B
今週中
イランの国家支援型攻撃グループとみられる「Ababil of Minab」が、ロサンゼルス・メトロ（LA Metro）を含む複数の交通・インフラ組織を攻撃しまし…
📌 一言でいうと
イランの国家支援型攻撃グループとみられる「Ababil of Minab」が、ロサンゼルス・メトロ（LA Metro）を含む複数の交通・インフラ組織を攻撃しました。攻撃者はvCenterやSQL Serverなどの管理コンソールを操作し、数百TBのデータを削除する破壊的な活動を行いました。また、破壊用スクリプトの最適化にChatGPTなどの生成AIを利用していたことが判明しています。
🔍該当判定
- VMware vCenter を利用して仮想サーバーを管理している
- Windows Server のリモートデスクトップ(RDP)を外部に公開している
- SQL Server を利用して顧客データや業務データを管理している
- 交通インフラ、公共サービス、または車両追跡などの重要インフラ関連事業を行っている
上記いずれにも該当しない → 静観でOK
✅該当時の対応
特権アカウント（vCenter, SQL Server等）の多要素認証(MFA)の徹底、不審な管理操作の監視、バックアップのオフライン保存および復旧手順の検証を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】インフラ組織を標的とした破壊的攻撃（Ababil of Minab）について
お疲れさまです。イラン関連の攻撃グループによる破壊的攻撃に関する情報共有です。
■ 概要
「Ababil of Minab」と称するアクターが、vCenterやSQL Serverの管理権限を奪取し、仮想マシンやデータベースを直接削除する破壊活動を展開しています。特筆すべき点として、ChatGPTを用いて破壊スクリプトを最適化していた形跡が確認されています。
■ 影響範囲
- VMware vCenter 環境
- Microsoft SQL Server インスタンス
- 管理者権限を持つ特権アカウント
■ 対応手順
1. 特権管理アカウントへの多要素認証 (MFA) の強制適用
2. vCenterおよびデータベースサーバーにおける不審な削除操作（DROP DATABASE等）のログ監視強化
3. 不変バックアップ（Immutable Backup）の確保と復旧テストの実施
■ 参考情報
- Gambit Security レポート
対応優先度: 高
対応期限: 速やかに確認
お疲れさまです。イラン関連の攻撃グループによる破壊的攻撃に関する情報共有です。
■ 概要
「Ababil of Minab」と称するアクターが、vCenterやSQL Serverの管理権限を奪取し、仮想マシンやデータベースを直接削除する破壊活動を展開しています。特筆すべき点として、ChatGPTを用いて破壊スクリプトを最適化していた形跡が確認されています。
■ 影響範囲
- VMware vCenter 環境
- Microsoft SQL Server インスタンス
- 管理者権限を持つ特権アカウント
■ 対応手順
1. 特権管理アカウントへの多要素認証 (MFA) の強制適用
2. vCenterおよびデータベースサーバーにおける不審な削除操作（DROP DATABASE等）のログ監視強化
3. 不変バックアップ（Immutable Backup）の確保と復旧テストの実施
■ 参考情報
- Gambit Security レポート
対応優先度: 高
対応期限: 速やかに確認
Subject: [Intel] Destructive Attacks targeting Infrastructure (Ababil of Minab)
Dear Team,
We are sharing intelligence regarding destructive campaigns attributed to the Iranian-linked actor 'Ababil of Minab'.
■ Overview
The actor has been targeting infrastructure organizations (e.g., LA Metro) by gaining administrative access to vCenter and SQL Server environments to delete vast amounts of data. Evidence shows the use of ChatGPT to refine their destructive scripts.
■ Scope
- VMware vCenter environments
- Microsoft SQL Server instances
- Privileged administrative accounts
■ Recommended Actions
1. Enforce Multi-Factor Authentication (MFA) for all privileged accounts.
2. Enhance monitoring for anomalous deletion activities (e.g., mass VM deletion, DROP DATABASE commands) in management consoles.
3. Ensure the existence of immutable backups and verify restoration procedures.
■ Reference
- Gambit Security Report
Priority: High
Deadline: Immediate review
Dear Team,
We are sharing intelligence regarding destructive campaigns attributed to the Iranian-linked actor 'Ababil of Minab'.
■ Overview
The actor has been targeting infrastructure organizations (e.g., LA Metro) by gaining administrative access to vCenter and SQL Server environments to delete vast amounts of data. Evidence shows the use of ChatGPT to refine their destructive scripts.
■ Scope
- VMware vCenter environments
- Microsoft SQL Server instances
- Privileged administrative accounts
■ Recommended Actions
1. Enforce Multi-Factor Authentication (MFA) for all privileged accounts.
2. Enhance monitoring for anomalous deletion activities (e.g., mass VM deletion, DROP DATABASE commands) in management consoles.
3. Ensure the existence of immutable backups and verify restoration procedures.
■ Reference
- Gambit Security Report
Priority: High
Deadline: Immediate review