概要 「Tick」 は、主に日本と韓国を標的にしているサイバースパイ攻撃グループで、Minzen、Datper、Nioupale (別名 Daserf)、HomamDownloaderなどのカスタムマルウェアを使って攻撃キャンペーンをしかけることで知られています。パロアルトネットワークスの脅威インテリジェンス調査チーム Unit 42 はこれ以前に、2017年7月にも同グループについて報告したことがあります。

要約 フィッシングは、依然として、サイバー攻撃の最も危険な脅威ベクトル(手段、経路)の1つです。エクスプロイト キットは、全体として減少傾向にありますが、「ランサムウェアから暗号通貨マイニングと情報盗難へ ― エクスプロイトキットRig EKの変遷」の記事で示したように、フィッシング自体は減っていません。直近でUnit 42は、フィッシング攻撃およびフィッシングURLについて調査を行いました。このブログでは、2018年の第1四半期、1月から3月にかけてのフィッシングの結果を、特にHTTPSフィッシングURLに重点を置いて、統計的に示します。

要約 このブログでは、Unit 42よりEmail Link Analysis (ELINK)の2018年第1四半期の分析と統計を紹介し、最新のWeb脅威についての興味深い発見を取り上げます。はじめにCVE、悪意あるURL、およびエクスプロイトキット(EK)についての統計情報を説明し、次にこれらのWebベースの脅威の現在のライフサイクルについて述べ、そして進化し続けているEKと仮想通貨マイナーの2つのケーススタディで締めくくります。

パロアルトネットワークスの脅威インテリジェンスチームUnit 42では、この数か月というもの、仮想通貨マイナー（仮想通貨を採掘するプログラム）の新しい脅威やキャンペーンを調査する機会が非常に多くなっていました。そのうち、この増加の理由が偶然によるものか、あるいはより大きな傾向を組んだ結果なのかという疑問を持ち始めました。そこで、パロアルトネットワークスのWildFireクラウド脅威解析サービスを活用し、これまでに特定された仮想通貨マイニングマルウェアの数を調べた結果、そうしたマルウェアの特定頻度が急激に高まっていることが判明しました。

Sofacyグループは、依然としてグローバルな脅威として存在しています。Unit 42およびその他の機関は、2018年上半期に、この脅威グループが特に北米とヨーロッパの政府機関、外交機関、およびその他の戦略的組織を中心として、いかにして世界中の複数の組織を引き続き標的にしているかを示しました。

新たなマルウェア ファミリまたはキャンペーンを見つけて調査する作業は、衣服のほつれた糸を辿っていくようなものです。 糸をゆっくりと引くと網目がほどけていくように、真相が徐々に解明されるのです。 今回はSquirtDangerという新たなマルウェア ファミリの調査から開始しました。このマルウェアの攻撃では、 DLLファイル「SquirtDanger.dll」が使用されるからです。このマルウェア ファミリは、 ハンドル名「TheBottle」で知られるロシア人のマルウェア作成者によるものであることを示す強力な証拠があります。 いくつかのリードを辿っていくことで、TheBottleが背後にいることが明らかになりました。 この投稿では、TheBottleの活動と、彼が作成した最新のマルウェア ファミリがどのように特定されたかを詳細に説明していきます。

EST Securityによる最近の投稿で、北朝鮮のReaperグループ(APT37、Scarcruft、Group 123、Red Eyesとしても知られる)とつながるスピアフィッシング メールの添付ファイルで、Androidスパイウェアが使用されていることがわかりました。この脅威グループのツールキットに新たにモバイル ベクトルが追加されたことが注目されています。

ここ数か月の間、Unit 42は、「Rarog」と呼ばれるあまり知られていない暗号通貨マイニング トロイの木馬を調査してきました。 Rarogは、2017年6月以降さまざまな地下フォーラムで販売され、それ以来、無数の犯罪者によって使用されてきました。今日まで、パロアルトネットワークスは、161の異なるコマンド&コントロール(C2)サーバーに接続している、約2,500の独自のサンプルを観察しました。

あなたの会社では、業務用PCとは別にモバイルPCが用意されていますか？そんなPCに潜むセキュリティの問題点と、パロアルトネットワークスによる解決策を、弊社シニアプロダクトマーケティングマネージャ―の広瀬が解説します。

パロアルトネットワークスは、サイバー攻撃を阻止し、デジタル時代の人々の暮らしを保護するという使命を果たすため、常に新しい手法を探求しています。攻撃者が用いるあらゆる攻撃手段を分析し、阻止するための新しい保護策を系統的に追加しています。

TelegramのボットAPIを悪用し、イラン人を標的にするAndroidマルウェアは初めてのケースではありません。この手法を利用したトロイの木馬の出現については、2017年6月および７月に議論されています。Telegramボットは、セットアップに追加の電話番号を必要としない特別なアカウントで、一般的には外部サービスのコンテンツによってTelegramチャットを強化したり、カスタマイズされた通知やニュースを取得したりするために使用されます。わたしたちは、これらのTelegramボットが悪意のあるAndroidアプリケーションのコマンド&コントロールにどのように利用されたか、調査を開始しました。

Unit 42は、新しいAndroidマルウェア ファミリを最近発見し、「HenBox」と命名しました。「HenBoxは、VPNおよびAndroidシステム アプリなどのアプリになりすまし、多くの場合これらのアプリの正規バージョンをHenBoxと一緒にインストールすることで、ユーザーをだまして正規のアプリをダウンロードしたと思わせます。

2016年10月、Unit 42は、Sofacy脅威グループによって使用されたFlashエクスプロイト フレームワークの分析を初めて公開しました。このフレームワークはDealersChoiceと呼ばれています。Sofacyは、2016年の秋に繰り返しDealersChoiceを使用しました。3月12日と3月14日、SofacyグループがDealersChoiceの更新された亜種を使用してヨーロッパの政府機関を攻撃したことに私たちは気付きました。

この数カ月間、Patchworkサイバー脅威グループ(別名「Dropping Elephant」、「Monsoon」)がインド亜大陸を標的にしたキャンペーンを行っています。Patchworkグループは、更新されたBADNEWSペイロードを拡散するために、正規文書にEPSエクスプロイトをひと組埋め込んだ悪意のある文書を利用していました。正規文書を兵器化する手法は、このサイバー脅威グループが以前からよく使用している方法です。

ここ6か月で、仮想通貨のマイニングを最終目的とした攻撃活動数の大幅な増加が観察されています。 何が、攻撃者からの大幅な変化を促進し、業界における著しい動向を生み出しているのでしょうか? より詳しく疑問を解決するために、犯罪者の立場に立って、感染を収益化する必要がある代替のルートは何かを考えることが重要です。つまり、この動向がどのように実を結ぶのか、なぜ、そのように行き渡っているのか、セキュリティ プロフェッショナルと防御者はどのようにこの増大しつつある脅威のタイプを監視できるのかを考察します。

パロアルトネットワークスの脅威インテリジェンスチームUnit42は、日米のユーザーの仮想通貨とオンラインウォレットを標的にした、新しい通貨窃取マルウェアを発見しました。「CryptoJack」は、ターゲットのクリップボード上の仮想通貨のウォレットのアドレスを、攻撃者のアドレスに置き換え、攻撃者のウォレットへの資金の送付を狙います。

本日、パロアルトネットワークスの次世代ファイアウォールを強化するソフトウェアの最新バージョンとして、PAN-OS 8.1を発表します。本ソフトウェアのリリースにより、アプリケーションベースのセキュリティが容易に導入できるようになり、暗号化されたトラフィックを保護する際の障壁がなくなります。また、大規模なネットワークの管理が簡素化されるほか、行動分析用のMagnifierと組み合わせ、高度な脅威を迅速に特定できるようになります。

2018年の始まりとともに、私たちは暗号通貨マイニング ソフトが増大している傾向を認識しました。特定された最新の脅威は、ロシアのBitTorrentサイトという形で現れ、このサイトは密かにマルウェアをユーザーに配信し、主にMonero暗号通貨をマイニングしています。この特定のロシアのBitTorrentサイト、b-tor[.]ruは、2017年7月以来アクティブで、2017年9月以降、ユーザーへ提供された正規のファイルにバンドルされているマルウェアが観察されてきました。多くの同様な活動のように、暗号通貨マイニング ソフトはユーザーの知らないうちに配信されています。事実、この攻撃の背後にいる攻撃者は、エンド ユーザーが自分のマシンにマルウェアがロードされたことに気付かないようにするための特定の試みを行っています。

Sofacyグループ (別名APT28、Fancy Bear、STRONTIUM、Sednit、Tsar Team、Pawn Storm)は、2018年の新しい暦年になってもきわめて活発であり続けている有名な攻撃者です。Unit 42は、このグループが全産業にわたってグローバルに持続的に活動していることから、このグループを積極的に監視しています。最近私たちは、世界中のさまざまな外交関係の省庁で開始されたキャンペーンを発見しました。興味深いことに、キャンペーン内で2つの取り組みが並行して行われており、それぞれの取り組みが完全に異なるツールセットを攻撃に使用しているようです。このブログではこの取り組みの1つについて説明します。この取り組みでは、Sofacyグループと関係があることがわかっているツールを利用していました。

現状の脅威において主流のエクスプロイトキット「Rig EK」は、1年で大幅に変化しました。パロアルトネットワークスの脅威インテリジェンスチームUnit 42では、活動レベル、マルウェアのペイロード、そしてネットワークトラフィックの特性を2017年1月と2018年1月で比較してみました。

OilRigによる組織的な攻撃活動は依然として盛んであり、彼らが使用するツールも進化し続けています。2018年1月8日にUnit 42では、こうした脅威をもたらす活動を組織的に行っているOilRigが、中東を拠点とする保険代理店に攻撃を仕掛けたことを確認しました。そのちょうど1週間後の2018年1月16日には、中東の金融機関が攻撃されました。いずれの攻撃でも、OilRigは、Unit 42が現在も追跡している新たなトロイの木馬であるOopsIEの配信を試みていました。

1月31日、韓国CERTによって、実際に侵害が確認されている、新しいAdobe Flash Playerのゼロデイ脆弱性(CVE-2018-4878)に関するセキュリティ アドバイザリが公開されました。Adobeは、この脆弱性に対処するためのパッチおよびセキュリティ公報を2月6日にリリースしました。この脆弱性は、Adobe tvsdk内に存在するUse-After-Free (UAF)バグです。攻撃の最終的な目標は、DogCall (別名ROKRAT)というマルウェアをダウンロードして実行することとみられており、DogCallは情報を盗むためのバックドアです。DogCallは、多くの場合、韓国で一般的に使用されているアプリケーションであるHangul Word Processor (HWP)の悪意のあるファイルを介して配信されます。

パロアルトネットワークスの脅威インテリジェンスチーム Unit 42 はこの 2 年間、Hancitorというマルウェアを送りつける悪意のあるスパム(以下マルスパム/malspam) を追跡し続けています。Hancitor (Chanitor または Tordal とも呼ばれます) は、マルスパムの活動で配信された Microsoft Office 文書を介して拡散するマクロベースのマルウェアです。Hancitor は、補助的なマルウェアによって Windows OS のコンピュータに感染するように設計されており、ほとんどの場合、最終的にはバンキング型トロイの木馬として機能します。

組織におけるパブリッククラウドの利用ニーズは年々高まり、従来のオンプレミスの環境では促進できなかったコストの削減、ビジネスのスピードアップ、イノベーションの実現に期待が寄せられています。一方、パブリッククラウドの採用を進めるユーザーが増加するにつれて、セキュリティに対する懸念の声は常に聞こえてきます。

2017年のセキュリティの振り返りに引き続き、パロアルトネットワークスが2017年までの傾向から見る、2018年の主なセキュリティ脅威予測とベストプラクティスについて紹介します。

2017年も様々なセキュリティインシデントが世間を賑わせました。今回は、パロアルトネットワークスのセキュリティソリューションが実際に検出した実データや、脅威インテリジェンスチームUnit 42による調査結果をもとに、国内外の2017年のセキュリティトピックについて振り返ります。

概要 パロアルトネットワークスの脅威インテリジェンスチーム Unit 42 は、大規模な 暗号通貨 のマイニング（採掘）攻撃キャンペーンが、4 ヶ月以上にわたり活発に行われている様子を観測しました。この攻撃では、暗号通貨の１つであるMoneroのマイニングのために、オープンソースの マイニングソフトウェアXMRig ユーティリティが利用されています。

Microsoft 数式エディタに見つかった新しい脆弱性 CVE-2018-0802 を悪用する RTF ファイルのインターネット上での最初の検体が確認されたのは 2018 年 1 月 3 日で Microsoft が修正プログラムを公開したのは 2018 年 1 月 9 日でした。少なくとも公開の 6 日以上前から攻撃者はこの脆弱性をゼロデイ攻撃シナリオで活用していたことになります。そこで本稿では、新しい脆弱性 CVE-2018-0802 の攻撃フロー詳細と、パッチが適用されていない環境でも Traps アドバンスト エンドポイント プロテクションがこの攻撃を阻止できた理由について解説します。

要約 2017年12月の初めに、360 Netlabは、新しいマルウェア ファミリを発見し、Satoriと命名しました。Satoriは、Miraiの亜種で、次の2つの脆弱性を悪用します。1つはCVE-2014-8361で、Realtek SDKにおけるminiigd SOAPサービスのコード実行に関する脆弱性です。もう1つは、CVE 2017-17215で、2017年12月の初めにパッチが適用された、Huawei製のHG532eホーム ゲートウェイで新たに見つかった脆弱性です。