週次サイバーセキュリティ脅威レポート （2022年12月19日版）”FBIの情報ポータルからの情報流出 日本の政治団体を狙ったサイバーキャンペーン 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2022年12 月19 日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• FBIの情報共有ポータルサイト「InfraGard」が侵害され、8万人以上のセキュリティ専門家や法執行官の情報がオンラインで売りに出されています。攻撃者は、金融会社のCEOになりすましてプラットフォームへの参加を申請した後、その認証情報を使ってポータルのAPIを使用してデータベースをダウンロードするスクリプトを実行し、InfraGardにアクセスしました。
• カリフォルニア州財務局が、ランサムウェアグループ「LockBit」の標的になっています。LockBitは75GB以上のデータを盗んだと主張しており、身代金を支払わない場合はデータを流出させると脅しています。カリフォルニア州知事室は、この攻撃を確認しています。

Check Pointの Harmony Endpoint とThreat Emulationは、この脅威[Ransomware.Win.Lockbit]に対する防御機能を備えています。

• 75,000人以上のUberの従業員の情報を含むデータベースがオンラインフォーラムに流出しました。データは、Uberにサービスを提供しているサードパーティーのITサービスサプライヤであるTeqtivityから盗まれました。報道によると、今回の流出で顧客データは流出してません。
• コロンビアの電力会社 EPM がランサムウェア攻撃の被害を受け、オンライン サービスが中断されました。 同社の IT インフラストラクチャと Web サイトがダウンしたため、従業員は自宅で仕事をするように指示されました。 ランサムウェア ギャングBlackCat (ALPHV) の攻撃によるもので、同社からデータを盗み出したと主張しています。

Check Pointの Harmony Endpoint とThreat Emulationは、これらの脅威[Ransomware.Win.BlackCat; Ransomware_Linux_BlackCat]に対する防御機能を備えています。

• アメリカのスポーツストリーミングプロバイダーであるFuboTVは、サイバー攻撃によりサービスが中断され、サッカーワールドカップ準決勝のモロッコ対フランスの試合中に停電が発生したと主張しています。
• オーストラリア・ビクトリア州の消防機関であるFRVが、サイバー攻撃の標的にされ、ネットワークの停止を余儀なくされました。FRVによると、オンラインシステムが停止している間、通信や出動は手動で操作しているとのことです。
• ソーシャルメディア分析サイト「Social Blade」が不正侵入されました。500万件以上のユーザーデータを含むデータベースが、オンラインフォーラムで販売されています。同社は侵入を確認しましたが、ユーザの支払い情報は漏れていないとしています。

脆弱性及びパッチについて

• Microsoftは、12月のパッチチューズデーをリリースし、Microsoft製品全体のセキュリティ脆弱性74件の修正が含まれています。このうち7件は、アップデートされていないサーバで悪用された場合、リモートでコードが実行される可能性がある重要な脆弱性とされています。Microsoftによると、このうち1件の脆弱性は、パッチ適用前に既に悪用されていたとのことです。

Check Pointの IPSは、これらの脅威[Microsoft Windows Client Server Run-Time Subsystem Elevation of Privilege (CVE-2022-44673); Microsoft Windows Bluetooth Driver Elevation of Privilege (CVE-2022-44675); Microsoft Windows Kernel Elevation of Privilege (CVE-2022-44683)]に対する防御機能を備えています。

• Appleは、既に悪用されている可能性があるiOSの重大なゼロデイ脆弱性（CVE-2022-42856）の修正を含む、複数の製品のセキュリティアップデートをリリースしました。
• Fortinetは、FortiOS SSL-VPNにおけるバッファオーバーフローの脆弱性で、影響を受けるシステム上でリモートコードの実行が可能となる重要な深刻度の脆弱性「CVE-2022-42475」に対応したセキュリティアドバイザリを公開しました。フォーティネットによると、この脆弱性は、実際の環境で活発に悪用されているとのことです。

サイバー脅威インテリジェンスレポート

• チェック・ポイント・リサーチの報告によると、Emotetが静かな夏を経て復活し、現在では世界で2番目に流行しているマルウェアとなりました。また「Qbot」も2021年以来初めて指標に返り咲きまし、教育分野は依然として攻撃を受けています。
• チェック・ポイントの研究者は、Azov ワイパーの技術的な分析を発表しました。Azovは、自らをランサムウェアと称しながら、被害者に復号化の手段を提供していません。Azovは、感染したシステム上のネイティブな実行ファイルを変更し、悪質なコードを挿入します。

Check Pointの Harmony Endpoint とThreat Emulationは、この脅威[Ransomware.Wins.Azov.A]に対する防御機能を備えています。

• 日本の政治団体を標的としたキャンペーンが発見されました。中国のAPTであるMirrorFaceは、スピアフィッシングメールを使用して日本の政党を標的にし、初期アクセスを獲得していました。その後、攻撃者は複数のスパイウェアツールをインストールし、認証情報、文書、電子メールメッセージを盗み出しました。
• サイバー研究者は、ウクライナの政府組織を標的としたキャンペーンを分析しました。攻撃者は、マルウェアを拡散するために、ウクライナ語で書かれた感染版Windows 10インストーラを拡散し、最終的にデータ流出に至りました。
• イランの脅威グループ「APT35」の分析結果がサイバー研究者によりまとめられました。研究者は、この脅威グループをイランのIRGCと結びつけています。このグループは、外交官、政治家、ジャーナリスト、活動家、学者を標的とし、フィッシング、侵害されたアカウント、マルウェアを使用して、アクセスを取得し、情報を盗み出しています。