今週のまとめでは、CTIが、音声と電子メールによるフィッシングを組み合わせた攻撃に関する最近の分析 Intel471’s 件を取り上げています。 次に、CTIは、もともと 2023で公表された 138 件の悪用された脆弱性に関するマンディアント社の分析を検討します。 また、Chromeブラウザを標的とする情報窃取型マルウェア「PureLogs」に関するFlashpointの分析結果の詳細も掲載されています。
攻撃者は、コールバック型フィッシングを通じてマルウェアを拡散させています
Intel471 社は、音声とメールによるフィッシング を組み合わせた攻撃に関する分析レポート「 」を発表しました。この戦略は、「コールバック・フィッシング」、「ハイブリッドヴィッシング」、あるいは「電話を主軸とした攻撃（TOAD）」として知られています。
Intel471によると、こうした種類の攻撃が増加しているほか、脅威アクターの間でTOADサービスへの需要も高まっているとのことです。
コールバックフィッシングとは何ですか？
典型的な攻撃は、受信者に特定の電話番号へ電話をかけるよう促すフィッシングメールから始まります。 これらのキャンペーンで使用される実際の のソーシャルエンジニアリングの餌（ ）は様々ですが、いずれも攻撃を完遂するために、被害者を悪意のある攻撃者と電話でつなげようとするものです。
最新のデータによると、コールバック型フィッシング攻撃の発生頻度が増加しているようです。 Proofpoint recently revealed that 10 million TOAD attacks occur every month and impact about 67% of organizations globally.
需要の増加
こうした攻撃の増加に伴い、多くの脅威アクターがTOAD攻撃へと手を広げようとしています。
Intel471 は、攻撃チェーンに利用するための標的となる人物を探している50 人以上のアクターを確認しました。 これらの俳優の中には、特定の言語を話す電話の相手を探していた人もいました。
ランサムウェアとTOAD攻撃
「 」ランサムウェアの攻撃者たち が、攻撃の標的としてTOAD関連のサービスを狙うケースが増えています。 これらのサービスは、攻撃の初期侵入段階において有用となる可能性があります。
Intel471 は、「ほとんどのランサムウェア運営者は、身代金回収代行業者との長期的な提携を模索しており、月額報酬に加え、身代金支払額の一定割合を報酬として提供しています。これは、ランサムウェアに関与する脅威アクターの間で、こうしたサービスが高く評価されていることを示しています」と述べています。
金銭的な利益
この種の攻撃は、通常、金銭的な利益を目的とする攻撃者によって行われます。 コールバック型フィッシング攻撃が成功すると、攻撃者や発信者にとって多額の金銭が得られる可能性があります。
そのような通話サービスの一つである「CrimeTalk」は、1回の通話につき10 ドルを請求しています。また、Intel471 では、イタリア語を話す発信者を狙い、1日あたり5,000 ドルを提示する脅威アクターも確認されました。
サービス
一部の俳優は、自身のサービスをよりビジネス的なモデルとして構築しています。 その一例として、「 M00N 」というスパムメール・フィッシングサービスが挙げられます。このサービスでは、フィッシングメールを送信するためのいくつかの方法が提供されています。
また、「 Quattr0」という別のサービスでは、銀行や配送業者、オンラインショップなどへの電話を含む、さまざまな詐欺電話が行われています。 このグループは、ロシアを除くどの国へでも電話をかけることができると主張しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
アンダーグラウンド市場において、関連するサービスが多数提供されていることからも明らかなように、攻撃者たちは攻撃にコールバック型フィッシングの手法（TTP）を取り入れるケースが増えています。
多くの組織では、セキュリティ意識向上研修において、フィッシングメールの見分け方に関する基本的なヒントやコツを取り入れていますが、コールバックを伴うものなど、よりハイブリッドなタイプのフィッシングに関する有益な情報が、すべての研修に含まれているとは限らないでしょう。
「Intel471’s レポート」は、組織がセキュリティ意識向上研修を見直し、最新のフィッシング詐欺を見抜く方法に関する情報が確実に盛り込まれているかを確認するための良いきっかけとなります。
マンディアントは、エクスプロイト化までの時間の傾向を分析しています
マンディアント社は、当初 2023件で公表された、悪用された 138 件の脆弱性 を分析しました。
主なポイントは以下の通りです：
- 脆弱性の70％がゼロデイ攻撃として悪用されました
- エクスプロイトが公開されるまでの平均期間はわずか5日間でした
- マイクロソフト、アップル、グーグルが、最も悪用されたベンダーでした
エクスプロイトまでの時間（TTE）
マンディアント社では、「Time-to-Exploit（TTE）」という指標を用いて、パッチのリリース前またはリリース後に、脆弱性が悪用されるまでに要する平均時間を定義しています。
TTEはここ数年低下傾向にあり、最も大きな下落は昨年に見られました。 2021-2022年では、TTEは 32 日間でしたが、2023年では、マンディアント社の観測によると、平均でわずか5日間でした。
ゼロデイ対nデイ
今年、マンディアント社は、n-day（パッチが公開された後に悪用される脆弱性）とゼロデイ（パッチが公開される前に悪用される脆弱性）を比較した際、 30:70 という比率を確認しました。これは、過去数年と比較して、ゼロデイの悪用が着実に増加していることを示しています。
[関連記事：ゼロデイリスクを特定・封じ込め・是正し、 30 分で通常の業務に戻る方法]
マンディアット社の調査によると、以前に公表された脆弱性に対するパッチがリリースされてから最初の1か月間に、その脆弱性が悪用される可能性が最も高いことが判明しました。 さらにマンディアント社の調査によると、n-dayの 12％が1日以内に悪用され、その半数以上が1か月以内に悪用されていたことが判明しました。
悪用された時期
また、マンディアント社は、脆弱性の 30％が、その脆弱性が一般に公表された後に初めて悪用されたと報告しています。
Mandiant社は、実際の悪用が確認される前にエクスプロイトが公開されていた脆弱性について調査した結果、公開されたエクスプロイトが公表された日から悪用が開始されるまでの期間は、中央値で7日間であることが判明しました。
悪用事例が確認された後にエクスプロイトが公開された脆弱性については、開示から悪用されるまでの期間が中央値で 15 日であることが判明しました。
ベンダーによる悪用
マンディアント社は、ベンダーごとにすべての脆弱性を分類しました。 彼らは、過去最多の攻撃対象となったベンダー数と比較して 17％の増加を確認し、マイクロソフト、アップル、グーグルがここ数年、最も多く攻撃の対象となっているベンダーであると指摘しました。
攻撃者は現在、標的を多様化させている模様で、マンディアント社は、攻撃の対象となったベンダーの総数が増加していると指摘しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脆弱性が年々ますます迅速に悪用されるようになっているため、パッチ適用の優先順位付け（ ）は、非常に困難になってきています。
そのため、 の脆弱性パッチ管理（ ）には、リアルタイムで状況に対応できるよう、効率的な検知および対応策を組み合わせる必要があります。
また、同社の分析によると、ゼロデイ攻撃がますます増加傾向にあることが示されており、これは脅威情勢における最近の傾向とも一致しています。
PureLogsはChromeブラウザを対象としています
Flashpointは最近、Chromeブラウザを標的にして機密情報を盗み出そうとしている情報窃取型マルウェア「 （PureLogs）」について調査を行いました。 現在、Chromeブラウザからデータを収集できるマルウェアファミリーは他にごくわずかであるため、この脅威は注視すべきものです。
Flashpoint observed more than 53 million compromised credentials along with 13 million infected devices due to infostealer activity in 2024. このマルウェアは 2022 年に初めて出現し、それ以来ずっと出回っています。 他の情報窃取型マルウェアに比べて価格が安いことが、その継続的な利用を支えていると考えられます。
PureLogsとは何ですか？
PureLogsという情報窃取型マルウェアは、C#で記述されています。 他の多くのマルウェアファミリーと同様、このマルウェアも複数の段階からなるアセンブリを使用しています。
このステラーは、Chromeブラウザから機密データを収集しようと試みます。Flashpointによると、これは「 Lumma、Vidar、および Meduzaなど、ごく一部のマルウェアにのみ見られる特徴」とのことです。
このマルウェアは、アンダーグラウンドのマーケットプレイスや、クリアネット上の専用マーケットプレイスで活動を続けています。 PureLogsは現在、市場に出回っている情報窃取型マルウェアの中でも比較的安価な部類に属しており、そのため脅威アクターにとってさらに魅力的な存在となっています。
情報窃取型マルウェアに加え、開発者は仮想通貨マイナー、クリップボード置換ツール、ボットネット、および隠し型の仮想ネットワークコンピューティング（VNC）クライアントへのアクセスも提供しています。
PureLogsはどのように機能するのでしょうか？
第1段階
第1段階は、ロードと実行で構成されています。 このステージには、AESアルゴリズムを用いて復号されるバイト配列が格納されています。
AESキーと初期値は、いずれも Base64 でエンコードされた文字列としてハードコードされています。 バイナリが解凍され、その結果、C#のDLLがメモリ上に読み込まれ、実行されます。
第2段階
第2段階では、最終的な情報窃取型アセンブリを実際に読み込む前に、サンドボックス回避チェックが行われます。 まず、そのプロセスに現在読み込まれているDLLが存在するかどうかを確認することから始まります。 また、そのプロセスのPPIDも確認します。これは、アセンブリが元のプロセスのメモリに動的に読み込まれるように設計されているため、PPIDが存在してはならないからです。
ハードウェアに関する情報を取得し、「VMware」または「Virtual」という文字列が存在するかどうかを確認するために、いくつかのWMIクエリが実行されます。 このマルウェアは、モニターのサイズ、アーキテクチャのビット数、およびユーザー名を確認し、仮想マシン上で実行されているかどうかを判断します。 そうでない場合は、 C2との接続を確立します。 この接続を確立した後、復号、解凍を行い、最終段階を実行します。
第3段階
第3段階、つまり最終段階において、PureLogsは以下の情報を盗み出すことでデータの取得を目指します：
- 閲覧データ
- Chrome、Edge、Operaの拡張機能
- 暗号資産ウォレットアプリ
- デスクトップアプリケーション
- 機械情報
このマルウェアは、フォルダや拡張子ごとのファイル、あるいはファイル名や保存場所に基づいてファイルを収集するように、さらに設定を変更することができます。 また、攻撃者は追加のペイロードをダウンロードして実行することも可能です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Flashpointが指摘しているように、サイバー脅威の状況には、数多くの情報窃取型マルウェアが氾濫しています。 攻撃者は、販売したり、さらなる悪意のある活動に利用したりできる機密情報を、迅速かつ容易に入手する手段として、情報窃取型マルウェアを悪用しています。
選択できる情報窃取ツールが非常に多いため、参入のハードルは驚くほど低いのです。 現在、俳優たちは数多くの能力や特徴の中から選ぶことができます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
