今週は、ランサムウェア集団の 87％が悪意のあるマクロを悪用していることを示唆する、最近の調査結果をご紹介します。 マイクロソフトの新しいマクロブロック方針が導入される前に収集されたこれらの統計は、同方針の導入後にフィッシング攻撃者がどのように対応を調整しているかを明らかにしたProofpointのレポートとは対照的です。 さらに、攻撃者たちは現在、マルウェア攻撃において「Dark Utilities C2 」というサービス型プラットフォームを利用しています。 さらに、LockBitランサムウェアはWindows Defenderを悪用してCobalt Strikeを読み込んでいます。これは、サイバー犯罪者が「リビング・オフ・ザ・ランド（LotL）」の手法をますます活用し、信頼されたツールやクラウドサービスを悪用してペイロードを保存・配信している実例の一つです。
1. ダークウェブに関する調査によると、ランサムウェア集団の 87％が悪意のあるマクロを悪用していることが示唆されています
マシンID管理企業のVenafiは、ダークウェブ上で発見されたランサムウェアの 87％が、 の悪意のあるマクロ を介して配信され、標的となったシステムに感染させていることを示唆する新たな調査結果を公表しました。
Venafiは、 2021年11月 から2022年3月にかけて実施された、犯罪情報分析プロバイダーであるForensic Pathwaysとの共同調査を通じて、この結論に達しました。 The research analyzed 35 million dark web URLs, including those belonging to hacking marketplaces and forums. 研究者らは、高度なランサムウェア製品やサービスを宣伝する 475 のウェブページを発見しました。その中には、注目を集めている複数のグループが、潜在的な提携先に向けて「ランサムウェア・アズ・ア・サービス（RaaS）」プログラムを積極的に販売しているものも含まれていました。
によるダークウェブに関する調査 @Venafi によると、ランサムウェア集団の 87％が悪意のあるマクロを悪用していることが示唆されています。 bit.ly/3bFBeUE
キーポイント
マイクロソフトは、2021年10月 および 2022年2月 の各バージョンにおいて、Office ユーザー向けに XL4 および VBA マクロをデフォルトでブロックするようになりました。 （その数週間後、このソフトウェア大手は、この人気のあるポリシーを一時的に無効にするとの発表を急きょ行いましたが、その後まもなく方針を転換し、称賛を浴びたこのポリシーを再び導入することとなりました。）
この調査の実施時期と、マイクロソフトがOffice製品のセキュリティ強化に向けた措置を講じた時期を考慮すると、Venafiの研究者たちが強調している主な発見が、「ダークウェブ上で発見されたランサムウェアの 87％が、悪意のあるマクロを利用して配布されていた」という報告であることは、さほど驚くことではありません。 とはいえ、Venafiが調査を行った時期を考えると、それほど驚くことではありません。というのも、マイクロソフトは、Venafiが調査を終えた直後の 2022 年4月から6月の間のどこかで、新しいマクロポリシーを導入したからです。 このポリシーを一時的に無効にした後も、マイクロソフトは 2022年7月において、速やかにそのポリシーを再適用しました。
実際、Venafiの「 “87％」という統計は一見すると驚異的な数字に見えるかもしれませんが、マイクロソフトがマクロブロックポリシーを導入して以来、ISOやRARなどのコンテナファイル、 Windowsショートカット（LNK）の添付ファイルなどを悪用するキャンペーンの数が、ほぼ 175％増加したことが、 のProofpointによる調査『 』（フィッシング攻撃者が「マクロ後」の世界でどのように適応してきたかに関する調査）で明らかになっています。 ヒントをひとつお伝えしましょう。彼らはうまく対応しています。コンテナファイルやその他の手法を用いて、マイクロソフトのマクロをブロックするセキュリティ機能を回避しているのです。
Venafiの調査から得られた、その他の主なポイントは以下の通りです：
- マーケットプレイスの出品情報やフォーラムの議論の中から、30 種類のランサムウェアが特定されました。
- Babuk、GoldenEye、Darkside/BlackCat、Egregor、HiddenTear、WannaCryなど、販売されている多くのランサムウェアの亜種が、注目を集めた攻撃で実際に使用され、成功を収めています。
- 注目を集めた攻撃で使用されたランサムウェアの亜種は、関連するサービスに対してより高額な料金が請求されます。 例えば、最も高額だった出品は、1,262 ドルで、カスタマイズされた「Darkside」ランサムウェアでした。これは、2021年に起きた悪名高いコロニアル・パイプラインへのランサムウェア攻撃で使用されたものです。
- 有名なランサムウェアのソースコードのリストは、一般的に高値で取引されます。 例えば、Babukのソースコードは950 ドルで、Paradiseのソースコードは593ドルで販売されています。 これは興味深いですね。というのも、によると、Babukのソースコードはとっくの昔に流出しており（）、それ以来、ダークウェブのフォーラムで入手可能になっているからです。
また、研究者たちは、経験の浅い攻撃者が高度なランサムウェア攻撃を容易に仕掛けられるようにする、多種多様なサービスやツールを明らかにしました。 掲載件数が最も多いサービスには、ソースコードを含むもの、ビルドサービス、カスタム開発サービス、およびステップバイステップのチュートリアル付きランサムウェアパッケージなどが含まれます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「本調査は、圧倒的多数のランサムウェア攻撃において、マクロが主要な攻撃手段として用いられていたある時点の状況を示しています。」 マイクロソフトがマクロをデフォルトでブロックするポリシーを導入する決定を下した具体的なきっかけは不明です。特に、フィッシングが――長年にわたり――初期感染経路の筆頭であり、悪意のあるマクロを仕込んだマイクロソフトの文書を利用したフィッシング攻撃が数え切れないほど行われていることを考えると、なおさらです。
とはいえ、この方針が打ち出された背景にある理由が何であれ、マイクロソフトが世界中の組織における攻撃対象領域を計り知れないほど縮小するための積極的な措置を講じたことは、称賛に値するでしょう。」
2。 攻撃者は、WindowsおよびLinuxシステムを標的としたマルウェア攻撃において、「Dark Utilities ‘C2aaS’ 」プラットフォームを活用しています
シスコ・タロス・インテリジェンス・チームによる最近のレポートでは、攻撃者に充実したコマンド＆コントロール（C2）機能を提供する、新しい「 」ダークユーティリティプラットフォーム（ ）について分析しています。
2022年初頭に初めて公開されて以来、研究者たちは、このプラットフォームを利用してリモートアクセスを可能にするマルウェアのサンプルが実環境で確認されていることを観察してきました。
「 」#DarkUtilities という新しい C2 プラットフォームが最近登場しましたが、攻撃者たちはこれを即座に悪用し、#malware といったキャンペーンを展開しました。 この「C2aaS」について、現時点でわかっていることは以下の通りです。 cs.co/6012z4Pns
「ダーク・ユーティリティーズ」とは何ですか？
「Dark Utilities」は、 2022 年初頭に初めて確認された新しいC2 プラットフォームであり、リモートシステムアクセス、DDoS攻撃機能、仮想通貨マイニングなど、さまざまなサービスを提供しています。
C2-as-a-service （C2aaS）プラットフォームは、攻撃者に被害者のシステム上で実行されるさまざまなペイロードを提供し、これにより攻撃者はサービスに登録して C2 チャネルを確立することができます。
Dark Utilitiesは現在、Windows、Linux、およびPythonベースのペイロードに対応しており、攻撃者が複数のプラットフォームを標的とするのがさらに容易になっています。 これは、汎用性の高いマルウェアプラットフォーム（複数のオペレーティングシステムを標的とできるもの）の方が、脅威アクターにとって魅力的であり、ダークウェブのマーケットプレイスでもより高い成果を上げていることを示す最新の調査結果とも一致しています。
現在、このプラットフォームには約 3,000 名のユーザーが登録しており、プラットフォーム、ペイロード、およびAPIエンドポイントへのアクセス権を得るために、9.99 ユーロ（10.21ドル）を支払っています。 また、このプラットフォームの運営会社は、顧客への技術サポートや支援を提供するため、DiscordやTelegramのコミュニティを開設しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この C2 プラットフォームは価格が安い上に、非常に多彩な機能を備えているため、あらゆる種類のサイバー犯罪を容易に実行する手段を求める脅威アクターにとって、Dark Utilitiesは非常に魅力的な選択肢となっています。」
この「 C2aaS 」が、わずか数ヶ月の間に3,000 人のユーザーが登録されたことから、すでにその活用状況がうかがえます。 さらに注目すべきは、このプラットフォームが、悪意のあるペイロードをホストするためにInterPlanetary File System（IPFS）を利用している点です。 CTIが以前報告したように、脅威アクターは、IPFSの分散型ピアツーピア（P2P）分散ストレージ機能を活用し、ペイロードをホストするためにIPFSのURLやインフラをますます利用するようになっています。 IPFSでは、悪意のあるコンテンツの保存や共有が容易であり、その構造上、法執行機関による妨害に対して非常に強い耐性を持っています。
CTIは、サイバー犯罪者によるIPFS関連のURLの悪用が今後もますます増加していくと見込んでいます。」
3。 LockBitランサムウェアは、Windows Defenderを悪用してCobalt Strikeを読み込んでいます
SentinelOneの新たな調査によると、 の「LockBit 3.0 」作戦（ ）では、Windows Defenderのコマンドラインツールを悪用し、侵害されたシステム上でCobalt Strikeのビーコンを復号・インストールする悪意のあるDLLをサイドロードしていることが明らかになりました。
LockBit 3.0 ランサムウェアは、、LockBit Black、とも呼ばれ、LockBitのランサムウェア・アズ・ア・サービス（RaaS）モデルの進化形です。 LockBit 3.0 は、LockBitのバージョン2.0 において 重大なバグ が発見された後、 2022年6月 頃に作成されたとされています。
この新バージョンには、いくつかの新機能や改善点が盛り込まれています：
- 耐障害性を高めるため、運営者は、漏洩したデータに対して複数のミラーサイトを積極的に立ち上げ、サイトのURLを公表してきました。 また、このグループは、自身の情報流出サイトに即時検索ツールを追加しました（これはCTIが以前報告し、恐喝・ランサムウェアグループの間で野火のように広がるだろうと予測していた傾向ですが、実際にそうなりました）。
- RaaSの加盟店舗向けに、新たな管理機能が導入されました。
- Moneroやビットコインに加え、被害者への支払い手段としてZcashが追加されました。
- システムサービスのインストールにより、永続性が確保されます。 ペイロードが実行されるたびに、複数のサービスがインストールされます。
- このプログラムは、%programdata% ディレクトリに自身のコピーを作成し、そのプロセスから起動します。
- コードパッキング、難読化、関数アドレスの動的解決、関数トランポリン、およびデバッグ手法など、新たな解析対策技術。
さて、SentinelOneは、LockBitが正規のツールであるWindows Defenderを利用して、Cobalt Strikeのビーコンを読み込んでいることを確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「LockBitがなぜWindows Defenderを利用してCobalt Strikeのビーコンをサイドロードする方向に転換したのかは明らかではありませんが、標準的なセキュリティソリューションを迂回しようとする試みである可能性が最も高いと考えられます。」 組織としては、脅威アクターがCobalt Strikeのビーコンをロードするために正規のツールを利用している（そして以前から利用してきた）ことを認識しておくことが重要です。これは、CTIが最近、増加傾向にあると確認している傾向です。 この件とは直接関係はありませんが、他の脅威アクターも、一般に公開されている信頼性の高いクラウドリソースを悪用してマルウェアを保存・配信するケースがますます増えており、これも注目すべき例の一つです。 組織は、重要なセキュリティツールへの変更を監視し、ツールが信頼されているという理由だけで、正当なツールに起因する不審な活動を見逃さないようにする必要があります。 「企業が日々の業務を支えるために頼りにしている、信頼できるクラウドサービスについても同様です。」
Taniumでサイバー脅威を徹底的に追跡しましょう
ハッカーたちは、あらゆる業種にわたる企業を標的とした、高度で的を絞った攻撃を仕掛けるために、昼夜を問わず活動しています。 企業は攻勢に出、脅威が業務に影響を及ぼす前に、それを摘み取る必要があります。
当社の統合エンドポイント管理（XEM）プラットフォームは、高度な脅威ハンティング機能を提供することで、これを容易に実現します。 当社のプラットフォームを実際に体験していただくには、 から、今すぐ をお試しください。
当社の最新のセキュリティまとめをご覧ください
7月 19号：検索可能なランサムウェアデータ、ロシアを標的とする中国の国家支援型攻撃者、そして増加するQakbotマルウェア攻撃
