2021年サイバー脅威インテリジェンスレポート

• 標的の変化：2021年の最初の数カ月は、重要なインフラストラクチャや上流のプロバイダー（データが豊富な保険会社など）が標的にされました。
• 戦術の強化：ランサムウエアのネゴシエーター（交渉人）としての対応も行っているサイバーセキュリティ企業のCovewareは、2020年後半、データを暗号化されるだけでなく、身代金を支払った後も復旧できないようデータを破壊されるケースが多発していると発表しました。
• 脅迫のパーソナル化：2020年に生まれた新しい暴露戦術が急速に進化したことで、データ漏えいの強迫による損失が拡大し、被害者は風評被害も受けるようになりました。
• 戦術、技術、手順（TTP）の進歩：アクセンチュアのサイバー脅威インテリジェンスチームは、ランサムウエア攻撃集団Hadesによる注目すべき防御回避戦術を明らかにしました。この戦術では、自動操作と手動操作でエンドポイントの防御が無効化されます。

企業は、準備、予防、事前暗号化による防御に注力する必要があります。

• Cobalt Strikeの悪用の急増：最近のバージョンのCobalt Strikeは、過去のバージョンより利用しやすく、カスタマイズ性も高まっています。
• 攻撃ツールの進化：攻撃者は、自身のカスタムローダーを進化させ、Cobalt Strike Beaconを送り込んでいます。
• マルウエアの統合：アクセンチュアのサイバー脅威インテリジェンスチームは、情報窃盗マルウエアであるEvilGrabとCobalt Strike Beaconが使用するインフラストラクチャが重複していることを、2021年初頭に初めて発見しました

企業は、この増大する脅威に対処できる防御ツールを、極めて重要なプロダクション環境での侵入テストに導入する必要があります。

• 攻撃者はまず、第1段階のコモディティマルウエアによって、エンドポイントにさらにマルウエアを配置できるようにします。
• 続いて、海賊版のCobalt Strikeインスタンスを悪用するなど、後続のコモディティマルウエアやツールを使用します。これにより、企業のインフラストラクチャ全体、さらにはOTアセットへの感染拡大のリスクが高まります。
• これまでに、QakbotとIcedID、DoppelDridexとHancitorを利用した活発なマルウエアキャンペーンが確認されています

企業は、コモディティマルウエアの脅威を最も効果的に防御するために、攻撃への対処ではなく、攻撃の予防を検討する必要があります。

• ランサムウエア攻撃集団であるCLOPとHadesの活動により、状況が一変：最近、広く使用されているAccellion File Transfer Appliance（FTA）で脆弱性が発見され、これを悪用したグローバルなデータ侵害が発生しました。2021年前半に公開されたレポートによると、ランサムウエア攻撃集団のCLOPがこれに関わっています。また、同じくランサムウエア攻撃集団であるHadesが、2021年前半に活発に活動し、エンドポイントにおける検知と対応を行うEDRツールを迂回してエッジデバイスを侵害する能力があることを示しました。
• 情報の購入と利用が簡単に：アクセンチュアのサイバー脅威インテリジェンスチームは、攻撃者によるマルウエアログ、すなわち情報窃盗マルウエアによって得たデータの販売が、わずかではあるものの明らかに増加していることを確認しました。

企業では、防御担当者が情報を共有し、脅威活動の把握、防止、特定、対処に努める必要があります。