Ransomware – Page 8 – IoT OT Security News

Microsoft 警告：Exchange Server のハッキングにより BlackCat ランサムウェアが広まっている

Microsoft: Exchange servers hacked to deploy BlackCat ransomware

2022/06/13 BleepingComputer — Microsoft によると、BlackCat ランサムウェアのアフィリエイトが、未パッチの脆弱性を狙うエクスプロイトを用いて、Microsoft Exchange サーバーを攻撃しているとのことだ。Microsoft のセキュリティ専門家が観察した１つの事例では、攻撃者は被害者のネットワークをゆっくりと移動し、認証情報を盗んで情報を流出させ、二重の恐喝に利用しているようだ。最初の侵害から２週間後に、この脅威者は、パッチの適用されていない Exchange サーバーを侵入経路とし、PsExec を介してネットワーク全体に BlackCat ランサムウェアのペイロードを展開させた。

Cybereason のランサムウェア調査：リピーター被害者になる企業が 80% に達した

It Doesn’t Pay to Pay: Study Finds Eighty Percent of Ransomware Victims Attacked Again

2022/06/08 SecurityWeek — 支払うことはない。この、ランサムウェア支払いに関するアドバイスは、よく言われるものであるが、その事例が列挙されることは殆どなかった。それが、ようやく実現した。新しい調査によると、身代金を支払った企業の 80％が２回目の被害に遭い、40％が再び支払っていることが分かった。そのうちの 70% は、２回目のほうが高額の身代金を支払っている。

ThreatLabz 調査：ランサムウェア攻撃は前年比で 80% 増で手口も多様化

Ransomware attacks setting new records

2022/06/07 HelpNetSecurity — Zscaler は、毎年恒例の ThreatLabz Ransomware Report の調査結果を発表し、ランサムウェア攻撃が前年比で80%増加したことを明らかにした。2022年に最も広まったランサムウェアのトレンドとしては、二重脅迫／サプライチェーン攻撃／RaaS／リブランディング／地政学的扇動などが挙げられている。このレポートでは、サイバー犯罪者に最も狙われている業界の詳細や、二重脅迫やサプライチェーン攻撃による被害などが説明され、現在活動している最も活発なランサムウェアグループが紹介されている。

Mandiant 対 Lockbit：サイバー・セキュリティ大手に仕掛ける意図は何処に？

Lockbit ransomware gang claims to have hacked cybersecurity giant Mandiant

2022/06/06 SecurityAffairs — 今日、ランサムウェア・ギャング LockBit は、ダークウェブ・リークサイトで公開している被害者リストに、サイバーセキュリティ企業である Mandiant を追加した。Mandiant は、ランサムウェア・ギャングの主張を調査しているが、LockBit は、356841件のファイルを盗み出し、オンラインで流出させる計画だと宣言している。

Foxconn のメキシコ工場でランサムウェア攻撃：LockBit 2.0 による脅迫が始まった

Foxconn Confirms Ransomware Hit Factory in Mexico

2022/06/03 SecurityWeek — 電子機器製造大手の Foxconn は、ティファナにある Foxconn Baja California 工場が、５月下旬にランサムウェアの被害を受けたことを認めた。同工場は、民生用電子機器／産業用業務／医療機器に特化しており、約 5,000人の従業員を擁している。Foxconn は SecurityWeek の問い合わせに対して、「メキシコにある当社の工場の１つが、５月下旬にランサムウェアによるサイバー攻撃を受けたことが確認された。そのため、当社のサイバーセキュリティ・チームが、復旧計画を実施している」と回答している。

Evil の新たな戦略：LockBit ランサムウェアの運用により制裁を逃れる？

Evil Corp switches to LockBit ransomware to evade sanctions

2022/06/02 BleepingComputer — 現時点におけるサイバー犯罪グループ Evil Corp は、米国財務省外国資産管理局 (OFAC：Office of Foreign Assets Control) が課す制裁を回避するため、ランサムウェア LockBit を標的ネットワークに展開する方法へと、切り替えていることが明らかになった。2007年から活動している Evil Corp (INDRIK SPIDER／ Dridex) は、Dridex マルウェアを展開した後にランサムウェアをビジネスへと転換した、パイオニアとして知られている。

RaaS ギャングとアクセス・ブローカーの緊密な関係：深化するエコシステムを追跡

Access Brokers and Ransomware-as-a-Service Gangs Tighten Relationships

2022/06/02 SecurityWeek — ここ数年、ダークウェブ・ウォッチャーたちは、サイバー犯罪集団の専門性の高まりに注目している。脅威アクターたちは、利益を最大化するための業務の効率化という目的のもとに、うまく組織化されている。アクセス・ブローカーと Ransomware-as-a-Service (RaaS) グループがより密接な関係になっていることは、明らかな進展である。

Conti の置きみやげ：Intel ファームウェアを標的とするスティルス攻撃が消えない

Conti ransomware targeted Intel firmware for stealthy attacks

2022/06/02 BleepingComputer — Conti ランサムウェアから流出したチャットを分析した研究者たちは、ロシアのサイバー犯罪グループ内のチームが、ファームウェアのハッキングを積極的に行ってきたことを発見した。このサイバー犯罪シンジケートのメンバーたちが交わしたメッセージによると、Conti の開発者は、Intel の Management Engine (ME) を活用してフラッシュを上書きし、System Management Mode (SMM) を実行させる PoC コードを作成していたことが判明した。

R4IoT キルチェーン実証概念：IoT／IT からの侵入と OT へのランサムウェア攻撃を簡潔に証明

Researchers Devise Attack Using IoT and IT to Deliver Ransomware Against OT

2022/06/01 SecurityWeek — ランサムウェアとは、恐喝の一種である。その唯一の目的は、被害者から金銭を引き出すことだ。産業界が身代金要求の回避に成功すると、攻撃者はもう一つのレベルの強要を、すなわちデータ恐喝を追加するという、二重の強要を作り出した。防御側が二重の恐喝を上手くわすようになると、攻撃者は再び進化を遂げるだろう。最も明白な道は、IT だけでなく OT (Operational Technology も攻撃することだろう。OT に対する攻撃の実現は困難だが、その効果を緩和することも同様に困難である。サイバー恐喝の進化は、OT に対する攻撃を、単なる可能性には留まらせない。

Elasticsearch データベース 450件が攻撃されている：ランサムウェアなのか？ワイパーなのか？

Hundreds of Elasticsearch databases targeted in ransom attacks

2022/06/01 BleepingComputer — セキュリティが不十分な Elasticsearch データベースを標的とするハッカーたちが、450 のインデックスを置き換え、コンテンツを復元するには $620 が必要だとする身代金メモを送っているが、その合計額が $279,000 に達していることが判明した。脅迫者は、７日間の支払い期限を設定し、それに従わない場合には要求額を２倍にすると脅している。さらに１週間が経過しても支払われない場合に、被害者はインデックスを失うという。

ランサムウェアの調査：IBM X-Force が指摘する攻防時間の大幅な短縮とは？

Ransomware attacks need less than four days to encrypt systems

2022/06/01 BleepingComputer — 2021年におけるランサムウェア攻撃の持続時間は、イニシャル・ネットワーク・アクセスからペイロード展開までを計測した結果、平均で 92.5時間でとなった。2020年のランサムウェア・アクターたちは、攻撃を完了するまでに平均で 230時間を、また、2019年は 1637.6時間を費やしていた。この変化は、大規模オペレーションと高収益性を目指して、ランサムウェア運用者たちが時間をかけて進化させてきた、より合理的なアプローチを反映するものだ。

Windows 11 KB5014019 の適用により Trend Micro ランサムウェア防御が破壊される

Windows 11 KB5014019 breaks Trend Micro ransomware protection

2022/05/26 BleepingComputer — 今週の Windows 累積更新プログラムのオプション・プレビューでは、Trend Micro のセキュリティ製品の一部との互換性に問題があり、ランサムウェア保護機能などの機能が破壊されることが判明した。Trend Micro は、「当社における複数のエンドポイントおよびサーバープロテクション製品で使用されている UMH コンポーネントは、ランサムウェア保護などの高度な機能を担っている、しかし、Microsoft Windows 11／Windows 2022 オプション・プレビュー・パッチ (KB5014019) を適用して再起動すると、Trend Micro UMH ドライバーが停止するという問題を認識している」と述べている。

VMware ESXi を狙う Cheers ランサムウェア：Linux 版に加えて Windows 亜種も登場か？

New ‘Cheers’ Linux ransomware targets VMware ESXi servers

2022/05/25 BleepingComputer — 新たなランサムウェア Cheers が登場し、脆弱性のある VMware ESXi サーバーを標的として活動を開始した。VMware ESXi は、世界中の大企業で一般的に使用されている仮想化プラットフォームであるため、Cheers による暗号化が行われると、その業務に深刻な支障をきたすとされる。

ランサムウェア 2021年の調査：勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第２版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう１人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

Conti ランサムウェアの解体と分散化：リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

Nikkei Asia のシンガポール本社がランサムウェアに攻撃されている：詳細は不明

Media giant Nikkei’s Asian unit hit by ransomware attack

2022/05/19 BleepingComputer — 大手の日本経済新聞社は、シンガポールのグループ本社が、約１週間前の 2022年5月13日にランサムウェアの攻撃を受けたことを明らかにした。同社は 5月19日1日に発表したプレスリリースで、「サーバーへの不正アクセスが、5月13日に検知され、社内調査が行われた。日経グループ・アジアは、影響を受けたサーバーを直ちにシャットダウンし、影響を最小限に抑えるための措置を講じた」と明らかにしている。

2022 Q1 ランサムウェア調査：最も好まれる脆弱性 Top-10 などが明らかに

Ransomware gangs rely more on weaponizing vulnerabilities

2022/05/19 BleepingComputer — セキュリティ研究者たちの指摘は、ランサムウェア・ギャングが企業ネットワークに侵入する際に、依然として外部リモート・アクセス・サービスが主要な経路であるが、脆弱性を悪用するケースも目立って増えてきているというものだ。フィッシングだけではなく、インターネットに公開されたアプリケーションの脆弱性を悪用は、脅威アクターによるデータの窃取や、システムの暗号化につながる、主要な侵害の方式となっている。

IT ヘルプ・デスクの調査：65％のチームが持続不可能なストレスを訴えている

65% of IT help desk teams report unsustainable levels of stress

2022/05/18 HelpNetSecurity — これまでの２年間において、IT 部門はビジネスの最前線に立ち、組織はデジタル・トランスフォーメーションを迅速に導入し、完全なリモートワークや分散型労働の実現を支援してきた。その一方で、Splashtop のレポートによると、米国内の IT ヘルプデスク・チームの 65％において、持続不可能なレベルのストレスを訴えるメンバーが増加しているようだ。さらに、回答者の 94% が、これまでの 12カ月間における自社のヘルプデスク部門が、雇用問題／人材確保問題／スキル不足の影響を受けたと回答している。その結果として、回答者の 67% が IT サポート目標の維持に問題があると報告している。

Log4Shell 悪用と AI ポイズニング：企業のデータレイクに忍び寄る脅威とは？

Log4Shell Exploit Threatens Enterprise Data Lakes, AI Poisoning

2022/05/13 DarkReading — 人工知能 (AI) や機械学習 (ML) の導入が進み、企業のデータレイクは大容量化しているが、残念なことに、Java Log4Shell 脆弱性を介して悪用されやすいことが、研究者たちにより明らかにされている。一般的な組織は、プライバシー保護に配慮しながら、AI／ML アルゴリズムの学習用に可能な限り多くのデータポイントを取り込むことに注力しているが、データレイク自体のセキュリティ強化に手を抜いていることが、あまりにも多くなっているという。

米国務省 $15 million の報奨金：Conti ランサムウェアに関する情報を求める

US offers $15 million reward for info on Conti ransomware gang

2022/05/07 BleepingComputer — 米国国務省 (Department of State) は、Conti ランサムウェア・ギャング幹部などの特定と所在確認に有効な情報に対して、最大で $15 million の報奨金を提供している。この報奨金のうち、$10 million はリーダーなどの身元や居場所に関する情報に対して、さらに $5 million はランサムウェア攻撃に関連する、逮捕や有罪につながる情報に対して提供されるという。

REvil の復活は本物：新たなマルウェア・サンプルから確認された継承の証拠とは？

REvil ransomware returns: New malware sample confirms gang is back

2022/04/30 BleepingComputer — ロシアと米国の緊張が高まる中、ランサムウェア REvil が、新たなインフラの構築と、暗号化方式の変更により、より標的を絞った攻撃を目論みながら再登場した。2021年10月に法的執行機関は、REvil ランサムウェア・ギャングの Tor サーバーを乗っ取り、その後に、ロシア当局によりメンバーが逮捕され、活動を停止した。しかし、ウクライナ侵攻の後に、米国は REvil ギャングに関する交渉プロセスから撤退し、通信手段を閉じたと、ロシア側は表明している。

ランサムウェアの調査：全体的な損失の約 15% が身代金の平均値

Ransom payment is roughly 15% of the total cost of ransomware attacks

2022/04/28 BleepingComputer —ランサムウェアの攻撃がもたらす副次的な影響について、研究者たちが分析したところ、脅威アクターが要求した身代金の約７倍ものコストが掛かることが判明した。これらのコストには、インシデント対応作業／システムの復旧／弁護士費用／モニタリングなどに加えて、ビジネスの中断による全体的な経済的負担が含まれる。一般的に、ランサムウェア攻撃では、企業からデータが盗み出され、システムが暗号化されることで、被害者に圧力が掛かることで、ファイルを復号するための費用を支払い、データ漏洩を回避することになる。

Bumblebee という新たなマルウェア：TrickBot／BazaLoader 系で最凶か？

Cybercriminals Using New Malware Loader ‘Bumblebee’ in the Wild

2022/04/28 TheHackerNews — これまでマルウェア・キャンペーンにおいて、サイバー犯罪者たちが BazaLoader と IcedID を配信してきたことは確認されているが、現在では Bumblebee という、活発に開発されている新しいローダーに移行したと言われている。エンタープライズ・セキュリティ企業である Proofpoint が The Hacker News と共有したレポートには、「Bumblebee が脅威の現場に現れたタイミングや、複数のサイバー犯罪グループにより使用されていることから、BazaLoader の直接の代替品ではないにしても、他のマルウェアを好んでいた脅威アクターたちが好んで使用する、新しい多機能ツールが登場したと思われる」と記されている。

Log4j 問題は収束していない：セキュリティというよりインベントリの問題？

Log4j Attack Surface Remains Massive

2022/04/27 DarkReading — Apache Log4j logging toolの、リモートコード実行の脆弱性が公開されて４ヶ月以上が経ったが、そを悪用しようとする攻撃者は、依然として膨大な数のターゲットを手にしている。検索エンジン Shodan を用いて行った、Rezilion による最新のスキャンでは、このソフトウェアの脆弱なバージョンをインターネット上に公開している、９万台以上ものサーバーが発見されている。ただし、この数字は、オープンソース・ソフトウェアを実行して、一般に公開されているサーバーのみを対象としているため、攻撃者のターゲットの一部に過ぎないと、Rezilion は考えている。

ドイツの風力発電機大手 Deutsche Windtechnik：標的型サイバー攻撃に遭う

Wind Turbine giant Deutsche Windtechnik hit by a professional Cyberattack

2022/04/27 SecurityAffairs — ドイツの風力発電機大手 Deutsche Windtechnik は、今月の上旬に同社システムの一部が、標的型プロフェッショナル・サイバー攻撃を受けたと発表した。この攻撃は 4月11日から12日の夜間にかけて行われ、同社はセキュリティ上の理由から、風力タービンへのリモート・データ・モニタリング接続を停止した。2日後に接続が再開されたが、同社は風力タービンに被害はなく、危険な状態にはならなかったと述べている。

Conti の活動がピーク値に戻る：逆リークを跳ね除けて被害者を増やしている？

Conti ransomware operations surge despite the recent leak

2022/04/27 SecurityAffairs — Secureworks の研究者たちは、ロシアを拠点とする脅威アクター Gold Ulrick として追跡されている Conti ランサムウェアについて、内部活動に関するデータリークにもかかわらず、活発に活動し続けていると述べている。このグループの、通信内容／ソースコード／運用情報などが公開されたが、その活動は 2021年に記録したピーク・レベルへと戻っている。

Coca-Cola を侵害したと主張する Stormous：親ロシア派のハッカーか？

Coca-Cola investigates hackers’ claims of breach and data theft

2022/04/26 BleepingComputer — 世界最大の清涼飲料メーカーである Coca-Cola は、同社のネットワークへのサイバー攻撃に関する報道を認識しており、その主張については調査中であると、BleepingComputer への声明で述べている。Stormous ギャングが、同社の一部のサーバーへの侵入に成功し、161GB のデータを盗み出した発表したことを受け、Coca-Cola は調査を開始した。

Log4Shell の現状調査：いまだに山積する問題と解決できない理由とは？

Public interest in Log4Shell fades but attack surface remains

2022/04/25 BleepingComputer — Apache Log4j ライブラリに存在する、深刻なゼロデイ脆弱性 Log4Shell が発見されてから４ヶ月が経過したが、利用可能なはずの修正プログラムの適用が、依然として大幅に遅れていることを、脅威アナリストたちは警告している。世間の関心と情報セキュリティ・コミュニティの焦点は、より新しい脆弱性の悪用などに移っているが、Log4Shell は引き続き大規模な問題であり、重大なセキュリティ・リスクであることに変わりはない。

BlackCat RaaS について FBI が警告：全世界で 60の組織が侵害されている

BlackCat Ransomware gang breached over 60 orgs worldwide

2022/04/22 SecurityAffairs — 米国連邦捜査局 (FBI) は、2021年11月に活動を開始した BlackCat ランサムウェア (別名：ALPHV／Noberus) により、少なくとも全世界で 60 の事業体が侵害されたとする Flash Report を公開した。同組織はアドバイザリで、世界中で少なくとも 60 の事業体に侵入した Ransomware-as-a-Service である、BlackCat／ALPHV などによる攻撃に関連する、主要な Indicators Of Compromise (IOCs) を Flash Report で発表した。ユーザーおよび管理者が、FBI Flash CU-000167-MW の IOC と技術的な詳細を確認し、推奨される緩和策を適用することを推奨していると、CISA は述べている。

VMware のレポート Modern Bank Heists：金融機関への破壊的な攻撃が増加

Financial leaders grappling with more aggressive and sophisticated attack methods

2022/04/21 HelpNetSecurity — VMware が発行したレポートは、金融業界のトップ CISO やセキュリティ・リーダーを対象に、サイバー犯罪カルテルの行動変化と、金融業界の守りのシフトについてまとめたものだ。このレポートによると、高度なサイバー犯罪組織の活動は、振り込め詐欺にとどまらず、市場戦略や証券口座の乗っ取りや、アイランド・ホッピングなどへと進化を遂げている。したがって、金融機関は破壊的な攻撃の増加に直面し、ランサムウェアの被害についても、過去数年に比べて増えていることが明らかになった。

Amazon の Log4Shell ホットパッチに問題：コンテナ・エスケープと権限昇格が生じる？

Amazon’s Hotpatch for Log4j Flaw Found Vulnerable to Privilege Escalation Bug

2022/04/21 TheHackerNews — Amazon Web Services (AWS) がリリースした Log4Shell 脆弱性に対するホットパッチだが、コンテナ・エスケープや権限昇格に悪用され、基盤となるホスト制御の乗っ取りを許してしまう問題があるようだ。Palo Alto Networks Unit 42 の研究者である Yuval Avrahami は、今週に発表したレポートにおいて、「コンテナの問題以外にも、このパッチを悪用することで非特権プロセスを特権昇格させ、root コードを実行させることが可能だ」と述べている。

Microsoft Exchange をハックする Hive ランサムウェア：新たな攻撃手法で被害を拡大

Microsoft Exchange servers hacked to deploy Hive ransomware

2022/04/20 BleepingComputer — Hive ランサムウェアのアフィリエイトが、ProxyShell のセキュリティ問題に対して脆弱な Microsoft Exchange サーバーを標的として、Cobalt Strike ビーコンなどの様々なバックドアを展開している。この脅威アクターは、そこからネットワークを偵察し、管理者アカウントの認証情報を盗み、貴重なデータを流出させ、最終的にはファイル暗号化ペイロードを展開する。この情報は、セキュリティ分析を行う Varonis が、同社の顧客に対するランサムウェア攻撃を調査した際に得られたものである。

サイバー攻撃の初期感染：脆弱性悪用とサプライチェーン侵害が 50% 以上を占める

More Than Half of Initial Infections in Cyberattacks Come Via Exploits, Supply Chain Compromises

2022/04/20 DarkReading — Mandiant が実施した Incident Response (IR) 調査の最新レポートによると、攻撃者が被害者のネットワーク上で検知されずにいる日数は４年連続で減少し、2020年の 24日間から 2021年の 21日間へと短縮していることが明らかになった。この、Mandiant の IR 事例によると、最も危険な攻撃を素早く見つけるための検知能力は高まり、ランサムウェアは平均５日以内に検知され、ランサムウェア以外の攻撃は 2020年の45日間から 2021年の36日間へと短縮され、アクティブな状態を維持しているとのことだ。

REvil の TOR サイトが動き出した：新たなランサムウェア運用が始まるのか？

Russia,REvil’s TOR sites come alive to redirect to new ransomware operation

2022/04/20 BleepingComputer — REvil ランサムウェアのサーバーが、数ヶ月ぶりに TOR ネットワーク内で復活し、2021年12月中旬から開始されたと思われる、新しいオペレーションへとリダイレクトされている。REvil に関連する新しいオペレーションの背後にいる人物は不明だが、この新しいリークサイトには、過去の REvil 攻撃での被害者を示す大規模なカタログと、新しい２件の攻撃の被害者がリストアップされている。

研究者たちが逆侵入：データ強奪犯 Karakurt は Conti シンジケートの一員だと判明

Karakurt revealed as data extortion arm of Conti cybercrime syndicate

2022/04/14 BleepingComputer — サイバー犯罪者が管理するサーバーに対して、逆侵入したセキュリティ研究者たちにより、最近になって出現した Karakurt データ強奪グループと、Conti ランサムウェアとの関連性が発見され、この２つのギャングが同じオペレーションに属することが明らかになった。ロシアの組織である Conti ランサムウェア・シンジケートは、あるハッキング・グループによる内部会話やソースコードの大量流出にもかかわらず、機能不全に陥ることもなく、現時点で最も盛んなサイバー犯罪者グループの１つであり続けている。

風力発電機大手の Nordex が Conti ランサムウェアの攻撃に遭っている

Wind turbine firm Nordex hit by Conti ransomware attack

2022/04/14 BleepingComputer — 今月の初旬に風力発電機大手の Nordex がサイバー攻撃を受け、IT システムの停止とマネージド・タービンへのリモート・アクセスを余儀なくされた件について、ランサムウェア Conti が犯行を主張している。Nordex は、風力タービンの開発／製造において世界最大級の企業であり、全世界で 8,500人以上の従業員を擁している。Nordex は、4月2日にサイバー攻撃を受けたが、その検知が早期であったことで、攻撃の拡大を防ぐために IT システムを停止させたと明らかにした。

VMware の脆弱性 CVE-2022-22954 が FIX：積極的な悪用が観察されている

Hackers exploit critical VMware CVE-2022-22954 bug, patch now

2022/04/13 BleepingComputer — VMware のリモートコード実行の脆弱性 CVE-2022-22954 を悪用し、コインマイナーをサーバーに感染させる攻撃に、すでに積極的に利用されている PoC エクスプロイトがオンラインで公開された。この脆弱性は、広範囲で使用されている VMware Workspace ONE Access／VMware Identity Manager に影響をおよぼす Critical (CVSS：9.8) なリモートコード実行 (RCE) の欠陥である。

Qbot マルウェアの戦術変更：感染ベクターを Macro から Windows Installer へ

Qbot malware switches to new Windows Installer infection vector

2022/04/11 BleepingComputer — 現在 Qbot ボットネットは、パスワード保護された ZIP アーカイブを添付したフィッシング・メールを介して、マルウェアのペイロードを送信しているが、その中に悪意の MSI Windows Installer パッケージも含まれる。これまでの Qbot オペレーターたちは、悪意のマクロを含む Microsoft Office ドキュメントを、フィッシング・メールにより配信し、標的デバイスにマルウェアをドロップするという手法を用いていたが、新しい戦術が使われたことになる。

保険会社とランサムウェア：上位 99社のうち 18% が影響を受けやすい状況にある

18% of the top 99 insurance carriers have a high susceptibility to ransomware

2022/04/08 HelpNetSecurity — Black Kite が発表したレポートは、保険分野におけるサイバー・リスクの高まりと、ランサムウェアの影響に対する懸念を示している。最も注目すべき点は、上位 99社の保険会社のうち、20％近くがランサムウェアの影響を受けやすい状況にあることだ。Black Kite の CSO である Bob Maley は、「サイバー保険の状況は、かつてないほど不安定になっている。デジタル・サプライチェーンは急速に拡大しており、サードパーティにおけるデータ漏洩やランサムウェア攻撃のリスクにさらされている。ビジネスを保護するためには、デジタル・ネットワークのサイバー健全性を徹底的に評価し、継続的に監視する必要がある」と述べている。

BlackCat ランサムウェアが石油／ガス／鉱山／建設をターゲットにしている証拠とは？

BlackCat Ransomware Targets Industrial Companies

2022/04/07 SecurityWeek — BlackCat／ALPHV／Noberus として追跡されているランサムウェア・グループが使用するデータ窃取ツールを分析すると、このサイバー犯罪者が製造業ををターゲットにすることに、強い関心を持っていることが示唆される。2021年11月に BlackCat は出現し、Ransomware-as-a-Service (RaaS) モデルを利用することで、米国などの組織を標的にしてきた。

ランサムウェアに関する 2021年の調査：63% の組織が身代金を支払っている

63% of organizations paid the ransom last year

2022/04/06 HelpNetSecurity — CyberEdge Group のレポートによると、昨年は 71% の組織がランサムウェア攻撃の被害を受け、2017年の 55% から増加し、過去最悪の結果となった。また、被害に遭った組織のうち、要求された身代金を支払ったのは 63% であり、2017年の 39% から大きく増加している。

FIN7 ギャングの戦略：運輸／保険／防衛をターゲットにサプライチェーン攻撃？

FIN7 Hackers Leveraging Password Reuse and Software Supply Chain Attacks

2022/04/05 TheHackerNews — この FIN7 と名付けられたサイバー犯罪グループは、当初からのアクセス・ベクターを多様化させ、ソフトウェア・サプライチェーン侵害や、盗まれた認証情報の利用などを取り入れていることが、新しい調査により明らかになった。インシデント・レスポンス会社である Mandiant は月曜日のレポートで、「複数の組織における FIN7 による活動のあとに続く、データ盗難／ランサムウェア展開／技術的重複から、長年に渡り FIN7 の行為者は、様々なランサムウェア・オペレーションと関連していたことが示唆される」と述べている。

ロシアの Hydra ダークウェブを摘発：ドイツ当局が $25M 相当の Bitcoin を押収

Germany Shuts Down Russian Hydra Darknet Market; Seizes $25 Million in Bitcoin

2022/04/05 TheHackerNews — 3月24日にドイツの連邦刑事局 (Bundeskriminalamt：BKA) は、これまでの累計で $5 billion 相当の Bitcoin 取引を行ってきた、世界最大の違法ダークウェブ Hydra を摘発したと公表した。BKA はプレスリリースで、「このマーケットプレイスに起因するものとして、現時点で €23 million 相当の Bitcoin が押収された」と述べている。ブロックチェーン分析会社である Elliptic は、2022年4月5日に 543.3 BTC に相当する、88件の取引に対して摘発が行われたことを確認している。

VMware Horizon Servers への Log4j 攻撃は衰えることなく継続している

Log4j Attacks Continue Unabated Against VMware Horizon Servers

2022/03/30 DarkReading — いつでも、どこでも、エンタープライズ・アプリへの安全なアクセスをリモート・ワーカーに提供するために、 VMware Horizon サーバーは数多くの組織に利用されている。しかし、2021年12月に公開された Apache Log4j のリモートコード実行の深刻な脆弱性により、VMware Horizon は攻撃者の人気のターゲットであり続けている。

今週のこと、Sophos の研究者たちは、2022年1月19日から現在に至るまで、脆弱な Horizon サーバーに対する攻撃の波が観測されていると発表した。攻撃の多くは、JavaX miner／Jin／z0Miner／XMRig 亜種などの、暗号通貨マイナーを展開しようとする脅威者の試みだった。しかし、他のいくつかの事例では、侵害したシステムで攻撃者たちが、永続的なアクセスを維持するためのバックドアをインストールするケースも確認されている。

2021年の DDoS 攻撃数は 975万件：パンデミック前のレベルを 14% 上回るペース

Cybercriminals launched 9.75 million DDoS attacks in 2021

2022/03/28 HelpNetSecurity — 2021年 2H において、サイバー犯罪者たちは約 440万件の DDoS (分散型サービス拒否) 攻撃を仕掛け、2021年の DDoS 攻撃の総数が 975万件に達したことが、NETSCOUT のレポートで明らかになった。これらの攻撃は、パンデミックの最盛期に記録したレベルからは 3% 減少しているが、パンデミック前のレベルを 14% 上回るペースで続いている。

Hive が Linux VMware ESXi 暗号化ツールを Rust に移植：解析と分析が困難に

Hive ransomware ports its Linux VMware ESXi encryptor to Rust

2022/03/27 BleepingComputer — ランサムウェア Hive は、VMware ESXi Linux 用の暗号化ツールを、Rust プログラミング言語で書き換え、セキュリティ研究者による身代金交渉のチェックを、難しくするための新機能を追加した。企業における仮想マシンへの依存度は、コンピュータ・リソースの節約／サーバの統合／バックアップの容易化などのニーズの中で高まっているが、このランサムウェア集団は、それらのサービスに特化した専用の暗号化ツールを作成している。

サイバー保険の現状：ウクライナ侵攻と戦争免責の関係は慎重に考えるべき

Cyber Insurance and War Exclusions

2022/03/24 DarkReading — サイバー保険は、通常、「戦争排除」または「敵対行為排除」の文言を組み込んでいる。基本的に保険会社は、戦争行為を防御できないという文言である。2022年 Q1 において、すでにサイバー保険市場は戦争排除条項を強化し、補償を拒否するようになっていた。ロシアによるウクライナ侵攻、そして予想されるサイバー攻撃の影響を考慮し、セキュリティ専門家は補償のギャップを判断するために、サイバー保険の補償内容を見直す必要がある。

MicroTik ルーターの Botnet-as-a-Service 化：20万台以上が支配下に

Over 200,000 MicroTik Routers Worldwide Are Under the Control of Botnet Malware

2022/03/23 TheHackerNews — MikroTik の脆弱なルーターが大規模に悪用され、サイバー・セキュリティ研究者が近年で最大級の Botnet-as-a-Service の１つと呼ばれる物が形成されている。Avast が発表した新たな調査結果によると、新たな破壊型 Glupteba ボットネットと、TrickBot マルウェアを活用した、暗号通貨マイニング・キャンペーンの全てが、同一の Command and Control (C2) サーバーを使用して配布されたようだ。

FBI レポート：2021年のランサムウェアは重要インフラ 649 件を攻撃

FBI: Ransomware hit 649 critical infrastructure orgs in 2021

2022/03/23 BleepingComputer — FBI は、Crime Complaint Center (IC3) の 2021 Internet Crime Report を引用するかたちで、昨年には米国の複数の重要インフラ部門の少なくとも 649 組織が、ランサムウェアによりネットワークを侵害されたと発表した。ただし FBI は、重要インフラ分野で報告されたランサムウェア・インシデントの追跡が、2021年6月に開始されていることから、実際の数字は増大するはずだと述べている。また FBI は、Crime Complaint Center (IC3) に被害者が苦情を申し立てなかった場合も、その攻撃は統計に含まれないとしている。

Microsoft が Lapsus$ ハッキングを認める：Bing などのソースコードにアクセス

Microsoft confirms they were hacked by Lapsus$ extortion group

2022/03/22 BleepingComputer — Microsoft は、同社の従業員１名のアカウントが Lapsus$ にハッキングされ、この脅威アクターによる、同社のソースコードの一部へのアクセス／窃取が生じたことを認めた。昨夜、Lapsus$ ランサムウェアは、Microsoft の Azure DevOps サーバーから盗み出した 37GB のソースコードを公開した。このソースコードは、Bing／Cortana／Bing Maps などの、同社の様々なプロジェクトに関わるものである。