Phishing – Page 6 – IoT OT Security News

ChatGPT などの AI ツールが BEC を助長：いちばん恐ろしい武器は言葉

AI tools like ChatGPT expected to fuel BEC attacks

2023/04/17 HelpNetSecurity — Armorblox の調査によると、過去１年間に観測された全ての BEC 攻撃のうちの 57%が、無防備な従業員に攻撃を仕掛けるための主要な攻撃ベクターとして、言葉に依存していたという。その他の注目すべき傾向は、ベンダーへの侵害と詐欺が、新たな攻撃ベクターとして台頭していることや、セキュリティ・チームが毎週 27時間もの時間を、グレーメールの処理に浪費していることだ。

Qbot バンキング・トロイの木馬：PDF アーカイブ内の JScript スクリプトで PowerShell を起動

Qbot Banking Trojan Increasingly Delivered Via Business Emails

2023/04/17 InfoSecurity — 偽のビジネス・メールを用いる悪質なキャンペーンにより、QBot (Qakbot) ファミリーのバンキング型トロイの木馬を拡散するというトレンドが確認されている。Kaspersky のセキュリティ研究者たちにより発見された、この悪質なスパム・キャンペーンは、英語／ドイツ語／イタリア語／フランス語などの各言語で書かれたメッセージを使用している。今日のアドバイザリで、同社は、「このメッセージは、攻撃者が入手した実際のビジネスレターに基づいており、彼らのメッセージが通信スレッドに入り込んでいた」と述べている。

Emotet 攻撃が加速：Microsoft OneNote ファイルの不用意な操作は NG

Emotet Climbs March 2023’s Most Wanted Malware List With OneNote Campaign

2023/04/12 InfoSecurity — Emotet マルウェアは、悪意の OneNote ファイルを隠し持つスパムメール・キャンペーンにより、Check Point の Most Wanted Malware List ランキングを駆け上がっている。Emotet は、２月の３位から、３月の２位へと順位を上げている。このキャンペーンは、被害者を誘い、悪意の OneNote ファイルを開かせることで、マルウェアをインストールするものだ。

Facebook 上の ChatGPT／Google Bard 偽広告：RedLine スティラーを配布している

Attackers Hide RedLine Stealer Behind ChatGPT, Google Bard Facebook Ads

2023/04/12 DarkReading — サイバー犯罪者たちは、Facebook のビジネスページやコミュニティページを乗っ取り、ChatGPT や Google Bard などの正規のスポンサーを装い、AI チャットボットの無料ダウンロードを宣伝する広告を展開している。それらの広告に誘導されたユーザーは、AI チャットボットではなく、RedLine Stealer と呼ばれる有名な情報スティーラー・マルウェアをダウンロードしていることが、研究者たちの調査により判明した。RedLine Stealer とは、オンライン・ハッカー・フォーラムを通じて販売されている Malware-as-a-Service (MaaS) プラットフォームだ。Web ブラウザを標的にして、認証情報や支払いカードの詳細などの、様々なユーザー情報を収集する。さらに、次の攻撃にむけて攻撃対象領域を評価するために、システムのインベントリを取得する。

Google Chrome の偽アップデートに御用心：日韓言語圏から世界へと広がる攻撃範囲

Hacked sites caught spreading malware via fake Chrome updates

2023/04/11 BleepingComputer — いくつかの Web サイトを侵害したハッカーたちが、偽の Google Chrome 自動更新エラーを表示するスクリプトを注入し、それに気づかない訪問者にマルウェアを配布している。このキャンペーンは、2022年11月から行われている。NTT の Security Analyst である Rintaro Koike によると、2023年2月以降に活動を加速させ、日本語／韓国語／スペイン語を話すユーザーを対象にターゲット範囲を拡大している。このマルウェア配布キャンペーンにより、アダルトサイト／ブログ／ニュースサイト／オンラインストアなどの、多数のサイトがハッキングされたことを、BleepingComputer は確認している。

WordPress サイト 100万件を侵害：Balada Injector による大規模マルウェア・キャンペーン

Over 1 Million WordPress Sites Infected by Balada Injector Malware Campaign

2023/04/10 TheHackerNews — Balada Injector というマルウェアを展開する継続的なキャンペーンにより、2017年以降で 100万以上の WordPress サイトが感染したと推定される。GoDaddy の Sucuri によると、WordPressサイトを侵害する、この大規模キャンペーンでは、テーマとプラグインに存在する、ありとあらゆる脆弱性が悪用されているようだ。この攻撃は、数週間に一度のペースで、波状的に展開されると認識されている。

サイバー攻撃に悪用される ChatGPT：防御側も LLM を活用すべき

Bad Actors Will Use Large Language Models — but Defenders Can, Too

2023/04/07 DarkReading — 各種の AI がヘッドラインを席巻しているが、その中でも ChatGPT は最新のトピックであり、その斬新さに誰もが心を奪われている。しかし、 LLM (Large Language Models) が兵器化される方法などについては、誰も触れていない。インターネットは信じられないほど巨大で複雑になり、数多くの機密情報が露呈されるようになった。10年前には１つの Web サイトしか持たなかった企業が、今日では数十の Web サイトを持ち、未知の資産や子会社を抱えている。それらを悪用する攻撃者が、ネットワーク／システムへの侵入や知的財産の流出を活性化している。

マルウェアの侵入ベクターなどを数値化してみた：2022年 Q3／Q4 で比較すると？

The hidden picture of malware attack trends

2023/04/06 HelpNetSecurity — WatchGuard によると、ネットワークで検出されたマルウェアが、2022年 Q4 に減少した。しかし、エンドポイントのランサムウェアは 627% も急増し、フィッシング・キャンペーンに関連するマルウェアは脅威として存続している。WatchGuard Threat Lab の研究者たちが、HTTPS (TLS/SSL) トラフィックを復号化する Firebox を調べ、さらに分析したところ、マルウェアの発生率が高いことが判明した。つまり、マルウェアの活動が、暗号化されたトラフィックに移行したことを示している。

Telegram でフィッシング：さまざまな悪意の商品に群がる脅威アクターたち

Threat Actors Increasingly Use Telegram For Phishing Purposes

2023/04/06 InfoSecurity — フィッシング技法の開発に注目する脅威アクターたちが、アクティビティの自動化や各種のサービス提供において、Telegram を悪用するケースが増えている。このような傾向は、Kaspersky のサイバー・セキュリティ専門家たちの調査／分析によるものである。水曜日のアドバイザリで、Web コンテンツ・アナリストである Olga Svistunova は、「フィッシャーたちは商品を宣伝するために Telegram チャネルを作り、そこでフィッシングについて聴衆を教育し、投票によりサブスクライバーを楽しませている。このようなチャネルへのリンクは、彼らのフィッシング・キットや YouTube／GitHub などを通じて拡散される」と述べている。

STYX というダークウェブが登場：金融詐欺に特化してサイバー犯罪者の支持を集める

STYX Marketplace emerged in Dark Web focused on Financial Fraud

2023/04/05 SecurityAffairs — 2023年の初めに、STYX というマーケットプレイスが立ち上げられた。このプラットフォームは、特に金融犯罪を促進するために設計されており、盗んだ金融データ／クレジットカード情報／偽造文書／マネー・ロンダリング・サービス／被害者の偵察をする “lookups” などの、様々なサービスをサイバー犯罪者たちに提供している。この事例は、サイバー犯罪の流行後の脅威と、それが金融機関とその顧客にもたらす脅威を物語っている。デジタル・バンキングや暗号通貨口座を悪用して、マネー・ロンダリング・サービスを提供する脅威アクターの大幅な増加を、Resecurity の金融犯罪リスクのアナリストたちが観測している。それと、STYX の発見が一致しているのだ。

CISA KEV 警告 23/04/03：Zimbra の脆弱性が NATO 諸国への攻撃で悪用

CISA warns of Zimbra bug exploited in attacks against NATO countries

2023/04/03 BleepingComputer — CISA が連邦政府機関に要請したのは、NATO 諸国を標的とした攻撃でロシアのハッカーがＥメールを盗むために悪用した、Zimbra Collaboration (ZCS) に存在する XSS (Cross-Site Scripting) の脆弱性の修正である。NATO に加盟する複数の政府のポータルへの攻撃で、Winter Vivern および TA473 として追跡されているロシアのハッキング・グループが、この脆弱性 CVE-2022-27926 を悪用して、当局／政府／軍人／外交官などのメール・ボックスに不正アクセスしていたという。

Microsoft OneNote の安全性を確保する：危険なファイル拡張子のブロックが始まる

Microsoft OneNote Starts Blocking Dangerous File Extensions

2023/04/03 SecurityWeek — Microsoft が発表したのは、危険とされる拡張子を持つエンベッド・ファイルを自動的にブロックする、OneNote ユーザー向けの保護機能の向上である。OneNote は、企業ユーザーがメモ作成やタスク管理のために使用する、Office スイートのコンポーネントであり、マルチ・ユーザー・コラボレーション機能も備えている。その他の Office アプリケーションと同様に、OneNote はマルウェア配信に悪用されてきた。そして、OneNote ドキュメントでは、ユーザーに対する警告を出さずに実行されるファイルを添付できる。

フィッシングの HTTPS 化：悪意のサイトの 49% がブラウザに南京錠マークを表示

Volume of HTTPS Phishing Sites Surges 56% Annually

2023/03/30 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、HTTPS を使用するフィッシング・サイトの急増である。つまり、ブラウザに南京錠のマークが表示されている Web サイトであっても、要注意だと警告しているのだ。この調査結果は、9,500 万台ものエンドポイント／センサー／サードパーティのデータベースから収集した情報を、Open Text Cybersecurity が取りまとめた “2023 Global Threat Report” によるものだ。同レポートによると、HTTPS を使用していたフィッシング・サイトの割合は前年比で 56％近くも増加し、全体に占める割合は 2021年の32％から 2022年の 49％以上へと跳ね上がっている。

ChatGPT に対するユーロポールの評価：近い将来に起こり得る問題の可能性

Europol details ChatGPT’s potential for criminal abuse

2023/03/28 HelpNetSecurity — ChatGPT に対する社会の関心が高まる中、この問題に真剣に取り組んでいる Europol Innovation Lab は、さまざまな部門の専門家が参加する、一連のワークショップを実施した。これらのワークショップは、ChatGPT のような LLM (Large Language Models) が犯罪者に悪用される可能性や、捜査官の日常業務を支援する可能性の、調査を目的としている。

中国の原子力エネルギー部門が標的：APT アクター Bitter は南アジアから攻撃する

China’s Nuclear Energy Sector Targeted in Cyberespionage Campaign

2023/03/28 SecurityWeek — サイバースパイ・キャンペーンを展開する南アジアの APT アクターが、中国の原子力エネルギー部門を標的にしていると、Intezer が最新情報として報告している。2021年ころから活動している Bitter という名のグループは、中国／バングラデシュ／パキスタン／サウジアラビアのエネルギーおよび政府組織を標的とすることで知られており、その戦術として、Excel／Microsoft Compiled HTML Help (CHM)／Windows Installer (MSI) ファイルの悪用を特徴としている。

IcedID の新たな亜種：バンキング詐欺からマルウェア配信へとシフトしている

New IcedID variants shift from bank fraud to malware delivery

2023/03/27 BleepingComputer — IcedID の新しい亜種は、通常のオンライン・バンキング詐欺の機能を持たない代わりに、侵害したシステムに新たなマルウェアをインストールすることに、重点を置いていることが判明した。Proofpoint によると、これらの新しい亜種は、昨年末から７つのキャンペーンで、３つの異なる脅威アクターにより使用されており、ランサムウェアなどのペイロードの配信に重点を置いていることが確認されている。

MacStealer という新たな macOS マルウェア：iCloud Keychain からパスワードを窃取

New MacStealer macOS malware steals passwords from iCloud Keychain

2023/03/27 BleepingComputer — Mac ユーザーを標的とする、MacStealer とう名の新たな情報スティーラー・マルウェアが、iCloud KeyChain や Web ブラウザに保存されている認証情報や暗号通貨ウォレットなどの、機密ファイルなどを窃取しているようだ。この MacStealer は、Malware-as-a-Service (MaaS) として配布されており、開発者はプレメイドのビルドを $100 で販売し、購入者はキャンペーンでマルウェアを拡散している。Uptycs 脅威研究チームが発見した MacStealer は、macOS Catalina 10.15 〜 Ventura 13.2 の環境で動作するという。

Dark Power という新種のランサムウェア：すでに脅迫が開始されている

New Dark Power ransomware claims 10 victims in its first month

2023/03/25 BleepingComputer — Dark Power という名の新たなランサムウェア・オペレーションが登場し、ダークウェブのデータ漏洩サイトに最初の被害者をリストアップし、身代金を支払わなければデータを公開すると脅迫している。このランサムウェア・グループのエンクリプターの日付を見ると、攻撃が開始された 2023年1月29日にコンパイルされたものだった。さらに、現時点のハッカー・フォーラムやダークウェブ・スペースでは、このオペレーションのプロモーションが行われていないため、プライベート・プロジェクトである可能性が高い。

SharePoint を狙うフィッシング活動を発見：欧米の 1600 人の個人がターゲット

SharePoint Phishing Scam Targets 1600 Across US, Europe

2023/03/23 InfoSecurity — Microsoft のコラボレーション・プラットフォーム SharePoint の、正規サーバを悪用する新たなフィッシング詐欺が、ネイティブの通知メカニズムを介して、欧州／米国などの国々で、少なくとも 1600人の個人を標的にしていることが判明した。2023年3月23日の未明に、Kaspersky のセキュリティ研究者たちが発表したアドバイザリでは、この詐欺を実行するサイバー犯罪者たちが、Yahoo!／AOL／Outlook／Office 365 などの、電子メール・アカウントの認証情報を盗んでいると説明されている。

Adobe Acrobat Sign を悪用：Redline マルウェアを配布する手口が暴かれた

Adobe Acrobat Sign abused to push Redline info-stealing malware

2023/03/16 BleepingComputer — オンライン・ドキュメント署名サービスである Adobe Acrobat Sign が、情報窃取マルウェアの配布に悪用されている。このサービスを悪用する脅威アクターたちは、Adobe を装う悪意のメールをターゲットに送信しすることで、セキュリティ保護を回避して受信者を騙そうとしている。このような、正規のサービスを悪用する手口は新しいものではない。最近に見られた同様のケースに、PayPal の請求書や Google Docs のコメントなどの悪用がある。Avast の研究者たちは、Adobe Acrobat Sign を悪用してセキュリティを回避してターゲットを騙す、この新たな詐欺手法について警告している。

BEC の発生件数が２倍に増えた：急増するフィッシングから移行している？

BEC Volumes Double on Phishing Surge

2023/03/16 InfoSecurity — Secureworks の調査により、昨年の BEC (Business Email Compromise) インシデントが倍増し、ランサムウェアに取って代わる、最多のサイバー犯罪のカテゴリとなった。脅威の検知／対応の企業である Secureworks は、調査依頼を受けた数百件の実戦的なインシデントを基に、 “Learning from Incident Response“ レポートを作成した。同社は、BEC の件数の大幅増の背景にはフィッシングの急増があり、イニシャル・アクセス・ベクターの 33％を占めており、2021年の 13％から増加したと発表している。

フィッシングで悪用されるブランド URL：Top-50 をリストアップ

Top 50 most impersonated brands by phishing URLs

2023/03/15 HelpNetSecurity — 今日のフィッシングは、最も急速に成長しているインターネット犯罪であり、消費者と企業の両方にとって大きな脅威となっている。Cloudflare によると、金融／テクノロジー／テレコムなどのブランドが、最も頻繁に成りすまされた。特に、銀行口座や、電子メール、ソーシャルメディア、テレコムなどが、攻撃者に許してしまった前例のないアクセスから生じる、金銭的な利益が理由となっている。

SVB 銀行の破綻を悪用：金銭やデータを盗み出すサイバー犯罪者たち

Cybercriminals exploit SVB collapse to steal money and data

2023/03/14 BleepingComputer — 2023年3月10日のシリコンバレー銀行 (SVB) の破綻は、世界の金融システムに波紋を広げているが、ハッカー／詐欺師／フィッシング・キャンペーンにとっては、絶好のチャンスになりつつある。複数のセキュリティ研究者たちが報告しているように、すでに脅威アクターたちは疑わしいドメインを登録してフィッシング・ページを作成し、BEC (Business E-mail Compromise) 攻撃の準備を整えている。これらのキャンペーンの目的は、金銭やアカウントの窃取、マルウェアの展開などにある。

OT に忍び寄るマルウェア：ソーシャルエンジニアリングが産業分野にも浸透してきた

Almost Half of Industrial Sector Computers Affected By Malware in 2022

2023/03/06 InfoSecurity — 製造業の現場で使用されている Operational Technology (OT) コンピュータの 40.6% が、2022年においてマルウェアの影響を受けていることが判明した。今日の未明に Kaspersky のセキュリティ研究者たちが発表したレポートによると、この数字は、2022年上半期と比較して６％増加し、2021年下半期との比較では約 1.5倍になっている。

モバイル・フィッシング 2022年レポート：BYOD ポリシー緩和につけ込む攻撃者たち

Record Number of Mobile Phishing Attacks in 2022

2023/03/01 InfoSecurity — Lookout によると、2022年においては、過去最大のモバイル・フィッシングが観測され、世界のスマフォ・ユーザーの半数が、四半期ごとにフィッシング攻撃にさらされていたこと判明した。この調査結果は、2023年3月1日に Lookout 発表した Global State of Mobile Phishing Report から得られたものだ。このレポートによると、モバイル・フィッシングの発生率は、３年前からの上昇傾向を裏付けるものであり、2020年 Q4 以降においては四半期ごとに増加している。ただし、この数字は、個人の携帯電話のみを対象としている。

Parallax RAT の標的は暗号通貨企業：洗練されたインジェクション技術で検出を回避

Parallax RAT Targeting Cryptocurrency Firms with Sophisticated Injection Techniques

2023/03/01 TheHackerNews — Parallax RAT と呼ばれるリモート・アクセス型トロイの木馬を配信する新しいキャンペーンにおいて、暗号通貨企業が標的にされている。Uptycs の最新レポートには、「このマルウェアは、インジェクション技術を用いて正規のプロセス内に潜伏し、検出を困難にしている。その注入を成功させた攻撃者は、おそらく通信チャネルとして機能する Windows Notepad を介して、被害者に接触するようになる。

Microsoft 365 Defender の新機能：ランサムウェア／BEC の攻撃を自動で遮断

Microsoft announces automatic BEC, ransomware attack disruption capabilities

2023/02/24 HelpNetSecurity — 昨年に Microsoft は、企業向けのセキュリティ・スイートである Microsoft 365 Defender に、自動攻撃遮断機能を搭載すると発表した。水曜日に同社は、これらの機能を活用する組織は、ランサムウェアと BEC (Business Email Compromise) の攻撃という、２つの代表的なパターンを効果的に阻止すると明かした。

ChatGPT の偽アプリ／偽ドメインに御用心：Windows／Android マルウェアが配信されている

Hackers use fake ChatGPT apps to push Windows, Android malware

2023/02/22 BleepingComputer — OpenAI のチャットボット ChatGPT の人気を利用して、Windows／Android 向けのマルウェア配布や、無防備な人々をフィッシング・ページへと誘導する、驚異アクターの活動が検知されている。2022年11月にリリースされた ChatGPT は絶大な人気を博し、2023年1月の時点で１億人以上のユーザーを持つという、最も急成長したコンシューマー向けアプリケーションである。この人気と急成長が要因となり、OpenAI はツールの使用を制限せざるを得ない状況になった。つなり、利用制限なしでチャットボットを使用する個人向けに、月額 $20 の有料サービス (ChatGPT Plus) を立ち上げることになった。

メール・フィルターを解剖する：自社に適した機能を選ぶために知っておくべきこと

How do mail filters work?

2023/02/20 TripWire — サイバー攻撃から組織を守るために、メール・フィルターは大きな役割を担っている。そのタスクは、きわめて小さいものだが、大量かつ悪質なフィッシング・メールやスパム・メールが、ユーザーの受信トレイに配信される前に抑止することは、組織の防御能力にとって極めて重要なことだ。IBM X-Force Threat Intelligence Index によると、製造業における攻撃の 40% はフィッシング攻撃であり、従業員の３人に１人がフィッシング詐欺に騙されるだろうと言われている。

GoDaddy でデータ侵害が発生：不正アクセスは数年前から始まっていた

GoDaddy: Hackers stole source code, installed malware in multi-year breach

2023/02/17 BleepingComputer — Web ホスティング大手の GoDaddy の発表は、数年にわたる攻撃により cPanel 共有ホスティング環境が侵害され、未知の攻撃者にソースコードを盗み出され、サーバにマルウェアをインストールされるという侵害に遭ったというものだ。GoDaddy がセキュリティ侵害を発見したのは、自社のサイトがランダムなドメインへのリダイレクトに利用されているという、顧客からの報告を受けた 2022年12月上旬のことだった。しかし攻撃者の不正アクセスは、その数年前から発生していたという。

PayPal のメール・アカウントを悪用する偽請求書：その見破り方と対処法は？

Hackers Leverage PayPal to Send Malicious Invoices

2023/02/16 InfoSecurity — オンライン決済プラットフォーム PayPal を悪用して、偽の請求書をユーザーに対してダイレクトに送信する、脅威アクターの存在が確認された。この最新のキャンペーンは、Check Point 傘下 Avanan のセキュリティ研究者により発見されたものだが、従来からのキャンペーンとは全く異なるものだとされる。今日のアドバイザリには、「これは、PayPal に成りすます攻撃とは異なるものだ。つまり、PayPal からダイレクトに送られてくる悪質な請求書である」と記されている。

ChatGPT がフィッシングをプッシュ：2022年下半期の 61％増がさらに加速する？

Phishing Surges Ahead, as ChatGPT & AI Loom

2023/02/10 DarkReading — 2022年後半にキャンペーン量が大幅に増加するなど、フィッシングが勢いを増している。今週に発表された分析では、フィッシング・メールの総量は下半期に 61％も増加していたという。また、ChatGPT などの新しいツールの台頭により、この分野の勢いも加速する可能性がある。メール・セキュリティ企業である Vade が 2月9日に発表した Q4 2022 Phishing and Malware Report によると、フィッシング攻撃の量は 2022 Q3〜Q4 で 36％増加しており、研究者たちは 2022年10月〜12月の３月間で、2億7830万件のユニークなフィッシング・メールを調査したとのことだ。

Reddit にフィッシング攻撃：従業員を騙して機密情報を漏洩させる

Reddit Hit By Phishing Attack, Source Code Stolen

2023/02/10 InfoSecurity — 2023年2月5日に Reddit でサイバー攻撃が発生し、従業員の機密情報を漏洩したが、高度に洗練された標的型フィッシング攻撃により、内部システムが侵害されたことに原因がある。同社は木曜日に、「攻撃者は、認証情報とセカンド・ファクター・トークンを盗むために、イントラネットのゲートウェイの動作を模倣した Web サイトを、従業員に示すというプロンプトを送信した。一人の従業員の認証情報の取得に成功した攻撃者は、いくつかの内部文書／コード／内部ダッシュボード／ビジネスシステムなどにアクセスできるようになった」と述べている。

ChatGPT に関する調査：IT リーダーの 51% がサイバー攻撃の中核になると回答

IT Leaders Reveal Cyber Fears Around ChatGPT

2023/02/03 InfoSecurity — BlackBerry の最新調査によると、ChatGPT が１年以内にサイバー攻撃の中核として成功すると、セキュリティ・リーダーたちの過半数 (51%) が予想していることが明らかになった。この、北米／英国／オーストラリアの IT 意思決定者 1500人を対象にした調査では、すでに ChatGPT が他国への悪意の目的で使用されている可能性が高いと、71% が推定していることも判明した。ChatGPT とは OpenAI が開発した人工知能 (AI) 言語モデルをチャットボット形式で展開し、ユーザーの質問に対して迅速かつ詳細な回答を提供するものであり、2022年末に製品化されている。

DocuSign 成りすましのフィッシング攻撃：１万人以上の企業ユーザーが標的

DocuSign Brand Impersonation Attack Bypasses Security Measures, Targets Over 10,000

2023/01/31 InfoSecurity — DocuSign ブランドに成りすます攻撃が発生し、ネイティブ・クラウドおよびインラインにおけるメール・セキュリティ・ソリューションを回避し、複数の組織の１万人以上のエンドユーザーを標的にしていることが確認された。この発見は、Armorblox のセキュリティ研究者たちによるものであり、電子メールを通じて InfoSecurity と共有されたアドバイザリで、この新しい脅威について説明している。

OAuth を悪用する偽アプリ攻撃： Office 365 アカウントへの不正アクセスが発生

Attackers used malicious “verified” OAuth apps to infiltrate organizations’ O365 email accounts

2023/01/31 HelpNetSecurity — ”Publisher identity verified” マークを取得したサードパーティ製 OAuth アプリが、英国／アイルランドの組織を標的とする、未知の攻撃者に利用されていることを、Microsoft が明らかにした。この攻撃は、2022年12月初旬に Proofpoint の研究者が発見したものであり、SSO／Zoom になりすました３つの不正なアプリが関与しているという。この手口に騙されたターゲット組織は、一連の不正アプリにより O365 メールアカウントにアクセスされ、組織のクラウド環境への侵入を許してしまった。

Gootkit は SEO ポイズニング・マルウェア：難読性の高い無差別攻撃

Gootkit Malware Continues to Evolve with New Components and Obfuscations

2023/01/29 TheHackerNews — マルウェア Gootkit を操る脅威アクターは、そのツールセットを新たなコンポーネントで強化し、難読性の高い感染チェーンを構築している。Google 傘下の Mandiant は、UNC2565 という名称で Gootkit の活動を監視しているが、このグループだけが独占して使用するマルウェアであることを指摘している。Gootkit は、Gootloader とも呼ばれ、検索エンジン最適化 (SEO) ポイズニングと呼ばれる手法により、合意書や契約書などのビジネス関連文書を検索する人々を騙して、危険な Web サイトへと誘導することで拡散していく。

フィッシング・ブランドの首位は Yahoo：2022年 Q4 の調査結果で DHL を逆転

Yahoo Overtakes DHL As Most Impersonated Brand in Q4 2022

2023/01/25 InfoSecurity — Check Point チェック・ポイントのセキュリティ研究者たちは、2022年 Q4 に最も成りすまされたブランドは、フィッシングの全試行の 20% を占めた Yahoo であり、DHL をトップから陥落させたことを明らかにした。この調査結果は、同社の最新ブランド・フィッシング・レポートから得られたものであり、数十万ドル相当の賞金が Yahoo から提供されるというメールを、複数のサイバー犯罪者たちが配信していることが確認されたようだ。メールの送信者は、”Award Promotion” や “Award Center” といった名前を使用している。

Zendesk で顧客情報の漏洩が発生：従業員を狙った SMS フィッシングに起因

Compromised Zendesk Employee Credentials Lead to Breach

2023/01/21 DarkReading — SaaS 版の CRM (Customer Relationship Management) を提供する Zendesk が、2022年10月に脅威アクターによる不正アクセスを受け、顧客情報の漏洩が発生したこと明らかになった。ことの発端は、2023年1月13日に同社から顧客に送られたメールである。インシデントの詳細が記された Zendesk からのメールは、仮想ウォレット・サービスを提供する Coinigy により公開されたものだ。Coinigy は侵害に関する投稿で、「我々の顧客に開示する必要性を感じた」と述べている。

ChatGPT の悪用が始まる：人工知能の倫理をバイパスするロシアのハッカーたち

Russian Hackers Try to Bypass ChatGPT’s Restrictions For Malicious Purposes

2023/01/13 InfoSecurity — ロシアのサイバー犯罪者たちが、OpenAI の API 制限をバイパスして ChatGPT チャットボットにアクセスし、不正なアクションを試みる様子が、ダークウェブ・フォーラムで確認されている。ある脅威アクターたちは、OpenAI の無料アカウント制限を回避するために、アップグレード・ユーザーとして支払いに盗んだカードを使用する方法を議論していた。また、OpenAI の地理的なコントロールを回避する方法についてブログを投稿した者や、半合法的なオンライン SMS サービスを使って ChatGPT に登録するチュートリアルを作成した者もいる。

Dark Pink という APT グループ：APAC の政府／軍事を狙って７件の攻撃を達成

Dark Pink APT Group Targets Governments and Military in APAC Region

2023/01/11 TheHackerNews — アジア太平洋地域における政府機関／軍事組織などが、未知の高度持続的脅威 (APT：Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に７つの攻撃を成功させた」と述べている。

Cloudflare の Zero Trust：ジャーナリスト／活動家／人道支援団体などに無償提供

Cloudflare’s Zero Trust suite now available for free to at-risk groups

2022/12/12 BleepingComputer — Cloudflare は、Project Galileo と Athenian Project に参加している、公益団体／選挙サイト／各州機関に対して、同社の Cloudflare One Zero Trust セキュリティ・スイートを無償で提供すると発表した。それにより、ジャーナリスト／活動家／人道支援団体／マイノリティ・グループ／州選挙サービスなどに対して、企業レベルのサイバー・セキュリティ・サービスを無償で提供されることになる。

Netflix なりすましフィッシング・メール：10月のキャンペーンで 78％の急増

Netflix Phishing Emails Surge 78%

2022/11/18 InfoSecurity — Egress のセキュリティ研究者たちは、Netflix になりすましたメール攻撃が 10月以降に 78％増加しており、企業アカウントが危険にさらされる可能性があると警告している。このようなキャンペーンから生じる懸念は、Netflix のような個人のアカウントと仕事のアカウントで、従業員たちが同じ認証情報を使用している場合に、企業のシステムやデータを危険にさらさる可能性にあると、Egress は指摘している。

Instagram を装うフィッシング攻撃：Microsoft のメール・セキュリティを回避して到達

Instagram Credential Phishing Attacks Bypass Microsoft Email Security

2022/11/18 InfoSecurity — Instagram になりすましたキャンペーンにおいて、国立教育機関の学生 22,000人をターゲットにしたクレデンシャル・フィッシング攻撃が発見された。この情報は、Armorblox のセキュリティ専門家たちによるものであり、2022年11月17日のアドバイザリで新たな脅威として警告されている。その内容は、「このメールのタイトルは、標的に対してメッセージを開くように促している。そして、ターゲットに切迫感を訴え、将来の被害を防ぐために必要な、行動をとるよう誘導していく」というものだ。

FBI／CISA／HHS 共同警告：ランサムウェア Hive の被害額が約 $100M に到達

Hive Ransomware Has Made $100m to Date

2022/11/18 InfoSecurity — 昨日に FBI／CISA／HHS (Health and Human Services) が発表した共同警告によると、ランサムウェア亜種 Hive は、これまでに 1,300以上のグローバル企業から約 $100 million の利益を得ているという。この推定利益は、2021年6月に Hive が発見されてから、約15カ月の間に発生したものだ。被害組織は、政府／通信／主要な製造業／IT企業など多岐にわたるが、特に医療機関へ攻撃が集中しているようだ。

Check Point のマルウェア調査：10月の上位は AgentTesla などの情報スティーラー系

Advanced RAT AgentTesla Most Prolific Malware in October

2022/11/09 InfoSecurity — Check Point によると、10月に最も広まったマルウェア亜種は、情報スティーラー型の３種類であり、全世界の検出数の約 5分の1 (16％) を占めている。セキュリティ・ベンダーである Check Point は、顧客のネットワーク／エンドポイント／モバイル・デバイスに設置された、数億個の脅威インテリジェンス・センサーから取得したデータに基づき、Global Threat Index for October 2022 を作成した。

Robin Banks は Phishing-as-a-Service：機能を充実させて脅威を増大させる

Robin Banks phishing-as-a-service platform continues to evolve

2022/11/07 SecurityAffairs — Phishing-as-a-Service (PhaaS) プラットフォームの Robin Banks は、以前は Cloudflare のプロバイダーによりホストされていたが、7月に通知を受けた同社が、Robin Banks のフィッシング・インフラをサービスから切り離し、現在に至っている。この変化により、Robin Banks の運営には数日の混乱が生じたが、このプラットフォームの管理者により、ロシアの防弾ホスティング・プロバイダー DDoS-Guard への移行などが行われたようだ。

Microsoft Dynamics 365 でフィッシング：Customer Voice の悪用に御用心

Attackers leverage Microsoft Dynamics 365 to phish users

2022/11/04 HelpNetSecurity — Microsoft Dynamics 365 の Customer Voice を悪用する脅威アクターたちが、メール・フィルターを回避し、Microsoft ユーザーの受信トレイにフィッシング・メールを配信していると、Avanan の研究者たちが警告している。

RomCom RAT を展開する新たな動き：KeePass や SolarWinds の偽サイトに御用心

Hackers Using Rogue Versions of KeePass and SolarWinds Software to Distribute RomCom RAT

2022/11/03 TheHackerNews — RomCom RAT のオペレーターは、SolarWinds Network Performance Monitor／KeePass Password Manager／PDF Reader Pro などの、不正なバージョンを悪用するかたちでキャンペーンを進化させ続けている。このオペレーションのターゲットを構成するのは、ウクライナや英国などの英語圏の被害者たちである。BlackBerry Threat Research and Intelligence Team は、「ターゲットの地理的条件と、現在の地政学的状況を考慮すると、RomCom RAT の動機が経済的なサイバー犯罪にあるとは考えにくい」と新たな分析で述べている。

OPERA1ER という現金強奪者：４年間で銀行などから $11M 以上を盗み出した

Threat Actor “OPERA1ER” Steals Millions from Banks and Telcos

2022/11/03 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、フランス語圏の脅威グループによる長期的な APT キャンペーンの存在であり、４年間で銀行や通信事業者から少なくとも $11m を盗み出したグループのことである。Group-IB は、このグループを OPERA1ER と名付けたが、以前には DESKTOP-group や Common Raven など呼ばれていたようだ。Group-IB は、Orange CERT Coordination Center と協力して、レポート OPERA1ER. Playing God without permission を作成した。