今週のまとめ：一部の攻撃者が、被害者が漏洩したデータをより見つけやすくする検索機能を実装し、それを恐喝の手段として利用しています。 さらに、中国が関与しているとみられるAPT攻撃が、ロシアを標的とするケースが増加しています。 また、QBot攻撃の急増は、長年にわたり活動しているマルウェアの開発者や運営者による機能の改良や新たな攻撃手法の導入に起因していると考えられています。
1. ランサムウェア集団は、現在、盗んだデータを検索できるようにしています
2つのランサムウェアグループと1つのデータ恐喝グループが、攻撃者によって盗み出されたデータが公開されるのを防ぐため、被害者に身代金の支払いを強要する新たな戦略を採用しています。
これらのグループは、データ漏洩サイトに検索機能を追加しました。これにより、被害者やそのパートナー、顧客、株主は、漏洩したデータに自社の事業や関係に関する機密情報や不利益となる情報が含まれているかどうかを、より容易に確認できるようになりました。
、BleepingComputer （新しいタブで開きます）、、 によると、ALPHV/BlackCat ランサムウェアの活動がこの傾向の端緒となった可能性があります。 先週、彼らは、未払いの被害者から盗まれたデータを含む、検索可能なデータベースを公開しました。
ランサムウェア集団が、盗んだデータの検索機能を公開しました - @Ionut_Ilascu bleepingcomputer.com/news/security/…
このランサムウェア集団は、リポジトリのインデックス作成を行っていることを明らかにしました。また、ユーザーがファイル名や、文書や画像に含まれていることが分かっている内容に基づいて情報を検索する場合、検索機能が最も効果的に機能することを親切にも示唆しています。 結果は、BlackCatのリークサイトにある「コレクション」機能から抽出されたものです。 また、この機能の精度に関してはまだ改善の余地がありますが、この機能は、脅威アクターによる恐喝の手法の紛れもない進化であると言えます。
恐喝行為の成功の大部分が、被害者にどれだけの圧力をかけられるかにかかっている場合、盗んだデータの内容を検索する能力は、こうした犯行グループのツールキットにとってかけがえのない武器となります。 この導入しやすい機能は、データの削除と引き換えに被害者に支払いを迫ろうとする恐喝型のグループにとって、重要な手段となる可能性が高い一方で、被害者にとっては、集団訴訟やデータ保護規制当局からの多額の罰金といったさらなるトラブルを回避できる可能性もあります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ここで目撃されているのは、身代金要求に応じるよう被害者への圧力を強め、それによって支払いが成立する可能性や頻度を高めようとする、恐喝型のサイバー犯罪者たちが用いる手口の、さらなる自然な進化です。」 「ダブル・エクソート」という手口が登場した際にも同様の事態が見られ、さらに、金銭を目的とするサイバー犯罪者たちによる「トリプル・エクソート」という手口の採用も、やはり避けられない流れとして現れました。
このような一見些細な戦術の導入が、前述の脅威アクターたちにとって、また、今後同業他社に遅れを取らないようこの検索機能を採用するであろう他の脅威アクターたちにとって、果たして成功をもたらすかどうかはまだ未知数です。 明らかなのは、この戦術には多額の投資を必要としないという点です。したがって、もしこれが成功すれば、さまざまなサイバー恐喝グループが運営するデータ流出サイトにとって、魅力的なアップデートとなることは間違いありません。
2。 分析によると、中国政府と関係のあるハッカーが、ロシアを標的とするケースが増えているようです
SentinelOneのシニア脅威研究者であるトム・ヘーゲル氏によると、 中国政府とつながりがある国家支援型ハッカー集団 (新しいタブで開きます) が、ロシアの組織を標的とする頻度を高めているようです。 現在進行中の活動の背後にある動機はスパイ活動に関連するものであり、その標的の選定からも明らかです。これは、「政府、重要インフラ、その他の民間企業を含む北東アジア」に強い「関心」を抱く、国家の支援を受けたサイバー脅威アクターによるものであることを示唆しています。
の最新記事 @LabsSentinel が公開され、最近の中国のAPT活動を特集しています。 注目ポイント： 🟣 ロイヤル・ロード・マルドックス > RATs（バイソナル） 🟣 RU／PKの標的（政府機関および重要インフラ） 🟣 注目すべき事業転換の機会
🇨🇳 に新着情報 #SentinelLabs! 中国と関連があるとされるフィッシング攻撃では、スパイ活動を目的として特別に設計されたマルウェアを用いて、ロシアの標的を侵害しようとしています。 @TomHegel による調査 sentinelone.com/labs/targets-o… cc: @LabsSentinel#ロシア#中国#サイバーセキュリティ#サイバー諜報#調査#
諜報ヘーゲルの分析によれば、ロシアの標的に対する攻撃は、高い確信度をもって、中国政府が支援するサイバー諜報グループによるものとされています。 同様の結論は、最近発行された ウクライナCERT（CERT-UA）の警報 （新しいタブで開きます） でも示されています。 この攻撃では、「 」を装ったフィッシングメール（ ）を利用して、Microsoft Office（MS Word）文書を送りつけ、標的を悪用し、最終的には選択したリモートアクセス型トロイの木馬（RAT）を仕込みます。このRATは「Bisonal」であるようであり、これは中国の脅威アクターに特有のRATです。 Bisonalは、ロシア、日本、および北アジアの防衛関連企業 （新しいタブで開きます） を標的とした のスパイ活動において、長年にわたり使用されてきました。また、最近ではパキスタンの通信機関に対する攻撃にも利用されています。
SentinelOneによると、ロシア・ウクライナ紛争の勃発以降、中国によるロシアを標的とした最近の諜報活動は、 、Scarab （新しいタブで開きます）、、、 、Mustang Panda （新しいタブで開きます）、、、 、Space Pirates （新しいタブで開きます）、、、そして本稿で説明する活動など、複数のキャンペーンに見られます。SentinelOneは、これが別の中国による攻撃キャンペーンであると考えています。しかし、Hegelは、現時点では特定の攻撃主体の特定は不可能であることを認めています。 Bisonal RATの使用が、SentinelOneの研究者がこの活動の犯行主体を特定する際に困難に直面した一因となっている可能性が高いと考えられます。 中国のAPTグループは、ツールや手法を共有することで悪名高く、そのマルウェアは、これまでさまざまな時期に、中国が支援する幅広い脅威アクターによって悪用されてきました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「中国は最近、サイバー分野において多くの重要な動きを見せています。」 CTIが最近報じた通り（ （新しいタブで開きます））、中国共産党（CCP）とその厳格に統制された政府――中国国家安全部（MSS）や中国人民解放軍（PLA）に所属し、豊富なリソースを擁する数多くのAPTグループを含みます――は、世界唯一の超大国となることを目指して、公然と長期的なキャンペーンを展開しています。 これには、中国の「国家全体」戦略の実施が含まれます。これは、中国の世界的な地位を高めるべく、欧米諸国から「世界をリードする専門知識、技術、研究、および商業上の優位性」を盗み出すための全国的な作戦に付けられた、耳障りの良い名称です。
中国は、米国やその同盟国の利益を必ずしも最優先に考えているわけではありません。 しかし、ここ10年近く、中国のサイバー活動や攻撃能力の増強を注視してきた観察者の立場から言えば、大きな変化が訪れようとしていると、どうしても感じてしまいます。 このことは、CISA、CERT-UA、 MI5、およびFBIによる中国関連の警告が増加していることからも明らかです。
こうした状況を踏まえ、CTIでは、中国の国家と結びついた脅威アクターを起源とするサイバー攻撃（おそらくサプライチェーン型攻撃や、MSP／ISP／通信事業者に対する攻撃という形をとるもの）が今後急増すると予測しており、これに対し積極的な対策を講じております。」
3。 Qakbotマルウェア攻撃の増加は、脅威の手法の進化に起因していることが判明しました
Zscalerの 傘下のセキュリティ研究チーム「Threatlabz」による最近の報告 （新しいタブで開きます） によると、過去6か月間でQakbot（別名QBot）マルウェアの拡散が著しく増加していることが明らかになりました。研究者らは、この増加の原因として、新たな攻撃手法やマルウェアの機能強化を挙げています。
QBotは過去 14 年間にわたり、依然として広範な脅威であり続けています。これは、持続力の低いマルウェアファミリーや脅威アクターが定期的に出現・消滅・名称変更を繰り返すなど、絶えず変化し続けるサイバー脅威の情勢を背景に、類を見ないほどの長寿ぶりを示していると言えます。
QBotがもたらす脅威は、そのモジュール式の構造に加え、情報を窃取し、次の段階のペイロードを展開する能力に大きく起因しています。このペイロードは、多くの場合ランサムウェアという形をとりますが、これはQBotが、この分野で最も悪名高い恐喝グループの数々と、利益の多い提携関係を維持しようとしているためです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「QBotが10年以上にわたって存続し、かつてないほど勢いを増している（その証拠として、TTPの進化、継続的なコード開発、そして脅威情勢において最も危険なランサムウェア組織との提携が拡大していることが挙げられます）という事実は、それ自体がすべてを物語っています。」 これは、当初から重大な脅威と見なされてきたマルウェア活動であり、そのように扱う必要があります。 「私たちが知っており、恐れを抱いている多くのランサムウェアグループは、QBotや、ドメイン全体への急速なランサムウェア感染を可能にするその他のトップクラスのマルウェアファミリーといった『前段階』となるマルウェアに依存していなければ、その影響力は半分にも満たなかったであろう可能性が非常に高いのです。場合によっては、わずか数時間のうちにドメイン全体のシステムを暗号化してしまうこともあります。」
関連資料：『IT攻撃対象領域の保護』電子書籍
今日、あらゆる企業が、危険かつ絶えず変化し続けるサイバー脅威のリスクにさらされています。 CIOは、機密データがサイバー犯罪者の手に渡らないようにするために、ツール、プロセス、そして人材を必要としています。 しかし、デジタルトランスフォーメーションを推進しながら、ITの攻撃対象領域をどのように保護すればよいのでしょうか？ その答えは、無料の電子書籍『 』（新しいタブで開きます）でご確認ください。。
当社の最新のセキュリティまとめをご覧ください
7月 12号： 高まる中国の脅威、Brute Ratel C4、およびNPMソフトウェアのサプライチェーン攻撃 （新しいタブで開きます）
7月 7号： 中国のAPTに関する最新情報、マレーシアのDragonForce、およびLinuxを標的としたマルウェアについて （新しいタブで開きます）
