Andariel グループによる韓国国内ソリューションを対象とする攻撃事例の分析 (SmallTiger) Posted By ATCP , 2024년 12월 30일 Andariel グループは、過去から韓国国内企業が使用する様々なソフトウェアを攻撃し続けている。[1] 代表的なものに資産管理ソリューション、情報漏えい対策(DLP)ソリューションなどがあり、このほかにも様々なソリューションに対する脆弱性攻撃事例も確認されている。 2024年の下半期にも Andariel グループによる攻撃事例は続いており、主に SmallTiger をインストールしている。[2] 悪用対象のソフトウェアとしては、数年前から悪用されている韓国国内の資産管理ソリューションが代表的であり、このほかにもドキュメントの中央化ソリューションの悪用事例も確認されている。 1….
TIDRONE 攻撃者の韓国国内企業を対象とした攻撃事例の解析 Posted By ATCP , 2024년 12월 19일 AhnLab SEcurity intelligence Center(ASEC)は、TIDRONE 攻撃者が最近、企業を対象に攻撃を行っていることを確認した。この攻撃事例で悪用されたソフトウェアは ERP であり、これを通じて CLNTEND というバックドアマルウェアをインストールした。 TIDRONE は台湾の防衛産業企業、特にドローン開発企業を対象に攻撃を行っている攻撃者であり、2024年9月に TrendMicro…
Linux SSH サーバーを対象とする cShell DDoS Bot 攻撃事例(screen、hping3) Posted By ATCP , 2024년 12월 17일 AhnLab SEcurity intelligence Center(ASEC)では、多数のハニーポットを活用した不適切に管理されている Linux サーバーを対象とする攻撃をモニタリングしている。代表的なハニーポットの中には、脆弱な資格情報を使用する SSH サービスがあり、多くの DDoS およびコインマイナー攻撃者がこれを対象に攻撃を行っている。 ASEC では、外部からの多数の攻撃をモニタリングしていたところ、最近…
Apache ActiveMQ 脆弱性(CVE-2023-46604)を攻撃する Mauri ランサムウェア攻撃者 Posted By ATCP , 2024년 12월 09일 AhnLab Security Emergency response Center(ASEC)は、過去に数回のブログ記事を通じて CVE-2023-46604 脆弱性を対象とした攻撃事例を取り上げた。脆弱性に対するセキュリティパッチが適用されていないシステムは、依然として持続的な攻撃の対象となっており、主にコインマイナーのインストール事例が確認されている。しかし最近、Mauri ランサムウェアを使用する攻撃者が、Apache ActiveMQ の脆弱性を悪用して韓国国内のシステムを攻撃している状況を確認した。 1. Apache…
Ivanti Connect Secure の脆弱性が露呈した韓国国内サーバーの現況(複数の CVEs) Posted By ATCP , 2024년 12월 02일 Ivanti Connect Secure 製品に対する複数の脆弱性が公開されており、CVSS スコア9(CRITICAL)以上の危険度が高い脆弱性が多数含まれている。韓国国内で運用中の Ivanti Connect Secure サーバーの大半が脆弱なバージョンと確認された。 Ivanti Connect Secure…
AhnLab EDR を活用した Proxy ツールの検知 Posted By ATCP , 2024년 11월 29일 攻撃者は、感染システムの操作権限を獲得したあとも、RDP を利用して遠隔地から画面操作を行うことがある。これは利便性のためでもあるが、持続性の維持が目的である場合もある。そのため、攻撃プロセスでは、RDP サービスが有効にされていない場合は RDP Wrapper をインストールすることもあり、既存のアカウントの資格情報を奪取する、または新たなバックドアアカウントを追加することもある。 しかし、感染システムがプライベートネットワーク、すなわち NAT 環境の内部に存在する場合は、IP およびアカウント情報を知っていたとしても外部からリモートデスクトップを利用した接続は不可能である。そのため、攻撃者はシステムを外部に公開させてくれる機能を担当する Proxy ツールを追加でインストールする場合もある。…
遠隔操作ツールを利用した感染システムの制御 – EDR 検知 (2) Posted By ATCP , 2024년 11월 25일 遠隔操作ツールは RAT(Remote Administration Tool)とも呼ばれ、遠隔地の端末を管理し、操作する機能を提供するソフトウェアである。最近、初期侵入プロセスやラテラルムーブメントのプロセスで攻撃対象のシステムを操作するため、バックドアマルウェアの代わりに遠隔操作ツールをインストールする事例が増加している。 これはファイアウォールや検知を回避するための意図的なもので、AntiVirus 製品では一般的なマルウェアとは異なり、これらのツールを単純に検知して遮断することに限界があるためである。そのため攻撃者はこれらの点を悪用しており、このような攻撃に備えるためには EDR を活用して、疑わしい振る舞いをモニタリングし、対応する必要がある。 AhnLab EDR(Endpoint…
フィッシングメールを通じて配布される SVG(Scalable Vector Graphics)フォーマットのマルウェアに注意 Posted By ATCP , 2024년 11월 25일 ASEC(AhnLab SEcurity intelligence Center)は最近、SVG(Scalable Vector Graphics)フォーマットのマルウェアが多数配布されている状況を確認した。SVG ファイルとは、拡張可能なベクターグラフィックを表す XML ベースのファイル形式である。主にアイコン、チャート、グラフなどに使用されるものであり、コード内に CSS および JS…
JAR 署名ツール(jarsigner.exe)によって実行される XLoader Posted By ATCP , 2024년 11월 19일 最近 AhnLab SEcurity intelligence Center(ASEC)では、DLL Side-Loading 手法を利用する XLoader マルウェアの拡散状況を確認した。DLL Side-Loading 攻撃手法は、正常なアプリケーションと不正な DLL…
正常なプログラムをもとに作成され拡散している LummaC2 情報窃取型マルウェア Posted By ATCP , 2024년 11월 18일 LummaC2 は、クラックなどの違法ソフトウェアに偽装して活発に拡散している情報窃取型マルウェアであり、配布方法、作成方法が持続的に変化している。最近では正常なプログラムにマルウェアを挿入した形で配布されており、注意が必要である。 LummaC2 マルウェアが実行されると、ブラウザに保存されたアカウント情報、メール情報、暗号通貨ウォレットの情報、オートログインプログラムの情報などのプライベートな情報が攻撃者の C&C サーバーに転送され、窃取された情報はダークウェブで取引されたり、さらなるハッキング攻撃に利用されるなどの2次被害が発生するおそれがある。個人用 PC から窃取された情報により、企業のシステムまで攻撃を受ける侵害事故も絶えず発生し続けている。 従来はマルウェア専用のビルダー(Builder)を使用してマルウェアを作成し、バージョン情報、アイコン情報などのリソース部分のみ正常なファイルと同様に偽装する形で主に配布されていた。そのため、ファイルのリソースは正常であるかのように見えても、内部コードやデータは全く異なる形式になっており、見分けがつきやすかった。 しかし、現在出回っているタイプは、正常なファイルの一部領域にマルウェアを挿入する方法により作成されている。この場合、大半のファイル内容および構造が正常なファイルと同じであるため、見分けがつきにくい。…
