週次サイバーセキュリティ脅威レポート （2024年2月12日版）”Microsoft WordおよびExcelの古い脆弱性を利用した脅威 2023年12月に最も暗躍したマルウェアは？ 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2024年2月12日における週次のサイバーセキュリティ脅威レポートの抄訳です

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• 米カリフォルニア州最大の組合のひとつであるサービス従業員国際組合（SEIU）ローカル1000は、ランサムウェア攻撃によりネットワークが混乱したことを確認しました。LockBitランサムウェア・ギャングが犯行声明を出し、社会保障番号、給与情報、財務書類など、従業員の機密情報を含む308GBのデータを盗んだと主張しています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomware.Wins.LockBit.ta; Ransomware.Win.Lockbit; Gen.Win.Crypter.Lockbit.AI, Ransomware_Linux_Lockbitに対する防御機能を備えています。

• 現代自動車の欧州部門がサイバー攻撃を受け、無許可の第三者がネットワークの一部にアクセスしました。ランサムウェア集団「Black Basta」は、1月上旬に現代自動車ヨーロッパに侵入し、3TBの企業データを盗んだと主張していました。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomware.Win.BlackBasta, Ransomware.Wins.BlackBasta]に対する防御機能を備えています。

• CNOファイナンシャル・グループの子会社であるWashington National InsuranceとBankers Lifeの米保険会社2社は、約6万6000人の個人情報を漏洩させるSIMスワップ攻撃を公表しました。攻撃者は上級役員の携帯電話を標的とし、多要素認証を通じてアクセスを獲得しました。

• フランスの医療保険会社2社、ViamedisとElmer’sがサイバー攻撃を受け、フランスの人口のほぼ半分にあたる3300万人以上のデータが流出したことが確認されました。漏洩したデータには、機密性の高い個人情報が含まれているが、病歴は含まれていません。

• オランダの情報機関は、オランダ国防省に対する中国国家に支援されたハッカーによるサイバースパイ活動を明らかにしました。攻撃者はフォーティネットの脆弱性（CVE-2022-42475）を利用し、非機密の軍事研究ネットワークへのアクセスを目的としました。この事件は、オランダが初めて公に中国によるサイバー攻撃を明らかにしたことを示すものです。

• DDoS攻撃が米ペンシルベニア州の裁判所システムを襲い、ファイリングシステムや保釈金支払いプラットフォームなどのオンラインサービスに大きな支障をきたしました。FBIとCISAが復旧作業に取り組んでいます。データ漏洩の兆候はなく、裁判所は引き続き開廷しています。

• フィリピンは、同国の大統領と政府の電子メールシステムに侵入しようとする試みを阻止したと発表しました。通信省当局者の声明によると、攻撃者のIPアドレスは中国国内にあることが判明しました。

脆弱性及びパッチについて

• Fortinetは、実際に悪用された可能性があるFortiOS のゼロデイ脆弱性（CVE-2024-21762）に対する修正プログラムをリリースしました。この脆弱性は、境界外書き込みの問題であり、リモートの認証されていない攻撃者によって悪用され、特別に細工された HTTP リクエストを使用して任意のコードが実行される可能性があります。

• Ivanti社は、同社のConnect Secure、Policy Secure、およびZTAゲートウェイ・デバイスに、CVSSスコア8.3の重大性の高いセキュリティ欠陥（CVE-2024-22024）が存在することを発表しました。この欠陥により、攻撃者は認証をバイパスできる可能性があります。この欠陥に対するパッチは利用可能ですが、現時点で積極的な悪用の証拠はありません。

Check PointのIPSは、この脅威[Ivanti XML External Entity Injection (CVE-2024-22024)]に対する防御機能を備えています。

• セキュアブートプロセス中に使用される小さなコードの一部である Linux shim に、リモートでコードが実行される重大な脆弱性 (CVE-2023-40547) があり、攻撃者は影響を受けるシステムを完全に制御することができます。Red Hat、Ubuntu、Debian、および SUSE を含む、セキュアブートをサポートするすべての Linux ディストリビューションが影響を受けます。

サイバー脅威インテリジェンスレポート

• チェック・ポイント・リサーチは、Raspberry Robin ワームの進化について概説し、一般に公開される前に 2 つの 1Dayローカル特権のエスカレーションを悪用していたことを明らかにしました。このマルウェアは、EvilCorp や TA505 など、他の犯罪グループの初期のアクセス・ブローカとして機能し、配信方法を変更し、そのステルス性を向上させ続けています。

• チェック・ポイント・リサーチは、Microsoft WordおよびExcelの古い脆弱性（CVE-2017-11882、CVE-2017-0199、CVE-2018-0802）の脅威について論じています。これらは、金融/銀行、政府機関、ヘルスケア分野に対する攻撃において、Dridex、GuLoader、Formbook/Xloaderのようなマルウェアを配信するために悪用されていることが依然として確認されています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Wins.Maldoc_CVE-2017-0199.*, Exploit.Wins.CVE-2017-11882.*]に対する防御機能を備えています。

• チェック・ポイント・リサーチは、2024年1月に発表した「Most Wanted Malware」レポートにおいて、サイバー犯罪者が悪意のあるコンテンツを配信する際の主要なトラフィック・ブローカーとして機能している大規模なサイバー脅威配信事業者「VexTrio」が存在することを明らかにしました。アクティブなランサムウェアグループのトップは「LockBit3」で、世界的に最も影響を受けた業界は「教育」でした。

Check PointのThreat Emulationは、この脅威[Trojan.Wins.RaspberryRobin.ta, Trojan.Wins.RaspberryRobin]に対する防御機能を備えています。