検索:
ホーム   »   PowerShell

ランサムウェア「Nokoyawa」と「Hive」の顕著な類似点を解説

  • 投稿日:2022年5月17日
  • 脅威カテゴリ:メール, ランサムウェア
  • 執筆:Trend Micro
0

2021年に出現したランサムウェアファミリの中でも特に注目に値する「Hive」は、わずか4ヶ月間で300社以上の法人組織を侵害したと報告されており、同年下半期に波紋を広げました。これによりHiveの背後にいる攻撃者グループは、数百万米ドル(数億円)の利益を得た可能性があります。トレンドマイクロはその後、2022年3月にほとんど未知のランサムウェア「Nokoyawa」の攻撃手法が、Hiveと多くの共通点を持つことを発見しました。この2つのファミリは、使用するツールから様々な段階での実行順序に至るまで、攻撃チェーンにおける明らかな類似点を共有しています。現在Nokoyawaは南米の、主にアルゼンチンに拠点を置く組織を標的にしていると考えられます。

(さらに…)

続きを読む
Tags: ランサムウェアフィッシングコインマイナーCobalt StrikeHiveMIMIKATZNokoyawaPowerShellRaaS正規ツール

脆弱性攻撃ツール「Purple Fox」によるSQL serverを狙った攻撃手法を解説

  • 投稿日:2022年2月28日
  • 脅威カテゴリ:脆弱性, 攻撃手法
  • 執筆:Trend Micro
0
■ はじめに

本ブログでは2021年11月8日の記事で、脆弱性攻撃ツール「Purple Fox」により構築されたボットネットの仕組みについて概説したほか、初期アクセス時に用いられた手法や関連性の高いバックドア型マルウェアについても一部検証しました。

今回の追跡調査では、Trend Micro Managed XDR(XDR)を介して観測されたPurple Foxの感染チェーンの後期段階、特に、悪意のあるSQL CLRアセンブリを注入(インジェクション)してSQLデータベースに感染したのち、不正活動の持続化やステルス性の高い活動を可能にする手法に焦点を当てました。今回の攻撃で使用されるファイルの多くは、感染システムのディスク上に保存されない点に注意が必要です。これらの不正ファイルは、遠隔操作サーバ(C&Cサーバ)から引き出されるか、暗号化された後、メモリから実行されたのち別のプロセスによって読み込まれます。

(さらに…)

続きを読む
Tags: 脆弱性攻撃ツールPowerShellPurpleFox

ファイルレスマルウェアQAKBOTを攻撃対象にステージャーとして永続化させる攻撃手口を解説

  • 投稿日:2022年1月26日
  • 脅威カテゴリ:サイバー攻撃, 脆弱性
  • 執筆:Trend Micro
0

トレンドマイクロでは、最近、中東地域のスパム攻撃キャンペーンにおいて、2つのエクスプロイトを使用したローダ型マルウェア「Squirrelwaffle」の存在を確認しました。そしてトレンドマイクロのインシデントレスポンスおよびXDRチームの監視と分析により、ペイロードの1つとして、2007年からサイバー犯罪者による使用が確認されている情報窃取型バンキングマルウェア「QAKBOT」の存在が明らかになりました。

調査を続けるなかで、ファイルレスの手法を備えたQAKBOTがステージャーとして感染端末上での永続性を保持することが確認されました。さらに、QAKBOTがペイロードの一つとしてレジストリ上でファイルレスにステージングする一方で、他の複数のマルウェアをステージングすることも可能なことから、今後、より多くの攻撃キャンペーンに悪用されることが懸念されます。

(さらに…)

続きを読む
Tags: ファイルレス活動PowerShellQAKBOTSquirrelwaffle

脆弱性攻撃ツール「PurpleFox」のWebSocketを悪用する新たなバックドア手口を解説

  • 投稿日:2021年11月8日
  • 脅威カテゴリ:脆弱性, 攻撃手法
  • 執筆:Trend Micro
0

2021年9月、トレンドマイクロのManaged XDR(MDR)チームは、脆弱性攻撃ツール「PurpleFox」のオペレータに関連する不審な活動を調査しました。調査の結果、攻撃活動に用いるために追加された脆弱性(CVE-2021-1732)や、最適化されたルートキット機能を含め、更新されたPurpleFox攻撃の手法を調査することにつながりました。

さらに当チームでは、侵入活動中に埋め込まれた.NETで書かれた新種のバックドア型マルウェアを発見しました。このバックドアは、PurpleFoxとの関連性が高いと考えられます。トレンドマイクロが「FoxSocket」と呼称するこのバックドアは、WebSocketを悪用してコマンド&コントロール(C&C)サーバとの通信のやり取りを行うため、通常のHTTPトラフィックに比べてより強固で安全な通信手段となっています。

トレンドマイクロは、この特定の脅威が今も中東のユーザを狙っていると推測しています。この攻撃手口は、中東地域のお客様を通じて初めて発見されました。トレンドマイクロは現在、世界の他の地域でもこの脅威が検出されているかどうかを調査中です。

本ブログ記事では、最初に配信されるPurpleFoxのペイロードで観測されたいくつかの変更点に加えて、新たに埋め込まれた.NETバックドアや、これらの機能を配信するC&Cサーバのインフラストラクチャについて解説します。

(さらに…)

続きを読む
Tags: FoxSocketPowerShellPurpleFoxWebSocket

巧妙化するシェルスクリプトの隠蔽手口について解説

  • 投稿日:2020年12月9日
  • 脅威カテゴリ:攻撃手法
  • 執筆:Trend Micro
0

PCで複数のコマンドを何度も実行する簡単な方法として、シェルスクリプトがあります。多くのユーザは、ファイル操作やプログラム実行、テキスト印刷を定期的に実施する運用環境においてシェルスクリプトを使用します。WindowsでもLinuxでもシェル(コマンドラインインタープリタ、CLI)が使用できるため、サイバー犯罪者にとっても好都合なツールとなっています。トレンドマイクロではこれまでも、シェルスクリプトを使用して行われた不正活動の事例について報告しています。特に、誤って構成されたRedisインスタンスや露出したDocker APIを悪用したり、感染PC内に存在する別の暗号資産採掘ツール(コインマイナー)を削除したりするなど、Linux環境での事例が目立っています。本ブログ記事では、サイバー犯罪者の手によってシェルスクリプトがどのように変更され、不正活動におけるマルウェアペイロードの開発にどのようにCLIが使用されているかに焦点を当てます。

(さらに…)

続きを読む
Tags: CLILinuxPowerShell

PowerShellの悪用と「ファイルレス活動」を見つけるためにできること

  • 投稿日:2020年8月11日
  • 脅威カテゴリ:対策技術, 攻撃手法
  • 執筆:Trend Micro
0

従来からのマルウェアの攻撃手法は、マルウェア本体である細工が施された実行ファイルに依存していました。一方、近年増加している「ファイルレス活動」を実行するマルウェアは、感染システムのメモリ内に常駐することで、ファイルを検索対象とした従来型スキャン機能や検出方法を回避します。Windowsの標準機能である「PowerShell」は通常、システム管理の目的で利用されます。しかし同時に、Windows向けのマルウェアを作成する攻撃者にとっても、ファイルレス活動などの実現に利用できる好都合な機能となっている実態があります。トレンドマイクロでは、ファイルレス活動に関する複数のレポートを公開し、上記の事実を検証してまいりました。本記事ではWindowsの標準機能であるPowerShellを悪用する攻撃者側の手法とその対策についてまとめます。

(さらに…)

続きを読む
Tags: APT29ファイルレス活動回避手法MITRE ATT&CKPowerShell

仮想通貨Moneroを発掘するマルウェア「PCASTLE」が再び中国を標的に、多層的なファイルレス活動により拡散

  • 投稿日:2019年6月27日
  • 脅威カテゴリ:サイバー犯罪, サイバー攻撃, 脆弱性
  • 執筆:Trend Micro
0

PowerShellを悪用してマルウェアを拡散する手法は、これまでにも行われてきました。PowerShellの利用は、実際に「ファイルレス活動」を行う多くの脅威が使用する一般的な手法です。トレンドマイクロは、定期的に遭遇するこのような種類の脅威を、挙動監視技術によってプロアクティブに検出してブロックします。例えば、「スマートパターン」は、不正なPowerShellスクリプトによってスケジュールに登録されたタスクをプロアクティブに検出します。他にも、「Server Message Block(SMB)」の脆弱性を突く攻撃、辞書攻撃と考えられるログイン試行、不正な仮想通貨発掘活動に関連する通信などの活動の痕跡を検出するネットワークルールがあります。
(さらに…)

続きを読む
Tags: 仮想通貨ファイルレス活動辞書攻撃MoneroPowerShellServer Message Block(SMB)

IQYファイルを利用するマルウェアスパム、日本のみを標的に 50 万通拡散

  • 投稿日:2018年9月10日
  • 脅威カテゴリ:メール, スパムメール
  • 執筆:Trend Micro
0

トレンドマイクロは2018年8月上旬、Internet Query (IQY) ファイルを不正利用するマルウェアスパムの増加を確認し、8月8日のブログ記事にて速報いたしました。またその後の調査により、このマルウェアスパムが日本のみを標的としていたこと、そしてその活動内容が今年6月に検出されたリモートアクセスツール「FlawedAmmyy RAT」を送り込むマルウェア「NECURS」を拡散するスパムメール送信活動と類似していることを確認しました。サイバー犯罪者は構造ベースの検出方法を回避するため、一般的に単純なプレーンテキストの形式をとるIQY ファイルを利用しているように見受けられます。

今回の調査で、ボットネット「CUTWAIL 」から送信されるスパムメールにIQYファイルを悪用する手口が確認されました。このスパムメール送信活動は、特に日本のユーザを対象としており、「BEBLOH」(「TSPY_BEBLOH.YMNPV」として検出)あるいはURSNIF(TSPY_URSNIF.TIBAIDO)のいずれかのマルウェアを拡散しています。スパムメールは、「支払い」、「写真送付の件」、「写真添付」、または「ご確認ください」など、従来のソーシャルエンジニアリングの手法を利用して、ユーザが添付ファイルをクリックするように誘導します。このキャンペーン活動は2018年8月6日に検出され、同年8月9日には下火となりましたが、この期間内で約50万件のスパムメールの拡散が確認されました。

図

図1:2018年8月6日から10日に検出されたスパムメールの量

(さらに…)

続きを読む
Tags: .iqyバンキングトロジャンオンライン銀行詐欺ツールスパムメールCUTWAILPowerShellURSNIF

2018 年にサイバー犯罪者が狙う最大の標的は「仮想通貨の発掘」?

  • 投稿日:2018年3月7日
  • 脅威カテゴリ:不正プログラム
  • 執筆:TrendLabs フィリピン
0

仮想通貨のマイニング(発掘)を狙うサイバー犯罪者による攻撃は、ランサムウェアに代わるような脅威になるでしょうか。仮想通貨の人気と実世界における重要性の高まりにより、サイバー犯罪者も仮想通貨に大きな関心を抱いています。変化する脅威状況の中で仮想通貨の発掘を狙う攻撃は、以前のランサムウェアのような勢いで急拡大しています。2017 年に家庭用ルータに接続した機器で検出されたネットワークイベントの中で最も多いイベントが仮想通貨の発掘活動だったことは、サイバー犯罪者に限らず、仮想通貨の発掘に注目が集まっていることを示す一例と言えます。

図1

図 1:2017 年、家庭用ルータに接続された機器における
仮想通貨発掘関連ネットワークイベントの検出数推移
(組込み型ホームネットワークセキュリティ製品
「Trend Micro Smart Home Network™」の情報に基づく)

(さらに…)

続きを読む
Tags: 仮想通貨発掘マルウェアファイルを利用しない感染MoneroPowerShell

サイバー犯罪集団「Lazarus」、改良された「RATANKBA」と遠隔操作ツールを利用し仮想通貨を狙う

  • 投稿日:2018年1月31日
  • 脅威カテゴリ:サイバー犯罪
  • 執筆:Trend Micro
0

その活動内容によって悪名をはせるサイバー犯罪集団「Lazarus」は、正体に関する謎も相まって多くの関心を集めています。同集団は、2007 年の韓国政府に対する一連のサイバー諜報活動によって登場して以来、大きな被害をもたらした注目すべき標的型攻撃をいくつか成功させており、最近では、広く報道された 2014 年の Sony Pictures における情報漏えいや、2016 年のバングラデシュの銀行に対する攻撃が例として挙げられます。規模と影響の両面で Lazarus の活動の歴史に匹敵する集団はほとんどありません。その大きな理由の 1 つが、Lazarus が利用するツールと手法の多様性にあります。

(さらに…)

続きを読む
Tags: 仮想通貨ビットコインLazarusNEO(AntShare)PowerShellRATANKBA
Page 1 of 212


  • 個人のお客さま向けオンラインショップ
  • |
  • 法人のお客さま向け直営ストア
  • |
  • 販売パートナー検索
  • Asia Pacific Region (APAC): Australia / New Zealand, 中国, 日本, 대한민국, 台灣
  • Latin America Region (LAR): Brasil, México
  • North America Region (NABU): United States, Canada
  • Europe, Middle East, & Africa Region (EMEA): France, Deutschland / Österreich / Schweiz, Italia, Россия, España, United Kingdom / Ireland
  • 電子公告
  • ご利用条件
  • プライバシーポリシー
  • Copyright © 2021 Trend Micro Incorporated. All rights reserved.