週次サイバーセキュリティ脅威レポート （2022年8月14日版）”Ciscoに対するサイバー攻撃検出 Python PyPI上のmalicious パッケージに注意 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2022年8月14日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• Ciscoは、2022年5月下旬にYanluowangランサムウェアグループから侵入されたことを確認しました。最初のアクセスは、脅威アクターが従業員のGoogleアカウントの認証情報を取得し、ブラウザに保存し、ユーザーによりMFAプッシュを受け入れてもらった後に行われました。同社によると、ランサムウェアの事前活動の兆候も見られましたが、ランサムウェアはCiscoのシステムにはは展開されていないません。さらに、2.8GBのデータとソースコードを入手したとする攻撃者の主張が公表されていますが、この主張は同社によって最小限に抑えてられています。

• セブン-イレブン・デンマークは、先週、同国内の175店舗が閉鎖された背景にはランサムウェア攻撃があったことを確認しましたが、犯行グループの情報は明らかにしていません。同社は、攻撃者がシステムの暗号化に加えてデータも盗んだかどうかについては言及してません。この攻撃の責任を主張するランサムウェア・オペレーションはまだありません。

• サイバー研究者は、東ヨーロッパとアフガニスタンの軍産複合体企業や公共機関に向けて、2022年1月の間に発生した一連の攻撃を検出しました。これらの攻撃は、中国のAPT追跡型TA428によるキャンペーンの成功に関連していました。彼らは新しいWindowsマルウェアをバックドアとして使用して、数十のターゲットのネットワークに侵入し、ITインフラをハイジャックすることもありました。

• 親ロシア派のハッカー集団「Killnet」は先週、ロッキード・マーチン社を公然と標的にし、他のハッカー集団に攻撃への参加を呼びかけていました。この時点でKillnetは、同社に対する最近のDDoS攻撃の責任者であると主張し、同社の従業員の個人情報を入手したと述べていますが、米国企業はこの主張を否定しています。

• サイバー研究者は、中国市場で人気があり「MiMi」として知られているクロスプラットフォームのインスタントメッセンジャーアプリが、APT27の新しいキャンペーンの一環として、2022年5月下旬からrshellというバックドアでトロイの木馬化されていることを明らかにしました。
• 米国CISAとFBIは、最近のキャンペーンで新たな攻撃と暗号化の手口で進化したZeppelin ransomware as a serviceが再来し、重要インフラ組織だけでなく、医療分野に重点を置いたさまざまな業界をターゲットにし続けていることを米国内の組織に警告しています。

Check PointのHarmony Endpoint、Threat EmulationおよびAnti-Virusは、この脅威[Ransomeware.Win32.Zeppelin.TC]に対する防御機能を備えています。

脆弱性及びパッチについて

• チェック・ポイント・リサーチは、MediaTek製チップを搭載したXiaomiスマートフォンに内蔵されている決済システムを解析しました。この検証の過程で、CPRは、特権のないAndroidアプリケーションから、決済パッケージの偽造や決済システムの無効化を直接行うことができる脆弱性を発見しました。
• Microsoftは、8月のパッチチューズデーで、活発に悪用されているゼロデイ脆弱性CVE-2022-34713（別名「DogWalk」）-Microsoft Windows Support Diagnostic Tool（MSDT）のリモートコード実行の脆弱性の修正を含む、合計121件のパッチを発行しました。

Check PointのThreat EmulationおよびIPSは、この脅威[Exploit.Multi.CVE-2022-34713.a.TC.*; Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution (CVE-2022-34713)]に対する防御機能を備えています。

• Cisco は、Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) ソフトウェアに影響を及ぼす深刻度の高い脆弱性 (追跡番号 CVE-2022-20866) のパッチを適用しました。この脆弱性を悪用されると、認証されていない攻撃者がRSA秘密鍵をリモートで取得できる可能性があります。

サイバー脅威インテリジェンスレポート

• チェック・ポイント傘下のSpectralops.ioの研究者は、プログラミング言語Pythonのソフトウェアの主要リポジトリであるPyPIにおいて、悪意のあるパッケージ10個を検出しました。このセキュリティ脅威は、悪意のあるアクターが標的のマシン上で悪意のあるコードを実行し、攻撃者が開発者の個人データや個人認証情報を盗み出すことを可能にします。また、脅威アクターのある攻撃者は、身近なパッケージの名前や説明を欺き、ユーザを騙してインストールさせます。
• 米国国務省は、悪名高い、解体されたランサムウェアグループ「Conti」に関連する5人の人物に関する情報に対して1千万ドルの報奨金を提供するとともに、作戦のメンバーの顔と、他のオペレーターとその関連についての詳細を明らかにしました。

• サイバー研究者は、200以上の金融アプリケーションを標的とし、2021年9月の最初のリリース以来、急速に進化しているAndroidバンキング型トロイの木馬SOVAの進化を追跡してきました。最新バージョンでは、このマルウェアは、よりステルスな方法で動作するようにコードを改良し、興味深い新しいAndroidランサムウェアモジュールを追加しました。

Check PointのHarmony Endpointは、この脅威に対する防御機能を備えています。

• Contiの活動から分かれたいくつかのグループ（Silent、Quantum、およびRoy/Zeon）は、被害者のネットワークへのアクセスを取得する主要な方法として、BazarCall (「コールバック」) という名前のフィッシング戦術を採用しています。これにより、より信頼性の高いソーシャルエンジニアリング層が形成され、早期発見がより困難になっています。

• Meta社は、南アジアにおける2つのスパイ活動（Bitter APTおよびAPT36によるもの）に対して取った行動を公表しました。これらのスパイ活動は、そのソーシャルメディアプラットフォームを使用して、潜在的なターゲットにマルウェアを配布していました。