週次サイバーセキュリティ脅威レポート （2024年4月1日版）”米英政府が中国系ハッカー集団を告発 悪意あるQRコード付きフィッシングメールに注意報告 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2024年4月1日における週次のサイバーセキュリティ脅威レポートの抄訳です

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• 米英両政府は、中国のハッカー集団である APT31 が、米国内の企業や英国の政府高官に対する攻撃に関与したとして、刑事告発と制裁措置を発表しました。チェック・ポイントでは、この出来事に関する見解を共有するとともに、APT31 に関する過去のレポートを参照し、同グループがどのようにゼロデイ脆弱性を利用していたかについて深く考察しています。

• INCのランサムウェア集団が、スコットランドのNHS Dumfries and Galloway,の医療システムにサイバー攻撃を仕掛け、3テラバイトの機密患者データを盗んだと主張しました。要求に応じなければデータを流出させると脅し、一味は証拠として「Proof pack」のスクリーンショットを提供しました。NHSは少数の患者の臨床データの流出を確認しました。

• ランサムウェア集団「Qilin」が、英国のホームレスが販売するストリート新聞として知られる「The Big Issue」の業務を妨害しました。このギャング団は、商業および人事業務に関連するファイルを含む550GBの機密データを盗んだと主張しています。

Check PointのThreat Emulationは、この脅威[Ransomware.Wins.Qilin]に対する防御機能を備えています。

• 脅威アクターIntelBrokerが、イングランドおよびウェールズ・クリケット委員会のicoachcriketプラットフォームのデータを販売していることが確認されています。2014年から2021年までのメールアドレスやハッシュ化されたパスワードを含む4万人以上のユーザの個人情報が漏洩し、現在ダークウェブのフォーラムで売りに出されています。ECBはまだ情報漏洩を確認していません。

• フロリダ州セントクラウド市がランサムウェア攻撃を受け、市の複数のサービスや部署に影響が出ました。警察や消防などの重要なサービスは引き続き運営されており、一部の支払いは現金のみの取引に移行しています。攻撃に対する犯行声明を出しているランサムウェア グループはありません。

• 英国に本拠を置く医療保険会社Harvard Pilgrim Health Careが、ランサムウェア攻撃により2023年4月に当初の報告より12％多い約290万人分のデータが流出したことを公表しました。流出したデータには、現在および過去の加入者および扶養家族、ならびに現在契約しているプロバイダの個人データや保護されるべき医療情報が含まれている可能性があります。

• 米国の小売業者Hot Topicが、顧客の個人情報と一部の支払いデータを流出させるクレデンシャル・スタッフィング攻撃の被害にあいました。脅威アクターは、未知のソースから取得したログイン情報を使用した自動化された攻撃で、同社のウェブサイトとモバイルアプリケーションを標的にしまいした。

脆弱性及びパッチについて

• 研究者らは、オープンソースのAIフレームワークであるRayの脆弱性を悪用した、教育やバイオ製薬などのさまざまな分野に影響を与えている活発な攻撃キャンペーンを発見しました。公開されているにもかかわらず、1つの重大な脆弱性（CVE-2023-48022）のパッチが未適応のままです。ShadowRayと呼ばれるこの脆弱性は、攻撃者が被害者のコンピューティング・パワーを乗っ取り、機密データを漏えいさせることを可能にするものです。

Check PointのIPSは、この脅威[Anyscale Ray Remote Code Execution (CVE-2023-48022)に対する防御機能を備えています。

• Googleは、2023年に実際に行われているゼロデイ脆弱性エクスプロイトの概要を発表し、前年と比較して 50% 以上増加していることを明らかにしました。その中で、サードパーティ製コンポーネントのゼロデイ欠陥を悪用することが主要な攻撃手法として観測されており、複数の製品に影響を及ぼしています。

• Linuxカーネルのnf_tablesに存在するダブルフリーの脆弱性（CVE-2024-1086）を悪用する新たな手法が、v5.14からv6.6.14までのバージョンに影響を与えていることを、研究者らが明らかにしました。この脆弱性は、Dirty Pagedirectoryを利用することで、異なるカーネル間で再コンパイルすることなくユニバーサル・ルート・シェルを実現します。さらに研究者らは、Linuxカーネルのio_uringインターフェースにuse-after-freeの脆弱性（CVE-2024-0582）を発見し、攻撃者がコード実行フローを変更せずに特定のデータを変更する、データのみのエクスプロイトによってroot権限を獲得できる可能性を発見しました。

• 研究者らは、7.2.4 までのバージョンに影響を与える、人気のある WordPress File Manager プラグインに深刻度の高い CSRF 脆弱性 (CVE-2024-1538) を発見しました。悪用に成功すると、攻撃者は JavaScript を注入することができ、リモートコード実行につながる可能性があります。

サイバー脅威インテリジェンスレポート

• チェック・ポイント・リサーチは、攻撃者が悪意のある QR コードやフィッシング・メールなどさまざまな詐欺の手口を用いて米国の納税者の認証情報を取得し、IRS* の還付金を盗み出す詐欺攻撃が相次いでいることを報告しています。また、ダークウェブでは、機密性の高い申告書類の売買が盛んに行われていることも確認されています。

*訳者注；IRS（Internal Revenue Service）アメリカ合衆国内国歳入庁

• チェック・ポイントの研究者は、PyPI（Python Package Index）上で2回にわたって展開された500を超える悪意のあるパッケージによるtyposquattingキャンペーンを検出しました。これらのパッケージをインストールすると、個人を特定できる情報（PII）が盗まれたり、システムにマルウェアがインストールされたりする可能性があります。

Check PointのCloudGuard Code Securityは、この脅威に対する防御機能を備えています。

• 研究者らは、Linuxシステム、特にRed HatベースのディストリビューションとUbuntuを標的とするマルチプラットフォームのバックドア型マルウェアであるDinodasRATを発見しました。このマルウェアは永続性を確保し、システム情報を収集して各感染マシンに固有の識別子を作成し、データの流出とスパイ活動のためにコマンド・アンド・コントロール・サーバとの通信を確立します。