今週のまとめのトップは、情報窃取型マルウェアについて、そしてそれらが認証情報の取引やランサムウェア攻撃にどのように関与しているかについてご紹介します。 続いて、Tanium CTIチームが、Googleから提供された最新のゼロデイ攻撃に関するデータを分析します。 最後に、チームは「Gremlin Stealer」と呼ばれる新しい情報窃取型マルウェアの概要を紹介して締めくくりました。
情報窃取型マルウェアが企業のセキュリティを脅かしています
KELAは、情報窃取型マルウェアに関する調査、それが認証情報の取引をどのように促進しているか、そしてランサムウェア攻撃をどのように可能にしているかについてまとめた報告書『 』（新しいタブで開きます） を発表しました。
主な調査結果のうち、企業の認証情報を取り扱う市場は、現在、脅威の状況やサイバー犯罪のエコシステムにおいて、かなりの割合を占めるようになっています。 企業の認証情報は、さらなる攻撃を可能にするため、脅威アクターにとって非常に価値の高い資産となっています。
認証情報はさまざまな方法で盗まれる可能性がありますが、情報窃取型マルウェアは依然として非常に一般的な手口となっています。 これは、認証情報を大規模に盗み出すことが可能であり、また、多くの場合、容易に入手できるため、さまざまなスキルレベルの攻撃者でも利用しやすくなっているからです。
認証情報の流用による攻撃の変遷
KELAは、資格情報の盗難がますます巧妙化・商業化していることに注目しています。
従来、サイバー犯罪のフォーラムは、不正入手をされた認証情報を購入するための主な手段でしたが、現在では新たなルートが登場しています。 その一例として、購入者が盗まれた認証情報を格納したデータベースを検索できる「自動取引市場」が挙げられます。
また、情報窃取型マルウェアや不正に取得された認証情報を拡散するために、サブスクリプション型モデルがますます利用されるようになっています。 現在、サイバー攻撃者は、不正アクセスされた認証情報サービスの定期購読プランを提供しており、購読者は盗まれた認証情報にアクセスできるようになっています。
脅威アクターは、どのような従業員を最も標的にしているのでしょうか？
KELAは、感染した端末や不正アクセスを受けた認証情報の収集データについて追加調査を行い、最もリスクの高い個人を特定しました。 プロジェクト管理部門が最も大きな影響を受けた部門であることが判明し、次いでコンサルティング部門、ソフトウェア開発部門が続きました。 これらの従業員が最も標的とされた国はブラジルで、次いでインド、米国、スペインの順でした。
KELAはまた、最も標的とされたセクターについても調査を行い、 の調査によると、テクノロジー分野 がリストのトップを占め、事例の14％を占めていることが判明しました。 続いて、ITサービス、ITコンサルティング、および の製造が挙げられます。
ランサムウェアグループは、有効なアカウントをどのように利用しているのでしょうか？
ランサムウェアグループは、攻撃の初期アクセス手段として、有効なアカウントや盗まれた認証情報をよく利用します。 KELAは、「Play」、「Akira」、「Rhysida」といったランサムウェアグループの被害者を調査し、それらの被害者を、自社の侵害されたアカウントのデータレイクと照合しました。 これにより、彼らはどの被害者のアカウントが情報窃取型マルウェアによって侵害されたかを確認することができました。
KELAは、VPN、RMM、およびActive Directoryに関連するアカウントを特に探していました。これらは最も需要が高いからです。 彼らは、攻撃の犯行声明が出る5日から 95 日前に、自身の認証情報が流出した複数のランサムウェア被害者を特定しました。
[関連記事：Active Directoryのセキュリティとは？ リスクとベストプラクティス]
これらの認証情報が攻撃に使用されたかどうかは確認されていませんが、KELAは、「これらは組織にとって重大な脅威となります。なぜなら、脅威アクターによって悪用され、組織へのアクセス権を取得し、それを利用してランサムウェア攻撃などの攻撃を実行される可能性があるからです」と述べています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
KELAの調査では、情報窃取型マルウェアの危険性と、それが脅威の全体像にどのような影響を与えているかが浮き彫りにされています。
特筆すべき点として、この報告書では、認証情報の盗難の標的となりやすい従業員が誰であるかが明らかにされています。 プロジェクトマネジメントは全体として最も採用対象となった職種でしたが、特にテクノロジー分野においては、ソフトウェア開発が最も採用対象となった職種でした。
これは、他の職種がこの脅威から完全に免れていることを意味するわけではありません。 しかし、これにより、攻撃者が認証情報の窃取において、より標的を絞った手法を用いる可能性があることが示唆されます。
Googleは、 2024件のうち 75 件のゼロデイ攻撃を確認しました。
Googleの脅威インテリジェンスグループ （新しいタブで開きます） は、 2024件の攻撃で悪用された 75 件のゼロデイ脆弱性を追跡しました。
これは、Googleが 2023年に追跡した 98 件の脆弱性よりも少ないですが、Googleが2022年に発見した件数よりはわずかに多いものです。
また、Googleの調査によると、企業のテクノロジーに影響を与えたゼロデイ攻撃の件数は、昨年は 44％と、 2023年のわずか 37％に比べてわずかに増加したことが判明しました。
エンドユーザー向けのプラットフォームおよび製品を対象としています
昨年のゼロデイ攻撃の56％は、エンドユーザー向けのプラットフォームや製品を標的としていました。 このカテゴリに含まれる脆弱性には、ブラウザ、モバイル端末、およびデスクトップOSを悪用するために利用されるものが含まれます。
ブラウザやモバイル端末に対するゼロデイ攻撃 は、大幅に減少しました。 しかし、オペレーティングシステムを標的としたゼロデイ攻撃の件数は増加しており、中でもWindowsが最も標的とされました。
また、Googleは、複数のゼロデイ脆弱性を組み合わせたエクスプロイトチェーンが、モバイルデバイスを標的とする攻撃で最も頻繁に利用されていたと指摘しています。
脆弱なエンタープライズ技術の役割
2024年には、主に企業やビジネス環境で利用されているエンタープライズ向け製品において、33 件のゼロデイ脆弱性が悪用されました。
企業向けの技術的脆弱性のうち、 20 件はセキュリティおよびネットワーク製品を対象としたものでした。 概して、Googleではここ数年、標的とされているエンタープライズベンダーの数が増加しており、昨年はゼロデイ攻撃の標的となったエンタープライズベンダーを 18 社特定しました。
ベンダーによる搾取
2024件のゼロデイ攻撃の影響を受けたベンダーのうち、マイクロソフトとグーグルが上位2社でした。 Ivantiは3位に躍進した一方、Appleは4位に後退しました。
ゼロデイ攻撃の背後にいる脅威アクターは誰なのでしょうか？
Googleの調査によると、昨年は複数の脅威グループがゼロデイ攻撃に関与していたことが判明しました。
最も大きなグループは国家が支援するスパイ活動を行う主体であり、攻撃の 29.4％を占めていました。 このグループの中では、中華人民共和国（PRC）に関連する主体が最大の貢献者でした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ゼロデイ攻撃は、依然として脅威アクターにとって重要な標的となっています。 ゼロデイ攻撃の総数は前年と比べてわずかに減少しましたが、その傾向には変化が見られます。
Googleの分析は、こうした変化する傾向について有益な知見を提供しています。 Googleのレポートから得られる最大の知見の一つは、企業向け技術の悪用に対する関心が高まっていることであり、ゼロデイ脆弱性は 2023 件から2024件へと 7％増加しました。 Googleが指摘しているように、これは「主に、セキュリティおよびネットワーク関連のソフトウェアや機器に対する攻撃の増加によって引き起こされている」とのことです。
[関連記事：ゼロデイリスクを特定・封じ込め・是正し、 30 分で通常の業務に戻る方法]
「グレムリン・スティーラー」が地下フォーラムに登場しました
Palo Altoは、 （新しいタブで開きます） において、「Gremlin Stealer」と呼ばれる新たな情報窃取型マルウェアを特定しました。このマルウェアは現在、「CoderSharp」というTelegramチャンネルを通じて拡散されています。
「Gremlin Stealer」は、クッキー、パスワード、仮想通貨、コンピュータ情報、ファイル、スクリーンショットなど、さまざまなデータを盗み出すことができます。
盗まれたデータはどうなるのでしょうか？
「Gremlin Stealer」の開発者とされる人物が、最近、盗んだ大量のデータを同サーバーにアップロードしたと主張しました。
Palo Alto社は、このサーバーがマルウェアを伴う設定可能なポータルであると判断しています。 「Gremlin Stealer」のサイトには 14 個のファイルが表示されており、それぞれが被害者から盗まれたデータのアーカイブであると言われています。
Gremlin Stealerはどのように機能するのでしょうか？
パロアルトは、 2025年3月 以来、このマルウェアを綿密に監視しており、その主な機能の一覧をまとめました：
- クッキーの回避 v20： Gremlin Stealer は、多くの情報窃取型マルウェアが使用する一般的な手法を用いて、Chrome のクッキー v20 保護機能を回避することができます。 Palo Altoによると、 Googleはこの機能を無効にするため、 いくつかの変更を加えました。
- スキャン対象のブラウザ： Gremlin Stealerは、ChromeベースおよびGeckoベースのブラウザからCookieや保存されたパスワードを検出し、そのデータをファイルに書き出して外部へ流出させます。
- 暗号資産ウォレットの確認： 多くの情報窃取型マルウェアと同様に、Gremlin Stealer はデバイス上のさまざまな暗号資産ウォレットを検出し、関連するファイルを盗み出します。
- FTP/VPNの認証情報の窃取： このマルウェアは、認証情報窃取機能を使用して、FTPのユーザー名とパスワードを窃取しようとします。 また、VPNの認証情報も標的としています。
- セッションデータの収集： このマルウェアは、TelegramおよびDiscordからデータやセッション情報を収集しようとします。 情報窃取型マルウェアでは、このようなケースはあまり見られません。
- システム情報の取得： 他の多くのマルウェアファミリーと同様、このマルウェアも、ユーザー名、クリップボードのデータ、ハードウェアIDなど、感染したシステムに関する情報を収集します。
- クレジットカード情報の盗難： 「Gremlin Stealer」は、クレジットカード情報も盗み出す可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
『グレムリン・スティーラー』は、まだ登場して間もない作品です。 とはいえ、この製品には数多くの機能が搭載されています。
「Gremlin Stealer」が他の人気のある情報窃取型マルウェアと同様に広まるかどうかはまだ定かではありませんが、現在、情報窃取型マルウェアは大きな注目を集めており、この脅威には引き続き注視しておく価値があります。
より技術的な詳細については、 Palo Altoが、Gremlin Stealerのコードについて、そのさまざまな機能ごとに （新しいタブで開きます） のスニペットを公開しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
