脅威リサーチ

脅威情報ニュースレター（2020 年 7 月 16 日）

TALOS Japan
2020年8月4日

Talos 読者の皆様、こんにちは。

米国選挙のセキュリティに関する Cisco Talos の綿密な調査レポートが公開されました。ぜひご一読ください。4 年間の実地調査やインタビューの内容を紹介し、2016 年以降の変化について分析しています。米国の選挙を保護する際に今なお立ちはだかる難題についても取り上げています。

このレポートは、11 月の米国総選挙に先立って公開するシリーズ企画の第一弾となります。次回以降については、随時お知らせします。

他のトップニュースは、Microsoft 社から公開された、Windows サーバの DNS に関連する重大な脆弱性です。同社から今週公開された Hyper-V エンジンの重大な脆弱性 6 件は、Cisco Talos が発見に関わっています。詳細な内訳および Snort ルールについては、Cisco Talos のブログ投稿をご覧ください。

今後予定されている公開イベント

イベント：“High-speed fingerprint cloning: Myth or reality?” at BSides Portugal（BSides Portugal：「現実味を帯びる指紋の高速複製」）
会場：オンライン配信
開催日：7 月 23 日
講演者：Paul Rascagneres、Vitor Ventura
骨子：スマートフォン、ノートパソコン、タブレットといったデバイスの多くでは、ロック解除に指紋スキャナが利用されています。しかし指紋認証は、実のところどの程度安全なのでしょうか。Talos の研究者は、人工的に複製した指紋で認証を突破できるかどうかを検証しました。攻撃者も採用しそうな手口です。当日の講演では、発見内容について Paul と Vitor が解説します。

1 週間のサイバーセキュリティ概況

ロシア政府の支援を受ける攻撃者が、新型コロナのワクチン開発に関する情報を狙ってサイバー攻撃を仕掛けたと報道される。米国、英国、カナダの政府当局者は、これを一斉に非難しています。学術機関や医学研究組織をサイバー攻撃の標的にしていたとされるのは、ハッカー集団の APT29 です。
著名人の Twitter アカウント複数がハッキングされる。今週、Elon Musk、Joe Biden、Bill Gates の各氏をはじめとする米国著名人のアカウントが、ビットコイン詐欺に利用されました。この事態を受け、Twitter 社は認証済みアカウントすべてからの新規投稿を一時的に停止しました。
Twitter 社は、今回のハッキングが「組織的なソーシャルエンジニアリング攻撃」だと見られるとの声明を発表。さらに、社内ツールにアクセスできる Twitter 社の従業員が攻撃で狙われたとの見解を示しています。
Microsoft 社、7 月のセキュリティ更新プログラムを公開。17 年間にわたって発見されていなかった Windows DNS の脆弱性を修正しました。この脆弱性がエクスプロイトされた場合、マルウェアが急激に拡散する恐れがあります。同社とセキュリティ研究者は、更新プログラムをただちに適用するよう共同で呼びかけています。
英国政府は、中国企業 Huawei 社に対し、同社の製品を英国の 5G ネットワークから撤去するよう命令。同社の関与に問題はないとしていた現政権にとって、大きな方向転換になります。
最新の報告によれば、CIA は先頃、サイバー諜報活動を実施するための広範な権限を獲得。新たな権限を行使すれば、ホワイトハウス筋から事前に承認を得ることなく、独自にサイバー活動を実施できます。
米国政府、人気を集めているソーシャルメディアアプリ TikTok を制限または禁止することを検討中。あるホワイトハウス当局者は、中国企業が開発した同アプリにセキュリティ上の懸念が存在するとして、一連の新たな規制に数週間以内に乗り出す可能性を示唆しています。
「BlackRock」と呼ばれる新たな Android マルウェアに感染した場合、337 種のアプリからログイン情報とクレジットカードデータが盗み出されることが判明。セキュリティ研究者によれば、BlackRock は、流出した Xerxes マルウェアのソースコードを基にしています。
最新の iOS および iPadOS では、電子的な自動車キーを使用して一部車種（BMW）のロックを解除可能に。Apple 社は、この機能に対応する自動車メーカーが今後増加すると述べています。

最近の注目すべきセキュリティ問題

タイトル：Microsoft 社のセキュリティ更新プログラム、今月は DNS のバグに加え、Intel 社と AMD 社の製品に影響する重大な脆弱性も修正
説明：Microsoft 社は、月例のセキュリティ更新プログラムを公開し、同社のさまざまな製品の脆弱性を 120 件以上公表しました。脆弱性の中で「緊急」と評価されているものは少数ですが、Microsoft 社および Windows 製品のユーザはできるだけ早急に使用中のソフトウェアを更新してエクスプロイトを防ぐ必要があります。今回のセキュリティ更新プログラムでは、Hyper-V エンジン、Microsoft Word、その他の Microsoft Office スイート製品を含め、多岐にわたる製品が対象となっています。Microsoft 社が今月修正した 6 件の重大な脆弱性が悪用された場合、Windows Hyper-V エンジンの RemoteFX 機能がエクスプロイトされ、リモートから任意コードを実行される危険性があります。これらの脆弱性の影響を受けるのは、Intel 社製および AMD 社製の一部ドライバです。
参考資料：https://blog.talosintelligence.com/2020/07/vuln-spotlight-intel-amd-microsoft-july-2020.html

https://blog.talosintelligence.com/2020/07/microsoft-patch-tuesday-for-july-2020.html
Snort SID：54509 ～ 54511、54516 ～ 54518、54521 ～ 54525、54534、54535

タイトル：政府機関にとっての最大の脅威、NetSupport RAT
説明：米国の国土安全保障省は先頃、同省の侵入防御システムによって検知された、蔓延率トップ 3 のマルウェアファミリについて、報告書を公開しました。最も蔓延しているのはリモートアクセスツール（RAT）の NetSupport Manager であり、次いでトロイの木馬の Kovter、そして暗号通貨マイナーの XMRig の順となっています。NetSupport は悪意のない管理ソフトウェアを利用して標的に感染した後、リモートからのマシンの操作を可能にします。
Snort SID：54496

今週最も多く見られたマルウェアファイル

SHA 256：449f4a4524c06e798193c1d3ba21c2d9338936375227277898c583780392d4d8
MD5： 179c09b866c9063254083216b55693e6
一般的なファイル名：SAService.exe
偽装名： SAService
検出名： PUA.Win.File.Segurazo::95.sbx.tg

SHA 256：8b4216a7c50599b11241876ada8ae6f07b48f1abe6590c2440004ea4db5becc9
MD5： 34560233e751b7e95f155b6f61e7419a
一般的なファイル名： SAService.exe
偽装名： SAService
検出名： PUA.Win.Dropper.Segurazo::tpd

SHA 256：85b936960fbe5100c170b777e1647ce9f0f01e3ab9742dfc23f37cb0825b30b5
MD5： 8c80dd97c37525927c1e549cb59bcbf3
一般的なファイル名： eternalblue-2.2.0.exe
偽装名： N/A
検出名：W32.85B936960F.5A5226262.auto.Talos

SHA 256：094d4da0ae3ded8b936428bb7393c77aaedd5efb5957116afd4263bd7edc2188
MD5： a10a6d9dfc0328a391a3fdb1a9fb18db
一般的なファイル名： FlashHelperServices.exe
偽装名： Flash Helper Service
検出名： PUA.Win.Adware.Flashserv::100.sbx.vioc

SHA 256：e3eeaee0af4b549eae4447fa20cfe205e8d56beecf43cf14a11bf3e86ae6e8bd
MD5： 8193b63313019b614d5be721c538486b
一般的なファイル名： SAntivirusService.exe
偽装名： SAService
検出名： PUA.Win.Dropper.Segurazo::95.sbx.tg

Twitter で Talos をフォローして最新情報を入手してください。Snort 、ClamAV および Immunet の独自アカウントもぜひフォローし、最新情報をご確認ください。また、こちら（またはお使いのポッドキャストアプリ）から『Beers with Talos』のポッドキャストを購読することもできます。『脅威情報ニュースレター』を未購読であれば、ぜひこちらからご登録ください。