グローバル脅威インテリジェンス・レポート

2011年に初めて発見されたSmokeLoaderは、幾度かの変遷を経て、暗号マイナー、ランサムウェア、トロイの木馬、さらには販売時点情報管理（POS）マルウェアまで、あらゆるものを感染したシステムにロードするために使用される著名な脅威であり続けています。このマルウェアの初期のバージョンはSmokeLdrという名前でアンダーグラウンドのフォーラムで販売されていましたが、2014年以降はロシアを拠点とする脅威アクターのみに販売されています。2018年、SmokeLoaderはPROPagateコードインジェクション²手法を使用した最初のマルウェアとなりました。このマルウェアは、大規模な集団フィッシングキャンペーンに関連する悪意のある文書など、幅広い攻撃ベクトルを通じて配布することができます。2022年7月、BlackBerry Threat Research and Intelligenceチームは、SmokeLoaderがAmadey Botの新バージョンを配布しているのを観測しました。この攻撃の間、SmokeLoaderは、一般的なソフトウェアアプリケーション用の「クラックされた」ソフトウェア（別名「クラック」）やキー生成ツール（別名「キーゲン」）に隠されていました。このキャンペーンの背後にいた脅威行為者は、ブラックハットSEO手法³（別名SEOポイズニング）を利用して、マルウェアのサイトが関連する検索エンジンの検索結果の最上位またはその近くに表示されるようにし、クラックされたファイルを探している人々に悪意のある実行ファイルをダウンロードして実行するよう誘導しました。

アンチウイルスソリューションの中には、クラックやキーゲンをブロックするものがあるため、これらのファイルをダウンロードする前に、意図的にセキュリティ製品を無効にしたり、検出アラートを無視してダウンロードを続行したりする人もいます。その結果、広く検出された脅威であっても、被害者がマルウェアのダウンロードと実行を明示的に許可することで、システムに感染する可能性があります。

Warzone (aka Ave Maria) RATは、アンダーグラウンドおよびアバウトなフォーラムで販売されています。Warzoneの包括的な機能には、キーロギング、プロセス操作、コマンド実行、パスワードスクレイピング、ウェブカメラアクセス、リバースプロキシ設定、追加ファイルやマルウェアのダウンロードと実行のサポートなどが含まれます。

Warzoneは、月額22.95米ドルから始まる基本的なRATビルダーへの初期サブスクリプションと、より高価格のプレミアムバージョンの2段階の価格設定を提供している。プレミアムバージョンは、初心者の脅威行為者にアピールするように設計されており、ルートキット、隠しプロセス機能、プレミアムダイナミックDNS（DDNS）、カスタマーサポートなどの高度な機能を、3ヶ月のサブスクリプションで約800米ドルで提供しています。

このコモディティ型マルウェアは特定の標的を持たず、さまざまな脅威行為者やサイバーグループによって使用されています。前四半期、Warzoneは台湾の半導体メーカーに特化したキャンペーンで展開され、悪意のある.RARファイルの添付ファイルを通じて配信されました。

DarkCrystal（別名DCRat）は2018年に初めてリリースされ、入手可能な最も安価な.NETバックドアの1つで、価格は2カ月ライセンスで約5米ドルから、「ライフタイム」ライセンス（これは通常、脅威グループのライフタイムを意味する）で最大40米ドルとなっている。 

埋め込まれたコンフィギュレーション・ファイルは、実行時にどの機能を有効にするかを決定し、これにはスクリーンショット、キーロギング、ウェブ・ブラウザやクリップボードからのクッキーやパスワードの窃取などが含まれますが、これらに限定されるものではありません。ウクライナのコンピュータ緊急対応チーム（CERT-UA）は、ロシアとウクライナの紛争中にウクライナを標的にしたDarkCrystal7を^観測した。

BlackBastaは、ランサムウェア・アズ・ア・サービス（RaaS）として活動する比較的新しいランサムウェア・グループで、2022年4月に初めて発見された。企業データを復号化するために身代金を要求し、データが一般に流出しないようにするために追加料金を強要するという、二重の恐喝手法を採用しています。

BlackBastaは攻撃にQakbot（別名Qbot）やPrintNightmare（CVE-2021-^3452712）エクスプロイトなどのツールを使用し、被害者のデータをChaCha20とRSA-4096の組み合わせで暗号化します。BlackBastaの感染チェーンはターゲットによって異なり、他のランサムウェアグループよりも高速にデータを暗号化します。BlackBastaの動作の一部は、以前Contiグループが作成したマルウェアと類似しています。

2021年11月に初めて野生化したBlackCatランサムウェアは、Rustプログラミング言語で作成された最初の主要なランサムウェアファミリーでした。(本レポートで詳述されているように、Rustは、すべての主要なオペレーティングシステムをターゲットとするバイナリをクロスコンパイルする柔軟性を提供し、潜在的なターゲットやシステムの範囲を広げています)。このグループは、Emotetボットネットを使用してランサムウェアのペイロードを配信しています。足場が確立された後、Cobalt Strikeビーコンが展開され、脅威行為者がターゲットネットワーク内をより深く移動できるようにします。

BlackCatは設立当初から多発し、多くの著名な被害者を標的とし、二重、さらには三重の恐喝手法を使用しています。2022年のFBI勧告^13によると、BlackCatランサムウェアの関連会社は、2つの古い脅威グループと関連している可能性がある：DarkSideとBlackMatterです。BlackCatは2023年2月、アイルランドのマンスター工科大学を攻撃して話題となりました。

アドウェアは単なる迷惑行為とみなされることもあるが、それ以上に有害な場合もある。不要な広告の表示は、ユーザーの行動を監視したり、サーバーと通信したり、追加のデータやコードをダウンロードしたりといった悪意のある行動に依存しています。例えば、UpdateAgent トロイの木馬は、攻撃的なアドウェア AdLoad を展開します。当社は、この報告期間中に、macOSデバイスを使用する顧客の間で多数のAdLoad感染を防止しました。

また、Pirritアドウェアの継続的な使用も確認されました。このマルウェアは、感染したマシン上でスクリプトや追加のMachオブジェクトファイル形式（Mach-O）の実行ファイルをダウンロードし、起動します。

Linuxの人気は高まり続けている。パブリック・クラウド・サービス¹⁴の90%までがLinuxで稼働しており、かなりの数の企業がクラウド・サービスへの移行を進めているか、移行を計画している。さらに、Linux はモノのインターネット（IoT）でも一般的に使用されている。Linuxは企業では一般的なデスクトップOSではないため、感染の多くは、ユーザーに感染した添付ファイルを開かせるのではなく、ブルートフォース攻撃やネットワークやサーバーの脆弱性を突くなどの手法に頼っています。このような理由から、Linuxインフラに依存している組織では、サーバーを保護するための包括的な脆弱性管理プログラムが必要となります。

この報告期間中、BlackBerry の遠隔測定により、システムリソースを消費するだけでなく、犯罪者がリモートでシステムにアクセスできるようにするバックドアなど、他のマルウェアの展開を可能にする暗号マイナーを展開しようとする複数の Linux 攻撃が発見されました。

この報告期間には、複数のオペレーティングシステムを標的とするクロスプラットフォーム型のランサムウェアも増加している。例えば、新しいRoyalランサムウェアは、Linuxだけでなく、WindowsやESXiシステムも標的にすることができます。

暗号採掘者は、被害者のLinuxシステムリソースを使用して、金銭的利益を得るためにデジタル暗号通貨を採掘し、クリプトジャッキング^15として知られている活動である。BlackBerry 研究者は以前、Dota3マルウェア・ファミリー^16を使用した攻撃を検出した。このマルウェアは、脆弱なパスワードを使用するSSHサーバーを攻撃し、既知の暗号採掘者^XMRig17をインストールする。2021年初頭から活動しているSysrv¹⁸暗号採掘ボットネットは、Goプログラミング言語でコンパイルされており、複数のオペレーティング・システム上で実行することができる。Sysrvは.shファイルからローダーをダウンロードしようとすることから、この攻撃がLinuxシステムを狙ったものであることがわかります。このボットネットには複数のエクスプロイトがあり、システムを侵害した後にXMRigを使用して暗号通貨Moneroを採掘します。

最近の攻撃は、GLPI（ヘルプデスクやIT資産の管理に通常使用されるオープンソースのサービス管理ソフトウェア）の脆弱性であるCVE-2022-^3591419を悪用したものでした。攻撃者は、PwnKit (CVE-2021-⁴⁰³⁴²⁰)を悪用して権限の昇格を試みました。被害者のエンドポイントでは、XMRigやBillGatesとして知られるDoSツールなど、複数のマルウェアが見つかっています。

パッチの適用されていないVMware ESXiサーバを標的とした新たなランサムウェアの大規模な発生に関する最初の報告^38は、2023年2月初旬にオンラインで始まった。^{フランスに}端を発し39 、急速に世界中に広がったこのランサムウェアは、初日だけで数千台のサーバを暗号化したとする報告もあります。

この新しいランサムウェアの背後にいる脅威者は、インターネットに面したVMware ESXiサーバーの2年前の脆弱性（CVE-2021-^2197440）を悪用して侵入し、ランサムウェアを展開しました。この攻撃を受けたESXiのバージョンは以下の通りです：

• ESXi650-202102101-SG以前のESXiバージョン6.5.x
• ESXi670-202102401-SG以前のESXiバージョン6.7.x
• ESXiバージョン7.x以前のESXi70U1c-17325551

このランサムウェアのコンポーネントには、ELFファイル暗号化プログラムと、暗号化プログラムの実行を含む実行チェーンを調整するために設計されたencrypted.shシェルスクリプトが含まれていた。

実行すると、このマルウェアはVMXの設定ファイル名を変更し、実行中のVMXプロセスをすべて終了させ、拡張子が.vmx、.vmxf、.vmsd、.nvram、.vmdkのファイルを特定して暗号化しました。その後、マルウェアはオリジナルを削除しました。

次にこのマルウェアは、2.092716ビットコイン（BTC）という、一見任意とも思える金額を要求する身代金要求書を投下した。そのメモによると、3日以内に支払われなければ、データは公開されるとのことだった。

このベンダーは、2年前の2021年2月にCVE-2021-21974の脆弱性に対するパッチを発行している。この攻撃は、最新のパッチ管理プログラムの重要性を浮き彫りにし、Linuxベースのシステムが攻撃に対して脆弱であり、脅威行為者にとってますます魅力的な標的になっていることを示している。

2月中旬、テクニオン・イスラエル工科大学はDarkBitと呼ばれる新種のランサムウェアの攻撃を受けた。脅威の主体は地政学的な動機を持っているようで、身代金要求のメモには反政府的、反イスラエル的なメッセージのほか、当時行われていた技術者のレイオフに関する発言も含まれていた。

このランサムウェアはGolangで書かれており、未知の感染ベクターを使用して、暗号化から除外するファイルタイプ、ランサムノート、分割暗号化のために大きなファイルを分割する指示など、マルウェアが従う特定のパラメータを含む埋め込み設定ファイルを展開した。

このマルウェアは、より高速な暗号化ルーチンのためのオプションのマルチスレッド化など、攻撃フローをカスタマイズするためのコマンドラインオプションを使用して実行することもできる。実行されると、マルウェアは以下の呼び出しを実行します：

- "vssadmin.exe delete shadow /all /Quiet"

このコマンドは、シャドウコピーを削除し、復旧作業を妨げ、ホストマシン上の標的となるファイルタイプを特定し、AES-256で暗号化し、拡張子.Darkbitを付加する。

RECOVERY_DARKBIT.txtと題された身代金要求のメモが、被害に遭ったすべてのディレクトリに投下され、身代金の支払い方法が記載されていた。このメモには、48時間以内に身代金が支払われない場合は30％のペナルティが追加され、5日以内に支払われない場合はデータが流出すると記載されていた。

身代金要求の手紙の文言や、脅威行為者のソーシャルメディアやウェブサイト上の同様のコメントから、この攻撃は不満を持つ従業員、従業員のグループ、またはハクティビストの仕業であることが示唆される。

Blackberry Threat Research and Intelligenceチームは最近、カスタム・フィッシング・ルアーでパキスタンを拠点とする組織を標的にする未知の脅威行為者、NewsPenguinに関する調査結果を発表した。

このルアーは、2023年2月10～12日に開催されるパキスタン国際海事エキスポ＆コンファレンスをテーマにしており、コンファレンスの出展者マニュアルを装った兵器化されたWord文書が添付されていました。この文書は、リモートテンプレートインジェクション技術を使用し、悪意のあるマクロを埋め込んで、感染チェーンの次の段階を取得し、最終的に最終的なペイロードであるupdates.exeに導きました。

これまで文書化されていなかったこのスパイ活動ツールには、アンチ解析、アンチサンドボックス、情報窃盗など、さまざまな機能が含まれている：

• ホスト・ハードディスク・ドライブのサイズの確認
• ホストに10GB以上のRAMがあるかどうかの判断
• GetTickCountを使用した稼働時間の特定
• サンドボックスで動作しているか、仮想マシンで動作しているかの判断

インストールされると、マルウェアはチェックインし、12文字の文字列識別子を介してハードコードされたC2サーバーに侵害されたホストを登録します。ホストはその後、攻撃者からの指示を一連の組み込みコマンドとして受け取ることができる。コマンドには以下のようなものがある：

• プロセスおよびホスト情報の特定とリストアップ
• ホスト上のファイルとディレクトリを特定し、コピー、削除、移動、および/または変更する。
• ポータブル実行可能ファイルの実行
• プロセス（自身を含む）の終了
• 被害者のファイルをアップロード（流出）し、追加のマルウェアを含む可能性のあるファイルをダウンロードする。

さらに、このマルウェアは、コマンドを発行する間にちょうど5分間待機する。これは、C2通信に関連するノイズを最小限に抑え、セキュリティや検知メカニズムに検知されないようにするのに役立つ可能性がある。

標的となったイベントはパキスタン海軍が主催し、海洋・軍事技術に焦点を当てたものであったことから、この新たな脅威行為者は、金銭的な目的ではなく、情報窃取やスパイ活動を目的としていた可能性があります。私たちは今後もこのグループの活動を追跡・監視していきます。

Gamaredon（別名ACTINIUM）は、ウクライナの個人や団体を10年にわたり標的にしてきた、公に帰属する国家支援のロシア系APTグループである。

新年早々、BlackBerry Threat Research and Intelligence チームは、Gamaredonの新たなキャンペーンに関する調査結果を発表した。このキャンペーンでは、同グループが多段階の実行チェーンの一部として、人気の高いメッセージングアプリTelegramを活用していた。Telegramを使用することで、キャンペーンの活動は通常のネットワークトラフィックに紛れ込み、検知されずに残りました。

このキャンペーンの感染経路は、あたかも本物のウクライナの政府機関から発信されたかのように見せかけた、ロシア語やウクライナ語で書かれた兵器化された文書が添付された一連の高度に標的化されたフィッシング・ルアーでした。この文書には、感染したWordファイルを通じてコードの実行を可能にするCVE-2017-^019941の悪用などのリモートテンプレートインジェクション技術が採用されていました。悪意のある文書が開かれると、攻撃の次の段階が始まる。

ウクライナのIPアドレスを持つターゲットだけが影響を受けるように、ジオフェンシングが使用された。ターゲットがウクライナにいることが確認されると、新しい悪意のあるIPアドレスにつながるハードコードされたTelegramアカウントに接続するスクリプトがダウンロードされた。各Telegramアカウントは、定期的に新しいIPアドレスを展開し、次の段階のペイロードを提供する新しいURLを構築した。この構造により、グループは、従来のセキュリティ・メカニズムでは検出が困難なまま、インフラを動的に更新することができた。

我々はクリミアで活動するノードを追跡し、少なくとも2022年春から活動していることを突き止めた。

2023年2月下旬、BlackBerry Threat Research and Intelligenceチームは、南米の脅威グループBlind Eagle（APT-C-³⁶⁴²）に中程度の信頼度で起因するとされる新たなキャンペーンを目撃した。Blind Eagleは2019年から活動を開始し、コロンビア、エクアドル、チリ、スペインの産業を標的にしています。

このキャンペーンの全体的な目標は、AsyncRATコモディティマルウェアを投下し、展開することだった。このグループは、特に税務機関など、さまざまな政府機関になりすます。最初の攻撃は、被害者が信用できるフィッシング・リンクに引っかかり、手の込んだマルチパートの実行チェーンが始まるところから始まることが多い。

Blind Eagleのキャンペーンでは、人気のソーシャルプラットフォームDiscordのコンテンツ配信ネットワークが悪用され、マルウェアがホストされた（Discordの機能は、多くの脅威アクターやサイバー犯罪グループによって武器化されている）。

報告期間中、ロックビットは最も活発なRaaSプロバイダーであり、1月だけで、既知のランサムウェア攻撃165件のうち50件がロックビットに起因するものでした⁴⁴。注目すべき攻撃は以下のとおりです：

• 2022年12月18日、このグループはHospital for Sick Children（通称SickKids）を攻撃した。攻撃から2週間後、ロックビットはメンバーが医療機関を攻撃することでルールを破ったと主張し、謝罪し、無料の復号化ツールを公開した。この2週間の間に、患者の検査や画像診断が遅れ、電話回線が使えなくなり、職員の給与計算システムが停止した。
• 2022年12月25日、このグループはポルトガル最大級の港であるリスボン港管理局（APL）に対して攻撃を開始した。
• 2023年1月27日、研究者^45はLockBit Greenと名付けられた新しい亜種に関する情報を共有しました。その直後、他の研究者は、この新しい亜種がContiベースの流出したソースコードを使用していることを突き止めました。
• 2月上旬、このランサムウェアグループは、ロイヤルメール（英国の多国籍郵便サービス）に対する攻撃の背後にいると主張し、データを漏洩サイトで公開すると述べた。流出サイトは2023年2月23日に公開され、2023年3月下旬の時点でもデータは公開されていた。
  

かつて脅威者は、感染したマクロを含むMicrosoft^®Office文書を頻繁に配布し、被害者が文書を開くと自動的にマクロが実行されるようにしていました。2022年半ば、マイクロソフトはOfficeマクロの自動実行を無効化し、こうした攻撃は成功しにくくなりました。その結果、脅威当事者は、一般的なワークプレイスソフトウェアを悪用する新たな方法を探しました。

この報告期間中、マルウェアやランサムウェアの配布に、^Microsoft® OneNote の添付ファイル⁴⁶（Office^365®スイートのデジタルノートアプリケーション）が使用されるケースが急増しています。攻撃者は、Windows 実行可能ファイル、バッチファイル、Visual Basic スクリプト、HTML アプリケーションファイルなどのペイロードを含む OneNote の添付ファイルをフィッシングやマルスパムキャンペーンに追加します。

被害者が悪意のあるOneNoteの添付ファイルを開くと、感染の次の段階が発生し、一般的なコモディティマルウェアが頻繁にダウンロードされ、展開されます。OneNoteの添付ファイルを悪用することが知られている脅威主体には、Agent Tesla、AsyncRAT、IcedID、FormBook、RemcosRAT、RedLine、Qakbotなどがあります。

我々の予想

ロシアのウクライナ侵攻の主な特徴は、ウクライナの軍事・民間インフラに対するサイバー攻撃である。敵対行為が続けば、このような標的型サイバー攻撃のパターンが繰り返される可能性が高い。

成果だ：

ウクライナ紛争が続く中、同地域のデジタルおよび物理的な重要インフラに対する攻撃も続いている。2022年11月のEUエネルギー相との会合^48で、ウクライナのガルシュチェンコ・エネルギー相は、民間インフラの大部分が損傷または破壊され、攻撃が止んでいないことを示唆した。

我々の予想

病院や医療機関を標的にした攻撃を含むランサムウェア作戦は、特にウクライナを支援したり、ウクライナに資金を提供したりしている国々では今後も続くだろう。

成果だ：

今期もランサムウェア攻撃は続いているが、金銭的な動機以外のものは不明である。著名なランサムウェア・グループであるLockBitは、この報告期間に活発に活動し、合計1,500人以上の被害者を攻撃した可能性がある。このグループは、保健・医療組織を標的にすることに何の躊躇もないようで、被害者の中には米国を拠点とする医療プロバイダーも含まれていた。

また、BlackCatランサムウェアの運営者による攻撃も増加しており、主に米国を拠点とする被害者を標的としています。さらに、ESXiArg ランサムウェアは、パッチの適用されていない脆弱なシステム数百台に影響を及ぼし、この報告期間中に懸念の原因となりました。

我々の予想

重要インフラへのサイバー攻撃は今後も続くだろう。AIは攻撃の自動化だけでなく、高度なディープフェイク攻撃の開発にもますます利用されるようになるかもしれない。

成果だ：

重要なインフラストラクチャは、常に金銭的および政治的な動機に基づく脅威行為者のターゲットであり、全体的な脅威の状況におけるディープフェイクの使用は、重要な牽引力となっています。BlackBerry Threat Research and Intelligenceチームは、マルウェアが混入されたクラックされたソフトウェアを宣伝するために、ディープフェイクや類似の策略を活用する複雑な暗号通貨詐欺を観察してきました。

紛争が続く中、ウクライナに対するサイバー攻撃も続くだろう。ウクライナ国家サイバー保護センターは、2022年を通じてサイバー攻撃^49が前年比で約3倍に増加し、ロシアを拠点とするIPアドレスを発信元とする攻撃が26％^50と大幅に増加したと報告している。

2023年1月、ESETは、悪名高いSandworm Groupに起因するSwiftSlicerと名付けられた新しいマルウェアワイパーを文書化しました。このGolangでコンパイルされたマルウェアは、ワイパーの長い^ライン51の中で最新のもので、ターゲット・ネットワーク上に展開されるとデータを破壊します。

サイバー攻撃はロシアの軍事作戦の要素としてよく^知られている52 ので、ウクライナに対する攻撃は今後も続く可能性が高い。

対話型AIチャットボット^ChatGPT53は、2022年11月に世界中でリリースされた。サイバー犯罪者がChatGPTを詐欺や基本的なマルウェアの作成に使用する可能性をテストし、議論しているという最初の^報告54が2022年12月に始まりました。2023年1月には、^研究者55が、ChatGPTがポリモーフィック機能を備えた複雑な悪意のあるコードを作成できることを実証しました。

ChatGPTのようなAIを搭載したボットがより高度で一般的になるにつれ、その機能が悪意のある目的に悪用されることは避けられません。このような増大する脅威に対する防御には、予防と検出の機能だけでなく、効果的な脅威インテリジェンスが必要です。

この報告期間では、製造業と医療業界を狙った商品マルウェアによる攻撃が大半を占めました。これらのコモディティ情報窃取ツールは、データ窃取や、ネットワーク侵入を容易にするためのアクセス認証情報を取得するためのツールとして使用されていました。この種のアクセスは、IABサービスを通じて頻繁に販売されており、情報窃取者のログは、しばしばアンダーグラウンドのマーケットプレイスで販売されています。多くの場合、侵入に成功すると、ランサムウェアの展開など、最初の侵入の影響を増幅させるような後続の攻撃が発生する。

セキュリティへの取り組みが強化されているにもかかわらず、サプライチェーン・パートナーを標的としたサイバー攻撃は、今後3カ月間も重大な脅威であり続けるだろう。すべての業界がサプライチェーン攻撃のリスクにさらされている一方で、製造業は、金融資産、特許、その他の知的財産を有するため、金銭的動機に基づく脅威行為者や国家に支援された行為者にとって特に魅力的な標的である。

自動車業界のサプライチェーンを標的とした最近のランサムウェア攻撃は、こうした攻撃が製造業全体に及ぼす潜在的な影響を示している。サプライチェーンの混乱は、標的となった企業だけでなく、業界のバリューチェーンにある他のすべての組織やシステムに影響を及ぼす。

ランサムウェアの展開を容易にするためにIABを利用するのと同様に、サプライチェーン攻撃は今後も続くと予想される。