今週のまとめでは、CTIが 2024年第1四半期までのカスペルスキーの主要な脆弱性について取り上げます。 次に、CTIは、昨年登場して以来進化を続けている「HijackLoader」と呼ばれるモジュール型マルウェアについて調査を行います。 最後に、CTIは、コバルト社の「 2024 State of Pentesting」レポートの主な調査結果を紹介して締めくくります。
1. Kaspersky releases the top exploit and vulnerability trends in Q1 2024
カスペルスキーの最新レポート『 』では、2023 年から2024年第1四半期にかけての主要な脆弱性について分析しています。
カスペルスキーの研究チームは、これらの脆弱性のうち、どの脆弱性が最も頻繁に悪用されているかを分析し、APTが一般的にどのような標的を攻撃しているかに関する傾向を明らかにしました。
登録済みの脆弱性
カスペルスキーによると、CVEとして登録された脆弱性は年々増加しています。
- その一因として、脆弱性の特定や発見に貢献してきたバグ報奨金プラットフォームの拡大が挙げられます。
- もう一つの要因として、新たなアプリケーションが次々と開発されたり、既存のアプリケーションが更新されたりすることで、それらが独自の脆弱性を伴うことが挙げられます。
CVEの件数が年々増加していることに加え、重大な脆弱性の割合も上昇しています。
カスペルスキーのレポートから得られたその他の調査結果
カスペルスキーは、公開情報、登録済みのCVE、および自社のテレメトリデータを分析し、脆弱性の悪用に関する結論や統計を導き出しました。 調査の結果、脆弱性の悪用被害に遭ったWindowsユーザーの数は横ばいだったのに対し、Linuxユーザーでは脆弱性の悪用被害が増加していることが判明しました。
悪用された脆弱性を分析した結果、脅威アクターが特に注目していたいくつかのカテゴリーが明らかになりました。 これらには、ブラウザ、オペレーティングシステム、Microsoft Exchange、Microsoft SharePoint、およびMicrosoft Officeスイートが含まれます。
特に重大な脆弱性に限定して見ると、悪用された脆弱性のトップはオペレーティングシステムであり、その割合は 50％を占めました。
APT攻撃における脆弱性の悪用
カスペルスキーの調査によると、多くのAPTが攻撃において脆弱性の悪用を利用していることが判明しました。 2024 年第1四半期に最も多く悪用された脆弱性には、CVE-2023-38831 （WinRAR）、CVE-2017-11882 （MS Office）、およびCVE-2017-0199 （MS Office）が含まれていました。
また、カスペルスキーは、最も一般的な侵入経路として、脆弱性のあるリモートアクセスサービス、脆弱性のあるアクセス制御機能、および脆弱性のあるOfficeアプリケーションが挙げられることを突き止めました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脆弱性の悪用は絶えず増加しており、当面は収まる気配が見られません。
カスペルスキーの報告書によると、脅威アクターやAPTは、リモートアクセスサービス、リモートコントロール機能、およびMicrosoft Officeアプリケーションを悪用しようと頻繁に試みているとのことです。 この傾向は、脆弱性管理プログラムを効率的に運用するためには、自社の環境やインフラを十分に理解しておくことがいかに重要であるかを改めて示しています。
2。 HijackLoaderは、新たな回避手法を取り入れて進化しています
Zscalerによると、「HijackLoader」として知られる 型モジュール式マルウェア（ ）は、2023年に登場して以来、進化を続けています。
このマルウェアの最新バージョンには、Windows Defenderのウイルス対策機能に対する除外ルールを追加したり、UACを迂回したり、インラインAPIフックを回避したり、プロセスホローイングを利用したりする追加モジュールが含まれています。
このマルウェアは現在、PNG画像ファイルを介して配信されており、その画像ファイルが復号化されることで、攻撃の次の段階が実行されます。
HijackLoaderの第一段階
このマルウェアの第一段階では、さまざまなHijackLoaderモジュールの復号および解凍が行われます。 また、第2段階のコードを復号して実行します。
最初の段階では、APIを動的に解決し、インターネット接続を確認します。 接続が確認されると、いくつかの目的のために設計されたシェルコードを復号し、実行します。 このシェルコードは、追加のAPIを解決し、ブロックリストに登録されたプロセスの有無を確認します。
HijackLoaderの第2段階
次に、このマルウェアは自身のコピーをメモリに読み込み、設定ファイルを読み取ります。 この第2ステージは、次の2つの方法のいずれかで読み込まれます。1つは、PNGファイルをダウンロードして第2ステージを読み込む方法、もう1つは、PNGファイルを埋め込んで第2ステージを読み込む方法です。
第2段階では、メインモジュールの注入を担当しますが、modCreateProcess（ modCreateProcess64）、modUAC（ modUAC64）、modWriteFile（ modWriteFile64）、WDDATAといった、解析回避のための追加モジュールも活用します。
配信されたマルウェア
Zscalerは、 2024年3月に含まれるHijackLoaderのサンプル 50 件を分析しましたが、そのすべてにPNGファイルが埋め込まれていました。
彼らはこれらのサンプルを分析し、HijackLoaderによって配信されているマルウェアファミリーの一覧を特定するとともに、以下のマルウェアが配布されていたことを確認しました：Amadey、Lumma Stealer、Racoon Stealer v2、Remcos RAT、Meta Stealer、およびRhadamanthys。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
HijackLoaderは昨年登場したばかりですが、Racoon Stealer、Lumma Stealer、Amadey、Remcos RATといった著名なマルウェアファミリーの配布に利用されてきました。
今回の進化により、HijackLoaderの脅威レベルが高まり、主に新たな回避手法が追加されたことから、攻撃者にとってさらに魅力的なものとなる可能性が高いです。 配信に埋め込みPNGを使用する手法は、あまり一般的ではなく、検知を逃れやすい傾向があります。
3。 コバルト社が「 2024 State of Pentesting」レポートを発表しました
Cobalt社は、「 2024 ：ペネトレーションテストの現状」レポート（ ）を発表しました。このレポートでは、2023の事例から導き出された主要なトレンドについて詳しく分析しています。 本レポートは、 4,000 件を超えるペネトレーションテストのデータおよびセキュリティ実務者からのアンケート回答に基づいています。
本報告書では、いくつかの重要な観察結果を取り上げるほか、AIの導入拡大が業界の動向にどのような影響を与えているかについても考察しています。
AIアプリケーション：新たな攻撃対象領域
コバルト社は、 2023年を通じてAIシステムに対して複数のペネトレーションテストを実施し、この種のペネトレーションテストを求める顧客が大幅に増加していることがわかりました。
これらのテストを実施するにあたり、彼らはLLMアプリケーション向けのOWASPトップ 10 を活用し、情報の漏洩や不適切な出力処理がないかを確認しています。 こうしたテストの1つにおいて、彼らは、プロンプトを入力した際に、本来アクセスすべきではない機密情報へのアクセスを許可してしまうLLMを発見しました。
また、彼らは、さまざまなセキュリティ対策によって不正利用を防ぐはずだったチャットボットをいくつか特定しましたが、それらの対策を容易に回避することができました。
Cobaltは、最も頻繁に発生した3つの脆弱性の種類を特定しました。それらは、 プロンプト注入、モデルサービス拒否、およびプロンプト漏洩です。
脆弱性の増加
2023 のトレンドレポートのほとんどで、脆弱性の増加が指摘されています。 コバルト社も同様に、ペネトレーションテスト1件あたりの発見件数が前年同期比で 21％増加したことが確認されました。
Cobaltは、 4,068 件のペネトレーションテストにおいて39,000 件以上の脆弱性を発見し、最も多かった脆弱性の種類はサーバーのセキュリティ設定ミスでした。
平均修復時間（MTTR）
Cobalt社は、MTTRが過去数年と比べて増加していることを確認しました。 の平均MTTR は20 日を超えています。 そのほとんどは「中程度」の深刻度に分類され、ごく一部が「重大」の深刻度に達しました。
調査結果
Cobalt社は、ペネトレーションテストの結果が必ずしも是正されない理由、あるいは是正までに時間がかかる理由を把握するため、約 1,000 名のセキュリティ専門家を対象に調査を行いました。 アンケート回答から得られた知見と、彼ら自身の調査結果を照らし合わせたところ、こうした問題の多くは、人員不足で過重な業務に追われているセキュリティチームに起因していることが明らかになりました。
調査回答者の81％が、人員削減や解雇・辞職により「業務量の管理に顕著な支障が生じている」と回答し、 44％が現在バーンアウト状態にあると述べました。
2024 件のデータ
これまでのところ、 2024では、 62％の組織が特定の脆弱性を発見するためにペネトレーションテストを活用しており、 58％の組織がクラウドセキュリティの強化を目的としてペネトレーションテストを実施しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Cobalt社は、脅威の状況においてAIがどのような役割を果たしているかについて、興味深い統計データをいくつか提示しました。 例えば、同社の調査によると、セキュリティチームの 75％がすでに新しいAIツールを導入していることがわかりました。 興味深いことに、Cobalt社は、これらのAIツールに見られる最も一般的な脆弱性を、「プロンプト注入」、「モデルのサービス拒否（DoS）」、「プロンプト漏洩」という3つのカテゴリーに分類することに成功しました。 これにより、組織はAIツールの候補を評価する際に、どのような点に注目すべきかについて、一定の指針を得ることができます。
また、コバルト社の調査によると、回答者の半数以上が、自社のセキュリティチームにはこれらのツールに対応する能力がなく、AIツールのセキュリティを検証するための体制も整っていないと考えていることが分かりました。 これは、AIが進化し続けるにつれてますます重要性を増していく課題であり、組織としては早急に解決策を講じ始めるべきものです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。