B
今週中
Anubisランサムウェアを運用する攻撃グループHawkmothが、Microsoft SQL Serverを標的とした新しいカスタムバックドア「Lindnor…
📌 一言でいうと
Anubisランサムウェアを運用する攻撃グループHawkmothが、Microsoft SQL Serverを標的とした新しいカスタムバックドア「Lindnor」を使用していることが判明しました。このバックドアはChromeコンポーネントやVMwareファイルに偽装して動作し、永続性を確保します。攻撃者はデータの窃取にMegasyncやWinSCPなどのツールを利用しており、米国組織が主な標的となっています。
ℹ️ これは他社で発生した事案の情報です。貴社が当該サービスを利用していない場合は、参考情報としてご確認ください。同様の攻撃手法に対する備えのきっかけとしてもご活用いただけます。
🔍該当判定
- 社内で『Microsoft SQL Server』を運用している
- SQL Serverを外部（インターネット）からアクセス可能な状態で公開している
- サーバー内で『healthcontroller64.exe』または『svchelper.exe』という不審なファイルが見つかった
上記いずれにも該当しない → 静観でOK
✅該当時の対応
SQL Serverの不審なサービスやプロセスの監視、不審なファイル（healthcontroller64.exe, svchelper.exe等）の検知ルールの設定、およびデータ転送ツール（Megasync, WinSCP等）の利用制限を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Anubisランサムウェアによる新バックドア「Lindnor」への対応について
お疲れさまです。Anubisランサムウェアを運用するアクターHawkmothによる新手法に関する情報共有です。
■ 概要
Microsoft SQL Serverを標的としたカスタムバックドア「Lindnor」が確認されました。このマルウェアはサービスとして動作し、ChromeやVMwareの正規ファイルに偽装して潜伏します。最終的にAnubisランサムウェアの展開およびデータの窃取が行われます。
■ 影響範囲
- Microsoft SQL Server を運用しているサーバー
■ 対応手順
1. 以下の不審なファイル名がサービスとして登録されていないか確認してください：
- healthcontroller64.exe
- svchelper.exe
2. Megasync, WinSCP, Filezilla, S3browser 等のデータ転送ツールの不審な通信を監視してください。
3. SQL Serverへのアクセス制御および特権アカウントの管理を再徹底してください。
■ 参考情報
- Symantec / gbhackers 報告
対応優先度: 高
対応期限: 速やかに確認
お疲れさまです。Anubisランサムウェアを運用するアクターHawkmothによる新手法に関する情報共有です。
■ 概要
Microsoft SQL Serverを標的としたカスタムバックドア「Lindnor」が確認されました。このマルウェアはサービスとして動作し、ChromeやVMwareの正規ファイルに偽装して潜伏します。最終的にAnubisランサムウェアの展開およびデータの窃取が行われます。
■ 影響範囲
- Microsoft SQL Server を運用しているサーバー
■ 対応手順
1. 以下の不審なファイル名がサービスとして登録されていないか確認してください：
- healthcontroller64.exe
- svchelper.exe
2. Megasync, WinSCP, Filezilla, S3browser 等のデータ転送ツールの不審な通信を監視してください。
3. SQL Serverへのアクセス制御および特権アカウントの管理を再徹底してください。
■ 参考情報
- Symantec / gbhackers 報告
対応優先度: 高
対応期限: 速やかに確認
Subject: [Technical Alert] New 'Lindnor' Backdoor targeting MS SQL Servers (Anubis Ransomware)
Dear Team,
We are sharing intelligence regarding a new custom backdoor named 'Lindnor' used by the threat actor Hawkmoth (Anubis Ransomware).
■ Overview
The Lindnor backdoor targets Microsoft SQL Servers, disguising itself as legitimate Chrome or VMware components to maintain persistence. The attack chain typically involves data exfiltration using tools such as Megasync, WinSCP, and S3browser before deploying the ransomware payload.
■ Scope
- Systems running Microsoft SQL Server
■ Action Items
1. Scan for the following suspicious filenames running as services:
- healthcontroller64.exe
- svchelper.exe
2. Monitor for unauthorized use of exfiltration tools (Megasync, WinSCP, Filezilla, S3browser).
3. Review and harden access controls for SQL Server instances.
■ Reference
- Symantec / gbhackers report
Priority: High
Deadline: Immediate review
Dear Team,
We are sharing intelligence regarding a new custom backdoor named 'Lindnor' used by the threat actor Hawkmoth (Anubis Ransomware).
■ Overview
The Lindnor backdoor targets Microsoft SQL Servers, disguising itself as legitimate Chrome or VMware components to maintain persistence. The attack chain typically involves data exfiltration using tools such as Megasync, WinSCP, and S3browser before deploying the ransomware payload.
■ Scope
- Systems running Microsoft SQL Server
■ Action Items
1. Scan for the following suspicious filenames running as services:
- healthcontroller64.exe
- svchelper.exe
2. Monitor for unauthorized use of exfiltration tools (Megasync, WinSCP, Filezilla, S3browser).
3. Review and harden access controls for SQL Server instances.
■ Reference
- Symantec / gbhackers report
Priority: High
Deadline: Immediate review