トレンドマイクロは、サイバー攻撃グループ「Earth Empusa（別名POISON CARPあるいはEvil Eye）」の追跡調査中、新しいAndroid端末向け不正アプリ（スパイウェア）「ActionSpy」（「AndroidOS_ActionSpy.HRX」として検出）を確認しました。Earth Empusa は、2020年第1四半期にはチベットとトルコのユーザをターゲットとして活動し、その後、攻撃対象に台湾を加えたものとされています。また、Earth Empusaによる攻撃キャンペーンは、AndroidとiOS双方のモバイル端末を攻撃対象とし、ウイグル語を使用するユーザを狙うことが報告されています。この攻撃グループは水飲み場攻撃を利用することで知られていましたが、トレンドマイクロでは、フィッシング攻撃の誘導によってマルウェアを配信する攻撃手法も確認しました。 (さらに…)
続きを読む
ランサムウェアを使用するサイバー犯罪者が、その手口を変化させています。データを暗号化して復号キーと引き換えに身代金を要求するだけではなく、情報の窃取と暴露も伴うようになりました。重要なファイルにアクセスできなくなっても身代金を払わない企業に対し、社内情報を一般に公開するという脅し文句が加わりました。ランサムウェア「Nefilim」、「Sodinokibi/REvil」、「DoppelPaymer」、「Maze」などの背後にいるサイバー犯罪者が、この「暗号化」と「暴露」の二重の脅迫手法を採用しました。一部のサイバー犯罪者は、ランサムウェア攻撃の情報窃取と脅迫のプロセスを容易にする目的で、ツールとインフラストラクチャを共有する協力関係を結んでいると考えられています。 (さらに…)
続きを読む「Tropic Trooper」は、2011年から活動しているとされるサイバー攻撃グループです。これまでに、台湾、フィリピン、香港における政府および軍事機関、ヘルスケア、輸送、ハイテク産業を攻撃対象にしてきたものと推測されています。トレンドマイクロではこのグループの活動として、2015年に脆弱性を利用するファイルを添付した標的型メール（スピアフィッシングメール）の攻撃を、また2018年にはツールに新機能を追加するなどの攻撃手法の変化を報告してまいりました。そして最近確認されたTropic Trooperの攻撃活動では、USBストレージ経由で台湾およびフィリピンの軍事機関のエアギャップ環境、つまり他のネットワークから物理的に隔離されている閉域ネットワークへの侵入を狙う活動を把握しました。また同時に、政府機関、軍事病院、さらに国立銀行を標的とした攻撃も確認できました。この攻撃でTropic Trooperは、特定の標的環境において自身の活動を隠蔽しつつさまざまなコマンドを実行し、USBストレージから重要な情報を窃取するマルウェア「USBferry」を活用します。ちなみにUSBferryの名称は、調査の際に入手されたサンプルの名前からとられています。トレンドマイクロの調査では、おとりとなる偽の実行ファイルとUSBferryを利用して情報を収集する活動を確認しています。
図1：USBferry攻撃のシナリオ例
続きを読むサイバー犯罪者はしばしば、ソーシャルメディアや電子メール、SMSを利用してターゲットとなるユーザにメッセージやメールを送信し、不正サイトへ誘導する手口を利用します。 特に海外では「Romance Scam（ロマンス詐欺）」とも呼ばれる「出会い系詐欺」においては、インターネット上の出会い系サイトが誘導先となります。この5月、トレンドマイクロのリサーチャは、出会い系詐欺に関連するいくつかのキャンペーンを確認しました。これらのキャンペーンでは、類似した構成、レイアウトの不審なサイトが多数用意されており、日本から多くのユーザがアクセスしていることが確認されました。
トレンドマイクロでは、Android向けアプリの公式マーケットである「Google Play」上で、2つの不審なバーコードリーダーアプリを確認（トレンドマイクロでは「AndroidOS_HiddenAd.HRXJA」として検出）しました。この２つのアプリにはどちらも、不審な活動が含まれていましたが、確認時点で既に100万回以上ものダウンロードが記録されており、多くの人がインストールしたものと考えられます。不審な活動の中には、ユーザがデバイスをアクティブに使用していない時でも広告が表示されるなどの動きも含みます。以下の動画はその例です。
動画1：広告ページの点滅
画面が点滅したように見えますが、一体何が起きたのでしょうか。原因は何なのでしょうか。本記事では、活動に使用されたコードを調査してその答えを見つけていきます。 (さらに…)
続きを読む設定の不備や誤りにより重要情報が外部に流出してしまう事故は後を絶ちません。サイバー犯罪者も自身が管理する情報の「セキュリティ」には無頓着な場合があり、不正サーバ上にマルウェアなどを含むオープンディレクトリが確認されることがよくあります。今回、誰でも入手可能な状態になっていた不審ファイルのいくつかを解析したところ、Docker デーモンのオープンポートをスキャンして侵入する、暗号資産（仮想通貨）を発掘する不正コインマイナーと、分散型サービス拒否（DDoS）攻撃を実行させるボット型マルウェアが見つかりました。これらのマルウェアが発見された不正サーバは、外部のリサーチャーであるMalwareHunterTeamがTwitterで報告したものと同一です。
仮想化技術「コンテナ」は、ホストOS上に他のプロセスとは隔離されたアプリケーション実行環境をコンテナ内に構築する技術です。この技術は、開発部門と運用部門が連携してシステムを開発するDevOpsを実施する企業内での「開発者体験（Developer Experience、DX）」を最適化します。アプリケーションをコンテナ内にビルドすることで、コンピュータ内のハードウェアやインフラストラクチャ、クラウド環境のいずれにおいても開発者は円滑にアプリを実行できるようになります。仮想マシン（VM）を用いて構築された仮想的な実行環境では、オペレーティングシステム（OS）、または、システム基盤となる設備や施設であるインフラストラクチャ環境の違いによって互換性に課題が生じていました。一方、コンテナはホストOS上で構築可能なプロセスであり、各コンテナ毎にOSをエミュレートする「コンテナランタイム」によってこれらの課題は仮想化されます。ただし、他のテクノロジー同様、コンテナを使用する上でもトレードオフの法則が成り立ちます。これらのコンテナ環境のインフラストラクチャの複雑さについて適切に考慮されていない場合、深刻なセキュリティリスクをもたらす可能性があります。コンテナ環境に被害を与える可能性のある脅威は、開発パイプラインの各段階に存在します。
コンテナ内でのビルド作業時に生じるリスクを最小限に抑えるために開発者が順守すべき6つのステップを以下に示します。
続きを読むトレンドマイクロでは、香港のiOSユーザを狙う水飲み場型攻撃を確認しました。この活動では、さまざまなニュース記事につながると見られるリンクが、複数のネット掲示板に投稿されました。今回利用されたリンクは、ユーザを実際のニュースサイトに誘導しますが、不正コードの読み込みと実行を行うために非表示のiframeも使用します。不正コードには、iOS 12.1および12.2で確認された脆弱性を狙う脆弱性攻撃コードが含まれています。ユーザが潜在的な脅威を持つ状態にあるデバイスで対象のリンクをクリックしてしまうと、iOSを狙うマルウェアの新亜種「lightSpy（「IOS_LightSpy.A」として検出）」のダウンロードが実行されます。 (さらに…)
続きを読むモノのインターネット（Internet of Things, IoT）の「モノ」、つまりIoT機器に搭載されている機能の多様性とその用途の範囲は、さまざまな産業や環境の改善に役立っています。家庭、工場、そして都市に利益が生みだされる一方で、IoT機器はセキュリティ上で脆弱性という形で想定外の脅威をもたらす可能性があります。
脆弱なIoT機器はセキュリティ上の弱点となり、ネットワーク経由での攻撃の可能性をサイバー犯罪者に開きます。多くのIoT機器は様々な便利な機能を実現するために、コンピュータ化しています。特定用途に使用されていた「機器」がコンピュータと出会ってネットワークに繋がったことにより、脆弱性などサイバー犯罪者がつけ入る隙が生まれた、ということです。 (さらに…)
続きを読む
