Malware – Page 13 – IoT OT Security News

HTTP/S DDoS 攻撃が３年間で 487%急増：ウクライナをめぐるサイバー戦争が激化

HTTP/S DDoS Attacks Soar 487% in Three Years

2023/04/04 InfoSecurity — Netscout によると、HTTP／HTTPS の Web サイトを標的としたアプリケーション層の DDoS (Distributed Denial of Service) 攻撃の量は、Killnet などにより、2019年から2022年にかけて 487% も急増したという。セキュリティ・ベンダーである Netscout の 2022 H2 レポート “DDoS Threat Intelligence Report” は、93カ国と世界のインターネット・トラフィックの 50％以上をカバーする、同社の ATLAS ネットワークが収集したデータを基に作成されたものだ。2019年以降に、Web サイトへの攻撃が最も急増したのは 2022年下半期で、親ロシア・ハクティビストの活動による影響が大きい。

CISA KEV 警告 23/04/03：Zimbra の脆弱性が NATO 諸国への攻撃で悪用

CISA warns of Zimbra bug exploited in attacks against NATO countries

2023/04/03 BleepingComputer — CISA が連邦政府機関に要請したのは、NATO 諸国を標的とした攻撃でロシアのハッカーがＥメールを盗むために悪用した、Zimbra Collaboration (ZCS) に存在する XSS (Cross-Site Scripting) の脆弱性の修正である。NATO に加盟する複数の政府のポータルへの攻撃で、Winter Vivern および TA473 として追跡されているロシアのハッキング・グループが、この脆弱性 CVE-2022-27926 を悪用して、当局／政府／軍人／外交官などのメール・ボックスに不正アクセスしていたという。

WinRAR／7-Zip アーカイブに仕込まれたトリック：検出を回避して PowerShell などを実行

WinRAR SFX archives can run PowerShell without being detected

2023/04/03 BleepingComputer — 脅威アクターたちは、WinRAR 自己解凍アーカイブを無害なファイルで偽装した上で、悪意の機能を追加することで、ターゲットシステムのセキュリティ・エージェントを起動させることなく、バックドアを仕掛けるようになってきた。WinRAR や 7-Zip などの圧縮ソフトウェアで作成される、自己解凍型アーカイブ (SFX：Self-extracting archives) は、基本的に、アーカイブされたデータと内蔵の解凍スタブ (データを解凍するためのコード) で構成される実行型のファイルである。そして、SFX ファイルには、不正なアクセスを防止するためのパスワードが設定されている。

3CX VoIP にサプライチェーン攻撃：Win／Mac アプリがトロイの木馬化され暗号通貨が狙われる

Cryptocurrency companies backdoored in 3CX supply chain attack

2023/04/03 BleepingComputer — 3CX のサプライチェーン攻撃の影響を受けた被害者の一部が、Gopuramマルウェアによりシステムにバックドアを仕掛けられた。この悪意のペイロードを流し込んだ脅威アクターは、暗号通貨企業を主たるターゲットにしているという。Lazarus Groupとして追跡されている北朝鮮の脅威アクターによる、大規模なサプライチェーン攻撃に被害に遭った VoIP 通信会社 3CX は、同社の顧客が使用する Windows／macOS のデスクトップ・アプリを、トロイの木馬化させてしまった。

Cacti／Realtek／IBM Aspera の脆弱性：複数の DDoS ボットネットとランサムウェアが悪用

Cacti, Realtek, and IBM Aspera Faspex Vulnerabilities Under Active Exploitation

2023/04/01 TheHackerNews — Cacti／Realtek／IBM Aspera Faspex の深刻なセキュリティ脆弱性を悪用する脅威アクターたちにより、パッチ未適用のシステムを標的としたハッキングが行われている。今週の Fortinet FortiGuard Labs レポートによると、MooBot／ShellBot (別名 PerlBot) の配信に、CVE-2022-46169 (CVSS：9.8)／CVE-2021-35394 (CVSS：9.8) が悪用されているようだ。

AlienFox というツールキットが登場：ミスコンフィグ・スキャナーでクラウドの機密情報を狙う

New AlienFox toolkit steals credentials for 18 cloud services

2023/03/30 BleepingComputer — AlienFox と呼ばれる新しいツールキットを利用する脅威アクターたちが、サーバのミスコンフィグレーションをスキャンし、クラウドベースのメールサービスの認証情報や機密情報を窃取していることが判明した。このツールキットがサイバー犯罪者たちに販売される、Telegram のプライベート・チャネルは、マルウェア開発者とハッカーが取引する際の、一般的な手段となっている。 SentinelLabs の研究者たちによると、AlienFox はモジュール式のツールセットであり、Laravel／Drupal／Joomla／Magento／Opencart／Prestashop／WordPress などのオンライン・ホスティング・フレームワークの、一般的なサービスにおけるミスコンフィグレーションをターゲットにしているという。

フィッシングの HTTPS 化：悪意のサイトの 49% がブラウザに南京錠マークを表示

Volume of HTTPS Phishing Sites Surges 56% Annually

2023/03/30 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、HTTPS を使用するフィッシング・サイトの急増である。つまり、ブラウザに南京錠のマークが表示されている Web サイトであっても、要注意だと警告しているのだ。この調査結果は、9,500 万台ものエンドポイント／センサー／サードパーティのデータベースから収集した情報を、Open Text Cybersecurity が取りまとめた “2023 Global Threat Report” によるものだ。同レポートによると、HTTPS を使用していたフィッシング・サイトの割合は前年比で 56％近くも増加し、全体に占める割合は 2021年の32％から 2022年の 49％以上へと跳ね上がっている。

Google TAG 警告：複数の Zero-Day／N-Day エクスプロイトを用いるキャンペーンについて

Google TAG shares details about exploit chains used to install commercial spyware

2023/03/29 SecurityAffairs — Android／iOS／Chrome に対して複数のゼロデイ・エクスプロイトを悪用する、２つのキャンペーンの詳細を、Google Threat Analysis Group (TAG) が公開した。専門家たちは、どちらのキャンペーンも、限定的で高度な標的型であったと述べている。攻撃の背後にいる脅威アクターは、エクスプロイトに Zero-Day と N-Day の両方を使用していたという。これらのエクスプロイト・チェーンは、ターゲットのデバイスに商用スパイウェアや悪意のアプリをインストールするために使用されていたようだ。

Tor Browser のトロイの木馬：ロシア／東欧のユーザーを標的にしている

Trojanized Tor browsers target Russians with crypto-stealing malware

2023/03/28 BleepingComputer — トロイの木馬化した Tor Browser のインストーラーが急増し、ロシアや東欧のユーザーをターゲットにして、感染したユーザーの暗号通貨取引を盗むクリップボード・ハイジャック・マルウェアを仕掛けている。Kaspersky のアナリストたちは、この攻撃は新しくもなく、特に独創的でもないが、依然として効果が高く、世界中の多くのユーザーへの感染が蔓延していると警告している。Kaspersky によると、これらの悪意の Tor インストーラーは世界中の国々をターゲットにしているが、主な標的はロシアと東欧とのことだ。

中国の原子力エネルギー部門が標的：APT アクター Bitter は南アジアから攻撃する

China’s Nuclear Energy Sector Targeted in Cyberespionage Campaign

2023/03/28 SecurityWeek — サイバースパイ・キャンペーンを展開する南アジアの APT アクターが、中国の原子力エネルギー部門を標的にしていると、Intezer が最新情報として報告している。2021年ころから活動している Bitter という名のグループは、中国／バングラデシュ／パキスタン／サウジアラビアのエネルギーおよび政府組織を標的とすることで知られており、その戦術として、Excel／Microsoft Compiled HTML Help (CHM)／Windows Installer (MSI) ファイルの悪用を特徴としている。

IcedID の新たな亜種：バンキング詐欺からマルウェア配信へとシフトしている

New IcedID variants shift from bank fraud to malware delivery

2023/03/27 BleepingComputer — IcedID の新しい亜種は、通常のオンライン・バンキング詐欺の機能を持たない代わりに、侵害したシステムに新たなマルウェアをインストールすることに、重点を置いていることが判明した。Proofpoint によると、これらの新しい亜種は、昨年末から７つのキャンペーンで、３つの異なる脅威アクターにより使用されており、ランサムウェアなどのペイロードの配信に重点を置いていることが確認されている。

MacStealer という新たな macOS マルウェア：iCloud Keychain からパスワードを窃取

New MacStealer macOS malware steals passwords from iCloud Keychain

2023/03/27 BleepingComputer — Mac ユーザーを標的とする、MacStealer とう名の新たな情報スティーラー・マルウェアが、iCloud KeyChain や Web ブラウザに保存されている認証情報や暗号通貨ウォレットなどの、機密ファイルなどを窃取しているようだ。この MacStealer は、Malware-as-a-Service (MaaS) として配布されており、開発者はプレメイドのビルドを $100 で販売し、購入者はキャンペーンでマルウェアを拡散している。Uptycs 脅威研究チームが発見した MacStealer は、macOS Catalina 10.15 〜 Ventura 13.2 の環境で動作するという。

Outlook の脆弱性 CVE-2023-23397 の悪用：Microsoft のガイダンスで攻撃に対抗

Microsoft shares guidance for investigating attacks exploiting CVE-2023-23397

2023/03/26 SecurityAffairs — 先日にパッチが適用された Outlook の脆弱性 CVE-2023-23397 について、Microsoft が悪用と攻撃に関するガイダンスを公開した。Microsoft Outlook における成りすましの脆弱性から生じる、この問題は認証バイパスへとつながるものだ。この脆弱性の悪用に成功したリモートの攻撃者は、影響を受けるシステムに対して特別に細工した電子メールを送信することで、ユーザーの Net-NTLMv2 ハッシュに、未認証でアクセスできる。

Python の Unicode を悪用：新たな情報スティーラーは巧妙に検出を回避する

Python info-stealing malware uses Unicode to evade detection

2023/03/23 BleepingComputer — PyPI 上の悪意の Python パッケージが、難読化技術として Unicode を悪用することで検出を回避し、侵害したデバイスから開発者のアカウント情報などの機密データを、盗み出して流出させている。この onyxproxy と名付けられた悪意のパッケージは、ソースコード内で複数の Unicode フォントを組み合わせて使用している。それにより、悪意の関数を特定するための、自動スキャンや文字列照合といった防御を回避していく。Phylum のサイバー・セキュリティ専門家たちが onyxproxy を発見し、その手法を説明するレポートを発表している。

Nexus というバンキング・トロイの木馬：450 種類の金融アプリがターゲット

Nexus: A New Rising Android Banking Trojan Targeting 450 Financial Apps

2023/03/23 TheHackerNews — Nexus という名の新たな Android バンキング・トロイの木馬は、450種類の金融アプリケーションを標的とした詐欺において、すでに脅威アクターたちにより採用されている。今週に発表したレポートの中で、イタリアのサイバー・セキュリティ企業 Cleafy は、「Nexus は開発の初期段階にあるようだ。Nexus は、銀行ポータルや暗号通貨サービスに対して、認証情報の窃取や SMS の傍受といった ATO 攻撃 (Account Takeover) を行うための、すべての主要な機能を備えている」と述べている。

WordPress 上の eコマース侵害：決済の瞬間を狙ってクレカ情報を盗み出す手口とは？

Hackers inject credit card stealers into payment processing modules

2023/03/22 BleepingComputer — クレジットカードを盗み出す新たなハッキング・キャンペーンは、これまでに見られたものとは異なり、悪意のコードを WooCommcerce の “Authorize.net” 決済ゲートウェイ・モジュール内に隠すことで、セキュリティ・スキャンによる検出の回避を可能にしているようだ。これまでの脅威アクターたちが、Magenta および WooCommerce + WordPress のようなコマース・サイトを侵害する場合には、店舗や顧客のチェックアウト・ページ HTML に、悪意の JavaScript を注入するのが一般的だった。

Facebook アカウント・ハイジャック：悪意の ChatGPT Chrome エクステンションが導線

Facebook accounts hijacked by new malicious ChatGPT Chrome extension

2023/03/22 BleepingComputer — 正規の ChatGPT Extension for Chrome のトロイの木馬バージョンが、Chrome Web Store で人気を博しており、9,000 回以上のダウンロードを達成し、Facebook アカウントを盗み続けている。この Chrome エクステンションは、検索結果に ChatGPT の統合を提供する ChatGPT for Google という名前の、正規の Chrome アドオンをコピーしたものだ。そして、この悪意のバージョンは、Facebook のセッション・クッキーを盗み出すための追加コードを含んでいる。

HinataBot というボットネットが登場：Mirai 由来のハッカーたちが開発

Mirai Hackers Use Golang to Create a Bigger, Badder DDoS Botnet

2023/03/21 DarkReading — HinataBot と名付けられた新しいボットネットを、Mirai 由来のハッカーたちが開発した。このボットネットは、従来のものと比べて、はるかに少ないリソースで大きなダメージを与える可能性があるという。Mirai は、世界で最も悪名高いボットネットの１つだ。2010年代半ばから流通し、ルーターやカメラなどの IoT 機器を利用して、大量のトラフィックでターゲットを攻撃し、分散型サービス拒否 (DDoS) を仕掛けてきた。最も被害の大きかった攻撃は、フランスのテクノロジー企業 OVH／リベリア政府／DNS プロバイダー Dyn などに対するものであり、Twitter／Reddit／GitHub／CNN などの Web サイトが被害を被った。

PowerMagic／CommonMagic というマルウェア：新たなバックドアと悪意のフレームワーク

Hackers use new PowerMagic and CommonMagic malware to steal data

2023/03/21 BleepingComputer — セキュリティ研究者たちが発見したのは、CommonMagic と呼ばれる “かつてない悪意のフレームワーク” と、PowerMagic と呼ばれる新しいバックドアを使用した、先進的な脅威アクターによる攻撃だ。これらのマルウェアは、2021年9月ころから現在まで続くオペレーションで使用され、行政／農業／輸送分野の組織をスパイ目的で狙っている。

Bitcoin ATM の脆弱性をハッキング：General Bytes における $1.5M 盗難を分析

General Bytes Bitcoin ATMs hacked using zero-day, $1.5M stolen

2023/03/20 BleepingComputer — 大手 Bitcoin ATM メーカーの General Bytes は、同社の BATM 管理プラットフォームのゼロデイ脆弱性を悪用するハッカーたちが、同社と顧客から暗号通貨を盗み出したことを明らかにした。 General Bytes は、40種類以上の暗号通貨を売買できる Bitcoin ATM を製造している。そして、顧客である事業者たちは、スタンドアロンの管理サーバまたは、General Bytes のクラウド・サービスを使用して、ATM を展開することが可能となっている。

.NET 開発者がターゲット：NuGet に展開された悪意のパッケージを追跡

Hackers target .NET developers with malicious NuGet packages

2023/03/20 BleepingComputer — タイポスクワッティングにより複数の正規パッケージになりすました暗号通貨ステーラーが、NuGet リポジトリを通じて配信され、.NET 開発者をターゲットに感染し続けている。この継続的なキャンペーンを発見した、JFrog のセキュリティ研究者 Natan Nehorai と Brian Moussalli によると、そのうちの３つは、この１ヶ月の間に 15万回以上もダウンロードされているとのことだ。この膨大なダウンロード数は、システムを侵害された多数の .NET 開発者を示している可能性もありるが、悪意の NuGet パッケージを正当化するために、攻撃者が人為的に操作した結果なのかもしれない。

CatB ランサムウェアの検出回避テクニック：DLL 検索順序ハイジャックとは？

Researchers Shed Light on CatB Ransomware’s Evasion Techniques

2023/03/20 TheHackerNews — CatB ランサムウェアのオペレーターは、検出を回避してペイロードを起動するために、DLL 検索順序ハイジャックと呼ばれる攻撃手法を使用していると確認されている。2022年末に出現した CatB99／Baxtoy とも呼ばれる CatB だが、Pandora という別のランサムウェア株の “進化形または直接的なリブランド” だと言われるのは、コード・レベルの類似性に関する分析が進んだ結果である。Pandora を使用してきたのは、Bronze Starlight (別名 DEV-0401／Emperor Dragonfly) だとされている。中国に拠点を置く、この脅威アクターは、真の目的を隠すために、短命のランサムウェア・ファミリーを採用することで知られている。

Emotet が本気の戦略シフト：OneNote ファイルを介した配布が始まった

Emotet malware now distributed in Microsoft OneNote files to evade defenses

2023/03/18 BleepingComputer — 現時点において Emotet マルウェアは、Microsoft のセキュリティ制限を回避して、より多くのターゲットに感染させるために、OneNote ファイルを添付したＥメールで配布されている。Emotet は、歴史的に悪名高いマルウェア・ボットネットであり、悪意のマクロを仕込んだ Word や Excel の添付ファイルを通じて配布されていた。これらの添付ファイルを、ユーザーが開いてマクロを有効にすると、DLL がダウンロード／実行され、Emotet マルウェアがデバイスにインストールされる。このマルウェアがロードされると、Ｅメールの連絡先やメールの内容が盗まれ、今後のマルウェア・キャンペーンで悪用されるようになる。また、企業ネットワークへのイニシャル・アクセスを提供する、他のペイロードもダウンロードされる。

Fortinet のゼロデイ悪用：ハッキングの背景に存在する中国系ハッカー集団とは？

Fortinet zero-day attacks linked to suspected Chinese hackers

2023/03/16 BleepingComputer — Fortinet のゼロデイ脆弱性 CVE-2022-41328 を悪用してマルウェアを展開するという、政府機関に対する一連の攻撃の背景には、中国のハッカー集団の存在があるようだ。先週に Fortinet が開示したように、この脆弱性の悪用に成功した脅威アクターは、パッチ未適用の FortiGate ファイアウォール・デバイス上で、不正なコード／コマンドを実行することで、マルウェア・ペイロードを展開できるとされる。さらに、このマルウェアの分析を進めることで、データの流出／侵害デバイス上でのファイルのダウンロードと書き込み／細工された ICMP パケット受信によるリモートシェルのオープンといった、サイバースパイ活動にも利用可能なことが判明した。

SILKLOADER という検出回避に優れたマルウェア：中国／ロシアの犯罪エコシステムが連携？

Chinese and Russian Hackers Using SILKLOADER Malware to Evade Detection

2023/03/16 TheHackerNews — 中国／ロシアのサイバー犯罪エコシステムに属する脅威アクター・グループが、感染させたマシン上に Cobalt Strike をロードするために設計された、新たなマルウェアを使用していることが確認されている。フィンランドのサイバー・セキュリティ企業 WithSecure は、DLL のサイドローディング技術を利用して、商業的アドバイザリを装うソフトウェアを配信する、このマルウェアを SILKLOADERと名付けた。

Adobe Acrobat Sign を悪用：Redline マルウェアを配布する手口が暴かれた

Adobe Acrobat Sign abused to push Redline info-stealing malware

2023/03/16 BleepingComputer — オンライン・ドキュメント署名サービスである Adobe Acrobat Sign が、情報窃取マルウェアの配布に悪用されている。このサービスを悪用する脅威アクターたちは、Adobe を装う悪意のメールをターゲットに送信しすることで、セキュリティ保護を回避して受信者を騙そうとしている。このような、正規のサービスを悪用する手口は新しいものではない。最近に見られた同様のケースに、PayPal の請求書や Google Docs のコメントなどの悪用がある。Avast の研究者たちは、Adobe Acrobat Sign を悪用してセキュリティを回避してターゲットを騙す、この新たな詐欺手法について警告している。

BEC の発生件数が２倍に増えた：急増するフィッシングから移行している？

BEC Volumes Double on Phishing Surge

2023/03/16 InfoSecurity — Secureworks の調査により、昨年の BEC (Business Email Compromise) インシデントが倍増し、ランサムウェアに取って代わる、最多のサイバー犯罪のカテゴリとなった。脅威の検知／対応の企業である Secureworks は、調査依頼を受けた数百件の実戦的なインシデントを基に、 “Learning from Incident Response“ レポートを作成した。同社は、BEC の件数の大幅増の背景にはフィッシングの急増があり、イニシャル・アクセス・ベクターの 33％を占めており、2021年の 13％から増加したと発表している。

Tick APT Group：東アジアの政府機関や軍事機関をサプライチェーンから狙っている

Tick APT Group Hacked East Asian DLP Software Firm

2023/03/15 InfoSecurity — 政府機関や軍事機関向けの DLP (data-loss prevention) ソフトウェアを開発する、東アジアの企業を標的とした新たなマルウェアキャン・ペーンは、Tick という名の APT グループに起因することが判明した。2023年3月14日 (火) に ESET が発表したアドバイザリによると、この脅威アクターは DLP 企業の内部アップデート・サーバに侵入し、ネットワーク内にマルウェアを配信したという。その後に、同社が使用する正規のツール・インストーラをトロイの木馬化し、同社の顧客２社のコンピュータでマルウェアが実行される状況に至ったという。

Emotet や QSnatch などが御用達：DNS を悪意のハイウェイとして活用するマルウェアたち

Emotet, QSnatch Malware Dominate Malicious DNS Traffic

2023/03/15 DarkReading — インターネットの DNS (domain name system) は、脅威アクターたちにとって、一種のスーパー・ハイウェイとなっているようだ。この四半期において、6 組織に 1 組織の割合で、悪質なネットワーク・トラフィックを経験しているが、それらは、Emotet などのマルウェア／フィッシング攻撃／コマンド＆コントロール (C2) アクティビティの、いずれかの形態であることが、研究者たちにより明らかになった。

SVB 銀行の破綻を悪用：金銭やデータを盗み出すサイバー犯罪者たち

Cybercriminals exploit SVB collapse to steal money and data

2023/03/14 BleepingComputer — 2023年3月10日のシリコンバレー銀行 (SVB) の破綻は、世界の金融システムに波紋を広げているが、ハッカー／詐欺師／フィッシング・キャンペーンにとっては、絶好のチャンスになりつつある。複数のセキュリティ研究者たちが報告しているように、すでに脅威アクターたちは疑わしいドメインを登録してフィッシング・ページを作成し、BEC (Business E-mail Compromise) 攻撃の準備を整えている。これらのキャンペーンの目的は、金銭やアカウントの窃取、マルウェアの展開などにある。

phpMyAdmin／MySQL／FTP／Postgres が標的：GoBruteforcer というマルウエアが登場

New GoBruteforcer malware targets phpMyAdmin, MySQL, FTP, Postgres

2023/03/10 BleepingComputer — 新たに発見された Golang ベースのボットネット・マルウェアは、phpMyAdmin／MySQL／FTP／Postgres サービスを実行している Web サーバをスキャンして感染させる。このマルウェアは、Palo Alto Networks Unit 42 の研究者たちに発見され GoBruteforcer と名付けられたが、x86／x64／ARM アーキテクチャに対応しているという。GoBruteforcer は、脆弱な *nix デバイスをハッキングするために、脆弱なパスワードまたは、デフォルトのパスワードを持つアカウントに対してブルートフォースを仕掛ける。

Xenomorph は最凶のバンキング・トロイの木馬：侵入後の不正送金まで自動化している！　

Latest version of Xenomorph Android malware targets 400 banks

2023/03/10 SecurityAffairs — Android マルウェアである Xenomorph の作者 Hadoken Security Group は、悪意のあるコードを改良し続けている。ThreatFabric の研究者たちが Xenomorph マルウェアを発見した 2022年2月の時点で、Google Play ストア経由での配布が行われ、すでに５万以上のインストールに達していたという。このバンキング・トロイの木馬は、欧州の 56 の銀行を標的とし、顧客のデバイスから機密情報を盗み出すために使用されていた。そのコードの分析により、未実装の機能が存在すること、そして、大量のログが存在することが明らかになり、この脅威の活性化が示唆されている。

米政府職員のセキュリティ意識：20％が雇用主へのハッキングに無関心だと回答

Fifth of Government Workers Don’t Care if Employer is Hacked

2023/03/09 InfoSecurity — 説明責任を果たさない文化と、不十分なサイバー衛生と、限られたスタッフ・トレーニング・・・このような傾向が、世界中の政府にサイバー・リスクの大きな嵐を生み出し、その一方では、深刻なデータ漏洩の可能性に対して、多くの職員が無関心になっていると、Ivanti は警告している。セキュリティ・ベンダーである Ivanti は、世界中の公共部門の職員 800人を対象にアンケートを実施し、新しい Government Cybersecurity Status Report を公開した。

Oracle Weblogic Server が標的：ScrubCrypt 攻撃を仕掛ける 8220 Gang

8220 Gang Behind ScrubCrypt Attack Targeting Oracle Weblogic Server

2023/03/09 InfoSecurity —8220 Gang と呼ばれる脅威アクターが、特定の Uniform Resource Identifier (URI) 内の悪用可能な Oracle Weblogic Server を標的とし、新たなペイロードを展開することが判明した。この、Fortinet のセキュリティ研究たちが分析したペイロードは、セキュリティ・プログラムによる検出の回避を特徴としている。そして、アプリケーションを難読化／暗号化するために設計されたマルウェアである、ScrubCrypt の抽出を目的としている。

IceFire というランサムウェアが登場：IBM Aspera Faspex を悪用して Linux ネットワークを攻撃

IceFire Ransomware Exploits IBM Aspera Faspex to Attack Linux-Powered Enterprise Networks

2023/03/09 TheHackerNews — IceFire として知られている Windows ベースのランサムウェアが、世界中のメディアやエンターテイメントの組織で運用されている、Linux エンタープライズ・ネットワークへとターゲットを拡大している。サイバーセキュリティ企業の SentinelOne によると、このランサムウェアは、最近に公表された IBM Aspera Faspex ファイル共有ソフトウェアに存在する、不適切なデシリアライズの脆弱性 CVE-2022-47986 (CVSS：9.8) を悪用して展開されているという。

SonicWall SMA を攻撃するカスタム・マルウェア：背後にいるのは中国由来の UNC4540 ？

SonicWall SMA appliance infected by a custom malware allegedly developed by Chinese hackers

2023/03/09 SecurityAffairs — UNC4540 として追跡され中国由来とされている脅威アクターが、SonicWall SMA アプライアンスにカスタム・マルウェアを展開したことを、Mandiant の研究者たちが報告した。このマルウェアは、攻撃者によるユーザー認証情報の窃取を可能にし、ファームウェアのアップグレードによる永続性を実現し、シェルアクセスを提供するとされる。

Sunlogin／AweSun の脆弱性を悪用して展開：PlugX マルウェア感染が止まらない

Hackers Exploiting Remote Desktop Software Flaws to Deploy PlugX Malware

2023/03/09 TheHackerNews — リモート・デスクトップ・プログラムである、Sunlogin／AweSun のセキュリティ脆弱性を悪用する脅威アクターたちが、マルウェア PlugX を展開していることが判明した。この脆弱性は、侵害したシステム上に各種のペイロードを配信するために悪用され続けていると、AhnLab Security Emergency Response Center (ASEC) は最新の調査結果で述べている。こうして配信されたマルウェアには、Sliver post-exploitation framework／XMRig cryptocurrency miner／Gh0st RAT／Paradise ransomware などが含まれている。そして PlugX は、最近になって配布されるようになったという。

2022年のマルウェア検出数は 1460 億件：前年比で 55% 増と Trend Micro

Cyber-Threat Detections Surge 55% in 2022

2023/03/08 InfoSecurity — Trend Micro の発表は、2022年に 1460億件のサイバー脅威を阻止したというものだ。この件数は、前年比で 55％増を示しており、あらゆる規模／分野の企業に対して、サイバー犯罪者がアプローチを拡大している証拠でもある。同社が発表したのは、世界各地で発生した脅威情報から構成される、年次総括レポート Rethinking Tactics であり、そのスコープは、モバイル／IoT／PC エンドポイント／サーバ・エンドポイント／電子メール／ウェブ層／ネットワーク層／OT ネットワーク／クラウド／ホーム・ネットワーク／脆弱性／消費者／企業／政府などにまで広がっている。

Microsoft Excel の XLL add-ins がデフォルトでブロック：さらなる MoTW の強化

Microsoft Excel now blocking untrusted XLL add-ins by default

2023/03/07 BleepingComputer — 世界中の Microsoft 365 テナントに配置される、表計算ソフトの Excel において、信頼できない XLL アドインをデフォルトでブロックするようになったと、Microsoft が発表した。同社は、この変更について 2023年1月に発表しているが、Insiders 向けにロールアウトの初期テスト・フェーズに入ったときに、この新しいエントリーが Microsoft 365 のロードマップに追加された。この新機能は、Current／Monthly Enterprise／Semi-Annual Enterprise チャネルの全デスクトップ・ユーザーにロールアウトされた後の３月下旬までに、世界中のマルチ・テナントで一般でも利用可能になる予定だ。

LastPass ハッキングの全容を解明：エンジニアの自宅のメディアサーバが侵入経路だった

LastPass Hack: Engineer’s Failure to Update Plex Software Led to Massive Data Breach

2023/03/07 TheHackerNews — LastPass における大規模な情報漏えいは、同社のエンジニアの１人が、自宅のコンピュータで Plex のアップデートを怠った結果であり、ソフトウェアを最新に保つことを怠ることの危険性を痛感させるものだった。先週に LastPass は、「2022年8月12日以前に発生したインシデントで盗まれた情報と、サードパーティに対するデータ侵害および、一般的なメディア・ソフトウェア・パッケージ Plex の脆弱性から入手した情報を組み合わせた正体不明の人物が、2022年8月〜10月に２度目の組織的な攻撃を行ったことを明らかにした。

Emotet の活動再開を捕捉：2023 大規模キャンーペンのトリックは大容量ファイル？

Emotet malware attacks return after three-month break

2023/03/07 BleepingComputer — 2023年03月07日 (火) の朝の時点で、Emotet マルウェアの活性化が観測されている。このマルウェアは、３ヶ月間の休息を経て、再び悪意の電子メールを送信し、そのネットワークを再構築し、世界中のデバイスへの感染を広め始めている。Emotet は、悪意の Word／Excel 添付ファイルを隠し持つ子メールで配布される、悪名高いマルウェアである。それらの文書をユーザーが開いたとき、マクロが有効になっていると、Emotet DLL がダウンロードされ、メモリにロードされる。そして、ロードされた Emotet は静かに待機し、リモートの Command and Control (C2) サーバからの指示を待つ。

SYS01stealer という情報スティーラーを発見：Facebook ビジネス・アカウントなどが標的

SYS01stealer: New Threat Using Facebook Ads to Target Critical Infrastructure Firms

2023/03/07 TheHackerNews — サイバー・セキュリティ研究者たちが発見したのは、政府／インフラ／製造業などを標的とする、SYS01stealer という名の新しい情報スティーラーである。 Morphisec は、「このキャンペーンのターゲットは、Facebook のビジネス・アカウントだ。この脅威アクターは、ゲーム／アダルトコンテンツ／クラックソフトウェアなどを宣伝する、Google 広告や Facebook の偽プロファイルを使用して、悪意のファイルをダウンロードするように、被害者たちを誘導する。この攻撃は、ログインデータ／クッキーだけではなく、Facebook ビジネスアカウント情報などの、機密情報を盗むために設計されている」と、The Hacker News と共有したレポートで詳述している。

OT に忍び寄るマルウェア：ソーシャルエンジニアリングが産業分野にも浸透してきた

Almost Half of Industrial Sector Computers Affected By Malware in 2022

2023/03/06 InfoSecurity — 製造業の現場で使用されている Operational Technology (OT) コンピュータの 40.6% が、2022年においてマルウェアの影響を受けていることが判明した。今日の未明に Kaspersky のセキュリティ研究者たちが発表したレポートによると、この数字は、2022年上半期と比較して６％増加し、2021年下半期との比較では約 1.5倍になっている。

ATM を狙う FiXS マルウェアはロシア由来：CEN XFS をサポートする全デバイスが攻撃対象

New ATM Malware ‘FiXS’ Emerges

2023/03/06 SecurityWeek — サイバーセキュリティ企業 Metabase Q は、ラテンアメリカの ATM を標的とする新しいマルウェア・ファミリーの動きを確認した。FiXS という名の、ロシアのメタデータを持つ脅威アクターは、現時点ではメキシコの銀行を標的にしている、CEN XFS をサポートする全ての ATM を標的にできることが判明している。これまでに活動してきた Ploutus ATM マルウェアと同様に、FiXS の展開には外部キーボードが必要となるため、サイバー犯罪者による ATM への物理的なアクセスが行われているようだ。

Microsoft OneNote ファイルによるマルウェア感染：防止のための手順を詳述する

How to prevent Microsoft OneNote files from infecting Windows with malware

2023/03/05 bleepingComputer — 一見何の変哲もない Microsoft OneNote ファイルが、マルウェアの拡散／企業ネットワークへの侵入で悪用される、ハッカーたちの人気のファイル形式になっている。ここでは、OneNote のフィッシング添付ファイルが、Windows に感染するのをブロックする方法を紹介していく。Microsoft OneNote ファイルが、マルウェアをばらまくフィッシング攻撃のツールとして選ばれるようになった背景を、少し説明する必要があるだろう。まずは、ここに至るまでの経緯を説明する。

Redis データベース・サーバが標的：３つ目のクリプトジャッキング・キャンペーンが登場

New Cryptojacking Campaign Leverages Misconfigured Redis Database Servers

2023/03/02 TheHackerNews — Redis データベース・サーバのミスコンフィグレーションが、新しいクリプトジャッキング・キャンペーンのターゲットとなっているが、そこで悪用されているのは、正規のオープンソース・コマンドライン・ファイル転送サービスである。Cado Security は、「このキャンペーンを支えていたのは、transfer[.]sh である。つまり、数多くのサービスなどで普通に使われる、pastebin[.]com などのコード・ホスティング・ドメインをベースにした、検出を回避する試みの可能性がある」と、The Hacker News と共有したレポートで述べている。

Iron Tiger ハッキング・グループは中国由来の APT27：Linux 版のカスタム・マルウェアを投入

Iron Tiger hackers create Linux version of their custom malware

2023/03/01 BleepingComputer — Iron Tiger こと APT27 ハッキング・グループは、カスタム・リモートアクセス・マルウェア SysUpdate の新しい Linux 版を用意し、企業で使用される広範なサービスを標的にしようとしている。Trend Micro の最新レポートによると、このハッカーは 2022年7月より Linux 版をテストし始めている。そして、2022年10月になると、複数のペイロードが野放し状態で活動し始めまた。

BlackLotus という UEFI Bootkit マルウェア第１号：Windows 11 の Secure Boot を突破する

BlackLotus Becomes First UEFI Bootkit Malware to Bypass Secure Boot on Windows 11

2023/03/01 TheHackerNews — BlackLotus という高ステルス性の UEFI (Unified Extensible Firmware Interface) ブートキットが、Secure Boot 防御を回避するマルウェアとして初めて公になり、サイバー環境における強力な脅威となってきた。スロバキアのサイバーセキュリティ企業 ESET は、「このブートキットは、UEFI セキュアブートを有効にした最新の Windows 11 システム上でも実行可能である」と、The Hacker News と共有したレポートで述べている。

モバイル・フィッシング 2022年レポート：BYOD ポリシー緩和につけ込む攻撃者たち

Record Number of Mobile Phishing Attacks in 2022

2023/03/01 InfoSecurity — Lookout によると、2022年においては、過去最大のモバイル・フィッシングが観測され、世界のスマフォ・ユーザーの半数が、四半期ごとにフィッシング攻撃にさらされていたこと判明した。この調査結果は、2023年3月1日に Lookout 発表した Global State of Mobile Phishing Report から得られたものだ。このレポートによると、モバイル・フィッシングの発生率は、３年前からの上昇傾向を裏付けるものであり、2020年 Q4 以降においては四半期ごとに増加している。ただし、この数字は、個人の携帯電話のみを対象としている。

Parallax RAT の標的は暗号通貨企業：洗練されたインジェクション技術で検出を回避

Parallax RAT Targeting Cryptocurrency Firms with Sophisticated Injection Techniques

2023/03/01 TheHackerNews — Parallax RAT と呼ばれるリモート・アクセス型トロイの木馬を配信する新しいキャンペーンにおいて、暗号通貨企業が標的にされている。Uptycs の最新レポートには、「このマルウェアは、インジェクション技術を用いて正規のプロセス内に潜伏し、検出を困難にしている。その注入を成功させた攻撃者は、おそらく通信チャネルとして機能する Windows Notepad を介して、被害者に接触するようになる。