今週のまとめでは、CTIがここ数ヶ月間で注目を集めているサイバー脅威のいくつかを改めて取り上げます。 まずは、FBIによる最近のQakbotマルウェアの摘発の概要をご紹介し、続いて、新たな攻撃ベクトルとして台頭している の機械学習モデル について見ていきます。 また、ESXiArgs、Bumblebee、Andarielおよび APT29 グループに関する最新情報や、ランサムウェアの現状についても掲載されています。
1. FBIがQakbotボットネットを摘発しました
2022年12月において、CTIは、主に米国に拠点を置く企業の顧客環境において、Qakbotの感染 が増加傾向にあることについて警告しました 。
当時、研究者たちはこの増加を、 2022年4月に登場した比較的新しいランサムウェアグループ「Black Basta」による大規模なランサムウェア攻撃のせいだと指摘していました。 当時、Black BastaはQakbotを利用して、標的となったネットワークに侵入し、その内部を横方向に移動していました。
Qakbot（Quackbot、Qbot、Pinkslipbot、 TA570 などの別名でも知られています）は、最も悪名高いボットネットの一つであり、世界中で数千件ものマルウェア感染を引き起こしています。 これは 2008年に初めて発見され、最も長く活動しているボットネットの一つとなっています。
「ダックハント作戦」は成功しました
8月下旬、世界的な法執行機関による共同作戦により、Qakbotボットネットの解体に成功しました。 「 （オペレーション・ダックハント）」 （新しいタブで開きます） と名付けられたこの作戦は、これまでのところ、米国主導による最大規模の資金凍結およびボットネット対策であると言われています。
「オペレーション・ダックハント」では、トラフィックを政府が管理するサーバーへ迂回させ、捜査官がボットネットを制御できるようにしました。 FBIは、Qakbotに感染した端末に対し、独自のアンインストーラーをダウンロードするよう指示しました。これにより、被害端末を隔離し、さらなるマルウェアのインストールを防ぐことができました。
Security Boulevardによると、 のQakbot摘発作戦におけるFBIの戦略 (新しいタブで開きます) は、「ハッキング・バック」と非常に似通っているとのことです。これは、リモートシステム上でコマンドを実行することに伴う潜在的なリスクがあるため、当局が通常、組織に対して試みることを控えるよう勧告している戦術です。
During the operation, the FBI and its international partners seized Qakbot’s infrastructure in Europe and the U.S. The U.S. Department of Justice also took over $8.6 million in stolen cryptocurrency from the Qakbot group. この捜査により、Qakbotに感染した端末が約 700,000 台確認され、そのうち200,000 台以上が米国で発見されました。しかし、FBIは、Qakbotの被害者が数百万人に上る可能性があると見ています。
FBIはQakbotに大きな打撃を与えましたが、このボットネットが再び活動を再開する可能性は残されていました。 この摘発以来、Qakbotと関連する脅威アクターは、 、 （新しいタブで開きます）、、 といったサイトを通じて、Ransom KnightランサムウェアやRemcosマルウェアを配布していることが確認されています。 脅威アクターはQakbot自体を配布してはいませんが、依然として活動を続けており、Qakbotのインフラを再構築する可能性もあります。
CTIは、今後の展開について引き続き状況を注視してまいります。
2。 機械学習：新たな攻撃経路
この1年で、高性能なAIや機械学習（ML）を活用したチャットサービスが爆発的に増加しました。そして、これはこれから起こる変化のほんの始まりに過ぎません。 ガートナーの最近の調査によると、現在、 70％の組織が の生成AIに関する研究・調査の「探索」段階にあることが明らかになりました。 （新しいタブで開きます）
OpenAIの「 GPT-3.5 」および「GPT-4」モデルを採用しているChatGPTは、その汎用性と使いやすさから、依然として市場で最も人気のあるAIツールの一つとなっています。 OpenAIが「ChatGPT Enterprise」を発表しました。同社によれば、これはChatGPTのこれまでのバージョンの中で最も高性能なものであり、今後数ヶ月のうちに企業での導入がさらに拡大する可能性があります。 ChatGPT Enterprise (新しいタブで開きます) には、エンタープライズレベルのセキュリティとプライバシー機能も備わっています。
他にも知っておくとよいAIチャットボットとしては、次のようなものがあります：
- OpenAIのGPT-4モデルを採用した「Bing Chat」です。 新しいBingはインターネットに接続でき、検索エンジンのように機能します。
- Google Bard は、PaLM 2 および LaMDA の軽量版を基盤としています。
- Anthropic社が開発し、Constitutional AIを基盤とするLLM「Claude」です。
- Perplexity AIのは、GPT-3およびGPT-4を基盤とする、インターネット接続型のチャットボットです。
- Jasper は、 GPT-3.5 を基盤とした人気のライティングチャットボットです。
機械学習をめぐる、現在も続くサイバーセキュリティに関する議論
2022年後半にChatGPTが登場したことを受けてCTIが指摘したように、 のセキュリティコミュニティ（ ）では、サイバーセキュリティにおける機械学習（ML）の役割について依然として意見が分かれています。 これをサイバーセキュリティの救世主と呼ぶ人もいれば、一方で、危険な新たな攻撃経路として位置づけられることに深い懸念を抱いている人もいます。
一方で、この分野における最近の進歩により、企業は新たな脅威の管理や対応をより容易に行えるようになっています。 例えば、Exabeam社は、同社の「New-Scale」セキュリティ情報イベント管理（SIEM）プラットフォームに、 の生成AI機能 (新しいタブで開きます) を追加しました。これにより、ユーザーは脅威を迅速に分類し、リスクを要約し、是正措置の推奨事項を特定できるようになりました。 現在、 をはじめ、 （新しいタブで開きます）、、 など、他にも多くの生成AIセキュリティサービスが利用可能です。これには、Google Cloud Security AI Workbench、Microsoft Security Copilot、CrowdStrike Charlotte AIなどが含まれます。
しかし、機械学習やAIには将来性が期待される一方で、これらは依然として新興技術です。 機械学習（ML）ベースのアラートシステムでは、過剰な誤検知や通知が発生することが多く、インシデント対応担当者にとって課題となっています。 さらに、これらのアラートの意味や重要性を解釈するのは難しい場合があります。
さらに、サイバー犯罪者は、データポイズニング、モデルの盗用、サプライチェーンの侵害、AIバックドアといった手口を用いて、AIモデルを標的とするケースがますます増えています。 (新しいタブで開きます) 過去1年間に、約 20％の企業が のAIモデルへの攻撃 やセキュリティ侵害の事案を経験しており、一方で、セキュリティ担当者の 49％が、脅威アクターがセキュリティ対策を回避するためにAIやMLモデルを改ざんすることを懸念しています。
こうした点を踏まえ、企業やセキュリティの専門家は、AIやMLの導入を検討するとともに、その導入にあたっては慎重かつ戦略的なアプローチが必要であることを認識すべきです。
NSAが新たなAIセキュリティセンターの設立を発表しました
9月28日において、国家安全保障局（NSA）は、米国の国家安全保障システムにおけるAI機能の開発と統合を監督する新たなAIセキュリティセンターの設立を発表しました。
米国防総省によると、AIセキュリティセンターは、AIのベストプラクティス、評価手法、およびリスクフレームワークを策定するための中心的な役割を担うことになります。
同センターは、国家安全保障分野および防衛産業基盤全体において、新たなAI技術の安全な導入を推進してまいります。 また、同機関のAIおよびセキュリティ関連の活動を統合することになります。
3。 ESXiArgs：依然として野放し状態です
2月、CTIは、急速に拡大している「 ESXiArgs」（ ）というランサムウェア攻撃について警鐘を鳴らしました。 当時、攻撃者たちはVMware ESXiサーバー、とりわけパッチが適用されておらず、 CVE-2021-21974の脆弱性に対して無防備なサーバーを積極的に標的にしていました。
2月中旬までに、 のESXiArgs亜種（ （新しいタブで開きます））により、 500 台以上のホストが侵害されました。被害の多くはフランス、オランダ、ドイツ、英国、ウクライナで発生しています。
ESXiARGSの最新情報は何でしょうか？
ESXiArgsは現在も活動しており、拡散を続けていますので、引き続き注視しておく必要があります。 ESXiサーバーにパッチを適用していない企業は、被害に遭うリスクが依然として残っています。
VMwareは、公表されたすべての脆弱性に対処するため、vSphereのコンポーネント（ ）を、サポート対象の最新リリースである （新しいタブで開きます） にアップグレードするよう、お客様にお勧めしています。 また、VMwareでは、ESXiでOpenSLPサービスを無効にすることを推奨しています。
4。 「バンブルビー」マルウェアが、2か月の休止期間を経て再び出現しました
5月、CTIは、Google Adsを通じて新たな 「Bumblebee」マルウェアが拡散していることを警告しました。。 攻撃者は、Google Adsを利用して、人気アプリのインストーラーにトロイの木馬を仕込んだバージョンを宣伝し、被害者に「Bumblebee」マルウェアローダーを配布しています。
Contiチームは、おそらくBazarLoaderバックドアに代わるものとしてBumblebeeを開発し、これにより、脅威アクターがネットワークにアクセスしたり、ランサムウェアやその他の二次ペイロードを拡散したりすることを容易にしたと考えられます。 最近のキャンペーンでは、企業を標的としたマルウェア「Bumblebee」がGoogle Adsを通じて拡散されており、SEOポイズニングの手法を用いて、Zoom、Citrix Workspace、Cisco AnyConnectなどの人気ソフトウェアを簡単にダウンロードしたいと考えるユーザーを惹きつけるようなプロモーションが作成されています。
バンブルビーの最新のキャンペーン
夏の休止期間を経て、バンブルビーは9月、新たな配信手法を取り入れたキャンペーンで復帰しました。
Bleeping Computerによると、Bumblebeeは現在、 4shared 件のWebDAVサービス（ （新しいタブで開きます）、、）を悪用しています。 WebDAVはHTTPプロトコルの拡張機能であり、クライアントがWebサーバー上のコンテンツの作成、アクセス、更新、削除といったリモート編集操作を実行できるようにするものです。
Bleeping Computerの報道によると、最新の「Bumblebee」キャンペーンは、スキャン画像や請求書、通知を装ったスパムメールを利用しているとのことです。 このキャンペーンは、受信者に悪意のある添付ファイルをダウンロードさせることを狙っています。 添付ファイルのほとんどは、Windowsのショートカット（LNK）ファイルです。 ただし、LNKファイルが含まれているZIPアーカイブもいくつか存在します。つまり、Bumblebeeの運営者は、最適な手法を見つけるために試行錯誤している可能性が高いということです。
また、アナリストたちは、このキャンペーンにおいて、「Bumblebee」マルウェアローダーの更新版を発見しました。 ローダーは、 C2 番の通信において、WebSocketプロトコルからTCPに切り替わりました。 さらに、新しいローダーでは、 C2 というハードコードされたアドレスが使用されなくなりました。 その代わりに、ドメイン生成アルゴリズムを使用して、実行後に「.life」というTLD空間上に 100 個のドメインを作成します。
Bleeping Computerより：
ドメインは64ビットの静的シード値を使用して生成され、Bumblebeeは、作成されたリストを順に確認し、アクティブな C2 サーバーのIPアドレスに解決されるドメインが見つかるまで、そのリストを順に試していきます。
Bumblebeeはこれまで、ContiやAkiraなどのランサムウェアのペイロード配布に関与してきた経緯があるため、より効率的で検知されにくい配布経路を採用していることは、懸念すべき動向です。
また、DGAを採用することで、バンブルビーのインフラストラクチャの特定やドメインのブロック、およびその運用への重大な妨害が困難になり、マルウェアローダーに対する予防措置の実施がさらに複雑化します。
5。 Andarielは、攻撃において数多くのマルウェアの亜種を投入しています
7月のCTI最新情報では、北朝鮮の支援を受けている脅威アクター「 Andariel」（ ）が、Log4j の脆弱性を悪用した一連のサイバー攻撃のうち2022 件において、EarlyRatマルウェアを展開した経緯が説明されました。
アンダリエル（別名「サイレント・チョリマ」および「ストーンフライ」）は、北朝鮮のAPT攻撃グループ「ラザロ・グループ」のサブグループです。 このグループは、北朝鮮にとって戦略的に重要な外国の政府機関や軍事組織を標的としたサイバー諜報活動を日常的に行っています。 アンダリエルは、主に収益を生み出し、北朝鮮政府の軍事作戦を支援しています。
アンダリエルの主な標的には、金融機関、防衛関連企業、大学、政府機関、エネルギー企業、およびサイバーセキュリティベンダーが含まれます。
研究者らが、アンダリエルに関する新たな警告を発表しました
最近、Andarielが、標的型組織に対する サイバー攻撃において、さまざまな悪意のあるツールや手口を使用していることが確認されました。 （新しいタブで開きます）
例えば、このグループは、スピアフィッシング、サプライチェーン攻撃、ウォーターホール攻撃などを利用して、ペイロードを仕掛けています。 また、Andarielは、 Gh0st RAT、NukeSped、DTrack、YamaBot、Phandoor、Rifdoor、Andarat、TigerRAT（その後継であるMagicRATを含む）、およびAndaratmといったマルウェアファミリーを組み合わせて使用しています。 さらに、このグループは「Black RAT」、「Goat RAT」、「AndarLoader」、「DurianBeacon」といった新しい亜種を使用しています。 Black RATとGoat RATはGo言語で記述されていますが、AndarLoaderは.NETで記述されています。 DurianBeaconでは、GoとRustを使用しています。
AhnLabセキュリティ緊急対応センター（ASEC）より：
Andarielグループは、KimsukyやLazarusと並んで、韓国を標的とする非常に活発な脅威グループの一つです。 このグループは当初、国家安全保障に関する情報を入手するために攻撃を行っていましたが、現在は金銭的な利益を得るために攻撃を行っています。
Andarielによる最新の攻撃活動について詳しく知りたい方は、 ASECの完全なレポート「 」（新しいタブで開きます） をご覧ください。
6。 ランサムウェアは依然として企業にとって最大の脅威の一つです
CTIは7月の報告書で、ランサムウェア「 」による攻撃や支払いが急増している実態を明らかにしました 。研究者たちは、金額の大小を問わず、支払いが成立した件数が全体的に増加していることを確認しています。 Chainalysisによると、ランサムウェアはこれまでの記録を更新する勢いです。
、BleepingComputer （新しいタブで開きます）、、 より：
Ransomware is the one form of cryptocurrency-based crime on the rise so far in 2023,” reads the Chainalysis report. “In fact, ransomware attackers are on pace for their second-biggest year ever, having extorted at least $449.1 million through June.
ランサムウェアの被害はますます拡大しています
サイバー保険プロバイダーのCoalitionの調査によると、 のランサムウェアの身代金支払額 （新しいタブで開きます） は、 2023年に前年比 12％増加しました。
ランサムウェアによる請求は現在、全保険金請求の約5分の1を占めており、保険金請求において最も大きな要因となっています。 また、 2023年の上半期には、ランサムウェアによる被害報告も 27％増加しました。 今年上半期、保険金支払額は 42％増加し、保険金請求者1人あたりの平均損害額は115,000ドルを超えました。
以下に、最近注目すべきランサムウェア攻撃をいくつかご紹介します：
- ジョンソン・コントロールズ (新しいタブで開きます) は最近、深刻なサイバー攻撃を受け、ランサムウェアグループ「ダーク・エンジェルズ」によって 27 TBの情報が盗み出されました。
- 「 」によるランサムウェア攻撃を受け、数千人の患者の個人情報が盗まれました。 （新しいタブで開きます） この攻撃により、ウォーターベリー・ヘルスやプロスペクト・メディカル・ホールディングスを含むコネチカット州の2つの病院でコンピュータが使用不能になりました。
- ウィスコンシン州ロック郡 （新しいタブで開きます） は、公衆衛生局がランサムウェア攻撃を受けたことを受け、一部のシステムを停止せざるを得なくなりました。
現在注目されているトピック：二重ランサムウェア攻撃
FBIは現在、「 」と呼ばれる二重ランサムウェア攻撃の増加傾向について警告を発しています。 （新しいタブで開きます）。この手口では、攻撃者が数時間から数日間の間隔を空けて、別々の攻撃を仕掛けてきます。
『Dark Reading』より：
こうしたランサムウェア攻撃は、短期間のうちに同じ被害者を対象として発生しており、実環境では、攻撃の各段階でAvosLocker、Diamond、Hive Karakurt、LockBit、Quantum、Royalといった異なるランサムウェアの亜種が攻撃者によって展開される事例が見られます。 これらの亜種は、さまざまな組み合わせでリリースされており、最終的にはデータの暗号化、情報漏洩、および身代金要求が混在する事態を招いています。
組織は、ランサムウェアの身代金支払いに関する判断に苦慮しています
ほとんどのサイバーセキュリティの専門家は、身代金を支払うことを控えるよう勧めています。というのも、身代金を支払った企業は、その後も攻撃を受ける可能性が高くなるからです。 さらに、ランサムウェアの身代金支払いは、犯罪組織や恐喝グループを支援し、その活動を助長することにもつながります。
しかし、企業が支払いを回避できるとは限りません。 ファースト・センティエ・インベスターズのCISO、ロレイン・ドライランド氏が先ごろ「ガートナー・セキュリティ＆リスクマネジメント・サミット」で説明したように、CISOは経営陣が身代金を支払うことを阻止するのに苦労することがよくあります。
「経営幹部にそのような道を進ませようとすれば、結局は悪い結果や不愉快な経験につながるだけです。なぜなら、彼らは非常に意志の強い人々だからです――物事を避けてきたから今の地位に上り詰めたわけではなく、自ら決断を下そうとするでしょう」とドライランド氏は説明しました。
ドライランド社は、経営幹部が自らの選択に伴うリスクを算出できる、 のスコアリング・メカニズム（ （新しいタブで開きます）、、 ）の利用を推奨しています。 ただし、支払いは常に最後の手段とすべきです。
ホワイトハウスは、ランサムウェアへの支払いを禁止することを検討しています
すでにいくつかの州では、ランサムウェア攻撃の犯人に対して、管轄区域が身代金を支払うことを禁止しています。 現在、ホワイトハウスは、サイバー犯罪者の金銭的インセンティブを減らすため、ランサムウェアへの支払いを連邦レベルで禁止する措置（ ）の導入を検討しています。 （新しいタブで開きます） この政策が施行されれば、企業は暗号化されたデータを復元するためにランサムウェアの身代金を支払うことができなくなります。
支持者たちは、これにより、データ漏洩の防止や対応に向けた経営陣へのプレッシャーが高まり、サイバーセキュリティがより「共同の取り組み」となるだろうと主張しています。 しかし、 による全国的な身代金支払いの禁止措置 （新しいタブで開きます） は、中小企業の経営者に混乱を招く可能性があり、規則に違反した企業に対してサイバー犯罪者が引き続き恐喝を続ける口実を与えてしまう恐れもあります。 同時に、攻撃者は、支払わざるを得ないと感じている被害者に狙いを移す可能性があります。
現時点では、連邦政府がランサムウェアの身代金支払いを抑制する計画を推進するかどうかは不明です。 これは、今後数ヶ月間、注目すべき話題です。
7. APT29 は依然として増大しつつある脅威です
In July, CTI reported that the Russia-backed advanced persistent threat group APT29 (also known as Nobelium and Cozy Bear) is now using trusted services like Google Drive and Dropbox to evade detection, deliver malware and hacking tools, and exfiltrate data.
APT29 は、おそらくロシア対外情報局（SVR）の指示の下で活動していると思われます。 このグループの主な動機はスパイ活動であり、ロシア政府の国家方針や国益に沿うと思われる政府、軍、外交機関を標的とした、高度かつ効果的なスピアフィッシング攻撃を展開しているとされています。
このグループは、外交政策に関するフィッシングメールや文書を拡散し、被害者を偽のウェブサイトに誘導してバックドアを仕込むことで知られています。 また、研究者らは最近、このグループがBMWの自動車広告を利用して、キエフの の外交官を標的にしていることを確認しました。 （新しいタブで開きます）。
APT29の最新情報
APT29 は2023において、スパイ活動の規模と頻度を拡大しており、クレムリンはウクライナに対する「 」戦争を支援するための情報をさらに求めています。 （新しいタブで開きます）。
サイバー・リスク・アライアンスの報告によると、 APT29 は効率性を高め、検知を回避するために大幅な変更を加えたとのことです。 さらに、 APT29 は、世界中の外交機関に対する日常的なスパイ活動を強化しています。 同グループは現在、欧州各国の外務省や大使館を重点的に狙っている一方で、ロシアの世界的な国益を推進するための活動も行っています。
マンディアント社によると、 APT29 は、マイクロソフトのクラウドベースのサービス（ （新しいタブで開きます）、、 ）を標的とした初期侵入キャンペーン「」を継続しており、そのTTP（戦術・技術・手順）を進化させているとのことです。 例えば、今年、 APT29 は、侵害されたウェブサービス上で第1段階のペイロードをホストする方式へと移行しました。
「第1段階のペイロードをサーバー側に移行したことで、 APT29 はマルウェアの配信チェーンに対する制御力をさらに高めたと考えられ、また、同グループは後段階の機能の露出についてより慎重な判断を下せるようになった」と、マンディアントの研究者らは述べています。
このグループは3月、TinyURLを活用して という悪意のあるフィッシングリンクを作成し、キャンペーンに新たな隠蔽の手法を加えました。 また、研究者らは、RootsawをPDFに埋め込んだ事例を APT29 件、初めて確認しました。
APT29 は依然として野に放たれたままであり、ますます危険になってきています。 ウクライナでの戦争が激化の一途をたどる中、「 APT29 」や同様の団体が、その活動をさらに活発化させる可能性があるでしょう。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
