デイリーブリーフィング
macOSを標的としたイラン製RAT、パッチ未適用Exchangeサーバー22,000台、METR APIキー漏洩
本日のブリーフィングでは、LinuxとmacOSを標的としたイラン製のクロスプラットフォームマルウェア、脆弱性が露呈したMicrosoft Exchangeサーバー、ソーシャルエンジニアリングの手法、そしてAIによるクレジットカード窃盗について取り上げます。
5件のニュース読了時間 1分
攻撃者は、クロスプラットフォームでの展開と、再現性が高く複雑性の低い配信メカニズムにますます注力している。イランのグループNimbus Manticoreは、採用活動を装ってmacOSとLinuxを標的としたNode.jsとJavaScriptマルウェアを展開している一方、ClickFixの手法はユーザーの操作を悪用してスキャン防御を完全に回避する。
同時に、インフラストラクチャの脆弱性管理は依然として主要なリスク要因となっています。約22,000台のMicrosoft Exchangeサーバーがメールボックスの完全な侵害に対して脆弱な状態にあり、基本的な境界防御が既知の脅威ベクトルに追いついていない現状が浮き彫りになっています。
約22,000台のMicrosoft Exchangeサーバーがハイジャック攻撃に対して脆弱であることが判明
オンライン上に公開されている約2万2000台のMicrosoft Exchangeサーバーが、攻撃者がすべてのユーザーメールボックスを乗っ取ることを可能にする、深刻な認証バイパスの脆弱性に対するパッチが適用されていないままになっている。
- 重要な理由
- パッチが適用されていないExchangeサーバーを使用している組織は、メールの完全な侵害、データ漏洩、および企業ネットワーク全体への横方向の移動といったリスクに即座に直面する。
- 取るべき対応
- このパッチにより、認証バイパスの脆弱性を解決するため、Microsoft Exchangeサーバーが直ちに公開されました。
イランのハッカー集団が採用担当者を装い、コーディングテストを通じてクロスプラットフォーム対応のRAT（リモートアクセスツール）を配布
イランのハッキンググループ「Nimbus Manticore」は、これまで記録されていなかった2つのマルウェアファミリーに関与していることが判明しており、これは同グループのツールセットの継続的な進化を浮き彫りにするとともに、Nodeを使用して開発されたクロスプラットフォームのリモートアクセス型トロイの木馬（RAT）を用いて、LinuxおよびApple macOSシステムに感染するよう標的範囲を拡大している可能性が高い。
脅威アクターはより高度な攻撃を求めているのではなく、再現可能な攻撃を求めている。
攻撃者は、単純で再現性の高い攻撃手法を強く好んでいる。マイクロソフトの報告によると、ClickFixソーシャルエンジニアリング（ユーザーを騙してターミナル経由でクリップボードコマンドを実行させる手法）が初期アクセス攻撃の47%を占め、Bitdefenderは、深刻なインシデントの84%がLiving-Off-The-Land（Living-Off-The-Land）を利用したものであることを発見した。
- 重要な理由
- 攻撃は、カスタムマルウェアやソフトウェアの脆弱性を悪用するのではなく、ユーザーの操作や正規のシステムバイナリを利用するため、従来のセキュリティツールを回避するケースが増えている。
攻撃者がMETRのAPIキーを盗み、約60万ドル相当のAIクレジットを消費
profit METRは2026年に2件のセキュリティインシデントを公表した。3月には、攻撃者が推論APIキーを盗み、約60万ドル相当のAIクレジットを消費した。5月には、攻撃者が公共インフラを組織的に調査し、公開されたエンドポイントを悪用しようと試みた。
- 重要な理由
- 公開されたAPI認証情報や設定ミスのある公開エンドポイントは、たとえ基となる内部データが無事であっても、リソースの不正利用を通じて莫大な金銭的損失につながる可能性があります。
米国でATMジャックポット攻撃を行ったベネズエラ人5人が有罪を認める
ベネズエラ国籍の5人が、マルウェアを使って現金自動支払機から現金を抜き取るATMジャックポット攻撃を実行したとして、米国で有罪を認めた。
要点
- Nimbus Manticoreは、NodeRabbitとPollCatマルウェアを含むトロイの木馬化されたコーディングテストを使用して、macOSおよびLinuxプラットフォームを標的にします。
- 約2万2000台のMicrosoft Exchangeサーバーが、メールボックスの侵害につながる認証バイパスの脆弱性に対するパッチが適用されていないまま放置されている。
- マイクロソフトは昨年、ClickFixによるソーシャルエンジニアリングが最も一般的な初期アクセス経路であることを確認し、通知の47%を占めた。
- 攻撃者は、AI研究を行う非営利団体METRのAPIキーを侵害し、約60万ドル相当の推論クレジットを消費させた。