週刊OSINT 2021-49号 / WEEK IN OSINT #2021-49（転載）

WEEK IN OSINT #2021-49

フィッシング、人権侵害、ソックパペットなど、OSINTニュースでいっぱいの月曜日です。

サムネ画像は目が壊れそうなバナーの塊です。

今週の概要はこんな感じです。

OSINT on Phishing Campaigns
Bayanat
Ocelli Project
Sock Puppetry
Save TikTok Video

Maciej Makowskiは、悪意のあるサイトを調査する際に生じるあらゆる側面について、優れた記事を書いています。この場合、さまざまなブランドに対する大規模なフィッシング・キャンペーンが対象になっています。Maciejは、豊富なリソース、リソースに関するヒント、ピボットポイントを共有しており、この分野の調査を始めたばかりで、どこから始めればよいかのヒントが必要な人にとっては、絶対必要なものです。

ツール: Bayanat

Roger Lu Phillipsから、SJAC（Syria Justice and Accountability Centre）がBayanatという新しいオープンソースのドキュメント作成ツールをリリースしたという情報を得ました。これは、人権侵害の事件、場所、時間、人物、団体を処理し、記録されたすべてのデータを関連付けるデータ管理ソリューションです。

GitHub: https://github.com/sjacorg/bayanat

サイト: Ocelli Project

ベンジャミン・ストリックは、すでに数年前からミャンマーの不正と戦っており、ボランティアチームとともに、ミャンマーのラカイン州における大規模な建物破壊の情報を収集してきました。そして今回、C4ADSと提携し、これらの情報をすべて可視化することに成功しました。ミャンマーがこれまで疑惑を否定していることも考慮すると、これらの情報は貴重なものです。この訴訟について詳しく知りたい方は、CIJの公式ページか、こちらでご覧ください。

小技: Sock Puppetry

そしてまた、我らが「cyb探偵」によるTwitter上の巨大なスレッドがあります。今回はソックパペットに関するヒントがぎっしり詰まっています。このスレッドでは、人と交流するためのヒントも紹介されているので、場所によっては、必ずしも合法的とはいえないことに注意してください。このスレッドも、まだ読んでいないなら、ぜひ読んでみてください。

小技: Save TikTok Video

ここ数年、TikTokのTipsやToolをいくつか紹介してきました。今年の初めには、動画を手動で保存する方法も紹介しました。しかし、ちょっとしたGreaseMonkeyやTamperMonkeyのスクリプトを使うと、もっと簡単にできることをご存知ですか？単にストアでスクリプトのいずれかをインストールし、保存したいTikTokのビデオを訪問し、右クリックし、それをまっすぐに保存します。

警視庁区営住宅の申し込み者情報記録フロッピーディスク紛失（転載）～再発防止よりもフロッピーディスクをいまだに使っている点を問題視してほしい（笑）～

フロッピー？！！？！？！？ https://t.co/stdrXZTzk9 Quoted tweet from @nhk_news: 警視庁区営住宅の申し込み者情報記録フロッピーディスク紛失 #nhk_news www3.nhk.or.jp/news/html/2021…:

Quoted tweet from @nhk_news:

警視庁区営住宅の申し込み者情報記録フロッピーディスク紛失 #nhk_news www3.nhk.or.jp/news/html/2021…

暴力団を排除する目的で警視庁が区役所から預かった、区営住宅の申し込み者38人分の情報が記録されたフロッピーディスクがなくなっていたことが分かりました。個人情報の流出などは今のところ確認されていないということです。

なくなっていたのは、東京目黒区の区営住宅の申し込み者38人分の氏名や性別、生年月日が記録されたフロッピーディスク2枚です。

警視庁は目黒区と暴力団の排除に関する協定を結んでいて、その一環として区営住宅の申し込み者の情報が記録されたフロッピーディスクを一定期間預かり、暴力団関係者が含まれていないかどうか確認しているということです。

警視庁によりますと、今回なくなったディスクは2019年12月と2021年2月に預かったもので、いずれも鍵のかかる収納庫に保管されていました。

しかし2021年12月、区から返却を求められた際に収納庫を確認したところ、保管されているはずの場所にディスクがなかったということです。

調査したものの、紛失した原因は分からないとしています。

個人情報の流出などは今のところ確認されていないということで、警視庁は「情報が記載されていた方々に対して心からおわび申し上げます。個人情報の取り扱いについては今後も指導を徹底し、再発防止に努めたい」とコメントしています。

JALグローバルクラブ会員向けオリジナルカレンダーが卓上版のみに（転載）

JALグローバルクラブ会員向けJALオリジナルダイアリーが終了、JALオリジナルカレンダーのサービスが変更:

2022年以降、JALグローバルクラブ会員向けのJALオリジナルダイアリーとJALオリジナルカレンダーのサービスが変更となる。

JGC本会員に届けていたJALオリジナルダイアリーは2022年版をもってサービスを終了する。

また、2023年版カレンダーは「JAL FLEETカレンダー（卓上版）」のみとなる。カレンダーが不要の場合は「カレンダー不要」を選択する事で郵送されない。ただし、カレンダー不要を選択してもe JALポイントの積算はない。

JALオリジナルダイアリーとJALオリジナルカレンダーの変更について

2021年11月16日～30日サイバー攻撃のタイムライン / 16-30 November 2021 Cyber Attacks Timeline（転載）

16-30 November 2021 Cyber Attacks Timeline:

2021年11月の2回目のサイバー攻撃タイムラインが公開されました。今月後半は96件のイベントを収集し、1日平均は6,9件/日から6.4件/日とやや減少しています。ランサムウェアが引き続き脅威の中心となっており、直接的または間接的に特徴付けられるイベントの割合は、前回のタイムラインと同様です（22%）。

脆弱性の影響も前回のタイムラインと同様であり（10.4%対12%）、今回も脅威者はProxyShellとZohoのManageEngine ADSelfService Plusの脆弱性を悪用し続けています。

メガブリーチの季節が続き、複数の組織が数百万規模の侵害に遭いました。良いニュースは、少なくともこのタイムラインでは、フィンテック・プラットフォームのメガハックを記録していないことです（ただし、次のタイムラインではこれが変わる予感があります）。

11月は、サイバー諜報活動を目的とした脅威が非常に活発で、このタイムラインのイベントの22%を記録しました。このタイムラインは非常に混雑しているため、このタイムラインを閲覧して、この期間を特徴付けた旧知の人物や新参者を発見することをお勧めします。

イシバシ楽器WebサーバにSQLインジェクション攻撃、約10万件の会員メールアドレスが流出（転載）～想定損害賠償額は1億円程度か～

イシバシ楽器WebサーバにSQLインジェクション攻撃、約10万件の会員メールアドレスが流出:

株式会社石橋楽器店は2022年1月11日、同社運営のWebサーバへの外部からの不正アクセスによるメールアドレス情報の一部漏えいの可能性について発表した。

これは2021年12月20日に、同社が運営するWebサーバのプログラムの一部の脆弱性を突いたSQLインジェクション攻撃によって、対象のテーブルへのアクセスが判明したというもの。

流出した可能性があるのは、2006年9月5日から2020年11月27日までにIMC会員へ登録した会員のメールアドレス98,635件。なお、メールアドレスへの限定的な攻撃だった為、氏名や住所、生年月日、クレジットカード情報の情報の漏えいはない。

同社では対象の顧客に対し、個別にメールを送付し、個人情報保護委員会と警察署へ報告を行っている。

同社では不正アクセス判明後に、攻撃のあった同社プログラムを停止し、再度の攻撃を受けないよう対応を実施している。

同社では安全管理措置を確実に実施することを確認済みで、特に技術的措置については外部専門機関による脆弱性診断を実行し、サーバシステム、Webサイトのセキュリティを強化し再発防止に努めるとのこと。

プレスリリース（アーカイブ）

2021年11月1日～15日サイバー攻撃のタイムライン / 1-15 November 2021 Cyber Attacks Timeline（転載）

1-15 November 2021 Cyber Attacks Timeline:

この時期の共通した傾向は、脆弱性の影響です。このタイムラインでは、いくつかのランサムウェア攻撃を含むイベントの12％を脆弱性が特徴づけています。Android向けの新しい0-day（CVE-2021-1048）、ProxyShellを悪用してBabukランサムウェアを展開するTortilla脅威アクター、ZohoのManageEngine ADSelfService Plus CVE-2021-4053（SolarWinds Serv-U CVE-2021-35211 も引き続き悪用しています）を利用した複数の広範囲な操作などがあります。

Robinhoodでは約700万人の顧客情報が漏洩し、また別の分散型金融（DeFi）プラットフォームでは、北朝鮮の脅威者と思われる人物に5500万ドル相当の暗号資産を盗まれる被害に遭っています。

DEV-0322 と呼ばれる脅威が ManageEngine の脆弱性を悪用するために大忙しで、Lazarus Group は、Lyceum や Kimsuky などの有名な脅威とともに、タイムラインを欠かすことはありません。このタイムラインを特徴付けるもう1つの重要なサイバースパイキャンペーンは、韓国のAndroidユーザーを標的としたPhoneSpyスパイウェアです。

日本関連のインシデントはありませんでした。

マルウエア脅威レポート / Stealer Malware Intelligence Report - Japan（転載）

Stealer Malware Intelligence Report - Japan

日本では6,801ユーザーがStealer（Redline、Raccoon、Vidarなど）に感染しています。

.jpドメインにアクセスするための認証情報58,198件が流出し、ダークウェブやディープウェブに分散しています。

流出元となる主なjpドメイン一覧

サイバー攻撃者に防弾サービスを提供するプロバイダ "Shinjiru” / “Offshore” Shinjiru Provides Bulletproof Services to Cyberattackers（転載）～「Shinjiru」を「信じる」！？～

“Offshore” Shinjiru Provides Bulletproof Services to Cyberattackers:

防弾ホスティング（BPH）は、インターネットを利用した犯罪行為に対応するためのサービス提供の集合体である。脅威のインフラに頻繁に登場する「Shinjiru」もその一例です。このマレーシアのホスティング会社は、顧客とそのウェブコンテンツおよびサーバーをテイクダウン要求から保護し、疑わしい活動や不正な活動のためのセーフハーバーとして機能しています。

シンジルのIPスペースは、マルウェアの配布、詐欺、フィッシング、ビジネスメールの漏洩など、様々な悪質行為に利用されてきた経緯があります。このICANN公認レジストラは、APNICから2万を超えるIPアドレスを割り当てられ、マレーシアに自社のデータセンターを保持しています。

私たちは、Shinjiruによって促進された悪意のある活動のいくつかの例を調査し、ホスティング会社が所有するインフラストラクチャを強調しました。また、Shinjiruと他の防弾ホスターとのつながりも検証しています。

Shinjiru:「オフショア」ホスティングプロバイダー

Shinjiru Technology Sdn Bhdはマレーシアのホスティング会社で、自治体番号AS45839で運用される21504のIPアドレスと、他のホスティングプロバイダーから借りている追加のIPレンジを割り当てられています。防弾プロバイダは、しばしばグレーゾーンで活動し、不正利用の苦情やテイクダウン要求がある中で、ホストしている違法な活動を妨害されないようにしながら、合法的に見せかけようとするものです。

Shinjiruは、顧客の匿名性を維持し、顧客とそのウェブコンテンツおよびサーバーをオフラインから保護することに焦点を当てた「オフショア」ホスティングプロバイダーであると自称しています。同社のウェブサイトには、「DMCAやテイクダウン要求を無視する...オフショア管轄として、Shinjiruは世界中のあらゆるタイプの匿名ホスティングを提供することができる」と書かれています。

Shinjiruの場合、"オフショア "とは "防弾 "を意味します。このウェブサイトは、潜在的な顧客に対して、彼らが効果的な法執行や規制措置の手の届かないところにいるというシグナルとして、この言葉を強調している。ビットコインホスティングのページだけでも14回も登場している。

Shinjiruのドメイン登録ページでは、どのトップレベルドメイン（TLD）がICANNの下になく、米国の法律の適用を受けないかを紹介しています。.comを除くすべてのTLDが、"DMCAシャットダウンなし "と "検閲なし "を約束しています。

また、マレーシア、ブルガリア、オランダ、香港、リトアニア、ルクセンブルグ、ロシア、シンガポールの8つの「オフショア」でもホスティングサービスを提供することが可能です。

この防弾プロバイダーのサポートポータルは、もしそうせざるを得なくなった場合、顧客の活動を中断させる前に警告するようあらゆる努力をすることを再確認し、SpamHausのリスト回避に関するガイダンスさえ提供しています。

Shinjiruは、悪意のある活動のためにホスティングサービスを提供した過去があります。例えば、OceanLotus（APT32）は、Shinjiruのウェブサイトを利用して悪意のあるドメインを登録しました。2018年、CiscoのAndrea Kaiserは、マルウェアのコマンド＆コントロール（C2）ドメインをサービスするネームサーバーを特定し、悪意のあるボットネットにFast Flux DNSを提供するブログを公開しました。

2020年、アラバマ大学バーミンガム校のコンピュータ・フォレンジック研究部長であるゲイリー・ワーナーは、自身のブログで、違法なオピオイドやフェンタニルを販売するウェブサイトの調査について記事を書きました。彼とUABの法医学プログラムの責任者であるElizabeth Gardner博士は、Verdina Ltd.という会社に所属するShinjiruを通じて登録され、ホストされている薬物販売サイトの一群を発見したのです。

Verdina Ltd.はベリーズで登記されているが、ブルガリアにもあるようだ。VerdinaはそのIPブロックのいくつかをShinjiruにレンタルしている。Verdinaの他のブロックのほとんどは、theOnionHostやRackSrvr LTDのような他の疑わしいホスティング事業体にレンタルされています。

Warner氏は、同ネットブロックにおける追加の悪質な活動として、Shinjiru IPアドレスでホストされる複数のサブドメインとネームサーバーのクラスターを指すフィッシングや税金の還付詐欺などを取り上げました。また、Warner博士は、これらのネームサーバーは、ビジネスメール詐欺（BEC）を行う詐欺師グループによって使用されているとしています。

Shinjiruのライブサポートサイト「247livesupport.biz」での最近の投稿から、Shinjiruがこれらのドメインと関連するネームサーバーに加え、他のいくつかのドメインとネームサーバーを直接運営していることが確認されており、RiskIQ TIPで確認することができます。これらのネームサーバーは、何千ものドメインに接続しており、その多くが明らかに悪意のある目的であることがわかります。

今回の調査で判明した「Shinjiru」に関連する脅威のインフラは、RiskIQのThreat Intelligence Portalのこちらでご覧いただけます。

登録: 投稿 (Atom)