ASEC

AhnLab EDR を活用した Akira ランサムウェア攻撃の事例検知

ATCP — Thu, 13 Feb 2025 22:43:43 +0000

Akira は比較的新しく登場したランサムウェア攻撃者であり、2023年3月から活動している。他のランサムウェア攻撃者と同じく組織に侵入したあとファイルを暗号化するだけでなく、機密情報を窃取して交渉に使用する。実際に以下のような2024年の統計でも、Akira ランサムウェアによる被害企業の数が上位を占めている。攻撃者はランサムウェアを通じて組織のシステムを暗号化したあと、交渉のための Tor Web サイトを案内するが、要求事項が満たされない場合、攻撃の過程で窃取した機密情報を公開することもある。実際に攻撃者が運営する Tor Web サイトでも、被害企業が公開され続けている。初期侵入方式としては、マルチファクター認証(MFA)が適用されていない VPN...

AhnLab EDR を活用した USB で伝播する韓国国内コインマイナー配布事例の検知

ATCP — Wed, 12 Feb 2025 01:33:05 +0000

1. 概要コインマイナーは、主に仮想通貨をマイニングするためにユーザーのコンピューターの CPU と GPU 資源を密かに使用し、これによってコンピューターの性能が低下する。コインマイナーは、主にフィッシングメール、不正な Web サイト、システムの脆弱性などを通じて配布され、このマルウェアに対する解析は ASEC Blog でも紹介したことが[1](韓国語にて提供)ある。今回の記事では、前の投稿で解析したコインマイナーの不正な振る舞いを、当社...

RDP Wrapper を活用した Kimsuky グループの持続的な脅威

ATCP — Tue, 11 Feb 2025 07:57:34 +0000

AhnLab SEcurity intelligence Center(ASEC)は、過去に「PebbleDash と RDP Wrapper を悪用した Kimsuky グループの最新の攻撃事例の解析」 [1](韓国語にて提供)レポートを通じて PebbleDash バックドアと、自主製作した...

Andariel 攻撃グループが活用する RID Hijacking 攻撃手法

ATCP — Mon, 03 Feb 2025 23:51:07 +0000

ASEC(AhnLab SEcurity intelligence Center)は、Andariel 攻撃グループが侵入プロセスで不正なファイルを利用し、RID Hijacking 攻撃を実行することを確認した。 RID Hijacking は、一般ユーザーやゲストアカウントのように制限された権限を持つアカウントの RID(相対識別子)値を、管理者のように高い権限を持つアカウントの RID...

MS Windows の圧縮ヘッダ(CAB)を悪用したバッチファイル(*.cmd)マルウェア、ModiLoader(DBatLoader)の拡散に注意

ATCP — Thu, 16 Jan 2025 22:32:35 +0000

2024年12月、AhnLab SEcurity intelligence Center(ASEC)は、当社のメールハニーポットを通じて MS Windows の圧縮ヘッダ(CAB)を悪用したバッチファイル(*.cmd)型のマルウェアが配布されていることを確認した。このマルウェアは ModiLoader(DBatLoader)と呼ばれ、発注書(PO)として配布されていた。過去と異なる点は、*.cmd(バッチファイル)拡張子を使用しているが、実際には CAB 圧縮ヘッダフォーマットを悪用してマルウェアを作成したあとで実行する...

広告ページを通じて拡散している DigitalPulse Proxyware

ATCP — Thu, 16 Jan 2025 04:47:05 +0000

AhnLab SEcurity intelligence Center(ASEC)は最近、フリーウェアのソフトウェアサイトの広告ページを通じて Proxyware がインストールされていることを確認した。最終的にインストールされる Proxyware は Netlink Connect 証明書によって署名されているが、分析の結果、過去に Proxyjacking...

情報窃取型マルウェアの LummaC2、偽の CAPTCHA ページを通じて拡散中

ATCP — Thu, 16 Jan 2025 04:42:56 +0000

ASEC(AhnLab SEcurity intelligence Center)では、貼り付け(CTRL+V)機能を活用して配布される DarkGate マルウェアを紹介したことがある。貼り付け(CTRL+V)機能によりコマンド実行を誘導するフィッシングメールに注意この事例では、MS Word ファイルに偽装した HTML 添付ファイル(フィッシングメール)の閲覧を通じてマルウェアを配布する方式が使われたが、最近は偽の...

AhnLab EDR を活用した Play ランサムウェア攻撃の事例

ATCP — Wed, 08 Jan 2025 00:22:45 +0000

Play ランサムウェアは、Balloonfly または PlayCrypt とも呼ばれ、2022年6月に初めて確認されて以来、現在までに世界中で300以上の組織を攻撃したとされている。ファイルを暗号化した後に「.PLAY」拡張子を追加するのが特徴であり、最近まで活発に活動している。他のランサムウェア攻撃者と同様に、システムを暗号化する前に情報を窃取して被害者を脅迫し、Web サイトで攻撃された企業のリストを公開している。 Palo Alto Networks 社の Unit42 のレポートによると、Play...

Andariel グループによる韓国国内ソリューションを対象とする攻撃事例の分析 (SmallTiger)

ATCP — Sun, 29 Dec 2024 23:35:53 +0000

Andariel グループは、過去から韓国国内企業が使用する様々なソフトウェアを攻撃し続けている。[1] 代表的なものに資産管理ソリューション、情報漏えい対策(DLP)ソリューションなどがあり、このほかにも様々なソリューションに対する脆弱性攻撃事例も確認されている。 2024年の下半期にも Andariel グループによる攻撃事例は続いており、主に SmallTiger をインストールしている。[2] 悪用対象のソフトウェアとしては、数年前から悪用されている韓国国内の資産管理ソリューションが代表的であり、このほかにもドキュメントの中央化ソリューションの悪用事例も確認されている。 1....

TIDRONE 攻撃者の韓国国内企業を対象とした攻撃事例の解析

ATCP — Wed, 18 Dec 2024 22:51:10 +0000

AhnLab SEcurity intelligence Center(ASEC)は、TIDRONE 攻撃者が最近、企業を対象に攻撃を行っていることを確認した。この攻撃事例で悪用されたソフトウェアは ERP であり、これを通じて CLNTEND というバックドアマルウェアをインストールした。 TIDRONE は台湾の防衛産業企業、特にドローン開発企業を対象に攻撃を行っている攻撃者であり、2024年9月に TrendMicro...

Linux SSH サーバーを対象とする cShell DDoS Bot 攻撃事例(screen、hping3)

ATCP — Tue, 17 Dec 2024 00:34:17 +0000

AhnLab SEcurity intelligence Center(ASEC)では、多数のハニーポットを活用した不適切に管理されている Linux サーバーを対象とする攻撃をモニタリングしている。代表的なハニーポットの中には、脆弱な資格情報を使用する SSH サービスがあり、多くの DDoS およびコインマイナー攻撃者がこれを対象に攻撃を行っている。 ASEC では、外部からの多数の攻撃をモニタリングしていたところ、最近...

Apache ActiveMQ 脆弱性(CVE-2023-46604)を攻撃する Mauri ランサムウェア攻撃者

ATCP — Mon, 09 Dec 2024 00:29:16 +0000

AhnLab Security Emergency response Center(ASEC)は、過去に数回のブログ記事を通じて CVE-2023-46604 脆弱性を対象とした攻撃事例を取り上げた。脆弱性に対するセキュリティパッチが適用されていないシステムは、依然として持続的な攻撃の対象となっており、主にコインマイナーのインストール事例が確認されている。しかし最近、Mauri ランサムウェアを使用する攻撃者が、Apache ActiveMQ の脆弱性を悪用して韓国国内のシステムを攻撃している状況を確認した。 1. Apache...

Ivanti Connect Secure の脆弱性が露呈した韓国国内サーバーの現況(複数の CVEs)

ATCP — Mon, 02 Dec 2024 01:18:37 +0000

Ivanti Connect Secure 製品に対する複数の脆弱性が公開されており、CVSS スコア9(CRITICAL)以上の危険度が高い脆弱性が多数含まれている。韓国国内で運用中の Ivanti Connect Secure サーバーの大半が脆弱なバージョンと確認された。 Ivanti Connect Secure...

AhnLab EDR を活用した Proxy ツールの検知

ATCP — Fri, 29 Nov 2024 00:05:57 +0000

攻撃者は、感染システムの操作権限を獲得したあとも、RDP を利用して遠隔地から画面操作を行うことがある。これは利便性のためでもあるが、持続性の維持が目的である場合もある。そのため、攻撃プロセスでは、RDP サービスが有効にされていない場合は RDP Wrapper をインストールすることもあり、既存のアカウントの資格情報を奪取する、または新たなバックドアアカウントを追加することもある。しかし、感染システムがプライベートネットワーク、すなわち NAT 環境の内部に存在する場合は、IP およびアカウント情報を知っていたとしても外部からリモートデスクトップを利用した接続は不可能である。そのため、攻撃者はシステムを外部に公開させてくれる機能を担当する Proxy ツールを追加でインストールする場合もある。...

遠隔操作ツールを利用した感染システムの制御 – EDR 検知 (2)

ATCP — Mon, 25 Nov 2024 00:33:46 +0000

遠隔操作ツールは RAT(Remote Administration Tool)とも呼ばれ、遠隔地の端末を管理し、操作する機能を提供するソフトウェアである。最近、初期侵入プロセスやラテラルムーブメントのプロセスで攻撃対象のシステムを操作するため、バックドアマルウェアの代わりに遠隔操作ツールをインストールする事例が増加している。これはファイアウォールや検知を回避するための意図的なもので、AntiVirus 製品では一般的なマルウェアとは異なり、これらのツールを単純に検知して遮断することに限界があるためである。そのため攻撃者はこれらの点を悪用しており、このような攻撃に備えるためには EDR を活用して、疑わしい振る舞いをモニタリングし、対応する必要がある。 AhnLab EDR(Endpoint...

フィッシングメールを通じて配布される SVG(Scalable Vector Graphics)フォーマットのマルウェアに注意

ATCP — Sun, 24 Nov 2024 23:59:40 +0000

ASEC(AhnLab SEcurity intelligence Center)は最近、SVG(Scalable Vector Graphics)フォーマットのマルウェアが多数配布されている状況を確認した。SVG ファイルとは、拡張可能なベクターグラフィックを表す XML ベースのファイル形式である。主にアイコン、チャート、グラフなどに使用されるものであり、コード内に CSS および JS...

JAR 署名ツール(jarsigner.exe)によって実行される XLoader

ATCP — Tue, 19 Nov 2024 00:01:57 +0000

最近 AhnLab SEcurity intelligence Center(ASEC)では、DLL Side-Loading 手法を利用する XLoader マルウェアの拡散状況を確認した。DLL Side-Loading 攻撃手法は、正常なアプリケーションと不正な DLL...

正常なプログラムをもとに作成され拡散している LummaC2 情報窃取型マルウェア

ATCP — Mon, 18 Nov 2024 00:28:40 +0000

LummaC2 は、クラックなどの違法ソフトウェアに偽装して活発に拡散している情報窃取型マルウェアであり、配布方法、作成方法が持続的に変化している。最近では正常なプログラムにマルウェアを挿入した形で配布されており、注意が必要である。 LummaC2 マルウェアが実行されると、ブラウザに保存されたアカウント情報、メール情報、暗号通貨ウォレットの情報、オートログインプログラムの情報などのプライベートな情報が攻撃者の C&C サーバーに転送され、窃取された情報はダークウェブで取引されたり、さらなるハッキング攻撃に利用されるなどの2次被害が発生するおそれがある。個人用 PC から窃取された情報により、企業のシステムまで攻撃を受ける侵害事故も絶えず発生し続けている。従来はマルウェア専用のビルダー(Builder)を使用してマルウェアを作成し、バージョン情報、アイコン情報などのリソース部分のみ正常なファイルと同様に偽装する形で主に配布されていた。そのため、ファイルのリソースは正常であるかのように見えても、内部コードやデータは全く異なる形式になっており、見分けがつきやすかった。しかし、現在出回っているタイプは、正常なファイルの一部領域にマルウェアを挿入する方法により作成されている。この場合、大半のファイル内容および構造が正常なファイルと同じであるため、見分けがつきにくい。...

Grafana の脆弱性が露呈した韓国国内サーバーの現況(CVE-2024-9264)

ATCP — Sun, 17 Nov 2024 23:46:44 +0000

Grafana 製品に対する重要なセキュリティ脆弱性が公開され、多数の韓国国内サーバーが脆弱なバージョンであることが確認された。Grafana はデータを視覚化し、モニタリングを行うことができるオープンソースプラットフォームとして広く知られている。 2024年10月18日に公開された CVE-2024-9264 脆弱性は、Grafana のサーバーシステムにリモートコマンドを実行したり(RCE)、任意のファイルを読み込むことができる(LFI)脆弱性で、CVSS スコア9.9を割り当てられた深刻な危険度の脆弱性である。この脆弱性を悪用すると、最も低い権限である Viewer 権限でもサーバーに任意のコマンドを実行する、または特定のファイル内容を確認することができる。脆弱対象は、Grafana...

AhnLab EDR を活用した BlueKeep による攻撃の検知

ATCP — Fri, 15 Nov 2024 07:57:47 +0000

BlueKeep(CVE-2019-0708)は2019年5月に公開された脆弱性であり、クライアントとサーバー間の RDP(Remote Desktop Protocol)接続プロセスにおいて発生する。クライアントが特定のチャンネル(MS_T120)へ悪意を持ったパケットを送信すると、Use-After-Free 脆弱性が発生し、リモートコードの実行が可能になる。[1] この脆弱性は最近でも ASEC ブログで取り上げられており[2]、APT グループがこれを活用している。ここでは、最近 AhnLab EDR(Endpoint Detection...

Discord Bot で動作する RAT マルウェア

ATCP — Wed, 30 Oct 2024 00:07:10 +0000

Discord はユーザーのサーバーを作成し、コミュニティを形成してリアルタイムでコミュニケーションを取ることができ、音声、映像、テキストによるチャットに対応するソーシャルプラットフォームである。主にゲーマーの間で人気を得ていたが、現在では様々な関心事を持つグループが集まり、コミュニケーションを取る空間として拡張された。 Discord Bot は、ユーザーが作成したサーバーで特定のタスクを自動で実行するプログラムであり、サーバー管理、メッセージの自動返信、ゲーム進行、音楽再生、通知送信など、様々な機能を提供し、サーバー運用を簡単にしてくれる。このような Bot は主に Python、JavaScript などの言語で実装され、Discord API を通じてサーバーと対話する。今回の記事では、Discord...

賭博ゲームに偽装して拡散している WrnRAT

ATCP — Thu, 24 Oct 2024 23:57:09 +0000

AhnLab SEcurity intelligence Center(ASEC)では最近、Badugi、ゴーストップ、ホールデムのような賭博ゲームに偽装してマルウェアが拡散していることを確認した。攻撃者は賭博ゲームに偽装したホームページを作成しており、ゲームコネクターをダウンロードすると感染システムを操作して、情報を窃取できるマルウェアをインストールする。当該マルウェアは攻撃者が自ら作成したものと思われ、ここでは作成に使われた文字列をもとに WrnRAT と呼ぶ。上記事例は事例の1つと思われ、コンピューター最適化プログラムに偽装して配布された状況も確認されている。マルウェアの配布には HFS などのプラットフォームが使用された。最初にインストールされるのは Batch...

韓国国内の大手芸能事務所を装ったフィッシングメールに注意

ATCP — Thu, 17 Oct 2024 22:41:28 +0000

ASEC(AhnLab SEcurity intelligence Center)は、毎週ブログを通じて週間および四半期フィッシングメール統計レポートを公開しており、偽のログイン、配送、発注伺書に関するタイプがその大半を占めている。しかし、最近韓国の大手芸能事務所を装ったフィッシングメールが韓国国内で出回っていることを確認した。攻撃者は、Facebook および Instagram の広告で自身の画像を無断で使用したため、措置を講じる必要があるとの内容に偽装しており、どのような画像を無断使用したのかを確認するためにハイパーリンクをクリックするよう誘導する。リンクをクリックすると、Python ベースの Infostealer を作成し、PDF に偽装するためにアイコンを...

AhnLab EDR を活用した BPFDoor Linux マルウェアの検知

ATCP — Thu, 17 Oct 2024 08:23:55 +0000

BPFDoor は Berkeley Packet Filter(BPF)を活用したバックドアマルウェアであり、2021年に PWC 社の脅威レポートを通じて最初に公開された。[1] (外部サイト、英語にて提供) レポートによれば、中国を拠点とする攻撃者である Red Menshen が中東およびアジアを対象とする攻撃において数年間 BPFDoor...

HiveOS を攻撃して Ravencoin を採掘する攻撃事例の解析

ATCP — Tue, 15 Oct 2024 01:28:28 +0000

AhnLab Security intelligence Center(ASEC)では、多数のハニーポットを利用して不適切に管理されている Linux サーバーを対象とする攻撃をモニタリングしている。代表的なハニーポットの中には、脆弱な資格証明情報を使用する SSH サービスがあり、多数の DDoS およびコインマイナーを利用する攻撃者が、これを対象に攻撃を実行している。 ASEC では外部から流入する多数の攻撃をモニタリングしていたところ、最近...

AhnLab EDR を活用した Linux 持続性維持手法の検知 (1)

ATCP — Fri, 11 Oct 2024 01:06:06 +0000

持続性維持の手法は、攻撃者がシステムに侵入したあと持続的な活動を維持するために使用する手法である。一度の侵害ではすべての目標を達成するのが困難な場合があるため、攻撃者はシステムに再度アクセスできる方法を確保しておくことがある。そのため、マルウェアがシステムの再起動後も動作できるよう、様々な方法によって設定を行う、またはバックドアアカウントをインストールするなどの方法を使用する。一般的に Windows 環境では Run キーやスタートアッププログラム、タスクスケジューラ、サービスなどを利用する方法がよく使用される。もちろん、このほかにも DLL Side-Loading、Winlogon Helper DLL、ルートキットなどの様々な手法も活用されている。これは Linux...

有効な証明書を悪用した、韓国国内のゲーム会社を対象とするサプライチェーン攻撃

ATCP — Thu, 10 Oct 2024 01:36:35 +0000

AhnLab SEcurity intelligence Center(ASEC)は最近、韓国国内の企業およびユーザーを対象とした脅威をモニタリングしていたところ、韓国のゲーム会社を対象にサプライチェーン攻撃を実行した状況を確認した。当社が Larva-24008 と区分する当該攻撃グループは、韓国国内のゲームセキュリティ企業を攻撃し、ゲームセキュリティモジュールに不正なルーチンを挿入した。これにより、当該企業のセキュリティモジュールを使用するゲームはマルウェアが含まれたまま配布されてしまい、これをインストールしたシステムには最終的に遠隔操作マルウェアがインストールされて攻撃者に操作権限が奪われた。攻撃者は、改ざんされたセキュリティモジュールを使用するゲームのユーザー全員を攻撃対象とはせず、主にゲーム会社と確認された企業を対象に遠隔操作マルウェアをインストールした。すなわち、これは韓国国内のゲーム会社を対象とした APT 攻撃と推定できる。この攻撃は2024年4月、5月に行われたもので、攻撃者はゲームセキュリティ関連のプログラムモジュールにマルウェアを仕込み、当該プログラムメーカーの有効な証明書で署名および配布した。配布はサプライチェーン攻撃の型で行われ、韓国国内のゲーム会社の公式サイトを通じてゲームをインストールする過程でマルウェアが同時にインストールされた。攻撃者が仕込んだコードは、PowerShell コマンドを実行し、特定のアドレスから難読化されたスクリプトをダウンロードして実行するが、結果的に被害システムが攻撃者の指定する特定の IP アドレスである場合、Remcos...

韓国国内で拡散中のコインのバーンに関するスミッシングキャンペーンに注意

ATCP — Thu, 10 Oct 2024 00:59:46 +0000

現在、韓国国内ではコイン投資ルームやロマンススキャムなど、様々なコイン関連のスミッシングが拡散しており、主に偽装製作されたフィッシングサイト、または不正なアプリを利用して個人情報の流出、金銭の損失、コインの奪取など、様々な形で被害が発生している。 AhnLab モバイル分析チームは、「イーサリアムのバーン」を名目に配布されたスミッシングを通じて実際の配布者がどのようなシナリオで被害者から金銭を奪取するかについてアプローチし、これに関する解析内容を紹介する。本文のスミッシングキャンペーンは、[図1]のように被害者が覚えていない過去のイベントを通じてイーサリアムコインを採掘しており、当該資産を復元するためにはメッセージ内に含まれたリアルタイム相談リンクをクリックするよう誘導する。リンクをクリックすると、[図2]のように NAVER が提供する「ネイバートークトークサービス」に接続する。メッセンジャーにおいて配布者は「DUAL-COIN」という名前を騙っており、これは実際には存在しない企業である。詐欺師はまず、被害者が実際にメッセージを受け取ったかどうかを確認する。これは、被害者の確認と、スミッシング内容を検証して以降の手続きを決定するためである。また、身元照会を行い、名前、生年月日、電話番号などを要求する。詐欺師に接触するため嘘の個人情報を伝えたにもかかわらず、身元照会が完了した旨を被害者に伝える。このことから、詐欺師はターゲットに選定した被害者の個人情報は所有していないものと推定される。以後、スミッシングメッセージの内容の通り、特定個数のイーサリアム採掘記録があると被害者に伝える。 ...

Notion インストーラに偽装して配布されている SectopRAT(ArechClient2)

ATCP — Tue, 08 Oct 2024 05:01:41 +0000

Notion はプロジェクトの管理および記録機能を提供するコラボレーションツールであり、世界的に多くのユーザーがいる。このように有名なプログラムは、多くの攻撃者の悪用の対象になることもあるが、正常なプログラムに偽装した Web ページを製作し、代わりにマルウェアをアップロードする方式を使用できるためである。そのため、ユーザーが Google のような検索エンジンでこれをダウンロードする時、実際にはマルウェアをダウンロードすることがある。実際、過去に AhnLab SEcurity intelligence Center(ASEC)でも「Notion...

GotoHTTP を悪用した、MS-SQL サーバーを対象とする攻撃事例

ATCP — Thu, 19 Sep 2024 23:47:27 +0000

AhnLab SEcurity intelligence Center(ASEC)では、不適切に管理されている MS-SQL サーバーをモニタリングしており、最近 GotoHTTP を悪用した攻撃事例を確認した。 1.GotoHTTP 遠隔操作ツールは、リモートでシステムを操作するための目的で使用されるツールであり、リモートデスクトップ、ファイル送信などの機能を提供している。有名な遠隔操作ツールには、AnyDesk、ToDesk、RuDesktop、TeamViewer、AmmyyAdmin などがある。...