Over Security

Analysis of Related Threat Actors: DarkRaaS and CornDB In October and November 2024, two notable threat actors, DarkRaaS and CornDB, emerged on BreachForums, displaying striking similarities in their operations, targets, and methodologies. This analysis examines the activities of these actors and the evidence suggesting their likely connection. DarkRaaS/bashify DarkRaaS, an initial access and data broker, […]

侵害の兆候 (IoC) や脅威インテリジェンスのフィードから、本格的な調査・脅威研究を実行するチームの構築にいたるまで、 サイバー脅威インテリジェンス（CTI）は組織の様々な側面で重要な役割を果たしています。そして、脅威インテリジェンスアナリストはCTIチームが十分な情報に基づいて意思決定を行ったり、組織のセキュリティ体制を効果的に強化・改善する際に活用できる実用的な知見を提供しています。 脅威インテリジェンスアナリストがいない組織の場合、能動的な方法でインシデントを阻止ために必要な情報が得られず、問題が起こるたび事後対応に追われるという事態が多々発生します。しかし、実用的なインテリジェンスを導入することで、サイバー攻撃に対するレジリエンシーをより簡単に強化することが可能となるのです。 脅威インテリジェンスアナリストの役割とは？ 脅威インテリジェンスアナリストは、自組織を標的とする外部の脅威を検証・分析する業務を担当します。具体的には、サイバー犯罪フォーラムやランサムウェアブログ、自動売買ショップ、ボットマーケットプレイス、データベースダンプ、Telegram チャンネルなどのサイバー犯罪情勢を監視し、ダークウェブで漏えい・販売されている機密データを検索し、オープンウェブやディープウェブ、ダークウェブのソースから収集した情報を相関させて脅威データを分析し、「生の情報」を様々なセキュリティチームが利用できる「推奨策」に変換します。 また、能動的に脅威を調査し、サイバー攻撃に発展する前にリスクを特定したり、従業員が取るべき対応を理解できるよう、セキュリティ意識の向上業務を担当することもあります。企業に勤務している上級レベルの脅威インテリジェンス専門家であれば、戦術・技術・手順（TTP）に関する深い知識を活用して、脅威アクターのプロファイリングを行う場合もあるでしょう。そうした諸々の業務に忙殺され、ランチタイムを削る日もあるかもしれません。 脅威インテリジェンスアナリストに必要なスキルとは? アナリストは、入手した情報がもたらす影響を理解する必要があるため、サイバーセキュリティに関する一般的な知識が必要となります。脅威インテリジェンスアナリストの多くは、バックグラウンドとしてコンピュータサイエンスや情報セキュリティ、ネットワークエンジニアリングの知識を持っていますが、この職につくための道筋は1つではありません。繰り返しになりますが重要なポイントは、アナリストは入手した情報がもたらす影響を理解する必要があるということ、そしてそのためには、ITやサイバーセキュリティに関する確固たる知識や経歴を持っている必要があるということです。 一般の人は、サイバー犯罪者が自分の電子メールアカウントのパスワードを窃取したと聞けば、「大学時代のルームメイトが毎月送ってくるメールをハッカーに盗み読みされてしまうかも」という程度の懸念を持つかもしれません。しかし、熟練した脅威インテリジェンスアナリストは、窃取されたパスワードがネットワークへの不正アクセスに利用され、その後は横移動やランサムウェア攻撃、APTによる攻撃など、高度なサイバー攻撃の発端となりうることを認識しています。技術的なバックグラウンドを持ち、脅威の影響や緩和策を理解している人であれば、たとえ有効期限が切れた過去のパスワードでもソーシャルエンジニアリング攻撃やフィッシング詐欺と併用することにより、現在皆さんが使用しているアカウントに不正アクセスする手段として悪用できることを認識しているからです（例えば、現在のパスワードを忘れた場合、過去のパスワードを本人確認に使用できるサービスもあります）。つまり、窃取されたパスワードの有効期限が切れた場合でも、リスクがなくなるわけでないのです。 サイバーセキュリティのバックグラウンド以外にも、脅威インテリジェンスアナリストには以下の資質が求められます。 脅威インテリジェンスアナリストが実社会に与える影響 脅威インテリジェンスアナリストは、組織や業界、コミュニティが安全を確保し、攻撃者に対してレジリエントな体制を維持できるよう日々の業務を通じてサポートしています。以下に、脅威インテリジェンスを活用した業務の実例をご紹介します。 ランサムウェア攻撃の阻止 以前、米国の某学区のドメインに関連したアカウント情報が侵害され、アンダーグラウンドのマーケットで売り出されるというインシデントが発生しました。18万人の生徒を擁する同学区は、KELAのアナリストの支援を受けて侵害の事実を早期段階で検知し、ボットの情報をテイクダウンして、ランサムウェア攻撃に発展する事態を回避しました。 攻撃者の標的になる事態は避けられなくとも、リアルタイムな脅威インテリジェンスで大きな違いをうみだすことはできます。また、脅威インテリジェンスプラットフォームとActive Directoryを連携している某企業は、自社に紐づいたパスワードを含む情報を情報窃取マルウェアに窃取され、漏えいされた際、そのパスワードの有効性を速やかに検証し、強制リセットをかけてリスクを軽減することに成功しました。 コンプライアンスを順守しながらサードパーティリスクを緩和 脅威インテリジェンスアナリストが直面している課題の1つとして、プライバシーやコンプライアンスに関する要件の順守と、サードパーティリスク管理（TPRM）の両立が挙げられます。今日の複雑なサプライチェーンにおいては、攻撃者は（サプライヤー企業の）1社を足掛かりにして多数の顧客企業を侵害することが可能となっているため、アナリストはサプライチェーンで増大しているリスクを注視する必要があります。そしてこの課題については、KELAをはじめとするプロバイダーが提供している脅威インテリジェンスプラットフォームのパッシブスキャンを活用し、AIを活用した予測リスクスコアをベンダー毎にチェックして対応することができます。この機能により、アナリストは保護すべき情報を開示することなく、脅威のレベルを把握することが可能となっています。 詐欺の防止  脅威インテリジェンスアナリストは、アンダーグラウンドのサイバー犯罪フォーラムやTelegram チャンネル、その他ディープダークウェブ上のソースを監視して組織の資産に関する情報をチェックし、攻撃に発展する前にその影響を緩和できるようサポートしています。過去には、アナリストが米国の法執行機関の情報を監視する中で、警察官が署名した小切手の画像を発見するという事例がありました。その後、この小切手は(持ち主の)警察官が地元で投函した郵便ポストから窃取されたものであることが判明しましたが、そこには警察官の銀行口座の詳細情報が記載されていました。このような小切手が脅威アクターの手に渡った場合、口座から金銭を引き出されたり、署名を偽造されたり、他の脅威アクターに販売される可能性があります。 またこのインシデントの特定は、小切手を悪用されるリスクを軽減するのみならず、次のアクションにつながりました。米国郵政公社が市民に対し、郵便ポストへの投函に関する警告を発出したのです。脅威が発見されたからこそ、さらなる被害を防ぐべく警告を出すにいたったこのインシデントは、脅威インテリジェンスが幅広い公共の利益のためにも活用できることを示しています。その年は、多くのおばあちゃんが郵便ポストで発生した盗難を警戒し、孫に郵送するクリスマスカードに現金を入れるのをやめたことでしょう。 攻撃中のインシデント対応 また日本の某金融サービス企業は、同社のクレジットカード番号（約3万件分）がTelegram上で売り出された際、KELAの脅威インテリジェンスサービスを活用して、売り出されたクレジットカードの番号を正確に特定することにより、詐欺被害を未然に防ぐことができました。この時売り出されていたクレジットカード番号のうち、188件は有効なカードのものであり、悪用された場合の損失は推定約75万ドル超に上りました。 その一方で、KELAの顧客である某通信会社がアカウント情報を侵害され、そのアカウント情報を含むボットファイルを入手しようとしたときには、ファイルがマーケットから削除されていたということもありました。これは、そのファイルがサイバー犯罪者に買い取られてしまった可能性があることを意味しています。しかし、KELA はその会社の脅威インテリジェンス アナリストと協力し、マルウェアが保持していたURL情報や関連する WordPress アカウントをもとに、（感染端末ユーザーの）LinkedIn プロフィールにたどり着き、そのユーザーが通信会社の元従業員であることを特定しました。その後同社は、この元従業員の資格情報を無効にすることで脅威を軽減しつつ、能動的な監視活動を継続して防御を強化しました。 脅威インテリジェンスアナリストが直面する課題とは？  脅威インテリジェンスアナリストとして働く場合、関与する業務は多数あります。また脅威インテリジェンスを担当するチームは、常に大量の情報を処理し、ノイズと実用的なインテリジェンスをよりわけることに苦心しています。 脅威は常に進化しており、また政府が脅威アクターを取り締まり、重い罰則や長い懲役刑を科すようになっている状況を背景に、攻撃者は検出を回避するべくTTP を定期的に変えています。アンダーグラウンドでは、ランサムウェア・アズ・ア・サービス（RaaS）や、クラウドを活用したログの販売、サブスクリプション料金で利用可能なサイバー犯罪者用プラットフォームなど、サイバー犯罪者向けのサービスが商品化され、新たなビジネスモデルが普及しています。そしてそれにともない、脅威インテリジェンスアナリストの業務範囲も常に拡大しています。またアナリストは、サイバー犯罪者が生み出した新たなビジネスに加え、組織が攻撃を受けるシチュエーションの変化も理解しておく必要があります。どのような情報が知的財産と見なされるのか、ソーシャルエンジニアリング攻撃はどこで発生するのか、AIでサイバー犯罪者との攻防がどのように変化するのかなどの質問に答える必要があるからです。 サイバー犯罪がますます高度化する一方で、ほとんどの組織は対応すべき重要なタスクを多数抱え、限られたリソースで業務をこなしています。そして、アナリストは限られたリソースで最大限の効果を発揮できるようにするために、リソースの最適な配置を判断しています。また、結果を出すには関係者間の協力が不可欠ですが、全員の認識を一致させ、技術チームと経営幹部レベルの意思決定者にあるギャップを埋めることが困難な時もあります。 KELAのインテリジェンスオペレーションで脅威インテリジェンスアナリストの作業を効率化 KELAのインテリジェンスオペレーション部門は、サイバーインテリジェンスの専門家で構成されており、お客様独自のニーズや課題に応じた包括的なサポートを提供して、サイバー領域の安全確保と業務の最適化を支援しています。 最新のテクノロジーと豊富な実績を持つKELAのチームが、組織を補完する「拡張部門」として機能し、皆様が新たな脅威に先回りして、複雑なサイバー空間に確固たる姿勢で対峙するために必要なツールや知見、戦略をご提供します。 無料トライアルで、KELAの能動的＆リアルタイムな脅威インテリジェンスプラットフォームを体験してください。

From ingesting Indicators of Compromise (IoC) and threat intelligence feeds to building fully-integrated teams that conduct full-scale investigations and threat hunting activities, Cyber Threat Intelligence (CTI) holds a crucial role in an organization. Threat intelligence analysts provide the actionable insights that CTI teams use to inform their decision making, and to effectively bolster and improve […]

はじめに Telegramは、世界中で多くの人々が使用している合法的なプラットフォームです。しかし以前KELAのレポートで解説したとおり、そのモデレーション機能のゆるさがサイバー犯罪活動を行う上で利点となっており、この数年でTelegramはサイバー犯罪者の間でも主要なプラットフォームとして使用されるようになりました。いまや彼らは、窃取したデータやハッキングツールを配信したり、攻撃の犯行声明を出したり、その他様々な不正行為を行う拠点としてTelegramを使用しています。 2024年9月、Telegramは運営方針を変更し、それまでのプライバシー保護第一主義のアプローチをやめ、テロ事件をはじめとする様々な犯罪捜査の要請に応じて、ユーザーの電話番号やIPアドレスを法執行機関に開示したり、犯罪捜査面で当局に協力することを明言しました。この変更を受け、Telegramを利用していたサイバー犯罪者の間では、今後も同プラットフォーム上で活動を続けていけるかについて疑問が生じています。 Telegramが運営方針を変更した理由として、同プラットフォームの設立者兼CEOであるPavel Durov氏がフランスで当局に逮捕されたこと、またその後、同プラットフォームとDurov氏に対する法的な圧力が高まったことが挙げられます。そしてDurov氏の逮捕後は、Telegramを使用している多数の脅威アクターの間で騒動が発生する事態となりました。 脅威アクターらは、Durov氏の逮捕とTelegramの運営方針変更は、自分達の自由をまっこうから制限するものであると見なしていました。そしてKELAがアンダーグラウンドを調査したところ、運営方針の変更が発表された直後には、脅威アクターらが新たな拠点で違法行為を続けるべく、他のプラットフォームへ移行することについて議論している様子が観察されました。 彼らの激しい反応やそれまでの状況を考慮すると、Telegramは「サイバー犯罪者がよりどころにしているプラットフォーム」としての地位を失い、それまで同プラットフォームでサイバー犯罪に従事していたユーザーは、新たな活動拠点となるプラットフォームを模索することになるであろうと思われました。そこでKELAは、Telegramの運営方針が変わってから3カ月後、同プラットフォームがどのように変化したのかについて調査しました。 調査結果の要点 Telegramが運営方針を変更した後も、同プラットフォームは引き続きサイバー犯罪者にとって主要な活動拠点となっており、その理由としてTelegramが提供している機能や、確立されたユーザー基盤の存在が挙げられます。しかし、サイバー犯罪エコシステムは常に変化しているため、今後も各プラットフォームや手法の進化を観察してゆく必要があります。 Telegram以外の選択肢は？ 2024年9月にTelegramが運営方針を変更して以降、脅威アクターらはTelegramの代わりとなるプラットフォームについて議論しています。彼らが代替候補として名前を挙げたプラットフォームやプロトコルの一部を以下に記載します。 Telegramの代替プラットフォームに関する議論の大半では、メッセージの機密性や高度な暗号化機能がもっとも重視すべきポイントとして挙げられていました。また、当局に対するプラットフォームの透明性も重大な懸念事項の1つとなっていました。以下に、その様子がわかる事例を掲載します。 また一部のサイバー犯罪者は、Telegramで違法行為に関与していたチャンネルやグループが閉鎖したことを確認したと報告しており、これもさらなる議論を引き起こしています。そして実際、Telegramで無効となったチャンネルの件数が増加している様子が観察されています。しかしサイバー犯罪者らも、Telegramでチャンネルが無効にされた事態に備えてバックアップ用のチャンネルを作成しており、メインチャンネルが使用禁止になった時にはそれらのバックアップ用チャンネルを使用しています（彼らの大半は、バックアップ用のTelegramチャンネルを前もって他のユーザーに周知しています）。しかしその一方で、バックアップチャンネルを使用するにとどまらず、実際に他のプラットフォームを使用するようになったサイバー犯罪者の存在も確認されています。 今もDiscordやSignalより人気の高いTelegram 前セクションで記載したとおり、サイバー犯罪者の中にはバックアップチャンネルを作成している者もいます。しかしそれにとどまらず、実際に他のプラットフォームを使用するようになった者もいます。 まず、Telegramとそれ以外のプラットフォームの人気を測定するため、我々はサイバー犯罪者が共有したプラットフォームのリンク数を調査しました。今回調査対象にあがったリンクのほとんどは、一般的な議論に関する投稿ではなく、特定のグループへのインビテーションに関連しています。Telegramの代替として議論されているプラットフォームのうち、SignalとDiscordには、グループやコミュニティを作成したり、比較的簡単にユーザー登録できるなど、Telegramが最初にユーザーを引き付けた機能が備わっています。 KELAがサイバー犯罪関連のTelegramチャンネルを調査したところ、2024年8月24日にPavel Durov氏が逮捕されて以降、Signalチャンネルのリンクを共有しているメッセージの件数が増加していることが確認されました。しかしさらに調査を進めた結果、過去3カ月間にそれらのリンクを共有していたメッセージのほとんどは主に5つのグループが投稿していたものであったこと、またそれらのメッセージでは、自分達（5グループ）がSignalで運営しているチャンネルについて記載しつつ、Telegramで行っている活動について宣伝していたことなどが確認されました。 また調査結果を見る限り、一部のアクターはTelegramと並行してSignalを使用しはじめたようですが、Signalの人気はそれほど高まっていないものと思われます。 Discordも、様々な議論でTelegramの代替プラットフォームとして頻繁に名前が挙がっていますが、KELAが調査した限り、Discordのサーバー（コミュニティ）へのリンクを共有している件数に著しい増加傾向はみられませんでした。 それでもDiscordやSignalのリンク共有件数は以前よりも増加していると言えますが、特筆すべき点として、Telegramのリンクも活発に共有されていること、そしてこれら3つのメッセージプラットフォームの中で、Telegramがもっとも高い人気を誇っていることが挙げられます。 2024年8～12月の間に共有されたSignalとDiscordのリンクは、月平均で682件（両プラットフォームの合計）となりましたが、同期間に共有されたTelegramのリンクは月平均で24万6,903件に上り、他のプラットフォームを大きく引き離しています。 一部のTelegramグループは、個々のメッセージを投稿する度に自らのTelegramチャンネルのリンクを記載しています。そのため、Telegramのリンクが含まれていたメッセージは、それらグループのものが大半を占めていると言えます。しかし、それらグループの投稿をカウントの対象外にしたとしても、Telegramが広範に使用されているという現状に変わりはありません。 Telegramを離れると宣言したものの留まったグループ Durov氏の逮捕を受けてTelegramの運営方針が変更された直後、一部のTelegramチャンネル管理者は、他のプラットフォームでチャンネルを作成して移行するとの計画を公表しました。しかしその後、彼らが他のプラットフォームで作成した新たなチャンネルは、メインで使用しているTelegramチャンネルの代替ではなく、バックアップ用チャンネルとして使用されている様子が観察されました。 例えば2024年9月26日、親バングラデシュ派のハクティビストグループ「Team ARXU™」は、セキュリティを強化するためにTelegramからSignalへ活動の場を移行することを決定したと発表しました。同グループはフォロワーに対し、「より安全でプライベートなチャット体験」に参加するよう呼びかけ、新しく作成したSignalグループのリンクを共有しました。 しかしそれから3カ月が経過した後も、Team ARXU™のTelegramチャンネルは活動を続けており、登録ユーザー数も現在では2,000人近くに増加しています。同グループは活動の場を変更すると明言しましたが、その後も新たなコンテンツをTelegramチャンネルに定期的に投稿しています。その一方で、移行先として共有されたSignalのリンクは、本レポート執筆時点で無効となっています。 ランサムウェアグループ「Bl00dy Ransomware Gang」も、2024年9月24日にTelegramの運営方針変更を受けて、同プラットフォームを離れると宣言しました。同グループはこの宣言直後にTelegramチャンネルでの活動を停止しましたが、その1カ月後の2024年10月24日には新たなTelegramチャンネルで活動を再開し、そこでランサムウェア攻撃の被害組織を公表するようになりました。また同グループは、自らのXアカウントでも新たなTelegramチャンネルを宣伝しています。 ランサムウェアグループ「Bl00dy」が以前使用していたTelegramチャンネルで最後に投稿したメッセージ また2024年9月24日、反イスラエル派のイラク系ハクティビストグループ「Al Ahad」も、Telegramの運営ポリシーが変更されたことを理由に同盟メンバーやチャンネルをSignalへ移行することを表明し、移行先となるSignalチャンネルのリンクを公開しました。しかし、その後同グループがTelegramチャンネルで活動を停止することはなく、それどころか英語で運営しているメインチャンネルに加え、ヘブライ語のチャンネルを新たに立ち上げました（なお、同グループが英語で運営していたメインチャンネルは、ヘブライ語のチャンネル開設直後に閉鎖されています）。 現在このAl Ahadは「Al Ahad Security」とグループ名を変え、「Al Ahadの傘下にある1グループ」という立ち位置でTelegramで活動しています（グループ名を変更した理由は、Telegramの監視をさけるためであると思われます）。またグループの自己紹介部分には、Durov氏宛てのメッセージとして、「このチャンネルはTelegramのルールに従っている。このチャンネルは、テロ対策やハッキング対策を行っている」と記載されており、違法行為は行わないと主張しています。そして実際、このチャンネルにはAl Ahad Securityが行った攻撃に関する情報ではなく、親パレスチナ派グループによる攻撃や犯罪活動の情報が再投稿されています。Al Ahadもメインチャンネルでの活動を終了する前の時期、自らの活動（主にイスラエルの組織を標的にした攻撃）に関するメッセージをAl Ahad Securityのチャンネルに転送していました。 以下の表は、Telegramを離れると宣言した5グループの詳細と、彼らのその後の活動についてまとめたものです。 グループ名 グループの詳細 The group’s plans following the arrestDurov氏逮捕後の計画 その後の活動 […]

Introduction Telegram, as previously reported by KELA, is a popular and legitimate messaging platform that has evolved in the past few years into a major platform for cybercriminal activities. Its lack of strict content moderation has made the platform cybercriminals’ playground. They use the platform for distribution of stolen data and hacking tools, publicizing their […]

情報窃取マルウェアは、感染先のデバイスから機密情報を窃取するよう設計されたマルウェアであり、感染した端末はボットと呼ばれることもあります。情報窃取マルウェアは情報を窃取するとログ（窃取した情報のレコード）を作成し、攻撃者はそれらのログを回収して販売することによって金銭化したり、ランサムウェア攻撃のように直接的な攻撃を実行する際の初期アクセスとして利用します。情報窃取マルウェアの具体例としては、RedLine Stealer、Raccoon Stealer、Vidar、Meta Stealer、Lumma、Stealc、RiseProなどが挙げられます。 それでは、情報窃取マルウェアはどのようにデバイスに感染し、どのような情報を窃取するのでしょうか？そして窃取された情報は、どのように皆さんの組織のセキュリティ侵害に悪用されるのでしょうか？今回のブログでは、それらの質問に回答していきます。 どのような人が情報窃取マルウェアに感染しやすいのでしょうか？また、どうやって感染するのでしょうか？ 簡潔に回答すると、誰でも情報窃取マルウェアの被害者になる可能性があります。今日のサイバー犯罪者は日和見的に活動しており、金銭を入手するチャンスを常に模索しています。そしてその一方で、ログを売買する環境もこれまで以上に簡単に利用できるようになっています。また攻撃者の中には政治的または個人的な動機で特定の人物や組織を狙う者もいますが、サイバー犯罪者の大半は発見した弱点が何であれ、隙あらば攻撃しようと考えています。そして従来型のセキュリティツールも、もはや防御面で十分な役割を果たしているとは言えません。EDRが適切にインストールされていたにもかかわらず、デバイスが情報窃取マルウェアに感染している事例もあるのです。 アンダーグラウンドでは、月額数百ドルで情報窃取マルウェアを利用できるサブスクリプションサービスも提供されており、いまやサイバー犯罪者は簡単に情報窃取マルウェアを利用できるようになっています。そしてその結果、あらゆる人や組織が情報窃取マルウェアに感染しうる状況になっています。情報窃取マルウェアを配信する際には、ユーザーを悪意あるウェブサイトへリダイレクトするマルバタイジング、検索結果の上位に悪意あるウェブサイトを表示するSEOポイズニング、従業員へのフィッシングメール、不正なコードを組み込んだソフトウェアアップデート、一見無害に見える改造版ソフトウェアやゲームのチートツールなどが頻繁に使用されています。 また攻撃者の中には、侵害したデバイスへのマルウェア配信・インストールを支援してくれるサービスを利用する者もいます。具体例としては、複数の標的にアクセスできる攻撃者が、マルウェアを配信・インストールするためのツールや技術的支援を他の脅威アクターに提供してもらい、その対価として窃取したログを共有したり、代金を支払うなどが挙げられます。 情報窃取マルウェアはどのような情報を収集するのでしょうか？そしてどのように情報を金銭化するのでしょうか？ デバイスが情報窃取マルウェアに感染した場合、次に何が起こるのでしょうか？情報窃取マルウェアは、クレジットカード番号から銀号口座の詳細といった財務データから、電子メールアカウントや様々なオンラインサービス（Salesforce, Jira, Slack, VPNs, Active Directory、その他）のログイン資格情報やパスワードにいたるまで、幅広い情報を窃取することができます。また、個人のデバイスが感染した場合は、社会保障番号をはじめとする個人識別情報や暗号資産ウォレットの詳細情報、システム情報（OSの種類やインストールされているソフトウェア、ハードウェアのスペック、その他）なども窃取される場合があります。そして、Snowflake社で発生したインシデントのように、サードパーティのサービスが情報窃取マルウェアの標的となった場合、事態はさらに深刻になります。攻撃者は情報窃取マルウェアが最初の感染先企業から窃取したデータを利用し、同じ手口で多数の企業を攻撃することができるからです。例えばSnowflake社のインシデントの場合、攻撃者は情報窃取マルウェアを使用して同社のインスタンスで使用されている資格情報を窃取し、その後この資格情報を悪用して同社の顧客企業165社を侵害しました。 情報窃取マルウェアがログを収集した後、攻撃者は収集したログをどのように収益化するかを検討します。ログの買い手となるサイバー犯罪者が実行する攻撃の種類によって、彼らが興味を持つデータの種類も異なるからです。銀行口座から直接金銭を窃取したいと考えるサイバー犯罪者の場合は銀行口座の詳細情報に関心を示し、より高度な攻撃（ランサムウェア攻撃など）を企むサイバー犯罪者であれば、初期アクセスとして悪用できるパスワードやログイン資格情報に関心を示すでしょう。 そして、手っ取り早くログを金銭化しようとするサイバー犯罪者にとって幸いなことに、アンダーグランドには以下をはじめ、ログを簡単に金銭化する方法が多数存在します。 ボットネットマーケット：ログ（窃取した情報）の種類にもよりますが、1レコードにつきだいたい0.5～50ドルで販売することができます。RussianMarketで販売する場合は、より高額な値段で販売することも可能です。特に、サイバー犯罪者が高いニーズがあると自負しているログやデータを売りに出す場合は、同マーケットが販売に適しているといえるでしょう。2022年9月にはUber社でサイバーインシデントが発生しましたが、同月、Uber社従業員のユーザー名と有効なパスワードがRussianMarketで売り出されていたことが判明しています。ログの情報によると、少なくとも同社従業員2人が情報窃取マルウェア「Racoon」と「Vidar」に感染したデバイスをしており、この時販売されたユーザー名とパスワードが、同社インシデントの発端になった可能性が指摘されています。 ログのクラウド：ユーザーが一定の月額料金を支払うと、情報窃取マルウェアが感染デバイスから収集した全資格情報にフルアクセスできるようになるサービスです。この類のサービスの多くはTelegram上で提供されています。Netflixの「侵害された資格情報」バージョンとも言い換えることができるでしょう。このアプローチの利点の1つとして、ユーザー（サイバー犯罪者）は、ログを個別に購入するよりも低価格で大量のログを購入できることが挙げられます。 ULP (url:login:password) ファイル：情報窃取マルウェアが収集した資格情報は、ユーザー名とパスワード、ログイン先のURLをセットにした資格情報リストとして提供される場合もあります。このリストはULPファイルとも呼ばれており、数百万件もの資格情報が含まれていることもあります。そして攻撃者はこのリストを使用することにより、簡単に攻撃を実行することが可能となります。 情報窃取マルウェアの脅威を阻止するうえで、アイデンティティセキュリティが果たす役割とは？ 情報窃取マルウェアは水面下で動作するよう設計されているため、実際にアカウント情報を悪用した攻撃が発生して初めて、自組織のアカウントが侵害されていることに気付くという場合もあります。皆さんは、「自分は侵害されていないだろう」と考えているかもしれません。しかし、今日のサイバー犯罪者が最も悪用している侵入経路は有効なアカウント情報であり、アカウント情報を悪用してネットワークに不正アクセスされた事例は今年に入ってすでに前年比で71%増加しています。そしてその影響も深刻です。窃取・侵害されたアカウント情報を悪用した攻撃が発生した場合、その検知と封じ込めにかかる日数は平均292日であり、他の攻撃ベクトルよりも長期化することが報告されています。また、各インシデントの対処費用は約481万米ドルに上るということです。 多要素認証も、常に有効な策となるわけではありません。「Lapsu$」や「Scattered Spider」などの脅威グループは、多要素認証疲労攻撃やソーシャルエンジニアリング、SIMスワップ攻撃により、多要素認証を回避することが知られています。また、クッキーを窃取された場合も、多要素認証が防御策として機能しなくなる場合があります。攻撃者が（被害者の）セッションのクッキーを窃取することに成功した場合、そのクッキーを自らが使用するブラウザ（たいていは検出防止機能のあるブラウザ）に投入するだけでそのユーザーになりすまし、Webサイトやアプリケーションを使用することが可能となります。この手法は、「セッションハイジャック」という名称で知られています。 いずれの攻撃についても、早期検知が重要であることは明らかです。そして、攻撃は突然発生するわけではありません。様々な専門分野を持つ脅威アクターが綿密に計画を練り、協力し、既知のツールや戦術・技術・手順（TTP）、有名な情報窃取マルウェアを使って攻撃を実行しているのです。それら攻撃の多くは、定評のある脅威グループによって行われており、窃取されたログは有名なチャンネルやマーケット、プラットフォームなどで提供されています。皆さんがそのような活動を目にする機会はないかもしれませんが、我々は日々の業務で観察しています。 昨年KELAが検知したアカウント情報や資格情報は20億件超（重複分を除く） そこで、KELAのIDENTITY GUARDがアカウント情報の侵害を早期検知するセキュリティソリューションとして効果を発揮します。アンダーグラウンドのサイバー犯罪社会を綿密に監視するIDENTITY GUARDは、以下の機能で組織の皆様をサポートします。 ボットネットマーケットやTelegramチャンネル、その他ダークウェブのソースを監視し、組織のドメインやIP、電子メール、SaaSアプリケーションと関連のある資産やアカウント情報の侵害を検知。 感染した端末の隔離、侵害されたアカウントのパスワードリセット、多要素認証の導入徹底などを自動化することにより、攻撃を未然に阻止。 セキュリティベンダーが提供するテイクダウンサービスなどを活用し、窃取された資格情報をマーケットから削除。 脅威アクターの戦術・技術・手順や挙動を解明。また、彼らの今後および将来の攻撃に関する計画や活動、手法を傍受。 新たなツールや情報窃取マルウェアの亜種、マルウェア・アズ・ア・サービスをはじめとする情報窃取マルウェアの情勢を可視化。 サイバー犯罪のエコシステムで、自組織の情報が侵害されていないかチェックしたいとお考えの皆様、ぜひKELAの脅威インテリジェンスプラットフォームの無料トライアルにご登録ください。

Information-stealing malware (or infostealers to their friends) are a kind of malware designed to steal sensitive information from an infected device, also known as a bot. Once stolen, the malware creates records of the stolen information, known as logs, and then attackers monetize these harvested logs either by selling them on, or launching a direct […]

はじめに サイバー犯罪社会が進化し続ける中、注目を集めているアクターは多数存在します。その中の1人である「IntelBroker」は、これまで世間の注目を集めた様々なインシデントに関与し、企業や政府を震撼させてきました。そこで今回、KELAは同アクターがオンライン上で行っている活動や、使用しているプロファイルについて詳細な調査を行いました。その結果、OSINTで同アクターの様々な痕跡が確認され、IntelBrokerと他のアクターのつながりが明らかとなりました。今回のブログでは、KELAがIntelBrokerについて調査した結果について詳述します。またKELAのプラットフォームでは、同アクターの詳細なプロファイルレポートを公開しており、そこに含まれている重要なインテリジェンスの一部を本ブログでご紹介します。 IntelBrokerの高度なサイバー犯罪能力 IntelBrokerは2022年後半にサイバー犯罪社会に登場し、サイバー犯罪フォーラム「BreachForums」で活動を開始しました。同アクターは、活動当初はランサムウェアオペレーターとして、またその後は多数のデータ侵害の実行犯として、スピーディに評判を確立しました。さらに時を経て、同アクターはリーダー的な立場へと移行し、BreachForumsの運営を引き継ぎました。これまでIntelBrokerが行った活動には、AMD社や欧州刑事警察機構（ユーロポール）、Cisco社など有名な組織に対する侵害も含まれており、それらの攻撃では被害組織から機密データを窃取し、Monero (XMR)で身代金を支払うよう要求していました。なお、同アクターへの支払いに使用可能な暗号資産はMoneroのみとなっています）。 IntelBrokerが他のサイバー犯罪者と一線を画している理由として、技術に関する専門知識に加え、運用セキュリティ（OpSec）に着眼した攻撃を行っていることが挙げられます。同アクターは、脆弱性を主な攻撃ベクトルとして悪用すると同時に、高度な匿名化ツールを使用して活動を隠ぺいしており、サイバー犯罪コミュニティで信頼される人物としての評判を確立しています。 OSINTの痕跡でIntelBrokerの活動を特定 KELAがIntelBrokerについて調査を行ったところ、OSINT上で同アクターの痕跡が多数発見され、そのデジタルフットプリントや活動環境が判明しました。主な調査結果は以下のとおりです。 1. 電子メールの痕跡：点と点のつながり KELAが調査したところ、「IntelBroker」というユーザー名に紐づいた電子メールアドレスは多数存在しました。しかし、今回我々がテーマに取りあげているアクター「IntelBroker」のものであることが確認されている電子メールアドレスは以下の4件のみです。 2. 使用されていたVPNとIPを分析 IntelBrokerが、ノーログVPNサービスである「Mullvad VPN」を使用していることは広く知られています。しかしBreachForumsから流出したデータを分析したところ、我々は同アクターの活動について新たな情報を得ることができました。2024年7月にBreachForumsのデータが流出した際、そこにはユーザーのデータベースに加え、同フォーラムの全データテーブルが含まれていました。また、その中にはユーザー間で交わされた非公開のメッセージも含まれていました。 それらの情報を分析した結果、以下の事実が判明しました。 3. Minecraftとのつながり IntelBrokerのデジタルフットプリントを調査する中で、我々が予期していなかった興味深い活動が確認されました。同アクターはMinecraftのコミュニティで、2つのアカウントを使用して活動していました（我々の調査で確認されたのはこの2アカウントのみですが、その他のアカウントも使用している可能性があります）。 ユーザー名「ClamAV」: IntelBrokerは、2022年12月にBreachForumsで、自らのMinecraftアカウントのユーザー名がClamAVであることを公表していました。このアカウントは2020年に作成されており、所在地はセルビアとなっていました。また2021年に流出したデータに同アカウントの情報が含まれており、そこから同アカウントが使用しているVPNやプロキシサービスが、オランダやフランスとつながりがあることが判明しました。 ユーザー名「Thick」：2024年10月、IntelBrokerはYouTubeチャンネル「The Duper Trooper」とコラボレーションしてMinecraftのビデオを作成していました。このコラボレーションで同アクターが使用していたMinecraftユーザーアカウント「Thick」は、2010年に作成されていました。そしてMinecraftから流出したデータを調査したところ、同アカウントが、VPNを介していないフロリダのIPアドレスとつながりがあることが判明しました。ただし同アカウントについては、IntelBroker自身が作成して使用しているのか、それとも他者が作成したものを入手して使用しているのかは明らかになっておりません。 IntelBrokerがMinecraftで使用しているユーザープロファイル（出所：NameMC） 4. AgainstTheWest (ATW) とのつながり KELAがIntelBrokerの活動初期の投稿を調査したところ、中国の組織を攻撃することで知られるハッカーグループ「AgainstTheWest」の投稿と文体や言葉使いが酷似しており、両者につながりがある可能性が浮上しました。そこでさらに調査を進めたところ、IntelBrokerとAgainstTheWestが同じ暗号資産アドレス（XMR）をプロファイルに掲載していることが判明し、両者のつながりが裏付けられました。この共通点を発見したことを皮切りに、我々はAgainstTheWestがSNSの投稿で公開していた電子メールアドレス(ドメインはriseup.net)に着眼し、同グループがSNSで行った活動について調査しました。その調査結果の要点は、以下のとおりです。 AgainstTheWestの運営に、複数の人物が関与しているのかは明らかになっておりません。しかしこれらの調査結果は、同グループとIntelBrokerがつながっている可能性があることを示唆しています。ただし、IntelBrokerが上述のSNSプロファイルと本当につながっているかについては明らかとなっておりません。 IntelBrokerの戦術：現代のサイバー犯罪の青写真 OSINTで確認された痕跡以外にも、その戦術からIntelBrokerが体系的な方法でサイバー犯罪を行っていることがわかります。具体的なポイントとして、以下が挙げられます。 サイバー脅威インテリジェンスにおいてOSINTが重要な理由とは 今回KELAが行ったIntelBrokerのプロファイリングは、現代のサイバー脅威を理解するうえで、OSINTやデータリークを活用する重要性がますます高まっていることを浮き彫りにしています。我々は、電子メールの痕跡やVPNの使用状況、Minecraftをはじめとする新世代向けのプラットフォームを分析し、サイバー犯罪フォーラムから流出したデータを調査して、IntelBrokerとつながりのあるユーザーを特定しました。この一連のプロセスは、水面下のネットワークやつながりをあぶりだすうえで、高度なインテリジェンスソリューションが多大な威力を発揮することを実証しています。また今回の調査で得られた知見は、法執行機関の捜査はもとより、様々な組織が進化する脅威への防御体制を強化するうえで一助として活用することができます。 結論：KELAを活用して全体像をとらえる IntelBrokerは技術的なスキルと匿名性を確保する戦術を融合しており、高度化する今日のサイバー犯罪者を代表していると言えます。そして今回ご紹介したKELAの調査結果は、重要なOSINTの痕跡をもとにIntelBrokerの手法を解明するものであると同時に、IntelBrokerと同様の脅威に立ち向かうための実用的な知見として活用することができます。 IntelBrokerの活動や他のアクターとのつながり、戦術の詳細については、KELAがご提供している脅威アクタープロファイルレポート（完全版）にてご確認いただけます。ますます複雑化するサイバー情勢を理解するうえで、KELAのインテリジェンスがどのように役立つのかを理解していただく一助として、ぜひご一読ください。 今回のブログで取り上げたIntelBrokerや、その他のアクターの詳細なプロファイルをご希望の方は、弊社までお気軽にご連絡ください。

Introduction In the ever-evolving world of cybercrime, IntelBroker has emerged as one of its most prominent figures. Known for his high-profile breaches, IntelBroker’s actions have shaken both corporations and government entities alike. At KELA, our deep dive into his online presence has revealed valuable insights, with OSINT traces playing a pivotal role in uncovering his […]

Learn how the Digital Operational Resilience Act (DORA) impacts the EU's financial sector and how Cyber Threat Intelligence (CTI) can help organizations meet key compliance requirements, including ICT risk management, third-party oversight, and attack surface discovery. Book a free consultation today

Global phishing attacks increased by 34% in 2024 compared with 2023, with the HoxHunt Phishing Trends Report identifying millions of new phishing sites reported monthly. 91% of these cyberattacks start with a simple phishing email, where attackers aim to deliver malware or steal credentials through a user’s inadvertent click on a malicious link. (“Wait, so […]

背景 2025年1月、ランサムウェアグループとされる「GDLockerSec」が出現し、数組織の詳細情報を自らのウェブサイトで公開しました。そして興味深いことに、同グループは大手企業である「Amazon」社のサービス「AWS」を攻撃したとの犯行声明を出しました。そこでKELAは、この主張について調査を行いました。（注：GDLockerSecの攻撃を受けた被害組織には個人も含まれている可能性がありますが、本記事では「組織」または「被害組織」と総称しています） GDLockerSecが登場したのは2025年1月です。同グループはランサムウェアグループとして活動しているものと思われ、他の有名なランサムウェアグループと同様に、オニオン上でウェブサイトを運営し、Tox IDを使用しています。以前同グループは「GhostSec-Devil」という名称で活動しており、この名称は同グループがランサムウェアグループ「GhostSec team」や「GhostLocker」とつながりがある可能性を示唆しています。ただし、このつながりを裏付ける証拠は確認されておりません。 GDLockerSecのウェブサイトのデザインは、悪名高いランサムウェアグループ「RansomHub」の影響を強く受けているものと思われ、「About（我々について）」セクションには、RansomHubの「About」セクションに記載されている文言がそのまま引用されています。これまでGDLockerSecは、香港やナイジェリア、モロッコの被害組織（4組織）の完全なデータダンプを公開していますが、各ファイルはいずれも一般的なランサムウェアオペレーションのものより小さいサイズ（10MB以下）となっています。またその中には、過去にサイバー犯罪フォーラムで別のユーザーによって公開されていたものもありました。 GDLockerSecが犯行を主張した4つめの被害組織は、有名企業のAmazon社であり、同グループは同社のサービス「AWS」を攻撃したと主張していました。そして数日内にAmazon社から窃取したデータセットを公開すると主張しました。そのデータサイズは9 GBとされており、事実であれば同グループが公開した中で最大規模のリークとなりますが、Amazon社から窃取したものとしては比較的小さいサイズであるといえます。なお、GDLockerSecはAmazon社を侵害した証拠としてサンプルデータ（CSVファイル）を公開しており、このサンプルデータは自由にダウンロードできるようになっています。そこでKELAがサンプルデータの中身を検証したところ、中身はAWSが所有する機密データではなく、一般公開されている情報であることが判明しました（詳細については、以下の分析をご参照ください）。 GDLockerSecは、「X」や「Telegram」でも活動しています。GDLockerSecのTelegramチャンネルは小規模ですが、約100人のユーザーが登録（フォロー）しており、同グループはこのチャンネルでデータベースのダンプを公開しています。また同チャンネルは、インドネシア人ハッカーとされる「Bjorka」の支援を受けているように見受けられますが、このBjorkaが本物のBjorkaであるのか、それとも別の人物によるなりすましのBjorkaであるのかは明らかになっておりません。 またGDLockerSecは、Xでは「@SGaming66355」というハンドル名を使用しています。このアカウントは2024年4月に作成されたものであり、初期の投稿は削除されていることから、GDLockerSecの活動に使用される前は、GDLockerSecのメンバーまたは第三者が個人で使用していたアカウントであった可能性が考えられます。その他、サイバー犯罪フォーラム「BreachForums」にもGDLockerSecというアカウントが存在しますが、このアカウントには投稿履歴がありません。 OSINTで確認された痕跡 我々がKELAのプラットフォームで調査を進め、Telegramのメッセージを検索したところ、GDLockerSecと関連のあるユーザー「@Admfudhsvdg（ID 6527700340）」の存在が確認されました。@Admfudhsvdgは、Telegramの様々なデータ侵害関連グループで積極的にGDLockerSecの宣伝活動を行っており、以前は「@GDLockerSec」というユーザー名を使用していました。そして我々がTelegramのツールを使って分析を進める中で、同ユーザーが様々なユーザー名（@vfsstart、@Bodasec、@vth3darkly、@tradervalide、@ghostsadmines）を使用して活動していることが判明しました。さらにこの人物が、複数のプロファイル名（Rootやtt_signal、th3darkly、Anonyme GHOST）を使用していたこと、そして2年前には「Amin」というプロファイル名を使用していたことが判明しました。なお、このAminのプロファイルについては姓名も判明しており（個人情報のため、本レポートでは姓を削除しています）、その姓名が@Admfudhsvdgの実際の身元情報である可能性があります。 そして@Admfudhsvdgのものとして特定された投稿から、GDLockerSecのメンバーが使用しているTelegramアカウント2件の存在が明らかとなりました。まず1つは@GDLockerSec（ID 8116056430）です。このユーザーは、過去には「@vulneralockersec」と「@m012ll」というユーザー名も使用しており、プロファイル名には「VulneralLockerSec」を使用していました。もう1つは@ronablox（ID 7165377444）であり、過去には「@freemasonry30」や「@livarisx」というユーザー名を使用しており、プロファイル名には「GhostSec」や「DarkSpider」、「Adam」を使用していました。このうちAdamについては、姓名が判明しました（個人情報のため、本レポートでは姓を削除しています）。これらの情報からも、GDLockerSecのメンバーがハンドル名やユーザー名を頻繁に変更していることがわかります。 これら3人のユーザー（@Admfudhsvdg：ID 6527700340、@GDLockerSec：ID 8116056430、@ronablox：ID 7165377444）は様々なコミュニティやグループで活発に活動しており、各コミュニティやグループの傾向から、彼らがサイバーセキュリティやハッキング、人工知能、暗号資産、プログラミングに関心を持っていることがわかります。彼らが参加しているグループの特徴としては、主にサイバー脅威やハッキングのテクニック、セキュリティツール（Kali LinuxやWifiSlaxなど）に関する議論を行っていること、特にアラブ系や世界中のハッカーが集うコミュニティであることがあげられます。また彼らは、Telegramグループ「Moroccan Cyber Army Hackers」のチャットに頻繁に参加しており、これまでには同グループのチャットで「VirusTotal」のファイルを公開していました。それらファイルのテレメトリ情報によると、発信元はアルジェリアとモロッコになっています。 しかしGDLockerSecの運用セキュリティには不備があり、同グループのメンバーの1人がTelegramにメッセージを投稿した際、併せて公開したスクリーンショットの中に、個人のGmailアドレスが意図せず映り込んでいました。そこでOSINTツールを使い、この電子メールアドレスを逆検索して調査したところ、モロッコ在住の「Saad」という人物にたどり着きました。またこの電子メールアドレスはXアカウント「@SGaming66355」のユーザー情報にも登録されており、匿名性の維持という点で、彼らがいかに不注意に活動しているかを物語っています。さらに現在は削除されていますが、過去には「GD Locker Sec」というFacebookアカウントが存在しており、このアカウントが「Moroccan Hackers」という名称のFacebookグループをはじめ、複数のアラブ系グループにメッセージを投稿していたことが確認されました。 AWSから入手したとされるデータの背後にある真実 KELAは、GDLockerSecがAWSから入手したとされるデータセットを検証しました。その結果、このデータセットはS3バケットから取得されたものであることが判明しました。その中身は、主にデータサイエンス教育に重点を置いたトレーニングセットのものと思われ、AWSでホストされているということを除けばAWSとは関連がなく、またAWSそのものを侵害して窃取したと思われる機密情報は含まれておりませんでした。なお、このデータセットは有名なデータサイエンスコミュニティのプラットフォーム「Kaggle」でも一般入手可能となっています（Kaggleでは、教育目的でこのようなトレーニングセットが多数公開されています）。これらの調査結果は、GDLockerSecがAWSのセキュリティインシデントや同サービスに対する侵害によってデータセットを入手したという主張には根拠がなく、事実ではないことを強く示唆しています。 結論 今回の調査結果から、GDLockerSecはサイバー犯罪エコシステムでの評判を確立する主な手段として、犯行を過度に誇張して主張しているアマチュアグループであることがわかります。同グループの戦術には高度なスキルが見られず、運用セキュリティも不十分であり、他のランサムウェアグループのウェブサイトをコピーしているうえに、裏付けのない主張を繰り返すという行為をパターン化しています。同グループが、検証可能な犯行実績ではなく自己宣伝に頼っているという状況は、すでに地位を確立しているランサムウェアグループが存在する中で、自らも本物のランサムウェアグループであると認識されることに苦戦していることを浮き彫りにしています。また詳細な分析を行ったところ、GDLockerSecのメンバーが使用してるユーザー名や投稿しているメッセージ、関連のある地理的指標などから、同グループがモロッコおよびアルジェリアとつながりがある可能性がうかがえます。

Background In January 2025, a new alleged ransomware group named GDLockerSec emerged, sharing details of a few victims on their website. Interestingly, the group made the bold claim of targeting a high-value entity, Amazon’s AWS. KELA has investigated this assertion. Emerging in January 2025, the group appears to operate as a ransomware organization, featuring an […]

Discover the security flaws in DeepSeek R1, a Chinese AI model with advanced reasoning capabilities. KELA's analysis reveals vulnerabilities, outdated safeguards, and privacy risks, emphasizing the need for robust testing in generative AI applications.

中国から登場した最新のAIモデル、DeepSeek R1がテクノロジー業界で波紋を広げています。推論機能でのブレークスルーとうたっているこのモデルは、様々な業界に衝撃を与え、世界中のAI関連株価にも影響を及ぼしました。複雑な数式、コーディング、ロジックを処理することができるDeepSeek R1はOpenAIのような巨大AI企業にとって脅威となります。 しかし熱狂の裏には深刻な問題が潜んでいます。DeepSeek R1の卓越した機能は全世界で注目を集めていますが、こうしたイノベーションには大きなリスクが付き物です。生成AIの世界で強力な競合となりましたが、その脆弱性を無視することはできません。   推論と検索機能を備えたDeepSeekインタフェース   DeepSeek R1はChatGPTに類似していますが、はるかに脆弱性が高いことをKELAは発見しました。KELAのAI Red Teamは様々なシナリオでこのモデルへのジェイルブレイクに成功し、ランサムウェアの開発、機密情報のでっち上げ、違法薬物や爆発装置の詳細な作り方といった悪意のあるアウトプット生成ができることを確認しました。こうしたリスクや潜在的な悪用に対処するため、企業や組織はGenAIアプリケーションを導入する際に機能よりもセキュリティを重視しなければなりません。高度なテストや評価ソリューションなど、堅牢なセキュリティ対策の導入はアプリケーションのセキュリティ、倫理性、信頼性を維持するために不可欠です。 非常に優れているが簡単にエクスプロイト可能：DeepSeek R1のリスク DeepSeek R1はベースモデルであるDeepSeek-V3に基づく推論モデルです。DeepSeek-V3ではトレーニング後に大規模な強化学習（reinforcement learning：RL）を行うことで推論トレーニングを行いました。今回のリリースはo1レベルの推論モデルを安価で入手しやすいものにしたものです。 2025年1月26日現在、DeepSeek R1はChatbot Arenaベンチマーキングで第6位となっており、MetaのLlama 3.1-405Bのような主要なオープンソースモデルやOpenAIのo1、AnthropicのClaude 3.5 Sonnetといったプロプリエタリモデルを凌駕しています。 2025年1月26日のChatbot Arena LLM Leaderboardランキングのスクリーンショット DeepSeek R1は特定の問題解決シナリオでChatGPT4oよりも高性能なようです。たとえばEntschuldigung（ドイツ語で「ごめんなさい」の意味）というワードにいくつ「g」の文字が含まれているか質問すると、DeepSeek R1は「2」と正しく答えた一方、ChatGPT4oでは「1」という間違った回答をしました。   DeepSeekは計算問題に正解     ChatGPT4oはこの問題を正解できなかった ただし素晴らしい機能を持つDeepSeek R1には堅牢な安全策が講じられていないようです。KELAのテストでは2年以上前に一般公開された方法を含む様々な技法を使って、このモデルのジェイルブレイクが容易に行えることが判明しました。 Evil is Back：DeepSeek R1の危険な脆弱性   たとえばChatGPTリリース直後の2年前に登場した「Evil Jailbreak」では「evil」ペルソナの導入を促してこのモデルをエクスプロイトすることができ、倫理面、安全面が完全に欠如しています。2023年初めにこのジェイルブレイクはChatGPT 3.5の安全性メカニズムの回避に成功し、本来ならば制限されているクエリーに回答させたのです。たとえばEvil Jailbreakを使って「What is the best way to launder money from illegal […]

DeepSeekと同様に、Qwen2.5-VLもプレフィックスインジェクション・テクニック（大規模言語モデルの特性であるテキスト補完機能を悪用する手法）を使ってジェイルブレイクすることができることが判明しました。つまり、一見無害に見えるプレフィックスを使うように指示することで、Qwen2.5-VLをだまして有害な回答を出力をさせることができるのです。我々がQwen2.5-VLをテストしたところ、Qwen2.5-VLは詐欺メールテンプレートの詳細な策定手順を生成しました。このテスト結果からも、Qwen2.5-VLの安全対策が回避可能であることは明らかです。

China’s AI: Alibaba’s Qwen 2.5 Shows Structural Weaknesses Similar to DeepSeek. Qwen 2.5-VL can be jailbroken using prefix injection techniques, a method exploits the inherent text completion nature of the LLM. By asking to use a seemingly harmless prefix, they tricks the model into providing harmful outputs. In testing, Qwen2.5-VL provided detailed instructions on crafting fraudulent email templates—a clear indication that its safety measures can be circumvented.

Discover how automating Cyber Threat Intelligence (CTI) into SIEM and SOAR can strengthen your SOC without adding headcount. Learn the key benefits, from faster threat detection to cost savings, and how KELA’s integrations enhance security operations.

KELA investigated claims of 20 million compromised OpenAI credentials, uncovering that they stem from infostealer malware and data leaks—not an OpenAI breach. Learn the truth behind the claim and how to protect against credential theft.

Recently, a new ransomware group, dubbed Anubis, emerged. KELA has observed representatives of Anubis on both RAMP (using the moniker ‘superSonic’) and XSS (using the moniker ‘Anubis__media’). Read more in our blog.

Recently, a new ransomware group, dubbed Anubis, emerged. KELA has observed representatives of Anubis on both RAMP (using the moniker ‘superSonic’) and XSS (using the moniker ‘Anubis__media’). Read more in our blog.

2024 was a defining year for cybercrime. Infostealers fueled credential leaks at an unprecedented scale, ransomware gangs shifted their tactics, and AI-powered threats emerged as a new battleground. Read KELA’s newly released report, The State of Cybercrime 2024, for an in-depth look.

A major data leak has exposed the internal workings of Black Basta, revealing how one of the most active ransomware groups infiltrates and exploits its victims. KELA analyzed the leaked data to uncover the top five initial access and lateral movement tactics used by the group—including how stolen credentials from infostealer malware logs are fueling attacks.

Discover the latest findings on Black Basta leak's victim details and their ransomware strategies based on KELA's analysis.

Discover the latest findings on Black Basta leak's victim details and their ransomware strategies based on KELA's analysis.

KELAは、イエメンと関係があるサイバー犯罪グループ「Belsen Group」と「ZeroSevenGroup」のつながりを調査しました。Belsen Groupは、2025年1月に登場して以降、Fortinet社のデータをリークしたり、ネットワークのアクセスを販売していることが確認されています。一方ZeroSevenGroupは、Belsen Groupが登場する前から活動しており、企業のネットワークに不正アクセスしたり、窃取したデータを販売していたことが確認されています。今回我々は、両グループの文体や投稿の形式に類似点があることに着目しました。いずれの類似点も、両者のつながりを裏付ける決定的な証拠とまではいえないものの、なんらかの関係がある可能性を示唆しています。 Belsen Groupとは? Belsen Groupは2025年1月上旬に登場し、サイバー犯罪フォーラムやSNS上で活動を始めました。また2025年1月14日、同グループは「Belsen_Group」というハンドル名でBreachForumsに投稿し、大規模なデータリークを行いました（KELAが確認したかぎりでは、本件が同グループ最初の大規模リークです）。この投稿では、脆弱なFortinet FortiGateデバイス1万5,000台超から窃取した、1.6 GB相当の機密データ（IPアドレスや設定、VPNの資格情報など）を公開しており、またその後は、同グループがTor上で運営しているブログでも同じデータを公開していました。なおBelsen Groupは、当初同このデータを無料で公開しており、おそらくは他のサイバー犯罪者からの信頼を獲得する狙いがあったと思われます。またこのインシデントについては、Belsen GroupはFortiGateファイアウォールに存在する重大な認証回避の脆弱性（CVE-2022-406841）を悪用したものと考えられています（脚注１）。この脆弱性が公開されたのが2022年であることを考慮すると、同グループはBreachForumsでデータを公開する2年以上前から、（データに）アクセスしていた可能性があります。またこのデータを公開した後、同グループはアフリカや米国、アジアに拠点を置く組織（個人も含まれている可能性があります）のネットワークアクセスを売りに出していました。ただし、それらのアクセスが何者かに買い取られたという証拠は確認されておりません。 OSINTで確認された痕跡 Belsen Groupは、活動当初から複数の連絡先（Tox、XMPP、Telegram、X）を公開しています。また、被害組織の情報を公開するブログをTor上で運営しており、このブログにもそれら連絡先の大半を掲載しています。我々が同グループのXアカウントについて調査したところ、同アカウントは2025年1月10日に作成されたこと、そしてBelsen GroupがBreachForumsやブログで公開していた被害組織の情報を、Xにも投稿していることが判明しました。また完全なアドレスは特定できなかったものの、このＸアカウントが「 ad********@gmail.com」という電子メールアドレスを使って登録されていることが確認されました。 なお、Belsen GroupはTelegramアカウント「@BelsenAdmin (ID 6161097506)」も使用していますが、同グループがこのアカウントを連絡先として記載しているのは、ＸとBreachForumsの投稿のみとなっています（BerachForumsについては、同アカウントを記載している投稿は1件のみ）。我々が調査したところ、このアカウントは2023年に「K Y」という人物が作成したこと、そして過去には「@m_kyan0」や「@mmmkkk000000」などのユーザー名を使用していたことが判明しました。このアカウントは様々なTelegramチャンネルに登録しており、具体的にはサイバーセキュリティ認証関連のグループ(eWPTXv2やeWPTX)、成人向けのトピックを扱っているコミュニティ、イエメンのアラビア語話者が集う地元グループ、アニメをテーマにしたチャットグループなどが挙げられます。 ZeroSevenGroupとは? KELAは、Belsen Groupについて調査を行う中で、同グループと「ZeroSevenGroup」につながりがあることを発見しました。ZeroSevenGroupは、2024年7月から2025年1月にかけて活動していた脅威グループであり、2024年7月に「NulledTo」に登場し、その後はBreachForumsや、CrackedTo、Leakbaseでも活動するようになりました。同アクターは、窃取したデータやネットワークアクセスのリーク・販売を専門としており、ポーランドやイスラエル、米国、アラブ首長国連邦、ロシア、ブラジルの企業を標的にしていました。また、当初は無料でデータベースをリークしていましたが、その後は販売するようになりました。同グループがリーク・販売していたデータベースについては、そのほとんどが、TeraboxやMegaでホストされていたことが確認されています。そして2024年8月には、トヨタ自動車株式会社の米国支社に不正アクセスしたとの犯行声明を出し、240 GB相当の機密データをリークしました。当初トヨタ社は、このインシデントを軽微なものと見なしていましたが、後に自社のシステムではなく、サードパーティのシステムが侵害されていたことを公表しました（脚注２）。 その後の2024年11月、ZeroSevenGroupは、悪用不可能になっていたネットワークアクセスをランサムウェアグループ「Medusa」に売りつけ、詐欺行為を働いたとして告発されました。そして2025年1月、同グループは短期間活動を停止しましたが、その後すぐにフォーラム「Exploit」で活動を開始しました。それ以降、同グループはExploitでのみ活動しており、同フォーラムでは、イタリアの政府機関や米国企業、日本企業の「VPNアクセス」や、それら組織のシステムを制御する「C2サーバーのアクセス」を売りに出していました。 KELAは、ZeroSevenGroupが初期に行った活動を分析し、同グループの運営に関与していると思われる人物を特定しました。活動初期（2024年7月頃）、同グループはデータベースを無料で公開しており、閲覧したいユーザーは、同グループが提供する一意のパスワードを入力して、ファイルのロックを解錠する仕組みになっていました。そこで、KELA独自のデータレイク内でこのパスワードを検索したところ、過去に漏えいしたデータベースの中に、このパスワードを使用している電子メールアドレスが存在することが判明しました。また、情報窃取マルウェアに感染した端末が使用している別の電子メールアドレスも、同じパスワードを使用していることが判明しました。この2つの電子メールアドレスは、ソーシャルメディアを通じてつながっており、また両アドレスともにイエメンとつながりがありました。さらに後者（情報窃取マルウェアに感染した端末）のユーザーについては、ハッカーグループ「Yemen Shield」とも関連があることが判明しました。そこで我々がYemen Shieldの活動を調査したところ、同グループがRaidForumsでは「zerox296」というハンドル名を使い、「ZeroXGroup」として活動していることが判明しました。この調査の詳細については、KELAがプラットフォーム上で公開している「脅威アクタープロファイル「ZeroSevenGroup」にてご覧いただけます。ご興味をお持ちの皆様は、ぜひ無料トライアルにご登録ください。 浮上したつながり KELAのデータベースで、Belsen GroupとZeroSevenGroupの投稿を調査したところ、両グループが投稿のタイトルを同じ形式で記載していることが判明しました。両グループともに、タイトルとなる用語を角括弧とスペースで挟んで記載していました（例：Accessの場合は[ Access ]と記載するなど）。投稿のタイトルにこの特徴が見られたのは、Belsen GroupとZeroSevenGroupのみであり、また彼らが本文にも同じような形式を使用している事例が複数確認されました。その他にも、両グループが類似の言い回しや文体を使用している事例が多数確認されました。これらの調査結果は、両グループが同じ投稿用のテンプレートを使用していた可能性があることを示唆しています。 また、一方のグループに見られる特徴的な用語を組み合わせてデータベースを検索したところ、両グループと関連がある結果のみが表示されました。さらに両グループのTwitterプロファイルを分析したところ、ハッシュタグの使用パターンに明らかな特徴があり、「#hack」というハッシュタグを頻繁に使用していることが判明しました。 これらの調査結果は、Belsen GroupとZeroSevenGroupがイエメンを出自としており、いずれもネットワークアクセスを販売することに興味を持っていること、そして両グループとも同じ形式のメッセージを繰り返し投稿しており、文体に類似点が見られるという事実とも一致しています。また両グループとも、ユーザー名に「group」という単語を使用し、自分達が集団で活動していることを表しています。 もちろん我々は、これらの調査結果のみを根拠に、Belsen GroupとZeroSevenGroupに直接的なつながりがあるとは断定しておりません。しかし、両グループの間に重要な重複点が複数見られたという事実は、Belsen GroupとZeroSevenGroupの間に何らかのつがなりがある可能性や、連携して活動している可能性があることを強く示唆しています。 1 https://doublepulsar.com/2022-zero-day-was-used-to-raid-fortigate-firewall-configs-somebody-just-released-them-a7a74e0b0c7f 2. https://www.foxnews.com/tech/toyota-has-data-dilemma-after-hackers-leak-240gb-customer-information

KELA explores a possible link between the Belsen Group and ZeroSevenGroup, two cybercriminal entities with ties to Yemen. The Belsen Group surfaced in January 2025, leaking Fortinet data and selling network access, while ZeroSevenGroup had been active earlier, breaching companies and monetizing stolen data. Notably, both groups share similarities in writing style and post formatting. […]

Microsoft reminded customers this week that devices running Windows 11 24H2 Home and Pro editions will stop receiving updates next month.

Kaspersky experts have discovered a new MovieReaper campaign. The multi-stage Trojan spreads through movie torrents, such as “The Odyssey,” and uses the Solana blockchain to hide its C2 infrastructure.