週次サイバーセキュリティ脅威レポート （2022年11月21日版）”ホリデーシーズンに向けてサイバー犯罪増加の警告 活動再開したEmotetに関する分析 等”

[TakahiroS]

チェック・ポイント・リサーチ・チームによる2022年11月21日における週次のサイバーセキュリティ脅威レポートの抄訳です。

オリジナル英語版は、こちらを参照ください。

今週のTOP サイバー攻撃とセキュリティ侵害について

• 米国CISAは、米国連邦政府機関に影響を与える国家の脅威活動を発見しました。この攻撃者は、イランが関与していると推定され、パッチが適用されていないサーバーに存在する2021年の「Log4Shell」脆弱性を悪用して、初期のアクセスを取得しました。その後、攻撃者は暗号通貨マイナーを展開し、認証情報を採取し、様々な手法を駆使して横方向に移動し、ネットワーク内で持続性を確立しました。

  Check PointのIPSは、この脅威[Apache Log4j Remote Code Execution (CVE-2021-44228; CVE-2021-45046)]に対する防御機能を備えています。

• チェック・ポイントは、ホリデーシーズンに買い物客を狙った詐欺やフィッシングが増加することを警告しています。ハッカーや詐欺師は、感謝祭期間中のオンライン販売の活況に乗じて、できるだけ多くの潜在的被害者をおびき出そうとしています。

• 米国FBIは、CISAおよびその他の機関とともに、ランサムウェアグループ「Hive」に関するセキュリティアドバイザリを発表しました。FBIによると、Hiveは過去18ヶ月間に1,300以上の組織で総額1億ドルの身代金を要求しており、特にヘルスケア業界をターゲットとしています。

  Check PointのThreat EmulationおよびAnti-Botは、この脅威[Ransomware.Hive.A; Ransomware.Wins.Hive.ta.B)]に対する防御機能を備えています。

• ロシア政府系のハクティビスト集団「Killnet」が、ホワイトハウスのウェブサイトや、ウクライナが利用している衛星インターネット通信企業「Starlink」に対してサービス拒否攻撃を開始したことが明らかになりました。Killnetは、この攻撃により、ウェブサイトのダウンに成功したとしています。

• 複数のグループがAdobe CommerceとMagentoの脆弱性を悪用して、オンラインストアにアクセスする事件が発生しています。この攻撃は、ホリデーシーズンに向けて増加し、脅威アクターはオンラインストアへの永続的なリモートアクセスを得ることができます。

  Check PointのIPSは、この脅威[Adobe Commerce Command Injection (CVE-2022-24086)に対する防御機能を備えています。

• Meta社は、従業員がユーザのFacebookやInstagramのプロフィールへのアクセスを許可する見返りとして、外部のハッカーから数千ドルの賄賂を受け取っていたため、数十人の従業員を解雇しました。この社員は、あらゆるユーザアカウントへフルアクセスできる同社の社内サポートツールを使用していました。

• Meta社は、従業員がユーザのFacebookやInstagramのプロフィールへのアクセスを許可する見返りとして、外部のハッカーから数千ドルの賄賂を受け取っていたため、数十人の従業員を解雇しました。この社員は、あらゆるユーザアカウントへフルアクセスできる同社の社内サポートツールを使用していました。

• 米国ミシガン州では、2つの郡の学校がランサムウェアの攻撃を受け、業務の停止を余儀なくされました。この攻撃の背後にいる脅威の主体はまだわかっていません。

脆弱性及びパッチについて

• サイバー研究者は、世界中の多くの企業で使用されているSpotifyのオープンソースBackstageプラットフォームに影響する重大な深刻度の脆弱性を発見しました。この脆弱性により、脅威アクターはリモートでコードを実行できる可能性があり、Spotify Backstageチームによってパッチが適用されました。

• Samba 社は、同社のソフトウェアの複数のバージョンに存在する脆弱性に対してパッチを適用しました。特定のケースでは、この脆弱性を利用した攻撃により、影響を受けるシステムを制御される可能性があります。
• Atlassian Confluence は Atlassian Crowd Server と Atlassian Bitbucket で発見された重大な脆弱性に対するパッチをリリースしました。どちらの脆弱性も、パッチを適用していないシステムへのリモートアクセスを可能にする可能性があります。
• F5は、BIG-IPおよびBIG-IQ製品に影響する脆弱性について、セキュリティアドバイザリを公開しました。この脆弱性は、攻撃者が特定の要件を満たした後に、影響を受けるシステムにアクセスすることを可能にします。

サイバー脅威インテリジェンスレポート

• Emotet の最新のカムバックの分析結果が発表されました。7月以降活動を停止していたEmotetのキャンペーンは、11月に大量に検出されました。研究者によると、脅威者はマルウェアに複数の変更を加え、最終段階のペイロードに、IcedIDおよびBumblebeeマルウェアの亜種を落とすことができるようになったことも確認されています。

  Check PointのThreat Emulation、Harmony EndpointおよびAnti-Botは、この脅威[Trojan-Downloader.Win32.IcedID; Trojan.Win32.Emotet; Dropper.Win.GenDrop.la.E; Trojan-Downloader.Win.Bumblebee.J]に対する防御機能を備えています。

• サイバー研究者は、「Billbug」と呼ばれる、中国に起因すると思われる国家支援グループの活動を分析しました。このグループは、アジアに拠点を置く政府機関、防衛機関、認証局を標的にしています。研究者によると、攻撃の動機はデータの窃盗でした。

• Linux IoTデバイスを標的とした新しいボットネットが発見されました。攻撃者は、一般的に使用されているデフォルトパスワードのブルートフォースを通じてデバイスへのアクセスを試みます。分析によると、このボットネットの目的は、人気のあるゲームサーバーにDDoS攻撃を仕掛けることです
• サイバー研究者は、FIFAワールドカップを利用してフィッシング攻撃で被害者を誘い出すサイバー攻撃に対して警告を発しています。