Ransomware – Page 4 – IoT OT Security News

Cisco VPN の脆弱性 CVE-2023-20269：ランサムウェアによる悪用を確認

Denmark’s CFCS Raises Alarm on Ransomware Exploiting Cisco VPN Flaw CVE-2023-20269

2023/01/24 SecurityOnline — Cisco Adaptive Security Appliance (ASA)／Cisco Firepower Threat Defense (FTD) 製品の VPN 機能に影響を及ぼす脆弱性 CVE-2023-20269 だが、それを悪用するランサムウェア活動が活発化しているとして、デンマークの Centre for Cyber Security (CFCS) が注意を呼びかけている。

2023年ランサムウェア調査：組織の 75% が攻撃に遭っている – Veeam

75% of Organizations Hit by Ransomware in 2023

20124/01/17 InfoSecurity — Veeam の Data Protection Trends Report 2024 によると、2023年は 75％の組織が、少なくとも１回のランサムウェア攻撃を受けていたことがわかった。研究者たちによると、2023年は、ランサムウェア攻撃を受けなかったと回答した組織よりも、4回以上攻撃を受けた組織 (26％) の方が多かったという。Veeam の VP／Market Strategy である Jason Buffington は、「統計的に、ランサムウェアは、”発生するかどうか” というものではなく、”いつかは発生する可能性があるもの” だと言える」と、オンラインの事前ブリーフィングでコメントしている。

ランサムウェア 2023年のトレンドは暴露恐喝：１週間の平均攻撃回数は 1158 回

Ransomware Surge: 1 in 10 Organizations Targeted Globally in 2023

2024/01/16 SecurityOnline — 2023 年において、この世界は、かつてないほどのサイバー脅威の急増に直面した。この年のサイバー攻撃件数は、前年比で１% 増という最高記録に達し、世界全体における平均攻撃回数 (週) は 1158 回に達した。

Xerox 子会社 XBS のデータ侵害：一部の顧客の個人情報が流出していた

Xerox says subsidiary XBS U.S. breached after ransomware gang leaks data

2024/01/02 BleepingComputer — Xerox Business Solutions (XBS) の米国部門がハッカーに侵害され、一定数の個人情報が流出した可能性があることが、親会社である Xerox Corporation の声明で明らかになった。XBS はドキュメント・テクノロジーとサービスを専門としており、プリンター／複写機／デジタル印刷システムや、関連するコンサルティングやサプライ・サービスなど、さまざまな商品を提供している。

Yakult の豪法人にデータ侵害：DragonForce が 95 GB のデータ取得を主張

Yakult Australia confirms ‘cyber incident’ after 95 GB data leak

2023/12/27 BleepingComputer — 乳飲健康飲料メーカーである Yakult Australia は、サイバー・インシデントが発生したことついて、 BleepingComputer への声明で認めている。同社におけるオーストラリアとニュージーランドの IT システムが、その影響を受けている。サイバー攻撃を主張する DragonForce は、Yakult が所有する 95GB のデータを流出させたとのことだ。1935年に日本で発明され、現在では世界中で販売されている Yakult は、生きたバクテリア入りの発酵加糖乳飲料であり、消化と免疫システムをサポートするために飲まれている。

2023年11月のランサムウェア攻撃件数：LockBit 活動再開などにより過去最高を記録

Ransomware Leak Site Victims Reached Record-High in November

2023年10月は低調だったランサムウェアだが、11月には活動を再開するグループが増え、過去最高の被害者数を記録したことが、Corvus Insurance の調査により判明した。Corvus Threat Intel の 2023年12月18日のレポートでは、11月にリークサイトに投稿された新たなランサムウェア被害者が、484件も報告されている。

Xeinadin への LockBit 攻撃：1.5 TB の顧客データを盗んだと主張

Lockbit Ransomware Gang Claims To Have Breached Accountancy Firm Xeinadin

2023/12/23 SecurityAffairs — LockBit ランサムウェアは、Xeinadin 会計事務所をハッキングしたと主張し、盗み出したとするデータを公表すると脅迫している。Xeinadin は、英国／アイルランドに 60,000 以上の顧客を抱える会計事務所である。2021年には、英国有数のプライベート・エクイティ投資家である Exponent から推薦を受けて、同国 Top-20 に入る会計事務所となった。

Nissan Australia のデータ侵害：Akira ランサムウェアが 100GB のファイルを盗んだと主張

Akira Ransomware Gang Claims The Theft Of Sensitive Data From Nissan Australia

2023/12/22 SecurityAffairs — Akira ランサムウェアは、Nissan Australia に侵入し、同社から約 100GB のファイルを盗んだと主張している。Nissan が身代金の支払いを拒否したことで、Akira は、プロジェクトデータ／顧客情報／パートナー情報／NDA などの盗み出したとする文書を漏らすと脅している。

米国２位の保険会社 First American：インシデントによりシステムをオフラインに

First American takes IT systems offline after cyberattack

2023/12/21 BleepingComputer — 今日、米国第２位の保険会社と称される First American Financial Corporation が、サイバー攻撃の影響を食い止めるために、システムの一部をオフラインにした。同社の Web サイトには、「First American はサイバー・セキュリティー・インシデントに遭遇した。弊社は特定のシステムをオフラインにし、可能な限り早急に、通常の業務に戻れるよう取り組んでいる」と記されており、この記事が掲載される前に、公式 Web サイトがオフラインになった。

CISA KEV 警告 23/12/11：Qlik Sense の脆弱性 CVE-2023-41265／CVE-2023-41266 を追加

CISA Adds Qlik Sense Flaws To Its Known Exploited Vulnerabilities Catalog

2023/12/11 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Qlik Sense における２件の脆弱性 CVE-2023-41265／CVE-2023-41266 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Abyss Locker ランサムウェア Linux 版：VMware ESXi サーバを狙っている

Linux version of Abyss Locker ransomware targets VMware ESXi servers

2023/07/29 BleepingComputer — Abyss Locker オペレーションは、Linux 暗号化ツールの開発における最新の事例であり、企業に対する攻撃において VMware の ESXi 仮想マシン・プラットフォームを標的にしている。リソース管理／パフォーマンス／ディザスタ・リカバリなどの向上を目的に、企業が個々のサーバーから仮想マシンへと移行するにつれて、ランサムウェア・ギャングたちは、このプラットフォームを標的とした暗号化ツールを開発するようになっている。

政府系サービス企業 Maximus に MOVEit ハッキング：最大 1100万人の個人情報を侵害

Up to 11 Million People Hit by MOVEit Hack at Government Services Firm Maximus

2023/07/27 SecurityWeek — 今週に、政府系サービス・プロバイダーの Maximus が発表したのは、2023年の前半において MOVEit サイバー攻撃を受け、最大で 1100万人分の個人情報が盗み出されたという被害の内容である。この、2023年5月末に公表された攻撃は、MOVEit Transfer の MFT (Managed File Transfer) ソフトウェアのゼロデイ脆弱性を悪用するもので、このソフトを介して、脅威アクターは転送されたデータを窃取していた。

Nitrogen というキャンペーン：Google／Bing の広告を介してマルウェアを展開

New Nitrogen malware pushed via Google Ads for ransomware attacks

2023/07/26 BleepingComputer — Nitrogen マルウェアによる、イニシャル・アクセス・キャンペーンは、Google や Bing などの検索広告で偽ソフトウェア・サイトを宣伝し、疑念を持たないユーザーたちに、Cobalt Strike やランサムウェアのペイロードに感染させていくものだ。Nitrogen マルウェアの目的は、企業ネットワークへのイニシャル・アクセスを脅威アクターたちに提供し、データ窃取やサイバー・スパイ活動を行わせ、最終的に BlackCat／ALPHV ランサムウェアを展開させることにある。7月26日に Sophos が発表したレポートには、Nitrogen キャンペーンに関する詳細な説明として、AnyDesk／Cisco AnyConnect VPN／TreeSize Free／WinSCP などの一般的なソフトウェアになりすまし、主に北米の技術組織や非営利組織をターゲットにしている状況が記されている。

2023 Q1／Q2 比較でランサムウェア攻撃が 74％の急増 – SonicWall

Ransomware Attacks Skyrocket in Q2 2023

2023/07/26 InfoSecurity — 2023 Q2 と Q1 の比較において、ランサムウェア攻撃が 74％も急増したことが、最新のレポートで明らかになった。2023 SonicWall Mid-Year Cyber Threat Report では、2023年に入ってからのランサムウェア攻撃件数について、２つの非常に不均衡な現象が観測された。SonicWall Capture Labs の研究者たちは、2023 Q1 に 5,120万件の攻撃を観測しているが、これは 2019 Q4 以降で最小の件数だった。しかし、Q2 にはランサムウェアが復活し、8,890万件の攻撃が確認され、Q1 から 74％の急増となった。

2023年6月のランサムウェア攻撃件数：活発な Clop などにより過去最高を記録

Clop Drives Record Ransomware Activity in June

2023/07/21 InfoSecurity — NCC Group の Global Threat Intelligence Team の分析によると、6月のランサムウェア攻撃は前年同月比 221%増の 434件となり、過去最高を記録したことが判明した。この増加の要因として挙げられるのは、MOVEit の脆弱性を悪用する Clop によるグローバル組織への攻撃、および、Lockbit 3.0 などのグループによる一貫したハイレベルの活動、そして、５月以降に登場した新たなグループだと、同社は主張している。

Mallox ランサムウェアが 174％増：脆弱な MS-SQL サーバを介してネットワークに侵入

Mallox Ransomware Exploits Weak MS-SQL Servers to Breach Networks

2023/07/20 TheHackerNews — 2023年における Mallox ランサムウェアの活動が、前年比で 174％増加していることが、Palo Alto Networks Unit 42 の新たな調査結果で明らかになった。セキュリティ研究者の Lior Rochberger と Shimi Cohen は、「Mallox ランサムウェアは、他の多くのランサムウェア脅威アクターと同様に、二重の恐喝のトレンドに従っている。その手口は、組織のファイルを暗号化する前にデータを盗み、その後に、被害者に身代金料金を支払わせるために、盗んだデータをリークサイトで公開するというものだ」と The Hacker Newsと共有したレポートの中で述べている。

Sophos の名を語る SophosEncrypt という RaaS：ID Ransomware に被害者からの投稿

Cybersecurity firm Sophos impersonated by new SophosEncrypt ransomware

2023/07/18 BleepingComputer — サイバー・セキュリティ・ベンダーの Sophos が、新しい RaaS (ransomware-as-a-service) になりすまされているが、この脅威アクターは同社の名前を取り込んだ、SophosEncrypt という名前で活動している。この、昨日に MalwareHunterTeam により発見されたランサムウェアは、当初は Sophos 自身のレッドチームによる演習の一環と考えられていた。しかし、Sophos X-Ops チームは、この暗号化ツールを作成したのは自分たちではなく、その立ち上げについて調査中であるとツイートした。

MOVEit ハッキング：340 の組織と 1800万人を超える個人が侵害された – Emsisoft

MOVEit Hack: Number of Impacted Organizations Exceeds 340

2023/07/17 SecurityWeek — Clop グループが仕掛ける MOVEit 攻撃により、影響を受けた組織の数は 340 に達し、1800万人を超える被害者を生み出したと報じられている。サイバー・セキュリティ企業 Emsisoft の脅威アナリストであり、このキャンペーンを監視している Brett Callow は、現時点において米国内の 58 の教育機関を含む、347 の組織が影響を受けていると述べた。この中には、先週に学生と従業員のデータが盗まれた可能性のある、コロラド州立大学も含まれている。

金融サービスにおけるランサムウェア被害額：2018〜2022 の５年間で $32 bn

Ransomware Costs Financial Services $32bn in Five Years

2023/07/14 InfoSecurity — 世界の金融サービス組織は、2018年以降におけるランサムウェアの侵入により、$32bn 相当以上のダウンタイムを生じていると、最新のレポートが主張している。Comparitech は、これまでの５年間における、金融業界で確認された 225件の攻撃を分析し、平均的な組織で起こったインシデントにより、２週間のダウンタイムが生じていることを明らかにした。

2023年の恐喝型ランサムウェアは大成功：暗号通貨犯罪の被害額は 62% ダウン

Crypto Crime Down 62% but Ransomware Activity Surges

2023/07/12 InfoSecurity — Chainalysisによると、2023年上半期の既知の犯罪組織への暗号通貨の流入は、2022年の同時期と比較して 65％減少したが、ランサムウェアは最大級の１年になる勢いだという。同社は 2023年上半期のブロックチェーン活動を分析し、Crypto Crime Midyear Update をまとめた。それによると、暗号ミキサーやリスクの高い取引所のような、危険なエンティティでの取引量も、前年同期比で 42％減と大幅に減少した。しかし、合法的なサービスにとの取引量も 28％減少した。

MOVEit の脆弱性 CVE-2023-34362：Clop ランサムウェア攻撃が 257社に達した

Clop: Behind MOVEit Lies a Loud, Adaptable and Persistent Threat Group

2023/07/12 InfoSecurity — MOVEit サイバー攻撃は拡大し続けており、毎日のように数多くの企業が被害者リストに挙げられている。Emsisoft の脅威アナリストである Brett Callow によると、2023年7月11日までに、この攻撃の犠牲となった企業は 257社で、個人は 17,750,524名に上るという。その一方で、この攻撃を行ったとされるランサムウェア・グループ Clop は、リークサイトの被害者リストを更新し続けている。新たに追加されたのは、大手金融会社 (Deutsche Bank／ING Bank／Post Bank) や 25 の米国の学校などだ。

MOVEit Transfer の３つの深刻な脆弱性が FIX：各バージョンごとに確認すべきアップデートとは？

MOVEit Transfer customers warned to patch new critical flaw

2023/07/07 BleepingComputer — Clop ランサムウェアの最近における大規模な侵入で、主として悪用されているソフトウェアである MOVEit Transfer の、深刻な SQL インジェクション脆弱性を含む３つの脆弱性が修正された。この SQL インジェクションの脆弱性は、特別なクエリを細工した攻撃者による、データベースへの不正アクセスやコード実行および、データベースの改ざんを可能にするものだ。そして、これらの攻撃の前提条件として挙げられるのは、対象となるアプリケーションの入出力データにおける、適切なサニタイズが欠落となる。

RedEnergy という Stealer-as-a-Ransomware：ブラジルとフィリピンのインフラを攻撃している

RedEnergy Stealer-as-a-Ransomware Threat Targeting Energy and Telecom Sectors

2023/07/05 TheHackerNews — RedEnergy と名付けられた高度なランサムウェアの脅威が、ブラジルとフィリピンの公共／電力／石油／ガス／テレコム／機械などの部門を標的として、LinkedIn のページを介した野放し状態での攻撃を行っていることが発見された。Zscaler の研究者である Shatak Jain と Gurkirat Singh は、「このマルウェアは各種のブラウザから情報を盗み出す能力を持ち、機密データの流出を可能にすると同時に、ランサムウェア活動を実行するための、さまざまなモジュールを組み込んでいる」と、最近の分析結果を説明している。研究者たちは、被害者に最大限の損害を与えることを目的として、データ窃盗と暗号化を組み合わせていると指摘している。

75% の消費者は覚悟を決めている：ランサムウェアに攻撃されたベンダーからは逃げ出すぞ！

75% of consumers prepared to ditch brands hit by ransomware

2023/07/05 HelpNetSecurity — 消費者の 40% は、ベンダーが提供するデータ保護能力に懐疑的であり、75% はランサムウェア攻撃を受けた場合に別の企業に移行するという、Object First の調査結果が公表された。さらに、消費者はベンダーに対してデータ保護の強化を求めている。信頼性の高いバックアップ／リカバリ／パスワード保護／ID アクセス管理戦略などの、包括的なデータ保護対策を持つ企業を、消費者の 55% が支持しているという。組織がデジタル・トランスフォーメーションへの取り組みを強化するにつれて、データ量は飛躍的に拡大する一方で、ランサムウェア攻撃がサイバー脅威の主流となっている。

名古屋港に最大規模のランサムウェア攻撃：操業停止に追い込まれる

Japan’s largest port stops operations after ransomware attack

2023/07/05 BleepingComputer — 日本最大の港湾である名古屋港がランサムウェア攻撃の標的となり、現在コンテナ・ターミナルの運営に影響が出ている。日本の総貿易量のおよそ 10％を占めている名古屋港は、21の埠頭と 290のバースを運営しており、毎年 200万個以上のコンテナと 1億6500万トンの貨物を取り扱っている。また、世界最大の自動車メーカーのひとつであるトヨタ自動車は、この港を利用して大半の自動車を輸出している。

TSMC への LockBit 攻撃：身代金として $70 million が要求されているが・・・

TSMC denies LockBit hack as ransomware gang demands $70 million

2023/06/30 BleepingComputer — 台湾のチップ製造大手の TSMC (Taiwan Semiconductor Manufacturing Company) に対して、LockBit ランサムウェアが $70 million を要求しているが、同社はハッキングされたことを否定している。TSMC は世界最大級の半導体メーカーであり、その製品は、スマートフォン／高性能コンピューティング／IoT デバイス／自動車／デジタル家電などの、さまざまなデバイスで使用されている。

Akira ランサムウェアの Linux 版が登場：VMware ESXi サーバが標的に

Linux version of Akira ransomware targets VMware ESXi servers

2023/06/28 BleepingComputer — Akira ランサムウェアは、Linux 暗号化ツールを使用して VMware ESXi 仮想マシンを暗号化することで、世界中の企業に対して二重の恐喝攻撃を仕掛けている。このランサムウェアは、2023年3月に登場して以来、教育／金融／不動産／製造／コンサルティングなどの、さまざまな業界の Windows システムを標的としてきた。Akira を操る脅威アクターは、企業を標的とした他のランサムウェア・ギャングと同様に、侵害したネットワークからデータを盗み、ファイルを暗号化して、被害者に二重の恐喝を行い、数百万ドルもの支払いを要求する。

MOVEit 攻撃の新たな被害者：Schneider Electric と Siemens Energy が攻撃された

Schneider Electric and Siemens Energy are two more victims of a MOVEit attack

2023/06/27 SecurityAffairs — MOVEit 攻撃の新たな被害者５社が、Clop ランサムウェア・グループにより、ダークウェブのリークサイトに追加された。そのうちの Schneider Electric と Siemens Energy の２社は、世界中の重要な国家インフラで利用される、産業用制御システム ICS (Industrial Control Systems) を提供するベンダーである。

MOVEit ゼロデイ侵害の被害が拡大：保険／年金などの契約者 3.2M 人分のデータが流出？

MOVEIt breach impacts GenWorth, CalPERS as data for 3.2 million exposed

2023/06/23 BleepingComputer — PBI Research Services (PBI) を侵害した、最近の MOVEit Transfer データ窃取攻撃により、合計で 475万人分のデータが盗まれたと、同社の顧客三社が公表している。一連の攻撃は 2023年5月27日に始まっており、Clop ランサムウェア・ギャングが MOVEit Transfer のゼロデイ脆弱性を悪用し、数百の企業からデータを盗んだインシデントだとされている。この１週間において Clop ランサムウェア・ギャングは、被害者に対する身代金支払いのプレッシャーとして、影響を受けた組織をデータ漏洩サイトに段階的にリストアップし、企業を恐喝し始めている。

Azure／Outlook／OneDrive への執拗な DDoS 攻撃：Anonymous Sudan の犯行だと Microsoft が判定

Microsoft confirms Azure, Outlook outages caused by DDoS attacks

2023/06/18 BleepingComputer — Microsoft が発表したのは、先日に Azure／Outlook／OneDrive の Web ポータルで発生した障害が、同社サービスの Layer 7 に対する DDoS 攻撃であったというものだ。この攻撃は、Microsoft が Storm-1359 として追跡している脅威アクター (別名 Anonymous Sudan) に起因するものだと見られている。この障害は 2023年6月初旬に発生し、Outlook.com (7日)／OneDrive (8日)／Microsoft Azure (9日) という順序で、それぞれの Web ポータルが標的となった。

Killnet の主張：REvil／Anonymous Sudan と連携して欧米の金融組織を攻撃する

Killnet Threatens Imminent SWIFT, World Banking Attacks

2023/06/17 DarkReading — Killnet と呼ばれる親ロシア派のハッカー集団が、ランサムウェア・ギャング REvil の復活に関与していると主張している。その目的はというと、欧米の金融システムに対する攻撃である。しかし、これまで Killnet が行ってきた DDoS 攻撃の実績からすると、単なる威勢のいい脅しに過ぎないのかどうかは不明である。6月16日にロシアの Telegram チャンネルに投稿されたビデオで Killnet は、SWIFT 銀行システム (2018年に Lazarus の標的となった)／Wise 国際電信送金システム／SEPA欧州内決済サービス／欧州米国の中央銀行などの機関に対して、攻撃を仕掛けるという脅しをかけている。

MOVEit とデータ窃取攻撃：Clop ランサムウェア・ギャングが被害者への恐喝を開始

Clop ransomware gang starts extorting MOVEit data-theft victims

2023/06/15 BleepingComputer — MOVEit を介したデータ窃取攻撃の被害者となった企業に対する、Clop ランサムウェア・グループによる恐喝が始まった。この動きは、5月27日に Clop が、ファイル転送プラットフォーム MOVEit Transfer のゼロデイ脆弱性を悪用し、そのサーバに保存されているファイルを盗み出したことに起因している。Clop の主張は、この攻撃により数百の企業に侵入したというものであり、交渉が成立しなければ 6月14日にデータ漏洩サイトに掲載すると脅迫している。さらに、要求額が支払われない場合には、盗み出したデータの流出を、6月21日から開始すると述べている。

LockBit の被害総額が $91M に達した：CISA／FBI／MS-ISAC などが共同勧告

CISA: LockBit ransomware extorted $91 million in 1,700 U.S. attacks

2023/06/14 BleepingComputer — CISA が発表した共同アドバイザリには、2020年以降の米国組織に対する約 1,700件の攻撃において、LockBit ランサムウェア・ギャングが、約 $91M の恐喝に成功していると記されている。RaaS (Ransomware-as-a-Service) オペレーションである LockBit は、2022年におけるランサムウェアの脅威をリードし、そのデータ漏洩サイトで開示した犠牲者の数は最多であったと、米国／英国／オーストラリア／カナダ／ドイツ／フランス／ニュージーランドなどの、それぞれの当局が述べている。

サイバー恐喝攻撃は蔓延の傾向：欧米から東南アジアへと移行する攻撃対象

Cyber extortion hits all-time high

2023/06/12 HelpNetSecurity — Orange Cyberdefense によると、近年におけるサイバー恐喝攻撃は蔓延の傾向を示しており、あらゆる規模や業種の組織にとって、大きな脅威になっているという。同社の調査で確認された。合計 6,707件の企業被害者のデータを分析したところ、国や業種により被害者数に変動があり、新たな地域にも攻撃が広がっていることが判明した。2022年にはサイバー恐喝被害者数は 8% の減少というデータが示されているが、この減少は短期間に限定されたものであり、最新データである 2023年 Q1 の状況は、これまでで最大のボリュームとなっている。

日本の製薬会社エーザイにランサムウェア攻撃：サーバの一部が暗号化された

Pharmaceutical Giant Eisai Hit By Ransomware Incident

2023/06/08 InfoSecurity — 日本の製薬会社であるエーザイは、6月3日 (土) に発生したランサムウェアの被害に遭い、同グループにおける一部サーバが暗号化されたことを発表した。このサイバー攻撃の結果として、物流システムを含む複数のシステムが、一時的にオフラインになった。なお、エーザイの Web サイトやメールシステムは稼働しており、現時点ではデータ流出の可能性を調査中とのことだ。

Linux の新型ランサムウェア BlackSuit：Royal ランサムウェアとの類似性が判明

New Linux Ransomware BlackSuit is similar to Royal ransomware

2023/06/02 SecurityAffairs — 2022年に注目を集めたランサムウェア・ファミリー Royal は、2023年5月初旬にテキサス州ダラスの IT システムに対する攻撃を行っている。人手によるオペレーションを特徴とする Royal ランサムウェアは、2022年9月に初めて脅威環境に登場し、最大で数百万ドルの身代金を要求してきた。Royal ランサムウェアは C++ で書かれており、Windows システムに感染し、データ復旧を防ぐために全てのボリュームシャドウコピーを削除する。このランサムウェアは、ローカルネットワーク上のネットワーク共有とローカルドライブを、AES アルゴリズムで暗号化していくとされる。

ランサムウェアとアクセス・ブローカー：地下でつながり利益を上げるグループたち – WithSecure

Ransomware Gangs Adopting Business-like Practices to Boost Profits

2023/05/30 InfoSecurity — WithSecure の最新のレポートから推察されるのは、ランサムウェア・ギャングが利益を上げるために、各種のビジネスライクな手法を採用している点であり、それにより個々のグループを判別することが、防御側にとって困難になっていることだ。フィンランドで開催された Sphere23 において、WithSecure の Senior Threat Intelligence Analyst である Stephen Robinson は、このような合法的なビジネス手法を反映する動きは、TTPs (Tactics, Techniques and Procedures) が曖昧になっていることを示唆すると述べている。

Buhti というランサムウェア：LockBit／Babuk のコードを流用する新たな脅威

New Buhti ransomware gang uses leaked Windows, Linux encryptors

2023/05/25 BleepingComputer — Buhti と命名された新しいランサムウェア・オペレーションが、LockBit／Babuk ランサムウェア・ファミリーの流出コードを使用して、Windows／Linux システムを狙っている。Blacktail として追跡されている Buhti の背後にいる脅威アクターは、独自にランサムウェアを開発せずに、”double-extortion” として知られるカスタムデータ流出ユーティリティを使用して被害者を脅迫している。2023年2月に Palo Alto Networks の Unit 42 チームにより、野放し状態で活動している Buhti が発見されたが、Goland ベースのランサムウェアであり、Linux を標的としていることが確認されている。

バックアップの重要性について再考：ランサムウェアから身を守るために – Veeam

Backup Repositories Targeted in 93% of Ransomware Attacks

2023/05/24 InfoSecurity — Veeam の 2023 Ransomware Trends Report によると、依然としてランサムウェアの脅威は生き続けており、これまでの 12ヶ月間において、85% の組織が少なくとも１回は、そのような攻撃を受けたことがあるとしている。このレポートは、「このような傾向が続けば、ランサムウェア攻撃による損失が、利益を上回るという組織が多くなる」と警告している。

ドイツの兵器メーカー Rheinmetall にランサムウェア攻撃：BlackBasta が犯行を主張

Arms maker Rheinmetall confirms BlackBasta ransomware attack

2023/05/23 BleepingComputer — ドイツの自動車／兵器メーカーである Rheinmetall AG が公表したのは、BlackBasta ランサムウェア攻撃を受け、民需ビジネスに影響が及んだことだ。 Rheinmetall は、自動車／軍用車／兵器／防空システム／エンジン／各種鉄鋼製品などを製造するドイツのメーカーであり、従業員数は 25,000人以上、$7 billion 以上の年間売上高を有している。

Windows 環境に潜む悪意のカーネル・ドライバ：BlackCat ランサムウェアの回避策が判明

Malicious Windows kernel drivers used in BlackCat ransomware attacks

2023/05/22 BleepingComputer — ALPHV ランサムウェア・グループ (別名 BlackCat) が、署名された不正な Windows カーネル・ドライバを採用し、攻撃時におけるセキュリティ・ソフトウェアによる検出を回避していることが確認された。Trend Micro が確認した ALPHV のドライバは、昨年末のランサムウェア攻撃が生じた際に、Microsoft／Mandiant／Sophos／SentinelOne などが発見した、POORTRY という名のマルウェアの改良版である。

MalasLocker ランサムウェアが Zimbra サーバを攻撃：身代金のかわりに慈善団体への寄付を要求

MalasLocker ransomware targets Zimbra servers, demands charity donation

2023/05/17 BleepingComputer — Zimbra サーバをハッキングして電子メールを盗み出し、ファイルを暗号化するという、新たなランサムウェア・オペレーションが確認されている。しかし、この脅威アクターは、暗号化装置を提供しデータ漏洩を防ぐために、身代金の支払いに代えて慈善団体への寄付を要求すると主張している。BleepingComputer により MalasLocker と名付けられた、このランサムウェア・オペレーションは、2023年3月末に Zimbra サーバへの攻撃を開始し、メールが暗号化されたと、Zimbra フォーラムでは被害者たちは報告している。

Qilin は新たな RaaS：Rust／Go を採用により高度なステルス攻撃を成功させている

Qilin’s Dark Web Ransomware Targets Critical Sectors

2023/05/15 InfoSecurity — Qilin ランサムウェア・グループの、オペレーションおよび Ransomware-as-a-Service (RaaS) プログラムに関する、新たな情報が明らかになった。Group-IB の Threat Intelligence Team は、最新の調査研究の一環として Qilin 内部に潜入した。そこから得られた分析の結果として、重要セクターをターゲットとしていることや、採用されている高度な技術に関する洞察が明らかになったと述べている。Qilin は Agenda とも呼ばれるランサムウェアであり、2022年8月に発見されてから、深刻な脅威として浮上しているとのことだ。

2023 Q1 のランサムウェア・レポートを提供：Dashboard Ransomware Monitor というプロジェクト

Introducing the DRM-Report Q1 2023: Unveiling the Current State of Ransomware

2023/05/15 SecurityAffairs — サイバー・セキュリティ監視の独立したプラットフォームである Dashboard Ransomware Monitor が、2023年 Q1 における DRM-Report を発表した。この包括的なレポートは、世界中で憂慮すべきランサムウェア攻撃の増加を掘り下げ、サイバー犯罪者の活動の状況について、貴重な洞察を提供するものだ。

RA Group という新たなランサムウェア：Babuk クローンで３社を侵害している

New Ransomware Gang RA Group Hits U.S. and South Korean Organizations

2023/05/15 TheHackerNews — RA Group という名の新たなランサムウェア・グループが、流出した Babuk ランサムウェアのソースコードを活用して、独自のロッカー・バリアントを派生させている。サイバーセキュリティ企業 Cisco Talos によると、このサイバー犯罪集団は、遅くとも 2023年4月22日から活動しているとされ、急速に活動を拡大しているとのことだ。

CISA／FBI の共同勧告：PaperCut の脆弱性 CVE-2023-27350 が悪用されている

PaperCut Software Flaw Sparks Ransomware Attacks, CISA Warns

2023/05/12 InfoSecurity — PaperCut ソフトウェアの深刻な脆弱性が、近ごろの一連のランサムウェア攻撃に悪用されていると、米国の CISA が警告を発している。広く採用されている印刷管理ソリューション PaperCut に存在する、脆弱性 CVE-2023-27350 の悪用に成功した攻撃者は、認証情報を必要とせずに悪意のコードをリモートで実行できるようになる。その結果として、攻撃者はランサムウェアの展開に成功し、機密データへの不正アクセスに成功している。

Babuk ランサムウェアのソースコード流出：VMware ESXi を狙う脅威アクターたちが特定された

Leaked source code of Babuk ransomware used by 10 different ransomware families targeting VMware ESXi

2023/05/12 SecurityAffairs — 2021年に流出した Babuk ランサムウェアのソースコードをベースにして、VMware ESXi ロッカーを使用する 10件のランサムウェア・ファミリーを、SentinelLabs の研究者たちが特定した。研究者たちが指摘するのは、これらのランサムウェア・ファミリーが、2022年下半期〜2023年上半期に確認されている点である。つまり、Babuk ランサムウェアのソースコードを使用する、脅威アクターが増加していると推測されるという。それらの脅威アクターたちは、流出したソースコードを利用することで、Linux システムを標的としたランサムウェアを、専門知識がなくても作成できるようになると、専門家たちは説明している。

Cyber Threat Landscape 2023/04：リスク・インテリジェンスの指標 – Flashpoint

Risk Intelligence Index: The April 2023 Cyber Threat Landscape

2023/05/11 SecurityBoulevard — Flashpoint の最新のランサムウェア・インフォグラフィックは、サイバー犯罪者が採用する戦術の洗練と、進化する脅威の状況を痛烈に描き出している。2023年4月に、同社のアナリストたちは、合計で 411件のランサムウェア攻撃を観測している。

Dragos が制した攻防戦：セキュリティ企業を狙った侵害と脅迫を分析する

Dragos Employee Hacked, Revealing Ransomware, Extortion Scheme

2023/05/11 DarkReading — セキュリティ企業は、サイバー攻撃から身を守るために、一般的な組織よりも態勢を整えるべきだという意見があるかもしれない。先日の Dragos では、新入社員の個人的な電子メール・アカウント侵害の後に発生したソーシャル・エンジニアリング攻撃で、既知のランサムウェア・グループが脅迫を開始したが、失敗したようである。

Akira というランサムウェアが登場：すでに 16社を侵害したと主張している

Meet Akira — A new ransomware operation targeting the enterprise

2023/05/07 BleepingComputer — 新たなランサムウェア Akira が、世界中の企業ネットワークに侵入してファイルを暗号化し、徐々に犠牲者のリストを増やし、million-dollar の身代金を要求している。2023年3月に検出された Akira は、すでに 16社の企業に対して攻撃を行ったと主張している。それらの企業には、教育／金融／不動産／製造／コンサルティングなどの、さまざまな業種が含まれている。Akira という名前の、別のランサムウェアが、2017年にリリースされているが、今回のオペレーションとは関連性はないと考えられている。