電子書籍に偽装して配布される AsyncRAT Posted By ATCP , 2024년 07월 09일 1. 概要 AhnLab SEcurity intelligence Center(ASEC)は、過去のブログで AsyncRAT が様々な拡張子(.chm、.wsf、.lnk)によって配布された事例を紹介したことがある。[1] [2] 上記のブログにおいて、攻撃者はマルウェアを隠蔽するために「アンケート」の内容を含む正常なドキュメントファイルをデコイファイルとして活用したことが確認できるが、最近は電子書籍に偽装してマルウェアが配布される事例が確認された。 [図1] マルウェアとともに配布される電子書籍 2….
Kimsuky グループの新たなバックドアが出現 (HappyDoor) Posted By ATCP , 2024년 07월 05일 目次 本レポートは、AhnLab TIP(AhnLab Threat Intelligence Platform)で紹介された「Kimsuky グループの HappyDoor マルウェア解析レポート」(韓国語にて提供) の要約版として、侵害事例の解析に必要な情報の一部をまとめたものである。AhnLab TIP 上のレポートではマルウェアの特徴と機能だけでなく、エンコード方式や暗号化方式、パケット構造などを詳細に取り上げており、とりわけ、解析者の便宜を図るために自社製作した…
HFS(HTTP File Server)サーバーを対象とする攻撃事例(CVE-2024-23692 推定) Posted By ATCP , 2024년 07월 04일 HFS(HTTP File Server)は、単純な形式の Web サービスを提供するプログラムである。直接 Web サーバーを構築することなく実行ファイルだけで Web サービスを提供できるため、ファイル共有の目的で頻繁に使用されており、ユーザーもまた Web ブラウザを通じてアドレスに接続し、ファイルを簡単にダウンロードできる。 図1….
AhnLab EDR を活用した、Linux を対象とする防御回避(Defense Evasion)手法の検知 (2) Posted By ATCP , 2024년 07월 04일 ブログ「AhnLab EDR を活用した、Linux を対象とする防御回避(Defense Evasion)手法の検知 (1)」[1] では、攻撃者およびマルウェアが Linux サーバーを攻撃した後、ファイアウォールやセキュリティモジュールなどのセキュリティサービスを無効にして、インストールしたマルウェアを隠蔽する方式について取り上げた。 ここでは、以前のブログで取り上げたもの以外の Linux を対象とする防御回避(Defense…
韓国企業を対象とする攻撃に使用されている Xctdoor マルウェア (Andariel) Posted By ATCP , 2024년 07월 01일 AhnLab SEcurity intelligence Center(ASEC)は最近、特定されていない攻撃者が韓国国内の ERP ソリューションを悪用し、攻撃を遂行している状況を確認した。攻撃者は、システムに侵入したあと企業内のシステムを掌握するために韓国国内の特定の ERP ソリューションのアップデートサーバーを攻撃したものと推定される。また、別の攻撃事例では脆弱な Web サーバーを攻撃してマルウェアを配布していた。攻撃対象となったのは、韓国国内の防衛産業企業、製造業などが確認されている。 確認されたマルウェアの中には、既存の ERP…
ダウンロードするたびに新たに作成される InnoSetup マルウェア Posted By ATCP , 2024년 06월 27일 AhnLab SEcurity intelligence Center(ASEC)では、クラックおよび商用ツールに偽装して配布されているマルウェアのうち、新たなタイプのマルウェアを確認した。当該タイプは実行後すぐに不正な振る舞いを行っていた従来のマルウェアとは異なり、インストーラー UI が出力され、ボタンをクリックしてインストールプロセスを進めた場合に不正な振る舞いを開始する。 また、事前に作成しておいたマルウェアを配布する一般的な方法ではなく、ユーザーがダウンロードリクエストを行った場合に直ちにマルウェアを作成し、レスポンスするものと推定される。そのため、ダウンロードのたびに同じ機能で異なるハッシュ値を持つマルウェアが作成され、ダウンロードされる。 マルウェアは C2 のレスポンスに従ってファイルをダウンロードしたあと実行でき、配布当時の確認の結果、情報窃取型マルウェアの StealC、感染システムを商用プロキシのリソースとして活用する Socks5Systemz、セキュリティ関連のブラウザプラグインに偽装して照会数を増やす…
CMD ファイルで配布される DBatLoader Posted By ATCP , 2024년 06월 27일 AhnLab SEcurity intelligence Center(ASEC)は、最近 CMD ファイルで配布されているマルウェアを確認し、過去にフィッシングメールに EXE ファイルを含んだ RAR ファイル形式で出回っていた DBatLoader(ModiLoader)という Downloader…
韓国の Web サーバーを対象とするコインマイナーの攻撃事例の解析 Posted By ATCP , 2024년 06월 20일 Web サーバーは不特定多数のユーザーに Web サービスを提供する目的で外部に公開されているため、過去から攻撃者の代表的な攻撃対象となっている。AhnLab SEcurity intelligence Center(ASEC)は、脆弱性に対するパッチが適用されていない、または不適切に管理されている脆弱な Web サーバーを対象とした攻撃をモニタリングしており、確認された攻撃事例をブログで公開している。 ASEC は最近、韓国国内の医療機関を攻撃してコインマイナーをインストールする攻撃事例を確認した。攻撃対象となった Web…
SoftEther VPN をインストールする韓国国内 ERP サーバーを対象とする攻撃事例の解析 Posted By ATCP , 2024년 06월 18일 AhnLab SEcurity intelligence Center(ASEC)は最近、韓国企業の ERP サーバーを攻撃して VPN サーバーをインストールする攻撃事例を確認した。攻撃者は、初期侵入過程で MS-SQL サービスを攻撃し、その後は Web シェルをインストールして持続性を維持し、感染システムをコントロールした。ここまでのプロセスが終了したあとは、感染システムを…
AhnLab EDR を活用した、Linux を対象とする防御回避(Defense Evasion)手法の検知 (1) Posted By ATCP , 2024년 06월 17일 一般的に、機関や企業のなどの組織では、セキュリティの脅威を防ぐために様々なセキュリティ製品を使用している。エンドポイントを基準にしても、AntiVirus だけでなく、ファイアウォール、APT 防御ソリューション、そして EDR などの製品が存在する。セキュリティを担う組織が別に存在する環境でない、一般ユーザーの環境でも、基本的なセキュリティ製品がインストールされていることが多い。 そのため、攻撃者は初期侵入の後にセキュリティ製品による検知を回避するため、防御回避の戦略を用いる。最も単純な形式としてはファイルベースの検知を回避するために AntiVirus のシグネチャを回避する方式があり、そのほかにもインストールされているセキュリティ製品の削除や、ファイアウォールを回避する方式などがある。 AhnLab EDR(Endpoint Detection and…
