Malware – Page 20 – IoT OT Security News

Emotet の最新情報：Google Chrome に保存されるクレジット・カード情報を盗もうとしている

Emotet malware now steals credit cards from Google Chrome users

2022/06/08 BleepingComputer — 現状における Emotet ボットネットは、Google Chrome のユーザー・プロファイルに保存されている、クレジット・カード情報を採取するように設計された・クレジット・カード盗用モジュールを被害者に感染させようとしている。このマルウェアは、クレジットカード情報 (氏名／有効期限／カード番号など) を盗み出した後に、通常の Emotet カード・スティーラー・モジュールが使用するものとは別の、Command and Control (C2) サーバーへと情報を送信する。

CCleaner Pro の海賊版を装うマルウェア：Google 検索に現れる怪しい広告に御用心

Poisoned CCleaner search results spread information-stealing malware

2022/06/08 BleepingComputer — Windows 最適化プログラム CCleaner Pro を検索すると、その海賊版の広告が表示され、騙されてインストールすると、パスワード／クレジットカード／暗号化ウォレットなどを盗み出すマルウェアを取り込むことになる。この新しいマルウェア配布キャンペーンは、Avast のアナリストが発見したものであり、FakeCrack と名付けられている。Avast の顧客テレメトリー・データによると、平均して１万件ほどの感染未遂が、日々検出されているとのことだ。これらの被害者の多くは、フランス／ブラジル／インドネシア／インドに在住している。

Radware 調査：2022 Q1 における DDoS 攻撃と App 攻撃の状況は悲惨だった

Q1 2022 DDoS and Application Attack Activity: An Overview

2022/06/08 SecurityBoulevard — 2022年 Q1 におけるサイバー・セキュリティの脅威の状況は、旧来／新規の敵が混在するものとなった。DDoS の脅威は新たな勢力により支配され、アプリケーション・セキュリティは従来からの攻撃ベクターに直面し続けている。これらの攻撃は、地政学的な不安定さ、ハクティビスト、国民国家の脅威者、新たな脆弱性の悪用にフォーカスする、脅威の状況により大幅に加速されている。2022年 Q1 に発生したネットワーク／アプリケーションに対する攻撃活動の詳細な分析は、Radware 2021-2022 Global Threat Analysis Report で確認できる。以下のハイライトを参照し、驚くべき結果を確認してほしい。

NSA／CISA／FBI 勧告：中国の国家支援ハッカーたちが Telecom／NSP を狙っている

U.S. Agencies Warn About Chinese Hackers Targeting Telecoms and Network Service Providers

2022/06/08 TheHackerNews — 米国のサイバーセキュリティ／情報機関は、少なくとも 2020年以降において、中国を拠点とする国家に支援されたサイバー行為者が、公共／民間組織のネットワークの脆弱性を悪用して侵害していると警告している。この広範な侵入キャンペーンでは、Small Office／Home Office (SOHO) ルーターやネットワーク接続ストレージ (NAS) デバイスなどの、すでに公表されているセキュリティ上の欠陥を悪用し、被害者のネットワークへの深いアクセスを獲得することを目的としている。

ThreatLabz 調査：ランサムウェア攻撃は前年比で 80% 増で手口も多様化

Ransomware attacks setting new records

2022/06/07 HelpNetSecurity — Zscaler は、毎年恒例の ThreatLabz Ransomware Report の調査結果を発表し、ランサムウェア攻撃が前年比で80%増加したことを明らかにした。2022年に最も広まったランサムウェアのトレンドとしては、二重脅迫／サプライチェーン攻撃／RaaS／リブランディング／地政学的扇動などが挙げられている。このレポートでは、サイバー犯罪者に最も狙われている業界の詳細や、二重脅迫やサプライチェーン攻撃による被害などが説明され、現在活動している最も活発なランサムウェアグループが紹介されている。

Windows のゼロデイ脆弱性 Follina CVE-2022-30190：Qbot のフィッシング攻撃が始まった

Qbot malware now uses Windows MSDT zero-day in phishing attacks

2022/06/07 BleepingComputer — Windows の深刻なゼロデイ脆弱性 Follina だが、現在進行中のフィッシング攻撃において、受信者を Qbot マルウェアに感染させるために悪用されている。月曜日に Proofpoint は、米国と欧州の政府機関を標的としたフィッシングで、このゼロデイ脆弱性が使用されていることを、初めて報告した。また先週には、中国のハッキング・グループ TA413 が、チベット人居住区を標的とした攻撃で、この脆弱性を悪用していることも明らかにされている。

モバイル・バンキング・トロイの木馬 Top-10：人気の金融アプリにオーバレイ攻撃を仕掛ける

10 Most Prolific Banking Trojans Targeting Hundreds of Financial Apps with Over a Billion Users

2022/06/06 TheHackerNews — 最も活発に動いているモバイル・バンキング・トロイの木馬 Top-10 は、Google Playストアで提供され、累積で 10億1000万回以上もダウンロードされている、639種類の金融アプリケーションに目をつけている。それらの標的にされたアプリには、PhonePe (Walmart)／Binance／Cash App／Garanti BBVA Mobile／La Banque Postale／Ma Banque／Caf-Mon Compte／Postepay／BBVA México などが含まれる。これらのアプリだけで、公式アプリマーケットプレースからのダウンロード数は、2億6,000万件を超えている。

Evil の新たな戦略：LockBit ランサムウェアの運用により制裁を逃れる？

Evil Corp switches to LockBit ransomware to evade sanctions

2022/06/02 BleepingComputer — 現時点におけるサイバー犯罪グループ Evil Corp は、米国財務省外国資産管理局 (OFAC：Office of Foreign Assets Control) が課す制裁を回避するため、ランサムウェア LockBit を標的ネットワークに展開する方法へと、切り替えていることが明らかになった。2007年から活動している Evil Corp (INDRIK SPIDER／ Dridex) は、Dridex マルウェアを展開した後にランサムウェアをビジネスへと転換した、パイオニアとして知られている。

RaaS ギャングとアクセス・ブローカーの緊密な関係：深化するエコシステムを追跡

Access Brokers and Ransomware-as-a-Service Gangs Tighten Relationships

2022/06/02 SecurityWeek — ここ数年、ダークウェブ・ウォッチャーたちは、サイバー犯罪集団の専門性の高まりに注目している。脅威アクターたちは、利益を最大化するための業務の効率化という目的のもとに、うまく組織化されている。アクセス・ブローカーと Ransomware-as-a-Service (RaaS) グループがより密接な関係になっていることは、明らかな進展である。

ウクライナの不安定化を狙うロシア：サイバー空間での戦いに “Z” は失敗している

Russia is ‘failing’ in its mission to destabilize Ukraine’s networks after a series of thwarted cyber-attacks

2022/06/02 DailySwig — ウクライナのサイバー耐性を揺るがすという任務に、ロシアは失敗している。言い換えるなら、ウクライナは、同国は圧制者からのサイバー攻撃をうまく阻止し続けている。これは、今週に開催された WithSecure の Sphere Conference で得られた教訓であり、同社の CRO である Mikko Hyppönen は、「プーチン政権は、ほぼ失敗している」と出席者に伝えた。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用前にハッカーが悪用

Hackers Exploiting Unpatched Critical Atlassian Confluence Zero-Day Vulnerability

2022/06/02 TheHackerNews — Atlassian が発した警告は、Confluence Server／Data Center に影響をおよぼすリモート・コード実行の脆弱性に関して、パッチ適用前のシステムが数多く存在し、それらが活発に悪用されているというものだ。オーストラリアに本拠を置く Atlassian は、サイバーセキュリティ会社 Volexity が、脆弱性 CVE-2022-26134 を特定したことの功績を認めている。

Conti の置きみやげ：Intel ファームウェアを標的とするスティルス攻撃が消えない

Conti ransomware targeted Intel firmware for stealthy attacks

2022/06/02 BleepingComputer — Conti ランサムウェアから流出したチャットを分析した研究者たちは、ロシアのサイバー犯罪グループ内のチームが、ファームウェアのハッキングを積極的に行ってきたことを発見した。このサイバー犯罪シンジケートのメンバーたちが交わしたメッセージによると、Conti の開発者は、Intel の Management Engine (ME) を活用してフラッシュを上書きし、System Management Mode (SMM) を実行させる PoC コードを作成していたことが判明した。

Clipminer マルウエアが野放し状態：トランザクション・ハイジャックにより $1.7 M が盗まれた

Clipminer malware gang stole $1.7M by hijacking crypto payments

2022/06/02 BleepingComputer — 脅威アナリストたちが、Clipminer という名の暗号通貨マイニング・マルウェアの大規模キャンペーン発見し、トランザクション・ハイジャックを行うオペレーターたちが、少なくとも $1.7 million の利益を得ていることが明らかになった。Broadcom 傘下 Symantec の研究者たちによると、Clipminer は KryptoCibule マルウェアをベースにしているとのことだ。どちらのトロイの木馬も、ウォレットを盗み出し、トランザクションをハイジャックし、感染させたマシンで暗号通貨を採掘することに重点を置いている。

FluBot がテイクダウン：FedEx／DHL 追跡アプリを装うマルウェアを確認しよう

FluBot Android Spyware Taken Dwn in Global Law Enforcement Operation

2022/06/01 TheHackerNews — 今回の国際的な法執行活動に参加した 11カ国により、FluBot と呼ばれるモバイル・マルウェアの脅威は取り除かれた。欧州警察機構 (Europol) は「この Android マルウェアは、SMS を介して積極的に拡散され、世界中の感染したスマートフォンから、パスワードやオンライン・バンキングの詳細などの、機密情報が盗み出された」と声明で述べている。この複雑な捜査には、オーストラリア／ベルギー／フィンランド／ハンガリー／アイルランド／ルーマニア／スペイン／スウェーデン／スイス／オランダ／米国などの各当局が関与している。

R4IoT キルチェーン実証概念：IoT／IT からの侵入と OT へのランサムウェア攻撃を簡潔に証明

Researchers Devise Attack Using IoT and IT to Deliver Ransomware Against OT

2022/06/01 SecurityWeek — ランサムウェアとは、恐喝の一種である。その唯一の目的は、被害者から金銭を引き出すことだ。産業界が身代金要求の回避に成功すると、攻撃者はもう一つのレベルの強要を、すなわちデータ恐喝を追加するという、二重の強要を作り出した。防御側が二重の恐喝を上手くわすようになると、攻撃者は再び進化を遂げるだろう。最も明白な道は、IT だけでなく OT (Operational Technology も攻撃することだろう。OT に対する攻撃の実現は困難だが、その効果を緩和することも同様に困難である。サイバー恐喝の進化は、OT に対する攻撃を、単なる可能性には留まらせない。

YODA という WordPress 検査ツール：24,000 のサイトで 47,000 の悪意の Plugin を検出

YODA Tool Found ~47,000 Malicious WordPress Plugins Installed in Over 24,000 Sites

2022/06/01 TheHackerNews — 24,931 の Web サイトで、47,337 もの不正な Plugin が発見された。そのうちの 3,685 の Plugin は正規のマーケットプレイスで販売され、攻撃者たちは $41,500 もの不正な収益を手にしている。ジョージア工科大学の研究者グループが実施した、８年間にわたる調査によると、この結果は、不正な WordPress Plugin を検出し、その起源を追跡することを目的とした、YODA と呼ばれる新しいツールから得られたものとなる。

ランサムウェアの調査：IBM X-Force が指摘する攻防時間の大幅な短縮とは？

Ransomware attacks need less than four days to encrypt systems

2022/06/01 BleepingComputer — 2021年におけるランサムウェア攻撃の持続時間は、イニシャル・ネットワーク・アクセスからペイロード展開までを計測した結果、平均で 92.5時間でとなった。2020年のランサムウェア・アクターたちは、攻撃を完了するまでに平均で 230時間を、また、2019年は 1637.6時間を費やしていた。この変化は、大規模オペレーションと高収益性を目指して、ランサムウェア運用者たちが時間をかけて進化させてきた、より合理的なアプローチを反映するものだ。

XLoader ボットネットの最新技術：確率論を用いて C2 サーバーの所在を隠す

New XLoader botnet uses probability theory to hide its servers

2022/05/31 BleepingComputer — 脅威アナリストたちが明らかにしたのは、ボットネット・マルウェア XLoader の新バージョンでは、確率論を用いた Command and Control (C2) サーバー隠蔽機能が実装され、マルウェアの対策が困難になるという点である。それにより、マルウェアの運営者は、特定された IP アドレスのブロックによりノードを失うというリスクを負うことなく、同じインフラを使い続けることが可能となり、また、追跡／特定のリスクも低減されるという。

EnemyBot の狙う脆弱性がエグイ：即座に VMware／Spring／F5 BIG-IP に対応

EnemyBot malware adds exploits for critical VMware, F5 BIG-IP flaws

2022/05/29 BleepingComputer — 複数のマルウェア・コードをベースにしたボットネット EnemyBot は、Webサーバー／CMS／IoT／Android 端末などで公開されたばかりの、深刻な脆弱性の悪用に迅速に対応し、その範囲を拡大している。このボットネットは、Securonix の研究者により 3月に初めて発見され、Fortinet から新しいサンプルの分析結果が提供された 4月には、すでに 12種類以上のプロセッサ・アーキテクチャの不具合を統合していた。このマルウェアは、分散型サービス拒否 (DDoS) 攻撃を主目的としており、新しいターゲット・デバイスをスキャンして感染させるモジュールも備えている。

VMware ESXi を狙う Cheers ランサムウェア：Linux 版に加えて Windows 亜種も登場か？

New ‘Cheers’ Linux ransomware targets VMware ESXi servers

2022/05/25 BleepingComputer — 新たなランサムウェア Cheers が登場し、脆弱性のある VMware ESXi サーバーを標的として活動を開始した。VMware ESXi は、世界中の大企業で一般的に使用されている仮想化プラットフォームであるため、Cheers による暗号化が行われると、その業務に深刻な支障をきたすとされる。

ChromeLoader マルウェアが急増：新たな脅威が Chrome／Safari を脅かす

New ChromeLoader malware surge threatens browsers worldwide

2022/05/25 BleepingComputer — マルウェア ChromeLoader は、2022年に入っていからの検出量が平均していたが、５月に入ってからは増加しており、ブラウザ・ハイジャックの脅威を拡大させる原因となっている。ChromeLoader は、被害者の Web ブラウザーの設定を変更し、不要なソフトウェアや、偽の景品やアンケート、アダルトゲーム、出会い系サイトなどを宣伝するための、検索結果を表示するブラウザー・ハイジャッカーである。

BPFDoor マルウェアは Solaris の脆弱性 CVE-2019-3010 を悪用して root を奪う

BPFDoor malware uses Solaris vulnerability to get root privileges

2022/05/25 BleepingComputer — Linux および Solaris 向けのステルス型マルウェア BPFdoor の、内部構造に関する新たな研究により、このマルウェアの背後にいる脅威アクターは、標的システム上で持続性を得るために、古い脆弱性を利用していることが明らかになった。BPFDoor はカスタム・バックドアであり、少なくとも５年間において、通信／政府／教育／物流などの組織への攻撃で、ほとんど検出されずに使用されてきた。

偽の PoC エクスプロイトに御用心：GitHub を悪用する新手のマルウェア配布方式

Cybersecurity Community Warned of Fake PoC Exploits Delivering Malware

2022/05/24 SecurityWeek — サイバー・セキュリティ・コミュニティのメンバーたちに、PoC エクスプロイトだと偽ってマルウェアを配信する、脅威アクターたちの新たな動きが、研究者たちにより暴かれた。5月19日に研究者たちは、2022日4月の Patch Tuesday アップデートで Microsoft が修正した、Windows の脆弱性数件の PoC エクスプロイトに見せかけた、悪意のソフトウェアが GitHub にホストされていることを報告した。

ダボス会議のインターポール：国家が開発したサーバー兵器がダークウェブで売られる日も近い

Nation-state malware could become a commodity on dark web soon, Interpol warns

2022/05/24 SecurityAffairs — インターポールの Secretary General である Jurgen Stock は、国家に支援されたマルウェアが、数年のうちにダークネット上で提供されるようになると発言した。ロシアとウクライナの紛争が続いているが、国家アクターと非国家アクターの双方が開発したマルウェアは、世界中の重要インフラや組織にとって深刻なリスクとなっている。

Trend Micro の DLL ハイジャック脆弱性が FIX：中国の APT による悪用が生じていた？

Trend Micro fixes bug Chinese hackers exploited for espionage

2022/05/24 BleepingComputer — Trend Micro が発表した内容は、中国の脅威グループが不正な DLL をサイドロードし、マルウェアを展開するために使用した、Trend Micro Security の DLL ハイジャック脆弱性に対するパッチ適用についてである。５月上旬に Sentinel Labs が明らかにしたように、Windows 上で動作するセキュリティ製品の高権限を悪用する攻撃者は、悪意を持って細工した独自の DLL をメモリ上にロードし、権限昇格とコードの実行を可能にしていたようだ。

ランサムウェア 2021年の調査：勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第２版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう１人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

PayPal の未パッチ脆弱性：クリック・ジャックの一撃で現金が盗まれる

New Unpatched Bug Could Let Attackers Steal Money from PayPal Users

2022/05/23 TheHackerNews — あるセキュリティ研究者が、PayPal 送金サービスに存在する、パッチが適用されていない脆弱性を発見したと主張している。この脆弱性を悪用する攻撃者が被害者を騙して、攻撃者が指示した取引を１回のクリックで完了させる可能性があると述べている。

PyPI リポジトリに悪意のパッケージ：Windows／Linux／macOS にバックドアを仕込む

Malicious PyPI package opens backdoors on Windows, Linux, and Macs

2022/05/21 BleepingComputer — Windows／Linux／macOS 上に Cobalt Strike ビーコンやバックドアをドロップし、サプライチェーン攻撃を行う悪意の Python パッケージが、PyPI レジストリでもう一つ発見された。PyPI は、開発者が自身の作品を共有し、他者の作品から利益を得るために利用される、オープンソース・パッケージのリポジトリであり、プロジェクトに必要な機能ライブラリをダウンロードする場所である。

Linux を侵食する XORDDoS ボットネット：活動量が６ヶ月で 254% の増加

The activity of the Linux XorDdos bot increased by 254% over the last six months

2022/05/20 SecurityAffairs — XORDDoS は XOR.DDoS とも呼ばれる Linux ボットネットであり、2014年に脅威フィールドに登場したものである。ゲームや教育の Web サイト攻撃に利用され、悪意のトラフィックが 150 GB/s に達する大規模な DDoS 攻撃を引き起こしたこともある。XORDDoS は、マルウェア活動の難読化／ルールベース検出メカニズムの回避／ハッシュベースの悪意のファイル検索／永続化メカニズム／アンチフォレンジックなどのテクニックを活用している。Microsoft の専門家は、これまでの６ヶ月の間に、XORDDoS に関連する活動は 254% 増であることを検知している。

Conti ランサムウェアの解体と分散化：リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

2022 Q1 ランサムウェア調査：最も好まれる脆弱性 Top-10 などが明らかに

Ransomware gangs rely more on weaponizing vulnerabilities

2022/05/19 BleepingComputer — セキュリティ研究者たちの指摘は、ランサムウェア・ギャングが企業ネットワークに侵入する際に、依然として外部リモート・アクセス・サービスが主要な経路であるが、脆弱性を悪用するケースも目立って増えてきているというものだ。フィッシングだけではなく、インターネットに公開されたアプリケーションの脆弱性を悪用は、脅威アクターによるデータの窃取や、システムの暗号化につながる、主要な侵害の方式となっている。

IT ヘルプ・デスクの調査：65％のチームが持続不可能なストレスを訴えている

65% of IT help desk teams report unsustainable levels of stress

2022/05/18 HelpNetSecurity — これまでの２年間において、IT 部門はビジネスの最前線に立ち、組織はデジタル・トランスフォーメーションを迅速に導入し、完全なリモートワークや分散型労働の実現を支援してきた。その一方で、Splashtop のレポートによると、米国内の IT ヘルプデスク・チームの 65％において、持続不可能なレベルのストレスを訴えるメンバーが増加しているようだ。さらに、回答者の 94% が、これまでの 12カ月間における自社のヘルプデスク部門が、雇用問題／人材確保問題／スキル不足の影響を受けたと回答している。その結果として、回答者の 67% が IT サポート目標の維持に問題があると報告している。

VMware 製品群の２つの深刻な脆弱性が FIX：認証バイパスで root 取得を許してしまう

VMware Releases Patches for New Vulnerabilities Affecting Multiple Products

2022/05/18 TheHackerNews — VMware は、Workspace ONE Access／Identity Manager／vRealize Automation に関連する、２つの脆弱性修正するパッチを発表した。認証バイパスの脆弱性 CVE-2022-22972 (CVSS：9.8) は、ネットワーク経由で UI にアクセスできる脅威アクターに対して、事前の認証なしに root 権限取得を許してしまうものである。もう１つの、ローカル権限昇格の脆弱性 CVE-2022-22973 (CVSS : 7.8) は、ローカル・アクセスを持つ攻撃者に対して、脆弱な仮想アプライアンス上で root への権限昇格を許してしまうものである。

UpdateAgent マルウェアは Mac を狙う：macOS Gatekeeper もバイパスするという

UpdateAgent Returns with New macOS Malware Dropper Written in Swift

2022/05/17 TheHackerNews — UpdateAgent という名で追跡されている、macOS マルウェアの新亜種が野放しの状態で発見され、また、継続的な機能のアップグレードが実施されていることが判明している。Jamf Threat Labs の研究者は報告書で、「おそらく、このマルウェアの最も大きな特徴の１つは、さまざまなペイロードをホストし、標的サーバーへの感染ステータスを更新するために、AWS インフラストラクチャに依存している点だ」と述べている。

Emotet の検出量が最多になった：HP Wolf Security 調査 2022 Q1

Emotet is the most common malware

2022/05/17 HelpNetSecurity — HP の Wolf Security 脅威リサーチ・チームが、Emotet が再登場した 2021年 Q4 と 2022年 Q1 を比較し、Emotet 悪質スパム・キャンペーンによる検出数が 28倍に増加していることを確認し発表している。現実のサイバー・セキュリティ攻撃の分析を提供する、最新の HP Wolf Security Threat Insights Report Q1-2022 によると、Emotet は 36 ランク・アップして、2022年 Q1 で最も多く検出されたマルウェア・ファミリーとなった (捕捉した全マルウェアの 9％)。

Log4Shell 悪用と AI ポイズニング：企業のデータレイクに忍び寄る脅威とは？

Log4Shell Exploit Threatens Enterprise Data Lakes, AI Poisoning

2022/05/13 DarkReading — 人工知能 (AI) や機械学習 (ML) の導入が進み、企業のデータレイクは大容量化しているが、残念なことに、Java Log4Shell 脆弱性を介して悪用されやすいことが、研究者たちにより明らかにされている。一般的な組織は、プライバシー保護に配慮しながら、AI／ML アルゴリズムの学習用に可能な限り多くのデータポイントを取り込むことに注力しているが、データレイク自体のセキュリティ強化に手を抜いていることが、あまりにも多くなっているという。

BPFdoor バックドアの脅威：ファイアウォールをすり抜ける Linux マルウェアの詳細

BPFdoor: Stealthy Linux malware bypasses firewalls for remote access

2022/05/12 BleepingComputer — 最近になって発見された BPFdoor (Berkeley Packet Filter) というバックドア・マルウェアは、５年以上も気づかれることなく、こっそりと Linux や Solaris システムを標的にしてきた。BPFdoor は、Linux/Unix のバックドアであり、脅威アクターは Linux シェルにリモートで接続し、侵害したデバイスに対する完全なアクセスを得るようになる。このマルウェアは、ポートを開く必要がなく、ファイアウォールで止めることもできず、Web 上のあらゆる IP アドレスからのコマンドに応答できるため、企業スパイなどの継続的な攻撃にとって最適なツールとなっている。

WordPress サイトへの大規模攻撃：悪意の JavaScript コード注入とリダイレクトが多発

Thousands of WordPress Sites Hacked to Redirect Visitors to Scam Sites

2022/05/12 TheHackerNews — サイバー・セキュリティ研究者たちが、侵害済みの WordPress サイトに悪意の JavaScript コードを注入し、訪問者を詐欺ページなどの悪意の Web サイトにリダイレクトし、不正なトラフィックを生成するという、大規模なキャンペーンについて公開している。

Nerbian RAT マルウェアは手強い：スティルス機能を満載して WHO を偽装する

New stealthy Nerbian RAT malware spotted in ongoing attacks

2022/05/11 BleepingComputer — Nerbian RAT と呼ばれる、新たなリモート・アクセス型トロイの木馬が発見された。この RAT は、研究者による検出や分析を回避する機能などの、豊富な機能を備えていることが判明している。この新しいマルウェアの亜種は、Golang で書かれているため、クロス・プラットフォームの 64 Bit 脅威となっており、現時点においてはマクロが混入された文書の添付ファイルを使用した、小規模な電子メール配信キャンペーンにより配布されている。この電子メール・キャンペーンは、Proofpoint の研究者たちが発見したものであり、同社は Nerbian に関するレポートも発表している。

西側諸国がロシアを批判：Viasat が運営する KA-SAT 衛星ネットワークへのサイバー攻撃

E.U. Blames Russia for Cyberattack on KA-SAT Satellite Network Operated by Viasat

2022/05/11 TheHackerNews — オーストラリア／カナダ／ニュージーランド／英国／米国からなる Five Eyes 諸国と、ウクライナと、欧州連合は、国際衛星通信 (SATCOM) プロバイダーへの攻撃を首謀し、欧州全体に影響を及ぼしたとして、ロシアを正式に非難した。2022年2月24日にクレムリンがウクライナに軍事侵攻する１時間前に、このサイバー攻撃は行われ、通信会社 Viasat が運営する KA-SAT 衛星ネットワークを標的とし、中央ヨーロッパの風力発電所とインターネット・ユーザーの業務を麻痺させた。

CISA 警告 5/10：F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 を KEV リストに追加

CISA tells federal agencies to fix actively exploited F5 BIG-IP bug

2022/05/11 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されるバグのリストに、BIG-IP ネットワーク・デバイスに深刻な影響を与える、脆弱性 CVE-2022-1388 を新たに追加した。BIG-IP ソリューションを使用する F5 の顧客の中には、連邦政府機関／Fortune 500 企業／銀行／サービス・プロバイダ／コンシューマ・ブランド (Microsoft／Oracle／Facebook など) が含まれているが、同社は Fortune 50 のうちの 48社が F5ユーザーだとしている。

Microsoft Windows における NTLM ゼロデイ脆弱性が FIX：ドメインを乗っ取りの可能性

Microsoft fixes new NTLM relay zero-day in all Windows versions

2022/05/10 BleepingComputer — Microsoft は、未認証の攻撃者がリモートから悪用し、Windows NT LAN Manager (NTLM) セキュリティ・プロトコルを介して、ドメイン・コントローラに強制的に認証させるという、Windows LSA スプーフィングのゼロデイ脆弱性に積極的に対処している。この LSA (Local Security Authority) とは、ローカル・セキュリティ・ポリシーを実施し、ローカル／リモートでのサインイン時にユーザーを認証する、保護された Windows サブシステムのことである。

F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 が FIX：デバイスの消去も起こり得る

Critical F5 BIG-IP vulnerability exploited to wipe devices

2022/05/10 BleepingComputer — 先日に公開された F5 BIG-IP の脆弱性は、デバイスのファイル・システムを消去し、サーバを使用不能にするという、破壊的な攻撃に悪用されかねないものである。先週に F5 は、脆弱性 CVE-2022-1388 を公開し、リモート攻撃者が認証なしで BIG-IP ネットワーク・デバイス上で、root としてコマンドを実行できる問題を示した。このバグは極めて深刻であるため、F5 は管理者に対して、可能な限り早急にアップデートを適用するよう促している。

F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 が FIX：bash を狙ったバックドア展開が多発

Hackers exploiting critical F5 BIG-IP flaw to drop backdoors

2022/05/09 BleepingComputer — F5 BIG-IP の、すべてのモジュールの複数のバージョンに影響を与える、深刻な脆弱性の悪用に成功した攻撃者たちが、悪意のペイロードをドロップするという脅威が大量に発生し始めている。先週に F5 は、BIG-IP iControl の REST 認証コンポーネントに影響を及ぼす、脆弱性 CVE-2022-1388 (CVSS：9.8) に対するパッチをリリースした。

新たなマルウェアを検出：Windows イベントログにシェルコードを隠す高度なスティルス性

Malware campaign hides a shellcode into Windows event logs

2022/05/07 SecurityAffairs — 2022年2月に Kaspersky の研究者たちは、Windows イベントログにシェルコードを隠すという、新しいテクニックを用いた悪意のキャンペーンを発見した。このテクニックにより、ファイル無しのトロイの木馬を隠すことが可能となる。また、専門家たちは、Event Tracing (ETW) と Anti-Malware Scan Interface (AMSI) に関連する、Windows ネイティブ API 関数にパッチを当てることで、その Dropper モジュールも検出を避けていたことに気づいた。

Anonymous と Ukraine IT Army の継続的な攻撃：ロシアの政府機関などのデータをリーク

Anonymous and Ukraine IT Army continue to target Russian entities

2022/05/06 SecurityAffairs — Anonymous の集団は、ロシアの企業や政府組織に対するサイバー戦争を継続している。以下は、同集団に標的とされた組織の最新リストであり、盗まれたデータは DDoSecrets プラットフォームを介して流出している。

ハッカー御用達の PrivateLoader 課金サービス：高度な NetDooka バックドアが展開されている

Hackers Using PrivateLoader PPI Service to Distribute New NetDooka Malware

2022/05/06 TheHackerNews — PrivateLoader という PPI (pay-per-install) マルウェア・サービスが、NetDooka という極めて高度なフレームワークを配布し、攻撃者が感染させたデバイスを完全にコントロールしている状況が発見された。木曜日に Trend Micro は、「このフレームワークは、PPI サービスを通じて配布され、ローダー／ドロッパー／保護ドライバーだけではなく、独自のネットワーク通信プロトコルを実装した、フル機能の RAT (remote access trojan) といった、複数のツールを含んでいる」と、レポートの中で述べている。

REvil の復活は本物：新たなマルウェア・サンプルから確認された継承の証拠とは？

REvil ransomware returns: New malware sample confirms gang is back

2022/04/30 BleepingComputer — ロシアと米国の緊張が高まる中、ランサムウェア REvil が、新たなインフラの構築と、暗号化方式の変更により、より標的を絞った攻撃を目論みながら再登場した。2021年10月に法的執行機関は、REvil ランサムウェア・ギャングの Tor サーバーを乗っ取り、その後に、ロシア当局によりメンバーが逮捕され、活動を停止した。しかし、ウクライナ侵攻の後に、米国は REvil ギャングに関する交渉プロセスから撤退し、通信手段を閉じたと、ロシア側は表明している。

OpenSSF の新プロジェクトが実用段階に：OSS リポジトリから悪意のパッケージを探し出す

New OpenSSF Project Hunts for Malicious Packages in Open Source Repositories

2022/04/29 SecurityWeek — Open Source Security Foundation (OpenSSF) が発表した新しいプロジェクトとは、オープンソース・リポジトリ内の悪意のパッケージの特定を、支援することを目的とするものだ。OpenSSF によると、この Package Analysis プロジェクトは、オープンソース・パッケージの挙動と機能 (アクセスするファイル／サポートするコマンド／接続する IP など) を特定し、疑わしい活動を明らかにし、変更を追跡することを目的としている。

JPCERT の EmoCheck が Emotet 64-bit に対応：簡単な操作でマルウェアを検出

EmoCheck now detects new 64-bit versions of Emotet malware

2022/04/28 BleepingComputer — 今月から感染が検出され始めたマルウェア Emotet の、64 Bit 版を検出するユーティリティ EmoCheck の新バージョンが、JPCERT からリリースされた。Emotet は、Word・Excel 文書／Windows ショートカット／ISO ファイル／パスワードで保護されたZIPファイルなどの、悪意の添付ファイルを含んだフィッシング・メールを介して、最も活発に配布されているマルウェアの１つである。これらのフィッシング・メールは、返信用チェーンメール／出荷通知／税務書類／会計報告書／ホリデーパーティ招待状などによりユーザーを騙し、ファイルを開かせるための独創的な誘い文句を使用している。