Aiototsec

CISA KEV 警告 23/10/23：Cisco IOS XE の脆弱性 CVE-2023-20273 を追加

CISA Adds Second Cisco Ios Xe Flaw To Its Known Exploited Vulnerabilities Catalog

2023/10/23 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Cisco IOS XE の脆弱性 CVE-2023-20273 を Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、Web UI における、まだ不明確な問題を残すものである。この欠陥を CVE-2023-20198 と連鎖させる攻撃者は、新しいローカル・ユーザーを作成して root に特権を昇格させ、ファイル・システムにインプラントを書き込めるという。

1Password が公表したインシデント：Okta 認証セッションなどが悪用された？

1Password discloses security incident linked to Okta breach

2023/10/23 BleepingComputer — 1Password は、人気のパスワード管理プラットフォームであり、100,000社以上の企業で利用されている。そして、同社の Okta ID 管理テナントにアクセスしたハッカーにより、セキュリティ・インシデントに見舞われている。1Password の CTO である Pedro Canahuati は、「私たちは、当社のサポート・システムのインシデントに関連する、Okta インスタンス上で不審な活動を検出した。そして、徹底的な調査の結果、1Password のユーザー・データへのアクセスな発見されなかった」と述べている。

Citrix NetScaler の脆弱性 CVE-2023-4966：いくつかの悪用の事例が確認されている

Citrix warns admins to patch NetScaler CVE-2023-4966 bug immediately

2023/10/23 BleepingComputer — 10月23日 (月) に Citrix が発表したのは、脆弱性 CVE-2023-4966 のを悪用する攻撃から、すべての NetScaler ADC／Gateway アプライアンスを直ちに保護すべきだという警告である。Citrix は２週間前に、この深刻な機密情報漏洩の脆弱性 CVE-2023-4966 (CVSS 9.4) にパッチを適用した。この脆弱性は、未認証の脅威アクターが、ユーザーによる操作を必要としない複雑度の低い攻撃で、リモートから悪用できるものだとされる。

Cisco IOS XE の脆弱性 CVE-2023-20198／CVE-2023-20273 にパッチ適用

Cisco patches IOS XE zero-days used to hack over 50,000 devices

2023/10/23 BleepingComputer — Cisco が対処した、２つの脆弱性 CVE-2023-20198／CVE-2023-20273 は、先週にハッカーたちに悪用され、数万台の IOS XE デバイスの侵害を引き起こしたものだ。このリリースは、脅威アクターたちが脆弱性をゼロデイとして悪用し、50,000 台以上の Cisco IOS XE ホストを侵害し、完全に制御した後に行われた。

Microsoft の最新 AI アシスタント Security Copilot：スピードを向上させてセキュリティ脅威に対抗

Microsoft announces Security Copilot early access program

2023/10/22 BleepingComputer — 今週に Microsoft が発表したのは、ChatGPT に似た AI アシスタント Security Copilot が、一部の顧客へ向けて早期利用が可能になったことだ。同社の AI 主導型セキュリティ分析ツールである Security Copilot は、Microsoft のグローバルな脅威インテリジェンスの専門知識と、最新の大規模言語モデルを用いることで、セキュリティ・チームが脅威に対抗するスピードを向上させる。

Chrome の新機能 IP Protection：IP アドレスのマスキングでユーザーのプライバシーを強化

Google Chrome’s new “IP Protection” will hide users’ IP addresses

2023/10/22 BleepingComputer — Google がテストを進めている、Chrome の新機能 “IP Protection” は、プロキシ・サーバを用いて IP アドレスをマスキングし、ユーザーのプライバシーを強化するものだ。機密情報の追跡のために、IP アドレスが悪用される可能性について、Google は認識している、そして、ユーザーのプライバシー確保と、Web の本質的な機能との間で、バランスを取ろうとしている。

Cisco IOS XE のインシデント：侵入されたデバイス数が 50,000 から 1,000 台前後に急減？

Number of hacked Cisco IOS XE devices plummets from 50K to hundreds

2023/10/22 BleepingComputer — ハッキングされ、悪意のバックドアを埋め込まれた Cisco IOS XE デバイスの数が、50,000 台以上から僅か数百台へと急減するという不思議な現象が起こっており、その原因について研究者たち首を傾げている。先日に Cisco は、２つのゼロデイ脆弱性 CVE-2023-20198／CVE-2023-20273 を悪用するハッカーが、50,000 万台以上の Cisco IOS XE デバイスをハッキングし、特権ユーザー・アカウントを作成し、悪意のある LUA バックドア・インプラントをインストールしたと警告している。この LUA インプラントにより、脅威アクターたちはデバイスの最高特権レベル 15 のコマンドを、リモートで実行できるようになる。

American Family Insurance のシステムが一部停止：ランサムウェアの兆候が見られるという

American Family Insurance confirms cyberattack is behind IT outages

2023/10/21 BleepingComputer — 保険大手の American Family Insurance は、サイバー攻撃を受けたことを、そして、IT システムの一部が停止したことを認めた。American Family Insurance (AmFam) は、商業用と個人用の損害保険／自動車保険／生命保険に重点を置く保険会社であり、投資／退職のプランニングも提供している企業である。同社の従業員数は 13,000 人であり、2022 年の売上高は $14.4 billion である。

SolarWinds の８件の脆弱性が FIX：RCE の欠陥によるネットワーク乗っ取りも？

Critical SolarWinds RCE Bugs Enable Unauthorized Network Takeover

2023/10/21 DarkReading — SolarWinds Access Rights Manager Tool (ARM) に存在する８件の脆弱性が新たに発見されたが、そのうちの３件は深刻なものであるという。それにより、パッチの適用されていないシステムを侵害した攻撃者が、最高レベルの特権を獲得する可能性があるという。３年前に世界中が苦労して学んだのは、広範な IT 管理プラットフォームである SolarWinds が、企業ネットワークにおいて独特の重要な位置を占めていることだった。企業ネットワーク内の重要なコンポーネントを監視し、影響を及ぼす力を、最も適切に表しているのが ARM ツールである。そして管理者は、データ／ファイル／システムに対する、ユーザーのアクセス権のプロビジョニング／管理／監査のために、ARM ツールを使用している。

生成 AI 導入の急増：その一方でセキュリティ意識の遅れが懸念される

AI Adoption Surges But Security Awareness Lags Behind

2023/10/20 infosecurity — ChatGPT や Google Bard のような生成 AI ツールの採用と管理に関する新たな洞察が、ExtraHop の新しい調査により得られた。この調査は、グローバルにおける、1,200人以上の Security／IT のリーダーを対象としたものだ。回答者たちが最も懸念しているのは、不正確な回答 (40%) であり、それに続くのが、顧客や従業員の個人を特定できる情報 (PII) の漏洩 (36%)／企業秘密の漏洩 (33%)／財務上の損失 (25%) などである。

Okta サポート・システムが侵害された：正規ユーザーを装う攻撃が予測される

Okta Support System Hacked, Sensitive Customer Data Stolen

2023/10/20 SecurityWeek — 10月20日 (金) に ID／Access 管理企業の Okta が警告したのは、同社のサポートケース管理システムに侵入したハッカーが、正当なユーザーを装うために悪用できる機密データを盗み出したことだ。Okta のセキュリティ責任者である David Bradbury によるセキュリティ通知には、盗み出されたクレデンシャルを悪用して、同社のサポートケース管理システムにアクセスする “敵対行為” を発見したと記されている。

Cisco IOS XE のゼロデイ CVE-2023-20273：大規模侵害の原因が特定された

Cisco discloses new IOS XE zero-day exploited to deploy malware implant

2023/10/20 BleepingComputer — 10月20日に Cisco は、深刻度の高い新たなゼロデイ脆弱性 CVE-2023-20273 を公表した。このゼロデイは、今週の初めに公表されたゼロデイ CVE-2023-20198 の悪用により侵害された、IOS XE デバイス上に悪意のインプラントを展開するために積極的に悪用される。Cisco は、この２つの脆弱性に対する修正プログラムを開発し、10月22日から週末にかけて、Cisco Software Download Centerを通じて顧客にリリースする予定だと述べている。

CISA KEV 23/10/19：Cisco IOS Xe の脆弱性 CVE-2021-1435 も大規模侵害の要因？

CISA Adds Cisco IOS Xe Flaw To Its Known Exploited Vulnerabilities Catalog

2023/10/20 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が、Cisco IOS XE に存在する脆弱性 CVE-2021-1435 を、KEV リストに追加した。この脆弱性は、Web UI に存在するコマンド・インジェクションの欠陥であり、リモートの認証された攻撃者が root ユーザーとして、実行可能なコマンドを注入できるというものである。Cisco Talos の研究者たちは、この脆弱性が積極的に悪用され、デバイスへの感染が進むことを警告している。

Casio で発生したデータ侵害：BreachForums というダークウェブでの販売

Casio discloses data breach impacting customers in 149 countries

2023/10/19 BleepingComputer — 日本の電子機器メーカーである CASIO が発表したのは、同社の教育プラットフォーム “ClassPad” のサーバーに侵入したハッカーにより、149カ国の顧客に影響を与えるデータ漏洩が発生したことだ。10月11日 (水) に CASIO は、同社の開発環境内にある ClassPad のデータベースに発生した障害により、このインシデントを検知した。その関連性を示唆するのが、翌日である 10月12日に発生した、攻撃者による顧客の個人情報への不正アクセスである。

QR コード・フィッシングは全体の 22%：Quishing という新たな脅威に対抗するには？

QR Codes Used in 22% of Phishing Attacks

2023/10/19 InfoSecurity — Hoxhunt Challenge が明らかにしたのは、フィッシング攻撃に対する従業員の感受性の驚くべき傾向であり、人的リスクの低減におけるエンゲージメントの重要な役割を強調するものだ。10月19日に発表されたのは、９つの業界と 125カ国にまたがる、38の組織で実施された調査の結果であり、2023年10月の最初の週に発生したフィッシング攻撃の 22% において、悪意のペイロード配信のために QR コードが悪用されたと指摘している。

KeePass の偽サイトに御用心：Google Ads と Punycode を用いる巧妙なトリック

Fake KeePass site uses Google Ads and Punycode to push malware

2023/10/19 BleepingComputer — Punycode を用いて KeePass パスワード・マネージャーの公式ドメインを装い、マルウェアを配布する偽 KeePass ダウンロード・サイトをプッシュするという、Google 広告キャンペーンが発見された。Google が戦っている、現在進行中の不正広告キャンペーンとは、検索結果の上に表示されるスポンサー広告を、脅威アクターが写し取るものである。

Cisco の未パッチ・ゼロデイ CVE-2023-20198：40,000 台のハッキングが観測されている

Number of Cisco Devices Hacked via Unpatched Vulnerability Increases to 40,000

2023/10/19 securityweek — 複数のサイバー・セキュリティ企業からの報告によると、IOS XE に存在するパッチ未適用の脆弱性の悪用により、Cisco デバイスの約 40,000 台がハッキングされているという。悪用された脆弱性 CVE-2023-20198 は、IOS XE の Web UI に影響を及ぼす深刻な欠陥であり、リモートの未認証の攻撃者に対して、特権昇格を許す可能性があるされる。現時点においても、Cisco はパッチをリリースしていない。また、遅くとも９月中旬以降に、この脆弱性がゼロデイとして悪用されていると、同社は警告している。

Google Play Protect による保護：悪意のアプリに対するスキャンと排除

Google Play Protect Bolsters Security Against Malicious Apps

2023/10/18 InfoSecurity — Google Play Protect の大幅なアップデートにより、Android 端末のセキュリティが強化される。Google によると、今回のアップデートは、モバイル端末を狙ったサイバー脅威の増加に対応するものだという。この Google Play Protect は、約 1250億個のアプリを毎日スキャンし、マルウェアや不要なソフトウェアを検出するために、すでに存在しているセキュリティ機能である。今日のブログ投稿で発表された新たな機能の強化は、コード・レベルのリアルタイム・スキャンを導入するものであり、進化する不正アプリへの対抗を目的とした事前の対策である。

英国 NCSC／NPSA：中小企業のためのセキュリティ啓発キャンペーンが開始

Five Eyes Warn Deep Tech Start-Ups Against Nation-State Threats

2023/10/18 InfoSecurity — 英国の NCSC (National Cyber Security Agency) および国内諜報機関 MI5 の新たな部門である NPSA (National Protective Security Authority) は、最先端技術を開発する新興企業に対して、国家的な脅威の増大への警戒を促すための、新たな啓蒙キャンペーンを開始した。この、2023年10月17日に開始されたキャンペーンは、最新の ”Secure Innovation” ガイダンスで構成されている。そして、無料のクイック・スタート・ガイドも含まれており、セキュリティに関する幅広い専門知識を持たない人々が、安全にイノベーションを達成するための、第一歩を踏み出せるようにっしている。

サイバー攻撃と世界経済：今後の５年間で $3.5trn の損失 – 日本は３位 – Lloyd’s

Global Economy Could Lose $3.5trn in Systemic Cyber-Attack

2023/10/18 InfoSecurity — 保険大手の Lloyd’s of London は、サイバー攻撃による世界の経済損失が $3.5trn に達するという、構造的なリスク・シナリオを発表した。このシナリオは、主要な金融サービスの決済システムに対する、もっともらしい仮説のサイバー攻撃を想定したものであり、世界のビジネスに広範な混乱をもたらすものだとされる。

JetBrains TeamCity の脆弱性 CVE-2023-42793：北朝鮮の Lazarus が悪用を開始

North Korean hackers exploit critical TeamCity flaw to breach networks

2023/10/18 BleepingComputer — 北朝鮮のハッキンググループ Lazarus と Andariel が、TeamCity サーバの脆弱性 CVE-2023-42793 を悪用してバックドア型マルウェアを展開し、ソフトウェア・サプライチェーン攻撃を行っているようだと、Microsoft が述べている。TeamCity は、組織がソフトウェア開発インフラの一部として使用する CI/CD (continuous integration and continuous deployment) サーバである。2023年9月に TeamCity は、脆弱性 CVE-2023-42793 (CVSS：9.8/10) を修正し、未認証の攻撃者によるリモートコード実行に対処した。こうして、TeamCity による修正は完了したが、その一方では、ランサムウェア集団などの脅威アクターが、企業ネットワークに侵入するために、この欠陥を悪用し始めている。

Synology Diskstation Manager の脆弱性 CVE-2023-2729：管理者アカウント乗っ取りの危険性

A Flaw In Synology Diskstation Manager Allows Admin Account Takeover

2023/10/18 SecurityAffairs — Synology DiskStation Manager (DSM) に存在する脆弱性 CVE-2023-2729 (CVSS：5.9) を、Claroty Team82 の研究者たちが発見した。Team82 によると、NAS 製品上で動作する Synology の DiskStation Manager (DSM) Linux ベースの OS で、脆弱な乱数ジェネレータが使用されていたという。この脆弱性は、NAS デバイスの管理者パスワードの生成に使用される、Javascript の安全ではない “Math.random()” 関数に起因するものだ。

Citrix NetScaler の脆弱性 CVE-2023-4966：８月以降における積極的な悪用が判明

Recent NetScaler Vulnerability Exploited as Zero-Day Since August

2023/10/18 SecurityWeek — 先日にパッチが適用された Citrix NetScaler Application Delivery Controller (ADC)／NetScaler Gateway に存在する深刻な脆弱性だが、８月以降においてゼロデイとして悪用されていたことが、Google の Mandiant サイバーセキュリティ部門により報告された。この脆弱性 CVE-2023-4966 (CVSS：9.4) は、認証を必要とすることなく悪用が可能であり、Gateway／AAA 仮想サーバとしてコンフィグレーションされたオンプレミス・アプライアンスから、機密情報が漏洩してしまう可能性があるという。

Notepad++ に仕込まれた悪意のコード：Google 検索の広告で偽アプリが宣伝されている

Malicious Notepad++ Google ads evade detection for months

2023/10/17 BleepingComputer — Google 検索に表示される新たな不正広告キャンペーンにより、人気のテキスト・エディタ Notepad++ をダウンロードしようとするユーザーが標的とされているが、そこでは検出や分析を回避するための高度なテクニックが使用されているという。マルウェアを配布するために作られた、偽ソフトウェアの Web サイトを宣伝する不正広告キャンペーンが盛んであり、Google 広告を悪用する脅威アクターが増加している。

Chrome／Edge／Firefox の偽アップデート：狡猾な手口で誘う ClearFake マルウェア

Researchers warn of increased malware delivery via fake browser updates

2023/10/17 HelpNetSecurity — 最近になって文書化された ClearFake は、侵害した WordPress サイトを利用して、悪意の偽 Web ブラウザ・アップデートをプッシュするものである。この活動は、SocGholish のマルウェア配信キャンペーンを操る、脅威グループにより運営されている可能性が高いと、Sekoia の研究者たちは結論づけている。

Amazon が Passkeys をサポート開始：パスワードレス・ログインの選択肢として

Amazon adds passkey support as new passwordless login option

2023/10/17 BleepingComputer — Amazon が静かに追加したのは、顧客向けの新しいパスワードレス・ログインの選択肢としての Passkeys のサポートであり、それにより、情報を盗み出すマルウェアやフィッシングに対する保護が強化されることになった。Passkeys とは、携帯電話／コンピューター／USBセキュリティキーなどのデバイスにリンクされた、生体認証や暗証番号を使った Web サイトへのログインを可能にするデジタル認証情報のことだ。

D-Link でデータ侵害：従業員へのフィッシング攻撃から始まった

D-Link confirms data breach after employee phishing attack

2023/10/17 BleepingComputer — 台湾のネットワーク機器メーカーである D-Link は、同社のネットワークにおけるデータ侵害で窃取されたデータが、10月の初めから BreachForums で売りに出されていることを発表した。この攻撃者は、D-Link の D-View ネットワーク管理ソフトウェアのソースコードと、同社の CEO／従業員／顧客などの個人情報にアクセスし、何百万ものエントリを盗んだと主張している。盗まれたデータには、氏名／電子メール／住所／電話番号／アカウント登録日／ユーザーの最終サインイン日などが含まれているという。

Milesight Router／Titan Server の複数の脆弱性：悪用された形跡を発見

Experts Warn of Severe Flaws Affecting Milesight Routers and Titan SFTP Servers

2023/10/17 TheHackerNews — Milesight の産業用セルラー・ルーターに影響を及ぼす深刻な脆弱性が、実際の攻撃で積極的に悪用されている可能性があることが、VulnCheck の新たな調査結果により明らかになった。脆弱性 CVE-2023-43261 (CVSS：7.5) は、UR5X／UR32L／UR32／UR35／UR41 ルーターの 35.3.0.7 未満に影響を及ぼす、情報漏えいの欠陥だと説明している。この脆弱性の悪用に成功した攻撃者は、httpd.log などのログを含む、各種の機密情報にアクセスできる可能性がある。その結果として、リモートの未認証の攻撃者が、Web インターフェイスに不正にアクセスできるようになり、VPN サーバーの設定やファイアウォールの保護の解除などが可能になる。

Microsoft Defender 対 Akira ランサムウェア：エンジニアリング分野への攻撃を封じ込めた

Microsoft Defender Thwarted Akira Ransomware Attack On An Industrial Engineering Firm

2023/10/16 SecurityAffairs — Microsoft の Defender for Endpoint が、Akira ランサムウェア・オペレーション (Storm-1567) による大規模なハッキング・キャンペーンの阻止に貢献したようだ。Microsoft によると、この攻撃は 2023年6月上旬に発生した、インダストリー組織を狙うものとのことだ。同社のサイバー防衛ソリューションは、他の機能を展開することなく、ランサムウェアのような人手による攻撃を自動的に防止できるとされる。

Atlassian の脆弱性 CVE-2023-22515：悪用について CISA／FBI／MS-ISAC が共同勧告

CISA, FBI urge admins to patch Atlassian Confluence immediately

2023/10/16 BleepingComputer — 10月16日 (月) に、CISA／FBI／MS-ISAC はネットワーク管理者に対して、攻撃で積極的に悪用されている Atlassian Confluence の脆弱性に対して、直ちにパッチを適用するよう警告した。この深刻な特権昇格の脆弱性 CVE-2023-22515 は、Confluence Data Center／Server 8.0.0 以降に影響を及ぼすものであり、ユーザーによる操作を必要としない、リモートからの容易な悪用が可能なものである。

WinRAR の脆弱性 CVE-2023-38831 を悪用：ロシアのハッカーたちの攻撃で検出

Pro-Russian Hackers Exploiting Recent WinRAR Vulnerability in New Campaign

2023/10/16 TheHackerNews — 先日に公表された WinRAR アーカイブ・ユーティリティの脆弱性を悪用する、親ロシア派のハッキング・グループが、脆弱なシステムから認証情報を採取するフィッシング・キャンペーンを展開している。先週の Cluster25 のレポートには、「この攻撃は、WinRAR 圧縮ソフトウェアのバージョン 6.23 未満に存在する脆弱性 CVE-2023-38831 を介して、悪意のアーカイブ・ファイルを使用するものだ」と記されている。

Cisco IOS XE の脆弱性 CVE-2023-20198：ゼロデイ・エクスプロイトが発生

Cisco warns of new IOS XE zero-day actively exploited in attacks

2023/10/16 BleepingComputer — 10月16日 (月) に Cisco は、IOS XE ソフトウェアに存在する深刻度の高い認証バイパス・ゼロデイ脆弱性について、管理者たちに警告を発した。この脆弱性の悪用に成功した未認証の攻撃者は、完全な管理者権限を取得することで、影響を受けるルーターをリモートで完全に制御できるという。同社によると、この脆弱性 CVE-2023-20198 (CVSS : 10.0) へのパッチは、現時点では適用されていない。なお、この脆弱性は、Web User Interface (Web UI) 機能が有効であり、HTTP／HTTPS サーバー機能がオンになっているデバイスにのみに影響するという。

イスラエルとハマス：紛争における情報工作キャンペーンを Mandiant が解説

Gaza Conflict Paves Way for Pro-Hamas Information Operations

2023/10/14 DarkReading — 研究者たちは、イスラエルとハマスの紛争に端を発した、国家による情報工作を警戒しているが、今のところ大きな動きは見られない。しかし、多数のハクティビストやスパイ活動家たちが、この争いに参入すれば、それも一変する可能性がある。

ShellBot マルウェア：Hex IP アドレスを用いた新たな回避手法で Linux SSH サーバを狙う

ShellBot Cracks Linux SSH Servers, Debuts New Evasion Tactic

2023/10/14 DarkReading — ShellBot マルウェアを操り Linux SSH サーバを狙うサイバー攻撃者たちが、新たな手法である 16 進数 IP (Hex IP) アドレスを用いて、振る舞いベースの検出を回避し、その活動を隠していることが判明した。AhnLab Security Emergency Response Center (ASEC) の研究者たちによると、この脅威アクターは、従来のドット付き10進数 Command-and-Control URL 形式 (hxxp://39.99.218[.]78) を、Hex IP アドレス形式 (hxxp://0x2763da4e/など) に変換することで、大半の URL ベースの検出シグネチャを回避しているという。

サイバー保険の最前線：MOVEit 攻撃に対する保証で何が変わるのか？

How MOVEit Is Likely to Shift Cyber Insurance Calculus

2023/10/14 DarkReading — 大手企業数十社の不正侵入で悪用された、ファイル転送ソフト MOVEit の開発元である Progress Software は、最近の証券取引委員会 (SEC) への提出書類の中で、$15 million のサイバー保険の全額を受け取るつもりだと述べている。しかし、この巨額の支払いは、保険会社自身のビジネスに対して、どのような影響を与えるのだろうか？ Progress が直面しているのは、集団訴訟／罰金／ビジネス・ブランドの失墜などであり、その損失をカバーするために数百万ドルが必要になるのは当然のことである。さらに、SEC への最新の 10-Q 提出書類によると、Progress Software は MOVEit ランサムウェアとは別のインシデントで、2022年11月に保険を受け取っている。

AI ボットの脅威：すでに人間よりも素早く CAPTCHA を解読している

AI-enabled bots can solve CAPTCHAs faster than humans

2023/10/13 HelpNetSecurity — Kasada の調査によると、悪質なボット攻撃との戦いで、多くの企業が収益を失っているという。多くの企業が数百万ドルを費やし、従来からのボット管理ソリューションに取り組んでいるが、ボット攻撃による財務的な影響を受けている。回答者の 38% は、１回のボット攻撃で組織は $500,000 以上の損害を被っていると見積もっており、その数値は昨年の 25% から増加している。さらに、ボットによるアカウント詐欺により、昨年中に 10% 以上の収益を失った組織は 50% に上り、昨年の40%から増加している。

DarkGate マルウェア：Skype／Teams を介して悪意の VBA を埋め込んだ PDF を配布

DarkGate Malware Spreading via Messaging Services Posing as PDF Files

2023/10/13 TheHackerNews — Microsoft の Skype や Teams などの IM (Instant Messaging) プラットフォームを介して、DarkGate というマルウェアが拡散していることが確認されている。これらの攻撃では、PDFドキュメントを装う VBA (Visual Basic for Applications) ローダー・スクリプトを配信するために、それらのメッセージング・アプリが使用される。そして、それらの悪意のスクリプトを開かれると、AutoIt スクリプトのダウンロードと実行がトリガーされ、マルウェアを起動するように設計されている。

VBScript の非推奨化と侵害経路の遮断：Microsoft が廃止へ向けて舵を切った

Microsoft Set to Retire Grunge-Era VBScript, to Cybercrime’s Chagrin

2012/10/13 DarkReading — 今週に Microsoft が発表したのは、使い古された VBScript を非推奨にするという方針である。VBScript はサイバー犯罪者たちが愛用するツールであるため、彼らにとっては悪いニュースである。今後の Windows のリリースでは、VBScript の利用範囲が限定され、必要に応じて提供される機能としてのみ利用できるようになるという。そして、最終的には、オペレーティング・システムから完全に削除される予定である。

Microsoft の Kerberos と NTML：Windows 11 での置き換えを本格化

Microsoft plans to kill off NTLM authentication in Windows 11

2023/10/13 BleepingComputer — 今週の初めに Microsoft が発表したのは、Windows 11 における NTLM 認証プロトコルを、将来的に廃止するという方針である。NTLM (New Technology LAN Manager) は、リモート・ユーザーを認証し、セッション・セキュリティを提供する、プロトコル群である。現在では、もうひとつの認証プロトコルである Kerberos が NTLM に取って代わり、Windows 2000 以降の全てのバージョンにおいて、ドメインに接続されたデバイスの、デフォルトの認証プロトコルになっている。

Juniper Junos OS の脆弱性 CVE-2023-44194 などが FIX：全体で 30件以上の問題を解決

Juniper Networks Patches Over 30 Vulnerabilities in Junos OS

2023/10/13 SecurityWeek — 10月12日 (木) に、ネットワーク機器メーカーの Juniper Networks は、Junos OS／Junos OS Evolved に存在する、30件以上の脆弱性に対するパッチを発表した。これらの問題のうち、最も深刻なのは、不正確なデフォルト・パーミッションのバグであり、認証されていない攻撃者が、脆弱なデバイスへのローカル・アクセスを行い、ルート権限でバックドアを作成できるというものだ。この脆弱性 CVE-2023-44194 (CVSS：8.4) は、特定のシステム・ディレクトリに対して、不適切なパーミッションが関連付けられていることに起因する。

Squid Proxy の数十の脆弱性：報告から２年が経過しているがパッチは未適用

Dozens of Squid Proxy Vulnerabilities Remain Unpatched 2 Years After Disclosure

2023/10/12 SecurityWeek — Squid Proxy は、広く使用されているオープンソース・プロキシである。その Squid Proxy の Web キャッシングおよび転送機能に影響を及ぼす数十の脆弱性が、研究者から開発者に報告されてから、約２年が経過した現在でも、パッチが適用さないという状況が続いている。Squid プロジェクトの公式サイトには、「知らないうちに、Squid を使っている方も多いはずだ。自宅やオフィスのファイアウォール・デバイスに、Squid を組み込んでいる企業もある。また、ブロードバンドやダイヤルアップ・インターネットアクセスを高速化するための、大規模な Web プロキシの構築に Squid を使用している企業もある。Squid の用途は、コンテンツ配信アーキテクチャにも広がり、静止画および動画ストリーミングのビデオ／オーディオを、世界中のインターネット・ユーザーに配信するために利用されている」と記されている。

米国におけるデータ侵害：2023年 1月〜9月期の 2116件は昨年の合計を上回る

US Smashes Annual Data Breach Record With Three Months Left

2023/10/12 InfoSecurity — ITRC (Identity Theft Resource Center) によると、2023年1月〜9月期に報告された米国のデータ漏洩は 2116件であり、Q4 を残して過去最悪の年となっている。この非営利団体は、米国で公に報告された情報漏えいを追跡調査している。2023年 Q3 にはデータ漏洩が 733件発生し、Q2 と比べて 22％減少した。しかし、この相対的な落ち込みがあるにしても、2021年に記録された 1862件という、これまでの最悪のレベルを超えるには十分なものであった。

中小企業の約半数がサイバー攻撃に遭っている：英国の給与計算プロバイダーによる調査

Half of Small Businesses Hit by Cyber-Attack Over the Past Year

2023/10/12 InfoSecurity — サイバー・セキュリティが中小企業 (SME：small and medium enterprises) にとって最大の関心事となっているのは、この１年の間に SME の 48％が、少なくとも１件のサイバー・インシデントを経験しているからだという。この分析の結果は、会計／給与計算ソフトウェア・プロバイダーである、Sage の最新調査によるものである。Sage の顧客である Roche Healthcare は、そのようなインシデントを、最近に経験した SME のひとつである。Roche の広報担当者である Cindy Cleasby は、ロンドンで開催された Sage のイベントで、「そのため、請求書を含む多くの作業を手作業で行う必要性が生じた」と、自身の経験を語った。

Ransomlooker で脅威情報を追跡：Cybernews が無償で提供する分析ツールとは？

Ransomlooker, A New Tool To Track And Analyze Ransomware Groups’ Activities

2023/10/12 SecurityAffairs — ランサムウェア・グループの恐喝サイトを監視して、彼らの主張の統合フィードを世界へ向けて配信するツール Ransomlooker が、Cybernews から発表された。同社の研究者たちが作成したツールにより、リアルタイムに更新される実用的な洞察が提供されることで、サイバー・セキュリティの専門家たちの日常業務が支援される。このツール提供するものは、データに対する様々な統計的洞察、および、攻撃の実行者を特定する機能、ジャーナリスティックな調査のための国／業界／時間軸などの、パラメータによるフィルタリング機能である。

WS_FTP Server の脆弱性 CVE-2023-40044：ランサムウェア攻撃が始まっている

Ransomware attacks now target unpatched WS_FTP servers

2023/10/12 BleepingComputer — インターネットに公開された WS_FTP サーバの、パッチ未適用の深刻度の高い脆弱性 CVE-2023-40044 が、ランサムウェア攻撃の標的になっている。先日に Sophos X-Ops のインシデント・レスポンダーたちが観測したのは、Reichsadler Cybercrime Group を自称する脅威アクターが、ランサムウェアのペイロードを展開しようと試み、失敗に終わったことだ。そこで用いられたのは、2022年9月に盗まれた LockBit 3.0 builder だとされる。同社は、「このランサムウェアの実行者が、最近に報告された WS_FTP Server ソフトウェアの脆弱性を悪用するまでに、長い時間は不要であった」と述べている。

NuGet に悪意のパッケージ：.NET 開発者に SeroXen RAT を配信している

Malicious NuGet Package Targeting .NET Developers with SeroXen RAT

2023/10/12 TheHackerNews — .NET Framework のための NuGet パッケージ・マネージャーにホストされている悪質なパッケージが、SeroXen RAT というリモート・アクセス型のトロイの木馬を配信していることが判明した。このパッケージは、Pathoschild.Stardew.Mod.Build.Config と名付けられ、Disti というユーザーにより公開されているが、正規のパッケージであるPathoschild.Stardew.ModBuildConfig を装うタイポスクワッティングであると、サプライチェーン・セキュリティ会社 Phylum が、今日のレポートで指摘している。現時点において、正規のパッケージは約79,000ダウンロードを記録しているが、2023年10月6日に公開された悪意の亜種の方は、ダウンロード数を人為的に水増して、100,000 ダウンロードを超えているとされる。

Chrome 118 がリリース：深刻な脆弱性 CVE-2023-5218 などが FIX

Chrome 118 Patches 20 Vulnerabilities

2023/10/11 SecurityWeek — 10月10日 (火) に、Google は Chrome 118 stable channel 版をリリースし、20件の脆弱性を修正したが、その中には、外部の研究者から報告された 14件も含まれるという。外部から報告された脆弱性のうち、最も深刻なものは CVE-2023-5218 であり、Chrome のコンポーネント Site Isolation に存在する、use-after-free に起因する深刻なバグだと説明されている。

Microsoft Defender の新機能：侵害されたアカウントの自動ブロック

Microsoft Defender now auto-isolates compromised accounts

2023/10/11 BleepingComputer — Microsoft Defender for Endpoint の、新たな Contain User 機能のプレビューは、人手による攻撃で侵害されたユーザー・アカウントを分離し、横方向の移動をブロックするという、自動的な攻撃阻止を目指すものとなっている。この種のハンズオンキーボード攻撃では、人間により操作されるランサムウェアのケースと同様に、脅威者がネットワークに侵入し、盗んだアカウントで権限を昇格させた後に、横方向への移動や悪意のペイロード展開が行われる。

CISA KEV 警告 23/10/10：Adobe ／Cisco／Microsoft／HTTP/2 などの５件の脆弱性

CISA Warns of Attacks Exploiting Adobe Acrobat Vulnerability

2023/10/11 SecurityWeek — 10月10日 (火) に米国の CISA は、KEV (Known Exploited Vulnerabilities) カタログに５件のセキュリティ欠陥を追加し、今年の初めに明るみに出た Adobe Acrobat／Acrobat Reader の脆弱性を悪用する攻撃について、連邦政府組織に警告した。Adobe Acrobat／Acrobat Reader に存在する use-after-free の脆弱性 CVE-2023-21608 の悪用により、ユーザーのコンテキスト権限でリモートコード実行 (RCE) が可能になるという。

Atlassian Confluence の脆弱性 CVE-2023-22515：APT による攻撃を Microsoft が警告

Microsoft: State hackers exploiting Confluence zero-day since September

2023/10/11 BleepingComputer — Microsoft の警告によると、Storm-0062 (別名 DarkShadow／Oro0lxy) として追跡されている中国の脅威グループが、2023年9月14日以降において、Atlassian Confluence Data Center／Server の親告な特権昇格のゼロデイを悪用しているという。2023年10月4日に Atlassian は、脆弱性 CVE-2023-22515 について情報を公開した際に、すでに積極的なエクスプロイト状態であることを通知していた。しかし同社は、この脆弱性を悪用している脅威グループについては、具体的な詳細を明らかにしていない。