週次サイバーセキュリティ脅威レポート （2022年5月2日版）“攻撃者および被害者双方の観点でランサムウェアの内幕が明らかに!, 注意! REvilランサムウェアも復活!”

[TakahiroS]

チェック・ポイント・リサーチ・チーム（以降CPRと記載）による2022年5月2日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• 2022年3月、北朝鮮政府関連グループが、北朝鮮報道を専門とするジャーナリストを対象にスピアフィッシング活動を開始しました。このグループは、APT37に帰属するマルウェアファミリーに関連するGoldbackdoorマルウェアを使用していました。

• 中国政府に属する脅威アクターは、2022年3月、PlugX RATの更新バージョンを用いてロシア政府関係者を標的にしました。PlugX RATは複数の中国国家支援組織が使用してきたWindowsバックドアです。

Check Pointの Harmony EndpointとThreat Emulationは、この脅威[RAT.Win.PlugX]に対する防御機能を備えています。

• 親ロシア派のハッカー集団「Killnet」が、国家機関が管理するルーマニアの公共サイトに対して一連のDDoS攻撃を行いました。

• ウクライナのCERTは、WordPressのサイトの侵害により、親ウクライナのサイトや政府のWebポータルを標的とした、まだ攻撃者が特定されていないDDoSキャンペーンが進行中であることを警告しています。 

• インターネットインフラ企業であるCloudflareにおいて、毎秒1,530万リクエストのDDoS攻撃が記録され、過去最大のHTTPS DDoS攻撃の1つとなりました。

• イラン国家関連グループのRocket Kittenが、最近パッチが適応されたVMware RCEの脆弱性（CVE-2022-22954）を悪用して脆弱なシステムに対し初期アクセスを取得し、侵入テストツールの展開が行われたことが確認されています。

         Check Pointの IPSは、この脅威[VMware Workspace Remote Code Execution (CVE-2022-22954)]に対する防御機能を備えています。

• RIGエクスプロイトキットを利用して「RedLine stealer」（ロシアのアンダーグラウンドで人気のある情報窃取型マルウェア）を配布するキャンペーンが、脅威アナリストによって明らかにされました。このキャンペーンは、侵害されたウェブサイトを通じてCVE-2021-26411を活用するエクスプロイトキットに依存しています。

Check Pointの IPSは、この脅威[Microsoft Internet Explorer Memory Corruption (CVE-2021-26411)]に対する防御機能を備えています。

• 米国FBIは、世界60以上の組織に侵入したBlackCatランサムウェアに対して警告を発しています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomware.Wins.BlackCat]に対する防御機能を備えています。

脆弱性及びパッチについて

• Microsoftは、Azure Database for PostgreSQL Flexible Serverで見つかった、攻撃者が認証をバイパスした後に権限を昇格させ、他の顧客のデータベースにアクセスすることができる一連の重大な脆弱性に対処しました。

• Microsoftは、脅威アクターが任意のルートコード実行によりペイロードを展開し、他のより高度なアクションを実行することができる、Linuxオペレーティングシステムの「Nimbuspwn」と呼ばれる2つの特権昇格の脆弱性セット（CVE-2022-29799およびCVE-2022-29800）を開示しました。

• QNAPは、コード実行に関連する重大なセキュリティ問題が公開された後、QTSおよびQuTSオペレーティングシステムの更新に取り組んでいます。

• Node.jsのJavaScriptランタイム環境のデフォルトパッケージマネージャであるNPMに、脅威アクターが疑わしい悪意のあるライブラリを正規のものとしてすり替えることができる論理的欠陥があることが明らかになりました。

サイバー脅威インテリジェンスレポート

• CPRは、サイバー犯罪組織と被害者組織の双方の観点から状況を明らかにするため、ランサムウェア・エコノミーの概要を発表しました。CPRによると、ランサムウェア攻撃は前年比24%増加しており、ランサムウェア攻撃による被害者の付随的コストは、支払われた身代金の7倍に上るという試算が発表されています。
• Microsoftは、戦争開始以降のロシアのウクライナに対する攻撃に関する報告書を発表しました。この報告書では、ウクライナに対して237件のサイバー攻撃を行った6つの別々のロシア政府系グループについて言及しています。

Check PointのHarmony EndpointとThreat Emulationは、これらの脅威[Trojan.Wins.CaddyWiper, Trojan-Downloader.Win.Industroyer2, Trojan.Wins.IsaacWiper]に対する防御機能を備えています。

• サイバー研究者は、新たに発見されたBumblebeeと呼ばれるマルウェアローダが、Contiグループの最新作である可能性が高く、ランサムウェアのペイロードを配信するために使用されるBazarLoaderバックドアに代わるものとして設計されていると述べています。
• 2021年10月に活動が停止したREvilオペレーションが復活しています。これは、新しい作戦で使用されたREvilのサンプルを発見および、彼らの晒しブログ（Shame blog）の復活に基づいたものです。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomware.Win.Revil]に対する防御機能を備えています。

• Visual Basic for Applications (VBA) のマクロをデフォルトで無効にするというMicrosoftの決定を受け、Emotet が Windows システムを侵害するための新しい攻撃や手法を開発しようとしている間に復活します。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Trojan.Wins.Emotet]に対する防御機能を備えています。