Google TAG 警告:Conti ランサムウェアの元メンバーがウクライナを攻撃している

Google says former Conti ransomware members now attack Ukraine

2022/09/07 BleepingComputer — Google によると、サイバー犯罪組織 Conti の元メンバーの一部が、現在 UAC-0098 として追跡されている脅威グループに参加し、ウクライナの組織やヨーロッパの非政府組織 (NGO) を標的にしているという。UAC-0098 は、イニシャル・アクセス・ブローカーであり、企業ネットワーク内の侵害済みシステムへの、バンキング型トロイの木馬 IcedID を用いるアクセスを、ランサムウェア・グループに提供することで知られている。

Continue reading “Google TAG 警告:Conti ランサムウェアの元メンバーがウクライナを攻撃している”

Sliver Tookit という最新/最強の攻撃ツール:Cobalt Strike は過去の遺物に?

Hackers adopt Sliver toolkit as a Cobalt Strike alternative

2022/08/25 BleepingComputer — 脅威アクターたちの好みが、正規のペンテスト・スイートである Cobalt Strike から、あまり知られていない類似のフレームワークを使う方向へと変化している。Brute Ratel (Red Teaming Tool) のに続くものとして、Sliver と呼ばれるオープンソースのクロスプラットフォーム・キットが、魅力的な代替品になりつつありる。さらに、Sliver を悪用するアクティビティは、ツールキット/動作/コンポーネントなどの分析から導き出された、ハンティング・クエリから検出されている。

Continue reading “Sliver Tookit という最新/最強の攻撃ツール:Cobalt Strike は過去の遺物に?”

Active Directory と Bumblebee:侵害後に BazarLoader/TrickBot/IcedID などをロード

Hackers Using Bumblebee Loader to Compromise Active Directory Services

2022/08/18 TheHackerNews — BazarLoader/TrickBot/IcedID といった脅威アクターたちが、ターゲットのネットワークを侵害する際に、マルウェアローダーとして Bumblebee を利用するケースが増大している。Cybereason の研究者である Meroujan Antonyan と Alon Laufer は、技術文書で、「Bumblebee のオペレーターたちは、集中的な偵察活動を行い、実行されたコマンドの出力をファイルへリダイレクトして抽出する」と述べている。

Continue reading “Active Directory と Bumblebee:侵害後に BazarLoader/TrickBot/IcedID などをロード”

米CISA/豪ACSC の発表:2021年 マルウェアの Top-10 や詳細などが明らかに!

US, Australian Cybersecurity Agencies Publish List of 2021’s Top Malware

2022/08/08 SecurityWeek — 米国の CISA とオーストラリアの ACSC が、2021年のマルウェア上位を詳述する共同アドバイザリーを発表した。CISA と ACSC によると、ランサムウェア/ルートキット/スパイウェア/トロイの木馬/ウイルス/ワームを監視してきた結果として、2021年はトロイの木馬が優勢であり、Agent Tesla/AZORult/Formbook/GootLoader/LokiBot/MouseIsland/NanoCore/Qakbot/Rems/TrickBot/Ursnif が上位を占めたとのことだ。

Continue reading “米CISA/豪ACSC の発表:2021年 マルウェアの Top-10 や詳細などが明らかに!”

Trickbot のシステマチックな活動:ロシアによるウクライナ攻撃で観測

Russian Cybercrime Trickbot Group is systematically attacking Ukraine

2022/07/08 SecurityAffairs — IBM の研究者たちは、ロシアを拠点とするサイバー犯罪者 Trickbot グループ (別名 Wizard Spider/DEV-0193/ITG23) が、ウクライナ侵攻以来、組織的に攻撃を続けてきたことを示す証拠を収集した。また、2022年2月以降においては、Conti ランサムウェア・グループが TrickBot マルウェアの運用を引き継ぎ、さらに BazarBackdoor マルウェアへと置き換えることを計画していた。

Continue reading “Trickbot のシステマチックな活動:ロシアによるウクライナ攻撃で観測”

Microsoft Office の VBA マクロ・ブロック:突然のロールバックと大混乱のユーザー

Microsoft rolls back decision to block Office macros by default

2022/07/07 BleepingComputer — 今年の初めに Microsoft は、ダウンロードした Office 文書に含まれる VBA マクロをデフォルトでブロックすると発表したが、この木曜日には、この変更に関する通知を行うまでの間、「フィードバック」に基づきロールバックすると発表した。 また、同社は、この決定の背後にある理由を説明できず、Access/Excel/PowerPoint/Visio/Word において、悪意の Office 文書に埋め込まれた VBA マクロが自動的にブロックされなくなることを、公には顧客に通知していない。

Continue reading “Microsoft Office の VBA マクロ・ブロック:突然のロールバックと大混乱のユーザー”

Conti がデータ漏洩と交渉のサイトを閉鎖:サイバー犯罪シンジケートとして活動を継続?

Conti ransomware finally shuts down data leak, negotiation sites

2022/06/24 BleepingComputer — Conti ランサムウェア・オペレーターは、データを漏洩させ、被害者と交渉するために使用されていた、Tor サーバで構成されるパブリックなインフラをついに閉鎖し、悪名高いサイバ犯罪ブランドとしての幕を閉じた。脅威情報アナリストの Ido Cohen によると、Conti のサーバーは水曜日にシャットダウンされており、現時点においてもオフラインであることを、BleepingComputer も確認している。

Continue reading “Conti がデータ漏洩と交渉のサイトを閉鎖:サイバー犯罪シンジケートとして活動を継続?”

Emotet の最新情報:Google Chrome に保存されるクレジット・カード情報を盗もうとしている

Emotet malware now steals credit cards from Google Chrome users

2022/06/08 BleepingComputer — 現状における Emotet ボットネットは、Google Chrome のユーザー・プロファイルに保存されている、クレジット・カード情報を採取するように設計された・クレジット・カード盗用モジュールを被害者に感染させようとしている。このマルウェアは、クレジットカード情報 (氏名/有効期限/カード番号など) を盗み出した後に、通常の Emotet カード・スティーラー・モジュールが使用するものとは別の、Command and Control (C2) サーバーへと情報を送信する。

Continue reading “Emotet の最新情報:Google Chrome に保存されるクレジット・カード情報を盗もうとしている”

Conti の置きみやげ:Intel ファームウェアを標的とするスティルス攻撃が消えない

Conti ransomware targeted Intel firmware for stealthy attacks

2022/06/02 BleepingComputer — Conti ランサムウェアから流出したチャットを分析した研究者たちは、ロシアのサイバー犯罪グループ内のチームが、ファームウェアのハッキングを積極的に行ってきたことを発見した。このサイバー犯罪シンジケートのメンバーたちが交わしたメッセージによると、Conti の開発者は、Intel の Management Engine (ME) を活用してフラッシュを上書きし、System Management Mode (SMM) を実行させる PoC コードを作成していたことが判明した。

Continue reading “Conti の置きみやげ:Intel ファームウェアを標的とするスティルス攻撃が消えない”

R4IoT キルチェーン実証概念:IoT/IT からの侵入と OT へのランサムウェア攻撃を簡潔に証明

Researchers Devise Attack Using IoT and IT to Deliver Ransomware Against OT

2022/06/01 SecurityWeek — ランサムウェアとは、恐喝の一種である。その唯一の目的は、被害者から金銭を引き出すことだ。産業界が身代金要求の回避に成功すると、攻撃者はもう一つのレベルの強要を、すなわちデータ恐喝を追加するという、二重の強要を作り出した。防御側が二重の恐喝を上手くわすようになると、攻撃者は再び進化を遂げるだろう。最も明白な道は、IT だけでなく OT (Operational Technology も攻撃することだろう。OT に対する攻撃の実現は困難だが、その効果を緩和することも同様に困難である。サイバー恐喝の進化は、OT に対する攻撃を、単なる可能性には留まらせない。

Continue reading “R4IoT キルチェーン実証概念:IoT/IT からの侵入と OT へのランサムウェア攻撃を簡潔に証明”

ランサムウェアの調査:IBM X-Force が指摘する攻防時間の大幅な短縮とは?

Ransomware attacks need less than four days to encrypt systems

2022/06/01 BleepingComputer — 2021年におけるランサムウェア攻撃の持続時間は、イニシャル・ネットワーク・アクセスからペイロード展開までを計測した結果、平均で 92.5時間でとなった。2020年のランサムウェア・アクターたちは、攻撃を完了するまでに平均で 230時間を、また、2019年は 1637.6時間を費やしていた。この変化は、大規模オペレーションと高収益性を目指して、ランサムウェア運用者たちが時間をかけて進化させてきた、より合理的なアプローチを反映するものだ。

Continue reading “ランサムウェアの調査:IBM X-Force が指摘する攻防時間の大幅な短縮とは?”

Conti ランサムウェアの解体と分散化:リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

Continue reading “Conti ランサムウェアの解体と分散化:リブランドの状況と背景を探ってみた”

Bumblebee という新たなマルウェア:TrickBot/BazaLoader 系で最凶か?

Cybercriminals Using New Malware Loader ‘Bumblebee’ in the Wild

2022/04/28 TheHackerNews — これまでマルウェア・キャンペーンにおいて、サイバー犯罪者たちが BazaLoader と IcedID を配信してきたことは確認されているが、現在では Bumblebee という、活発に開発されている新しいローダーに移行したと言われている。エンタープライズ・セキュリティ企業である Proofpoint が The Hacker News と共有したレポートには、「Bumblebee が脅威の現場に現れたタイミングや、複数のサイバー犯罪グループにより使用されていることから、BazaLoader の直接の代替品ではないにしても、他のマルウェアを好んでいた脅威アクターたちが好んで使用する、新しい多機能ツールが登場したと思われる」と記されている。

Continue reading “Bumblebee という新たなマルウェア:TrickBot/BazaLoader 系で最凶か?”

研究者たちが逆侵入:データ強奪犯 Karakurt は Conti シンジケートの一員だと判明

Karakurt revealed as data extortion arm of Conti cybercrime syndicate

2022/04/14 BleepingComputer — サイバー犯罪者が管理するサーバーに対して、逆侵入したセキュリティ研究者たちにより、最近になって出現した Karakurt データ強奪グループと、Conti ランサムウェアとの関連性が発見され、この2つのギャングが同じオペレーションに属することが明らかになった。ロシアの組織である Conti ランサムウェア・シンジケートは、あるハッキング・グループによる内部会話やソースコードの大量流出にもかかわらず、機能不全に陥ることもなく、現時点で最も盛んなサイバー犯罪者グループの1つであり続けている。

Continue reading “研究者たちが逆侵入:データ強奪犯 Karakurt は Conti シンジケートの一員だと判明”

風力発電機大手の Nordex が Conti ランサムウェアの攻撃に遭っている

Wind turbine firm Nordex hit by Conti ransomware attack

2022/04/14 BleepingComputer — 今月の初旬に風力発電機大手の Nordex がサイバー攻撃を受け、IT システムの停止とマネージド・タービンへのリモート・アクセスを余儀なくされた件について、ランサムウェア Conti が犯行を主張している。Nordex は、風力タービンの開発/製造において世界最大級の企業であり、全世界で 8,500人以上の従業員を擁している。Nordex は、4月2日にサイバー攻撃を受けたが、その検知が早期であったことで、攻撃の拡大を防ぐために IT システムを停止させたと明らかにした。

Continue reading “風力発電機大手の Nordex が Conti ランサムウェアの攻撃に遭っている”

Qbot マルウェアの戦術変更:感染ベクターを Macro から Windows Installer へ

Qbot malware switches to new Windows Installer infection vector

2022/04/11 BleepingComputer — 現在 Qbot ボットネットは、パスワード保護された ZIP アーカイブを添付したフィッシング・メールを介して、マルウェアのペイロードを送信しているが、その中に悪意の MSI Windows Installer パッケージも含まれる。これまでの Qbot オペレーターたちは、悪意のマクロを含む Microsoft Office ドキュメントを、フィッシング・メールにより配信し、標的デバイスにマルウェアをドロップするという手法を用いていたが、新しい戦術が使われたことになる。

Continue reading “Qbot マルウェアの戦術変更:感染ベクターを Macro から Windows Installer へ”

MicroTik ルーターの Botnet-as-a-Service 化:20万台以上が支配下に

Over 200,000 MicroTik Routers Worldwide Are Under the Control of Botnet Malware

2022/03/23 TheHackerNews — MikroTik の脆弱なルーターが大規模に悪用され、サイバー・セキュリティ研究者が近年で最大級の Botnet-as-a-Service の1つと呼ばれる物が形成されている。Avast が発表した新たな調査結果によると、新たな破壊型 Glupteba ボットネットと、TrickBot マルウェアを活用した、暗号通貨マイニング・キャンペーンの全てが、同一の Command and Control (C2) サーバーを使用して配布されたようだ。

Continue reading “MicroTik ルーターの Botnet-as-a-Service 化:20万台以上が支配下に”

Google が追跡:Conti/Diavol と連携するアクセス・ブローカー Exotic Lily

Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang

2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界 の 650 の標的組織に対して、1日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。

Continue reading “Google が追跡:Conti/Diavol と連携するアクセス・ブローカー Exotic Lily”

Microsoft が Trickbot 対策オープンソース・ツールを公表: MikroTik ルーターをスキャン

Microsoft Releases Open Source Tool for Securing MikroTik Routers

2022/03/17 SecurityWeek — TrickBot は、2016年から出回っているマルウェアである。当初は金融データを盗むために設計されたバンキング・トロイの木馬だったが、現在では幅広い情報を狙うことができる、モジュール型の情報窃取マルウェアへと進化している。研究者の中には、このマルウェアは限界に達しており、利用可能な膨大な IoC により簡単に検出できるようになったことで、その開発チームはランサムウェア・グループの Conti により買収されたと考える者もいる。

Continue reading “Microsoft が Trickbot 対策オープンソース・ツールを公表: MikroTik ルーターをスキャン”

TrickBot による MikroTik ルーターの侵害:C2 サーバー連携のプロキシとして機能させる

TrickBot Malware Abusing MikroTik Routers as Proxies for Command-and-Control

2022/03/17 TheHackerNews — 水曜日に Microsoft は、マルウェア TrickBot について、これまで発見されていなかった、IoT デバイスを仲介した Command and Control (C2) サーバーとの、通信の確立に関する詳細な手法を発表した。Microsoft の Defender for IoT Research Team and Threat Intelligence Center (MSTIC) は、「TrickBotは、C2 サーバーのプロキシ・サーバーとして MikroTik ルーターを使用し、標準以外のポート経由でトラフィックをリダイレクトすることで、標準セキュリティ・システムによる検出から悪質な IP を回避させる、別の永続層を追加している」と述べている。

Continue reading “TrickBot による MikroTik ルーターの侵害:C2 サーバー連携のプロキシとして機能させる”

韓国の Naver が狙われている:大規模なフィッシングを仕掛けるのは TrickBot か?

Massive phishing campaign uses 500+ domains to steal credentials

2022/03/15 BleepingComputer — Google ライクな、韓国のオンラインプ・ラットフォーム Naver の認証情報を盗むために、数百のドメインを用いる大規模なフィッシング活動は、TrickBot ボットネットに関連するインフラとの重複を示している。この攻撃に使用されたリソースは、さまざまな攻撃に使用するためにログイン・データを収集する、サイバー犯罪者の取り組みの規模が大きいことを示している。Google と同様に、Naver は Web 検索から、電子メールや、ニュース、オンライン Q&A である Naver Knowledge iN に至るまで、多様なサービスを提供している。

Continue reading “韓国の Naver が狙われている:大規模なフィッシングを仕掛けるのは TrickBot か?”

CISA 対 Conti:マルウェア配信に使用された 100 ほどのドメイン名を公開

CISA updates Conti ransomware alert with nearly 100 domain names

2022/03/09 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、悪質な操作に使用された 100近いドメイン名で構成される IoC (indicators of compromise) を含む、Conti ランサムウェアに関する警告を更新した。この、2021年9月22日に公開された勧告には、米国内の組織を標的とした Conti ランサムウェア攻撃について、CISA と FBI が観測した詳細が含まれており、今回のサイバーセキュリティ勧告の更新には、米国シークレットサービスからのデータも含まれている。

Continue reading “CISA 対 Conti:マルウェア配信に使用された 100 ほどのドメイン名を公開”

Emotet の追跡調査:2021年11月より着実に勢力を回復し 13万台に感染

Emotet growing slowly but steadily since November resurgence

2022/03/08 BleepingComputer — 現時点で 179カ国で 13万台のシステムに感染している Emotetボットネットは、依然として野放し状態で安定的に配布され続けている。かつては 160万台のデバイスを支配下に置いていた、世界的な支配力には遠く及ばないかもしれないが、このマルウェアは今も復活を続けており、日々強力になっていることが示される。Emotet の活動は、2番目のメジャー・バージョンが配布されていた 2019年に停止し、2021年11月に Trickbot の力を借りて復活している。

Continue reading “Emotet の追跡調査:2021年11月より着実に勢力を回復し 13万台に感染”

ウクライナの研究者が反撃:Conti ランサムウェアのソースコードが大規模に流出

Conti Ransomware source code leaked by Ukrainian researcher

2022/03/01 BleepingComputer — ウクライナの研究者たちが、ランサムウェア Conti オペレーターの内部の会話や、ランサムウェアのソース、管理パネルなどを流出さ、壊滅的な打撃を与え続けている。Conti がロシアによる侵略を支持し、ウクライナのアフィリエイトを混乱させた後に、ある研究者が動き出したことで、Conti にとって極めて不利な展開の1週間となった。

Continue reading “ウクライナの研究者が反撃:Conti ランサムウェアのソースコードが大規模に流出”

製造業のインフラを攻撃するランサムウェア:圧倒的に活発な LockBit と Conti

LockBit, Conti most active ransomware targeting industrial sector

2022/02/23 BleepingComputer — 昨年のランサムウェア攻撃は、製造業の分野においても、この種のインシデントが脅威の No-1 になるほどまでに拡大した。LockBit と Conti という2つのランサムウェア・グループが、Industrial Control System (ICS)/Operational Technology (OT) 環境を持つ組織を、2021年に最も活発に侵害した。

Continue reading “製造業のインフラを攻撃するランサムウェア:圧倒的に活発な LockBit と Conti”

Conti が TrickBot を買収:高ステルス性のマルウェア BazarBackdor へと移行か?

Conti ransomware gang takes over TrickBot malware operation

2022/02/18 BleepingComputer — TrickBot は、4年間にわたって活動を続け、何度もテイクダウンを経験してきたが、そのトップ・メンバーたちはランサムウェア・シンジケート Conti の傘下へと移動し、よりステルス性の高いマルウェア BazarBackdoor への置き換えを計画しているようだ。したがって、TrickBot の名前は消えていくと予測される。TrickBot は、機密情報やパスワードの窃取/Windows ドメインへの侵入/ネットワークへの初期アクセス確立/マルウェア配信などの、多様な悪意のアクティビティのために、複数のモジュールを使用する Windows マルウェアのプラットフォームである。

Continue reading “Conti が TrickBot を買収:高ステルス性のマルウェア BazarBackdor へと移行か?”

TrickBot の進化:難読化された 20本以上のモジュールを自在に操る

TrickBot developers continue to refine the malware’s sneakiness and power

2022/02/16 CyberScoop — Check Point Research によると、汎用性の高いマルウェア TrickBot の開発者は、サイバーセキュリティ・アナリストの一歩先を進み、金融機関やテクノロジー企業の顧客に対して大きな危険をもたらし続けているとのことだ。水曜日に発表した調査結果で同社は、「TrickBot の開発者は、アンチ分析と難読化の機能を幾重にも備えており、専門家がマルウェアのコードを解析しようとする際に、Command and Control との通信を遮断し、動作を完全に停止することがある。

Continue reading “TrickBot の進化:難読化された 20本以上のモジュールを自在に操る”

2021年のランサムウェア総被害額は $602 M:トップの Conti は $180 M も稼いだらしい

Organizations paid at least $602 million to ransomware gangs in 2021

2022/02/13 SecurityAffairs — 先週に、英国/米国/オーストラリアのサイバー・セキュリティ機関が、2021年にランサムウェアの脅威がグローバル化したとする共同勧告を発表した。ブロック・チェーン分析企業の Chainalysis が発表したレポートによると、2021年中に組織が支払った暗号通貨は $602 million 相当となる。この数字は、2020年の $692 million と比べて僅かに減少しているが、Chainalysis の専門家は、今後の数週間で他の支払いが追加される可能性があると述べている。

Continue reading “2021年のランサムウェア総被害額は $602 M:トップの Conti は $180 M も稼いだらしい”

Pay-Per-Install を利用するランサムウェア・ファミリーが標的を拡大中

Several Malware Families Using Pay-Per-Install Service to Expand Their Targets

2022/02/08 TheHackerNews — PrivateLoader と呼ばれる Pay-Per-Install (PPI) 型のマルウェア・サービスを詳細に調査した結果、少なくとも 2021年5月以降で、SmokeLoader/RedLine Stealer/Vidar/Raccoon/GCleaner などのマルウェアの配信において、重要な役割を担っていることが明らかになった。

Continue reading “Pay-Per-Install を利用するランサムウェア・ファミリーが標的を拡大中”

Microsoft の方針転換:Office VBA MoTW マクロはディフォルトで OFF

Microsoft plans to kill malware delivery via Office macros

2022/02/07 BleepingComputer — 4月上旬より Microsoft は、インターネットからダウンロードした VBA マクロを、いくつかの Microsoft Office アプリで有効にし難くし、脅威アクターたちに好まれるマルウェア配布方法を、事実上死滅させることを発表した。悪意の Office 文書に埋め込まれた VBA マクロの悪用は、Emotet/TrickBot/Qbot/Dridex などのマルウェをフィッシング攻撃でプッシュする際の、きわめて一般的な手法である。

Continue reading “Microsoft の方針転換:Office VBA MoTW マクロはディフォルトで OFF”

Microsoft の ms-appinstaller プロトコルが無効化:マルウェア配信での悪用をストップ

Microsoft disables the ms-appinstaller protocol because it was abused to spread malware

2022/02/07 SecurityAffairs — Microsoft は、MSIX の ms-appinstaller プロトコルが、Emotet などのマルウェアに悪用されたことで、一時的に無効にしたと発表した。2021年12月に Microsoft は、Microsoft Windows に影響を与える AppXインストーラの脆弱性 CVE-2021-43890 に対処したが、この脆弱性は現在も悪用されている。

Continue reading “Microsoft の ms-appinstaller プロトコルが無効化:マルウェア配信での悪用をストップ”

Trickbot の巧妙なインジェクション手法:防御側の検出と分析を困難にする

Trickbot Injections Get Harder to Detect & Analyze

2022/01/25 DarkReading — トロイの木馬 Trickbot の作者は、このマルウェアに複数の防御層を追加し、悪意のオペレーションで用いられるインジェクションの、防御側による検出と分析を困難にしている。これらの機能は、マルウェアの配布目的で Trickbot が再利用される前に設計されていたものであり、オンライン・バンキング詐欺を目的とした攻撃を、想定したものと思われる。

Continue reading “Trickbot の巧妙なインジェクション手法:防御側の検出と分析を困難にする”

Microsoft Excel 4.0 マクロはディフォルトで OFF:マルウェア対策の一環

Microsoft disables Excel 4.0 macros by default to block malware

2022/01/21 BleepingComputer — Microsoft は、悪意のドキュメントから顧客を守るために、Excel 4.0 (XLM) のマクロをデフォルトで無効にすることを発表した。同社は2021年10月に、Microsoft 365 Message Center のアップデートにおいて、ユーザーや管理者が手動で機能の ON/OFF を切り替えていない場合、すべてのテナントで XLM マクロを無効にすることを初めて明らかにした。

Continue reading “Microsoft Excel 4.0 マクロはディフォルトで OFF:マルウェア対策の一環”

Diavol ランサムウェアは TrickBot ギャングと関連している:FBI が正式に発表

FBI links Diavol ransomware to the TrickBot cybercrime group

2022/01/20 BleepingComputer — FBI の正式な発表により、ランサムウェア Diavol の活動と、バンキングトロイの木馬 TrickBot グループが結びつけられた。Wizard Spider として知られる TrickBot グループは、長年にわたって企業ネットワークに大損害を与えてきたマルウェアの開発者であり、Conti や Ryuk などのランサムウェアの攻撃や、ネットワークへの侵入、金融詐欺、企業スパイなどにつながっている。

Continue reading “Diavol ランサムウェアは TrickBot ギャングと関連している:FBI が正式に発表”

インドネシアの中央銀行 Bank Indonesia が Conti に攻撃されデータ・リーク?

Indonesia’s central bank confirms ransomware attack, Conti leaks data

2022/01/20 BleepingComputer — インドネシア共和国の中央銀行である Bank Indonesia (BI) が、先月にランサムウェア攻撃を受け、同社のネットワークが襲われたことを、今日になって認めた。このインシデントでは、BI の従業員が所有する「非重要データ」を攻撃者が盗み出した後に、同行ネットワーク上の 10数台のシステムにランサムウェアのペイロードを展開したと、CNN Indonesia が報じている。しかし、BI の広報担当者によると、Reuter が最初に報じたように、この事件は BI の公共サービスに影響を与える前に軽減されたとのことだ。

Continue reading “インドネシアの中央銀行 Bank Indonesia が Conti に攻撃されデータ・リーク?”

Microsoft 2021-12 月例アップデートは6件のゼロデイと 67件の脆弱性に対応

Microsoft December 2021 Patch Tuesday fixes 6 zero-days, 67 flaws

2021/12/14 BleepingComputer — 今日は、Microsoft の December 2021 Patch Tuesday であり、それに伴い、6つのゼロデイ脆弱性と合計で67件の欠陥が修正された。これらのアップデートには、マルウェアの配布キャンペーンで積極的に悪用されている、Windows Installer の脆弱性の修正も含まれている。Microsoft は、今日のアップデートで 55件の脆弱性 (Microsoft Edge を除く) を修正し、7件を Critical に、60件を Important に分類した。

Continue reading “Microsoft 2021-12 月例アップデートは6件のゼロデイと 67件の脆弱性に対応”

Emotet の復活と高機能化:TrickBot との協調は健在で危険度を増している

Emotet Is Back and More Dangerous Than Before

2021/12/10 DarkReading — アーノルド・シュワルツェネッガーが演じたターミネーターのように、恐ろしいマルウェア Emotet が、再び世界中のコンピュータに感染し、あらゆる組織をランサムウェア攻撃の危険にさらしている。今週、Check Point の研究者たちは、バンキング・トロイの木馬からマルウェアのダウンローダーに変化した Trickbot に感染したシステム上で、Emotet サンプルが投下されているのを確認したと報告している。

Continue reading “Emotet の復活と高機能化:TrickBot との協調は健在で危険度を増している”

TrickBot の感染は1年で 14万件:それをベースに Emotet が拡散される可能性が高い

140,000 Reasons Why Emotet is Piggybacking on TrickBot in its Return from the Dead

2021/12/08 TheHackerNews — この高度なトロイの木馬 TrickBot は、2021年初頭にダウンしたボットネット Emotet を復活させる、新たなエントリー・ポイントになりつつある。その TrickBot も解体が試みられたが、それから1年あまりで、149カ国の14万人の被害者に感染したと推定されている。

Continue reading “TrickBot の感染は1年で 14万件:それをベースに Emotet が拡散される可能性が高い”

Emotet の Cobalt Strike ダイレクト投下機能:ランサムウェア攻撃までの時間が短縮される?

Emotet now drops Cobalt Strike, fast forwards ransomware attacks

2021/12/07 BleepingComputer — Emotet による Cobalt Strike Beacon の、ダイレクトなインストールが可能となり、また、ネットワークへのアクセスが可能となり、ランサムウェアによる攻撃が可能となるという、懸念が生じている。Emotet は、悪意の Word/Excel のドキュメントを取り込んだ、スパム・メールを介して拡散していくマルウェアである。

Continue reading “Emotet の Cobalt Strike ダイレクト投下機能:ランサムウェア攻撃までの時間が短縮される?”

米軍 Cyber Command:ランサムウェアに対抗して攻撃的な手段を講じる

Cyber Command boss acknowledges US military actions against ransomware groups

2021/12/06 CyberScoop — この土曜日に、米 Cyber Command Leader General である Paul Nakasone は、ランサムウェアに対抗して攻撃的な手段を、米軍が講じていることを確認した。New York Times のインタビューに応じた Nakasone は、「過去/現在/将来において、我々は政府の多くの組織とともに行動を起こし、コストをかけてきた。それは、我々が常に念頭に置くべき重要な要素である」と述べている。

Continue reading “米軍 Cyber Command:ランサムウェアに対抗して攻撃的な手段を講じる”

Emotet が偽の Adobe インストーラーを介して広まり始めている

Emotet now spreads via fake Adobe Windows App Installer packages

2021/12/01 BleepingComputer — 現在、マルウェア Emotet は、Adobe PDF ソフトウェアを装う、悪意の Windows App Installer パッケージを介して配布されている。Emotet は、フィッシング・メールや悪意の添付ファイルを介して拡散する、悪名高いマルウェアである。インストールされると、他のスパム・キャンペーンのために被害者のメールを盗み、TrickBot や Qbot などのマルウェアを展開して、ランサムウェア攻撃などへつなげる。

Continue reading “Emotet が偽の Adobe インストーラーを介して広まり始めている”

Microsoft Defender の Emotet 誤検知:Office ファイルも開けず Admin たちは大混乱

Microsoft Defender scares admins with Emotet false positives

2021/11/30 BleepingComputer — Microsoft Defender for Endpoint の現状だが、Emotet マルウェアのペイロードがバンドルされている可能性があるという、誤ったタグをファイルに付けているため、Office ドキュメントがオープンできず、一部の実行ファイルの起動がプロックされるという問題が存在している。

Continue reading “Microsoft Defender の Emotet 誤検知:Office ファイルも開けず Admin たちは大混乱”

Emotet ボットネットの復活をお膳立てする Conti ランサムウェアの役割とは?

Emotet botnet comeback orchestrated by Conti ransomware gang

2021/11/19 BleepingComputer — ボットネット Emotet が復活した背景には、ランサムウェア Conti のメンバーに説得された、元オペレーターの存在があるという。Advanced Intelligence (AdvIntel) のセキュリティ研究者たちは、10ヶ月前に法執行機関が Emotet を停止した後に生じた、高品質なイニシャル・アクセス分野での空白が、このプロジェクトの再開を後押ししたと考えている。

Continue reading “Emotet ボットネットの復活をお膳立てする Conti ランサムウェアの役割とは?”

Conti ランサムウェアが7月以降で稼いだ 30億円:その金の流れを追跡する

Conti ransomware operations made at least $25.5 million since July 2021

2021/11/19 SecurityAffairs — ブロックチェーン分析企業 Elliptic の支援を受けて、スイスのセキュリティ企業 Prodaft が実施した調査により、ランサムウェア Conti の運用者は、2021年7月以降に支払われた身代金のうち、少なくとも $25.5 million の収益を得ていることが明らかになった。

Continue reading “Conti ランサムウェアが7月以降で稼いだ 30億円:その金の流れを追跡する”

Emotet が再生/復活:TrickBot を介してインフラを急速に拡大

Emotet malware is back and rebuilding its botnet via TrickBot

2021/11/15 BleepingComputer — スパム・キャンペーンや悪意の添付ファイルを介して広まる Emotet は、これまでに最も拡散したマルウェアだと言われてきた。Emotet は、感染したデバイスを悪用して他のスパム・キャンペーンを行い、QakBot (Qbot)/Trickbot マルウェアなどのペイロードをインストールしていた。これらのペイロードは、その後に、Ryuk/Conti/ProLock/Egregor などのランサムウェアを展開する脅威アクターのための、初期アクセスに使用されてきた。

Continue reading “Emotet が再生/復活:TrickBot を介してインフラを急速に拡大”

Trickbot マルウェア開発者の逮捕:バンキング・トロイの木馬などの容疑

Trickbot arrest: Russian national extradited to US for alleged role in developing notorious banking trojan

2021/10/29 DailySwig — Trickbot グループのメンバーとして疑われているロシア人が、韓国から米国に送還され、連邦裁判所に初出廷した。Vladimir Dunaev (38歳) は、Trickbot グループのマルウェア開発者として、マルウェアの実行管理、および、ブラウザ改竄プログラムの開発、マルウェアの難読化といった、技術支援を行っていたとされる。

Continue reading “Trickbot マルウェア開発者の逮捕:バンキング・トロイの木馬などの容疑”

FIN12 ランサムウェアは医療機関を狙う:時間をかけない素早い侵害が特徴

FIN12 hits healthcare with quick and focused ransomware attacks

2021/10/07 BleepingComputer — ランサムウェアの多くは、被害者のネットワーク上で時間をかけて、重要なデータを盗み出そうとする。しかし、あるグループは、機密性の高い、価値の高いターゲットに対して、マルウェアを素早く展開することを好む。FIN12 グループは、ファイルを暗号化するペイロードを、ターゲット・ネットワーク上で実行するのに2日もかけず、その大半で Ryuk ランサムウェアを用いている。

Continue reading “FIN12 ランサムウェアは医療機関を狙う:時間をかけない素早い侵害が特徴”

バイデン米国大統領:30カ国が連携してサイバー攻撃を阻止していく

US unites 30 countries to disrupt global ransomware attacks

2021/10/01 BleepingComputer — 今日、バイデン米国大統領は、世界中の組織に影響を与えている一連の攻撃の背後にあるランサムウェア・ギャングを、米国が中心となる 30カ国が共同して取り締まることを発表した。バイデン大統領は、「今月、米国は 30カ国を集め、サイバー犯罪と戦うために、法執行機関の協力体制の強化、暗号通貨の不正使用の阻止、外交的関与における協力を加速さる」と述べている。

Continue reading “バイデン米国大統領:30カ国が連携してサイバー攻撃を阻止していく”

JVCKenwood を Conti ランサムウェアが攻撃:1.5TB のデータと7億円の身代金

JVCKenwood hit by Conti ransomware claiming theft of 1.5TB data

2021/09/30 BleepingComputer — JVCKenwood が、Conti ランサムウェアの攻撃を受けた。脅威アクターは、1.7TB のデータを盗んだと主張し、$7 million の身代金を要求している。JVCKenwood は、日本を拠点とする多国籍エレクトロニクス企業であり、16,956人の従業員を擁し、2021年の売上高として $2.45 billion を計上している。同社は、JVC/Kenwood/Victor というブランドで知られており、カーオーディオや、ホームオーディオ機器、ヘルスケア、業務用/車載用カメラ、ポータブル電源などを製造している。

Continue reading “JVCKenwood を Conti ランサムウェアが攻撃:1.5TB のデータと7億円の身代金”

Microsoft Windows MSHTML CVE-2021-40444 の公開後に攻撃が増大している

Microsoft: Windows MSHTML bug now exploited by ransomware gangs

2021/09/16 BleepingComputer — Microsoft によると、ランサムウェアを含む複数の脅威アクターが、先日にパッチが適用された Windows MSHTML のリモートコード実行の欠陥を狙っているとのことだ。この脆弱性 (CVE-2021-40444) は、回避策などが含まれるセキュリティ・アドバイザリを、Microsoft が公開する2週間以上も前の 8月18日から悪用されている。

Continue reading “Microsoft Windows MSHTML CVE-2021-40444 の公開後に攻撃が増大している”