Research Center

NSO Group社のマルウェア「Pegasus」は昨年、AppleのiOSを含むモバイルOSをターゲットに政府が使うゼロクリックスパイウェアとして世間の知るところとなりました。これに触発されたかのように、スパイウェア市場の新規参入者であるQuaDream社が今年4月、Pegasusの親戚ともいえる「KingsPawn」をリリースしました。

MicrosoftはKingsPawnに関する詳細な調査を発表し、64個のドメイン名をセキュリティ侵害インジケーター（IoC）として挙げています。

当社ではこれを受け、KingsPawnに関連しそうな他のアーティファクトがないかDNSを使って調査しました。その結果、以下を発見しました。

サードパーティを発端とするセキュリティインシデントは、関連している組織に致命的なダメージを与える可能性があります。FortifyData は最近、今年のサードパーティによる主要なデータ漏えい事件をリストアップし、脅威の共通性と規模を明らかにしました¹ 。

WhoisXML APIは、そのリストに掲載されたインシデントの1つであるAT&Tのデータ流出事件（マーケティング会社の事故により900万件のアカウントが流出²）に注目し、詳細な調査を行いました。その結果、以下を特定しました。

オンライン広告が全て同じように作られているわけではありません。中には偽装したマルウェアもあります。Bumblebeeの場合は、ソフトウェアのインストーラーを装う毒入り広告でした。¹ 

Secureworksが先般、BumblebeeのSEOポイズニング攻撃に関する調査結果とともに31のIoCを公表しました。WhoisXML APIのリサーチチームはそのIoCリストをもとに分析を深め、さらに多くの潜在的な脅威ベクトルを洗い出しました。この分析の結果、以下が明らかになりました。

脅威アクターは、常に最も広く使われているアプリケーションを利用してマルウェアのキャンペーンを展開します。その中には、オンラインセキュリティを強化するためのソフトウェアやサービスも含まれます。OpcJackerがまさにそのような存在で、VPNソフトウェアのインストーラを装っていますが、実際はデータを盗むマルウェアなのです。¹

当社が行ったOpcJackerのIoCリスト²の拡張調査で、以下が判明しました。

Resecurityの研究者によると、最近の脅威アクターは、サービスとしてのランサムウェア（RaaS）モデルを介し、ダークウェブでNevadaランサムウェアを広めています。¹ Nevadaは2023年1月だけでも数回バージョンアップされており、現在もWindowsとLinuxのユーザーを苦しめています。

AlienVault OTX² のセキュリティ侵害インジケーター（IoC）をもとに、WhoisXML APIが、DNSにおけるNevadaの足跡を辿りました。

当社の調査の結果、以下が明らかになりました。

世間で起こる注目すべき出来事とドメイン名やサブドメインの追加の間には、相関関係があるようです。最近のシリコンバレー銀行（SVB）、クレディ・スイス、シルバーゲート・キャピタル、シグネチャー・バンク、ファースト・リパブリック・バンクの破綻から、その傾向が見て取れます。^{1, 2}

脅威アクターがパンデミック関連のドメイン・サブドメインを悪用したように、銀行破綻に関しても同じことが起きている可能性があります。そのようなトレンドを探るため当社でDNSを調査した結果、以下が明らかになりました。

ドメイン名は、脅威アクターの主要な初期アクセス手段として今日も機能し続けています。そのような中、WhoisXMLの研究者は2023年4月13日、新サービス「Threat Intelligence Data Feed（TIDF）」で特定された100万超の悪意あるドメイン名を分析しました。その結果、：

ビジネスメール詐欺（BEC）は、世界で毎年数十億ドルの損害をもたらしています。¹ FBIのIC3によれば、この脅威はいつまでたっても衰えることはありません。

WhoisXML APIの研究者は、企業経営者を狙ったBECに関わったとして今年2月に発見された7つのセキュリティ侵害インジケーター（IoC）² をもとに、独自の調査を展開しました。その結果、以下を発見しました。