Malware – Page 21 – IoT OT Security News

Bumblebee という新たなマルウェア：TrickBot／BazaLoader 系で最凶か？

Cybercriminals Using New Malware Loader ‘Bumblebee’ in the Wild

2022/04/28 TheHackerNews — これまでマルウェア・キャンペーンにおいて、サイバー犯罪者たちが BazaLoader と IcedID を配信してきたことは確認されているが、現在では Bumblebee という、活発に開発されている新しいローダーに移行したと言われている。エンタープライズ・セキュリティ企業である Proofpoint が The Hacker News と共有したレポートには、「Bumblebee が脅威の現場に現れたタイミングや、複数のサイバー犯罪グループにより使用されていることから、BazaLoader の直接の代替品ではないにしても、他のマルウェアを好んでいた脅威アクターたちが好んで使用する、新しい多機能ツールが登場したと思われる」と記されている。

Google Play 2021年の奮闘記：120 万件の悪質アプリをブロックしたけど・・・

1.2 Million Bad Apps Blocked From Reaching Google Play in 2021

2022/04/28 SecurityWeek — 2021年の Google は、Google Play にエントリーされた、120万件の悪質なアプリをブロックしたと主張している。しかし、依然としてサイバー犯罪者たちは、公式 Android アプリ・ストアを介して、マルウェアを配信する方法を見つけ出そうとしている。水曜日に Google が共有したデータによると、同社の自動化されたシステムにより、ポリシー違反アプリ 120万件がブロックされ、Google Play への公開が阻止され、数十億件の有害なインストールが防止されたようだ。

Log4j 問題は収束していない：セキュリティというよりインベントリの問題？

Log4j Attack Surface Remains Massive

2022/04/27 DarkReading — Apache Log4j logging toolの、リモートコード実行の脆弱性が公開されて４ヶ月以上が経ったが、そを悪用しようとする攻撃者は、依然として膨大な数のターゲットを手にしている。検索エンジン Shodan を用いて行った、Rezilion による最新のスキャンでは、このソフトウェアの脆弱なバージョンをインターネット上に公開している、９万台以上ものサーバーが発見されている。ただし、この数字は、オープンソース・ソフトウェアを実行して、一般に公開されているサーバーのみを対象としているため、攻撃者のターゲットの一部に過ぎないと、Rezilion は考えている。

ドイツの風力発電機大手 Deutsche Windtechnik：標的型サイバー攻撃に遭う

Wind Turbine giant Deutsche Windtechnik hit by a professional Cyberattack

2022/04/27 SecurityAffairs — ドイツの風力発電機大手 Deutsche Windtechnik は、今月の上旬に同社システムの一部が、標的型プロフェッショナル・サイバー攻撃を受けたと発表した。この攻撃は 4月11日から12日の夜間にかけて行われ、同社はセキュリティ上の理由から、風力タービンへのリモート・データ・モニタリング接続を停止した。2日後に接続が再開されたが、同社は風力タービンに被害はなく、危険な状態にはならなかったと述べている。

Conti の活動がピーク値に戻る：逆リークを跳ね除けて被害者を増やしている？

Conti ransomware operations surge despite the recent leak

2022/04/27 SecurityAffairs — Secureworks の研究者たちは、ロシアを拠点とする脅威アクター Gold Ulrick として追跡されている Conti ランサムウェアについて、内部活動に関するデータリークにもかかわらず、活発に活動し続けていると述べている。このグループの、通信内容／ソースコード／運用情報などが公開されたが、その活動は 2021年に記録したピーク・レベルへと戻っている。

Emotet の新戦術：Windows ショートカット・ファイル内の PowerShell を介して展開される

Emotet malware now installs via PowerShell in Windows shortcut files

2022/04/26 BleepingComputer — 現時点における Emotet ボットネットは、PowerShell コマンドを取り込んだ Windows ショートカット・ファイル (.LNK) を介して、被害者のコンピュータを感染させるという戦術をとっている。つまり、現在はデフォルトで無効になっている Microsoft Office マクロから、新たな作戦へと移行している。これまでも、Emotet は Visual Basic Script (VBS) と .LNK ファイルを組み合わせて、ペイロードをダウンロードするコマンドを構築したので、Windows ショートカットの使用は目新しいものではない。しかし、それにより PowerShell コマンドを、ダイレクトに実行したのは今回が初めてとなる。

Log4Shell の現状調査：いまだに山積する問題と解決できない理由とは？

Public interest in Log4Shell fades but attack surface remains

2022/04/25 BleepingComputer — Apache Log4j ライブラリに存在する、深刻なゼロデイ脆弱性 Log4Shell が発見されてから４ヶ月が経過したが、利用可能なはずの修正プログラムの適用が、依然として大幅に遅れていることを、脅威アナリストたちは警告している。世間の関心と情報セキュリティ・コミュニティの焦点は、より新しい脆弱性の悪用などに移っているが、Log4Shell は引き続き大規模な問題であり、重大なセキュリティ・リスクであることに変わりはない。

Emotet の新たな戦略：Microsoft による VBA マクロ制限への対抗策を試している？

Emotet Testing New Delivery Ideas After Microsoft Disables VBA Macros by Default

2022/04/25 TheHackerNews — 大量の Emotet ボットネットを振りまく脅威アクターは、大規模な Malspam キャンペーンに取り込むための、新しい攻撃手法を小規模にテストしており、Microsoft が VBA マクロをデフォルトで無効にしたことに対して、素早く反応している可能性が浮上している。ProofPoint は、このグループの新しい活動を、典型的な行動からの逸脱だと指摘している。つまり、マルウェアを配布するための最新のフィッシング・メールは、典型的な大規模メール・キャンペーンと並行して、より選択的かつ限定的な攻撃を行うものだという、新たな視点を提起している。

VMware の深刻な RCE 脆弱性 CVE-2022-22954：イランからのバックドア展開を検出

Iranian Hackers Exploiting VMware RCE Bug to Deploy ‘Core Impact’ Backdoor

2022/04/25 TheHackerNews — 先日にパッチが適用された VMware の脆弱性を悪用する、Rocket Kitten というイランに関連する脅威アクターが、脆弱なシステムにイニシャル・アクセスを仕掛け、Core Impact ペンテスト・ツールを展開する様子が観察されている。この深刻な脆弱性 CVE-2022-22954 (CVSS：9.8) は、VMware Workspace ONE Access and Identity Manager に影響を与える、リモートコード実行 (RCE) の欠陥に起因するものだ。

VMware のレポート Modern Bank Heists：金融機関への破壊的な攻撃が増加

Financial leaders grappling with more aggressive and sophisticated attack methods

2022/04/21 HelpNetSecurity — VMware が発行したレポートは、金融業界のトップ CISO やセキュリティ・リーダーを対象に、サイバー犯罪カルテルの行動変化と、金融業界の守りのシフトについてまとめたものだ。このレポートによると、高度なサイバー犯罪組織の活動は、振り込め詐欺にとどまらず、市場戦略や証券口座の乗っ取りや、アイランド・ホッピングなどへと進化を遂げている。したがって、金融機関は破壊的な攻撃の増加に直面し、ランサムウェアの被害についても、過去数年に比べて増えていることが明らかになった。

T-Mobile の内部システムを Lapsus$ がハッキング：盗み出された認証情報で侵入？

T-Mobile confirms Lapsus$ hackers breached internal systems

2022/04/21 BleepingComputer — T-Mobile が確認したことは、恐喝組織 Lapsus$ が盗んだ認証情報を使って、数週間前に同社のネットワークに侵入し、内部システムにアクセスしたことである。T-Mobile は、セキュリティ侵害を発見した後に、このサイバー犯罪グループによるネットワークへのアクセスを遮断し、ハッキングに用いられた認証情報を無効にしたと付け加えている。また、このインシデントで、Lapsus$ で顧客や政府の機密情報を盗むことはなかったという。

Linux 上の Docker API 狙う暗号マイナー・マルウェア Lemon_Duck とは？

Docker servers hacked in ongoing cryptomining malware campaign

2022/04/21 BleepingComputer — Linux サーバ上の Docker API が、Lemon_Duck ボットネット・オペレーターによる、大規模な Monero 暗号キャンペーンの標的になっている。このクリプトマイニング・マイニング集団は、セキュリティが不十分な Docker システムや、ミス・コンフィグレーションのある Docker システムにとって常に脅威であり、近年では複数の大規模なエクスプロイト・キャンペーンが報告されている。

Amazon の Log4Shell ホットパッチに問題：コンテナ・エスケープと権限昇格が生じる？

Amazon’s Hotpatch for Log4j Flaw Found Vulnerable to Privilege Escalation Bug

2022/04/21 TheHackerNews — Amazon Web Services (AWS) がリリースした Log4Shell 脆弱性に対するホットパッチだが、コンテナ・エスケープや権限昇格に悪用され、基盤となるホスト制御の乗っ取りを許してしまう問題があるようだ。Palo Alto Networks Unit 42 の研究者である Yuval Avrahami は、今週に発表したレポートにおいて、「コンテナの問題以外にも、このパッチを悪用することで非特権プロセスを特権昇格させ、root コードを実行させることが可能だ」と述べている。

Microsoft Exchange をハックする Hive ランサムウェア：新たな攻撃手法で被害を拡大

Microsoft Exchange servers hacked to deploy Hive ransomware

2022/04/20 BleepingComputer — Hive ランサムウェアのアフィリエイトが、ProxyShell のセキュリティ問題に対して脆弱な Microsoft Exchange サーバーを標的として、Cobalt Strike ビーコンなどの様々なバックドアを展開している。この脅威アクターは、そこからネットワークを偵察し、管理者アカウントの認証情報を盗み、貴重なデータを流出させ、最終的にはファイル暗号化ペイロードを展開する。この情報は、セキュリティ分析を行う Varonis が、同社の顧客に対するランサムウェア攻撃を調査した際に得られたものである。

サイバー攻撃の初期感染：脆弱性悪用とサプライチェーン侵害が 50% 以上を占める

More Than Half of Initial Infections in Cyberattacks Come Via Exploits, Supply Chain Compromises

2022/04/20 DarkReading — Mandiant が実施した Incident Response (IR) 調査の最新レポートによると、攻撃者が被害者のネットワーク上で検知されずにいる日数は４年連続で減少し、2020年の 24日間から 2021年の 21日間へと短縮していることが明らかになった。この、Mandiant の IR 事例によると、最も危険な攻撃を素早く見つけるための検知能力は高まり、ランサムウェアは平均５日以内に検知され、ランサムウェア以外の攻撃は 2020年の45日間から 2021年の36日間へと短縮され、アクティブな状態を維持しているとのことだ。

REvil の TOR サイトが動き出した：新たなランサムウェア運用が始まるのか？

Russia,REvil’s TOR sites come alive to redirect to new ransomware operation

2022/04/20 BleepingComputer — REvil ランサムウェアのサーバーが、数ヶ月ぶりに TOR ネットワーク内で復活し、2021年12月中旬から開始されたと思われる、新しいオペレーションへとリダイレクトされている。REvil に関連する新しいオペレーションの背後にいる人物は不明だが、この新しいリークサイトには、過去の REvil 攻撃での被害者を示す大規模なカタログと、新しい２件の攻撃の被害者がリストアップされている。

ロシアの Gamaredon はウクライナを狙い続ける：永続性を維持する APT の仕組みとは？

Russian Gamaredon APT continues to target Ukraine

2022/04/20 SecurityAffairs — ロシアに帰属する Gamaredon APT グループ (別名：Armageddon／Primitive Bear／ACTINIUM) は、ウクライナをターゲットにした攻撃を続けており、カスタムな Pterodo バックドア (別名：Pteranodon) の亜種を用いているとのことだ。2021年10月以降に発生している、ウクライナの団体や関連組織を標的とした一連のスピアフィッシング攻撃の背後に、このサイバースパイ・グループが存在すると Microsoftは述べている。なお、2014年ころから Gamaredon は、ウクライナに対するサイバースパイ・キャンペーンを展開している。

Emotet の 64 Bit 版が登場：悪意のメールは 10倍増：AV ソフトの検出は 32 Bit のみ？

Emotet botnet switches to 64-bit modules, increases activity

2022/04/19 BleepingComputer — Emotet マルウェアの配布が急増しているが、現時点のアンチウイルス・エンジンでは少量のみが検出されている、新しいペイロードに間もなく切り替わる可能性もある。2022年3月のことだが、このボットネットを追跡するセキュリティ研究者が、悪意のペイロードを含む電子メールの量が、10倍に増加したことを観察している。Emotet は、ホスト上で持続性をキープし自己増殖する、モジュール型トロイの木馬である。

Okta を侵害した Lapsus$：影響を受けたテナントは２件のみだった

Okta Says Security Breach by Lapsus$ Hackers Impacted Only Two of Its Customers

2022/04/19 TheHackerNews — この火曜日に、ID／アクセス管理プロバイダーの Okta は、Lapsus$ ギャングが 2022年1月下旬に引き起こした、サードパーティ・ベンダー侵入に関する調査を終了したと発表した。これまでに同社は、「このインシデントの影響は、潜在的な最大値よりも大幅に少ない」と述べていたが、当初想定されていた 366件というテナント数から、わずか２件へと減少したことを発表した。

研究者たちが逆侵入：データ強奪犯 Karakurt は Conti シンジケートの一員だと判明

Karakurt revealed as data extortion arm of Conti cybercrime syndicate

2022/04/14 BleepingComputer — サイバー犯罪者が管理するサーバーに対して、逆侵入したセキュリティ研究者たちにより、最近になって出現した Karakurt データ強奪グループと、Conti ランサムウェアとの関連性が発見され、この２つのギャングが同じオペレーションに属することが明らかになった。ロシアの組織である Conti ランサムウェア・シンジケートは、あるハッキング・グループによる内部会話やソースコードの大量流出にもかかわらず、機能不全に陥ることもなく、現時点で最も盛んなサイバー犯罪者グループの１つであり続けている。

風力発電機大手の Nordex が Conti ランサムウェアの攻撃に遭っている

Wind turbine firm Nordex hit by Conti ransomware attack

2022/04/14 BleepingComputer — 今月の初旬に風力発電機大手の Nordex がサイバー攻撃を受け、IT システムの停止とマネージド・タービンへのリモート・アクセスを余儀なくされた件について、ランサムウェア Conti が犯行を主張している。Nordex は、風力タービンの開発／製造において世界最大級の企業であり、全世界で 8,500人以上の従業員を擁している。Nordex は、4月2日にサイバー攻撃を受けたが、その検知が早期であったことで、攻撃の拡大を防ぐために IT システムを停止させたと明らかにした。

米国政府機関の警告：ICS／SCADA を標的とする危険なマルウェアが活動し始めた

U.S. Warns of APT Hackers Targeting ICS/SCADA Systems with Specialized Malware

2022/04/13 TheHackerNews — 4月22日に米国政府は、Industrial Control Systems (ICS) や Supervisory Control And Data Acquisition (SCADA) への不正なアクセスを維持するために、国家的な驚異アクターたちが特殊なマルウェアを展開していると警告を発した。複数の米国機関はアドバイザリで「APT 行為者たちは、ICS/SCADA デバイス標的とするカスタムメイドのツールを開発している。このツールにより、彼らは OT ネットワークへのイニシャル・アクセスを確立した後に、影響を受けるデバイスをスキャン／侵害／制御できるようになる」と述べている。

VMware の脆弱性 CVE-2022-22954 が FIX：積極的な悪用が観察されている

Hackers exploit critical VMware CVE-2022-22954 bug, patch now

2022/04/13 BleepingComputer — VMware のリモートコード実行の脆弱性 CVE-2022-22954 を悪用し、コインマイナーをサーバーに感染させる攻撃に、すでに積極的に利用されている PoC エクスプロイトがオンラインで公開された。この脆弱性は、広範囲で使用されている VMware Workspace ONE Access／VMware Identity Manager に影響をおよぼす Critical (CVSS：9.8) なリモートコード実行 (RCE) の欠陥である。

Microsoft の Digital Crimes Unit が Zloader マルウェアのグローバル・インフラを破壊

Microsoft disrupts Zloader malware in global operation

2022/04/13 BleepingComputer — Microsoft の Digital Crimes Unit (DCU) が主導する、数カ月にわたるグローバルな作戦により、ZLoader ボットネットの Command and Control (C2) サーバーとして使用されていた数十のドメインが破壊された。Microsoft が取得した裁判所命令により、ZLoader サイバー犯罪組織がボットネットの制御に使用していた 65 のハードコード・ドメインと、フォールバック／バックアップ通信チャネルの作成で使用していた、ドメイン生成アルゴリズムをにより登録された 319 のドメインを陥落させることになった。

SAP の Spring4Shell 情報が公開：全体で 30件以上のアドバイザリを提供

SAP Releases Patches for Spring4Shell Vulnerability

2022/04/13 SecurityWeek — 4月13日にドイツのソフトウェア・メーカー SAP は、April 2022 Security Patch Day で Spring4Shell 脆弱性に対処を含む、30以上の新規／更新のセキュリティ・アドバイザリを公開した。この Spring4Shellと呼ばれる脆弱性 CVE-2022-22965 は、世界で最も人気の Java アプリ開発フレームワークである Spring に存在し、リモートでコード実行を許す可能性がある。セキュリティ研究者たちは、すでにこの脆弱性を悪用しようとする動きを観測している。

EnemyBot という Mirai 亜種：Router／IoT デバイスを大量に収穫して勢力を拡大中

New EnemyBot DDoS botnet recruits routers and IoTs into its army

2022/04/13 BleepingComputer — Mirai ベースの新しいボットネット・マルウェア EnemyBot は、モデム／ルーター／IoT デバイスの脆弱性を介して感染させたデバイスの勢力を拡大させ、それを操作する脅威アクターが Keksec であることが確認されている。この脅威グループは、クリプトマイニングと DDoS を専門としており、いずれも IoT デバイスに巣食い、そのコンピュータ資源を乗っ取ることが可能な、ボットネット・マルウェアにより支えられている。

Qbot マルウェアの戦術変更：感染ベクターを Macro から Windows Installer へ

Qbot malware switches to new Windows Installer infection vector

2022/04/11 BleepingComputer — 現在 Qbot ボットネットは、パスワード保護された ZIP アーカイブを添付したフィッシング・メールを介して、マルウェアのペイロードを送信しているが、その中に悪意の MSI Windows Installer パッケージも含まれる。これまでの Qbot オペレーターたちは、悪意のマクロを含む Microsoft Office ドキュメントを、フィッシング・メールにより配信し、標的デバイスにマルウェアをドロップするという手法を用いていたが、新しい戦術が使われたことになる。

Google Play に粘着する SharkBot バンキング RAT は次世代型：テストが終わると蠢き出す

Google Removes Dangerous Banking Malware From Play Store

2022/04/08 DarkReading — 2021年10月に表面化し、現在も野放しになっている、SharkBot と呼ばれる危険な Android バンキング・トロイの木馬は、Google Play という信頼できるモバイル・アプリ・ストアを通じて、マルウェアを配布しようとする脅威アクターの執念を示す最新の事例である。

この不正プログラムは、発見者が次世代型と表現しているように、銀行口座にログインしている被害者に、感染させた Android 端末を使用させ、多要素認証の制御をバイパスし、銀行口座からひそかに不正送金するものだ。SharkBot は、認証情報やクレジットカード情報を盗むことも可能であり、また、検出の複雑化により発見を遅らせるなどの、複数の機能を搭載している。

Mirai と Spring4Shell：シンガポールに集中する攻撃はグローバル展開への予兆か？

Mirai malware now delivered using Spring4Shell exploits

2022/04/08 BleepingComputer — 現在、マルウェア Mirai は、Spring4Shell エクスプロイトを悪用して脆弱な Web サーバーを感染させ、DDoS 攻撃 (分散型サービス拒否攻撃) へと導こうとしている。Spring4Shell とは、CVE-2022-22965 として追跡されているリモートコード実行 (RCE) の深刻な脆弱性であり、エンタープライズ・レベルの Java アプリ開発プラットフォームとして広く利用されている、Spring Framework に影響を及ぼすものだ。

FIN7 ギャングの戦略：運輸／保険／防衛をターゲットにサプライチェーン攻撃？

FIN7 Hackers Leveraging Password Reuse and Software Supply Chain Attacks

2022/04/05 TheHackerNews — この FIN7 と名付けられたサイバー犯罪グループは、当初からのアクセス・ベクターを多様化させ、ソフトウェア・サプライチェーン侵害や、盗まれた認証情報の利用などを取り入れていることが、新しい調査により明らかになった。インシデント・レスポンス会社である Mandiant は月曜日のレポートで、「複数の組織における FIN7 による活動のあとに続く、データ盗難／ランサムウェア展開／技術的重複から、長年に渡り FIN7 の行為者は、様々なランサムウェア・オペレーションと関連していたことが示唆される」と述べている。

ロシアの Hydra ダークウェブを摘発：ドイツ当局が $25M 相当の Bitcoin を押収

Germany Shuts Down Russian Hydra Darknet Market; Seizes $25 Million in Bitcoin

2022/04/05 TheHackerNews — 3月24日にドイツの連邦刑事局 (Bundeskriminalamt：BKA) は、これまでの累計で $5 billion 相当の Bitcoin 取引を行ってきた、世界最大の違法ダークウェブ Hydra を摘発したと公表した。BKA はプレスリリースで、「このマーケットプレイスに起因するものとして、現時点で €23 million 相当の Bitcoin が押収された」と述べている。ブロックチェーン分析会社である Elliptic は、2022年4月5日に 543.3 BTC に相当する、88件の取引に対して摘発が行われたことを確認している。

VMware Horizon Servers への Log4j 攻撃は衰えることなく継続している

Log4j Attacks Continue Unabated Against VMware Horizon Servers

2022/03/30 DarkReading — いつでも、どこでも、エンタープライズ・アプリへの安全なアクセスをリモート・ワーカーに提供するために、 VMware Horizon サーバーは数多くの組織に利用されている。しかし、2021年12月に公開された Apache Log4j のリモートコード実行の深刻な脆弱性により、VMware Horizon は攻撃者の人気のターゲットであり続けている。

今週のこと、Sophos の研究者たちは、2022年1月19日から現在に至るまで、脆弱な Horizon サーバーに対する攻撃の波が観測されていると発表した。攻撃の多くは、JavaX miner／Jin／z0Miner／XMRig 亜種などの、暗号通貨マイナーを展開しようとする脅威者の試みだった。しかし、他のいくつかの事例では、侵害したシステムで攻撃者たちが、永続的なアクセスを維持するためのバックドアをインストールするケースも確認されている。

悪意の NPM パッケージを量産：サプライチェーン攻撃のための驚異のシステム

A Large-Scale Supply Chain Attack Distributed Over 800 Malicious NPM Packages

2022/03/29 TheHackerNews — RED-LILI と呼ばれる脅威アクターが、約800の悪質なモジュールを公開したが、NPM (Node Package Manager) パッケージ・リポジトリを標的として進行中の、大規模なサプライチェーン攻撃キャンペーンに関与していることが明らかになった。イスラエルのセキュリティ企業である Checkmarx は、「一般的に、攻撃者は匿名の使い捨ての NPM アカウントを使用し、そこから攻撃を開始する。今回の攻撃者は、NPM アカウントの作成プロセスを完全に自動化し、パッケージごとに１つの専用アカウントを開設していたようであり、新しい悪意のパッケージを一括して発見することを難しくしていた」と述べている。

ロシアの侵略：ウクライナを標的にする中国のハッキング・グループ Scarab

Another Chinese Hacking Group Spotted Targeting Ukraine Amid Russia Invasion

2022/03/26 TheHackerNews — 先月のロシアによるウクライナ侵攻が始まってから、ウクライナを標的とする、複数のキャンペーンが立ち上がっている。その一環として、中国語を話す Scarabという脅威アクターが、HeaderTip と呼ばれるカスタム・バックドアを仕掛けているが、この紛争に関連する中国ベースのハッキング・グループとしては、Mustang Panda に続いて２つ目となる。SentinelOne の研究者である Tom Hegel は、今週に発表されたレポートの中で、「この悪質な活動は、侵攻が始まって以来、中国の脅威者がウクライナを標的とした最初の公的事例の 1 つとなるものだ」と述べている。

Phishing Kit を解説：検出を回避する手口と延命のための悪知恵とは？

Phishing kits constantly evolve to evade security software

2022/03/24 BleepingComputer — サイバー犯罪フォーラムで販売されている最新の Phishing Kit は、インターネット・セキュリティ・ソリューションが脅威として認識しないように、複数の高度な検知回避システムとトラフィック・フィルタリング・システムを備えている。有名ブランドを模倣した偽 Web サイトは、インターネット上に数多く存在し、被害者を誘い出し、支払詳細やアカウント情報を盗み出す。これらの偽 Web サイトの多くは、ブランドのロゴやリアルなログ・インページを提供するが、基本的な要素から組み立てられた動的な Web ページなどを特徴とする、高度な Phishing Kit も存在する。

MicroTik ルーターの Botnet-as-a-Service 化：20万台以上が支配下に

Over 200,000 MicroTik Routers Worldwide Are Under the Control of Botnet Malware

2022/03/23 TheHackerNews — MikroTik の脆弱なルーターが大規模に悪用され、サイバー・セキュリティ研究者が近年で最大級の Botnet-as-a-Service の１つと呼ばれる物が形成されている。Avast が発表した新たな調査結果によると、新たな破壊型 Glupteba ボットネットと、TrickBot マルウェアを活用した、暗号通貨マイニング・キャンペーンの全てが、同一の Command and Control (C2) サーバーを使用して配布されたようだ。

FBI レポート：2021年のランサムウェアは重要インフラ 649 件を攻撃

FBI: Ransomware hit 649 critical infrastructure orgs in 2021

2022/03/23 BleepingComputer — FBI は、Crime Complaint Center (IC3) の 2021 Internet Crime Report を引用するかたちで、昨年には米国の複数の重要インフラ部門の少なくとも 649 組織が、ランサムウェアによりネットワークを侵害されたと発表した。ただし FBI は、重要インフラ分野で報告されたランサムウェア・インシデントの追跡が、2021年6月に開始されていることから、実際の数字は増大するはずだと述べている。また FBI は、Crime Complaint Center (IC3) に被害者が苦情を申し立てなかった場合も、その攻撃は統計に含まれないとしている。

Lapsus$ ランサムウェアの主張：Microsoft のコード・リポジトリに侵入した

Lapsus$ gang claims to have hacked Microsoft source code repositories

2022/03/21 SecurityAffairs — Microsoft は、サイバー犯罪組織 Lapsus$ が社内の Azure DevOps ソースコード・リポジトリに侵入し、データを盗み出したという主張を調査していると発表した。この数ヶ月の間に、Lapsus$ は NVIDIA／Samsung／Ubisoft／Mercado Libre／Vodafone といった有名企業にも侵入している。

Google が追跡：Conti／Diavol と連携するアクセス・ブローカー Exotic Lily

Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang

2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界の 650 の標的組織に対して、１日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。

Google 警告：中国の国家支援ハッカーたちがウクライナ政府を狙っている

Google: Chinese state hackers target Ukraine’s government

2022/03/18 BleepingComputer — Google の Threat Analysis Group (TAG) によると、人民解放軍 (PLA) を含む中国情報機関が、ロシアによるウクライナ侵攻について、より多くの情報を得ようとして動き回っているようだ。Google TAG の Security Engineer である Billy Leonard によると、中国が支援するハッキング・グループの標的となったウクライナ政府機関に対して、Google から通知が行われているようだ。

Microsoft が Trickbot 対策オープンソース・ツールを公表： MikroTik ルーターをスキャン

Microsoft Releases Open Source Tool for Securing MikroTik Routers

2022/03/17 SecurityWeek — TrickBot は、2016年から出回っているマルウェアである。当初は金融データを盗むために設計されたバンキング・トロイの木馬だったが、現在では幅広い情報を狙うことができる、モジュール型の情報窃取マルウェアへと進化している。研究者の中には、このマルウェアは限界に達しており、利用可能な膨大な IoC により簡単に検出できるようになったことで、その開発チームはランサムウェア・グループの Conti により買収されたと考える者もいる。

Cyclops Blink ボットネット：ロシアから ASUS ルーターを狙っている

New Variant of Russian Cyclops Blink Botnet Targeting ASUS Routers

2022/03/17 TheHackerNews — ASUS ルーターが、Cyclops Blink と呼ばれる新たなボットネットのターゲットとして浮上してきた。このマルウェアは、侵害したネットワークへのリモート・アクセスを取得する足がかりとして、WatchGuard ファイアウォール・アプライアンスを悪用したことが明らかになってから、約１ヶ月後のことである。

Trend Micro が発表した新しいレポートによると、このボットネットの主な目的は、価値の高いターゲットに対するさらなる攻撃のための、インフラを構築することである。ただし、感染した全てのホストについて調べたところ、重要な経済／政治／軍事などの組織は標的にしていないことが判明している。

Unix で新たな rootkit が発見：Oracle Solaris に展開され ATM データを操作

New Unix rootkit used to steal ATM banking data

2022/03/17 BleepingComputer — 金銭的な動機を持つハッカー LightBasin の活動を追う脅威アナリストたちは、このグループが ATM から銀行データを盗み、不正な取引を行うために使用している、未知の Unix rootkit を発見したと報告した。このハッカー集団は、2020年にマネージド・サービス・プロバイダーを危険にさらし、そのクライアントを犠牲にしていることが確認されているが、最近ではカスタム・インプラントを用いて、通信会社をターゲットにしているようだ。

TrickBot による MikroTik ルーターの侵害：C2 サーバー連携のプロキシとして機能させる

TrickBot Malware Abusing MikroTik Routers as Proxies for Command-and-Control

2022/03/17 TheHackerNews — 水曜日に Microsoft は、マルウェア TrickBot について、これまで発見されていなかった、IoT デバイスを仲介した Command and Control (C2) サーバーとの、通信の確立に関する詳細な手法を発表した。Microsoft の Defender for IoT Research Team and Threat Intelligence Center (MSTIC) は、「TrickBotは、C2 サーバーのプロキシ・サーバーとして MikroTik ルーターを使用し、標準以外のポート経由でトラフィックをリダイレクトすることで、標準セキュリティ・システムによる検出から悪質な IP を回避させる、別の永続層を追加している」と述べている。

人気の NPM Package が抗議活動：ファイル破壊などでロシア／ベラルーシを狙い撃ち

2022/03/17 TheHackerNews — ロシアのウクライナ侵攻に抗議するために、人気の NPM パッケージ node-ipc の開発者が新バージョンを出荷したが、そのことで、オープンソースとソフトウェア・サプライチェーンにおけるセキュリティへの懸念が高まっている。この変更は、ライブラリの Ver 10.1.1／10.1.2 に影響するものだが、そのメンテナである RIAEvangelist による望ましくない動作を導入し、ロシアおよびベラルーシの IP アドレスを持つユーザーをターゲットにして、任意のファイルのコンテンツを消去し、ハートの絵文字に置き換えるものになっている。

GoDaddy がホストする WordPress にバックドア：たった１日で 300件の感染

Hundreds of GoDaddy-hosted sites backdoored in a single day

2022/03/16 BleepingComputer — インターネット・セキュリティ・アナリストたちは、GoDaddy の Managed WordPress サービスでホストされている、WordPress Web サイトへのバックドア感染が急増していることを発見し、すべてのバックドア・ペイロードが同一であることを明らかにした。このインシデントは、MediaTemple／tsoHost／123Reg／Domain Factory／Heart Internet／Host Europe Managed WordPress などの、インターネット・サービス・リセラーに影響を及ぼしている。

サイバー・セキュリティの指標：IOC と IOA の違いと活用方法

IOCs vs. IOAs — How to Effectively Leverage Indicators

2022/03/16 SecurityIntelligence — サイバーセキュリティ・チームは、サイバー・セキュリティ攻撃／敵対的行動／高度持続的脅威 (APT)、そして、恐ろしいゼロデイ脆弱性の特定を任務としている。この取り組みを通じて、サイバーセキュリティ担当者と運用チームは、効果的な監視／検出／対応の戦略において Indicators of Compromise (IOC) と Indicators of Attack (IOA) を適切に活用することに、同じ苦労を抱えている。

Log4j 脆弱性を悪用する Linux ボットネット：DNS トンネリングを巧みに操る

New Linux botnet exploits Log4J, uses DNS tunneling for comms

2022/03/15 BleepingComputer — 最近のことだが、Linux システムを標的とするボットネットが発見された。それにより一般的なユーザーが、ルートキットをインストールされ、リバースシェルを作成され、Webトラフィックのプロキシとして機能し、機密情報を盗むボット軍団に巻き込まれる可能性が生じる。このマルウェアは、Linux ARM／X64 CPU アーキテクチャ・デバイスの攻撃に特化されたものであり、Qihoo 360 の Network Security Research Lab (360 Netlab) により B1txor20 と名付けられている。

韓国の Naver が狙われている：大規模なフィッシングを仕掛けるのは TrickBot か？

Massive phishing campaign uses 500+ domains to steal credentials

2022/03/15 BleepingComputer — Google ライクな、韓国のオンラインプ・ラットフォーム Naver の認証情報を盗むために、数百のドメインを用いる大規模なフィッシング活動は、TrickBot ボットネットに関連するインフラとの重複を示している。この攻撃に使用されたリソースは、さまざまな攻撃に使用するためにログイン・データを収集する、サイバー犯罪者の取り組みの規模が大きいことを示している。Google と同様に、Naver は Web 検索から、電子メールや、ニュース、オンライン Q&A である Naver Knowledge iN に至るまで、多様なサービスを提供している。

CaddyWiper という新たなデータワイパー：ウクライナのネットワークを攻撃

New CaddyWiper data wiping malware hits Ukrainian networks

2022/03/15 BleepingComputer — 今日の未明に発生した、ウクライナの組織を標的とした攻撃で、侵入されたネットワーク上のシステム全体のデータが削除されたが、そこで発見されたのは新たなデータ破壊マルウェアである。ESET Research Labs は、「この新しいマルウェアは、接続されたドライブからユーザー・データやパーティション情報を消去する。ESET のテレメトリー測定によると、限られた組織の数十台のシステムで被害が確認されている」と述べている。