マルウェアPureCrypterが政府機関を狙ってランサムウェアやスティーラーを配布

佐々山 Tacos

2023.02.27

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年2月25日と26日のサイバーアラートの中から、注目のニュースをピックアップしました（その他のニュースはページ後半に記載）。

マルウェアPureCrypterが政府機関を狙ってランサムウェアやスティーラーを配布

Bleeping Computer – Feb 25 2023 15:16

アジア太平洋地域や北米地域の政府機関を狙い、Redline Stealer、AgentTesla、Eternity、Blackmoon、ランサムウェアPhiladelphiaなど、複数種のマルウェアを配布するキャンペーンを、Menlo Securityの研究者が発見。これらのマルウェアのダウンローダーとして、マルウェア「PureCrypter」が使われているのが観測された。

PureCrypterは.NETのマルウェアダウンローダーで、2021年3月に初めて確認された。PureCrypterの運営者は同マルウェアを他のサイバー犯罪者に貸し出し、さまざまな種類のマルウェアの配布のために利用させていた。

研究者によると、今回のキャンペーンでは、まずDiscordアプリのURLが含まれたEメールによって攻撃が開始されるという。このURLは、パスワードで保護されたZIPアーカイブ内のPureCrypterのサンプルに繋がっている。

Menlo Securityが分析したケースでは、Discordを使ってホストされた最初のペイロードによってある非営利団体が侵害された。その後、侵害された同団体のサーバーがC2Cサーバーとして次の段階のペイロード（このケースではAgentTesla）を配布した。AgentTeslaがパキスタンを拠点とするFTPサーバーとの接続を確立すると、このFTPサーバーは盗んだデータを受信する役目を果たしたという。

AgentTeslaは、WebブラウザやEメールクライアント、またはFTPクライアントに保存されたパスワードを盗んだり、クリップボードにコピーされたデータの傍受を行ったりする性能などを備えている。

Menlo Securityの考えでは、このキャンペーンに関与する脅威アクターはメジャーなアクターではないものの、政府機関が標的になっていることから、その活動は注視するに値するとのこと。

Clasiopaグループがアジアの物質研究組織を標的に

Security Affairs – Feb 25 2023 23:21

これまで知られていなかった脅威アクター「Clasiopa」について、Broadcom Symantecの研究者が報告した。同アクターは攻撃で特異なツールセットを利用し、アジアの物質研究組織を狙っているという。

Clasiopaは、HCL Domino、Agile DGS、Agile FDといった正規のソフトウェアを用いるという。DominoにおいてもAgileにおいても、古い証明書が使用されているとみられる。またAgileサーバーでは、古い脆弱なライブラリが使用されている。

Clasiopaグループが用いるツールには、以下が含まれる：

・カスタムリモートアクセス型トロイの木馬（RAT）である「Atharvan」

・RAT「Lilith RAT」の改良版

・ハッキングツール「Thumbsender」

・カスタムプロキシツール

同ハッキンググループの起源や動機は明らかにされていないものの、Symantecの収集した証拠からは、インドを拠点とするグループであることが示唆されている。また現段階では、同グループが用いる感染ベクターは発見されていないものの、研究者は、インターネットに接続されたサーバーへのブルートフォース攻撃によってアクセスが行われていると考えている。

2023年2月25日

ハイライト

2023年2月26日

ハイライト

Hydrochasma：アジアの医療・海運業界を脅かす新たな脅威

Cyware – Feb 25 2023 18:43

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。