週次サイバーセキュリティ脅威レポート （2023年9月25日版）”ニュージーランドの大学、国際刑事裁判所、英国警察等 公共機関へのサイバー攻撃が 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2023年9月25 日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• Montiランサムウェアギャングが、ニュージーランドで3番目に大きな大学であるオークランド工科大学へのサイバー攻撃の犯行声明を出しました。脅威アクターは、60GBのデータを盗んだと主張し、被害者に身代金を支払う期限を10月9日までとしています。

Check PointのThreat Emulationは、この脅威[Ransomware.Wins.Monti]に対する防御機能を備えています。

• カリフォルニアを拠点とするソフトウェア会社Retoolは、同社のクラウドプラットフォームの顧客27社に影響を与えたデータ漏洩を公表しました。この攻撃の背後にいる脅威アクターは、SMSベースのソーシャル・エンジニアリング攻撃によってクライアントのアカウントに不正アクセスし、少なくとも1人のクライアントが盗まれた暗号通貨で1,500万ドルの被害を受けました。最近導入されたGoogle Authenticator同期機能は、多要素認証（MFA）から単要素認証に無言で切り替えられたため、同社はこの情報漏洩の原因として避難しています。

• 国際刑事裁判所（ICC）が、その情報システムに影響を及ぼすサイバー攻撃の犠牲となりました。ICCは、どのような情報が持ち出された可能性があるかについての情報を提供しておらず、犯行声明を出している脅威アクターはまだいません。

• 英国最大級の警察署であるグレーター・マンチェスター警察は、サードパーティのIDカード・サプライヤーであるDigital ID社に対するランサムウェア攻撃の疑いによりデータ侵害が発生したことを確認しました。約2万人の警察官の個人情報が流出しましたが、財務データには影響はないと見られています。

• アメリカの家庭用洗剤メーカ、Cloroxがサイバー攻撃を受け、予防措置としてシステムを停止しました。この攻撃により、製品の停止や遅延など、業務に大規模な混乱が生じました。

• カナダの航空会社エア・カナダの社内ネットワークに脅威アクターが限定的なアクセスを取得し、従業員の個人情報に影響を与えました。同社によると、今回の攻撃で顧客の情報に影響は受けませんでした。

• カナダのノバスコシア州政府は、16万5000人以上の市民の個人情報に影響を与えるデータ侵害を確認しました。Cl0pギャングが利用したMOVEitファイル転送システムの脆弱性が原因で盗まれたデータのほとんどは、社会保険番号や銀行情報などの機密情報で構成されています。

脆弱性及びパッチについて

• Appleは、Apple製品の様々なバージョンに影響を与えるセキュリティフレームワーク、Appleのカーネルフレームワーク、AppleのウェブブラウザエンジンWebKitにおける3つの脆弱性（CVE-2023-41991、CVE-2023-41992、CVE-2023-41993）に対するパッチを適用しました。影響を受ける欠陥の中でも、最初の2つの欠陥はApple Watch Series 4以降に、3つ目の欠陥はmacOS Montereyに影響を与えます。

• GitLabは、13.12から16.2.7、16.3から16.3.4までの様々なバージョンのGitLab EEに影響する深刻度の高い脆弱性(CVE-2023-5009)を修正しました。この脆弱性により、攻撃者はスケジュールされたセキュリティスキャンポリシーを悪用することで、任意のユーザとしてパイプラインを実行することができます。

• Atlassianは、複数の脆弱性 (CVE-2022-25647、CVE-2023-22512、CVE-2023-22513、CVE-2023-28709) へのパッチを含む、2023年9月のセキュリティ情報をリリースしました。悪意のあるサイバー攻撃者は、これらの脆弱性のいくつかを悪用して、影響を受けるシステムを制御する可能性があります。

サイバー脅威インテリジェンスレポート

• チェック・ポイント・リサーチは、メキシコおよびブラジルの40以上の銀行の顧客を狙うバンキング・マルウェア「BBTok」の新バージョンを発見しました。この調査では、新たに発見された感染チェーンが、検出率の低いLiving off the Land Binaries（LOLBins）という独自の組み合わせを使用していることが明らかになりました。また、ブラジルとメキシコの数百人のユーザを標的とした攻撃で使用された、脅威アクターのサーバー側リソースの一部も明らかになっています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Banker.Wins.BBTok; Banker.Win.BBTok; Technique.Wins.SuxXll; Trojan.Win.XllAddings]に対する防御機能を備えています。

• チェック・ポイント・リサーチは、Remcos と GuLoader というデュアル・ユース・エージェントを販売・宣伝している「EMINэM」という名前の脅威エージェントを摘発しました。今回の調査では、これらのエージェントの間に強いつながりがあることが確認され、Remcos と GuLoader の販売者は、自分たちのツールがサイバー犯罪者に利用されていることを明確に認識していることを証明しています。

Check PointのThreat Emulationは、この脅威[Dropper.Win.CloudEyE; Dropper.Win.Guloader; RAT.Win.Remcos]に対する防御機能を備えています。

• 中国を拠点とする脅威行為者Earth Lusca's（別名CHROMIUM）は、オープンソースのWindowsバックドアTrochilusに由来するSprySOCKSと名付けられたLinuxベースのバックドア亜種を採用しています。さらに、SprySOCKS対話型シェルの実装は、DerusbiマルウェアのLinux亜種からインスパイアされている可能性があります。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Trojan.Wins.Derusbi; Trojan.Win.Winnti; RAT.Wins.Shadowpad]に対する防御機能を備えています。