週次サイバーセキュリティ脅威レポート （2022年6月20日版）”ロシアのハッカーによるFollinaの悪用事例 Microsoftはパッチをリリース 等

[TakahiroS]

チェック・ポイント・リサーチ・チーム（以降CPRと記載）による2022年6月20 日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• CPRは、イスラエル高官および米国の経営者を標的としたイラン製のスピアフィッシング作戦を明らかにしました。この作戦の一環として、攻撃者は経営陣の既存アカウントを乗っ取り、なりすましアカウントを作成して、ターゲットを長時間のメール会話に誘い込みます。この作戦は、個人情報、パスポートスキャンの盗難、およびメールアカウントへのアクセスを目的としています。

• ウクライナCERTは、ロシアのハッカー（おそらく国営APTグループSandworm）が、Microsoft Windows Support Diagnostic ToolのFollinaの重大脆弱性（CVE-2022-30190）を悪用した攻撃を開始したことに関する警告を発表しました。このキャンペーンは、ウクライナのメディアや報道機関を標的としたDOCX添付ファイル付きの悪意ある電子メールが利用されています。

Check PointのIPS、Threat EmulationとHarmony Endpointは、この脅威[Microsoft Support Diagnostic Tool Remote Code Execution (CVE-2022-30190); Exploit.Win.Follina*;Dropper.Win32.Sandworm)に対する防御機能を備えています。

• 中国に拠点を置くAPTグループ「Gallium」（別名Softcell）は、過去1年間にわたり、ロシア、ベルギー、オーストラリアに加え、特に東南アジアの多くの国々で金融機関や政府機関を標的にしてきました。このグループは、「PingPull」と呼ばれる新しいリモートアクセス型トロイの木馬を利用して、スパイ活動を行っています。

• アフリカ最大のスーパーマーケットチェーンであるShoprite Holdingsに対する攻撃について、恐喝グループRansomHouseが犯行声明を出しています。同社は、顧客の個人情報が漏洩した可能性があると公表しています。RansomHouseは、同社から盗まれた600GB相当のデータのサンプルを恐喝サイトに掲載しました。

• 米国の医療機関であるKaiser Permanenteは、最近、従業員の電子メールアカウントを通じて情報漏洩が発生し、6万9000人以上の会員の機密データが流出したことを明らかにしました。

• 毎秒2600万件のリクエストが発生した過去最大のHTTPS DDoS攻撃は、Cloudflareによって緩和されました。この攻撃はCloudflareの顧客を標的とし、一般家庭のインターネットサービスプロバイダではなく、クラウドサービスプロバイダを発信元としており、ハッキングされた仮想マシンが使用されていることを示しています。

• 台湾のネットワーク接続ストレージ（NAS）企業であるQNAPは、同社ユーザを対象としたDeadboltランサムウェア攻撃を調査していることを明らかにしました。また、eCh0raixランサムウェア（別名QNAPCrypt）攻撃の新しい波は、QNAPデバイスを標的とすることが増えています。

Check PointのThreat Emulationは、この脅威[Ransomeware.Wins.deadbolt;Ransomeware.Win32.Ech0raix]に対する防御機能を備えています。

脆弱性及びパッチについて

• Microsoftは、現在悪用されている重大なFollinaの脆弱性（トラック番号：CVE-2022-30190）に対応する修正を発行し、ユーザーに緊急アップデートとパッチ適応を推奨しています。

Check PointのIPS、Threat EmulationとHarmony Endpointは、この脅威[Microsoft Support Diagnostic Tool Remote Code Execution (CVE-2022-30190); Exploit.Win.Follina*)に対する防御機能を備えています。

• Citrixは、CVE-2022-27511としてトラックされる重大なApplication Delivery Management（ADM）の欠陥に対する保護のためにユーザに対しアップデートを促しています。この脆弱性はリモートで認証されていないハッカーが、未パッチのシステムにおいて管理者パスワードをリセットする可能性があるものです。

• Zimbraの電子メールソリューションに影響を及ぼす、深刻度の高い新たな脆弱性（CVE-2022-27924）が公表されました。この脆弱性を利用することで、未認証の攻撃者が、ユーザの操作なしにログイン情報を盗むことが可能になります。

サイバー脅威インテリジェンスレポート

• 米国司法省は、プロキシサーバとして使用する目的で世界中の数百万台のマシン、モバイル、IoTデバイスをハッキングするために使用されていたロシアのマルウェアボットネット「RSocks」のインフラを破壊したことを発表しました。

• ランサムウェアギャング「BlackCat」は、二重の恐喝スキームの一環として、被害者の顧客や従業員がランサムウェア攻撃でデータを盗まれたかどうかを確認するためのウェブサイトを開設しています。脅威アクターは、従業員が最初の被害者に身代金を支払うようさらに圧力をかけ、個人データをウェブ上から削除させることを目的としています。BlackCatは現在、パッチが適用されていない脆弱性を悪用するエクスプロイトを使用してMicrosoft Exchangeサーバを標的としてしています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomeware.Win.BlackCat]に対する防御機能を備えています。

• コードネーム「First Light 2022」と呼ばれる世界規模のインターポール作戦が、電気通信およびソーシャルエンジニアリング詐欺の背後にいる犯罪グループに対して実施されました。法執行機関は5,000万ドルの不正資金を押収し、数千人のオペレータ、詐欺師、マネーロンダラーを逮捕しました。

• スペインとイタリアのユーザを標的とした新しいAndroidマルウェア「MaliBot」が発見されました。この情報搾取マルウェアは、別の名前で暗号マイニングアプリケーションを装い、金融情報、暗号ウォレット、その他の個人情報を盗むことに重点を置いています。

Check PointのHarmony Mobileは、この脅威に対する防御機能を備えています。