Mimikatz – IoT OT Security News

Malware から Microsoft LOLBin へ：2024年上半期の脅威データを分析 – Sophos

2024 Sees Sharp Increase in Microsoft Tool Exploits

2024/12/13 InfoSecurity — 最新の Sophos Active Adversary Report が示すのは、脅威アクターによる正規の Microsoft ツールの悪用が、2023 年と 2024 年上半期の比較において、51% も増加していることだ。2024 年上半期に分析された 190 件のサイバー・インシデントにおいて、187 件で Microsoft 製品を用いる、Living Off the Land Binaries (LOLbins) が観測された。そのうちの 64 件は、Sophos データセットに１回だけ出現していたと、研究者たちは述べている。

Cortex XDR を回避する脅威アクター：痛恨のミスにより暴露されたツールキットと戦略

EDRsandblast Exploited: How Attackers are Weaponizing Open-Source Code

2024/11/03 SecurityOnline — Unit 42 の研究者たちが発見したのは、最近に発生した EDR (endpoint detection and response) 回避において、脅威アクターたちが使用していた、新たなツール・キットの存在である。この調査では、EDR 防御を回避するために攻撃者が用いた、戦術が明らかになっただけではなく、攻撃を背後で操る１人の脅威アクターの、身元に関する重大な発見にもつながった。

VOIDMAW というテクノロジー：メモリス・キャナーに対する新たなバイパス手法を提示

VOIDMAW: A New Bypass Technique for Memory Scanners

2024/10/21 SecurityOnline — マルウェア検出技術が進化するにつれ、それらの回避を試みる、攻撃者たちの手法も進化している。そのような手法の１つである VOIDMAW とは、悪意のコードを巧妙に隠蔽してアンチウイルス・ソフトウェアを回避する、革新的なメモリ・スキャン・バイパス技術のことである。VOIDMAW は、マルチスレッド・ペイロードをサポートし、すべての C2 (Command-and-Control) ビーコンと互換性があり、さらに、 .NET 以外のバイナリ・ファイルも実行できるため、攻撃者にとって強力なツールとなる。

Visual Studio Code を悪用する攻撃を検出：Remote-Tunnels エクステンションで C2 通信

Stealthy Cyberattack Turns Visual Studio Code into a Remote Access Tool

2024/10/01 SecurityOnline — Visual Studio Code (VSCode) を悪用して、被害者のシステムに不正なリモートアクセスを確立する高度なサイバー攻撃を、Cyble Research and Intelligence Labs (CRIL) が発見した。この攻撃は、一般的な検出メカニズムを回避し、信頼できるソフトウェアを悪用することで、悪意のアクションを実行するという、高度なステルス性を発揮している。

COFF／PE ローダーのツール Goffloader がリリース – Praetorian

Goffloader: In-Memory Execution, No Disk Required

2024/09/04 SecurityOnline — セキュリティ企業 Praetorian は、BOF ファイルや管理されていない Cobalt Strike PE ファイルの実行を、ディスクへのファイル書き込みに依存することなく、メモリ内でダイレクトに実行できるように設計されたツール GoffLoader をリリースした。

QEMU がトンネリング・ツールとしてハッカーに悪用されている – Kaspersky 調査

Hackers abuse QEMU to covertly tunnel network traffic in cyberattacks

2024/03/05 BleepingComputer — ある大企業に対するサイバー攻撃を分析したところ、オープンソースのハイパーバイザー・ツールである QEMU が、トンネリング・ツールとして悪用されていることが判明した。QEMU は、コンピュータ上で、他のオペレーティング・システムをゲストとして実行するための、無料のエミュレータ／ハイパーバイザーである。

CISA 警告：Fortinet と Zoho の既知の脆弱性が国家支援ハッカーに狙われている

CISA Warning: Nation-State Hackers Exploit Fortinet and Zoho Vulnerabilities

2023/09/08 TheHackerNews — Fortinet FortiOS SSL-VPN と Zoho ManageEngine ServiceDesk Plus の脆弱性を悪用する複数の APT が、侵害したシステムに不正アクセスし、永続性を確立していると、9月12日に CISA が警告した。また、FBI および CNMF との共同アラートには、「国家レベルの APT が脆弱性 CVE-2022-47966 を悪用して、インターネットに公開された Zoho ManageEngine ServiceDesk Plus に不正アクセスし、永続性を確立し、横方向へ移動していると」と記されている。

Veritas Backup の３つの脆弱性：ALPHV／BlackCat ランサムウェアの標的になっている

ALPHV/BlackCat ransomware affiliate targets Veritas Backup solution bugs

2023/04/04 SecurityAffairs — ALPHV／BlackCat ランサムウェア・ギャングのアフィリエイトである UNC4466 が、Veritas Backup の３つの脆弱性を悪用して、ターゲットのネットワークへのイニシャル・アクセスを取得していることが確認された。この UNC4466 は、他の ALPHV のアフィリエイトとは異なり、ターゲットの環境へのイニシャル・アクセスにおいて、盗み出した認証情報に依存していない。2022年10月22日に、Mandiant の研究者たちは、このアフィリエイトが Veritas の脆弱性をターゲットにしていることを初めて観測した。

Cookie 窃取と MFA バイパス：この組み合わせがサーバー攻撃を加速させる

Cookies for MFA Bypass Gain Traction Among Cyberattackers

2022/11/12 DarkReading — 最近の Lapsus$ マルウェア・グループは、侵害したシステムのアクセスを取得する際に、パスワードを探し出すだけではなく、デバイスやブラウザを正当なものとして認証するために使用される、Cookie セッション・トークンも検索している。このようなイニシャル・アクセスに関する傾向は、クラウド・サービスやオンプレミス・アプリケーションへのアクセスに攻撃者が使用するパスワードやクッキーが、犯罪者の予備軍から購入されるという状況を浮き彫りにしている。

Cobalt Strike ローダーの新種 Symatic：中国 APT41 と持続性のあるバックドア展開

New hacking group uses custom ‘Symatic’ Cobalt Strike loaders

2022/11/09 BleepingComputer — これまで知られていなかった Earth Longzhi という中国の APT (Advanced Persistent Threat) ハッキング集団が、東アジア／東南アジア／ウクライナの組織を狙っている。この脅威アクターは、2020年から活動しており、カスタム・バージョンの Cobalt Strike ローダーを用いて、被害者のシステムに持続性のあるバックドアを仕込んでいる。Trend Micro の最新レポートによると、Earth Longzhi の TTP は Earth Baku と同様のものであり、この２つのグループは、国家が支援する APT41 の下部組織であると考えられる。

Cisco をハッキングした Yanluowang の手口：従業員の認証情報漏洩から始まった

Cisco confirms that data leaked by the Yanluowang ransomware gang were stolen from its systems

2022/09/12 SecurityAffairs — 8月に Cisco が公表したのは、Yanluowang ランサムウェア・ギャングが同社のネットワークに、5月下旬に侵入して内部データを盗んだというインシデントに関する詳細である。 Cisco Security Incident Response (CSIRT) と Cisco Talos が実施した調査で判明したのは、被害者のブラウザに保存された認証情報と同期している、個人の Google アカウントを操作する脅威アクターが、Cisco の従業員の認証情報を漏洩させたことである。

LockBit ランサムウェアの進化：Ngrok 悪用や Neshta 感染などの新たな手法とは？

Evolution of the LockBit Ransomware operation relies on new techniques

2022/07/09 SecurityAffairs — Cybereason の Global Security Operations Center (GSOC) Team は、脅威の状況を調査し、その攻撃を軽減するための推奨事項を提供する、Cybereason Threat Analysis Reports を発表した。ランサムウェア Lockbit の進化に着目する研究者たちは、全く異なる時期に発生した２つの感染について詳述し、そのオペレーションにおける進化の状況を浮き彫りにしている。

Microsoft Exchange をハックする Hive ランサムウェア：新たな攻撃手法で被害を拡大

Microsoft Exchange servers hacked to deploy Hive ransomware

2022/04/20 BleepingComputer — Hive ランサムウェアのアフィリエイトが、ProxyShell のセキュリティ問題に対して脆弱な Microsoft Exchange サーバーを標的として、Cobalt Strike ビーコンなどの様々なバックドアを展開している。この脅威アクターは、そこからネットワークを偵察し、管理者アカウントの認証情報を盗み、貴重なデータを流出させ、最終的にはファイル暗号化ペイロードを展開する。この情報は、セキュリティ分析を行う Varonis が、同社の顧客に対するランサムウェア攻撃を調査した際に得られたものである。

TrickBot の進化：難読化された 20本以上のモジュールを自在に操る

TrickBot developers continue to refine the malware’s sneakiness and power

2022/02/16 CyberScoop — Check Point Research によると、汎用性の高いマルウェア TrickBot の開発者は、サイバーセキュリティ・アナリストの一歩先を進み、金融機関やテクノロジー企業の顧客に対して大きな危険をもたらし続けているとのことだ。水曜日に発表した調査結果で同社は、「TrickBot の開発者は、アンチ分析と難読化の機能を幾重にも備えており、専門家がマルウェアのコードを解析しようとする際に、Command and Control との通信を遮断し、動作を完全に停止することがある。

SolarWinds 攻撃と新たなマルウェア：長期間の潜伏を可能にする手法とは？

New Malware Used by SolarWinds Attackers Went Undetected for Years

2022/02/02 TheHackerNews — SolarWinds サプライチェーン侵害の背後にいる脅威アクターは、この攻撃に新しいツールやテクニックを投入し、2019年からマルウェアを強化し続けることで、とらえどころのない性質を持つキャンペーンに成長し、何年もアクセスを維持する敵対者の能力を示してきた。

Nobelium ハッキング・グループの斬新な戦術を解説する、サイバー・セキュリティ企業である CrowdStrike によると、攻撃の規模が拡大する以前から、２つの洗練されたマルウェア・ファミリーが被害者のシステムに潜入していたという。それらは、GoldMax の Linux 版と、TrailBlazer という新たなインプラントである。

Microsoft 報告：中国ハッカーが使用する 42 の悪意の Web ドメインが押収された

Microsoft Seizes 42 Malicious Web Domains Used By Chinese Hackers

2021/12/07 TheHackerNews — 米国バージニア州の連邦裁判所が発行した令状に基づき、米国などの28カ国の組織を標的とする、中国のサイバー・スパイ集団が使用していた42個のドメインを押収されたと、Microsoft が発表した。同社は、この悪質なスパイ行為について、Nickel と呼ばれるグループおよび、APT15／Bronze Palace／Ke3Chang／Mirage／Playful Dragon／Vixen Panda と呼ばれているグループの仕業だとしている。この APT アクターは、2012年ごろから活動していると考えられている。

FamousSparrow という APT が Exchange や Oracle にバックドアを仕掛けている

New FamousSparrow APT group used ProxyLogon exploits in its attacks

2021/09/24 SecurityAffairs — ESET の研究者たちは、FamousSparrow として追跡されている新たなサイバー・スパイ・グループを発見した。この APT (Advanced Persistent Threat) グループは、2019年頃から世界中のホテルや、法律事務所、政府、民間企業などの、より知名度の高いターゲットも攻撃している。専門家によると、このグループはサイバー・スパイ活動に重点を置いていとのことだ。

Conti PlayBook 英訳版：ランサムウェアの手口が明らかに

Translated Conti ransomware playbook gives insight into attacks

2021/09/02 BleepingComputer — Conti グループの攻撃 PlayBook が流出してから１ヶ月ほどが経ったが、(ロシア語からの) 自動翻訳による誤訳を解消するために、セキュリティ研究者たちが翻訳版を公開してくれた。この PlayBook は、Conti におけるランサムウェア攻撃の方法や、徹底した指示に関する情報を提供するだけではなく、スキルの低いアクターであっても、Conti ランサムウェアのアフィリエイトになれば、貴重なターゲットを攻撃できるようになっている。

Nokia の米子会社に Conti ランサムウェアが侵入した

Nokia subsidiary discloses data breach after Conti ransomware attack

2021/08/23 BleepingComputer — Nokia の米子会社である SAC Wireless は、Conti ランサムウェアによる攻撃を受け、ネットワークへの侵入と、データの窃取、システムを暗号化を許し、また、データが流出したことを公表した。米国イリノイ州シカゴに本社を置く Nokia 子会社である SAC Wireless は、米国内の通信事業者および、基地局、OEM 企業などと取引を行っている。SAC Wireless は、5G および、4G LTE、スモールセル、FirstNet などの、セルラー・ネットワークの設計／構築／アップグレードなどを顧客に提供する企業である。

Microsoft Windows 365 をセキュアに運用するためのガイダンスとは？

Microsoft shares guidance on securing Windows 365 Cloud PCs

2021/08/22 BleepingComputer — 今週の初めに Microsoft は、Windows 365 Cloud PC のセキュリティ確保に関するガイダンスと、ビルトインされているセキュリティ機能の詳細情報を公開した。このガイダンスでは、Windows 365 Business およびWindows 365 Enterprise サブスクリプションに登録された Cloud PC を保護するために顧客ができることが説明されている。

Windows 365 から Microsoft Azure クレデンシャル情報を平文でダンプ

Windows 365 exposes Microsoft Azure credentials in plaintext

2021/08/13 BleepingComputer — ありセキュリティ研究者が、Mimikatz を使って、Microsoft の最新 Windows 365 Cloud PC Service から、ユーザーの Microsoft Azure 認証情報を平分でダンプする方法を発見した。Mimikatz とは、Benjamin Delpy が作成したオープンソースのサイバー・セキュリティ・プロジェクトであり、認証情報の窃取や成りすましの脆弱性をテストするために、研究者たちに利用されるソフトウエアである。このプロジェクトの GitHub ページには、「メモリから平文のパスワードや、ハッシュ、PIN コード、Kerberos チケットを抽出することはよく知られている。

中国拠点のサイバー・スパイが東南アジアの ICS や SCADA を狙っている

China-Linked Cyberespionage Operation Suggests Interest in SCADA Systems

2021/08/05 SecurityWeek — 中国を拠点とするサイバースパイ集団が、東南アジア諸国の重要インフラ組織を標的にしていることが確認されて、攻撃者たちが産業用制御システム (ICS : Industrial Control Systems) に関心を示している可能性が生じた。中国の脅威アクターたちが、東南アジアを標的にすることは珍しいことではない。ここ数年、この地域の軍事／通信／技術／政府の組織を標的にしていることが確認されている。木曜日に Broadcom の一部門である Symantec は、同社の脅威ハンター・グループが、東南アジアの４つの重要インフラ組織に対して、ある脅威アクターが攻撃を仕掛けたことを確認したと報告している。

Conti ランサムウェアが内部分裂：怒りのアフィリエイトが Play Book を暴露した

Angry Conti ransomware affiliate leaks gang’s attack playbook

2021/08/05 BleepingComputer — 不満を抱いた Conti のアフィリエイトが、ランサムウェア運用者の情報を含む、攻撃を行うためのトレーニング資料を流出させた。Conti ランサムウェアは、RaaS (ransomware-as-a-service) として運営されており、コア・チームがマルウェアと Tor サイトを管理し、リクルートされたアフィリエイトがネットワーク侵入やデバイスの暗号化を行う仕組みになっている。そして、コア・チームが身代金の 20％～30％を受け取り、残りをアフィリエイトが受け取ることになる。

Conti ランサムウェアはヘルスケア機関を標的にすると FBI が警告

FBI Issues Conti Ransomware Alert as Attacks Target Healthcare

2021/05/21 DarkReading — 米国の医療機関や救急隊員のネットワークを標的とした、ランサムウェア Conti による攻撃が、少なくとも 16件確認されたという発表があった。FBI が発した警告は、法執行機関／救急医療サービス／911 ディスパッチセンター／自治体などを標的とした Conti 攻撃が、この 1年間に少なくとも 16件が確認されたことを受けてのものだ。

Cring という名のランサムウェアが Fortinet VPN を狙っている

New Cring ransomware hits unpatched Fortinet VPN devices

2021/04/07 BleepingComputer — Fortinet の VPN に影響を与える脆弱性が、人間が操作する新種のランサムウェア Cring により悪用され、産業分野ネットワークへの不正侵入が生じ、悪意の暗号化が行われていることが判明した。Cring ランサムウェア（Crypt3r、Vjiszy1lo、Ghost、Phantom とも呼ばれる）は、この1月にAmigo_Aにより発見され、スイスの通信事業者である Swisscom CSIRT チームも察知しているものである。