チェック・ポイント・リサーチ（以下、CPR）は、2024年12月の最新版Global Threat Index（世界脅威インデックス）を発表した。
同調査によると、2024年末、「FunkSec」がサイバー脅威の最前線に躍り出たという。同ランサムウェアグループは、2024年12月にデータリークサイト（DLS）で85件以上の被害者プロファイルを公開。同調査で、台頭の背後にある実態が明らかになったとしている。
FunkSecの成長は、RaaS運営者の戦術が進化していることを示しているとのことだ。AIを活用して業務を拡大し、ランサムウェアの生成や二重恐喝キャンペーンの管理にAIを多用しているという。CPRの分析によると、このアプローチは適応力の高さを示す一方で、技術力の欠如も指摘されている。FunkSecが公開した主張の多くは、使い回しや偽造、未確認の可能性もあり、同グループの信頼性や実行能力に疑問が生じているとのことだ。
同調査では、FunkSecの活動はアルジェリアと関連があり、金銭的動機とハクティビズムの思想が混在していることが示唆されているという。この2つの動機は、政治的混乱と利益追求型サイバー犯罪の境界線上で活動する点で、FunkSecは既存のランサムウェアグループと一線を画すものになっているとのことだ。
国内で活発な上位のマルウェアファミリー
- FakeUpdates（2.56％）：別名SocGholish。JavaScriptで書かれたダウンローダー。ペイロードが実行される前にディスクにペイロードを書き込み、GootLoader、Dridex、NetSupport、DoppelPaymer、AZORultなど、他の多くのマルウェアによるさらなる侵害を引き起こす
- Remcos（1.70％）：リモートアクセス型トロイの木馬（RAT）。スパムメールに添付された悪意のあるMicrosoft Officeドキュメントを通じて展開する。WindowsのUACセキュリティを回避し、管理者権限でマルウェアを実行するように設計されている
- Lamer（1.42％）：トロイの木馬型マルウェア。気付かれることなく情報を窃取するなどの悪意のある目的でPCの防御を突破して侵入する。悪意のあるスパムメールや感染ツールを通じて拡散する
2024年12月に活発だった上位のマルウェアファミリー
- FakeUpdates
- AgentTesla：キーロガーとインフォスティーラーとしての機能を有するRAT。被害者のキーボード入力やシステムキーボードの監視とデータ収集、スクリーンショットの撮影、被害者のデバイスにインストールされている様々なソフトウェア（Google Chrome、Mozilla Firefox、Microsoft Outlookなど）を通じて認証情報を抽出する
- Androxgh0st：Windows、Mac、Linuxのプラットフォームをターゲットとするボットネット。初期の感染で複数の脆弱性を悪用し、特にPHPUnit、Laravel Framework、 Apache Web Serverを標的にする。Twilioのアカウント情報、SMTP認証情報、AWSキーなどの機密情報を盗み取り、Laravelのファイルを使用して必要な情報を収集する。なお、異なる情報をスキャンするための様々な亜種が存在する
モバイルマルウェアのトップ
- Anubis：Androidデバイスを標的として設計されたバンキング型トロイの木馬。リモートアクセス型トロイの木馬としての機能、キーロガーや音声録音、ランサムウェアが持つ様々な機能など、多くの機能が追加されている。Googleストア上で公開されている数百種類のアプリから検出されている
- Necro：Android向けのトロイの木馬型ドロッパー。他のマルウェアをダウンロードしたり、迷惑広告を表示したり、有料のサブスクリプションサービスの料金を請求して金銭を盗んだりする
- Hydra：保護レベルの高いパーミッションについて被害者に許可を要求し、金融認証情報を盗み出すよう設計されたバンキング型トロイの木馬
世界的に攻撃されている業種、業界
- 教育・研究
- 通信
- 政府・軍関係
最も活発なランサムウェアグループ
- FunkSec：新興のランサムウェアグループ。二重恐喝の手口を用いる。一部の報告では、2024年9月から活動を開始したとされている。FunkSecのデータリークサイトがランサムウェアのインシデントとデータ侵害の報告を組み合わせており、多くの被害者数が報告されている
- RansomHub：かつてKnightとして知られていたランサムウェアのリブランド版として登場したRaaS（サービスとしてのランサムウェア）。2024年初頭、アンダーグラウンドのサイバー犯罪フォーラムに姿を現し、Windows、macOS、Linux、VMware ESXi環境など、様々なシステムを標的にした攻撃的キャンペーンによって知名度を上げた。高度な暗号化手法を用いる
- LeakeData：最近確認されたグループのひとつで、ウェブ上でデータリークサイトを運営している。サイトでは、被害者とされる人々のデータをリスト化し、今後の情報公開までのカウントダウンを表示している。恐喝グループを装っているものの、サイトにはコミュニケーション手段が用意されておらず、この組織の実態や、被害者として名指しされた組織が実際に被害を受けているのかどうか、そして真の目的は不明なまま
【関連記事】
・CPR、マルウェア「ElizaRAT」を使用したサイバー攻撃を確認 配布にSlackやGCPを利用
・チェック・ポイント、ブランドなりすましの詐欺事例を報告 1週間で7,300社超の企業に影響
・2024年11月、日本で最も活発だったマルウェアとは？──チェック・ポイント調査
