シスコ・タロス（Cisco Talos）の新たな報告書によると、シスコ・タロス・インシデント・レスポンス（CTIR）の対応件数において、汎用マルウェアがランサムウェアを上回ったのは、1年以上ぶりであることが明らかになりました。 また、この報告書では、サイバー犯罪者たちが現在用いている最新の戦術、手法、手順（TTP）についても明らかにしています。 次に、中国語圏の脅威アクターによって、さまざまな地域の個人を標的として積極的に利用されている、「CosmicStrand」と呼ばれる新しいUEFIファームウェア・ルートキットについてご紹介します。 最後に、Censysからの情報によると、ロシアと関連があるとされるランサムウェアのコマンド・アンド・コントロール（C2）インフラの存在が明らかになりました。このインフラは、少なくとも1つの米国を拠点とするネットワークに足場を築いたものと見られます。
1. Cisco Talos’ Quarterly Report: Incident Response Trends in Q2 2022
Cisco Talosが発表した最新のレポート『 Incident Response Trends in Q2 2022 』には、サイバーセキュリティに関する重要な知見が数多く盛り込まれています。
以下に、主なポイントをいくつかご紹介します：
汎用マルウェアが1位となりました
今四半期に確認された最大の脅威は、コモディティ型マルウェア、すなわち容易に入手可能なマルウェアです。 これは、 2020年まで遡るCTIRの対応事例において、汎用トロイの木馬を利用した攻撃が全体的に減少していることを考慮すると、重要な点です。
Talosによると、こうした動きは、法執行機関やテクノロジー企業による取り締まりの影響で一時的に沈静化していた各種の電子メール型トロイの木馬が、ここ数ヶ月で再び台頭している状況と一致しているとのことです。
今四半期は、RedlineやQBotといった情報窃取型マルウェアに関連する活動も増加しました。 これらのマルウェアファミリーはすべて、さまざまな時期に、さまざまなペイロード（主にランサムウェア）に向けた前段階の感染を開始してきました。
The new quarterly trends report from @TalosSecurity shows that commodity malware, not ransomware, was the top threat in Q2. blog.talosintelligence.com/2022/07/quarte…
前四半期と比較すると、ランサムウェアが関与した事案の割合は大幅に減少し、今四半期に確認された脅威全体の 15 パーセントを占めましたが、前四半期は25 パーセントでした。
主なランサムウェア／マルウェアのファミリー：
- Remcos RAT
- Vidar InfoStealer
- Redline InfoStealer
- QBotトロイの木馬
- BlackCat（ALPHV）ランサムウェア
- Contiランサムウェア
重点的にターゲットとする業種
- 通信：この業種も、 Q4 2021 およびQ1 2022において、最も標的とされたセクターの一つでした。
- 医療・ヘルスケア：医療機関は、医療の継続を確保し、いかなる場合でもサービス停止を回避しなければならないという絶対的な必要性があるため、医療・ヘルスケア分野は常に恐喝犯にとって格好の標的となっています。
- 教育：教育機関は貴重なリソースを保有しており、多額の身代金を支払う能力があるという認識があるため、サイバー犯罪者にとって学校もまた、標的としてよく狙われる対象となっています。
- 同報告書に挙げられているその他のリスクの高い業種には、金融サービス、地方自治体、外食産業、小売・貿易、自動車、IT、生産設備、および製造業が含まれます。
全体的な脅威のトップ
- 汎用マルウェア
- ランサムウェア
- その他
- フィッシング / ビジネスメール詐欺（BEC）
- 高度な持続的脅威（APT）
- セキュリティ上の脆弱性がある／設定ミスのあるアプリケーション
特筆すべき点：内部脅威、 Log4j、ランサムウェア発生前、およびWaveブラウザ（PUP）。
主な初期感染経路
- フィッシング
- 一般公開されているアプリケーションを悪用する
- 不明
- 有効なアカウント
特筆すべき点：外部リモートサービスおよびドライブバイ攻撃。
その他の考察
Talosによると、 の多要素認証（MFA） が導入されていないことは、依然として企業のセキュリティにおける最大の障害の一つとなっています。これは、組織がユーザーアカウントを保護するために高度な対策を講じる必要があることを示唆しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「上記で提示されたデータに関しては、いくつか未解決の疑問が残っています。 何よりもまず、長らくぶりにコモディティ型マルウェアがランサムウェアを上回るようになった背景には、他にどのような要因が考えられるのか、私たちはその点について興味を持っています。
例：
- 暗号化を行わない恐喝型サイバー犯罪者（LAPSUS$など）の台頭は、ランサムウェアの件数減少に影響を与えたのでしょうか？
- ロシア・ウクライナ紛争を背景に新たに発見されたいくつかのマルウェアは、タロスの次回の四半期報告書の数値に影響を与えるのでしょうか？
- 破壊的なマルウェアについてはどうでしょうか？ その中から何か登場するのでしょうか？
- 情報窃取型マルウェアの人気が高まっている背景には、どのような要因があるのでしょうか？
- 初期アクセスブローカーは、これらの情報窃取型マルウェアファミリーが現在享受している成功に何らかの役割を果たしてきたのでしょうか？
「疑問点はさておき、本レポートに含まれる一部のデータから得られる知見は、サイバー脅威インテリジェンスコミュニティにとって有益なものとなるでしょう。」
2。 専門家らが、中国と関連のあるハッカーによって使用されていた新たな「CosmicStrand」UEFIファームウェア・ルートキットを突き止めました
カスペルスキーの「SecureList」（ ）は最近、「CosmicStrand」と呼ばれる、高度な新しいUEFIファームウェアルートキットを発見しました。このルートキットは現在、身元不明の中国語圏の脅威アクターによって使用されています。
被害者には、中国、ベトナム、イラン、ロシアに在住する個人が含まれていると報じられています。 現時点では、これらの被害者を特定の組織や業界と結びつける証拠は一切ありません。
最近発見されたばかりですが、 #CosmicStrand UEFIファームウェアのルートキットは、かなり長い間展開されていたようです。 このことから、攻撃者たちは非常に高度な能力を有しており、 2017 以来、その存在を気づかれずに隠し通してきたことが示唆されます ⇒ kas.pr/1pho
CosmicStrand UEFI ルートキットとは何でしょうか？
SecureListが説明しているように、ルートキットとは、「オペレーティングシステムの最も奥深い部分」に潜り込むように設計されたマルウェアです。 ルートキットは、その技術的な難しさから、国家が支援するAPTグループのような、最高レベルのサイバー脅威アクターと関連付けられることがよくあります。
残念ながら、サイバー犯罪者やAPT（高度持続的脅威）の双方とも、ルートキットにますます注目するようになっています。その主な理由は、この種のマルウェアがオペレーティングシステムの極めて深いレベルに潜み、検出が極めて困難になるためです。 ファームウェア・ルートキットは、オペレーティングシステムの再インストールやハードドライブの交換を行った後でも、デバイスを侵害された状態に保ち続けます。
CosmicStrandは、 96.84KB という小さなファイルを利用するUEFIファームウェア用ルートキットです。 CosmicStrandの初期の侵入経路はまだ特定されていませんが、侵害後の活動には、CSMCORE DXEドライバーの改変が含まれており、そのエントリポイントはパッチが適用され、.relocセクションに追加されたコードへとリダイレクトされるようになっています。 このコードは、システムの起動時に実行され、一連の長い実行プロセスを引き起こし、その結果、Windows内部に悪意のあるコンポーネントがダウンロードされ、展開されます。 最終的に、CosmicStrandの目的は、感染したUEFIコンポーネントを起点として、Windowsシステムが起動するたびに、カーネルレベルのインプラントを展開することにあります。
SecureListは、これらの変更は自動パッチ適用ツールの仕業である可能性があると考えています。 もしこれが事実であるならば、攻撃者が事前に被害者のコンピュータにアクセスし、マザーボードのファームウェアを抽出、改ざん、上書きしていたことを示唆している可能性があります。 これは、すでにそのコンピュータに仕込まれている前段階のマルウェアを通じて、あるいはそのデバイスに物理的にアクセスすることで実現される可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「新しいファームウェア・ルートキットの出現自体が注目に値する一方で、中国語圏の脅威アクターによる開発や使用の疑い、さらにはそれらとの関連性の可能性も、注目すべき点です。」
CosmicStrandの攻撃チェーンや、その展開に関与している攻撃者について、まだ解明すべき点は確かに多く残されていますが、このようなマルウェアの作成を目指す開発者にとって、その技術的な難易度の高さから、CosmicStrandの作成者はかなり高度な技術力を有しており、相当なリソースを駆使している可能性があると考えられます。 これは、これまでに見られた中国に関連するサイバー活動と一致するでしょう。 この活動を既知の脅威アクターやAPTと明確に結びつけることができないことは、CosmicStrandの運営者が運用セキュリティ（OPSEC）を重視していることを示唆している可能性もあります。これは、中国の国家と結びついたトップクラスのハッカーの多くに共通する特徴です。
CosmicStrandの活動と国家と結びついた組織との関連を示すもう一つの有力な証拠として、これまでのところ、既知の攻撃はすべて個人を標的としているという事実が挙げられます。 これらの個人間には、組織や業界に関して現時点で共通のつながりは見受けられませんが、 中国政府は、国家の関心対象となる個人を監視や情報収集の対象としていることが知られています。時には、そうした活動を「非標的型」の活動として偽装することさえあります。例えば、 や のようなサプライチェーン攻撃は、一見すると数千人に影響を与えるように設計されているように見えますが、詳しく調べると、実際には中国政府が関心を持つ数百人の個人だけを感染させることを意図したものであることが判明します。
繰り返しになりますが、本記事の執筆時点では、これらはすべて推測の域を出ません。 「真の動機が何であるかは、時が経てば明らかになるでしょう。」
3。 調査会社Censysは、米国に足場を築いているロシアを拠点とするランサムウェアネットワークを発見しました。
攻撃面管理企業Censysの研究者らは、ロシアを拠点とするランサムウェア「 」の コマンド＆コントロール（C2）ネットワークを発見したと主張しており、このネットワークは少なくとも1つの米国のネットワークに足場を築いているとのことです。
The activity was first observed by Censys researchers around 2022年6月24日, when, during a scan of over 4.7 million Russian-based hosts, they discovered two Russian hosts containing the Metasploit exploitation tool along with the Deimos C2 tool.
It should be explained that Censys was running the scans to reveal the top 1,000 software products currently observable amongst over 4.7 million hosts discovered in Russia by the company’s researchers. さらなる履歴分析の結果、これらのホストのうち1台が、以前に PoshC2 ツールを使用していたことが判明しました。 これらのツールにはすべて、ペネトレーションテスターやハッカーが標的となるホストにリモートアクセスし、それを管理できるようにする機能が備わっています。
Censysの研究者たちは、証明書 PoshC2 の詳細情報を活用し、世界各地にあるその他のロシアのホストを特定しました。その中には、米国内にある証明書PoshC2 を使用している2つのホストも含まれていました。Censysはこれらのシステムをロシアのホストであると特定しており、これらにはランサムウェアキットを含むマルウェアパッケージのほか、2つのロシアのビットコインホストへのリンクが記載されたファイルも含まれていたと述べています。
Censysによると、研究者らはオハイオ州にあるホストを特定しましたが、そこには「Deimos C2 」ツールも含まれており、これは当初ロシアのホストで発見されたものと同じツールです。 さらなる歴史的分析の結果、オハイオ州のホストにも、前述の「 PoshC2 」ツールを含む、ロシアのホストで発見されたランサムウェアと一致するマルウェアパッケージが存在していたことが判明しました。
編集部注：混乱を避けるため、最初に発見された、MetasploitおよびDeimos C2 を保有するロシアのホストを「ホストA」および「ホストB」と呼び、その後発見された、マルウェアおよびランサムウェアキットを保有するホストを「ホストF」および「ホストG」と呼ぶことにいたします（この命名規則については、Censysによる極めて詳細な技術レポート『』（）をご覧いただければ、より理解しやすくなるでしょう）。
さらに調査を進めた結果、Censysの連邦政府向けアプリケーション担当ディレクターであり、当初のスキャン作業を担当したマット・レンブライト氏は、自身のチームと共に、前述のホストがMedusaLockerランサムウェアだけでなく、Karmaランサムウェアとも関連していることを突き止めました。
Lembreight氏らも指摘しているように、これらのホストとランサムウェアとの関連性が明らかになったことは、特に画期的な発見でした。というのも、ランサムウェアによるインシデントの多くは攻撃が発生した後に発見されるのが一般的ですが、今回のケースは、研究者がグループが攻撃の準備を進めている証拠を発見した、極めて稀な事例だったからです。
Censysの分析によると、当初発見されたロシアのホストAおよびBにはMetasploitとDeimos C2 がインストールされており、これらは被害者のホストを乗っ取るための初期攻撃ベクトルである可能性が高いとされています。一方、ロシアのホストFおよびGには、アンチウイルスソフトを無効化し、ランサムウェア攻撃を実行できるマルウェアが仕込まれており、被害者からのランサムウェアの支払金を受け取っているとみられる2つのビットコインノードへのビーコンが確認されています。
Censysは、約1か月前に公開された米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「」レポート（）の内容に基づき、これらのホストをMedusaLockerランサムウェアの活動と関連付けることができました。同レポートでは、このグループの手法が詳述されているほか、メールアドレス、IPアドレス、TORノードアドレスなど、同グループが利用しているインフラに関連する侵害の兆候（IOC）が提示されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Censys社は調査結果をFBIに提供しており、現在、法執行機関と協力して、これらのホストが昨年の病院および図書館への攻撃に悪用されたかどうかを確認しています。」 「この種の情報を共有することは、とりわけ称賛に値します。なぜなら、他の組織がこれらのホストや、Censysの報告に見られるパターンを認識し、もしこの発見が将来的に大規模な攻撃を裏付ける前兆活動の一部であることが判明した場合、より大規模な攻撃を未然に防ぐことができる可能性があるからです。」
Taniumユーザーコミュニティをご覧ください
当社のユーザーコミュニティにアクセスして、ディスカッションフォーラムやお知らせ、新たな問題に関する最新情報、サイバーセキュリティのベストプラクティスなどをご覧ください。 ぜひこちらをご覧ください。
当社の最新のセキュリティまとめをご覧ください
7月 27号： ロシアの「 APT29 」ハッカーグループによる新たな戦略、スパイウェア「CloudMensis」の最新情報、およびマルウェア「Lightning Framework」に関する最新情報
7月 19号： 検索可能なランサムウェアのデータ、ロシアを標的とする中国の国家支援型攻撃者、そして増加するQakbotマルウェア攻撃
