雑記系ブログ。セキュリティとか、マイルとか、投資とか、、、 / Miscellaneous Blogs. Security, miles, investments, etc
2021年8月16日~31日 サイバー攻撃のタイムライン / 16-31 August 2021 Cyber Attacks Timeline(転載)
ランサムウェアCONTIについてのアラート / Alert (AA21-265A):Conti Ransomware(転載)
要約
注:このアラートは、MITRE Adversarial Tactics, Techniques, and Common Knowledge (ATT&CK®) framework, version 9 を使用しています。参照されているすべての脅威行為者の戦術と技術については、ATT&CK for Enterpriseを参照してください。
Cybersecurity and Infrastructure Security Agency(CISA)とFederal Bureau of Investigation(FBI)は、米国および国際的な組織を対象とした400件以上の攻撃において、ランサムウェア「Conti」の使用が増加していることを確認しました。(FBI Flash: Conti Ransomware Attacks Impact Healthcare and First Responder Networksを参照)。典型的なContiランサムウェアの攻撃では、悪意のあるサイバーアクターがファイルを盗み、サーバーやワークステーションを暗号化して、身代金の支払いを要求します。
Contiランサムウェアからシステムを保護するために、CISA、FBI、NSAは、本アドバイザリに記載されている緩和策を実施することを推奨します。この緩和策には、多要素認証(MFA)の義務付け、ネットワークセグメンテーションの実施、オペレーティングシステムとソフトウェアの最新化などが含まれます。
技術詳細
Contiは、RaaS(ransomware-as-a-service)モデルのランサムウェアの亜種と考えられていますが、その構造には、一般的なアフィリエイトモデルとは異なるバリエーションがあります。Contiの開発者は、アフィリエイトのサイバーアクターが使用する収益の一定割合ではなく、ランサムウェアのデプロイ担当者に賃金を支払い、攻撃が成功した場合には収益の一部を受け取っていると考えられます。
コンティのアクターは、多くの場合、ネットワークへの最初のアクセス[TA0001]を通じて得ることができます。
- 悪意のある添付ファイル[T1566.001]や悪意のあるリンク[T1566.002]を含むカスタマイズされた電子メールを使用したスピアフィッシングキャンペーン。
- 悪意のあるWordの添付ファイルには、TrickBotやIcedID、Cobalt Strikeなどの他のマルウェアをダウンロードしたり、ドロップしたりするためのスクリプトが埋め込まれていることが多く、最終的にはランサムウェア「Conti」を展開することを目的とした、横方向への移動や攻撃ライフサイクルの後半の段階で使用されます。
- リモートデスクトッププロトコル(RDP)の認証情報の盗難または脆弱性[T1078]
- 電話(ソーシャルエンジニアリング)
- 検索エンジン最適化で宣伝された偽物のソフトウェア。
- その他のマルウェア配布ネットワーク(ZLoaderなど)、等
- 外部資産に共通する脆弱性
実行段階[TA0002]では、ウイルス対策エンジンが作動するリスクを減らすために、より攻撃的なペイロードを使用する前にgetuidペイロードを実行します。CISAとFBIは、Contiのアクターが侵入テストツールであるRouter Scanを使用して、ウェブ・インターフェースを備えたルータ、カメラ、ネットワーク接続ストレージ・デバイスを悪意を持ってスキャンし、ブルートフォース攻撃[T1110]を行っているのを確認しています。さらに、アクターはKerberos攻撃[T1558.003]を使用してAdminハッシュを取得し、ブルートフォース攻撃を行おうとしています。
Contiのアクターは、被害者のネットワーク上で永続性を維持するために、正規のリモート・モニタリング・管理ソフトウェアやリモート・デスクトップ・ソフトウェアをバックドアとして悪用することが知られています[TA0003]。アクターは、被害者のネットワーク上ですでに利用可能なツールを使用し、必要に応じてWindows SysinternalsやMimikatzなどのツールを追加して、ユーザーのハッシュや平文の認証情報を取得します。これにより、アクターはドメイン内で特権を拡大したり[TA0004]、その他のポストエクスプロイトやラテラル・ムーブメント[TA0008]のタスクを実行することができます。いくつかのケースでは、行為者は侵入後のタスクを実行するためにTrickBotマルウェアを使用します。
最近流出した脅威アクターの「プレイブック」によると、Conti社のアクターは、以下のようなパッチが適用されていない資産の脆弱性を利用して、特権を拡大し[TA0004]、被害者のネットワークを横に移動する[TA0008]こともあります。
- 2017年 Microsoft Windows Server Message Block 1.0サーバの脆弱性。
- Windows Print spooler サービスにおける「PrintNightmare」の脆弱性(CVE-2021-34527)
- Microsoft Active Directory Domain Controller システムにおける「Zerologon」の脆弱性(CVE-2020-1472)。
- 162.244.80[.]235
- 85.93.88[.]165
- 185.141.63[.]120
- 82.118.21[.]1
CISAとFBIは、Contiのアクターが被害者ごとに異なるCobalt StrikeサーバのIPアドレスを使用しているのを確認しています。
Contiは、オープンソースのコマンドライン・プログラム「Rclone」を使用してデータを流出させます[TA0010]。また、被害者の機密データを盗み出して暗号化した後、暗号化されたデータを公開するために身代金の支払いを要求し[T1486]、身代金が支払われない場合はデータを公開すると被害者を脅すという二重の恐喝手法を採用しています。
MITRE ATT&CKテクニック
Contiランサムウェアは、表1に示したATT&CK技術を使用しています。
Table 1: Conti ATT&CK techniques for enterprise
Initial Access |
Technique Title | ID | Use |
---|---|---|
Valid Accounts | T1078 | Conti actors have been observed gaining unauthorized access to victim networks through stolen Remote Desktop Protocol (RDP) credentials. |
Phishing: Spearphishing Attachment | T1566.001 | Conti ransomware can be delivered using TrickBot malware, which is known to use an email with an Excel sheet containing a malicious macro to deploy the malware. |
Phishing: Spearphishing Link | T1566.002 | Conti ransomware can be delivered using TrickBot, which has been delivered via malicious links in phishing emails. |
Execution |
Technique Title | ID | Use |
---|---|---|
Command and Scripting Interpreter: Windows Command Shell | T1059.003 | Conti ransomware can utilize command line options to allow an attacker control over how it scans and encrypts files. |
Native Application Programming Interface (API) | T1106 | Conti ransomware has used API calls during execution. |
Persistence |
Technique Title | ID | Use |
---|---|---|
Valid Accounts | T1078 | Conti actors have been observed gaining unauthorized access to victim networks through stolen RDP credentials. |
External Remote Services | T1133 | Adversaries may leverage external-facing remote services to initially access and/or persist within a network. Remote services such as virtual private networks (VPNs), Citrix, and other access mechanisms allow users to connect to internal enterprise network resources from external locations. There are often remote service gateways that manage connections and credential authentication for these services. Services such as Windows Remote Management can also be used externally. |
Privilege Escalation |
Technique Title | ID | Use |
---|---|---|
Process Injection: Dynamic-link Library Injection | T1055.001 | Conti ransomware has loaded an encrypted dynamic-link library (DLL) into memory and then executes it. |
Defense Evasion |
Technique Title | ID | Use |
---|---|---|
Obfuscated Files or Information | T1027 | Conti ransomware has encrypted DLLs and used obfuscation to hide Windows API calls. |
Process Injection: Dynamic-link Library Injection | T1055.001 | Conti ransomware has loaded an encrypted DLL into memory and then executes it. |
Deobfuscate/Decode Files or Information | T1140 | Conti ransomware has decrypted its payload using a hardcoded AES-256 key. |
Credential Access |
Technique Title | ID | Use |
---|---|---|
Brute Force | T1110 | Conti actors use legitimate tools to maliciously scan for and brute force routers, cameras, and network-attached storage devices with web interfaces. |
Steal or Forge Kerberos Tickets: Kerberoasting | T1558.003 | Conti actors use Kerberos attacks to attempt to get the Admin hash. |
System Network Configuration Discovery | T1016 | Conti ransomware can retrieve the ARP cache from the local system by using the GetIpNetTable() API call and check to ensure IP addresses it connects to are for local, non-internet systems. |
System Network Connections Discovery | T1049 | Conti ransomware can enumerate routine network connections from a compromised host. |
Process Discovery | T1057 | Conti ransomware can enumerate through all open processes to search for any that have the string sql in their process name. |
File and Directory Discovery | T1083 | Conti ransomware can discover files on a local system. |
Network Share Discovery | T1135 | Conti ransomware can enumerate remote open server message block (SMB) network shares using NetShareEnum() . |
Lateral Movement |
Technique Title | ID | Use |
---|---|---|
Remote Services: SMB/Windows Admin Shares | T1021.002 | Conti ransomware can spread via SMB and encrypts files on different hosts, potentially compromising an entire network. |
Taint Shared Content | T1080 | Conti ransomware can spread itself by infecting other remote machines via network shared drives. |
Impact |
Technique Title | ID | Use |
---|---|---|
Data Encrypted for Impact | T1486 | Conti ransomware can use CreateIoCompletionPort() , PostQueuedCompletionStatus() , and GetQueuedCompletionPort() to rapidly encrypt files, excluding those with the extensions of .exe , .dll , and .lnk . It has used a different AES-256 encryption key per file with a bundled RAS-4096 public encryption key that is unique for each victim. Conti ransomware can use "Windows Restart Manager" to ensure files are unlocked and open for encryption. |
Service Stop | T1489 | Conti ransomware can stop up to 146 Windows services related to security, backup, database, and email solutions through the use of net stop. |
Inhibit System Recovery | T1490 | Conti ransomware can delete Windows Volume Shadow Copies using vssadmin . |
対策
CISA、FBI、NSAは、ランサムウェア「Conti」による攻撃の危険性を低減するために、ネットワーク防御者が以下の緩和策を適用することを推奨しています。
多要素認証を使用する
- 外部からのネットワークへのリモートアクセスに多要素認証を要求する。
ネットワークセグメンテーションの導入とトラフィックのフィルタリング
- ランサムウェアの拡散を抑えるために、ネットワークと機能の間に強固なネットワークセグメンテーションを導入・確保する。ネットワーク間の無秩序な通信を排除する非武装地帯を定義する。
- ネットワークトラフィックをフィルタリングして、既知の悪意のあるIPアドレスとの出入りを禁止する。
- フィッシングメールがエンドユーザに届かないよう、強力なスパムフィルタを導入する。ユーザーが悪意のあるウェブサイトにアクセスしたり、悪意のある添付ファイルを開いたりしないようにするためのユーザートレーニングプログラムを導入する。実行可能ファイルを含む電子メールをフィルタリングし、エンドユーザに届かないようにする。
- ユーザーが悪意のあるWebサイトにアクセスするのを防ぐために、URLブロックリストや許可リストを導入する。
脆弱性をスキャンし、ソフトウェアを更新する。
- アンチウイルス/アンチマルウェアプログラムを設定し、最新のシグネチャを使用してネットワーク資産の定期的なスキャンを行う。
- ネットワーク資産のソフトウェア、オペレーティング・システム、アプリケーション、ファームウェアを適時にアップグレードする。一元化されたパッチ管理システムの使用を検討する。
不要なアプリケーションを削除し、コントロールを適用する。
- 日常業務に必要ないと思われるアプリケーションを削除する。コンティの脅威アクターは、リモート監視・管理ソフトウェアやリモートデスクトップソフトウェアアプリケーションなどの正規のアプリケーションを利用して、組織の企業を悪意を持って搾取します。
- 不正なソフトウェア、特にリモートデスクトップやリモート監視・管理ソフトウェアを調査すること。
- アプリケーションの許可制を導入し、組織のセキュリティポリシーで認められたプログラムの実行のみをシステムに許可する。ソフトウェア制限ポリシー(SRP)やその他のコントロールを導入し、一般的なインターネットブラウザの一時フォルダや圧縮/解凍プログラムなど、ランサムウェアがよく使用する場所からプログラムが実行されないようにする。
- 電子メールで送信されるMicrosoft Officeファイルのマクロスクリプトを無効にして実行を防止する。電子メールで送信されたMicrosoft Officeファイルを開く際には、Microsoft Officeスイートのフルアプリケーションではなく、Office Viewerソフトウェアの使用を検討してください。
- CISAとオーストラリア、カナダ、ニュージーランド、イギリスのサイバーセキュリティ当局が共同で作成したアラート「Publicly Available Tools Seen in Cyber Incidents Worldwide」では、一般に公開されているツールが悪意を持って使用されていないかどうかを確認するためのガイダンスを掲載しています。
エンドポイントおよび検出対応ツールの導入
- エンドポイントおよび検知対応ツールは、エンドポイントのセキュリティ状態を高度に可視化し、悪意あるサイバーアクターから効果的に保護することができます。
.onionアドレスを調査すると実IPアドレスをお漏らししていることがあります(転載)
続き→marshmallow-qa.com/messages/aaa64…
.onionアドレスからIPが露呈するケース。
1.onionサイト内のJavaScriptにうっかり記載して漏洩する可能性
2.フォーラムのヘッダから漏えいする可能性
3.サイトのソースコードから漏えいの可能性
4.その他サーバの設定ミスに起因して漏洩する可能性
Apacheの設定ミスで/server-statusにアクセスするとIPアドレスが見えるだとか、ポート開けっぱにしていてshodanやcensysにスキャンされてひっかかるなど、、、
2019年~2021年のランサムウェアの被害統計。累計105ヵ国3,338組織が被害を受け、国別ランキングで日本は10位にランクイン / [Statistics on countries affected by darkweb ransomware, 2019.05.01~2021.10.06] There are 3,338 affected organizations in 105 countries.(転載)
[TOP 10]
1. USA
2. Canada
3. France
4. UK
5. Germany
6. Italy
7. Australia
8. Spain
9. Brazil
10. Japan
信ぴょう性が疑わしい都道府県魅力度ランキング2021年版発表。茨城県が最下に返り咲く~お仕着せがましいランキングにややうんざり~
いろいろと信ぴょう性が疑わしい「都道府県魅力度ランキング」
その最新版である「都道府県魅力度ランキング2021」が10月9日、発表された。前年まで12年連続1位と圧倒的な強さを誇る北海道は、トップを守りきれるのだろうか。また、前年は7年連続最下位から脱出した茨城県。果たして今年の順位は……。
信ぴょう性が疑わしい本調査を行ったのは、ブランド総合研究所。このランキングは、47都道府県と国内1000の市区町村を対象に、全国の消費者3万5489人から有効回答を得て集計したものである。2006年から毎年実施しており、今年が16回目となる(都道府県の調査は2009年から13回目)。
2021年の都道府県魅力度ランキング1位になったのは北海道(73.4点)。2位が京都府(56.4点)、3位に沖縄県(54.4点)、4位は東京都(47.5点)とここまでは前年と順位は変わっていない。
2009年以来、13年連続の1位となった北海道。魅力度の点数は73.4点で、前年の60.8点から12.6点も伸び、2位以下との差をさらに広げている。北海道を「とても魅力的」と答えた人は57.6%で、前年の40.9%より大幅に増えた。
2位の京都府は、13年連続で2位を獲得。点数は前年の49.9点から56.4点へ上昇した。「とても魅力的」との回答が36.1%と前年の29.4%より増加している。また、大阪府は前年より10点以上上昇しての42.0点で5位に。点数、順位ともに過去最高となった。
点数の伸びでは、北海道の次に大きかったのが、4位の東京都だ。ブランド総合研究所の社長は「本調査直後に開始となった東京オリンピック・パラリンピックの影響の可能性が大きい」と話す。
次に点数の伸びが大かったのは千葉県で、順位も前年の21位から12位へと急上昇した。「とても魅力的」の回答が11.0%で前年の3.9%のおよそ3倍増となっている。特に20代では24.6%と多く、前年の6.3%のおよそ4倍に増えたのが特徴的だ。
長崎県も前年の11位から8位へと上昇し、すべての年代で評価が高まっている。また、同じ九州地方の宮崎県は前年の22位から17位へとランクアップ。「とても魅力的」が9.4%で前年の4.4%から2倍以上に増えている。特に九州や中四国地方の居住者からの評価が目立っている。
一方、下位に目を移すと、前年最下位の栃木県は41位(16.2点)となり、最下位から抜け出した。そしてワースト3位は、45位埼玉県(14.4点)、46位佐賀県(12.8点)、47位茨城県(11.6点)となり、茨城県は1年で最下位へと立ち戻る結果となった。
1年で最下位に戻すあたり、ネタにしか思えないが、茨城県知事はご立腹の模様。
更に44位の群馬県知事はずさんな評価手法と指摘。
前年の42位から再び最下位に転落してしまった茨城県については、「前年の調査では、前前年に行われた茨城国体で史上初めてとなるeスポーツを取り入れた。また、茨城県公式バーチャルYouTuberの茨ひよりが活躍するなど、『デジタル県』としてのイメージが高まったことで、20代など若い世代からの評価が急上昇し、大幅な順位上昇につながったといえる。ところが、今年は、コロナ禍の影響でオンライン化が全国に広がったことにより、こうした茨城県の強さが薄まってしまったのではないだろうか」と分析。
理想を実現するためのヤル気を高める「モチベーション ハッピーセット」
本日、とあるオンラインセミナーを聴講してきた。
ジャンル的には、働き方、キャリアデザイン、ワークライフマネジメントといったところだろうか?
急に話が飛ぶが、最近拙者は仕事のモチベーションが上がらない。
何故なのかが何となくわかるものの、うまく言葉や文字に表現できていなかった。
それが、今回のセミナーでだいぶ具体化することができた。
セミナー自体はクローズドなものであるため、資料は出せないのだが、類似の情報を調べてみると、初めて知ったつもりのモチベーションの考え方は結構前から存在していた。
それが下の絵。
ようは、「①やるべきこと」「②やりたいこと」「客観的に見て望ましいと思われること≒③できること」の3つの理想が重なり合う部分が『モチベーション ハッピーセット』となり、理想を実現するためのやる気がアップする(=モチベーションがアップする)
逆にここが絡み合っていないとモチベーションは上がらない状態ということになる。
ちなみに「モチベーション」とは何か?
「大辞林第二版」(三省堂)によれば、心理学用語で「Motivation=動機付け=生活体を行動へ駆り立て、目標へ向かわせるような内的過程。行動の原因となる生活体内部の動因と、その目標となる外部の誘因がもととなる」とある。
生活体内部の動因とは、ベースとなる気力・体力の充実度合いや、行動そのものが楽しいかどうか、その行動を起こすことによるメリットをどれほど強く感じているか、などが考えられる。
一方、外部の誘因とは、人事評価制度や社会通念、周囲からのプレッシャーなどに由来する、目標そのものの魅力や、逆に目標が達成できなかったときのデメリットなどが考えられる。
モチベーションにはさまざまな要素が絡み、基本的には、心から楽しいと思える「やりたいこと」に関しては誰でも積極的に取り組める。ゲームに熱中したり、面白い映画を見たり、好きな子とデートしたり、スポーツに興じたりといったときには、食事も忘れるほど没頭することもある。
また、お金が儲かる、社会的にステータスが高い、周囲の期待が高いなど「望ましいこと≒できること」も、モチベーションアップにつながる重要な要素。奥さんと子供が応援してくれるから頑張れる、周りの人がチヤホヤしてくれて気持ちが良い、といった類のもの。
このように、「やりたいこと」や「望ましいこと≒できること」をやるときに発揮できる高い集中力と持続力、そしてそれを支える強いモチベーションを、仕事や勉強など「やるべきこと」に対して発揮できれば、モチベーションも上がり、パフォーマンスも上がるということになる。
で、冒頭の話に戻るが、拙者場合、「やるべきこと」「やりたいこと」「できること」が重なり合わずにバラバラに離れてしまっているのがモチベーションが上がらない原因となる。
3つ重ならずとも、2つは重ね合わせないとまずいな、と思う今日この頃。
日産の機密情報がアンダーグラウンドで販売されているとのこと😱😱😱 / An access broker on Exploit forum is selling access to Nissan
*Moderator issued warning for not including price of access
*Image censored to avoid giving access broker attention https://t.co/T4cYcWbioY
サイバークライムの被害額は約660兆円を超え、日本のGDPを超えているらしい(転載)
サイバークライム。インターネット等のサイバー空間での詐欺、脅迫、ハッキング等の犯罪は、近年増え続けてきており、コロナ禍の中で更に飛躍的に増えて、その額は年間で6兆ドル、日本円で約660兆円になった模様です。その額たるやGDPで比較すると、アメリカ、中国に次ぐ規模で、日本のGDPよりも大きい状況です。いやはやなんとも。驚きです。数字というのは分かりやすい概念で、どんなにサイバークライムが増えたと云われても、日本のGDPよりも大きく、中国に次ぐ経済圏だと説明されると、その実感が違います。もちろんこの数字は推計で、本当のところは分からず、恐らくインフレ(水増し)されているのですが、それでも驚きです。
日本はデジタル庁とかやっと始まったばかりですが、サイバー領域は軍事領域としても、恐らく陸海空に次いで宇宙と並ぶ、或いはそれ以上に重要な領域なので、日本はもっともっとこの領域に注意を払うべきだと思います。日本の海洋資産は膨大で、これは宝の持ち腐れ。サイバー領域は、元来得意そうなのですが、ここも投資というか注意が少なすぎ。情けないですね~。