Scammer – Page 6 – IoT OT Security News

Google の Passkey：すべてのアカウントで安全なパスワードレス・サインインを実現

Google adds passkeys support for passwordless sign-in on all accounts

2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。

Apple と Google が連携：AirTags 悪用などによる不正追跡を排除するスタンダードとは？

Apple and Google Join Forces to Stop Unauthorized Tracking Alert System

2023/05/03 TheHackerNews — Apple と Google が連携して取り組み始めたのは、たとえば AirTags のようなデバイスが悪用され、ユーザーの知らないうちに追跡されている場合に警告し、安全上のリスクを取り除くための仕様のドラフトである。両社は共同声明で、「この業界初の仕様により、Bluetooth 位置追跡デバイスは、Android／iOS プラットフォームにおいて、不正な追跡の検出と警告の対象になる」と述べている。

ChatGPT の偽デスクトップ・アプリ：Chrome のログイン・データを盗み出すマルウェアだ – Trend Micro

Fake ChatGPT desktop client steals Chrome login data

2023/05/02 HelpNetSecurity — ChatGPT Windows デスクトップ・クライアントを模倣したマルウェアにより、Google Chrome のログインデータ・フォルダに保存された認証情報をコピーしていく情報窃盗犯について、研究者たちが警告を発している。ChatGPT は公式のデスクトップ・クライアントをリリースしていないが、この偽バージョンは、ユーザーが期待するものを作り込んでいるという。

hVNC は高スティルス性のマルウェア：ロシアの犯罪グループ Lobshot が API を介して悪用

New ‘Lobshot’ hVNC Malware Used by Russian Cybercriminals

2023/05/01 SecurityWeek — ロシアのサイバー犯罪グループ TA505 が、最近の攻撃で新たな hVNC (Hidden Virtual Network Computing) マルウェアを使用していると、脅威情報会社 Elastic が報告している。この、Lobshot と呼ばれるマルウェアは、不正検知エンジンを回避し、感染させたマシンに対して、攻撃者によるステルス・アクセスを可能にする。その攻撃は、Google 広告や偽サイトのネットワークを悪用して、ユーザーを騙すところから始まる。そして、バックドアを含む正規のインストーラをダウンロードさせる、マルバタイジングにより配布されていく。

T-Mobile でデータ侵害が発生：2023 年に入って二度目の深刻なインシデントを公表

T-Mobile discloses second data breach since the start of 2023

2023/05/01 BleepingComputer — 2023年2月下旬から1ヶ月以上にわたって、T-Mobile の数百人分の個人情報に、攻撃者がアクセスしていたことが判明し、同社は今年に入ってからの２度目のデータ漏洩を公表した。T-Mobile が過去に報告したデータ漏洩インシデント (最新のものは 3700万人に影響を与えた) と比較すると、今回は 836人の顧客が影響を受けただけだった。それでも、漏洩した情報の量はきわめて広範囲に及び、影響を受けた個人は、個人情報の盗難やフィッシング攻撃にさらされることになる。

Minecraft クローンに御用心：Google Play から 3500万ダウンロードされたアドウェア – McAfee

Minecraft Clones with 35 Million Installs Contained Adware

2023/04/28 InfoSecurity — Google Play からダウンロードした Minecraft 風のモバイル・ゲーム数十本に、秘密のアドウェアが含まれていたことが McAfee の調べで明らかになった。McAfee によると、Block Box Master Diamond／Craft Monster Crazy Sword／Craft Rainbow Mini Builder といったタイトルのゲーム計 38本が発見され、世界中で少なくとも 3500万人のユーザーがインストールしたことを明らかにした。McAfee が検出した問題のアドウェア Android/HiddenAds.BJL とは、ユーザーに知られることなく収益を得るために、バックグラウンドで広告をロードするものだ。

Google Play の 2022年の戦い：ブロックした悪質なアプリは 140万件！

Google Blocked 1.4 Million Bad Apps From Google Play in 2022

2023/04/28 SecurityWeek — Google Play におけるセキュリティ機能の強化により、悪質なアプリケーションの公開が、2022年には 140万件以上もブロックされたとのことだ。強化されたポリシーに加えて、機械学習とアプリ審査プロセスの改善を組み合わせたことで、Google Play のポリシーに違反する悪質なアプリを、自動的にブロックすることができたと、同社は述べている。さらに、Android の保護とポリシーの強化に加えて、開発者への教育が進んだことで、これまでの３年間で 50万件以上のアプリにおいて、不必要な機密権限へのアクセスが遮断されたと Google は付け加えている。

CryptBot 配布者を Google が訴訟：サイバー犯罪エコシステムに責任を求める

Google Gets Court Order to Take Down CryptBot That Infected Over 670,000 Computers

2023/04/27 TheHackerNews — 4月26日 (水) に Google は、CryptBot と呼ばれる Windows ベースの情報窃取型マルウェアの配信を阻止し、その増殖を減速させるために、米国の裁判所から仮の命令を取得したことを発表した。この取り組みは、マルウェアの犯罪オペレーターだけでなく、その配布により利益を得る者に対して責任を追求する措置でもあると、Google の Mike Trinh と Pierre-Marc Bureau は述べている。

フィッシングの 2022年を総括：AI ツールにより高度化／急増しているキャンペーン – Zscaler

AI tools help attackers develop sophisticated phishing campaigns

2023/04/25 HelpNetSecurity — Zscaler のレポートによると、フィッシング詐欺の手法が洗練され、検知やブロックが困難になっていることで、サイバー犯罪の脅威が増大しているとのことだ。このレポートでは、現代のフィッシング攻撃の大半が、盗まれた認証情報に依存していることも明らかにされている。さらに、最近トレンドとして、中間者攻撃 (AitM) や、InterPlanetary File System (IPFS) の利用増加、ブラックマーケットから調達したフィッシング・キット、ChatGPT などの AI ツールへの依存についても概説している。

Facebook で新たなフィッシング・キャンペーン：3200件の偽プロフィールを展開 – Group-IB

Scammers Impersonate Meta in Facebook Campaign With 3200 Profiles

2023/04/24 InfoSecurity — Facebook ユーザーを対象として、3,000以上の偽プロフィールを展開している脅威アクターが、新しいフィッシング・スキームを用いて、認証情報を盗み出そうとしていることが判明した。4月24日 (月) に発表したアドバイザリで、Group-IB DRP (Digital Risk Protection) の専門家たちは、「現時点において依然としてアクティブに活動している」と、このキャンペーンについて説明している。Group-IB の Sharef Hlal と Karam Chatra は、「2023年2月〜3月に、このキャンペーンを操るサイバー犯罪者が侵害／作成した、3,200以上の詐欺プロフィールを発見した」と述べている。

BumbleBee マルウェア：Google 広告や SEO ポイズニングを介して配布 – Secureworks

Google ads push BumbleBee malware used by ransomware gangs

2023/04/22 BleepingComputer — エンタープライズをターゲットにしたマルウェア Bumblebee が、Zoom／Cisco AnyConnect／ChatGPT／Citrix Workspace などの人気ソフトウェアを宣伝する Google 広告や、SEO ポイズニングを介して配布されている。Bumblebee は 2022年4月に発見されたマルウェア・ローダーであり、ネットワークへのイニシャル・アクセスやランサムウェア攻撃に使用される、バックドア BazarLoader の代替として、Conti チームが開発したものだと考えられている。

Evil Extractor という攻撃ツール：情報スティーラーでありランサムウェアも含む

Evil Extractor Targets Windows Devices to Steal Sensitive Data

2023/04/21 InfoSecurity — Kodex が “教育用“ として開発した、Evil Extractor という攻撃ツールが、Windows ベースのマシンを標的とした攻撃に悪用されている。2023年4月10日 (木) に公開されたアドバイザリで、「このマルウェアは、3月30日に観測されたフィッシング・キャンペーンで見つかったものであり、アドバイザリに含まれるサンプルまで辿り着いた。このキャンペーンは、正規の Adobe PDF や Dropbox ファイルなどを装うものであり、ロードすると PowerShell を活用した悪意の活動を開始する」と、Fortinet のセキュリティ研究者たちは主張している。

ChatGPT に関連する悪意の URL：不正占拠ドメインが 17,818% 増加

2023/04/20 InfoSecurity — ChatGPT に関連する、新規登録ドメインとスクワッティング・ドメインの数が、2022年11月〜2023年4月初旬の間に、910%／月のペースで増加したとのことだ。この調査結果は、今日の未明に Palo Alto Networks の Unit 42 が共有したものだが、同じ期間において、DNS Security のログを見ると、ChatGPT に関連する不正占拠ドメインが 17,818% 増加したことにも言及している。

SimpleHelp というリモート・サポート製品を悪用：イランの MuddyWater の戦術を暴露

MuddyWater Uses SimpleHelp to Target Critical Infrastructure Firms

2023/04/18 InfoSecurity — MuddyWater という、イラン政府に支援される脅威アクターは、被害者のデバイス上で永続性を確立するために、正規の SimpleHelp リモート・サポート・ソフトウェア・ツールを使用していることが確認されている。Group-IB の新たなアドバイザリによると、これらの攻撃の一部として使用されるソフトウェアは、脆弱化されたものではない。その代わりに、この脅威アクターは、公式 Web サイトからツールをダウンロードし、攻撃に使用する方法を発見したようだ。

Affinity のフォーラムでデータ侵害が発生：管理者アカウントが侵入経路

Creative Software Maker Affinity Informs Customers of Forum Breach

2023/04/18 SecurityWeek — クリエイティブ・ソフトのメーカーである Affinity でデータ侵害が発生した。同社によると、脅威アクターは管理者のアカウントを侵害し、フォーラムのユーザーデータにアクセスしたとのことだ。不正アクセスを受けた可能性がある情報として挙げられるのは、ユーザー名／評判／参加日／投稿数／Eメール／最後に使用した IP アドレスなどである。

ChatGPT などの AI ツールが BEC を助長：いちばん恐ろしい武器は言葉

AI tools like ChatGPT expected to fuel BEC attacks

2023/04/17 HelpNetSecurity — Armorblox の調査によると、過去１年間に観測された全ての BEC 攻撃のうちの 57%が、無防備な従業員に攻撃を仕掛けるための主要な攻撃ベクターとして、言葉に依存していたという。その他の注目すべき傾向は、ベンダーへの侵害と詐欺が、新たな攻撃ベクターとして台頭していることや、セキュリティ・チームが毎週 27時間もの時間を、グレーメールの処理に浪費していることだ。

Qbot バンキング・トロイの木馬：PDF アーカイブ内の JScript スクリプトで PowerShell を起動

Qbot Banking Trojan Increasingly Delivered Via Business Emails

2023/04/17 InfoSecurity — 偽のビジネス・メールを用いる悪質なキャンペーンにより、QBot (Qakbot) ファミリーのバンキング型トロイの木馬を拡散するというトレンドが確認されている。Kaspersky のセキュリティ研究者たちにより発見された、この悪質なスパム・キャンペーンは、英語／ドイツ語／イタリア語／フランス語などの各言語で書かれたメッセージを使用している。今日のアドバイザリで、同社は、「このメッセージは、攻撃者が入手した実際のビジネスレターに基づいており、彼らのメッセージが通信スレッドに入り込んでいた」と述べている。

PyPI に reverse-shell という悪意のパッケージ：あからさまな名前を用いる理由は？

‘Blatantly Obvious’: Spyware Offered to Cyberattackers via PyPI Python Repository

2023/04/12 DarkReading — 研究者たちは、プログラミング言語 Python のパブリック・リポジトリである PyPI (Python Package Index) で、大胆な方法で情報スティラーを公開しているマルウェア販売者を発見した。このプログラムは、“reverse-shell” という安直な名前が付けられており、Sonatype の研究者たちは、スペインを拠点とする Malware-as-a-Service (MaaS) グループの SylexSquad と関連づけている。リバースシェルとは、ハッカーが遠隔操作でコマンドを実行する際や、標的となるコンピュータからデータを受信するときに用いるプログラムを指す。

Emotet 攻撃が加速：Microsoft OneNote ファイルの不用意な操作は NG

Emotet Climbs March 2023’s Most Wanted Malware List With OneNote Campaign

2023/04/12 InfoSecurity — Emotet マルウェアは、悪意の OneNote ファイルを隠し持つスパムメール・キャンペーンにより、Check Point の Most Wanted Malware List ランキングを駆け上がっている。Emotet は、２月の３位から、３月の２位へと順位を上げている。このキャンペーンは、被害者を誘い、悪意の OneNote ファイルを開かせることで、マルウェアをインストールするものだ。

Facebook 上の ChatGPT／Google Bard 偽広告：RedLine スティラーを配布している

Attackers Hide RedLine Stealer Behind ChatGPT, Google Bard Facebook Ads

2023/04/12 DarkReading — サイバー犯罪者たちは、Facebook のビジネスページやコミュニティページを乗っ取り、ChatGPT や Google Bard などの正規のスポンサーを装い、AI チャットボットの無料ダウンロードを宣伝する広告を展開している。それらの広告に誘導されたユーザーは、AI チャットボットではなく、RedLine Stealer と呼ばれる有名な情報スティーラー・マルウェアをダウンロードしていることが、研究者たちの調査により判明した。RedLine Stealer とは、オンライン・ハッカー・フォーラムを通じて販売されている Malware-as-a-Service (MaaS) プラットフォームだ。Web ブラウザを標的にして、認証情報や支払いカードの詳細などの、様々なユーザー情報を収集する。さらに、次の攻撃にむけて攻撃対象領域を評価するために、システムのインベントリを取得する。

WordPress サイト 100万件を侵害：Balada Injector による大規模マルウェア・キャンペーン

Over 1 Million WordPress Sites Infected by Balada Injector Malware Campaign

2023/04/10 TheHackerNews — Balada Injector というマルウェアを展開する継続的なキャンペーンにより、2017年以降で 100万以上の WordPress サイトが感染したと推定される。GoDaddy の Sucuri によると、WordPressサイトを侵害する、この大規模キャンペーンでは、テーマとプラグインに存在する、ありとあらゆる脆弱性が悪用されているようだ。この攻撃は、数週間に一度のペースで、波状的に展開されると認識されている。

ARES Data Leak フォーラムの台頭：Breached のシャットダウンを追い風にしている

Breached shutdown sparks migration to ARES data leak forums

2023/04/08 BleepingComputer — ARES と呼ばれる脅威グループが、企業や公的機関から盗み出したデータベースを販売／流出させることで、サイバー犯罪シーンで評判を呼んでいる。この脅威アクターは、2021年後半に Telegram に登場し、ランサムウェア RansomHouse オペレーションや、データ漏洩プラットフォーム KelvinSecurity、ネットワーク・アクセスグループ Adrastea などと関連している。

サイバー攻撃に悪用される ChatGPT：防御側も LLM を活用すべき

Bad Actors Will Use Large Language Models — but Defenders Can, Too

2023/04/07 DarkReading — 各種の AI がヘッドラインを席巻しているが、その中でも ChatGPT は最新のトピックであり、その斬新さに誰もが心を奪われている。しかし、 LLM (Large Language Models) が兵器化される方法などについては、誰も触れていない。インターネットは信じられないほど巨大で複雑になり、数多くの機密情報が露呈されるようになった。10年前には１つの Web サイトしか持たなかった企業が、今日では数十の Web サイトを持ち、未知の資産や子会社を抱えている。それらを悪用する攻撃者が、ネットワーク／システムへの侵入や知的財産の流出を活性化している。

セキュリティ侵害を隠蔽するように言われた：IT 専門家の 42％が回答

Two-Fifths of IT Pros Told to Keep Breaches Quiet

2023/04/06 InfoSecurity — IT 専門家の 5分の2以上 (42％) が、セキュリティ侵害を隠蔽するように言われたことがあり、コンプライアンス・リスクを高める可能性があるという、最新の調査結果が Bitdefender により明らかにされた。セキュリティ・ベンダーである Bitdefender が調査した対象は、従業員 1000人以上の組織に所属する、IT ジュニア・マネージャーから CISO にいたるまでの、400人の IT 専門家である。

STYX というダークウェブが登場：金融詐欺に特化してサイバー犯罪者の支持を集める

STYX Marketplace emerged in Dark Web focused on Financial Fraud

2023/04/05 SecurityAffairs — 2023年の初めに、STYX というマーケットプレイスが立ち上げられた。このプラットフォームは、特に金融犯罪を促進するために設計されており、盗んだ金融データ／クレジットカード情報／偽造文書／マネー・ロンダリング・サービス／被害者の偵察をする “lookups” などの、様々なサービスをサイバー犯罪者たちに提供している。この事例は、サイバー犯罪の流行後の脅威と、それが金融機関とその顧客にもたらす脅威を物語っている。デジタル・バンキングや暗号通貨口座を悪用して、マネー・ロンダリング・サービスを提供する脅威アクターの大幅な増加を、Resecurity の金融犯罪リスクのアナリストたちが観測している。それと、STYX の発見が一致しているのだ。

Rilide マルウェアは Chromium を狙う：偽物の Google Drive エクステンションに要注意

New Rilide Malware Targeting Chromium-Based Browsers to Steal Cryptocurrency

2023/04/04 TheHackerNews — Chromium ベースの Web ブラウザが、新しいマルウェア Rilide の標的になっている。このマルウェアは、正規のエクステンションを装い、機密データを採取し、暗号通貨を吸い上げる。Trustwave SpiderLabs Research は、「Rilide マルウェアは、正規の Google Drive エクステンションに偽装されており、脅威アクターに対して各種の悪意のアクティビティを提供する。具体的に言うと、閲覧履歴の監視／スクリーンショットの撮影に加えて、各種の暗号通貨取引所から資金を引き出すための悪意のスクリプトの挿入なども可能にする」と、The Hacker News に提供されたレポートで述べている。

CISA KEV 警告 23/04/03：Zimbra の脆弱性が NATO 諸国への攻撃で悪用

CISA warns of Zimbra bug exploited in attacks against NATO countries

2023/04/03 BleepingComputer — CISA が連邦政府機関に要請したのは、NATO 諸国を標的とした攻撃でロシアのハッカーがＥメールを盗むために悪用した、Zimbra Collaboration (ZCS) に存在する XSS (Cross-Site Scripting) の脆弱性の修正である。NATO に加盟する複数の政府のポータルへの攻撃で、Winter Vivern および TA473 として追跡されているロシアのハッキング・グループが、この脆弱性 CVE-2022-27926 を悪用して、当局／政府／軍人／外交官などのメール・ボックスに不正アクセスしていたという。

Microsoft OneNote の安全性を確保する：危険なファイル拡張子のブロックが始まる

Microsoft OneNote Starts Blocking Dangerous File Extensions

2023/04/03 SecurityWeek — Microsoft が発表したのは、危険とされる拡張子を持つエンベッド・ファイルを自動的にブロックする、OneNote ユーザー向けの保護機能の向上である。OneNote は、企業ユーザーがメモ作成やタスク管理のために使用する、Office スイートのコンポーネントであり、マルチ・ユーザー・コラボレーション機能も備えている。その他の Office アプリケーションと同様に、OneNote はマルウェア配信に悪用されてきた。そして、OneNote ドキュメントでは、ユーザーに対する警告を出さずに実行されるファイルを添付できる。

従業員の 70% 以上に問題あり：個人のデバイスに仕事用のパスワードを保持

Over 70% of Employees Keep Work Passwords on Personal Devices

2023/03/30 InfoSecurity — 従業員の5人に4人 (71%) が、個人のスマフォに仕事用の機密パスワードを保存し、66% が個人用のテキスト・アプリを仕事に使用している。このデータは、SlashNext の最新の Mobile BYOD Security Report によるものであり、プライベート・メッセージング・アプリを介したフィッシング攻撃について、セキュリティ・リーダーの 95% が懸念を強めていることも示されている。SlashNext の CEO である Patrick Harr は、「職場において個人のモバイル・デバイスが広く使われるようになり、機密情報のセキュリティを雇用主が確保することが、ますます難しくなっている」と述べている。

Google TAG 警告：複数の Zero-Day／N-Day エクスプロイトを用いるキャンペーンについて

Google TAG shares details about exploit chains used to install commercial spyware

2023/03/29 SecurityAffairs — Android／iOS／Chrome に対して複数のゼロデイ・エクスプロイトを悪用する、２つのキャンペーンの詳細を、Google Threat Analysis Group (TAG) が公開した。専門家たちは、どちらのキャンペーンも、限定的で高度な標的型であったと述べている。攻撃の背後にいる脅威アクターは、エクスプロイトに Zero-Day と N-Day の両方を使用していたという。これらのエクスプロイト・チェーンは、ターゲットのデバイスに商用スパイウェアや悪意のアプリをインストールするために使用されていたようだ。

ChatGPT に対するユーロポールの評価：近い将来に起こり得る問題の可能性

Europol details ChatGPT’s potential for criminal abuse

2023/03/28 HelpNetSecurity — ChatGPT に対する社会の関心が高まる中、この問題に真剣に取り組んでいる Europol Innovation Lab は、さまざまな部門の専門家が参加する、一連のワークショップを実施した。これらのワークショップは、ChatGPT のような LLM (Large Language Models) が犯罪者に悪用される可能性や、捜査官の日常業務を支援する可能性の、調査を目的としている。

Tor Browser のトロイの木馬：ロシア／東欧のユーザーを標的にしている

Trojanized Tor browsers target Russians with crypto-stealing malware

2023/03/28 BleepingComputer — トロイの木馬化した Tor Browser のインストーラーが急増し、ロシアや東欧のユーザーをターゲットにして、感染したユーザーの暗号通貨取引を盗むクリップボード・ハイジャック・マルウェアを仕掛けている。Kaspersky のアナリストたちは、この攻撃は新しくもなく、特に独創的でもないが、依然として効果が高く、世界中の多くのユーザーへの感染が蔓延していると警告している。Kaspersky によると、これらの悪意の Tor インストーラーは世界中の国々をターゲットにしているが、主な標的はロシアと東欧とのことだ。

中国の原子力エネルギー部門が標的：APT アクター Bitter は南アジアから攻撃する

China’s Nuclear Energy Sector Targeted in Cyberespionage Campaign

2023/03/28 SecurityWeek — サイバースパイ・キャンペーンを展開する南アジアの APT アクターが、中国の原子力エネルギー部門を標的にしていると、Intezer が最新情報として報告している。2021年ころから活動している Bitter という名のグループは、中国／バングラデシュ／パキスタン／サウジアラビアのエネルギーおよび政府組織を標的とすることで知られており、その戦術として、Excel／Microsoft Compiled HTML Help (CHM)／Windows Installer (MSI) ファイルの悪用を特徴としている。

IcedID の新たな亜種：バンキング詐欺からマルウェア配信へとシフトしている

New IcedID variants shift from bank fraud to malware delivery

2023/03/27 BleepingComputer — IcedID の新しい亜種は、通常のオンライン・バンキング詐欺の機能を持たない代わりに、侵害したシステムに新たなマルウェアをインストールすることに、重点を置いていることが判明した。Proofpoint によると、これらの新しい亜種は、昨年末から７つのキャンペーンで、３つの異なる脅威アクターにより使用されており、ランサムウェアなどのペイロードの配信に重点を置いていることが確認されている。

MacStealer という新たな macOS マルウェア：iCloud Keychain からパスワードを窃取

New MacStealer macOS malware steals passwords from iCloud Keychain

2023/03/27 BleepingComputer — Mac ユーザーを標的とする、MacStealer とう名の新たな情報スティーラー・マルウェアが、iCloud KeyChain や Web ブラウザに保存されている認証情報や暗号通貨ウォレットなどの、機密ファイルなどを窃取しているようだ。この MacStealer は、Malware-as-a-Service (MaaS) として配布されており、開発者はプレメイドのビルドを $100 で販売し、購入者はキャンペーンでマルウェアを拡散している。Uptycs 脅威研究チームが発見した MacStealer は、macOS Catalina 10.15 〜 Ventura 13.2 の環境で動作するという。

Dark Power という新種のランサムウェア：すでに脅迫が開始されている

New Dark Power ransomware claims 10 victims in its first month

2023/03/25 BleepingComputer — Dark Power という名の新たなランサムウェア・オペレーションが登場し、ダークウェブのデータ漏洩サイトに最初の被害者をリストアップし、身代金を支払わなければデータを公開すると脅迫している。このランサムウェア・グループのエンクリプターの日付を見ると、攻撃が開始された 2023年1月29日にコンパイルされたものだった。さらに、現時点のハッカー・フォーラムやダークウェブ・スペースでは、このオペレーションのプロモーションが行われていないため、プライベート・プロジェクトである可能性が高い。

SharePoint を狙うフィッシング活動を発見：欧米の 1600 人の個人がターゲット

SharePoint Phishing Scam Targets 1600 Across US, Europe

2023/03/23 InfoSecurity — Microsoft のコラボレーション・プラットフォーム SharePoint の、正規サーバを悪用する新たなフィッシング詐欺が、ネイティブの通知メカニズムを介して、欧州／米国などの国々で、少なくとも 1600人の個人を標的にしていることが判明した。2023年3月23日の未明に、Kaspersky のセキュリティ研究者たちが発表したアドバイザリでは、この詐欺を実行するサイバー犯罪者たちが、Yahoo!／AOL／Outlook／Office 365 などの、電子メール・アカウントの認証情報を盗んでいると説明されている。

Nexus というバンキング・トロイの木馬：450 種類の金融アプリがターゲット

Nexus: A New Rising Android Banking Trojan Targeting 450 Financial Apps

2023/03/23 TheHackerNews — Nexus という名の新たな Android バンキング・トロイの木馬は、450種類の金融アプリケーションを標的とした詐欺において、すでに脅威アクターたちにより採用されている。今週に発表したレポートの中で、イタリアのサイバー・セキュリティ企業 Cleafy は、「Nexus は開発の初期段階にあるようだ。Nexus は、銀行ポータルや暗号通貨サービスに対して、認証情報の窃取や SMS の傍受といった ATO 攻撃 (Account Takeover) を行うための、すべての主要な機能を備えている」と述べている。

Facebook アカウント・ハイジャック：悪意の ChatGPT Chrome エクステンションが導線

Facebook accounts hijacked by new malicious ChatGPT Chrome extension

2023/03/22 BleepingComputer — 正規の ChatGPT Extension for Chrome のトロイの木馬バージョンが、Chrome Web Store で人気を博しており、9,000 回以上のダウンロードを達成し、Facebook アカウントを盗み続けている。この Chrome エクステンションは、検索結果に ChatGPT の統合を提供する ChatGPT for Google という名前の、正規の Chrome アドオンをコピーしたものだ。そして、この悪意のバージョンは、Facebook のセッション・クッキーを盗み出すための追加コードを含んでいる。

PowerMagic／CommonMagic というマルウェア：新たなバックドアと悪意のフレームワーク

Hackers use new PowerMagic and CommonMagic malware to steal data

2023/03/21 BleepingComputer — セキュリティ研究者たちが発見したのは、CommonMagic と呼ばれる “かつてない悪意のフレームワーク” と、PowerMagic と呼ばれる新しいバックドアを使用した、先進的な脅威アクターによる攻撃だ。これらのマルウェアは、2021年9月ころから現在まで続くオペレーションで使用され、行政／農業／輸送分野の組織をスパイ目的で狙っている。

Emotet が本気の戦略シフト：OneNote ファイルを介した配布が始まった

Emotet malware now distributed in Microsoft OneNote files to evade defenses

2023/03/18 BleepingComputer — 現時点において Emotet マルウェアは、Microsoft のセキュリティ制限を回避して、より多くのターゲットに感染させるために、OneNote ファイルを添付したＥメールで配布されている。Emotet は、歴史的に悪名高いマルウェア・ボットネットであり、悪意のマクロを仕込んだ Word や Excel の添付ファイルを通じて配布されていた。これらの添付ファイルを、ユーザーが開いてマクロを有効にすると、DLL がダウンロード／実行され、Emotet マルウェアがデバイスにインストールされる。このマルウェアがロードされると、Ｅメールの連絡先やメールの内容が盗まれ、今後のマルウェア・キャンペーンで悪用されるようになる。また、企業ネットワークへのイニシャル・アクセスを提供する、他のペイロードもダウンロードされる。

Adobe Acrobat Sign を悪用：Redline マルウェアを配布する手口が暴かれた

Adobe Acrobat Sign abused to push Redline info-stealing malware

2023/03/16 BleepingComputer — オンライン・ドキュメント署名サービスである Adobe Acrobat Sign が、情報窃取マルウェアの配布に悪用されている。このサービスを悪用する脅威アクターたちは、Adobe を装う悪意のメールをターゲットに送信しすることで、セキュリティ保護を回避して受信者を騙そうとしている。このような、正規のサービスを悪用する手口は新しいものではない。最近に見られた同様のケースに、PayPal の請求書や Google Docs のコメントなどの悪用がある。Avast の研究者たちは、Adobe Acrobat Sign を悪用してセキュリティを回避してターゲットを騙す、この新たな詐欺手法について警告している。

BEC の発生件数が２倍に増えた：急増するフィッシングから移行している？

BEC Volumes Double on Phishing Surge

2023/03/16 InfoSecurity — Secureworks の調査により、昨年の BEC (Business Email Compromise) インシデントが倍増し、ランサムウェアに取って代わる、最多のサイバー犯罪のカテゴリとなった。脅威の検知／対応の企業である Secureworks は、調査依頼を受けた数百件の実戦的なインシデントを基に、 “Learning from Incident Response“ レポートを作成した。同社は、BEC の件数の大幅増の背景にはフィッシングの急増があり、イニシャル・アクセス・ベクターの 33％を占めており、2021年の 13％から増加したと発表している。

フィッシングで悪用されるブランド URL：Top-50 をリストアップ

Top 50 most impersonated brands by phishing URLs

2023/03/15 HelpNetSecurity — 今日のフィッシングは、最も急速に成長しているインターネット犯罪であり、消費者と企業の両方にとって大きな脅威となっている。Cloudflare によると、金融／テクノロジー／テレコムなどのブランドが、最も頻繁に成りすまされた。特に、銀行口座や、電子メール、ソーシャルメディア、テレコムなどが、攻撃者に許してしまった前例のないアクセスから生じる、金銭的な利益が理由となっている。

SVB 銀行の破綻を悪用：金銭やデータを盗み出すサイバー犯罪者たち

Cybercriminals exploit SVB collapse to steal money and data

2023/03/14 BleepingComputer — 2023年3月10日のシリコンバレー銀行 (SVB) の破綻は、世界の金融システムに波紋を広げているが、ハッカー／詐欺師／フィッシング・キャンペーンにとっては、絶好のチャンスになりつつある。複数のセキュリティ研究者たちが報告しているように、すでに脅威アクターたちは疑わしいドメインを登録してフィッシング・ページを作成し、BEC (Business E-mail Compromise) 攻撃の準備を整えている。これらのキャンペーンの目的は、金銭やアカウントの窃取、マルウェアの展開などにある。

Dark Pink は中国の APT グループ：ASEAN 諸国の政府機関に KamiKakaBot を配布

Dark Pink APT Group Deploys KamiKakaBot Against South Asian Entities

2023/03/13 InfoSecurity — Dark Pink として知られる脅威アクターが、ASEAN (東南アジア諸国連合) 諸国の複数の政府機関に対する KamiKakaBot マルウェアの配布に関与していたことが判明した。先週に EclecticIQ の研究者たちは、2023年2月に行われた攻撃に関するレポートを公開した。このレポートでは、「この新しいキャンペーンでは、東南アジア諸国の軍事／政府機関に対するソーシャル・エンジニアリングのルアーとして、ヨーロッパと ASEAN 諸国の交流関係が悪用されている可能性が非常に高い。EclecticIQ の研究者たちは、このグループの国籍を特定するだけの決定的な証拠を得ていないが、攻撃者の目的や行動パターンから、Dark Pink は中国の APT グループであろうと考えている」と説明されている。

Xenomorph は最凶のバンキング・トロイの木馬：侵入後の不正送金まで自動化している！　

Latest version of Xenomorph Android malware targets 400 banks

2023/03/10 SecurityAffairs — Android マルウェアである Xenomorph の作者 Hadoken Security Group は、悪意のあるコードを改良し続けている。ThreatFabric の研究者たちが Xenomorph マルウェアを発見した 2022年2月の時点で、Google Play ストア経由での配布が行われ、すでに５万以上のインストールに達していたという。このバンキング・トロイの木馬は、欧州の 56 の銀行を標的とし、顧客のデバイスから機密情報を盗み出すために使用されていた。そのコードの分析により、未実装の機能が存在すること、そして、大量のログが存在することが明らかになり、この脅威の活性化が示唆されている。

Emotet の活動再開を捕捉：2023 大規模キャンーペンのトリックは大容量ファイル？

Emotet malware attacks return after three-month break

2023/03/07 BleepingComputer — 2023年03月07日 (火) の朝の時点で、Emotet マルウェアの活性化が観測されている。このマルウェアは、３ヶ月間の休息を経て、再び悪意の電子メールを送信し、そのネットワークを再構築し、世界中のデバイスへの感染を広め始めている。Emotet は、悪意の Word／Excel 添付ファイルを隠し持つ子メールで配布される、悪名高いマルウェアである。それらの文書をユーザーが開いたとき、マクロが有効になっていると、Emotet DLL がダウンロードされ、メモリにロードされる。そして、ロードされた Emotet は静かに待機し、リモートの Command and Control (C2) サーバからの指示を待つ。

SYS01stealer という情報スティーラーを発見：Facebook ビジネス・アカウントなどが標的

SYS01stealer: New Threat Using Facebook Ads to Target Critical Infrastructure Firms

2023/03/07 TheHackerNews — サイバー・セキュリティ研究者たちが発見したのは、政府／インフラ／製造業などを標的とする、SYS01stealer という名の新しい情報スティーラーである。 Morphisec は、「このキャンペーンのターゲットは、Facebook のビジネス・アカウントだ。この脅威アクターは、ゲーム／アダルトコンテンツ／クラックソフトウェアなどを宣伝する、Google 広告や Facebook の偽プロファイルを使用して、悪意のファイルをダウンロードするように、被害者たちを誘導する。この攻撃は、ログインデータ／クッキーだけではなく、Facebook ビジネスアカウント情報などの、機密情報を盗むために設計されている」と、The Hacker News と共有したレポートで詳述している。

OT に忍び寄るマルウェア：ソーシャルエンジニアリングが産業分野にも浸透してきた

Almost Half of Industrial Sector Computers Affected By Malware in 2022

2023/03/06 InfoSecurity — 製造業の現場で使用されている Operational Technology (OT) コンピュータの 40.6% が、2022年においてマルウェアの影響を受けていることが判明した。今日の未明に Kaspersky のセキュリティ研究者たちが発表したレポートによると、この数字は、2022年上半期と比較して６％増加し、2021年下半期との比較では約 1.5倍になっている。