2013年11月初旬、「SAP」のユーザを狙うバックドア型不正プログラム「BKDR_SHIZ.TO(別名:Gamker)」が報告されました。SAP は、「Enterprise Resource Planning」のパッケージソフトであり、多くの企業で使用されています。この不正プログラムは、2010年ごろに初めて検出された不正プログラムのファミリに属します。このファミリは、これまであまり注目されていませんでしたが、SAP のアプリケーションが対象になったことで、この事例を機に以前に比べてより知名度が上がることになりました。
続きを読むトレンドマイクロは、被害者のシステムに大量の遠隔操作ツール(RAT)を送り付けるファイルレス攻撃キャンペーンを確認しました。この攻撃では「クリプターサービス」である「HCrypt」の派生系が使用されていました。「クリプター」とは、攻撃者が自身の使用するマルウェアの検出回避/困難化の目的で使用する、暗号化/難読化用ツールです。HCryptは「Crypter-as-a-service」(クリプターサービス)として認識されており、検出困難化のためのクリプター/多段化ジェネレーターです。攻撃者はサービスにお金を払って選択したマルウェアに最適な難読化を施し、多段のロード手法によるファイルレス活動を行うためのスクリプトを入手します。今回確認したHCryptの新しいサービスでは、過去に確認したものと比べて、新たな難読化メカニズムが使用されていました。今回の攻撃は2021年8月中旬に活動のピークを迎えていましたが、これまでに観測されたものとは異なる新たな難読化の手法や攻撃ベクタが確認されています。
続きを読むトレンドマイクロでは最近、クラウド上での暗号資産(旧仮想通貨)マイニングアプリを装ったモバイル詐欺アプリを8件検出しました※。アプリの説明によると、ユーザはクラウド上でのマイニングに投資し、暗号資産を獲得することができるとされています。しかし、実際にアプリを解析してみると、このアプリはマイニング機能向上と称して広告へと誘導し、月額平均15USドル程度の定期購読サービスに加入させるだけであることが分かりました。弊社が調査結果をGoogleに報告すると、当該アプリはPlay Storeから直ちに削除されました。
※弊社ではAndroidOS_FakeMinerPay および AndroidOS_FakeMinerAとして検出します。
続きを読む最終更新日:2021年5月17日 当初公開日:2021年5月13日
※当初公開日以降の新たな展開および追加情報に基づき、本文および「MITRE ATT&CK」の表を更新
※ トレンドマイクロでは、2021年5月21日(金)14時より本件の緊急ウェビナーを実施します。詳細はこちらをご覧ください。
2021年5月7日、ランサムウェア「DARKSIDE」の攻撃により、米国東海岸における燃料供給の約半分を担うColonial Pipeline社が操業停止に追い込まれました。これにより、ガソリン、ディーゼル、家庭用暖房油、ジェット燃料、軍需品などの貯蔵庫が大きな影響を受け、連邦自動車運送業者安全局(FMCSA)は、不足分を補うため18の州で緊急事態を宣言しました。攻撃に伴う操業停止からすでに5日が経過しましたが、同社では、現在もフル操業を再開できない状態が続いています。アトランタ市では30%のガソリンスタンドでガソリン不足が発生しており、他の都市でも同じような状況となっています。必要なサービスへの供給を維持するため、政府は買いだめをしないようとの勧告を出しています。
トレンドマイクロリサーチは、ランサムウェア「DARKSIDE」の検体を数十件確認し、このランサムウェアの挙動や、標的とされた企業や組織について調査しました。
トレンドマイクロでは最近、「Glupteba」の亜種(Trend Microでは「Trojan.Win32.GLUPTEBA.WLDR」として検出)を確認しました。Gluptebaは、過去にWindigo作戦に関与したバンキングトロジャンとして知られています。弊社ではまた、MikroTikルータへの攻撃や、自身のコマンド&コントロール(C&C)サーバへの更新に関して調査しました。今回確認されたバンキングトロジャンは、挙動に関して他の亜種との類似点を多く共有しています。前述の検体で特筆すべき点は、トレンドマイクロが最近解析したモジュール型アドウェアの一種「ManageX」(トレンドマイクロでは「Trojan.JS.MANAGEX.A」として検出)を使用していることです。本記事では、コード解析から判明したGluptebaのモジュール性とクロスプラットフォーム機能について解説します。
図1:攻撃の流れ (さらに…)
続きを読む本記事では、暗号資産採掘ツール(コインマイナー)によりLinux システムのリソース盗用を狙う様々なサイバー犯罪者たちによる、冷酷な「戦争」について説明します。Linuxのエコシステムは、他のオペレーティングシステムと比べて安全で信頼性が高いとされています。しかし残念ながら、Google、NASA、そして米国国防省など知名度の高い企業や組織でLinuxシステムの採用が広まるにつれ、攻撃対象としてLinuxを狙うサイバー犯罪者も多くなっています。 特に、システムのリソース盗用による暗号資産採掘(不正マイニング)による利益を狙うサイバー犯罪者にとって、Linuxは中心的な攻撃対象となってしまっているようです。本記事ではまた、オープンAPIを備えたアプリケーションとDocker環境に対応したエントリポイントの移り変わりを含む、不正マイニングの攻撃チェーンについても解説します。 (さらに…)
続きを読むトレンドマイクロでは、今年の7月に入ってすぐ、新しいマルウェア「ThiefQuest(別名:EvilQuest)」を確認しました。このマルウェアは、macOSデバイスを狙って、ファイルを暗号化し、影響を受けるコンピュータ内にキーロガーをインストールします。ThiefQuestは、一般的なファイル共有のためのトレントサイト上で共有されていた海賊版のmacOSから発見されています。このマルウェアの動向は、ウイルス対策ソフトを提供する「MalwareBytes」、コンピュータヘルプサイト「BleepingComputer」、およびセキュリティリサーチャであるDinesh Devadoss氏、Phil Stokes氏、Patrick Wardle氏、そしてThomas Reed氏によっても調査されています。また、Objective-See社も最新のマルウェア詳細調査を公表しています。これらの調査では、マルウェアを利用した身代金要求が主な攻撃方法ではなく、ファイルの抽出、C&C通信、キーロギングなどのその他の関数を偽装するための先手であるとしています。この推測は、最近確認された内容でも裏付けられています。 (さらに…)
続きを読むトレンドマイクロではサイバー犯罪対策の一環として、アンダーグラウンドマーケットやアンダーグラウンドフォーラムに対する監視や調査を行っています。これらの調査結果は法執行機関との連携で使用されると共に、2013年からはレポート化し一般公開しています。特に2015年からは、世界各地のアンダーグラウンド状況を調査した一連のレポートを「Cybercriminal Underground Economy Series」として公開してまいりました。そして今回、トレンドマイクロでは様々なアンダーグラウンドマーケットを再調査した結果を元にレポートをまとめました。本ブログでは3回にわたり、この2019年に行った最新調査結果を中心に、現在のアンダーグラウンドマーケットの状況と過去からの変化、およびその変化から見えてきた今後の予測についてご報告いたします。
(※記事内で使用する通貨単位として、「ドル、$」は米ドル、「円、¥」は日本円とします。また記事編集時6月時点の換算レートで1ドル=107円、1ビットコイン=100万円として計算します)
ソーシャルエンジニアリングの手法を使い、メール受信者に恐怖心を抱かせて金銭を要求する新しいセクストーション(性的脅迫)の手口が確認されました。最近のセクストーションの手口の傾向に違わずビットコインでの支払いを要求するこの事例は、今年2020年初め、メールセキュリティ企業「Mimecast」のリサーチャによって確認されました。1月2日から3日にかけて、主に米国のメールアカウント所有者にむけて合計1,687通の脅迫メールが送信されたことが報告されています。
一見したところこの手口は過去数年間で確認されている他のセクストーションのものと違いはありません。あまり珍しくない、「要求額を支払わなければ、受信者の裸が映った動画を成人向けWebサイトで公開する」という脅迫内容です。
続きを読む