米国時間2021年12月9日にJava向けのログ出力ライブラリ「Apache Log4j」に潜在するリモートコード実行（RCE）の脆弱性情報が公開されました。以来、数多くの記事で取り上げられたことは、「Log4Shell」と名付けられたこの脆弱性の影響力の大きさを物語っています。Log4jは、コード変更なく簡単にログを提供することから、多くのプログラムに用いられています。これは、攻撃対象領域が広範囲に及ぶことを意味すると同時に、Amazon社、Apple社、Cloudflare社、Google社、Tencent社、Twitter社など、Log4jを用いる多くの有名企業が脆弱性を有する標的組織として狙われる可能性があることを示唆しています。また、Log4jを用いる組み込み機器にまで影響が及ぶため、攻撃対象領域がさらに拡大しています。本ブログ記事では、車載デバイスや車両プロパティの中でもコネクテッドカーに影響するものとして、特に電気自動車用充電器、車載インフォテインメント（IVI）システム、自動車用デジタルキーの3つに焦点を当てます。
続きを読む本ブログエントリでは、IoT（Internet of Things: モノのインターネット）Linuxマルウェアの調査結果を報告し、特にこれらマルウェアファミリが時間と共にどのように変化してきたかを分析します。トレンドマイクロが観測したマルウェアについて、その機能や特徴を定義するため、MITRE ATT&CK TTPs（Tactics、Techniques、Procedures）を用いました。
本調査より、IoT Linuxマルウェアは、特にIoTボットネットを構築するものについて、継続的に進化していることが分かりました。時間とともに実装する機能の追加、または、削除が見られます。とりわけ、データ送出や水平移動(ラテラルムーブメント)の機能ではなく、局所集中型の感染を引き起こす機能の進化に力が向けられる傾向があります。
表1に、トレンドマイクロが収集したマルウェア関連データの中で、最も多く実装されている機能やテクニックの上位10個を示します。
| ATT&CK Tactic | Technique (TTP) |
マルウェア ファミリ数 |
| Discovery（探索） | T1083：File and Directory Discovery（ファイルとディレクトリの探索） | 10 |
| Command and Control（コマンド・コントロール） | T1071.001：Application Layer Protocol: Web Protocols（アプリケーション層プロトコル: Webプロトコル） | 9 |
| Initial Access（初期アクセス） | T1133：External Remote Services （外部リモートサービス） | 8 |
| Execution（実行） | T1059.004：Command and Scripting Interpreter: Unix Shell（コマンド・スクリプトインタプリタ: Unixシェル） | 7 |
|---|---|---|
| Impact（影響） | T1498.001：Network Denial of Service: Direct Network Flood（サービス拒否・直接フラッド攻撃） | |
| Credential Access（認証情報アクセス） | T1110.001：Brute Force Password Guessing（ブルートフォースパスワード推定） | 6 |
| Discovery（探索） | T1057：Process Discovery（プロセス探索） | |
| Execution（実行） | T1106：Native API（ネイティブAPI） | 5 |
| Impact（影響） | T1486：Data Encrypted for Impact（データ暗号化） | |
| Defense Evasion（防御回避） | T1070.004：Indicator Removal on Host: File Deletion（ホスト上の痕跡隠滅: ファイル削除） | 4 |
| Lateral Movement（水平移動・内部活動） | T1210：Exploitation of Remote Services（リモートサービス不正使用） | |
| Persistence（永続化） | T1053.003：Scheduled Task/Job: Cron（タスク・ジョブスケジュール: Cron） |
トレンドマイクロでは、2021年の1年間に確認した、日本国内における「標的型攻撃」に関しての分析を行いました。ネットワークに侵入する攻撃は、法人組織にとっては深刻な被害につながりかねない危険な存在です。またこの危険な攻撃の背後には、一般に「State-Sponsored」などと呼ばれる国家や政府との関連が推測される攻撃者の存在が見え隠れします。攻撃者は標的組織が持つセキュリティ上の弱点を見逃さず、彼らにとって最も適した攻撃手法を用いて侵入を試みます。
トレンドマイクロのManaged XDRチーム（以下、MDRチーム）では、ランサムウェア「LockBit」をペイロードとしてドロップするために攻撃者によって利用されたローダ型マルウェア「BLISTER」による用心深い挙動を観測しました。MDRチームでは、緻密な監視と迅速な対応によって、双方におけるペイロードの実行を阻止しました。
BLISTERとSocGholishは共にステルス性が高く、有害なペイロードを送りこむ際に検出回避を試みる手口で知られています。特に、攻撃キャンペーンで一緒に利用されることで知られており、SocGholishの侵入後、BLISTERが第二段階としてメインのペイロードをドロップする形で攻撃が行使されてきました。両者を組み合わせることで、攻撃者は巧みに検出を回避し、メインとなるペイロード（特に今回はLockBit）を標的に向けてドロップ・実行しようとします。今回の調査では、これら第一段階のマルウェアが事前に阻止されなかった場合に何が引き起こされるのかを解説します。
続きを読むトレンドマイクロのManaged XDR（eXtended Detection and Response）を担当するチーム（以下、MDRチーム）は最近、ある顧客を標的とした攻撃事例に対処しました。この事例は、攻撃者による巧妙な検出回避と、複数レイヤーに跨る攻撃を示すものでした。まず、エンドポイントの脆弱性を攻撃し、そこから水平移動・内部活動へと繋げる様子が確認されました。一連の攻撃は、脆弱性「ProxyShell」を突いたクラウドサーバへのWebシェルのインストールから始まり、最終的な侵入手段としてリモートデスクトッププロトコル（Remote Desktop Protocol：RDP）を含む正規リモートアクセス手段を用いた持続的な攻撃に発展しました。
続きを読むトレンドマイクロは2018年に世界で3万人以上のユーザが感染被害を受けたとする報道がなされて以来、脆弱性攻撃ツール「Purple Fox」の脅威を継続的に追跡調査しています。本ブログではこれまでにも、Purple Foxが暗号資産採掘ツール（コインマイナー）を感染PC端末内にダウンロードして実行する手口や、新種のバックドア型マルウェアを追加すると同時に、自身のインフラストラクチャを高度化させ続ける手口などを取り上げてきました。
本ブログ記事では、Purple Foxに採用された新たな侵入経路と、Purple Foxボットネットの背後に存在する侵入ツール群との関連性が示唆される感染チェーンの初期段階で用いられるアクセスローダを取り上げます。トレンドマイクロのデータでは、ユーザのPC端末が正規のアプリインストーラを偽装したトロイの木馬型ソフトウェアパッケージの標的となっていることが明らかとなりました。この偽インストーラは、ユーザを騙してボットネット全体のインフラを拡大するために積極的にインターネット上で頒布されています。他のセキュリティ会社もまた、PurpleFoxの最近の活動や最新のペイロードについて報告しています。
続きを読むイギリスの国家サイバーセキュリティセンター（NCSC）が行った分析によると、ロシア軍参謀本部情報総局（GRU）の支援を受ける標的型サイバー攻撃者グループ「Sandworm」（別称：VOODOO BEAR）との関連性が報告されている高度化したモジュール型ボット「Cyclops Blink」が最近WatchGuard社製のFireboxデバイスを攻撃するために用いられていたことが判明しています。トレンドマイクロは、Asus製ルータを標的とするマルウェアファミリ「Cyclops Blink」の亜種を入手しました。本ブログ記事では、ボット型マルウェア「Cyclops Blink」の亜種が備える技術的機能について解説すると共に、これまでにCyclops Blinkボットネットで確認された150以上の遠隔操作サーバ（C&Cサーバ）の一覧を掲載しています。この一覧は、セキュリティ担当者が自社のネットワーク内で影響を受けているデバイスを検索し、修復プロセスを実施する際にお役立ていただけるよう作成しました。トレンドマイクロは、今回の調査結果をAsus社に共有しました。その後Asus社は、Cyclops Blinkによる攻撃を防止するためのセキュリティ対策チェックリストおよび影響を受けるAsus社製品の一覧を含むセキュリティ情報を作成しました。
続きを読む本ブログ記事では2021年にトレンドマイクロが観測したモジュール型ローダ「Buer Loader」に関連する攻撃活動やキャンペーンについて概説します。詳細はトレンドマイクロの技術論文「An Analysis of Buer Loader（英語）」をご参照ください。Buer Loaderは2019年に非常に競争力のある価格でアンダーグラウンドマーケット（闇市場）に参入したことで知られており、マルウェアをサービスとして提供する「Malware as a Service（MaaS）」の一つです。現在Buer Loaderは十分にその地位を確立し、攻撃者によって積極的に利用され続けているように見えます。
続きを読む
