サイバーセキュ リティレポート

2024

2チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

YOU DESERVE THE BEST SECURITY

3チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

第1章 2024年サイバーセキュリティレポートの概要 リサーチ担当副社長 MAYA HOROWITZ

第2章 注目すべき2023年のサイバーイベントのスケジュール

第3章 サイバーセキュリティのトレンド 26 ランサムウェアのゼロデイ攻撃と大規模攻撃 30 拡大する攻撃サーフェイス：エッジデバイスの新たなリスク 34 国家と連携したハクティビズムとワイパーがニューノーマルに 38 攻撃を受けるトークン: クラウドのアキレス腱 41 PIPインストールマルウェア：攻撃されるソフトウェアリポジトリ

第4章 グローバル分析

第5章 注目すべきグローバルな脆弱性

第6章 チェック・ポイントのインシデントレスポンスの見解

第7章 CISOのためのインサイト - 予測

第8章 AI：今日のサイバーセキュリティの戦いにおける最先端の防 御策

第9章マルウェアファミリーの解説

第10章 おわりに

04

07 25

46 70 75 81 85 93 101

目 次

4チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

1 0

2024年サイバーセ キュリティレポートの

概要

第1章

マヤ・ホロウィッツ （MAYA HOROWITZ）

リサーチ担当VP、チェック・ポイント

5チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェック・ポイントの2024年サイバーセキュリティレポートをご覧いただき、ありがとうございます。2023年、サ イバーセキュリティの世界は大きな変化を迎え、サイバー攻撃の性質と規模は急速に進化しました。今年 は、サイバー脅威がオンライン世界の影から姿を現して脚光を浴び、政府機関から一般大衆まで、あらゆ る人々の注目を集めました。

これらの攻撃の背後にある理由は、使用される手法と同じくらい多様になっています。ランサムウェアは依 然として大きな脅威であり、攻撃者は金銭だけでなく知名度も求めています。ゼロデイ脆弱性を悪用する ランサムウェア攻撃は、被害者が誰であるかを公にするためのリークサイトを利用することで人気を博し、ラ ンサムウェアはサイバー犯罪者間の競争のようなものになりました。これらの攻撃のコストは身代金の支払 いにとどまらず、MGM、DP World、大英図書館などの企業は、システムの再構築に莫大な費用がかかり ました。

また、ハッカーが政治的あるいは社会的な大義によって行動するハクティビズムの増加も見られました。こ の種のハッキングは、かつては個人の活動家のためのツールでしたが、現在では政府が敵対勢力を間接 的に攻撃する手段として利用されています。これは、ロシア・ウクライナ戦争やイスラエル・ハマス紛争などの 出来事をきっかけに特に顕著になりました。

攻撃者はシステムに侵入する新たな方法を発見し、ルーターやスイッチのようなデバイスが標的になりやすく なりました。Oktaや23AndMeなどの大企業は、盗まれたログイン情報や悪意のあるソフトウェアを使用し た攻撃を受けました。

今年のサイバー攻撃では、人工知能（AI）が大きな役割を果たしました。攻撃者はフィッシングキャンペー ンをより効果的にするために、AIツールを使い始めました。しかしながら、これらの脅威からの保護を強化 するために、サイバー防衛者側でもAIが利用されているという良いニュースもあります。

第1章

6チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

サイバー犯罪者に勝利した事例もいくつかありました。FBIを含む法執行機関では、Hiveランサムウェアネ ットワークやQbotインフラストラクチャのような主要な脅威の取り締まりを進展させました。しかし、これらの グループの一部が復活したことで、サイバー犯罪との戦いが続いていることが浮き彫りになりました。

本レポートでは、2023年のサイバーセキュリティに関する主な出来事を振り返り、今後の課題を理解し、そ れに備えるための洞察と分析を提供しています。私たちの目標は、組織、政策立案者、サイバーセキュリテ ィの専門家に価値ある情報を提供し、デジタル化が進む世界でより強固な防御を構築できるよう支援す ることです。

本レポートが、デジタル環境を安全に保つための取り組みに役立つことを願っています。

マヤ・ホロウィッツ（Maya Horowitz） チェック・ポイント・ソフトウェア・テクノロジーズ、VPリサーチ担当

第1章

7チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

2 0

注目すべき2023年 のサイバーイベントの

スケジュール

第 2章

8チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

1月 1,400万を超えるユーザー名とパスワードを含むデータベースがダークウェブフォーラムで発見され、このデータベース内 には、オーストラリア政府機関に属するポータルへのログイン情報が10万件以上含まれていました。

ランサムウェアグループ「Vice Society」が、英米両国の学校を標的とした広範な攻撃を繰り返しています。こうした 動きを受け、米連邦捜査局（FBI）は同グループの活動に関する公式な警告を発しました。

チェック・ポイントのThreat Emulationは、この脅威に対する保護を提供します （Trojan.Wins.ViceSociety.*）

チェックポイント リサーチの報告によると、ハッキングフォーラムの脅威アクターは、マルウェアや、情報窃盗ツールや暗号 化ツールなどの攻撃ツールを作成するために、ChatGPTなどのAIツールを利用し始めています。

英国の国際郵便サービスであるRoyal Mailでは、サイバー攻撃によって業務が中断されました。同サービスは、小 包を目的地に発送できないため、郵便物を投函しないよう利用者に案内しています。LockBitランサムウェア集団 が攻撃の実行犯であることが確認されており、身代金の要求が満たされない場合は盗まれたデータを漏洩させる と脅迫しています。

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対す る保護を提供します（Ransomware.Win.Lockbit）

チェックポイント リサーチでは、ロシアのサイバー犯罪者がOpenAIの制限を回避し、不正な目的でChatGPTを利 用しようとしていることを確認しています。地下ハッキングフォーラムでは、ハッカーたちが、ロシアからChatGPTにアクセ スするために必要なIPアドレス、支払いカード、電話番号の制御を回避する方法について議論しています。

第 2章

https://www.afr.com/technology/more-than-100-000-suspected-government-logins-found-in-massive-breach-20230106-p5cauf https://www.bbc.com/news/uk-england-gloucestershire-63637883 https://research.checkpoint.com/2023/opwnai-cybercriminals-starting-to-use-chatgpt/ https://blog.checkpoint.com/2023/01/13/russian-hackers-attempt-to-bypass-openais-restrictions-for-malicious-use-of-chatgpt/

9チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

2月 チェックポイント リサーチでは、時価総額が10,941,525ドルのDingo暗号トークンを詐欺に認定しました。トークン の背後にいる脅威アクターは、手数料を操作するために、スマートコントラクトにバックドア機能を追加しました。具体 的には、トークンのスマートコントラクトコード内の「setTaxFeePercent」関数を使用して、売買手数料を操作して 99%という驚くべき数字に設定しました。この機能はすでに47回使用されており、Dingoトークンの投資家は資金 をすべて失うリスクがある可能性があります。

親ロシア派のハクティビストグループであるKillNetは、複数のDDoS攻撃で米国の医療部門に対して大規模な作 戦を開始しました。

英国のスポーツウェア小売業者であるJD Sportsは、約1,000万人の顧客に影響を与えたデータ流出を発表しま した。流出したとされるデータは2018年11月から2020年10月の間に行われた顧客のオンライン注文のデータで、 氏名、メールアドレス、電話番号、支払情報、配送先住所などが含まれていました。

チェックポイント リサーチでは、信頼性が高くスケーラブルなマルウェア配布チャネルとしてパッケージリポジトリを利用し て、脅威アクターによって配布された2つの悪意のあるコードパッケージ、Python-drgnとBloxflipを公開しました。

数千台のVMware ESXiホストに影響を及ぼした大規模なランサムウェア「ESXiArgs」キャンペーンの背後にいる グループは、マルウェアの暗号化プロセスをアップデートしました。このマルウェアのアップデートバージョンは、研究者が推 奨していた潜在的な復旧方法を阻止し、復旧プロセスのトリガーとして使用される可能性があったファイルも暗号 化します。

チェック・ポイントのIPSは、この脅威に対する保護を提供します（VMWare OpenSLP Heap Buffer Overflow (CVE-2019-5544; CVE-2021-21974)）

ソーシャルメディアプラットフォームのRedditは、従業員がフィッシング攻撃の被害に遭い、セキュリティ侵害に見舞わ れました。同社の発表によると、内部文書やソースコードは盗まれたものの、ユーザー情報や認証情報に影響はな かったということです。

第 2章

https://blog.checkpoint.com/2023/02/02/dingo-token-ranking-is-774-with-a-live-market-cap-of-10941525-usd-is-a-scam/ https://healthitsecurity.com/news/hc3-killnet-hacktivist-group-uses-ddos-cyberattacks-to-target-healthcare https://research.checkpoint.com/2023/6th-february-threat-intelligence-report/#:~:text=JD%20Sports%2C%20UK,addresses%2C%20and%20more. https://research.checkpoint.com/2023/6th-february-threat-intelligence-report/#:~:text=JD%20Sports%2C%20UK,addresses%2C%20and%20more. https://blog.checkpoint.com/2023/02/01/the-rise-of-the-code-package-threat/ https://blog.checkpoint.com/2023/02/06/massive-ransomware-attack-targets-vmware-esxi-servers/ https://www.bleepingcomputer.com/news/security/new-esxiargs-ransomware-version-prevents-vmware-esxi-recovery/ https://www.reddit.com/r/reddit/comments/10y427y/we_had_a_security_incident_heres_what_we_know/ https://www.reddit.com/r/reddit/comments/10y427y/we_had_a_security_incident_heres_what_we_know/

10チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

イスラエルを代表する大学のひとつである「イスラエル工科大学」（テクニオン）は ランサムウェア攻撃の標的にされ、ネット ワークのシャットダウンを余儀なくされて、期末試験を次学期に延期することになりました。犯人はこれまで知られていな かったグループであり、身代金要求のメモには標準的でないメッセージが含まれていたことから、この攻撃は政治的または 個人的な動機によるものではないかという疑いが持たれています。

チェック・ポイントの研究者は、攻撃者がChatGPTの制限を回避して悪意のあるコンテンツを作成し、2019年の基本的 なInfostealerマルウェアのコードを改良していることを発見しました。

研究者は、サプライチェーン攻撃の試行における悪意のあるパッケージを使用した複数のキャンペーンを分析しました。ある Pypi（Python）キャンペーンでは、暗号通貨ウォレットのアドレスを置き換える450以上の暗号関連パッケージが作成さ れ、別のキャンペーンでは、認証情報を盗むマルウェアを配信する5つのパッケージが登録されました。また、リモートアクセス による攻撃となるトロイの木馬を配信するnpm（Java）キャンペーンも観察されました。

オークランド市は、市のITシステムをオフラインにすることを余儀なくされたランサムウェア攻撃に対処するため、地域非常 事態を発令しました。

大規模なESXiArgsランサムウェアキャンペーンは拡大を続けており、最近ではフランス、ドイツ、オランダ、英国、ウクライナ にある500台以上のホストが影響を受けました。

OpenAIがChatGPT Plusと呼ばれる有料のChatGPT階層を導入したため、脅威アクターはプラットフォームへのいわ ゆる無料アクセスを提供し、ユーザーを悪意のあるアプリのダウンロードやフィッシングサイトに誘導しています。

3月 ワシントン州で毎日18,000人以上にサービスを提供している公共交通機関運営会社Pierce Transitは、LockBit集 団によるランサムウェア攻撃の被害に遭いました。このランサムウェアグループは、通信文書、秘密保持契約書、顧客デー タ、契約書などを盗んだと主張しました。

チェック・ポイントのThreat EmulationとHarmony Endpointは、この脅威に対する保 護を提供します（Ransomware.Win.Lockbit）

第 2章

https://www.databreaches.net/technion-university-hacked-and-locked-previously-unknown-attackers-demand-80-btc/ https://blog.checkpoint.com/2023/02/07/cybercriminals-bypass-chatgpt-restrictions-to-generate-malicious-content/ https://blog.phylum.io/phylum-discovers-revived-crypto-wallet-address-replacement-attack https://blog.phylum.io/phylum-discovers-revived-crypto-wallet-address-replacement-attack https://cao-94612.s3.amazonaws.com/documents/Proclamation_of_Local_Emergency_Due_to_Cybersecurity_Incident_Feb_14.pdf https://thehackernews.com/2023/02/esxiargs-ransomware-hits-over-500-new.html https://www.bleepingcomputer.com/news/security/hackers-use-fake-chatgpt-apps-to-push-windows-android-malware/ https://therecord.media/pierce-transit-washington-ransomware-attack-lockbit/

11チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェック・ポイントの研究者は、中国のAPTグループSharpPandaによるサイバースパイ活動を発見しました。このキャ ンペーンは東南アジアの政府機関をターゲットにしており、Soulフレームワークを利用して被害者のネットワークへのア クセスを確立し、情報を窃取しました。

チェック・ポイントのThreat Emulationとアンチボットは、この脅威に対する保護を提 供します（Trojan.WIN32.SharpPanda）

チェックポイント リサーチは、20以上の金融アプリを模倣し、銀行員との会話をシミュレートすることで音声フィッシング を行うことができるAndroidのトロイの木馬FakeCallsを白日の下にさらしました。韓国市場向けに設計されたこの マルウェアは、被害者のデバイスから個人データも抽出します。

チェック・ポイントのHarmony MobileとThreat Emulationは、この脅威に対する保 護を提供します。

チェックポイント リサーチは、ユーザーが対局結果を操作できる可能性があるchess.comのセキュリティ上の欠陥を 発見しました。この脆弱性を利用することで、研究者は対戦相手の持ち時間を短縮し、対局に勝利することができ ました。

チェックポイント リサーチはChatGPT4を分析し、脅威アクターが制限を回避し、ChatGPT4を利用してフィッシングメ ールやマルウェアを作成できる5つのシナリオを特定しました。

イタリアの高級スポーツカーメーカーであるフェラーリは、同社のITシステムに対する恐喝攻撃によるデータ流出を発表 しました。流出したデータは、氏名、住所、メールアドレス、電話番号などの顧客の個人情報で構成されていました。

チェックポイント リサーチは、悪意を隠すためにフィッシング手法を使用する、Pythonパッケージインデックスである PyPI上で悪意のあるパッケージを検出しました。悪意のあるパッケージは、インストールプロセスの一環として難読化 されたコードをこっそりダウンロードして実行するため、サプライチェーンのリスクを引き起こします。

チェック・ポイントのCloudGuard Spectralは、この脅威に対する保護を提供しま す。

第 2章

https://research.checkpoint.com/2023/pandas-with-a-soul-chinese-espionage-attacks-against-southeast-asian-government-entities/ https://research.checkpoint.com/2023/south-korean-android-banking-menace-fakecalls/ https://www.checkpoint.com/harmony/mobile-security/mobile/ https://research.checkpoint.com/2023/checkmate/ https://blog.checkpoint.com/2023/03/15/check-point-research-conducts-initial-security-analysis-of-chatgpt4-highlighting-potential-scenarios-for-accelerated-cybercrime/ https://www.ferrari.com/en-EN/corporate/articles/cyber-incident-in-ferrari https://blog.checkpoint.com/2023/03/18/detecting-malicious-packages-on-pypi-malicious-package-on-pypi-use-phishing-techniques-to-hide-its-malicious-intent/

12チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

4月 3CX Communications CompanyのVoIPアプリケーションである3CXDesktopAppのWindowsバージョンと macOSバージョンの両方が侵害され、大規模なサプライチェーン攻撃でトロイの木馬化されたバージョンを配布す るために使用されました。SmoothOperatorと名付けられたこの広範なキャンペーンでは、脅威アクターは3CXのア プリケーションを悪用し、3CXDesktopAppを使用してロードされる悪意のあるファイルと攻撃者のインフラストラクチ ャへのビーコンを使用しています。3CXを使用している世界中の600,000社以上の企業がこの攻撃の影響を受け る可能性があります。この攻撃は北朝鮮のLazarusグループに関連しており、CVE-2023-29059として追跡されて います。

チェック・ポイントのThreat EmulationとHarmony Endpointは、この脅威に対す る保護を提供します（Trojan-Downloader.Win.SmoothOperator; Trojan. Wins.SmoothOperator）

オーストラリア最大のギャンブルおよびエンターテイメント企業であるCrown Resortsは、CL0Pランサムウェアグループ による恐喝を受けていることを公表しました。この恐喝の試みは、CL0PグループがFortra GoAnywhereの脆弱 性を悪用した結果でもあります。

チェック・ポイントのThreat EmulationとHarmony Endpointは、この脅威に対 する保護を提供します（Ransomware.Wins.Clop; Ransomware.Win.Clop; Ransomware_Linux_Clop）

研究者らは、ハクティビストグループのAnonymous Sudanを追跡しています。このグループはヨーロッパ、オーストラリ ア、イスラエルなどの組織に対して複数のDDoS攻撃を仕掛けており、多くの場合、反イスラム活動と見なされるもの に対する反応です。このグループは現在、ロシア関連のハクティビストグループKillnetのサブグループと見なされて特定 されており、Killnetの企みをサポートしています。

チェックポイント リサーチは、Rorschachと呼ばれる新種のランサムウェアを発見しました。これは、正規の署名済み セキュリティ製品のDLLサイドローディングを介して展開されました。このランサムウェアは、これまでのランサムウェアには 見られなかった技術的にユニークな機能を備えた高度なカスタマイズが可能であり、暗号化の速度から見て、観測 されたランサムウェアの中で最も高速なものの1つです。

チェック・ポイントのHarmony Endpointは、この脅威に対する保護を提供します。

第 2章

https://www.3cx.com/blog/news/security-incident-updates/ https://blog.checkpoint.com/2023/03/29/3cxdesktop-app-trojanizes-in-a-supply-chain-attack-check-point-customers-remain-protected/ https://www.crownresorts.com.au/media-centre/media-releases https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/anonymous-sudan-religious-hacktivists-or-russian-front-group/ https://research.checkpoint.com/2023/rorschach-a-new-sophisticated-and-fast-ransomware/

13チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェックポイント リサーチは、通称MSMQとして知られる「Microsoft Message Queuing」サービスに3件の脆弱 性（CVE-2023-28302、CVE-2023-21769、CVE-2023-21554）を発見しました。このうち、CPRがQueue- Jumper（CVE-2023-21554）と命名した最も深刻な脆弱性は、認証されていない攻撃者がWindowsサービ スプロセスmqsvc.exeのコンテキストでリモートから任意のコードを実行できる可能性がある重大な脆弱性です。

チェック・ポイントのIPSは、この脅威に対する保護を提供します （Microsoft Message Queuing Remote Code Execution (CVE-2023-21554)）

チェックポイント リサーチは、IoTデバイスをターゲットとしたサイバー攻撃が急増していることに警鐘を鳴らしており、 2023年の最初の2か月間における組織あたりの週平均攻撃数は2022年と比較して41%増加しています。毎週 平均して、54％の組織がIoTデバイスを標的としたサイバー攻撃未遂に悩まされており、その多くはヨーロッパ、次いで APAC、ラテンアメリカで発生しました。

チェック・ポイントのQuantum IoT Protectは、この脅威に対する保護を提供しま す。

チェックポイント リサーチは、プレミアムアカウントを中心に、ChatGPTアカウントの盗用に関する議論や取引が増 加していることを警告しています。サイバー犯罪者は、ChatGPTアカウントの認証情報を流出させたり、プレミアム ChatGPTアカウントを売買したり、ChatGPT用のBruteforcingツールを使用したりすることで、OpenAIのジオフェ ンシング制限を回避し、既存のChatGPTアカウントの過去のクエリにアクセスできるようにしています。

チェック・ポイントの研究チームは、Raspberry Robinマルウェアで使用される新しい手法を発見しました。これらの 手法には、複数の回避テクニック、難読化、およびVM対策が含まれています。また、このマルウェアは、Win32kの2 つの脆弱性（CVE-2020-1054とCVE-2021-1732）を悪用して、権限を昇格させます。

チェック・ポイントのHarmony EndpointとIPSは、この脅威に対する保護を提供 します（Trojan.Wins.RaspberryRobin; Microsoft Win32k Elevation of Privilege (CVE-2021-1732), Microsoft Win32k Elevation of Privilege (CVE-2020-1054)）

第 2章

https://research.checkpoint.com/2023/queuejumper-critical-unauthorized-rce-vulnerability-in-msmq-service/ https://blog.checkpoint.com/security/the-tipping-point-exploring-the-surge-in-iot-cyberattacks-plaguing-the-education-sector/ https://blog.checkpoint.com/security/new-chatgpt4-0-concerns-a-market-for-stolen-premium-accounts/ https://research.checkpoint.com/2023/raspberry-robin-anti-evasion-how-to-exploit-analysis/

14チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

5月 チェックポイント リサーチは、中東と北米で活動するイランと連携した脅威アクターであるPhosphorusと大きく重 複する活動クラスターであるEducated Manticoreに関連する新たな調査結果を明らかにしました。Educated Manticoreは最近のトレンドを取り入れ、ISOイメージや、場合によってはその他のアーカイブファイルを使用して感染 の連鎖を開始しました。

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対す る保護を提供します（APT.Wins.APT35.ta）

チェックポイント リサーチは、FluHorseと呼ばれる新しいAndroidマルウェアを明らかにしました。このマルウェアは、そ のほとんどが1,000,000以上のインストール数を誇る正規のアプリケーションを模倣するものです。このマルウェアは、 被害者の認証情報や二要素認証（2FA）コードを盗み出します。FluHorseは、東アジア市場のさまざまなセク ターを標的としており、電子メールを介して配布されます。

チェック・ポイントのHarmony Mobileは、この脅威に対する保護を提供します （FLU_HORSE_STR）

チェックポイント リサーチは、ChatGPTブランドに関連するWebサイトを利用したサイバー攻撃が急増していることに 気づきました。これらの攻撃は、ChatGPTに関連するように見えるWebサイトを通じてマルウェアやフィッシング試行 を配布し、ユーザーを誘い込んで悪意のあるファイルをダウンロードさせたり、機密情報を開示させたりするものです。

データストレージ大手のWestern Digitalは、同社の顧客の個人情報を流出させたデータ侵害を確認しました。 流出したデータには、名前、請求先住所、配送先住所、メールアドレス、電話番号が含まれます。脅威アクターは、 ALPHV（別名Black Cat）ランサムウェア集団とは無関係であると主張しましたが、同社を脅し、恐喝するために 同グループのリークサイトを使用するということです。

チェックポイント リサーチは、Mustang Pandaと類似点を持つCamaro Dragonとして追跡されている中国政府 支援のAPTグループにリンクされているTP-Linkルーター用に調整されたカスタムファームウェアインプラントを発見し ました。このインプラントは、欧州の外務機関を狙った標的型攻撃に使用され、いくつかの悪意のあるコンポーネント を備えています。これには「Horse Shell」という名前のカスタムバックドアが含まれており、これにより攻撃者は永続 的なアクセスを維持し、匿名のインフラストラクチャを構築し、侵害されたネットワークへの水平移動が可能になりま す。

第 2章

https://research.checkpoint.com/2023/educated-manticore-iran-aligned-threat-actor-targeting-israel-via-improved-arsenal-of-tools/ https://research.checkpoint.com/2023/eastern-asian-android-assault-fluhorse/ https://blog.checkpoint.com/research/fake-websites-impersonating-association-to-chatgpt-poses-high-risk-warns-check-point-research/ https://therecord.media/western-digital-stolen-data-hackers https://research.checkpoint.com/2023/the-dragon-who-sold-his-camaro-analyzing-custom-router-implant/ https://research.checkpoint.com/2023/the-dragon-who-sold-his-camaro-analyzing-custom-router-implant/

15チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェック・ポイントのQuantum IoT ProtectとThreat Emulationは、この脅威に対 する保護を提供します（APT.Wins.HorseShell）

FBI、CISA、ACSCは、ランサムウェアグループBianLianが恐喝のみの攻撃に戦術をシフトしたと警告しています。こ のグループは、ファイルを暗号化して身代金を要求する代わりに、機密データを盗み、支払いをしなければそれを公 開すると脅すことに特化しています。

チェック・ポイントのThreat Emulationは、この脅威に対する保護を提供します （Ransomware.Win.GenRansom.glsf.A）

チェックポイント リサーチは、GuLoaderに関するレポートを公開しました。GuLoaderは、さまざまな「最も望まれてい る」マルウェアを配信するために多数の攻撃に使用されている著名なシェルコードベースのダウンローダーです。Gu- Loaderのペイロードは完全に暗号化されているため、脅威アクターはよく知られたパブリッククラウドサービスを使用 してペイロードを保存し、ウイルス対策保護をバイパスできます。

チェック・ポイントのThreat Emulationは、この脅威に対する保護を提供します （Dropper.Win.CloudEyE.*）

チェックポイント リサーチは、中国政府が支援する最新の攻撃とネットワークデバイスの使用について詳しく調査して います。これは、Volt Typhoonとしても知られる中国政府が支援するサイバー攻撃者に対して米国および国際サイ バーセキュリティ当局が発行した共同サイバーセキュリティ勧告に続くものです。この攻撃者は、政府機関や通信機 関を含むさまざまな業界の「重要な」サイバーインフラストラクチャを侵害しました。

6月 Progressは、権限の昇格や環境への不正アクセスの可能性につながる可能性のあるMOVEit Transferと MOVEit Cloudの脆弱性（CVE-2023-34362）を公開しました。発見後、Progressは調査を開始し、緩和策 を提供し、セキュリティパッチをリリースしました。残念なことに、その間に、ロシア系ランサムウェアグループClopに関連す るサイバー犯罪者がこの脆弱性を悪用し、MOVEitユーザーに対してサプライチェーン攻撃を開始しました。被害を 受けた企業には、給与計算サービスプロバイダーのZellisも含まれており、セキュリティ侵害を最初に開示しましたが、 他の多くの企業も影響を受けています。

第 2章

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-136a https://research.checkpoint.com/2023/cloud-based-malware-delivery-the-evolution-of-guloader/ https://blog.checkpoint.com/security/latest-chinese-state-sponsored-attacks-on-critical-us-infrastructure-spies-a-continuation-of-trend-reports-check-point-research/ https://blog.checkpoint.com/security/latest-chinese-state-sponsored-attacks-on-critical-us-infrastructure-spies-a-continuation-of-trend-reports-check-point-research/ https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-144a https://www.progress.com/security/moveit-transfer-and-moveit-cloud-vulnerability

16チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェック・ポイントのIPSブレードは、この脅威に対する保護を提供します（MOVEit Transfer SQL Injection (CVE-2023-34362)）

チェックポイント リサーチは、中国のAPTグループCamaro Dragonが使用したバックドアツールの分析結果を公開 しました。TinyNoteと呼ばれるこのバックドアツールはGoで書かれており、東南アジア諸国で人気のあるインドネシア のウイルス対策ソフトウェアSmadAVをバイパスする機能が含まれています。APTグループの被害者には、東南アジ ア諸国の大使館が含まれている可能性が高いです。

チェック・ポイントのThreat Emulationは、この脅威に対する保護を提供します （APT.Wins.MustangPanda.ta.*）

イリノイ州の病院はランサムウェア攻撃を受けた結果、閉鎖を余儀なくされ、このような事件により閉鎖された最初 の医療施設となりました。2021年のSMP Healthへの攻撃により、同病院はメディケアやメディケイドなどの保険業 者への請求書の提出が数か月間できなくなりました。この状況は、病院の深刻な財政悪化につながりました。

ルイジアナ州自動車局（OMV）とオレゴン州DMVサービスは、数百万人分の運転免許証が流出するデータ 侵害が発生したとして、米国市民に警告する声明を発表しました。これは、ランサムウェア集団Clopが両機関の MOVEit Transferセキュリティファイル転送システムをハッキングし、保存されていたデータを盗み出したことによるも のです。

チェック・ポイントのIPSブレード、Harmony Endpoint、Threat Emulationは、この 脅威に対する保護を提供します（(Progress MOVEit Transfer Multiple Vulnerabilities); Webshell.Win.Moveit、Ransomware.Win.Clop、 Ransomware_Linux_Clop; Exploit.Wins.MOVEit）

チェック・ポイントの研究者は、ヨーロッパの医療機関に影響を与える高度なマルウェアを発見しました。この攻撃は、 中国政府が支援するAPTグループであるCamaro Dragon（Mustang Panda）によるものです。脅威アクター は、制限されたネットワークを標的にするために、悪意のあるUSBドライブを初期アクセスベクトルとして使用し、その ペイロードには、感染したホストに接続されている追加のUSBドライブをさらに感染させるモジュールが含まれていま す。こうしてマルウェアは攻撃者の当初の意図を超えて伝播し、世界中の数十もの組織に不注意から感染した可 能性が高いと考えられています。

第 2章

https://research.checkpoint.com/2023/malware-spotlight-camaro-dragons-tinynote-backdoor/ https://research.checkpoint.com/2023/malware-spotlight-camaro-dragons-tinynote-backdoor/ https://www.nbcnews.com/tech/security/illinois-hospital-links-closure-ransomware-attack-rcna85983 https://www.bleepingcomputer.com/news/security/millions-of-oregon-louisiana-state-ids-stolen-in-moveit-breach/ https://research.checkpoint.com/2023/beyond-the-horizon-traveling-the-world-on-camaro-dragons-usb-flash-drives/

17チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対す る保護を提供します（APT.Wins.MustangPanda; APT.Wins.MustangPan- da.ta）

7月 チェックポイント リサーチは、人気のあるメッセージングアプリケーションTelegramの悪意のある改変版を特定しまし た。この悪意のあるアプリケーションでは、被害者をさまざまな有料サブスクリプションに登録し、アプリ内購入を実行 し、ログイン資格情報を盗むことができるトロイの木馬Triadaをインストールします。

米テレビ局Nickelodeonから、侵害の疑いにより、500GBのデータが流出しました。このデータには、台本、アニメー ションファイル、コンテンツの全エピソードが含まれており、テレビチャンネルは、数十年前のものでありながら合法的な ものであることを確認しています。この情報漏洩は今年1月、フィードバックポータルの認証の脆弱性が原因で発生 しました。

チェックポイント リサーチは、Googleの生成AIプラットフォームBardの分析を発表し、プラットフォームが悪意のあるコ ンテンツの生成を許可するいくつかのシナリオを提示しました。脅威アクターはBardを利用して、フィッシングメール、マ ルウェアキーロガー、基本的なランサムウェアコードを生成する可能性があります。

中国の脅威アクター「Storm-0558」によるものとされるMicrosoft Exchangeメールアカウントのスパイ活動により、 駐中国米国大使のメールアカウントにアクセスされ、米国政府の電子メール数十万通が漏洩したと報告されていま す。研究者は、このキャンペーンで使用された手法は、OneDriveやAzure環境など、他のMicrosoftサービスのユー ザーアカウントも標的にしていた可能性があると警告しています。

ノルウェー政府は、12の主要省庁が使用しているソフトウェアプラットフォームがサイバー攻撃を受けたことを報告しま した。これは、ハッカーがIvantiのEndpoint Manager Mobile（EPMM）のゼロデイ認証バイパスの脆弱性を悪 用したことが原因でした。

第 2章

https://blog.checkpoint.com/security/dont-be-fooled-by-app-earances-check-point-researchers-spot-hidden-malwares-behind-legitimate-looking-apps/ https://blog.checkpoint.com/security/dont-be-fooled-by-app-earances-check-point-researchers-spot-hidden-malwares-behind-legitimate-looking-apps/ https://www.hackread.com/nickelodeon-data-leak-interview-with-ghostytongue/ https://blog.checkpoint.com/security/lowering-the-bard-check-point-researchs-security-analysis-spurs-concerns-over-google-bards-limitations/ https://www.reuters.com/world/us-ambassador-china-hacked-china-linked-spying-operation-wsj-2023-07-20/ https://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr https://www.bleepingcomputer.com/news/security/norway-says-ivanti-zero-day-was-used-to-hack-govt-it-systems/?&web_view=true https://www.bleepingcomputer.com/news/security/norway-says-ivanti-zero-day-was-used-to-hack-govt-it-systems/?&web_view=true

18チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

8月 米国で16の病院と166の外来診療所とセンターを運営する大手医療サービスプロバイダー、Prospect Medical Holdingsが、大規模なランサムウェア攻撃を受けました。この攻撃により、少なくとも3つの州で同社の業務に支障 が生じ、病院は患者を他の施設に転院させることを余儀なくされました。この攻撃に対する犯行声明を公表して いるランサムウェア組織はまだありません。

チェック・ポイントの研究者は、50以上の一般的なパッケージで発見され、無数のプロジェクトや組織を危険にさらし ているNPMベースの脆弱性に関する最新の調査結果を共有しています。

チェック・ポイントのCloudGuard CNAPPは、この脅威に対する保護を提供します。

Discord.ioは、76万人のメンバー情報が流出し、サービスの一時停止につながったデータ流出に対応したことを認 めました。これは、Akihirahというサイバー犯罪者がDiscordのデータベースをアンダーグラウンドフォーラムに投稿した ことによるものです。

台湾の数十の組織を標的とした継続的なスパイ活動が発見されました。研究者らは、この活動はFlax Typhoonと呼ばれる中国のAPTグループによるものであり、Ethereal Pandaと重複しているとしています。この脅威 グループはカスタムマルウェアの使用を最小限に抑え、代わりに被害者のオペレーティングシステムに含まれる正規の ツールを使用してスパイ活動を実行します。

親ロシア派のハッカーがポーランド北西部の鉄道の指定周波数にアクセスし、列車の運行を妨害した。ハッカーは 攻撃中、ロシアの国歌とプーチン大統領の演説を放送した。

第 2章

https://therecord.media/hospital-network-facing-cyberattack https://blog.checkpoint.com/securing-the-cloud/review-of-recent-npm-based-vulnerabilities/ https://stackdiary.com/the-data-of-760000-discord-io-users-was-put-up-for-sale-on-the-darknet/ https://stackdiary.com/the-data-of-760000-discord-io-users-was-put-up-for-sale-on-the-darknet/ https://www.microsoft.com/en-us/security/blog/2023/08/24/flax-typhoon-using-legitimate-software-to-quietly-access-taiwanese-organizations/ https://tickernews.co/hackers-bring-down-polands-train-network-in-massive-cyber-attack/

19チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

9月 FBIは、少なくとも2008年から活動しているマルウェアQakbot（Qbot）を解体する「Duck Hunt」作戦を発表しま した。Qakbotは、悪意のある添付ファイルやリンクを含むスパムメールを介して被害者に感染することで知られてお り、ランサムウェア運営者のプラットフォームとしても機能しています。Qakbotは、金融機関、政府機関、医療機器 メーカーなど、世界中で70万台以上のコンピュータに感染しています。チェックポイント リサーチは、Qakbotマルウェアと その長年にわたる活動に関する分析を公開しました。

チェック・ポイントのHarmony EndpointとThreat Emulationでは、この脅威に対 する保護を提供します（Trojan.Wins.Qbot、Trojan.Win.Qbot、Trojan. Downloader.Win.Qbot、Trojan-PSW.Win32.Qakbot、Trojan.WIN32. Qakbot）

チェック・ポイントは、データ視覚化ツールであるGoogle Looker Studioを悪用した最近の電子メールフィッシングキ ャンペーンについて警告しています。攻撃者はこのツールを使用して、公式のGoogleアカウントから被害者にスライド ショーメールを送信し、サードパーティのWebサイトにアクセスして暗号通貨を収集するよう指示します。その後、Web サイトは被害者に認証情報の入力を促し、認証情報を盗み出します。

チェック・ポイントのHarmony Emailは、この脅威に対する保護を提供します。

チェック・ポイントの研究者は、選挙に影響を与える活動に対する新興の生成AIテクノロジーの潜在的な影響を 分析しました。生成AIは、大規模に有権者をターゲットとする個別にカスタマイズされた視聴覚プロパガンダを構 築することができ、民主的な選挙の完全性に対するリスクを増大させます。この問題に対処するため、Googleは AIが関与する政治広告の開示を義務付ける予定です。

アメリカのリゾート、カジノ、ホテルチェーンのMGMはサイバー攻撃を受け、同社のホテルとカジノ全体に広範な混乱が 生じたため、予防措置として内部ネットワークを停止しました。このサイバー攻撃により、同社のATM、スロットマシン、 部屋のデジタルキーカード、電子決済システムが麻痺しました。ALPHVランサムウェアの関連グループが、この攻撃に 対する犯行声明を出しました。チェックポイント リサーチは、過去12か月間のALPHVグループの活動に関する分析 結果を発表しました。

第 2章

https://www.justice.gov/usao-cdca/pr/qakbot-malware-disrupted-international-cyber-takedown https://www.justice.gov/usao-cdca/pr/qakbot-malware-disrupted-international-cyber-takedown https://blog.checkpoint.com/security/check-point-shares-analysis-of-qakbot-malware-group/ https://blog.checkpoint.com/security/phishing-via-google-looker-studio/ https://research.checkpoint.com/2023/elections-spotlight-generative-ai-and-deep-fakes/ https://apnews.com/article/google-ai-ads-political-policy-fake-792cbae3e651d31028ae2c64f65f112c https://techcrunch.com/2023/09/14/mgm-cyberattack-outage-scattered-spider/ https://blog.checkpoint.com/security/cyber-stakes-the-mgm-ransomware-roulette/

20チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

ランサムウェア集団Montiは、ニュージーランドで3番目に大きな大学であるオークランド工科大学へのサイバー攻撃 に関与したと主張しました。脅威アクターは60GBのデータを盗んだと主張し、被害者へ身代金の支払い期限を10 月9日に指定しました。

チェック・ポイントのThreat Emulationは、この脅威に対する保護を提供します （Ransomware.Wins.Monti）

チェックポイント リサーチは、40を超えるメキシコとブラジルの銀行の顧客を標的とする、BBTokバンキングマルウェア の新バージョンを発見しました。この調査では、新たに発見された感染連鎖が、Living off the Land Binaries （LOLBins）の独自の組み合わせを使用しており、検出率が低いことを浮き彫りにしています。さらにこの調査で は、ブラジルとメキシコの数百人のユーザーを標的とした攻撃に使用された脅威アクターのサーバー側リソースの一部 も明らかになりました。

チェック・ポイントのThreat EmulationとHarmony Endpointは、この脅威に対す る保護を提供します（Banker.Wins.BBTok、Banker.Win.BBTok、Technique. Wins.SuxXll、Trojan.Win.XllAddings）

10月 チェック・ポイントの研究者は、人気のファイル共有プログラムDropboxを悪用したフィッシングキャンペーンを検出しま した。脅威アクターは正規のDropboxページを使用して被害者に公式のメールメッセージを送信し、認証情報を盗 むページに受信者をリダイレクトします。

チェック・ポイントの研究者は、WEB3ソーシャルメディアプラットフォームFriend.techに影響を与える複数の重大な 脆弱性を発見しました。一連の脆弱性により、攻撃者は企業が所有するデータベースの値にアクセスして変更した り、有料機能にアクセスしたりする可能性があります。

ウィスコンシン州全域で16万人以上の人々にサービスを提供しているAmerican Rock County Public Health Departmentがランサムウェア攻撃の被害に遭い、当局は一部のシステムをオフラインにせざるを得なくなりました。 キューバのランサムウェア集団がこの攻撃の犯行声明を出し、財務書類や税務情報などを盗んだと主張していま す。

第 2章

https://www.stuff.co.nz/business/132991897/hackers-threaten-to-dump-data-stolen-from-auckland-university-of-technology https://research.checkpoint.com/2023/behind-the-scenes-of-bbtok-analyzing-a-bankers-server-side-components/ https://blog.checkpoint.com/harmony-email/phishing-via-dropbox/ https://blog.checkpoint.com/harmony-email/phishing-via-dropbox/ https://blog.checkpoint.com/research/check-point-research-uncovers-critical-vulnerabilities-in-friend-tech-web3-platform/ https://therecord.media/wisconsin-county-dealing-with-ransomware-attack-healthcare

21チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

チェック・ポイントのHarmonyエンドポイントとThreat Emulationは、この脅威に対 する保護を提供します（Ransomware.Win.Cuba、Ransomware.Wins.Cuba. ta.*）

LockBitランサムウェア集団が、数十億ドル規模のIT製品およびサービスの再販業者CDWに対する攻撃疑惑に 対する犯行声明を出しました。同集団は8,000万ドルの身代金を要求し、従業員バッジ、監査、手数料支払い データなどが含まれると言われている盗難データを公開すると脅迫しました。同社は影響を受けたサーバーを隔離 しており、顧客向けではないとしています。

チェック・ポイントのHarmonyエンドポイントとThreat Emulationは、この脅威に対 する保護を提供します（Ransomware.Win.Lockbit; Gen.Win.Crypter. Lockbit; Ransomware.Wins.LockBit.ta; Ransomware_Linux_ Lockbit）

FBIとCISAは、#StopRansomwareキャンペーンの下で共同サイバーセキュリティ勧告を発表し、ランサムウェア・ア ズ・ア・サービス（RaaS）モデルで動作するAvosLockerランサムウェアについて警告し、詳しく調査しました。技術的 な詳細とグループのTTPに焦点を当て、緩和と防御を支援します。

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対 する保護を提供します（Ransomware.Wins.Avoslocker.ta.A, Gen.Win. Crypter.AvosLocker.B, Ransomware.Win.AvosLocker.B, Ransomware_Linux_AvosLocker）

クラウドID認証大手のOktaのネットワークの一部に攻撃者がアクセスしました。ハッカーは、少なくとも2週間にわ たって同社のサポート部門にアクセスし、サポートチケットからコピーしたトークンを使用して同社の顧客のネットワーク にアクセスしようとしました。報道によると、同社がこの事件に気づいたのは、顧客からサポートチケットのトークンが悪 用されているとの報告を受けたときであったとのことです。

チェックポイント リサーチは、イスラエル・ハマス戦争が始まってから10日間のサイバー活動を分析しました。中東、イス ラム、ロシア系の複数のハクティビストグループがイスラエルに対する作戦を強化しています。DDoS、改ざん、一部の イスラエルのWebサイトからの情報漏洩など、さまざまな攻撃ベクトルが観察されていますが、そのほとんどは影響が 非常に限定的です。

第 2章

https://therecord.media/cdw-investigates-ransomware-gang-claim https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-284a https://krebsonsecurity.com/2023/10/hackers-stole-access-tokens-from-oktas-support-unit/ https://blog.checkpoint.com/security/the-iron-swords-war-cyber-perspectives-from-the-first-10-days-of-the-war-in-israel/

22チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

スタンフォード大学は、同大公安局（SUDPS）のシステムに影響を与えたサイバー攻撃の被害に遭いました。ランサ ムウェア集団Akiraが犯行声明を出し、その結果、430GBの大学のデータが流出したとされています。

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対 する保護を提供します（Ransomware_Linux_Akira; Ransomware.Wins. Akira）

11月 ボーイング社は、サイバー攻撃により同社の部品および流通事業が影響を受けたことを認め、法執行機関と協力 して調査を行っていることを明らかにしました。今週初め、ランサムウェアグループのLockBitがボーイング社を被害者 ページに追加し、大量のデータを盗んだと主張しました。

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対 する保護を提供します（Ransomware.Win.Lockbit, Ransomware_Linux_ Lockbit）

チェックポイント リサーチは、イランの情報・治安省（MOIS）と関係のある攻撃者であるScarred Manticoreによ る継続的なスパイ活動を明らかにしました。この攻撃は、Windowsサーバーにインストールされている高度なパッシブ 型マルウェアフレームワークであるLIONTAILを利用しています。現在のキャンペーンは中東の知名度の高い組織を 標的としており、政府、軍事、通信部門に焦点を当てています。

チェック・ポイントのIPS、Threat EmulationとHarmony Endpointは、この脅威に 対する保護を提供します（Backdoor.WIN32.Liontail.A/B, APT.Wins. Liontail.C/D）

チェックポイント リサーチは、イスラエルとハマスの戦争に関連して進展しているサイバー事件について、最近のレビュー を発表しました。この数週間で、親パレスチナ派のハクティビストグループが、イスラエル以外にもその活動範囲を広 げ、主にイスラエルの同盟国として認識されている国々を標的としていることが明らかになりました。これらのサイバー 作戦は、情報提供と報復効果を目的としていますが、報告されている被害は限定的です。注目すべきは、ターゲッ トの選択が、地政学的な出来事の進展に加え、グループが以前から確立している利益によって設定されていること です。

第 2章

https://therecord.media/stanford-investigating-cyberattack-after-ransomware https://www.reuters.com/business/aerospace-defense/boeing-investigating-cyber-incident-affecting-parts-business-2023-11-01/ https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/ https://blog.checkpoint.com/security/evolving-cyber-dynamics-amidst-the-israel-hamas-conflict/

23チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

中国最大の銀行である中国工商銀行（ICBC）の米国部門がランサムウェア攻撃を受け、金融サービスシステム の一部が停止し、米国債の流動性に影響が出たと報じられています。この攻撃の背後には、LockBitというランサ ムウェア集団が関与していると報じられています。

チェック・ポイントのThreat EmulationとHarmony Endpointは、この脅威に対す る保護を提供します（Ransomware.Wins.LockBit.ta*; Ransomware.Win. Lockbit; Gen.Win.Crypter.Lockbit.AI; Ransomware_Linux_Lockbit）

ロシア系の軍事諜報グループSandWormが、デンマークの重要インフラ企業22社に対する攻撃を行ったと報じられ ています。この攻撃はデンマーク史上最も深刻なもので、産業用制御システムを危険にさらし、エネルギー部門の企 業をオフラインに追い込んでいます。

チェックポイント リサーチは、ChatGPTのマルウェア分析機能をテストするための実験的な詳細調査を実施しまし た。この調査結果は、AIシステムの機能を拡張して判定を下すために必要なガイダンスに焦点を当てています。

ネバダ州に本拠を置く医療トランスクリプション会社であるPerry Johnson & Associates（PJ&A）は、米国の 複数の医療機関で900万人以上の患者に影響を与えたデータ侵害を公表しました。流出したデータには、患者 の氏名、住所、生年月日、社会保障番号、医療記録が含まれます。この攻撃は、近年で最も深刻な医療データ 侵害の1つと見なされています。

チェックポイント リサーチは、Threat Intelブロックチェーンシステムを使用して、 100万ドル近くを窃取した進行中の高 度なラグプルスキームを発見しました。このスキームの背後で暗躍していた人物を追跡したところ、犯人は群衆の誇 大広告を利用して、疑うことを知らない被害者を投資へと誘い、不正な利益を得ていたことが明らかになりました。

第 2章

https://edition.cnn.com/2023/11/10/investing/icbc-ransomware-attack-hnk-intl/index.html https://www.ft.com/content/8dd2446b-c8da-4854-9edc-bf841069ccb8 https://sektorcert.dk/wp-content/uploads/2023/11/SektorCERT-The-attack-against-Danish-critical-infrastructure-TLP-CLEAR.pdf https://sektorcert.dk/wp-content/uploads/2023/11/SektorCERT-The-attack-against-Danish-critical-infrastructure-TLP-CLEAR.pdf https://research.checkpoint.com/2023/gpt-vs-malware-analysis-challenges-and-mitigations/ https://research.checkpoint.com/2023/gpt-vs-malware-analysis-challenges-and-mitigations/ https://therecord.media/millions-of-patient-records-breached-cyberattack https://research.checkpoint.com/2023/check-point-research-unraveling-the-rug-pull-a-million-dollar-scam-with-a-fake-token-factory/

24チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

12月 チェックポイント リサーチは、ペンシルバニア州アリクイッパ市水道局のワークステーションの改ざんに関与したCyber Av3ngersグループの活動について特集を提供しました。この攻撃を受けて、CISA（米国サイバーセキュリティー・イン フラストラクチャー・セキュリティ庁）は、イラン革命防衛隊（IRGC）に所属するこのハクティビストグループに関する勧 告を出しました。このグループは、UnitronicsのPLCデバイスを標的にして米国の複数の水道事業会社を攻撃した と報告されています。

何百万人もの人々にサービスを提供しているAmerican Greater Richmond Transit Company（GRTC）は、 サイバー攻撃の被害に遭い、特定のアプリケーションやGRTCネットワークの一部が影響を受けました。ランサムウェ ア集団Playが、この攻撃の犯行声明を出しました。

チェック・ポイントのHarmony EndpointとThreat Emulationは、この脅威に対す る保護を提供します（Ransomware.Win.Play; Ransomware.Wins.PLAY）

チェックポイント リサーチは、暗号通貨を取り巻く問題の傾向を明らかにしました。不正行為者がプールの流動性 を操作し、トークン価格を22,000%も高騰させています。プール流動性の操作により、何の疑いも持たないトークン 所有者から8万ドルが迅速かつ計画的に盗まれました。この事件により、分散型金融プラットフォームを悪用するた めに詐欺師が採用している戦略の進化が明るみになりました。

ウクライナ最大の移動体通信事業者であるKyivstarは、「通信インフラに対する世界最大のサイバー攻撃」に見 舞われ、数百万人が48時間以上、携帯電話やインターネットサービスを利用できない事態に陥りました。報道によ ると、この攻撃は空襲サイレン、ATM、POS端末にも影響を与えました。過去にロシアの軍事組織「Sandworm」と 関係があったロシア系グループ「Solntsepek」がこの攻撃の犯行声明を出しました。別のロシア系グループ「Killnet」 も犯行声明を出していますが、その関与は証明されていません。Kyivstarは、2,430万人のモバイル加入者と110万 人以上の家庭用インターネット加入者を抱えています。

第 2章

https://blog.checkpoint.com/security/what-you-need-to-know-about-the-pennsylvania-water-authoritys-breach/ https://www.cisa.gov/news-events/alerts/2023/12/01/cisa-and-partners-release-joint-advisory-irgc-affiliated-cyber-actors-exploiting-plcs https://therecord.media/central-va-transit-system-cyberattack https://research.checkpoint.com/2023/crypto-deception-unveiled-check-point-research-reports-manipulation-of-pool-liquidity-skyrockets-token-price-by-22000/ https://www.wired.com/story/ukraine-kyivstar-solntsepek-sandworm-gru/ https://www.wired.com/story/ukraine-kyivstar-solntsepek-sandworm-gru/

25チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

3 0

サイバーセキュリ ティのトレンド

第 3章

26チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

現状、「ランサムウェア」という用語は、データを暗号化する ことだけを指すのではなく、金銭目的の攻撃者が被害者 の資産を占拠し、圧力をかけて金銭を脅し取るサイバー 攻撃を表すためにも使用されています。

この犯罪エコシステムは、絶えず変化するグループと個人 で構成されており、世間の注目と「名声」を同時に追求 し、潜在的な協力者を引き付け、評判を維持しながら、 法執行機関からの過度の注目を避けるという絶妙なバ ランスを保っています。攻撃者たちは名前や手法を頻繁 に変えているため、その正体を特定するのが難しくなって います。

ランサムウェアエコシステム内の攻撃傾向を分析するとき、 私たちはRaaS（サービスとしてのランサムウェア）プロバイ ダーが攻撃能力を強化するために導入した新機能を頻 繁に調査しています。これは、中間暗号化メカニズムや セーフモードでの再起動などの回避手法から、暗号化速 度の強化まで多岐にわたります。他にも、データの盗難 やデータを公開するという脅迫などの恐喝戦術、盗難 データのインデックス化、互換オペレーティングシステムの追 加などがあります。2023年に見られたもう1つの重要な進 展は、Linux用のランサムウェアバージョンが一般化したこ とです。

2023年に発生した複数の大規模なランサムウェア攻撃 は、ゼロデイ脆弱性を悪用したものでした。以前に取り上 げた他のランサムウェアのトレンドとは異なり、攻撃者がこ の戦略を採用するかどうかについては、経済的な観点か らのみ判断されます。複数の被害者を出すランサムウェア 攻撃によって得られる利益は、それを達成するためのゼロ デイエクスプロイトに見合っているのでしょうか？この質問に 答えるために、これらの攻撃と、それを実現するエコシステ ムについて見ていきましょう。

ランサムウェアのゼ ロデイ攻撃と大 規模攻撃

第 3章

https://research.checkpoint.com/2023/the-platform-matters-a-comparative-study-on-linux-and-windows-ransomware-attacks/

27チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

特筆すべき点は、CL0Pが被害者のデータを暗号化せ ず、それを公開または販売すると脅迫したことです。定期 的にバックアップを維持し、データ復元手順を採用してい ても、このような恐喝戦略の場合は悪影響を避けること ができません。また、攻撃において最も見つかりやすい暗 号化フェーズ中に検出される可能性が減り、復号鍵を管 理したり「カスタマーサービズ」を提供したりする責任から サイバー犯罪者が解放されます。

ゼロデイエクスプロイトは需要が高く、市場で活発に取引 されています。ゼロデイエクスプロイトの価格は、標的とな るシステムと脆弱性の性質によって異なりますが、数千ド ルから最大250万ドル（モバイルプラットフォームの場合） のものまであります。Zerodiumのような合法的なプラット フォームによって公開されている価格は、並行して違法な 地下市場で何が起こっているかを反映しています。これら の市場における売り手の信頼性は、過去の取引によっ て確立された評判と、担保となる保証金に依存していま す。以下のスクリーンショットでは、豊富な取引履歴と保証 金を持つアンダーグラウンドの売り手が、Windowsのロー カル権限昇格（LPE）エクスプロイトを15万ドル（交渉 前）で販売しています。比較として、Zerodiumでは Windows LPEの脆弱性が8万ドルで購入できます。

ALPHVを使用したMGM Resorts Internationalへの 攻撃など、いくつかの有名な攻撃に見られるように、ランサ ムウェアの事業運営への影響はエスカレートし、2023年に ピークに達しました。このような攻撃は、広範なデータの盗 難と事業運営への大規模な混乱をもたらし、MGMは被 害額を1億ドルと見積もっています。また、オーストラリアの港 湾運営会社であるDP Worldは、数日間にわたり同国の コンテナ貿易の40％を停止させる深刻なランサムウェア攻 撃を受けました。報告によると、この攻撃に暗号化は含 まれておらず、このような脅威の進化が浮き彫りになりまし た。

昨年は、複数の被害者に影響を与える大規模なランサ ムウェアサイバー攻撃が顕著に増加し、中には数百、数千 の組織に影響を与えたインシデントもありました。RaaS グループであるCL0Pは、安全なファイル転送ツール GoAnywhereのゼロデイ脆弱性を悪用し、130を超える 組織に影響を与える被害を引き起こしました。6月上旬に は、CL0Pがファイル転送ソフトウェアMOVEitへのアクセス を可能にするゼロデイ脆弱性を悪用し、2,600以上の組 織が被害を受けました。CL0Pは、2021年にも同様の攻 撃を行い、Accellionの旧式のファイル転送アプライアンス のゼロデイ脆弱性を悪用して、複数のクライアントのデータ ベースに侵入しました。これらのケースではいずれも、顧客数 の多さ、データの品質、さらなる被害者への攻撃拡散能力 を考慮して、ターゲットが慎重に選択されています。

第 3章

https://zerodium.com/program.html https://www.bleepingcomputer.com/news/security/mgm-resorts-ransomware-attack-led-to-100-million-loss-data-theft/ https://www.reuters.com/technology/cybersecurity/dp-world-says-hackers-stole-australian-ports-employee-data-2023-11-28/ https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-it-breached-130-orgs-using-goanywhere-zero-day/ https://www.theverge.com/23892245/moveit-cyberattacks-clop-ransomware-government-business https://www.bleepingcomputer.com/news/security/global-accellion-data-breaches-linked-to-clop-ransomware-gang/

28チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

MOVEitへの攻撃の後も、ランサムウェア攻撃によるゼロ デイ脆弱性の悪用が続きました。CL0P系列の脅威ア クターがSysAidのITサポートソフトウェアに存在するゼロ デイ脆弱性を悪用した事例も確認されており、潜在的 には5,000を超える顧客に影響を与えた可能性があり ます。同社はアドバイザリーにおいて、11月2日にこの新し い脆弱性（CVE-2023-47246）を認識していたことを 明らかにしましたが、エクスプロイトについて初めて報告さ れた時期は10月までさかのぼります。CL0P以外にも、 最も多くのランサムウェアを生み出しているグループである AkiraやLockbitが、Ciscoアプライアンスのゼロデイ脆弱 性（CVE-2023-20269）を悪用し、攻撃者が既存の アカウントに対してブルートフォース攻撃を行えるようにし ました。

ゼロデイ脆弱性を利用できる時間は限られています。エ クスプロイトが増えるほど、検出される可能性が高くなり、 その後のパッチで修正されるようになります。マルウェアに 機能を追加するのとは異なり、ゼロデイ脆弱性への投資 は、購入であれ開発であれ、定期的にコストをかけてキャ ンペーンごとに繰り返さなければならないため、比較的短 命の攻撃から得られる収入でカバーする必要があります。

ゼロデイエクスプロイトが一般的になるかどうかは、各攻撃 の直接的な収益によって決まります。一説によると、 CL0PはMOVEitに対する攻撃だけで7500万～1億ド ルを脅し取ったと推定されています。実際に支払われた 身代金を推定するのは困難ですが、少なくとも一部の ケースでは、ゼロデイ攻撃にかかるコストをカバーできると考 えてよいでしょう。

図 1：アンダーグラウンド フォーラムで提供された Windows LPE のゼロデイ脆弱性。

第 3章

https://twitter.com/msftsecintel/status/1722444141081076219 https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification https://twitter.com/dez_/status/1722358562163179592 https://www.bleepingcomputer.com/news/security/cisco-warns-of-vpn-zero-day-exploited-by-ransomware-gangs/ https://www.coveware.com/blog/2023/7/21/ransom-monetization-rates-fall-to-record-low-despite-jump-in-average-ransom-payments

29チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

コストのかかるゼロデイエクスプロイトの使用が増加する かどうかは、主に経済的な要因によって決まります。潜在 的な利益が投資を上回ると脅威アクターが確信してい る場合、この種の攻撃が増加すると予想されます。恐喝 に屈することで、差し迫った危機を短期的に解決するこ とができますが、長期的には攻撃者を増長させることにし かなりません。ゼロデイ攻撃に対する効果的な防御は複 雑な課題であり、エンドポイントランサムウェア対策ソリュー ション、データ損失防止（DLP）メカニズム、拡張検知・ 対応（XDR）製品などの堅牢な対策を導入することの 重要性が浮き彫りになっています。

他にも、DarkCasinoのような金銭的な動機を持つ 高度なグループは、WinRARの脆弱性（CVE-2023- 38831）を悪用してオンライントレーダーから盗みを働い ています。このようなWinRAR RCEエクスプロイトについ て、Zerodiumが提示している価格は8万ドルです。また、 金銭目的の攻撃者が、Windows共通ログファイルシステ ム（CLFS）のゼロデイ脆弱性を悪用して権限を昇格さ せた後、Nokoyawaというランサムウェアを展開したという 事例もあります。

ランサムウェアが展開される世界では、ハッカーは 潜在的な見返りが得られると見なしたときに初 めて、高コストのゼロデイエクスプロイトを悪用し ます。

我々は、リターンが投資を上回らないように仕 向けなければなりません。増え続けるこのタイプ のリスクを軽減するためには、アンチランサムウェ ア、DLP、XDRといった高度なセキュリティツール を導入が必要です。

SERGEY SHYKEVICH チェック・ポイント・ソフトウェア・テクノロジーズ 脅威インテリジェンスグループ マネージャー

第 3章

https://nsfocusglobal.com/the-new-apt-group-darkcasino-and-the-global-surge-in-winrar-0-day-exploits/ https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/ https://zerodium.com/program.html https://securelist.com/nokoyawa-ransomware-attacks-with-windows-zero-day/109483/

30チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

セキュリティ分析において、ルーター、スイッチ、VPNハードウ ェア、セキュリティアプライアンスなどのエッジデバイスは軽視 されがちです。これらは、ログを記録したり監視したりする のが難しく、EDR保護もありません。それ自体がセキュリ ティデバイスの役割を果たしているため、見落とされたり、 デフォルトパスワードのまま放置されたり、パッチ適用が不 十分だったり、パッチが提供されないままサポート終了時 期が来たりすることがよくあります。インターネットに接続さ れたこれらの脆弱なデバイスは、ボットネットを構築する ために日常的に悪用されています。たとえば、Miraiとい うマルウェアやそこから派生した多くのマルウェアは、デフォ ルトパスワードを使用しているLinuxルーターに感染して DDoS攻撃やスパムキャンペーンに悪用しています。これ らの攻撃は必ずしもネットワークに直接影響を与えるわ けではないため、注目されることはあまりありません。

エッジデバイスの悪用は近年大きな変化を遂げており、 現在では国家レベルのAPTが秘密裏に通信・流出イン フラを構築し、隠密作戦を展開しています。チェック・ポイ ントの最近の調査レポートでは、中国のAPTがTP-Link のルーターを標的として、マルウェアを埋め込んだ専用 ファームウェアによる攻撃を行っていることが明らかにな りました。国家主導のCamaro Dragon APTは、ファ イル転送やネットワークトンネリングだけでなく、「Horse Shell」と呼ばれるカスタムバックドアを展開することで、永 続性を維持しながら、感染ノードチェーンによる通信の匿 名化を実現しています。侵害したルーターをC&C難読 化のための隠密ネットワークとして使用するこの手法は、 以前からRedRelayやZuoRATとして報告されていまし たが、2023年も繁栄し続けています。

エッジデバイスはセキュリティ戦略において優先順位が低 いことが多いため、長い間、サイバー犯罪者によるDDoS 攻撃用ボットネットの構築やスパムキャンペーンに悪用さ れてきました。

今年に至るまでの持続的な傾向として、エッジデバイスは 国家レベルのAPTや金銭目的の高度な脅威アクターの 標的となっています。エッジデバイスを狙う脅威アクターは、 それらを高度なエクスプロイトインフラの一部として、あるい は慎重に選んだエンティティやデバイスからより大きなネッ トワークシステムに侵入するためのエントリーポイントとして 使用しています。当初、この戦略は、コストのかかるゼロデ イエクスプロイトやカスタムメイドのマルウェアを使用する必 要があったため、主に国家主導の活動で利用されていま した。現在では、金銭目的の高度なグループがこの戦略 を採用し、パッチ適用されていないシステムにおける構成 ミスや既知の脆弱性を悪用することでランサムウェア攻撃 を行っています。

拡大する攻撃 サーフェイス： エッジ デバイス の新たなリスク

第 3章

https://research.checkpoint.com/2023/the-dragon-who-sold-his-camaro-analyzing-custom-router-implant/ http://www.pwc.at/de/dienstleistungen/Cyber/2022-year-in-retrospect-report.pdf https://blog.lumen.com/zuorat-hijacks-soho-routers-to-silently-stalk-networks/

31チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Camaro Dragonとは異なり、このインシデントでは、マル ウェアを埋め込んだ専用ファームウェアを使用するのでは なく、サポートが終了したCiscoやDrayTecのルーターと NETGEARファイアウォールで構成されたKVボットネット が使用されました。米国の重要インフラで使用されてい るFortinet FortiGuardデバイスが個別に侵害され、KV ボットネットを介した隠蔽通信によりスパイ行為や混乱 を引き起こすゲートウェイとして機能したのです。

エッジデバイスを悪用するために使用されるのは、パッチ が適用されていない既知の脆弱性だけではありませ ん。Mandiantの研究者は、UNC3886やUNC4841 のような中国のAPTによる、エッジデバイスやネットワー クデバイスを標的とした広範なゼロデイエクスプロイト やカスタマイズされたマルウェアの使用を報告していま す。UNC3886は、専用のカスタマイズされたマルウェ アを使用して、EDRソリューションが導入されていない FortinetセキュリティデバイスやVMwareサーバーを標的 にしています。

エッジデバイスは、通信インフラのコンポーネントとしてだ けでなく、ネットワークへの最初のエントリーポイントとして 使用するための標的にもなっています。Microsoftが5 月に報告した高度な攻撃において、中国国営のVolt Typhoon APTグループは二重の戦略を採用していま す。同グループはまず、SOHO（Small Office/Home Office）のエッジデバイスを悪用し、後にKVボットネット と呼ばれる通信インフラに組み込みました。その後、この ボットネットを使用して、米国の重要インフラ組織内に存 在する他の侵害されたエッジデバイスから送信したコマン ド&コントロール（C&C）通信を隠蔽しました。

第 3章

https://www.mandiant.com/resources/blog/chinese-espionage-tactics https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://blog.lumen.com/routers-roasting-on-an-open-firewall-the-kv-botnet-investigation/

32チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

2023年後半、ロシアのAPTであるSandwormは、サイ バー攻撃の場をウクライナ以外にも広げ、デンマークのイ ンフラとエネルギー部門を標的にしました。深刻化を示す ものとして、このグループは、Zyxelファイアウォールの2つの ゼロデイ脆弱性を利用して、デンマークの22の組織に対 して攻撃を実行しました。脆弱なエッジデバイスを標的に してデンマークの重要な施設を侵害するというこの戦略 的な行動により、攻撃者は無防備になったプラットフォー ム上でリモートコード実行（RCE）能力を獲得しました。 その結果、いくつかの企業は通常の業務を停止し、一時 的に「アイランドモード」機能に頼ることを余儀なくされまし た。このような変化から、Sandwormは、脆弱性を悪用 し、大規模な攻撃を計画する広範な能力を持っている ことが明らかになりました。

金銭目的のランサムウェアグループもエッジデバイスを標 的にしています。CACTUS、Akira、LockBitは、Citrix やFortinetのVPNデバイスの設定ミスや脆弱性を悪 用しています。FIN8、LockBit、Medusaなどのグループ は、Citrix NetScalerデバイスに存在するパッチ未対応 の重大な脆弱性を利用して大企業を攻撃しました。 これらの攻撃は、永続的なWebシェルが展開されると いう問題にまで発展し、パッチを適用して再起動して も、Webシェルはアクティブなまま維持されていました。 エッジデバイスを使用した攻撃では、多くの場合、侵害さ れたネットワークにランサムウェアが展開されます。

UNC4841は、別のエッジデバイスであるBarracuda Email Security Gateway（ESG）のゼロデイ脆弱性 を悪用して、世界的な諜報キャンペーンを実施しました。 今年報告されたより攻撃的なキャンペーンでは、南北アメ リカを中心に世界中の公的機関や民間企業が標的に なりました。被害が特定された組織の約3分の1は政府 機関でした。被害を受けた組織が攻撃の検出と被害の 軽減に追われる中、攻撃者は侵害したエンティティの一 部に、永続的に使用できるよう設計された追加のマル ウェアを展開しました。この攻撃的で執拗なキャンペーンに より、ESGアプライアンスは安全ではないと見なされたた め、サプライヤーはすべてのESGアプライアンスを交換する ことを推奨する異例の勧告を発しました。

エッジデバイスを悪用しているのは中国の攻撃者だけで はありません。ロシアの軍事諜報機関が関与している APTは、戦争中のウクライナを標的としてこの戦略を広 範に導入しました。ロシア・ウクライナ戦争が始まって以 来、サイバー攻撃の集中砲火により、ウクライナのエネル ギー、メディア、通信、金融業界、政府機関は大きな被 害を受けました。これらの攻撃の強度と量は、エッジデバ イスの侵害によってさらに悪化し、ロシアの脅威アクター は、標的のネットワークへの永続的なアクセスを保持し、 時間の経過とともに複数の攻撃を行うことができるように なっています。また、ロシアが関与しているAPT28グループ がJaguarToothというマルウェアを展開していることも確 認されました。このマルウェアは、CISCO IOSルーターの 脆弱性を悪用するために特別に設計されており、2017 年に報告されたにもかかわらず、依然として効果的である ことが証明されています。

第 3章

https://sektorcert.dk/wp-content/uploads/2023/11/SektorCERT-The-attack-against-Danish-critical-infrastructure-TLP-CLEAR.pdf https://thehackernews.com/2023/05/new-ransomware-strain-cactus-exploits.html https://www.techtarget.com/searchsecurity/news/366550138/Cisco-VPNs-under-attack-via-Akira-LockBit-ransomware https://www.techtarget.com/searchsecurity/news/366550138/Cisco-VPNs-under-attack-via-Akira-LockBit-ransomware https://www.darkreading.com/attacks-breaches/unpatched-citrix-devices-targeted-by-ransomware-group-fin8 https://techcrunch.com/2023/11/14/citrix-bleed-critical-bug-ransomware-mass-cyberattacks/ https://www.mandiant.com/resources/blog/barracuda-esg-exploited-globally https://www.mandiant.com/resources/blog/unc4841-post-barracuda-zero-day-remediation https://securityaffairs.com/149845/hacking/barracuda-esg-cve-2023-2868-flaw.html https://www.wired.com/story/russia-ukraine-cyberattacks-mandiant/ https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/jaguar-tooth/NCSC-MAR-Jaguar-Tooth.pdf

33チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

これまでMiraiのようなボットネットがスパムやDDoS攻撃 のために標的としていたエッジデバイスは、より高度な攻撃 者による重大な作戦で悪用されるようになりました。 エッジデバイスは、他のキャンペーンのための通信インフラと して、最初のアクセスポイントとして、あるいは元のネット ワークを混乱させる手段として使用されています。この手 法は、国家主導の攻撃者が隠密にアクセスするために 実践してきた高度な手法でしたが、その後、既存のツール キットを使用する金銭目的の攻撃者にも採用されるよう になりました。

このようにエッジデバイスを集中的に標的とすることは、長 期間にわたって検出を回避しながら、知名度の高い標 的を攻略する上で効果的であることが証明されていま す。タイムリーなパッチ適用、十分な監視・検出システム、 特にエッジデバイスの監視を実施しなければ、公共の ネットワークに面しているネットワークデバイスは巨大な盲 点であり続けるでしょう。脅威の状況が進化するにつれ て、セキュリティソリューションと監視能力も進化させる必 要があります。

最近はエッジデバイスの悪用という脅威が増大 しているため、セキュリティ戦略の再調整が必要 になってきています。つまり、サイバーセキュリティイン フラを強化しなければなりません。

このセクションで説明されている推奨事項を活 用し、2024年のビジネスに向けて、高度なエッジ デバイス攻撃に対するセキュリティを確保しておき ましょう。

ELI SMADJA チェック・ポイント・ソフトウェア・テクノロジーズ セキュリティ リサーチグループ マネージャー

第 3章

34チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

この新しい手口では、組織運営の停止を目的として設 計されたワイパー攻撃が増加していることも特徴です。注 目すべき点は、これらの傾向はロシア・ウクライナ戦争中 に形成され、現在進行中のイスラエルとハマスの紛争で も類似しているという点です。しかし、これらの活動の激 しさと投入されるリソースの多さにもかかわらず、それらが 戦争のダイナミクスに実際に与える影響には疑問があり ます。

2023年初めに出現し、一般的にロシアと協力していると みられる組織、Anonymous Sudanは、イスラム主義の 大義を支援するという名目で西側組織を積極的に標 的としています。このグループは、世界規模で多数の分散 型サービス妨害攻撃（DDoS）を実行し、重要なインフ ラやその他のさまざまな分野に影響を与えてきました。

Anonymous Sudanの標的として注目されているの は、Microsoft、Twitter（X（、Telegram、スカンジナ ビア航空などの企業のインフラやWebサイトです。 Anonymous Sudanは設立からわずか1年で Microsoftのサービスに対する大規模な攻撃など、これ までに記録された中で最も成功したDDoS攻撃のいく つかに関与してきました。同グループはKillnetのようなロシ ア系の攻撃グループと共同で活動を行っており、特にロシ ア・ウクライナ戦争や反西側組織に関連するサイバー活 動ではその傾向が顕著です。他のハクティビスト集団と は異なり、Anonymous Sudanはレンタルサーバーインフ ラを攻撃に利用していると考えられており、かなりの資金 源を得ていることが示唆されています。これらの特徴に加 え、英語とロシア語が非常に多く使用されていながら（ア

政治的または社会的な目的を推進するためにサイバー 攻撃を使用するハクティビズムの性質は、近年著しく進 化しています。当初は草の根的な個人や緩やかに組織 化された集団によるものでしたが、現在では実質的に政 府が関与するようにシフトしています。

現在の形態において、サイバー活動の大部分は国家に 所属するハクティビストグループによって行われています。こ れらは、国家のAPT（Advanced Persistent Threat） 部隊によって行われた活動の成果を公表するフロント組 織として機能しています。国家的なAPTをハクティビストグ ループの影に隠すことで、大衆の支持が得られているとい う幻想を作り上げながら、攻撃から距離を置き、報復行 動を回避することができます。

国家と連携した ハクティビズムと ワイパーがニュー ノーマルに

第 3章

https://www.cloudflare.com/learning/ddos/glossary/anonymous-sudan/ https://www.theguardian.com/technology/2023/jun/19/hackers-behind-microsoft-outage-most-likely-russian-backed-group-aiming-to-drive-division-in-the-west https://www.bbc.com/news/technology-66668053 https://www.darkreading.com/cyberattacks-data-breaches/anonymous-sudan-sets-sights-telegram-ddos-attack https://therecord.media/hacker-group-anonymous-sudan-demands-three-million-from-sas https://therecord.media/hacker-group-anonymous-sudan-demands-three-million-from-sas https://www.theverge.com/2023/6/18/23765124/microsoft-outlook-june-ddos-attack-anonymous-sudan https://www.cloudflare.com/learning/ddos/glossary/anonymous-sudan/

35チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

イラン系のハクティビストであるKarMaグループは、10月8 日に英語のテレグラムチャンネルを開設しました。チャン ネル登録者数は1万人を超え、瞬く間に大きな注目 を集めました。KarMaは、「Scarred Manticore」 APT、Dev-0842、その他いくつかのグループを運営す るイラン情報安全保障省（MOIS）のオンラインフロ ントのサイバーペルソナとして機能しています。KarMa は、Telegramチャンネルを通じて、Scarred Manticore の諜報活動によるイスラエルの組織への侵入から得た 情報を広めています。これらの侵害の一部はワイパー攻 撃を伴っており、攻撃対象の企業のインフラに損害を与 えました。Dev-0842によって展開されたLinuxおよび Windows専用ワイパーは、イスラエルのベンヤミン・ネタニ ヤフ首相にちなんで「BiBi-Wiper」と呼ばれています。こ の攻撃は破壊的なマルウェアが蔓延していることを示す 典型的な例であり、ハクティビスト活動のニューノーマルと なっています。

2022年、イラン系の攻撃者がアルバニア政府機関に対 して同様の作戦を使用しました。一連の攻撃では、サイ バーペルソナ「Homeland Justice」が専用のTelegram チャンネルとWebサイトを使用し、システム侵害・ワイパー 攻撃の標的となったアルバニア政府機関の資料をリー クしました。この攻撃は、Scarred ManticoreやDev- 0842など、MOISが関与する攻撃者によって実行された ものです。サイバーペルソナを使用して専用のコミュニケー ションチャンネルを運営し、それを侵害する資料の漏洩や ワイパー攻撃に使用するパターンは、これらのイラン系グ ループが一貫して採用している戦略を反映しています。 2023年12月、イランの「Homeland Justice」は活動を 再開し、アルバニア主要機関に対する破壊的なサイバー 攻撃を繰り返しました。

ラビア語はスーダンの公用語であるにもかかわらず）アラビ ア語の使用が最小限であることから、研究者は、ロシアと の明確なつながりまたはロシアからの支援があると推測し ています。

2023年12月、ウクライナ最大のモバイルネットワーク事 業者であるKyivstarに対して、ロシア・ウクライナ戦争 が始まって以来最大の破壊的攻撃が実行されまし た。以前はあまり知られていなかったハクティビスト集団 Solntsepyokがこの攻撃を行ったと主張しています。 ウクライナは、このハクティビストの活動について、ロシア の軍事情報機関によって運営されているAPTグループ 「Sandworm」が関与していると見ています。報道による と、この攻撃によって同通信事業者の中核機能が完全 に破壊されました。

近年、イランはサイバー人材を大幅に育成・採用しなが ら、コンピュータやネットワークを活用した影響力工作に 重点を置いています。この傾向は、イスラエルとハマスの 戦争でエスカレートしています。分散型サービス妨害攻撃 （DDoS）を主眼とするロシアの国家系ハクティビズムと は異なり、イラン系のハクティビストグループは、破壊的な ハッキング・リーク作戦に重点を置いた、より攻撃的で技 術的に高度なアプローチを採用しています。

歴史的に、イランは資金援助や訓練の面でハマスの強 力な支援者であり、2023年10月7日の開戦以来、その 傾向は強まっています。ロシアと同様の戦略に従って、イラ ンはデジタル戦争に従事するサイバー「ハクティビスト」部 隊を展開しています。

第 3章

https://research.checkpoint.com/2023/from-albania-to-the-middle-east-the-scarred-manticore-is-listening/ https://www.bleepingcomputer.com/news/security/israel-warns-of-bibi-wiper-attacks-targeting-linux-and-windows/ https://www.microsoft.com/en-us/security/blog/2022/09/08/microsoft-investigates-iranian-attacks-against-the-albanian-government/ https://abcnews.go.com/International/wireStory/cyberattack-blocks-albanias-parliament-105916756 https://www.reuters.com/technology/cybersecurity/ukraine-says-russian-intelligence-linked-hackers-claim-cyberattack-mobile-2023-12-13/ https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RW13xRJ https://www.foreignaffairs.com/middle-east/why-iran-gambling-hamas

36チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

MOISが関与する別のAPTグループであるAgrius（また はDEV-0227）は、2023年11月下旬にイスラエルのジブ 病院への攻撃を開始しました。Agriusは過去にランサム ウェアとして偽装されたワイパーを展開したことがあります が、今回のジブ病院への攻撃では、機密情報の盗難は 成功したものの、病院のネットワークを停止させることには 失敗したと報じられています。KarMaによる攻撃と同様 に、盗まれたデータは後に、戦争初期にも登場した別の サイバーペルソナ「Malek Team」のTelegramチャンネル とWebサイトで公開されました。

Cyber Toufan Operationsは、最近登場したイラン系 サイバーペルソナの1つで、2023年11月に発足し、アラビ ア語と英語でTelegramチャンネルを運営しています。こ のグループは、イスラエルのホスティングサービスに侵入し、 イスラエルのさまざまな企業から入手した情報を公開し ました。過去のインシデントと同様に、この攻撃ではデー タが盗難された後に破壊的なマルウェアが使用されまし た。他にも、イスラム革命防衛隊（IRGC）が関与する AlToufanやMoses Staffなど、休眠状態だったイラン系 ハクティビストグループが今回の紛争で活動を再開してい ます。

こうしたサイバー作戦の大部分は、情報戦と心理戦に焦 点を当てており、世間で成功したと思われているサイバー 攻撃を自分たちの手柄として公表し、標的となった被害 者の脆弱性を強調することを主な目的としています。こ のような脅威アクターは一般的に、実際に発生した破壊 的な作戦の影響を誇張したり、架空の攻撃のニュース

やデータを公表したりします。イラン系サイバー攻撃のフロ ントとして活動しているグループであるCyber Av3ngers は、2022年以降の攻撃の詳細を公表しましたが、その うちのいくつかは他のグループによってすでに報告されてい ました。本物の攻撃と捏造した攻撃を混ぜ合わせて報 告するこの戦略は、Cyber Av3ngersと密接な関係に あるグループであるSoldiers of Solomonなどの他のい くつかのオンライングループでも採用されています。これらの グループの主な標的は、プログラマブルロジックコントローラ （PLC）とIoTカメラでした。Cyber Av3ngersとSoldier of Solomonの両グループにはIRGCが関与していること が明らかになっています。

ウクライナ紛争で実施されたロシアのサイバー作戦が、 数か月後には西側諸国、特にNATO加盟国を標的に 拡大したのと同様に、イランのサイバー活動も範囲を西 側へと広げています。たとえば、Cyber Av3ngersはイス ラエル製のデジタル制御盤を標的にし、米国とアイルラン ドの水道施設数か所に侵入しました。

ウクライナ紛争で観測されたパターンを振り返ると、この 紛争におけるサイバー活動は、国家に所属するハクティ ビストグループによるものだけではありませんでした。イスラ エルとハマスの戦–争が始まった最初の数週間、サイバー 戦争の分野では、主にイスラム系の多数の地域ハクティ ビストグループが、何百もの新たな反イスラエルハクティビス トグループを結成して活動を開始し、主にTelegram上 に出現しました。これらの有機的なハクティビスト集団が 行った活動は、小規模なDDoS攻撃やWebサイトの改

第 3章

https://unit42.paloaltonetworks.com/agonizing-serpens-targets-israeli-tech-higher-ed-sectors/ https://www.calcalistech.com/ctechnews/article/h1owft6it https://therecord.media/ziv-hospital-israel-hackers-claim-to-leak-data https://www.bloomberg.com/news/newsletters/2023-11-22/possible-iranian-group-behind-flood-of-new-cyberattacks-in-israel https://www.calcalistech.com/ctechnews/article/sk1fb63na https://apnews.com/article/bahrain-israel-hamas-war-palestinians-hack-7a1b4e5746d4ce788b008e6c77dade7f https://www.group-ib.com/blog/middle-east-conflict-week-1/ https://edition.cnn.com/2023/11/06/politics/israel-cyber-defense-iran-concerns/index.html https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a https://blog.checkpoint.com/2023/02/21/the-russian-ukrainian-war-one-year-later/ https://blog.checkpoint.com/research/check-point-research-report-shift-in-cyber-warfare-tactics-iranian-hacktivist-proxies-extend-activities-beyond-israel/ https://www.politico.com/news/2023/11/28/federal-government-investigating-multiple-hacks-of-us-water-utilities-00128977 https://www.securityweek.com/cyberattack-on-irish-utility-cuts-off-water-supply-for-two-days https://www.securityweek.com/cyberattack-on-irish-utility-cuts-off-water-supply-for-two-days https://www.computerweekly.com/news/366555772/Hacktivist-attacks-against-Israeli-websites-mirror-attacks-following-Russian-invasion-of-Ukraine https://blog.checkpoint.com/security/the-iron-swords-war-cyber-perspectives-from-the-first-10-days-of-the-war-in-israel/

37チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

ハクティビズムは進化を遂げ、今や影響力のあるサイバー 活動の大半を国家が関与するグループが占めるまでに なりました。このように敵対的な政府の関与が強まり、破 壊的な活動に焦点が当てられるようになっているにもか かわらず、こうしたサイバー作戦の実際の効果については 依然として議論の余地があります。このような活動の大 部分は、通常の戦争報道の影に隠れ、主流メディアで は目立たなくなっています。その結果、こうしたサイバー攻 撃では、世論にわずかな印象しか残すことができません。 目に見える影響が限定的であることを考慮すると、この ようなサイバー攻撃に割かれるリソースが成果に見合って いるかという点には疑問が残ります。サイバー作戦が現代 の戦争戦略において将来的にどのような役割を果たす かを判断する上で、こうした国家支援型のサイバー作戦 の有効性を継続的に評価することは極めて重要です。

ざんがメインであり、これらの活動の影響は概して軽微で、 ほとんどがTelegramチャンネルにスクリーンショットを共有 する程度に留まりました。しかし、紛争の初期段階には 大規模なDDoS攻撃が観測され、イスラエルのWebサイ トは激しい攻撃に見舞われました。

そんな中、ロシア系のハクティビストグループは中立性を 保とうとはしませんでした。特筆すべきは、Anonymous Sudanがイスラエルに対するいくつかのサイバー攻撃につ いて犯行声明を出した点です。その中には、市民へのミ サイル着弾警報に使用されるイスラエル政府公式アプリ への攻撃や、イスラエルの主要英字紙The Jerusalem Postのデジタルドメインをダウンさせる攻撃も含まれてい ました。

サイバー戦争では、ハクティビストが隠れた勢力の 代表として現れることが多いため、「敵を知る」こと はこれまで以上に複雑な問題を抱えています。

公共部門と民間部門の両方の組織がハクティビ ストの攻撃に対して脆弱ですが、攻撃の頻度と 規模は主に地政学的なイベントに依存します。

OMER DEMBINSKY チェック・ポイント・ソフトウェア・テクノロジーズ

データ リサーチ グループ マネージャー

第 3章

https://blog.cloudflare.com/cyber-attacks-in-the-israel-hamas-war/ https://securityscorecard.com/research/hacktivist-involvement-in-israel-hamas-war-reflects-possible-shift-in-threat-actor-focus/ https://www.axios.com/2023/10/10/hackers-ddos-israel-hamas-conflict

38チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

COVID-19のパンデミックとそれに続くリモートワークへの移 行を受け、オンプレミスとクラウドベースの資産の差異はあ まり意識されなくなりました。ユーザーはリモートからシステム にアクセスする必要があるため、安全なログインのための強 固な認証サービスが必要となります。 サードパーティアプリケーションのためのシングルサインオン （SSO）メカニズムが普及したことで、複数のサービスへの アクセスが単一障害点から行われるようになり、潜在的な 危険性はさらに高まっています。資格情報の盗難やクレ デンシャルスタッフィングを防止または軽減するために、企 業はセキュリティプロトコルを強化し、多要素認証（MFA） のようなより強固な認証方法を義務付けています。しか し、脅威アクターは、主に認証済みのセッションからアクセス トークンを盗んで悪用することで、これらの強化されたセ キュリティ対策を回避する戦略を開発してきました。このよ うな戦術は、国家系のアクターだけでなく、金銭目的のサイ バー犯罪者からも採用されています。

一般的にEvilginxのようなフレームワークを利用して被 害者とサービスプロバイダー間の通信を傍受し、ユーザー 認証情報とトークンを侵害する、以前にも文書化した中 間者攻撃（Man-in-the-Middle Attack）とは対照的 に、最近の攻撃の大半は、サードパーティやクラウドサービ スプロバイダーから直接トークンを盗み出すようなものに なっています。

機密データのアクセス管理とサニタイズは、特に大量の データを扱う場合は困難であり、専門的な組織であって も不注意によるアクセストークンの漏洩につながる可能 性があります。2023年9月、Microsoftがオープンソースの AIトレーニングデータを共有する際、制限のないAzure SASトークンを不適切に使用したことで、機密情報、秘 密鍵、パスワードを含む38テラバイトのデータが誤って漏 洩してしまいました。

通常、攻撃者がネットワークシステムに侵入するにはさら に労力がかかります。7月に検出された高度なサイバー 攻撃では、Storm-0558として知られる中国のAPTグ ループが、少なくとも25の組織に属する複数のメールア カウントを侵害することに成功しました。被害を受けた 組織には、複数の米国連邦機関が含まれています。 この侵害は、盗まれた消費者向けMicrosoftアカウント （MSA）署名鍵を悪用して行われました。この署名鍵 はMicrosoftのセキュリティインフラに不可欠であり、消費 者によるMicrosoftアカウントへのログインプロセス中の デジタル署名とトークン認証に使用されます。Microsoft の調査結果によると、この攻撃の発端はMicrosoftエン ジニアのアカウント侵害である可能性が高く、攻撃者は

攻撃を受けるト ークン：クラウド のアキレス腱

第 3章

https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers https://www.techtarget.com/searchsecurity/news/366551281/How-Storm-0558-hackers-stole-an-MSA-key-from-Microsoft https://www.techtarget.com/searchsecurity/news/366551281/How-Storm-0558-hackers-stole-an-MSA-key-from-Microsoft

39チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

エンジニアのアカウントを使用してデバッグ環境にアクセス していたようです。攻撃者は、この環境内にあったサニタイ ズされていないクラッシュダンプから、意図せず残されてい たMSA鍵を発見しました。攻撃者はそのMSA鍵を利 用することで、Outlook Web AccessとOutlook.comの 不正な認証トークンを生成し、複数の顧客アカウントへ の不正アクセスを可能にしました。驚くべきことに、鍵が侵 害されたのは2021年4月にまで遡ります。

このような攻撃は、クラウドサービスプロバイダーに限ったこ とではなく、マネージドサービスプロバイダーや認証企業な ど、アクセストークンや関連する機密情報を持つあらゆる 組織が標的にされています。2023年10月の注目すべき インシデントでは、IDと認証のサプライチェーンで重要な役 割を果たしているOktaが、カスタマーサポートのユーザー基 盤全体に影響を与える重大なセキュリティ侵害の被害 を受けました。この侵害は、認証情報の盗難から始まり、 攻撃者はその認証情報を使用してOktaのカスタマーサ ポート管理システムに不正アクセスしました。この不正アク セスによって、Cookieやセッショントークンのような重要な データを含むHTTPアーカイブ（HAR）ファイルなど、顧客 がアップロードしたファイルにも被害が及びました。アップ ロードする前にこのような情報をサニタイズしないと、侵害 されたファイルがシステムセッションへのログインやハイジャッ クに使用される可能性があります。その後、顧客から、盗 まれた情報を使用してシステムに不正アクセスしようとす る試みが報告されました。Oktaはすでに2022年にも深 刻な侵害を受けていました。

サイバー犯罪者は、Microsoft Teamsなどのクラウド ベースのコラボレーションサービスへのアクセスを悪用し、 ソーシャルエンジニアリングを行うこともあります。 Microsoftは2023年8月、Midnight Blizzardとして知 られるロシアのAPTグループが関与した注目すべき例を 報告しました。このグループは、MS Teamsを利用して多 要素認証（MFA）手順を回避し、ユーザートークンを取 得しました。当初、Midnight Blizzardは中小企業の Microsoft 365テナントに侵入し、テクニカルサポート組 織を装ってこれらのテナント内に新しいドメインを確立しま した。攻撃者はこれらのドメインをMicrosoft Teams経 由で送信されるフィッシング攻撃に利用し、外部企業の ユーザーからMFAコードを取得していました。

この攻撃手法では、攻撃者がテクニカルサポートチーム やセキュリティチームになりすましてTeamsからチャットリク エストとメッセージを送信し、ユーザーを説き伏せて Microsoft Authenticatorアプリに特定のコードを入力 させていました。これにより、攻撃者はユーザーの Microsoft 365アカウントにアクセスできるようになり、その 他の不正な活動が可能になりました。

第 3章

https://sec.okta.com/harfiles https://krebsonsecurity.com/2023/10/hackers-stole-access-tokens-from-oktas-support-unit/ https://www.wired.com/story/lapsus-okta-hack-sitel-leak/ https://www.microsoft.com/en-us/security/blog/2023/08/02/midnight-blizzard-conducts-targeted-social-engineering-over-microsoft-teams/

40チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

盗まれたトークンを使用したサイバー攻撃は、Microsoft やOktaへの攻撃に見られるように、トップダウン（上から下 へ）のアプローチで実行される場合があります。サービスプ ロバイダーが侵害されることで、クライアントのシステムへのア クセスが可能になるというものです。一方、ボトムアップ（下 から上へ）の攻撃として、顧客のシステムを侵害するところ から始まるものもあります。この場合、攻撃者は顧客のシ ステムで発見したトークンと機密データを使用してクラウド サービスに侵入することで、被害者のネットワーク全体を横 方向に移動することができます。

このような攻撃の例として、イスラエルの有名大学で発生 したインシデントがあります。報告された破壊的な攻撃で は、イラン政府と関係のある攻撃者が、イスラエルでトップ クラスの大学であるテクニオン（イスラエル工科大学）に侵 入しました。攻撃者は、パッチが適用されていない脆弱性 を悪用してオンプレミスへのアクセスを獲得し、最終的に

Azure ADエージェントにアクセスできる特権アカウント を使用できるようにしました。その後、Azure AD特権ア カウントのプレーンテキスト資格情報を抽出し、サーバー ファーム、仮想マシン、ストレージアカウントなどを削除し て、Azure環境に大混乱をもたらしました。

クラウドインフラ管理のリモートな性質は、ID検証とセ キュリティに特有の課題をもたらしています。最近の攻撃 傾向は、クラウドセキュリティがこれまで考えられていたよ りもさらに脆弱であることを示しており、高度な脅威アク ターはますますエンドユーザーを迂回してクラウドサービス プロバイダーを直接狙うようになっています。この憂慮す べき変化には、関係者全員が協調して対応する必要 があります。クラウド環境で堅牢なセキュリティを確保する には、従来の構成管理や多要素認証（MFA）を超え て、包括的なデータサニタイズ手法を組み込むことが重 要です。

クラウド サービスの分野が成長するにつれて、新 たなセキュリティ リスクも出現しています。

昨年のインシデントの一部は、最新のクラウドセ キュリティ問題を軽減する課題と革新的な方法 論の必要性を浮き彫りにしました。

現在急務となっているのは、脅威アクターがエンド ユーザーとサービスプロバイダーの両方を標的にす ることを阻止する堅牢なアプローチを編み出すこ とです。

LOTEM FINKELSTEEN チェック・ポイント・ソフトウェア・テクノロジーズ 脅威インテリジェンス&リサーチディレクター

第 3章

https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/

41チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

何十年もの間、ソフトウェア開発者は開発サイクルを短 縮するためにサードパーティ製のソフトウェアパッケージとラ イブラリを使用してきました。PyPi、NPM、NuGet、 RubyGemsなどのオープンソースパッケージ管理プラット フォームの出現によって、かつてないほど簡単に、あらゆる ニーズや目的に合わせてソフトウェアパッケージの宝庫にア クセスできるようになりました。残念ながら、人気のあるす べてのものと同様に、それらも脅威アクターの利益のため に悪用されています。

悪意のあるソフトウェアパッケージは、特に企業環境にお いて、常にセキュリティ上の懸念事項となっています。過去 1年間で、オープンソースパッケージプラットフォームを介して 拡散するマルウェアの数は大幅に増加しており、2023年 の第1四半期だけでも、約6,800の悪意のあるパッケー ジが確認され、年間を通じて数十万人のユーザーにダウ ンロードされました。今年の上位5位までの悪意のある パッケージに関連するキャンペーンだけでも、300,000回 のダウンロードを記録しており、潜在的な感染につながっ ています。

インターネットからダウンロードされた悪意のあるファイルの 中でPythonの.pyファイルが占める割合は、以前の年次 報告書ではわずか3%でしたが、現在では7%に達してい ます。これらはすべて、パッケージ名のタイポスクワッティン グ、パッケージのブランドジャッキング、依存関係かく乱攻 撃など、いくつかの一般的な攻撃ベクトルから発生してい ます。こうしたことから、特に未知のソフトウェア開発者に よって作成されたコードの場合、コードの正当性を検証す ることの重要性が強調されています。

ソフトウェア開発プロセス中、プログラマーは、コード共有 ソースから望ましい機能が含まれている既存のパッケー ジを使用することがよくあります。この広く普及した手法に は、コードを書いたり複雑な問題の解決策を考えたりす るのに必要な時間を短縮するなど、いくつかの利点があ ります。ほとんどの場合、既存のコードは効率的に実行さ れ、バグや境界値についてすでにテストされています。その 結果、あらゆるプログラミング言語で、多くのオープンソース ライブラリとパッケージが利用されるようになりました。

PIP インストール マルウェア：攻撃 されるソフトウェ ア リポジトリ

第 3章

https://snyk.io/blog/malicious-packages-open-source-ecosystems/

42チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

悪意のあるオープンソースパッケージの作成は、簡単なわ りに重大な影響を与える可能性があります。このタイプの 攻撃では、脅威アクターは開発者を標的にして悪意のあ るパッケージをダウンロードさせるだけでなく、その開発者 が開発したソフトウェアを信頼して使用する顧客も標的 にするため、ソフトウェアサプライチェーン攻撃を引き起こす ことになります。

長年にわたり、オープンソースのソフトウェアパッケージプラッ トフォームに対するいくつかの顕著な攻撃経路が攻撃者 によって開発され、セキュリティ研究者によって実行可能 であることが証明されてきました。最も一般的なのはタイ ポスクワッティングです。このタイプの攻撃では、脅威アク ターは、名前のスペルをわずかに変えた悪意のあるパッ ケージや、一般的な正規パッケージによく似たものを 公開し、ユーザーが意図せずに悪意のあるバージョンを ダウンロードすることを期待します。パッケージは通常、 「package_manager_name install package_ name」（たとえば「npm install async」）などのコマンド を使用してインストールされます。そのため、パッケージ名の わずかな違いに気づかず、悪意のあるパッケージがインス トールされてしまう可能性があります。

2023年6月、研究者たちは、45,000回以上もダウン ロードされた160以上の悪意のあるPythonパッケージ を含むキャンペーンを発見しました。脅威アクターは有名 なパッケージに類似したPythonパッケージをアップロード していました。その中には「reaquests」と呼ばれる悪意 のあるパッケージがあり、何百万人ものユーザーがHTTP リクエスト操作に広く使用しているPythonパッケージ 「requests」を模倣するように設計されていました。

オープンソースのライブラリやパッケージを使用すると、セキュ リティ上の懸念が生じ、脅威アクターに悪用される可能 性がある場合があります。また、オープンソースライブラリの 性質上、誰でも自分のコードを投稿およびアップロードで きるため、共有コードの追跡と検証が困難になります。そ の代表的な例がPyPI（Python Package Index）で、 これはPythonプログラミング言語のソフトウェアパッケージ のメインリポジトリです。これらの脅威を軽減するための最 近の試みにおいても、PyPIは、パッケージのセキュリティを 確保するためにはユーザーレポートに大きく依存します。 多くの場合、それらが報告されて削除されるまでに、悪意 のあるパッケージのダウンロードがすでに数百回実行され ている可能性があります。

オープンソースコードを自分のコードに追加する前に、その コードの整合性をチェックするプログラマーはほとんどいな いのが現状です。他の人が書いたコードのフローを理解す ることは困難であり、数千行もあるコードであればなおさ らです。通常、多くのプログラマーはコードに内在する可能 性のあるセキュリティリスクをすべて認識しているわけでは ないため、コードを確認したとしても、悪意のある作成物 を見逃してしまう場合があります。

これらの悪意のあるコンポーネントは、標的ネットワークに 感染し、パスワードやクレジットカード情報などの機密情 報を盗んで流出させたり、追加のマルウェアコンポーネント をダウンロードさせたりする可能性があります。

第 3章

https://cyble.com/blog/over-45-thousand-users-fell-victim-to-malicious-pypi-packages/ https://blog.pypi.org/posts/2023-06-22-malware-detection-project/

43チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

最近のMacコンピュータに対する攻撃では、脅威アクターは 暗号ライブラリのCobo Custody Restfulの悪意のあるバー ジョンを作成し、マルウェアを展開しました。悪意のあるバージョ ンは正規のバージョンと同じ名前で、PyPIレジストリに保存さ れていました。脅威アクターは、このパッケージがPyPIレジスト リを介した公式のディストリビューションがなく、GitHubを介し てのみ配布されているという事実を利用しました。インストール 先が明示的に指定されていない場合、pipインストールマネー ジャーは、正規のGitHubバージョンよりも悪意のあるPyPI バージョンを優先します。

悪用されるのはパッケージ管理プラットフォームだけではありま せん。脅威アクターは、GitHubなどのオープンソースコードをホ ストする既存の正規アカウントを操り、正規のパッケージに悪 意のあるコードを追加しようとします。この手法は、研究者た ちが、毎週350万回以上ダウンロードされている人気のNPM パッケージを、パッケージメンテナーの1人に関連付けられた期 限切れのドメイン名を取得して乗っ取るという実演を行うこと によって実証されました。復元されたドメインにより、GitHubの パスワードをリセットすることが可能となり、トロイの木馬化され たバージョンのNPMパッケージを公開することもできました。

Pythonライブラリだけでなく、オープンソースコード共有を 使用するすべてのリポジトリが標的となります。.NETライ ブラリ用のオープンソースパッケージマネージャーおよびソフ トウェア配布システムであるNuGetリポジトリは、大規模 なタイポスクワッティングキャンペーンを仕掛けるために使用 されました。この詐欺パッケージはNuGetリポジトリから削 除されるまでに、1か月で15万回以上ダウンロードされま した。この悪意のあるパッケージには、インストール時に実 行され、第2段階のペイロードのダウンロードをトリガーする PowerShellスクリプトが含まれていました。最後のペイ ロードは、暗号通貨交換プラットフォームのユーザー資格 情報を盗む「Impala Stealer」と呼ばれるカスタムクリプト スティーラーでした。

サイバー犯罪者は、タイポを悪用して悪意のあるパッケー ジを配信するだけではありません。パッケージブランドジャッ キングという手法では、ユーザーを騙してダウンロードさせる ために、脅威アクターは正規のパッケージと同じ名前の悪 意のあるパッケージを作成します。

第 3章

https://blog.sonatype.com/top-8-malicious-attacks-recently-found-on-pypi https://blog.illustria.io/illustria-discovers-account-takeover-vulnerability-in-a-popular-package-affecting-1000-8aaaf61ebfc4 https://jfrog.com/blog/attackers-are-starting-to-target-net-developers-with-malicious-code-nuget-packages/

44チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

図 2：アンダーグラウンド フォーラムで配布されている PyPI マルウェア

パッケージをアップロードし、依存関係の混乱を引き起こ したことから始まりました。この攻撃により、数千台のマシ ンが影響を受け、情報が漏えいしました。

悪意のあるオープンソースパッケージは、執拗な脅威アク ターや、特定の国家が支援するアクターの両方によって使 用されています。後述の攻撃は、悪名高い北朝鮮のグ ループLazarusに起因するものでした。2023年8月、こ のグループはいくつかの悪意のあるパッケージをPyPIリポ ジトリにアップロードしました。同グループはパッケージの1つ を「vConnector」という名前のVMware vSphereコネ クターモジュールとしてカモフラージュしました。別のパッケー ジでは、魅力的なASCII形式でテーブルを印刷するため の人気のPythonツールである「prettytable」を模倣しま した。正規パッケージの「prettytable」は月間900万回 以上ダウンロードされていますが、悪意のあるバージョン 「tablediter」は736回ダウンロードされています。

パッケージのブランドジャッキングとは対照的に、依存関係 の混乱攻撃は、ユーザーではなくパッケージマネージャーを 騙します。脅威アクターは、多くのパッケージマネージャーが ソフトウェア構築プロセス中に依存関係をダウンロードす る方法の脆弱性を悪用します。攻撃者は、パブリックリポ ジトリ上の有名なパッケージと同じ名前のパッケージを公 開しますが、元のパッケージはプライベートリポジトリにあり ます。これにより、ソフトウェアインストーラースクリプトが悪意 のあるコードファイルを取得するように仕向けます。2023 年4月の調査レポートでは、すべての組織の49%がこの攻 撃ベクトルに対して脆弱であると結論付けています。

今年初め、セキュリティ研究者は、Meta Platformsが開 発し、広く使用されている機械学習フレームワークである PyTorchが侵害されていることを発見しました。この攻撃 は、ある脅威アクターがPyPIリポジトリに、正規のパッケー ジと同じ名前でバージョン番号だけが大きい悪意のある

第 3章

https://www.reversinglabs.com/blog/vmconnect-supply-chain-campaign-continues https://orca.security/resources/blog/dependency-confusion-supply-chain-attacks/ https://blog.aquasec.com/pytorch-dependency-confusion-administered-malware

45チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

オープンソースソフトウェアの利点は否定できませんが、タ イポスクワッティング、ブランドジャッキング、依存関係の混 乱などの攻撃の増加により、これらのプラットフォームの限 界が明らかになってきました。PyPi、NPM、NuGetなどの パッケージ管理プラットフォームは、簡単に利用できること と引き換えに、強化されたセキュリティプロトコルと徹底的 なコードレビューの実践が絶対に必要になります。開発 者は、こうした悪意のある侵入の影響からエンドユーザー を保護するために、セキュリティを最優先に考える必要が あります。

さらに、チェック・ポイントの研究者は、ロシア語のアンダーグ ラウンド フォーラムで、PyPIレジストリに合わせて調整され たマルウェアの配布に注目しました。これは、攻撃者が事 前の警告なしに悪意のある攻撃を簡単に開始できるよ うになっています。

オープンソースソフトウェアリポジトリでの悪意のあるパッ ケージの蔓延は懸念が高まっており、開発者とユーザーの 両方から高い注意力と事前の対策が求められています。

PyPiやNPMなどのソフトウェアリポジトリは悪意 のある攻撃の急増に直面しており、2023年の 第1四半期だけで6,800件の攻撃が確認され ています。

これらの脅威には、タイポスクワッティング、ブランド ジャッキング、依存関係の混乱などが含まれてお り、ユーザーを保護するためにセキュリティとコード レビューを強化する重要性が増しています。

ORI ABRAMOVSKY 氏 チェック・ポイント・ソフトウェア・テクノロジーズ

データ サイエンス担当責任者

第 3章

46チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

4 0

グローバル分析

第 4 章

47チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

グローバル

北中南米地域

地域別サイバー攻撃カテゴリ

図 3：2023 年にグローバルで各マルウェア タイプの攻撃を受けた企業の割合

図 4：2023 年に北中南米地域で各マルウェア タイプの攻撃を受けた企業の割合

MULTIPURPOSE MALWARE

INFOSTEALERS

RANSOMWARE

CRYPTOMINERS

MOBILE

31%

12%

10%

9%

6%

MULTIPURPOSE MALWARE

INFOSTEALERS

RANSOMWARE

CRYPTOMINERS

MOBILE

27%

9%

9%

8%

7%

第 4章

48チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

地域別サイバー攻撃カテゴリ

欧州・中東・アフリカ地域（英語）

アジア太平洋地域

図 5：2023 年に EMEA で攻撃された各マルウェア タイプ別企業ネットワークの割合

図 6：2023 年に APAC で攻撃された各マルウェア タイプ別企業ネットワークの割合

MULTIPURPOSE MALWARE

INFOSTEALERS

RANSOMWARE

CRYPTOMINERS

MOBILE

32%

12%

10%

8%

5%

MULTIPURPOSE MALWARE

INFOSTEALERS

CRYPTOMINERS

RANSOMWARE

MOBILE

35%

15%

13%

11%

8%

第 4章

49チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

グローバルな脅威インデックスマップ

図 7：グローバルな脅威インデックス マップ

マップはグローバルなサイバー脅威のリスク インデックスを表示したもので、世界中の主なリ スクを示しています。*

* 濃い = リスクが高い * グレー = データが不十分

第 4章

50チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Education / Research

Government / Military

Healthcare

Communications

ISP / MSP

Finance / Banking

Utilities

Retail / Wholesale

Leisure / Hospitality

Manufacturing

Consultant

SI / VAR / Distributor

Transportation

Insurance / Legal

Software Vendor

Hardware Vendor

2046 (-12%) 1598

1500 1493

1286 1162

1111 1062

956 919

837 802

748 740

652 506

(-4%)

(+3%)

(+8%)

(-6%)

(+3%)

(+1%)

(+22%)

(+1%)

(-3%)

(+21%)

(-11%)

(-0.3%)

(-23%)

(-13%)

(+13%)

図 8：2023 年の業界別組織ごとの攻撃の週次平均 [2022 年からの変化率]

教育、政府、および医療分野は、依然としてサイバー攻撃の主な標的であり続けています。ここ数年、意識が向上したこと と影響の大きい攻撃が多数発生したことにより、教育分野のセキュリティプロトコルが大幅に改善され、この分野に対する 攻撃は最近わずかに減少したように見えます。しかし、平均的な教育機関では、週に2,000件以上の攻撃に見舞われて います。一部の攻撃は、ジョンズホプキンス大学やジョージア大学システムなどへの大規模なキャンペーンの一部で、MOVEit マネージドファイル転送ソフトウェアを介したCL0Pランサムウェアによって侵害されました。

第 4章

https://edscoop.com/universities-moveit-cyberattack/

51チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

学校は、そのシステム内に膨大な量の機密性の高い個人情報がある一方、サイバーセキュリティへの投資レベルが低いた め、サイバー攻撃に対して特に脆弱です。小売業、卸売業、製造業、金融機関などの民間部門は、公的部門のグループよ りも身代金の要求を黙諾する可能性が高く、前年よりも標的が増加しています。こうした機関へのアクセス権は、多くの場 合、闇市場で取引されます。

2023年には、サイバーセキュリティ環境において、さまざまな分野でランサムウェア攻撃の憂慮すべき急増が見られました。現 在、ランサムウェア攻撃は、チェック・ポイントのセンサーによって検出されるすべてのマルウェアタイプの10%を占めています。この 傾向は、CPIRT（Check Point Incident Response Team）のデータとランサムウェア「恥ずべきサイト」の被害者の投 稿によってさらに浮き彫りにされています。CPIRTのデータによると、同社が扱ったインシデントのほぼ半数はランサムウェアに 関係しており、報告されたランサムウェア被害件数は5,000件近くに達していて、2022年に報告された2,600件から大幅 に増加しています。

図 9：小売会社へのアクセス権を販売するアンダーグラウンド フォーラムへの投稿

第 4章

https://www.forbes.com/sites/frederickhess/2023/09/20/the-top-target-for-ransomware-its-now-k-12-schools

52チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

図 10：配信プロトコル—E メールと Web の攻撃経路の比較（2018 ～ 2022 年）

EMAIL WEB

2019

64%

36%

2018

33%

67%

2020

83%

17%

2021

84%

16%

2022

86%

14%

2023

88%

12%

第 4章

53チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

悪意のあるファイルタイプ — ウェブとEメールの比較

図 11：Web—悪意のあるファイル タイプ ランキング 2023 年版

図 12：E メール—悪意のあるファイル タイプ ランキング 2023 年版

ex e sh pd

f py dl l

jar m si ps

1 do

c* vb s

56%

15%

8% 7% 4%

2% 1% 1% 1% 1%

ht m

l pd

f ex

e ln

k do

c* js xls * jar rt

f m

si

69%

20%

3% 2% 1% 1% 1% 1% 1% 0.1%

xls* には、.xls、.xlsx、.xlsm などの一般的な Office Excel ファイルが含まれます doc* には、.doc、.docx、docm、.dot などの一般的な Office Word ファイルが含まれます

第 4章

54チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

ra r

zip 7 z gz im

g z ca

b iso ar j xz

35%

25%

9% 8%

5% 4% 3% 2% 2% 2%

図 13：2023 年に E メールで配信された悪意のあるアーカイブ ファイル形式

電子メールベースの攻撃は、依然として主要な初期感染経路です。悪意のあるファイル配信の88%は電子メールで行わ れ、残りはインターネットから直接ダウンロードされます。脅威アクターはメール保護戦略に適応しながら、革新的な配信技 術を追求しています。Mark-of-the-Web（MotW）で示される外部ソースからのファイルの中のOffice VBAマクロに対し てMicrosoftが制限をかけたことにより、悪意のあるOfficeファイルの蔓延は、2022年に約50%だったものが2023年には 2%に急減しました。一方、その代わりの攻撃経路として、HTMLファイルやさまざまなアーカイブファイル形式が狙われるよう になってきています。特に、HTMLファイルの悪用が大幅に増加しました。すべての悪意のある添付ファイルの69%をHTML ファイルが占めています。

脅威アクターは、いくつかの方法でHTMLファイルを使用します。これらは、正規のWebサイトのログインページを模倣し、ユー ザーの資格情報を盗むフィッシングスキームで使用されます。また、悪意のあるJavaScriptや、パッチが適用されていないブ ラウザやブラウザプラグインの悪用が含まれている可能性があります。最近のCP<R>の調査で実証されているように、これ らの戦術は低レベルの犯罪者に限定されるものではなく、高度なAPTアクターによっても利用されています。HTMLのその 他の用途には、HTML（（（、実行可能ファイルの自動ダウンロード、他の悪意のあるURLへのリダイレクトなどがあります。電 子メールで配信されるHTMLが正規のものであることはあまりないため、組織は制限の実装を検討することが推奨されま す。

第 4章

https://learn.microsoft.com/en-us/deployoffice/security/internet-macros-blocked https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://attack.mitre.org/techniques/T1027/006/

55チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

さまざまなアーカイブファイルの悪用も増加しています。パスワードで保護されたアーカイブのコンテンツは、多くのセキュリティ サービスから隠されるため、絶好の攻撃経路となります。.imgや.isoのような他の形式は、それらの抽出に使用されるソフト ウェアにより、MotW機能を有効活用して悪意のある試みを防いでいます。Microsoftはこの機能を修正しましたが、7-zip のような他のプロバイダーはオプトインポリシーを採用しているため、MotW保護メカニズムの有効性が低下しています。

悪意のある.pyファイルの検出の増加は、Webで配信される最も一般的な悪意のあるファイル形式のリストで4番目にランク されており、悪意のあるコードパッケージの使用が増加していることを物語っています。この傾向については、別のセクションで 詳しく説明します。悪意のある電子メールの添付ファイルとして実行可能ファイルの使用は減少を続けており、2022年には 26%であったものが、翌年には3%にまで急減しています。これは、企業のポリシー制限、GoogleやMicrosoftなどの一般的 な電子メールサービスプロバイダーのセキュリティメカニズム統合、ユーザー意識の向上などが要因として挙げられます。

第 4章

https://blog.checkpoint.com/product-updates/password-protected-attachments-default-verdict/ https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-windows-zero-day-bug-exploited-to-push-malware/ https://www.bleepingcomputer.com/news/microsoft/7-zip-now-supports-windows-mark-of-the-web-security-feature/

56チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

図 14：グローバルで最も検出されたマルウェア—2023 年

図 15：北中南米地域で最も検出されたマルウェア—2023 年

Fa ke

Up da

te s

Qb ot

Ag en

tT es

la

Fo rm

Bo ok

Cl ou

dE yE

XM Ri

g

Em ot

et

Na no

co re

Lo kiB

ot

Re m

co s

11%

9% 8%

7%

5% 4% 4% 4% 4%

3%

グローバル

Fa ke

Up da

te s

Qb ot

Ag en

tT es

la

Fo rm

Bo ok

Em ot

et

Cl ou

dE yE

XM Ri

g

Na no

co re

NJ Ra

t

Re m

co s

10%

8%

4% 4%

3% 3% 3% 3% 3%

2%

北中南米地域

主要なマルウェアファミリー

グローバルなマルウェア統計 以下のセクションで紹介されているデータ比較は、2023年1月から12月にかけてCheck Point Threat Cloudから抽出した データに基づいています。

以下では、2023年に最も蔓延したマルウェアと、各マルウェアファミリーの影響を受けた企業ネットワークの割合を地域ごとに 示しています。

第 4章

C:\Users\yoavara\Desktop\Annual Report 2024\Data\threatmap.checkpoint.com

57チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

図 16：EMEA で最も検出されたマルウェア—2023 年

ヨーロッパ、中東およびアフリカ（EMEA）

図 17：APAC で最も検出されたマルウェア—2023 年

アジア太平洋（APAC）

Fa ke

Up da

te s

Qb ot

Fo rm

Bo ok

Ag en

tT es

la

Cl ou

dE yE

Na no

co re

Em ot

et

Lo kiB

ot

XM Ri

g

Re m

co s

11%

9% 9% 8%

6% 5%

4% 4% 4% 4%

Ag en

tT es

la

Fa ke

Up da

te s

Fo rm

Bo ok

Qb ot

XM Ri

g

Cl ou

dE yE

Lo kiB

ot

NJ Ra

t

Re m

co s

Na no

co re

12% 12%

9% 9%

7% 7% 6%

5% 5% 5%

第 4章

58チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

上位マルウェアのグローバル分析

チェック・ポイントが2023年に世界で最も蔓延したマルウェアのリストのトップに挙げているのは、FakeUpdatesと呼ばれるス キームです。これはSocGholishとも呼ばれ、侵害されたWebサイトのネットワークに依存して、ユーザーを偽のソフトウェアや ブラウザの更新にリダイレクトします。次に、これらの偽の更新は、ユーザーを騙して、最初のアクセスポイントとして機能する JavaScriptダウンローダーをダウンロードさせて実行させ、GootLoader、NetSupport、DoppelPaymerなどの他のマル ウェアを介したさらなる侵害を可能にします。侵害されたWebサイトのネットワークは、初期アクセスブローカー（IAB）として 暗躍する執拗な脅威アクターであるTA569にリンクされます。

TA569は、Pay-Per-Install（PPI）価格モデルでマルウェア被害者への初期アクセス権を他のサイバー犯罪者に販売し、そ れを購入したサイバー犯罪者が、侵害されたシステムを利用してランサムウェアを展開していると見られています。感染チェーン は、フィッシングメールに誘われたか、直接アクセスしたかに関わらず、侵害されたWebサイトに被害者がアクセスしたときに始ま ります。そのような侵害されたWebサイト上で、被害者は偽のブラウザ更新リクエスト、偽のキャプチャパズル、偽のセキュリティソ フトウェア更新に遭遇し、知らないうちにマルウェア感染に加担してしまう可能性があります。

Qbot（QakBotまたはPinkslipBotとも呼ばれる）は、当社のリストの2位にランクしています。2008年に初めて発見された Qbotは、バンキング型トロイの木馬であるWindowsマルウェアです。多くのアップデートや進化を経て、現在では最も有名で 最も長期間蔓延しているマルウェアドロッパーの1つとなっています。実際、Qbotはデータ窃盗や恐喝の面で多大な被害を もたらしており、2023年8月にはFBIと司法省が国際キャンペーンを開始して、このボットネットを解体し、感染したサーバーか ら削除して800万ドル以上の不正な利益を押収しました。しかし同年12月には新たなフィッシングキャンペーンでQbotが確 認されました。

Emotetは、チェック・ポイントの「最も流行しているマルウェア」のリストに長い間ランクしています。見つけにくいEmotetは、世 界全体の企業ネットワークの4%が感染しており、そのほとんどが今年の第1四半期に発生しています。Emotetは、2021年 11月に欧州刑事警察機構（Europol）主導の世界的な取り組みによって駆除されましたが、2022年にはサイバー犯罪 グループMealybug（またはTA542）に再利用されて復活を遂げ、複数のスパムキャンペーンと長期間の沈黙期間を交互 に繰り返しています。

ダウンロードしたドキュメントでのVBAマクロの悪用（Emotetのキャンペーンで使用された主な方法）をMicrosoftが制限し た後、Mealybugは別の感染方法を模索し続けました。2023年、Mealybugがさまざまな手法を試していることが確認 されましたが、3月にはキャンペーンでVBScriptに埋め込まれたOneNoteファイルの使用が開始されました。被害者がこの ファイルをダウンロードすると、［View］ボタンをクリックしてドキュメントの内容を確認するように誘導され、結果的にEmotet DLLがダウンロードされます。このキャンペーンは、米国の納税シーズンの締め切りに合わせて仕掛けられました。

第 4章

https://www.rapid7.com/blog/post/2023/08/31/fake-update-utilizes-new-idat-loader-to-execute-stealc-and-lumma-infostealers/ https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond https://research.checkpoint.com/2020/exploring-qbots-latest-attack-methods/ https://blog.checkpoint.com/security/check-point-shares-analysis-of-qakbot-malware-group/ https://twitter.com/MsftSecIntel/status/1735856754427047985 https://twitter.com/MsftSecIntel/status/1735856754427047985 https://www.europol.europa.eu/media-press/newsroom/news/world%E2%80%99s-most-dangerous-malware-emotet-disrupted-through-global-action https://www.welivesecurity.com/2023/07/06/whats-up-with-emotet/

第 4章

59チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

23%

19%

8%4% 3%

23%

19%

9%5%4% 3%

21%

17%

8%4%

44%

FakeUpdates Qbot Emotet Ursnif Mirai Phorpiex Other

FakeUpdates Qbot Ramnit Emotet DarkGate Phorpiex Other

3% 3%

17%

13%

6% 6%

5%

48%

3%

FakeUpdates Qbot Emotet Mirai Ursnif Ramnit Other

FakeUpdates Qbot Emotet Mirai Glupteba Raspberry Robin Other

40%

38%

5%

図 18：グローバルで最も検出された多目的マルウェア—2023 年

図 20：EMEA で最も検出された多目的マルウェア—2023 年

グローバル

図 19：北中南米地域で最も検出された多目的マルウェア—2023 年

図 21：APAC で最も検出された多目的マルウェア—2023 年

北中南米地域

ヨーロッパ、中東およびアフリカ（EMEA） アジア太平洋（APAC）

最も検出された多目的型マルウェア

60チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

多目的マルウェアのグローバル分析

当社の前回のレポートと同様に、バンキング型トロイの木馬とボットネットという2つのマルウェアカテゴリを統合し、その代わりに 「多目的型マルウェア」と呼ばれる新しい統合カテゴリを導入しました。この変更は、多くのバンキング型トロイの木馬の追加機 能獲得と進化を反映しています。

前のセクションで説明したFakeUpdates、Qbot、Emotetに加えて、Delphiで開発されたWindows RATであるDarkGate も勢力を拡大しており、APAC地域のエンティティを標的としたキャンペーンで特に目立っています。2023年後半、DarkGate はセキュリティシステムの検出を回避する能力で悪名を馳せました。EmotetやQbotが独自の感染キャンペーンを実施し、そ の後アクセス権や感染経路を販売するのに対し、DarkGateはMalware-as-a-Service（MaaS）モデルを使った、より直 接的な販売戦略を採用しました。DarkGateはアンダーグラウンドフォーラムで一部の選ばれた顧客グループに直接宣伝さ れ、その新機能と他にはない可用性が強調されました。DarkGateを配信するキャンペーンは、さまざまな攻撃者によって実 施され、フィッシングやTeamsメッセージなどの手法が取られています。

図 22：2023 年における DarkGate の価格とアンダーグラウンド フォーラムでの提供

第 4章

https://blog.sekoia.io/darkgate-internals/ https://www.kroll.com/en/insights/publications/cyber/microsoft-teams-used-as-initial-access-for-darkgate-malware https://www.kroll.com/en/insights/publications/cyber/microsoft-teams-used-as-initial-access-for-darkgate-malware https://www.trellix.com/about/newsroom/stories/research/the-continued-evolution-of-the-darkgate-malware-as-a-service/ https://www.kroll.com/en/insights/publications/cyber/microsoft-teams-used-as-initial-access-for-darkgate-malware

61チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

20%

19%

8% 5%

4%

21%

19%

19%

10%

4% 3%

20%

19%

10%5%

37%

FormBook AgentTesla LokiBot Vidar Raccoon Ramnit Other

AgentTesla FormBook LokiBot Ramnit Raccoon Vidar Other

5%5%

22%

16%

11%8% 6%

33%

4%

AgentTesla FormBook LokiBot Raccoon Ramnit Vidar Other

AgentTesla FormBook LokiBot Vidar Raccoon Ramnit Other

40%

23%

4%

図 23：グローバルにおけるインフォスティーラ系マルウェア ランキング—2023 年

図 25：EMEA におけるインフォスティーラ系マルウェア ランキング—2023 年

図 24：北中南米地域におけるインフォスティーラ系マルウェア ランキング—2023 年

図 26：APAC におけるインフォスティーラ系マルウェア ランキング—2023 年

グローバル 北中南米地域

ヨーロッパ、中東およびアフリカ（EMEA） アジア太平洋（APAC）

インフォスティーラー系マルウェアランキング

第 4章

62チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

インフォスティーラー系マルウェアのグローバル分析

インフォスティーラー系マルウェア市場は、主にMalware-as-a-Service（MaaS）モデルが使われており、複数の重要プレイ ヤーが関与しています。このエコシステムの中心となるのは、マルウェアとその運用インフラストラクチャの両方の開発と保守を担っ ているMaaSプロバイダーです。インフォスティーラーのオペレーターは、マルウェアをレンタルまたは購入し、被害者のプラットフォーム に対するサイバー攻撃キャンペーンでマルウェアを展開します。アンダーグラウンドマーケットプレイスは、これらのキャンペーンから収 集されたデータを取引するための重要な場所になっています。

過去1年間、このエコシステムにはほとんど変化がなく、AgentTesla、FormBook、LokiBotなどのマルウェアが依然として蔓延 しています。これらのインフォスティーラーのアクセスのしやすさは、アンダーグラウンドフォーラムでの価格設定からも明らかであり、 月額60ドルから1,000ドルの範囲のサブスクリプションで提供されています。この段階的な価格体系は、初心者から熟練のハッ カーまで、幅広い脅威アクターに対応しています。さらに、購入したデータを利用してネットワークに侵入する初期アクセスブロー カーが存在し、ランサムウェアの大規模な悪用がしばしば見られます。

AgentTeslaは、2014年に初めて確認された、キーロギング機能を備えたMaaSであり、CP<R>によって一般的に検出される インフォスティーラーの1つです。現在のバージョンは、Webブラウザ、VPNソフトウェア、FTPサービス、電子メールクライアントなど、複 数のアプリケーションから資格情報を盗むように強化されています。AgentTeslaには、認証情報の窃取以外にも、システム情 報の収集、マルウェア対策プロセスの無効化、クリップボードの内容のキャプチャなどの機能があります。AgentTeslaは、システム レジストリや構成ファイルから認証情報を抽出することに長けており、窃取したデータをコマンド&コントロール（C&C）サーバーに 送信します。特に、このマルウェアは低コストのサブスクリプションモデルがアンダーグラウンドフォーラムで販売されているため、技術 的な専門知識にそれほど精通していないサイバー犯罪者でも容易にアクセスできます。

第 4章

https://www.fortinet.com/blog/threat-research/agent-tesla-variant-spread-by-crafted-excel-document

63チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

75%

11% 1%

1%

69%8%

5% 2%

1%

65%8%

8%

3%

XMRig RubyMiner LemonDuck Lucifer Wannamine Other

XMRig LemonDuck Lucifer Wannamine RubyMiner Other

4%

4%

55%

13%

9%

7%

10%

12%

XMRig RubyMiner LemonDuck Lucifer Wannamine Other

XMRig RubyMiner LemonDuck Wannamine Lucifer Other

6%

16% 6%

図 27：グローバルにおけるクリプトマイニング マルウェア ランキング—2023 年

図 29：EMEA におけるクリプトマイニング マルウェア ランキング—2023 年

図 28：北中南米地域におけるクリプトマイニング マルウェア ランキング—2023 年

図 30：APAC におけるクリプトマイニング マルウェア ランキング—2023 年

グローバル 北中南米地域

ヨーロッパ、中東およびアフリカ（EMEA） アジア太平洋（APAC）

最も検出されたクリプトマイニングマルウェア

第 4章

64チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

クリプトマイナーズ・グローバル分析

2023年は、Bitcoinのレートがピークだった2021年のレベルまで回復しなかったことと、マイニングの難易度が上昇の一途を たどったことにより、違法クリプトマイニングは減少が見られました。クリプトマイニングの被害を受けたグローバル組織の割合 は、2022年に16%だったのが2023年には9%まで下がりました。一方、GPU（グラフィックスプロセッシングユニット）の価格の 上昇に伴い、一部の脅威アクターは現在、特にグラフィックデザイナーやエンジニアリングプラットフォームを標的とし、強化され たGPU機能をマイナーとして狙っています。Moneroは依然としてマイニングで利益を上げるのに有効であり、その一般的な オープンソースマイニングツールであるXMRigは、2023年のクリプトマイニング攻撃の65%で使用されました。クリプトマイナー の中には、LemonDuckのように、暗号通貨のマイニングという中核機能を超えた多面的な脅威へと変貌を遂げるものも あります。さらに、StripedFlyマルウェアのように、クリプトマイニング活動がより複雑なスパイ活動の隠れ蓑になっている場合 もあります。

クラウドインフラストラクチャは、クリプトマイニングの標的であり続けています。10月には、数年にわたりセキュリティ保護が不十 分なIAMキーを悪用してクラウド環境にアクセスし、Moneroマイナーを展開した活動が、研究者によって報告されました。多 くの場合、脅威アクターにクリプトマイナーのインストールを許してしまうのと同じアクセス権が、後から追加の悪用や侵害に利 用されます。そのため、クリプトマイナーの存在は、より広範なセキュリティ問題の前兆となる可能性があります。

第 4章

https://www.coinwarz.com/mining/bitcoin https://blog.talosintelligence.com/cybercriminals-target-graphic-designers-with-gpu-miners/ https://www.coinwarz.com/mining/monero https://www.microsoft.com/en-us/security/blog/2021/07/22/when-coin-miners-evolve-part-1-exposing-lemonduck-and-lemoncat-modern-mining-malware-infrastructure/ https://securelist.com/stripedfly-perennially-flying-under-the-radar/110903/ https://unit42.paloaltonetworks.com/malicious-operations-of-exposed-iam-keys-cryptojacking/

65チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

26%

9% 11% 3%

22%

5%4%

8%

7%

16%

4% 8%

9%

Anubis AhMyth Hiddad Hydra Joker Cerberus Other

AhMyth Joker Anubis Hiddad Cerberus Hydra Other

5%8%

17%

2%

6% 3% 12%

13%Anubis AhMyth Pandora Joker Hiddad Hydra Other

Pandora AhMyth Anubis Hiddad Joker Cerberus Other

12%

8% 38%

42% 34%

46%

21%

図 31：グローバルにおけるモバイル マルウェア ランキング—2023 年

図 33：EMEA におけるモバイル マルウェア ランキング—2023 年

図 32：北中南米地域におけるモバイル マルウェア ランキング—2023 年

図 34：APAC におけるモバイル マルウェア ランキング—2023 年

グローバル 北中南米地域

ヨーロッパ、中東およびアフリカ（EMEA） アジア太平洋（APAC）

モバイルマルウェアランキング

第 4章

66チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

モバイルマルウェアのグローバル分析

私たちの日常生活になくてはならなくなったモバイルデバイスには、多くの貴重なデータが収められているため、サイバー攻撃の標 的の1つになっています。こうしたデバイスは、個人情報や財務情報が保存されるだけでなく、しばしば位置追跡、音声記録、画 像キャプチャの機能までを備えているため、強力な監視ツールとしても機能してしまう可能性があります。

AhMyth Android Remote Access Trojan（RAT）は、GitHub上で自由に利用できるオープンソースのマルウェアで、攻撃 キャンペーンの基盤としてよく使用されています。当然のことながら、このマルウェアはチェック・ポイントのモバイル マルウェアチャー トの上位にランクしています。このマルウェアの亜種であるAhRatは、Google Playストアで5万回以上ダウンロードされている 「iRecorder—Screen Recorder」という武器化されたアプリに潜んでいるのが発見されました。

このアプリケーションの「クリーンな」バージョンは2021年からAndroidで提供されていますが、何者かにより悪意のある特性が後 から追加されました。その悪意のあるアップデートでは、iRecorderの主要機能である画面キャプチャ機能に加え、録音および データ流出機能が施されており、保存したWebページ、画像、オーディオ、ビデオ、ドキュメント、アーカイブ形式などが盗み出され るおそれがあります。このスパイウェアの機能は、モバイルマルウェアの世界では珍しくないサイバースパイ活動に関わっている可能 性があります。こうした例には、パキスタンのウルドゥー語話者に狙いを定めて特別に設計されたKamran Androidマルウェア や、中国系APTグループが使用するBadBazaar Androidスパイウェアなどがあります。

当然ながら、これらのタイプのマルウェアは、サイバー犯罪者によって金銭的利益のために悪用されることもよくあります。たとえば、 新たに登場したAndroidのバンキング型トロイの木馬であるChameleonは、オーストラリアとヨーロッパのユーザーのモバイルバン キングおよび暗号通貨アプリケーションを標的としています。インドでも同様のキャンペーンが見られ、銀行や行政サービスになり すました悪意のあるアプリがソーシャルメディア プラットフォームを介して配布されました。Androidエコシステム内では、ランサムウェ アも新たに猛威を振るい始め、SpyLoanアプリケーションはGoogle Playストアを通じてアジア、アフリカ、南米の1,200万人以 上のユーザーに拡散されました。このマルウェアは、被害者のモバイルデバイスから個人データや財務データを収集し、それを使用 して嫌がらせや恐喝を行い、送金を強要しました。

第 4章

https://github.com/AhMyth/AhMyth-Android-RAT https://www.welivesecurity.com/2023/05/23/android-app-breaking-bad-legitimate-screen-recording-file-exfiltration/ https://www.welivesecurity.com/en/eset-research/unlucky-kamran-android-malware-spying-urdu-speaking-residents-gilgit-baltistan/ https://www.welivesecurity.com/en/eset-research/badbazaar-espionage-tool-targets-android-users-trojanized-signal-telegram-apps/ https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action https://www.microsoft.com/en-us/security/blog/2023/11/20/social-engineering-attacks-lure-indian-users-to-install-android-banking-trojans/ https://www.welivesecurity.com/en/eset-research/beware-predatory-fintech-loan-sharks-use-android-apps-reach-new-depths/

第 4章

67チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

図35：2023年に恥ずべきサイトに関して報告された、被害者数別の最も活動的なランサムウェア攻撃者

二重恐喝ランサムウェア攻撃者のランキング

2023年には、合計68の活動的なランサムウェアグループ が、5,000件を超える被害者のシステムに侵入し、公然 と恐喝を行ったと報告されました。こうしたケースは、過 去数年間に比べて大幅に増加しています。2023年が 進むにつれてランサムウェアイベントは激化し、上半期の 2,200件に比べ、下半期には2,800件以上の被害者 を記録しました。Lockbitはこの期間に最も活動的なマ ルウェアとして現れ、報告された1,050件以上のインシ デントのうち21%が被害を受けました。通常、脅威アク ターは身代金を用意させるために被害者に1～2週間 の猶予期間を与えます。身代金を支払った被害者は 公表されていないため、実際の被害者の数はもっと多 い可能性があることが示唆されています。

このセクションでは、二重恐喝ランサムウェアグループが 使用する約200のランサムウェアの「恥ずべきサイト」から 得られた情報を紹介しています。そのうち68サイトには 2023年以降の被害者の名前と情報が掲載されていま した。サイバー犯罪者はこうしたサイトを利用して、身代金 を直ちに支払わない被害者への圧力を強めます。これら の恥ずべきサイトからのデータには独自のバイアスがかかっ ていますが、現在企業にとって最大のリスクであるランサム ウェアエコシステムに関する貴重な洞察を提供します。以 下に示すデータは、2023年1月から12月までの期間に 収集されたものです。

ランサムウェア

21%

5% 5%

7%

6%

9%

Lockbit ALPHV CL0P Play 8base Bianlian Akira MalasLocker Noescape Blackbasta Other

34%

4% 3%

3% 3%

第 4章

68チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

USA

UK

Canada

Germany

Italy

France

Australia

Spain

Brazil

India

Russia

0 10 20 30 40 50

1%

2%

2%

2%

2%

3%

4%

4%

4%

7%

45%

CL0Pの活動は、このカウントでは過小評価されてい ます。6月上旬、CL0Pはゼロデイ脆弱性を悪用して MOVEitファイル転送ソフトウェアへのアクセスを可能に したため、2,600を超える組織の侵害につながりまし た。ほとんどの被害者の身元は恥ずべきサイトで公開 されていないため、上記のカウントには含まれていませ ん。CL0Pはまた、被害者からさらに金をゆすり取るため に別の方法も利用していました。CL0Pによる今年のゼ ロデイエクスプロイトにはGoAnywhereに対する攻撃も 含まれており、これについては本レポートの別のセクション で詳しく説明しています。

BlackCatとしても知られるALPHVは、2023年に440 件以上の被害者を標的とし、法執行活動の対象とな っていました。12月には、米国主導の作戦により、同グ ループのWebサイトが削除され、復号化ツールが公開さ れました。CISAによると、活動開始以来、同グループは 1,000件以上の被害者を危険にさらし、総額約3億ド ルもの身代金をかき集めています。同グループはその後、 犯罪活動を再開し、その存在感をダークウェブ上で高め ています。

図 36：恥ずべきサイトで報告された国別の被害者数—2023 年

https://www.theverge.com/23892245/moveit-cyberattacks-clop-ransomware-government-business https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html https://www.bleepingcomputer.com/news/security/clop-ransomware-claims-it-breached-130-orgs-using-goanywhere-zero-day/ https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-353a https://arstechnica.com/security/2023/12/alphv-ransomware-site-is-seized-by-the-fbi-then-its-unseized-and-so-on/

第 4章

69チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Manufacturing

Retail / Wholesale

Consultant

Healthcare

Education / Research

Software Vendor

Insurance / Legal

Finance / Banking

Transportation / Logistics

Government / Military

Leisure / Hospitality

Communications

ISP / MSP / IT

Energy / Utilities

0 5 10 15 20

22%

10%

9%

8%

7%

6%

6%

6%

5%

4%

3%

3%

3%

2%

できます。製造業と小売業が最も多くの被害者を出し ている一方、政府と教育機関は標的の階層の下位に 位置しています。2023年12月だけでも、Coca-Cola Singapore（DragonForce）、Nissan Motor Australia（Akira）、Kraft Heinz（Snatch）、Xerox （Inc ransom）などの著名な企業が、二重恐喝ランサ ムウェアグループの被害を受けたと主張しました（カッコ内 は企業を攻撃したランサムウェア名）。

前述の矛盾は、これらの業界の身代金要求に対する 考え方の違いから生じていると考えられます。教育機関 や政府機関は、身代金要求に応じることはあまりありま せん。こちらの分野は主に、恐喝ベースの攻撃よりも、個 人情報や技術情報を含むデータの悪用のために狙わ れます。

地理的分布で見ると、影響を受けた企業の45%が 米国に拠点を置いており、次いで英国が7%、カナダ、 ドイツ、イタリアがそれぞれ4%となっています。上の2023 年のチャートにロシアの被害者が存在するのは、主に MalasLockerとWerewolvesという2つの攻撃者に起 因している可能性があります。組織を狙った旧ソビエト連 邦からのサイバー攻撃は、まだ時折見られます。2023年 前半に活発化したMalasLockerは、従来のランサムウェ アの要求を慈善寄付の要求に置き換えるという大胆な アプローチを用いました。

ランサムウェア攻撃の影響を受ける業界分野を分析す る際、Check Point Threat Cloudのデータでは、主な 標的として教育、政府、医療分野が目立ちます。ただ し、ランサムウェアの被害者の状況を見ると、別の見方も

図 37：恥ずべきサイトで報告されたランサムウェア被害者の業種別分布—2023 年

https://socradar.io/dark-web-profile-malaslocker-ransomware/ https://thecyberexpress.com/werewolves-ransomware-group/

70チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

5 0

注目すべきグロー バルな脆弱性

第 5 章

71チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

以下の上位脆弱性リストは、チェック・ポイントの侵入防止システム（IPS）センサー ネットが収集したデータに基づき、2023 年 に CP<R> が観測した最も興味深い攻撃手法とエクスプロイトについて詳述しています。

PAPERCUT（CVE-2023-27350）

1億以上のユーザー基盤を持つ印刷管理ソフトウェアPaperCutに潜む、CVSSスコア9.8の重大なRCE（リモートコード実 行）脆弱性です。2023年3月にリリースされたパッチとともに開示されたこの脆弱性は、機密情報の漏洩やネットワーク全体 の侵害につながる可能性があります。この脆弱性は、発覚するやいなや、さまざまな悪意のある攻撃者によって悪用され、 LockbitやCL0Pランサムウェアなどが世に放たれました。また、特定の国家が支援するAPTグループにも付け込まれました。 チェック・ポイントのデータによると、2023年には9%の組織がこの脆弱性の影響を受けています。

MOVEIT（CVE-2023-34362）

この重大なSQLインジェクションの脆弱性は、MOVEit MFT（マネージドファイル転送ソフトウェア）に潜むもので、2023年に 最も多発したランサムウェアキャンペーンに利用されて世界の2,700以上の組織に影響を与えました。この脆弱性は、開示さ れる前にCL0Pランサムウェアグループによって悪用され、LEMURLOOTという名前のWebシェルの展開を後押しした後、 MOVEit Transferデータベースからデータを盗むために使用されました。被害者の多さとデータ量の多さから、CL0Pは恐喝 の手法を変更し、盗んだデータを暗号化してTorrentsで公開する代わりに、データ恐喝に依存するようになりました。チェック・ ポイントのデータによると、2023年には7%の組織がこの脆弱性の影響を受けています。

GOANYWHERE（CVE-2023-0669）

2023年2月に開示された、GoAnywhere MFT（マネージドファイル転送）ソフトウェアの重大なRCE脆弱性です。この欠陥 は、開示される前にCL0Pランサムウェア集団によって積極的に悪用され、130以上の組織で重大なデータ侵害を引き起こし ました。この事件は、ランサムウェアオペレーターがゼロデイ脆弱性を利用して攻撃を行う傾向が高まっていることを浮き彫りにし ています。チェック・ポイントのデータによると、2023年には2.5%の組織がこの脆弱性の影響を受けています。

第 5 章

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-131a https://www.trendmicro.com/en_us/research/23/d/update-now-papercut-vulnerability-cve-2023-27350-under-active-ex.html https://www.securityweek.com/microsoft-cl0p-ransomware-exploited-papercut-vulnerabilities-since-april-13/ https://twitter.com/MsftSecIntel/status/1654610012457648129 https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a https://cybernews.com/security/clop-publish-all-moveit-victim-ransom-data-clearweb/#google_vignette https://www.bleepingcomputer.com/news/security/fortra-shares-findings-on-goanywhere-mft-zero-day-attacks/#google_vignette

72チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

BARRACUDA（CVE-2023-2868）

Barracuda Email Security Gateway（ESG）アプライアンスで特定された重大なリモートコマンドインジェクション脆弱性 で、悪意のある添付ファイルを悪用します。この脆弱性は、2022年10月頃に中国系のAPTアクターによって積極的に使用さ れ、政府機関を中心に世界規模で組織に影響を与える攻撃的なキャンペーンが実行されました。パッチのリリースと封じ込 めの努力をあざ笑うかのように、攻撃者はマルウェアを変更し、追加の永続化メカニズムを採用することで、その手法を適応 させ、不正アクセスを続けました。結局、BarracudaとFBIの両者は、侵害されたESGデバイスを直ちに交換することを顧客に 推奨するしかありませんでした。

MICROSOFT OUTLOOK（CVE-2023-23397）

2023年3月に発見された、Microsoft Outlookの重大な権限昇格脆弱性で、CVSS評価は9.8です。攻撃者は特別に細 工された電子メールを介してユーザーの認証ハッシュを乗っ取ることができます。この脆弱性は、ロシア系のAPT28などのグルー プによって積極的に悪用されました。

CITRIXBLEED（CVE-2023-4966）

Citrix NetScalerプラットフォームのこの重大な脆弱性により、認証されていないリモートの攻撃者はセッショントークンを含む システムメモリデータを抽出できます。これらは、パスワードとMFA手順をバイパスして、正当なセッションを乗っ取るために使用さ れます。CitrixBleedは、その使いやすさと概念実証のエクスプロイトが利用できるため、LockBit、Medusa、Akiraなどの複数 のランサムウェアグループによって広範囲に悪用されました。

第 5 章

https://www.mandiant.com/resources/blog/barracuda-esg-exploited-globally https://www.barracuda.com/company/legal/esg-vulnerability https://www.microsoft.com/en-us/security/blog/2023/03/24/guidance-for-investigating-attacks-using-cve-2023-23397/ https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-325a https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-325a https://techcrunch.com/2023/11/14/citrix-bleed-critical-bug-ransomware-mass-cyberattacks/ https://www.techtarget.com/searchsecurity/news/366550138/Cisco-VPNs-under-attack-via-Akira-LockBit-ransomware

73チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

図38：2023年における脆弱性を利用した攻撃の公開年別の割合

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

Earlier

0 3 6 9 12 15

6%

14%

10%

7%

6%

10%

6%

6%

9%

8%

3%

14%

2023年には、サイバー脅威の状況に顕著な変化が見られ、新たに公開された脆弱性が攻撃者に急速に悪用されるようにな りました。データによると、2023年と2022年に報告された脆弱性は、悪用の試み全体のそれぞれ6%と14%の原因となっていま した。これは、最近の脆弱性がより深刻かつ悪用しやすく、他の脆弱性よりもはるかに早く脅威アクターによって採用され、武器 化されることを示しています。比較すると、2021年から2023年にかけて公開された比較的新しい脆弱性は悪用試行の30% 以上を占めており、2019年から2021年にかけて公開された脆弱性では、2021年に観察されたもののわずか17%のみが増加 しています。この傾向は、これまで見られた「ロングテール」の配布パターンで明らかなように、パッチが適用されていない古い脆弱性 を悪用することで、アップデートの遅延に依存していたこれまでの傾向とは一線を画しています。

第 5 章

74チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

TLD（トップレベルドメイン）による悪意の あるインフラストラクチャ

このセクションでは、チェック・ポイントのThreatCloud AIが2023年に観測した、最も頻繁に使用される悪意のあるトップレベ ルドメイン（TLD）に焦点を当てます。ドメインは、フィッシングサイトを偽装するために使用される場合でも、主要なボットネッ トのコマンドアンドコントロール（C&C）センターとして機能する場合でも、脅威アクターのインフラストラクチャの重要なコンポー ネントです。さまざまなTLDに関連する傾向を理解することで、防御側は潜在的なリスクを評価するための別のツールを手に 入れることができます。脅威アクターが特定のTLDを好むのには、なりすまそうとする標的組織、好みのドメインレジストラでそ のTLDが利用可能であること、またはTLDの取得に関連するコストなど、いくつかの要因が影響する可能性があります。

2022年初頭に始まった悪意のある.RUドメインの新規登録の顕著な増加は、ロシアのウクライナ侵攻の開始時に新規の 悪意のあるドメインの約40%に達しましたが、その後は戦前のレベルに戻り、現在では毎月登録される新しい悪意のあるド メインの平均3%未満となっています。急増したこの期間中、.RUドメインは悪意のあるTLDの中で常に3位または4位にラン クされていました。ロシア国家に属するAPTグループGamaredonは、悪意のある.RUドメインを頻繁に使用しており、近年 REG.RUレジストラを通じて数百のドメインを登録していることで知られています。

図39：2022年から2023年までの月別TLD別・新しい悪意のあるドメインの割合

45%

40%

35%

30%

25%

20%

15%

10%

5%

0%

第 5 章

75チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

6 0

チェック・ポイント インシデント対応

チーム（CPIRT） の見解

第 6章

76チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

3%

20% 13%

6%

14%

3%

11%

Ransomware Security Alert Behavioural Anomaly Suspicious Email DDoS CERT Alert Fraudulent Transaction Other

30%

このセクションは、チェック・ポイント製品のユーザーに限らず、幅広いCPIRTの分析および緩和事例からの経験とデータに基 づいています。CPIRTは通常、ランサムウェアによって暗号化されたファイル、特定された電子メール侵害、または未承認のマ ルウェアファイルやプロセスの検出など、悪意のある活動が明確に現れた後に介入します。初期の脅威指標、つまり「トリガー」 を分析することで、脅威の状況を異なる視点から捉えることができます。

お客様の環境でEDRセキュリティアラートが発生したため、当社のインシデント対応チームに連絡がありまし た。悪名高い認証情報窃取ツールであるMimikatzがその行為に使用されており、EDRシステムによってブ ロックされました。この異常な活動は、敵対者の存在と、その敵対者が目立たないようにネットワークをナビゲー トしようとしていることを示すもので、直ちに懸念が高まりました。クライアントは状況の潜在的な重大性を認識 し、CPIRTに支援を求めました。

インシデントのトリガーを理解する 当社では、インシデントのトリガーを、クライアントがIRサービスを求めるきっかけとなった侵害の最初の兆候と定義しています。 ランサムウェアはインシデントトリガー全体の約30%を占め、主な要因として際立っています。ランサムウェア攻撃は多くの場合、 非常に目立つ上に重大な破壊的影響を与えるため、即時の対応が必要です。

図40：2023年におけるCPIRTケースのインシデントトリガー別内訳。

第 6章

77チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

2023年のCIPRT事例の20％は、顧客の環境にあるセキュリティ製品からのアラートがトリガーとなっています。これらは多く の場合、最も重大度の高いアラートですが、それより低い重大度のアラートには通常、同じ対応は必要ありません。興味深 いことに、インシデント対応（IR）活動の13％は、行動異常（一般ユーザーが観察する、確立されたパターンから逸脱した異 常な行動を含む）によるものでした。この高い比率は、潜在的に重大なセキュリティ問題の可能性を示す危険信号として の重要性を反映しています。ただし、行動異常の報告は信頼性が低いことが多く、誤検知が発生する可能性があることに 留意することが重要です。

上のグラフでは、不審なメールというカテゴリは、メールの受信または送信に関する疑わしいアクティビティを指します。不審な 送信メールは、多くの場合、組織内のメール侵害を示すため、非常に懸念されます。このようなインシデントの発見が遅れる と、不正送金につながる可能性があり、これも2023年の事例の3％を占めた一般的なIRトリガーです。

頻度は低いものの、依然として重要なインシデントトリガーには、現地のCERTによって侵害の最初の兆候が提供される CERTアラートや、アンダーグラウンドフォーラムで侵害の言及を見つけたり、初回アクセスの購入を申し出たりすることで最初 のアラートが発せられるダークウェブモニタリングが含まれます。検出率は低いものの、これらのトリガーはしばしば高度で深刻 な脅威を示すものであり、迅速に対処しなければ重大な影響を及ぼす可能性があります。

インシデントを深く掘り下げていくと、筋書きはどんどん濃くなっていきました。私たちは、Active Directory サーバー上のRAT（リモートアクセスツール）と暗号化バイナリの発見に加え、データ流出の兆候を検出しまし た。 これらの要素は、ネットワーク全体に広範囲に展開するために準備されたものであり、実行からわずか数 分前の、ランサムウェア攻撃の紛れもない前兆となります。

上位の攻撃のタイプ 「上位の攻撃」とは、調査のきっかけとなった指標ではなく、攻撃のカテゴリを指します。上位の攻撃のタイプを分析すると、 最も蔓延している脅威のタイプはランサムウェアであり、IRケースの46%を占めていることがわかります。ビジネスメール詐欺 （BEC）はケースの19％で、不審な電子メール操作や不正送金などの指標を通じて検出されます。

2023年には、BEC、ブラウザの乗っ取り、アカウントの乗っ取りなど、特定のユーザーIDの窃取を目的とした攻撃がさらに流 行し、前年比で20％以上増加しました。この増加には、クラウドインフラストラクチャへの依存の増大と、組織に認証情報や アクセスを販売するアクセスブローカーの存在が大きく影響しています。

第 6章

78チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Ransomware

Business Email Compromise

DDoS

Data Theft

Phishing

APT

Other

0 10 20 30 40 50

46%

19%

8%

7%

7%

3%

10%

攻撃に使用される一般的なツール CPIRTの分析により、通常は無害なリモートデスクトップアプリケーションであるAnyDeskやTeamViewerなどのツールが、コ マンドアンドコントロールのために脅威アクターによって使用されることが増えていることが明らかになりました。 実際、今年分析したインシデントの39%ではAnyDeskのみが使用されていました。この手口は、従来のマルウェア検出を回 避するツールを活用する攻撃者によるステルスアプローチを浮き彫りにしています。 これらのツールは、本来は合法的な使用 を目的としていますが、脅威アクターによって使用されることが増えており、ネットワーク上の従来の活動と悪意のある活動を区 別することがより複雑になっています。 対照的に、MimikatzやCobaltStrikeなどの既知の悪意のあるツールは、それぞれ侵 害の26%と16%に関与していました。

このインシデントをさらに調査したところ、攻撃者がリモートコマンドツールとしてAnyDeskを使用し、侵害された システムへの永続的なアクセスを提供していることが明らかになりました。 最初のアクセスではセキュリティ警告 がトリガーされなかったため、脅威アクターは目に見えないところに隠れることができました。

図41：2023年におけるCPIRT事例の攻撃タイプ別内訳

第 6章

79チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

ランサムウェア：主な脅威 2023 CPIRTのランサムウェア脅威の状況において、いくつかのファミリーが特に顕著な存在として浮かび上がっています。特筆 すべきは、「Royal」ランサムウェアが急速に進化して強力な脅威となり、インシデントのかなりの数を占めていることです。ほとん どの場合、最初のアクセス経路としてフィッシングが使用されており、悪意のあるPDFを配布したり、リモートデスクトップアクセス をインストールするためにコールバックフィッシングを使用したりすることが多くありました。 さらに、Royalの攻撃者は、攻撃の第2段階でCobalt Strike、NSudo、PsExecなどのツールを再利用しました。

ALPHV（BlackCat）ランサムウェアは、Windows、Linux、VMwareインスタンスなど、さまざまなシステムへの攻撃に使用さ れ、その多用途性を示しました。ALPHVは、個別のアフィリエイトによって展開されるランサムウェア・アズ・ア・サービス（RaaS）モ デルとして運用されているため、展開前にさまざまな侵入経路やTTPが使用され、各インシデントが固有で、予測や防御が 困難になっています。

すべての侵害が直ちに悪用されるわけではありま せん。 多くの場合、最初の侵害は、脅威アクターが大量 スキャナーを使用して、インターネット上のデバイスで 新たに発見された脆弱性を悪用することから始ま ります。ただし、パッチ適用後でも、Webシェルやそ の他の永続化メカニズムはそのまま残る可能性が あります。このような足がかりは、後にイニシャルアク セスブローカー（IAB）によって販売されることが多 く、数か月から数年後の攻撃で再浮上することも あります。

TIM OTIS チェック・ポイント・ソフトウェア・テクノロジーズ、 グローバル・ディテクション＆レスポンス部門

責任者

第 6章

80チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

これらの脆弱性、特にProxyShellとCitrix RCE（CVE-2023-3519）により、脅威アクターが、インターネットに接続された脆 弱なデバイスにWebシェルをインストールできるようになる可能性があります。ExchangeサーバーやNetScaler Gatewayな ど、これらの脆弱性の標的となるデバイスは、インターネットに接続されていることが多く、主な標的となります。これらのデバイス は一度侵害されると、パッチ適用後も脅威アクターの休眠中の足場として機能し続けます。

インシデントを深く掘り下げて最初の感染経路を特定しようとしたところ、Citrix NetScalerシステムのリモート コード実行の脆弱性であるCVE-2023-3519が最初の侵害点であることがわかりました。この脆弱性が悪用 されてデバイスにWebシェルが展開されましたが、システムにパッチが適用された後も検出されませんでした。こ の見落としにより、脅威アクターはネットワークアクセスを維持できました。悪用されてから3か月後、このWebシェ ルはランサムウェアを展開しようとした別の脅威アクターによって起動されました。幸いなことに、顧客の警戒心と CPIRTの迅速な対応により、被害が出る前にランサムウェア攻撃を阻止することに成功しました。

このような現実は、管理者にとってはパッチを適用したデバイスは安全であるという誤った安心感を生みますが、実際には、脅 威アクターの足場はもっと早い段階で確立されていた可能性があります。今年の調査では、脅威の休眠期間が最も長かっ たのは22か月でした。

脆弱性のパッチ適用に続いて、セキュリティ手順には、可能性のあるバックドア、Webシェル、およびその他の永続化メカニズム を除去するためのセキュリティスキャンを含める必要があります。また、組織は、ネットワークインフラストラクチャ内の隠れた脅威 を示す可能性のある異常を監視し続ける必要があります。

第 6章

81チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

7 0

CISOのための インサイト - 予測

第 7章

82チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

JONATHAN ‘JONY’ FISCHBEIN

チェック・ポイント・ソフトウェア・テクノロジーズ グローバル CISO、EMEA

脅威の状況は広範囲です。サイバーセキュリティ技術は進歩していますが、限られた予算の中で、組織はどのようにリソースを 割り当てるべきかを戦略的に計画していることでしょう。

今年、サイバーセキュリティインフラの最適な成熟度を検討する上で、チェック・ポイントのグローバルCISOチームからいくつかの ヒントを得ることができます。

ランサムウェア攻撃はこれからも増加するでしょう。ま た、今後もあらゆる規模の組織に影響を与え、被害 者から数百万ドルを巻き上げることになるでしょう。懸 念されるのは、脅威の多くがますます回避能力を高 めていることです。

企業はさまざまなセキュリティツールを導入しています が、相互運用性に欠けていることが多く、それだけで は十分ではありません。

ランサムウェア攻撃が自分の組織には起こらないと高 をくくり、適切な措置を講じていないセキュリティ専門 家が、残念ながら数多くいます。組織が本当に必要 としているのは、より優れた予防および検出ツールで す。

組織がランサムウェアに対して包括的なアプローチを 取り、緩和のための戦略を策定することが非常に重 要です。また、ランサムウェアを阻止するソリューションが あるだけで安心してはいけません。

向上が止まらないランサムウェアの 回避能力

第 7章

83チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

DERYCK MITCHELSON チェック・ポイント・ソフトウェア・テクノロジーズ

フィールド CISO、EMEA 訴訟はもはや日常茶飯事になってきています。それに ついては疑いの余地がありません。多くの大手企業 が侵害を経験し、その影響で多額の支出を余儀な くされています。

この問題は大きな組織だけに影響するものではあり ません。小規模な組織も同様に影響を受ける可能 性があり、侵害された株主や個人を償うために数百 万ドルを支払う可能性すらあります。

このようなデータ侵害の集団訴訟の増加は、本当に 懸念すべきことです。2022年から2023年にかけて、 その数は2倍に増えました。

さらに、最近の調査結果では、CISOの62%が、侵 害に関して個人的責任を問われるのではと懸念して いることが示されています。これは、UberのCISOが 有罪判決を受けた、いわゆるUber事件の影響もあ ると思われます。

さまざまな組織が、今後もサイバー 攻撃やデータ侵害の急増を目の 当たりし、その結果集団訴訟や裁 判に忙殺され、CISOが悪影響を 被る可能性があります。

第 7 章

84チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

PETE NICOLETTI チェック・ポイント・ソフトウェア・テクノロジーズ

フィールド CISO、北中南米地域

（（（（（（（（ （（（（は最近、未登録で無防備なAIツール やエンジンが多くの犯罪者によって悪意のある目的で 使用されているということを指摘しています。これらの ツールには法律や規制から逃れているものが見られ ます。

サイバーセキュリティの専門家は、AIをめぐる問題の中 で「ゴーストガン」または「シリアルナンバーのない武器」 という言葉を目にすることがあります。チェック・ポイント のThreatCloudやその他の強力な製品は、こうした 問題の軽減に役立ちますが、将来的には、このような 問題に対処するためにさらに多くのことを行う必要が あると予想されます。

AI ベースのツールは、サイバー犯罪 者によって金融リソースの窃盗に 利用される

第 7章

https://research.checkpoint.com/

85チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

8 0

AI： 今日のサイバーセキュリティの

戦いにおける最先端の 防御策

第 8 章

86チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

進化を続けるサイバーセキュリティの世界では、人工知能（AI）がゲームチェンジャーとして登場し、サイバー脅威の予防、防 御、対応の方法に革命をもたらしています。 この分野におけるAIの変革的影響は大きく、サイバーリスクの特定、分析、無力化において前例のない利点をもたらします。 複雑なアルゴリズムと機械学習を活用することで、AIシステムは悪意のある活動を示すパターンを迅速に検出することができ、 多くの場合、従来の方法よりもはるかに迅速に脅威を特定することができます。この能力は、サイバー攻撃がますます巧妙化 し、頻発する時代には特に重要です。新たな脅威に適応し学習するAIの能力は、防御戦略を継続的に改善し、サイバー 犯罪との継続的な戦いにおいて欠かすことのできない味方となります。サイバーセキュリティにおけるAIの統合は、セキュリティ対 策の効率性と有効性を高めるだけでなく、こうしたデジタル上の危険と戦うために必要な時間とリソースを大幅に削減し、より 高い精度とインテリジェンスでデジタル世界を保護します。

Infinity AI Copilotは、インテリジェントな生成AIの自動化とサポートでサイバー セキュリティを変革して、セキュリティを強化し、時間と労力を削減します。 Infinity AI Copilotでは、AIとクラウドテクノロジーの融合を活用し、セキュリティチームの効率と有効性を高めることで、世界的 に増大するサイバーセキュリティ実務者の不足に対応します。

自動化と協調的インテリジェンスを活用した生成AIセキュリティソリューションにより、一般的な管理タスクの実行に必要な時 間を最大90%削減します。

サイロで動作する他のAIモデルとは異なり、Infinity AI Copilotでは、さまざまなユースケースに対応する幅広いプラットフォー ムサポートを提供し、Infinityプラットフォーム全体のセキュリティ管理を支援します。

Infinity AI Copilotでは、顧客のポリシー、アクセスルール、オブジェクト、ログ、すべての製品ドキュメントを把握しており、文脈 に応じた完全な回答を提供できます。

第 8 章

87チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

主な機能：

セキュリティ管理の迅速化：Infinity AI Copilotでは、イベント分析、実装、トラブルシューティングなどのセキュリティ タスクの管理作業に必要な時間を最大90%削減します。セキュリティの専門家は、時間を節約できるため、戦略 的なイノベーションにより多くの時間を費やすことができます。

セキュリティポリシーの管理と展開：各顧客のポリシーに固有のアクセスルールとセキュリティ制御を管理、変更、お よび自動的に展開します。

インシデントの軽減と対応の改善：脅威ハンティング、分析、解決にAIを活用します。

すべてのソリューションと環境を監視：AI Copilotでは、ネットワークからクラウド、ワークスペースに至るチェック・ポイン トInfinityプラットフォーム全体にわたるすべての製品を監視し、真の包括的なアシスタントとなります。

シンプルな自然言語処理：Infinity AI Copilot GenAIとの対話は、人間との会話のように自然です。あらゆる言 語を理解し、チャットで応答するため、ユーザーとのコミュニケーションやタスクの実行が容易になります。この自然言 語機能により、シームレスな対話と効果的なタスクの実行が促進されます。

ThreatCloud AIは、チェック・ポイントのビッグデータ・インテリジェンス・エンジンです。50を超えるAIおよび機械学習技術を駆 使し、これまでに見たことのない新たな脅威を特定してブロックします。50種類のAIベースのエンジンのうち、11種類のディープ ラーニング技術と38種類の従来型の機械学習技術を使用しています。2023年には、新たに12のエンジンを追加しまし た。

ThreatCloud AIは、ビッグデータのテレメトリと数百万のIoC（侵害指標）を毎日収集分析しています。その脅威インテリジェ ンスデータベースには、15万におよぶ接続ネットワークと数百万台のエンドポイントデバイスのほか、Check Point Researchや 数十の外部フィードが入力されています。ThreatCloud AI は、チェック・ポイントのセキュリティスタック全体にわたって、新たに 判明した脅威と保護機能をリアルタイムで更新します。

2 深層学習

7 古典的な機

械学習

3 従来の方法

第 8 章

https://www.checkpoint.com/ai/

88チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

ビッグ データに基づく脅威インテリジェンス

2,800,000,000 検査対象の Web サイトと

ファイル

146,000,000 Eメールの全

内容

53,000,000 ファイルエミュ レーション

20,000,000 潜在的な

IoT デバイス

2,600,000 セキュリティ侵

害インジ ケーター

1,500,000 新しくインストー ルされたモバイ

ル アプリ

1,200,000 オンライン

Web フォーム

毎日の カウント

協働／協調型のセキュリティ—THREATCLOUD AI あらゆるデータを AI が保護

ThreatCloud AIが新たなサイバー脅威を防ぐ方法をいくつかご紹介します。

ThreatCloud グラフ: サイバーセキュリティに関する多次元の視点 この革新的な機能は、URL、IP、ドメイン名といったスタンドアロン エンティティの分析にとどまりません。ThreatCloud のグラフ は、これらのエンティティ間の相互接続された関係を詳しく調べ、サイバー脅威に対する多次元の視点を明らかにします。

サイバー脅威環境における相互接続された関係の網を分析するThreatCloud Graphの革新的なアプローチは、プロアク ティブな脅威対策、洞察力に富んだ攻撃検出、ゼロデイ脅威に対する堅牢な防御のための強力なツールを提供します。

第 8 章

89チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

主なメリット:

包括的な脅威対策 ThreatCloud Graphは、URL、IP、ドメイン名など、さまざまなエンティティ間の関係を分析することで、サイバー脅威の包括 的なビューを提供します。このアプローチでは、スタンドアロンの脅威の調査にとどまらず、プロアクティブな予防に重点を置いた 多次元的な視点を提供します。この包括的な視点により、脅威がどのように相互接続され、大規模なネットワークやキャンペ

ーン内でどのように機能するかをより深く理解できるようになります。

グラフパターンと攻撃に関するインサイト ThreatCloud Graphでは、さまざまなサイバーエンティティ間の関係の固有のパターンを特定することで、悪意のあるアクティビ ティに関する貴重なインサイトを提供します。この機能は、DNSポイズニングなどの複雑な攻撃を検出して理解するのに特に 役立ちます。これらのパターンと共通エンティティ間のリンクを認識する機能により、高度なサイバー脅威の早期検出と防止が

容易になり、全体的なセキュリティが強化されます。

新たなゼロデイ攻撃の防止 ThreatCloud Graphは、ThreatCloud AIの知識を活用することによりゼロデイ攻撃を含む新たな脅威に対して優れた防 止能力を発揮します。また、URL、ドメイン、IP アドレスのレピュテーションを、既知の悪意のある作成物との関係に基づいて確 立します。検出された悪意のあるコンテンツだけに依存しないこの予防的なアプローチにより、潜在的な脅威を早期に特定

およびブロックし、巧妙な攻撃や新たな攻撃に対する堅牢な保護を確保します。

1

2

3

第 8 章

90チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

AI を活用したブランドなりすまし防止 ゼロフィッシング サービスの拡大や、フィッシング攻撃に使用されるローカルおよびグローバルなブランドなりすましを防止する革 新的な AI 搭載エンジンの導入により、ネットワーク、電子メール、モバイル デバイス、エンドポイントにわたって、従来のテクノロ ジーよりも40%高い捕捉率で包括的に保護します。

複数の言語や国にまたがるフィッシング攻撃で被害者を騙すための餌として、なりすましに悪用されたローカルおよびグローバ ルブランドに関連するリンクとブラウジングを、新しく開発されたエンジンがブロックします。

AI を活用したブランドなりすまし防止

予防的でリアルタイムの防御

ThreatCloud AI との連携による保護

ブランドになりすますフィッシ ング攻撃から組織を保護

国際ブランドまたは国内ブ ランドを装ったリンクへのアク セスをリアルタイムでブロック

従来のテクノロジーよりも 40% 高い検知率

革新的なAIテクノロジーを利用して、新しいドメインを登録時に自 動検査することにより、ブランドになりすます潜在的な試みを特

定し、攻撃に利用される前にブロック

ネットワーク、エンドポイント、モバイル、SaaS全体にわたり、Eメー ル、ファイル、SMSなどを含むあらゆる攻撃経路に対して、ブランド

なりすましをゼロにするための保護を即座に適用

第 8 章

91チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Deep PDF—静的な署名に頼ることなく、悪意のあるPDFを正確に識別す るAI搭載エンジン 「Deep PDF」は、ThreatCloud AIに統合された革新的なAIモデルで、世界規模のフィッシングキャンペーンで使用される 悪意のあるPDFの特定とブロックの能力に関して大きな飛躍を遂げました。このような攻撃は、電子メール、Webダウンロー ド、HTML密輸、SMSメッセージなど、さまざまな経路を介して行われます。Check Point Quantum製品およびHarmony 製品は、このような経路を防御し、お客様を保護します。

Deep PDF の仕組み

「Deep PDF」エンジンは、PDFの構造、埋め込まれた画像、URL、Rawコンテンツを検査し、フィッシングレイアウトを探しま す。このモデルの能力は、検出できるファイル数の多さだけでなく、その精度の高さにもあり、フィッシングキャンペーンやスパムと の一連の戦いにおいて威力を発揮します。

チェック・ポイントの研究者は、複数のPDFファイルが似た構造をしていることを発見しました。「Deep PDF」は、特に以下を 精査します。

• 悪意のあるリンク。

• ドキュメント上の URL の配置。

• ページ上の画像の配置。

当社では、これらの抽象的な特性やその他の多くの特性をエンコードして「Deep PDF」の機能を洗練させ、無害なPDFファ イルと悪意のあるPDFファイルを区別できるようにしました。

第 8 章

https://www.checkpoint.com/infinity/threatcloud-ai/ https://www.checkpoint.com/cyber-hub/threat-prevention/what-is-phishing/

92チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

LinkGuard：不正な LNK ファイルを検出するように設計された新しい機械 学習エンジン • LinkGuardは、悪意のあるLNKファイルを検出するように設計された機械学習エンジンであり、現在ではThreatCloud

AIに統合されています。

• LNKファイルは無害なショートカットと思われがちですが、サイバー犯罪者たちは頻繁に使用し、マルウェアを配信したり、 ソーシャルエンジニアリング攻撃を可能にしたりしています。

• 新しいエンジンは難読化テクノロジーの識別に優れており、言語分析を活用して90%以上の驚異的な検出率を達成 しています。

LinkGuardは、インターネットの最もずる賢い脅威の1つである悪意のあるLNKファイルに対処するように設計されています。 これらの不正なファイルは、多くの場合、無害なショートカットとしてカモフラージュされていますが、システムに大混乱を引き起こ す可能性があります。LinkGuardのミッションは明確です。悪意のあるコードの実行を特定し、コマンドライン引数を分析する ことで、これらの悪意のあるLNKファイルを検出します。

LinkGuard の本質

LinkGuardもまたAI搭載エンジンで、LNKファイルの世界に深く入り込み、ファイルを核心まで分析するように設計されていま す。その巧みなアプローチにより、これらのファイルの本質そのものを調査して、不正行為の兆候が含まれているかどうかを判断 します。LinkGuardは、LNKファイル内に隠されたコマンドライン引数を精査することで、悪意のある意図の痕跡をピンポイン トで特定できます。これはあたかも、脅威を絶えず追跡するデジタル探偵を雇っているようなものなので、自信を持ってシステム を強化できます。

LinkGuard の仕組み

LinkGuard は、以下の 3 つの基本原則を採用しています。

難読化の解除：LinkGuardは、LNKファイル内の悪意のあるコードを隠すために使用される難読化テクノロジー を暴く能力に優れており、狡猾な回避の試みも確実に阻止します。

言語分析：LinkGuardは、自然言語処理（NLP）を活用してLNKファイルに埋め込まれた悪意のあるテーマを 解読します。また、悪意のある意図を示す微妙な言語パターンも識別します。

よくある手口の識別：LinkGuardは、これまでによく見られた悪意のあるコード実行との類似点を効果的に特定 し、サイバー攻撃者が採用した手口を即座に識別します。

LinkGuardでは、これら3つの強力な機能を組み合わせることにより、LNKベースのサイバー脅威に対して有益なシールドを 形成します。これにより、サイバーセキュリティ防御の強化に加え、より安全なデジタル環境にも貢献します。

1

2

3

第 8 章

93チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

9 0

マルウェア対策 ファミリーの

解説

第 9 章

94チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

AgentTesla AgentTeslaは、キーロガーや情報スティーラーとして機能する高度なRATで、被害者のキーボード入力を 監視および収集し、スクリーンショットを撮影して、被害者のコンピュータにインストールされているさまざまな ソフトウェア（Google Chrome、Mozilla Firefox、Microsoft Outlookメール クライアントなど）の認証 情報を流出させます。

Akira 2023年初頭に最初に報告されたAkiraランサムウェアは、WindowsとLinuxの両方のシステムを標的とし ています。これはCryptGenRandom()とChacha 2008による対称暗号化を使用してファイルを暗号化 するもので、漏洩したConti v2ランサムウェアに似ています。Akiraは、感染した電子メールの添付ファイルや VPNエンドポイントを悪用するなど、さまざまな手段を通じて配布されます。感染すると、データが暗号化 され、ファイル名に「.akira」という拡張子が追加されて、復号化のための金銭を要求する身代金メモが提 示されます。

ALPHV BlackCat（別名ALPHV）は、Ransomware-as-a-Service（RaaS）ビジネスモデルで動作します。 BlackCatランサムウェアは高度にカスタマイズ可能であり、幅広い企業環境への攻撃が可能です。Linux とWindowsの両方のシステムを標的としており、Rustでコーディングされています。

AZORult AZORult は、感染したシステムからデータを収集し流出させるトロイの木馬です。システムにマルウェアがイ ンストールされると、保存したパスワード、ローカル ファイル、暗号ウォレット データ、コンピュータ プロファイル情 報をリモート C&C サーバーに送信します。

BiBi Wiper BiBi Wiperは、WindowsとLinuxの両方のシステムを標的とするデータ消去マルウェアです。 イスラエルの標的に対する攻撃で最初に特定されたこのマルウェアは、その破壊能力で知られており、標 的のディレクトリ内のデータをジャンクデータで上書きし、「.BiBi」拡張子をファイル名に追加します。

CACTUS CACTUSランサムウェアは、被害者のコンピュータ上のファイルを暗号化し、暗号化された各ファイルに独 自の「.CTS1」拡張子を追加する破壊的なマルウェアです。このランサムウェアは、ネットワークシステム、特 にVPNアプライアンスの脆弱性を悪用して、標的のネットワークにアクセスし、拡散することで知られていま す。AESとRSAを使った暗号化にはOpenSSLが採用されています。

第 9 章

95チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

CL0P CL0Pは、2019年初頭に最初に発見されたランサムウェアで、主に大企業を標的としています。CL0Pはロ シア語のサイバー犯罪組織によって運営されており、「窃盗、暗号化、漏洩」戦略を採用しています。最近 では、Accellion FTAやMOVEit Transferなどの公開されたインフラストラクチャの脆弱性を悪用し、被害 組織から機密データを流出させて暗号化できるようにしたことで悪名を轟かせています。CL0Pは、特定の 地域に焦点を定めずにさまざまな業界を標的とし、独立国家共同体（CIS）内の組織は避けながら、大 規模な「ビッグゲームハンター」ランサムウェア攻撃に関与してきました。

CloudEye CloudEye は、Windowsプラットフォームを標的とするダウンローダーであり、被害者のコンピュータに悪意の あるプログラムをダウンロードしてインストールするために使用されます。

Darkgate DarkGateは2017年12月から活動を開始しており、認証情報の窃取、キーロギング、画面キャプチャ、リ モートアクセスなどの幅広い機能で知られる高度なMalware-as-a-Service（MaaS）です。DarkGate は、サイバー犯罪サークル（主にアンダーグラウンドフォーラム）内で顕著な脅威として頭角を現しました。 このマルウェアはセキュリティ防御を回避するように適応しており、フィッシングメールや通信プラットフォーム （Microsoft Teamsなど）の悪用など、さまざまな攻撃戦略に使用されています。

DoppelPaymer 2019年に初めて確認されたDoppelPaymerは、以前のBitPaymerから進化した高度なランサムウェアで す。特定の業界を優先することなく幅広い分野を標的としており、スピアフィッシング メールを介した初期侵 入にトロイの木馬「Dridex」を使用します。DoppelPaymerは二重恐喝戦術で知られており、世界中の 主要組織に対するいくつかの注目すべき攻撃に関与していました。

Emotet Emotetは、高度なモジュール式の多目的マルウェアです。以前はバンキング型トロイの木馬として使用さ れ、現在はその他のマルウェアや悪質なキャンペーンのディストリビュータとして使用されています。持続性を維 持するための複数の手法と、検知を回避するための回避技術を駆使します。さらに、悪質な添付文書や リンクなどのあるフィッシングスパムメールでも拡散されます。

FakeUpdates Fakeupdates（別名SocGholish）は、JavaScriptで書かれたダウンローダーです。これはペイロードを ディスクに書き込み、その後起動させます。Fakeupdatesは、GootLoader、Dridex、NetSupport、 DoppelPaymer、AZORultなど、さらに多くの追加マルウェアを介して、システム侵害被害を拡大させてき ました。

第 9 章

96チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

FormBook FormBook は、Windows OS を標的とするインフォスティーラで、2016 年に初めて検知されました。強力 な回避テクニックを持ち、比較的低価格であり、Malware-as-a-Service（MaaS）としてアンダーグラウ ンド ハッキング フォーラムで販売されています。FormBook はさまざまな Web ブラウザから認証情報やス クリーンショットを収集し、キーストロークを監視してログ記録し、C&C からのオーダーに従ってファイルをダウ ンロードして実行することができます。

Glupteba 2011 年頃から知られるようになった Glupteba は、徐々にボットネットへと成熟する Windows バックドア です。2019 年には、パブリック Bitcoin リストによる C&C アドレス更新メカニズム、内蔵ブラウザ スティーラ 機能、ルーター エクスプロイト機能を備えるに至りました。

GootLoader GootLoaderはステルスマルウェアであり、主にWindowsベースのシステムを攻撃する第1段階のダウン ローダーとして使用されます。当初はバンキング型トロイの木馬「GootKit」のダウンローダーとして機能して いましたが、Cobalt StrikeビーコンやREvilランサムウェアなどの高度な第2段階ペイロードを配信できるマ ルチペイロードマルウェアプラットフォームに進化しました。GootLoaderでは、SEOポイズニングを使用して、 侵害されたWebサイトに被害者をリダイレクトし、ドライブバイダウンロードキャンペーンに誘い込み、複数の 国のさまざまな業界に影響を与えます。持続性を維持して検知を回避するために、リフレクティブローディン グやPowerShellコマンドなどの高度な技術が採用されています。

Horse Shell Horse Shellは、中国の国家支援のハッキンググループ「Camaro Dragon」が欧州の外交機関を標的と するために利用するカスタムマルウェアです。2023年1月に発見されたこのマルウェアは、家庭用TP-Link ルーターに感染し、攻撃者が完全に制御できるようにします。Horse Shellはバックドアとして動作し、シェ ルコマンドの実行やファイルの転送を行い、ルーターを通信用のSOCKSプロキシとして悪用します。

Impala Stealer Impala Stealerは、悪意のあるNuGetパッケージを通じて.NET開発者を狙い、暗号通貨を盗むマル ウェアです。これは、暗号通貨アカウントの詳細にアクセスして盗むための永続的なバックドアをインストール することによって動作し、タイポスクワッティングを利用して正規のソフトウェアパッケージに偽装します。

第 9 章

97チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

JaguarTooth JaguarTooth は、ルーターの認証メカニズムを標的にして変更を施し、認証されていないバックドアアク セスを許可するCisco IOSマルウェアです。Trivial File Transfer Protocol（TFTP）を介して、ファー ムウェアのバージョンやネットワーク構成を含むデバイスとネットワークの情報を収集し、流出させます。 JaguarTooth は、既知のSimple Network Management Protocol（SNMP）の脆弱性CVE- 2017-6742を悪用することによって展開されました。

KV-Botnet KV-Botnetは、中国系の脅威アクター「Volt Typhoon」と繋がりがあり、主に小規模オフィス/ホームオフィス （SOHO）のルーターデバイスを標的とする高度なボットネットです。少なくとも2022年2月から活動してお り、KVとJDYという2つの補完的なアクティビティクラスターで構成されています。

LemonDuck LemonDuckは、被害者のコンピュータリソースを標的として仮想通貨「Monero」をマイニングする暗号通 貨マイニングボットネットです。電子メール、psexec、WMI、SMBエクスプロイト（Windows 10マシンに影 響を与える悪名高いEternal BlueやSMBGhost脅威など）を使用して、感染したRTFファイルを送信 するなど、さまざまな方法でネットワーク全体に拡散します。

LEMURLOOT LEMURLOOTは、CL0Pランサムウェア グループに関連するWebシェルマルウェアで、MOVEit Transfer マネージドファイル転送（MFT）アプリケーションの重大なSQLインジェクション脆弱性（CVE-2023- 34362）を悪用するように設計されています。LEMURLOOTはC#で書かれており、認証にはハードコー ドされたパスワードが必要です。このマルウェアは、CL0Pグループによる大規模なデータ窃盗と恐喝の試み に貢献しました。

LockBit LockBitは、2019年9月に最初に報告されたRaaSモデルで動作するランサムウェアです。LockBitはさま ざまな国の大企業や政府機関を標的としていますが、ロシアや独立国家共同体の個人は除外していま す。

Lokibot LokiBotは、Windowsを狙ったコモディティインフォスティーラーです。さまざまなアプリケーション、Webブラウ ザ、メールクライアント、IT管理ツール（PuTTY など）から認証情報を収集します。LokiBotはハッキング フォーラムで販売されていたことがあり、そのソースコードが漏洩したため、さまざまな亜種の出現が可能に なったと考えられています。2016年2月に初めて確認されました。

第 9 章

98チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Lucifer Luciferは、クリプトジャッキングと分散型サービス妨害（DDoS）攻撃開始の両方の機能で知られるハ イブリッドマルウェアです。Luciferは、重大度が高くクリティカルな複数のエクスプロイトを利用して、当初は Windowsシステムを標的としていました。しかし、最近ではLinuxやIoTデバイスをターゲットとするマルチプ ラットフォームおよびマルチアーキテクチャのマルウェアに進化しており、ARMとMIPSのバージョンに分かれて います。

Medusa 2021年6月から活動しているMedusaランサムウェアは、二重恐喝戦術（データを暗号化して窃取し、 身代金が支払われない場合は漏洩または売却すると脅す）を採用したRansomware-as-a- Service（RaaS）モデルです。

Mirai Miraiは、Webカメラ、モデム、ルーターなどの脆弱なIoTデバイスを追跡し、ボットに変える悪名高いIoT （Internet of Things）マルウェアである。ボットネットは、大規模な分散型サービス拒否（DDoS）攻撃 を行うオペレーターによって使用される。Miraiボットネットは2016年9月に初めて出現し、リベリア全国をオ フラインにした大規模DDoS攻撃、米国のインターネットのインフラの大部分を提供するインターネット基 盤会社Dynに対するDDoS攻撃などの大規模攻撃により、話題となった。

Nanocore NanoCoreは、Windowsオペレーティングシステムを標的にするリモートアクセス型トロイの木馬（RAT） で、2013年にウイルスが実際の攻撃に使用されている状態で初めて観測されました。RATのすべてのバー ジョンには、基本プラグインとしてスクリーンキャプチャ、暗号通貨マイニング、デスクトップおよびWebカメラセッ ション窃盗のリモートコントロールなどの機能が含まれます。

NetSupport NetSupportマルウェアは、リモートアクセス型トロイの木馬（RAT）として識別され、教育、政府、ビジネス サービスなどの分野を標的としています。NetSupportはもともと正規のリモート管理ツールでしたが、脅威 アクターによって動作の監視、ファイル転送、ネットワークへの侵入などの悪意のある活動に再利用されまし た。

njRAT njRAT、別名Bladabindiは、M38dHhMハッキンググループによって開発されたRATです。2012年に最初 に報告され、主に中東の目標に対して使用されました。

第 9 章

99チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Nokoyawa Nokoyawaは、2022年2月に初めて確認されたWindowsベースのランサムウェアファミリーで、二重恐喝 攻撃で知られています。このランサムウェアは、最初はC言語で記述され、その後Rustで書き直されたもの で、NemtyおよびKarmaランサムウェアファミリーとのコーディングの類似性が見られます。このランサムウェア は、CVE-2023-28252などの脆弱性を悪用した攻撃を行うことが知られています。

Phorpiex Phorpiex（別名Trik）は2010年から活動しているボットネットで、ピーク時には百万を超える感染したホ ストが制御されていました。スパムキャンペーンを通じて他のマルウェアファミリーを配布し、大規模なスパム やSextortionキャンペーンを助長することで知られています。

Qbot Qbot（別名Qakbot）は、2008年に初めて出現したバンキング型トロイの木馬です。ユーザの銀行口座 情報およびキーストロークを盗み出すように設計されています。Qbotは、スパムメールで配布されることが 多く、複数のアンチVM、アンチデバッグ、アンチサンドボックス技術を採用して、分析を妨害し、検出を回避 しています。

Raccoon Raccoonインフォスティーラーは2019年4月に初めて観測されました。この情報搾取ツールはWindowsシ ステムを標的にしており、アンダーグラウンドフォーラムでMaaS（サービスとしてのマルウェア）として販売されま す。ブラウザクッキー、履歴、ログイン認証情報、暗号通貨ウォレット、クレジットカード情報を収集できるシン プルなインフォスティーラーです。

Ramnit Ramnitは2010年に初めて発見されたモジュラー式バンキング型トロイの木馬です。Ramnitは、Webセッ ション情報を盗み、銀行口座、企業アカウント、ソーシャルネットワークアカウントなど、被害者が使用する すべてのサービスのアカウント情報を盗むことができます。トロイの木馬は、ハードコーディングされたドメインと DGA（ドメイン生成アルゴリズム）が生成したドメイン両方を使用して、C&Cサーバーに接触し、追加モ ジュールをダウンロードします。

Raspberry Robin Raspberry Robinは、当初は感染したUSBデバイスを通じて配布された多目的マルウェアで、ワーム機 能を備えています。

RedRelay RedRelayは、中国のサイバースパイ攻撃者であるRed Vultureを含むさまざまな脅威アクターによって 利用される共有プロキシネットワークです。RedRelayはマルチホッププロキシや暗号化通信などの機能 を採用しているため、分析と属性の特定が困難です。脅威アクターが運用する仮想プライベートサーバー （VPS）と侵害されたデバイスを組み合わせてネットワークを構築しています。

第 9 章

100チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

Remcos Remcosは2016年にウイルスが実際の攻撃に使用されている状態で初めて観測されたRATです。 Remcos自体は、スパムメールに添付された悪意のあるMicrosoft Office文書で配布され、Microsoft Windowss UACセキュリティを回避し、高レベル特権でマルウェアを実行するように設計されています。

RubyMiner RubyMinerは2018年1月にウィルスが実際の攻撃に使用されている状態で初めて観測され、Windows とLinuxサーバの両方を標的にしています。RubyMinerは、オープンソースのMoneroマイナーであるXMRig を使用して、暗号マイニング活動に使用するために脆弱なWebサーバ（PHP、Microsoft IIS、Ruby on Railsなど）を探します。

StripedFly StripedFlyは、当初は暗号通貨マイナーとして誤って分類されましたが、複雑で多用途のワーム可能なマ ルウェアフレームワークです。その影響は世界中に広がり、少なくとも2017年以来100万人以上の被害者 が感染しています。

Ursnif UrsnifはWindows用のバンキング型トロイの木馬であるGoziの亜種で、ソースコードがオンラインでリーク されました。人気あるオンラインサービスの銀行情報と認証情報を盗む、マンインザブラウザ機能があり ます。さらに、ローカルメールクライアント、ブラウザ、暗号通貨ウォレットから情報を盗むことができます。感染 したシステムに追加ファイルをダウンロードして実行することもできます。

WannaMine WannaMineは、EternalBlueエクスプロイトを広げる精巧なMonero暗号通貨マイニングワームです。 WannaMineは、Windows Management Instrumentation（WMI）の永続的なイベントサブスクリプ ションを利用して広がり、永続性を維持しています。

XMRig XMRigは、Monero暗号通貨のマイニングに使用するオープンソースのCPUマイニングソフトウェアです。脅 威アクターは、このオープンソースソフトウェアをマルウェアに統合して悪用し、被害者のデバイスで違法なマイ ニングを実行することが多いです。

ZuoRAT ZuoRATは、SOHO（Small Office/Home Office）ルーターに焦点を当てたリモートアクセス型トロイの 木馬（RAT）です。Miraiボットネットから派生したもので、少なくとも2020年から運用されています。 ZuoRATは、広範なネットワーク偵察、データ収集、ネットワーク通信のハイジャックを行います。

第 9 章

101チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

0 1

結論

第1 0章

102チェック・ポイント・ソフトウェア | 2024年セキュリティレポート

新年を迎えるにあたり、昨年の攻撃パターンと教訓を土台とし、耐障害性に優れた新し

い戦略を構築する必要があります。

効果的で持続可能なサイバーセキュリティプログラムを開発するには、新たなトレンドをプ

ロアクティブに特定し、脆弱性を認識し、脅威アクターの手法を理解することが不可欠で

す。

セキュリティレポートは、サイバーセキュリティの責任者がサイバー攻撃者の一歩先を行くた

めに必要な知識と先見性を獲得できるように設計されています。

ゼロデイランサムウェアからハクティビズムによる新たなリスクに至るまで、組織は新しいセ

キュリティ対策の採用と導入が急務となっています。

テクノロジーが猛烈なスピードで進化する時代において、本書で共有される知見は、

2024年以降のサイバーセキュリティの状況をナビゲートするためのロードマップとして役立

ちます。

第1 0章

お問い合わせ ワールドワイド本社

5 Shlomo Kaplan Street, Tel Aviv 6789159, Israel Tel: 972-3-753-4599

Email: info@checkpoint.com

米国本社 959 Skyway Road, Suite 300, San Carlos, CA 94070

Tel: 800-429-4391

攻撃への対応 インシデント対応チームにお問い合わせください: Emergency-response@checkpoint.com

チェックポイント リサーチのポッドキャスト cp<radio>を視聴して、CPRの最新の調査、

舞台裏、その他の限定コンテンツを入手してください。 https://research.checkpoint.com/category/cpradio/にアクセス

W W W . C H E C K P O I N T. C O M

© 1994-2024 Check Point Software Technologies Ltd. All Rights Reserved.

https://research.checkpoint.com/category/cpradio/ http://WWW.CHECKPOINT.COM