グローバル脅威インテリジェンス・レポート

前回の報告書と同様、いくつかの主要産業セクターを2つのセクションに統合した：クリティカル・インフラストラクチャー（重要インフラストラクチャー）」と「商業エンタープライズ（商業企業）」である。

CISA（Cybersecurity and Infrastructure Security Agency）が定義する重要インフラは、医療、政府、エネルギー、農業、金融、防衛など16のセクターを含む。

これらのセクターのデジタル化が進んでいることは、その資産がサイバー犯罪者にとってより脆弱であることを意味する。脅威の主体は、システムの設定ミスや従業員に対するソーシャル・エンジニアリング・キャンペーンなどの脆弱性を介して、重要なシステムを積極的に悪用している。

営利企業には、製造業、資本財、商業・専門サービス業、小売業などが含まれる。企業は常にサイバー攻撃の格好の標的であり、コネクテッド・デバイスやクラウド・コンピューティングの利用が増えたことで、そのシステムへの侵入が容易になっている。また、攻撃者はより巧妙になり、ソーシャル・エンジニアリングを利用してアカウント情報を取得し、マルウェアを配布することも多くなっている。

当社の内部遠隔測定によると、BlackBerry サイバーセキュリティ・ソリューションが遭遇したサイバー攻撃のうち、 業界固有のものは60パーセントが重要インフラを標的としたものでした。さらに、ユニークなマルウェアのハッシュの32パーセントが、重要インフラのテナントを標的としていました。

CylanceENDPOINT^™およびその他のBlackBerry サイバーセキュリティ・ソリューションは、金融、医療、政府、公共事業を含む重要産業部門に対する110万件以上の攻撃を阻止した。この110万件の攻撃のほぼ半数は金融セクターによるものであった。さらに、政府および公共部門の組織は、最も多様な攻撃を経験しており、ユニーク・ハッシュの36%以上がこの部門を標的としていました。

BlackBerry 遠隔測定では、世界中の重要なインフラを標的とするマルウェアの流行が記録されています。例えば、悪名高い情報窃取ツールであるLummaStealerは、特に中南米の食品・農業業界やAPAC地域のエネルギー部門を標的としていることが確認されています。この報告期間中に観測された注目すべき脅威は以下のとおりです：

• 8Baseランサムウェア：ランサムウェアの動作｜医療分野
• アマデイ（Amadey Bot）：多機能ボットネット｜政府関連施設
• ブーティランサムウェア作戦｜商業不動産
• LummaStealer（LummaC2）：C-based infostealer｜食品・農業分野（LATAM）、エネルギー分野（APAC）
• PrivateLoader：ダウンローダー・ファミリー｜エネルギー分野
• Remcos（RemcosRAT）：業務用リモートアクセスツール（RAT）｜食品・農業分野
• ヴィダル（ヴィダースティーラー）:コモディティ・インフォステアラー｜様々な分野：
  • APAC諸国のエネルギー部門
  • ラタム諸国のITセクター
  • 北米の金融サービス部門
  • 欧州、中東、アフリカ（EMEA）の政府施設セクター

重要インフラに対するこれらの脅威の詳細については、付録を参照されたい。

外部脅威とは、BlackBerryの内部遠隔測定以外で記録されたサイバー攻撃のことである。前回の報告期間中、より広範な世界的脅威の状況において、重要なインフラに対する注目すべき攻撃が多数発生した。

米エネルギー省（DOE）の研究施設であるアイダホ国立研究所（INL）で2023年末に発生した情報漏えいの影響は続いている。攻撃者は同研究所のクラウドベースの人事管理プラットフォーム「オラクルHCM」に侵入し、4万5000人以上の個人データを吸い上げた。ハクティビスト集団SiegedSecは、数週間後にこの攻撃の責任を主張し、盗まれたデータの一部をオンライン・リーク・フォーラムに投稿した。図7は、この報告期間中に発生した重要インフラに対する注目すべき脅威のタイムラインである。

各業界がサイバーセキュリティの脅威にさらされているのと同様に、個々の企業もサイバー攻撃と戦っている。特に、財務、通信、販売、調達、その他の事業運営において、デジタルインフラへの依存度が高い傾向にある。新興企業から多国籍コングロマリットまで、あらゆる企業がサイバー脅威、特にランサムウェアの影響を受けやすい。

前回の報告期間中、BlackBerry サイバーセキュリティ・ソリューションは、企業セクターの業界を標的とした 70万件の攻撃をブロックした。

社内の遠隔測定によると、前回の報告期間と比べ、営利企業は以下のようになった：

• の増加であった。
• ユニークなハッシュが10％増加した。

営利企業は、MaaS（Malware as a Service：サービスとしてのマルウェア）事業を通じて販売される情報窃取者からの脅威に直面しています。多くの場合、これらの脅威は被害者のデバイス上に追加のマルウェアを展開します。これらのマルウェアは、セキュリティ製品や従来のアンチウイルス（AV）ソフトウェアを回避するためのサイバー軍拡競争の中で進化し続けています。BlackBerry のテレメトリで指摘されている一般的なマルウェアには、以下のようなものがあります：

• レッドライン（レッドライン・ステーラー）： インフォスティーラー
  
• SmokeLoader： 一般的に利用されている汎用性の高いマルウェア
• PrivateLoader： マルウェアを促進する
• ラクーンスティーラー MaaS情報泥棒
• LummaStealer (LummaC2)：マルウェア情報泥棒

営利企業に対するこれらの脅威の詳細は、付録を参照されたい。

ランサムウェアは、あらゆる規模やビジネス志向の組織に対して蔓延している惨劇である。最近のランサムウェア攻撃の例としては、以下のようなものがある：

• ティンバーランド、ザ・ノース・フェイス、バンズといった有名スポーツウェア・ブランドを展開する米国のメーカー、VFコーポレーションが2023年12月、ランサムウェア集団ALPHVによるランサムウェア攻撃の被害に遭った。攻撃者は3,500万人以上の顧客データを盗み、注文処理に遅れが生じるなど、重要なホリデーシーズンに混乱を招いた。
• スウェーデンのスーパーマーケット・チェーンであるコープ・ヴェルムランドは、ランサムウェア集団「Cactus」によるランサムウェア攻撃により、繁忙期であったホリデーシーズンを妨害された。
• ドイツの有名メーカーであるティッセンクルップ社は、2024年2月に自動車関連部門で情報漏洩に見舞われた。同社は後に、この攻撃はランサムウェアによる失敗だったと発表した。
• 3月、Stormousランサムウェア・グループは、20以上のブランドのビールを製造するベルギーのDuvel Moortgat Breweryを攻撃し、88GBのデータを盗んだ。

地政学的な対立がサイバー攻撃の原動力となることが増えている。デジタル技術は善のための強力なツールとなりうるが、国家や非国家主体によって悪用されることもある。2024年の最初の3カ月間に、ヨーロッパ、北米、アジア太平洋地域の国会議員が標的型スパイウェアの被害に遭いました。脅威者は複数の政府省庁のITシステムに侵入し、軍事システムを侵害し、世界中の重要なインフラを混乱させた。

こうした侵入の動機は複雑で不透明なことが多いが、最近の事件で最も重要なものは、ロシアのウクライナ侵攻、イスラエルとイランの間で高まっている侵略、南シナ海やインド太平洋地域で進行中の緊張など、地政学上の大きな分断に関わるものだった。

ウクライナでは、サイバー戦争が続いている。サイバースペースにおける合法的な行動を規定する国際規範に反して、ウクライナに対して行われた攻撃は、民間と軍事インフラの区別がつかないまま続いている。1月には、ロシアの諜報員がキエフの住宅用ウェブカメラを盗聴し、ミサイル攻撃を開始する前に同市の防空システムに関する情報を収集したとされる。報告書によれば、攻撃者たちは、より正確なミサイル照準のために、カメラアングルを操作して近くの重要インフラに関する情報を収集した。

XZ Utils バックドア

CVE-2024-3094(10 クリティカル)
不正アクセス

この悪質なコードは、XZ Utils バージョン 5.6.0 および 5.6.1 に埋め込まれていました。このバックドアは sshd を操作し、認証されていない攻撃者に、影響を受ける Linux ディストリビューションへの不正なアクセスを許可します。
 

Ivantiのゼロデイ脆弱性

CVE-2024-21887(9.1 重大);CVE-2023-46805(8.2 高);CVE-2024-21888(8.8 高);CVE-2024-21893(8.2 高)
任意のコード実行

今年初め、Ivanti Connect Secure (9.x, 22.x)およびIvanti Policy Secure (9.x, 22.x)製品に認証バイパスおよびコマンドインジェクションの脆弱性が発見された。この脆弱性は、Ivanti Connect Secure (9 x, 22 x)およびIvanti Policy Secure (9 x, 22 x)製品に存在し、両製品が脅威者によって使用された場合、悪意のあるリクエストを作成し、システム上で任意のコマンドを実行することが可能になります。

Ivantiは1月にも、同製品に影響を及ぼす2つの脆弱性、CVE-2024-21888（特権昇格の脆弱性）とCVE-2024-21893（サーバーサイドリクエストフォージェリの脆弱性）について警告している。国家行為者は、これらのゼロデイ脆弱性を悪用し、カスタムマルウェア株を展開している。
 

ウィンドウズ・スマートスクリーンのバイパス

CVE-2024-21412(8.1 High)
セキュリティバイパス

これは、Microsoft Windowsのインターネットショートカットファイルに影響する、インターネットショートカットファイルのセキュリティ機能のバイパスです。セキュリティチェックをバイパスするには、ユーザーによる操作が必要です。この脆弱性を利用し、DarkMe RATは、Windowsのインターネットショートカットファイルのセキュリティ機能を迂回します。このゼロデイ脆弱性は、脅威グループによる DarkMe RAT の展開に利用されました。

脅威グループのハイレベルなテクニックを理解することは、どの検知テクニックを優先させるべきかを決定する際に役立ちます。BlackBerry 、本レポート期間中に脅威行為者によって使用されたテクニックのトップ20は以下の通りです。

最後の欄の上向きの矢印は、前回のレポートからそのテクニックの使用率が増加 したことを示し、下向きの矢印は使用率が減少したことを示し、 等号（=）の記号は、前回のレポートと同じ位置にそのテクニックがあることを意味する。

この 90 日間レポートは、将来の脅威に対する知識と備えを維持するために作成されています。急速に変化するサイバーセキュリティの脅威に対処するためには、業界や地域、重要課題に関する最新のセキュリティ・ニュースを常に把握しておくことが役立ちます。以下は、2024年1月から3月までの主な要点です：

• 社内のAttacks Stopped遠隔測定によると、BlackBerry 、当社のテナントに向けられた1日あたり37,000件の攻撃を阻止しました。 また、当社のテナントや顧客を標的としたユニークなマルウェアが大幅に増加しており、前回の報告期間と比較して1分あたり40%増加しています。このことは、脅威行為者が被害者を注意深く狙うために大規模な対策を取っていることを示唆している可能性があります。
• クリティカル・インフラ」、「営利企業」、「トップ・スレット」の各セクションでは、「インフォ スティーラー」が目立っています。このことは、機密データや個人データが、あらゆる地域や業種の脅威によって強く求められていることを示唆しています。
• 最も注目すべきランサムウェアグループについて説明した新しい「ランサムウェア・セクション」で強調したように、ランサムウェアは重要なインフラ、特に医療を標的とするようになってきています。
• CVEの悪用は昨年急速に拡大し 、今後も続くでしょう。 BlackBerry 、過去3カ月間にNISTが開示したCVEは9,000件近くも新たに記録されました。さらに、これらの開示された脆弱性の56％以上が重要度7.0以上のスコアを獲得しています。ConnectWise ScreenConnect、GoAnywhere、および複数の Ivanti 純正製品など、多用されている正規ソフトウェアに関連するエクスプロイトが、脅威行為者によって驚くほどの割合で武器化され、パッチの適用されていない被害者のマシンにマルウェアを大量に送り込んでいます。
• ディープフェイクや誤報による政治的欺瞞は、ソーシャルメディアを通じてますます広がっており、特にロシアのウクライナ侵攻、中東紛争の展開、11月に行われる米国大統領選挙に関連して、今後も問題となるだろう。

サイバーセキュリティの脅威のトップと防御策に関する詳細は、BlackBerry ブログでご覧いただけます。

8Baseランサムウェア：2023年に初めて確認された、特に攻撃的なランサムウェアグループ。その歴史は浅く、北米やラテンアメリカ諸国の被害者を標的とすることが多い。この脅威グループは、初期アクセスを達成するためにさまざまな手口を駆使し、被害者のシステムの脆弱性を悪用して潜在的な支払いを最大化することもあります。

アマデイ（アマデイボット）：モジュラー設計の多機能ボットネット。被害者のデバイスに侵入すると、C2サーバーからコマンドを受け取り、情報の窃取やペイロードの追加など、さまざまなタスクを実行します。

Buhti 比較的新しいランサムウェアであるBuhtiは、流出したLockBit 3.0 (a.k.a. LockBit Black)およびBabukランサムウェアファミリーの亜種を利用し、WindowsおよびLinuxシステムを攻撃します。さらにBuhtiは、特定の拡張子を持つファイルを盗むために設計された「Go」プログラミング言語で書かれたカスタムデータ流出ユーティリティを使用することが知られています。このランサムウェアの運営者は、IBMのAspera Faspexファイル交換アプリケーション（CVE-2022-47986）や、最近パッチが適用されたPaperCutの脆弱性（CVE-2023-27350）に影響を与える他の深刻なバグを迅速に悪用することもすでに確認されている。

LummaStealer（LummaC2）：C言語ベースの情報窃取ツールで、営利企業や重要なインフラストラクチャ組織を標的としており、被害者のデバイスから個人情報や機密データを抜き取ることに重点を置いています。多くの場合、アンダーグラウンドのフォーラムやTelegramグループを通じて宣伝・配布され、この情報窃取者はトロイの木馬やスパムを利用して増殖します。

PrivateLoader：2021年以降、主に北米の営利企業を標的として野放しになっている悪名高いダウンローダー・ファミリー。PrivateLoaderは（その名の通り）初期アクセスメカニズムであり、被害者のデバイス、すなわち情報窃取装置への多数の悪質なペイロードの展開を容易にします。PrivateLoaderは、地下のペイ・パー・インストール（PPI）サービスを通じて配布ネットワークを運営し、継続的な使用と開発の資金を調達します。

ラクーンスティーラー MaaSインフォステーラー。2019年以降、RaccoonStealerのメーカーは、セキュリティソフトウェアや従来のAVソフトウェアを回避する能力を強化している。BlackBerry'の内部遠隔測定によると、RaccoonStealerは北米の商業企業を標的としていることが確認されている。

RedLine (RedLine Stealer)： 広く配布されているマルウェア情報窃取ツールで、MaaS経由で販売されることが多い。このマルウェアを配布する脅威グループの主な動機は、政治、破壊、スパイ活動よりも、むしろ金銭的な利益にあるようです。このため、RedLineはさまざまな業界や地域を積極的に標的としています。

Remcos（RemcosRAT）：コンピュータやデバイスを遠隔操作するために使用される商用グレードのRAT。正規のソフトウェアとして宣伝されていますが、このリモート・コントロールおよび監視ソフトウェアは、しばしばリモート・アクセス・トロイの木馬として使用されました。

SmokeLoader： 一般的に利用されているマルウェアで、被害者のデバイス上に他のマルウェアを展開するなど、多くの機能を備えています。SmokeLoader は、BlackBerry が複数のGlobal Threat Intelligence レポートを通じて繰り返し観測している脅威です。この報告期間中、このマルウェアは北米内の商業サービスおよび専門サービスを標的としていることが確認されています。

Vidar（VidarStealer）：2018年から野放しになっているコモディティ情報窃取者で、重武器化されたマルウェア・ファミリーに発展しています。攻撃者は、ConnectWiseによる人気のあるScreenConnect RRMソフトウェアの脆弱性を悪用することで、Vidarを展開することができました。これらの2つのCVE、CVE-2024-1708とCVE-2024-1709は、脅威行為者が重要なシステムをバイパスしてアクセスすることを可能にしました。