攻撃者集団「Pawn Storm」は、「Sednit5」や「Fancy Bear」、「APT28」、「Sofacy」、「STRONTIUM8」などのさまざまな名称で呼ばれていますが、実際には、経済および政治的な諜報活動を目的としたサイバー攻撃を実行し、政府機関や民間組織を標的にして機密情報を窃取してきた同一のサイバー攻撃者集団を指します。Pawn Stormは、情報窃取型マルウェア「SEDNIT」に誘導する標的型メールや脆弱性を突く攻撃手法、そして特に認証情報を窃取するフィッシング攻撃などを効果的に組み合わせ、同じ標的に対してさまざまな角度から攻撃を仕掛けることで攻撃目標を達成してきました。
続きを読むトレンドマイクロでは、暗号化型ランサムウェア「WannaCry」の脅威について昨日報告しています。医療、製造、官公庁など世界各地でさまざまな業種の民間企業、官公庁自治体での被害が報道されていますが、今後国内での被害も懸念されるため注意喚起いたします。
今回確認されている「WannaCry」は、今年3月に明らかになったWindowsで利用される Server Message Block(SMB)の脆弱性「CVE-2017-0144」を利用した攻撃によりネットワーク経由で侵入、拡散するネットワーク上におけるワームの活動を持つことが特徴です。これにより組織のLANに侵入した場合にはネットワーク上で感染が拡大し、より深刻な被害となる可能性が高くなります。
続きを読むトレンドマイクロは、深刻な暗号化型ランサムウェアが世界各国で攻撃を行っている事実を確認しました。この攻撃は、2017年3月および 4月に明らかになったセキュリティ上のリスクが組み合わされて実行されました。これら2つのリスクの内 1つは、Windows SMB のリモートでコードが実行される脆弱性「CVE-2017-0144」で Microsoft の3月のセキュリティ情報により明らかになり、同社は問題の脆弱性に対する更新プログラムを公開しました。もう1つは、暗号化型ランサムウェア「WannaCry/Wcry」で、同年4月に DropboxのURLを悪用して拡散する暗号化型ランサムウェアとして確認されました。
今回の攻撃で使われた暗号化型ランサムウェア「WannaCry/Wcry」は、「RANSOM_WANA.A(ワナ)」および「RANSOM_WCRY.I(ダブリュークライ)」として検出されます。このランサムウェアの脅迫状によると、300米ドル(約3万4千円、2017年5月13日時点)相当の身代金をビットコインで要求しています。なお、この身代金額は、前回の攻撃より約100米ドル安くなっています。また、英国での攻撃が確認されたのに加えて、同国以外にも世界各国での攻撃が確認されています。
続きを読む2017年4月下旬、友人が路上で iPhone を盗まれるという被害に遭いました。残念なことに、ブラジルのような国の大都市圏では珍しくない事件です。彼は新しい iPhone を購入しましたが、便宜のために以前と同じ電話番号を使用することにしました。その後何事もなく過ごしていたある日、彼は Facebook のパスワードが窃盗犯によって変更されたことに気付きました。
幸い Facebook のアカウントには電話番号を連携させていたので、彼はパスワードを取り戻し更新することができました。しかし、窃盗犯が被害者の Facebookアカウントにアクセスするとは不可解なことです。大抵、窃盗犯は盗んだ iPhone を自身で利用するか、あるいは転売するのが目的のはずです。なぜ被害者の Facebookアカウントに興味があるのでしょうか。事件はそこで終わらず、翌日、友人の新しい iPhone にフィッシング詐欺の SMS のメッセージ(以下、テキストメッセージ)が送信されました。
この事例で注目したいのは、サイバー空間での犯罪と現実世界での犯罪の境界線が曖昧になっている点です。具体的には、iPhone を盗んだ窃盗犯とフィッシング詐欺のテキストメッセージを送信したサイバー犯罪者間に明らかに連携が見られ、巧妙な攻撃を可能にしています。
続きを読むトレンドマイクロは、2014 年に初めて標的型サイバー攻撃「Pawn Storm作戦」について報告して以来、本ブログ上でこの攻撃の背後にいるサイバー犯罪集団「Pawn Storm」に関連する事例を報告してきました。Pawn Storm は 2004 年以降サイバー諜報活動を積極的に実行している集団です。この集団は標的から情報を窃取するためにさまざまな手法を用いることが確認されており、特に、認証情報を狙ったフィッシング攻撃でよく知られています。2016 年には、米国の「Democratic National Committee(民主党全国委員会、DNC)」、ドイツの政党「キリスト教民主同盟(CDU)」、トルコ政府および議会、モンテネグロ議会、「World Anti-Doping Agency(世界アンチ・ドーピング機構、WADA)」、カタールの衛星テレビ局「Al Jazeera(アルジャジーラ)」など、多くの組織に対してフィッシング攻撃が実行されました。2015 年から 2016 年にかけては、無料メールを利用する重要人物が標的となりました。
続きを読むトレンドマイクロは、2017年4月、IoTボットネットを構築する新しいマルウェアの検体を入手しました。このマルウェアは、「PERSIRAI」(「ELF_PERSIRAI.A(ペルシライ)」として検出)と呼ばれ、OEMで生産されたネットワークカメラを対象にしており、影響のあるモデルは1,000以上になります。PERSIRAI は、既にインターネット上でソースコードが公開されている「MIRAI」から派生したマルウェアとして出現しました。MIRAI は、昨年、デジタルビデオレコーダ(DVR)や監視カメラ(CCTV)などの「モノのインターネット(Internet of Things、IoT)」の機器を踏み台にして「分散型サービス拒否(distributed denial-of-service、DDoS)」攻撃を実行し、数々の被害を発生させ、2016年の主要なサイバーセキュリティ事例として報告されています。その他、MIRAI から派生したものに「HAJIME」が確認されています。
続きを読むトレンドマイクロでは、2016年に確認した日本国内における「標的型サイバー攻撃」に関しての分析を行いました。この分析では標的型サイバー攻撃を「初期潜入」、「端末制御」までの「侵入時活動」と、「情報探索」から「情報送出」に至るまでの「内部活動」の2段階にわけて分析を行っていますが、表面上は落ち着いているかに見える攻撃は、その内容を巧妙化、高度化させて継続している様が浮かび上がってきました。
図1:標的型サイバー攻撃の攻撃段階概念図
標的型サイバー攻撃キャンペーン「Pawn Storm作戦」は、経済および政治的な諜報活動を目的としたサイバー攻撃を実行し、政府機関や民間組織を標的にして機密情報を窃取してきました。トレンドマイクロは、2017年4月25日、リサーチペーパー「Two Years of Pawn Storm」(英語)を公開しました。「APT28」、「Fancy Bear」、「STRONTIUM」などでも知られる攻撃者集団「Pawn Storm」の攻撃範囲と規模について詳細を明らかにするとともに、彼らの主な目的であるサイバー諜報活動の手法を解説しています。弊社は、Pawn Storm作戦の活動を7年前から調査してきました。本ペーパーでは、過去2年の間に Pawn Stormが活動の焦点をサイバープロパガンダへと移行し、また、彼らの標的型サイバー攻撃が2016年には4倍に増加した経緯について報告しています。
続きを読む