August 2023 – IoT OT Security News

SapphireStealer という .NET 情報スティーラー：スパイ／ランサムウェア活動の入口に

SapphireStealer Malware: A Gateway to Espionage and Ransomware Operations

2023/08/31 TheHackerNews — .NET ベースのオープンソース情報窃取マルウェア SapphireStealer だが、その機能が強化されたことで、複数のエンティティにより悪用され、独自の亜種を生み出している。Cisco Talos の研究者である Edmund Brumaghin は、「SapphireStealer のような情報窃取マルウェアは、企業における認証情報などの機密情報を取得するために使用される可能性がある。また、そのアクセスが他の攻撃者に転売され、スパイ行為や恐喝型ランサムウェアなどが行われることも多々ある」と、The Hacker News に語っている。

北朝鮮の APT グループ Labyrinth Chollima：偽の VMConnect PyPI キャンペーンを実施

North Korean hackers behind malicious VMConnect PyPI campaign

2023/08/31 BleepingComputer — PyPI (Python Package Index) リポジトリに対して、悪意のパッケージをアップロードする VMConnect キャンペーンの背後には、北朝鮮の国家に支援を受けたハッカーたちが存在し、その中には VMware vSphere の正規のコネクタ・モジュール vConnector を模倣するものがある。この、VMConnect という名前の悪意のパッケージは８月初旬にアップロードされ、仮想化ツールを求める IT スペシャリストを標的としている。すでに、PyPI プラットフォームからは削除されているが、その時点で VMConnect は 237回もダウンロードされている。

Splunk Enterprise／IT Service Intelligence の深刻な RCE 脆弱性 CVE-2023-40595 などが FIX

Splunk Patches High-Severity Flaws in Enterprise, IT Service Intelligence

2023/08/31 SecurityWeek — 8月30日 (水) に Splunk が発表したのは、Splunk Enterprise および IT Service Intelligence に存在する、複数の深刻度の高い脆弱性 (サードパーティ製パッケージの欠陥を含む) に対するパッチである。今月に Splunk Enterprise が解決したバグの中で、最も深刻な脆弱性は CVE-2023-40595 (CVSS：8.8) であり、細工されたクエリを介した、リモート・コード実行の問題だと説明されている。

Windows Container Isolation Framework を悪用したエンドポイント・セキュリティの回避

Hackers Can Exploit Windows Container Isolation Framework to Bypass Endpoint Security

3023/08/30 TheHackerNews — マルウェア検出回避テクニックを活用する脅威アクターたちが、Windows Container Isolation Framework を操作することで、エンドポイント・セキュリティ・ソリューションを回避できる可能性が、新たな調査により判明した。この調査結果は、Deep Instinct のセキュリティ研究者である Daniel Avinoam が、８月の初めに開催された DEF CON セキュリティ・カンファレンスで発表したものだ。Microsoft のコンテナ・アーキテクチャ (Windows Sandbox) は、動的に生成されるイメージと呼ばれるものを用いて、それぞれのコンテナとホストの間でファイル・システムを分離し、また、システム・ファイルの重複を回避するものだ。

npm に悪意のパッケージ：特定のディレクトリからソースコードと機密情報を採取

Malicious npm Packages Aim to Target Developers for Source Code Theft

2023/08/30 TheHackerNews — 悪意の npm パッケージを用いる未知の脅威アクターが、被害者のマシンからソースコードや設定ファイルを盗む目的で開発者を標的にするという、オープンソース・リポジトリにおける脅威が消え去らない状況が示唆されている。ソフトウェア・サプライチェーン・セキュリティ企業 Checkmarx は、「このキャンペーンの背後にいる脅威アクターの活動は、2021年ころから発生している。それ以来、彼らは継続的に、悪意のパッケージを公開している」と、The Hacker News と共有したレポートで述べている。

Akira ランサムウェア：Cisco ASA の SSL VPN へのブルートフォース攻撃を展開

Hacking campaign bruteforces Cisco VPNs to breach networks

2023/08/30 BleepingComputer — Cisco Adaptive Security Appliance (ASA) の SSL VPN を標的とし、多要素認証 (MFA) 未実施などのセキュリティ防御の不備を利用した、クレデンシャル・スタッフィング攻撃やブルートフォース攻撃が、ハッカーたちにより行われている。先週に BleepingComputer は、Akira ランサムウェア・ギャングがイニシャル・ネットワーク・アクセスのために、Cisco VPN を突破していることを報告した。

日本の JPCERT/CC が新たな攻撃手法について警告：Maldoc In PDF とは？

Japan’s JPCERT Warns of New ‘Maldoc In Pdf’ Attack Technique

2023/08/29 SecurityAffairs — 先日に、日本の JPCERT/CC (computer emergency response team) が、悪意の Word ファイルを PDF ファイルに埋め込むことで検知を回避する、MalDoc in PDF と呼ばれる新たな攻撃手法を観測した。研究者たちは、MalDoc in PDF で作成されたファイルは、PDF の magic numbers and file 構造を持っているが、Wordで開くことができると説明している。このファイルに悪意のマクロが含まれていれば、ファイルを開くことで悪意のコードが実行される。JPCERT/CC が観測した攻撃では、脅威アクターはファイル拡張子 “.doc” を使用していたという。

日本の NISC におけるデータ侵害：2022年の秋から侵入されていた？

Japan’s National Center of Incident Readiness and Strategy for Cybersecurity (NISC) has been infiltrated for months

2023/08/29 SecurityAffairs — 日本の National Center of Incident Readiness and Strategy for Cybersecurity (NISC) に、脅威アクターが９カ月も侵入していたことが判明した。Financial Time が報じたところによると、この中国につながるハッカーにより、機密データがアクセスした可能性があるという。

Skype に悪用が容易な脆弱性：ユーザーの IP アドレスが暴露される

Easy-to-exploit Skype vulnerability reveals users’ IP address

2023/08/29 HelpNetSecurity — Skype モバイル・アプリの脆弱性が攻撃者に悪用され、ユーザーの IP アドレスが判明するという可能性が生じている。このセキュリティ脆弱性は、Yossi というセキュリティ研究者により発見されたものであり、彼から Microsoft への報告が行われ、ジャーナリストである Joseph Cox が効果的な悪用を証明した。現時点ではパッチが適用されていないため、脆弱性の詳細は公表されていないが、Joseph Cox は、「悪用は非常に簡単であり、リンクに関連する特定のパラメータを変更により実現できる」と述べている。

Citrix NetScaler の RCE 脆弱性 CVE-2023-3519：新たなランサムウェアが悪用

New Ransomware Campaign Targets Citrix NetScaler Flaw

2023/08/29 InfoSecurity — Citrix NetScaler の、インターネットに公開されているパッチ未適用のシステムを標的とする一連の攻撃を、Sophos X-Ops のサイバー・セキュリティ専門家たちが発見した。8月25日 (金) の X (Twitter) で共有された、この悪意あるキャンペーンに関する説明では、深刻なリモートコード実行の脆弱性 CVE-2023-3519 が悪用され、その結果として脅威アクターがシステムに侵入し、ドメインを覆う規模での攻撃キャンペーンが発生していると、セキュリティ研究者たちは述べている。

VMware の Network Monitoring 製品の脆弱性が FIX：直ちにパッチを！

VMware Patches Major Security Flaws in Network Monitoring Product

2023/08/29 SecurityWeek — 8月29日 (火) に VMware は、Aria Operations for Networks 製品ラインに存在する、２件の深刻な脆弱性を修正するため、大規模なセキュリティ・アップデートを配布した。VMware は緊急アドバイザリにおいて、これらの脆弱性の悪用に成功した脅威アクターは SSH 認証をバイパスし、Aria Operations for Networks のコマンドライン・インターフェイスにアクセスする可能性があると述べている。VMware は、このネットワーク認証バイパスの脆弱性 CVE-2023-34039 について、CVSS 値 9.8 と評価している。

Phishing-as-a-Service の進化が止まらない：Microsoft が AiTM 攻撃を警告

Phishing-as-a-Service Gets Smarter: Microsoft Sounds Alarm on AiTM Attacks

2023/08/29 TheHackerNews — Phishing-as-a-Service (PhaaS) サイバー犯罪モデルの一部として、Adversary-in-The-Middle 攻撃が広まっていると、Microsoft が警告している。AiTM に対応した PhaaS プラットフォームの増加に加えて、PerSwaysion のような既存のフィッシング・サービスも、この AiTM 機能を組み込んでいると、同社は指摘している。Microsoft Threat Intelligence チームは、「この、PhaaS エコシステムにおける進化により、MFA 保護の回避を試みるフィッシング・キャンペーンを、攻撃者は大規模に展開できるようになる」と X (Twitter) への投稿で述べている。

Juniper EX Switch／SRX Firewall の脆弱性：PoC リリース直後から悪用が始まっている

Hackers exploit critical Juniper RCE bug chain after PoC release

2023/08/29 BleepingComputer — エクスプロイト・チェーンを悪用するハッカーたちが、インターネット上に公開されている J-Web 設定インターフェースを介して、Juniper の EX Switch／SRX Firewall を標的にしている。この脆弱性の悪用に成功した未認証の攻撃者には、パッチが適用されていないデバイス上での、リモートからのコード実行が許されてしまう。Juniper は、「認証を必要としない特定のリクエストを介して、攻撃者たちは J-Web 経由で、任意のファイルをアップロードできる。それにより、ファイル・システムの特定部分で整合性が失われ、他の脆弱性に連鎖する可能性が生じる」と述べている。

Microsoft Exchange：2023年秋から Extended Protection がデフォルトで有効化

Microsoft will enable Exchange Extended Protection by default this fall

2023/08/28 BleepingComputer — 今日、Microsoft が発表したのは、Exchange Server 2019 を実行しているサーバにおける、Windows EP (Extended Protection) のデフォルトでの有効化についてだ。この秋に、2023 H2 Cumulative Update (CU14) がインストールされた後から、この試みはスタートする。EP (Extended Protection) とは、Windows Server の認証機能を強化し、認証リレー攻撃／中間者 (MitM) 攻撃を軽減する機能のことである。

マルウェア・ローダー Top-3 による寡占化：QakBot／SocGholish／Raspberry Robin

3 Malware Loaders Detected in 80% of Attacks: Security Firm

2023/08/28 SecurityWeek — サイバー犯罪者たちの間で最も人気のマルウェア・ローダーは、QakBot／SocGholish／Raspberry Robin の３つであり、観測された攻撃の 80％を占めていると、サイバー・セキュリティ企業 ReliaQuest が報告している。2023年1月1日〜7月31日で観測されたインシデントのうち、QakBot 30％／SocGholish 27％／Raspberry Robin 23％を占めるという状況になっている。同社によると、観測されたインシデントの全てが、ネットワークの侵害につながったわけではなく、問題を引き起こす前に検出／停止されたローダーもあるとのことだ。

Juniper SRX Firewall の脆弱性 CVE-2023-36846／CVE-2023-36845：PoC エクスプロイトが公開

Exploit released for Juniper firewall bugs allowing RCE attacks

2023/08/28 BleepingComputer — Juniper SRX Firewall の脆弱性に関する PoC エクスプロイト・コードが公開された。一連の脆弱性が連鎖すると、パッチを未適用の Juniper JunOS において、未認証の攻撃者によるリモート・コード実行へといたる可能性がある。２週間前に Juniper は、同社の EX Switche と SRX Firewall に、４件の Medium レベル脆弱性が存在することを公表し、セキュリティ・パッチをリリースした。それらの脆弱性は、管理者がネットワーク上の Juniper デバイスを管理／設定するために使用する、PHP ベースの J-Web インターフェースに存在するものだ。

Microsoft Entra ID (Azure AD) で権限を昇格させる方法：専門家たちが手口を解明

Experts Uncover How Cybercriminals Could Exploit Microsoft Entra ID for Elevated Privilege

2023/08/28 TheHackerNews — Microsoft Entra ID (旧 Azure Active Directory) アプリケーションに関連する問題として、放棄された返信 URL の悪用により特権昇格が生じるケースがあることを、サイバー・セキュリティ研究者たちが発見した。Secureworks の CTU (Counter Threat Unit) は、「この放棄された URL の悪用に成功した攻撃者は、認証コードを自分自身にリダイレクトし、不正に入手した認証コードをアクセストークンと交換できる。その後に攻撃者は、中間層のサービスを介して Power Platform API を呼び出し、昇格した権限を取得する」と、先週に発表したテクニカル・レポートの中で述べている。

LockBit 3.0 Builder のリークと影響：312種類もの亜種が量産されている

LockBit 3.0 Ransomware Builder Leak Gives Rise to Hundreds of New Variants

2023/08/26 TheHackerNews — 昨年に発生した、LockBit 3.0 ランサムウェア・ビルダーの流出により、このツールを悪用する脅威アクターたちが、新たな亜種を生み出している。ロシアのサイバー・セキュリティ企業である Kaspersky は、LockBit の亜種を展開するランサムウェアの侵入を検出したが、身代金要求の手順が著しく異なっていたと述べている。Kaspersky のセキュリティ研究者である Eduardo Ovalle と Francesco Figurelli は、「このインシデントを操る攻撃者は、NATIONAL HAZARD AGENCY と呼ばれる、新たなグループに関連する見出しを持つ、新たな身代金メモを使用している」と述べている。

Kroll でデータ侵害が発生：社員が SIM スワッピング攻撃のターゲットに

Kroll Suffers Data Breach: Employee Falls Victim to SIM Swapping Attack

2023/08/26 TheHackerNews — Risk and Financial のアドバイザリー・ソリューションを提供する Kroll だが、8月25日 (金) に明らかにしたのは、同社の従業員の一人が高度に洗練された SIM スワッピング攻撃の被害に遭ったことである。このインシデントは、2023年8月19日に発生し、従業員の T-Mobile アカウントが標的にされたという。

Flax Typhoon という中国ハッカー：政府組織／教育機関／製造業／IT 分野などを攻撃 – Microsoft

Microsoft: Stealthy Flax Typhoon hackers use LOLBins to evade detection

2023/08/25 BleepingComputer — 政府組織／教育機関／製造業／情報技術などの分野を、スパイ目的で狙う新たなハッキング・グループ Flax Typhoon を、Microsoft が特定した。この脅威アクターは、ほとんどマルウェアには依存せずに、被害者ネットワークへのアクセスを獲得／維持している。つまり、LOLBin (living-off-the-land binaries) や正規のソフトウェアを、オペレーティング・システム上で既に利用可能なコンポーネントとして好んで使用している。

QakBot というマルウェア：ユニークな感染チェーンで検知を回避 – HP Wolf

Creative QakBot Attack Tactics Challenge Security Defenses

2023/08/25 InfoSecurity — 2023 Q2 に最も活発だったマルウェア・ファミリーの１つとして、QakBot が挙げられていることが、HP Wolf の最新レポート Threat Insights Report Q2 2023 により判明した。同社の分析によると、セキュリティ・ポリシーや検知ツールを回避するために、サイバー犯罪者たちは攻撃の手法を多様化させている。その一例として、“building blog style attacks” を利用して、キャンペーンを実行していることが確認されているという。

Barracuda ESG のゼロデイ脆弱性 CVE-2023-2868 はパッチの効果なし – FBI 警告

Urgent FBI Warning: Barracuda Email Gateways Vulnerable Despite Recent Patches

2023/08/25 TheHackerNews — 米国連邦捜査局 (FBI) は、先日に公開された Barracuda の Networks Email Security Gateway (ESG) アプライアンスの脆弱性に関して、パッチは適用されているが、中国のハッキング・グループと思われる集団から、侵害されるリスクにさらされていると警告している。また、修正パッチは「効果がない」と判断した FBI は、「活発な侵入を観察し続けており、すべての Barracuda ESGアプライアンスは侵害されており、このエクスプロイトに対して脆弱であると考えている」と述べている。

WinRAR 脆弱性の悪用：DarkMe はマルウェアは Visual Basic のトロイの木馬

WinRAR Security Flaw Exploited in Zero-Day Attacks to Target Traders

2023/08/24 TheHackerNews — 先日にパッチが適用された WinRAR の脆弱性が、2023年4月以降においてゼロデイとして悪用されていることが、Group-IB の新たな調査結果により判明した。この脆弱性 CVE-2023-38831 の悪用に成功した脅威アクターは、ファイル拡張子を詐称し、無害に見えるイメージ・ファイルやテキスト・ファイルを装うアーカイブに、悪意のスクリプトを仕込んで起動することが可能になる。ただし、この脆弱性は、2023年8月2日にリリースされたバージョン 6.23 で、CVE-2023-40477 とともに対処されている。

Cisco FXOS の脆弱性 CVE-2023-20200 などが FIX：直ちにパッチ適用を！

Cisco Patches Vulnerabilities Exposing Switches, Firewalls to DoS Attacks

2023/08/24 SecurityWeek — 8月22日に Cisco は、同社製品に存在する６件の脆弱性に対する修正パッチを発表したが、その中には NX-OS／FXOS ソフトウェアに存在する、３件の深刻度の高いバグも含まれる。それらの欠陥は、Firepower 4100／9300 セキュリティ・アプライアンスと、UCS 6300 Series ファブリック・インターコネクトにおける、FXOS ソフトウェアに影響を及ぼすものだ。最も深刻なものは、脆弱性 CVE-2023-20200 であり、特定の SNMP リクエストの不適切な処理に起因すると説明されている。

Ivanti Sentry の脆弱性 CVE-2023-38035：PoC エクスプロイトが公開

Exploit released for Ivanti Sentry bug abused as zero-day in attacks

2023/08/24 BleepingComputer — Ivanti Sentry に存在する、認証バイパスの脆弱性の悪用に成功した攻撃者は、脆弱なシステムの root としてリモート・コード実行が可能になる。この脆弱性 CVE-2023-38035 は、サイバー・セキュリティ企業 mnemonic により発見されたものであり、Apache HTTPD の設定が十分に制限されていないことに起因する。その結果として、機密性の高い Sentry 管理者インターフェース API への、攻撃者によるアクセスを許すことになる。具体的に言うと、Ivanti Sentry のバージョン 9.18 以下を実行しているシステム上で、システム・コマンドの実行やファイルへの書込みが可能になる。

北朝鮮の APT グループ Lazarus：Zoho ManageEngine の脆弱性 CVE-2022-47966 を悪用

Lazarus APT exploits Zoho ManageEngine flaw to target an Internet backbone infrastructure provider

2023/08/24 SecurityAffairs — 北朝鮮が関与する APT グループ Lazarus は、Zoho の ManageEngine ServiceDesk に存在する脆弱性 CVE-2022-47966 悪用し、インターネット・バックボーン・インフラ・プロバイダーや医療機関を狙った攻撃を仕掛けている。この、国家に支援されたハッカーは、欧州と米国の組織を標的として、PoC エクスプロイトが公開された僅か数日後に、この脆弱性を悪用し始めた。この欠陥を悪用する Lazarus は、QuiteRAT として追跡されている新しいマルウェアを展開している。セキュリティ研究者が、このインプラントを発見したのは2023年2月のことだった。

WinRAR のゼロデイ CVE-2023-38831 の悪用：世界中のトレーダーが狙われている

WinRAR Vulnerability Affects Traders Worldwide

2023/08/23 InfoSecurity — トレーダーの専門フォーラムを標的とするサイバー犯罪者たちが、WinRAR 圧縮ツールのゼロデイ脆弱性 CVE-2023-38831 を悪用していると、サイバー・セキュリティ研究者が警告を発している。この脆弱性の悪用に成功した攻撃者は、悪意のあるペイロードを取り込んだ ZIP アーカイブを作成し、トレーダーの金融資産に重大なリスクをもたらすという。Group-IB の Threat Intelligence Unit は、2023年7月に DarkMe マルウェア配布について調査した際に、WinRAR の ZIP ファイル・フォーマットの処理に、未知の脆弱性があることを見した。

Web ブラウザ・エクステンションの問題：その半数以上が高リスクであるという調査結果

More Than Half of Browser Extensions Pose Security Risks

2023/08/23 DarkReading — Google Workspace や Microsoft 365 などの SaaS (Software-as-a-Service) アプリを使用する際に、企業が従業員に使用を許可しているブラウザ・エクステンションの多くは、機密度の高いコンテンツへのアクセスが可能である。したがって、コンプライアンスやデータ保護において、リスクを抱えていることが、新たな調査で明らかになった。 Spin.AI の研究者たちは、企業環境で使用されている、約 30万件の Web ブラウザ・エクステンションとサードパーティ OAuth アプリについて、リスク評価を実施した。その対象は、Google Chrome や Microsoft Edge といった、複数のブラウザにまたがる Chromium ベースのブラウザ・エクステンションである。

Windows SYSTEM 権限を取得する３つのテクニック：Filtering Platform の悪用方法とは？

New stealthy techniques let hackers gain Windows SYSTEM privileges

2023/08/23 BleepingComputer — セキュリティ研究者たちが、Windows Filtering Platform を利用して、Windows の最高権限レベルである SYSTEM にまで、ユーザー権限を昇格させるツール NoFilter をリリースした。このユーティリティは、感染させたデバイスにログインしている正規ユーザのアカウントを用いた、より高い権限での悪意のコード実行や、ネットワーク上での横方向への移動といった、攻撃者による悪用シナリオの追跡に有用なものとなる。

ランサムウェア攻撃の統計値：各セキュリティ企業のレポートを比較してみた

Cybersecurity Companies Report Surge in Ransomware Attacks

2023/08/23 SecurityWeek — いくつかのサイバー・セキュリティ企業が、この数週間において、それぞれのランサムウェア・レポートを発表しているが、その大半において攻撃の大幅な増加が示されている。ランサムウェア攻撃は、サイバー犯罪グループに大きな利益をもたらし続けているが、サイバー・セキュリティ企業の最新したレポートによると、その量と巧妙さの両方が増加しているという。そこで SecurityWeek では、一連のレポートを分析し、最も重視すべき傾向を要約してみた。

OfficeNote アプリを装う XLoader：野放し状態で macOS ユーザーを攻撃中

Bogus OfficeNote app delivers XLoader macOS malware

2023/08/23 HelpNetSecurity — 既知のマルウェアである XLoader の macOS 対応の亜種が、”OfficeNote” アプリを装いながら配信されている。SentinelOne の研究者たちは、「XLoader マルウェアのサンプルは、７月を通じて VirusTotal に投稿され続けており、野放し状態で広範に配布されていることが示される」と述べている。2015年から活動している XLoader は Malware-as-a-Service 型の情報スティーラー／ボットネットであり、2021年に Java で書かれた macOS 亜種が登場した。

Openfire Server への攻撃：約 3,000 台の未パッチ・サーバが標的になっている

3,000 Openfire Servers Exposed to Attacks Targeting Recent Vulnerability

2023/08/23 SecurityWeek — Openfire の脆弱性 CVE-2023-32315 に対するパッチが適用されていない、3,000台以上のサーバに対する新たな悪用方法により、その多くが攻撃にさらされていることが、VulnCheck の報告で明らかになった。Ignite Realtime が管理する Openfire は、XMPP プロトコルを使用し、Javaで書かれた、クロスプラットフォームのリアルタイム・コラボレーション・サーバであり、Web インターフェイスによる管理をサポートしている。

Carderbee というサプライチェーン攻撃を観測：香港などのアジア圏の組織が標的？

Carderbee Attacks: Hong Kong Organizations Targeted via Malicious Software Updates

2023/08/22 TheHackerNews — 未知の脅威クラスターが、香港などを中心とするアジア圏の組織を標的として、ソフトウェア・サプライチェーン攻撃に関与していることが判明した。Broadcom 傘下の Symantec Threat Hunter Team が、Carderbee という名前で、この活動を追跡している。この攻撃は、EsafeNet Cobra DocGuard Client と呼ばれる正規ソフトウェアのトロイの木馬化バージョンを悪用し、被害者のネットワーク上に PlugX (別名 Korplug) という既知のバックドアを配信するものだ。

CISA KEV 警告 23/08/21：Adobe ColdFusion の脆弱性をカタログに追加

CISA adds critical Adobe ColdFusion flaw to its Known Exploited Vulnerabilities catalog

2023/08/22 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Adobe ColdFusion に存在する深刻な脆弱性 CVE-2023-26359 (CVSS : 9.8) を KEV (Known Exploited Vulnerabilities) カタログに追加した。2023年3月に Adobe は、この深刻な脆弱性を修正している。この欠陥は、Adobe ColdFusion における、信頼できないデータのデシリアライズに起因するものであり、正規ユーザーのコンテキストで、任意のコード実行を引き起こす可能性があるという。

MOVEit 脆弱性への Clop 攻撃が止まらない：NCC Group の脅威レポート

Continued MOVEit Exploitation Drives Record Ransomware Attacks

2023/08/22 InfoSecurity — Clop ギャングによる MOVEit 脆弱性の継続的な悪用により、2023年7月のランサムウェア攻撃件数が記録的なレベルに達したと、NCC Group の脅威インテリジェンス・チームは述べている。研究者たちは、７月だけで 502件という、最大規模のランサムウェア攻撃を観測した。この数値は、2022年7月との比較で154% 増であり、2023年6月との比較で 16% 増となっている。

Akira ランサムウェア：Cisco VPN 製品を標的として組織に侵入している

Akira ransomware targets Cisco VPNs to breach organizations

2023/08/22 BleepingComputer — Akira ランサムウェアが、Cisco VPN 製品を攻撃ベクターとして企業ネットワークに侵入し、データ窃取を行った後に暗号化するという証拠が増えている。Akira ランサムウェアは、2023年3月以降に検出された新しいランサムウェアであり、その後に、VMware ESXi 仮想マシンを標的とする Linux 暗号化ツールも開発している。

HiatusRAT マルウェアが復活：台湾企業と米軍にサイバー攻撃を仕掛けている

HiatusRAT Malware Resurfaces: Taiwan Firms and U.S. Military Under Attack

2032/08/21 TheHackerNews — HiatusRAT マルウェアを背後から操る脅威アクターは、台湾を拠点とする組織と米軍調達システムを狙うために復帰し、新たな偵察と標的さがしの活動に入った。先週に発表したレポートで Lumen Black Lotus Labs は、このマルウェアのサンプルを調査した結果として、複数の CPU に対応する再コンパイルが行われ、新しい VPS 上でアーティファクトがホストされていると指摘している。Lumen は、この活動群を最も大胆なものと表現しており、その勢いに衰える気配がないことを指摘している。現在のところ、脅威アクターの身元や帰属は不明である。

Juniper Junos OS の脆弱性 CVE-2023-36844 などが FIX：連鎖により CVSS 9.8 に到達

New Juniper Junos OS Flaws Expose Devices to Remote Attacks – Patch Now

2023/08/21 TheHackerNews — Juniper Networks は、Junos OS の J-Web コンポーネントに存在する複数の脆弱性に対処するために、”out-of-cycle” セキュリティ・アップデートをリリースした。全体で４件の脆弱性 (CVSS 5.3) が、組み合わせて悪用された場合の累積 CVSS 値は 9.8 であり、深刻度は Critical だと評価されている。これらの脆弱性は、SRX／EX シリーズの Junos OS 全バージョンに影響する。

Ivanti Sentry の深刻な脆弱性 CVE-2023-38035 が FIX：Apache HTTPD 認証がカギ

Ivanti warns of new actively exploited MobileIron zero-day bug

2023/08/21 BleepingComputer — 8月21日に、米国の IT ソフトウェア会社 Ivanti は、Sentry API 認証バイパスの脆弱性が悪用されているとして、顧客へ向けて警告を発した。 Ivanti Sentry (旧 MobileIron Sentry) は、Microsoft Exchange Server のようなエンタープライズ ActiveSync サーバや、Sharepoint サーバのようなバックエンド・リソースのゲートキーパーとして機能するものであり、Kerberos Key Distribution Center Proxy (KKDCP) サーバとしても機能する。

SEIKO がハッキングされた：犯行を主張する BlackCat がサンプル・データを公開

Japanese watchmaker Seiko breached by BlackCat ransomware gang

2023/08/21 BleepingComputer — BlackCat／ALPHV ランサムウェア・ギャングの恐喝サイトに、SEIKO の名前が加わり、今月の初めに同社が公表した、サイバー攻撃への対応を要求している。SEIKO は世界最大級の規模を誇る歴史のある時計メーカーであり、従業員数は約 12,000人／年間売上高は $1.6 billion を超える。2023年8月10日に同社は、データ漏洩の通知を発表し、無許可の第三者が IT インフラの一部に不正アクセスし、流出させたことを認めた。

Google Chrome Check for Extension：マル・エクステンションを判定してくれる

Google Chrome to warn when installed extensions are malware

2023/08/20 BleepingComputer — Google がテストしている Chrome の新機能は、インストールされたエクステンションが Chrome Web Store から削除された場合に、ユーザーに警告を表示するためのものである。Chrome Web Store では、問題のあるエクステンションなどが次々と公開され、ポップアップ広告やリダイレクト広告を介して宣伝されている。これらのエクステンションは、詐欺師や脅威アクターにより作成され、不要な広告の挿入／検索履歴の追跡／アフィリエイト・ページへのリダイレクトなどを行い、さらに深刻なケースでは、Gmail や Facebook のアカウント窃盗などにも悪用される。

Android マルウェアの新たな手口：未知の圧縮アルゴリズムで検出を回避している

Thousands of Android Malware Apps Using Stealthy APK Compression to Evade Detection

223/08/19 TheHackerNews — マルウェア解析を逃れる脅威アクターたちが、未知の圧縮方法を用いる Android Package (APK) ファイルを使用しているという。Zimperium の調査結果によると、このような圧縮アルゴリズムを利用した 3,300件のアーティファクトが、野放し状態で活動していることが判明したという。確認されたサンプルのうち 71件は、何の問題もなく Android にロードできるようだ。

Bronze Starlight という中国の APT：Ivancy VPN の証明書をマルウェアの署名に悪用

Hackers use VPN provider’s code certificate to sign malware

2023/08/19 BleepingComputer — Bronze Starlight として知られる中国系の APT (Advanced Persistent Threat) グループが、Ivacy VPN プロバイダーの有効な証明書で署名したマルウェアを用いて、東南アジアのギャンブル業界をターゲットにしていることが確認された。有効な証明書を悪用することの主なメリットは、セキュリティ対策やシステム・アラートによる検知を回避し、正規のソフトウェアやトラフィックに紛れ込める点にある。このキャンペーンを分析した SentinelLabs は、その証明書について、Ivacy VPN のシンガポールのベンダーである PMG PTE LTD のものだと見ている。

Intel CPU の脆弱性 Downfall CVE-2022-40982：影響を受けるベンダーたちの対応は？

Companies Respond to ‘Downfall’ Intel CPU Vulnerability

2023/08/18 SecurityWeek — 先日に公表された Intel CPU の脆弱性 Downfall に対して、複数の大手企業がセキュリティ・アドバイザリ発表した。Google の研究者により発見され、CVE-2022-40982 として追跡されている Downfall には、サイドチャネル攻撃を引き起こす可能性がある。その悪用に成功したローカルの攻撃者には、パスワードや暗号化キーなどの機密性の高い情報を、対象となるデバイスから取得する可能性が生じるという。クラウド環境も影響を受けることになり、Web ブラウザ経由でリモート攻撃などが起こるかもしれないが、そのような攻撃を実証するには、さらなる研究が必要だという。

Anonymous による #OpFukushima オペレーション：福島原発の汚染水放出の計画に抗議

#OpFukushima: Anonymous group protests against the plan to dump Fukushima RADIOACTIVE wastewater into Pacific

2023/08/18 SecurityAffairs — ハッカー・グループである Anonymous は、#OpFukushima と呼ばれるオペレーションの一環として、日本の原発関連団体に対するサイバー攻撃を開始した。このキャンペーンは、福島原発の処理水を海に放出するという、日本政府の計画に抗議するために開始された。NTT Security Japan によると、IAEA (International Atomic Energy Agency) が報告書を公表した直後の 2023年7月から、攻撃が増加しているという。IAEA は、この処理水の放出は世界的な安全基準に適合していると、報告書で述べている。また、Anonymous は、東京電力の福島第一原子力発電所から処理水を放出することを、2021年に日本政府が正式に決定した後に、”ターゲット・リスト” を公開していたことも、NTT Security Japan は明らかにした。

LABRAT というキャンペーン：GitLab の脆弱性 CVE-2021-22205 を悪用してシステムに侵入

Proxyjacking and Cryptomining Campaign Targets GitLab

2023/08/18 InfoSecurity — LABRAT と呼ばれる、金銭的な動機に基づく新たなオペレーションが、Sysdig のセキュリティ研究者たちにより発見された。このキャンペーンの目的は、クリプト・マイニングとプロキシ・ジャッキングで利益を得ることであり、様々なテクニックを使って身を潜めるように設計されている。プロキシ・ジャッキングとは、攻撃手法の１つであり、攻撃者が被害者のシステムを侵害して、不正な操作などを行うものだ。LABRAT のオペレーターは、既知の GitLab のリモート・コード実行の脆弱性 CVE-2021-22205 を悪用して、標的のコンテナを侵害していた。

Jenkins Plugin の深刻な脆弱性 CVE-2023-40336 などが FIX

Jenkins Patches High-Severity Vulnerabilities in Multiple Plugins

2023/08/18 SecurityWeek — OSS ソフトウェア開発自動化サーバである Jenkins が、今週に発表したのは、複数のプラグインに影響する High／Medium レベルの脆弱性に対するパッチである。今回のパッチが対応するのは、３つのプラグインである Folders／Flaky Test Handler／Shortcut Job に存在する、クロス・サイト・リクエスト・フォージェリ (CSRF) と、クロス・サイト・スクリプティング (XSS) の脆弱性である。

WinRAR の脆弱性 CVE-2023-40477 が FIX：RAR アーカイブを開くことでコマンド実行が可能に

WinRAR flaw lets hackers run programs when you open RAR archives

2023/08/18 BleepingComputer — 数百万人に使用されている Windows 用の一般的なファイル・アーカイバ・ユーティリティ WinRAR に、アーカイブを開くだけでコンピュータ上でコマンドを実行できるという、深刻度の高い脆弱性が発見され修正された。この脆弱性 CVE-2023-40477 の悪用に成功したリモートの攻撃者は、特別に細工された RAR ファイルを開かせた後に、ターゲット・システム上で任意のコードを実行する可能性があるという。この脆弱性は Zero Day Initiative の研究者 “goodbyeselene” により発見され、2023年6月8日付で、ベンダーである RARLAB に報告された。

Cisco Unified CM の深刻な脆弱性 CVE-2023-20211 などが FIX：直ちにパッチ適用を！

Cisco Patches High-Severity Vulnerabilities in Enterprise Applications

2023/08/17 SecurityWeek — 8月16日〜17日に Cisco は、特権の昇格／SQL インジェクション／パストラバーサル／サービス拒否 (DoS) などにつながる深刻度の高い脆弱性を修正した。このうち最も深刻なものは、Cisco Unified Communications Manager (Unified CM) と、Unified Communications Manager Session Management Edition (Unified CM SME) などの、Web 管理インターフェースに影響するものだ。

急増するランサムウェア攻撃：2023年上半期には 1,500件の被害が確認された – Rapid7

Ransomware Surges With 1500 Confirmed Victims This Year

2023/08/17 InfoSecurity — Rapid7 の 2023 Mid-Year Threat Review によると、2023年の上半期においては、全世界で少なくとも 1500の組織がランサムウェア攻撃の被害に遭っている。これらの攻撃の大半は、主要なランサムウェア・ギャングである、LockBit (35.3％)／ALPHV/BlackCat (14.2％)／Cl0p (11.9％) により実施されている。Rapid7 の Vulnerability Research Manager である Caitlin Condon は、「2023年上半期のデータを集計した時点では、MOVEit Transfer ハッキングにおける新たな被害者を集計している最中であり、Cl0p によるインシデント数は、調査結果よりも多い可能性がある」と InfoSecurity に語っている。