週次サイバーセキュリティ脅威レポート （2022年11月7日版）”欧州の自動車関連会社でランサムウェア被害 Emotetが4ヶ月の休暇を経て活動再開 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2022年11月7日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• ヨーロッパの 2 つの自動車関連会社がランサムウェアの攻撃を受けました – ドイツの多国籍グループ Continental が LockBit ランサムウェア ギャングの攻撃を受け、侵害されたデータが Lockbit のリーク サイトで公開されました。 イタリアの企業 Landi Renzo が Hive によって侵害されました。

Check PointのHarmony Endpoint、Anti-BotおよびThreat Emulationは、これらの脅威[Ransomware.Win.Lockbit;Ransomware.Hive.A;Ransomware.Wins.Hive.ta.B]に対する防御機能を備えています。

• OPERA1ER 脅威グループは、進化したTTPと市販のハッキングツールを使って、アフリカの銀行や通信サービスプロバイダから4年間で少なくとも1100万ドルを盗み出しました。
• ウクライナのIT軍は、ロシアの中央銀行へのアクセスを獲得したと主張しています。彼らは、個人、法律、金融データを含む27,000の漏洩ファイルを公開しました。
• 世界第2位の銅生産企業であるドイツのAurubisがサイバー攻撃を受け、一部のITシステムの停止を余儀なくされました。

• サイバー研究者は、中国の脅威グループAPT10が、関心の高い日本の標的に対する作戦で、マルウェアLODEINFOの新バージョンをインストールする際に使用する新たなTTPを発見しました。

Check Pointの Emulationは、この脅威[Ransomware.Win32.LODEINFO.*]に対する防御機能を備えています。

• Dropboxがフィッシング攻撃を受け、脅威アクターがGitHubに保存されている企業コードへのアクセスに成功しました。顧客データおよび決済情報へのアクセスはありませんでした。

• 10月末、鉄道会社に資産管理ソリューションを提供しているデンマークのSupeo社がサイバー攻撃を受け、デンマーク最大の鉄道運営会社であるDBSの列車運行が停止しました。

• 脅威グループDDoSecretsは、ミャンマー経済公社（MEC）が所有するInnwa銀行をハッキングした際の約2万件の記録を一括公開し、米国、英国、EUの制裁下にある秘密銀行についての洞察を提供しました。

• Google Playで公開されている合計4つの悪質なアプリケーションは、すでに100万インストールを超えており、ユーザを機密情報を盗むフィッシングサイトや「ペイ・パー・クリック（Pay-Per-Click）」チェーンを生成するサイトに誘導しています。

Check Pointの Harmony Mobileは、この脅威に対する防御機能を備えています。

脆弱性及びパッチについて

• OpenSSL は、通信チャネルや HTTPS 接続の暗号化に使用されるオープンソースの暗号ライブラリに存在する 2 つの重大なセキュリティ欠陥 (CVE-2022-3602 および CVE-2022-3786) のパッチを適用しました。両脆弱性は、OpenSSL バージョン 3.0.0 以降に影響し、OpenSSL 3.0.7 でパッチが適用されています。

Check PointのIPSは、この脅威[OpenSSL Buffer Overflow(CVE-2022-3602)に対する防御機能を備えています。

• Fortinetは、FortiOSにおける不適切なアクセス制御の脆弱性（トラック番号：CVE-2022-38380）を公開し、リモートで認証された読み取り専用ユーザがAPIを介してインターフェース設定を変更できる可能性があることを指摘しました。
• サイバー研究者は、Microsoft Azure Cosmos DB用のJupyter Notebooksに、攻撃者がコンテナ上でリモートコード実行を達成することができる、重要な認証バイパスの脆弱性を明らかにしました。
• サイバー研究者は、Apache Batikのデフォルトのセキュリティコントロールに、リモートクラスローディングによるサーバサイド・リクエスト・フォージェリ（SSRF）およびRCEにつながる脆弱性を発見しました。

サイバー脅威インテリジェンスレポート

• 約4ヶ月の休止期間を経て、Emotetマルウェアは活動を再開し、盗んだメールの返信チェーンを使用して、悪質なExcelの添付ファイルを配布し、世界中の電子メールアドレスにスパムを送信しています。また、Emotetは、ファイルを信頼できるフォルダに移動するよう求め、被害者をだましてマクロを有効にさせます。

Check PointのHarmony Endpoint、Threat EmulationおよびIPSは、この脅威[Trojan.Wins.Emotet.*; Worm.Win.Emotet.*; Emotet Exploit Kit Landing Page; Emotet Maldoc Download Page; Dropper.Win.GenDrop.la.E]に対する防御機能を備えています。

• サイバー研究者は、Black Bastaが独占的に使用する回避ツールを開発したこと、および侵害の特定の指標と特定のTTPを共有していることから、金銭目的のハッキンググループFIN7（別名「Carbanak」）とBlack Bastaランサムウェア作戦を関連付けました。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Banker.Wins.Carbanak.*;Ransomeware.Win.BlackBasta.*]に対する防御機能を備えています。

• マルウェア「ChromeLoader」の新たな技術分析が発表され、悪意のあるChrome拡張機能を後にダウンロードするために、どのようにブラウザに感染するかが示されました。
• 悪名高いマルウェア「Qakbot」（別名：QBot、QuakBot、またはPinkslipbot）感染のTTPを調査し、さまざまな機能やランサムウェアグループ「Black Basta」との協力関係について詳しく解説しています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[qbot.TC.*; Trojan.Wins.Qbot.*; Trojan.Win32.Qakbot.*; Banker.Win.Qbot.*; Ransomware.Win.BlackBasta.*]に対する防御機能を備えています。