今週のまとめでは、Taniumのサイバー脅威インテリジェンス（CTI）チームが、新年に入っても引き続き脅威となっている 2023 件の主要なサイバーセキュリティ動向について取り上げます。
まず最初に、CTIでは「Chae$ 4 」について取り上げます。これは、「」Chaesマルウェアの最新亜種です。 （新しいタブで開きます）。 続いて、CTIは、現在、グローバル企業を標的としている新たな「 3時 」グループについて調査を行います。 CTIでは、DarkGateマルウェアや北朝鮮のAndariel APTグループに関する最新情報も提供しています。
1. 「Chae$ 4 」が金融・物流業界を脅かしています
金融および物流企業は現在、Chaesマルウェアの新たな亜種である「Chae$ 4」による脅威にさらされています。このマルウェアは、独自のChrome DevToolsプロトコルを利用してブラウザの機能にアクセスし、データを盗み出します。 これまで、「 Chae$ 4 」は、 （新しいタブで開きます）、、 、およびMercado Libre、WhatsApp Web、Mercado Pago、Itau Bank、MetaMask、Caixa Bankなどの銀行やプラットフォームの顧客を標的にしてきました。 また、WordPress、Magento、Drupal、Joomlaといったコンテンツ管理サービスも攻撃の対象となっています。
Chae$ 4 には、元のChaesマルウェアとは異なるいくつかの機能強化が施されており、洗練されたコードアーキテクチャ、モジュール性の向上、追加の暗号化、およびステルス機能などが含まれています。 また、このバリアントはPythonに移行しており、 C2 サーバーとそのモジュール間の通信を円滑にするためにWebSocketsを使用しています。
「Chae$ 4 」はどのように機能するのでしょうか？
Morphisec社によると、 のChae$ 4 感染 (新しいタブで開きます) は、JAVA JDEやウイルス対策ソフトのインストーラーを装った悪意のあるMSIインストーラーの実行から始まります。 この悪意のあるインストーラーを実行すると、マルウェアが展開され、そのファイルが %Appdata%/ 内の、ハードコードされた専用のフォルダにダウンロードされます。 このフォルダ内には、Pythonライブラリ、実行ファイル、およびPythonスクリプトが含まれています。 また、このマルウェアは「ChaesCore」と呼ばれるコアモジュールを展開します。 初期化後、ChaesCoreは引き続きアドレス C2 と通信を行い、外部モジュールにアクセスしてターゲットシステムに読み込みます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Chaesマルウェアは、少なくとも 2020年11月の頃から存在しています。 この最新の亜種には、数多くの機能強化に加え、マルウェアが複数段階にわたる感染を実行できるようにする、偽装されたMSIインストーラーが含まれています。
Pythonをベースとした「Chae$ 4 」の亜種は、従来の防御メカニズムを迂回する能力を持つため、物流会社や銀行にとって重大な脅威となっています。 これらの分野の企業は、引き続き警戒を怠らないようにすべきです。
2. 「 3時 」ランサムウェアの感染拡大が続いています
9月、CTIは「 3時」と呼ばれる の新しいマルウェアファミリーについて警告しました。 （新しいタブで開きます） — これは、サービスを妨害したり、ファイルを暗号化したり、ボリュームシャドウコピーを削除したりする能力を持つ、64ビットのRust実行ファイルです。 3時 の背後にいる攻撃者は、この新しいランサムウェアを限定的に使用しているようであり、そのため、確認されている攻撃はごくわずかにとどまっています。
最近の「 3時 」ランサムウェアの事例としては、のウッドラフ・エンタープライズ社および Share & Harris LLC に対する攻撃が挙げられます。 この攻撃により、重要な社内データが暗号化され、複製されてしまいました。 資産を掌握した後、「 3時 」グループは身代金の支払いを要求し、情報を一般に流出させると脅しました。 「 3時 」グループは、フランスを拠点とし、花崗岩、クォーツ、セラミック製の表面材を供給・施工している企業「DS Granit」も標的にしました。
「 3時 」ランサムウェアグループとはどのようなグループなのでしょうか？
シマンテックは、あるアフィリエイトがLockBitの展開に失敗した後、代わりに 3時 ランサムウェアを展開したというインシデントを受け、2023 で同ランサムウェアを発見しました。 （新しいタブで開きます） 「 3時 」という名称は、このグループの身代金要求文に記載された内容と、攻撃の際に暗号化されたファイルに拡張子「.threeamtime」が付け加えられることに由来しています。
現時点では、 3時 およびその運営者に関するデータは依然として限られています。3時 は、LockBitによる攻撃が失敗した場合の代替策であるようです。 しかし、結論を出すにはさらなる研究が必要です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
CTIが発表した「 3時 」ランサムウェアに関する最初の報告書では、今後さらに多くの「3時 」による攻撃が発生する可能性が高いと予測されていました。 数ヶ月が経ち、案の定、 3時 というマルウェアの感染事例がさらに表面化し始めています。 CTIは、今後数か月にわたり、このランサムウェアの動向を注視し続けてまいります。
3。 BattleRoyalは、DarkGateとNetSupportを導入しました
Proofpointの研究者たちは、 に掲載された、BattleRoyalと名付けられた新たなDarkGateマルウェアのオペレーター (新しいタブで開きます) を追跡しています。 Proofpointによると、BattleRoyalは9月から 2023年11月にかけて、少なくとも 20 件のメールキャンペーンを通じてDarkGateマルウェアを配布しました。 このグループは、数万通の電子メールを送信し、米国およびカナダ全土の数十の業界を標的にしました。
11月の終わり頃、 のBattleRoyalは、エンドポイント上で持続的な接続を確立するため、リモートアクセスツールであるNetSupport （新しいタブで開きます） へ移行しました。 BattleRoyalは現在、電子メールや改ざんされたウェブサイト、偽のアップデートを装った手口などを組み合わせて、被害者にマルウェアをダウンロードさせるよう仕向けています。
Proofpointが説明しているように、DarkGateからNetSupportへの切り替えの理由は依然として不明です。 しかし、この方針転換は、DarkGateの人気が高まり、脅威研究者やセキュリティ専門家からの注目が集まっていることが原因である可能性があります。
『BattleRoyal』はSmartScreenの脆弱性を悪用しています
Proofpointは、Microsoftが11月にこの問題に対するパッチを適用する前に、BattleRoyalが「 CVE-2023-36025 」として追跡されていた脆弱性を悪用してマルウェアを配布していたことを突き止めました。
この脆弱性は、ユーザーが有害なウェブサイトにアクセスするのを防ぐセキュリティ機能である「Windows SmartScreen」に見られます。 この脆弱性により、攻撃者は、ユーザーにカスタム .URL ファイル、または .URL ファイルにつながるハイパーリンクをクリックさせることで、SmartScreen の防御機能を回避することが可能になります。
DarkGate Teamsのキャンペーンは企業を標的としています
DarkGateは、市場で最も普及しているリモートアクセストロイの木馬（RAT）の一つであり、脅威アクターが組織を標的とするためにこれを利用するケースが増加しています。
注目すべき事例の一つとして、脅威アクターが別々に、DarkGateローダー （新しいタブで開きます） を使用して、Microsoft Teamsを標的にしていることが確認されました。 犯行グループは、外部のOffice 365 アカウントに、不正に取得されたチャットメッセージを送信しました。 また、ソーシャルエンジニアリングの手法を用いて、被害者に悪意のあるファイルをダウンロード・開封させるよう仕向けたとのことです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ここで重要な点は、BattleRoyalが被害者を標的にするために、DarkGateとNetSupportの両方を利用しているということです。 BattleRoyalは、NetSupportを使用してホストを制御し、マルウェアをインストールし、 侵害された環境内で横方向の移動を行います。 （新しいタブで開きます） また、DarkGateを使用してマルウェアのペイロードをダウンロードし、情報を窃取します。
セキュリティ研究者たちは、今後数ヶ月の間にDarkGateやNetSupportの展開が加速すると予想しており、この脅威には引き続き注意を払う必要があります。 さらに、最近DarkGateからNetSupportへの移行が見られることから、この攻撃者が将来、さらに別のペイロードに移行する可能性があると考えられます。
4。 アンダリエルが韓国の防衛機密を盗み出しました
新しい報告書によると、 北朝鮮のAPTグループ「Andariel」 （新しいタブで開きます） は、数十社の韓国防衛関連企業を標的にして、およそ 1.2 テラバイトのデータを盗み出したとのことです。 また、APTグループ「アンダリエル」は、身代金としてビットコイン約360,000 ドル分を北朝鮮に送金しました。
ソウル特別市政策庁によると、 2022年12月 から 2023年3月 までの期間に、アンダリエルは、身元不明の顧客にサーバーを貸し出しているホスティングサービスを通じて、平壌の龍京洞（リュギョンドン）地区から韓国企業に 83 回アクセスしたとのことです。 韓国の保安捜査局は現在、米連邦捜査局（FBI）と共同でこの件について捜査を進めています。
『コリア・タイムズ』によると、北朝鮮は現在、仮想通貨の価値下落や米国の利上げを受けて、サイバー犯罪の手口を多様化させているとのことです。 北朝鮮も、自国の暗号資産を換金するためにロシアの取引所に依存しています。
「Andariel」グループ：手強いAPT
北朝鮮の「ラザルス・グループ」の一派である「アンダリエル」は、その手口がますます巧妙化しており、外国政府機関、金融サービス、防衛機関など、幅広い分野を標的にしています。
このグループは、標的に対して攻撃を仕掛けるために、さまざまなツールを用いています。 例えば、最近、Andarielが、EarlyRATと呼ばれる、これまで知られていなかった のリモートアクセストロイの木馬を使用していることが確認されました。 （新しいタブで開きます）。 2022年、アンダリエルは、 Log4j Log4Shell の脆弱性 （新しいタブで開きます）を悪用した一連のサイバー攻撃において、EarlyRATを展開しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
のマンディアントが、記事「 」（新しいタブで開きます） で説明しているように、北朝鮮政権は、攻撃プログラムの進化を続け、サイバー侵入を利用してスパイ活動や金融犯罪を行うことに固執しています。 これらのグループは、サイバースパイ活動を行うと同時に、金銭を目的としたサイバー犯罪キャンペーンも展開できるため、より複雑で多面的な脅威となっています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。