2025Q1 サイバー攻撃関連

2025.01.03

ここでは実際に2025Q1に起こったサイバー攻撃、インシデント、また攻撃検知等の情報をトピックとして載せていきます。逐次追記していきます。

マルウェア・ランサムウェアに関する記事もこちらに統合しました（ランサムウェア攻撃という様に、最近では不可分になってきたため）

2024Q4 サイバー攻撃関連2024Q4はこちら
2024Q2 サイバー攻撃関連2024Q3はこちら

2024Q2 サイバー攻撃関連2024Q2はこちら

2024Q1サイバー攻撃関連トピックはこちら

2023Q4サイバー攻撃関連トピックはこちら

2024Q2 マルウェア・ランサムウェア(Malware/Ransomware) 情報

2024Q1 マルウェア・ランサムウェア(Malware/Ransomware) 情報はこちら

2023Q3 マルウェア・ランサムウェア情報はこちら

脅威動向に関する情報はこちら（外部サイト）もご参照下さい

2025/04/02

Phishing-as-a-Serviceの「Lucid」がSMS攻撃の背後に存在

  • bleepingcomputerより
  • 「Lucid」という名のフィッシング・アズ・ア・サービス（PhaaS）プラットフォームは、iMessage（iOS）とRCS（Android）で送信された巧妙に細工されたメッセージを使用して、88か国の169の組織を標的にしています。
  • Lucidは2023年半ばから「XinXinグループ」として知られる中国のサイバー犯罪者によって運営されているそうです。

「Crocodilus」と呼ばれる Android マルウェアがユーザーをだまして暗号通貨ウォレットの鍵を窃取

  • bleepingcomputerより
  • 新たに発見された「Crocodilus」と呼ばれる Android マルウェアが、キーをバックアップするよう警告し、ユーザーをだまして暗号通貨ウォレットのシードフレーズを提供させているそうです。

2025/03/29

Phishing-As-A-Serviceの「Morphing Meerkat」がDNS-Over-HTTPSを検出回避に使用している模様

  • bleepingcomputerより
  • 「Morphing Meerkat」と呼ばれる新たに発見されたフィッシング・アズ・ア・サービス（PhaaS）オペレーションが、検出を回避するために DNS over HTTPS（DoH）プロトコルを使用していました。

“FamousSparrow” APTグループのツールセット

  • ESETのブログより
  • ESETの研究者が、中国が関係しているFamousSparrow APTグループが使用するツールセットを発見しました。これには、同グループの代表的なバックドアであるSparrowDoorの2つの文書化されていないバージョンも含まれているとの事です。

2025/03/27

Atlantis AIO(リスト型攻撃自動化ツール)

  • bleepingcomputerより
  • 「Atlantis AIO」という新しいサイバー犯罪プラットフォームがemail/e-commerce/bank/VPNなど140のオンライン プラットフォームのクレデンシャルスタッフィング サービスを提供しているそうです。
  • Atlantis AIO には、ブルートフォース攻撃の実行、CAPTCHA のバイパス、アカウント回復プロセスの自動化、盗まれた資格情報/アカウントの収益化を行うための、これらのサービス用の事前構成済みモジュールが搭載されています。

Oracle Cloudの攻撃による情報流出。

  • bleepingcomputerより
  • 先週、「rose87168」という人物が、 Oracle Cloud サーバーに侵入し 、600 万人のユーザーの認証データと暗号化されたパスワードを売り始めています。脅威アクターは、データベース、LDAP データ、侵害の影響を受けたとされる企業のドメイン 140,621 個のリストを含む複数のテキスト ファイルをリリースしました。
  • オラクルはOracle Cloudの侵害を受けたことを否定しています。

RedCurlという脅威アクターがHyper-Vを標的にしたランサムウェアを使用

  • bleepingcomputerより
  • “RedCurl”という名の脅威アクター(2018年から活動)が、現在、Hyper-V 仮想マシンを標的に設計されたランサムウェア暗号化ツールを使用しているとの事です。
  • BitDifenderのレポートはこちらになります。

新たに悪意のあるnpmパッケージ(ethers-provider2/ethers-providerz)が見つかる

  • ReversingLabsより
  • 3 月になり、 ethers-provider2 と ethers-providerz という 2 つの非常に興味深いパッケージが npm で公開されました。これらは、悪意のあるペイロードが巧妙に隠されたシンプルなダウンローダーです。第2段階でローカルに元々インストールされている正当な npm パッケージ ethers に、悪意のあるペイロードを含む新しいファイルを「パッチ」します。パッチされたファイルは、最終的にリバース シェルとして機能します。

2025/03/26

Cloudflare R2インシデントレポート(3/21)

ブラウザinブラウザ攻撃がSteamユーザを標的に

新しい VanHelsing ランサムウェアが Windows、ARM、ESXi システムを標的に

  • bleepingcomputerより
  • Windows、Linux、BSD、ARM、ESXi システムを標的とする、VanHelsing という新しいマルチプラットフォームのランサムウェア・アズ・ア・サービス (RaaS) 攻撃が登場しました。
  • CheckPointによると、VanHelsing は CIS (独立国家共同体) 諸国のシステム内のシステムを標的とすることを禁じるロシアのサイバー犯罪プロジェクトであるとのことです。
  • こちらも後でブログにまとめる予定です。

2025/03/24

オンラインのFake File コンバーターに関してFBIが警告

  • FBIのサイトはこちら
  • FBIデンバー、オンラインファイルコンバーター詐欺について警告しています。
  • 犯罪者が無料の(詐欺)オンライン ドキュメント コンバーター ツールを使用してデータを盗んだり、被害者のコンピューターにマルウェアをロードし、ランサムウェアなどのインシデントを引き起こしているとのことです。

RansomHubが「多機能」の新しいBetruger バックドアを使用

  • bleepingcomputerより
  • 最近のいくつかのランサムウェア攻撃で展開された、新たに特定されたカスタム バックドアは、少なくとも 1 つの RansomHub ランサムウェア サービス (RaaS) アフィリエイトに関連付けられています。
  • このマルウェアを 「Betruger」 と名付けたシマンテックの研究者は、これを「ランサムウェア攻撃に使用するために設計されたと思われる、多機能バックドアの珍しい例」と表現しています。
  • このマルウェアの機能には、キーロギング、ネットワーク スキャン、権限昇格、資格情報のダンプ、スクリーンショット、コマンド アンド コントロール (C2) サーバーへのファイルのアップロードなど、ランサムウェア ペイロードを展開する前にドロップされる悪意のあるツールによく見られる機能と重複する幅広い機能が含まれています。

新たなArcaneインフォスティーラーがゲームチートを介してYouTubeやDiscordユーザーに感染

  • bleepingcomputerより
  • 新たに発見された情報窃盗マルウェア「Arcane」は、VPN アカウントの認証情報、ゲーム クライアント、メッセージング アプリ、Web ブラウザーに保存されている情報など、膨大なユーザー データを盗んでいます。
  • カスペルスキーのテレメトリによると、Arcane の感染のほとんどはロシア、ベラルーシ、カザフスタンで発生しているとのことです。

GitHub Actionでのサプライチェーン攻撃

  • bleepingcomputerより
  • 23,000 のリポジトリで使用されている、広く使用されている「tj-actions/changed-files」GitHub Action に対するサプライ チェーン攻撃により、脅威アクターが GitHub Actions ビルド ログから CI/CD シークレットを盗む可能性がある模様です。

GitHub の偽の「セキュリティ警告」によるアカウントが乗っ取り

  • bleepingcomputerより
  • 広範囲にわたるフィッシング攻撃により、偽の「セキュリティ警告」問題で約 12,000 の GitHub リポジトリが標的となり、開発者を騙して悪意のある OAuth アプリを承認させ、攻撃者がアカウントとコードを完全に制御できるようにしている模様です。

2025/03/14

Mora_001と呼ばれる脅威アクターがFortinetの脆弱性を悪用

  • bleepingcomputerより
  • 新たなランサムウェアグループ”Mora_001″がSuperBlackと呼ばれる新しいランサムウェアを展開している模様です。こちらはFortinetのCVE-2024-55591 と CVE-2025-24472を悪用しているとのことです。

2025/03/13

CISA(StopRansomware)がMedusaランサムウェアのアドバイザリを公開

  • CISAのUpdateより
  • CISAがMedusaランサムウェアのアドバイザリを公開しています。

2025/03/12

Lazarusが新たに悪意のあるnpmパッケージを展開

2025/03/11

XがDDoS攻撃に

  • bleepingcomputerより
  • Dark Storm Hacktivist Group(イスラエル、ヨーロッパ、米国の組織を標的にした親パレスチナのハクティビストグループ)がXに対してDDoS攻撃を仕掛けていた模様。
  • 昨日のXの状況はこちらが原因だった模様です。

10億以上のデバイスで使用されているBluetoothにUn-documentedなコマンドが見つかる

  • bleepingcomputerより
  • 中国のメーカーEspressifによって作成され、2023年の時点で10億以上のデバイスで使用されているESP32マイクロチップには、攻撃に使用できる文書化されていないコマンドが含まれているとの報告がされています。
  • RootedConで発表された模様です。

2025/03/07

米国司法省・シークレットサービス・FBI・Europolの共同捜査でロシアの暗号資産交換所「Garantex」の差し押さえ

  • Europolの記事はこちら
  • ロシアに対する制裁（16番目）として、Garantexを差し押さえた模様です。
  • こちらは別途記事にします。

AkraランサムウェアグループがWebカメラbotネットを用いてEDRを迂回

  • S-RMの記事より
  • Akiraランサムウェアグループが標的を攻撃する際に、標的と同じネットワークにあるWebカメラを使用することでEDRを迂回する行動に出ていることがわかりました。
  • 面白い記事ですので、あとで紹介したいと思います。

2025/03/06

BianLianに「なりすました」脅迫が見つかる

  • GUIDEPOINT Securityの調査報告より
  • Bianlian Ransomware Groupになりすまして企業ITネットワークを侵害・機密データを盗み出しビットコインを支払うように脅迫文を送っている攻撃者がいるようです。BianLian Ransomware Groupのノートを模倣してメールを出しているようです。身代金の要求は250,000ドルから350,000ドルの範囲の範囲であることが観察されています。
  • GUIDEPOINT Securityの調査によるとBianLianランサムウェアグループとは相違があるとのことで、「強い確信で別グループ」としています。

2025/03/05

TATAテクノロジーへの侵害についてHunters Internationalランサムウェアグループが攻撃を主張

  • bleepingcomputerより
  • 1月のTATAへの攻撃に関して、Hunters Internationalランサムウェアグループが攻撃を主張しています。

Rublik Inc.(クラウドセキュリティ企業）がログサーバの侵害により認証キーを変更

  • bleepingcomputerより
  • Rubrikは先月、ログサーバーの1つが侵害されたため、リークした可能性がある認証キーをRotationしたと明らかにしました
  • Rubrikは、データ保護、バックアップ、回復を専門とするサイバーセキュリティ会社であり、22を超えるグローバルオフィスに3,000人以上の従業員がいます。同社には、AMD、Adobe、Pepsico、Home Depot、Allstate、Sephora、GSK、Honda、Harvard University、Trellixなどの有名な企業など、世界中に6,000人以上の顧客がいます。

2025/03/03

DeepSeekのトレーニングデータに12,000の「生きている」APIキー・パスワードが使用されている

  • Truffle Securityのブログより
  • Truffle SecurityがDeepSeekのようなLLMをトレーニングするために使用される大規模なデータセット「Common Crawl」を調査したところ、12,000のハードコーディングされたライブAPIキーとパスワードを見つけた模様です。

QilinランサムウェアグループがアメリカのLee Enterpriseを攻撃

  • bleepingcomputerより
  • Qilinランサムウェアグループが2/3のLee Enterpriseへの攻撃を主張しています。Lee Enterprisesは、77以上の毎日の新聞、350の出版物、デジタルメディアプラットフォーム、マーケティングサービスを所有および運営している米国に拠点を置くメディア企業です。

2025/02/28

EncryptHub(LARVA-208)の情報公開

  • Catalystのブログより
  • スピアフィッシング攻撃を行う脅威アクター、Larva-208に関する情報がまとまっています。

2025/02/26

Orangeグループがサイバー攻撃を認める

  • bleepingcomputerより
  • フランスの大手通信事業者およびデジタルサービスプロバイダーであるOrange Groupのシステムが脅威アクターに攻撃され、従業員データを使用して数千の内部ドキュメントが盗まれました。

2025/02/25

ボットネットによるM365への大量のパスワードスプレー攻撃

  • SecurityScorecardより
  • SecurityScoreCardのレポートによると、攻撃者はInfostealerマルウェアによって盗まれたCredentialを使用して、大規模にアカウントをターゲットにしている模様です。中国の脅威アクターにも結び付けられているようです。

OpenAIが中国のアカウントをBanした模様

  • OpenAIのPDFより
  • OpenAIが中国のアカウントをBanした模様です。後で目を通すために備忘録的に保存しておきます。

2025/02/20

CISA＋FBIが「Ghost」ランサムウェアグループに関するアドバイザリ

2025/02/19

SystemBCがLinuxを標的に

  • Polyswarmより
  • SystemBCというRAT(Remote Access Trojan)がWindowsに加えてLinuxも標的にし始めたとのレポートです。
  • SystemBCは、過去に有名なランサムウェアグループで使用されており、脅威アクターがランサムウェアペイロードを実行する前に被害者ネットワークへのアクセスを維持するために使用しています。また、IAB（初期アクセスブローカー）も使用しているとのことで、注意が必要です。

2025/02/13

新しいランサムウェアグループ「Sarcoma」が台湾のUnimicronを標的に

  • bleepingcomputerより
  • 「Sarcoma」という名前の比較的新しいランサムウェアグループが台湾のUnimicron印刷回路板（PCB）メーカーに対して377GBのファイル・文書を持っていると主張し脅迫を行っている模様です。

Youtubeでマスク化されているメールアドレスが見えるというAPIの脆弱性が発覚。すでに修正済み

2025/02/12

Evasive PandaがNetwork DeviceにSSHバックドアを使用。Fortinetも警告

  • PolySwarmのブログより
  • Evasive Panda(中国が背後におりBronze HighlandおよびDaggerflyとしても知られている)という脅威アクターが、SSHバックドアを使用してネットワークデバイスをターゲットにしたことが観察されました。 Elf/sshdinjector.a！trとして検出されたバックドアは、ネットワークアプライアンスでSSH Daemonをハイジャックするために使用されます。
  • Fortinetの記事はこちらになります。

2025/02/11

8baseが摘発された模様

  • bleepingcomputerより
  • Phobosランサムウェアグループ摘発のために世界の法執行機関で連携が行われ、タイのプーケットで4人のハッカーが逮捕され、8BaseのダークWebサイトが差し押さえられた模様です。
  • こちらは別の記事でまとめます。

2025/02/07

ASP.NETに公開されているASP.NETマシンキーを使用したコードインジェクション攻撃（ViewStateコードインジェクション攻撃）が観測される

  • Microsoftのサイトより
  • ViewStateは、ASP.NET Webがページを保持し、ポストバック間の状態を制御する方法です。 ViewStateデータは、ページ上の隠されたフィールドに保存され、Base64-Encodingを使用してエンコードされています。改ざんや保護のためにDecryptionKeyを使用しています。
  • このDecryptionKeyが盗まれた場合、脅威アクターが盗まれたキーを使用して悪意のあるビューステートを作成し 、投稿リクエストを介してウェブサイトに送信することが可能です。
  • Microsoftは、このタイプの攻撃に使用できる3,000を超える公開されたキーを特定しているそうです。複数のコードリポジトリで公開されている模様です。
  • 詳しくはMicrosoftのページを見てください。

2025/02/04

DeepSeek のPyPIパッケージで悪意のあるものが出回っているっぽい

CASIO UK オンラインショップがサイバー攻撃の被害に

  • bleepingcomputerより
  • Casio.co.ukのeショップが攻撃され、2025/01/14-2025/01/24の間、クレジットカードと顧客情報を盗んだ悪意のあるスクリプトが仕込まれていた模様です。
  • それらの日付の間にCASIO UKのオンライショップで購入を行った場合、個人情報とクレジットカードデータが攻撃者に盗まれた可能性があります。
  • このインシデントはJSCramblerによって発見され、1/28にカシオに通知されました。悪意のあるスクリプトは、24時間以内にCasio UKサイトから削除されました。

2025/02/02

TATAテクノロジーがランサムウェア攻撃の被害に

  • TATAのレポートはこちら
  • TATAのレポートです。
    • 当社は、当社の IT 資産の一部に影響を及ぼすランサムウェア インシデントを認識したことをお知らせします。予防措置として、一部の IT サービスは一時的に停止されましたが、現在は復旧しています。当社のクライアント配信サービスは、引き続き完全に機能しており、全体を通じて影響を受けませんでした。専門家と協議して、根本原因を評価し、必要に応じて是正措置を講じるための詳細な調査が進行中です。当社は、最高水準のセキュリティとデータ保護に引き続き取り組んでおり、潜在的なリスクを軽減するために必要なすべての措置を講じています。これは、お客様の情報と記録用です。

Mizuno USAが昨年BianLianランサムウェアグループによる攻撃をうけていた模様

FDAから「ヘルスケアのモニタにバックドアが仕込まれていた」とのレポート

  • FDAの報告はこちら
  • Contec CMS8000 モニタ, Epsimed MN-120 モニタの両方にバックドアが仕込まれていた模様です。
  • こちらは別記事でまとめる予定です。

2025/01/31

NYの献血大手「ニューヨークブラッドセンター（NYBC）」がランサムウェア攻撃を受ける

DeepSeekのDBがPort9000でアクセスできるようになっていたらしい（今は修正済み）

  • WIZ(セキュリティ会社)のブログから
  • WIZの研究者が発見したところによると、DeepSeekのDBがPort9000でアクセスできるようになっていたらしく、色々情報が見えていた模様です。既にDeepSeekに連絡は行っており、現在はアクセスできないようになっています。

2025/01/30

FBIがCracked.ioなどを押収

  • bleepingcomputerより
  • FBIがCracked.ioやNulledのドメインを押収しました。これらは、サイバー犯罪、パスワードの盗難、Credential攻撃に焦点を当てていることで知られています。

2025/01/28

DeepSeekに早速攻撃が始まっている模様

  • サポートサイトより
  • DeepSeekに早速大規模攻撃が始まっている模様です。DDoSですかね？

ランサムウェア攻撃でVMWare ESXiがSSHトンネルに使われる

  • Signiaより
  • ESXiホストはめったにシャットダウン・再起動されないことから、ランサムウェア攻撃でのSSHトンネルを貼る対象として狙われているという報告です。

2025/01/22

Teamsを悪用し、サポートを名乗ってマルウェアをインストールする攻撃が観測される

  • Sophos MDRの記事より
  • 下記のような攻撃が観測されている模様です（FIN7に似ているが、SophosではSTAC5143・STAC5177として追跡を行っている模様です）。
    • 電子メール爆弾 – 標的を絞った大量のスパム電子メール メッセージ (1 時間未満で 3,000 通) を攻撃し、組織内の少数の個人の Outlook メールボックスを圧倒し、緊迫感を生み出します。
    • 組織の技術サポートを装って、攻撃者が制御する Office 365 インスタンスから標的の従業員に Teams メッセージを送信し、Teams の音声通話とビデオ通話を行う
    • Microsoft リモート コントロール ツール (クイック アシストまたは Teams 画面共有を通じて直接) を使用して、標的となった個人のコンピューターを制御し、マルウェアをインストールする

IntelBrokerがソースコードを盗んだと主張。HPEが侵害を調査

  • bleepingcomputerより
  • Hewlett Packard Enterprise (HPE) は、脅威アクター「IntelBroker」が同社の開発環境からドキュメントを盗んだと発表したことを受け、新たな侵害の申し立てを調査しています。
  • こちらも別記事でまとめる予定です。

FTCがGeneralMotorsにドライバーのデータ取得と販売を中止するように命令

  • bleepingcomputerより
  • FTC（米国連邦取引委員会）が、数百万台の車両からドライバーの正確な位置情報と運転行動データを違法に収集・販売したとして、ゼネラル・モーターズ（GM）とその子会社オンスターに対して措置を講じました。

2025/01/16

誤って設定されたDNS SPFレコードを利用するボットネット

  • Infobloxの記事より
  • 誤って設定されたDNS SPFレコードを使ってフィルタをすり抜けるSPAMを送信するボットネットが見つかった模様です。

FBI、米国の数千台のコンピュータから中国製 PlugX マルウェアを削除

  • bleepingcomputerより
  • 米国司法省が、FBIによって全米のネットワークにある4,200台以上のコンピュータから中国製PlugXマルウェアが削除されたと発表しました。
  • このマルウェアを使用して標的となった被害者のリストには、「2024年の欧州の海運会社、2021年から2023年までの複数の欧州政府、世界中の中国の反体制派グループ、インド太平洋全域の政府（台湾、香港、日本など）」が含まれているという話です。

CISAがMicrosoftのクラウド製品のログ取得Playbookを公開

  • CISAの記事はこちら
  • CISAがMicrosoftのクラウド製品のログ取得に関してPlaybookを出しています。

2025/01/14

Amazonの認証情報を用いて S3バケットを暗号化する脅威アクターCodefinger

  • Halyconのブログより
  • Halcyon RISE チームがAmazon S3 バケットをターゲットとした新たなランサムウェアキャンペーンを特定したそうです。Codefingerというランサムウェアグループが行っている模様。
  • この攻撃はAWSの脆弱性の悪用でなく、AWS顧客のアカウント認証情報を盗み出して行っているところが特徴です。

2025/01/12

LDAPNightMare(CVE-2024-49113)の偽のPoCがGitHubに

  • bleepingcomputerより
  • TrendMicroの記事はこちら
  • GitHub 上の CVE-2024-49113 (別名「LDAPNightmare」) の偽のPoCを実行すると、機密データが外部 FTPサーバーに流出するインフォスティーラーマルウェアに感染するという事です。GitHub上ではよく偽のPoCが流出していますね。気をつけましょう。

2025/01/08

CASIOが10月のランサムウェア攻撃で8,500人の情報が漏洩と発表

  • CASIOのプレスリリースはこちら
  • CASIOが2024年10月11日に発表したランサムウェア攻撃で、8,500人以上の情報が漏洩したことを発表しています。

国連の国際民間航空機関（ICAO）、「報告された安全上のインシデント」と称するものを調査していると発表

2025/01/07

年末年始のDDoS、世界規模だった模様

  • TrendMicroのブログより
  • 例のDDoSの件、世界規模だった模様です。詳しい情報はTrendMicroのブログに載っています。

2025/01/06

1,500万の認証情報がダークウェブに

  • DailyDarkwebより
  • さまざまな URL ベースのアカウントに関連付けられた 1,500 万件のユーザー認証情報が流出したとされる漏洩報告が報告されています。
  • 今後、攻撃に使用される可能性がありますので要チェックです。

2025/01/04

米国財務省、Flax Typhoonに関与したとして中国の企業に制裁

  • 米国国務省の記事
  • 米国は本日、中国国家安全省と関係があるとされる、北京に本拠を置くサイバーセキュリティ企業Integrity Technology Group, Incorporated（Integrity Tech）に対し、複数のコンピュータ侵入事件に関与したとして制裁を課しました。

2025/01/03

Brain Cipherランサムウェアグループによる「RIBridges」への攻撃

  • bleepingcomputerより
  • Brain Cipher ランサムウェアグループが、ロードアイランド州の「RIBridges」ソーシャル サービス プラットフォームへの攻撃で盗まれた文書を漏洩しました。RIBridges は、医療、食糧援助、保育、その他のサービスを含む社会援助プログラムを管理および提供するために州が使用する統合資格システム (IES) です。
タイトルとURLをコピーしました