PyPI に悪意の3つのパッケージ:数日で 500件以上のダウンロードにいたる

Malicious ‘Lolip0p’ PyPi packages install info-stealing malware

2023/01/16 BleepingComputer — ある脅威アクターが、PyPI (Python Package Index) リポジトリにアップロードした3つの悪意のパッケージには、開発者たちのシステムに情報窃取マルウェアをドロップするコードが搭載されている。Fortinet が発見した悪意のパッケージは、その全てが 2023年1月7日〜12日の間に、”Lolip0p” という作者によりにアップロードされたものだ。それらの名称は、colorslib/httpslib/libhttps であり、すでに PyPI からは削除されている。

Continue reading “PyPI に悪意の3つのパッケージ:数日で 500件以上のダウンロードにいたる”

Dark Pink という APT グループ:APAC の政府/軍事を狙って7件の攻撃を達成

Dark Pink APT Group Targets Governments and Military in APAC Region

2023/01/11 TheHackerNews — アジア太平洋地域における政府機関/軍事組織などが、未知の高度持続的脅威 (APT:Advanced Persistent Threat) アクターの標的にされていることが、最新の調査により明らかになった。シンガポールに本社を置く Group-IB は、The Hacker News と共有したレポートの中で、「Dark Pinkと命名された進行中のキャンペーンを追跡しており、同グループは 2022年6月〜12月の間に7つの攻撃を成功させた」と述べている。

Continue reading “Dark Pink という APT グループ:APAC の政府/軍事を狙って7件の攻撃を達成”

Turla APT の奇妙な動き:10年前のマルウェア・インフラからバックドアを展開

Russian Turla Hackers Hijack Decade-Old Malware Infrastructure to Deploy New Backdoors

2023/01/08 TheHackerNews — ロシアのサイバー・スパイグループ Turla が、10年前のマルウェアの攻撃インフラを利用して、ウクライナのターゲットに、独自の偵察ツールやバックドア・ツールを配布していることが確認された。Google 傘下の Mandiant は、この活動を UNC4210 という未分類のクラスタ名で追跡しており、乗っ取られたサーバを調査したところ、2013年に VirusTotal にアップロードされた ANDROMEDA (別名 Gamarue) というマルウェアの亜種に該当したと述べている。

Continue reading “Turla APT の奇妙な動き:10年前のマルウェア・インフラからバックドアを展開”

PyPI に悪意のパッケージが登場:CloudFlare Tunnel を悪用するトロイの木馬

Malicious PyPi packages create CloudFlare Tunnels to bypass firewalls

2023/01/07 BleepingComputer — PyPI (Python Package Index) 上の6つの悪意のパッケージが Cloudflare Tunnel を悪用し、リモート・アクセスに対するファイアウォール制限をバイパスしている間に、InfoStealer/RAT (Remote Access Trojan) 機能を備えたマルウェアをインストールしていることが発見された。これらの悪意のパッケージは、ブラウザーに保存されている機密情報の窃取/キーロガーを用いた入力情報の窃取に加えて、シェルコマンドの実行などを試みる。この6つのパッケージを発見したのは、新しいキャンペーンについて PyPI を注視している Phylum Research Team である。

Continue reading “PyPI に悪意のパッケージが登場:CloudFlare Tunnel を悪用するトロイの木馬”

SpyNote のオープン化:金融機関を標的とする Android スパイウェアが進化

SpyNote Strikes Again: Android Spyware Targeting Financial Institutions

2023/01/05 TheHackerNews — 2022年10月以降において、SpyNoteと呼ばれる Android マルウェアの新バージョンが、金融機関を標的にしている。ThreatFabric は The Hacker News と共有したレポートの中で、「このスパイウェアが増加した背景には、開発者がソースコードを公開したことにある。つまり、他の脅威アクターによるスパイウェアの開発/ 配布が容易になり、銀行機関をターゲットにするケースが増えている」と述べている。このマルウェアが装う有名な金融機関には、Deutsche Bank/HSBC U.K./Kotak Mahindra Bank/Nubank などがある。

Continue reading “SpyNote のオープン化:金融機関を標的とする Android スパイウェアが進化”

BitRAT マルウェアは $20 で使い放題:銀行の顧客情報を悪用するフィッシング・キャンペーン

BitRAT malware campaign uses stolen bank data for phishing

20223/01/03 BleepingComputer — クラウド・セキュリティ企業の Qualys によると、最近のマルウェア・キャンペーンにおける脅威アクターたちは、リモート・アクセス型トロイの木馬 BitRAT に感染させるために、コロンビアの銀行から窃取した顧客情報を、フィッシング・メールのルアーに用いているという。さらに同社は、アクティブなフィッシング攻撃における BitRAT ルアーを調査していたところ、コロンビアの非公開の銀行インフラが、攻撃者により乗っ取られていたことを発見した。

Continue reading “BitRAT マルウェアは $20 で使い放題:銀行の顧客情報を悪用するフィッシング・キャンペーン”

WordPress サイトを標的とする Linux マルウェア:20種類以上のテーマ/プラグインを悪用

WordPress Security Alert: New Linux Malware Exploiting Over Two Dozen CMS Flaws

2022/01/02 TheHackerNews — WordPressサイトを標的とする未知の Linuxマルウェアが、20数種類のプラグイン/テーマの欠陥を悪用して、脆弱なシステムを侵害していることが判明した。ロシアのセキュリティ・ベンダーである Doctor Web は、「もし、対象となる WordPress サイトが、重要な修正を行っていない場合や、古いバージョンのアドオンを使用している場合には、標的となる Web ページに悪意の JavaScript が注入される恐れがある。その結果として、攻撃されたページの任意の領域をユーザーがクリックすると、他のサイトにリダイレクトされる」と、先週のレポートで説明している。

Continue reading “WordPress サイトを標的とする Linux マルウェア:20種類以上のテーマ/プラグインを悪用”

BlueNoroff APT の戦術:日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

Continue reading “BlueNoroff APT の戦術:日本への強い関心と Windows MoTW 回避”

GuLoader という VBScript ダウンローダ:セキュリティを回避してシェルコードを注入

GuLoader Malware Utilizing New Techniques to Evade Security Software

2022/12/26 TheHackerNews — サイバー・セキュリティ研究者たちは、GuLoader と呼ばれる高度なマルウェア・ダウンローダと、そこで採用されるセキュリティ・ソフトウェア回避のための、各種のテクニックを公開した。CrowdStrike の研究者である Sarang Sonawane と Donato Onofri は、先週に公開された技術レポートで、「新しいシェルコード分析防止技術は、プロセス・メモリ全体をスキャンして、仮想マシン (VM) 関連の文字列を探すことで、研究者や敵対者の環境を妨害しようと試みる」と述べている。

Continue reading “GuLoader という VBScript ダウンローダ:セキュリティを回避してシェルコードを注入”

APT と地政学的な背景:2022年に猛威を奮った脅威 Top-5 を分析

2022 Top Five Immediate Threats in Geopolitical Context

2022/12/26 TheHackerNews — 2022年も終わりに近づいているがが、この激動の年に最も懸念された脅威に対するテスト数を見ると、特定の脅威に対する脆弱度について、それぞれのサイバーセキュリティ・チームがチェックした、脅威ベースの視点が得られる。2022年1月1日〜12月1日に、Cymulate Security Posture Management Platform でレジリエンスを検証するために、最も多くテストされた脅威は以下の通りである。

Continue reading “APT と地政学的な背景:2022年に猛威を奮った脅威 Top-5 を分析”

PrivateLoader という PPI サービス:情報窃取型マルウェア RisePro を配布

PrivateLoader PPI Service Found Distributing Info-Stealing RisePro Malware

2022/12/26 TheHackerNews — PrivateLoader として知られる Pay-Per-Install (PPI) マルウェア・ダウンローダー・サービスが、既知の情報搾取マルウェア RisePro の配布に使用されていることが判明した。2022年12月13日に Flashpoint は、Russian Market と呼ばれる不正なサイバー犯罪マーケットにおいて、このマルウェアを用いて流出した複数のログセットを検出し、新たな窃盗グループを発見した。

Continue reading “PrivateLoader という PPI サービス:情報窃取型マルウェア RisePro を配布”

FIN7 ハッキング・グループの正体:Exchange を SQL インジェクションで自動攻撃

FIN7 hackers create auto-attack platform to breach Exchange servers

2022/12/22 BleepingComputer — ハッキング・グループ FIN7 は、Microsoft Exchange に存在する SQL インジェクションの脆弱性を悪用した自動攻撃システムにより、企業ネットワークに侵入してデータを盗み出し、財務規模に基づいてランサムウェア攻撃のターゲットを選定している。この自動攻撃システムは、数年前から FIN7 の活動を注意深く監視してきた、Prodaft の脅威インテリジェンス・チームにより発見されたものだ。

Continue reading “FIN7 ハッキング・グループの正体:Exchange を SQL インジェクションで自動攻撃”

GodFather というバンキング・トロイの木馬:400 以上の金融アプリが標的

GodFather Android Banking Trojan Targeting Users of Over 400 Banking and Crypto Apps

2022/12/21 TheHackerNews — GodFather と呼ばれる Android バンキング・トロイの木馬が、16カ国にまたがる 400以上の銀行および、暗号通貨アプリのユーザーを標的としている。Group-IB が The Hacker Newsと共有したレポートには、「米国/トルコ/スペイン/イタリア/カナダなどのユーザーにサービスを提供する、215 の銀行および、94 の暗号ウォレット・プロバイダ、110 の暗号交換プラットフォームが、そのターゲットに含まれている」と記されている。

Continue reading “GodFather というバンキング・トロイの木馬:400 以上の金融アプリが標的”

SentinelOne SDK を装う悪意の PyPI パッケージ:SentinelSneak はトロイの木馬

Malicious Python Trojan Impersonates SentinelOne Security Client

2022/12/20 DarkReading — 最新のサプライチェーン攻撃を仕掛ける未知の脅威アクターが、SentinelOne の人気のSDK (Software Development Kit) を装う、悪質な Python パッケージを作成しているようだ。月曜日にサイバー・セキュリティ企業 ReversingLabs が発表したアドバイザリによると、この SentinelSneak と名付けられたパッケージは、高機能な SentinelOne クライアントのように見えるものであり、Python コードの主要リポジトリである Python Package Index (PyPI) で、頻繁に更新されながら開発中であるとのことだ。

Continue reading “SentinelOne SDK を装う悪意の PyPI パッケージ:SentinelSneak はトロイの木馬”

Glupteba ボットネットが復活:ブロックチェーンを用いて再生される?

Glupteba botnet is back after Google disrupted it in December 2021

2022/12/19 SecurityAffairs — 2021年12月に Google は、Grupteba ボットネットが運用するインフラを停止したことを発表し、また、ボットネットを作成/運用したとするロシア人 Dmitry Starovikov と Alexander Filippov を提訴した。Grupteba ボットネットは 2011年ころから活動しており、2021年12月時点で研究者たちは、世界中に点在する 100万台以上の Windows PC により、このブロックチェーン対応のボットネットが構成されていると推定していた。

Continue reading “Glupteba ボットネットが復活:ブロックチェーンを用いて再生される?”

VMware ESXi に新たな Python バックドア:OpenSLP の既知の脆弱性を悪用か?

Experts detailed a previously undetected VMware ESXi backdoor

2022/12/13 SecurityAffairs — Juniper Networks の研究者たちが、VMware ESXi サーバを標的とする Python バックドアを発見した。この、2022年10月に発見されたバックドアに対する研究者たちの指摘は、インプラントの簡潔性/持続性/能力において注目に値するというものだ。侵害されたサーバのログ保持が限られていたことで、専門家たちは最初の侵害を特定できなかったが、ESXi の OpenSLP サービスにおける既知の脆弱性 (CVE-2019-5544/CVE-2020-3992) が悪用された可能性があると推測している。

Continue reading “VMware ESXi に新たな Python バックドア:OpenSLP の既知の脆弱性を悪用か?”

GoTrim ボットネットのブルートフォース攻撃:WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開/クレジットカード窃取スクリプトの注入/フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Continue reading “GoTrim ボットネットのブルートフォース攻撃:WordPress サイトを狙っている”

InTheBox というダークウェブ:金融サービスを標的とする Web インジェクションを提供

Darknet’s Largest Mobile Malware Marketplace Threatens Users Worldwide

2022/12/06 TheHackerNews — InTheBox と呼ばれるダークネット・マーケットプレイスの存在を、サイバーセキュリティ研究者たちが明らかにした。このマーケットプレイスは、2020年1月ころから利用されていたと見られている。ここでは、地域ごとに分類された 400 以上のカスタム Web インジェクションが提供されており、独自の攻撃を試みる攻撃者たちが購入できるようになっている。Resecurity は、「自動化を施したサービスにより、ユーザーである攻撃者たちは、モバイル・マルウェアに実装する最新の Web インジェクションを取得できる。この InTheBox は、モバイル・マルウェア用の高品質 Web インジェクションを提供する市場として、最大かつ唯一のものと言えるかもしれない」と述べている。

Continue reading “InTheBox というダークウェブ:金融サービスを標的とする Web インジェクションを提供”

ロシアン・ハッカーを釣ってみた:ウクライナと NATO への攻撃体制が浮き彫りに

Russian Hackers Use Western Networks to Attack Ukraine

2022/12/06 InfoSecurity — 英国/米国などの組織において、そのネットワークへのアクセスを不正に維持しているロシアン・ハッカーたちが、ウクライナに対して攻撃を仕掛けていることが、Lupovis の最新レポートで明らかにされたな。スコットランドのセキュリティ企業である Lupovis は、ロシアの脅威アクターをおびき寄せるために Web 上にルアーを展開し、その TTP (Tactics, Techniques and Procedures) の研究で成果をあげた。

Continue reading “ロシアン・ハッカーを釣ってみた:ウクライナと NATO への攻撃体制が浮き彫りに”

サイバー侵害の手口を分析:33% の証明書アクセスや 35% の Cobalt Strike 利用など

33% of attacks in the cloud leverage credential access

2022/11/30 HelpNetSecurity — Elastic Security Labs が発表した 2022 Elastic Global Threat Report は、サイバー・セキュリティ脅威の進化と、クラウド/エンドポイントに関連する攻撃の高度化について詳述するものだ。クラウド上の攻撃の 33 %は、クレデンシャル・アクセスを利用している。言い換えるならば、クラウド環境のセキュリティを、ユーザーが過大評価していることになる。その結果として、適切な設定や保護を行われないケースが多発している。

Continue reading “サイバー侵害の手口を分析:33% の証明書アクセスや 35% の Cobalt Strike 利用など”

金融サービス Web App/API への攻撃が 257% の急増:Akamai の調査レポート2022

Web App and API Attacks Surge 257% in Financial Services

2022/11/29 InfoSecurity — クラウド・セキュリティ・ベンダーの Akamai によると、過去 12ヶ月間に検出された Web アプリケーション/API への攻撃は、金融サービス分野においては前年比 3.5 倍に急増し、あらゆる業種の中で最多となっているという。同社の最新レポート Enemy at the Gates は、2021年10月1日から 2022年9月26日までの世界の顧客トラフィックの分析に基づいたものとなっている 。

Continue reading “金融サービス Web App/API への攻撃が 257% の急増:Akamai の調査レポート2022”

Emotet 2022 を予測する:このマルウェアの歴史から何が見えてくるのか?

All You Need to Know About Emotet in 2022

2022/11/26 TheHackerNews — 直近の6ヶ月間において、ほとんど活動していなかった Emotet ボットネットだが、いまは悪質なスパムを配信し始めている。ここでは、この悪名高いマルウェアに対抗するために、知っておくべきことを詳しく説明していく。Emotet は、これまでに作られたトロイの木馬の中で、最も危険な 1 つであることに間違いはない。このマルウェアは、規模と精巧さを増すにつれて、きわめて破壊的なプログラムとなった。スパムメール・キャンペーンにさらされた企業ユーザーから個人ユーザーまで、誰でもが被害者になり得る。

Continue reading “Emotet 2022 を予測する:このマルウェアの歴史から何が見えてくるのか?”

OpenVPN/SoftVPN とトロイの木馬:Android ユーザーを狙う Bahamut というハッカー

Hackers modify popular OpenVPN Android app to include spyware

2022/11/24 BleepingComputer — 2017 年以降のサイバー・スパイ活動に関与する脅威アクターたちが、正規のソフトウェア SoftVPN や OpenVPN をトロイの木馬化し、Android 向けの偽 VPN ソフトウェアを作成し、被害者を誘い込んでいることが判明した。研究者たちによると、このキャンペーンは “高度な標的型“ であり、複数のアプリから連絡先/通話データ/デバイスの位置情報/メッセージなどの窃取を目的としているとのことだ。

Continue reading “OpenVPN/SoftVPN とトロイの木馬:Android ユーザーを狙う Bahamut というハッカー”

Chrome の悪意のエクステンション:Roblox ユーザー 20万人がインストール

Backdoored Chrome extension installed by 200,000 Roblox players

2022/11/23 BleepingComputer — Chromeブラウザ・エクステンションであり、20万人以上のゲーム・ユーザーにインストールされている SearchBlox のバックドアにより、Roblox の認証情報が不正に窃取され、Roblox 取引プラットフォーム Rolimons の資産が盗み出されていることが発見された。BleepingComputer は、このエクステンションのコードを解析し、開発者の意図により侵害後に仕掛けられる、バックドアの存在を示すことができた。

Continue reading “Chrome の悪意のエクステンション:Roblox ユーザー 20万人がインストール”

Aurora とロシア犯罪グループ:Amazon などから 5,000万件以上のパスワードを窃取

34 Russian Cybercrime Groups Stole Over 50 Million Passwords with Stealer Malware

2022/11/23 TheHackerNews — 2022年1月〜7月の間で 34グループものロシア系ギャングが、SaaS (Stealer-as-a-Service) モデルの下で情報窃取型マルウェアを配布し、5,000 万以上のパスワードを盗み出していたことが判明した。シンガポールに拠点を置く Group-IB は、The Hacker Newsと 共有したレポートの中で、「盗まれたログと漏洩したカード情報の闇市場価値の総額は、約 $5.8 million と推定される」と述べている。

Continue reading “Aurora とロシア犯罪グループ:Amazon などから 5,000万件以上のパスワードを窃取”

Nighthawk というレッドチームツール:Cobalt Strike のように悪用される可能性

Experts Warn Threat Actors May Abuse Red Team Tool Nighthawk

2022/11/22 InfoSecurity — Nighthawk と名付けられた、新たなレッドチーム・ツールが、脅威アクターにより間もなく悪用される可能性があると、セキュリティ研究者たちが警告している。このツールは、2021年後半に MDSec 社により開発されている。そして、Cobalt Strike や Brute Ratel のように、合法的な使用を目的として商業的に配布される RAT (Remote Access Trojan) として機能する、高度な C2 フレームワークと表現するのが適切だろう。しかし、これまでの2つのツールと同様に、悪意の人々に直ちに利用される可能性があると、Proofpoint は最新レポートの中で警告している。

Continue reading “Nighthawk というレッドチームツール:Cobalt Strike のように悪用される可能性”

Sharkbot バンキング・トロイの木馬:Android ファイル・マネージャーとして再登場

Android file manager apps infect thousands with Sharkbot malware

2022/11/22 BleepingComputer — 無害なファイル・マネージャーを装う悪質な Android アプリの新しいコレクションが、Google Play の公式アプリ・ストアに侵入し、バンキング・トロイの木馬 Sharkbot を感染させていることが判明した。このアプリは、Google Play に投稿された際の検出を回避するために、インストール時には悪意のペイロードを搭載せず、その後にリモートリ・ソースから取得する。また、このトロイの木馬アプリはファイル・マネージャであるため、Sharkbot マルウェアをロードするための危険なパーミッションを要求しても、疑惑を持たれる可能性は低くなる。

Continue reading “Sharkbot バンキング・トロイの木馬:Android ファイル・マネージャーとして再登場”

Aurora インフォ・スティーラー:サイバー犯罪者の間で採用が増加している

Aurora infostealer malware increasingly adopted by cybergangs

2022/11/21 BleepingComputer — サイバー犯罪者たちが、Go ベースの新たなインフォ・スティーラー Aurora を用いて、ブラウザや暗号通貨アプリからの機密情報の窃取/ディスクからのデータ流出/追加ペイロードのロードなどを行う傾向が強まっている。サイバー・セキュリティ企業の SEKOIA によると、少なくとも7つの著名なサイバー・ギャングたちのアクティビティが目立っており、Aurora だけを単独で使用するケースと、他の情報窃盗マルウェア・ファミリー RedLine/Raccoon と併用するケースが観察されている。

Continue reading “Aurora インフォ・スティーラー:サイバー犯罪者の間で採用が増加している”

Chrome の悪意のエクステンション VenomSoftX:Google Sheets を装い暗号通貨を窃取 

Google Chrome extension used to steal cryptocurrency, passwords

2022/11/21 BleepingComputer — VenomSoftX という情報窃取型の Google Chrome エクステンションが、Windows マルウェアにより展開され、ユーザーの暗号通貨やクリップボードの内容を窃取している。 この Chrome エクステンションは、Windows マルウェア ViperSoftX によりインストールされ、JavaScript ベース の RAT (Remote Access Trojan) として、また、暗号通貨ハイジャッカーとして機能する。 ViperSoftX は 2020年から存在しており、CerberusColin Cowie のセキュリティ研究者により、また、Fortinet のレポートにより、以前から公表されている。

Continue reading “Chrome の悪意のエクステンション VenomSoftX:Google Sheets を装い暗号通貨を窃取 “

Cobalt Strike のハッキング・バージョンは 34 種類:YARA ルールで排除を目指す Google

Google Identifies 34 Cracked Versions of Popular Cobalt Strike Hacking Toolkit in the Wild

2022/11/21 TheHackerNews — 先週に Google Cloud は、Cobalt Strike には 34 種類のハッキングされたバージョンが存在、野放し状態で悪用されていることを明らかにした。その中で、最も古いものは、2012年11月にリリースされたバージョンだという。GCTI (Google Cloud Threat Intelligence) チームの調査結果によると、Cobalt Strike は 1.44 から 4.7  までのバージョンがあり、合計で 275 種類のユニークな JAR ファイルが存在するようだ。そして、最新のバージョンは 4.7.2 だ。

Continue reading “Cobalt Strike のハッキング・バージョンは 34 種類:YARA ルールで排除を目指す Google”

Emotet の大規模マルスパム・キャンペーンを検出:IcedID や Bumblebee などをドロップ

Notorious Emotet Malware Returns With High-Volume Malspam Campaign

2022/11/21 TheHackerNews — Emotet マルウェアだが、IcedID や Bumblebee などのペイロードをドロップするためにデザインされた、大規模なマルスパム・キャンペーンの一部として、再び勢いを増して戻ってきた。先週に Proofpoint は、「2022 年11月初旬から、1日あたり数十万通の電子メールが送信されている。この、新たなアクティビティは、Emotet が主要なマルウェア群の配信ネットワークとして機能し、完全に復活したことを示唆している」と述べている。標的となる主な国々としては、米国/英国/日本/ドイツ/イタリア/フランス/スペイン/メキシコ/ブラジルなどが挙げられている。

Continue reading “Emotet の大規模マルスパム・キャンペーンを検出:IcedID や Bumblebee などをドロップ”

Windows の MoTW ゼロデイを悪用:Qbot 投下フィッシング・キャンペーンが発覚

New attacks use Windows security bypass zero-day to drop malware

2022/11/19 BleepingComputer — 新たに発見されたフィッシング攻撃は、Windows のゼロデイ脆弱性を利用して、Mark of the Web のセキュリティ警告を表示せずに、マルウェア Qbot をドロップするものだ。Web やメールなどを介して、信頼できないリモートからのファイルがダウンロードされると、Windows は Mark of the Web (MoTW) と呼ばれる特別フラグを、それらのファイルに追加する。

Continue reading “Windows の MoTW ゼロデイを悪用:Qbot 投下フィッシング・キャンペーンが発覚”

Magento と TrojanOrders 攻撃:脆弱性 CVE-2022-24086 未パッチ・サイトが標的

Magento stores targeted in massive surge of TrojanOrders attacks

2022/11/16 BleepingComputer — Magento 2 を用いる Web サイトを標的とした、TrojanOrders 攻撃が急増している。脆弱性を悪用して脆弱なサーバを侵害する、少なくとも7つのハッキング・グループが背後にいるとされている。Web サイト・セキュリティ会社である Sansec は、Magento 2 Web サイトの約 40%が、この攻撃の標的になっていると述べている。さらに、感染させたサイトの制御をめぐって、ハッキング・グループが互いに争っていると警告している。

Continue reading “Magento と TrojanOrders 攻撃:脆弱性 CVE-2022-24086 未パッチ・サイトが標的”

中国のハッカー集団 Billbug:標的はアジア諸国における政府と防衛の機関

Chinese hackers target government agencies and defense orgs

2022/11/15 BleepingComputer — Billbug (a.k.a. Thrip/Lotus Blossom/Spring Dragon) として追跡されているサイバースパイ活動家が、アジア諸国の認証局/政府機関/防衛組織を標的としたキャンペーンを展開している。最新の攻撃は3月ころから観測されているが、この脅威アクターは、10年以上前からステルスで活動している、中国の国家支援グループだと思われる。Billbug の活動は、過去6年間  [123] にわたり、複数のサイバー・セキュリティ企業により記録されている。

Continue reading “中国のハッカー集団 Billbug:標的はアジア諸国における政府と防衛の機関”

Coca-Cola などの有名ブランドを偽装する 42,000 のサイト:中国由来の大キャンペーン

42,000 sites used to trap users in brand impersonation scheme

2022/11/14 BleepingComputer — Fangxiao という名の悪質なグループが、有名ブランドになりすまし、ユーザーをアドウェア・アプリ/出会い系サイト/無料景品宣伝するサイトなどにリダイレクトするための、Web ドメイン 42,000 以上で構成される大規模ネットワークを構築している。 これらの偽ドメインは、Fangxiao 自身のサイトの広告収入や、このグループからトラフィックを購入した顧客の、訪問者数を増やすための大規模スキームの一部として使用されているようだ。

Continue reading “Coca-Cola などの有名ブランドを偽装する 42,000 のサイト:中国由来の大キャンペーン”

IceXLoader マルウェアの感染が増大:Windows Defender を巧みに回避

Phishing drops IceXLoader malware on thousands of home, corporate devices

2022/11/10 BleepingComputer — 現在進行中のフィッシング・キャンペーンにより、数千のホーム/コーポレート・ユーザーが、マルウェア IceXLoader の新バージョンに感染していることが判明している。 この夏に、マルウェア・ローダー IceXLoader の野放し状態での悪用が発見されたが、その後にツールの機能が強化され、多段階の配信チェーンを導入されるという、バージョン 3.3.3 がリリースされている。2022年6月に Fortinet が、この Nim ベースのマルウェアを発見したときのバージョンは 3.0 であり、また、ローダーとしての重要な機能が欠けており、開発中というような印象だったという。

Continue reading “IceXLoader マルウェアの感染が増大:Windows Defender を巧みに回避”

Cobalt Strike ローダーの新種 Symatic:中国 APT41 と持続性のあるバックドア展開

New hacking group uses custom ‘Symatic’ Cobalt Strike loaders

2022/11/09 BleepingComputer — これまで知られていなかった Earth Longzhi という中国の APT (Advanced Persistent Threat) ハッキング集団が、東アジア/東南アジア/ウクライナの組織を狙っている。この脅威アクターは、2020年から活動しており、カスタム・バージョンの Cobalt Strike ローダーを用いて、被害者のシステムに持続性のあるバックドアを仕込んでいる。Trend Micro の最新レポートによると、Earth Longzhi の TTP は Earth Baku と同様のものであり、この2つのグループは、国家が支援する APT41 の下部組織であると考えられる。

Continue reading “Cobalt Strike ローダーの新種 Symatic:中国 APT41 と持続性のあるバックドア展開”

Check Point のマルウェア調査:10月の上位は AgentTesla などの情報スティーラー系

Advanced RAT AgentTesla Most Prolific Malware in October

2022/11/09 InfoSecurity — Check Point によると、10月に最も広まったマルウェア亜種は、情報スティーラー型の3種類であり、全世界の検出数の約 5分の1 (16%) を占めている。セキュリティ・ベンダーである Check Point は、顧客のネットワーク/エンドポイント/モバイル・デバイスに設置された、数億個の脅威インテリジェンス・センサーから取得したデータに基づき、Global Threat Index for October 2022 を作成した。

Continue reading “Check Point のマルウェア調査:10月の上位は AgentTesla などの情報スティーラー系”

Cloud9 は Chrome ボットネット:リモート操作+多彩な機能で攻めてくる

Malicious extension lets attackers control Google Chrome remotely

2022/11/08 BleepingComputer — Cloud9 という新しい Chrome ブラウザ・ボットネットが、野放し状態で発見された。このボットネットは、悪意のエクステンションを使用して、オンライン・アカウントの窃盗/キーストロークの記録/広告や悪意の JS コードの注入/被害者のブラウザへの DDoS 攻撃などをしていたという。Cloud9 ブラウザ・ボットネットは、Google Chrome/Microsoft Edge を含む Chromium Web ブラウザ用のリモート・アクセス型トロイの木馬 (RAT:Remote Access Trojan) であり、脅威アクターによるリモート・コマンドの実行を可能にする。

Continue reading “Cloud9 は Chrome ボットネット:リモート操作+多彩な機能で攻めてくる”

RomCom RAT を展開する新たな動き:KeePass や SolarWinds の偽サイトに御用心

Hackers Using Rogue Versions of KeePass and SolarWinds Software to Distribute RomCom RAT

2022/11/03 TheHackerNews — RomCom RAT のオペレーターは、SolarWinds Network Performance Monitor/KeePass Password Manager/PDF Reader Pro などの、不正なバージョンを悪用するかたちでキャンペーンを進化させ続けている。このオペレーションのターゲットを構成するのは、ウクライナや英国などの英語圏の被害者たちである。BlackBerry Threat Research and Intelligence Team は、「ターゲットの地理的条件と、現在の地政学的状況を考慮すると、RomCom RAT の動機が経済的なサイバー犯罪にあるとは考えにくい」と新たな分析で述べている。

Continue reading “RomCom RAT を展開する新たな動き:KeePass や SolarWinds の偽サイトに御用心”

OPERA1ER という現金強奪者:4年間で銀行などから $11M 以上を盗み出した

Threat Actor “OPERA1ER” Steals Millions from Banks and Telcos

2022/11/03 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、フランス語圏の脅威グループによる長期的な APT キャンペーンの存在であり、4年間で銀行や通信事業者から少なくとも $11m を盗み出したグループのことである。Group-IB は、このグループを OPERA1ER と名付けたが、以前には DESKTOP-group や Common Raven など呼ばれていたようだ。Group-IB は、Orange CERT Coordination Center と協力して、レポート OPERA1ER. Playing God without permission を作成した。

Continue reading “OPERA1ER という現金強奪者:4年間で銀行などから $11M 以上を盗み出した”

SandStrike という Android 向けスパイウェア:悪意の VPN アプリ経由で端末に感染

Experts Warn of SandStrike Android Spyware Infecting Devices via Malicious VPN App

2022/11/02 TheHackerNews — これまで文書化されていなかった Android のスパイウェア・キャンペーンが、一見無害な VPN アプリを装って、ペルシャ語圏の人々を襲っていることが判明した。ロシアのサイバーセキュリティ企業である Kaspersky は、このキャンペーンを SandStrike という名前で追跡している。ただし、それは、特定の脅威グループに起因するものではない。

Continue reading “SandStrike という Android 向けスパイウェア:悪意の VPN アプリ経由で端末に感染”

Google Play に5つの危険なドロッパー・アプリ:銀行口座や暗号通貨ウォレットが狙われている

These Dropper Apps On Play Store Targeting Over 200 Banking and Cryptocurrency Wallets

2022/10/28 TheHackerNews — 累計インストール数が 130,000 を超える、悪質なドロッパー型 Android アプリ5個が Google Play ストアで発見された。それらにより、SharkBot と Vultur といったバンキング・トロイの木馬が配布され、金融データの窃取などを含む、端末上での不正行為が生じていることも判明した。

Continue reading “Google Play に5つの危険なドロッパー・アプリ:銀行口座や暗号通貨ウォレットが狙われている”

Microsoft IIS ログを悪用する Cranefly マルウェア:3つの文字列で侵害を完遂

Hackers use Microsoft IIS web server logs to control malware

2022/10/28 BleepingComputer — Microsoft Internet Information Services (IIS) の Web サーバのログを経由して、感染端末のマルウェアを制御するという、これまでにはなかった手法を、ハッキング・グループ Cranefly (UNC3524) が採用しているという。Microsoft IIS は Web サーバであり、Web サイトや Web アプリをホストするために使用されている。また、Microsoft Exchange の Outlook on the Web (OWA) などのソフトウェアでも、管理アプリや Web インターフェイスをホストするために使用されている。

Continue reading “Microsoft IIS ログを悪用する Cranefly マルウェア:3つの文字列で侵害を完遂”

Access-as-a-Service へと進化した Raspberry Robin:Clop ランサムウェアの展開を推進か?

Raspberry Robin Operators Selling Cybercriminals Access to Thousands of Endpoints

2022/10/28 TheHackerNews — Raspberry Robin ワームは Access-as-a-Service へと進化し、IcedID/Bumblebee/TrueBot (Silence)/Clop などの、他のペイロード展開に採用されつつある。Microsoft Security Threat Intelligence Center (MSTIC) は、「このマルウェアは、複雑で相互接続されたマルウェア・エコシステムの一部であり、従来からの USB ドライブ拡散を超えた、多様な感染方式を実現している」と詳述している。Raspberry Robin は、USB ドライブを介して Windows システムに拡散するマルウェアであり、感染させた QNAP ストレージ・サーバを Command and Control に使用することから、 サイバー・セキュリティ企業 Red Canary は QNAP Worm とも呼んでいる。

Continue reading “Access-as-a-Service へと進化した Raspberry Robin:Clop ランサムウェアの展開を推進か?”

Docker/Kubernetes の脆弱なインスタンスを狙う:Kiss-a-dog クリプトジャッキング

New Cryptojacking Campaign Targeting Vulnerable Docker and Kubernetes Instances

2022/10/27 TheHackerNews — 脆弱な Docker/Kubernetes インフラを標的とし、暗号通貨の不正マイニングを行う、新たなクリプトジャッキング・キャンペーンが発覚した。このアクティビティを Kiss-a-dog と名付けた CrowdStrike は、その Command and Control インフラについて、ミスコンフィグレーションのある Docker/Kubernetes インスタンスへの攻撃で知られる、TeamTNT などのグループとの重複があることを明らかにした。この、kiss.a-dog[.]top というドメインに由来する侵入は、2022年9月に発見されており、Base64 エンコードされた Python コマンドを用いて、侵入したコンテナでシェル・スクリプト・ペイロードを起動するものである。

Continue reading “Docker/Kubernetes の脆弱なインスタンスを狙う:Kiss-a-dog クリプトジャッキング”

BestBuy という名のダークウェブ運営者が逮捕:米政府の機密データなどを販売

Notorious ‘BestBuy’ hacker arraigned for running dark web market

2022/10/26 BleepingComputer — 今は亡きダークウェブ・マーケットプレイス The Real Deal を運営していた疑いで、この水曜日に、英国のハッカーが米国司法省に喚問された。Daniel Kaye 被告 34歳 (別名:Bestbuy/Spdrman/Popopret/UserL0ser) は、The Real Deal が立ち上げられた 2015年初頭から、閉鎖された 2016年11月までの間に、違法なサービス市場を運営したとされる。

Continue reading “BestBuy という名のダークウェブ運営者が逮捕:米政府の機密データなどを販売”

GitHub に潜む偽 PoC エクスプロイト:騙されてマルウェアを配信される確率は 10.3%

Thousands of GitHub repositories deliver fake PoC exploits with malware

2022/10/23 BleepingComputer — Leiden Institute of Advanced Computer Science の研究者たちは、様々な脆弱性に対する偽の PoC エクスプロイトを提供する、GitHub 上の数千のリポジトリを発見した。それらのリポジトリには、マルウェアも含まれていたという。GitHub は最大のコード・ホスティング・プラットフォームの1つである。そして、研究者たちが GitHub を用いて PoC エクスプロイトを公開し、セキュリティ・コミュニティが脆弱性の修正を検証することで、脆弱性の影響と範囲を判断できるようにしている。

Continue reading “GitHub に潜む偽 PoC エクスプロイト:騙されてマルウェアを配信される確率は 10.3%”

Emotet の新たなマルスパム・キャンペーン:CoinMiner と Quasar RAT のドロップが始まった

Emotet Botnet Distributing Self-Unlocking Password-Protected RAR Files to Drop Malware

2022/10/21 TheHackerNews — Emotet ボットネットの新しいマルスパム・キャンペーンは、パスワードで保護されたアーカイブ・ファイルを利用して、感染させたシステムに CoinMiner と Quasar RAT をドロップするものだ。Trustwave SpiderLabs の研究者たちが検出した攻撃チェーンの手口では、請求書を装う ZIP ファイルのルアーに、ネストした自己解凍 (SFX) アーカイブが含まれており、最初のアーカイブを媒介として機能させ、2番目のアーカイブを起動することが判明している。

Continue reading “Emotet の新たなマルスパム・キャンペーン:CoinMiner と Quasar RAT のドロップが始まった”

Black Basta ランサムウェアの新戦術:Qakbot 経由でネットワークに侵入して Brute Ratel C4 を展開

Black Basta Ransomware Hackers Infiltrate Networks via Qakbot to Deploy Brute Ratel C4

2022/10/17 TheHackerNews — Black Basta ランサムウェア・ファミリーの背後にいる脅威アクターは、 Qakbotトロイの木馬を用いる最近の攻撃において、第2段階のペイロードとして Brute Ratel C4フレームワークを展開していることが確認された。Trend Micro は、先週に発表した技術分析で、最新の敵対的シミュレーション・ソフトウェア Brute Ratel C4 が、Qakbot 感染を通じて配信される初めてのケースだと述べている。この侵入は、兵器化された ZIP アーカイブ・リンクを含むフィッシング・メールを介して達成され、横方向への移動には Cobalt Strike が使用されている。

Continue reading “Black Basta ランサムウェアの新戦術:Qakbot 経由でネットワークに侵入して Brute Ratel C4 を展開”