May 2022 – IoT OT Security News

Microsoft Office のゼロデイ脆弱性 Follina：中国の国家支援ハッカーが積極的に悪用

Chinese Hackers Begin Exploiting Latest Microsoft Office Zero-Day Vulnerability

2022/05/31 TheHackerNews — 中国国家に支援される高度持続的脅威 (APT) 脅威アクターが、Microsoft Office の新しいゼロデイ脆弱性を武器にして、侵害したシステムでコード実行を可能にしていることが確認された。エンタープライズ・セキュリティ企業である Proofpoint は、「この TA413 CN APT は、脆弱性 Follina を悪用することで、悪意の URL から ZIP アーカイブを配信し、そこに含まれる Word ドキュメントを攻撃に使用する。いまは、それが野放しの状態である。このキャンペーンは、中央チベット自治政府の Women Empowerments Desk になりすまし、ドメイン tibet-gov.web[.]app を使用している」とツイートで述べている。

MySQL Server と攻撃面積：360万台以上がインターネットに露出していると判明

Over 3.6 million MySQL servers found exposed on the Internet

2022/05/31 BleepingComputer — MySQL Server 360万台以上がインターネット上に公開され、クエリに応答しているため、ハッカーや脅威アクターたちの魅力的なターゲットとなっている。これらのリモート・アクセスが可能な MySQL サーバーのうち、230万台が IPv4、130万台が IPv6 で接続されている。

XLoader ボットネットの最新技術：確率論を用いて C2 サーバーの所在を隠す

New XLoader botnet uses probability theory to hide its servers

2022/05/31 BleepingComputer — 脅威アナリストたちが明らかにしたのは、ボットネット・マルウェア XLoader の新バージョンでは、確率論を用いた Command and Control (C2) サーバー隠蔽機能が実装され、マルウェアの対策が困難になるという点である。それにより、マルウェアの運営者は、特定された IP アドレスのブロックによりノードを失うというリスクを負うことなく、同じインフラを使い続けることが可能となり、また、追跡／特定のリスクも低減されるという。

Microsoft Office の脆弱性 Follina に緩和策：ベンダーと研究者の見解に相違が

Microsoft Releases Workarounds for Office Vulnerability Under Active Exploitation

2022/05/30 TheHackerNews — 日本マイクロソフトは、同社の Office で発見されたゼロデイ脆弱性の悪用に成功した攻撃者に、システム上でのコード実行を許してしまう問題への緩和策を発表した。現時点で、この脆弱性 CVE-2022-30190 の CVSS 値は 7.8 と評価されている。Microsoft の Office 2013／2016／2019／2021、および Professional Plus エディションが影響を受けるとされている。

Microsoft Office のゼロデイ脆弱性 Follina：マクロとは別経路で PowerShell コードを実行

Watch Out! Researchers Spot New Microsoft Office Zero-Day Exploit in the Wild

2022/05/30 TheHackerNews — サイバー・セキュリティ研究者たちは、Microsoft Office のゼロデイ脆弱性の悪用に成功した脅威アクターに、Windows システム上での任意のコード実行を許す可能性があるという注意を呼びかけている。この脆弱性は、nao_sec として知られる独立系のサイバー・セキュリティ研究チームが、ベラルーシの IP アドレスから VirusTotal にアップロードされた Word 文書 [05-2022-0438.doc] を発見したことで明らかになった。

EnemyBot の狙う脆弱性がエグイ：即座に VMware／Spring／F5 BIG-IP に対応

EnemyBot malware adds exploits for critical VMware, F5 BIG-IP flaws

2022/05/29 BleepingComputer — 複数のマルウェア・コードをベースにしたボットネット EnemyBot は、Webサーバー／CMS／IoT／Android 端末などで公開されたばかりの、深刻な脆弱性の悪用に迅速に対応し、その範囲を拡大している。このボットネットは、Securonix の研究者により 3月に初めて発見され、Fortinet から新しいサンプルの分析結果が提供された 4月には、すでに 12種類以上のプロセッサ・アーキテクチャの不具合を統合していた。このマルウェアは、分散型サービス拒否 (DDoS) 攻撃を主目的としており、新しいターゲット・デバイスをスキャンして感染させるモジュールも備えている。

ChromeLoader ブラウザ・ハイジャックの恐怖：PowerShell と ISO の悪用について深堀りする

ChromeLoader Malware Hijacks Browsers With ISO Files

2022/05/28 DarkReading — 今週に発表された２つのアドバイザリによると、ChromeLoader と呼ばれるブラウザ・ハイジャック・マルウェアは、その活動を盛んにし、運用も巧妙になってきているようであり、ビジネス・ユーザーにとって大きな脅威となっている。ChromeLoader は、オートメーションとコンフィグレーションを管理するフレームワーク PowerShell を悪用し、ブラウザに自身を注入し、悪意の拡張機能を追加するという洗練されたマルウェアである。今日における企業の環境は、柔軟な労働環境と多様なエンドポイントを持ち、SaaS への依存度を高めているため、この種の脅威は攻撃対象領域を大幅に拡大させる。

Zyxel Firewall などの４つの脆弱性が FIX：パッチ適用の確認が必要

Zyxel Issues Patches for 4 New Flaws Affecting AP, API Controller, and Firewall Devices

2022/05/17 TheHackerNews — Zyxel は、Firewall／AP Controller などの製品に影響をおよぼす、４つの脆弱性に対処するパッチをリリースした。それらの脆弱性の悪用に成功した攻撃者に対して、任意の OS コマンドの実行や、選択した情報の窃取を許す恐れがある。

Microsoft が Azure AD 全テナントに対して Security Defaults を有効化

Microsoft to force better security defaults for all Azure AD tenants

2022/05/27 BleepingComputer — Microsoft の発表によると、すべての既存 Azure Active Directory (Azure AD) テナントにおいて、厳格なセキュリティ設定である Security Defaults を、2022年6月下旬には自動的に有効にするとのことだ。2019年10月に、新規テナントのみに対して導入された Security Defaults は、IT チームを持たない組織であっても、最小限の労力で優れた ID セキュリティ衛生を導入できるように設計された、一連の基本的なセキュリティ機構である。

GitHub の OAuth 問題：追跡調査により 100K 件分の npm ログイン情報の窃取が判明

GitHub: Attackers stole login details of 100K npm user accounts

2022/05/27 BleepingComputer — GitHub が明らかにしたのは、４月中旬に発生したセキュリティ侵害において、Heroku と Travis-CI に発行された OAuth アプリ・トークンを悪用した攻撃者により、約10万件の npm アカウントのログイン情報が盗み出されたという状況である。この脅威アクターは、数十の組織が所有するプライベート・リポジトリからの侵入と、データの窃取に成功したという。

MITRE の ATT&CK Framework：悪意の行動を分類する TTP の重要性とは？

MITRE ATT&CK Framework Explained: Why it Matters

2022/05/27 SecurityBoulevard — サイバー脅威は、より頻繁に、より密かに、より巧妙になっていることが、周知の事実になっている。さらに、IP アドレス／ドメイン／ファイルハッシュなどのマーカーを用いた IoC (indicator of compromise) 探索で、脅威を検出するという従来からリアクティブなアプローチは、急速に時代遅れになりつつある。攻撃者は容易に、それらのマーカーを変更して検出を回避するため、侵害が達成された後に、初めて脅威が検出されることも少なくはない。

Windows 11 KB5014019 の適用により Trend Micro ランサムウェア防御が破壊される

Windows 11 KB5014019 breaks Trend Micro ransomware protection

2022/05/26 BleepingComputer — 今週の Windows 累積更新プログラムのオプション・プレビューでは、Trend Micro のセキュリティ製品の一部との互換性に問題があり、ランサムウェア保護機能などの機能が破壊されることが判明した。Trend Micro は、「当社における複数のエンドポイントおよびサーバープロテクション製品で使用されている UMH コンポーネントは、ランサムウェア保護などの高度な機能を担っている、しかし、Microsoft Windows 11／Windows 2022 オプション・プレビュー・パッチ (KB5014019) を適用して再起動すると、Trend Micro UMH ドライバーが停止するという問題を認識している」と述べている。

Open Automation Software における深刻な脆弱性が FIX： RCE／API Access などに対応

OAS platform vulnerable to critical RCE and API access flaws

2022/05/26 BleepingComputer — 脅威アナリストたちは、Open Automation Software (OAS) Platform に影響を及ぼした結果として、不正なデバイスアクセス／サービス拒否／リモートコード実行などにつながる脆弱性を公開した。OAS Platform は、データ接続ソリューションとして広く利用されるものであり、産業用デバイス (PLC・OPC・Modbus)／SCADA／IoT／ネットワーク・ポイント／カスタム・アプリケーション／カスタム API／データベースなどを、全体的なシステムの下に統合している。

Google とロシア制裁：ISP ２社のキャッシュ・サーバーがシャットダウン

Google shut down caching servers at two Russian ISPs

2022/05/26 BleepingComputer — ロシアの ISP ２社が、自社のネットワーク上のグローバル・キャッシング・サーバーが無効化された旨の通知を、Google から受け取った。このキャッシング・サーバーとは、Google のコンテンツをインターネット・ユーザーに高速で提供し、障害が発生したときにも、アクセスに対する信頼性を維持するための ISP 向けノードである。ISP がサーバーに保持するキャッシュとは、ユーザーによる高速でのデータ・ロードを実現するためのものであり、たとえば YouTube コンテンツにとっては必要不可欠なものである。

VMware ESXi を狙う Cheers ランサムウェア：Linux 版に加えて Windows 亜種も登場か？

New ‘Cheers’ Linux ransomware targets VMware ESXi servers

2022/05/25 BleepingComputer — 新たなランサムウェア Cheers が登場し、脆弱性のある VMware ESXi サーバーを標的として活動を開始した。VMware ESXi は、世界中の大企業で一般的に使用されている仮想化プラットフォームであるため、Cheers による暗号化が行われると、その業務に深刻な支障をきたすとされる。

米 FTC が Twitter に $150M の罰金：2FA のための情報をターゲティング広告に使っていた

FTC fines Twitter $150M for using 2FA info for targeted advertising

2022/05/25 BleepingComputer — 米連邦取引委員会 (FTC) は、二要素認証を運用するために収集した電話番号や電子メールアドレスを、Twitter がターゲット広告に使用したとして、$150 million の罰金を科した。裁判資料 [PDF] によると、2013年から Twitter は 1億4千万人以上のユーザーに対して、そのアカウントを保護するための情報を求めたが、そのデータがターゲット広告にも使われることを伝えていなかった。

ChromeLoader マルウェアが急増：新たな脅威が Chrome／Safari を脅かす

New ChromeLoader malware surge threatens browsers worldwide

2022/05/25 BleepingComputer — マルウェア ChromeLoader は、2022年に入っていからの検出量が平均していたが、５月に入ってからは増加しており、ブラウザ・ハイジャックの脅威を拡大させる原因となっている。ChromeLoader は、被害者の Web ブラウザーの設定を変更し、不要なソフトウェアや、偽の景品やアンケート、アダルトゲーム、出会い系サイトなどを宣伝するための、検索結果を表示するブラウザー・ハイジャッカーである。

アカウント・プレハイジャックという新たな攻撃手法：待ち伏せして悪さする

Learn How Hackers Can Hijack Your Online Accounts Even Before You Create Them

2022/05/25 TheHackerNews — 悪意の行為者は、アカウント・プリ・ハイジャックと呼ばれる新しい手法で、ユーザーのオンラインア・カウントに不正にアクセスできることが、新しい研究で明らかになった。この攻撃は、Web サイトなどのオンライン・プラットフォームにおける、一般的なアカウント作成プロセスを狙ったものであり、何も知らない被害者が対象サービスのアカウントを作成する前に、敵対者による一連のアクションの実行が可能となる。この研究は、独立系セキュリティ研究者の Avinash Sudhodanan が、Microsoft Security Response Center (MSRC) のAndrew Paverd と共同で行ったものである。

Google 警告：Zoom のリモートコード実行の脆弱性とゼロクリックの詳細

Google Discloses Details of Zoom Zero-Click Remote Code Execution Exploit

2022/05/25 SecurityWeek — Google の Project Zero は、ビデオ会議ソフトウェア Zoom を標的とした、ゼロクリック・リモートコード実行の詳細を公開した。Project Zero の Ivan Fratric は、悪意の行為者が XMPP プロトコル上でメッセージを送信することで、ユーザーとのインタラクションを必要とせずに、チャット機能を介して Zoom ユーザーを侵害する、悪用チェーンについて説明した。Fratric が公表した悪用チェーンの１つは、XMPP Stanza Smuggling と名付けられている。

BPFDoor マルウェアは Solaris の脆弱性 CVE-2019-3010 を悪用して root を奪う

BPFDoor malware uses Solaris vulnerability to get root privileges

2022/05/25 BleepingComputer — Linux および Solaris 向けのステルス型マルウェア BPFdoor の、内部構造に関する新たな研究により、このマルウェアの背後にいる脅威アクターは、標的システム上で持続性を得るために、古い脆弱性を利用していることが明らかになった。BPFDoor はカスタム・バックドアであり、少なくとも５年間において、通信／政府／教育／物流などの組織への攻撃で、ほとんど検出されずに使用されてきた。

Verizon 2022 DBIR 調査：23,896件のインシデントを分析して得られた指標とは？

Verizon 2022 DBIR: External attacks and ransomware reign

2022/05/25 HelpNetSecurity — Verizon Business は 2022 Data Breach Investigations Report (2022 DBIR) において、ランサムウェアによる侵害の比率は 25% に達し、前年比で 13% 増であることを明らかにした。これまでの 15年間にわたり、Verizon は年次レポートである DBIR を発行し、世界中のセキュリティ専門家や経営者に対して、サイバー・インシデントやデータ侵害に関連する、グローバルなトレンドやパターンを提供してきた。今回の最新版では、2020年11月1日〜2021年10月31日に発生した 23,896件のセキュリティ・インシデント (そのうちの 5,212件は侵入が確認) を、同社のアナリストが調査／分析し、以下の項目を明らかにしている。

偽の PoC エクスプロイトに御用心：GitHub を悪用する新手のマルウェア配布方式

Cybersecurity Community Warned of Fake PoC Exploits Delivering Malware

2022/05/24 SecurityWeek — サイバー・セキュリティ・コミュニティのメンバーたちに、PoC エクスプロイトだと偽ってマルウェアを配信する、脅威アクターたちの新たな動きが、研究者たちにより暴かれた。5月19日に研究者たちは、2022日4月の Patch Tuesday アップデートで Microsoft が修正した、Windows の脆弱性数件の PoC エクスプロイトに見せかけた、悪意のソフトウェアが GitHub にホストされていることを報告した。

VMware の認証バイパスの脆弱性 CVE-2022-22972：PoC エクスプロイトの前にパッチ適用を

Researchers to release exploit for new VMware auth bypass, patch now

2022/05/24 BleepingComputer — VMware の複数の製品に存在する、認証なしで管理者権限へのアクセスが可能になる脆弱性に対して、PoC エクスプロイトが公開されようとしている。この脆弱性 CVE-2022-22972 については、先週の水曜日に修正が行われており、速やかなパッチ適用、もしくは、緩和策の適用が、緊急警告として管理者たちに伝えられている。

Pwn2Own Vancouver ハッキングコンテスト：Mozilla 製品群の２つのゼロデイ脆弱性が FIX

Mozilla fixes Firefox, Thunderbird zero-days exploited at Pwn2Own

2022/05/24 BleepingComputer — Pwn2Own Vancouver 2022 ハッキングコンテストで悪用が証明されたゼロデイ脆弱性に対応するために、Mozilla は複数の製品に対してセキュリティ・アップデートを公開した。具体的には、Firefox／Firefox ESR／Firefox for Android／Thunderbird の脆弱なバージョンを実行している、モバイル／デスクトップ端末で悪用に成功した攻撃者に対して、JavaScript コード実行を許してしまうという、２つの深刻な脆弱性が存在する。

ダボス会議のインターポール：国家が開発したサーバー兵器がダークウェブで売られる日も近い

Nation-state malware could become a commodity on dark web soon, Interpol warns

2022/05/24 SecurityAffairs — インターポールの Secretary General である Jurgen Stock は、国家に支援されたマルウェアが、数年のうちにダークネット上で提供されるようになると発言した。ロシアとウクライナの紛争が続いているが、国家アクターと非国家アクターの双方が開発したマルウェアは、世界中の重要インフラや組織にとって深刻なリスクとなっている。

CISA 警告 5／24：Cisco／Android などの 41 件の脆弱性を悪用リストに追加

CISA adds 41 vulnerabilities to list of bugs used in cyberattacks

2022/05/24 BleepingComputer — Cybersecurity & Infrastructure Security Agency (CISA) は、Android カーネルや Cisco IOS XR などに存在する 41件の脆弱性を、この２日間で悪用脆弱性カタログに追加した。追加された脆弱性は、2016年に公開されたものから、先週の金曜日に修正された Cisco IOS XR にいたるまでの、幅広い年代に分布しているものとなる。

Trend Micro の DLL ハイジャック脆弱性が FIX：中国の APT による悪用が生じていた？

Trend Micro fixes bug Chinese hackers exploited for espionage

2022/05/24 BleepingComputer — Trend Micro が発表した内容は、中国の脅威グループが不正な DLL をサイドロードし、マルウェアを展開するために使用した、Trend Micro Security の DLL ハイジャック脆弱性に対するパッチ適用についてである。５月上旬に Sentinel Labs が明らかにしたように、Windows 上で動作するセキュリティ製品の高権限を悪用する攻撃者は、悪意を持って細工した独自の DLL をメモリ上にロードし、権限昇格とコードの実行を可能にしていたようだ。

ランサムウェア 2021年の調査：勝ち続ける帝国のパワーを数々の指標が証明

Ransomware still winning: Average ransom demand jumped by 45%

2022/05/23 HelpNetSecurity — Group-IB は、ナンバーワン脅威の進化を示すガイド Ransomware Uncovered 2021/2022 を発表した。このレポート第２版における調査結果によると、ランサムウェア帝国は連勝を重ね、2021年の身代金の返金要求額は、45% 増の $247,000 に達したとされる。2020年以降のランサムウェア・ギャングは、ずっと貪欲になっている。Hive がMediaMarkt に対して要求した身代金は、$240 million (2020年は $30 million) という記録的なものだった。Hive だけではなく、2021年のもう１人の新参者 Grief は、専用リークサイト (DLS) に投稿された被害者の数で、Top-10 ギャングの仲間入りを果たした。

PayPal の未パッチ脆弱性：クリック・ジャックの一撃で現金が盗まれる

New Unpatched Bug Could Let Attackers Steal Money from PayPal Users

2022/05/23 TheHackerNews — あるセキュリティ研究者が、PayPal 送金サービスに存在する、パッチが適用されていない脆弱性を発見したと主張している。この脆弱性を悪用する攻撃者が被害者を騙して、攻撃者が指示した取引を１回のクリックで完了させる可能性があると述べている。

PyPI リポジトリに悪意のパッケージ：Windows／Linux／macOS にバックドアを仕込む

Malicious PyPI package opens backdoors on Windows, Linux, and Macs

2022/05/21 BleepingComputer — Windows／Linux／macOS 上に Cobalt Strike ビーコンやバックドアをドロップし、サプライチェーン攻撃を行う悪意の Python パッケージが、PyPI レジストリでもう一つ発見された。PyPI は、開発者が自身の作品を共有し、他者の作品から利益を得るために利用される、オープンソース・パッケージのリポジトリであり、プロジェクトに必要な機能ライブラリをダウンロードする場所である。

Linux を侵食する XORDDoS ボットネット：活動量が６ヶ月で 254% の増加

The activity of the Linux XorDdos bot increased by 254% over the last six months

2022/05/20 SecurityAffairs — XORDDoS は XOR.DDoS とも呼ばれる Linux ボットネットであり、2014年に脅威フィールドに登場したものである。ゲームや教育の Web サイト攻撃に利用され、悪意のトラフィックが 150 GB/s に達する大規模な DDoS 攻撃を引き起こしたこともある。XORDDoS は、マルウェア活動の難読化／ルールベース検出メカニズムの回避／ハッシュベースの悪意のファイル検索／永続化メカニズム／アンチフォレンジックなどのテクニックを活用している。Microsoft の専門家は、これまでの６ヶ月の間に、XORDDoS に関連する活動は 254% 増であることを検知している。

Pwn2Own Vancouver 2022 ハッキング・コンテスト：Windows 11／Telsa Model 3 などが陥落

Windows 11 hacked again at Pwn2Own, Telsa Model 3 also falls

2022/05/20 BleepingComputer — Pwn2Own Vancouver 2022 ハッキング大会の２日目、出場者たちは再び Microsoft Windows 11 をハッキングし、また、Tesla Model 3 のインフォテインメント・システムにゼロデイを適用するデモを実演した。この日にデモを行った一番手は @Synacktiv チームであり、Tesla Model 3 のインフォテインメント・システムをターゲットにしながら、２つのユニークなバグ (Double-Free & OOBW) と、サンドボックス脱出のデモに成功し、$75,000 の報酬を獲得した。

メールに関する調査： 60％の組織がデータ損失における最も危険な経路だと認識

Email is the riskiest channel for data security

2022/05/20 HelpNetSecurity — Tessian と Ponemon Institute の調査によると、回答者の約60%の組織が過去12ヶ月間に、従業員の電子メールに関するミスによりデータ損失／流出を経験していることが明らかになった。さらに、IT セキュリティ担当者の 65％が、組織におけるデータ損失の最も危険な経路は電子メールだと述べている。続いて、クラウド・ファイル共有サービス (62％)／インスタント・メッセージング・プラットフォーム (57％) が、危険な経路とされている。

Cisco IOS XR のゼロデイ脆弱性が FIX：悪用が検知されているので要注意

Cisco Issues Patch for New IOS XR Zero-Day Vulnerability Exploited in the Wild

2022/05/20 TheHackerNews — 金曜日に Cisco は、IOS XR ソフトウェアに影響およびす、深刻度 Medium の脆弱性の修正を発表した。その脆弱性 CVE-2022-20821 (CVSS : 6.5) は、ポート開放の欠陥に関連するものであり、未認証のリモート攻撃者に対して、Redis インスタンスへの接続と、コードを実行を許す可能性があるとのことだ。

Conti ランサムウェアの解体と分散化：リブランドの状況と背景を探ってみた

Conti ransomware shuts down operation, rebrands into smaller units

2022/05/19 BleepingComputer — 猛威を奮った Conti ランサムウェア・ギャングだが、チームリーダーからブランドが存在しないことが伝えられ、インフラはオフラインにされ、正式に活動を停止した。今日の午後に、Conti の内部インフラが停止されたことが、Advanced Intel の Yelisey Boguslavskiy によりツイートされた。公開されている Conti News の、データ漏洩サイトと身代金交渉サイトはオンラインだが、Boguslavskiy は BleepingComputer に対して、メンバーが交渉に使っていたデータ漏洩サイトで、ニュースを公開するために使用されていた、Tor 管理パネルはオフラインになっていると語った。

Nikkei Asia のシンガポール本社がランサムウェアに攻撃されている：詳細は不明

Media giant Nikkei’s Asian unit hit by ransomware attack

2022/05/19 BleepingComputer — 大手の日本経済新聞社は、シンガポールのグループ本社が、約１週間前の 2022年5月13日にランサムウェアの攻撃を受けたことを明らかにした。同社は 5月19日1日に発表したプレスリリースで、「サーバーへの不正アクセスが、5月13日に検知され、社内調査が行われた。日経グループ・アジアは、影響を受けたサーバーを直ちにシャットダウンし、影響を最小限に抑えるための措置を講じた」と明らかにしている。

2022 Q1 ランサムウェア調査：最も好まれる脆弱性 Top-10 などが明らかに

Ransomware gangs rely more on weaponizing vulnerabilities

2022/05/19 BleepingComputer — セキュリティ研究者たちの指摘は、ランサムウェア・ギャングが企業ネットワークに侵入する際に、依然として外部リモート・アクセス・サービスが主要な経路であるが、脆弱性を悪用するケースも目立って増えてきているというものだ。フィッシングだけではなく、インターネットに公開されたアプリケーションの脆弱性を悪用は、脅威アクターによるデータの窃取や、システムの暗号化につながる、主要な侵害の方式となっている。

SaaS ユーザー 340社を調査：ミス・コンフィグレーションを無くす７つのポイントとは？

7 Key Findings from the 2022 SaaS Security Survey Report

2022/05/19 TheHackerNews — Adaptive Shield は CSAと共同で、今日の企業における CISO やセキュリティ担当者から見た SaaS セキュリティの状況を調査し、2022 SaaS Security Survey Report として提供している。このレポートでは、CSA 会員 340社から匿名の回答を集めることで、SaaS セキュリティ・リスクの高まりと、各組織もおけるセキュリティ対策の現状を調査している。

Google の OAuth Client Library for Java における深刻な脆弱性 CVE-2021-22573 が FIX

High-Severity Bug Reported in Google’s OAuth Client Library for Java

2022/05/19 TheHackerNews — 2022年4月に Google は、Java 用 OAuth クライアント・ライブラリに存在する深刻度の高い脆弱性に対処した。この欠陥は、漏洩したトークンを用いる脅威アクターに対して、任意のペイロード展開を許す可能性があるというものだ。この脆弱性 CVE-2021-22573 の深刻度は CVSS 値 8.7 と評価され、暗号署名の不適切な検証に起因し、ライブラリの認証バイパスにいたる恐れがある。

米国土安全保障省の勧告：VMware の深刻な脆弱性２件に５日間で対応せよ！

DHS orders federal agencies to patch VMware bugs within 5 days

2022/05/18 BleepingComputer — 今日、国土安全保障省のサイバー・セキュリティ部門は、連邦民間行政機関 (FCEB) に対して、VMware 製品を標的とする攻撃のリスクが高まっているとして、5月23日の月曜日までに緊急にアップデートするか、ネットワークから削除するよう命じた。同じく今日、Cybersecurity and Infrastructure Security Agency (CISA) も、VMware の製品群に影響を及ぼす、認証バイパスとローカル権限昇格の脆弱性 CVE-2022-22972／CVE-2022-22973 がパッチ適用されたことを受けて、緊急指令 22-03 を発表した。

Google Cloud の Assured OSS サービス：審査済みの Open Source コンポーネントを提供

Google Cloud Aims to Share Its Vetted Open Source Ecosystem

2022/05/18 DarkReading — Google によるセキュリティ対策の恩恵を望む開発者は、Google の開発者がセキュリティ問題を検証し、パッチ適用を把握している、オープンソース・コンポーネントを利用するサービスを、まもなくサブスクライブできるようになる。この Assured Open Source Software (OSS) と名付けられたサービスは、頻繁なスキャンとコード解析により作成されたメタデータで補強される、新たな Supply chain Levels for Software Artifacts (SLSA) フレームワークに準拠する。したがって、Google の署名を受けた、オープンソース・パッケージのバージョンが提供されることになる。

IT ヘルプ・デスクの調査：65％のチームが持続不可能なストレスを訴えている

65% of IT help desk teams report unsustainable levels of stress

2022/05/18 HelpNetSecurity — これまでの２年間において、IT 部門はビジネスの最前線に立ち、組織はデジタル・トランスフォーメーションを迅速に導入し、完全なリモートワークや分散型労働の実現を支援してきた。その一方で、Splashtop のレポートによると、米国内の IT ヘルプデスク・チームの 65％において、持続不可能なレベルのストレスを訴えるメンバーが増加しているようだ。さらに、回答者の 94% が、これまでの 12カ月間における自社のヘルプデスク部門が、雇用問題／人材確保問題／スキル不足の影響を受けたと回答している。その結果として、回答者の 67% が IT サポート目標の維持に問題があると報告している。

VMware 製品群の２つの深刻な脆弱性が FIX：認証バイパスで root 取得を許してしまう

VMware Releases Patches for New Vulnerabilities Affecting Multiple Products

2022/05/18 TheHackerNews — VMware は、Workspace ONE Access／Identity Manager／vRealize Automation に関連する、２つの脆弱性修正するパッチを発表した。認証バイパスの脆弱性 CVE-2022-22972 (CVSS：9.8) は、ネットワーク経由で UI にアクセスできる脅威アクターに対して、事前の認証なしに root 権限取得を許してしまうものである。もう１つの、ローカル権限昇格の脆弱性 CVE-2022-22973 (CVSS : 7.8) は、ローカル・アクセスを持つ攻撃者に対して、脆弱な仮想アプライアンス上で root への権限昇格を許してしまうものである。

CISA と MS-ISAC の共同勧告：進行中の F5 BIG-IP 攻撃をブロックするためのガイダンス

CISA shares guidance to block ongoing F5 BIG-IP attacks

2022/05/18 BleepingComputer — CISA と Multi-State Information Sharing and Analysis Center (MS-ISAC) は、本日に発表した共同アドバイザリにおいて、F5 BIG-IP ネットワーク・セキュリティの深刻な脆弱性 CVE-2022-1388 を狙う攻撃が活発化しているとして、管理者たちに警告を発した。このアドバイザリには、「CISA と MS-ISAC は、政府機関および民間企業のネットワークにおいて、未パッチの F5 BIG-IPデバイス (主に管理ポートまたは自己 IP が公開されている) が広範囲で悪用されると推測する」と記されている。

Microsoft 警告：MSSQL Server を標的とするブルートフォース攻撃が横行している

Microsoft warns of brute-force attacks targeting MSSQL servers

2022/05/18 BleepingComputer — Microsoft は、インターネットに公開され、セキュリティが不十分な Microsoft SQL Server (MSSQL) データベース・サーバーを標的とした、脆弱なパスワードに対するブルートフォース攻撃について警告を発した。このような攻撃で MSSQL サーバーが標的にされるのは、必ずしも初めてのことではないが、最近に観測された今回のキャンペーンの背後にいる脅威アクターは、SQL Server PowerShell コマンドレットを実行するための LOLBin (living-off-the-land binary) として、正規の SQLPS ツールを使用していると、Microsoft は指摘している。

CISA 警告 5/16：Spring／Zyxel の深刻な欠陥を悪用脆弱性リストに追加

CISA warns admins to patch actively exploited Spring, Zyxel bugs

2022/05/17 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されている脆弱性リストに、Spring Cloud Gateway ライブラリのコード・インジェクションの欠陥と、Zyxel Firewall／VPN デバイス・ファームウェアのコマンド・インジェクションの欠陥を追加したことを発表した。

UpdateAgent マルウェアは Mac を狙う：macOS Gatekeeper もバイパスするという

UpdateAgent Returns with New macOS Malware Dropper Written in Swift

2022/05/17 TheHackerNews — UpdateAgent という名で追跡されている、macOS マルウェアの新亜種が野放しの状態で発見され、また、継続的な機能のアップグレードが実施されていることが判明している。Jamf Threat Labs の研究者は報告書で、「おそらく、このマルウェアの最も大きな特徴の１つは、さまざまなペイロードをホストし、標的サーバーへの感染ステータスを更新するために、AWS インフラストラクチャに依存している点だ」と述べている。

Emotet の検出量が最多になった：HP Wolf Security 調査 2022 Q1

Emotet is the most common malware

2022/05/17 HelpNetSecurity — HP の Wolf Security 脅威リサーチ・チームが、Emotet が再登場した 2021年 Q4 と 2022年 Q1 を比較し、Emotet 悪質スパム・キャンペーンによる検出数が 28倍に増加していることを確認し発表している。現実のサイバー・セキュリティ攻撃の分析を提供する、最新の HP Wolf Security Threat Insights Report Q1-2022 によると、Emotet は 36 ランク・アップして、2022年 Q1 で最も多く検出されたマルウェア・ファミリーとなった (捕捉した全マルウェアの 9％)。

ウクライナのモバイル・ネットワーク：破壊を回避しながら機能し続ける理由は？

How Mobile Networks Have Become a Front in the Battle for Ukraine

2022/05/17 DarkReading — 2022年2月のウクライナ侵攻に先立ち、メディアに登場するコメンテーターやオブザーバーは、ロシアの攻撃は通信ネットワークを含むウクライナ全土の主要インフラに対する、組織的な IT 攻撃であるとの懸念を表明していた。このような攻撃の複合的な影響は、世界的に広まると予測され、その見方が浸透していた。しかし、重要インフラへのサイバー攻撃が報告される一方で、ウクライナ全土から発信され続けている相当数のビデオ／通話／ライブストリームが示すように、モバイル・ネットワークは依然として活発に動いている。

CISA 警告：Patch Tuesday ５月を Windows Server AD DC に適用しないで欲しい

CISA warns not to install May Windows updates on domain controllers

2022/05/16 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、May 2022 Patch Tuesday の更新プログラムが引き起こす Active Directory (AD) 認証の問題を考慮し、この Windows セキュリティ不具合を、KEV (Known Exploited Vulnerabilities) カタログから一時的に削除した。