Operation Earth Kitsune：新たなバックドア2種と連携する攻撃手法について解説 | トレンドマイクロ セキュリティブログ
ホーム » サイバー犯罪 » スパムメール » Operation Earth Kitsune：新たなバックドア2種と連携する攻撃手法について解説 本ブログでは2020年11月24日公開の記事で、バックドア型マルウェア「SLUB」が過去に実施した一連のキャンペーンについて言及するとともに、その後の継続した調査により確認された、SLUBの新たな亜種を含む水飲み場型攻撃経由の新たな拡散活動（キャンペーン）の調査結果をまとめたホワイトペーパーについても要約する形で報告しました。弊社トレンドマイクロは、新たに確認されたキャンペーンを「Operation Earth Kitsune」（アースキツネ）と命名しました。新たなキャンペーンでは、過去のキャンペーンでも使用されたSLUBが多用されていたほか、当該キャンペーンと連携してスパイ活動を行う2種の新たなバックドア型マルウェア「
スペイン・ポルトガル語圏を狙うバンキングトロジャン「MISPADU」の攻撃手口を解説 | トレンドマイクロ セキュリティブログ
「MISPADU（ミスパドゥ）」は、ユーザのPCから認証情報を窃取するマルウェアです。「URSA」の別名を持つこのマルウェアは一般的にはオンライン銀行詐欺ツール（バンキングトロジャン）に分類されており、トレンドマイクロでは「TrojanSpy.Win32.MISPADU.THIADBO」として検出します。MISPADUは2019年後半にマルウェアスパムやFacebook上の不正広告などを経由した拡散が報告されました。そして2020年の後半から再度メール経由の拡散活動（スパムキャンペーン）が、マルウェア解析者であるPedro Tavares氏によって発見され、Twitterおよびセキュリティブログ「Segurança Informática」で報告されています。2019年の攻撃ではメキシコやブラジルなどラテンアメリカの国で観測されました。今回2020年の攻撃でも、システム言語にスペイン語また
要注意脅威まとめ：注目ランサムウェア「DARKSIDE」と「CRYSIS」、情報窃取型「NEGASTEAL」、アプリにバンドルされたコインマイナー | トレンドマイクロ セキュリティブログ
ホーム » サイバー犯罪 » スパムメール » 要注意脅威まとめ：注目ランサムウェア「DARKSIDE」と「CRYSIS」、情報窃取型「NEGASTEAL」、アプリにバンドルされたコインマイナー 要注意脅威まとめ：注目ランサムウェア「DARKSIDE」と「CRYSIS」、情報窃取型「NEGASTEAL」、アプリにバンドルされたコインマイナー トレンドマイクロでは日夜脅威の監視と対応を行っています。その中からさまざまな脅威が利用する高度に開発された攻撃手法に着目しました。ランサムウェアにおいては、新たな暗号化型ランサムウェアファミリ「DARKSIDE（ダークサイド）」が出現する一方で、別のランサムウェアファミリ「CRYSIS」（別名Dharma）を背後で操る攻撃者がハッキングツールキットを一般に公開しました。メッセージ機能を悪用する脅威においては、攻撃対象を絞った標的
Mac向けマルウェア「XCSSET」、正規ソフトを悪用しUXSS攻撃を実行 | トレンドマイクロ セキュリティブログ
トレンドマイクロでは、Xcodeの開発者向けプロジェクト関連で、異常な感染を確認しました。さらに調査を進めたところ、特定の開発者のXcodeプロジェクト全体にソースマルウェアが含まれており、不正ペイロードの取得につながることが判明しました。本記事では、Mac向けマルウェア「XCSSET」に関する調査結果を要約します。この攻撃の詳細については、こちらの技術的詳細から確認可能です。トレンドマイクロでは、最初に侵入するマルウェアを「TrojanSpy.MacOS.XCSSET.A」として、そしてコマンド＆コントロール（C＆C）に関連するファイルを「Backdoor.MacOS.XCSSET.A」として検出しました。 図１：ソースマルウェアを含むXcodeプロジェクトのサンプルとそのコンテンツの例 ■Xcodeのプロジェクトファイルを汚染する手口 XcodeはApple社のmacOSおよびiOS用
脆弱性「Zerologon」（「CVE-2020-1472」）と行うべき対策 | トレンドマイクロ セキュリティブログ
マイクロソフトは8月11日、脆弱性「CVE-2020-1472」を公表しました。「Zerologon」と呼ばれるこの脆弱性は、攻撃者がドメインコントローラ（DC）に対して認証を試みる際、Netlogon認証プロセスで使用される暗号化アルゴリズムを利用し、コンピュータIDを偽装できると考えられます。このNetlogon Remote Protocol（MS-NRPC）の脆弱性により、攻撃者がネットワーク上のデバイスでアプリケーションを実行できる可能性があります。また未認証の攻撃者は、MS-NRPCを使用してDCに接続し、管理者権限へのアクセス権を取得します。既に攻撃実証コード（POC）が公開されており、いつ攻撃が発生してもおかしくない状態と言えます。攻撃が行われた場合、DCが乗っ取られるなど影響が大きいため、速やかな修正プログラム適用が推奨されます。「CVE-2020-1472」に対するパッ
「BIG-IP」の脆弱性「CVE-2020-5902」を利用するIoTマルウェアを確認 | トレンドマイクロ セキュリティブログ
２０２０年７月、F5Networksが提供する「BIG-IP」製品の2つの脆弱性が初めて公開されました。トレンドマイクロでは、この脆弱性の深刻度について理解を深めるため、本脆弱性およびその他の関連アクティビティの調査を行いました。この調査に関してはF5Networks側からご連絡、ご協力をいただいたことに感謝します。そしてこの調査の中で、モノのインターネット（IoT）を対象とするボット「Mirai」のダウンローダ（Trend Microでは「Trojan.SH.MIRAI.BOI」として検出）を確認しました。このダウンローダは露出した、つまりインターネット側からアクセス可能なBIG-IP製品を探し、公開された脆弱性の１つ「CVE-2020-5902」を利用して侵入、不正ペイロードの拡散を行います。また同時に既存の様々な脆弱性を利用することもわかりました。関連機器を使用するシステム管理者およ
2020年上半期ランサムウェア動向拾遺：「Avaddon」、新たな回避手法、業界別被害事例、など | トレンドマイクロ セキュリティブログ
2020年に入っても、ランサムウェアは新たなファミリや攻撃手法、標的対象を次々と生み出し、今なお大きな脅威であり続けています。今回公開したトレンドマイクロの「2020年上半期セキュリティラウンドアップ」でも、「ランサムウェアの新たな戦略」として報告しておりますが、レポートではお伝えしきれなかった動向もありました。本記事では、新たに活発なメール経由の拡散が見られたランサムウェアファミリ「Avaddon（アヴァドン）」、一部のランサムウェアの亜種が実行する新たな検出回避手法、ランサムウェア攻撃が影響を与えた業界、検出数が最も多いランサムウェアファミリなどのランサムウェア動向をまとめて解説します。 ■Avaddonランサムウェア Avaddonと呼ばれる新たなランサムウェア（「Ransom.Win32.AVADDON.YJAF-A」として検出）が確認されています。拡散経路としてはメール経由のばら
2種のLinuxボットで露出したDockerサーバを狙う活動を確認：「XORDDoS」と「Kaiji」 | トレンドマイクロ セキュリティブログ
ホーム » 不正プログラム » 2種のLinuxボットで露出したDockerサーバを狙う活動を確認：「XORDDoS」と「Kaiji」 トレンドマイクロでは最近、2種のLinux向けボット型マルウェアにおいて、露出したDockerサーバを狙う活動を確認しました。確認されたマルウェアは分散型サービス妨害（DDoS 、Distributed Denial of Service）の実行を目的とした「XORDDoS」（トレンドマイクロでは「Backdoor.Linux.XORDDOS.AE」として検出）と「Kaiji」（トレンドマイクロでは「DDoS.Linux.KAIJI.A」として検出）です。 Dockerサーバを攻撃の対象に定めるのは、XORDDoSとKaijiの両方において新しく見られた動きです。XORDDoSはクラウドシステム上のLinuxホストを狙うことで知られています
「EMOTET」がトレンドマイクロのアンケートメールを偽装 | トレンドマイクロ セキュリティブログ
※9月7日11時30分IoC情報更新（当初公開9月3日21時） トレンドマイクロでは弊社を騙る不審なメールが、この9月3日前後から出回っていることを確認しました。弊社のサポートセンターからお客様へお送りするメールにファイルを添付することはありません。弊社から送付されたように見えるメールにおいてファイルの添付があった場合、添付ファイルは実行せず破棄いただきますようお願いします。 サポート情報「【注意喚起】トレンドマイクロを騙る不正プログラム添付メールについて（2020年9月3日）」 今回確認されたのは「トレンドマイクロ・サポートセンター満足度アンケート調査 ご協力のお願い」などの件名でWord文書ファイルが添付されたものです。添付ファイルを開いてしまった場合、最終的にボット型マルウェアである「EMOTET」に感染します。EMOTETは2020年7月中旬から活動の活発化が見られており、国内でも
コロナ禍におけるランサムウェアの新戦略：2020年上半期の脅威動向分析 | トレンドマイクロ セキュリティブログ
トレンドマイクロでは2020年上半期（1~6月）における国内外での脅威動向について分析を行いました。2020年、新型コロナウイルスのパンデミック（世界的大流行）によって、世界に大きな変化がもたらされることは、誰も予想していなかったことでしょう。コロナ禍が及ぼした大きな影響は、実世界においてもサイバー世界においても「新たな日常」となりました。サイバー犯罪者はこの状況を利用し、メール、ソーシャルメディア、不正サイト、偽アプリなど、幅広いプラットフォームでさまざまな手口を駆使した攻撃を次々に展開しました。特にこの上半期の期間、国内におけるフィッシング詐欺は過去最大規模となりました。これは多くの利用者において、ネットワークアクセスに費やす時間が長くなっていることなども影響しているものと考えられます。 コロナ禍による都市封鎖や外出自粛の影響により、多くの企業においてはテレワークが必要不可欠なものとな
ルータの脆弱性「CVE-2020-10173」を利用するIoTマルウェア | トレンドマイクロ セキュリティブログ
トレンドマイクロは、「Mirai」系IoTマルウェアの新しい亜種（「IoT.Linux.MIRAI.VWISI」として検出）を確認しました。この亜種は、「SORA」、「UNSTABLE」、「Mukashi」など過去数カ月の間に出現したMiraiから派生した亜種に新たに追加されるものとなります。この亜種は9つの脆弱性を利用する機能を備えていますが、中でも特にComtrend社製 VR-3033ルータの脆弱性（CVE-2020-10173）を利用対象に加えている点が注目されます。この脆弱性の利用は、過去のMiraiとその派生系の亜種では見られなかったものであり、IoTマルウェアを使用するサイバー犯罪者がマルウェアに新しい脆弱性を加えることによって、攻撃対象を拡大し続けていることを示しています。 ■IoTマルウェアが新たに利用する脆弱性 新亜種が狙う脆弱性9つは新旧の脆弱性の組み合わせで構成され
サイバー攻撃集団「Tropic Trooper」、USB経由で閉域ネットワークへ侵入 | トレンドマイクロ セキュリティブログ
ホーム » 不正プログラム » サイバー攻撃集団「Tropic Trooper」、USB経由で閉域ネットワークへ侵入 「Tropic Trooper」は、2011年から活動しているとされるサイバー攻撃グループです。これまでに、台湾、フィリピン、香港における政府および軍事機関、ヘルスケア、輸送、ハイテク産業を攻撃対象にしてきたものと推測されています。トレンドマイクロではこのグループの活動として、2015年に脆弱性を利用するファイルを添付した標的型メール（スピアフィッシングメール）の攻撃を、また2018年にはツールに新機能を追加するなどの攻撃手法の変化を報告してまいりました。そして最近確認されたTropic Trooperの攻撃活動では、USBストレージ経由で台湾およびフィリピンの軍事機関のエアギャップ環境、つまり他のネットワークから物理的に隔離されている閉域ネットワークへの侵
「脆弱性」から「ズーム爆撃」まで：ビデオ会議の安全性を保つために | トレンドマイクロ セキュリティブログ
新型コロナウイルスの感染拡大は、ソーシャル・ディスタンス以外にも、私たちの日常生活において多くの変化をもたらしてきました。中でも、以前から進行していたオンライン化が加速しています。新型コロナウイルスの影響を受ける以前から、私たちはオンライン上でますます多くの時間を費やすようになっていました。外出自粛の要請と共に在宅での仕事、勉強、および社会生活が求められており、オンライン・デジタル世界は人とのコミュニケーションを行う上で必要不可欠なものになっています。こうして、ビデオ会議用のソフトウェアは、世界中の人を繋ぐ「窓」となっています。 オンライン・デジタル世界における問題の１つは、こうしたユーザの動向をサイバー犯罪者が把握し、攻撃に利用しようと待ち構えているという点です。つまり攻撃者はビデオ会議を侵害し、チャットの妨害や盗聴、マルウェアの拡散、情報窃取などを行う機会を伺っています。ビデオ会議のプ
新型コロナによる減税措置をおとり文句とするNode.jsマルウェア「QNodeService」を解析 | トレンドマイクロ セキュリティブログ
トレンドマイクロは、「新型コロナウイルスに対する減税措置」というファイル名（「Company PLP_Tax relief due to Covid-19 outbreak CI+PL.jar」）を持つJavaダウンローダについて着目しました。このマルウェアは「MalwareHunterTeam」によるTwitterの投稿で報告されたものであり、ファイルを実行すると、JavaScript実行環境であるNode.jsで書かれた、未検出の新しいトロイの木馬型マルウェアをダウンロードします。トレンドマイクロではこのマルウェアを「QNodeService」と名付け、検出対応しました。QNodeServiceには、ファイルのダウンロード、アップロードおよび実行、ChromeあるいはFirefoxブラウザからの認証情報の窃取、ファイルの管理などを実行する機能を備えています。Windowsを攻撃対象とし
脅威を知る：検出と調査を回避しシステム内で潜伏する「ファイルレス活動」 | トレンドマイクロ セキュリティブログ
最新のセキュリティ対策は、先進のAI（人工知能）や機械学習などの脅威防御技術を融合することで、マルウェアやその他の脅威の特定および防御機能を向上させる一方、サイバー攻撃者は常に、これらの対策技術による検出を回避するための技術を生み出しています。その中で最も巧妙な回避手法の1つが「ファイルレス活動」です。ファイルレス活動ではシステム内に侵入する際、実行可能なマルウェア本体をファイルとして保存しません。システム内に標準搭載されるWindows正規ツールを悪用して攻撃を開始し、実行可能ファイルに依存せずに攻撃を持続化させます。 トレンドマイクロの2019年年間セキュリティラウンドアップでは、一般に蔓延するファイルレスの脅威の最新情勢について報告しました。トレンドマイクロでは、事後対処を行うEndpoint Detection and Response（EDR）などの技術を通じてファイルレス活動の
セキュリティを見直す機会となる「クラウド変革」 | トレンドマイクロ セキュリティブログ
このブログ記事は、クラウド特有の脅威とリスクについて解説したTrend Micro Researchによる「Untangling the Web of Cloud Security Threats（英語情報）」に基づいて書かれたものです。 クラウドに不安がありますか？ 近年、クラウドインフラへの支出が非クラウドインフラへの支出を上回っていることが報じられています。 これはITにとって一つの転換点であり、クラウドを基本とした運用はもはや例外ではなく、一般的なものになったと言えます。しかし、多くのセキュリティベンダー、そしてセキュリティソリューションにおいては、いまだにクラウドを例外として扱うか、あるいは少なくとも主要なユースケースとして扱っていません。つまり、クラウドはまだ必要条件ではなく、オプションとして扱われていることになります。 一方、サイバー犯罪者側は、すでにこのクラウドへの移行に適
「再表示不可」で存在を隠蔽する不正Excel 4.0 マクロの手口を解析 | トレンドマイクロ セキュリティブログ
トレンドマイクロのリサーチャーは、不正なMicrosoft Excel 4.0マクロを含むシートを「VeryHidden」形式で非表示設定し、隠蔽する手口を確認、その詳細解析を行いました。Microsoftのドキュメントに記載されている通り、VBAマクロを使用してブック内のシートが非表示にされている場合、Microsoft Excelの一般機能からはシートを操作することができません。この不正マクロを含む不審なファイルは、スパムメールの添付ファイルとして使用されていました。 問題のファイルを開くと、「編集を有効にする」ボタンをクリックしてから、「コンテンツを有効にする」ボタンをクリックするよう要求するメッセージが表示されます。ユーザがこれらのボタンをクリックすると、気づかぬうちにマクロが有効化されることになります。 図１：「Enable editing（編集を有効にする）」をクリックし、次に
脅威を知る：「ゼロデイ攻撃」 | トレンドマイクロ セキュリティブログ
「ゼロデイ攻撃」は、その時点ではまだ修正プログラム（パッチ）が公開されていない脆弱性を利用するサイバー攻撃です。つまり、その時点では根本的な解決方法がない状態での攻撃ということであり、企業組織は、ゼロデイ攻撃によって多大な影響を受ける可能性があります。多くの場合、パッチが公開されるまでは、セキュリティ上の欠陥を悪用しようとするサイバー犯罪者と、セキュリティ上の欠陥を修正するためにパッチを開発するソフトウェアベンダあるいは開発者間での競争劇となります。 本ブログ記事は、ゼロデイ脆弱性について企業組織が知っておくべきこと、つまり、ゼロデイ脆弱性とは何か、そして、ゼロデイ脆弱性がどのように悪用されるかについて詳述します。企業組織はゼロデイ脆弱性について知り置くことで、ゼロデイ脆弱性が悪用されるリスクや脅威を軽減させるための対策につなげることができます。 ■ゼロデイ脆弱性とは何か まず、脆弱性とは
「偽サイト」を阻止するには？：ゾーン監視で偽装ドメインの悪用を事前に発見 | トレンドマイクロ セキュリティブログ
フィッシングは、インターネット上で最も長くサイバー犯罪者に利用されている詐欺手口の1つです。利用者を特定のWebページやサービスの偽サイトへ誘導し、利用者自らに情報を入力させて詐取します。フィッシングを含め、いわゆるネット詐欺では本物そっくりの「偽サイト」が使用されます。非常によく利用される手口のため、企業や個人ユーザは、認知の有無を問わず、おそらくはこれまでに多くのフィッシングページを目にしていることでしょう。2017年7月27日公開のブログ記事では、利用者がフィッシング攻撃を見抜くためのポイントについて解説しています。しかし、この他にどのような対策を講じれば、偽サイトを使用するフィッシング攻撃を、事前的かつ能動的に検出および阻止できるでしょうか？本記事ではドメイン名の仕組みについておさらいし、ゾーンファイルに含まれた不審なドメイン名の監視により特定法人組織を偽装するフィッシング攻撃を未
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「露出したDockerサーバ」を狙い、不正マイニングとDDoSの踏み台に悪用する攻撃が続発 | トレンドマイクロ セキュリティブログ