この6月に入り、官公庁や市町村のWebページの「偽サイト」が検索上位に登場するなどの報告が相次ぎ、15日にはNISC（内閣サイバーセキュリティセンター）から注意喚起が発出される事態となりました。トレンドマイクロでこれら「偽サイト」について調査したところ、問題のサイトは「プロキシ回避システム（Proxy Avoidance Websites）」の一種であると判明しました。プロキシ回避システムを原因とする偽サイト騒動は過去から何度も繰り返されてきました。しかし、今回の事例に関する調査の中では過去事例と異なり、オリジナルのサイトにはないJavaScriptを挿入するといった不審点も確認されました。本記事ではこの調査について報告いたします。
続きを読むクラウドベースのシステムが企業の業務やインフラでの重要な構成要素となる中、攻撃者はクラウド環境に目をつけ、クラウド環境の脆弱性を突いてさまざまな攻撃を仕掛けています。その種類は、情報窃取、諜報活動、DDoS攻撃など、多岐に及びます。
最近の傾向としては、クラウドのリソース、特にクラウドインスタンスのCPUを利用して暗号資産をマイニングする攻撃グループが増加しています。なお、CPUマイニングに適したリターンが得られる暗号通貨として現在では「モネロ」が好まれています。この傾向については、トレンドマイクロのリサーチペーパー「浮遊する戦場：クラウドを狙う暗号資産マイニング活動の脅威」で詳しく説明しています。
続きを読むボット型マルウェア「EMOTET」はサイバーセキュリティ業界でその名を馳せています。EMOTETを背後で操るオペレータが、スパムメールを使ってシステムを侵害した後、それらのシステムへのアクセス権を販売することに成功した為です。これはマルウェアをサービスとして提供する悪名高い手口「Malware as a Service（MaaS）」の一環として、MaaS利用者の不正ペイロードをEMOTETに配信させることで実施されました。バンキングマルウェア「Trickbot」や、ランサムウェア「Ryuk」/「Conti」などの悪名高い脅威の背後にいるオペレータは、自身の攻撃活動にEMOTETを用いた攻撃者グループの1つです。
続きを読むランサムウェアを背後で操る新たな犯罪組織「Black Basta」は、企業や組織に対する大規模なデータ侵害を短期間で引き起こしたことから、ここ数週間でその悪名を轟かせることとなりました。
2022年4月20日、「Black Basta」を名乗る人物が、『企業ネットワークへのアクセス権や認証情報を入手して収益化するための策があり、協力者には利益の一部を分配する』といった宣言を「XSS.IS」や「EXPLOIT.IN」などのアンダーグラウンドフォーラム上に投稿しました。さらにこの投稿内容には、米国、カナダ、英国、オーストラリア、ニュージーランド（すべて英語圏の国）に拠点を置く企業や組織を標的としている旨も明記されていました。セキュリティベンダ「Minerva Labs社」は、攻撃者が、流出したデータを提供している一部のダークウェブから認証情報を入手していることを報告しました。
続きを読む現在、国内で最も大きな脅威となっているマルウェアとして「EMOTET」が挙げられます。本ブログでもこれまで、EMOTETに関する様々な注意喚起と解析記事を取り上げてまいりました。EMOTETの主な拡散経路はマルウェアスパム、つまりメール経由です。EMOTETの攻撃メールのほとんどで、不正マクロを含むOffice文書ファイルを添付ファイルなどの形式で開かせる手口が使われてきました。これに加えこの４月末からは、Windowsのショートカットリンク（.lnk）ファイルを悪用する新たな手口も確認しています。本記事ではこのEMOTETの、不正マクロを含むOffice文書ファイル、ショートカットリンクファイルの双方の手口に対して弊社トレンドマイクロの検出技術がどのように有効であるのかを検証いたしました。検証にあたっては、当社のサポートケースでご提供いただいた検体やインターネット上から入手可能なサンプルを使用しました。またトレンドマイクロの検出技術としては、クロスレイヤの検知と対応（XDR）機能を搭載する脅威防御のプラットフォーム「Trend Micro Vision One™」を用いました。検証のシナリオとしては、添付ファイルに対し従来型検出技術（パターンマッチング）が未対応のタイミングでEMOTETのマルウェアスパムが着信し、利用者が添付ファイルを開いてしまった場合を想定します。
続きを読む米国時間2021年12月9日にJava向けのログ出力ライブラリ「Apache Log4j」に潜在するリモートコード実行（RCE）の脆弱性情報が公開されました。以来、数多くの記事で取り上げられたことは、「Log4Shell」と名付けられたこの脆弱性の影響力の大きさを物語っています。Log4jは、コード変更なく簡単にログを提供することから、多くのプログラムに用いられています。これは、攻撃対象領域が広範囲に及ぶことを意味すると同時に、Amazon社、Apple社、Cloudflare社、Google社、Tencent社、Twitter社など、Log4jを用いる多くの有名企業が脆弱性を有する標的組織として狙われる可能性があることを示唆しています。また、Log4jを用いる組み込み機器にまで影響が及ぶため、攻撃対象領域がさらに拡大しています。本ブログ記事では、車載デバイスや車両プロパティの中でもコネクテッドカーに影響するものとして、特に電気自動車用充電器、車載インフォテインメント（IVI）システム、自動車用デジタルキーの3つに焦点を当てます。
続きを読む本ブログエントリでは、IoT（Internet of Things: モノのインターネット）Linuxマルウェアの調査結果を報告し、特にこれらマルウェアファミリが時間と共にどのように変化してきたかを分析します。トレンドマイクロが観測したマルウェアについて、その機能や特徴を定義するため、MITRE ATT&CK TTPs（Tactics、Techniques、Procedures）を用いました。
本調査より、IoT Linuxマルウェアは、特にIoTボットネットを構築するものについて、継続的に進化していることが分かりました。時間とともに実装する機能の追加、または、削除が見られます。とりわけ、データ送出や水平移動(ラテラルムーブメント)の機能ではなく、局所集中型の感染を引き起こす機能の進化に力が向けられる傾向があります。
表1に、トレンドマイクロが収集したマルウェア関連データの中で、最も多く実装されている機能やテクニックの上位10個を示します。
| ATT&CK Tactic | Technique (TTP) |
マルウェア ファミリ数 |
| Discovery（探索） | T1083：File and Directory Discovery（ファイルとディレクトリの探索） | 10 |
| Command and Control（コマンド・コントロール） | T1071.001：Application Layer Protocol: Web Protocols（アプリケーション層プロトコル: Webプロトコル） | 9 |
| Initial Access（初期アクセス） | T1133：External Remote Services （外部リモートサービス） | 8 |
| Execution（実行） | T1059.004：Command and Scripting Interpreter: Unix Shell（コマンド・スクリプトインタプリタ: Unixシェル） | 7 |
|---|---|---|
| Impact（影響） | T1498.001：Network Denial of Service: Direct Network Flood（サービス拒否・直接フラッド攻撃） | |
| Credential Access（認証情報アクセス） | T1110.001：Brute Force Password Guessing（ブルートフォースパスワード推定） | 6 |
| Discovery（探索） | T1057：Process Discovery（プロセス探索） | |
| Execution（実行） | T1106：Native API（ネイティブAPI） | 5 |
| Impact（影響） | T1486：Data Encrypted for Impact（データ暗号化） | |
| Defense Evasion（防御回避） | T1070.004：Indicator Removal on Host: File Deletion（ホスト上の痕跡隠滅: ファイル削除） | 4 |
| Lateral Movement（水平移動・内部活動） | T1210：Exploitation of Remote Services（リモートサービス不正使用） | |
| Persistence（永続化） | T1053.003：Scheduled Task/Job: Cron（タスク・ジョブスケジュール: Cron） |
トレンドマイクロでは、2021年の1年間に確認した、日本国内における「標的型攻撃」に関しての分析を行いました。ネットワークに侵入する攻撃は、法人組織にとっては深刻な被害につながりかねない危険な存在です。またこの危険な攻撃の背後には、一般に「State-Sponsored」などと呼ばれる国家や政府との関連が推測される攻撃者の存在が見え隠れします。攻撃者は標的組織が持つセキュリティ上の弱点を見逃さず、彼らにとって最も適した攻撃手法を用いて侵入を試みます。
トレンドマイクロのManaged XDRチーム（以下、MDRチーム）では、ランサムウェア「LockBit」をペイロードとしてドロップするために攻撃者によって利用されたローダ型マルウェア「BLISTER」による用心深い挙動を観測しました。MDRチームでは、緻密な監視と迅速な対応によって、双方におけるペイロードの実行を阻止しました。
BLISTERとSocGholishは共にステルス性が高く、有害なペイロードを送りこむ際に検出回避を試みる手口で知られています。特に、攻撃キャンペーンで一緒に利用されることで知られており、SocGholishの侵入後、BLISTERが第二段階としてメインのペイロードをドロップする形で攻撃が行使されてきました。両者を組み合わせることで、攻撃者は巧みに検出を回避し、メインとなるペイロード（特に今回はLockBit）を標的に向けてドロップ・実行しようとします。今回の調査では、これら第一段階のマルウェアが事前に阻止されなかった場合に何が引き起こされるのかを解説します。
続きを読む
