みっきー申す

ITに関する興味関心のまとめ、サイバーセキュリティニュースのまとめ、Twitterで配信中の情報まとめなどを公開します。

今週のIT・サイバーニュースまとめ(20190623-20190629)

サイバーセキュリティ

今週の総括

  • Office 365 関連のセキュリティトピックについて

  • Exploit Kit のトレンド

今週の記事まとめです。 総括にもある通り、今週は色々な攻撃手法についての記事やインシデント報告が上がっていた印象です。 あくまで、ここで紹介してるのは手法なので、その結果は様々なことが多いです。

ただ、コインマイナーが置かれようが、情報が抜かれようが、改竄されようが、そもそも"侵入されている"ということに主眼をおいて対策を考えていただきたいです。

CyberReason が APT10 の調査結果を公表した件については、別記事にて公開予定なので乞うご期待を！

ではでは、早速本文の方へ。

感想

Office 365 関連のセキュリティトピックについて

OneDrive に置かれる悪性のファイルが特に増加

FireEye が 1Q(1月から3月)の Email Threat Report をリリースしました。

investors.fireeye.com

レポートによると、OneDrive に置かれた悪性のファイルの数を2018年4Q と比べた際、60%の増加を確認しており、Dropbox の次の増加率だとのことです。

Dropboxすごいな(笑)

https://www.bleepstatic.com/images/news/u/1100723/FireEye-EmailThreatQ119.png

Microsoft Teams で任意のファイルをダウンロードしたり実行したりできる脆弱性が発見される

本件は、Microsoft Teams 自体の問題と言うよりかは、.NET 用のパッケージマネジャーである NuGet に起因するものです。

そのため、GitHub や WhatApp、 UiPath などのデスクトップ版ソフトウェアにおいても影響を受けるとのことです。

ちなみに、マルウェアリサーチャの Reegun さんによると、(「誰だよ！とか冷やかさないでください(笑)」)まだパッチは出ていないとのことです。

Microsoft Teams は ビジネスユーザへの広がりを受けて、Slack を猛追しているとの見解を示す記事も出ているくらいなので、注目度は高いですね。

www.google.com

Office 365 について

近年、ビジネスユーザー向けに急速にシェアを伸ばしている、Office 365 のコンポーネントですが、それだけ攻撃者にとっても魅力的なはずです。

SaaS のパッケージだからこそ、情報収集を怠らないようにしたいですね。

Exploit Kit のトレンド

Sodunokibi がRIG Exploit Kit を使った Malvertising に利用され始める

www.bleepingcomputer.com

タイトルの通りで、5 月初旬のまとめ記事で取り上げた sodinokibi ランサムウェアについて RIG Exploit kit を使って作成された広告経由でのダウンロードが確認され始めたとのことです。

micro-keyword.hatenablog.com

ちなみに、RIG Exploit kit は世界中でもっとも利用が確認されている Exploit kit として有名です。

blog.malwarebytes.com

ID-Ransomeware という感染したランサムウェアの種類を調べるサイトに提出された件数の統計が以下のように公開されています。

https://www.bleepstatic.com/images/news/ransomware/s/Sodinokibi/rig-ek/id-r.jpg

既に国内でも被害が確認されている sodinokibi がツールに組み込まれたことは大きな変化だと思います。

今後も注視しつつ観測を続けていきます。

日本を狙う Showdown Gate キャンペーン

Sundown という exploit kit を用いた Showdown Gate という攻撃活動に関する観測記事が Trendmicro よりリリースされました。

blog.trendmicro.com

基本的には、 exploit kit を用いて作られたサイトにアクセスした被害端末が暗号資産発掘のために利用されるとの内容です。

※ 5/31 より仮想通貨は暗号資産と呼ばれるようになりました。

r.nikkei.com

三井生命は大樹生命に変わりました！ みたいなノリなのが少々気になりますが(笑)

今回特に気になるのが、Showdown Gate キャンペーンの観測が日本でもっとも多いという点です。

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/06/Shadowgate-Countries-01.jpg

たまたま今回は暗号資産の発掘が被害となっていますが、情報窃取のためのバックドアにとって変わる可能性も否定できません。

そのため今後も sundown にピンと来たら確認をすることをオススメします。

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

4月以降楽しみに毎週見ていた、「私定時で帰ります」と「集団左遷」が終わってしまいました。

悲しい。。。

どっちもサラリーマンあるあるがいっぱい入っていてとても面白かったです。

でもこんなにいろんな人が同じ事思ってるはずなのに、なぜ世の中は変わらないんだろう、なんてことを考えてると頭が疲れますね(笑)

そんな今ですが、巨人がセ・リーグ1位になって東京ドームに行くのが楽しみで仕方ない！(笑)

仕事は１年間いつでも出来ますが、野球は期間限定ですからね(笑)

では、また来週。

今週のIT・サイバーニュースまとめ(20190616-20190622)

サイバーセキュリティ

今週の総括

今週の記事まとめです。

昨日、急にたくさんの脆弱性情報が公開されましたね。

それ以外にも、今週はトピックが多かったので、タイトルだけでも、下のトピックリストは特に見ることをおすすめします。

個人的には、Android 版 Outlook の脆弱性と Dell にデフォで入っているサポートのアプリケーションの脆弱性が気になります。

その中でも、Firefox の脆弱性については、実際の攻撃も観測されており、注目度も高かったので、別記事にてまとめました。

こちらも、ぜひ参考にしてみてください。

micro-keyword.hatenablog.com

感想

ランサムウェアRyukに変化

ランサムウェア Ryuk は 2018年8月ごろから企業を対象とし、金銭の取得を目的とした攻撃に使われています。

以下、CrowdStrike の参考記事です。

www.crowdstrike.com

今回、ランサムウェアをよく探しているマルウェアリサーチャによって、その Ryuk にこれまでのサンプルとは違った傾向を見つけたそうです。

www.bleepingcomputer.com

結論としては、

  • 感染時にARP コマンドを実行し、特定の IP アドレスが含まれているかどうかを確認

  • 感染時に、端末に特定の文字列が含まれているかどうかを確認

これらを行うことで端末がどこの国のものかを確認しているようです。

その国と言うのは、「ロシア」、「ウクライナ」などのロシア語を公用語とする地域だと考えられています。

https://www.bleepstatic.com/images/news/ransomware/r/ryuk/blacklist/machine-name-blacklst.jpg

この傾向は、昨年の GandCrab の際もありましたね。

ロシア語圏は対象外にするということは、って感じですがいよいよ、したの説の方が濃くなってきましたね。

japan.zdnet.com

なにかと北朝鮮とか言う節あるのどうにかしてほしいですよね。

なんか、浅はかさがもろに出ると言うか。。。

AV-TEST による、アンチウイルスソフト比較

皆さんご存じでしょうか。

セキュリティソフト評価機関 AV-TEST というドイツの専門機関を。

ここでは、定期的にアンチウイルスソフトの比較を行っていて、2019年4月の結果が、公開されました。
(実は先々週くらいには公表されていたんですが(笑))

ここでは、以下の観点で評価がされています。

  • Protection(保護能力)

  • Performance(端末の性能を落とさないなど、ソフトウェアとしての性能)

  • Usability(誤検知などで利便性をら損なわないか)

結果を見てみると。

https://images.idgesg.net/images/article/2019/06/avtest_2019-04_business_win10_chart_en-100799667-orig.jpg

最近ランサムウェアの復号で活躍している Bitdefender や最近よく聞くF-Secure。
その他は老舗の、Kaspersky,Symantec,McAfee,TrendMicro が満点を出してますね。

ただやはり注目なのは Windows Defender ですね。

性能が 5.5/6.0 で他2つは満点ですし、Windows 10だと標準搭載かつ無料ですからね。

他にも AV-test は色々な統計とってるのでたまに見てみると面白いですよ。

CobaltStrike チームサーバの見つけ方

今週 Recorded Future より、Cobalt Strike についてのレポートが発行されました。

www.recordedfuture.com

このレポートは、Cobalt Strike を使った新たな攻撃の観測をまとめたものというよりは、 Cobalt Strike が C2 として利用する Team Server の見つけ方に関するものです。

昨日改めて、補足記事みたいなものも出ていました。

www.recordedfuture.com

ちなみに、Recorded Future がこんな図を作っていました。

https://www.recordedfuture.com/assets/cobalt-strike-servers-2-1.png

分かりやすい(笑) これタダで提供してくれたりしないのかな。

API 連携とか IoC 情報のダウンロードを有料にして、基本的なキュレーションのところは、元々自分達のものじゃな(ry

このレポートでは、 Cobalt Strike 自体の特徴が前半に述べられ、後半はどうやって、TeamServer を見つけるかといったないようです。

Cobalt Strike について、まとめた記事を以前に出した気がしていましたが。。。

気のせいだったみたいです(笑)

Recorded Future が示している Team Server の見つけ方とその手法内訳は以下です。

https://www.recordedfuture.com/assets/cobalt-strike-servers-5-1.png

  • 特徴的な SSL/TLS 証明書を用いること

  • nanoHTTPD という web サーバを用いる

  • port50050 を用いる

この辺を中心にサーバを探しているようです。

あと、Cobalt Strike の HTTP 通信の特徴として、レスポンスヘッダにスペースが入っていることについても言及されていました。

https://www.recordedfuture.com/assets/cobalt-strike-servers-4-1.png

これだけではなく、様々な Cobalt Strike に関する、調査の内容が書いてあるのですが、正直ボリュームが。。。(笑)

ただ、サイバーセキュリティを知る上で、CobaltStrike の使われ方は、とても興味深い点が多いので、興味ある方はぜひ読んでみてください。

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

最近、プライベートな繋がりで IT、特にセキュリティ関連の相談を受けることが多く、いわゆるコンサルティング的なことをやったりしてます。 もちろん無償です！(笑)

自身の経験をベースに話すわけですが、実際に目の前で起きてることだから僕自信も勉強になるんですよね。

ひとつ言えるのは、プライベートがあるからこの繋がりがあるし、それが仕事にも還元されるということ。

Firefox のゼロディ悪用により Coinbase など仮想通貨取引所が狙われた件をまとめてみた

サイバーセキュリティ 脆弱性情報

JPCERT/CC の注意喚起および CyberNewsFlash でも本件に関してリリースがありました。

www.jpcert.or.jp

www.jpcert.or.jp

本件については、Mozilla 社により修正済みのバージョンが公開されているため、基本的にはバージョンアップによって解消されます。

ただ、本件がこれだけ盛り上がっているのにはもちろん訳があります。

Samuel Groß という名の Google Project Zero 所属のリサーチャにより、4月15日に報告されており, その時点では、まだ攻撃は観測されていないとのことでした。

www.bleepingcomputer.com

ただし、Coinbase の CISOであるPhilip Martin によると、今週の月曜日に Coinbase に対して、今回のFirefox の脆弱性(当初は0-day)を悪用した攻撃が観測されたとのことでした。

※脆弱性の公表タイミングは異なりますが、当該攻撃では、CVE-2019-11707およびCVE-2019-11708の両方が悪用されたとのことです。

https://objective-see.com/images/blog/blog_0x43/tweets.png

Martin のツイートによると、対象となっている組織は Coinbase だけではないとマルウェアの分析結果から推測されるとのことです。

また、それぞれに使われると想定される C2 サーバが用意されていることも確認しているようです。

そして、攻撃は顧客に対して行われたものではなく、あくまで企業に向けられたものだと推測され、企業ネットワークへの侵入を狙っていることがうかがえるようです。

なお、本攻撃に関して、具体的な攻撃の手順が Macのセキュリティリサーチャによって、まとめられています。

objective-see.com

  1. フィッシングメールが対象の組織に送られる

  2. メール中のリンクをクリックすることで、macOS で動作するバックドアが落とされる

端的に書くとこんな感じでしょうか。

ちなみに、Firefox ベースで作られてる Tor ブラウザも同様に最新版がリリースされていますね。

一旦、CVE-2019-11707 が対象になってますが、CVE-2019-11708 は後日ですかね。

※ 更新(2019.6.23) CVE-2019-11708 の対策バージョンもリリースされました。

blog.torproject.org

blog.torproject.org

今回のように、ブラウザの脆弱性を起点とした攻撃というのも十分に考えられるわけですね。

もちろんこういった場合は、ブラウザだけでなく、アクセスをProxyで止めたり、マルウェアを落とそうとしてもサンドボックス等、たのセキュリティ製品で止めたり色々方法は考えられます。

ただ、今回のケースのように標的を絞った攻撃など、Stuxnet の時のように複数の 0-day を組み合わせると防御のハードルは大幅に上がりますね。

できる範囲で、迅速に、情報共有しながら、地道な取り組みでセキュリティを強化しましょう。

今週のIT・サイバーニュースまとめ(20190609-20190615)

サイバーセキュリティ

今週の総括

今週の記事まとめです。

今週は、ソフトウェアの脆弱性や管理の甘い IT インフラに対する攻撃の記事が多かったかなと思っています。

Interop の展示では IoT の脅威！

みたいに言っていましたが、まずは IT ですよね。

セキュリティは IT から勉強したほうがいいんじゃないかなと思う今日この頃。

感想

Chrome のアドオンEvernote Web Clipperの脆弱性

Evernote Web Clipper という Chrome のアドオンに脆弱性があり、攻撃者がユーザの利用するオンラインサービスから情報を取得できてしまうとの記事が出ました。

guard.io

Evernote は広く使われているアプリケーションですし、記事によると、本アドオンも460万人のユーザがいるとのことです。

Guardio の公開している攻撃の手順 (PoC) は以下です。

https://cdn.guard.io/sr2/guardio/www/components/BlogPost/vuln_diagram.0a048985c9.png

  1. ユーザが悪性の Web サイトに誘導される

  2. 情報取得のターゲットとなる別の web サイトの iframe タグを読み込む (ブラウザからは、わからないように実行される)

  3. 悪性のWebサイトを契機に、情報取得の対象となるサイトに不正なペイロードを埋め込む

  4. 結果として、対象となるサイトから cookie、 認証情報、個人情報などが取得される

ちなみに、実証動画も公開されてるので見てみてください。

youtu.be

Google もおそらくアドオンも含めた脆弱性管理はしているはずですし、バグバウンティとかもあるとは思いますが。

当事者は絶対大変だよなー

いずれにせよ、情シスも社員のソフトウェア管理などしっかり行う必要がありますよね。

こういう話だと、すぐ脆弱性管理とかに行きがちですが、「そもそも cookie 情報持たせるな」とか「同じパスワード使い回すな」とか、それ以前の問題がありますけどね(笑)

exim の脆弱性を狙った攻撃の観測

CVE-2019-10149 として公表された exim の脆弱性について、攻撃が観測されてるとの記事が出ました。

www.bleepingcomputer.com

当初、「RCE は Remote Code Execution じゃなくて、Remote Command Execution だよ。」みたいな記載が話題になりましたね。(笑)

RiskIQ のリサーチャの観測によると、全体の70%は対策済みのバージョン 4.92 にアップデートされているとのことです。

ただし、全体の数から考えるとまだまだ脆弱性を含むバージョンはたくさんあるとのことです。

https://www.bleepstatic.com/images/news/u/1109292/June%202019/Exim%20update%20timeline.jpg

観測されている攻撃パターンは2つあるようです。

  1. Tor を利用して不正なスクリプトを取得する

  2. tor2web の routing サービスを利用して、 an7kmd2wp4xo7hpr サービスにてスクリプトを設置 (すみません、Tor 不勉強なもので。。)

  3. 攻撃者が用意した C2 サーバからスクリプトを取得する

  4. C2サーバ 173[.]212[.]214[.]137/s にてスクリプトを設置

結論としては、

  • サーバを適当にインターネットに公開しないこと

  • パッチ運用頑張ること

以上につきますね。

Interop でもパッチ運用の話多かったな～

ランサムウェア MegaCortex の活動

先日、ランサムウェア Gandcrab の終息報道が話題になりました。

ただ、ランサムウェア自体が終わりになったわけではなく、ランサムウェア MegaCortex についての記事が Malwarebytes から出ていました。

blog.malwarebytes.com

ブログ記事に記載のある、MegaCortex の概要は以下です。

  • MegaCortex の配布方法は明らかになっていない

  • MegaCortex がダウンローダーから落とされてくる際の、C2 サーバは明らかになっている

  • 組織のネットワークが侵害されると、攻撃者はドメインコントローラーのアクセス権を奪取し、感染拡大を試みる

  • MegaCortex の配布には Qakbot、Emotet、Rietspoofが使われていると予想されている

  • 具体的な攻撃対象も明らかになっていない

Emotet 経由で落とされてくるランサムウェアとして Gandcrab が使われていましたが、今後は使われていく可能性もあるんですかね。

今後に注目ですね。

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

最近、いろんなメディアで「働き方改革」だったり「AI」みたいなのが取り上げられていて、それ自体がドラマになっちゃったりってのが多いですよね。

それだけ、今の社会課題ってのが考えるステージに来てるんだなと思わされるばかりです(笑)

個人的には、「最大多数の最大幸福」が達成されることが大事なんじゃないかなって思ってます。

ベンサムの功利主義ですね。

ハンサムの小売り主義ではないですよ(笑) 一気に青山のショップ店員になってしまいましたが、今週はこの辺で。

Interop Tokyo 2019 に行ってみた

ビジネス動向

タイトルの通りなのですが、ちょうど昨日、Interop Tokyo 2019 に行ってきました。

本当は休みとっていこうかなと思ったんですが、試しに上司に相談したら仕事で行けました。

私服だし、自由だし、最高ですね(笑)

早速ですが、以下の目次で振り返ろうと思います。

完全に個人の趣味嗜好で動いています。 目次見つつ、気になる箇所だけを読むことをお勧めします。

※ちなみに、AWS サミットは行き損ねてしまいました。どうだったんだろう。。

目次

  • Interop Tokyo 2019 に行ってみた第一印象

  • セキュリティベンダのサービスについて

  • 工場・IoT向けのセキュリティサービス、ソリューションについて

  • プラットフォーマーの取り組み

  • まとめ

Interop Tokyo 2019 に行ってみた第一印象

会場の雰囲気はこんな感じ。

f:id:micro_keyword:20190614111141j:plain

f:id:micro_keyword:20190614111138j:plain

入って早々、HUAWEI ドカーン！でした(笑)

この付近は、アプライアンス型の製品を強みとするベンダが多い区間でした。

ほとんどが海外のベンダなのですが、それぞれの製品の独自ソフトウェアが凝っていました。

ボタンポチポチで今何でもできるんだなーと感心でした。

もちろん、CLIの操作性にはかなわなそうですが、これくらいGUIが使いやすくなってくると、誰でも設定できるような時代が来るのかなーなんて。

ただ、自動化の流れとは逆行してますが。(笑)

まぁ、そんな感じでとにかく、相変わらず広い展示会場に、たくさんの人が、ごった返してました。

ちなみに、会場ではたくさん荷物を抱えた新入社員らしき人たちも。 なんだか懐かしい気持ちになったりもしました。(笑)

セキュリティベンダのサービスについて

色々な製品を見て回りましたが、気になったのはベンダのサービスですね。

Cylance の AI でキーストロークのパターンを学習させ、不審な端末操作をさせないようにするサービスとか面白かったです。

「実行アプリケーションの特権取られたり、OSの権限昇格されたらいみなくない？」

とか思ったりはしましたが(笑)

あとは、各社が出しているEDR製品や次世代アンチウィルス、IPS、IDSについて、少し担当の方に詳しく聞いてみました。

どこの会社も仕組みとしては大きく変わりなく、 検知率や導入の容易性、見れる情報の柔軟性などが差別化の項目でした。

つまり、いかに「優秀なエンジニアをベンダが抱えているか」というのがポイントなんでしょうね。

当たり前だろ！なんて思われる気もしますが、

  • 優秀なエンジニアやリサーチャーを抱えていること

  • 情報発信内容のレベルが高いこと

が、製品を結果的に強くできるんじゃないかなと思っています。

工場・IoT向けのセキュリティサービス、ソリューションについて

あまり、深いところは言及しませんが、「工場向け」、「IoT対策」みたいなのを多くの日系企業が展示していました。

もはや、国内においてレッドオーシャンなんじゃないか、なんて風に考えてしまうレベルでしたが。

ただ、やっぱりターゲットがニッチすぎるし、まだセキュリティ考える段階じゃないと思ってるんだけどな。。

プラットフォーマーの取り組み

Google の講演と展示を聞きに行ったのですが、他の企業とはやはり、視座が全然違う。。。

AIを用いた開発ができるよ！

みたいな紹介を聞いたのですが、

など、幅広くGoogle Cloud Platform で実現できるよ！といった内容でした。

要は、プラットフォーマーなんだなと。

クラウドでいうところの、SaaS、PaaS、IaaSのすべての例や向けにサービスが提供できて、そのための機能はAPIで提供するよ！

みたいな発想なので、

とかそんな次元は超えていましたね。

  • データが集まる

  • サービスが向上する

  • 圧倒的なプラットフォームを手にし企業向けにリソースを提供することで稼ぐ

プラットフォーマーの下という前提では、もはや大企業でもベンチャーでも変わらなくなってきてしまってますね。

まとめ

適度に休憩しつつ、ふらつく一日にはなりました。

ただ、いろいろなつながりの方と、久しぶりに会ったりで、割とオフ会のテンションでした。(笑)

ここ最近、いろいろな人と、意見交換や情報交換をさせてもらっていますが、刺激になってとても楽しいです。

まあ、単純に未来のことを考えるのが好きなところはありますが。(笑)

まだ、今日も展示やっているので、お時間ある方はぜひ言ってみてください！

今週のIT・サイバーニュースまとめ(20190602-20190608)

サイバーセキュリティ

今週の総括

今週は、これ！といった特筆すべきニュースがあったというよりかは、 各ベンダのレポートやブログなど、アップデート情報が多かったように思います。

あとは、Googleの障害とかgandcrabの話とか先週末の話題が割と尾を引いていた印象ですね。
そんな中で、今週の記事、ご紹介していきます。

感想

Microsoft RDP のその後について

https://www.bleepstatic.com/content/posts/2019/06/04/BlueKeepMSFmodule_.png

先日話題になった、Microsoft RDP の脆弱性 CVE-2019-0708 通称、BlueKeep に関連して、様々な攻撃との関連を示唆するような内容が注目され始めています。

  • GoldBrute という、ツールを用いて、RDP がインターネット上に公開されている Windows PC にブルートフォースを行う攻撃が観測されていること。

  • Shodan で検索すると、240 万台以上の機器が、RDPを有効にした状態でインターネットに公開されていること。

  • BlueKeep に対応した、Metasploit(ペネトレーションテストツール)のモジュールが作成されたこと。

このあと、大きな攻撃に使用されるかどうかなどは、全く予想がつきませんが、とにかく、パッチ運用を進めていただきたい限りですね。

Amazon の CDN を悪用した、情報窃取活動について

Malwarebytes の観測によると、Amazon が提供する CDN サービス Amazon CloudFront が侵害され、不正なスクリプトの埋め込みに利用されているとのことです。

また、Magecart が入手した個人情報の持ち出しに利用しようとしているような、トラフィックも観測しているようです。

blog.malwarebytes.com

情報窃取の被害にあっている企業や組織は、カスタム CDN を利用しているという共通点があり、結果として、そのレポジトリが改ざんされ、攻撃に利用されてしまっているとのことでした。

CDN の C2 利用は少し前にも話題になっていたので、攻撃元を隠す用途として、今後も悪用されるんだろうなと思っています。

eset-info.canon-its.jp

攻撃キャンペーン「フランケンシュタイン」について

Cisco Talos の調査によると、2019年の1月から4月にかけて、"Frankenstein"という攻撃キャンペーンを観測しているとのことです。

同キャンペーンは、攻撃者が用意した文書ファイルを開かせることで、マルウェアをインストールさせるものです。

blog.talosintelligence.com

この、"Frankenstein"という名前は、オープンソースで作られた、一見相関性のない 4つのコンポーネントが用いられているからだと言われています。

今回の記事では、中東に関する記述がされた文書ファイルが確認されています。

ただ、本キャンペーンの裏にいる、攻撃グループは、高い技術力と潤沢なリソースを持っていると考えられているため、今後も注意が必要な印象です。

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

目まぐるしく流れていく色々な情報をこうして眺めていると、

「今、これが流行っているな！」

「次来るのはこれかな！」

「このジャンルはもうダメかな。。」

みたいなものが、見えたり見えなかったり(笑)

そんな中で、自分自身がどんな能力を身に付けたいかであったり、どう仕事で還元したいかだったり、色々悩みますね(笑)

そんなときに、改めて歴史の勉強をして、いつの世でも生きるもの、ただの流行りで終わるものの傾向とかを探してみたいですね。

この辺まで AI で予測できたら。。 たぶん、パラメータさえしっかり与えりゃできるんだろうな。

時代のパイオニアには絶対根気強さが必要ですね(笑)

Icefog を用いた攻撃キャンペーンの観測について

マルウェア サイバーセキュリティ

本当は今週のまとめで書こうと思ったんですが、結構ボリューム出てしまったので、ミニ記事として書きます。

今週ポーランドにて開かれているサイバーセキュリティカンファレンスにて(なんのことだろう(笑))
新種の Icefog が発見された事が公表されました。

www.zdnet.com

Icefog は 2011年ごろから2013年ごろにかけて観測された、攻撃キャンペーンおよびそこで使われるマルウェアの名前です。

主に日本や韓国の政府系組織や軍事関係の組織やハイテク企業、マスメディアなど幅広い組織を狙って諜報活動を行っていました。

ちなみに、Icefog という名前は攻撃に用いられる C2 サーバの名前に含まれる文字列から来ているようです。
https://media.kaspersky.com/en/icefog-apt-threat.pdf

ZDnet の記事によると、今回の発表では2014年に使われた Icefog-P と 2018年に使われた Icefog-M についての言及がされていたようです。

特徴は以下の画像が参考になります。

https://zdnet3.cbsistatic.com/hub/i/2019/06/07/a78225ae-205b-4064-adee-31f90f4eb8f6/d36f1bbf16589a6b0646b008e5e5fc35/icefog-new-malware-variants.png

https://zdnet2.cbsistatic.com/hub/i/2019/06/07/83b7a923-d319-437d-86f4-fba280d91851/f28de0c9c867d44489b085c19137df6e/icefog-p-new.png

https://zdnet2.cbsistatic.com/hub/i/2019/06/07/2d5be530-e758-46ec-9e9f-f8e6b79b0309/da4bb5c71f15cc1ec2d8346f3176c5c7/icefog-m-new.png

端的に言うと、

こんな感じですかね。

最近の他のマルウェアの長所(?)を踏襲しています。

なお、今回公表した Icefog を用いたキャンペーンは様々な攻撃グループや攻撃キャンペーンで流用されているようです。

https://zdnet3.cbsistatic.com/hub/i/2019/06/07/8e93cebe-5b89-42c7-a8ed-d6c89c4683d8/8e35886ff9cfbcb0027bb882ceff7eae/icefog-attacks.png

https://zdnet1.cbsistatic.com/hub/i/2019/06/07/8e7a1bac-7600-4d82-9961-7ac4d944b2f3/09cd69a608b79a628bbb484127aaa183/icefog-actors.png

ここで記載のあるとおり、発表者は Icefog がツール化し 2014年以降は色々な攻撃グループおよびキャンペーンに使われるようになったことを強調しており、そのいずれもが諜報活動を目的としたものだと想定しています。

2013年のときは AKB の総選挙をネタにしたフィッシングなんかも確か絡めていたような感じだったと思うけど。。

日本もまた狙われるんですかね。

よく分からないですが(笑)

では、まず速報レベルの情報でした。