週次サイバーセキュリティ脅威レポート （2024年2月5日版）”仏シュナイダーでランサム被害か？ 米司法省が中国系ATPのボットネットを破壊 他”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2024年2月5日における週次のサイバーセキュリティ脅威レポートの抄訳です

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• 人気のリモート・デスクトップ・アプリケーションを開発する AnyDesk Software GmbH は、攻撃者が同社の生産システムにアクセスするサイバーセキュリティインシデントを確認しました。報告されているところによると、攻撃中にソースコードとプライベートコード署名キーが盗まれたとのことです。対応の一環として、AnyDeskはセキュリティ関連の証明書を失効させ、必要に応じてシステムの修復や交換を行いました。また、AnyDeskは警戒のため、同社のウェブポータルのパスワードをすべて失効させ、他のサイトで使用している場合はパスワードを変更するよう提案しています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Trojan.Win.Anydesk.* , Trojan.Wins.AnyDeskCert.*]に対する防御機能を備えています。

• フランスのエネルギー大手Schneider Electricは、ランサムウェア集団「Cactus」によるランサムウェア攻撃を確認しました。この攻撃により、同社のシステムの一部が使用不能になり、大量の組織情報が盗まれた可能性があります。このランサムウェアグループは、リークサイト上でまだSchneiderを公表しておらず、これはおそらく両者の間で交渉が続いていることを示しています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomware.Wins.Cactus.ta.*; Ransomware.Win.Cactus]に対する防御機能を備えています。

• ALPHV（BlackCat）ランサムウェア・グループは、連邦保安機関にサービスを提供する米国のITサービス企業Techincaに対する攻撃の犯行声明を出しました。ALPHVは、身元調査を行う国防対諜報保安局の文書にアクセスしたと主張しています。このグループは、米軍やFBIのメンバーの名前、社会保障番号、クリアランス・レベルを含むとされる文書をリークしています。

Check PointのHarmony EndpointとThreat Emulationは、この脅威[Ransomware.Wins.BlackCat.ta.*; Ransomware.Win.BlackCat]に対する防御機能を備えています。

• Medusaランサムウェアグループは、イタリアのクラウドサービスプロバイダCloudFireに対する攻撃で、9社に属する約400GBのデータを窃取しました。この攻撃により、個人識別文書、公正証書、売買契約書などの機密情報が流出しました。

• ジョージア州フルトン郡が大規模な IT 機能停止をもたらしたサイバー攻撃の被害者となり、郡事務所の電話システムやオンライン取引に影響を及ぼしました。この事件は、FBIを含む法執行機関により現在捜査中です。攻撃者はまだ特定されていませんが、この攻撃により、裁判所や税務システムなどの重要なサービスが停止しており、システム復旧の具体的な期限は示されていません。

脆弱性及びパッチについて

• Ivanti社は、同社のConnect Secure VPN製品に影響を及ぼす2つの脆弱性を公表しました。CVE-2024-21893として追跡されている深刻度の高い欠陥は、制限されたリソースへの認証されていないアクセスを可能にするもので、実際に悪用されていると報告されています。もう1つの欠陥は、CVE-2024-21888として追跡されているもので、ユーザが管理者の権限に昇格することを可能にする高難易度の権限昇格の欠陥です。米CISAは、影響を受ける製品（Ivanti Connect SecureまたはIvanti Policy Secureソリューション）を稼動させている機関に対し、必要な緩和措置が講じられるまで、すべてのインスタンスをネットワークから直ちに切り離すよう指示しました。

Check PointのIPSは、この脅威[Ivanti Server-Side Request Forgery (CVE-2024-21893)]に対する防御機能を備えています。

• サイバー研究者は、Google ChromeのV8 JavaScriptエンジンにCVE-2024-0517として追跡されている深刻度の高い脆弱性を特定しました。この脆弱性により、リモートの攻撃者は、細工されたHTMLページを介してヒープ破壊を悪用できる可能性があります。

Check PointのIPSは、この脅威[Google Chrome Out of Bounds Write (CVE-2024-0517)]に対する防御機能を備えています。

• GitLabは、CVE-2024-0402として追跡されているCommunity Edition (CE)およびEnterprise Edition (EE)のセキュリティ上の欠陥に対処する修正プログラムをリリースしました。CVSSスコアは9.9で、このクリティカルな脆弱性は、認証されたユーザがワークスペースを作成中にGitLabサーバ上の任意の場所にファイルを書き込むことを可能にします。

サイバー脅威インテリジェンスレポート

• チェック・ポイント・リサーチは、ソーシャルメディアへのなりすまし、スパムキャンペーン、KYC認証サービスなど、高度なサイバー犯罪に生成AIを利用するサイバー犯罪者が増加していることを明らかにしました。この調査では、偽のソーシャルメディア・アカウントを作成・管理するためのAI主導型プラットフォームが台頭しており、不正な目的のためにコンテンツ生成やアカウント活動を自動化するサービスを提供していることが示されています。

• 米司法省は、中国系APT「ボルト・タイフーン」が使用していたことで知られるKBボットネットを破壊しました。このボットネットは、米国の重要インフラ組織を標的とした攻撃において、中国との関係を隠すために使用されていました。ボルト・タイフーンは、CiscoとNetGearのサポートが終了したSOHO（小規模オフィス／ホームオフィス）向け脆弱性デバイスを使用して、初期アクセスを獲得していました。米CISAとFBIは、SOHOルータ・デバイスの安全確保に関するベンダー向けガイダンスをリリースしました。

Check PointのThreat Emulationは、この脅威[APT.Wins.VoltTyphoon; InfoStealer.Wins.VoltTyphoon]に対する防御機能を備えています。

• 最近の報告によると、ロシアに関連するAPT28（別名Pawn StormとForest Blizzard）は、洗練されたTTPと組み合わせた伝統的な戦術を使い続けています。その中には、NTLMv2ハッシュ・リレー攻撃やステルス・インフラも含まれています。