RAT – IoT OT Security News

CloudWizard という APT フレームワーク：CommonMagic マルウェアと多数の共通点

CommonMagic Malware Implants Linked to New CloudWizard Framework

2023/05/19 InfoSecurity — CommonMagic マルウェア・インプラントは、ロシアーウクライナ紛争に関連する未知の APT キャンペーンで採用されており、新しいモジュラー・フレームワークを用いるものだ。そして、関連が疑われる CloudWizard という名のフレームワークが、Kaspersky のセキュリティ研究者により発見され、今日のアドバイザリで説明されている。

npm で発見された悪意のライブラリ：正規パッケージを装う TurkoRat マルウェア

Once Again, Malware Discovered Hidden in npm

2023/05/19 DarkReading — 人気の npm JavaScript ライブラリ／レジストリに存在する、“nodejs-encrypt-agent” という名前の２つのコード・パッケージに、オープンソースの情報窃盗型マルウェア TurkoRat を含まれていることが判明した。このマルウェアが仕込まれたパッケージを発見した、ReversingLabs の研究者たちによると、2,000 万回以上ダウンロードされている別の正規のパッケージ (agent-base version 6.0.2) への偽装を、背後にいる攻撃者は試みていたという。

中国 – 台湾の緊張関係とサイバー戦争：PlugX マルウェアを仕込んだフィッシング攻撃が激化

Cyber Warfare Escalates Amid China-Taiwan Tensions

2023/05/18 InfoSecurity — 中国と台湾の間で緊張が高まるにつれて、台湾へのサイバー攻撃が大幅に増加していることが、Trellix のセキュリティ専門家たちの新しいレポートで明らかになった。特に台湾の産業界を狙うサイバー攻撃が急増しており、その主な目的は、マルウェアの配布と機密情報の窃取であると、同社は指摘している。

Microsoft VSCode に悪意のエクステンション：パスワード窃取やリモートシェル確立などが目的

Malicious Microsoft VSCode extensions steal passwords, open remote shells

2023/05/17 BleepingComputer — Microsoft の VSCode Marketplace を標的とするサイバー犯罪者たちが、３種類の悪意の Visual Studio エクステンションをアップロードし、Windows 開発者たちが 46,600回もダウンロードしていることが判明した。Check Point のアナリストたちが、それらの悪意のエクステンションを発見し、Microsoft に報告した内容は、これらのマルウェアを操る脅威アクターたちは、認証情報／システム情報を盗み出し、被害者のマシン上に=にリモート・シェルを確立しているというものだ。

Azure VM を乗っ取る UNC3944：SIM Swapping と Serial Console 悪用を組み合わせた攻撃

Threat Group UNC3944 Abusing Azure Serial Console for Total VM Takeover

2023/05/17 TheHackerNews — 仮想マシン (VM) 上の Microsoft Azure Serial Console を悪用する脅威アクターが、侵害した環境内にサードパーティ製のリモート管理ツールをインストールしている。Google 傘下の Mandiant は、この金銭的な動機に基づく活動は、UNC3944 (Roasted 0ktapus／Scattered Spider) という名前で追跡している脅威グループによるものだと分析している。

Cobalt Strike の Golang 亜種が登場：Apple macOS を狙う中国の APT とは？

Hackers Using Golang Variant of Cobalt Strike to Target Apple macOS Systems

2023/05/16 TheHackerNews — Golang で実装された Geacon という名の Cobalt Strike 亜種が、Apple macOS システムをターゲットとする脅威アクターたちの注目を集める可能性があるという。VirusTotal に掲載される Geacon ペイロードの数が、この数カ月で増加していることを確認した SentinelOne が調査結果を発表した。セキュリティ研究者である Phil Stokes と Dinesh Devadoss はレポートの中で、「これらのペーロードには、レッドチーム・オペレーションで使用されたものもあると思われるが、本物の悪意あ攻撃の特徴を持つものもある」と述べている。

Apple App Store の 2022年の戦い：ブロックした悪質なアプリは 170万件！

Apple blocked 1.7 million apps for privacy, security issues in 2022

2023/05/16 BleepingComputer — Apple App Store チームは 2022年に、プライバシー／セキュリティ／コンテンツ・ポリシーに違反した約170万件のアプリをブロックし、不正の可能性があるとタグ付けされた $2 billion 以上の取引を阻止した。また、アカウント詐欺を撃退するための、不正行為に対する継続的な取り組みの一環として、顧客アカウント 2億8200万件の無効化、および、1億500万件のデベロッパー・アカウント作成のブロック、42万8000件のデベロッパー・アカウントの停止を実施した。

TP-Link ルーター群に危機：中国の APT グループ Camaro Dragon による侵害が始まっている

Camaro Dragon APT Group Exploits TP-Link Routers With Custom Implant

2023/05/16 InfoSecurity — Camaro Dragon という名の、中国に支援される APT グループが、悪意のファームウェアのインプラントを介して、TP-Link ルーター群を悪用していることが確認された。この発見は、Check Point Research (CPR) のセキュリティ専門家によるものであり、今日の未明に同社が発表したアドバイザリに、その内奥が記載されている。

MerDoor という高スティルス性のマルウェア：５年前からのバックドア展開を確認 – Symantec

Stealthy MerDoor malware uncovered after five years of attacks

2023/05/15 BleepingComputer — 南アシア／東南アジアの政府機関／航空機関／通信機関を標的に、Lancefly という新たな APT ハッキング・グループが、カスタム Merdoor バックドア・マルウェアを展開している。今日の Symantec Threat Labs の発表で明らかにされたのは、Lancefly が2018年以降において、スティルス性の高い標的型攻撃で Merdoor バックドアを展開し、企業ネットワーク上での永続性の確立／コマンドの実行／キーロギングを行ってきたことだ。

Linux の BPFDoor マルウェアの高スティルス亜種：Berkley Packet Filter を巧妙に悪用

Stealthier version of Linux BPFDoor malware spotted in the wild

2023/05/11 BleepingComputer — Linux マルウェアである BPFDoor で、高ステルス性の新たな亜種が発見された。このマルウェアの特徴は、より強固な暗号化とリバース・シェル通信を備えている点にある。BPFDoor はステルス性の高いバックドア・マルウェアであり、遅くとも 2017年から活動していたと見られているが、セキュリティ研究者により発見されたのは、１年ほど前のことである。このマルウェアの名前は、Berkley Packet Filter (BPF) を悪用して、受信トラフィックのファイアウォール制限を回避することに由来している。BPFDoor は、侵入した Linux システム上で、脅威アクターが長時間の持続性を維持し、長期間にわたって検出を回避するように設計されている。

Windows のフェイク・アップデートが登場：Aurora 情報スティーラーをプッシュしている

Fake in-browser Windows updates push Aurora info-stealer malware

2023/05/10 BleepingComputer — 先日に発見された不正広告キャンペーンは、ブラウザ内の Windows アップデート・シミュレーションでユーザーを騙し、情報窃取マルウェア Aurora を配信するものだ。Golang で書かれた Aurora は、広範な機能を持ち、アンチウイルス検出率が低い情報シティーラーとして、１年以上も前から各種ハッカー・フォーラムで公開されている。Malwarebytes の研究者たちによると、このマルバーター作戦は、トラフィックの多いアダルト・コンテンツの Web サイト上のポップ・アンダー広告を用いて、そこを訪れた潜在的な被害者を、マルウェア提供場所へとリダイレクトさせるものだという。

Snake はロシア FSB 由来：米政府が無効化した最強のスパイツールとは？

U.S. Government Neutralizes Russia’s Most Sophisticated Snake Cyber Espionage Tool

2023/05/10 TheHackerNews — ロシア連邦の FSB (Federal Security Service) が保有する、高度なマルウェア Snakeが侵害したグローバル・ネットワークを、裁判所の許可を得た米国政府が、5月12日に停止したことが発表された。最も洗練されたサイバー・スパイ・ツールとされる Snake の背後には、Turla (別名 Iron Hunter／Secret Blizzard／SUMMIT／Uroburos／Venomous Bear／Waterbug) と呼ばれるロシアの国家支援グループがいるとされるが、その正体について米国政府は、FSB の Center 16 のユニットであると見ている。

AndoryuBot という新たなボットネット：Ruckus Wireless の脆弱性を突いて増殖している

New Botnet Campaign Exploits Ruckus Wireless Flaw

2023/05/09 InfoSecurity — Linux ベースの Ruckus AP (access point) に存在する深刻な脆弱性が、リモート攻撃を仕掛ける脅威アクターにより制御を奪われる可能性があることが判明した。Fortinet の最新アドバイザリによると、2023年2月に発見された脆弱性 CVE-2023-25717 が、AndoryuBot という新たなボットネットに悪用されているという。

Kimsuky APT は北朝鮮由来：ReconShark という偵察ツールで標的を狙い続ける

N. Korean Kimsuky Hackers Using New Recon Tool ReconShark in Latest Cyberattacks

2023/05/05 TheHackerNews — Kimsuky という名の、北朝鮮の国家に支援される脅威アクターは、進行中のグローバル・キャンペーンの一環として、ReconShark という新たな偵察ツールを使用していることが判明した。 SentinelOne の研究者である Tom Hegel と Aleksandar Milenkoski は、「ReconShark は、スピアフィッシング・メールおよび、文書のダウンロードにつながる OneDrive リンク、そして、悪意のマクロの実行を介して、標的とする個人に対して配信されている」と述べている。

HTML 内に仕込まれたマルウェアの進化：セキュリティ・スキャンを難しくする手口とは

Barracuda Networks Reports Shift in HTML Malware Tactics

2023/05/05 SecurityBoulevard — Barracuda Networks が発表したレポートによると、HTML ファイル内にマルウェアを埋め込むバー犯罪者が、外部サイトへのリンクを介して悪意のペイロードを配信するケースが増えているようだ。このようなアプローチの変化により、一部のセキュリティ・スキャナでは、メールに埋め込まれたマルウェアを検出することが難しくなっている。

BlackBerry 脅威レポート：１位米国／２位ブラジル／３位日本という攻撃頻度が判明

BlackBerry Report Surfaces Increasing Rate of Cyberattacks

2023/05/05 SecurityBoulevard — BlackBerry が発表した脅威インテリジェンス・レポートによると、同社のサイバー・セキュリティ・ソフトウェア／サービスを利用している組織に対して、2022年12月〜2023年2月には１分あたり12件のサイバー攻撃が行われ、そのうち 1.5件は新しいマルウェア・サンプルに基づく攻撃であることが判明した。BlackBerry のレポートでは、これらの攻撃が行われているロケーションの変化についても指摘されている。１位の米国に次いで、２位はブラジル、３位は日本、４位はカナダとなり、シンガポールが初めて Top-10 にランクインしたとのことだ。

Fleckpe というトロイの木馬：Google Playから 60万回ダウンロードされている

Subscription Trojan Downloaded 600K Times From Google Play

2023/05/05 InfoSecurity — セキュリティ研究者たちが発見した新しいトロイの木馬型マルウェアは、Google Play から提供される 11種類の Android アプリ内に潜み、620,000 台以上のデバイスにインストールされているというものだ。Kaspersky により Fleckpe と命名された、このマルウェアは Jocker および Harly 系統に類似しており、2022年から活動を開始している。このマルウェアは、被害者を密かにプレミアム・サービスに加入させ、ユーザーが気づかない間にオペレーターに収益をもたらすように設計されている。

FluHorse は新たな Android マルウェア：検出を巧みに回避して認証情報などを窃取

New Android Malware ‘FluHorse’ Targeting East Asian Markets with Deceptive Tactics

2023/05/05 TheHackerNews — Flutter ソフトウェア開発フレームワークを悪用した、FluHorse という名の新たな Android マルウェア系統を配布する、電子メール・フィッシング・キャンペーンが、東アジア・マーケットの様々な分野で展開されていることが判明した。Check Point のテクニカル・レポートには、「このマルウェアは、正規のアプリケーションを模倣した、複数の悪意の Android アプリケーションに仕込まれ、その大半が 100万回以上もインストールされている。これらの悪意のあるアプリは、被害者の認証情報と二要素認証 (2FA) コードを盗み出す」と記されている。

Facebook を攻撃する NodeStealer は情報窃取マルウェア：セッション・クッキー侵害の容易さを証明

Facebook disrupts new NodeStealer information-stealing malware

2023/05/03 BleepingComputer — Facebook が発見したのは、新たな情報スティーラー・マルウェア NodeStealer であり、ブラウザ・クッキーを盗み出した脅威アクターに対して、Meta／Gmail／Outlook アカウントの乗っ取りを許すものである。有効なユーザー・セッション・トークンを含むクッキーのキャプチャは、サイバー犯罪者の間で人気が高まっている戦術であり、二要素認証による保護をバイパスしながら認証情報を盗み出し、ターゲットとの対話を必要とすること無く、アカウントの乗っ取りへと至るものだ。

Earth Longzhi という中国ハッカー・グループ：DLL 悪用マルウェアでアジアを狙う

Chinese Hacker Group Earth Longzhi Resurfaces with Advanced Malware Tactics

2023/05/03 TheHackerNews — 中国の国家支援ハッカー集団が再登場し、台湾／タイ／フィリピン／フィジーなどの、政府／医療／テクノロジー／製造業を標的とする、新たなキャンペーンを展開している。この Earth Longzhi グループは、APT41 (別名 HOODOO／Winnti) のサブグループであり、半年以上も活動を停止していたが、Earth Baku／SparklingGoblin／GroupCC などのクラスターと重複した動きを見せている。Earth Longzhi は、2022年11月にサイバー・セキュリティ企業により検出され、東アジア／東南アジア／ウクライナなどの組織への攻撃が分析されている。

ChatGPT の偽デスクトップ・アプリ：Chrome のログイン・データを盗み出すマルウェアだ – Trend Micro

Fake ChatGPT desktop client steals Chrome login data

2023/05/02 HelpNetSecurity — ChatGPT Windows デスクトップ・クライアントを模倣したマルウェアにより、Google Chrome のログインデータ・フォルダに保存された認証情報をコピーしていく情報窃盗犯について、研究者たちが警告を発している。ChatGPT は公式のデスクトップ・クライアントをリリースしていないが、この偽バージョンは、ユーザーが期待するものを作り込んでいるという。

ScarCruft という北朝鮮の APT：感染チェーンに大容量 LNK ファイルを使用 – Check Point

North Korea-linked ScarCruft APT uses large LNK files in infection chains

2023/05/02 SecurityAffairs — 北朝鮮に関連する ScarCruft APT グループ (別名：APT37／Reaper／Group123) による、2022年以降の攻撃に関するレポートが、Check Point の研究者たちにより公開され。このレポートによると、観測された感染チェーンでは、マルウェアの配信手段が、悪意のドキュメントから、悪意のペイロードを埋め込んだ大容量の LNK ファイルに変わったとのことだ。

hVNC は高スティルス性のマルウェア：ロシアの犯罪グループ Lobshot が API を介して悪用

New ‘Lobshot’ hVNC Malware Used by Russian Cybercriminals

2023/05/01 SecurityWeek — ロシアのサイバー犯罪グループ TA505 が、最近の攻撃で新たな hVNC (Hidden Virtual Network Computing) マルウェアを使用していると、脅威情報会社 Elastic が報告している。この、Lobshot と呼ばれるマルウェアは、不正検知エンジンを回避し、感染させたマシンに対して、攻撃者によるステルス・アクセスを可能にする。その攻撃は、Google 広告や偽サイトのネットワークを悪用して、ユーザーを騙すところから始まる。そして、バックドアを含む正規のインストーラをダウンロードさせる、マルバタイジングにより配布されていく。

人工衛星の乗っ取りを実演：Thales が証明した制御方法とは？

White hat hackers showed how to take over a European Space Agency satellite

2023/04/30 SecurityAffairs — 宇宙産業のサイバー・セキュリティに特化した、欧州のイベントである CYSAT の第３回目が開催された。同イベントで ESA (European Space Agency) は、衛星のテスト・ベンチを設置し、ホワイトハット・ハッカーを招き、デモンストレーション目的で運用している超小型衛星 OPS-SAT を制御する試みを行った。そこで、Thales の Offensive Cybersecurity Team は、世界初の倫理的衛星ハッキング演習とされる、ESA 衛星の制御方法を実演した。

ViperSoftX 情報スティーラー：KeePass／1Password も標的にする最凶のマルウェアとは？

ViperSoftX info-stealing malware now targets password managers

2023/04/28 BleepingComputer — 情報窃取型マルウェア ViperSoftX の新バージョンが発見され、パスワード・マネージャーである KeePass や 1Password などに狙いを定めるという、より幅広いターゲットにアプローチしていることが判明した。Trend Micro の研究者たちからの報告によると、ViperSoftX は以前よりも多数の暗号通貨ウォレットをターゲットにして、Chrome 以外のブラウザにも感染が可能となり、さらには、パスワード・マネージャーもターゲットにし始めているようだ。さらに言うなら、この情報窃取型マルウェアの最新バージョンは、コード暗号化を強化し、セキュリティ・ソフトウェアによる検出を回避する機能を備えている。

Minecraft クローンに御用心：Google Play から 3500万ダウンロードされたアドウェア – McAfee

Minecraft Clones with 35 Million Installs Contained Adware

2023/04/28 InfoSecurity — Google Play からダウンロードした Minecraft 風のモバイル・ゲーム数十本に、秘密のアドウェアが含まれていたことが McAfee の調べで明らかになった。McAfee によると、Block Box Master Diamond／Craft Monster Crazy Sword／Craft Rainbow Mini Builder といったタイトルのゲーム計 38本が発見され、世界中で少なくとも 3500万人のユーザーがインストールしたことを明らかにした。McAfee が検出した問題のアドウェア Android/HiddenAds.BJL とは、ユーザーに知られることなく収益を得るために、バックグラウンドで広告をロードするものだ。

Google Play の 2022年の戦い：ブロックした悪質なアプリは 140万件！

Google Blocked 1.4 Million Bad Apps From Google Play in 2022

2023/04/28 SecurityWeek — Google Play におけるセキュリティ機能の強化により、悪質なアプリケーションの公開が、2022年には 140万件以上もブロックされたとのことだ。強化されたポリシーに加えて、機械学習とアプリ審査プロセスの改善を組み合わせたことで、Google Play のポリシーに違反する悪質なアプリを、自動的にブロックすることができたと、同社は述べている。さらに、Android の保護とポリシーの強化に加えて、開発者への教育が進んだことで、これまでの３年間で 50万件以上のアプリにおいて、不必要な機密権限へのアクセスが遮断されたと Google は付け加えている。

PaperCut MF／NG の脆弱性 CVE-2023-27350：Cl0p ランサムウェアが悪用 – Microsoft 報告

Microsoft: Cl0p Ransomware Exploited PaperCut Vulnerabilities Since April 13

2023/04/27 SecurityWeek — Microsoft の発表によると、FIN11 および TA505 と提携している Cl0p ランサムウェアのオペレーターが、パッチが適用されたばかりの PaperCut の脆弱性を、4月13日から悪用し始めたようだ。問題の脆弱性は、PaperCut MF／NG プリント管理システムに影響を与えるものだ。この脆弱性 CVE-2023-27350 (CVSS：9.8) の悪用に成功した攻撃者は、認証をバイパスしてシステム権限でリモート・コード実行 (RCE) を行うことが可能になる。この脆弱性は、2023年3月にリリースされたバージョン 20.1.7／21.2.11／22.0.9 で修正されているが、それと同時に、PaperCut MF／NG の情報漏えいの脆弱性 CVE-2023-27351 に対応されている。

CryptBot 配布者を Google が訴訟：サイバー犯罪エコシステムに責任を求める

Google Gets Court Order to Take Down CryptBot That Infected Over 670,000 Computers

2023/04/27 TheHackerNews — 4月26日 (水) に Google は、CryptBot と呼ばれる Windows ベースの情報窃取型マルウェアの配信を阻止し、その増殖を減速させるために、米国の裁判所から仮の命令を取得したことを発表した。この取り組みは、マルウェアの犯罪オペレーターだけでなく、その配布により利益を得る者に対して責任を追求する措置でもあると、Google の Mike Trinh と Pierre-Marc Bureau は述べている。

Veeam Backup & Replication の脆弱性：ロシアの FIN7 サイバー犯罪組織が狙っている – WithSecure

FIN7 Hackers Caught Exploiting Recent Veeam Vulnerability

2023/04/26 SecurityWeek — ロシアのサイバー犯罪グループ FIN7 だが、パッチ未適用の Veeam Backup & Replication インスタンスを、最近の攻撃で悪用していることが確認されたと、サイバーセキュリティ企業 WithSecure が報告している。2015年頃から存在し、Anunak／Carbanak とも呼ばれる FIN7 は、主にクレジット・カード情報の窃盗にフォーカスする金銭的動機のあるグループだ。セキュリティ研究者たちは、多数のサブグループが、FIN7 傘下で活動していると考えている。これまでの数年間において、FIN7 の活動と重なる脅威アクターたちの中には、REVIL／DarkSide／BlackMatter／Alphv／Black Basta といったランサムウェアへ移行していった者も見られるという。

Tencent QQ ユーザーをハッキング：中国 APT の Evasive Panda が関与 – ESET

Tencent QQ users hacked in mysterious malware attack, says ESET

2023/04/26 BleepingComputer — Tencent QQ メッセージング・アプリの自動アップデートの一部として、マルウェア MsgBot を配布するという謎の攻撃に、Evasive Panda と呼ばれる中国の APT ハッキング・グループが関与していることが判明した。Evasive Panda とは、2012年頃から活動しているサイバースパイ・グループであり、これまでに中国本土／香港／マカオ／ナイジェリア／東南アジア／東アジアなどの国々で、さまざまな組織や個人を標的としてきた。

ロシア国家支援の APT グループ Tomiris／Turla の関連性を掘り下げる – Kaspersky

Kaspersky Analyzes Links Between Russian State-Sponsored APTs

2023/04/25 SecurityWeek — ロシアと連携する ATP (Advanced Persistent Threat) 脅威アクター Tomiris と Turla の両者は、最小限レベルで協調しているようだ。この情報は、ロシアのサイバー・セキュリティ企業 Kaspersky からのものだ。Snake／Venomous Bear／Krypton／Waterbug としても追跡される Turla は、2006 年から ComRAT マルウェアに関与し、ロシア政府との関係があると考えられている。その一方で Tomiris は、比較的に新しいハッキング・グループであり、2021年に詳細が発表され、現在も活動を続けている。同グループは、主に CIS (Commonwealth of Independent States) 諸国の政府や外交機関をターゲットに、情報収集のために活動している。

DNS クエリ 700億を調査：Decoy Dog というマルウェア・ツールキットを発見 – Infoblox

Decoy Dog malware toolkit found after analyzing 70 billion DNS queries

2024/04/23 BleepingComputer — 通常のインターネット・アクティビティとは言えない、異常な DNS トラフィックを検査した結果として、企業を標的とする新たなマルウェア・ツールキット Decoy Dog が発見された。この Decoy Dog は、戦略的なドメイン・エイジングと DNS クエリ・ドリブルにより標準的な検出方法を回避し、セキュリティ・ベンダーから良い評判を得た後に、サイバー犯罪のオペレーションを促進することを目的としている。2023年4月上旬に Infoblox の研究者たちは、異常または疑わしいアクティビティの兆候を探すために、毎日 700億以上のDNSレコードを分析した結果として、このツールキットを発見した。

BumbleBee マルウェア：Google 広告や SEO ポイズニングを介して配布 – Secureworks

Google ads push BumbleBee malware used by ransomware gangs

2023/04/22 BleepingComputer — エンタープライズをターゲットにしたマルウェア Bumblebee が、Zoom／Cisco AnyConnect／ChatGPT／Citrix Workspace などの人気ソフトウェアを宣伝する Google 広告や、SEO ポイズニングを介して配布されている。Bumblebee は 2022年4月に発見されたマルウェア・ローダーであり、ネットワークへのイニシャル・アクセスやランサムウェア攻撃に使用される、バックドア BazarLoader の代替として、Conti チームが開発したものだと考えられている。

AuKill マルウェア：悪意のドライバーで EDR を無力化してから攻撃を開始

‘AuKill’ Malware Hunts & Kills EDR Processes

2023/04/21 DarkReading — 標的とする企業の EDR (Endpoint Detection and Response) 防御を無効化するために、脅威アクターがランサムウェアを展開する前に用いる、AuKill というサイバー犯罪ツールが登場した。このツールは、悪意のデバイス・ドライバーを利用して、標的システムへと侵入するものだ。最近の２つのインシデントでは、ランサムウェア Medusa Locker を展開する前に AuKill を使用している敵対者を、Sophos が観察している。同社は、別のインシデントにおいて、ランサムウェア LockBit のインストール前に、すでに侵害したシステムで、この EDR キラーを使用しする攻撃者を発見している。

WordPress プラグイン Eval PHP：スティルス・バックドアに悪用されている

Attackers use abandoned WordPress plugin to backdoor websites

2023/04/20 BleepingComputer −−− WordPress の正規プラグインである、Eval PHP を悪用する脅威アクターたちはステルス・バックドアを注入することで、Web サイトを侵害している。Eval PHP プラグインとは、サイト管理者が WordPress サイトのページや投稿に PHP コードを埋め込み、ブラウザでページを開いたときにコードを実行できるようにするものだ。このプラグインは、過去 10年間更新されておらず、アバンダンウェアと見なされている。しかし、今も WordPress のプラグイン・リポジトリで入手可能となっている。

ロシアからのフィッシング攻撃：約６割がウクライナに集中 – Google TAG 調査

Google: Ukraine targeted by 60% of Russian phishing attacks in 2023

2023/04/20 BleepingComputer — Google Threat Analysis Group (TAG) は、ウクライナの主要インフラを標的として 2023年に発生している、ロシアによる国家支援のサイバー攻撃を監視／妨害している。Google の報告によると、2023年1月〜3月におけるロシア発のフィッシング攻撃の約 60% は、ウクライナを狙ったものであり、最も顕著なターゲットとなっているようだ。これらのキャンペーンの大半は、情報収集とオペレーターの混乱を狙ったものだが、ウクライナに情報損害を及ぼすことに特化した、Telegram チャネルを介した機密データ流出なども含まれるという。

SimpleHelp というリモート・サポート製品を悪用：イランの MuddyWater の戦術を暴露

MuddyWater Uses SimpleHelp to Target Critical Infrastructure Firms

2023/04/18 InfoSecurity — MuddyWater という、イラン政府に支援される脅威アクターは、被害者のデバイス上で永続性を確立するために、正規の SimpleHelp リモート・サポート・ソフトウェア・ツールを使用していることが確認されている。Group-IB の新たなアドバイザリによると、これらの攻撃の一部として使用されるソフトウェアは、脆弱化されたものではない。その代わりに、この脅威アクターは、公式 Web サイトからツールをダウンロードし、攻撃に使用する方法を発見したようだ。

RedLine の GitHub リポジトリをテイクダウン：C2 サーバの管理画面を破壊した！

Takedown of GitHub Repositories Disrupts RedLine Malware Operations

2023/04/18 SecurityWeek — 2020年の初頭からは活動していたと思われる、コモディティ・マルウェアの一種である RedLine stealer は、.NET で書かれており、幅広いデータ流出能力を搭載している。このマルウェアがターゲットにするのは、システム情報および、クッキーなどのブラウザ・データ、各種アプリ／サービスのログイン認証情報、クレジットカード情報、暗号ウォレットなどである。

Aurora マルウェアを YouTube 動画で配布：in2al5d p3in4er という高度な検出回避ローダーとは？

YouTube Videos Distributing Aurora Stealer Malware via Highly Evasive Loader

2023/04/18 TheHackerNews — サイバー・セキュリティ企業の Morphisec が The Hacker News に共有したのは、情報スティーラー型マルウェア Aurora の配信に使用される in2al5d p3in4er (invalid printer) という、きわめて検出回避能力の高いローダーの内部構造に関するレポートだ。このレポートで、サイバー・セキュリティ研究者たちは、「in2al5d p3in4er ローダーは、Embarcadero RAD Studio でコンパイルされ、高度なアンチ VM (仮想マシン) 技術を使って、エンドポイント・ワークステーションを標的にしている」と説明している。

Conti 元メンバーと FIN7 開発者の共闘：新たな Domino マルウェアを配布している

Ex-Conti members and FIN7 devs team up to push new Domino malware

2023/04/17 BleepingComputer — Conti ランサムウェアの元メンバーが、FIN7 脅威アクターと手を組み、企業ネットワークへの攻撃において、Domino という新たなマルウェア・ファミリーを配布しているようだ。Domino は、２つのコンポーネントから構成される、比較的に新しいマルウェア・ファミリーである。最初に、Domino Backdoor という名前のバックドアをドロップし、そのバックドアが Domino Loader をドロップすることで、情報を窃取する DLL マルウェアが、他のプロセスやメモリに注入されていく。

Google レッドチーム・ツールの悪用：中国の APT41 による攻撃で発見される

Hackers abuse Google Command and Control red team tool in attacks

2023/04/17 BleepingComputer — 台湾のメディアとイタリアの就職支援会社に対するデータ窃取攻撃において、中国の国家支援ハッキング・グループ APT41 が、レッドチーム・ツール GC2 (Google Command and Control) を悪用していたことが判明した。APT41 は HOODOO とも呼ばれ、米国／欧州／アジアにおける広範な業界をターゲットにすることで知られる、中国政府に支援されたハッキング・グループである。2014年から Mandiant は、このハッキング・グループを追跡しており、その活動は BARIUM や Winnti といった、その他の中国のハッキング・グループと重複すると述べている。

Qbot バンキング・トロイの木馬：PDF アーカイブ内の JScript スクリプトで PowerShell を起動

Qbot Banking Trojan Increasingly Delivered Via Business Emails

2023/04/17 InfoSecurity — 偽のビジネス・メールを用いる悪質なキャンペーンにより、QBot (Qakbot) ファミリーのバンキング型トロイの木馬を拡散するというトレンドが確認されている。Kaspersky のセキュリティ研究者たちにより発見された、この悪質なスパム・キャンペーンは、英語／ドイツ語／イタリア語／フランス語などの各言語で書かれたメッセージを使用している。今日のアドバイザリで、同社は、「このメッセージは、攻撃者が入手した実際のビジネスレターに基づいており、彼らのメッセージが通信スレッドに入り込んでいた」と述べている。

Goldoson という新しい Android マルウェア：Google Play 上のアプリ 60件に侵入

Android malware infiltrates 60 Google Play apps with 100M installs

2023/04/15 BleepingComputer — Goldoson と命名された新しい Android マルウェアが、合計で１億本もダウンロードされている、60 件の正規アプリを介して Google Play に侵入した。これらのアプリの開発者たちは、サードパーティ・ライブラリの一部として、この悪意のマルウェア・コンポーネントを無意識のうちにアプリに組み込んでいたという。

Action1 RMM ソフトウェアの悪用：ランサムウェアの永続性を確保している

Hackers start abusing Action1 RMM in ransomware attacks

2023/04/15 BleepingComputer — セキュリティ研究者たちは、サイバー犯罪者が侵害したネットワーク上で、コマンド／スクリプト／バイナリなどを永続的に実行するために、リモート・アクセス・ソフトウェアである Action1 を使用するケースが増えていると警告している。Action1 は RMM (Remote Monitoring and Management) 製品であり、ネットワーク上のエンドポイントをリモートで管理するために、MSP (Managed Service Providers) や企業で使用されている。

Vice Society ランサムウェア：新しいデータ窃盗ツールに PowerShell を導入

Vice Society ransomware uses new PowerShell data theft tool in attacks

2023/04/14 BleepingComputer — ランサムウェア・グループの Vice Society は、侵害したネットワークからのデータ盗難を自動化するために、かなり高度な PowerShell スクリプトを導入し始めた。企業や顧客のデータを盗むことは、ランサムウェア攻撃における常套手段である。そして、盗み出したデータにより、被害者への恐喝や、他のサイバー犯罪者への転売を行い、莫大な利益を得ていく。

3CX VoIP サプライチェーン攻撃：北朝鮮 Lazarus が脆弱性 CVE-2023-29059 を悪用

North Korean Hackers Uncovered as Mastermind in 3CX Supply Chain Attack

2023/04/12 TheHackerNews — 企業向け通信サービス・プロバイダーである 3CX は、同社の Windows／macOS 向けデスクトップアプリを標的としたサプライチェーン攻撃が、北朝鮮に関連のある脅威アクターによるものだと発表した。この調査結果は、先月末に侵入が明るみに出た後に、Google 傘下の Mandiant が実施した中間評価の結果によるものだ。脅威情報およびインシデント対応チームは、UNC4736 という未分類の呼称で、この活動を追跡しているという。

PyPI に reverse-shell という悪意のパッケージ：あからさまな名前を用いる理由は？

‘Blatantly Obvious’: Spyware Offered to Cyberattackers via PyPI Python Repository

2023/04/12 DarkReading — 研究者たちは、プログラミング言語 Python のパブリック・リポジトリである PyPI (Python Package Index) で、大胆な方法で情報スティラーを公開しているマルウェア販売者を発見した。このプログラムは、“reverse-shell” という安直な名前が付けられており、Sonatype の研究者たちは、スペインを拠点とする Malware-as-a-Service (MaaS) グループの SylexSquad と関連づけている。リバースシェルとは、ハッカーが遠隔操作でコマンドを実行する際や、標的となるコンピュータからデータを受信するときに用いるプログラムを指す。

Emotet 攻撃が加速：Microsoft OneNote ファイルの不用意な操作は NG

Emotet Climbs March 2023’s Most Wanted Malware List With OneNote Campaign

2023/04/12 InfoSecurity — Emotet マルウェアは、悪意の OneNote ファイルを隠し持つスパムメール・キャンペーンにより、Check Point の Most Wanted Malware List ランキングを駆け上がっている。Emotet は、２月の３位から、３月の２位へと順位を上げている。このキャンペーンは、被害者を誘い、悪意の OneNote ファイルを開かせることで、マルウェアをインストールするものだ。

Facebook 上の ChatGPT／Google Bard 偽広告：RedLine スティラーを配布している

Attackers Hide RedLine Stealer Behind ChatGPT, Google Bard Facebook Ads

2023/04/12 DarkReading — サイバー犯罪者たちは、Facebook のビジネスページやコミュニティページを乗っ取り、ChatGPT や Google Bard などの正規のスポンサーを装い、AI チャットボットの無料ダウンロードを宣伝する広告を展開している。それらの広告に誘導されたユーザーは、AI チャットボットではなく、RedLine Stealer と呼ばれる有名な情報スティーラー・マルウェアをダウンロードしていることが、研究者たちの調査により判明した。RedLine Stealer とは、オンライン・ハッカー・フォーラムを通じて販売されている Malware-as-a-Service (MaaS) プラットフォームだ。Web ブラウザを標的にして、認証情報や支払いカードの詳細などの、様々なユーザー情報を収集する。さらに、次の攻撃にむけて攻撃対象領域を評価するために、システムのインベントリを取得する。