グローバル脅威インテリジェンス・レポート

脅威インテリジェンスは、「敵の意表を突く技術」と考えることができる。サイバー攻撃という不意打ちを予測し、緩和し、防止することが、実用的な脅威インテリジェンス・プログラムの主要な使命である。

その目標を達成するには、次のような重要な質問に答えるプロアクティブなアプローチが必要だ：私の組織に影響を及ぼす可能性が最も高いのはどの脅威者か？彼らの動機、目標、能力は何か？彼らはどのように行動し、どのようなサイバー兵器を使って目標を達成するのか？そして最も重要なことは、組織のサイバー防衛能力を向上させるために、どのような実用的な対抗策を展開できるかということである。

サイバーセキュリティ・グローバル脅威インテリジェンス・レポート（BlackBerry ）を発表しました。本レポートの使命は、標的型攻撃、サイバー犯罪を動機とする脅威行為者、および貴社のような組織を標的とするキャンペーンに関する実用的なインテリジェンスを提供することであり、これにより貴社は十分な情報に基づいた意思決定を行い、迅速かつ効果的な行動を取ることができます。

この第1版では、BlackBerry Threat Research and Intelligenceチームに所属するトップクラスの脅威リサーチャーやインテリジェンス・アナリストによるレポートを掲載しています。このチームは、技術的な脅威だけでなく、地域や世界の地政学的な動きや、それらが各地域の組織の脅威モデルに与える影響についても理解している世界トップクラスの専門家です。このレポート（2022年9月1日から11月30日までの90日間をカバー）を作成するために、チームは自社の人工知能（AI）主導の製品と分析能力から得たデータと遠隔測定データを活用し、他の公的および民間の情報源によって補完しました。

本レポートの調査ハイライトは以下の通り：

• 数字で見る90日間 BlackBerry 、お客様への影響を阻止したユニークなマルウェアのサンプル数や、それらの攻撃の地理的な分布など、90日間の報告期間の統計の概要です。プレビュー：当社のテクノロジーは、1時間あたり平均62件、1分あたり約1件の新たな悪意のあるサンプルを阻止しました。

• 最も一般的な武器Emotetのような悪意のあるローダーの復活、サイバー脅威の状況におけるQakbotの広範な存在、GuLoaderのようなダウンローダーの増加など、サイバー攻撃で使用される最も一般的な武器に関する情報。

• リモートアクセスは情報泥棒を増やす パンデミック後のリモートワークやハイブリッドワークの台頭により、外部から社内ネットワークにアクセスする必要性が広まっている。攻撃者は、新たなリモート・アクセスの可能性を利用し、情報窃盗犯（インフォステーラー）を使って企業の認証情報を盗み出し、ブラックマーケットで販売しています。本レポートでは、この時期に私たちが目にした、最も一般的で広く普及しているインフォステーラーについて説明します。

• どのプラットフォームも「安全」ではない。 脅威当事者は、さまざまなサーバ、デスクトップ、モバイルのプラットフォームを標的とする複数の戦略を持っています。例えば、一般的な意見とは裏腹に、macOSは「より安全な」プラットフォームではなく、macOS向けのマルウェアや脆弱性があふれています。その他にも、Linuxプラットフォームに対する攻撃の増加といったトレンド、GoLangのような主流ではないプログラミング言語がクロスプラットフォームのマルウェア開発に使用される方法、AndroidやiOSを実行するモバイルデバイスに影響を与える脅威の詳細な分析などを取り上げています。

• 独自の業界視点。 サイバーセキュリティとモノのインターネット（IoT）の両業界における当社の強力なプレゼンスにより、BlackBerry 、他の脅威レポートではあまり取り上げられない自動車業界などの業界の脅威を明らかにする独自の立場にあります。本号では、自動車業界だけでなく、ヘルスケア業界や金融業界にも影響を及ぼすと思われるサイバーセキュリティのトレンドに関する情報をお届けします。

• トップクラスの脅威行為者と対策私たちの遠隔測定により、様々な脅威行為者の活動も明らかになりました。このレポートには、最も一般的な戦術、技術、手順（TTPs）に関する情報や、MITRE ATT&CK および MITRE D3FEND にマッピングされた適用済み対策の公開リストへのリンクが含まれています。私たちの目標は、この実用的な情報に基づいて組織の防御や脅威モデルを簡単に更新できるようにすることです。

• まとめと展望 最後に、結論と2023年のサイバー脅威予測を示す。

このレポートを作成し、BlackBerry's data- andCylance AI-driven products and servicesを継続的に改善しながら、数多くの「市場初」の調査レポートを作成し続けているBlackBerry Threat Research and Intelligenceチームの精鋭グローバルリサーチャーに感謝したい。

イスマエル・バレンズエラ
脅威リサーチ＆インテリジェンス担当バイスプレジデントBlackBerry

ツイッターアバウト・セキュリティ

BlackBerry サイバーセキュリティ脅威インテリジェンス執筆陣

• ドミトリー・ベストゥジェフ
• ペドロ・ドリメル
• ジェイコブ・ファイアーズ
• ディーン・ギヴン
• エオイン・ヒーリー
• ジェフ・オルーク
• ホセ・ルイス・サンチェス

100年以上の歴史を持つ自動車産業は、大きな技術革新の真っただ中にある。画期的な技術の進歩により、新しいタイプの自動車、システム、サービスの開発が可能となっている。このデジタル・トランスフォーメーションは、多くのメリットをもたらす一方で、サイバーセキュリティに関する新たな課題ももたらしている。

自動車がより接続され、自律的に動くようになるにつれ、サイバー脅威や脅威要因に対してより脆弱になる可能性がある。さらに、自動車を製造する複雑化した製造システムもサイバー攻撃のリスクにさらされている。

過去数年間、自動車業界は大規模な脅威の影響を比較的受けなかった。しかし、自動車メーカーだけでなく、自動車業界全体を標的とする悪意あるエンティティが、業務の妨害、機密データの窃取、サプライチェーンの侵害を試みるようになっています。2022年には、自動車業界を標的とする悪意ある事業者の数と、それらが引き起こす混乱が増加していることが確認された。

こうした脅威から身を守るために、自動車業界の企業は、よりコネクテッドな自動車の未来に内在する潜在的なリスクを認識し、自動車とドライバーを守るための強力なサイバーセキュリティ対策を実施しなければならない。

自動車産業はそのグローバルな規模ゆえに、監視・保護すべきエンドポイントの数は膨大である。その中には、原材料を調達する企業から自動車ディーラーや自動車所有者に至るまで、バリューチェーンのあらゆる組織が含まれる。この複雑なサプライチェーンの膨大なデジタル攻撃対象領域は、この重要なグローバル・ビジネスの運営を維持するために保護されなければならない。

2022年9月1日から11月30日にかけての攻撃は、高度なスピアフィッシングから一般的なマルスパムまで様々であり、自動車業界が常に高度なサイバー敵対者と初心者の両方から攻撃を受けていることを示している。

マルウェア・ダウンローダは、ほとんどすべてのタイプのサイバー攻撃で蔓延しており、その外観、ファイル・タイプ、システムに侵入するために使用するテクニックの相対的な洗練度はさまざまです。欺瞞的な脅威行為者は、サイバー攻撃の最初の部分として、何も知らない被害者にダウンローダーをインストールするように仕向けます。コードが実行されると、ダウンローダーはさらに悪意のあるコードとペイロードをインストールし、より広範囲に及ぶサイバー攻撃を実行します。

GuLoaderは、この報告期間中に自動車業界を標的としたダウンローダーの代表例である。このマルウェアは2019年に初めて確認され、現在も進化を続けています。GuLoaderは、他のコモディティマルウェアをダウンロードする前に、正規のデジタル文書や実行ファイルを装うことがよくあります。

自動車業界は、貴重でしばしば独自のデータを保有しているため、サイバー窃盗の格好の標的となっている。このデータは、しばしば自動車そのものよりも価値のある商品です。

マルウェアのインフォステーラーは、被害者のシステムからデータを探し出し、不正に流出させる悪意のあるコードの一種です。インフォステーラーは、RemcosのようなRATと組み合わせて、被害者システムへの悪意のあるアクセスや制御を得るために、他の脅威行為者にサービスとして販売されることが多いコモディティマルウェアとして使用されることがあります。

ランサムウェアはすべてのセキュリティチームの悪夢であり、脅威行為者は業界のサプライチェーンを標的とするランサムウェアが壊滅的な被害をもたらすことを知っています。自動車業界では、サプライチェーンのどの段階でもランサムウェア攻撃を受けると、生産や流通が停止し、業界のエコシステム全体で収益や評判が失われる可能性がある。

BlackCatランサムウェアは、2022年を通して、より悪名高いランサムウェア攻撃のいくつかで観測された。中小企業を食い物にすることが多いこの特定のRaaSを使用するサイバー犯罪グループは、主に金銭的な動機があり、主に製造業を標的にしているようです。BlackCatランサムウェアは、環境に侵入し、貴重なデータを流出させ、接続されたシステムを暗号化します。

ALPVH（BlackCatランサムウェアの背後にいる脅威グループ）は、しばしば二重の恐喝策略を用い、侵害された被害者のデータをリークサイト（盗まれた個人情報や潜在的な機密文書をホストするウェブサイト）を通じて公表する。彼らの目的は、標的となった組織に身代金の支払いを迫ることであり、より貴重なデータが公開されたり、競合他社に売却されたりするのではないかという不安につけ込むことである^xvi。

デュアルユースアプリケーションとは、一般的に、脅威行為者が悪用や濫用する可能性のある特徴や機能を提供する 合法的なツールやソフトウェアのことです。Living off the Land」（LotL）という用語は、セキュリティシステムを迂回し、検知を回避するために、正規のツール を悪用する脅威行為者の行動を表しています。

脅威者は、環境内で増殖したり、貴重なデータを流出させたり、あるいはマルウェアを「許可された」ツールとして展開したりするために、悪意のあるコードではなく、デュアルユースツールに依存することが増えています。システム管理者は、有効なユースケースやビジネス上の正当性がないデュアルユースツールをすべて削除すべきである。

パンデミックもロシアのウクライナ侵攻も、サプライチェーンが脆弱であることを明らかにした。自動車産業は、他の産業が直面する遅延、欠品、混乱と無縁ではない。

業界の複雑性を考慮すると、多くの企業はベンダー、部品、製造業者の膨大なエコシステムを維持するために、ジャスト・イン・タイム（JIT）サプライチェーン戦略に依存している。JIT戦略の特徴は、必要になるまで製品を製造しないことである。その結果、必要な部品や材料がすぐに入手できない場合、製造が遅れたり、停止したりする可能性がある。その結果、サプライチェーン内でサイバー攻撃を受けると、自動車の生産が事実上停止する可能性がある。

悪意のある敵対者は、侵入に対して厳重に防御されている自動車メーカーを直接標的にする代わりに、その様々なベンダー、特にサイバーセキュリティが脆弱なベンダーを攻撃する可能性がある。例えば、2022年3月、プラスチックや電子部品サプライヤーのファイルシステムが侵害され、日本の自動車会社で推定1万3000台の生産遅れが発生した。オートモーティブ・ニュース・ヨーロッパが引用した広報担当者によると、この自動車会社のサプライ・チェーンには、4つの階層にわたって60,000社の企業が含まれている^xxvii。この規模のサプライチェーンのどこかでサイバー攻撃が発生すれば、他の企業が必要な部品や材料を受け取る能力に影響を与える可能性がある。

医療業界は、脅威者が医療機関の機密性の高いデータや貴重な情報を狙っているため、ますます多くのサイバー脅威に直面しています。これは医療提供者にとって重大な問題であり、サイバー攻撃が成功すれば、患者の機密データの紛失や公開、金銭的損失、さらには患者への直接的な身体的被害など、深刻な結果をもたらす可能性があるからです。医療は、耐用年数の長い医療技術が広く使用されていること、医療システムが複雑で相互接続されていることが多いこと、日常的に収集・保存されるデータが膨大な量の機密データであることなど、さまざまな要因が重なり、こうした脅威に対して特に脆弱です。医療従事者は、現在のサイバー脅威の危険性を理解し、潜在的な被害から自分自身と患者を積極的に守ることが不可欠です。

全体として、ランサムウェアは依然として医療業界にとって最大の脅威であり、ランサムウェアに依存する脅威グループは、10月にコモンスピリット・ヘルスに対するランサムウェア攻撃で60万人以上の患者のデータが漏洩したことからもわかるように、依然として非常に積極的に医療業界を狙っている^xxix。過去には、Mazeのような一部のRaaSグループは病院を攻撃しないと表明していたが、そのような約束は保証できない。複数のRaaSグループが多様化し、アフィリエイト・モデルも普及しているため、攻撃を実行したグループがマルウェアを開発したグループと同じとは限らない。

当社の遠隔測定によると、Cylance Endpoint Security ソリューションは、この報告期間中に医療業界を標的とする 7,748 個のユニークなマルウェア・サンプルを阻止し、1 日あたり平均 80 個以上のユニークなマルウェア・サンプルを阻止しました。最も人気の高いトロイの木馬はQakbotで、少なくとも2012年以降サイバー犯罪者によって使用されており、医療業界に高いリスクをもたらしています。2022年、Qakbotは主にBlack Bastaランサムウェアを展開するアフィリエイトによって使用されていました。Emotetは、最近4ヶ月間のシャットダウン後、多くのキャンペーンを実施しておらず、TrickBotは、Bumblebeeマルウェアの改良により集中しているようであるため、Qakbotは、RaaSアフィリエイトやIABにとって、医療ネットワークへのアクセスを容易にする最もアクティブなトロイの木馬であり続けていると考えられます。

Meterpreter（攻撃者に対話型シェルを提供するMetasploitペイロード）とBloodHoundもこの時間帯にアクティブでした。私たちは、Meterpreterを使用する攻撃と同時に、攻撃が行われた後にネットワーク内部で横方向に移動するために一般的に使用されるBloodHoundのコレクターであるSharpHoundの実行を検出しました。Cybersecurity and Infrastructure Security Agency (CISA)は、ネットワーク管理者やシステム管理者自身が意図的にBloodHoundを実行し、自分の^環境xxx上で可能性のある攻撃経路を把握することを推奨しています。

また、TinyNukeがNetwire RATをドロップすることも確認された。元々はZeuSと同様の機能を持つバンキング型トロイの木馬でしたが、TinyNukeはVNCサーバ・デバイス・コントローラとリバースSOCKS機能を含む、完全な機能を備えたトロイの木馬です。TinyNuke はまた、Kimsuky^Groupxxxiによって使用されており、朝鮮民主主義人民共和国（DPRK）のものとされています。この攻撃を調べていたところ、TinyNukeがNetwire RATをダウンロードして実行し、RATがよく使用するDuckDNSでホストされているドメインに接続していることがわかりました。

BlackBerry このRATは、Mustang Pandaを含む複数の国家的脅威アクターによって一般的に使用されており（詳細は公開レポートで）、サイバー犯罪者と国家的脅威アクターの両方が医療業界への攻撃に関心を持っていることを示しています。また、RedlineやRaccoonのような情報窃取者が特にヘルスケアを標的としていることは確認されていませんが、サイバー犯罪者が情報窃取者を配置するために一般的に使用するダウンローダーであるGuLoaderのインスタンスに遭遇しました。

金融業界は歴史的に、金融制裁の影響を受ける地域に居住するサイバー犯罪者や国家的脅威行為者に狙われてきました。この90日間の報告期間中、Cylance Endpoint Security ソリューションは、金融業界のターゲットに対して起動された9,721のユニークなマルウェアサンプルを阻止し、1日平均約108のユニークな悪意のあるサンプルが確認されました。

国家行為者を含むさまざまな脅威行為者は、Cobalt Strikeなどの商用侵入テスト（ペンテスト）ツールに依存し、サイバー犯罪者と合法的なテスト活動の帰属ラインを曖昧にしています。この混乱は、サイバー犯罪者がアクセス権を獲得した後、ネットワーク内で活動する時間を増やすことになる。2022年には、Cobalt StrikeやペンテストソフトウェアMetasploit、Mimikatz、Brute Ratelを含む市販の敵対者模擬ソフトウェアが金融機関内で使用される事件が複数発生しました。Brute Ratelは敵対的攻撃シミュレーション・ツールであり、攻撃者とセキュリティ専門家は、システムのメモリからパスワードや認証情報などの機密情報を抜き取るためにMimikatzを一般的に使用しています。現時点では、MimikatzとBrute Ratelの存在が、合法的なペンテスト活動の一部であったのか、実際の攻撃であったのかは不明である。

初期アクセスツールは、被害者のネットワークにアクセスし、それを販売することができるため、高い需要があることはよく知られている。Lapsus$グループを含む多くの脅威アクターは、企業へのアクセスを得るために情報窃取ツールを利用しています。(Lapsus$グループは、企業や政府機関に対する数多くのサイバー攻撃で知られる、恐喝に特化した国際的な脅威グループである)。

Cylance エンドポイント・セキュリティ・ソリューションは、暗号マイニングに関連する雑多な攻撃や、Windows の世界と比較して相対的に可視性が低いため魅力的なターゲットである Linux のエコシステムに対する攻撃も阻止している。その一例が、少なくとも 7 年間にわたり世界中の被害者を積極的に標的としてきた Linux トロイの木馬、バックドア Rekoobe である^xxxii。

2022年9月1日から11月30日の間、BlackBerry Threat Research and Intelligenceチームは、世界中のサイバー脅威の状況に関する最新情報を追跡、発見、調査、発表した。世界経済はCOVID-19パンデミックの余波から回復途上にあり、現在の東欧の地政学的な出来事や東西関係は不透明な状況が続いています。これらの要因は、政治的な動機と金銭的な搾取の両方を試みる脅威行為者にとって肥沃な土壌を作り出すことに集約される。

今四半期は、国家に関連するAPTグループ、金銭的な動機に基づくランサムウェアのギャング、その他あらゆる規模、能力、動機の脅威アクターが複数のキャンペーンを実施しました。以下は、世界各地で発生した最も重大な攻撃の一部と、当四半期中に当社が発見した最も重要な攻撃の一部です。

DJVU ランサムウェアは合法的なサービスやアプリケーションを装い、良性に見えるようにおとりファイルをバンドルすることがよくあります。悪名高いSTOPランサムウェアの進化版であるDJVUは、2018年に誕生して以来、多くの変遷を経てきました。このランサムウェアは暗号化ルーチンに暗号ストリーム暗号Salsa20を使用しています。実際のシステム上で実行されていることを確認するために、多数のアンチ解析とアンチサンドボックス・チェックを実行した後、このマルウェアは複数のファイルタイプを暗号化してから、被害者がファイルを回復するための指示が書かれたランサムノートを生成します。この脅威は最近、脅威行為者がランサムウェアに暗号化前のダウンローダー機能を追加したことで、さらに被害が拡大しました。

今四半期、DJVUは、Arkeiの亜種であるVidar StealerおよびRedline Stealerの背後にいる脅威グループとの明らかな協力の下、情報窃取マルウェアをダウンロードし、展開し、脅威行為者が被害者の犠牲の上に利益を得るための新たな経路を作りました。

10月上旬、我々は数ヶ月に及ぶMustang Panda APTグループの追跡結果を発表した。Bronze President、Red Delta、Honeymyteとしても知られるこのグループは、公に中国に起因するとされています。

調査の結果、ミャンマーを標的にしたキャンペーンが発覚しました。このキャンペーンは、ミャンマーの人気報道機関になりすまし、政府のVPNポータルを含む複数のエンティティを標的としていました。このキャンペーンにおける感染経路は、悪意のある添付ファイルを使用したフィッシング詐欺で、ユーザーを騙して実行させることで、攻撃者がシステムの足がかりを得るというものでした。

この実行チェーンには、DLLの検索順序ハイジャックの影響を受けやすい正規のユーティリティに加え、悪意のあるDLLローダーや暗号化されたDATペイロードなど、複数のコンポーネントが含まれていました。悪意のあるDLLローダーがサイドロードされた後、PlugXペイロードがメモリにロードされます。感染ベクター、実行チェーン、PlugXの使用、そして全体的なTTPは、Mustang Pandaの試行錯誤を重ねたキャンペーン手法に準拠しています。

BianLianは、Goプログラミング言語（GoLang）で記述された、極めて即効性の高いランサムウェアです。このホワイトペーパーでは、GoLang のようなあまり一般的に使用されていない言語の悪意のある使用が現在増加していることを予測しています。脅威当事者は、これらの言語がマルウェア、特に特注のランサムウェアを作成する可能性があることを認識しています。GoLangは特に強力な並行処理をサポートしており、複数の悪意のある関数を同時に独立して実行することで、攻撃を高速化することができます。

BianLianは比較的新しい脅威で、幅広い業界を標的にしている。このマルウェアの背後にいるグループは、純粋に金銭的な動機に基づくものと見られ、BianLianに関連する攻撃は2022年末まで続いていた。このグループは、アクセスしたシステムやネットワークを徹底的に悪用するようです。彼らの典型的な展開方法は、手動でシステムに侵入して最初のアクセスを獲得し、その後、LOLBinsを悪用してネットワークとシステムを探索するというものです。これらの情報を収集した後、金銭的利益を得るためにランサムウェアを展開する。

10月、BlackBerry は、ウクライナの軍事機関を標的にした、これまで知られていなかったRomCom RATを発見しました。同じ脅威アクターは、人気の高いAdvanced IP Scannerソフトウェアのスプーフィングバージョンを展開する前に、PDF Filler（もう1つの人気の高いアプリケーション）に取り組みを切り替えたことが知られており、これらのエクスプロイトを自ら開発した可能性があります。

RomCom RAT は、感染したデバイスを悪意を持ってコントロールしようとします。私たちが観測した最初の感染経路は、Наказ_309.pdf（英語ではOrder_309.pdf）と呼ばれる偽のウクライナ語文書へのリンクが埋め込まれた電子メールであり、次の段階のダウンローダーをドロップするものでした。

この報告期間中、この脅威者は世界中の被害者を標的とした新たな手法を積極的に開発していることが確認された。

ウクライナに対する一連の攻撃の後、同じグループが人気のあるソフトウェアブランドを利用した新たな攻撃キャンペーンを開始しました。BlackBerry Threat Research and Intelligence チームは、RomCom RAT に関する以前の調査で特定されたネットワークアーティファクトを分析する中で、このキャンペーンを発見しました。

私たちのリサーチャーは、脅威行為者がキャンペーンにおいてSolarWinds Network Performance Monitor、KeePass Open-Source Password Manager、PDF Reader Proになりすましていることを発見しました。キャンペーンでは、これらの合法的な企業を隠れ蓑として使用し、本物を模倣した偽のウェブサイトを設計して、被害者をRemcos RATマルウェアのダウンロードに誘導していました。RomComは、ウクライナの被害者を標的とした新たなキャンペーンを積極的に展開し続けており、最新の一連の攻撃では世界中の英語圏のターゲットに拡大している可能性があります。

BlackBerry 脅威調査チームは2022年を通してARCrypterランサムウェアファミリーを監視していました。8月には、BlackBerry ARCrypterと名付けられた未知の亜種がラテンアメリカの機関を標的としていることが判明しました。INVIMA（コロンビアの国立食品医薬品監視研究所）は10月、報告されたサイバー攻撃により一時的にシャットダウンされた^xxxvi。

当社の脅威ハンティングの取り組みを通じて、BlackBerry 、このランサムウェアに関心のある追加のサンプルを特定しました。攻撃の時間枠とINVIMAに言及したランサムノートの内容を考慮すると、ARCrypterランサムウェアがINVIMAサイバー攻撃で使用されたことは確実性が高いと結論づけられました。追加の調査により、追加のマルウェアドロッパーとファイル暗号化ツールという2つのファイルセットが発見されました。

12月、マスタング・パンダの継続的な監視により、複数の国や大陸の事業体を標的にしたキャンペーンが発覚しました。

このキャンペーンは、現在の地政学的な出来事に関連するテーマのルアー（「ロシアに対する新しいEUアプローチのための政治的ガイダンス.rar」というタイトルのファイルなど）に依存していた。このルアーには、おとり文書と、ルアーのRARファイルと同じ命名規則に従ったLNKファイルが含まれていました。その他のコンポーネントには、DLL検索順序ハイジャックの影響を受けやすい正規のユーティリティ、悪意のあるDLLローダー、およびグループが過去に使用したコンポーネントと同様のDATペイロードが含まれていました。

実行チェーンの目的は、PlugXペイロードをホスト・システムのメモリに送り込み、侵害されたホストに完全なリモート・アクセス機能を提供することです。

このキャンペーンの核となる実行チェーンと TTP は以前にも見られたものですが、今回の攻撃では、EnumThreadWindows の代わりに EnumSystemCodePagesW 関数をシェルコードの実行に使用するなど、実行フローに若干の変更が加えられています。このささやかな変更は、最も効果的な防御を確実にするために、防御意識と対策を調整する必要があった。

このIPアドレスのうち5つは、Mustang PandaグループのC2サーバーであり、同じ攻撃チェーンとTTPに準拠した類似のファイルを、さらに別の場所や被害者に提供していました。

キャンペーンの世界的な範囲は、グループが強力なリソースと能力を持っていることを示している。これが彼らの最後の攻撃になるとは思っていない。

前四半期（および2022年全般）は、2023年以降も続くと思われるサイバーセキュリティの重要なトレンドを明らかにした。フェイクニュースサイトを通じた誤報や偽情報の配信、ジャーナリストや反体制派の行動や言動の追跡、政府や軍事組織への直接攻撃の試みなど、政治的な動機に基づく脅威の数は増加の一途をたどっています。

その中には、新たに確認されたツールやテクニック、検知を回避するための既存ツールの改良も含まれています。自動車業界、医療業界、金融業界における標的型攻撃の増加は、これらの業界の拡大し脆弱な脅威表面を保護する必要性に厳しい光を投げかけています。

マルウェアやサイバー攻撃から組織を守るには、脅威行為者がどのようにあなたの業界を標的にしているか、彼らが使用するツール、そして彼らの考えられる動機について深い知識が必要です。この詳細な知識は、組織への脅威の影響を軽減することができる、文脈的、予測的、実行可能なサイバー脅威インテリジェンスを提供します。

• 金銭的な動機に加え、経済、地政学、社会情勢に基づいて個人や組織の被害者を標的にする脅威行為者が増加している。防御者は、経済的・政治的な発展がサイバーセキュリティに及ぼし得る影響を積極的に考慮する必要があります。
• 脅威行為者は、新しいマルウェアを開発するために、GoLangやRustのような一般的ではない、あるいはエキゾチックなプログラミング言語を使用することが増えています。脅威ハンターは常に警戒を怠らず、斬新なプログラミング言語の使用が攻撃にどのように現れるかを学ぶ必要があります。GoLangはクロスプラットフォームコーディングをサポートしているため、将来的にはLinuxやmacOSに対する攻撃が増える可能性があります。
• 初期アクセスツールへのアクセスが拡大した結果、2022年には大規模なインシデントが発生しました。また、マルウェアを独自に作成する十分な技術的スキルを持たないグループでも、マネージドサービスとしてランサムウェアを利用できるようになりました。その結果、国家レベルの脅威によるランサムウェアの利用が増加しました。
• 2022年、自動車業界はさまざまなサイバー攻撃によって大きな影響を受けた。大規模メーカーや業界のサプライヤーが侵害され、多くの生産ラインが停止した。こうした一連の攻撃は2023年も続くとみられる。
• 正規のアプリケーションを悪用して悪意のあるペイロードを配信するサプライチェーン攻撃は、ネットワークやアプリケーションへのアクセスに継続的な認証と承認を必要とするゼロトラストポリシーを導入することで、軽減、さらには防止することができる。

• これまでのところ、ロシアのウクライナ侵攻の主な特徴は、ウクライナの軍事・民間インフラに対するサイバー攻撃である。敵対行為が続けば、このような標的型サイバー攻撃のパターンが繰り返される可能性が高い。
• 病院や医療機関を標的にしたランサムウェア作戦は、特にウクライナを支援したり資金を提供したりしている国々では今後も続くだろう。
• 重要インフラへのサイバー攻撃は今後も続くだろう。AIは攻撃の自動化だけでなく、高度なディープフェイク攻撃の開発にもますます利用されるようになるかもしれない。
• 2022年9月に英国を拠点とするRevolut（人気のフィンテック企業およびアプリ）が攻撃され、5万件以上の顧客記録が漏洩したように、欧州の金融機関への攻撃も続く可能性がある。
• アメリカ大陸では、商用モバイル・スパイウェアによる攻撃が爆発的に増加すると予測しています。ブラジルの脅威行為者は、トロイの木馬によるバンキング攻撃をデスクトップ・システムからモバイル・デバイスへとさらに拡大し、ラテンアメリカの被害者を引き続きターゲットにすると予想されます。実際、2022年12月には、米国のZelleに類似した決済システムであるPIXを含むブラジルのバンキングを特に標的とするマルウェア・ファミリー「BrasDex」^xxxixが明らかになりました。
• Linuxシステムに対する攻撃は、特にシステムを仮想化し、ランサムウェアを投下し、標的システムにバックドアをインストールするような攻撃は、レーダーの下を飛び続けるかもしれない。
• 脅威行為者は、弱体化させたり利益を引き出そうとしたりする組織をさらに可視化しようとするため、あらゆる業界でクラウドインフラストラクチャに対する標的型攻撃が増えると予想される。

©2023BlackBerry Limited.BLACKBERRY, EMBLEM Design およびCYLANCE を含むがこれに限定されない商標は、ライセンスに基づき使用されるBlackBerry Limited、その子会社および/または関連会社の商標または登録商標であり、かかる商標の独占的権利は明示的に留保されています。その他すべての商標は、各所有者の財産です。BlackBerry は、いかなる第三者の製品またはサービスについても責任を負いません。BlackBerry Limitedの書面による明示的な許可なく、本書の一部または全部を修正、複製、送信、コピーすることはできません。

免責事項：本レポートに含まれる情報は、教育目的のみを目的としています。BlackBerry は、本レポートで言及されている第三者の記述や調査の正確性、完全性、信頼性について保証するものではなく、責任を負うものでもありません。本レポートに記載された分析は、当社のリサーチアナリストによる入手可能な情報の現時点での理解を反映したものであり、追加情報が当社 に知らされた場合、変更される可能性があります。読者は、本情報を私生活および職業生活に適用する際には、各自で十分な注意を払う責任があります。BlackBerry は、本レポートに掲載された情報の悪意ある使用や誤用を容認するものではありません。