Kaspersky – IoT OT Security News

Cobalt Strike の Golang 亜種が登場：Apple macOS を狙う中国の APT とは？

Hackers Using Golang Variant of Cobalt Strike to Target Apple macOS Systems

2023/05/16 TheHackerNews — Golang で実装された Geacon という名の Cobalt Strike 亜種が、Apple macOS システムをターゲットとする脅威アクターたちの注目を集める可能性があるという。VirusTotal に掲載される Geacon ペイロードの数が、この数カ月で増加していることを確認した SentinelOne が調査結果を発表した。セキュリティ研究者である Phil Stokes と Dinesh Devadoss はレポートの中で、「これらのペーロードには、レッドチーム・オペレーションで使用されたものもあると思われるが、本物の悪意あ攻撃の特徴を持つものもある」と述べている。

Fleckpe というトロイの木馬：Google Playから 60万回ダウンロードされている

Subscription Trojan Downloaded 600K Times From Google Play

2023/05/05 InfoSecurity — セキュリティ研究者たちが発見した新しいトロイの木馬型マルウェアは、Google Play から提供される 11種類の Android アプリ内に潜み、620,000 台以上のデバイスにインストールされているというものだ。Kaspersky により Fleckpe と命名された、このマルウェアは Jocker および Harly 系統に類似しており、2022年から活動を開始している。このマルウェアは、被害者を密かにプレミアム・サービスに加入させ、ユーザーが気づかない間にオペレーターに収益をもたらすように設計されている。

北朝鮮の Lazarus／ScarCruft：戦術の拡大と標的のグローバル化 – Kaspersky 調査

Lazarus, ScarCruft North Korean APTs Shift Tactics, Thrive

2023/04/28 DarkReading — 北朝鮮の APT (Advanced Persistent Threats) は、新たなペイロードの開発における TTP (Tactics, Techniques, and Procedures) を変更することで、新たな分野や個人を偏りなく標的にすることへ向けて進化し、その個人が北朝鮮人であったとしても標的にし始めている。Kaspersky は、APT Trends Report Q1 2023 において、世界各地における APT 活動の進展を紹介している。たとえば、ロシアでは、動機に決定的な違いがあっても、脅威の主体が重なり合い、協力し合っている。また、イランでは、MuddyWater や OilRig といった既知のグループが新たなキャンペーンを実施し、マルウェアを修正している。特に前者は、エジプト／カナダ／マレーシアといった、遠方の国々へと広がっている。

ロシア国家支援の APT グループ Tomiris／Turla の関連性を掘り下げる – Kaspersky

Kaspersky Analyzes Links Between Russian State-Sponsored APTs

2023/04/25 SecurityWeek — ロシアと連携する ATP (Advanced Persistent Threat) 脅威アクター Tomiris と Turla の両者は、最小限レベルで協調しているようだ。この情報は、ロシアのサイバー・セキュリティ企業 Kaspersky からのものだ。Snake／Venomous Bear／Krypton／Waterbug としても追跡される Turla は、2006 年から ComRAT マルウェアに関与し、ロシア政府との関係があると考えられている。その一方で Tomiris は、比較的に新しいハッキング・グループであり、2021年に詳細が発表され、現在も活動を続けている。同グループは、主に CIS (Commonwealth of Independent States) 諸国の政府や外交機関をターゲットに、情報収集のために活動している。

Qbot バンキング・トロイの木馬：PDF アーカイブ内の JScript スクリプトで PowerShell を起動

Qbot Banking Trojan Increasingly Delivered Via Business Emails

2023/04/17 InfoSecurity — 偽のビジネス・メールを用いる悪質なキャンペーンにより、QBot (Qakbot) ファミリーのバンキング型トロイの木馬を拡散するというトレンドが確認されている。Kaspersky のセキュリティ研究者たちにより発見された、この悪質なスパム・キャンペーンは、英語／ドイツ語／イタリア語／フランス語などの各言語で書かれたメッセージを使用している。今日のアドバイザリで、同社は、「このメッセージは、攻撃者が入手した実際のビジネスレターに基づいており、彼らのメッセージが通信スレッドに入り込んでいた」と述べている。

Windows のゼロデイ脆弱性 CVE-2023-28252：Nokoyawa ランサムウェアが悪用している

Windows zero-day vulnerability exploited in ransomware attacks

2023/04/11 BleepingComputer — Microsoft がパッチを適用した、Windows Common Log File System (CLFS) のゼロデイ脆弱性は、特権昇格や Nokoyawa ランサムウェアのペイロード展開などで、サイバー犯罪者たちに積極的に悪用されているものである。この、Windows のゼロデイ脆弱性 CVE-2023-28252 の悪用が続いていることを踏まえ、CISA も KEV (Known Exploited Vulnerabilities) カタログに追加し、連邦政府民間行政機関 (FCEB) に対して、5月2日までにシステムを保護するよう命じた。

Microsoft 2023-4 月例アップデートは１件のゼロデイと 97件の脆弱性に対応

Microsoft April 2023 Patch Tuesday fixes 1 zero-day, 97 flaws

2023/04/11 BleepingComputer — 今日は、Microsoft の April 2023 Patch Tuesday だ。新たに公表されたセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性１件を含む、合計で 97件の欠陥が修正された。その中でも、７件の脆弱性はリモートコード実行を可能にする Critical に分類され、新たに修正された脆弱性として、最も深刻なものとなっている。

Telegram でフィッシング：さまざまな悪意の商品に群がる脅威アクターたち

Threat Actors Increasingly Use Telegram For Phishing Purposes

2023/04/06 InfoSecurity — フィッシング技法の開発に注目する脅威アクターたちが、アクティビティの自動化や各種のサービス提供において、Telegram を悪用するケースが増えている。このような傾向は、Kaspersky のサイバー・セキュリティ専門家たちの調査／分析によるものである。水曜日のアドバイザリで、Web コンテンツ・アナリストである Olga Svistunova は、「フィッシャーたちは商品を宣伝するために Telegram チャネルを作り、そこでフィッシングについて聴衆を教育し、投票によりサブスクライバーを楽しませている。このようなチャネルへのリンクは、彼らのフィッシング・キットや YouTube／GitHub などを通じて拡散される」と述べている。

3CX VoIP にサプライチェーン攻撃：Win／Mac アプリがトロイの木馬化され暗号通貨が狙われる

Cryptocurrency companies backdoored in 3CX supply chain attack

2023/04/03 BleepingComputer — 3CX のサプライチェーン攻撃の影響を受けた被害者の一部が、Gopuramマルウェアによりシステムにバックドアを仕掛けられた。この悪意のペイロードを流し込んだ脅威アクターは、暗号通貨企業を主たるターゲットにしているという。Lazarus Groupとして追跡されている北朝鮮の脅威アクターによる、大規模なサプライチェーン攻撃に被害に遭った VoIP 通信会社 3CX は、同社の顧客が使用する Windows／macOS のデスクトップ・アプリを、トロイの木馬化させてしまった。

Tor Browser のトロイの木馬：ロシア／東欧のユーザーを標的にしている

Trojanized Tor browsers target Russians with crypto-stealing malware

2023/03/28 BleepingComputer — トロイの木馬化した Tor Browser のインストーラーが急増し、ロシアや東欧のユーザーをターゲットにして、感染したユーザーの暗号通貨取引を盗むクリップボード・ハイジャック・マルウェアを仕掛けている。Kaspersky のアナリストたちは、この攻撃は新しくもなく、特に独創的でもないが、依然として効果が高く、世界中の多くのユーザーへの感染が蔓延していると警告している。Kaspersky によると、これらの悪意の Tor インストーラーは世界中の国々をターゲットにしているが、主な標的はロシアと東欧とのことだ。

SharePoint を狙うフィッシング活動を発見：欧米の 1600 人の個人がターゲット

SharePoint Phishing Scam Targets 1600 Across US, Europe

2023/03/23 InfoSecurity — Microsoft のコラボレーション・プラットフォーム SharePoint の、正規サーバを悪用する新たなフィッシング詐欺が、ネイティブの通知メカニズムを介して、欧州／米国などの国々で、少なくとも 1600人の個人を標的にしていることが判明した。2023年3月23日の未明に、Kaspersky のセキュリティ研究者たちが発表したアドバイザリでは、この詐欺を実行するサイバー犯罪者たちが、Yahoo!／AOL／Outlook／Office 365 などの、電子メール・アカウントの認証情報を盗んでいると説明されている。

PowerMagic／CommonMagic というマルウェア：新たなバックドアと悪意のフレームワーク

Hackers use new PowerMagic and CommonMagic malware to steal data

2023/03/21 BleepingComputer — セキュリティ研究者たちが発見したのは、CommonMagic と呼ばれる “かつてない悪意のフレームワーク” と、PowerMagic と呼ばれる新しいバックドアを使用した、先進的な脅威アクターによる攻撃だ。これらのマルウェアは、2021年9月ころから現在まで続くオペレーションで使用され、行政／農業／輸送分野の組織をスパイ目的で狙っている。

OT に忍び寄るマルウェア：ソーシャルエンジニアリングが産業分野にも浸透してきた

Almost Half of Industrial Sector Computers Affected By Malware in 2022

2023/03/06 InfoSecurity — 製造業の現場で使用されている Operational Technology (OT) コンピュータの 40.6% が、2022年においてマルウェアの影響を受けていることが判明した。今日の未明に Kaspersky のセキュリティ研究者たちが発表したレポートによると、この数字は、2022年上半期と比較して６％増加し、2021年下半期との比較では約 1.5倍になっている。

BlackLotus という UEFI Bootkit マルウェア第１号：Windows 11 の Secure Boot を突破する

BlackLotus Becomes First UEFI Bootkit Malware to Bypass Secure Boot on Windows 11

2023/03/01 TheHackerNews — BlackLotus という高ステルス性の UEFI (Unified Extensible Firmware Interface) ブートキットが、Secure Boot 防御を回避するマルウェアとして初めて公になり、サイバー環境における強力な脅威となってきた。スロバキアのサイバーセキュリティ企業 ESET は、「このブートキットは、UEFI セキュアブートを有効にした最新の Windows 11 システム上でも実行可能である」と、The Hacker News と共有したレポートで述べている。

モバイル・バンキングの脅威：この１年で２倍増した偽装アプリの検出件数

Researchers Discover Nearly 200,000 New Mobile Banking Trojan Installers

2023/02/27 InfoSecurity — サイバー・セキュリティの研究者たちは、2022年に新たに196,476件のモバイル・バンキング型トロイの木馬を発見した。これは、2021年の倍以上の数字となる。この調査結果は、先ほど Kaspersky が公開したレポートで明らかにされ、メールで InfoSecurity と共有された。同社は、「モバイル・バンキング型トロイの数の急増は、過去６年間で報告された中で最も激しいものであり、懸念すべき事態である」と述べている。

ChatGPT とセキュリティの関係：ポジティブ？ネガティブ？判断は時期尚早？

ChatGPT Subs In as Security Analyst, Hallucinates Only Occasionally

2023/02/16 DarkReading — 今週に発表された調査結果によると、人気の Large Language Model (LLM) である ChatGPT は、その AI モデルが特定のアクティビティのために訓練されていなくても、潜在的なセキュリティ・インシデントのトリアージや、コード内のセキュリティ脆弱性を見つける防御者にとって、有益であると示唆される。

サイバー犯罪組織の求人広告：開発者 61%／攻撃者 16%／設計者 10% という分布

Cybercrime job ads on the dark web pay up to $20k per month

2023/01/30 BleepingComputer — サイバー犯罪グループによるダークウェブでの求人広告は、高額給与／有給休暇／有給病欠などを開発者やハッカーに提示することで、ビジネスとしての運営を支えているようだ。Kaspersky は 2020年3月〜6月の間に、155ヶ所のダークウェブに掲載された 20万件の求人広告を分析し、Hacking／APT グループは主にソフトウェア開発者 (全広告の61％) の採用を目指し、きわめて競争力の高い条件で勧誘しているようだ。

WikiLeaks が暴露した CIA の Hive マルウェア：未知の脅威アクターが改造／悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

SandStrike という Android 向けスパイウェア：悪意の VPN アプリ経由で端末に感染

Experts Warn of SandStrike Android Spyware Infecting Devices via Malicious VPN App

2022/11/02 TheHackerNews — これまで文書化されていなかった Android のスパイウェア・キャンペーンが、一見無害な VPN アプリを装って、ペルシャ語圏の人々を襲っていることが判明した。ロシアのサイバーセキュリティ企業である Kaspersky は、このキャンペーンを SandStrike という名前で追跡している。ただし、それは、特定の脅威グループに起因するものではない。

中国 APT10 の標的は日本の政府機関など：K7Security を悪用する LODEINFO マルウェアとは？

Hacking group abuses antivirus software to launch LODEINFO malware

2022/10/31 BleepingComputer — APT10 として追跡されている中国のハッキング・グループ Cicada は、セキュリティ・ソフトウェアを悪用することで、日本の組織に対してマルウェア LODEINFO の新バージョンをインストールしていたことが確認されている。標的となったのは、日本国内の報道機関／外交機関／政府機関／公共機関／シンクタンクなどであり、いずれもサイバー犯罪の標的として高い関心を集める組織である。

BlackLotus は新種の Windows UEFI ブートキット：ハッキングフォーラムで販売されている

Malware dev claims to sell new BlackLotus Windows UEFI bootkit

2022/10/17 BleepingComputer — ある脅威アクターが、新しい UEFI ブートキット BlackLotus をハッキングフォーラムで販売している。このツールは、国家を後ろ盾とする脅威グループに関連する機能を有している。UEFI ブートキットとは、システムのファームウェアに仕込まれるものであり、マルウェアが起動シーケンスの初期段階でロードされるため、OS 内で動作するセキュリティ・ソフトウェアからは検出されない。

Zimbra のゼロデイ CVE-2022-41352：約 900台のサーバーにハッキング被害

Almost 900 servers hacked using Zimbra zero-day flaw

2022/10/15 BleepingComputer — Zimbra Collaboration Suite (ZCS) の深刻な脆弱性が悪用され、約 900台のサーバがハッキングされていることが判明した。この脆弱性は公開から約 1ヶ月半にわたり、パッチ未適用のゼロデイ脆弱性だった。この脆弱性 CVE-2022-41352 は、攻撃者が ZCS サーバに Web シェルを植え付けると同時に、アンチウイルス・チェックを回避する悪意のアーカイブを添付した、メールの送信を可能にするリモート・コード実行の脆弱性である。

QBot マルウェアの最新キャンペーン：企業ユーザー 800人以上の感染を Kaspersky が警告

QBot Malware Infects Over 800 Corporate Users in New, Ongoing Campaign

2022/10/12 SecurityWeek — 9月28日以降に発生した、マルウェア QBot の最新キャンペーンにより、800以上の企業ユーザーが感染したと Kaspersky が警告している。Qakbot／Pinkslipbot とも呼ばれる QBot は、2009年から存在するバックドア／自己拡散機能を持つ情報窃取ツールであり、悪意の攻撃のイニシャル感染ベクターとして広く使用されてきた。2022年初めには、Microsoft Support Diagnostic Tool (MSDT) のリモート・コード実行の脆弱性 Follina (CVE-2022-30190) を悪用した攻撃で、QBot が配布されていた。

Tor Browser のトロイの木馬版：中国で人気の YouTube チャネルからインストーラが配布される

2022/10/04 TheHackerNews — 中国語の人気 YouTube チャネルが、トロイの木馬化した Windows 版の Tor Browser インストーラを配布する手段として浮かび上がっている。Kaspersky は、このキャンペーンを OnionPoison と名付け、被害者の全てが中国のユーザーであることを公表した。現時点で、攻撃の規模は不明だが、2022年3月にはテレメトリーで被害者を検出したと、同社は述べている。

NullMixer の新キャンペーン：ユーザーの認証情報窃取＋各種 RAT の大量散布

New NullMixer Malware Campaign Stealing Users’ Payment Data and Credentials

2022/09/27 TheHackerNews — このサイバー犯罪者は、クラックされた海賊版ソフトウェアを探そうとするユーザーを、武器化されたインストーラーをホストする不正な Web サイトに誘導してシステムを侵害し、NullMixer と呼ばれるマルウェアを展開している。月曜日のレポートで Kaspersky は、「ユーザーが NullMixer を解凍／実行すると、感染したマシンに多数のマルウェア・ファイルがドロップされる。NullMixer は、バックドア／バンカー／ダウンローダー／スパイウェアなどのような、さまざまな悪意のバイナリをドロップして、マシンに感染させる」と述べている。

YouTube ユーザーが標的：RedLine という自己増殖型のスティーラーは危険だ！

YouTube Users Targeted By RedLine Self-Spreading Stealer

2022/09/15 InfoSecurity — RedLine スティーラーを用いる脅威アクーたちが、YouTube ユーザーをターゲットにしたキャンペーンを実施している。今日の未明に Kaspersky のサイバー・セキュリティ研究者たちが、このキャンペーンに関するアドバイザリを発表した。その一方で Oleg Kupreev は、「2020年3月に発見された RedLine は、ブラウザ／FTP クライアント／デスクトップ・メッセンジャーなどから、パスワードや認証情報を盗むために使われる最も一般的なトロイの木馬の１つだ。

ShadowPad ハッカー集団：アジア各国の政府組織をターゲットにしている

ShadowPad-Associated Hackers Targeted Asian Governments

2022/09/13 InfoSecurity — リモートアクセス型トロイの木馬 (RAT) である ShadowPad だが、以前から関連していた脅威グループが新たなツールセットを採用し、アジア各国の政府機関や国営企業に対してキャンペーンを展開している。このニュースは、9月13日の未明に Symantec の Threat Hunter Team が発表した、脅威に関する新たなアドバイザリがソースとなっている。

Minecraft に潜む大量のマルウェア：脅威アクターたちがゲーム環境を好む理由とは？

Minecraft is hackers’ favorite game title for hiding malware

2022/09/06 BleepingComputer — セキュリティ研究者たちが気づいたのは、サイバー犯罪者に最も酷使されているゲームタイトルが Minecraft であり、それを使って無防備なプレイヤーを誘い出し、マルウェアをインストールさせているという実態である。2021年7月〜2022年7月に Kaspersky が収集した統計データによると、ゲームブランドの悪用により拡散する悪質ファイルのうち、Minecraft 関連ファイルが 25%を占め、それ以降に FIFA (11%)／Roblox (9.5%)／Far Cry (9.4%)／Call of Duty (9%) と続いている。

PyPI のセキュリティ対策：人気パッケージの３分の１を誤検知するスキャナーに苦慮

2022/08/24 DarkReading — オープンソース・コードのリポジトリ Python Package Index (PyPI) で、悪意のパッケージを検知するスキャナーが、かなりの数の誤報を生成していたことが、研究者たちにより明らかにされた。PyPI とは、Python で記述されたアプリケーションが使用する、ソフトウェア・コンポーネントのメイン・リポジトリのことである。Chainguard の分析によると、そのスキャナーにより、悪意のパッケージの 59% が検出されるが、人気のある正規 Python パッケージの３分の１に対して、また、ランダムに選択されたパッケージの 15% に対して、悪意の判定フラグを立ててしまうことが判明した。

Kaspersky 調査：Web ブラウザ・エクステンション 700万に潜む悪意のアドウェア

Malicious browser extensions targeted almost 7 million people

2022/08/16 BleepingComputer — 2020年以降において、約700万人のユーザーの Web ブラウザに、悪意のエクステンションがインストールされているが、そのうちの 70% が不正な広告でユーザーを狙うアドウェアとして使用されるものだ。2022年上半期においても、Web ブラウザの悪意のエクステンションが運び込む、一般的なペイロードはアドウェア・ファミリーに属し、ブラウジング・アクティビティを盗聴し、アフィリエイト・リンクを宣伝するものだった。

2022年 Q2 のサイバー攻撃を分析：Microsoft の古い脆弱性が最も多く狙われた

Most Q2 Attacks Targeted Old Microsoft Vulnerabilities

2022/08/16 DarkReading — 2021年9月にパッチが適用された、Microsoft の MSHTML ブラウザエンジンに存在するリモートコード実行の脆弱性だが、それを狙った攻撃が 2022年 Q2 に急増したことが、Kaspersky の分析により判明した。Kaspersky の研究者たちは、この脆弱性 CVE-2021-40444 を狙った攻撃は、少なくとも 4886件を数え、2022年 Q1 に比べて８倍に増加したという。この脆弱性に対する敵対者の関心が継続しているのは、悪用が容易であるためだと、同社は分析している。

PyPI に仕込まれた悪意の Python ライブラリ 10件：認証情報や個人情報などを窃取

10 Credential Stealing Python Libraries Found on PyPI Repository

2022/08/09 TheHackerNews — Python Package Index (PyPI) から、パスワードや API トークンなどの重要なデータを取得する、10件の悪意のパッケージが削除された。イスラエルのサイバー・セキュリティ企業である Check Point は、月曜日の報告書で、「これらのパッケージは、攻撃者による悪意のツールのインストールを実行し、開発者の個人データや個人情報を盗むことを可能にする情」と述べている。

Microsoft 警告：IIS エクステンションを悪用する Exchange バックドアが増えている

Microsoft: IIS extensions increasingly used as Exchange backdoors

2022/07/26 BleepingComputer — Microsoft によると、IIS Web サーバーを狙う悪意のエクステンションは、Web シェルと比較して検出率が低いため、パッチの適用されていない Exchange サーバーをバックドアにしようとする攻撃者にとって、格好の標的になりつつあるようだ。これらの悪意のエクステンションは、侵害されたサーバーの奥深くに隠されており、多くの場合において、正規のモジュールと同じ場所にインストールされ、同じ構造を使用している。したがって、検出が非常に難しく、攻撃者に対して完全な永続化メカニズムを提供してしまう。

Luna という Rust ベースのランサムウェアが登場：Windows／Linux／ESXi システムを狙う

New Rust-based Ransomware Family Targets Windows, Linux, and ESXi Systems

2022/07/20 TheHackerNews — Kaspersky のセキュリティ研究者たちは、Rust で書かれた、全く新しいランサムウェアである Luna の詳細を公開した。これは、BlackCat／Hive に続いて、このプログラミング言語を使用する３番目のマルウェアとなる。Luna は、非常にシンプルであり、Windows／Linux／ESXi システム上で動作し、Curve25519／AES を組み合わせて暗号化を行う。

サイバー保険を考える：ランサムウェアが引き上げる保険料と予測不能な未来

Ransomware Scourge Drives Price Hikes in Cyber Insurance

2022/07/12 DarkReading — ランサムウェア攻撃がもたらすコスト上昇により、英国／米国でサイバー保険の保険料が大幅に上昇していることが、新しいデータで明らかになった。米国では、過去２年間の平均支払額が $3.5 million を超えており、顧客のセキュリティ指標や対策に直接アクセスしたいと考える、サイバー・セキュリティ保険会社が増えているようだ。サイバー保険業界の現状に関する Panaseer のレポートによると、このような方式の採用により、セキュリティ管理の状況を証明しやすくなるという。

SessionManager バックドアの発見：Microsoft IIS サーバへの攻撃で採用

SessionManager Backdoor employed in attacks on Microsoft IIS servers worldwide

2022/07/01 SecurityAffairs — Kaspersky Lab の研究者たちは、2021年3月以降に発生した Microsoft IIS Servers 標的の攻撃で採用された、新しい SessionManager バックドアを発見した。Kaspersky が公開した分析結果は、「2022年初頭に、私達は IIS バックドアの１つである SessionManager を調査した。そして、2022年4月下旬の時点で、私たちが特定したサンプルの大半に対して、一般的なオンライン・ファイルスキャン・サービスは悪意のフラグを立てていない状況だった。また、SessionManager は、依然として 20以上の組織に展開されていた。IIS モジュールをバックドアとして導入する脅威アクターは、標的組織の IT インフラへの永続的かつ耐更新性のある、スティルス性のあるアクセスを維持できる」と述べている。

Exchange の ProxyLogon と中国支援の APT：Building Automation System を攻撃

China-Backed APT Pwns Building-Automation Systems with ProxyLogon

2022/06/29 DarkReading — これまで未知とされてきた中国語圏の高度持続的脅威 (APT) アクターが、Microsoft Exchange の脆弱性 ProxyLogon を悪用してマルウェア ShadowPad を展開している。その最終目標は、ビルオートメーション・システム (BAS：Building Automation System) を乗っ取り、ネットワークに深く侵入することだと、研究者たちは述べている。

Adobe Acrobat の問題：アンチ・ウィルス製品による PDF ファイル・モニタリングをブロック？

Adobe Acrobat may block antivirus tools from monitoring PDF files

2022/06/21 BleepingComputer — セキュリティ研究者たちは、Adobe Acrobat がアンチウィルス・ソフトウェアをブロックし、PDF ファイルをオープンする際の、セキュリティ的な可視化を拒否していることを発見し、ユーザーにリスクを生じさせることを明らかにした。Adobe の製品は、30 種類のセキュリティ製品のコンポーネントの、プロセスへのロードの有無をチェックしており、また、それらをブロックすることで、悪意のアクティビティ監視を本質的に拒否している。

Trend Micro の DLL ハイジャック脆弱性が FIX：中国の APT による悪用が生じていた？

Trend Micro fixes bug Chinese hackers exploited for espionage

2022/05/24 BleepingComputer — Trend Micro が発表した内容は、中国の脅威グループが不正な DLL をサイドロードし、マルウェアを展開するために使用した、Trend Micro Security の DLL ハイジャック脆弱性に対するパッチ適用についてである。５月上旬に Sentinel Labs が明らかにしたように、Windows 上で動作するセキュリティ製品の高権限を悪用する攻撃者は、悪意を持って細工した独自の DLL をメモリ上にロードし、権限昇格とコードの実行を可能にしていたようだ。

Windows PrintNightmare は生きている：2022年に入ってから 31,000件の攻撃を観測

Windows Print Spooler Vulnerabilities Increasingly Exploited in Attacks

2022/05/11 SecurityWeek — サイバー・セキュリティ企業の Kaspersky によると、Windows Print Spooler の脆弱性を狙う攻撃が増加しているとのことだ。この、PrintNightmare と呼ばれる Windows Print Spooler の脆弱性は、2021年6月末に初めて公開され、約１週間後には Microsoft が緊急パッチを提供している。2021年8月に Microsoft は、Windows Print Spooler ユーティリティに対する新しいパッチセットをリリースしたたが、その数日後には別の PrintNightmare バグの存在を確認することになった。

新たなマルウェアを検出：Windows イベントログにシェルコードを隠す高度なスティルス性

Malware campaign hides a shellcode into Windows event logs

2022/05/07 SecurityAffairs — 2022年2月に Kaspersky の研究者たちは、Windows イベントログにシェルコードを隠すという、新しいテクニックを用いた悪意のキャンペーンを発見した。このテクニックにより、ファイル無しのトロイの木馬を隠すことが可能となる。また、専門家たちは、Event Tracing (ETW) と Anti-Malware Scan Interface (AMSI) に関連する、Windows ネイティブ API 関数にパッチを当てることで、その Dropper モジュールも検出を避けていたことに気づいた。

Cloudflare を襲った史上最大の HTTPS DDoS：1530万 RPS を防ぎ切った

Cloudflare Thwarts Record DDoS Attack Peaking at 15 Million Requests Per Second

2022/04/27 TheHackerNews — 水曜日に Cloudflare は、1530万リクエスト／秒 (RPS) の分散型サービス拒否 (DDoS) 攻撃を緩和するために行動したと明らかにした。この、Web インフラと Web サイト・セキュリティの企業は、この攻撃を “史上最大の HTTPS DDoS 攻撃 ” の１つだと呼んでいる。Cloudflare の Omer Yoachimik と Julien Desgats は、「HTTPS DDoS 攻撃では、安全な TLS 暗号化接続の確立コストが高いため、必要な計算機リソースの面で高価になる。そのため、攻撃を仕掛ける側も、攻撃を軽減する側も、より多くのコストが掛かる」と述べている。

Emotet の 64 Bit 版が登場：悪意のメールは 10倍増：AV ソフトの検出は 32 Bit のみ？

Emotet botnet switches to 64-bit modules, increases activity

2022/04/19 BleepingComputer — Emotet マルウェアの配布が急増しているが、現時点のアンチウイルス・エンジンでは少量のみが検出されている、新しいペイロードに間もなく切り替わる可能性もある。2022年3月のことだが、このボットネットを追跡するセキュリティ研究者が、悪意のペイロードを含む電子メールの量が、10倍に増加したことを観察している。Emotet は、ホスト上で持続性をキープし自己増殖する、モジュール型トロイの木馬である。

BlackCat ランサムウェアが石油／ガス／鉱山／建設をターゲットにしている証拠とは？

BlackCat Ransomware Targets Industrial Companies

2022/04/07 SecurityWeek — BlackCat／ALPHV／Noberus として追跡されているランサムウェア・グループが使用するデータ窃取ツールを分析すると、このサイバー犯罪者が製造業ををターゲットにすることに、強い関心を持っていることが示唆される。2021年11月に BlackCat は出現し、Ransomware-as-a-Service (RaaS) モデルを利用することで、米国などの組織を標的にしてきた。

ロシアのインターネットにサービス停止の危機：深刻な機材と人材の不足

Russia facing internet outages due to equipment shortage

2022/03/28 BleepingComputer — ロシア最大の企業家組合である RSPP Commission for Communications and IT は、通信機器の不足を原因とする、大規模なインターネット・サービス停止が間近に迫っていると警告している。同委員会は、ロシアの通信業界が直面している、現実的な課題を反映した文書を作成し、それを軽減するための具体的な提案も行っている。この文書を見たロシアのメディアは、同委員会は、通信事業者の機器の備蓄があと半年しか持たないことを強調しており、その警告は悲惨なものであると述べている。

Kaspersky が FCC の禁止リストに追加：Huawei や ZTE と同じクラスに分類

Kaspersky added to FCC list that bans Huawei, ZTE from US networks

2022/03/25 CyberScoop — 金曜日に連邦通信委員会 (FCC) は、ロシアに本拠を置くサイバー・セキュリティ大手 Kaspersky を、米国の国家安全保障にとって受け入れがたいリスクをもたらす企業の、対象リストに追加した。この決定により、実質的に Kaspersky は、このリストが始まった 2021年に最初にリストに追加された、中国の通信ハードウェア・メーカーである Huawei や ZTE と同じクラスに入ることになる。

Phishing Kit を解説：検出を回避する手口と延命のための悪知恵とは？

Phishing kits constantly evolve to evade security software

2022/03/24 BleepingComputer — サイバー犯罪フォーラムで販売されている最新の Phishing Kit は、インターネット・セキュリティ・ソリューションが脅威として認識しないように、複数の高度な検知回避システムとトラフィック・フィルタリング・システムを備えている。有名ブランドを模倣した偽 Web サイトは、インターネット上に数多く存在し、被害者を誘い出し、支払詳細やアカウント情報を盗み出す。これらの偽 Web サイトの多くは、ブランドのロゴやリアルなログ・インページを提供するが、基本的な要素から組み立てられた動的な Web ページなどを特徴とする、高度な Phishing Kit も存在する。

SolarWinds 攻撃と新たなマルウェア：長期間の潜伏を可能にする手法とは？

New Malware Used by SolarWinds Attackers Went Undetected for Years

2022/02/02 TheHackerNews — SolarWinds サプライチェーン侵害の背後にいる脅威アクターは、この攻撃に新しいツールやテクニックを投入し、2019年からマルウェアを強化し続けることで、とらえどころのない性質を持つキャンペーンに成長し、何年もアクセスを維持する敵対者の能力を示してきた。

Nobelium ハッキング・グループの斬新な戦術を解説する、サイバー・セキュリティ企業である CrowdStrike によると、攻撃の規模が拡大する以前から、２つの洗練されたマルウェア・ファミリーが被害者のシステムに潜入していたという。それらは、GoldMax の Linux 版と、TrailBlazer という新たなインプラントである。

ファームウェア・ベース Rootkit の危険性：MoonBounce を含む３つのマルウェアとは？

Researchers Discover Dangerous Firmware-Level Rootkit

2022/01/21 DarkReading — ファームウェア・ベースの Rootkit は、現時点では珍しいものであるが、標的となるネットワーク上で検出困難なかたちで持続性を維持する手段として、脅威アクターたちの間で注目を集めている。Kaspersky の研究者たちは、顧客のコンピュータの UEFI (Unified Extensible Firmware Interface) ファームウェアの深層で、このような脅威の最新サンプルを発見した。