今週はまず、 2022年上半期の最も注目すべきサイバー犯罪の動向についてご紹介します。これには、 人間を標的とし、心理的な操作を多用するビジネスメール詐欺（BEC）攻撃の急増が含まれています。 （新しいタブで開きます） 次に、マルウェア「Bumblebee」のローダーおよびそれに関連するボットネットの最新の動向について分析します。 最後に、GitHub上に詐欺的なリポジトリが出現しているという報告をご紹介します。これらは、国家の支援を受けているとみられるAPTグループによる「ProxyNotShell」のゼロデイ脆弱性の発見および悪用報告が引き起こした業界全体の注目を、サイバー犯罪者が金銭的に利用しようとしているものです。
1. BEC攻撃の急増は、暗号化を伴わない恐喝攻撃が増加傾向にあることを示唆しています
Arctic Wolfは先日、「1H ・2022 インシデント対応の知見 （新しいタブで開きます）」というレポートを発表しました。 以下に、主なポイントをいくつかご紹介します：
- 脅威アクターグループによるランサムウェアの身代金要求額の中央値は450,000ドルであり、テクノロジー業界および輸送・物流業界では、その要求額が世界全体の中央値の2倍以上となっています。
- 人的要因は、脅威アクターが悪用しうる一般的な攻撃経路ではありますが、インシデントの 80％以上は、パッチが適用されていない脆弱性やリモートアクセスツールの悪用によって引き起こされています。
- 広く報じられた「ProxyShell」および「 Log4J 」の脆弱性に関連するインシデントへの対応にかかるコストは、依然として、インシデントのコストの中央値の2倍に上っています。
BECの増加と多要素認証（MFA）の不備との関連性
Arctic Wolfのデータによると、ハッカーが「暗号化を伴わない恐喝」の手口にますます頻繁に手を染めるようになるにつれ、サイバー犯罪者の間でランサムウェアから離れつつある傾向が見られます。 脅威の状況における最も重要な変化の一つは、 2022年第2四半期に確認されたBEC攻撃の成功件数です。
According to Arctic Wolf, BEC cases, when viewed as contributors to all examined incident response cases, more than doubled in the second quarter of the year, comprising 34% of all cases as compared to just 17% in the first quarter of 2022. ビジネスサービス、法務・行政、金融・保険の各業界では、この種の攻撃の被害を受けた組織数が大幅に増加しました。懸念されることに、データからは明らかな共通点が浮かび上がりました。被害を受けた組織の 80％が、 の多要素認証（MFA）を導入していなかったのです。。
BEC攻撃が急増している理由
ソーシャルエンジニアリング攻撃 (新しいタブで開きます) は、人を騙すことに焦点を当てており、多くの場合、電子メールやその他の防御的なセキュリティ対策を回避することができます。 場合によっては、ハードウェアやソフトウェアの脆弱性を悪用しようとする攻撃よりも、これらの攻撃の方が成功率が高いこともあります。
とはいえ、外部の脆弱性が重要な役割を果たしていないというわけではありません。 実際、 Abnormal Securityは、今年の初めに発表した脅威レポート『 』（新しいタブで開きます） において、すべてのサイバー犯罪インシデントの圧倒的多数（81％）が、MicrosoftのExchangeサーバーやVMwareのHorizon仮想デスクトップソフトウェアといった、標的を絞られた少数の製品における外部からの脆弱性、およびMicrosoftのリモートデスクトッププロトコル（RDP）などの不適切な設定が施されたリモートサービスに起因していることを明らかにしました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「 のArctic Wolfが発表した『1H 2022 Incident Response Insights』（ （新しいタブで開きます） ）は、ランサムウェアに関する注目すべき詳細をいくつか報告しているものの、インテリジェンス各社から飛び交う相反するランサムウェアの動向に関する騒がしい議論に、自社の見解を加えることは概ね避けています。」
「一部の統計では、これまで以上に事件数が増加しているという傾向が示されていますが、一方で、報告されているランサムウェア攻撃が大幅に減少していることを示唆しているとの指摘もあります。」
「Arctic Wolf社の最新の調査結果を踏まえると、フィッシングやソーシャルエンジニアリングに関する包括的な啓発・教育研修プログラムの重要性は、いくら強調してもしすぎることはありません。」 また、演習の際には、人間が最も侵入されやすい経路となる最新のサイバー攻撃を、可能な限り現実的な形で再現することも有効です。」
「それ以外にも、前述のような報告は、著名な組織を財政面や評判の面で窮地に追い込むのは、必ずしも最も高度なマルウェアやTTP（戦術・技術・手順）だけではないという、さらなる警鐘となるはずです。」
2。 マルウェアの最新情報：広く出回っている「Bumblebee」マルウェアローダーが新機能を実装し、TTPを高度化させています
絶大な人気を誇るマルウェアローダー「Bumblebee」が、再び話題となっています。今回は「 」という形で登場しました。Check Pointによる、絶えず進化を続けるこのマルウェアに関する新たな分析レポート「 」（新しいタブで開きます） をご覧ください。
Bumblebeeマルウェアローダーについて
Bumblebeeは、脅威アクターがランサムウェア感染を開始するために使用する主要な「前段階」マルウェアの1つとして、BazarLoaderに取って代わり、QBot、Emotet、TrickBotといったよく知られたマルウェアと肩を並べる存在となりました。
バンブルビーがあのはしごを登るのにかかった時間は、まさに驚くべきものでした。 以前にも報告した通り、Bumblebeeの成功は、主に による洗練されたスピアフィッシングメール （新しいタブで開きます） を通じて配布されることに起因しています。この説は、このマルウェアが著名な初期アクセスブローカーと関連していることとも関係している可能性があります。
Bumblebeeマルウェアローダーに関する最新情報
チェック・ポイント社の最新の調査によると、 2022 年の春には、マルウェアローダー「Bumblebee」に関連する活動が大幅に増加しました。
「Bumblebee」マルウェアローダーは、いくつかの有名なマルウェアファミリーとの明らかな 関連性が指摘されていたため、すでに情報セキュリティコミュニティから厳しい監視の対象となっていました。 （新しいタブで開きます）
チェック・ポイントは、いくつかの重要なポイントを指摘しています：
- Bumblebeeは絶えず進化を続けており、その最たる例が、ローダーシステムがわずか数日の間に2度も抜本的な変更を経たという事実です。まず、ISO形式のファイルから、PowerShellスクリプトを含むVHD形式のファイルへと変更され、その後、再び元の形式に戻りました。
- 2022年6月 頃に見られたBumblebeeのサーバーの挙動の変化は、攻撃者が、できるだけ多くの被害者に感染させるためのマルウェアの広範なテストから、その焦点を移した可能性があることを示唆しています。
- この脅威には「group_name」というフィールドが含まれていますが、クラスタリング関連の活動を判断する上で、必ずしも適切な指標とは限りません。というのも、「group_name」の値が異なるサンプルでも同様の挙動が見られることから、単一の攻撃者が複数の「group_name」を操作している可能性が示唆されるからです。一方、暗号化キーについては、期待通り、異なる暗号化キーは一般的に異なる挙動を意味します。
- Bumblebeeのペイロードは、被害者の種類によって大きく異なります。 感染した単体のコンピュータは、銀行トロイの木馬や情報窃取型マルウェアの被害を受ける可能性が高いのに対し、組織のネットワークでは、CobaltStrikeのようなより高度なポストエクスプロイトツールの攻撃を受けると予想されます。
チェック・ポイントの報告書はさらに、最近観測された「Bumblebee」の活動に見られる特定の異常な特徴（例えば、あるネットワークから最初の「client_id」を受信した後、組織の外部IPから「client_id」の送信を行う感染ホストとの通信を C2 台のサーバーがすべて停止したといった事例）に基づき、同社の研究者は次のように結論づけたと述べています。 「同一のパブリックIPアドレスを使用してインターネットにアクセスしている組織内の複数のコンピュータが感染した場合、C2 番のサーバーは最初に感染したコンピュータのみを受け入れる」という結論に至ったと述べています。
興味深いことに、この機能は数週間前に突然無効にされ、感染したホストへの確立済み接続数が劇的に増加しました。 この機能がどのような目的で実装されたのかは依然として定かではありませんが、おそらく集中的なテスト期間中に有効にされていたものと思われます。
この奇妙な挙動を受け、チェック・ポイント・リサーチは、Bumblebeeが実行されたさまざまな環境において、その挙動を監視することとしました。 あらゆる状況から、これらの突如として接続されたIPアドレスは、実際にはメインの C2 サーバーの隠れ蓑として機能しており、すべてのBumblebee接続がそこを経由して中継されていることが示唆されています（つまり、典型的なボットネットの挙動です）。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「チェック・ポイントの研究者らによる詳細な分析により、この脅威が継続的にその機能を更新することに注力していることは以前からわかっていましたが、その実態がより鮮明に浮かび上がりました。また、感染チェーンの変化や、アクティブな被害者の数を大幅に拡大し、 C2 トラフィックの総量を増加させることを目的としたボットネットの活動について解説することで、当社の『Bumblebee』に関する知識ベースがさらに充実しました。」
「Bumblebeeは依然として独特かつ現実的な脅威であり、独自のパッカーを自身だけでなく、膨大な数の被害者デバイスに展開するマルウェアサンプルに対しても使用している点で、他のサードパーティ製パッカーや回避ツールとは一線を画しています。」 「これは、バンブルビーが他のトップクラスの先行マルウェアファミリーから取り入れた可能性のある特徴ですが、その挙動を変更したり新しい環境に適応したりする点において、はるかに大きな効果を発揮し、より高い柔軟性を備えています。」
3。 GitHubで、Microsoft Exchangeの「ProxyNotShell」を標的とした偽のエクスプロイトが販売されています
サイバーセキュリティブログ「BleepingComputer」に掲載された 10月3日の記事によると、脅威アクターは、広く報じられている のMicrosoftゼロデイ脆弱性2件（ （新しいタブで開きます） ）をめぐる話題を利用し、セキュリティ研究者を装って、ProxyNotShellと名付けられた偽の概念実証（PoC）エクスプロイトを販売しているとのことです。
GitHubで偽のMicrosoft Exchange「ProxyNotShell」エクスプロイトが販売されています - @LawrenceAbrams bleepingcomputer.com/news/security/…
ProxyNotShellとは何ですか？
ProxyNotShellとは、Microsoftが （新しいタブで開きます）で「Microsoft Exchange Server 2013、Exchange Server 2016、およびExchange Server 2019に影響を及ぼす2つのゼロデイ脆弱性」と説明しているものを指します。 1つ目は「 CVE-2022-41040」と特定されたサーバーサイドリクエストフォージェリ（SSRF）の脆弱性であり、2つ目は「 CVE-2022-41082」と特定されたもので、攻撃者がExchange PowerShellにアクセスできる場合にリモートコード実行（RCE）が可能となります。
この2つのセキュリティ上の脆弱性は、ベトナムのサイバーセキュリティ企業GTSCのセキュリティ研究者らによって最初に発見されたと報じられており、は、長年にわたり信頼されているCTI情報源であるのケビン・ボーモント氏 （新しいタブで開きます）――著名なセキュリティ研究者――が執筆した 9月29日 の記事において、 （新しいタブで開きます）を見事に要約しています。
ProxyNotShell攻撃に関与したとみられる国家系APTグループ
マイクロソフトの脅威インテリジェンスセンター（MSTIC）は、世界中で 10 組織未満を対象としたProxyNotShellの脆弱性を悪用した攻撃を確認したと述べており、この活動は国家と結びついたAPTグループによるものである可能性が高いと、中程度の確信度で評価しています。
この活動について、特定の攻撃者や国家を名指しして指摘した者はいませんが、攻撃者たちは2つのゼロデイ脆弱性を攻撃サイクルで連鎖させており、その結果、侵害されたサーバーに「China Chopper」ウェブシェルが展開され、持続性の確保、データ窃取の促進、および横方向の移動が可能になっていることが確認されています。
研究者らは、GitHubのリポジトリが詐欺目的の悪用活動が行われている場所であることを特定しました
これまでにも度々指摘してきたように、このようなニュースが情報セキュリティコミュニティ全体の注目を集めるたびに、あらゆる種類のサイバー犯罪者たちが、その事件やその後の展開をめぐる話題を素早く利用して金銭的な利益を得ようと試みます。 これは、多くの場合、 といったフィッシングキャンペーン として現れ、その際、当該の問題に関連した餌が仕掛けられています。 ProxyNotShell では、少し異なる傾向が見られます。
Huntress Labsの研究者であるジョン・ハモンド氏は、ある特定の詐欺師の動向を注視してきました。この人物は、Exchange CVE-2022-41040 およびCVE-2022-41082 の脆弱性に対する偽のPOC（概念実証）エクスプロイトを売りさばこうと、さまざまなGitHubリポジトリを次々と作成しており、POCの信憑性を高めようとする不器用な試みと思われる、複数のコピーを提供することさえしています。
別の例として、Paulo Pacheco氏 （新しいタブで開きます）が発見した詐欺アカウント は、CTIのKevin Beaumont氏になりすましていました。 これは間違いなく、Exchangeの新たな脆弱性や利用可能な対策について、たゆまず、また私心なく記録し続けてきたこの著名なセキュリティ研究者の評判を金銭的に利用しようとする試みです。
これらのGitHubリポジトリには何が含まれているのでしょうか？
BleepingComputerより：
「リポジトリ自体には重要な情報は含まれていませんが、README.md には、新たな脆弱性について現時点で判明している情報が記載されており、その後に、これらのゼロデイ脆弱性に対する PoC エクスプロイトを 1 部販売しているという宣伝文が続いています。」
「つまり、ユーザーには気づかれないだけでなく、セキュリティチームにも見過ごされてしまう可能性があるということです。」 「これほど強力なツールは一般に公開されるべきではありません。利用可能なのは厳密に1コピーのみであり、真の研究者が使用できるようにするためです： hxxps://satoshidisk[.]com/pay/xxx」と、この詐欺用リポジトリ内のテキストには記載されています。
この詐欺的なPOCエクスプロイトは現在、わずか 0.01825265 ビットコインという破格の安値で販売されています。その価値は約420.00 ドルに相当します（本物のPOCの価値とはかけ離れており、Microsoft ExchangeのRCEゼロデイを生成できる人材に対して他の組織が支払っている金額よりも大幅に安いものです）。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ProxyNotShellの脆弱性に関する技術的な詳細は入手が難しいかもしれませんが、正当なPOCが公開されるのは時間の問題でしょう。」 実際、さまざまな情報源によると、脆弱性が公表されてから、実際に動作するPOCエクスプロイトが登場するまでの平均期間は、およそ 10-14 日程度とされています。 このため、CTIでは、このような注目度の高いゼロデイを標的としたPOCエクスプロイトが出現した際、その情報を把握したその瞬間から、積極的に検索システムを構築・運用し、監視を継続するという予防措置を講じています。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
