Trustwave – IoT OT Security News

FlowerStorm の急速な普及：Microsoft 365 を狙う新たな PhaaS プラットフォーム

New FlowerStorm Microsoft phishing service fills void left by Rockstar2FA

2024/12/21 BleepingComputer — Microsoft 365 をターゲットとする、新たな PhaaS (phishing-as-a-service) プラットフォームが登場し、人気を博している。この、FlowerStorm と命名された PhaaS は、Rockstar2 FA の後継であると見られ、その突然のシャットダウンによる空白を埋めている。

Rockstar 2FA という Phishing-as-a-Service：Microsoft 365 などを標的に AiTM 攻撃

Phishing-as-a-Service “Rockstar 2FA” Targets Microsoft 365 Users with AiTM Attacks

2024/11/29 TheHackerNews — Microsoft 365 アカウントの認証情報を盗むことを目的とし、Rockstar 2FA と呼ばれる PhaaS (phishing-as-a-service) ツールキットを利用する、悪意のメール・キャンペーンについて、サイバー・セキュリティ研究者たちが警告している。Trustwave の研究者である Diana Solomon と John Kevin Adriano は、「このキャンペーンでは AitM [adversary-in-the-middle] 攻撃が採用され、攻撃者はユーザーの認証情報とセッション Cookie の傍受を達成する。つまり、多要素認証 (MFA) が有効化されているユーザーであっても、脆弱になる可能性がある」と述べている。

Windows の検索プロトコルを悪用するフィッシング：ローカルとリモートの認識を混乱させる

Phishing emails abuse Windows search protocol to push malicious scripts

2024/06/12 BleepingComputer — 新たに発見されたフィッシング・キャンペーンで用いられるのは、Windows 検索プロトコル (search-ms URI) を悪用する HTML 添付ファイルである。そこから、リモート・サーバにホストされているバッチ・ファイルがプッシュされ、最終的にはマルウェアの配信にいたるという。Windows Search プロトコルは URI (Uniform Resource Identifier) であり、アプリケーションが Windows エクスプローラを開き、特定のパラメータを介した検索を可能にするものだ。

Agent Tesla というマルウェア：銀行振込通知を装うフィッシングで配布されている

Alert: New Phishing Attack Delivers Keylogger Disguised as Bank Payment Notice

2024/03/27 TheHackerNews — 革新的なローダー・マルウェアを活用する、新たなフィッシング・キャンペーンにより、情報窃取とキーロガーの機能を持つ Agent Tesla が配信されている。Trustwave Spider Labs によると、2024年3月8日に、この攻撃チェーンを持つフィッシング・メールが発見されたという。このメッセージは、銀行からの支払い通知を装い、ユーザーにアーカイブ・ファイルの添付ファイルを開くよう促すものだった。このアーカイブ (Bank Handlowy w Warszawie – dowód wpłaty_pdf.tar.gz) には、悪意のローダーが隠されており、感染させたホスト上で Agent Tesla を展開する手順を起動させる。

ModSecurity の WAF バイパスの脆弱性 CVE-2024-1019 が FIX：直ちにアップデートを！

CVE-2024-1019: Exposing ModSecurity’s Critical WAF Bypass Flaw

2024/01/31 SecurityOnline — Web アプリケーション・セキュリティの世界において、ModSecurity は、サイバー脅威対策に強いツールの１つとして、以前から人気を誇っている。Trustwave の SpiderLabs により開発された、このオープンソースの WAF (Web Application Firewall) エンジンは、Apache／IIS／Nginx をサポートしている。さらに、強力なイベントベースのプログラミング言語を使用しており、無数の攻撃から Web アプリケーションを守ることに長けていることに加えて、HTTP トラフィックの監視／ロギング／リアルタイム分析などにも優れている。

FakeAPP という不正広告キャンペーン：偽の Google Ads で Line ユーザーも標的に！

Malicious Ads on Google Target Chinese Users with Fake Messaging Apps

2024/01/26 TheHackerNews — Google Ads で展開されている、Telegram などのメッセージング・アプリの不正広告キャンペーンにより、中国語圏のユーザーが狙われているという。1月25日のレポートで Malwarebytes の Jerome Segura は、「この脅威アクターは、Google の広告主アカウントを使用して悪意の広告を作成し、無防備なユーザーを RAT (Remote Administration Trojan) のダウンロード・ページに誘導している。この種の RAT は、攻撃者による被害者マシンの完全なコントロールを達成し、追加のマルウェアをドロップする能力を与える」と述べている。

Apache ActiveMQ の脆弱性 CVE-2023-46604：Godzilla Webshell による侵害を検知

A Stealthy Godzilla Webshell: A New Threat Targeting Apache ActiveMQ

2024/01/18 SecurityOnline — Apache ActiveMQ ホストの脆弱性を悪用するサイバー攻撃が、この数週間で急増していることを、Trustwave のサイバー・セキュリティ専門家たちが検知した。これらの攻撃では、Godzilla Webshell と呼ばれる、未知のバイナリ形式に隠されたステルス性の高い Web シェルが発見されている。

Rilide という最凶の Chrome エクステンション：PowerPoint ファイルなどがルアー

Chrome malware Rilide targets enterprise users via PowerPoint guides

2023/08/03 BleepingComputer — Rilide Stealer という悪意の Chrome エクステンションが、暗号ユーザーや企業従業員を標的とした新たなキャンペーンにおいて、認証情報や暗号ウォレットの窃取に使用されている。Rilide は、Chrome／Edge／Brave／Opera などの Chromium ベースのブラウザ用の悪意のブラウザ・エクステンションであり、Trustwave SpiderLabs が 2023年4月に発見したものだ。Rilide は正規の Google Drive エクステンションを装いブラウザをハイジャックし、すべてのユーザー活動を監視し、メール・アカウントの認証情報や暗号通貨資産などの情報を盗み出すという。

Killnet の主張：REvil／Anonymous Sudan と連携して欧米の金融組織を攻撃する

Killnet Threatens Imminent SWIFT, World Banking Attacks

2023/06/17 DarkReading — Killnet と呼ばれる親ロシア派のハッカー集団が、ランサムウェア・ギャング REvil の復活に関与していると主張している。その目的はというと、欧米の金融システムに対する攻撃である。しかし、これまで Killnet が行ってきた DDoS 攻撃の実績からすると、単なる威勢のいい脅しに過ぎないのかどうかは不明である。6月16日にロシアの Telegram チャンネルに投稿されたビデオで Killnet は、SWIFT 銀行システム (2018年に Lazarus の標的となった)／Wise 国際電信送金システム／SEPA欧州内決済サービス／欧州米国の中央銀行などの機関に対して、攻撃を仕掛けるという脅しをかけている。

Microsoft 365 に新たなフィッシング攻撃：暗号化された RPMSG メッセージの悪用を検出

Microsoft 365 phishing attacks use encrypted RPMSG messages

2023/05/25 BleepingComputer — 侵害済の Microsoft 365 アカウント経由で送信された、暗号化された RPMSG 添付ファイルを使用して、メールセキュリティ・ゲートウェイによる検出を回避しながら、攻撃者たちは標的型フィッシング攻撃で Microsoft の認証情報を盗み出している。RPMSG (Restricted Permission Message) ファイルとは、Microsoft の Rights Management Services (RMS) を用いて作成された、暗号化電子メール・メッセージの添付ファイルであり、そのアクセスを許可された受信者だけに制限することで、機密情報の保護を強化するものだ。

Rilide マルウェアは Chromium を狙う：偽物の Google Drive エクステンションに要注意

New Rilide Malware Targeting Chromium-Based Browsers to Steal Cryptocurrency

2023/04/04 TheHackerNews — Chromium ベースの Web ブラウザが、新しいマルウェア Rilide の標的になっている。このマルウェアは、正規のエクステンションを装い、機密データを採取し、暗号通貨を吸い上げる。Trustwave SpiderLabs Research は、「Rilide マルウェアは、正規の Google Drive エクステンションに偽装されており、脅威アクターに対して各種の悪意のアクティビティを提供する。具体的に言うと、閲覧履歴の監視／スクリーンショットの撮影に加えて、各種の暗号通貨取引所から資金を引き出すための悪意のスクリプトの挿入なども可能にする」と、The Hacker News に提供されたレポートで述べている。

CatB ランサムウェアの検出回避テクニック：DLL 検索順序ハイジャックとは？

Researchers Shed Light on CatB Ransomware’s Evasion Techniques

2023/03/20 TheHackerNews — CatB ランサムウェアのオペレーターは、検出を回避してペイロードを起動するために、DLL 検索順序ハイジャックと呼ばれる攻撃手法を使用していると確認されている。2022年末に出現した CatB99／Baxtoy とも呼ばれる CatB だが、Pandora という別のランサムウェア株の “進化形または直接的なリブランド” だと言われるのは、コード・レベルの類似性に関する分析が進んだ結果である。Pandora を使用してきたのは、Bronze Starlight (別名 DEV-0401／Emperor Dragonfly) だとされている。中国に拠点を置く、この脅威アクターは、真の目的を隠すために、短命のランサムウェア・ファミリーを採用することで知られている。

Excel への再攻撃を狙う APT：新たな手口は XLL Add-in 侵入ベクター

APT Hackers Turn to Malicious Excel Add-ins as Initial Intrusion Vector

2022/12/28 TheHackerNews — インターネットからダウンロードされた Office ファイルの Visual Basic for Applications (VBA) マクロについて、Microsoft がデフォルトでのブロックを決定したことで、多くの脅威者が、この数カ月で攻撃方法を変更するようになった。Cisco Talos によると、APT (Advanced Persistent Threat) や各種のマルウェア・ファミリーは、イニシャルの侵入経路として Excel Add-in (.XLL) ファイルを使用する傾向を強めているとのことだ。

BEC 攻撃の標的が変化：83% の組織がモバイルの脅威に対して懸念を示す

BEC Attacks Expand Beyond Email and Toward Mobile Devices

2022/12/09 InfoSecurity — Business Email Compromise (BEC) は、SMS を中心とした攻撃を介することで、モバイル・デバイスを標的とするものが増えている。Trustwave のサイバー・セキュリティ専門家による勧告によると、この傾向は、テキスト・メッセージを介したフィッシング詐欺への幅広いシフトを示しているとのことだ。このレポートには、「フィッシング詐欺は、SMS の脅威の中で一般的なものだが、現在は BEC 攻撃もモバイル化されている」と記されている。

Instagram ユーザーを狙う新手のフィッシング：著作権違反を示唆する通知に要注意

Cyberattackers Target Instagram Users With Threats of Copyright Infringement

2022/10/28 DarkReading — 新たなフィッシング・キャンペーンで Instagram ユーザーを標的とする脅威アクターたちは、URL リダイレクトを介したアカウントの乗っ取り、および、将来の攻撃での悪用、ダークウェブでの販売などを目的とした、機密情報の窃取を狙っている。Trustwave SpiderLabs の研究者たちが、10月27日に Dark Reading と共有した分析結果によると、このキャンペーンで用いられるルアーは、標的ユーザーたちに著作権侵害の疑いがあると思い込ませるものだという。それは、Instagram のインフルエンサー／企業／普通のユーザーたちにとって、大きな懸念であるようだ。

Emotet の新たなマルスパム・キャンペーン：CoinMiner と Quasar RAT のドロップが始まった

Emotet Botnet Distributing Self-Unlocking Password-Protected RAR Files to Drop Malware

2022/10/21 TheHackerNews — Emotet ボットネットの新しいマルスパム・キャンペーンは、パスワードで保護されたアーカイブ・ファイルを利用して、感染させたシステムに CoinMiner と Quasar RAT をドロップするものだ。Trustwave SpiderLabs の研究者たちが検出した攻撃チェーンの手口では、請求書を装う ZIP ファイルのルアーに、ネストした自己解凍 (SFX) アーカイブが含まれており、最初のアーカイブを媒介として機能させ、２番目のアーカイブを起動することが判明している。

Canon Medical の脆弱性 CVE-2022-37461：患者情報の流出を Trustwave が警告

Canon Medical Product Vulnerabilities Expose Patient Information

2022/09/30 SecurityWeek — Trustwave は、Canon Medical の医療画像共有ツール Vitrea View に、２つのクロスサイト・スクリプティング (XSS：cross-site scripting) の脆弱性が存在すると、医療機関に警告を発している。企業向け閲覧ソリューションとして知られる Vitrea View は、医療機関／医師／放射線技師などが医療画像を安全に共有するために使用され、デスクトップ／モバイルデバイスの両方でブラウザからアクセスができる。

ロシアによるサイバー攻撃：ウクライナから NATO へと標的が拡大する可能性は？

Russian Use of Cyberweapons in Ukraine and the Growing Threat to the West

2022/08/19 SecurityWeek — その始まりは AcidRain だった。AcidRain は、イタリアの Viasat のサーバーを標的とした攻撃のことであり、ウクライナからヨーロッパ全域において、同社における多数のモデムと、インターネット通信を管理するサーバを狙ったものだった。この攻撃は、ロシアによるウクライナ侵攻のタイミングに合わせて実施され、ロシアからウクライナへ向けたサイバー戦争のテンポを劇的に速めることになった。AcidRain を用いる、戦術的な論拠は明白である。ウクライナの通信機能を低下させることで、ロシア軍は戦況を有利に展開できるからだ。

IPFS 分散型ファイル・システムとサイバー犯罪：フィッシング・キャンペーンの温床？

Researchers Warns of Increase in Phishing Attacks Using Decentralized IPFS Network

2022/07/29 TheHackerNews — IPFS と呼ばれる分散型ファイル・システム・ソリューションが、フィッシング・サイトをホストするための新たな温床になりつつあると、研究者たちが警告を発している。サイバー・セキュリティ企業の Trustwave SpiderLabs は、特定された過去３ヶ月間の攻撃キャンペーンの詳細を公開し、攻撃ベクターとして IPFS フィッシング URL を含む、3,000 以上の電子メールを確認したと述べている。

Facebook ビジネスページでデータ収穫：インタラクティブで本物に見えるフィッシングの新常識とは？

Facebook Business Pages Targeted via Chatbot in Data-Harvesting Campaign

2022/06/29 DarkReading — Facebook のアカウント情報／電話番号の窃取を目的とした、ソーシャル・エンジニアリング攻撃が、Facebook Messenger チャットボット機能を組み込んだ巧妙な手段で、ビジネス・ページを標的にしている。Trustwave SpiderLabs の Senior Security Research Manager である Karl Sigler は、「この攻撃は、そのインタラクティブ性で注目されており、ソーシャル・エンジニアリングのフィッシング攻撃が、いかに複雑になっているかを示している」と、Dark Reading に対して語っている。

NFL の San Francisco 49ers が BlackByte ランサムウェアの攻撃に遭っている

NFL’s San Francisco 49ers hit by Blackbyte ransomware attack

2022/02/13 BleepingComputer — NFL の San Francisco 49ers は、同チームからデータを盗んだと主張する、ランサムウェアギャング BlackByte のサイバー攻撃から回復しつつある。49ers は BleepingComputer への声明の中で、この攻撃を検知し、また、IT ネットワークの一部に一時的な障害が発生したと述べている。ハッカーがランサムウェアの導入に成功／失敗したのかを、49ers は確認していないが、システムの復旧作業を行っている最中であり、デバイスが暗号化されていた可能性が高いと述べている。

Tag: Trustwave