May 2023 – Page 3 – IoT OT Security News

Western Digital へのデータ侵害：３月のサイバー攻撃で顧客データが盗まれたことを認める

Western Digital says hackers stole customer data in March cyberattack

2023/05/07 BleepingComputer — 2023年3月にサイバー攻撃を受けた Western Digital は、ハッカーに機密個人情報が盗まれたことを認め、オンラインストアを休止し、顧客にデータ侵害の通知を送った。同社は、2023年5月5日(金) の午後にデータ侵害通知をＥメールで送信し、顧客のデータが保存されていた、Western Digital のデータベースが盗まれたことを警告した。Western Digital は、「2023年3月26日頃に、不正な第三者による侵害が発生し、当社のオンラインストア・ユーザーの限定的な個人情報を含む、Western Digital データベースのコピーを取得したことが、調査により判明した」と述べている。

Python パッケージに新たなマルウェア Kekw：データ窃取と暗号ハイジャックを仕掛ける

“Kekw” Malware in Python Packages Could Steal Data and Hijack Crypto

2023/05/05 InfoSecurity — PyPI (Python Package Index) 上で発見された、Kekw と呼ばれる新しいマルウェアを取り込んだ、複数の有害な Python .whl ファイルが存在しているという。Cyble Research and Intelligence Labs (CRIL) の最新の調査によると、Kekw マルウェアは感染済のシステムからの機密情報の窃取および、暗号通貨取引をハイジャックするクリッパー・アクティビティなどを行うという。

OSI の 7-Layers モデルをセキュリティ面から考える：各層と攻撃手法をマッピングしてみた

An overview of the OSI model and its security threats

2023/05/05 Tripwire — Open Systems Interconnection (OSI) モデルは、International Standards Organization (ISO) が作成した概念的なフレームワークであり、あらゆるコンピュータ・ネットワーク書籍において、40年以上にわたって使用されている。また、ほぼ全てのサイバー・セキュリティ試験で、好んで使用されるリソースでもある。OSI モデルは、コンピュータ・システム間の通信が行われる方式を理解する際に有効な、７つの層で表現されている。具体的に言うと、各層におけるプロトコル／サービス／インターフェイスを排他的に分離するため、ネットワークに関連するトラブルシューティングに有益であり、メーカーが技術を定義する際に、他社との互換性を維持するためにも有効である。

Kimsuky APT は北朝鮮由来：ReconShark という偵察ツールで標的を狙い続ける

N. Korean Kimsuky Hackers Using New Recon Tool ReconShark in Latest Cyberattacks

2023/05/05 TheHackerNews — Kimsuky という名の、北朝鮮の国家に支援される脅威アクターは、進行中のグローバル・キャンペーンの一環として、ReconShark という新たな偵察ツールを使用していることが判明した。 SentinelOne の研究者である Tom Hegel と Aleksandar Milenkoski は、「ReconShark は、スピアフィッシング・メールおよび、文書のダウンロードにつながる OneDrive リンク、そして、悪意のマクロの実行を介して、標的とする個人に対して配信されている」と述べている。

HTML 内に仕込まれたマルウェアの進化：セキュリティ・スキャンを難しくする手口とは

Barracuda Networks Reports Shift in HTML Malware Tactics

2023/05/05 SecurityBoulevard — Barracuda Networks が発表したレポートによると、HTML ファイル内にマルウェアを埋め込むバー犯罪者が、外部サイトへのリンクを介して悪意のペイロードを配信するケースが増えているようだ。このようなアプローチの変化により、一部のセキュリティ・スキャナでは、メールに埋め込まれたマルウェアを検出することが難しくなっている。

BlackBerry 脅威レポート：１位米国／２位ブラジル／３位日本という攻撃頻度が判明

BlackBerry Report Surfaces Increasing Rate of Cyberattacks

2023/05/05 SecurityBoulevard — BlackBerry が発表した脅威インテリジェンス・レポートによると、同社のサイバー・セキュリティ・ソフトウェア／サービスを利用している組織に対して、2022年12月〜2023年2月には１分あたり12件のサイバー攻撃が行われ、そのうち 1.5件は新しいマルウェア・サンプルに基づく攻撃であることが判明した。BlackBerry のレポートでは、これらの攻撃が行われているロケーションの変化についても指摘されている。１位の米国に次いで、２位はブラジル、３位は日本、４位はカナダとなり、シンガポールが初めて Top-10 にランクインしたとのことだ。

Fleckpe というトロイの木馬：Google Playから 60万回ダウンロードされている

Subscription Trojan Downloaded 600K Times From Google Play

2023/05/05 InfoSecurity — セキュリティ研究者たちが発見した新しいトロイの木馬型マルウェアは、Google Play から提供される 11種類の Android アプリ内に潜み、620,000 台以上のデバイスにインストールされているというものだ。Kaspersky により Fleckpe と命名された、このマルウェアは Jocker および Harly 系統に類似しており、2022年から活動を開始している。このマルウェアは、被害者を密かにプレミアム・サービスに加入させ、ユーザーが気づかない間にオペレーターに収益をもたらすように設計されている。

WordPress プラグイン Advanced Custom Fields：XSS 脆弱性 CVE-2023-30777 が FIX

WordPress custom field plugin bug exposes over 1M sites to XSS attacks

2023/05/05 BleepingComputer — セキュリティ研究者たちは、数百万件のレベルでインストールされている、WordPress プラグイン Advanced Custom Fields と Advanced Custom Fields Pro が、XSS (Cross-Site Scripting) 攻撃に対して脆弱であると警告している。この２つのプラグインは、WordPress で最も人気のあるカスタム・フィールド・ビルダーであり、世界中のサイトに 2,000,000 のアクティブ・インストールが存在している。2023年5月2日に、Patchstack の研究者である Rafie Muhammad は、これらのプラグインで深刻な反射型 XSS の欠陥を発見し、この脆弱性には識別子 CVE-2023-30777 が付与された。

FluHorse は新たな Android マルウェア：検出を巧みに回避して認証情報などを窃取

New Android Malware ‘FluHorse’ Targeting East Asian Markets with Deceptive Tactics

2023/05/05 TheHackerNews — Flutter ソフトウェア開発フレームワークを悪用した、FluHorse という名の新たな Android マルウェア系統を配布する、電子メール・フィッシング・キャンペーンが、東アジア・マーケットの様々な分野で展開されていることが判明した。Check Point のテクニカル・レポートには、「このマルウェアは、正規のアプリケーションを模倣した、複数の悪意の Android アプリケーションに仕込まれ、その大半が 100万回以上もインストールされている。これらの悪意のあるアプリは、被害者の認証情報と二要素認証 (2FA) コードを盗み出す」と記されている。

Fortinet の FortiADC／FortiOS に存在する深刻な脆弱性が FIX：任意のコマンド実行

Fortinet fixed two severe issues in FortiADC and FortiOS

2023/05/05 SecurityAffairs — Fortinet が対処した９件の脆弱性は、同社の複数の製品に影響を与えるものであり、その中には、FortiADC／FortiOS／FortiProxy に存在する、CVE-2023-27999／CVE-2023-22640 という深刻な欠陥も含まれる。

Cisco Phone Adapter の脆弱性 CVE-2023-20126：EoL のためパッチは適用されない

Cisco phone adapters vulnerable to RCE attacks, no fix available

2023/05/04 BleepingComputer — Cisco SPA112 2-Port Phone Adapters の、Web ベースの管理インターフェイスに存在する脆弱性の悪用により、認証されていないリモートの攻撃者が、デバイス上で任意のコードを実行できることが公表された。この脆弱性 CVE-2023-20126 (CVSS：9.8：Critical) は、ファームウェアのアップグレード機能における、認証プロセスの欠落が原因となっている。

SBOM によるセキュリティ強化：Gartner の予測値について考える – Rezilion

Enhance Your Cybersecurity With An SBOM

2023/05/04 SecurityBoulevard — SBOM が提供するサイバー・セキュリティの利点は、ずっと以前からソフトウェア開発のライフサイクルで、使用されていなかったことが不思議なくらいのものだ。現代のソフトウェア開発では、オープンソースがコアとして用いられるため、SBOM を必要とする声が増している。

Microsoft Azure の API Management の脆弱性が FIX：SSRF などに対応 – Ermetic

Researchers Discover 3 Vulnerabilities in Microsoft Azure API Management Service

2023/05/04 TheHackerNews — Microsoft Azure API Management サービスにおいて、機密情報やバックエンド・サービスへのアクセスを試みる脅威アクターに、悪用される可能性のある３つの新たな脆弱性が公開された。イスラエルのクラウド・セキュリティ企業 Ermetic によると、そこに含まれるのは、２つの SSRF (Server-Side Request Forgery) の欠陥と、API Management 開発者ポータルにおける無制限ファイル・アップロード機能の欠陥である。

PaperCut 脆弱性の悪用：新たな PoC エクスプロイトが証明する検出回避の手口

Researchers Uncover New Exploit for PaperCut Vulnerability That Can Bypass Detection

2023/05/04 TheHackerNews — 先日に公開された PaperCut サーバの深刻な欠陥だが、現時点における全ての検出方法を回避しながら悪用する手口を、サイバー・セキュリティ研究者たちが解明している。この脆弱性 CVE-2023-27350 (CVSS：9.8) は、PaperCut MF/NG のインストールに影響を及ぼし、認証されていない攻撃者に対して、SYSTEM 権限での任意のコード実行を許すものである。オーストラリアに本拠を置く PaperCut により、この欠陥は 2023年3月8日にパッチが適用されたが、活発な悪用の兆候が 2023年4月13日に観測されている。

DLL サイドローディングの二重化：追跡が困難なスティルス攻撃を東アジアで検出 – Sophos

Hackers start using double DLL sideloading to evade detection

2023/05/03 BleepingComputer — Dragon Breath／Golden Eye Dog／APT-Q-27 として知られる APT ハッキング・グループが、古典的な DLL サイドローディング手法を組み合わせる、いくつかの複雑なバリエーションを用いて、検知を回避し始めている。これらの攻撃のバリエーションは、Telegram などのクリーンなアプリケーションを悪用する最初のベクターから始まり、セカンド・ステージのペイロード (クリーンな場合もある) をサイドロードし、そのサイドロードにより悪意のマルウェア・ローダー DLL をロードするものだ。

Netgear NMS300 ProSAFE の深刻な脆弱性：権限昇格と認証情報の漏えい – Flashpoint

Netgear Vulnerabilities Lead to Credentials Leak, Privilege Escalation

2023/05/03 SecurityWeek — Netgear の NMS300 ProSAFE に存在する脆弱性の悪用に成功した攻撃者が、平文の認証情報を取得し、権限昇格を可能にすると、サイバー・セキュリティ企業 Flashpoint が報告している。この Netgear のネットワーク・ツールは、デバイスを管理するための Web ベース・インターフェイスをユーザーに提供するものだ。その通信には TCP ポート 8080 を使用し、管理者アカウントに加えて、権限の低いオペレーターや、オブザーバーなどの、アカウント・ロールをサポートしている。その中でも、オブザーバー・アカウントのユーザーに許されるのは、ネットワーク機能の表示と監視だけであるが、この低特権のロールからから、デバイスを管理するロールへと、権限昇格が可能なことを Flashpoint は確認している。

Facebook を攻撃する NodeStealer は情報窃取マルウェア：セッション・クッキー侵害の容易さを証明

Facebook disrupts new NodeStealer information-stealing malware

2023/05/03 BleepingComputer — Facebook が発見したのは、新たな情報スティーラー・マルウェア NodeStealer であり、ブラウザ・クッキーを盗み出した脅威アクターに対して、Meta／Gmail／Outlook アカウントの乗っ取りを許すものである。有効なユーザー・セッション・トークンを含むクッキーのキャプチャは、サイバー犯罪者の間で人気が高まっている戦術であり、二要素認証による保護をバイパスしながら認証情報を盗み出し、ターゲットとの対話を必要とすること無く、アカウントの乗っ取りへと至るものだ。

Earth Longzhi という中国ハッカー・グループ：DLL 悪用マルウェアでアジアを狙う

Chinese Hacker Group Earth Longzhi Resurfaces with Advanced Malware Tactics

2023/05/03 TheHackerNews — 中国の国家支援ハッカー集団が再登場し、台湾／タイ／フィリピン／フィジーなどの、政府／医療／テクノロジー／製造業を標的とする、新たなキャンペーンを展開している。この Earth Longzhi グループは、APT41 (別名 HOODOO／Winnti) のサブグループであり、半年以上も活動を停止していたが、Earth Baku／SparklingGoblin／GroupCC などのクラスターと重複した動きを見せている。Earth Longzhi は、2022年11月にサイバー・セキュリティ企業により検出され、東アジア／東南アジア／ウクライナなどの組織への攻撃が分析されている。

Google の Passkey：すべてのアカウントで安全なパスワードレス・サインインを実現

Google adds passkeys support for passwordless sign-in on all accounts

2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。

Apple と Google が連携：AirTags 悪用などによる不正追跡を排除するスタンダードとは？

Apple and Google Join Forces to Stop Unauthorized Tracking Alert System

2023/05/03 TheHackerNews — Apple と Google が連携して取り組み始めたのは、たとえば AirTags のようなデバイスが悪用され、ユーザーの知らないうちに追跡されている場合に警告し、安全上のリスクを取り除くための仕様のドラフトである。両社は共同声明で、「この業界初の仕様により、Bluetooth 位置追跡デバイスは、Android／iOS プラットフォームにおいて、不正な追跡の検出と警告の対象になる」と述べている。

BGP に存在する３つの脆弱性：DoS 状態が無期限に延長される可能性 – Forescout

Researchers found DoS flaws in popular BGP implementation

2023/05/03 SecurityAffairs — Forescout Vedere Labs の研究者が、Border Gateway Protocol (BGP) のソフトウェア実装に存在する、複数の脆弱性を発見した。これらの問題は、プロトコルの主要なオープンソース実装である、FRRouting 実装のバージョン 8.4 における BGP メッセージの解析に起因するものだ。この脆弱性の悪用に成功した攻撃者が、BGP ピアでのサービス拒否 (DoS) 状態を引き起こす可能性が生じる。技術的に見ると、この欠陥を悪用することで、すべての BGP セッションとルーティング・テーブルを削除し、ピアを無応答にすることができるという。

ChatGPT の偽デスクトップ・アプリ：Chrome のログイン・データを盗み出すマルウェアだ – Trend Micro

Fake ChatGPT desktop client steals Chrome login data

2023/05/02 HelpNetSecurity — ChatGPT Windows デスクトップ・クライアントを模倣したマルウェアにより、Google Chrome のログインデータ・フォルダに保存された認証情報をコピーしていく情報窃盗犯について、研究者たちが警告を発している。ChatGPT は公式のデスクトップ・クライアントをリリースしていないが、この偽バージョンは、ユーザーが期待するものを作り込んでいるという。

1Password からの誤通知：Secret Key／Password の変更は生じていなかった

1Password explains scary Secret Key and password change alerts

2023/05/02 BleepingComputer — 先日に 1Password で発生した、パスワードの変更に関する顧客への通知というインシデントは、サービスの中断の結果であり、セキュリティ侵害が生じたわけではないとのことだ。1Password のインシデント・レポートが明らかにしたのは、この通知は誤りであること、そして、4月27日 (木) に予定されていた定期的なデータベース・メンテナンスに関連していたことである。

ScarCruft という北朝鮮の APT：感染チェーンに大容量 LNK ファイルを使用 – Check Point

North Korea-linked ScarCruft APT uses large LNK files in infection chains

2023/05/02 SecurityAffairs — 北朝鮮に関連する ScarCruft APT グループ (別名：APT37／Reaper／Group123) による、2022年以降の攻撃に関するレポートが、Check Point の研究者たちにより公開され。このレポートによると、観測された感染チェーンでは、マルウェアの配信手段が、悪意のドキュメントから、悪意のペイロードを埋め込んだ大容量の LNK ファイルに変わったとのことだ。

CISA KEV 警告 23/05/01：Oracle WebLogic の脆弱性 CVE-2023-21839 などが追加

CISA Warns of Attacks Exploiting Oracle WebLogic Vulnerability Patched in January

2023/05/02 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、KEV (Known Exploited Vulnerabilities) カタログに３件の脆弱性を追加したが、その中には 2023年1月にパッチが適用された Oracle WebLogic の脆弱性も含まれる。ただし、WebLogic の脆弱性の悪用について記述された、公的な報告は存在しないようだ。この脆弱性 CVE-2023-21839 は、リモート・コードの実行において悪用される可能性があり、攻撃者による対象サーバの完全な制御に至る恐れがある。この脆弱性は、Oracle の January 2023 Critical Patch Update (CPU) で修正されたものだ。

TBK DVR カメラの脆弱性 CVE-2018-9995 の悪用：攻撃試行が５万回に達した – Fortinet

Hackers Exploit High Severity Flaw in TBK DVR Camera System

2023/05/02 InfoSecurity — TBK の DVR カメラ・システムに存在する５年前の脆弱性 CVE-2018-9995 が、2023年4月の時点で、野放し状態で悪用されていることが、Fortinet のセキュリティ研究者たちの調査により判明した。この深刻な脆弱性は、悪意を持って細工された HTTP クッキーを処理する際に、カメラで生じるエラーに起因する。この脆弱性の悪用に成功したリモートの攻撃者は、認証を回避して管理者権限を取得し、最終的にはカメラからビデオ・フィードへとアクセスする可能性を引き起こす。

hVNC は高スティルス性のマルウェア：ロシアの犯罪グループ Lobshot が API を介して悪用

New ‘Lobshot’ hVNC Malware Used by Russian Cybercriminals

2023/05/01 SecurityWeek — ロシアのサイバー犯罪グループ TA505 が、最近の攻撃で新たな hVNC (Hidden Virtual Network Computing) マルウェアを使用していると、脅威情報会社 Elastic が報告している。この、Lobshot と呼ばれるマルウェアは、不正検知エンジンを回避し、感染させたマシンに対して、攻撃者によるステルス・アクセスを可能にする。その攻撃は、Google 広告や偽サイトのネットワークを悪用して、ユーザーを騙すところから始まる。そして、バックドアを含む正規のインストーラをダウンロードさせる、マルバタイジングにより配布されていく。

T-Mobile でデータ侵害が発生：2023 年に入って二度目の深刻なインシデントを公表

T-Mobile discloses second data breach since the start of 2023

2023/05/01 BleepingComputer — 2023年2月下旬から1ヶ月以上にわたって、T-Mobile の数百人分の個人情報に、攻撃者がアクセスしていたことが判明し、同社は今年に入ってからの２度目のデータ漏洩を公表した。T-Mobile が過去に報告したデータ漏洩インシデント (最新のものは 3700万人に影響を与えた) と比較すると、今回は 836人の顧客が影響を受けただけだった。それでも、漏洩した情報の量はきわめて広範囲に及び、影響を受けた個人は、個人情報の盗難やフィッシング攻撃にさらされることになる。

Western Digital のデータ侵害：脅威アクター ALPHV からの脅迫がエスカレート

Hackers leak images to taunt Western Digital’s cyberattack response

2023/05/01 BleepingComputer — BlackCat という名で活動する ALPHV ランサムウェア・オペレーションだが、Western Digital から盗んだとする内部メールやビデオ会議のスクリーン・ショットを公開し、同社が侵害に対応する間もシステムにアクセスし続けていた可能性が高いことを示した。この情報の開示は、4月17日に脅威アクターが Western Digital に対して、身代金が支払われない場合は、我慢できないところまで痛めつけると、警告した後のことである。