3月中旬、Unit 42は「DNSトンネリング: 攻撃者はDNSをどう悪用するのか」というブログを公開し、マルウェアがどのようにDNSのクエリ、DNSレスポンスを使用してコマンドと制御チャネルとして機能するのかについて説明しました。このブログを補足するため、OilRigという名で知られる攻撃グループによって使用されているDNSトンネリングを活用した一連のツールについて説明することにしました。

パロアルトネットワークスは、セキュリティの最先端を行く3つのイノベーションを発表しました。これらのイノベーションによって、セキュリティ業界の変革に挑もうとしています。まず1つ目は、ディテクション（検知）・調査・レスポンスSaaSアプリケーションCortex XDRです。これは、高度な攻撃をディテクションして阻止するだけでなく、将来のサイバー攻撃に備えて防御機能を絶えず進化させ、セキュリティ運用をサポートするSaaS型のアプリケーションです。

Next Generation Mobile Networks (NGMN) Allianceに参加し、5Gネットワークを保護するための業界標準に関する提言の推進に携わることになりました。

2019年2月下旬、Unit 42はこれまで見たことのない新しいプロセッサ/アーキテクチャ用にコンパイルされたMiraiのサンプルを発見しました。新たなプロセッサへの展開は、Miraiの開発者が積極的に革新を追い求め、増え続けるIoTデバイスをターゲットにしていることを示しています。

前回までではWiresharkの列表示のカスタマイズ方法と表示フィルタの式について見ていきました｡本稿ではトラフィックから感染ないし侵害を受けたホスト名やユーザーを特定する方法について説明します｡

世界の医療クラウド コンピューティング市場は、2022年までに350億ドルに成長すると予想されています。しかし、すべてのクラウド採用が等しく進んでいるわけではありません。大量の生産ワークロードをクラウドで実行し、コンテナやサーバーレスのような新たに出現したクラウド テクノロジすら利用して、全力で取り組んでいる医療組織もあり、まだその前の段階にいる、つまり、より効率的なビジネス協業を求めてクラウドが提供するインフラストラクチャを利用するか、SaaS を活用しているだけの医療組織もあります。HIMSS Analyticsが公開したデータによると、医療クラウドを使用する大部分の目的は、臨床アプリケーションとデータのホスティング、データのバックアップと復元、運用アプリケーションのホスティングを支援することです。

本稿ではLockerGogaと呼ばれるランサムウェア攻撃について考察します。弊社では動作とコードが最初の亜種と類似している31個のランサムウェアのサンプルを確認しています。これらのサンプルの起源をさかのぼり、その進化について議論した後、その内部的な機能と、問題点について明らかにしていきたいと思います。

Dockerは今年で6年目を迎えました。それだけの年月が流れてなお、コンテナのための明確な戦略が欠けているセキュリティチームが数多く見受けられます。そうしたチームはしばしば、クラウドのセキュリティとコンテナのセキュリティに個別に対応しています。

企業でのコンテナの急速な採用は、セキュリティをシフトレフト(前倒し)するための、またとない機会と言えます。セキュリティのリーダーとして、皆さんはこのチャンスをうまく使っているでしょうか。以前の投稿では、コンテナとパブリッククラウドの間の本質的な関連について説明しました。この記事では、コンテナが開発チームとセキュリティチームの間の隔たりを埋める最も重要な機会の1つである理由を説明します。

2017年からUnit42が観測を続けてきたCardinal RATが再び動きを見せました。フィンテック企業を標的に限定的な攻撃を仕掛けています。攻撃の中では別のマルウェアファミリEVILNUMが利用されている様子も伺えました。

2019年1月上旬、Unit 42は悪名高いIoT/LinuxボットネットMiraiの新しい亜種を発見しました。Unit 42はこの亜種がWePresentのWiPG-1000 Wireless PresentationシステムとLGのSupersign TVを標的にしていることを突き止めました。両デバイスとも、企業での利用を想定した製品です。この事実から、今後Miraiの標的が企業に移行していく可能性が示唆されます。標的は変化しており、新しいエクスプロイトが複数組み込まれ、さらにデバイスへのブルートフォース攻撃用の新しい資格情報も組み込まれています。ボットネットの攻撃面はさらに広がります。とくに、エンタープライズのネットワークを標的にすればアクセスできる帯域幅が大きく広がることから、DDoS攻撃ボットネットの攻撃力がさらに高まります。

「組織の76%が、自分たちの利用しているクラウド サービス プロバイダーがすべてのデータ プライバシーとコンプライアンス規制に対処していると確信している」 開いた口がふさがらないほど驚いてしまったので、このブログ投稿を書き始めました。

悪意のある攻撃者は､ドメインネームサービス(DNS)をコマンド＆コントロール(C2)用通信チャネルとして悪用してきました｡またこのプロトコルはこのほかに､データを漏出させる目的でも悪用されてきました。DNS の悪用はC2に「ハートビート」接続のために通信するという用途からさらに広がっており､攻撃者はここ数年、悪意のあるデータやペイロードをDNS経由で被害者のシステムに侵入させる用途にもDNSを使っています｡本稿では､DNSを悪用したデータ侵入・漏出の種類、方法、使用方法を紹介し、その防御メカニズムへの指針を示します。

2018年12月、Palo Alto Networks脅威インテリジェンス調査チームUnit 42のリサーチャーは進行中のキャンペーンを確認しました。このキャンペーンはホスピタリティセクタ、とくホテルの予約に重点を置いていました｡

Unit 42は2016年からChaferの活動を観測していますが、Chaferは遅くとも2015年からは活動していることが分かっています。新しい第2段階のペイロードはPythonベースで、PyInstallerユーティリティを使って実行形式にコンパイルされています。同攻撃者がPythonベースのペイロードを利用する様子を確認したのは､Unit 42 ではこれが初めてです。なおOilRigのClayside VBScriptとコードに重複が見られることは確認していますが、現時点で私たちはChaferとOilRigを別々の脅威攻撃グループとして追跡しています。私たちは､このペイロードを追跡するにあたりMechaFlounderと名付けました｡

昨年、Unit 42は、新しく発見された、諜報機能を持つAndroidマルウェア ファミリ、HenBoxについて記事を書きました。HenBoxは、Xiaomi製IoTデバイスや中国の家電メーカーのスマート フォンとの対話など、主にウイグル族の人々を標的として、被害端末に対するさまざまな諜報機能を備えています。

少なくとも2015年以来、 おそらくは南アジアを拠点としている脅威攻撃グループBITTERは、これまで報告されていないダウンローダの亜種を使用してパキスタンと中国の組織を標的にしています。パロアルトネットワークス脅威インテリジェンス調査チームUnit 42はこのマルウェアファミリを、サンプル内で発見されたPDB文字列に基づいてArtraDownloaderと命名しました。このダウンローダーについては3つの亜種を確認しており、最初期のタイムスタンプは2015年2月のものでした。このダウンローダーが遠隔アクセス用トロイの木馬(RAT)BitterRATを頻回ダウンロードする様子を確認していますが、BitterRATはBITTER脅威攻撃グループの活動に関連しているものです。

2019年2月、Palo Alto Networks脅威インテリジェンス調査チームUnit 42は、2018年11月に送信されたスピアフィッシング電子メールを特定しました。その電子メールには新しいマルウェアが含まれていましたが､このマルウェアが利用するインフラストラクチャは､北朝鮮による攻撃キャンペーンに結びついたプレイブックと同じものでした｡

Unit 42は、特定のファイル属性とインフラストラクチャの指標をもとに､WINDSHIFT攻撃グループによる活動を特定し､過去の DarkMatter､Objective-Seeによる調査結果と相関させました｡この結果得られた中東の政府機関で展開された標的型WINDSHIFT攻撃の詳細を説明します。

パロアルトネットワークスの脅威インテリジェンスチームUnit 42は、Macプラットフォームを標的にすることで知られているマルウェア「OSX.DarthMiner」から開発されたと思われる、仮想通貨取引所などに関連したブラウザのCookieを窃取するマルウェアを発見しました。

OceanLotus (別名APT32)は、東南アジア発祥の最も高度な脅威攻撃者の1つであることがわかっている脅威攻撃者グループです。この数年間に複数の攻撃キャンペーンが複数のセキュリティ組織によって報告され、この脅威攻撃者が使用しているツールおよび戦術が記録されました。OceanLotusの標的はグローバルですが、彼らの活動がアクティブなのはほぼアジア太平洋地域内で、ベトナムに関係のある複数の業界、外国政府、活動家、反体制派にわたって民間部門を標的にしています。

2018年12月20日、米国司法省は、2人の中国人をコンピュータハッキング、電信詐欺の謀略、および個人情報窃取の罪で起訴 しました。この2人は、menuPass(別名APT10/Stone Panda/Red Apollo/CVNX/Potassium)として知られるハッキンググループのメンバーであるとされており、起訴状によれば、中国国家安全保障省の要請で違法行為を行ったとされています。起訴状の告発は2014年に開始された Operation Cloud Hopper と呼ばれる長期攻撃キャンペーンに端を発しており、主にMSP(Managed Security Provider)を標的にMSPとクライアントの知的財産を窃取するほか､さらなる攻撃にもネットワークを利用しています。

Redamanは2015年に初めて確認されたバンキング マルウェアで、ロシアの金融機関を利用して取引を行う受信者を標的とします。最初はRTMバンキング型トロイの木馬として報告され、2017年に、SymantecやMicrosoftなどのベンダーがこのマルウェアの更新バージョンをRedamanと呼び始めました。2018年9月から12月までの4か月間に、Redamanのさまざまなバージョンが、ロシア語の大量配信キャンペーンで見つかっています。このブログでは、2018年9月から12月までの時点でこのバンキング マルウェアを配信していた悪意のあるスパム(マルスパム)の継続的なキャンペーンから見つかった新たな進化に関する調査結果を紹介します。

パロアルトネットワークスでは、さまざまな手法を使用して、お客様がアクセスしたWebサイト上の、悪意のあるWebページや悪意のあるJavaScriptを検出しています。弊社のセキュリティ クローラーは、シグネチャ一致などの静的なアプローチに加え、Webページ上で検出されたすべてのスクリプトを実行し、それらの動的なふるまいを観察しています。2018年10月19日から2018年11月19日の間、弊社では１日単位のURLフィルタリング カテゴリでは未知と判断されていたURLに挙動分析を適用しました。その後、Alexaトラフィックランクの上位100万個のURLと最近登録されたドメインのフィードをクロールしました。全体として、8,712を超える個別URLから延べ9,104の仮想通貨マイニング スクリプト、4,633を超える個別URLから4,788の悪意あるJavaScriptsを検出しました。これらは、静的解析では検出できなかったものでした。

パロアルトネットワークスの脅威インテリジェンスチームUnit 42は、Linuxを使った仮想通貨マイニング マルウェアの新しいサンプルを調査しました。弊社で把握している限り、これはクラウドセキュリティ製品を狙い、削除するという珍しい機能を持つ初めてのマルウェアファミリーです。

パロアルトネットワークスの脅威インテリジェンスチームUnit 42は、Linuxを使った仮想通貨マイニング マルウェアの新しいサンプルを調査しました。弊社で把握している限り、これはクラウドセキュリティ製品を狙い、削除するという珍しい機能を持つ初めてのマルウェアファミリーです。

前回は Wiresharkの列表示のカスタマイズ方法について見ていきました｡本稿では脅威インテリジェンスの調査上便利なフィルタリングの設定方法について説明します｡

Wireshark は無料で利用できるプロトコル アナライザです｡ Wireshark を使うとネットワーク トラフィックをキャプチャしたり､キャプチャしたパケットを表示させることができます｡そこでパロアルトネットワークスの脅威インテリジェンス調査チーム Unit42 に所属するアナリストが､Wireshark を使ってマルウェア検体が生成したトラフィックをレビューするさいに利用している便利な使いかたをご紹介していきます｡

パロアルトネットワークスの脅威インテリジェンスリサーチチームUnit 42は定期的にEメールリンク分析(ELINK)システム を見直しています。収集したデータを調べると、よく見られるWebの脅威を識別するのに役立つパターンと傾向がわかります。このブログは、年間を通じてWebベースの脅威、特に悪質なURL、ドメイン、エクスプロイトキット、およびCVEに関する統計を追跡している一連の記事の第3回(2018年第3四半期)にあたります。

11月8日、日本の気象庁は、同庁の警報を装った偽の迷惑メールに関して報道発表を行いました。本ブログでは、Unit 42によるSmoke Loaderと気象庁を装った攻撃に関する分析について解説します。