Talos 読者の皆様、こんにちは。
昨日は、ビジネスメール詐欺について取り上げたライブ配信にご参加いただき、ありがとうございました。ライブ配信を見逃した方は、YouTube ページで録画をご覧いただけます
。Talos アウトリーチチームの Nick Biasini が、ビジネスメール詐欺を回避して、こうした悪意のある攻撃を検出できるよう、優れたアドバイスを提供しています。
短い方がよろしければ、先週の Talos Takes のエピソードをお聴きください。
また今週は、情報窃取プログラムでありキーロガーでもある Solarmarker に関する新たな調査を公開しました。この脅威の成長ぶりと Cisco Secure 製品を使用した防御方法について説明しています。
今後予定されている Talos の公開イベント
開催日：7 月 31 日 〜 8 月 5 日
場所：バーチャルおよび Mandalay Bay Hotel and Resort（ネバダ州ラスベガス）
概要：今年はハイブリッド形式で開催される BlackHat カンファレンスで、Talos と Cisco Secure が主催するトーク、模擬討論、インシデント対応レッスンにぜひご参加ください。
ワークショップ：Analysing Android malware at VirusBulletin localhost 2021
講演者：Vitor Ventura
開催日：10 月 7 日 〜 8 日
場所：バーチャル
概要：Android のマルウェア感染が広まっています。このワークショップでは、Vitor Ventura が Android のマルウェアのリバースエンジニアリング手法を紹介します。参加者にはマルウェア分析のさまざまなアプローチが提供され、自動ツールを使用せずに独自に分析できるよう構成されています。他のすべて方法が失敗した場合、内部の状況を把握する必要があります。ワークショップでは、マルウェアの解凍、文字列の難読化解除、コマンド ＆ コントロールプロトコルの識別、機能の識別について解説します。
1 週間のサイバーセキュリティ概況
- 複数の政府が、NSO Group のスパイウェア「Pegasus」購入のために大掛かりな取り組みを行っていたことが、セキュリティ研究者とプライバシー擁護団体によって明らかに。ジャーナリスト、活動家、政治家を監視下に置くために Pegasus が使用されたとのことです。
- 今回の報告を受け、前二政権が合計 6,100 万ドルを Pegasus 購入に充てていたことをメキシコ政府が公表。契約には、政府関係者へのリベートとみられる金額が上乗せされていました。
- Pegasus に関する報告を受け、自分もスパイウェアの被害を受けているのではないかと多くのユーザが懸念。スパイウェアを回避する方法は多数あります。明らかなソーシャル エンジニアリング メッセージを避けること、中間者攻撃のテストを行うこと、新しくリリースされたオープンソースのソフトウェアを使用してスパイウェアをチェックすることなどです。
- ジョー・バイデン米大統領が新しい大統領令に署名、重要インフラ運営企業を対象とした自主的なサイバーセキュリティ目標の策定を連邦政府機関に指示。9 月下旬までに暫定的な目標を定め、年末までにはセクター横断的な基準を別途定めるよう求めています。
- ランサムウェア「Death Kitty」、南アフリカの複数の港に対する攻撃に関連。先週後半に発生した一連の攻撃により、港湾運営会社はコンテナターミナルで不可抗力の事態が発生したことを宣言、貨物処理を手動に切り替えざるを得なくなりました。
- Apple 社、今週 macOS、iPadOS、iOS のアップデートを公開。修正された脆弱性の中には、攻撃者が積極的にエクスプロイトを仕掛けていたものもあります。最も深刻な脆弱性がエクスプロイトされると、カーネル権限で任意のコードが実行される危険性があります。
- Kaseya 社、最近同社のユーザが多数被害を受けた REvil ランサムウェア攻撃の復号化ツールを入手。同社によれば、このキーは「信頼できるサードパーティ」から取得したもので、使用すれば身代金を支払うことなく失ったファイルを取り戻すことができます。
- 米国と一部同盟国が共同作成したアドバイザリで、2020 年と 2021 年に特にエクスプロイトされることが多かった脆弱性について概説。これまでのところ、今年最も標的になりやすいのは脆弱な Microsoft Exchange Server です。
最近の注目すべきセキュリティ問題
件名：トロイの木馬 Trickbot、スパイ用の新モジュールを携えて復活
説明：Trickbot については、昨年テイクダウンが試みられました。しかし、Trickbot に関係のあるコマンド & コントロール（C2）トラフィックが増加していることが、セキュリティ研究者により確認されています。このボットネットには、監視とインテリジェンス収集に使用される「vncDll」モジュールの新しいバージョンも搭載されています。モジュールは度々更新されているとみられ、バグ修正と機能追加が行われています。現在では、標的のデスクトップをミラーリングした仮想デスクトップを作成し、画面を監視して情報を盗み出せるようになっています。また従来からある Trickbot の機能も健在です。新たなペイロードをダウンロードして追加の攻撃を実行し、標的のドキュメントと電子メールを開いて C2 にデータをアップロードします。
Snort SID：57948 〜 57950
件名：マルウェア Shlayer が未だに偽の Flash アップデートを利用
説明：Adobe 社は Flash Player のサポートを終了していますが、依然として Flash Player が攻撃に利用されています。Shlayer マルウェアの背後にいる攻撃者は、ユーザをだまして悪意のあるリンクをクリックさせるため、macOS ユーザに偽の Flash Player 更新通知を送信します。マルウェアのインストールには、ユーザが悪意のあるファイルをダウンロードする必要があります。Shlayer は、これまで少なくとも 3 年間にわたり macOS ユーザを標的にしてきた有名なマルウェアです。Shlayer がインストールされると、被害を受けたマシンにアドウェアが導入されます。また最終的には、別のペイロード（通常はこちらもアドウェア）が取得されます。
Snort SID：57919、57920
今週最も多く見られたマルウェアファイル
SHA 256：c1d5a585fce188423d31df3ea806272f3daa5eb989e18e9ecf3d94b97b965f8e
MD5：9a4b7b0849a274f6f7ac13c7577daad8
一般的なファイル名：ww31.exe
偽装名：なし
検出名：W32.GenericKD:Attribute.24ch.1201
SHA 256：9a74640ca638b274bc8e81f4561b4c48b0c5fbcb78f6350801746003ded565eb
MD5：6be10a13c17391218704dc24b34cf736
一般的なファイル名：smbscanlocal0906.exe
偽装名：なし
検出名：Win.Dropper.Ranumbot::in03.talos
SHA 256：f0a5b257f16c4ccff520365ebc143f09ccf233e642bf540b5b90a2bbdb43d5b4
MD5：84452e3633c40030e72c9375c8a3cacb
一般的なファイル名：sqhost.exe
偽装名：なし
検出名：W32.Auto:f0a5b257f1.in03.Talos
SHA 256：8b4216a7c50599b11241876ada8ae6f07b48f1abe6590c2440004ea4db5becc9
MD5：34560233e751b7e95f155b6f61e7419a
一般的なファイル名：SAntivirusService.exe
偽装名：A n t i v i r u s S e r v i c e
検出名：PUA.Win.Dropper.Segurazo::tpd
SHA 256：302f58da597128551858e8d53229340941457cad6729af0d306ebfa18a683769
MD5：39e14b83d48ab362c9a5e03f885f5669
一般的なファイル名：SqlServerWorks.Runner.exe
偽装名：SqlServerWorks.Runner
検出名：W32.302F58DA59-95.SBX.TG
最新情報を入手するには、Twitter で Talos をフォローしてください。Snort 、ClamAV および Immunet の独自アカウントもぜひフォローし、最新情報をご確認ください。また、こちら から『Beers with Talos』の最新ニュースに登録することもできます。『Talos Takes』のポッドキャストへの登録はこちらからどうぞ。普段お使いのポッドキャストアプリでもご登録いただけます。『脅威情報ニュースレター』を未購読であれば、ぜひこちらからご登録ください。
本稿は 2021 年 07 月 29 日に Talos Group
Authors