Research Center

Cybleの研究者が最近、Banco de Comercio、Advice、Thai Lion Air、Shopee Thailand、SUNAT、タイ特別捜査局（DSI）、フィリピン国税局（BIR）、Kasikornbankの顧客を狙う攻撃ベクトルとなったGigabud RATの分析結果を報告しました。¹

これまでに、4つのURLを含む10個のIoC（セキュリティ侵害インジケーター）が特定されています。WhoisXML APIでは今回、それらのURLをもとに調査を横展開し、さらに1,190にのぼるアーティファクトを見つけました。具体的には以下の通りです。

オープンソースソフトウェアのダウンロードサイトを検索するユーザーを狙った最近の不正行為についてBleeping Computerがこのほど分析し、68のドメイン名をIoC（indicators of compromise）として公表しました。¹

WhoisXML APIの研究者は、WHOISとDNSの情報をもとにそのIoCリストを拡充し、36個の悪意あるウェブプロパティを含む800個あまりのアーティファクトを発見しました。具体的には以下の通りです。

AutoITでコンパイルされたマルウェア¹ とDridex²は、長年にわたって脅威を与え続けている頑固な存在です。しかし、その耐性は完璧なものではありません。 最新のAutoIT³およびDridex⁴の攻撃についてこのたびWhoisXML APIが行った調査で、脅威の軽減に役立つ可能性のある未公開アーティファクトが1,425個見つかりました。以下のようなものです。

Zoomは長い間サイバー攻撃の格好の標的とされてきましたが、そこで行われている会議の時間が年間3兆3,000億分に達することを考えれば、驚くべきことではありません¹。

最近では、感染したユーザーの認証情報を盗む目的で、脅威アクターが不正なプログラム「IceID」をZoomのダウンロードに混入させる事件が発生しました。Cybleの研究者は、この事件に関連する3つのIoC（セキュリティ侵害インジケーター）をこれまでに公表しています² 。WhoisXML APIでは今回、そのIoCのリストをもとに調査を水平展開し、以下を見出しました。

あらゆるAPT（Advanced Persistent Threat）グループは、ラテラルムーブメントを可能にするため検知回避を図ります。しかし、Cloud Atlasは標的型攻撃で一般的に採用されるツール、戦術、手順（TTP）に加え、もうひとつの回避戦術として、政治的圧力にさらされた国にある標的を狙ってきました。

Check Point Research（CPR）は、身を隠そうとするCloud Atlasをよそに、10個のIoC（セキュリティ侵害インジケーター）の特定に成功しました1。これをもとにWhoisXML APIがこのたび調査を行い、さらに1,850個のアーティファクトを発見しました。

当社の調査で、以下を明らかにしました。

コロナ禍において企業はリモートワークに頼ることを余儀なくされ、その結果チャットアプリの人気が急上昇しました。多くの企業がハイブリッドワークの恒久化を選択したことから、現在も利用者の増加は続いています。

こうした状況において、脅威アクターが脆弱なビジネスチャットアプリに狙いを定め、破壊的なサプライチェーン攻撃を仕掛けるのも不思議ではありません。トレンドマイクロは最近、この脅威に関する技術分析を発表し、9つのコマンド＆コントロール（C&C）サーバアドレスをIoC（セキュリティ侵害インジケーター）としてリストアップしました。¹

WhoisXML APIの研究者が、その公開されたIoCを出発点として拡大分析を行いました。その結果、以下のことが判明しました。

Cyble Research and Intelligence Labs（CRIL）が最近、DarkTortillaを「洗練されたフィッシングマルウェア」であるとして、その詳細な技術分析を行いました。¹

WhoisXML APIでは、CRILが特定したセキュリティ侵害インジケーター（IoC）を出発点として調査を広げました。その結果、以下のことが判明しました。

ReversingLabsは、サプライチェーンのソフトウェアの攻撃が2022年にかつてないほど増加したと指摘するとともに、2023年にはさらに増えると予測しています。¹ 同社のレポートでは、攻撃の例としてIconBurst² とMaterial Tailwind³を挙げ、オープンソースリポジトリからパッケージをダウンロードする際に注意するよう、npmとPyPIのユーザーに呼びかけています。