Elastic Security Labsによる主な脅威の研究
2024年10月1日
Elastic社が 2024 年版グローバル脅威レポートを発表
Elastic Security Labsは、今後1年間にわたって組織を安全に保つために役立つ、最も差し迫った脅威、傾向、そして推奨事項を明らかにした、 2024 年版Elasticグローバル脅威レポートをリリースしました。
トピック




セキュリティ調査
すべて表示
Emulating AWS S3 SSE-C Ransom for Threat Detection
In this article, we’ll explore how threat actors leverage Amazon S3’s Server-Side Encryption with Customer-Provided Keys (SSE-C) for ransom/extortion operations.

Linux Detection Engineering - Approaching the Summit on Persistence Mechanisms
Building on foundational concepts and techniques explored in the previous publications, this post discusses some creative and/or complex persistence mechanisms.

行動ルール保護を目的とした、Elastic報奨金プログラムを発表
Elasticはセキュリティ報奨金プログラムの拡大を発表し、研究者を招待して、Windowsエンドポイントから始めて、SIEMおよびEDRルールの回避およびバイパス手法をテストします。この取り組みは、セキュリティコミュニティとの連携を強化することで、Elasticの防御が進化を続ける脅威に対して堅牢であり続けることを担保します。

Detonating Beacons to Illuminate Detection Gaps
Learn how Elastic Security leveraged open-source BOFs to achieve detection engineering goals during our most recent ON week.
マルウェア分析
すべて表示
You've Got Malware: FINALDRAFT Hides in Your Drafts
During a recent investigation (REF7707), Elastic Security Labs discovered new malware targeting a foreign ministry. The malware includes a custom loader and backdoor with many features including using Microsoft’s Graph API for C2 communications.

GOSARとSADBRIDGEの下で:Golangで書き直されるQUASAR
Elastic Security Labs share details about the SADBRIDGE loader and GOSAR backdoor, malware used in campaigns targeting Chinese-speaking victims.

PUMAKITの爪を抜く
PUMAKITは、高度なステルス機構を用いてその存在を隠し、コマンド&コントロールサーバーとの通信を保持する、洗練されたローダブルカーネルモジュール(LKM)ルートキットです。

Katz and Mouse Game: MaaS Infostealers Adapt to Patched Chrome Defenses
Elastic Security Labs breaks down bypass implementations from the infostealer ecosystem’s reaction to Chrome 127's Application-Bound Encryption scheme.
キャンペーン
すべて表示
From South America to Southeast Asia: The Fragile Web of REF7707
REF7707 targeted a South American foreign ministry using novel malware families. Inconsistent evasion tactics and operational security missteps exposed additional adversary-owned infrastructure.

PIKABOT、君に決めた!
Elastic Security Labsは、更新バージョンを含む新たなPIKABOTキャンペーンを観測しました。PIKABOTは、悪意のあるアクターが追加のペイロードを配布するために利用する、広く展開されているローダーです。

初期研究がJOKERSPYを暴露する
Pythonのバックドアがある金融機関をターゲットにした、最近発見されたキャンペーン、JOKERSPYについて把握しましょう。この記事では、ネットワーク内のJOKERSPYの偵察、攻撃パターン、識別方法について説明します。

SPECTRALVIPERを誘うElastic
Elastic Security Labsは、ベトナムの国営農業関連企業を標的としたP8LOADER、POWERSEAL、SPECTRALVIPERのマルウェアファミリーを発見しました。REF2754は、REF4322およびAPT32アクティビティグループのマルウェアと動機付けの要素を共有しています。
グループ&戦術
すべて表示
ボットに託す望み:Linuxマルウェア、クリプトマイニング、ギャンブル向けAPIの不正使用を調査中
REF6138キャンペーンでは、クリプトマイニング、DDoS攻撃、ギャンブル向けのAPIを介したマネーロンダリングが発生した可能性があり、攻撃者が進化を続けるマルウェアとステルス通信チャネルを使用していることが浮き彫りになりました。

行動規範:北朝鮮のPythonによるセキュリティ保護されたネットワークへの侵入
このドキュメントは、北朝鮮によるPythonの戦略的使用と入念に作成されたソーシャルエンジニアリングを調査し、進化を続ける効果的なサイバー攻撃によって、安全性の高いネットワークをどのように侵害するのか明らかにします。

GrimResource - 初期アクセスと回避のためのMicrosoft管理コンソール
Elasticの研究者は、特別に細工されたMSCファイルを介して完全なコード実行を可能にする新しい手法、GrimResourceを発見しました。これは、十分なリソースを持つ攻撃者が、防御を回避するために革新的な初期アクセス方法を好む傾向を浮き彫りにしています。

見えないマイナー:GHOSTENGINEのクリプトマイニング事業を公開
Elastic Security Labsは、複数の悪意のあるモジュールを組み込み脆弱なドライバーを利用して、クリプトマイニングの既知のセキュリティソリューション (EDR) を無効にする侵入セットであるREF4578を特定しました。
展望

WinVisor – Windows x64のユーザーモード実行ファイルを目的としたハイパーバイザーベースのエミュレーター
WinVisor は、Windows x64 ユーザーモード実行可能ファイルのためのハイパーバイザーベースのエミュレーターで、Windows Hypervisor Platform API を利用して、システムコールのログ記録とメモリのイントロスペクションを可能にする仮想化環境を提供します。

地平線上の嵐:AJCloud IoTエコシステムの内側
Wi-Fiカメラは手頃な価格と利便性から人気がありますが、悪用される可能性のあるセキュリティ上の脆弱性があることが多いです。

カーネルETWこそ最高のETW
この調査は、セキュリティ・バイ・デザイン・ソフトウェアにおけるネイティブ監査ログの重要性に焦点を当て、改ざん防止対策を強化するために、ユーザーモードのフックよりもカーネルレベルのETWロギングの必要性を強調しています。

脆弱なドライバーは忘れよう - 必要なのは管理者だけ
BYOVD(Bring Your Own Vulnerable Driver)とは、脅威アクターが既知の脆弱な署名付きドライバをマルウェアと一緒に持ち込んでカーネルにロードし、そのドライバを悪用してカーネル内で他の方法では実行できない何らかのアクションを実行するという、ますます一般的になっている攻撃手法です。高度な脅威アクターによって10年以上にわたって採用されてきたBYOVDは、ランサムウェアやコモディティマルウェアでますます一般的になっています。
生成AI
すべて表示
Elastic、標準化されたフィールドと統合によりLLMのセキュリティを強化
標準化されたフィールド統合と強化された検出機能に重点を置いた、ElasticのLLMセキュリティの最新の進歩をご覧ください。これらの標準を採用することでシステムをどのように保護できるかを学びましょう。

LLMワークフローにセキュリティを組み込む:Elasticの能動的アプローチ
大規模言語モデル(LLM)にセキュリティを直接組み込むElasticの取り組みをご紹介します。LLMアプリケーションにおけるOWASPの脆弱性の上位いくつかを検出・軽減し、より安全でセキュアなAI駆動型アプリケーションを確保する当社の戦略をご覧ください。

LLMを活用したElasticによる検出というトレードクラフトの加速
Elastic Security Labsが、生成AIの機能をより活用して、検出のエンジニアリングワークフローを加速させることにどのように注力しているのか、詳細をご覧ください。

LLMとESREを使用した類似ユーザーセッションの検索
前回の記事では、GPT-4大規模言語モデル(LLM)を使用して Linuxのユーザーセッションを凝縮する方法について説明しました。同じ実験の文脈で、私たちは類似点が見られるセッションを調べることに時間を費やしました。これらの類似セッションは、後にアナリストが関連する疑わしいアクティビティを特定する際に役立ちます。
ツール
すべて表示
STIX的シチュエーション:脅威データのエスケープ
構造化された脅威データは通常、STIXを使用してフォーマットされます。このデータをElasticsearchに取り込むために、STIXをECS形式に変換してスタックに取り込む、Pythonスクリプトをリリースします。

試練の中へ:Detonateはどう動くのか
サンドボックスの作成、サポート技術、テレメトリ収集など、Detonateシステムの技術的な実装についてご覧ください。

カチッ、カチッ… ドカン!Detonateで保護テストを自動化
このプロセスを自動化し、大規模な保護をテストするために、セキュリティ研究エンジニアがElastic Securityソリューションの有効性を自動的に測定するために使用するシステム「Detonate」を構築しました。

ICEDIDの解凍
ICEDIDは、カスタムファイル形式とカスタム暗号化スキームを使用してペイロードを圧縮することが知られています。私たちは、解凍プロセスを自動化し、アナリストやコミュニティがICEDIDに対応するのに役立つ一連のツールをリリース予定です。