作成者
Tanium サイバー脅威インテリジェンスチーム
CTIまとめ：SantaStealer、BlackForce、Ink Dragon
「SantaStealer」はTelegramやアンダーグラウンドのフォーラムを通じて拡散しており、「BlackForce」フィッシングキットは大手ブランドを標的としており、「Ink Dragon」は新たな攻撃を開始しています
CTIの切り上げ：Shanya、GrayBravo、Storm-0249
ランサムウェアグループの間で「Shanya PaaS」が広まり、「GrayBravo」は活動範囲を拡大しており、「Storm-0249」はEDRプロセスを悪用して悪意のある活動を隠蔽しています
CTI roundup: Hybrid 2FA phishing, RomCom, MuddyWater
「Hybrid 2FA 」フィッシングが企業を脅かしています。また、RomComは「SocGholish」を利用して「Mythic Agent」マルウェアを展開しており、MuddyWaterは進化し続ける戦術を用いて重要インフラを標的にしています。
CTIまとめ：ウィスパー・リーク、@acitons/artifact、Quantum Route Redirect
「Whisper Leak」はリモート言語モデルを標的とし、「@acitons/artifact」はGitHub Actionsのユーザーを標的とし、「Quantum Route Redirect」はフィッシングを簡素化します
CTIニュースまとめ：RMMの悪用、SesameOp、Googleの「サイバーセキュリティ予測 2026 」
攻撃者はRMMツールを悪用してトラック運送会社や物流会社を標的にしており、SesameOpはOpenAI Assistants APIを利用して C2 件の通信を行っており、Googleは敵対的AIの採用が増加しているとして2026件の警告を発しています。
CTIまとめ：DragonForce、Qilin、Water Saci
DragonForceの拡大、世界的なランサムウェアの脅威として台頭しているQilin、そしてWhatsAppを通じて拡散しているWater Saciについてご紹介します。
CTIまとめ：Famous Chollima、COLDRIVER、Vidar Stealer 2.0
有名な「Chollima」が「BeaverTail」と「OtterCookie」を組み合わせており、「COLDRIVER」は3つの新しいマルウェアファミリーを展開しており、「Vidar Stealer 2.0 」は機能の強化を実証しています
CTIニュースまとめ：アスタロス、 TA585、マイクロソフトのテクニカルサポート詐欺
Astarothトロイの木馬はGitHubを利用してマルウェアの設定ファイルをホストしており、 TA585 はフィッシング攻撃でMonsterV2 のマルウェアを配布しており、また、脅威アクターはテクニカルサポート詐欺においてマイクロソフトのロゴを悪用しています
CTIニュースまとめ：XWorm、Microsoft Teams、Storm-1175
マルウェア「XWorm」がランサムウェアを伴って再出現し、マイクロソフトはTeamsを標的とした複数の脅威を阻止し、Storm-1175はGoAnywhere MFTの重大な脆弱性を悪用しています
CTIまとめ：DarkCloud、Trinity of Chaos、WARMCOOKIE
DarkCloudマルウェア、「Trinity of Chaos」同盟、およびWARMCOOKIEの最新情報について、ぜひご覧ください。
CTIまとめ：SystemBC、ShinyHunters、AIによる難読化が施されたフィッシング
SystemBCボットネットはVPSインフラを標的とし、ShinyHuntersは企業のクラウドアプリケーションを標的としており、また、あるフィッシングキャンペーンでは、検知を回避するためにAIが生成したコードが使用されています
CTIニュースまとめ：AMOS、TAG-150、GPUGate
AMOS Stealerの攻撃キャンペーンがmacOSを標的としており、TAG-150は新たなCastleRATマルウェアを展開しており、GPUGateは西ヨーロッパのIT企業を標的としています。
CTIまとめ：HexStrike AI、TinkyWinkey、Silver Fox APT
HexStrike AI、TinkyWinkeyによるキーロガー、そしてSilver Fox APTによるドライバー悪用によるエンドポイント防御の回避に関する最新情報です。
CTI ラウンドアップ：Linux マルウェア、UNC5518、PRC-Nexus
新たな Linux マルウェアがウイルス対策の検出を回避し、UNC5518 ClickFix と偽の CAPTCHA ページを使用して CORNFLAKE を展開。V3 また、PRC-Nexus キャンペーンがウェブトラフィックを乗っ取る。
CTI まとめ：悪意のある Python パッケージ、PipeMagic、Noodlophile Stealer
研究者らが悪意のあるPythonパッケージを発見、PipeMagicがChatGPTのデスクトップアプリを装い、Noodlophile Stealerがソーシャルメディアを通じて企業を標的にしています
CTI まとめ：EDRキラー、 PS1Bot、Charonランサムウェア
ランサムウェアグループがEDR無効化ツールを共有して採用、 PS1Bot はマルウェア広告を通じて拡散し、CharonランサムウェアはAPTの手法を用いて重要分野を標的にしています
CTI まとめ：ClickFix、新たな攻撃者に関する知見、PXA Stealer
攻撃者がCAPTCHAを悪用する方法、CVEの活動が急増することの重要性、そして世界的なPXAの脅威についてご紹介します。
CTIまとめ：Katz Stealer、Lumma、NailaoLocker
「Katz Stealer」は認証情報や暗号資産を狙っており、「Lumma Stealer」は活動中断を経て再登場しました。「NailaoLocker」ランサムウェアはWindowsを標的としています
CTIまとめ：BlackSuit、AsyncRAT、HazyBeacon
BlackSuitランサムウェアはデータの持ち出しと暗号化を組み合わせており、AsyncRATは複数のフォークを生成し、HazyBeaconはコマンド＆コントロールにAWS Lambdaを悪用しています
CTI まとめ：BERTランサムウェア、 TGR-CRI-0045、XWorm
今週のCTIまとめでは、BERTランサムウェア、 TGR-CRI-0045 のエクスプロイト、そしてXWormのステルス的な進化に関する最新情報をお届けします。
CTIまとめ：GIFTEDCROOK、 H1 2025 Threats、Jasper Sleet
ESETの「 H1 2025 レポート」で、GIFTEDCROOKの進化、ジャスパー・スリートの侵入戦術、そして高まるサイバー脅威に関する最新情報をご覧ください。
CTI まとめ：Rogue Tools、ClickFix、BlueNoroff
サイバー攻撃者は正規のツールを悪用し、ClickFixによる攻撃が急増しており、BlueNoroffはmacOSデバイスを標的にしています
CTIまとめ： UNC6032、 APT41、ヴォイド・ブリザード
UNC6032 の偽AIウェブサイト、APT41’s のGoogleカレンダーの活用、そして重要分野を標的とする「Void Blizzard」に関する最新情報です。
CTI ラウンドアップ：Hazy Hawk、Remcos RAT、および npm フィッシング
Hazy HawkによるDNSレコードの悪用、ファイルレス型のRemcos RATキャンペーン、およびフィッシング攻撃における悪意のあるnpmパッケージでのAES暗号化の利用に関する最近のニュースです。
CTIラウンドアップ：Marbled Dust、Horabot、および TA406
「Marbled Dust」によるOutput Messengerのゼロデイ脆弱性の悪用、Horabotマルウェアを用いた新たなフィッシングキャンペーン、および TA406 の標的の変更についてご紹介します。
CTIラウンドアップ：Luna Moth、Venom Spider、StealC V2
米国の法律事務所や金融企業を標的とする「Luna Moth」、採用担当者や人材紹介会社を標的とする「Venom Spider」、そして機能強化されたマルウェア「StealC」に関する最新情報です。
CTIラウンドアップ：情報窃取マルウェア、ゼロデイ攻撃、およびGremlin Stealer
The latest news on infostealers, Google observing 75 zero-day exploits in 2024, and new threat Gremlin Stealer.
CTIニュースまとめ：ディープフェイク、ToyMaker IAB、ClickFix
リアルタイムのディープフェイクを利用してリモートワークの職に就こうとする脅威アクターに関する最近のニュース、ToyMakerという初期アクセスブローカー、そしてClickFixを利用する国家支援型ハッカーに関する情報です。
CTIラウンドアップ：SMSフィッシング、Node.js、および偽のPDFコンバーター
ソーシャルエンジニアリングを駆使してSMSを悪用する脅威アクター、マルウェアの拡散にNode.jsを悪用する事例、およびマルウェアを配布する偽のPDF変換ツールに関する最新情報です。
CTIラウンドアップ：メール攻撃、Hunters International、および新たなランサムウェアデータ
認証情報フィッシングとマルウェアを組み合わせた攻撃、Hunters Internationalによるデータ恐喝への転向、およびランサムウェアの動向に関する最新ニュースをご覧ください。
CTIラウンドアップ：QRコードフィッシング、Babuk Locker 2.0、およびQilin
QRコードを利用したフィッシング攻撃が急増し、LockBit 3.0 が名称を変更し、QilinのアフィリエイトがMSPの下流顧客を標的にしています。
CTIラウンドアップ：StilachiRAT、Redditの情報窃取マルウェア、および新たなパスワード再利用データ
StilachiRATマルウェアに関する最新情報、Redditを介して拡散しているAMOSおよびLummaという情報窃取型マルウェア、そして流出したパスワードがどれだけのログインに使用されているかに関する調査結果です。
CTIラウンドアップ：マルバタイジング、XCSSTバリアント、およびGitHubの悪用
デバイスを脅かすマルウェア広告キャンペーン、XCSSETの亜種、および偽のGitHubリポジトリを利用してマルウェアを拡散させている現在進行中のキャンペーンに関する最新情報です。
CTIラウンドアップ：Silk Typhoon、偽の身代金要求メモ、およびClickFix
「Silk Typhoon」の戦術変更、実物の身代金要求状を使って経営幹部を標的にする脅威アクター、そして「ClickFix」の手口に関する最新のサイバー脅威ニュースです。
CTIラウンドアップ：Auto-Colorマルウェア、脆弱なWindowsドライバー、およびLotus Blossom
「Auto-color」Linuxマルウェア、「Truesight.sys」を悪用する攻撃者、および「Lotus Blossom」に関する最新情報です。
CTIラウンドアップ：フェレットマルウェア、macOSスティーラー、MS Power BI
求職者を標的とする北朝鮮のハッカー、増加傾向にあるmacOS向け情報窃取型マルウェア、およびMS Power BIを悪用したフィッシング攻撃についてご紹介します。
CTIラウンドアップ：新型TorNetバックドア、Lynxランサムウェア、Q4 トレンド
現在進行中のTorNetバックドア攻撃キャンペーンに関する最新情報、Lynxランサムウェアグループの高度なアフィリエイトプログラム、そしてCisco Talosによる「インシデント対応トレンド Q4 」レポートについてです。
CTIラウンドアップ：2024 ランサムウェアまとめ、漏洩パスワード、O365 エクスプロイト
2024におけるランサムウェアの動向について、研究者たちがどのような見解を示しているか、また、盗まれたパスワードに関する新たな知見や、最近発生した2件の O365 攻撃についてご覧ください。
CTIラウンドアップ：FunkSec、マルバタイジング、偽ソフトウェア
FunkSecランサムウェアに関するニュース、Google Adsユーザーを標的とした最近のマルウェア広告詐欺、および偽のソフトウェアやインストーラーを利用してマルウェアを拡散させる脅威アクターに関する情報です。
CTI まとめ：PayPalのフィッシング、PLAYFULGHOST、およびNonEuclid
PayPalを装ったフィッシング攻撃、マルウェア「PLAYFULGHOST」、および新たなRAT「NonEuclid」に関する最新情報です。
CTIラウンドアップ：Earth Koshchei、RiseLoader、新たなランサムウェア勧告
Earth Koshcheiによる不正なRDP攻撃が行われており、ZscalerはRiseLoaderマルウェアに関する技術的詳細を公開し、Corvusはランサムウェアに関するアドバイザリを発表しました。
CTIラウンドアップ：季節的フィッシング、Zloader、Secret Blizzard
季節限定のフィッシングキャンペーンにおいて、脅威アクターが人事部門を装っているという最新情報、Zloaderの新たな機能と性能、そして「Secret Blizzard」についてです。
CTIラウンドアップ：Rockstar 2FA、RevC2 とVenom Loader、SmokeLoaderマルウェア
「Rockstar 2FA 」はM365 のユーザーを標的としており、新たなRevC2and 「Venom Loader」マルウェアが登場し、SmokeLoaderが再び姿を現しました。
CTIラウンドアップ：Sophosと中国系脅威アクター、CRON#TRAP Linux VM、Bingフィッシングキャンペーン
ソフォスと複数の中国の脅威アクターとの間で現在も続いている攻防、Linux仮想マシン（VM）を通じてWindowsに感染する「CRON#TRAP」、およびフィッシングに悪用されているBingについてご紹介します。
CTIラウンドアップ：Scattered SpiderとRansomHubの提携、インフォスティーラーマルウェアがChromeパッチを回避、Evasive Pandaが再び注目を集める
Scattered SpiderとRansomHubに関する最新ニュース、Chromeの防御機能を回避する情報窃取型マルウェア、そしてEvasive Pandaについてです。
CTIラウンドアップ：GophishツールキットフィッシングGophish、悪意のある仮想ハードドライブファイル、Bumblebeeマルウェアの復活
フィッシング攻撃向けの「Gophish」ツールキット、攻撃者がセキュアなメールゲートウェイやウイルス対策スキャナーを迂回する方法、そして「Bumblebee」マルウェアの再出現についてご紹介します。
CTIラウンドアップ：コールバックフィッシング、エクスプロイトまでの時間のトレンド、およびPureLogsインフォスティーラー
コールバックフィッシングを介してマルウェアを拡散させる脅威アクター、Mandiantによる「エクスプロイト化までの時間」の傾向に関する分析、およびChromeブラウザを標的とするPureLogsについてご紹介します。
CTIラウンドアップ：ファイルホスティングサービスの悪用増加、Mamba 2FA、およびDark Angelsランサムウェア攻撃
ファイルホスティングサービスを利用したマイクロソフトへの攻撃、マイクロソフト 365 のログインページを装ったフィッシングキャンペーン、およびランサムウェアグループ「ダーク・エンジェルズ」に関する最新情報です。
CTIラウンドアップ：Sniper Dz、Elastic 2024グローバル脅威レポートの洞察、およびAndariel金融攻撃
Sniper Dzに関する最新ニュース、Elastic Security Labsの「 2024 Global Threat Report」からの分析、および米国の組織を標的としたAndarielによる金融攻撃についてです。
CTIラウンドアップ：北朝鮮が支援するリモートITワーカー、スパムを送信する正規サイト、および政治的ディープフェイク
北朝鮮によるリモート業務の悪用、スパム送信に利用されるサードパーティのインフラ、そして新たなディープフェイクに関する報告書から得られた知見。
CTIラウンドアップ：HTTPヘッダーフィッシング技術、Scattered Spiderが再び注目、および UNC2970が求職者を標的に
HTTPヘッダーや「Scattered Spider」、そして求職者を標的とした UNC2970 の攻撃手法を用いたフィッシングキャンペーンについてご紹介します。
CTIラウンドアップ：EmansrepoインフォスティーラーとEarth Luscaマルチプラットフォームバックドア
Emansrepo Stealerが電子メールを介して拡散しており、パロアルトがトップレベルドメインに関する情報を明らかにし、Earth Luscaが新しいマルチプラットフォーム対応のバックドアを展開しています。
CTIラウンドアップ：Xeon SenderがクラウドAPIを標的にし、MoonPeakマルウェアが更新
Xeon SenderがクラウドAPIを標的にしていること、Cisco TalosがUAT-5394のインフラストラクチャを明らかにしたこと、そして攻撃者が公開されている.envファイルを利用して被害者から金銭を脅し取っていることが判明しました。
CTIラウンドアップ：Mad LiberatorランサムウェアがAnyDesk利用者を標的に
現在進行中のソーシャルエンジニアリング攻撃において新たな手口が登場しています。また、「Mad Liberator」ランサムウェアがAnyDeskユーザーを標的としており、Bitdefenderは進化し続けるサイバー犯罪のアンダーグラウンドについて調査を行っています。
CTIラウンドアップ：SharpRhino RATがIT管理者を脅かし、フィッシャーがGoogle DrawingsとWhatsAppリンクを悪用
「SharpRhino RAT」がIT管理者を脅かしており、ランサムウェア集団は標的に対する圧力を強めており、さらにGoogle DrawingsやWhatsAppのリンクを利用した新たなフィッシング詐欺も確認されています。
CTIラウンドアップ：Cisco Talos Q2 IRトレンドレポート、地平線上の新たなGenAI詐欺
Cisco Talosが「 Q2 IRトレンド」レポートを発表しました。また、ランサムウェアグループがESXiの脆弱性を標的としており、詐欺師たちがドメイン登録やネットワーク攻撃において生成AIを悪用しています。
CTIラウンドアップ：Evasive Pandaが新マルウェア、Macmaバックドア、Nightdoorを展開
「Evasive Panda」が「Macma」バックドアと「Nightdoor」の新バージョンを展開しています。また、RaaS（サービス型サイバー犯罪）の摘発後、サイバー犯罪者たちは独立して活動しており、さらに、VMware ESXiシステムを標的とする「Linux Play」の新たな亜種も確認されています。
CTIラウンドアップ：MuddyWaterがBugSleepマルウェアを展開、Void Bansheeによる新たな攻撃
MuddyWaterが「BugSleep」マルウェアを展開したほか、研究者らがnpmレジストリ上で悪意のあるファイルを発見し、Void BansheeがMicrosoftのMHTMLの脆弱性を悪用しています。
CTIラウンドアップ：脅威アクターの最新情報。 APT40、CloudSorcerer、Eldorado
「APT40 」はネットワークの脆弱性を急速に悪用し、「CloudSorcerer」APTはロシアの組織を標的としており、「Eldorado」はWindowsおよびLinuxシステムを脅かしています。
CTIラウンドアップ：FakeBatローダー・アズ・ア・サービス、ESET H1 2024 脅威レポート
FakeBatローダーは複数の感染経路を通じて拡散しており、ESETは 2024年上半期の脅威レポートを発表しました。
CTIラウンドアップ：脅威アクターの活発な動き ONNX Store、Boolka、& SneakyChef
ONNX Storeは金融業界を標的としており、BoolkaはSQLインジェクション攻撃を通じてBMANAGERトロイの木馬を配布し、SneakyChefはSpiceRATと SugarGh0stを展開しています。
CTIラウンドアップ：VortaxがInfostealerマルウェアを拡散、Linuxマルウェアが絵文字を使ってコマンドを実行
「Vortax」が情報窃取型マルウェアを拡散させ、新たなマルウェアキャンペーンが偽のエラーメッセージを配信しており、Linux向けマルウェアは絵文字を利用してコマンドを実行しています。
CTIラウンドアップ：Windows HTMLマルウェア、Remcos RAT、& Black Bastaランサムウェア
CTIは、HTML内のWindows検索機能を利用したマルウェアキャンペーン、UUEファイルを介したRemcos RAT、およびWindowsの脆弱性を悪用したBlack Bastaランサムウェアについて報告しています。
CTIラウンドアップ：TargetCompanyランサムウェア、LilacSquidサイバースパイ活動、& DarkGateマルウェア
TargetCompanyのLinux向け亜種がESXi環境を脅かしており、LilacSquidは複数の業界を標的としており、DarkGateマルウェアはAutoltからAutoHotkeyへと移行しています。
CTIラウンドアップ：ソーシャルエンジニアリング、DNSトンネリング、& マルバタイジング
企業を標的とした現在進行中の攻撃キャンペーンや、その他の最新のサイバー脅威に関するニュースにご注意ください。
CTIラウンドアップ：Q1 エクスプロイトのトレンド、HijackLoader、& ペネトレーションテストの現状
カスペルスキーが 2024年第1四半期のエクスプロイトおよび脆弱性の主な動向を発表しました。また、HijackLoaderは新たな回避手法を取り入れて進化しており、Cobaltは「 2024 年ペネトレーションテストの現状」レポートを公開しました。
CTIラウンドアップ：Cuttlefishマルウェア、ハッカーがDocker Hubを悪用
「Cuttlefish」マルウェアはSOHO向けルーターを標的としており、国家機関とサイバー犯罪者が侵害されたネットワークを共有しているほか、脅威アクターはDocker Hubを利用してマルウェアやフィッシング詐欺を拡散させています。
CTIラウンドアップ：ToddyCat APT、GuptiMinerマルウェア、APT28 WindowsプリントスプーラーのFlawを悪用
ToddyCatは産業規模のデータ窃取のために高度なツールを展開しており、ハッカーたちはeScanのアップデートを利用してGuptiMinerマルウェアを拡散させており、ロシアの「 APT28 」はWindowsのプリントスプーラーの脆弱性を悪用しています。
CTIラウンドアップ：悪意のあるNotepad++プラグイン、「ジャンクガン」ランサムウェア、およびGoogleマルバタイジングキャンペーン
研究者らが改変されたNotepad++プラグインを発見したほか、サイバー犯罪フォーラムに新たな「ジャンクガン」ランサムウェアが登場し、ITチームを標的としたマルウェア広告キャンペーンが行われています。
CTIラウンドアップ：LockBitアップデート、Earth FreybugがUNAPIMONマルウェアを展開
法執行機関によるLockBitへの影響、パッチが適用されていない脆弱性がランサムウェア攻撃にどのように寄与しているか、そしてEarth FreybugによるUNAPIMONマルウェアの展開についてです。
CTIラウンドアップ：TycoonフィッシングアズアサービスとTheMoonマルウェアのアップデート
研究者らが「Tycoon 2FA AiTM」キットの新バージョンを発見したほか、キーロガーを銀行の支払い通知に見せかけたフィッシング攻撃や、ASUS製ルーターを標的とする「TheMoon」マルウェアが確認されました。
CTIラウンドアップ：偽のGoogleサイトページ、ハッカーが世界各国の政府を標的に
ハッカーが偽のGoogle Sitesページを通じてマルウェアを拡散させ、サイバー犯罪者がAPIを悪用し、APT攻撃が世界各国の政府機関を標的にしています。
CTI Roundup: 12 Million Secrets and Keys Leak on GitHub
BianLian threat actors exploit JetBrains TeamCity flaws, ransomware attacks continue to accelerate, and more than 12 million secrets and keys leak on GitHub.
CTIラウンドアップ：Linuxサーバーを標的とした新たなマルウェアキャンペーン
New Linux malware campaign targets misconfigured servers, ransomware actors diversify their exfiltration tools, and Cado reveals its top cloud threat findings report for 2H23.
CTI最新情報：CVEの増加、TimbreStealerマルウェア、および新たなフィッシング報告
研究者らはCVEの件数が 25％増加すると予測しており、TimbreStealerマルウェアがフィッシングを通じて拡散しているほか、Proofpointは第 2024 回「State of the Phish」レポートを発表しました。
CTIラウンドアップ：BumblebeeとPikaBotマルウェアの復活、スパマーがAWS SNSを攻撃
Bumblebeeが活動休止から復帰し、PikaBotが最適化されたコードとともに再登場し、脅威アクターがAWS SNSを介してスパムを配信しています。
CTIラウンドアップ：Raspberry Robin、USBマルウェアのアップデート、およびランサムウェア被害者の増加
「Raspberry Robin」マルウェアは脆弱性を悪用しており、ハッカーたちはニュースサイトやメディアホスティングサイトを利用してUSBマルウェアのペイロードを拡散させています。また、パロアルト社は、ランサムウェアの被害者が 49％増加したと報告しています。
CTIラウンドアップ：DarkGateマルウェアがMS Teamsで拡散、Telegramでフィッシングが増加
「DarkGate」マルウェアはTeamsのグループチャットを通じて拡散しており、Telegramのマーケットプレイスがフィッシング攻撃の一因となっており、また「BianLian」ランサムウェアは複数の業界を標的にしています。
CTIラウンドアップ：Zloaderの復活、VexTrio TDS、およびKasseikランサムウェア
Zloaderが活動休止から復帰し、VexTrioが 60 以上のアフィリエイト向けにマルウェアを仲介し、KasseikaランサムウェアがBYOVD攻撃を開始しました。
CTIラウンドアップ：MedusaランサムウェアとAndroxgh0stマルウェアに関する共同勧告
「メデューサ」ランサムウェアが恐喝手口へと移行し、情報窃取型マルウェアがmacOSのマルウェア対策機能を回避しているほか、FBIとCISAが Androxgh0st 種類のマルウェアに関する共同勧告を発表しました。
CTIラウンドアップ：AsyncRAT、PikaBootマルウェア、およびMS SQLサーバーへの攻撃
AsyncRATが新たなキャンペーンに登場し、Water CurupiraがPikaBotローダーマルウェアを拡散させ、トルコのハッカーたちが世界中のMS SQLサーバーを悪用しています。
CTIラウンドアップ：Remcos RATフィッシング攻撃、ダークウェブで発見された新しいMeduzaスティーラー
CISAがKEVカタログに2つの脆弱性を追加しました。また、UAC-0050がフィッシング手口を用いてRemcos RATを拡散させており、ダークウェブではMeduza Stealerの更新版が公開されています。
CTIラウンドアップ – トップ2023ストーリー：Chae$4、3時ランサムウェア、DarkGate、およびAndarielの最新情報
Taniumのサイバー脅威インテリジェンス（CTI）チームは、 2023 年に注目されたサイバーセキュリティ関連の動向のうち、2024年においても引き続き脅威となり得るものについて考察しています。
CTIラウンドアップ：TA4557、OAuthクリプトマイニング、および中国を拠点とするKEYPLUGバックドア
TA4557 は採用担当者を標的としたメール攻撃を展開しており、脅威アクターはOAuthアプリを利用してBECや暗号通貨マイニング攻撃を自動化しています。また、研究者らは、Sandman APTと中国を拠点とするKEYPLUGバックドアとの関連性を突き止めました。
CTIラウンドアップ：ロシアの脅威アクターAPT28がOutlookの脆弱性を悪用
「APT28 」はOutlookの重大な脆弱性を悪用しており、QRコードを用いたフィッシング攻撃はますます巧妙化しており、SQLに対するブルートフォース攻撃の結果、BlueSkyランサムウェアが拡散しています。
CTIラウンドアップ：北朝鮮グループによる複数のサイバー脅威とTelegramボットフィッシング詐欺
北朝鮮のハッカーたちは求職者や採用担当者を装っており、「Telekopye」というTelegramボットが、大規模なフィッシング詐欺を可能にしています。また、北朝鮮と結びついた脅威アクターが、2つのキャンペーンにおいてmacOSを標的にしています。
CTIラウンドアップ：新たなロシアのハッキンググループ、AlphaLockが発見される
研究者らが新たなロシアのハッカー集団を発見しました。また、「Rhysida」ランサムウェアが複数の業界を脅かしており、さらに、公開されているDocker EngineのAPIを標的とした新たな攻撃キャンペーンが確認されました。
CTIラウンドアップ：ChatGPT搭載のインフォスティーラーがクラウドプラットフォームを標的に
Google Cloudが「 Q3 Threat Horizons」レポートを発表しました。また、BlueNoroffがObjCshellzマルウェアを用いてmacOSマシンをハッキングし、ChatGPTを活用した情報窃取型マルウェアがクラウドプラットフォームを標的にしています。
CTIラウンドアップ：ハッカーがKANDYKORNマルウェアで暗号通貨専門家を標的に
ラザラス・グループがソフトウェアベンダーを標的にし、URL短縮サービスが.USトップレベルドメインを悪用し、ハッカーたちがKANDYKORNマルウェアを用いて暗号通貨の専門家を標的にしています。
CTIラウンドアップ：9月にランサムウェアが急増、Octo TempestとQuasar RATの最新情報
「Octo Tempest」が世界中の組織を脅かしており、9月にはランサムウェアの活動が急増し、また「Quasar RAT」はDLLのサイドローディングを利用して検知を回避しています。
CTIラウンドアップ：北朝鮮のLazarusグループがJetBrains TeamCityの脆弱性を悪用
BlackCatのオペレーターが「Munchkin」ユーティリティを導入したほか、北朝鮮の脅威アクターがJetBrains TeamCityの脆弱性を悪用し、さらに脅威アクターが進化した手法を用いてmacOSを標的にしています。
CTIラウンドアップ：スマートリンク攻撃がMicrosoftアカウントを標的に
攻撃者はSQL Serverからクラウドへと横方向の移動を試みており、ShellBotはLinuxのSSHサーバーに対する攻撃において検知を回避しており、また、Smart Linksによる攻撃はMicrosoftアカウントを標的としています。
CTIラウンドアップ：FBIがQakbotを壊滅させ、Bumblebeeが休止から復活
FBIによる最近の「Qakbot」摘発、2ヶ月の休止期間を経ての「Bumblebee」の復活、そして 2023が報じるその他の新たなサイバー脅威についてご紹介します。
CTIまとめ：FBIとCISAが「Snatch RaaS」に関する共同勧告を発表しました
脅威アクターが偽の脆弱性PoCで古いコードを流用しているほか、FBIとCISAが「Snatch RaaS」に関する共同勧告を発表し、さらに脅威アクターがサイバースパイ活動において新たなLinux向けマルウェア「SprySOCKS」を展開しています。
CTIまとめ：情報窃取型マルウェアの動向、 3時 ランサムウェア、およびRedLine/Vidarマルウェア
研究者らによると、新たなGo製情報窃取型マルウェアのファミリーが標的型攻撃を通じて拡散していることが判明しました。また、 3時 ランサムウェアが実環境で確認されており、RedLine/Vidarの脅威アクターがランサムウェアへと活動軸を転換しています。
CTI最新情報：ハッカーが「DarkGate」ローダー型マルウェアを用いてMicrosoft Teamsを標的にしています
ハッカーたちが「DarkGate Loader」マルウェアを用いてMicrosoft Teamsを標的にしており、フィッシング攻撃では新しい「Agent Tesla」の亜種が利用されています。また、「Chaes」マルウェアはChrome DevToolsのプロトコルを悪用してデータを盗み出しています。
CTIまとめ：今すぐやめるべき、よくあるパスワードの4つの間違い
フィッシングメールの件名に誤解を招く日付を記載する攻撃者、避けるべき4つのよくあるパスワードのミス、そして「Earth Estries」が世界各国の政府やテクノロジー企業を標的にしています。
CTIニュースまとめ：XLoaderのmacOS亜種、Lazarusグループに関する最新情報、およびハッカーによるFacebook広告の悪用
XLoaderのmacOS版が生産性向上アプリを装っているほか、Lazarus Groupが新たなマルウェアを使用しており、脅威アクターがFacebookのプロモーションを悪用して悪意のあるコードを拡散させています。
CTIニュースまとめ：モンティランサムウェア、新たなLinuxロック型マルウェアでVMware ESXiサーバーを標的に
マルウェア「Raccoon Stealer」が再出現し、脅威アクターの間でのAI導入率は依然として低い状況が続いており、ランサムウェア「Monti」は新しいLinuxロック型攻撃でVMware ESXiサーバーを標的にしています
CTIラウンドアップ：Rhysidaランサムウェアが医療セクターを脅かす
クラウド乗っ取りキャンペーンはトップレベルの経営幹部を標的としており、Rhysidaランサムウェアが医療分野を脅かしているほか、LOLKEKランサムウェアは進化を続けています。
CTIニュースまとめ：Google AMPとSalesforceがフィッシング攻撃に悪用される
脅威アクターがGoogle AMPを悪用して検知を逃れるフィッシング攻撃を仕掛け、ハッカーがFacebookを標的としたフィッシングキャンペーンでSalesforceのメールサービスを悪用し、ロシアの脅威アクター「BlueCharlie」は情報漏洩を受けてインフラを改変しました。
CTIラウンドアップ：RealstマルウェアがMacOSを標的に、情報窃取マルウェアが急激な成長を見せる
「Realst」マルウェアがmacOS Sonomaの一般公開に先立ち標的としているほか、情報窃取型マルウェアが急増しており、さらに新たな「Nitrogen」マルウェアがGoogle Adsを介して拡散し、ランサムウェア攻撃を仕掛けています。
CTIラウンドアップ：ランサムウェアがサイバーセキュリティ企業を装い、中国でスパイ戦術が進化
ランサムウェアがソフォスを装っています。また、「 FIN8 」グループは、改変されたバックドアを利用してBlackCatランサムウェアを拡散させており、中国の諜報活動を行うグループは、その手口を絶えず進化させ続けています。
CTIラウンドアップ：2023で攻撃が急増、ランサムウェアの支払いが急騰
2023年の上半期には、USBを介したマルウェア攻撃が急増し、ランサムウェアの身代金支払額が急騰し、さらに「Big Head」ランサムウェアの拡散が加速しています。
CTIラウンドアップ：TruebotがアメリカとカナダのネットワークにTruebot & Canada networks
Truebotは米国およびカナダ全土のネットワークに感染しており、Charming Kittenは新しいオペレーティングシステムを標的とし、SmugXは欧州の政府機関を標的としています。
CTIまとめ：北朝鮮のAndarielグループがEarlyRatマルウェアで攻撃
「8Base 」ランサムウェアの活動が急増しています。中国と関連があるとされるAPTグループ「Volt Typhoon」は、独自の攻撃手法を用いて標的となるネットワークへの初期アクセスを獲得しており、北朝鮮のハッカーグループ「Andariel」は、新たなマルウェア「EarlyRat」を用いて攻撃を仕掛けています。
CTIまとめ：新たなDoJサイバーユニットが国家支援の脅威を追跡
米国司法省（DoJ）が、国家主体の脅威アクターを起訴するためのサイバー対策部門を立ち上げました。また、サイバー犯罪者が有効期限切れのAWS S3 バケットを利用して悪意のあるコードを拡散させており、さらに、RDPワークロードを標的とする新たな情報窃取型マルウェアが確認されています。
CTIまとめ：SkuldマルウェアがWindows PCからDiscordデータを窃取
中国のハッカーがLinux向けマルウェアの通信にDNS-over-HTTPSを利用しているほか、Go言語ベースの新たな「Skuld」マルウェアの亜種がWindows PCからDiscordやブラウザのデータを盗み出しており、さらに大規模なフィッシングキャンペーンでは 6,000 のサイトを利用して有名ブランドを装っています。
CTIまとめ：北朝鮮のKimsukyサイバースパイが再び活動
ワシントンとソウルが北朝鮮の「キムスクイ」サイバースパイを摘発しました。また、犯罪ウェアグループ「アサイラム・アンブサード」がサイバー諜報活動を行っており、ランサムウェア「サイクロプス」と情報窃取型マルウェアの組み合わせが二重の脅威をもたらしています。
CTIまとめ：MicrosoftがハッカーにSIPルート制限を回避させるmacOSのバグを発見
改良されたBlackCatランサムウェアの亜種が、よりステルス性の高い攻撃で電光石火の速さで襲いかかっています。また、マイクロソフトは、ハッカーがSIPのルート制限を回避できるmacOSの脆弱性を発見しました。さらに、Dark Pinkのハッカーグループは、引き続き政府機関や軍事組織を標的にしています。
CTIまとめ：ロシア、イラン、& 北朝鮮が世界中のSMBを標的に
国家と結びついた脅威アクターが世界中の中小企業を標的にしており、新たな「PowerExchange」マルウェアがMicrosoft Exchangeサーバーにバックドアを仕込み、あるITセキュリティ担当者が自社への攻撃中にランサムウェア集団になりすまそうとした事例が報告されています。
CTIまとめ：ハッカーがCobalt StrikeでmacOSシステムを標的に
ハッカーたちは、Cobalt StrikeのGolang版を利用してmacOSシステムを標的にしており、サイバー犯罪者たちはマイクロソフトのマクロブロック機能に対応しており、さらにマイクロソフトのVSCodeマーケットプレイスも標的にされています。
CTIラウンドアップ：ハッカーがChatGPTを餌にFacebookでマルウェアを拡散
CISAは、ロシアによるマルウェア「Snake」の攻撃に関する共同勧告を発表しました。また、ハッカーがChatGPTを餌にFacebook上でマルウェアを拡散させているほか、新たな「フィッシング・アズ・ア・サービス（Phishing-as-a-Service）」ツールが実環境に登場しています。
CTIニュースまとめ：Google Adsが新たな「BumbleBee」マルウェアを拡散
新たなSLPの脆弱性により、大規模なDDoS増幅攻撃が可能になる恐れがあります。また、Google Adsを通じて新たな「BumbleBee」マルウェアが拡散されており、中国のハッカーがスパイ活動にLinuxマルウェアの亜種を利用しています。
CTIまとめ：CCPが支援する「 APT41 」が、攻撃に「Google GC2 」を活用
APT41 はGoogle GC2を活用しており、ランサムウェア集団はProcess Explorerのドライバーを悪用してセキュリティソフトウェアを無効化しており、 3CX’s のソフトウェアサプライチェーン侵害に関する新たな詳細が明らかになりました。
CTIまとめ：Microsoftがハイブリッド環境へのMercuryおよびDEV-1084攻撃について警告
Microsoftによる「Mercury」および「DEV-1084」に関するセキュリティアドバイザリ、ならびにロシアのハッカーがNATOやEUに対する攻撃に関与しているとする報告書です。
CTIまとめ：脅威アクターがバックドア攻撃に自己解凍（SFX）アーカイブを使用
新たなSFXエクスプロイトにより、検知されにくいバックドア攻撃が可能になっており、ALPHVランサムウェアのアフィリエイトがVeritas Backup Execを標的にしており、CTIはRorschachランサムウェアの出現を追跡しています。
CTIまとめ：あなたのパスワードはどれほど脆弱でしょうか？
「Specops 2023 脆弱なパスワードに関するレポート」の主な調査結果、最近その実態が明らかになったハッキンググループ「 APT43 」の分析、そして新しい「AlienFox」ツールキットの詳細解説をご紹介します。
CTIまとめ：新たなCISAツールがMicrosoftクラウドサービスへのハッキング活動を検出
LockBit 3.0 ランサムウェア、マイクロソフトのクラウドサービスにおけるハッキング活動を検知するCISAの最新ツール、およびScarCruftの進化を続ける攻撃手段に関する共同勧告です。
CTIラウンドアップ：Telerikを使用して米国連邦機関がハッキングされる
ハッカーたちはTelerikの脆弱性を悪用して米連邦政府機関に侵入し、中国とみられる攻撃者はFortinetのゼロデイ脆弱性と独自開発のマルウェアを組み合わせてサイバー諜報活動を行い、また、Tickという高度持続的脅威（APT）グループは、東アジアのデータ漏洩防止（DLP）企業の顧客を標的にしました。
CTIラウンドアップ：FBIとCISAがRoyalランサムウェアの警告を発行
FBIとCISAによる、「Royal」ランサムウェアおよびSharp Pandaの新たなマルウェア亜種に関する共同勧告、ならびに「IceFire」ランサムウェアに関する最新情報です。
CTIまとめ：ChatGPTを悪用する脅威アクター
ハッカーが偽のChatGPTアプリを利用してWindowsおよびAndroid向けのマルウェアを拡散させているほか、攻撃者がフィッシングリンクを含む 15,000 件以上のスパムパッケージをNPMリポジトリに大量に投稿しており、さらに、幅広い情報窃取機能を備えた新たな「Stealc」マルウェアが出現しています。
CTIラウンドアップ：ビジネスメール詐欺グループがグローバル化
BECグループは世界中の企業を標的にしており、RedEyesハッカーは新しいマルウェアを使用してデータを盗み出しています。また、悪意のあるPyPIパッケージに含まれる「 W4SP Stealer」マルウェアが開発者を標的にしています。
CTIラウンドアップ：ESXiArgsランサムウェア攻撃がVMwareを標的に
ESXiArgsランサムウェア攻撃に関する最新情報、Microsoft OneNoteファイルを介してQBotマルウェアを拡散させる新たなQakNote攻撃、そして一般教書演説におけるバイデン大統領のデータプライバシーへの配慮についてです。
CTIラウンドアップ：脅威アクターがSliver C2 フレームワークを使用
オープンソースの C2 フレームワークとしてのSliverの人気の高まり、Emotetの復活と新たな検知回避手法、そして中国のハッカーたちが0-Day攻撃を用いてFortinetの脆弱性を悪用した手口についてです。
CTIラウンドアップ：攻撃が高水準を維持する中、ランサムウェアの収益が減少
報道によると、ランサムウェアによる収益が 2022で減少していることが明らかになりました。また、CIAのマルウェア「Hive」をベースにした新たなバックドアが発見され、さらに「BackdoorDiplomacy」による新たな攻撃の波が、イラン政府機関を標的にしています。
CTIラウンドアップ：悪意のあるPyPIパッケージがファイアウォールを回避
PyPIのパッケージは、ファイアウォールを迂回するためにCloudflareトンネルを利用しています。また、Raspberry Robinマルウェアの新たな亜種がポルトガルとスペインの金融機関を標的にしており、IcedIDマルウェアも再び攻撃を仕掛けています。
APTハッカーが侵入ベクターとしてExcelアドインを使用する傾向が上昇
APTハッカーが初期侵入経路として悪意のあるExcelアドインを利用する事例、PurpleUrchinがCAPTCHAを回避してクラウドプラットフォームのリソースを盗み出す事例、そしてロシアのTurla APTが他のハッカーによるUSB感染に便乗する事例
攻撃者がQBotマルウェアの配布にSVGファイルを利用
ハッカーがSVGファイルを利用してWindowsシステムにQBotマルウェアを潜り込ませている実態、Windowsシステムを標的とした攻撃を主導している新たなランサムウェアファミリー群、そして今年、コマンド＆コントロールサーバーの数が急増している状況についてです。
機械学習。 セキュリティは味方か、それとも敵か？
機械学習における最近の進展、ブラックプロキシに関する最新情報、そしてLapsus$ギャングのハッキング戦術を検証する米国国土安全保障省（DHS）サイバー安全保障委員会の計画についてです。
Qakbotマルウェア攻撃の増加：サイバー脅威インテリジェンスラウンドアップ
米国の組織を標的としたQakbot/Black Bastaによる積極的な攻撃キャンペーン、ファーウェイ、ヒクビジョン、ZTE、ダフアの機器に対する米国の輸入禁止措置、そしてChrome、Defender、FirefoxのエクスプロイトフレームワークとスペインのIT企業との関連性を指摘する新たな報告書。
新しいフィッシング詐欺の季節：サイバー脅威インテリジェンス・ラウンドアップ
各組織はサードパーティのリスク管理を優先し、自社のサードパーティに関するセキュリティ態勢を評価しています。また、中国のハッカーがGoogle Driveを利用してマルウェアを配布しており、このホリデーシーズンには、米国の買い物客を標的とした新たなフィッシングキットが登場しています。
オーストラリア、ランサムウェアへの支払いの禁止を検討：サイバー脅威インテリジェンスのまとめ
新たな「 APT41 」サブグループ、オーストラリアによるランサムウェアへの支払いを禁止する計画、そしてTwitterで深刻化するセキュリティ問題。
ソフトウェアサプライチェーンにおける情報窃取マルウェア：サイバー脅威インテリジェンス・ラウンドアップ
ソフトウェアのサプライチェーンにおける情報窃取型マルウェアと、KELAの最新のサイバー犯罪防止報告書からの主な調査結果。
ソフトウェアサプライチェーン攻撃への新たな対策：サイバー脅威インテリジェンス・ラウンドアップ
米国の選挙を標的とした親中派による偽情報キャンペーン、Googleの新しいオープンソースプロジェクト「GUAC」、そしてパスワードの有効期限をめぐる議論が続いています。
Zimbraのゼロデイ脆弱性：サイバー脅威インテリジェンス・ラウンドアップ
Zimbraに新たに発見されたゼロデイ脆弱性、ランサムウェアやデータ窃取を目的としたUrsnifマルウェアの亜種、そしてWindowsの更新プログラムに偽装したステルス型のPowerShellバックドアです。
Emotetマルウェアの再来：サイバー脅威インテリジェンス・ラウンドアップ
Emotetの再台頭、IcedIDの進化、そしてWindows、macOS、Linuxを標的とする新しいAlchimistフレームワーク
ビジネスメール詐欺攻撃の増加：サイバー脅威インテリジェンス・ラウンドアップ
ビジネスメール詐欺の増加傾向、人気のある「Bumblebee」ローダーに関する最新情報、そして現在GitHubで販売されている偽のMicrosoft Exchange「ProxyNotShell」エクスプロイトの概要についてご紹介します。
ハッカーがPowerPointファイルを「マウスオーバー」マルウェアに利用：サイバー脅威インテリジェンス・ラウンドアップ
ハッカーがPowerPointファイルを利用して、マウスをホバーさせた際にマルウェアを配布する手口を用いているほか、ロシアは重要インフラに対する「大規模なサイバー攻撃」を計画しており、また研究者らは軍事請負業者を標的とした秘密裏の攻撃キャンペーンを明らかにしました。
サービスとしてのフィッシングの台頭：サイバー脅威インテリジェンス・ラウンドアップ
ロシア・ウクライナ紛争における攻撃的なハッキングの影響は最小限にとどまり、新たな「EvilProxy」フィッシングツールキットと「Monti」ランサムウェアが登場しました。
Kimsukyの新たなマルウェア攻撃戦略：サイバー脅威インテリジェンス・ラウンドアップ
セキュリティ研究者をかわすためのKimsukyの新たな戦略、中国のハッカーがScanBoxマルウェアを用いてオーストラリア政府を標的にしていること、そして被害者ごとにカスタマイズされた「Agenda」という新たなランサムウェアについてです。
Nobeliumの新しい「MagicWeb」マルウェア：サイバー脅威インテリジェンス・ラウンドアップ
APT29’s の新たなポストエクスプロイテーション戦略に関する最新情報、米国およびNATO関連組織を標的とした継続中の攻撃キャンペーン、そしてハッカーたちがCobalt Strikeの代替としてSliverツールキットをどのように活用しているかについてご紹介します。
2022におけるランサムウェアの現状：サイバー脅威インテリジェンス・ラウンドアップ
2022年上半期のランサムウェアに関するデータの分析、ロシアのShuckworm APTが展開した情報窃取型マルウェアに関する最新情報、およびイスラエルの組織を標的として活発に活動している UNC3890 の動向についてご紹介します。
BazarCall、Yanluowang、BumbleBee：サイバー脅威インテリジェンス・ラウンドアップ
BazarCallに関する注意喚起、シスコを標的とした「Yanluowang」ランサムウェア攻撃の最新情報など、サイバー脅威インテリジェンスのまとめをお届けします。
悪意のあるマクロ、Dark Utilities、LockBit：Taniumサイバー脅威インテリジェンス・ラウンドアップ
ランサムウェア集団がマクロを悪用したり、脅威アクターが「Dark Utilities」プラットフォームを活用したりしているなど、サイバー脅威インテリジェンスのまとめをご紹介します。
新レポートがコモディティマルウェアがランサムウェアを上回ることを明らかに：サイバー脅威インテリジェンス・ラウンドアップ
「 Q2」によるインシデント対応の最新動向、新たな「CosmicStrand」UEFIルートキット、そしてCensysが米国でロシアを拠点とするランサムウェアネットワークの証拠を発見しました。
ロシアのAPT29ハッカーがGoogle DriveとDropboxを利用して検出を回避：サイバー脅威インテリジェンス・ラウンドアップ
「Russian APT29 」ハッカーグループがGoogle DriveやDropboxを利用して検知を回避していることや、新しい「CloudMensis」スパイウェアがAppleのmacOSユーザーを標的にしていることなど、サイバー脅威インテリジェンスのまとめをご紹介します。
ランサムウェアギャングが盗んだデータを検索可能に：サイバー脅威インテリジェンス・ラウンドアップ
ランサムウェアグループが盗んだデータを検索可能にしており、Qakbotマルウェアによる攻撃が増加しているほか、その他の動向についても、今回のサイバー脅威インテリジェンスのまとめでご紹介します。
FBIとMI5が中国のスパイ活動について警告を発令：サイバー脅威インテリジェンス・ラウンドアップ
FBIと MI5 が中国による大規模な脅威について警告しています。また、新たなレッドチームングツールが脅威アクターによって悪用されており、新たに台頭しているサプライチェーン型攻撃が、今回の脅威インテリジェンスまとめのトップを飾っています。
Taniumサイバー脅威インテリジェンス・ラウンドアップ
新たに台頭している脅威、攻撃者の戦術の進化、およびサイバー脅威の全体像において見られる傾向について。
Microsoft Officeゼロデイ脆弱性Follinaについて知っておくべきこと
「Follina」と名付けられたMicrosoft Officeの新たなゼロデイ脆弱性（CVE-2022-30190）が、サイバー犯罪者や国家が支援するAPTグループによる攻撃で悪用されています。
