告知を探し求めているようだ。つまり、脅威アクターたちの脆弱性スキャンを開始するスピードが速いため、システム管理者は、脆弱性が悪用される前にバグを修正する必要に迫られることになる。

Windows 11 RDP セキュリティ強化：ブルートフォース攻撃に対するデフォルト保護機能の追加

Microsoft Adds Default Protection Against RDP Brute-Force Attacks in Windows 11

2022/07/25 TheHackerNews — Microsoft は Windows 11 の最新ビルドの一部において、Remote Desktop Protocol (RDP) ブルートフォース攻撃防止の措置を講じることで、進化する脅威に対するセキュリティ水準を高めようとしている。この措置により、Windows 11 ビルド (特に Insider Preview ビルド 22528.1000 以降) のデフォルト・ポリシーでは、無効なサインインを 10 回試行すると、アカウントが自動的に 10 分間ロックされるようになる。

Twitter のアカウント情報が大量に流出：548万人分が $30k で販売されている

Hacker selling Twitter account data of 5.4 million users for $30k

2022/07/22 BleepingComputer — Twitter の脆弱性が脅威アクターに悪用されたことで、540万件のアカウントに関する電話番号と電子メールアドレスのデータベースが構築され、そのデータがハッカー・フォーラムで $30,000 で販売されるというデータ侵害が生じている。昨日に devil と呼ばれる脅威アクターが、このデータベースには有名人／企業／一般的なユーザーを含む、さまざまなアカウントに関する情報が含まれていると、ダークウェブで述べている。

Atlassian Confluence の脆弱性 CVE-2022-26134：50件のアクセス権を販売する驚異アクターが登場

Threat actors sell access to tens of vulnerable networks compromised by exploiting Atlassian 0day

2022/06/26 SecurityAffairs — 先日に発見された、Atlassian Confluence のゼロデイ欠陥 (CVE-2022-26134) の悪用により、侵入を許してしまった 50件の脆弱のネットワークへのイニシャル・アクセスが、ある脅威アクターにより販売されている。この発見は、Rapid7 Threat Intelligence チームによるものでありで、その情報は The Record で公開されている。この脆弱なネットワークへのイニシャル・アクセスは、ロシア語のフォーラム XSS で提供されていた。

RaaS ギャングとアクセス・ブローカーの緊密な関係：深化するエコシステムを追跡

Access Brokers and Ransomware-as-a-Service Gangs Tighten Relationships

2022/06/02 SecurityWeek — ここ数年、ダークウェブ・ウォッチャーたちは、サイバー犯罪集団の専門性の高まりに注目している。脅威アクターたちは、利益を最大化するための業務の効率化という目的のもとに、うまく組織化されている。アクセス・ブローカーと Ransomware-as-a-Service (RaaS) グループがより密接な関係になっていることは、明らかな進展である。

ランサムウェアの調査：IBM X-Force が指摘する攻防時間の大幅な短縮とは？

Ransomware attacks need less than four days to encrypt systems

2022/06/01 BleepingComputer — 2021年におけるランサムウェア攻撃の持続時間は、イニシャル・ネットワーク・アクセスからペイロード展開までを計測した結果、平均で 92.5時間でとなった。2020年のランサムウェア・アクターたちは、攻撃を完了するまでに平均で 230時間を、また、2019年は 1637.6時間を費やしていた。この変化は、大規模オペレーションと高収益性を目指して、ランサムウェア運用者たちが時間をかけて進化させてきた、より合理的なアプローチを反映するものだ。

VMware Horizon Servers への Log4j 攻撃は衰えることなく継続している

Log4j Attacks Continue Unabated Against VMware Horizon Servers

2022/03/30 DarkReading — いつでも、どこでも、エンタープライズ・アプリへの安全なアクセスをリモート・ワーカーに提供するために、 VMware Horizon サーバーは数多くの組織に利用されている。しかし、2021年12月に公開された Apache Log4j のリモートコード実行の深刻な脆弱性により、VMware Horizon は攻撃者の人気のターゲットであり続けている。

今週のこと、Sophos の研究者たちは、2022年1月19日から現在に至るまで、脆弱な Horizon サーバーに対する攻撃の波が観測されていると発表した。攻撃の多くは、JavaX miner／Jin／z0Miner／XMRig 亜種などの、暗号通貨マイナーを展開しようとする脅威者の試みだった。しかし、他のいくつかの事例では、侵害したシステムで攻撃者たちが、永続的なアクセスを維持するためのバックドアをインストールするケースも確認されている。

VMware Horizon への Log4Shell 攻撃：悪名高いアクセス・ブローカーが参戦

Initial Access Broker Involved in Log4Shell Attacks Against VMware Horizon Servers

2022/01/26 TheHackerNews — Prophet Spider として追跡されているイニシャル・アクセスブローカー・グループが、パッチが適用されていない VMware Horizon Server の Log4Shell 脆弱性を利用するための、一連の悪意のアクティビティに関与している。今日、BlackBerry Research & Intelligence & Incident Response (IR) チームが発表した新たな調査結果によると、このサイバー犯罪者は、侵入したシステムに第２段階のペイロードをダウンロードするために、この脆弱性の好機を利用している。このペイロードには、暗号通貨マイナー／Cobalt Strike Beacon／Web シェルなどが含まれている。

ランサムウェアが好む企業：地域／規模／業種などを分析する

Ransomware gangs target companies using these criteria

2021/09/06 BleepingComputer — 最近のランサムウェア・ギャングは、ダークウェブのマーケット・プレイスや他の脅威アクターから、標的のネットワークへのアクセス権を購入するケースを増やしている。こうした取引を仲介する広告を分析することで、どのような企業をランサムウェアが攻撃対象としているのかを知ることができる。