Talos 読者の皆様、こんにちは。
米国ではいよいよ来週が感謝祭。年末商戦が幕を開けるわけですが、「うまい話には裏がある」という言葉をいつにも増して肝に銘じておきたいものです。
サイバーマンデーやブラックフライデーのオンラインセールを楽しみにしている皆様のために、安全に買い物をするための留意点をこちらの記事
にまとめました。Talos の過去のポッドキャスト、ブログ記事、テレビ出演を紹介していますので、ぜひご覧ください。今年は特に、商品が品薄な状況を狙って攻撃者が一儲けを企んでいる可能性があります。XBOX Series X や PlayStation 5 関連の詐欺に十分ご注意ください。
この記事は新しいコンテンツを随時追加していきますので、ブックマークしてご利用ください。
今後予定されている Talos の公開イベント
AvengerCon VI パネル – ランサムウェア サイバー キル チェーン
講演者：Azim Khodjibaev
日時：11 月 30 日午後 1 時 10 分（東部時間）
場所：バーチャル
概要：「ランサムウェアに対抗していくには協力体制に基づいた革新的なアプローチが必要なのは明らかとなっており、企業、政府、情報セキュリティの専門家が一丸となって対応することが期待されています。しかし、どのようなアプローチを検討したらよいのでしょうか？ランサムウェアのエコシステムにはどのような弱点やシングルポイント障害があるのでしょうか？私たちの対抗策にランサムウェア攻撃者はどのように反撃してくる可能性があるのでしょうか？米国の攻撃者はこの状況をどう利用してくるのでしょうか？」Azim Khodjibaev をはじめとするセキュリティ研究の第一人者がこのパネルディスカッションで語ります。
1 週間のサイバーセキュリティ概況
- FBI の電子メールとドメインをハッカーが悪用、サイバー犯罪捜査を装った偽の電子メールが送りつけられる。インタビューに応じた攻撃者は、FBI の Web サイトに脆弱性があることを示したかったと語っています。
- Cisco Talos、難読化された Meterpreter ステージャを使用して Cobalt Strike ビーコンを展開するサイバー攻撃を 2021 年 9 月に発見。攻撃者はミャンマー政府が管理するドメインを攻撃用のサーバーにリダイレクトして標的のマシンに Cobalt Strike を展開していました。
- ジョー・バイデン米大統領が大規模なインフラストラクチャ法案に正式署名、サイバーセキュリティに 20 億ドルの新規投資。地方政府と州政府が大規模な助成金を申請して重要インフラの保護を強化できるようになりました。
- 米国国土安全保障省がサイバーセキュリティ人材の新規採用に向けた新たな取り組みを開始。煩雑な手続きを緩和して給与を引き上げています。また 150 件の「優先的」な求人情報が月曜日に新たに公開されました。
- 英国のサイバーセキュリティ対策の統括機関が今年は記録的な件数のサイバー攻撃に対応したと発表。その大半はロシアからのランサムウェア攻撃だということです。
- Google のセキュリティ研究者がこれまで知られていなかった Mac の脆弱性を悪用した攻撃を香港で確認。先週の時点で攻撃者を特定できるだけの情報は得られていませんが、「国家の支援を受けている可能性がある」と研究者は述べています。
- ニュージーランド政府、「国全体にとって重要」と分類した組織に対するサイバー攻撃が前年比で 15% 増加したと発表。攻撃の約 35% は「侵入後」フェーズに達しており、2020 年と比べて 2 倍近くになっています。
- 週末、Microsoft 社が Windows Server の定例外のセキュリティ更新プログラムをリリース。ユーザーがシングルサインオントークンか Active Directory サービスおよび SQL Server サービスを使用している場合にサーバーがユーザーの認証に失敗する脆弱性を修正しました。
- 新しい「ボットネットスクール」が Web 上で急増。大規模なボットネットを運用し拡大していく方法を教えています。これによってボットネットの活動が 2022 年に向けて増加していくのではないかと研究者は懸念しています。
最近の注目すべきセキュリティ問題
政府が管理する Web サイトを攻撃者がリダイレクトして Cobalt Strike を拡散
2021 年 9 月、Cisco Talos は、リーク版の Cobalt Strike を使用した新しいサイバー攻撃を発見しました。元々は正規ツールとして作成された Cobalt Strike ですが、攻撃を仕掛けるために利用されているため、引き続き監視が必要です。このマルウェアは攻撃対象のマシン上で動作し、反射型インジェクションによって Cobalt Strike ビーコンの DLL を復号して実行するという一般的なローダーです。実行時に複数のライブラリをロードし、組み込まれている設定ファイルに基づいてビーコントラフィックを生成します。設定ファイルには、コマンド & コントロール（C2）サーバーに関連する情報が含まれています。この設定情報は、ミャンマー政府が所有するドメイン www[.]mdn[.]gov[.]mm に接続を試みる最初の DNS リクエストを送信するよう攻撃対象のマシンに指示を出します。このサイトはコンテンツ配信ネットワーク Cloudflare でホストされていますが、実際の C2 トラフィックは、ビーコンの設定ファイル内に指定されている HTTP リクエストのホストヘッダー情報に基づいて、攻撃者が制御するサーバーである test[.]softlemon[.]net にリダイレクトされます。
ClamAV シグネチャ：Win.Backdoor.CobaltStrike-9909816-0
北朝鮮の攻撃者が悪意のあるブログを使用して韓国の著名機関にマルウェアを配布
Cisco Talos は、2021 年 6 月から Kimsuky APT グループによって新たなマルウェア攻撃が行われていることを確認しました。Kimsuky（別名 Thallium、Black Banshee）は北朝鮮の支援を受ける Advanced Persistent Threat（APT）グループで、2012 年から活動しています。この攻撃では、Blogspot でホストされている悪意のあるブログを通じて、予備情報を収集するための 3 種類の悪意のあるコンテンツ（ビーコン、ファイル窃取ツール、インプラント展開スクリプト）が配布されます。インプラント展開スクリプトが実行されると、システム情報窃取ツール、キーロガー、ログイン情報窃取ツールなどのインプラントがさらにエンドポイントに感染します。これらのインプラントは Kimsuky が遅くとも 2017 年から使用している Gold Dragon/Brave Prince マルウェアファミリに由来しています。このマルウェアファミリは現在 3 つのモジュールに分かれています。標的になっているのは韓国に拠点を置くシンクタンクで、北朝鮮、中国、ロシア、米国に関連する政治、外交、軍事面の研究を行っています。
Snort SID：58496、58497
今週最も多く見られたマルウェアファイル
SHA 256：1b259d8ca9bb4579feb56748082a32239a433cea619c09f827fd6df805707f37
MD5：a5e345518e6817f72c9b409915741689
一般的なファイル名：swupdater.exe
偽装名：Wavesor SWUpdater
検出名：W32.1B259D8CA9.Wavesor.SSO.Talos
SHA 256：5bab2ae1cada90f37b821e4803912c5b351fda417bbf0a9c768b715c6d492e13
MD5：a6a7eb61172f8d988e47322ebf27bf6d
一般的なファイル名：wx.exe
偽装名：なし
検出名：Win.Dropper.Wingo::in07.talos
SHA 256：e5044d5ac2f8ea3090c2460a5f7d92a5a49e7fa040bf26659ec2f7c442dda762
MD5：6ea750c9d69b7db6532d90ac0960e212
VirusTotal：
一般的なファイル名：deps.zip
偽装名：なし
検出名：Auto.E5044D5AC2.242358.in07.Talos
SHA 256：8b4216a7c50599b11241876ada8ae6f07b48f1abe6590c2440004ea4db5becc9
MD5：34560233e751b7e95f155b6f61e7419a
一般的なファイル名：SAntivirusService.exe
偽装名：A n t i v i r u s S e r v i c e
検出名：PUA.Win.Dropper.Segurazo::tpd
SHA 256：1487f122c92f3bade35e03b6b0554a80b1563f2c167d9064263845653d912ec6
MD5：ee62e8f42ed70e717b2571c372e9de9a
一般的なファイル名：lHe
偽装名：なし
検出名：W32.Gen:MinerDM.24ls.1201
最新情報を入手するには、Twitter で Talos をフォローしてください。Snort および ClamAV の独自アカウントもぜひフォローし、最新情報をご確認ください。また、こちらから『Beers with Talos』の最新ニュースに登録することもできます。『Talos Takes』のポッドキャストへの登録はこちらからどうぞ。普段お使いのポッドキャストアプリでもご登録いただけます。『脅威情報ニュースレター』を未購読であれば、ぜひこちらからご登録ください。
本稿は 2021 年 11 月 18 日に Talos Group
Authors