VMware ESXiサーバーに対する世界的攻撃キャンペーン、イタリアのセキュリティ当局はBlackBastaの関与を指摘

佐々山 Tacos

2023.02.07

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年2月7日のサイバーアラートの中から、注目のニュースをピックアップしました（その他のニュースはページ後半に記載）。

VMware ESXiサーバーに対する世界的攻撃キャンペーン、イタリアのセキュリティ当局はBlackBastaの関与を指摘

BankInfoSecurity – Feb 06 2023 18:39

イタリアのサイバーセキュリティ当局National Cybersecurity Agency (ACN) は、同国におけるVMware ESXiサーバーのハッキング少なくとも12件が、ランサムウェアグループ「BlackBasta」に関連するものである可能性が高いとしている。ACNによると、脆弱なVMware ESXiサーバーを狙ったこのランサムウェアキャンペーンにより、2月2日以降世界中の数千の組織が影響を受けているとのこと。

イタリアにおける最初の攻撃はエネルギー企業Aceaに対するもので、2月2日に発生。同社はすでにITシステムの機能を復旧させているそうだが、ACNはこの攻撃をBlackBastaによるものと指摘した。また同国のメディアNova Newsに伝えられた声明によると、Acea社もこの攻撃がBlackBastaによって行われたことを認めたとのこと。

ACNは、BlackBastaがイタリア全土の脆弱なESXiサーバーを盛んに狙っているということ以外、同グループの活動に関する他の情報は提供していないそう。

なお、今回の大規模な攻撃キャンペーンについては、ドイツ、フランス、米国、カナダも調査を行っている。

マルウェアGuLoader、有害NSIS実行ファイルを使いEコマース業界を標的に

The Hacker News – Feb 06 2023 12:36

サイバーセキュリティ企業Trellixによれば、マルウェアGuLoaderによる進行中のキャンペーンで、韓国と米国のEコマース業界が標的になっているとのこと。ドイツ、サウジアラビア、台湾、そして日本も標的の一部に含まれるそう。

このキャンペーンに関して注目されるのは、マルウェアが混入されたMicrosoft Word文書の代わりに、NSIS実行ファイルが使われるようになった点。2021年の攻撃チェーンでは、GuLoaderをロードする役目を担う実行ファイルを展開するため、マクロの混入したWord文書を含むZIPファイルが利用されていた。しかし今回の新たなフィッシングキャンペーンでは、ZIPまたはISO画像に埋め込まれたNSISが使用されているそう。

Trellixの研究者は、「アーカイブや画像に有害な実行ファイルを埋め込むことで、脅威アクターたちは検出を回避しやすくなる」と述べている。

2023年2月7日

ハイライト

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。