September 2023 – Page 2 – IoT OT Security News

脆弱性が発生する場所は？かなりの部分がクラウドに偏在している – Palo Alto Networks

Cloud to Blame for Almost all Security Vulnerabilities

2023/09/15 InfoSecurity — Palo Alto Networks の Unit 42 が、最新の攻撃サーフェス脅威リサーチで明らかにしたのは、あらゆる業種の組織で観測されるセキュリティ脆弱性の 80.3% が、クラウド環境に起因しているという状況である。この、2023年9月14日に発表されたレポートでは、最も一般的なクラウド・セキュリティの欠陥について概説しているが、Web フレームワークの乗っ取り (22.8%) および、リモートアクセスサービス (20.1%)、IT セキュリティとネットワークインフラ (17.1%) などが原因の上位を占めているという。

時代遅れの認証ストラテジー：依然としてユーザー企業に残り続ける

Enterprises persist with outdated authentication strategies

2023/09/15 HelpNetSecurity — Enzoic の最新調査によると、認証はサイバー・セキュリティの要であるにもかかわらず、依然として時代遅れのリスク軽減戦略に依存していることが判明した。攻撃対象が拡大し続け、ますます巧妙化するサイバー脅威に対して、エンタープライズが苦慮しているのは、セキュアでユーザー・フレンドリーな認証の実現である。調査では、最新の戦略が登場している一方で、今回の調査で明らかになったのは、大半の企業が、依然として従来のアプローチに頼っていることである。

Google Authenticator MFA クラウド同期：深刻な問題が生じると Retool が非難

Retool blames breach on Google Authenticator MFA cloud sync feature

2023/09/15 BleepingComputer — ソフトウェア会社 Retool は、標的型の多段階ソーシャル・エンジニアリング攻撃により、クラウド顧客 27社のアカウントが侵害されたと発表した。Retool の開発プラットフォームは、スタートアップから Fortune 500 にいたるまで、さまざまな企業のビジネス・ソフトウェアの構築に利用され、その顧客には Amazon／Mercedes-Benz／DoorDash／NBC／Stripe／Lyft なども含まれる。Retool のエンジニアリング責任者である Snir Kodesh は、乗っ取られたアカウントは、すべて暗号通貨業界の顧客のものであることを明らかにした。この侵入は 8月27日に発生し、攻撃者は SMS フィッシングとソーシャル・エンジニアリングを使用して、複数のセキュリティ制御を迂回し、IT 従業員の Okta アカウントを侵害していった。

クラウド関連の脆弱性 (CVE) は 632件：前年比で 194％増 – IBM 調査

Cloud Vulnerabilities Surge 200% in a Year

2023/09/14 InfoSecurity — 2022年6月〜2023年6月に、IBM が新たに追跡したクラウド関連の脆弱性 (CVE) は 632件であり、前年比で 194％増となった。IBM X-Force Cloud Threat Landscape Report 2023 を構成する要素は、同社における脅威インテリジェンス／インシデント対応業務／ペンテストからの情報に加えて、ダークウェブ分析／Cybersixgill／Red Hat Insights などのからの情報に基づいている。IBM が追跡している CVE の総数は 3900件に達し、その数は 2019年との比較で２倍増となっている。

3AM という新たなランサムウェア：LockBit の代替えとして攻撃を成功させる

When LockBit Ransomware Fails, Attackers Deploy Brand-New ‘3AM’

2023/09/14 DarkReading — ある建設業に対する最近の攻撃では、標的とするネットワーク上で LockBit の実行に失敗したハッカーが、未知のランサムウェアを二番手として展開することに成功したという。この新しいツールの機能として挙げられるのは、ホスト・コンピューター上のファイルをロックする前に、各種のサイバー・セキュリティやバックアップ関連のソフトウェアをブロックするという、どちらかというと標準的なものだ。

Cisco Webex の偽サイト：Google 検索上位に表示される偽広告に御用心

Fake Cisco Webex Google Ads abuse tracking templates to push malware

2023/09/14 BleepingComputer — Google Ads のトラッキング・テンプレートを抜け道として悪用する脅威アクターたちが、ユーザーを BatLoader マルウェアを配布する Web サイトにリダイレクトさせるための、説得力のある Webex ソフトウェア検索広告を作成している。Webex は、Cisco のコラボレーション・ポートフォリオの一部であり、また、世界中の企業で使用されるビデオ・カンファレンスおよびコンタクト・センターのスイートである。Malwarebytes の報告によると、この不正広告キャンペーンは、１週間ほど前から Google 検索で活発に行われており、それを操る脅威アクターはメキシコにいるという。

Linux／macOS の ncurses ライブラリの深刻な脆弱性：Microsoft が詳細レポートを公表

Microsoft Uncovers Flaws in ncurses Library Affecting Linux and macOS Systems

2023/09/14 TheHackerNews — プログラミング・ライブラリである ncurses (new curses の略) で、メモリ破壊の脆弱性が発見された。その影響が及ぶ Linux／macOS システム上で、悪意のコード実行を試みる、脅威行アクターたちに悪用される可能性があるという。Microsoft Threat Intelligence の研究者である Jonathan Bar Or と Emanuele Cozzi と Michael Pearse は、「環境変数ポイズニングを使用する攻撃者は、これらの脆弱性を連鎖させて特権を昇格させ、標的のプログラム・コンテキストによるコード実行や、悪意のアクションを引き起こす可能性がある」と、今日に発表されたテクニカルレポートの中で述べている。

Windows 11 の脆弱性 CVE-2023-38146 が FIX：PoC エクスプロイトが公開

Windows 11 ‘ThemeBleed’ RCE bug gets proof-of-concept exploit

2023/09/14 BleepingComputer — Windows Themes の脆弱性 CVE-2023-38146 に対する、PoC エクスプロイト・コードが公開された。このセキュリティ問題は ThemeBleed とも呼ばれ、深刻度を示す CVSS 値は 8.8 である。攻撃者により細工された悪意の “.THEME” ファイルを、ターゲット・ユーザーが開くところから悪用が始まる可能性がある。5月15日に、この脆弱性を Microsoft に報告して、報奨金 $5,000 を受け取った研究者の Gabe Kirkpatrick により、この悪用コードが公開された。一昨日の9月12日に Microsoft は、September 2023 Patch Tuesday をリリースし、この CVE-2023-38146 に対処している。

CISA がオープンソース保護を本格化：セキュリティ・ロードマップを発表

CISA Releases Open Source Software Security Roadmap

2023/09/13 SecurityWeek — 9月12日 (火) に米国の Cybersecurity and Infrastructure Security Agency (CISA) はオープンソース・ソフトウェア (OSS) のエコシステムを支援し、連邦政府機関による OSS の利用を保護するための、計画について詳述する新たなドキュメントを発表した。同庁によると、誰もがアクセス／変更／配布できる OSS は、高品質コードの提供とコラボレーションを促進するが、広範囲に影響を及ぼす Log4Shell などの脆弱性により、高いリスクももたらす可能性があるという。

Azure HDInsight Analytics に８件の XSS 脆弱性：各種の攻撃にいたる恐れ

Researchers Detail 8 Vulnerabilities in Azure HDInsight Analytics Service

2023/09/13 TheHackerNews −−− Microsoft Azure HDInsight のオープンソース解析サービスに存在する、クロス・サイト・スクリプティング (XSS) の脆弱性の詳細が明らかになった。それを悪用する脅威アクターにより、武器化される可能性があるが、すでにパッチが提供されている。Orca のセキュリティ研究者である Lidor Ben Shitrit は、「特定された脆弱性は、６つの Stored XSS と、２つの Reflected XSS の脆弱性で構成されている。これらの脆弱性を悪用することで、不正データ・アクセスから、セッションの乗っ取り、悪意のペイロードの配信にいたるまでの、さまざまな攻撃が実行される可能性が生じる」と、The Hacker News と共有したレポートの中で述べている。

Windows 11 に新機能：SMB 経由の NTLM-Relay 攻撃を防ぐ仕組みとは？

New Windows 11 feature blocks NTLM-based attacks over SMB

2023/09/13 BleepingComputer — Microsoft は Windows 11 に新しいセキュリティ機能を追加した。それにより、管理者による SMB 経由の NTLM ブロックが可能となり、pass-the-hash／NTLM relay／password-cracking 攻撃などが防御されるという。その内容は、Kerberos や NTLM (LM／NTLM／NTLMv2) とディスティネーション・サーバとの認証交渉が、Windows SPNEGO により行われていたという、従来のアプローチを変更するものだ。

Firefox／Thunderbird のゼロデイ脆弱性 CVE-2023-4863 が FIX：WebP ライブラリの問題

Mozilla patches Firefox, Thunderbird against zero-day exploited in attacks

2023/09/12 BleepingComputer — 今日、Mozilla は、Firefox と Thunderbird に影響を及ぼし、野放し状態で悪用されている深刻なゼロデイ脆弱性を修正するために、緊急セキュリティ・アップデートをリリースした。この脆弱性 CVE-2023-4863 は、WebP コード・ライブラリ (libwebp) のヒープバッファ・オーバーフローに起因するものであり、その影響はクラッシュから任意のコード実行にまで及ぶという。

Kubernetes 警告：３件の脆弱性により Windows エンドポイントへのリモート攻撃が可能

Alert: New Kubernetes Vulnerabilities Enable Remote Attacks on Windows Endpoints

2023/09/13 TheHackerNews — Kubernetes で３件の深刻な脆弱性が発見され、その連鎖の危険性が指摘されている。それにより、クラスタ内の Windows エンドポイント上で、特権を昇格させたリモートコード実行に悪用されるという可能性が生じている。これらの脆弱性 CVE-2023-3676／CVE-2023-3893／CVE-2023-3955 の CVSS スコアは 8.8 であり、Windows ノードを持つ全ての Kubernetes 環境に影響を与えるという。これらの脆弱性については、2023年7月13日に Akamai から報告が行われ、2023年8月23日に修正版がリリースされた。

GitHub の深刻な脆弱性が FIX：ユーザー名変更にともなうレポハイジャックの問題

Critical GitHub Vulnerability Exposes 4,000+ Repositories to Repojacking Attack

2023/09/12 TheHackerNews — GitHub に新たな脆弱性が発見され、何千ものリポジトリがレポジャッキング攻撃の危険にさらされている可能性があると判明した。Checkmarx のセキュリティ研究者である Elad Rapoport は、「GitHub のリポジトリ作成とユーザー名の変更操作における、競合状態を悪用できる。この脆弱性の悪用に成功した攻撃者は、Go／PHP／Swift などによる 4,000 以上のコード・パッケージや GitHub Actions を乗っ取ることが可能となり、このオープンソース・コミュニティに深刻な影響が生じる恐れがある。2023年3月1日の情報公開に続いて、2023年9月1日付けで GitHub は、この問題に対処した」と、The Hacker News と共有した技術レポートの中で述べている。

Free Download Manager サプライチェーン攻撃：数年前から Linux ユーザーにマルウェアを配布

Free Download Manager site redirected Linux users to malware for years

2023/09/12 BleepingComputer — Free Download Manager を悪用して、脅威アクターが所有する Debian パッケージ・リポジトリにリダイレクトさせ、Linux ユーザーに情報窃取型のマルウェアをインストールさせるという、サプライ・チェーン攻撃が発見された。このキャンペーンで使用されたマルウェアは、C2 サーバへのリバースシェルを確立し、ユーザのデータとアカウント認証情報を収集する、Bash スティーラーをインストールするものだ。Kaspersky が、不審なドメインの調査中に、このサプライチェーン侵害の兆候を発見したが、３年以上も前から実施されているキャンペーンであることを突き止めた。

Adobe Acrobat のゼロデイ CVE-2023-26369 が FIX：コード実行攻撃が発生

Adobe Says Critical PDF Reader Zero-Day Being Exploited

2023/09/12 SecurityWeek — 9月12日 (火) に Adobe は、広く普及している Adobe Acrobat／Acrobat Reader がもたらす、新たなゼロデイ攻撃について警鐘を鳴らした。Patch Tuesday の一環として Adobe が警告したのは、リモートからの悪用が可能な脆弱性 CVE-2023-26369 により、コード実行攻撃が発生しているというものである。この欠陥について Adobe は、境界外書き込みによるメモリの安全性の問題であり、Windows／macOS 環境に影響を及ぼすと説明している。

Microsoft 2023-09 月例アップデート：２件のゼロデイと 59件の脆弱性に対応

Microsoft September 2023 Patch Tuesday fixes 2 zero-days, 59 flaws

2023/09/12 BleepingComputer — 今日は、Microsoft の September 2023 Patch Tuesday であり、積極的に悪用されている２件のゼロデイ脆弱性を含む、全体で 59件の欠陥に対するセキュリティ・アップデートが提供されている。その一方で Microsoft は、他社製品である Electron と Autodesk の２つの欠陥と、Microsoft Edge (Chromium) に存在する４つの脆弱性に対して、9月7日に修正プログラムを公開している。

Socomec UPS デバイスに脆弱性：CISA がハイジャックの可能性を指摘

Vulnerabilities Allow Hackers to Hijack, Disrupt Socomec UPS Devices

2023/09/11 SecurityWeek — Socomec 製の無停電電源装置 (UPS：uninterruptible power supply) の一部に、デバイスの乗っ取りや破壊に悪用される可能性のある、複数の脆弱性が存在している。Socomec はフランスに拠点を置き、低電圧エネルギー性能に特化した製品を提供する製造会社である。同社が提供するモジュール式 UPS 装置は、世界中の様々な分野の企業で使用されている。

Windows のプリンタ機能：2025 年からサードパーティ製のプリンタ・ドライバを非公開に

Microsoft will block 3rd-party printer drivers in Windows Update

2023/09/11 BleepingComputer — Microsoft が発表したのは、今後の４年間にわたる、プリンタ・ドライバ戦略の実質的かつ段階的な方向性の転換である。その一環として、Windows Update でのサードパーティ製プリンタ・ドライバの配信停止が決定された。同社は、「Windows 10 21H2 のリリースから、Windows は Microsoft IPP (Internet Printing Protocol) クラス・ドライバを介して、ネットワークと USB インターフェイス上で Mopria 準拠のプリンタ・デバイスのインボックス・サポートを提供するようになる。これにより、印刷機器メーカーは、独自のインストーラー／ドライバ／ユーティリティーなどを提供する必要がなくなる」と述べている。

HijackLoader というマルウェア・ローダー：アンチ回避とインジェクション機能に優れる

New HijackLoader Modular Malware Loader Making Waves in the Cybercrime World

2023/09/11 TheHackerNews — DanaBot／SystemBC／RedLine Stealer などの各種ペイロードを配信する、HijackLoaderと呼ばれる新たなマルウェア・ローダーが、サイバー犯罪者コミュニティで人気を集めている。Zscaler ThreatLabz の研究者である Nikolaos Pantazopoulos は、「HijackLoaderは高度な機能を備えていないが、大半のローダーが備えていないモジュラー・アーキテクチャを用いることで、コード・インジェクションを容易にする」と述べている。

Google Chrome のゼロデイ CVE-2023-4863 が FIX：エクスプロイトの存在を確認

Google fixes another Chrome zero-day bug exploited in attacks

2023/09/11 BleepingComputer — Google Chrome 緊急セキュリティ・アップデートを公開された。それにより、今年に入ってから攻撃で悪用された、４番目のゼロデイ脆弱性が修正されている。Google は、CVE-2023-4863 のエクスプロイトが存在することを認識しているという。現時点において、この新バージョンは Stable／Extended stable チャンネルのユーザーに配布されており、今後の数日から数週間かけて、すべてのユーザーに配布されるようだ。

CISA KEV 警告 23/09/11：Apple のゼロデイ CVE-2023-41064 など

CISA Adds Recently Discovered Apple Zero-Days To Known Exploited Vulnerabilities Catalog

2023/09/11 SecurityAffairs −−− 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、iMessage ゼロクリック攻撃で悪用される脆弱性 BLASTPASS を、KEV (Known Exploited Vulnerabilities Catalog) カタログに追加した。これらのゼロデイ脆弱性 CVE-2023-41064／CVE-2023-41061 は、Image I/O および Wallet フレームワークに存在し、iPhone に NSO Group の Pegasus スパイウェアをインストールするために悪用されていた。

Chrome の Privacy Sandbox がスタート：クッキーの弊害を排除できるのか？

Google Chrome Rolls Out Support for ‘Privacy Sandbox’ to Bid Farewell to Tracking Cookies

2023/09/11 TheHackerNews — Google Chrome における Privacy Sandbox の計画を発表されてから、４カ月が経過し、多数のユーザーへの展開が正式に開始された。Google の VP Privacy Sandbox Initiatives である Anthony Chavez は、「我々は、プライバシーの改善と、情報へのアクセス維持が重要だと考えている。その対象が、ニュースであろうと、ハウツーガイドであろうと、楽しいビデオであろうと、同じことだと信じている。Privacy Sandbox のような、サードパーティ・クッキーに代わるプライバシー保護手段がなければ、ユーザーによる情報へのアクセスを低減し、また、フィンガープリンティングのような侵略が高じる危険性がある」と述べている。

Akamai が防御した最大級の DDoS 攻撃：米国の大手金融機関が標的だった

Akamai Prevented The Largest DDoS Attack On A Us Financial Company

2023/09/10 SecurityAffairs — 米国の金融機関を標的とする大規模な分散型サービス妨害 (DDoS) 攻撃を、サイバーセキュリティ企業 Akamai が特定／阻止することに成功した。この攻撃は先週に発生し、悪質なトラフィックはピーク時で 633.7 gigabits per second に達した。この攻撃は、同社により事前に緩和され、２分未満で終了した。

Google Play に偽 Telegram アプリ：隠されたスパイウェアに数百万人が感染

Millions Infected by Spyware Hidden in Fake Telegram Apps on Google Play

2023/09/09 TheHackerNews — Google Play ストアで Telegram を装い、侵害した Android デバイスから機密情報を収集するという、スパイウェアが発見された。Kaspersky のセキュリティ研究者である Igor Golovin によると、このアプリには、名前／ユーザー ID／連絡先／電話番号／チャット・メッセージなどを取得し、脅威アクターが管理するサーバーに流出させるという、悪質な機能が搭載されているという。

Microsoft Teams を悪用したフィッシング攻撃：DarkGate マルウェアを配布している

Microsoft Teams phishing attack pushes DarkGate malware

2023/09/09 BleepingComputer — Microsoft Teams メッセージを悪用して DarkGate Loader というマルウェアをインストールし、悪意の添付ファイルを送信するという、新たなフィッシング・キャンペーンが展開されている。このキャンペーンは 2023年8月下旬に開始されたものであり、Microsoft Teams のフィッシング・メッセージが、侵害された２つの Office 365 の外部アカウントから、他の組織に送信されていることが確認された。これらのアカウントは、他の Microsoft Teams ユーザーを騙して “Changes to the vacation schedule” という ZIP ファイルをダウンロードさせ、開封させるために使用されていた。

Notepad++ 8.5.7 がリリース：深刻な脆弱性 CVE-2023-40031 などに対応

Notepad++ 8.5.7 released with fixes for four security vulnerabilities

2023/09/08 BleepingComputer — Notepad++ のバージョン 8.5.7 がリリースされ、バッファ・オーバーフローに起因する、複数のゼロデイ脆弱性が修正された。そのうちの 1 つは、ユーザーを騙して特別に細工されたファイルを開かせることで、任意のコード実行に至らせる可能性があると指摘されている。Notepad++ は、多くのプログラミング言語をサポートし、プラグインによる拡張が可能であり、生産性を向上させるためのマルチタブ編集やシンタックス・ハイライトなどの機能を提供する、人気の無償ソースコード・エディタだ。

Akira が狙う Cisco ASA のゼロデイ CVE-2023-20269：ブルートフォース攻撃？

Cisco ASA Zero-Day Exploited in Akira Ransomware Attacks

2023/09/08 SecurityWeek — 今週に Cisco は、Adaptive Security Appliance (ASA) および Firepower Threat Defense (FTD) ソフトウェアに存在する、ゼロデイ脆弱性について注意を喚起した。この脆弱性は、８月以降において Akira ランサムウェア攻撃で悪用されているものだ。この脆弱性 CVE-2023-20269 (CVSS：5.0) は、Cisco ASA／FTD のリモート・アクセス VPN 機能に存在し、ブルート・フォース攻撃の対象とされているため、認証なしでリモートから悪用される可能性がある。

CISA 警告：Fortinet と Zoho の既知の脆弱性が国家支援ハッカーに狙われている

CISA Warning: Nation-State Hackers Exploit Fortinet and Zoho Vulnerabilities

2023/09/08 TheHackerNews — Fortinet FortiOS SSL-VPN と Zoho ManageEngine ServiceDesk Plus の脆弱性を悪用する複数の APT が、侵害したシステムに不正アクセスし、永続性を確立していると、9月12日に CISA が警告した。また、FBI および CNMF との共同アラートには、「国家レベルの APT が脆弱性 CVE-2022-47966 を悪用して、インターネットに公開された Zoho ManageEngine ServiceDesk Plus に不正アクセスし、永続性を確立し、横方向へ移動していると」と記されている。

Apache SuperSet の深刻な脆弱性が FIX：リモートコード実行にいたる恐れ

Alert: Apache SuperSet Vulnerabilities Expose Servers to Remote Code Execution Attacks

2023/09/07 TheHackerNews — Apache SuperSet に存在する、 2つの新たなセキュリティ脆弱性に対処するパッチがリリースされた。これらの脆弱性が攻撃者に悪用されると、影響を受けるシステム上でリモート・コード実行にいたる可能性がある。今回の更新 (バージョン2.1.1) は、脆弱性 CVE-2023-39265／CVE-2023-37941 を塞ぐものである。それらの脆弱性の悪用に成功した攻撃者は、 Superset のメタデータ・データベースを制御できるようになり、悪質な行為にいたる可能性があるという。

Cisco OAS に８件の脆弱性：IoT プラットフォームへの影響は？

Cisco Finds 8 Vulnerabilities in OAS Industrial IoT Data Platform

2023/09/07 SecurityWeek — Cisco の Open Automation Software (OAS) プラットフォームに存在する、複数の脆弱性を悪用することで、認証バイパス／機密情報漏洩／ファイル上書きなどが可能になると、同社は警告している。OAS プラットフォームとは、サーバ／ICS／IoT などにおける、デバイス間での通信やデータ転送を可能にするものであり、通常は、インダストリアル／エンタープライズ環境で使用されるものだ。ここでは、ロギング／ノーティフィケーション／クロスプラットフォーム統合もサポートされている。

CISA KEV 警告 23/09/06：Apache RocketMQ の脆弱性 CVE-2023-33246

CISA warns of critical Apache RocketMQ bug exploited in attacks

2023/09/07: BleepingComputer — Apache の RocketMQ 分散メッセージング／ストリーミング・プラットフォームに影響を及ぼす、深刻度の高い脆弱性 CVE-2023-33246 が、米国 CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) カタログに追加された。現時点において。この脆弱性を悪用する複数の脅威アクターたちが、影響を受けたシステムの構成要素である RocketMQ バージョン 5.1.0 以下に、各種のペイロードをインストールしている可能性があるという。

Apple にゼロデイ CVE-2023-41064／CVE-2023-41061：スパイウェアが狙っている

Apple discloses 2 new zero-days exploited to attack iPhones, Macs

2023/09/07 BleepingComputer — Apple がリリースした緊急のセキュリティ・アップデートは、iPhone／Mac ユーザーを狙う攻撃で悪用されている、２つの新たなゼロデイ脆弱性を修正するものだ。同社のアドバイザリには、「Apple は、この問題が積極的に悪用された可能性があるという報告を認識している」と記されている。それぞれの脆弱性は、Walletフレームワークの CVE-2023-41061 と、Image I/O の CVE-2023-41064 である。

W3LL という PhaaS：フィシング・ツールセットを 10ヶ月で 56,000本も販売

Experts Uncover Underground Phishing “Empire” W3LL

2023/09/06 InfoSecurity — Microsoft 365 アカウントを標的とする洗練されたツールを、わずか 10ヶ月の間に推定 56,000本も販売した、新しいフィッシング・オペレーションを、セキュリティ研究者たちが発見した。Group-IB は、最新のレポート “W3LL Done: Hidden Phishing Ecosystem Driving BEC Attacks” において、W3LL 脅威アクターの存在を明らかにした。

Microsoft Office を攻撃する Agent Tesla RAT：古い脆弱性が悪用されるという現実

Old vulnerabilities are still a big problem

2023/09/06 HelpNetSecurity — Microsoft Office に存在する、古いリモートコード実行の脆弱性を悪用して、無防備なユーザーに Agent Tesla RAT 配信するィッシングキャンペーンが、つい先日に発見された。Fortinet の研究者である Xiaopeng Zhang は、「脆弱性 CVE-2017-11882／CVE-2018-0802 に対するパッチは、2017年11月と 2018年1月に、Microsoft からリリースされている。しかし、脅威アクターたちにとって、これらは依然として人気の脆弱性であり、５年以上が経過した今でも、まだパッチが適用されていないデバイスが野放しになっていることが示唆される。私たちは、IPS レベルで、１日あたり 3000件の攻撃を観測し、緩和している。観測された脆弱なデバイスの数は、１日あたり約 1300台である」と述べている。

Chrome 116 の深刻な脆弱性４件が修正：サービス拒否やコード実行にいたる可能性

Chrome 116 Update Patches High-Severity Vulnerabilities

2023/09/06 SecurityWeek — 9月5日 (火) に Google は、Chrome 116 アップデートをリリースし、外部の研究者たちから報告された４件の深刻度の高い脆弱性を修正した。１つ目の脆弱性 CVE-2023-4761 は、FedCM (Federated Credential Management) API における境界外メモリ・アクセスの問題だと説明されている。境界外メモリ・アクセス・エラーは、プログラムがバッファ境界外のメモリ・アドレスを読み取る際に発生するものであり、サービス拒否 (DoS) 状態を引き起こし、その他の脆弱性との組み合わせによりコード実行にいたる可能性がある。

PHPFusion CMS にゼロデイ脆弱性 CVE-2023-2453 など：現状ではパッチが無い！

Researchers Discover Critical Vulnerability in PHPFusion CMS

2023/09/06 DarkReading — PHPFusion に存在する深刻な脆弱性を、セキュリティ研究者たちが発見した。この人気のオープンソース CMS (Content Management System) には、２つの脆弱性があるという。先日に Synopsys の研究者たちが発見した、１つ目の脆弱性 CVE-2023-2453 は、認証されたローカル・ファイル・インクルージョンの欠陥である。この脆弱性の悪用に成功した攻撃者が、悪意を持って細工した “.php” ファイルをターゲット・システム上の既知のパスにアップロードすると、リモート・コード実行が可能になるという。２つ目の脆弱性 CVE-2023-4480 は、その悪用に成功した攻撃者に対して、システム上のファイルの Read/Write を許すものであり、深刻度は Medium とされている。

中国のハッカー Storm-0558：Windows クラッシュダンプから署名キーを窃取と判明

Hackers stole Microsoft signing key from Windows crash dump

2023/09/06 BleepingComputer — 中国人ハッキング・グループ Storm-0558 は、Microsoft のエンジニアの企業アカウントを侵害した後に、Windows のクラッシュダンプから署名キーを盗み出し、政府機関の電子メール・アカウントに侵入していた。攻撃者は盗んだ MSA キーを使って、米国の国務省や商務省など含む、約 20の組織の Exchange Online／Azure Active Directory (AD) アカウントに侵入したとされる。Storm-0558 は、GetAccessTokenForResourceAPI のゼロデイ検証の問題を悪用し、署名されたアクセス・トークンを偽造し、標的である組織内のアカウントになりすましていた。

Toyota の国内生産工場で操業停止：ストレージ容量不足が原因

Toyota says filled disk storage halted Japan-based factories

2023/09/06 BleepingComputer — Toyota の発表によると、先日に日本の生産工場で発生した操業停止は、データベース・サーバーのストレージ容量不足が原因だったとのことだ。8月29日に Toyota は、日本の組立工場 14ヶ所のうち 12ヶ所で、原因不明のシステム障害により操業停止を余儀なくされた。BBC の報道によると、世界最大級の自動車メーカーである Toyota は、この事態により 13,000 台／日の生産台数を失い、世界市場への輸出に影響が及ぶ可能性が生じている。

Atlas VPN のゼロデイ脆弱性：ユーザーの実際の IP アドレスが漏えいする可能性

Atlas VPN zero-day vulnerability leaks users’ real IP address

2023/09/05 BleepingComputer — Atlas VPN の Linux クライアントに存在するゼロデイ脆弱性により、Web サイトにアクセスしただけで、ユーザーの実際の IP アドレスが漏えいするという問題が生じている。Atlas VPN とは、WireGuard をベースとした費用対効果の高いソリューションを提供する VPN 製品であり、すべての主要なオペレーティング・システムをサポートしている。ある研究者が Reddit で共有した PoC エクスプロイトにより、Atlas VPN の Linux クライアントにおいて、具体的には最新バージョンである 1.0.3 において、ポート 8076 上で localhost (127.0.0.1) をリッスンする API エンド・ポイントについて、説明が行われている。

ASUS RT ルーター群の３つの RCE 脆弱性が FIX：直ちにアップデートを！

ASUS routers vulnerable to critical remote code execution flaws

2023/09/05 BleepingComputer — ASUS の RT-AX55／RT-AX56U_V2／RT-AC86U ルーター群には、３件の深刻なリモートコード実行の脆弱性が存在する。それらに対するセキュリティ更新プログラムがインストールされていない場合に、脆弱性の悪用に成功した脅威アクターにデバイスを乗っ取られる可能性が生じる。これらの３種類の WiFi ルーターは、コンシューマー・ネットワーキング市場で人気のハイエンド・モデルであり、現時点でも ASUS の Web サイトで入手できる。高いパフォーマンスを必要とする、ゲーマーなどのユーザーに支持されている。

Chaes という新種の Python マルウェア亜種：銀行と物流業界を標的にしている

New Python Variant of Chaes Malware Targets Banking and Logistics Industries

2023/09/05 TheHackerNews — 銀行や物流などの業界において、Chaes と呼ばれるマルウェア亜種が、猛攻撃を仕掛けている。Morphisec は、「Chaes は、Python で完全に書き直されたことで、従来の防御システムによる検出率を低下させた。包括的な再設計と強化された通信プロトコルに至るまで、大きなオーバーホールを受けている」と、The Hacker News に述べている。2020年に初めて出現した Chaes は、中南米において、特にブラジルの E コマース顧客をターゲットにして、機密性の高い金融情報を盗むことで知られている。

増加するスパムメール：BEC の増加と QR コード悪用などがトレンド？- VIPRE

Spam is up, QR codes emerge as a significant threat vector

2023/09/04 HelpNetSecurity — VIPRE のレポートによると、フィッシング・メールの 85% においては、そのコンテンツに悪意のリンクが隠されており、スパム・メールに関しては、2023年 Q1 から Q2 にかけて 30% も増加しているという。VIPRE の 2023年 Q1 レポートと比較すると、Q2 フィッシングの最大の標的は IT 関連であり、金融機関 (9%) を上回っている。

ランサムウェア調査：データ侵害の先には何があるのだろう？ ESG／Keepit レポート

Ransomware attacks go beyond just data

2023/09/04 HelpNetSecurity — 2023 Ransomware Preparedness というレポートが、Enterprise Strategy Group (ESG) と Keepit により公表された。それによると、65% のユーザー組織が、自社の存続を脅かす Top-3 の１つとしてランサムウェアを捉え、13% の組織は最大の脅威だと捉えているようだ。

MinIO ストレージ・サーバ侵害：脆弱性 CVE-2023-28432／CVE-2023-28434 の悪用

Hackers Exploit MinIO Storage System Vulnerabilities to Compromise Servers

2023/09/04 TheHackerNews — MinIO 高性能オブジェクト・ストレージ・システムに存在する、深刻度の高いセキュリティ欠陥を武器にする未知の脅威アクターが、影響を生じているサーバ上で不正なコードを実行していることが確認された。サイバー・セキュリティ企業 Security Joes は、この侵入は MinIO インスタンスをバックドア化するために公開されている、エクスプロイト・チェーンを活用したものだと述べている。このチェーンは、脆弱性 CVE-2023-28432 (CVSS：7.5) と CVE-2023-28434 (CVSS：8.8) で構成されているが、前者に関しては、2023年4月21日に米 CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されている。

Smishing Triad というスミッシング・キャンペーン：米国市民を標的に展開されている

Resecurity has identified a large-scale smishing campaign, tracked as Smishing Triad, targeting the US Citizens

2023/09/04 SecurityAffairs — これまでの郵便事業に対するサイバー攻撃の事例では、英国／ポーランド／スウェーデン／イタリア／インドネシア／日本などの国々で被害が発生している。この犯罪グループは Royal Mail／New Zealand Postal Service (NZPOST)／Correos (Spain)／Postnord／Poste Italiane／Italian Revenue Service (Agenzia delle Entrate) になりすましていた。また、以前においても、Fedex や UPS を狙うという同様の詐欺が確認されている。

Microsoft Windows の TLS 1.0／1.1 プロトコルがまもなく無効化に

Microsoft reminds users Windows will disable insecure TLS soon

2023/09/03 BleepingComputer — セキュアではない Transport Layer Security (TLS) 1.0／1.1 プロトコルが、今後の Windows リリースのおいて間もなく無効になることを、Microsoft はユーザーに再告知した。TLS 通信プロトコルは、クライアント／サーバ・アプリケーションを通じて、インターネットにアクセスする際や、そこで情報を交換する際に、盗聴／改竄／メッセージ偽造からユーザを守るために作られたものである。オリジナルの TLS 1.0 仕様は 1999 年に、その後継である TLS 1.1 は 2006 年に発表されており、すでに 20年近く使用されている。

Chrome エクステンションによる平文パスワードの窃取：大量の Web サイトが脆弱な状態

Chrome extensions can steal plaintext passwords from websites

2023/09/02 BleepingComputer — Chrome Web Store にアップロードされた PoC エクステンションは、Web サイトのソースコードから平文のパスワードを盗むためのものであり、ウィスコンシン大学マディソン校の研究チームが作成したものである。Web ブラウザのテキスト入力フィールドを調査した結果として、Chrome エクステンションを支える粗視化 (coarse-grained) 許可モデルが、最小特権と完全仲介の原則に違反していることが明らかになったという。さらに研究者たちは、Google や Cloudflare のポータルなど含む多数の Web サイトにおいて、数百万人のビジターたちが、Web ページの HTML ソースコード内にパスワードを平文で保存していることを発見した。そして、それらの情報の不正な取得が、悪意のエクステンションを介して可能なことが判明した。

Okta ユーザーを欺くソーシャル・エンジニアリング：Super Admin アカウントが狙われている

Social Engineering Attacks Target Okta Customers To Achieve A Highly Privileged Role

2023/09/02 SecurityAffairs — Okta が顧客に発している警告は、この数週間で観察されている、管理者権限への昇格を目的としたソーシャル・エンジニアリング攻撃に関するものだ。この攻撃は、IT サービス・デスクのスタッフを騙して、高度な権限を持つユーザーが登録した、すべての多要素認証 (MFA) 要素をリセットするよう促すものである。なお、現時点において同社は、この攻撃を実施した脅威アクターを特定していない。Okta の顧客組織 (テナント) において、高度な特権ロールを獲得した脅威アクターは、横方向への移動を行い、また、防御回避の斬新な手法を採用している。

Microsoft SQL がターゲット：FreeWorld ランサムウェアを展開する脅威アクターたち

Threat Actors Targeting Microsoft SQL Servers to Deploy FreeWorld Ransomware

2023/09/01 TheHackerNews — Microsoft SQL サーバのセキュリティの低さを悪用する脅威アクターが、Cobalt Strike を配信した上で、FreeWorldと呼ばれるランサムウェアを展開している。サイバー・セキュリティ企業 Securonix は、このキャンペーンを DB#JAMMER と名付け、そのツールセットとインフラの使用方法が際立っていると述べている。セキュリティ研究者である Den Iuzvyk と Tim Peck と Oleg Kolesnikov は、「これらのツールの中には、列挙ソフトウェア／RAT ペイロード／クレデンシャル窃盗のためのソフトウェアおよび、ランサムウェアのペイロードが含まれている。ここで選択されたランサムウェアのペイロードは、FreeWorld と呼ばれる Mimic ランサムウェアの新たな亜種だと思われる」と技術的な詳細の中で述べている。