Aiototsec

サイバー侵害に鈍感な企業：54% の従業員が離職を考えている

54% of Staff Would Reconsider Working for a Firm That Had Experienced a Cyber Breach, Research Finds

2022/10/26 DarkReading — 企業における半数以上 (54％) の従業員が、最近のサイバー侵害を経験した企業で働くことを、考え直すと回答している。サイバー・セキュリティ技術のプロバイダー Encore の、新しい調査結果には、そう記されている。

SQLite Database Library で 22年前のバグが発覚：Chrome 64 Bit などに生じる影響とは？

22-Year-Old Vulnerability Reported in Widely Used SQLite Database Library

2022/20/25 TheHackerNews — 2000年10月に行われたコード変更がもたらした、SQLite データベース・ライブラリの深刻な脆弱性により、プログラムのクラッシュや乗っ取りが生じる可能性が判明した。この 22 年前の脆弱性 CVE-2022-35737 (CVSS : 7.5) は、SQLite バージョン 1.0.12〜3.39.1 に影響するものであり、2022 年 7 月 21 日にリリースされたバージョン 3.39.2 で対処されている。

Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出：CISA KEV リストにも追加

Cisco warns admins to patch AnyConnect flaw exploited in attacks

2022/10/25 BleepingComputer — 今日に Cisco は、Cisco AnyConnect Secure Mobility Client for Windows に存在する、２つの脆弱性が悪用されているとして、顧客に警告を発した。AnyConnect Secure Mobility Clientは、企業のエンドポイントへの安全なアクセスを簡素化し、SSL (Secure Sockets Layer) と IPsec IKEv2 を通じて、あらゆるロケーションからの安全な VPN 接続を提供するものである。

Atlassian Jira Align の脆弱性：クラウド・インフラの一部を制御される可能性

Atlassian Vulnerabilities Highlight Criticality of Cloud Services

2022/10/25 DarkReading — アジャイル・プランニングの SaaS (Software-as-a-Service) ツール Atlassian Jira Align に存在する２つの脆弱性 (CVE-2022-36802／CVE-2022-36803) により、サービスにアクセスできる脅威アクターがアプリケーション管理者になり、Atlassian サービスを攻撃する可能性があることが判明した。サイバーセキュリティ・サービス企業である Bishop Fox は、「この脆弱性は、クラウド・サービスで生じるリスクの典型であり、比較的よく知られているが、発見するのが難しいことが多い」と、今日のアドバイザリで述べている。

Raccoon Stealer が解体：ウクライナ人の Malware-as-a-Service 運営者が逮捕／起訴

Ukrainian charged for operating Raccoon Stealer malware service

2022/10/25 BleepingComputer — 26歳のウクライナ人 Mark Sokolovsky が、Raccoon Stealer というマルウェア・サービス (MaaS：Malware-as-a-Service) を介した、サイバー犯罪に関与したとして起訴された。Raccoon Stealer とは、MaaS モデルで配布される情報窃取型トロイの木馬であり、脅威アクターは $75／週あるいは $200／月でレンタルできる。利用者は、マルウェアのカスタマイズ／盗み出したデータ (ログとも呼ばれる) の取得／新しいマルウェア・ビルドの作成などを行うための、管理パネルへのアクセスが可能になる。

データ侵害は 2022年 Q2／Q3 比較で 70% の急増：14件／秒でアカウントが流出

Data Breaches Rise By 70% Globally in Q3 2022

2022/10/25 InfoSecurity — 2022年 Q3 に侵入されたアカウント数は合計で 1億890万件であり、Q2 と比較して 70％増となった。2022年 Q3 にデータ侵害の影響を受けた上位５カ国／地域は、ロシア／フランス／インドネシア／米国／スペインだった。ロシアは最も多くの情報漏洩が発生した国 (2230万件) だが、漏洩密度が最も高いのはフランスであり、1000人あたり平均で 212件の流出アカウントがあったとされる。

Veeam の深刻な RCE 脆弱性 CVE-2022-26501／CVE-2022-26504 が FIX

Multiple RCE Vulnerabilities Discovered in Veeam Backup & Replication App

2022/10/24 InfoSecurity — Veeam Backup & Replication アプリケーションで、複数の重大かつ深刻な脆弱性が発見された。その中でも、リモート・コード実行 (RCE) の脆弱性を悪用する、完全に武器化されたツールが販売されている可能性があることが判明しました。この発見は、CloudSEK のセキュリティ研究者たちによるものであり、今日の未明にアドバイザリが発表されている。

iPhone／iPad のゼロデイ脆弱性にパッチ適用：iOS 16.1 への移行を急ごう

Apple fixes new zero-day used in attacks against iPhones, iPads

2022/10/24 BleepingComputer — Apple は、月曜日に公開されたセキュリティ・アップデートにおいて、今年の iPhone 攻撃に悪用された、９つ目のゼロデイ脆弱性を修正した。今日のアドバイザリで Apple は、「このセキュリティ上の脆弱性が積極的に悪用されている可能性があるとする、レポートの存在を認識している」と述べている。この脆弱性 CVE-2022-42827 は、匿名の研究者が Apple に報告したものであり、メモリバッファの境界の外にデータを書き込む、境界外書き込みの問題に関するものだ。

DHL を装うフィッシングに御用心：2022 Q3 調査で LinkedIn を抑えてトップに！

DHL Replaces LinkedIn As Most Imitated Brand in Phishing Attempts

2022/10/24 InfoSecurity — 2022年7月〜9月にかけて、フィッシング詐欺に悪用されたブランドの第１位は、海運会社の DHL となり、LinkedIn はその座を明け渡した。このデータは、今日に Check Point が InfoSecurityと共有した、Q3 Brand Phishing Report によるものだ。新しいデータによると、DHL を模倣したフィッシングは、現在、全世界のフィッシング試行の４分の１弱 (22%) を占めているという。それは、DHL が Q3 が始まる数日前に警告した、世界規模の大規模な詐欺とフィッシングの攻撃に一因であると、Check Point は述べている。

GitHub に潜む偽 PoC エクスプロイト：騙されてマルウェアを配信される確率は 10.3%

Thousands of GitHub repositories deliver fake PoC exploits with malware

2022/10/23 BleepingComputer — Leiden Institute of Advanced Computer Science の研究者たちは、様々な脆弱性に対する偽の PoC エクスプロイトを提供する、GitHub 上の数千のリポジトリを発見した。それらのリポジトリには、マルウェアも含まれていたという。GitHub は最大のコード・ホスティング・プラットフォームの１つである。そして、研究者たちが GitHub を用いて PoC エクスプロイトを公開し、セキュリティ・コミュニティが脆弱性の修正を検証することで、脆弱性の影響と範囲を判断できるようにしている。

RockYou2021 にエントリーされる 84億のパスワード：攻撃で悪用される 50万のパスワードとの関係は？

List of Common Passwords Accounts for Nearly All Cyberattacks

2022/10/21 DarkReading — 一般的な２種類のサーバを標的とする、数千万件の認証情報ベースの攻撃は、流出した認証情報のリストを形成する RockYou2021 の、ごく一部のパスワードに集約される。Rapid7 は 12ヶ月間にわたり、ハニーポットのネットワークを通じて、これらのサーバを侵害しようとした全ての試みを記録した。その結果として、クレデンシャル攻撃の試みは、512,000 通りの組み合わせになることを発見した。

Emotet の新たなマルスパム・キャンペーン：CoinMiner と Quasar RAT のドロップが始まった

Emotet Botnet Distributing Self-Unlocking Password-Protected RAR Files to Drop Malware

2022/10/21 TheHackerNews — Emotet ボットネットの新しいマルスパム・キャンペーンは、パスワードで保護されたアーカイブ・ファイルを利用して、感染させたシステムに CoinMiner と Quasar RAT をドロップするものだ。Trustwave SpiderLabs の研究者たちが検出した攻撃チェーンの手口では、請求書を装う ZIP ファイルのルアーに、ネストした自己解凍 (SFX) アーカイブが含まれており、最初のアーカイブを媒介として機能させ、２番目のアーカイブを起動することが判明している。

Cisco Identity Services Engine の２つの XSS 脆弱性：パッチ適用と PoC までの間の対策とは？

Vulnerabilities in Cisco Identity Services Engine require your attention (CVE-2022-20822, CVE-2022-20959)

2022/10/21 HelpNetSecurity — Cisco は、Cisco Identity Services Engine (ISE) の管理者に対して、同プロダクトに存在する２つの脆弱性 CVE-2022-20822／CVE-2022-20959 への注意喚起を発表した。これらの悪用に成功した驚異アクターは、影響を受けるデバイス上のファイルの読み取りや削除／任意のスクリプトの実行／機密情報へのアクセスなどが可能になる。

API Token が脅かすソフトウェアの完全性：数千件が Web 上で公開されている

Thousands of Publicly Exposed API Tokens Could Threaten Software Integrity

2022/10/21 InfoSecurity — 機密情報／データ／プライベート・ネットワークなどへのアクセスを脅威アクターに許し、ソフトウェアの完全性を脅かしてしまう数千のアクティブな API Token が、Web 上で公開されていることが発見された。この結果は、JFrog のセキュリティ研究者たちが、同社のセキュリティ・ソリューションの新機能をテストしている際に発見されたものだ。

CISA KEV 警告 22/10/20：Linux Kernel の脆弱性 CVE-2021-3493 を悪用リストに追加

CISA adds Linux kernel flaw CVE-2021-3493 to its Known Exploited Vulnerabilities Catalog

2022/10/21 SecurityAffairs — 今週に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linuxカーネルの脆弱性 CVE-2021-3493 を Known Exploited Vulnerabilities Catalog (KEV) に追加した。拘束力のある運用指令 BOD 22-01 によると、既知の脆弱性を悪用した攻撃からネットワークを守るために、それぞれの FCEB 機関は期限までに、特定された脆弱性に対処しなければならない。

Apache Commons Text の脆弱性：Text4Shell CVE-2022-42889 の悪用が始まる

Hackers Started Exploiting Critical “Text4Shell” Apache Commons Text Vulnerability

2022/10/21 TheHackerNews — 2022年10月18日に公開された Apache Commons Text の脆弱性だが、その悪用が検出され始めたと、WordPress のセキュリティ企業である Wordfenceが 10月20日に発表した。脆弱性 CVE-2022-42889 (CVSS：9.8) は、別名 Text4Shell として追跡され、このライブラリのバージョン 1.5〜1.9 に影響を及ぼす。

Google に対する提訴：同意なく生体認証データを収集／使用した疑い

Google sued over biometric data collection without consent

2022/10/20 BleepingComputer — テキサス州司法長官 Ken Paxton は、数百万人のテキサス州民が所有する生体認証データを、適切な同意なく収集／使用した疑いで Google を提訴した。テキサス州司法長官によると、Google は2015年以降において、Google Photos／Google Assistant／Nest Hub Max などの製品やサービスを利用し、声紋や顔形状の記録などの、膨大な数の生体識別情報を収集した疑いがあるという。

Meta Pixel トラッカーの問題が再発：医療情報 300万件が流出という深刻な状況

Health system data breach due to Meta Pixel hits 3 million patients

2022/10/20 BleepingComputer — ウィスコンシン州とイリノイ州の 26ヶ所に病院を持つヘルスケア・システム Advocate Aurora Health (AAH) が、300万人の患者の個人情報が流出したデータ侵害について、患者に通知している。このインシデントの原因は、ログインした患者が、機密性の高い個人情報や医療情報を入力する AAH の Web サイトにおいて、Meta Pixel が不適切に使用されたことにある。

Google の GUAC：OSS の全ての要素を結びつける Knowledge Graph の作成が目標

Google Launches GUAC Open Source Project to Secure Software Supply Chain

2022/10/20 TheHackerNews — 木曜日に Google は、ソフトウェア・サプライチェーン強化の継続的な取り組みの一環として、新たなオープンソース構想 Graph for Understanding Artifact Composition (GUAC) とへの、コントリビュータを募集していると発表した。Google の Brandon Lum と、Mihai Maruseac、Isaac Hepworth は、「GUAC とは、ソフトウェアのビルド／セキュリティ／依存関係のメタデータを生成するための、エコシステム全体で急成長している取り組みから生まれたニーズに対応するものだ」と、The Hacker News で共有した投稿で述べている。

Clicker マルウェア 16種類：Google Play から削除されたがダウンロード数は 2,000万回

These 16 Clicker Malware Infected Android Apps Were Downloaded Over 20 Million Times

2022/10/20 TheHackerNews — モバイル広告における詐欺の摘発を受け、累計ダウンロード数が 2000万を超える 16種類もの悪質なアプリが、Google Play Store から削除された。McAfee によると、一連の Clicker マルウェアは、カメラ／通貨変換／単位変換／QR コードリーダー／メモ帳アプリ／辞書などの、無害なユーティリティに見せかけて、ユーザーを騙してダウンロードさせようとするものだ。

PowerShell バックドアの新種：Windows Update プロセスに偽装して検出を回避

New PowerShell Backdoor Poses as Part of Windows Update Process

2022/10/19 SecurityWeek — サイバーセキュリティ企業である SafeBreach は、Windows のアップデート・プロセスの一部として自身を偽装し、検出を回避する新たな PowerShell バックドアについて警告を発表した。このバックドアは、洗練された未知の脅威者により操作され、リンクされた Word 文書を通じて配布される。

Azure SFX の脆弱性 CVE-2022-35829 が FIX：管理者権限が不正に取得される可能性

Researchers Detail Azure SFX Flaw That Could’ve Allowed Attackers to Gain Admin Access

2022/10/19 TheHackerNews — Azure Service Fabric Explorer (SFX) に存在していた修正済のセキュリティ脆弱性ににおいて、クラスタ管理者の権限が不正に取得される可能性があることが、サイバー・セキュリティ研究者たちにより明らかになった。Microsoft は、先週の Patch Tuesday October で、この脆弱性 CVE-2022-35829 (CVSS：6.2) に対処した。この脆弱性を 2022年8月11日に発見し、Microsoft に報告した Orca Security は、それを FabriXss (ファブリクス) と名づけた。この脆弱性は、Azure Fabric Explorer の 8.1.316 以前のバージョンに影響する。

Deadbolt 感染が 674% の急増：止まらない QNAP ユーザーへの攻撃

Deadbolt Ransomware Extorts Vendors and Customers

2022/10/19 InfoSecurity — 今年のトピックとして、NAS デバイスを標的としたランサムウェアが多発し、ベンダーとエンド・ユーザーの両方を恐喝して収益を得ていることが、新しい報告書により明らかになった。Group-IB の調査レポート Deadbolt ransomware: nothing but NASty は、今年に出現した、このマルウェアのサンプル分析に基づくものだ。いまも進行している Deadbolt キャンペーンでは、ゼロデイ脆弱性を最初のアクセス／攻撃ベクターとして悪用し、SMB／学校／個人ユーザーなどが所有する、台湾のベンダー QNAP の NAS デバイスを標的としている。

OSS サプライチェーンの深刻な問題：３年間で 742% 急増した悪意のパッケージ

Software Supply Chain Attacks Soar 742% in Three Years

2022/10/19 InfoSecurity — 専門家たちが、2022年に発見した悪意のオープンソース・パッケージは 8万8000件にのぼり、2019年のデータと比べて 742% の増加となった。それにより示唆されるのは、企業への攻撃における標的面積の急速な拡大である。この数字は、Maven Central のダウンロード数 1310億件／オープンソース・プロジェクト数千件を含む、公開データ／独自データを分析した、Sonatype のレポート 2021 State of the Software Supply Chain で発表されたものである。

CISA 警告：Advantech／Hitachi の ICS デバイスにおける深刻な脆弱性

CISA Warns of Critical Flaws Affecting Industrial Appliances from Advantech and Hitachi

2022/10/19 TheHackerNews — 18日に米国の CISA は、産業制御システム (ICS) である Advantech R-SeeNet／Hitachi Energy APM Edge アプライアンスの深刻な脆弱性に関する、２件のアドバイザリを発表した。これらの脆弱性は、R-SeeNet モニタリング・ソリューションの３つの弱点に起因し、悪用に成功した攻撃者は、システム上でのファイル削除／コード実行などが、リモートから可能になるという。

MFA の未来：パスワードレス・ライクとフル・パスワードレスの違いは？

The future of MFA is passwordless

2022/10/19 HelpNetSecurity — Secret Double Octopus と Dimensional Research の両者は、従業員 1,000人以上の組織において従業員の ID とセキュリティを担当する300人以上の IT 専門家を対象に、従業員のパスワードレス認証と多要素認証 (MFA) の使用状況について調査を実施した。

Microsoft が引き起こしたミスコンフィグレーション：顧客／パートナーの機密情報 65,000 件が漏えい

Microsoft data breach exposes customers’ contact info, emails

2022/10/19 BleepingComputer — 今日になって Microsoft は、同社におけるサーバのミスコンフィグレーションにより、インターネット経由でアクセス可能な顧客の、機密情報の一部が流出したと発表した。Microsoft は 2022年9月24日に、脅威情報会社 SOCRadar のセキュリティ研究者から通知を受け、このサーバを保護した。Microsoft は、「このミスコンフィグレーションにより、Microsoft と見込み顧客とのやり取りに関する、サービス導入の計画／可能性／プロビジョニングなどの、一部のビジネス・トランザクション・データに対して、認証なしでアクセスできる可能性があった。このような事態が発生したことを受けて、顧客のアカウントやシステムが侵害された形跡がないことを確認した。そして、影響を受けた顧客にはダイレクトに通知する」と明らかにした。

フィッシング対策のコスト：IT／セキュリティ担当者の３割以上の時間が費やされる

Phishing Mitigation Can Cost Businesses More Than $1M Annually

2022/10/18 DarkReading — 依然として、フィッシングは主要な脅威であるだけではなく、企業にとって大きなコストとなっている。したがって、IT／セキュリティ担当者が充実している一部の大企業では、フィッシング攻撃を阻止するために、年間で $1.1 million を費やしていることが、新しいデータで明らかになった。

Ransom Cartel という新たな脅威：REvil ランサムウェアとの類似点を列挙

Ransom Cartel linked to notorious REvil ransomware operation

2022/10/18 BleepingComputer — 研究者たちは、新種のランサムウェア Ransom Cartel オペレーションを、暗号化器のコードの類似性に基づき、REvil ギャングと関連付けている。REvil は 2021年前半に頂点に達し、Kaseya MSP サプライチェーン攻撃で数千の企業を危険にさらし、コンピューター・メーカー Acer に $50 million の支払いを要求し、また、リリース前に盗み出したデバイスの設計図を使って Apple を恐喝している。ランサムウェア・ギャング REvil は、法執行機関からの強い圧力を受け、2021年10月に閉鎖された。そして、2022年1月にロシア当局は、このギャングのメンバー８人を逮捕し、金銭の差し押さえ、告訴を発表した。しかし 2021年12月には、REvil マルウェアとコードの類似性を持つ Ransom Cartel が、新しいランサムウェア活動が開始している。

Zoom for macOS の深刻な脆弱性 CVE-2022-28762 が FIX：乗っ取りの可能性

Zoom Patches High-Severity Flaw in macOS Client

2022/10/18 InfoSecurity — 先週にビデオメッセージング・プラットフォームの Zoom は、macOS 向けクライアントに存在する深刻度の高い欠陥に対して、新しいパッチをリリースした。この脆弱性 CVE-2022-28762 は、5.10.6 〜 5.12.0 (未満) のバージョンの、デバッグポートに関する誤設定に起因するものであり、CVSS 値は 7.3 となっている。先週に同社は、「特定の Zoom Apps を実行しながら、Zoom App Layers API の一部としてカメラモード・レンダリング・コンテキストを有効にすると、Zoom クライアントがローカル・デバッグ・ポートを開いてしまう」とセキュリティ速報ページに記している。

Black Basta ランサムウェアの新戦術：Qakbot 経由でネットワークに侵入して Brute Ratel C4 を展開

Black Basta Ransomware Hackers Infiltrate Networks via Qakbot to Deploy Brute Ratel C4

2022/10/17 TheHackerNews — Black Basta ランサムウェア・ファミリーの背後にいる脅威アクターは、 Qakbotトロイの木馬を用いる最近の攻撃において、第２段階のペイロードとして Brute Ratel C4フレームワークを展開していることが確認された。Trend Micro は、先週に発表した技術分析で、最新の敵対的シミュレーション・ソフトウェア Brute Ratel C4 が、Qakbot 感染を通じて配信される初めてのケースだと述べている。この侵入は、兵器化された ZIP アーカイブ・リンクを含むフィッシング・メールを介して達成され、横方向への移動には Cobalt Strike が使用されている。

VMware の OSS 調査：新たな懸念はサプライチェーンの効率と安全性の不足

New security concerns for the open-source software supply chain

2022/10/17 HelpNetSecurity — VMware によると、オープンソース・ソフトウェアは、あらゆる規模の企業におけるソフトウェア・サプライチェーンの重要な要素となっている。しかし、オープンソース・ソフトウェアのサプライチェーンには、新たなセキュリティ上の懸念が存在するため、パッケージング・セキュリティに対する進化したアプローチが求められている。

Amazon からユーザーへの警告：新しい手口のフィッシング詐欺が発生している

Amazon Customers Receive Smishing Warning After Receiving Fake Texts

2022/10/17 InfoSecurity — Amazon と消費者保護サイトである Which? が、Amazon のユーザーを狙う新しいテキスト・メッセージ詐欺について警告している。Amazon は、「我々を装う詐欺師が、我々の顧客とブランドを危険にさらしている。これらの詐欺行為は我々のショップの外で行われるが、我々は顧客を保護し、詐欺の回避についてユーザーを教育するための投資を続ける」と述べている。

BlackLotus は新種の Windows UEFI ブートキット：ハッキングフォーラムで販売されている

Malware dev claims to sell new BlackLotus Windows UEFI bootkit

2022/10/17 BleepingComputer — ある脅威アクターが、新しい UEFI ブートキット BlackLotus をハッキングフォーラムで販売している。このツールは、国家を後ろ盾とする脅威グループに関連する機能を有している。UEFI ブートキットとは、システムのファームウェアに仕込まれるものであり、マルウェアが起動シーケンスの初期段階でロードされるため、OS 内で動作するセキュリティ・ソフトウェアからは検出されない。

大宮化成工業に LockBit 3.0 がヒット：世界中の主要サプライチェーンに影響？

Japanese tech firm Oomiya hit by LockBit 3.0. Multiple supply chains potentially impacted

2022/10/17 SecurityAffairs — LockBit 3.0 RaaS を利用するアフィリエイトが、日本のハイテク企業である大宮化成工業にヒットした。同社は、マイクロ・エレクトロニクスと設備システム機器の設計／製造を行う企業である。大宮化成の事業は、化学製品／工業製品の製造／設計および、電子材料の設計、医薬品開発、工場製造の、４つの主要分野に分かれている。

Palo Alto PAN-OS の脆弱性 CVE-2022-0030 が FIX：認証バイパスの恐れ

Palo Alto Networks fixed a high-severity auth bypass flaw in PAN-OS

2022/10/15 SecurityAffairs — Palo Alto Networks は、PAN-OS 8.1 に影響する深刻な認証バイパスの脆弱性 CVE-2022-0030 (CVSS：8.1) に対処するセキュリティ・パッチをリリースした。Palo Alto Networks はアドバイザリで、「Palo Alto Networks PAN-OS 8.1 の Web インターフェイスに、認証バイパスの脆弱性が存在する。この脆弱性により、同社の Firewall／Panorama アプライアンスに対して、特定の知識を持つネットワーク・ベースの攻撃者が、既存の PAN-OS 管理者になりすました操作が可能になる」と述べている。

Zimbra のゼロデイ CVE-2022-41352：約 900台のサーバーにハッキング被害

Almost 900 servers hacked using Zimbra zero-day flaw

2022/10/15 BleepingComputer — Zimbra Collaboration Suite (ZCS) の深刻な脆弱性が悪用され、約 900台のサーバがハッキングされていることが判明した。この脆弱性は公開から約 1ヶ月半にわたり、パッチ未適用のゼロデイ脆弱性だった。この脆弱性 CVE-2022-41352 は、攻撃者が ZCS サーバに Web シェルを植え付けると同時に、アンチウイルス・チェックを回避する悪意のアーカイブを添付した、メールの送信を可能にするリモート・コード実行の脆弱性である。

CISA が RedEye をリリース：C2 ログの可視化や Cobalt Strike 追跡などに対応

CISA releases open-source ‘RedEye’ C2 log visualization tool

2022/10/14 BleepingComputer — 米国の Cybersecurity and Infrastructure Security (CISA) は、Command and Control (C2) アクティビティ可視化し報告するオペレーター向けに、オープンソースの分析ツール RedEye を発表した。この RedEye は、レッドチームとブルーチームの双方に対応し、実用的な意思決定につながるデータを、簡単に測定する方法を提供する。

Microsoft Office 365 の OME に問題：暗号化されたデータ・パターンの結合による情報漏えい

Weakness in Microsoft Office 365 Message Encryption could expose email contents

2022/10/14 HelpNetSecurity — Microsoft Office 365 Message Encryption (OME) に存在するセキュリティ上の弱点と、悪用に成功した攻撃者が機密情報を不正に取得する可能性について、WithSecure の研究者たちがユーザー組織に対して警告を発している。暗号化された電子メールを、社内外に送信するために組織的に使用される OME は、Electronic Codebook (ECB) 実装を利用しており、ある動作モードでは、メッセージに関する特定の構造情報の漏えいが生じる。

中国によるサイバー攻撃：過去 10年間にわたる APT の実態を整理する

Report Shows How China Has Been Using Cyberattacks Over the Past Decade

2022/10/14 InfoSecurity — 2022年10月12日に、コンサルティング会社 Booz Allen Hamilton が発表したレポートによると、中国の国家が支援するサイバー攻撃は、米国の国家安全保障に対する脅威を増大させているという。このレポート Same Cloak, More Dagger: Decoding How the People’s Republic of China (PRC) Uses Cyber Attacks は、米国企業や同盟国の CISO／脅威アナリストを対象にしている。

Ducktail の PHP バージョン：Facebook ビジネス・アカウントの窃取を狙っている

New PHP Version of Ducktail Malware Hijacking Facebook Business Accounts

2022/10/14 TheHackerNews — Zscaler の最新の調査結果によると、Ducktail と呼ばれる情報窃取マルウェアの PHP バージョンが、クラックされた正規のアプリやゲーム用のインストーラーの形で、野放し状態で配布されていることが発覚した。Zscaler ThreatLabz の研究者である Tarun Dewan と Stuti Chaturvedi は、「旧バージョン (.NetCore) と同様に、最新バージョン (PHP) も、保存したブラウザ認証情報／Facebook アカウント情報などの、機密情報の流出を目的としている」と述べている。

Cloudflare の DDoS 2022 Q3 レポート：攻撃の傾向および規模と持続時間

Cloudflare mitigated record DDoS attack against Minecraft server

2022/10/13 BleepingComputer — 最近のことだが、最大級の Minecraft サーバである Wynncraft が、2.5 Tbps の分散型サービス拒否 (DDoS：Distributed Denial-of-Service) 攻撃を受けた。Cloudflare によると、今回の DDoS は約２分間続いたマルチベクトル攻撃であり、UDP／TCPのフラッド・パケットで構成され、サーバを過負荷に陥れることで、数十万人のプレイヤーをシャットアウトしようとするものだったという。

Aruba EdgeConnect の深刻な脆弱性 CVE-2022-37913 などが FIX：認証バイパスの可能性

Aruba fixes critical vulnerabilities in EdgeConnect Enterprise Orchestrator

2022/10/13 SecurityAffairs — Aruba は、EdgeConnect Enterprise Orchestrator に存在する、リモート攻撃にいたる恐れのある、複数の深刻な脆弱性に対処した。Aruba EdgeConnect Orchestrator とは、企業が WAN を制御するための SD-WAN を、一元管理するソリューションである。この Aruba EdgeConnect Orchestrator の Web ベース管理インターフェイスに存在する、認証バイパスの脆弱性 CVE-2022-37913／CVE-2022-37914 (CVSS : 9.8) のトリガーとして、脅威アクターは認証バイパスを達成できる。

Fortinet の脆弱性 CVE-2022-40684 に PoC エクスプロイト：直ちにパッチ適用を！

Exploit available for critical Fortinet auth bypass bug, patch now

2022/10/13 BleepingComputer — FortiOS／FortiProxy／FortiSwitchManager アプライアンスに影響を及ぼす深刻な認証バイパスの脆弱性に対して、PoC エクスプロイトコードが利用可能になった。この脆弱性 CVE-2022-40684 の悪用に成功した攻撃者は、FortiGate firewall／FortiProxy Web proxy／FortiSwitch Manager (FSWM) on-premise management instance などの、管理インターフェイスにおける認証プロセスのバイパスが可能になる。

OWASP Top 10：限定するから価値があり、限定するから欠点もある

Does the OWASP Top 10 Still Matter?

2022/10/13 TheHackerNews — OWASP Top 10 とは何か？このレビューでは、この OWASP が提供する重要なリスク・レポートの活用方法について紹介していく。OWASP (Open Web Application Security Project) とは、Web アプリケーションのセキュリティ向上を目的とした、国際的な非営利団体のことである。

Mirai ボットネットが Minecraft Server に DDoS 攻撃：2.5 Tbps のピーク値を記録

Mirai Botnet Launched 2.5 Tbps DDoS Attack Against Minecraft Server

2022/10/13 SecurityWeek — Cloudflare によると、Mirai ボットネットの亜種が分散型サービス拒否 (DDoS) 攻撃を開始し、そのピークは 2.5テラバイト／秒 (Tbps) に達し、これまでのビットレートの中で最大の攻撃だったと述べている。この攻撃は、Wynncraft という名前の Minecraft サーバを狙ったものであり、UDP と TCP のフラッドを含んでいた。しかし、この攻撃は緩和され、ゲームの利用に支障をきたすことはなかったと、Cloudflare は述べている。

Chrome 106 の深刻な脆弱性６件が FIX：なかなか止まらない use-after-free 欠陥

Chrome 106 Update Patches Several High-Severity Vulnerabilities

2022/10/12 SecurityWeek — 火曜日に Google は、Chrome の最新アップデートを提供し、４つの use-after-free のバグを含む、６つの深刻度の高い脆弱性にパッチを適用したと発表した。新たに解決された脆弱性は、すべて外部の研究者により発見されたものであり、Google は報告者たちに $38,000 のバグバウンティ報奨金を手渡した。

Polonium カスタム・バックドア：OneDrive 上の C2 Server を Microsoft が検出

Researchers Uncover Custom Backdoors and Spying Tools Used by Polonium Hackers

2022/10/12 TheHackerNews — Poloniumとして追跡されている脅威アクターが、2021年9月以降に７種類のカスタム・バックドアを用いてイスラエルの団体を狙うという、十数件の高度な標的型攻撃に関連していることが判明した。サイバー・セキュリティ企業の ESET は、エンジニアリング／IT／法律／通信／メディア／保険／ソーシャルサービスなどの、さまざまな垂直方向の組織への侵入があったと述べている。

Microsoft が Security Update Guide を RSS フィードで提供：最新のセキュリティ・リスクを共有

Microsoft adds new RSS feed for security update notifications

2022/10/12 BleepingComputer — Microsoft は、Security Update Guide の RSS フィードを通じて、新しいセキュリティ更新プログラムに関する通知を可能にした。したがって、Microsoft が自社製品のセキュリティ脆弱性を修正した場合には、その詳細が Security Update Guide (SUG) で公開されることになる。現状において、Microsoft は月に２回、新しい脆弱性を開示しているが、その大部分は毎月の Patch Tuesday と Microsoft Edge の脆弱性を修正するときだ。

Google が展開する Passkey：Android／Chrome でパスワードレス認証をサポート

Google Rolling Out Passkey Passwordless Login Support to Android and Chrome

2022/10/12 TheHackerNews — 水曜日に Google は、次世代認証規格である Passkeys のサポートを、Android と Chrome に対して正式に展開した。Google は、「Passkeys は、フィッシングに狙われやすいパスワードなどの認証要素に代わる、より安全性の高い認証手段である。再利用できず、サーバーの侵入で漏れることもなく、フィッシング攻撃からユーザーを保護する」と述べている。この機能は、共通のパスワードレス・サインイン規格をサポートするための、広範なプッシュ規格の一部として、2022年5月に発表されたものだ。