This week, CTI provides key takeaways from Cisco Talos’ latest IR trends report covering the second quarter of 2024. 続いて、CTIは、ランサムウェアグループがVMware ESXiの認証バイパス脆弱性を悪用している実態を詳述した、マイクロソフトからの最近の警告について調査しています。 最後に、CTIは、GenAIに関連する用語に結びついたドメイン登録やネットワーク攻撃がどのように変化し始めているかを詳しく分析した、パロアルトの最新レポートを取り上げます。
1. シスコ・タロスが「 Q2 IRトレンド」レポートを発表しました
Cisco Talosは、最新の「 IRトレンドレポート」『』を発表しました。このレポートでは、 2024年第2四半期における同社の活動から得られたさまざまなテーマや所見を取り上げています。 同報告書によると、ビジネスメール詐欺（BEC）とランサムウェアが依然として最大の脅威であり、これら2つを合わせると、同社の対応件数の 60％を占めていることが明らかになりました。
テクノロジー分野への標的型攻撃の増加
第2四半期に行われた攻撃の 24％でテクノロジーセクターが標的とされており、小売、医療、製薬、その他の業種を上回り、脅威アクターにとって最も注力されている分野となりました。
シスコ・タロスは、第1四半期と比較して、テクノロジーセクターに影響を及ぼす攻撃件数が 30％増加したことを明らかにしました。 また、脅威アクターは、テクノロジーセクターの組織を、「幅広い分野への供給やサービス提供において重要な役割を果たしていることから、他の業界や組織への『入り口』」と見なしている可能性があると指摘しています。
BECの急増が続いています
当然のことながら、BECは依然としてかなり目立っています。 これは、当四半期のエンゲージメントの 60％で有効な認証情報の使用が確認されたという事実と一致しており、前四半期から 25％の増加となっています。
ランサムウェアの動向
シスコ・タロスは、第2四半期に調査対象となった事案の 30％でランサムウェアを確認しており、これは前四半期比で 22％の増加となります。
さらに、シスコ・タロスは、MalloxおよびUnderground Teamというランサムウェアグループを初めて確認しました。 これは、Black BastaやBlackSuitといった、これまでに確認されていたランサムウェアのファミリーに加えられたものです。
Cisco Talosによると、ランサムウェア攻撃の 80％において、「仮想プライベートネットワーク（VPN）などの重要なシステムにおいて、 による多要素認証（MFA）が適切に導入されていなかった ことが、攻撃者が初期アクセスを得る一因となった」とのことです。
増加傾向にある：ネットワーク機器を標的とした攻撃
ランサムウェア攻撃の増加に加え、シスコ・タロスでは、ネットワーク機器を標的とした攻撃の増加も確認され、その攻撃件数は同社の対応件数の 24％を占めました。 この活動には、パスワードスプレー攻撃、脆弱性スキャン、エクスプロイトなどの戦術が含まれます。
初期ベクトル
第2四半期において、脅威アクターが初期アクセスを得るための主な手段は、有効ではあるものの侵害されたアカウントの利用でした。
これは前四半期比で 25％の増加となりました。 次に多かった初期侵入手法は、一般に公開されているアプリケーションの脆弱性を悪用するものでした。
セキュリティ上の脆弱性
セキュリティ上の脆弱性の上位2つには、脆弱性のあるシステムや設定ミスのあるシステム、および多要素認証（MFA）の未導入が挙げられます。 この2つの弱点は、ここ数四半期にわたる多くのトレンドレポートで指摘されてきました。 脆弱性のあるシステムは、エクスプロイトの成功件数の多さと直接的な相関関係があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
本報告書で言及されている項目の多くは、脆弱なシステムや多要素認証（MFA）の未導入が最大のセキュリティ上の弱点であるといった、前四半期から続く傾向です。
最も興味深いのは、彼らの関与において、テクノロジーセクターが最も標的とされたという点です。 報告書にもあるように、脅威アクターは、他の組織へのアクセス権を得るために、テクノロジー企業を標的とするケースが増えています。 この傾向は、最近増加しているサプライチェーン攻撃の増加と一致しています。
2。 ランサムウェア集団がESXiの脆弱性を標的にしています
マイクロソフトは、ランサムウェアグループが のVMware ESXi認証バイパス脆弱性（）を積極的に悪用していることを示す警告を発表しました。
先日修正されたこの脆弱性が悪用され、権限の昇格が行われ、マルウェアや の「Black Basta」ランサムウェアの展開につながる感染チェーンが実行されています。
CVE-2024-37085について
CVE-2024-37085 はマイクロソフトの研究者によって発見され、6月25日上のESXi 9.0 U3 で修正されました。
この脆弱性が悪用された場合、攻撃者は「ESX Admins」グループを作成し、新しいユーザーを追加することで、ハイパーバイザーに対する完全な管理者権限を取得することが可能になります。
マイクロソフトはこの脆弱性を詳しく調査した結果、「Active Directory ドメインに参加している VMware ESXi ハイパーバイザーでは、デフォルトで『ESX Admins』というドメイングループのメンバー全員に、完全な管理者権限が与えられている」ことが判明しました。
ESXiハイパーバイザーを標的とした攻撃の増加
マイクロソフトをはじめ、多くの組織が、ここ数ヶ月の間にESXiハイパーバイザーを標的とするランサムウェア攻撃者の増加を指摘しています。
さらに、現在、ESXi用暗号化ツールを販売しているランサムウェアの攻撃者が複数存在します。 マイクロソフトによると、ESXiハイパーバイザーが関与したインシデント対応（IR）の件数は、過去3年間で2倍以上に増加したとのことです。
Storm-0506は、Black Bastaランサムウェアを展開します
マイクロソフトは、今年初めに発生したインシデントの事例を公開しました。この事例では、Storm-0506として追跡されている攻撃者によって展開された「 Black Basta」ランサムウェア（ ）に、ある組織が感染しました。 この攻撃者は、この脆弱性を悪用して、ESXiハイパーバイザーへの権限昇格を図りました。
- この攻撃は、QBotへの感染から始まりました。
- その後、この攻撃者は、昨年のWindows CLFSの脆弱性を悪用し、そのデバイス上で権限を昇格させました。
- その他のツールを使用してドメイン管理者の認証情報を盗み出し、さらに他の4台のドメインコントローラーへと横方向の移動を行いました。
- 永続化のためのさまざまな仕組みを導入し、RDP接続へのブルートフォース攻撃を試み、Microsoft Defenderを弄った後、攻撃者はドメイン内に「ESX Admins」というグループを作成しました。
- その後、この新しいグループに新しいユーザーが追加され、その直後にESXiファイルシステムの暗号化が行われました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マイクロソフトは、ESXiハイパーバイザーを標的とした攻撃が増加傾向にあると指摘しています。 これは、ここ数ヶ月、あるいはそれ以上の期間にわたり、研究者たちが脅威の全体像を通じて確認してきた現象であり、近い将来も続く可能性が高いと考えられます。
マイクロソフトは、このVMware ESXiの脆弱性を悪用するために攻撃者が用いている3つの異なる手口を特定し、検討する価値のあるさまざまな緩和策や防御策を公開しました。
3。 詐欺師たちは、ドメイン登録やネットワーク攻撃において、生成AIを悪用しています
パロアルトの は最近、GenAIに関連する用語に伴うドメイン登録の変遷とネットワーク攻撃について、詳細な分析を行いました。
同団体は、GenAIに関連する単語を含む登録済みドメインを分析してその傾向を明らかにするとともに、これらのドメインを利用したさまざまな攻撃の手口を概説するケーススタディをいくつか実施しました。
GenAI関連のドメイン登録
Palo Altoの調査によると、 2022年11月以降、毎日およそ 225 GenAI-related 件のドメインが登録されていることが確認されました。 新規登録ドメイン（NRD）のすべてが悪意のあるものや不審なものというわけではありませんので、パロアルト社は両者を区別できるよう最善を尽くしています。 「不審」カテゴリに分類されるドメインには、 C2、ランサムウェア、マルウェア、 フィッシング、、およびグレイウェアに使用されるものが含まれます。
登録されているドメインを詳しく調査したところ、パロアルト社はいくつかのテキスト上のパターンを発見しました。 彼らはこれらのパターンをキーワードに基づいて分類したところ、ドメインの 72％以上が、人気のあるAIアプリに関連するキーワードを使用していることがわかりました。 最も乱用されたキーワードは、圧倒的に「gpt」でした。
GenAIに関連するDNSトラフィック
パロアルト社も、その影響を把握するために、これらのドメインへのトラフィックを調査しました。 調査の結果、GenAIに関連するトラフィック全体には概ね増加傾向が見られ、その 35％が不審なドメインに向けられているようです。
ネットワークの不正利用に関する事例研究
パロアルト社は、脅威アクターが、これら新たに登録されたドメインを通じて、GenAIに対する一般的な関心を悪用しうるさまざまな手法について概説しました。
その方法の一つは、潜在的に望ましくないプログラム（PUP）の配布を通じて行われます。 あるキャンペーンにおいて、パロアルトは「chatgpt」という単語を含む 13 件の登録済みドメインを確認しましたが、それらはすべて同様の命名パターンに従っていました。 このドメインにアクセスしたユーザーは、プロキシサービスにリダイレクトされ、利用を続けるためには登録とクレジットの購入が必要であると求められました。
これらのドメインは、一般的なスパム配信や、収益化を目的としたドメインパーキングにも利用されています。 収益化されたドメインパーキングでは、攻撃者は、人気が出てトラフィックを生み出すと見込まれるドメインを登録します。 その後、彼らはそれらのドメインを、収益化されたパーキングプラットフォームに紐付けます。 これにより、訪問のたびに収益につながります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターは、トレンドとなっている話題を巡って攻撃を仕掛けることで知られていますが、汎用AIがその最新の例です。 AIやLLMというテーマが進化し続けるにつれ、この傾向は今後も続くものと見られます。
パロアルト社は、「これらの新規ドメインのうち、不審なものが占める割合が高いことは、GenAI関連のキーワードを悪用したネットワーク攻撃に対して、予防的な検知を行う必要性を浮き彫りにしています」と指摘しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
