米CISAとFBIがランサムウェアRoyalについて注意喚起

山口 Tacos

2023.03.06

サイバーアラートについて

サイバーセキュリティ最新ニュースのまとめを平日毎日更新。

各見出しの末尾に、情報源のWebサイトへのリンク（赤字）が貼られています。

なお、リンク先のほとんどが、英語のニュースサイトやブログですが、クリックについてはあくまで自己責任で行っていただくようお願いいたします。

注目のニュースをピックアップ

2023年3月4日と5日のサイバーアラートの中から、注目のニュースをピックアップしました（その他のニュースはページ後半に記載）。

米CISAとFBIがランサムウェアRoyalについて注意喚起

Security Affairs – Mar 03 2023 10:13

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）と連邦捜査局（FBI）が共同サイバーセキュリティアドバイザリ（CSA）を公開し、ランサムウェア「Royal」について注意喚起している。

Royalは2022年9月に初めて脅威ランドスケープに登場。「ランサムウェア・アズ・ア・サービス」の形式が採用される他のランサムウェアオペレーションとは異なり、アフィリエイトを有さないプライベートなグループによって運用されていると思われる。この攻撃者はフィッシングなどのさまざまな手段を用いて被害者のネットワークを侵害した後、ポストエクスプロイトツールのCobalt Strikeをデプロイしてアクセスを維持し、ラテラルムーブメントを行う。

CISAとFBIのアドバイザリには、主に以下のような点が記されている：

・Royalランサムウェアの攻撃では、複数の重要インフラ部門（製造、通信、医療、教育など）が標的になっている。

・現バージョンは、「Zeon」をローダーとして用いていた初期のバージョンから進化している。

・Royalの運営者は標的のネットワークへのアクセスを獲得後、アンチウイルスを無効化して大量のデータを抜き取ってから、最終的にランサムウェアを展開してシステムを暗号化する。

・身代金はビットコインで要求され、額は米ドル換算でおよそ100万〜1,100万米ドル。

・Royalのランサムウェア攻撃では、複数のQakbotのC2が使われるのが観測されている。

・ラテラルムーブメントには、Microsoft SysinternalsツールのPsExecと併せてRDPが用いられることが多い。また、被害者ネットワークでの持続性確保のためにAnyDesk、LogMeIn、AteraといったRMMソフトウェアが使われるのも観測された。

このほか、同アドバイザリではRoyalに関連するTTPやIoCが紹介されている。

関連記事：ランサムウェアに感染したら？被害を抑える対策とは？

PayPal、ユーザー3万5千人に影響与えたデータ侵害めぐり訴えられる

HackRead – Mar 04 2023 18:32

オンライン決済大手のPayPalに対し、2022年12月のデータ侵害の原因は同社の過失にあるとする集団訴訟案が提出された。

同社では昨年12月6日〜8日にデータ侵害が発生。ハッカーがPayPalユーザー約3万5千人のアカウントをハッキングし、個人情報や金銭関連情報が影響を受けていた。ただ、この攻撃で使われたログイン認証情報は同社のネットワークから取得されたものではないとされている。

<参考（弊社Twitterより）>

【PayPalに大規模クレデンシャル攻撃：約3万5千人に影響】攻撃は昨年12月6~8日に発生。調査の結果、権限のない第三者が有効な認証情報を用いてユーザーアカウントにログインしていたのが確認された。ハッカーはアカウント所有者の氏名、生年月日、住所、社会保障番号、納税者番号にアクセス可能だった https://t.co/2wZtatUI52
— Machina Record (@MachinaRecord) January 19, 2023

侵害発生後、PayPalはすぐにこれを封じ込めたものの、調査完了までには約2週間かかった。この間にハッカーが有効な認証情報を使ってユーザーアカウントにアクセスしていたことを、同社は認めている。

原告は、PayPalは基本的なセキュリティ対策を講じておらず、業界のデータ保護基準や連邦取引委員会が定めたガイドラインの遵守を怠っていたと主張。その結果、氏名、住所、社会保障番号、納税者番号、生年月日を含むあらゆる機微情報が漏洩したのだと指摘している。

この訴訟案が集団訴訟として進行すれば、数千人の被害者がPayPalに損害賠償を求める可能性があるとのこと。

2023年3月4日

ハイライト

中国のハッカーらが新しいバックドアMQsTTangを用いてヨーロッパの組織を狙う

The Hacker News – Mar 03 2023 09:56

関連記事：MQsTTang：Mustang Pandaの新しいバックドア、QtとMQTTを使って新境地へ

BlackLotus UEFIブートキットが、完全にパッチが適用されたWindows11 PCに侵入する恐れ（CVE-2022-21894）

IT Pro UK – Mar 03 2023 11:59

関連記事：BlackLotus：Windows 11のUEFIセキュアブートを回避する最初のブートキット

2023年3月5日

ハイライト

ワイパーの1年：ロシアが支援するアクターSandwormは、戦争開始以後どのようにウクライナを攻撃してきたのか

The Record – Mar 04 2023 13:00

2021年にPreferred Home Care of New Yorkで発生した、REvilランサムウェアによるものである可能性が高い侵害で患者92,000人が影響受け、集団訴訟の和解金は3,600万ドルとなる可能性

Medium Cybersecurity – Mar 05 2023 05:30

ここに掲載されている内容は、信頼できる情報源に基づいて作成されていますが、その正確性、完全性、網羅性、品質を保証するものではなく、Silobreakerはそのような内容について一切の責任を負いません。読者の皆様におかれましては、ここに掲載されている内容をどのように評価するかは、ご自身で判断していただく必要があります。