今週のまとめでは、CTIがCoalition社の最新の「サイバー脅威指数（Cyber Threat Index）」レポートを取り上げ、インターネットセキュリティ、サイバーリスクの動向、および脆弱性に関する洞察をご紹介します。 次に、CTIは、メキシコ在住の被害者を標的とし、税務関連の餌を仕掛けた、現在進行中の フィッシングキャンペーン（ ）について調査を行っています。 Finally, CTI wraps up with an overview of Proofpoint’s annual State of the Phish threat report for 2024.
1. 研究者らは、CVEが 25％増加すると予測しています
Coalitionは、 2024の「 」（新しいタブで開きます） を対象とした最新の「」サイバー脅威インデックスレポートを発表し、最近のインターネットセキュリティ、リスクの動向、および脆弱性に関する洞察を提供しています。
Among the key findings, the company predicts there will be a 25% increase in common vulnerabilities and exposures (CVEs) in 2024. Coalitionは、月間のおよそ 2,900 件の脆弱性を予測しており、これは2023年の平均 2,321 件から増加しています。
Coalitionのハニーポットデータについて
同連合は、複数の脆弱性を抱えたハニーポットをいくつか運用しています。 彼らは意図的に古いソフトウェアを実行し、脅威アクターが何を狙っているのかを把握しています。
Coalition社は、自社のハニーポットに向けられる無害なトラフィックが相当量あることを確認している一方で、悪意のあるトラフィックもかなりの量あると報告しています。 特に 2023 ではRDPトラフィックが増加し、RDPをスキャンするユニークIPアドレスの数が59％増加しました。
インターネットに公開されているサービス
Coalitionは、一般公開されているインターネット上の最もリスクの高い脆弱性を定期的に調査しています。 同社は、開放されたポートが依然として最大のリスクの一つであることを突き止めました。 さらに、ポート 7547 は、2023の中でスキャンされたポートの中で最も高い番号でした。
攻撃者が、Apache、Nginx、IIS などの特定の Web サービスをスキャンしている様子が確認され、また、設定ミスのあるリモート管理ツールを悪用している様子も確認されました。 当然のことながら、攻撃者たちも公開されているデータベースを探していました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
同連合の調査結果は、 におけるタイムリーなパッチ適用が必要であることをさらに裏付けています。 — この必要性は、年々ますます重要になってきています。
同社は、 2024におけるCVEの増加を見込んでいます。 しかし、脆弱性がもたらすリスクを理解することは重要ですが、今日の組織が直面している脅威は脆弱性だけではないということを理解することも、同様に重要です。
2。 TimbreStealerはフィッシングメールを通じて拡散します
を装ったフィッシングキャンペーン (新しいタブで開きます) が、金融関連の餌を用いてメキシコの被害者を積極的に狙っています。 このキャンペーンは、少なくとも 2023年11月 の時点から続いており、TimbreStealerと呼ばれる、これまで知られていなかったマルウェアを拡散させることを目的としています。 この脅威アクターは、高度な難読化技術を活用し、ジオフェンシングを利用して、標的となるユーザーを特定しています。
キャンペーンについて
このキャンペーンでは、フィッシングメールによって被害者が、悪意のあるペイロードをホストしている乗っ取られたサイトに誘導されます。 これらのメールは、被害者に悪意のあるコンテンツを実行させることを目的としています。
このキャンペーンは現在、ジオフェンシング技術を活用して、メキシコ在住のユーザーのみを対象としています。 この手法により、メキシコ国外から悪意のあるサイトにアクセスしようとするユーザーには、実際の悪意のある文書ではなく、空白のPDF文書が表示されます。
TimbreStealerとは何ですか？
TimbreStealerは、新たに特定された の情報窃取型マルウェア（ ）であり、検出を回避し、システムへの定着を維持するために、さまざまな手法を用いています。 こうした手法には、従来のAPI監視を迂回すること、「Heaven’s Gate」の手法を活用すること、およびカスタムローダーを使用することなどが含まれます。 Cisco Talosは、これらの機能がかなり高度であることから、このマルウェアの背後にいる脅威アクターは高度な技術を持っているに違いないと考えています。
- 最初のレイヤーが抽出された後、マルウェアは、そのシステムが攻撃対象として価値があるかどうか、またサンドボックス内で実行されているかどうかを確認します。
- その後、ペイロードに埋め込まれている多数のサブモジュールが抽出されます。 特筆すべき点として、Cisco Talosは報告書の中で、マルウェアのさまざまな層について非常に詳細な技術的解説を行っています。
- このマルウェアの興味深い点は、デバイス上のシステムの復元ポイントを削除するために使用される関数への呼び出しを実行することです。 Cisco Talosによると、この活動は通常、ランサムウェアに典型的なものですが、感染したデバイス上でランサムウェアの活動が確認された例はまだありません。
研究者らは、被害者のマシン上のファイルやディレクトリをスキャンする役割を担う関数内に、いくつかの文字列を発見しました。 また、このマルウェアには、さまざまなブラウザの認証情報保存ファイルに必要なSQLiteライブラリが組み込まれていることも判明しました。
TimbreStealerはディレクトリをスキャンしてファイルを探しますが、この動作の正確な目的については、現時点ではまだ明らかになっていません。 スキャン対象のフォルダには、AdwCleaner、Avast Scanner、 360 Antivirusの隔離フォルダなどに関連するものが含まれています。 また、macOSに関連する「.Spotlight-V100” 」や「.fseventsd」といった一連の文字列も特定しました。
このマルウェアは、WMIやレジストリキーを利用して、被害者のマシンから情報を収集します。 収集される情報には、OS情報、SMB BIOS情報、ハードウェア情報、ネットワークドメイン情報、およびアプリケーションデータが含まれます。
前回の関連キャンペーン
Cisco Talosは、少なくとも 2023年9月以降、この脅威アクターとみられる主体が新たなキャンペーンを展開していることを確認しています。 2023年9月では、このアクターは、バンキング型トロイの木馬である「Mispadu」の亜種を配布していました。 この過去のキャンペーンでは、乗っ取られたサイトを利用して、最終的に.urlファイルを配信し、外部でホストされているファイルを実行させていました。 そのファイルではWebDAVのファイルパスが使用されており、すべてのWebDAVサーバーにはジオフェンスが設定され、メキシコ国内のIPアドレスからの接続のみが許可されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Cisco Talosの調査結果によると、この脅威アクターは、この新しい「TimbreStealer」マルウェアに移行する以前は、「Mispadu」というバンキング型トロイの木馬を拡散させていました。 マルウェアの変化を除けば、その他のTTPは比較的同様のままでした。
とはいえ、この攻撃者が近い将来、また別のマルウェアへと手を変えるとしても、驚くことではないでしょう。 このキャンペーンはメキシコ在住のユーザーをターゲットにしていますが、この時期によく見られるフィッシングの手口、すなわち「税金」を題材にしています。
少なくとも、この出来事は、確定申告の時期には警戒を怠らず、税金に関連した詐欺の手口に注意を払う必要があることを私たちに改めて気づかせてくれます。
3。 Proofpointは、「 2024 State of the Phish」レポートを発表しました
Proofpointは、年次レポート「State of the Phish (新しいタブで開きます)」を発表しました。このレポートは、 2024件の脅威に関するものです。 本レポートは、複数の国におけるエンドユーザー 7,500 名およびセキュリティ専門家1,050 名を対象とした調査に加え、Proofpointが自社の製品、脅威研究者、および模擬フィッシングメッセージから収集した独自のデータを基に作成されています。
この報告書は、「人は優れた防衛体制において重要な要素である一方で、最も脆弱な存在にもなり得る」という点を強調しています。
Proofpointのレポートにおける主な調査結果
Proofpoint detected and blocked 66 million business email compromise (BEC) attacks on average per month. 同レポートでは、ランサムウェアの被害が増加していること、また、マイクロソフトが依然としてなりすましの標的となるブランドとしてトップであることも改めて指摘されています。
Proofpointが発表した興味深い統計データによると、同社がエンドユーザーを対象に行った調査では、働く成人の “71％が、パスワードの再利用や共有、見知らぬ送信者からのリンクのクリック、信頼できない相手に認証情報を提供するなど、リスクを伴う行動をとったことを認めたとのことです。 「そして、その 96％の人が、リスクを冒していることを承知の上でそうしたのです。」
セキュリティ意識の動向
調査対象となった組織の 99％がセキュリティ意識向上プログラムを導入していますが、実際には行動変容につながっていない組織も数多くあります。 この背景にある最大の要因の一つは、セキュリティ意識向上研修で取り上げられるトピックに関係しています。というのも、こうした研修ではリスクの全容が網羅されることはあまりないからです。
また、Proofpointでは、特定の役職や部門を対象とした研修を実施する組織が増加傾向にあることも確認されています（前年の 28％から最大 41％増）。これは、研修においてより的を絞ったアプローチと言えます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Proofpointは、このレポートに他にも多くの興味深い統計データを盛り込んでおり、一読の価値があります。 彼らは調査結果を次の1点にまとめています。「不審なリンクを避ける、送信者の身元を確認する、強固なパスワードを設定する、そしてそのパスワードを他人に教えないといった基本的な対策をユーザーが講じなければ、どんなに優れた技術的な防御策であってもその効果が損なわれてしまう可能性があります。」
要するに、研修や啓発プログラムは極めて重要であり、現状に留まっていてはなりません。 ユーザーがどのような点に注意すべきかを知り、潜在的なリスクを理解できるよう、これらの情報は最新の脅威情報に基づいて定期的に更新される必要があります。 さらに、対象を絞った、あるいは個々のニーズに合わせたセキュリティ意識向上研修は、組織のプログラムを次のレベルへと引き上げる上で極めて重要です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
