di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

Deep Instinct DSX について

ゼロデイ攻撃を予防 

リアルタイムで判定 

リアルタイムの分析と説明

TCOの削減

プライバシーとコンプライアンス

Deep Instinct DSX

CLOUD – クラウドストレージ

NAS – ローカルストレージ

APPLICATIONS  - アプリケーション

ENDPOINTS – エンドポイント

ユースケース

Deep Instinctについて

お客様の声

ニュース

お問い合わせ

サポート

会社概要

カタログ/資料

ブログ

動画

オンラインセミナー

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

トレーニング

クイックリンク

Deep Instinctの革新的なディープラーニングを活用したソリューションが、未知の、かつてない脅威をどのようにして防止し、説明しているかをご覧ください。

選ばれる理由

ゼロデイ攻撃をシンプルに予防

ゼロデイ攻撃を予防

脅威を検知、スキャン判定は瞬きよりも速い20ミリ秒未満

リアルタイムで判定

ゼロデイ攻撃に関する実用的なAIによる分析レポートを即座に入手可能

効率的で高性能な脅威の予防により、サイバーセキュリティコストを削減

厳しいプライバシーと規制の要件を満たしながら、データ保護を強化

DSX ユースケース

認定済みの統合ソリューションにより、S3バケットをスキャンして安全を確保し、データへの脅威を未然に防止

AMAZON S3

ファイルを安全に保護し、ネイティブ統合された予防型データセキュリティでハイブリッドクラウドの力を引き出す

AMAZON FSX FOR NETAPP

NASを狙うゼロデイ脅威を未然に防ぐために設計された専用ソリューションで、NetApp ONTAPストレージの安全性を確保

NETAPP

専用かつネイティブ統合されたソリューションで、攻撃者によるDell EMC NASへの侵入を阻止

DELL EMC

ミドルウェア層にスキャン機能を統合することで、アプリケーションの安定性と柔軟なカスタマイズを実現しながら、セキュリティを強化

ミドルウェア

環境内を通過するファイルをマルウェアから確実に守りながら、パフォーマンスの低下や処理の遅延を招くことなくセキュリティを強化

セキュアなファイル転送

導入できる環境

ゼロデイ攻撃からマルチクラウドまたはハイブリッドインフラストラクチャを保護

高度なサイバー脅威から重要なNASシステムを保護

ゼロデイ攻撃からアプリケーションを防御

AI主導の脅威防止とリアルタイム対応でデバイスとエンドポイントを保護

カタログ・資料

脅威リサーチ

SecOpsの声

他社製品との連携・比較

Deep Instinctの高度な脅威対策で、Microsoft Defender を補完し、脅威が環境に侵入する前に阻止

+ Microsoft Defender

Deep InstinctとTaniumは、リスクを低減し生産性を向上させる予防ファーストに考えたエンドポイントセキュリティを提供

+ Tanium

EDRのみでは不十分 - ディープラーニングを用いた高度なリアルタイム脅威防御で既存のサイバーセキュリティ・ツールを強化し、深層防御を実現

従来型AV製品と補完

従来型AV製品を、サイバーセキュリティのために構築した予防ファースト型のディープラーニングベースの保護に置き換え

従来型AV製品からの置き換え

より高速で正確 – Deep Instinctは、Trellixよりも優れたデータ保護機能とNASストレージ保護機能を提供

TRELLIXからの置き換え

リーダーシップメンバー

ボードメンバー

採用

国内販売代理店

Partners

content_block

Perspective & Findings

ブログを読む

Emotet再来! 2023年最初のマルスパムの波

emotet-returns-2023-blog.jpg

Listing preview

Perspective & Findings

Emotet再来! 2023年最初のマルスパムの波

image_media_card

2022年ガートナー®マジック・クアドラントのEPP部門でDeep Instinctが唯一の新規ベンダーに選ばれた理由

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

Emotetの休暇は終了：悪い奴は休まない

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

本ブログでは、セキュリティおよび脅威リサーチチームのリーダーであるMark Vaitzmanが、LLMの歴史と、LLMが攻撃ライフサイクルを強化し、サイバー脅威をより危険なものにするという事実を段階的に説明します。

Robot_1200x627.png

大規模言語モデル（LLM）は急速に進化しており、その能力は脅威をもたらす攻撃者の注目を集めています。本ブログでは、悪意のある攻撃者がLLMをどのように利用してサイバー攻撃を強化しているかを調査し、その後、LLMベースのツールと人工知能（AI）によって作成される高度な情報窃取マルウェアについて掘り下げていきます。LLMは脅威の検出や分析を通じて、サイバーセキュリティを向上させる可能性を秘めていますが、その能力は悪意ある目的にも利用される可能性があります。最近の報告では、サイバー犯罪者や国家による行為者が、コード生成、フィッシングメール、スクリプトなど、さまざまなタスクのためにLLMを積極的に活用しようとしていることが示唆されています。本ブログでは、その一部の例について詳しく説明します。私たちが日常生活に影響を及ぼすような大きな技術的変化を目にしたのは、4つの産業革命（1765年 - 石油、1870年 - ガス、1969年 - 電子工学と原子力、2000年 - インターネットと再生可能エネルギー）以来のことです。AI、そしてAIの一部であるLLMは、新たなサイバー脅威を出現させるとともに犯罪を含む産業構造の変革を引き起こす、次なる産業革命であると考える人も多くいます。サイバーセキュリティは非常にダイナミックな分野ですが、依然として変化していない基本的な側面もいくつかあります。その1つが攻撃ライフサイクルです。サイバー攻撃のライフサイクルは、サイバーキルチェーンとも呼ばれ、偵察、兵器化、配信、エクスプロイト、インストール、コマンド＆コントロール（C2）、目的達成という段階があります。まず、AIの簡単な歴史を説明し、その後、LLMを使用して攻撃ライフサイクル全体を示し、脅威の主体がそれらをどのように利用し、どのようなリスクをもたらし、将来的にどのように利用される可能性があるかを解説していきます。LLMベースのツールは、ペイロードとC2の最終段階を見事に実現するなど、サイバー攻撃ライフサイクルのさまざまな段階で重要な役割を果たすことができます。そして、これがこのブログの最も興味深い部分です。結論から言うと、AI全体、特にLLMは時とともにさらに強力になっていくことが予想されており、悪用された場合は深刻な被害をもたらす可能性があります。LLMの悪用に対抗できる唯一の手段は、AIと高度なディープラーニングによる予防アルゴリズムです。<h5>LLMの現在に至るまでの長い道のり </h5>まずAIとLLMの紹介から始めましょう。私がAIの研究を始めたのは、最初のPrologアプリを開発したときでした。Prologは、論理ベースのAIアプリケーション開発用に設計された宣言型プログラミング言語です。Prologは主に4つの要素、すなわち「事実」、「ルール」、「変数」、「クエリ」に基づいています。オリジナルバージョンは52年前に開発され、最新のバージョンでも24年が経過しています。開発当時は事実に関するデータが十分ではなく、クエリは事前に定義する必要があり、使用中にカスタマイズできるのはごくわずかでした。そんな中でも、Zamia AIのようなチャットボットの構築にも使用されていました。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt4cacfae68c0a2bc8" width="583" alt="Figure 1: Zamia AI" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt4cacfae68c0a2bc8/67855a294ac08c6dd62a053f/fig1-Zamia-AI-main.png" height="789" /><figcaption style="text-align: center;" style="text-align: center;">Figure 1: Zamia AI</figcaption></div></figure><figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt8f3c53a01e1f6b06" width="548" alt="fig2-Zamia-AI-Chat.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt8f3c53a01e1f6b06/67855a29b33932b1322143ac/fig2-Zamia-AI-Chat.png" height="298" /><figcaption style="text-align: center;" style="text-align: center;">図2: Zamia AI Chat</figcaption></div></figure>今日、AIについて考えるとき、私たちは複雑なインフラと強力な問題解決能力を備えたChatGPTのような高度なチャットボットや複雑なシステムを思い浮かべます。しかし、AIは常にこれほど高度だったわけではありません。AIの初期の例は、多くの場合チャットボットの形を取っていました。今となっては単純に見えますが、それでも当時は新しい概念とツールを世に送り出した画期的なイノベーションでした。いくつか例を見てみましょう。Eliza (1966年） - MITのジョセフ・ワイゼンバウム教授が1960年代に開発した史上初のチャットボット。Elizaはユーザーに対して心理療法士の役割を果たすようにプログラムされている<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt39109eebae6dd559" width="674" alt="fig3-Eliza-chatbot.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt39109eebae6dd559/67855a299c8312d204b48ed5/fig3-Eliza-chatbot.png" height="350" /><figcaption style="text-align: center;" style="text-align: center;">図3: Eliza Chatbot 1966</figcaption></div></figure>Parry (1972年) - 偏執症患者の思考をシミュレートする自然言語プログラム。Parryは、1972年にアメリカの精神科医ケネス・コルビーによって開発ChatterBot (1988年) - 英国のプログラマー&nbsp;<a href="https://en.wikipedia.org/wiki/Rollo_Carpenter">Rollo Carpenter</a> が1988年に開発したチャットボット。1997年にCleverbotへと進化 興味深い事実 - ChatterBotは2023年まで稼働。 <a href="https://www.cleverbot.com/">Cleverbot</a> は現在も稼働しており、アクセスが可能<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="bltb6ebe6bd89db5d9f" width="368" alt="fig4-CleverBot-Chatbot.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltb6ebe6bd89db5d9f/67855a29a840ac66f7d5161e/fig4-CleverBot-Chatbot.png" height="298" /><figcaption style="text-align: center;" style="text-align: center;">図4: CleverBot Chatbot</figcaption></div></figure>DR SBAITSO (1992年) - このチャットボットは、1992年にクリエイティブラボがMS-DOS用に開発。音声操作によるチャットプログラムを組み込んだ初期のチャットボットのひとつ。 <a href="https://classicreload.com/dr-sbaitso.html">MS-DOS emulator</a> で試すことができる<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt75aad27671c9d80c" width="778" alt="fig5-DR-Sbaitso-Chatbot.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt75aad27671c9d80c/67855a2926c6b42b6a3efe55/fig5-DR-Sbaitso-Chatbot.png" height="326" /><figcaption style="text-align: center;" style="text-align: center;">図5: DR SBAITSO Chatbot</figcaption></div></figure>&nbsp;A.L.I.C.E. (1995年) – 会話を行うために発見的パターンマッチングを使用する、汎用言語処理チャットボット。リチャード・ウォレスは1995年にALICEの構築に先鞭をつけた<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="bltc341c7a55fbb99f1" width="1378" alt="fig6-ALICE-Chatbot.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc341c7a55fbb99f1/67855a297854593beb60b083/fig6-ALICE-Chatbot.png" height="460" /><figcaption style="text-align: center;" style="text-align: center;">図6: ALICE Chatbot</figcaption></div></figure>AIとその応用の進化は現在も続いています。ここにきてAIが急に注目を集めているようにみえますが、研究者たちは何十年にもわたってAIの研究と実験を続けてきました。自然言語処理、機械学習、ディープラーニングの技術は、すべて何年も前から存在しています。また、上のタイムラインが示すように、アシスタントのようなチャットボットはすでに人気を博していました。AIアシスタントのアイデアと実際のAI技術を組み合わせることで、音声認識機能を備えたチャットボットが多く登場しました。後ほど触れますが、私たちも同様に作り出したものを改良し進化させ、万能型のLLMを開発することができました。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt2099abc03b83a316" width="822" alt="fig7-Chatbots-evolution.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2099abc03b83a316/67855a2a5dc3c373fb1dff58/fig7-Chatbots-evolution.png" height="260" /><figcaption style="text-align: center;" style="text-align: center;">図7: Chatbotsと最近のLLMs</figcaption></div></figure>AI、チャットボット、LLMのタイムラインについて理解が深まったところで、LLMのユニークな機能がサイバー攻撃をどのように促進するのかを見ていきましょう。<h5>すべてのチャットボットがLLMではない</h5>LLMは自然言語処理（NLP）の進化形ですが、次の図に示すように、いくつかの重要な違いがあります。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img width="1098" alt="image_(5).png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3ec25c548975f9e0/6787c652a58f4ba82d0932d6/image_(5).png" height="453" /><figcaption style="text-align: center;" style="text-align: center;">図8: NLP vs LLM</figcaption></div></figure><figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img width="1052" alt="Screenshot_2025-01-14_at_2.32.10_PM.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt127f601c1983a0c4/6786bbcbbd2b7423333152ef/Screenshot_2025-01-14_at_2.32.10_PM.png" height="551" /><figcaption style="text-align: center;" style="text-align: center;">図8: NLP vs LLM</figcaption></div></figure>これから説明する攻撃フローのPOCを可能にするLLM独自の機能が複数あります。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blta1391ffcefcf764f" width="849" alt="fig9-LLM-capabilities.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blta1391ffcefcf764f/67855a2a66c78759deba45d0/fig9-LLM-capabilities.png" height="396" /><figcaption style="text-align: center;" style="text-align: center;">図9：攻撃フローPOCにおけるLLMの機能</figcaption></div></figure><h2>LLM攻撃ライフサイクルの構築</h2><h5>攻撃ライフサイクルの理解</h5>まず初めに、LLMが単独で完全な多段階攻撃を実行できることを証明する方法として、攻撃ライフサイクルが最も適していることを理解しておく必要があります。「攻撃ライフサイクル」という用語は、サイバー攻撃フローの段階を表しており、攻撃キルチェーンとも呼ばれています。これらの段階が正しく実行されると、攻撃が成功する可能性があります。そのため、各段階で攻撃を阻止し、攻撃の流れを断ち切ることで攻撃を妨害することが期待される複数のセキュリティ製品があります。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt9478e1de7b400c6d" width="1200" alt="fig10-Attack-lifeCycle.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9478e1de7b400c6d/67855a2a9f3ffe210a1d7029/fig10-Attack-lifeCycle.png" height="413.63" /><figcaption style="text-align: center;" style="text-align: center;">図10：攻撃ライフサイクル</figcaption></div></figure>攻撃ライフサイクルは以下のステップを踏みます:•	偵察：標的に関する情報（ネットワークトポロジー、従業員、脆弱性など）を収集し、弱点や侵入に適したポイントを特定•	兵器化：悪意のあるペイロード（ウイルス、マルウェア、エクスプロイトなど）を作成し、標的システムに配信できるように準備•	配信：標的に対して、通常は電子メールの添付ファイル、悪意のあるリンク、または感染したウェブサイトなどの方法で、武器化されたペイロードを送信•	エクスプロイト：標的システムの脆弱性を悪用するためにペイロードを起動（例えば、悪意のあるコードを実行したり、ソフトウェアの欠陥を悪用）。•	インストール：標的システムにマルウェアまたはエクスプロイトをインストールし、多くの場合、攻撃者が長期間アクセスを維持できるように永続性を確立•	コマンド＆コントロール（C2）：感染したシステムを制御し、コマンドを発行するために、侵害されたシステムと攻撃者のインフラストラクチャとの間にリモート接続を確立•	目的の実行：データの窃取、マルウェアの拡散、業務妨害、ネットワークのさらなる悪用など、攻撃者の主な目的を達成<h5>初期の偵察</h5>LLMは、ソーシャルメディアや技術フォーラムなどの一般公開されている情報源から、標的のシステムや個人に関する情報を収集するプロセスを自動化することができます。被害者またはセクターを選択した後、最も重要な段階の1つである初期偵察が始まります。この段階では、情報収集と潜在的な侵入ポイントの特定が行われます。Googleのような強力な検索エンジンやShodanやCensysのようなスキャンサービスのおかげで、この段階はすでにかなり単純化されていますが、LLMによってさらに簡単かつ迅速になりました。POCでは、まず初期ベクトルと被害者の候補となるものの特定から始めます。チャットボットが役立ちます。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt60e639ae21c4bfc7" width="525" alt="fig11-vulnerabilities-chatGPT.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt60e639ae21c4bfc7/67855a49baaf228ec928af43/fig11-vulnerabilities-chatGPT.png" height="535" /><figcaption style="text-align: center;" style="text-align: center;">図11：ChatGPTのクエリと脆弱性の説明</figcaption></div></figure>Censysは、世界的に有名なインターネットスキャンニングプラットフォームであり、情報セキュリティの専門家がデバイスを発見、監視、分析するのに役立ちます。LLMチャットと統合すると、検索がさらに簡単になり、潜在的なターゲットの洗い出しができます。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt481611daa29e50c3" width="434" alt="fig12-Censys-search-GPT-results.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt481611daa29e50c3/67855a49532fd65fdc5a29ba/fig12-Censys-search-GPT-results.png" height="446" /><figcaption style="text-align: center;" style="text-align: center;">図12：Censysの検索結果</figcaption></div></figure>さらに、OSINT専用に開発されたツールの中には、偵察とスキャニングのプロセスを自動化できるものもあります。実際、PentestGPT（当初はHackerGPTとして知られていた）など、その目的のために開発され、訓練されたLLMがいくつかあります。

図46：フルフローエージェントのアイデアのデモ もうすぐ完了です。次に、LLMの制限を解除した状態で、LLMガイド付きマルウェアが何ができるかを見てみたいと思いました。エージェントを少しの間実行させたままにして、コーヒーを飲んで戻ってきたら何が起こるでしょうか？マルウェアを空の新しいLinux VM上でテストしたため、エージェントはいくつかのツールをダウンロードして実行しようとしましたが、失敗しました。エージェントは、不足している共通ライブラリをインストールすることでエラーを修正しようとしました。<figure><div data-img-caption-container="true" style="display: inline-block; text-align: center;"><img asset_uid="blt5de6dbc9602d702c" width="1161" alt="fig47-llm-guided-attempts-to-fix-missing-libraries.png" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt5de6dbc9602d702c/67855aa538abf9e29d1f08df/fig47-llm-guided-attempts-to-fix-missing-libraries.png" height="738" /><figcaption style="text-align: center;" style="text-align: center;">図47：LLM誘導型マルウェアは、失敗を回避するために追加のライブラリをインストール</figcaption></div></figure><h5>結論と今後の課題</h5>現在、LLMはすでに攻撃をより高速かつ頻繁に行う能力を備えています。<ul><li>POCをさらに効果的なものにする方法としては、以下が挙げられます。<ul><li>より効率的で一般的な言語ではない言語に書き換える – Rust / GO</li><li>より巧妙で長期間の回避を可能にするためのパッカーを構築</li><li>外部LLMサーバーを必要とせずに動作するローカルのTiny LLMで試すr</li><li>初期LLM通信中に、マルウェアが生成され、要求に応じてコンパイルされるよう、多様性アルゴリズムを使用してエージェントにリクエストを実行</li><li>LLMベースのマルウェアを追跡 – これは厄介な場合がある（このトピックに関する別のブログに注目する）</li><li>研究し、そのアイデアをBLM（ビヘイビア・ラージ・モデル）に移行（将来のロボット用に開発されることが多い） – 自宅で試さないでください</li></ul></li></ul>過小評価された研究 – 最近、クロードは最新バージョンである<a href="https://www.anthropic.com/news/3-5-models-and-computer-use" target="_blank">クロード3.5「ソネット」</a>が、ユーザーの命令に従ってカーソルを移動させ、関連する場所をクリックし、仮想キーボードから情報を入力して、ユーザーが自分のコンピュータとやりとりする方法をエミュレートできると発表しました。この機能こそ、私がLLMが誘導するマルウェアをさらに効率化するために欠けていたものです。その後すぐに、OpenAIは同様の機能を持つ「<a href="https://www.bloomberg.com/news/articles/2024-11-13/openai-nears-launch-of-ai-agents-to-automate-tasks-for-users" target="_blank">Operator</a>」を発表しました。最後に、Googleの<a href="https://www.theverge.com/2024/10/26/24280431/google-project-jarvis-ai-system-computer-using-agent" target="_blank">Jarvis AI</a>は、人の代わりにコンピュータを使って行動を起こすことができるという噂も流れています。<h5>結論</h5>LLMがサイバー攻撃に与える影響についての私の見解は、研究を進める中で変化しました。LLMがもたらすサイバー脅威は革命ではなく、進化です。LLMがもたらすものは何も新しいものではなく、サイバー脅威をより良く、より速く、より正確に、より大規模に作り出しているだけです。このブログで示したように、LLMは経験豊富なドライバーの指示があれば、攻撃ライフサイクルのあらゆる段階にうまく統合することができます。これらの能力は、基盤となるテクノロジーが進歩するにつれて、自律的に成長していくでしょう。この進化に対抗するには、防御方法もそれに対応して進化させる必要があります。攻撃を阻止するには、防御側は平均して2つの段階を阻止すればよいと言われています。それは可能だと思います。しかし、防御側がそれを実行するためには適切なツールが必要です。この研究が発表されたDeepSecカンファレンスのビデオを、近日中にこのブログに追加する予定です。AIとAIの戦いにAIで立ち向かいたいとお考えのサイバーセキュリティ担当者は、<a href="https://info.deepinstinct.com/ja-jp/request-a-demo" target="_blank">こちらから</a>デモをリクエストして、サイバーセキュリティ唯一のディープラーニングフレームワークの威力をぜひご自身でお確かめください。参考文献https://github.com/MythicAgents/Medusastopwatch.iohttps://github.com/GreyDGL/PentestGPTCensys.comChatGPT.comGemini.comhttps://github.com/PhonePe/mantishttps://github.com/fin3ss3g0d/evilgophishhttps://github.com/kingridda/voice-cloning-AIhttps://github.com/nomic-ai/gpt4allhttps://github.com/kgretzky/evilginx3huggingface.comOllama.comWhiteRabbitNeo.comhttps://github.com/jasonacox/TinyLLMhttps://github.com/katanaml/sparrow

人手によるコーディングを超えて：自己誘導型マルウェアエージェントによるLLMベースの攻撃ライフサイクルの構築

pindos-js-dropper-blog.jpg

Deep Instinctの脅威リサーチラボは最近、BumblebeeとIcedIDを配信するJavaScriptベースのドロッパーの新種を発見しました。このドロッパーにはロシア語のコメントが含まれており、ロシアにおける現在（および過去）の <a href="https://en.wikipedia.org/wiki/Anti-American_sentiment_in_Russia#Pindos" target="_blank">反米コメント</a>の可能性がある独自のユーザーエージェント文字列 "PindOS" を採用しています。Bumblebeeは2022年3月に初めて発見されたマルウェアローダーです。<a href="https://info.deepinstinct.com/ja-jp/conti-leaks-cyber-threat-reports" target="_blank">Conti グループ</a> に関連しており、BazarLoaderの代替として使用されていました。ランサムウェアを含む他の複数のタイプのマルウェアの主要なベクターとして動作します。IcedIDは、金融情報を盗むために設計されたモジュラー型バンキングマルウェアです。少なくとも2017年以降出回っており、最近ではマルウェアの配信に重点を移していることが <a href="https://www.bleepingcomputer.com/news/security/new-icedid-variants-shift-from-bank-fraud-to-malware-delivery/" target="_blank">確認されています</a>。<h5>Bumblebeeのジレンマ - PowerShellかJavaScriptか？</h5><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltac10f75989680347" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltac10f75989680347/6493347d48e15a005746c1ff/fig00-bumble_meme.jpg" style="text-align: center;"/></figure>Bumblebeeの主な手口は、直近の<a href="https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads" target="_blank">大規模キャンペーン</a>を含め、非常に特徴的な難読化（「elemXXX」）を施したPowerShellベースのファーストステージを含みます。これは、埋め込まれた64ビットのペイロード.DLLのラッパーおよびロードルーチンとして機能します。このフローに関する我々の分析は、<a href="https://www.deepinstinct.com/ja/blog/the-dark-side-of-bumblebee-malware-loader" target="_blank">こちら</a>をご覧ください。PowerShellの代わりにJavaScriptに切り替わる可能性があることは、これまでBumblebeeが確立していたTTPに大きな変化をもたらします。<h5>IcedID - バンカーからローダーへ？</h5>最近の報告が示すように、IcedIDは部分的にEmotetの足跡をたどっているようであり、より一般化されたローダー型マルウェアになることを優先して、バンキングおよび金融系を狙った機能を放棄している可能性があります。新しいJavaScriptタイプのドロッパーとの関連は、この方向転換へのもう1つのステップと見ることができます。<h5>PindOS JavaScriptテクニカル分析</h5>難読化を解除すると、ドロッパーは驚くほどシンプルになります。これは、4つのパラメータを取得する単一の関数「exec」で構成されています：<ul><li>“UserAgent” – Bumblebee’sの .DLLをダウンロードする際に使用するユーザーエージェント文字列</li><li>“URL1” – ダウンロードする最初のアドレス</li><li>“URL2” – 2番目にダウンロードするアドレス</li><li>“RunDLL” – 呼び出すペイロード.DLLエクスポート関数</li></ul>実行されると、ドロッパーは最初にURL1からペイロードをダウンロードし、rundll32.exe経由で指定されたエクスポートを直接呼び出して実行しようとします。これが失敗すると、ドロッパーはURL2からペイロードをダウンロードし、PowerShellとrundll32.exeの組み合わせを使って実行しようとします。ダウンロードされたペイロードは %appdata%/Microsoft/Templates/&lt;6-char-random-number&gt;.dat に保存されます。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><figure style = "float: none;width: auto;max-width:auto;"><img asset_uid="blt310d8e627d3469ad" alt="図1 - PindOSの主な機能" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt310d8e627d3469ad/6493347db9a076b80b92866c/fig01-pindos-main-function.png" /></figure>図1 - PindOSの主な機能</figure>この関数は、4つの別々のURLで2回呼び出されます：<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><figure style = "float: none;width: 597px;max-width:597px;"><img asset_uid="blt94b88382eb4426e4" alt="図2 - Bumblebeeドロッパーからのexec関数呼び出し" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt94b88382eb4426e4/6493347dd5b9a5988d6de2e6/fig02-exec-function-call-from-bumblebee-dropper.png" height="52" style="max-width: 597px;width: 597px;height: 52px;" /></figure>図2 - Bumblebeeドロッパーからのexec関数呼び出し</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt2ccea6ece70d6aef" alt="Figure 3 – exec function call from IcedID dropper" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2ccea6ece70d6aef/6493347d1fb2d3643c496f99/fig03-exec-call-from-icedid-dropper.png" style="text-align: center;"/>図3 - IcedIDドロッパーからのexec関数呼び出し</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltf4668bbd24eb05b8" alt="Figure 4 – Payload download" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltf4668bbd24eb05b8/6493347df7411b69d437e201/fig04-payload-download.png" style="text-align: center;"/>図4 - ペイロードのダウンロード</figure>取得されたペイロードは、擬似的にランダムに「オンデマンド」で生成され、その結果、ペイロードが取得されるたびに新しいサンプルハッシュが生成されます。このような手口は、シグネチャベースの検知を避けるために一般的に行われています。しかし、Bumblebeeの場合、「初見」のファイルでもサンプルがシグネチャで <a href="https://www.virustotal.com/gui/file/28c87170f2525fdecc4092fb347acd9b8350ed65e0fd584ce9fc001fd237d523/detection/f-28c87170f2525fdecc4092fb347acd9b8350ed65e0fd584ce9fc001fd237d523-1686560298" target="_blank">検出されやすいため</a>、以前のフロー（ペイロードを直接ディスクに書き込まない）と比べると、これはやや効果がないように思われます。検出されやすい理由は、生成されたペイロードのエクスポートと、生成された異なるサンプル間で変化せず、一定のままである他のいくつかのインジケータ部分によるものと思われます。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt9a6ab350a777b88a" alt="Figure 5 – A generalized comparison of Bumblebee’s infection flows - “older” on the right; “newer” on the left." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9a6ab350a777b88a/64933d2de66699a1d52eb992/fig05-a-generalized-comparison-of-bumblebees-infection-flows.png" style="text-align: center;"/>図5 - Bumblebeeの感染フローの一般的な比較 - 右が 「古い」、左が 「新しい」</figure>Virus Totalによると、「初見 」のPindOSドロッパーの検出率は非常に低い：<img asset_uid="blt5a182e8e00749668" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt5a182e8e00749668/64933d2d1fb2d36df6496fcb/fig06-vt-first-seen-detection-pindos-virus.png"/><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt6e2212907fb50273" alt="Figures 6 & 7 – VT first-seen detection for PindOS droppers" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt6e2212907fb50273/64933d2d48a8ff009c477fde/fig07-vt-first-seen-detection-pindos-dropper.png" style="text-align: center;"/>図6と図7 - PindOSドロッパーのVT初見検知</figure><h5>Bumblebee DLLペイロード解析のハイライト</h5>このDLLペイロードは、以前に遭遇したものとは若干異なっています。動的には非常によく似ていますが、難読化のレイヤーがいくつか追加されています。アンチデバッグおよびアンチVM/サンドボックス機能はそのままですが、<a href="https://github.com/FFmpeg/FFmpeg/blob/1617d1a752d5e97d5e74f6c384609c027c884553/libavutil/error.c" target="_blank">FFmpegプロジェクトのオープンソース</a> プロジェクトの "error.c "ファイルから取られた 「正規のように見える」 文字列がいくつか追加されており、同じプロジェクトの他のいくつかのファイルが目くらましの目的で追加されています：<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt64d2e5ce682d4b38" alt="Figure 8 – Strings found in Bumblebee DLL" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt64d2e5ce682d4b38/6493347d9601bc69e508214d/fig08-strings-found-in-bumblebee-dll.png" style="text-align: center;"/>図8 - Bumblebee DLLで見つかった文字列</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltff29e3f9d11aa98a" alt="Figure 9 – FFmpeg project source, “error.c” file." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltff29e3f9d11aa98a/6493347dea50bc3ffabea7f4/fig09-ffmpeg-project-source-error.c-file.png" style="text-align: center;"/>図9 - FFmpegプロジェクトのソース、"error.c "ファイル</figure>もう1つの違いは、以前のBumblebee DLLには2つの主要なエクスポート機能がありましたが、新しいDLLには4つのエクスポート機能があることです。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="blt3c905274f728fa88" alt="Figure 10 – “New” Bumblebee DLL Exports" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3c905274f728fa88/6493347dd2420473b31cd636/fig10-new-bumblebee-dll-exports.png" style="text-align: center;"/>図 10 - 「新しい」Bumblebee DLL エクスポート</figure><figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltcb5ad0e83176edf1" alt="Figure 11 – “Old” Bumblebee DLL exports, with main “SetPath” function" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltcb5ad0e83176edf1/6493347d75c2ae82940617e7/fig11-old-bumblebee-dll-exports-with-main-setpath-function.png" style="text-align: center;"/>図11 - 「古い」Bumblebee DLLエクスポート、メイン "SetPath "関数付き</figure>DLLをさらに調べると、前の変形と同じメイン関数にたどり着きます。<figure style="margin-top: auto;margin-right: auto;margin-bottom: auto;margin-left: auto;text-align: center;width: auto;"><img asset_uid="bltec80d5d7fc0f0819" alt="Figure 12 – “SetPath” in the “new” Bumblebee DLL." src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltec80d5d7fc0f0819/6493347ee6669913502eb96f/fig12-setpath-in-the-new-bumblebee-dll.png" style="text-align: center;"/>図12 - 「新しい」Bumblebee DLLの "SetPath"</figure><h5>結論</h5>Bumblebeeの最新の「実験」は、検知リスクを低減する手段として、疑似ランダム・サンプル生成を活用しようとするものです。これは、PindOSドロッパーを「共有」しているIcedIDを含め、金融/バンキングマルウェアの攻撃者によって長年使用されてきました。PindOSがBumblebeeやIcedIDの背後にいるグループによって恒久的に採用されるかどうかはまだ分かりません。この "実験"がこれらの "仲間"であるマルウェア群の配信に成功すれば、彼らの武器庫における恒久的なツールとなり、他の攻撃者たちの間で人気を博すかもしれません。Bumblebeeと <a href="https://thedfirreport.com/2023/05/22/icedid-macro-ends-in-nokoyawa-ransomware/" target="_blank">IcedID</a> はランサムウェアを配信することが知られているため、セキュリティチームはこれらのIOCに注意することをお勧めします。IOCの最新リストは<a href="https://github.com/deepinstinct/PindOS-JS-Dropper" target="_blank">GitHubページ</a>でご覧いただけます。<h5>IOCs</h5><ul><li>Network Artifact User-Agent: PindOS</li><li>Bumblebee infection URLs hxxps://qaswrahc.com/wp-content/out/mn[.]php hxxp://tusaceitesesenciales.com/mn[.]php hxxp://carwashdenham.com/mn[.]php hxxps://intellectproactive.com/dist/out/mn[.]php</li><li>Bumblebee .JS dropper SHA256 bcd9b7d4ca83e96704e00e378728db06291e8e2b50d68db22efd1f8974d1ca91 07d2cb0dc0cd353fb210b065733743078e79c4a27c42872cd516a6b1fb1f00d1 00ec8f3900336c7aeb31fef4d111ee6e33f12ad451bc5119d3e50ad80b2212b0 15da5b0a65dd8135273124da0c6e52e017e3b54642f87571e82d2314aae97eec 180a935383b39501c7bdf2745b3a334841f01a7df9d063fecca587b5cc3f5e7a</li><li>Bumblebee DLL payload SHA256 24dd5c33b8a5136bdf29d0c07cf56ef0e33a285bb12696a8ff65e4065cb18359 76c9780256e195901e1c09cb8a37fb5967f9f5b36564e380e7cf2558652f875b 28c87170f2525fdecc4092fb347acd9b8350ed65e0fd584ce9fc001fd237d523 ac261ac26221505798c65c61a207f3951cc7dce2e1014409d8a765d85bfd91d4</li><li>IcedID infection URLs hxxps://masar-alulaedu.com/wp-content/woocommerce/out/berr[.]php hxxps://egyfruitcorner.com/wp-content/tareq/out/berr[.]php hxxps://tech21africa.com/wp-content/uploads/out/berr[.]php hxxps://www.posao-austrija.at/images/out/lim[.]php hxxps://logisticavirtual.org/wp-content/out/lim[.]php hxxps://adecoco.us/wp-content/out/lim[.]php hxxps://acsdxb.net/wp-content/out/lim[.]php</li><li>IcedID .JS dropper SHA256 92506fe773db7472e7782dbb5403548323e65a9eb2e4c15f9ac65ee6c4bd908b c84c84387f0b9e7bc575a008f36919448b4e6645e1f5d054e20b59be726ee814 7355656f894ae26215f979b953c8fa237dc39af857a6b27754a93adb1823f3b6 8f40ff286419eb4b0c4d15710dc552afb2c2a227a180f4b4f520d09b05724151</li><li>IcedID DLL payload SHA256 9101975f7aca998da796fc15a63b36ab8aa0fe0aed0b186aaed06a3383d5f226 4f0c9c6fc1287ef16f4683db90dd677054a1f834594494d61d765fa3f2e1352c cb307d7fa6eaac6a975ad64ff966ff6b0b0fdd59109246c2f6f5e8d50a33e93c 361b0157ef63d362fdd4399288f5f6a0e1536633dfb49c808a3590718c4d8f10 e71c9ac9ddd55b485e636840da150db5cd2791d0681123457bd40623acd8311c 8ae3be9f09f5fc64ec898a4d6467b2f6e50eaaa26fc460a4f1a9b9566e97a9a7</li></ul><h5>MITRE ATT&amp;CK</h5><table><thead><tr><th style="width: 13%;">タクティクス</th><th>テクニック</th><th>概要</th><th>オブザーバブル</th></tr></thead><tbody><tr><td>エグゼキューション</td><td>コマンドとスクリプトのインタープリタ： JavaScript - T1059.007</td><td>攻撃者はJavaScriptのさまざまな実装を悪用して実行する可能性がある</td><td>.JS Droppers</td></tr><tr><td>防御回避</td><td>システムバイナリプロキシ実行： Rundll32 - T1218.001</td><td>攻撃者はrundll32.exeを悪用し、悪意のあるコードの実行を代理する可能性がある</td><td>Rundll32.exe 使用状況</td></tr><tr><td>防御回避</td><td>難読化されたファイルまたは情報 - T1027</td><td>攻撃者は、実行ファイルやファイルの内容を暗号化、符号化、あるいはシステム上や転送中に難読化することで、発見や分析を困難にする可能性がある</td><td>難読化JS、"Random" 生成ペイロード</td></tr></tbody></table>

PindOS：BumblebeeとIcedIDを運ぶ新しいJavaScriptドロッパー

esxiargs-ransomware-blog.jpg

ランサムウェア攻撃時にESXIを狙うことは、新しいことではありません。Babuk、AvosLocker、BlackCat、Hiveなどのランサムウェア攻撃は、以前からVMware ESXiを標的としていました。ESXiArgsのユニークな点は、ESXIのみを標的にしていること、そしてここ最近のキャンペーンでは、VMWare ESXiの2年前の脆弱性を悪用して、リモート・コード実行（RCE）を引き起こしていることです。このような攻撃は、一度に多くの被害者を感染させるために、集中的に実行されます。そうでなければ、他の潜在的な被害者は、最初の攻撃ベクトルが広く普及する前に、パッチを当てたり、修正したりすることになります。わずか2週間で、この攻撃は数千人の被害者に影響を与えました。<h3>サプライズアタック</h3>多くの人がChatGPTをめぐる大騒動や、GoogleとMicrosoftによるより良い代替案を求める「議論」をしている間に、ESXiArgsはその混乱に乗じて大規模なランサムウェア攻撃を開始しました。驚きましたか？実は攻撃者がパッチが適用されていない古い脆弱性を悪用して大規模な攻撃を行うことは、今回が初めてではなく、間違いなく最後でもありません。例えば、以下のような例があります：<ul><li>CV-2013-0431 - Revetonランサムウェア に悪用された JRE の脆弱性 2013年のCVEが2019-2022年に悪用される</li><li>CVE-2013-1493 – Exxrouteランサムウェアに悪用された</li><li>CVE-2019-7481 - HelloKittyランサムウェアに悪用された</li></ul>リストは長くなるので、CISAによる「<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_self">Known Exploited Vulnerabilities Catalog</a>」にCVEが発表された年と、それが実際に悪用された年との差をグラフでまとめました。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltecfdc965cec8e5e8" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltecfdc965cec8e5e8/63ee61eebb6c4e1c079f6199/fig01-years-between-cve-published-and-found-exploited.png" /></figure>上のグラフには、特に驚かないでしょう。以前の調査では、企業ネットワークで発見された脆弱性の60％以上が2016年以前に公開されたものであることが分かっています 。上のグラフを見ると、CVE公開による最初のピーク（～1.5年）の後、次の段階は2年～5年であることがわかります。これらは、現在、ESXiArgsによる集中的攻撃で見られるタイプのエクスプロイトです。<a href="/blog/log4shell-cve-2021-44228-what-you-need-to-know" target="_self">Log4J</a>を覚えていますか？Log4Jは今でも活発に悪用されています。大企業はネットワークが複雑なため、一般的に脆弱性のパッチ適用に時間がかかります。このため、次の図が示すように、大企業はサイバー脅威集団にとって格好の被害者となります。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltc3c0d68a4e8b7e86" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc3c0d68a4e8b7e86/63ee61ee723591743bc4db8f/fig02-CVE_organizationFlow.png" /></figure>まだ多くの未パッチの脆弱性が存在します。例として、RCEエクスプロイトCVE-2021-21985を持つ同様のvCenterの脆弱性を見てみましたが、Shodanによると数百の潜在的な脆弱性のあるサーバーが露出しているようです。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt2f4f79228103b952" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2f4f79228103b952/63ee61ee1c653e112744ccfb/fig03-vcenter-vuln.png" /></figure>ESXi を使用している場合、組織を保護するために、以下の重要な CVE に関するパッチを適用する必要があります。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltbab0ea5ae6e2257d" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltbab0ea5ae6e2257d/63ee61ee78d9365b0e5aba26/fig04-vcenter-CVEs.png" /></figure><h3>ESXiArgsの攻撃初期ベクトル</h3>Censysによると、ESXiArgsキャンペーンは、主にフランスで多くの組織に影響を与えています：<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt7a232be6ccb38131" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt7a232be6ccb38131/63ee61ee8144df106174be0b/fig05-censysVictims.png" /></figure>攻撃者が最初に悪用したベクトルは CVE-2021-21974 で、いくつかの POC が GitHub で確認できました。このCVE自体は2年前のもので、<a href="https://www.vmware.com/security/advisories/VMSA-2021-0002.html" target="_blank">セキュリティ勧告</a>の一部であり、ESXiで使用されているOpenSLPのヒープオーバーフローの脆弱性を悪用して、リモートでコードを実行させる可能性があります。公開から数日後、潜在的な脆弱性があり、インターネットに公開されている約 6,700 台の vCenter サーバーが Shodan サービスを通じて発見されました。このCVEは、他の多くのCVEと同様に、ESXIインスタンスがインターネットに公開されている場合（これはベストプラクティスではありません）、または攻撃者がすでに組織のネットワーク内部にいる場合にのみ関連するということに、注意が重要です。<a href="https://straightblast.medium.com/my-poc-walkthrough-for-cve-2021-21974-a266bcad14b9" target="_blank">こちら</a>がCVE-2021-21974の詳細な分析です：<h3>キャンペーンの影響</h3>影響を受けたマシンを分析すると、同じ身代金要求のメモがあります：2.01～2.09 ビットコイン（～4.5万ドル）。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt5b856292e122eafa" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt5b856292e122eafa/63ee61eeebf0774eed52e0bd/fig06-ransomnote.png" /></figure>抽出されたすべてのウォレット（～2.8k）のうち、支払いを受けたウォレットはわずか数個（4）であり、例として、ロンドンからの被害者が$44,742を支払いました。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltb5c8bb8d41286aa4" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltb5c8bb8d41286aa4/63ee61ee4fafdf1128473a60/fig07-payment.png" /></figure>感染したサーバーに表示されるメッセージ：<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltfcd4917c219e0fb0" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltfcd4917c219e0fb0/63ee61eee47ca559926e5229/fig08-demadnpaid.png" /></figure>2023年3月2日に決済が完了し、本日現在もサーバーがインターネットに公開されており、本稿執筆時点ではパッチが適用されていないようです。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt273ec42d2ad660aa" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt273ec42d2ad660aa/63ee61ee68b812598c76de7a/fig09-exposed-vcenter.png" /></figure><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt1fe05bcc8b18b6eb" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt1fe05bcc8b18b6eb/63ee61ee2b5f1f5b059f155b/fig10-shodanpaid.png" /></figure>それぞれの支払いについては触れませんが、2000人以上の被害者のうち、わずか数人しかいないようです。この数の少なさは、ESXiのバックアップというベストプラクティスが、企業の支払い回避に役立ったためだと考えています。さらに、CISAは暗号化された仮想マシンを復元するツールを公開しました。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt752516c3429ade8d" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt752516c3429ade8d/63ee61f50773755832f8a1e4/fig11-ESXiArgs-Recover-readme.png" /></figure>上記の発表のすぐ後に、ESXiArgsがESXIランサムウェアの新バージョンをリリースし、CISAの上記のスクリプトを使えなくする暗号化プロセスを変更したことは注目に値します。<h3>キャンペーンの責任</h3>この攻撃の背後にいる人物はまだ明らかではありませんが、異なる攻撃者だということを示すいくつかの手がかりがあります。<ol><li>LockBit - 彼らは同様の攻撃を行い、2023年1月に新しいESXi Ransomwareの亜種を発表しました。一方、彼らのリークサイトには被害者が一人も反映されていません。LockBitの一部の関連会社が独自に行動している可能性があります<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt664b4e5ad5b51e9b" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt664b4e5ad5b51e9b/63ee61f514a7481116d535cf/fig12-LockbitLeaks.png" /></figure> はい、その通りです。「ロイヤルメール・グループ」のリークが公表されましたが、それはまた別の話です。</li><li>Babuk - セキュリティ・リサーチャーのMichael Gillespieは、Babukランサムウェアの流出したソースコードに基づく新種のようだと考えています。2022年半ばに、ESXiを標的としたCheersCryptランサムウェアという同様の事例がありましたが、これは流出したBabukのソースコードをベースとしたものでした</li><li>Nevada - フランスのクラウドコンピューティングプロバイダーOVHCloudは、Nevadaランサムウェアの亜種との関連を示唆する最初の調査結果を撤回しました</li><li>過去のESXiランサムウェアを組み合わせた新たな脅威アクター</li></ol><h3>アタッカープラン</h3><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltc0fb5962d42f35d5" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc0fb5962d42f35d5/63ee61f51c653e112744ccff/fig13-CampaignFlowESXI.png" /></figure><figure style = "margin: auto; text-align: center;width: 387px;"><img asset_uid="bltf0eebac84a28d23d" alt="図 Encrypt.sh" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltf0eebac84a28d23d/63ee61f53b3df420b76444f6/fig14-encrypt.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図 Encrypt.sh</figcaption></figure><h3>推奨される対策</h3><ol><li>ESXi サーバにパッチを適用するか、VMware が提案する回避策を実行する</li><li>ESXi サーバをインターネットに公開しないか、特定の IP アドレスだけをホワイトリストに登録する</li><li>脆弱性管理のベストプラクティスを実施しても、それだけに頼らず、 <a href="/ja/endpoint-security" target="_blank">優れたEPP</a> を導入する</li><li>感染した場合は、CERT-HR が提案する<a href="https://github.com/CERT-hr/ESXI-Ransomware-Removal-FlowChart/blob/main/ESXiFlowChart3.png" target="_blank">フローチャート</a> に従う</li></ol><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltb2aa780769a67581" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltb2aa780769a67581/63ee61f59b18a175e2431ea5/fig15-FlowChartCert.png" /></figure><h3>IOCs</h3><table><tbody><tr><td>73c66de7964b86b9fe32563b7d3195b87896a644c2bcdcaea74b81cb5da2a06b</td><td style="width: 15%;">encrypt.sh</td></tr><tr><td>773d147a031d8ef06ee8ec20b614a4fd9733668efeb2b05aa03e36baaf082878</td><td>vmtools.py</td></tr><tr><td>10c3b6b03a9bf105d264a8e7f30dcab0a6c59a414529b0af0a6bd9f1d2984459</td><td>encrypt.sh</td></tr><tr><td>5a9448964178a7ad3e8ac509c06762e418280c864c1d3c2c4230422df2c66722</td><td>encrypt.sh</td></tr><tr><td>11b1b2375d9d840912cfd1f0d0d04d93ed0cddb0ae4ddb550a5b62cd044d6b66</td><td>encrypt</td></tr><tr><td>7f39818a30879b314ffcff70d2e196fabec60ad94551547cf0e19f6bc3055a97</td><td>CVE-2021-21974.py</td></tr><tr><td>773d147a031d8ef06ee8ec20b614a4fd9733668efeb2b05aa03e36baaf082878</td><td>local.sh</td></tr><tr><td>ee1f73140605bc1475792e4b26102caa2b2ef838590f9f73a1e4a39feda72634</td><td>Encrypt00.sh</td></tr><tr><td>e1d2d6cba7dcc0d87884e9cfdf1a5141dd7649cb8958133fb9bd0659b377ed6e</td><td>Encrypt00.sh</td></tr><tr><td>c13a5bfb4bddfb1b7ce2fa3e6ae4745566490b50b58e3ff1e57c1d1c2f696760</td><td>Encrypt1.sh</td></tr><tr><td>11b1b2375d9d840912cfd1f0d0d04d93ed0cddb0ae4ddb550a5b62cd044d6b66</td><td>Encrypt</td></tr><tr><td>7adde6d89b1e6e5eeaf3aa2e802dcb1c81dae0b3b44550a53d48d75e94a744bf</td><td>Hello (Encrypt.sh)</td></tr></tbody></table><h3>MITRE ATT&CK:</h3><table><thead class="bg-grey"><tr><th style="width: 14%;">タクティック</th><th>テクニック</th><th>概要</th><th style="width: 13%;">オブザーバブル</th></tr></thead><tbody><tr><td>実行</td><td>T1059.004 コマンドおよびスクリプトのインタープリタ。Unixシェル</td><td>Encrypt.shの実行</td><td>encrypt.sh</td></tr><tr><td>ディスカバリ</td><td>T1083 ファイルとディレクトリの検出</td><td>すべてのVMファイルを検索</td><td>encrypt.sh</td></tr><tr><td>ディスカバリ</td><td>T1057 プロセス・ディスカバリ</td><td>VMファイルへのアクセス拒否を引き起こす可能性のあるプロセスをすべて終了</td><td>encrypt.sh</td></tr><tr><td>影響</td><td>T1486 データを暗号化してインパクトを与える</td><td>VMの暗号化</td><td>encrypt</td></tr></tbody></table><h3>参考文献：<a href="https://github.com/n2x4/Feb2023-CVE-2021-21974-OSINT" target="_blank">https://github.com/n2x4/Feb2023-CVE-2021-21974-OSINT</a></h3><a href="https://github.com/Shadow0ps/CVE-2021-21974" target="_blank">https://github.com/Shadow0ps/CVE-2021-21974</a><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">https://www.cisa.gov/known-exploited-vulnerabilities-catalog</a><a href="https://www.vmware.com/security/advisories/VMSA-2021-0002.html" target="_blank">https://www.vmware.com/security/advisories/VMSA-2021-0002.html</a><a href="https://gist.github.com/cablej/b15edac9c45faa258e1b94bc0a454551" target="_blank">https://gist.github.com/cablej/b15edac9c45faa258e1b94bc0a454551</a><a href="https://github.com/cisagov/ESXiArgs-Recover" target="_blank">https://github.com/cisagov/ESXiArgs-Recover</a><a href="https://straightblast.medium.com/my-poc-walkthrough-for-cve-2021-21974-a266bcad14b9" target="_blank">https://straightblast.medium.com/my-poc-walkthrough-for-cve-2021-21974-a266bcad14b9</a><a href="https://www.bleepingcomputer.com/news/security/cheerscrypt-ransomware-linked-to-a-chinese-hacking-group/" target="_blank">https://www.bleepingcomputer.com/news/security/cheerscrypt-ransomware-linked-to-a-chinese-hacking-group/</a><a href="https://github.com/CERT-hr/ESXI-Ransomware-Removal-FlowChart" target="_blank">https://github.com/CERT-hr/ESXI-Ransomware-Removal-FlowChart</a>

DSX for Cloud - Amazon S3を発表。ネイティブに統合されたAWS S3向けゼロデイデータセキュリティ

Mark Vaitzman

From Mark Vaitzman.