Aiototsec

JPEG を武器化する北朝鮮の APT37：多段階攻撃によりmspaint などのプロセスに悪意のコードを挿入

APT37 Hackers Weaponizes JPEG Files to Attack Windows Systems Leveraging “mspaint.exe”

2025/08/04 CyberSecurityNews — 北朝鮮の APT37 (Reaper) グループによる、洗練された新しいサイバー攻撃の波が確認されている。この攻撃は、JPEG イメージ・ファイルに埋め込まれた高度なマルウェアを用いて、Microsoft Windowsシステムを侵害するものであり、セキュリティ回避戦術およびファイル・レス攻撃手法の進化を示す事例でもある。

Plague という Linux バックドア：すべてのアンチウイルスを回避しながら SSH アクセスを確保

New Undetectable Plague Malware Targeting Linux Servers for Persistent SSH Access

2025/08/02 gbhackers — Plague と呼ばれる高度な Linux バックドアが、nextron のセキュリティ研究者たちにより発見された。これまでの１年間において、 VirusTotal に複数の Plague サンプルがアップロードされていたが、主要なアンチウイルス・エンジンによる検出は成功していない。この悪意のソフトウェアは、Pluggable Authentication Module (PAM) として動作し、攻撃者によるシステム認証の回避を達成し、侵入した Linux システムへの継続的な SSH アクセスを可能にする。

SonicWall Firewall の未知のゼロデイが狙われている：Akira ランサムウェアによる侵害の拡大とは？

SonicWall Firewall Devices 0-day Vulnerability Actively Exploited by Akira Ransomware

2025/08/02 CyberSecurityNews — SonicWallファイアウォール・デバイスに存在すると推定されるゼロデイ脆弱性を、Akira ランサムウェアグループが積極的に悪用しているようだ。この脆弱性を悪用する攻撃者は、SonicWall の SSL VPN 機能を介して企業ネットワークへの初期アクセスを取得し、その後にランサムウェアを展開することが可能となる。2025年7月下旬にセキュリティ研究者たちが確認したのは、SonicWall デバイスを悪用するランサムウェア攻撃の大幅な増加である。既知の脆弱性に対するパッチが完全に適用されていても、ファイアウォールへの侵入が成功した事例が存在するため、ゼロデイ脆弱性の存在が示唆される状況になっている。

Infostealer の驚異的な勢い：悪意のアクティビティが 2025年1月〜6月の間に 800% も増加

Staggering 800% Rise in Infostealer Credential Theft

2025/08/01 InfoSecurity — 2025年上半期には、18億件の認証情報が盗まれ、この６ヶ月間で 800% も増加したことを、セキュリティ専門家たちが明らかにし、ID ベースの攻撃が急増すると警告している。Flashpoint の “Global Threat Intelligence Index: 2025 Midyear Edition” は、同社が分析した 3.6 Peta Byte 以上のデータに基づくものである。このサイバー・インテリジェンス企業によると、一連の認証情報は、580万台の感染ホスト／デバイスから盗まれたという。

Unit 42 が Attribution Framework を公表：脅威アクターの属性をアクティビティ・ベースで整理する

Unit 42 Unveils Attribution Framework to Classify Threat Actors Based on Activity

2025/08/01 CyberSecurityNews — Palo Alto Networks の脅威研究チーム Unit 42 が導入するのは、脅威アクターのアトリビューションに関する画期的かつ体系的なアプローチであり、サイバー・セキュリティ・インテリジェンス分析における長年の課題に対処するものだ。これまで、科学よりも芸術と見なされてきたアトリビューション手法を、サイバー脅威を分析／分類するための構造化された方法論へと変革するものが、2025年7月31日に発表された Unit 42 Attribution Framework である。

CISA が公表した OSS プラットフォーム Thorium：マルウェア／フォレンジック分析を支援

CISA open-sources Thorium platform for malware, forensic analysis

2025/07/31 BleepingComputer — 2025年7月31日 (木) に米国の CISA が発表したのは、マルウェア／フォレンジック用の OSS プラットフォーム Thorium を、政府／公共部門／民間部門へ向けて公開するという声明である。この Thorium は、スケーラブルなサイバー・セキュリティ・スイートであり、サンディア国立研究所との提携により開発されたものである。

SharePoint Server への脅威を分析：脆弱性 CVE-2025-53770 の影響を受ける 840 台のサーバ

17K+ SharePoint Servers Exposed to Internet – 840 Servers Vulnerable to 0-Day Attacks

2025/07/31 CyberSecurityNews — 膨大な数の Microsoft SharePoint サーバが、インターネット・ベースの攻撃に対して深刻な状況にあることが、Shadowserver Foundation の新たな調査結果により判明した。具体的には、17,000 台以上のサーバが攻撃にさらされており、そのうちの 840 台が深刻なゼロデイ脆弱性 CVE-2025-53770 (CVSS：9.8) の影響を受けている。

SUSE Manager の深刻な脆弱性 CVE-2025-46811 が FIX：root 権限でのコマンド実行の可能性

Critical SUSE Manager Vulnerability Allows Remote Command Execution as Root

2025/07/31 gbhackers — SUSE Manager に、深刻なセキュリティ脆弱性 CVE-2025-46811 (CVSS 4.0：9.3) が発見された。この脆弱性を悪用する未認証の攻撃者は、root 権限での任意のコマンド実行を可能にする。この脆弱性は、SUSE Manager を導入する環境に対して、重大な影響を及ぼすものであり、Critical と評価されている。

OAuth2-Proxy の脆弱性 CVE-2025-54576 が FIX：悪意のクエリ・パラメータによる認証バイパス

OAuth2-Proxy Vulnerability Enables Authentication Bypass by Manipulating Query Parameters

2025/07/31 CyberSecurityNews — OAuth2-Proxy に、深刻なセキュリティ脆弱性が発見された。この広く利用されるリバース・プロキシ OAuth2-Proxy は、Google／Azure／OpenID Connect などの多数の ID プロバイダに対して認証サービスを提供するものだ。この脆弱性 CVE-2025-54576 (CVSS：9.1) を悪用する攻撃者は、細工した URL 内のクエリ・パラメータを操作することで、認証メカニズムをバイパスし、保護されたリソースへの不正アクセスを可能にする。

CrushFTP の深刻なゼロデイ CVE-2025-54309 が FIX：シンプルな攻撃経路と PoC の登場

CrushFTP Hit by Critical 0-Day RCE Vulnerability – Full Technical Details and PoC Published

2025/07/31 gbhackers — 人気のファイル転送サーバ・ソリューション CrushFTP に、深刻なゼロデイ脆弱性が存在することを、セキュリティ研究者たちが明らかにした。この脆弱性を悪用する攻撃者は、認証を必要とせずに、影響を受けるシステム上で任意でのコマンド実行の可能性を得る。この脆弱性 CVE-2025-54309 (CVSS：9.8) は、脆弱な CrushFTP システムを使用する組織にとって、差し迫った脅威となっている。

ChatGPT／Gemini などに Man-in-the-Prompt のリスク：ブラウザ・エクステンションとの組み合わせに問題

ChatGPT, Gemini, GenAI Tools Vulnerable to Man-in-the-Prompt Attacks

2025/07/31 CyberSecurityNews — 一般的な AI ツールに影響を及ぼす深刻な脆弱性により、”Man-in-the-Prompt” と呼ばれる新たな攻撃ベクターが悪用可能となっているが、それらの対象には、ChatGPT や Google Gemini といった GenAI プラットフォームも含まれる。Layer X の調査によると、DOM を悪用するブラウザ・エクステンションであれば、特別な許可を必要とすることなく、プロンプト挿入／機密データの窃取／AI レスポンスの改竄などを可能にするという。この脆弱性は、主要プラットフォームの数十億人のユーザーに影響を及ぼすが、特に50億回／月アクセスを誇る ChatGPT と、約４億人ユーザーを抱える Gemini が危険だとされる。

Cobalt Strike Beacon を展開するキャンペーンを発見：標的国がロシアから日本／中国などへと拡大

Hackers Deploy Cobalt Strike Beacon Using GitHub and Social Media

2025/07/30 gbhackers — ロシアなどの IT 業界に混乱をもたらす、高度なサイバー攻撃キャンペーンの存在が確認されたが、そこでは Cobalt Strike Beacon が展開され、高度な検出回避技術が駆使されているという。このキャンペーンを背後で操る攻撃者は、GitHub／Microsoft Learn Challenge／Quora に加えて、ロシアの SNS などのプラットフォーム上のユーザー・プロファイル内に、ペイロード情報を巧妙に隠している。つまり、悪意のデータを、正当なユーザーが生成するコンテンツに混在させることで、この攻撃者はセキュリティ検出の回避を試みている。この手法により、広く使用されるポスト・エクスプロイト・ツール Cobalt Strike の、複雑な実行チェーンの構築が可能になっている。

BeyondTrust の脆弱性 CVE-2025-2297 が FIX：ローカル攻撃者による権限昇格の恐れ

BeyondTrust Privilege Management for Windows Vulnerability Let Attackers Escalate Privileges

2025/07/30 CyberSecurityNews — BeyondTrust の Privilege Management for Windows に、深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用するローカル認証された攻撃者は、管理者レベルへの権限昇格を可能にする。この脆弱性 CVE-2025-2297 (CVSSv4：7.2) は深刻度 High として識別され、バージョン 25.4.270.0 以下に影響を及ぼすものだ。この脆弱性の原因は、ユーザー・プロファイル・ファイルおよびチャレンジ・レスポンス・コードの不適切な処理にあり、Windows レジストリを操作する攻撃者は、管理者権限の不正取得が可能となる。

WordPress テーマ Alone の深刻な脆弱性 CVE-2025-5394 が FIX：RCE によるサイト乗っ取りの可能性

WordPress Theme Security Vulnerability Enables to Execute Arbitrary Code Remotely

2025/07/30 gbhackers — 人気の WordPress テーマ Alone に、深刻なセキュリティ脆弱性の存在が判明した。この脆弱性の悪用に成功した未認証のリモート攻撃者は、任意のコード実行を達成し、影響を受ける Web サイトの完全な制御を奪う可能性を手にする。この脆弱性 CVE-2025-5394 は、ThemeForest 上で 9,000 件以上も販売されている、慈善団体／非営利団体向けのテーマに影響を及ぼすという。

ChatGPT Agent による新たな証明：Cloudflare の “I Am Not a Robot” チェックを突破

ChatGPT Agent Defeats Cloudflare’s ‘I Am Not a Robot’ Security Check

2025/07/30 gbhackers — 広く利用されている Cloudflare の “I am not a robot” 認証システムが、ChatGPT を搭載するエージェントにより迂回されるという。このインシデントが浮き彫りにするのは、AI の進化する能力と、Web セキュリティ・システムに潜在する脆弱性の双方である。このインターネット上で遭遇する認証プロセスは、セキュリティ・インターフェイスとの自動インタラクションにより実証されてきた、Cloudflare の成果であるが、AI エージェントにより、その役割を終えようとしている。

Enterprise LLM に潜むリスクを整理：シンプルなプロンプトによる巧妙な攻撃と甚大な被害

Enterprise LLMs Under Risk: How Simple Prompts Can Lead to Major Breaches

2025/07/30 CyberSecurityNews — 大規模言語モデル (LLM) を統合するエンタープライズ・アプリ群は、単純に見えるプロンプトのインジェクション攻撃により、悪用の可能性が生じるという、前例のないセキュリティ脆弱性に直面している。最近のセキュリティ評価により明らかにされたのは、巧妙に作成された自然言語クエリのみを使用する攻撃者が、認証システム回避と機密データの抽出を達成し、不正なコマンドの実行を可能にするという問題である。

AI Vibe コーディング Base44 に認証バイパスの脆弱性：Wiz が発見／報告し翌日に修正される

Severe Vulnerability in AI Vibe Lets Attackers Access Private User Applications

2025/07/30 gbhackers — 人気の AI 搭載開発プラットフォーム Base44 に、深刻なセキュリティ脆弱性が発見されたと、Wiz Research の最新レポートが報じている。この脆弱性を悪用する攻撃者は、認証制御を回避し、企業のプライベート・アプリケーションへアクセスを可能にするという。すでに、この脆弱性は修正済みであるが、Vibe コーディング・プラットフォームを社内ツールや自動化に利用している複数の組織においては、機密データが漏洩する恐れがあったという。

Google が DBSC の Open Beta を公表：認証セッションのデバイス・バインドによる再利用の制限

Google Launches DBSC Open Beta in Chrome and Enhances Patch Transparency via Project Zero

2025/07/30 TheHackerNews — セッション Cookie 窃取攻撃からユーザーを保護するために、Google が公表したのは、DBSC (Device Bound Session Credentials) と呼ばれるセキュリティ機能をオープン・ベータ版として提供することだ。この DBSC は、2024年4月にプロトタイプとして導入されたものであり、盗んだ Cookie を悪用する攻撃者からの、不正アクセスを防止するよう設計されている。つまり、認証セッションをデバイスにバインドすることで、攻撃者の管理下にある別のデバイスからの、被害者のアカウントへのサインインを阻止するものである。

SAP の深刻な脆弱性 CVE-2025-31324 を悪用：Linux マルウェア Auto-Color の抑制的な振る舞い

Critical SAP flaw exploited to launch Auto-Color Malware attack on U.S. company

2025/07/30 SecurityAffairs — SAP NetWeaver の脆弱性 CVE-2025-31324 を悪用する脅威アクターが、米国の化学関連企業を標的として Auto-Color Linux マルウェアを展開した事例について、サイバー・セキュリティ企業 Darktrace が報告している。Darktrace によると、2025年4月の時点で、米国拠点の化学企業のネットワーク内において、Auto-Color バックドア・マルウェアの活動が確認されたという。そのときの脅威アクターは、３日間にわたりネットワークにアクセスし、複数の不審なファイルのダウンロードを試行しながら、Auto-Color に関連する不正なインフラと通信していたようだ。

Chrome の深刻な脆弱性 CVE-2025-8292 が FIX：任意のコード実行の可能性

Chrome High-Severity Vulnerabilities Allows Memory Manipulation and Arbitrary Code Execution

2025/07/30 CyberSecurityNews — Google ga公表したのは、Chrome ブラウザの複数の脆弱性を修正する、緊急セキュリティ・アップデートである。その中には、攻撃者によるメモリ操作を許し、ユーザー・システム上での任意のコード実行を引き起こす、深刻度の高い脆弱性 CVE-2025-8292 も含まれている。最新版の Chrome 138 である、Linux 版 138.0.7204.183 および、Windows／macOS 版 138.0.7204.183／.184 において、これらの深刻な脆弱性は修正されている。すべてのユーザーに対して Google が強く推奨するのは、最新の Chrome へ向けた速やかなアップデートである。

npm の “is” パッケージ侵害：280 万回／週のペースで DL されるユーティリティが武器化された

npm ‘is’ Package With 2.8M Weekly Downloads Weaponized to Attack Developers

2025/07/29 CyberSecurityNews — npm を標的とするフィッシング攻撃の波は、280 万回／週のペースでプルされるユーティリティ “is” の乗っ取りにより、深刻度を増している。2025年7月19日に攻撃者は、盗み出したメンテナーの認証情報を用いて、悪意の “is” バージョン 3.3.1／5.0.0 をレジストリに登録した。それにより、通常の依存関係解決を通じて、バックドアがシームレスに拡散されていった。

Cisco ISE のゼロデイ脆弱性 CVE-2025-20281／20337：認証不要の RCE と PoC の公開

PoC Exploit Published for Actively Exploited Cisco Identity Services Engine Flaw

2025/07/29 gbhackers — Cisco Identity Services Engine (ISE) の深刻な脆弱性 CVE-2025-20281 を標的とする、PoC エクスプロイトと詳細な情報を、セキュリティ研究者たちが公開した。この脆弱性を悪用する未認証のリモート攻撃者は、コード実行を可能にするため、Cisco ISE をネットワークアクセス制御プラットフォームとして導入するエンタープライズに影響を及ぼし、すでに実際の攻撃での悪用も確認されている。

PyPI 開発者を狙うフィッシング攻撃を確認：正規サイトに酷似した偽ページで情報窃取

PyPI Warns of New Phishing Attack Targeting Developers With Fake PyPI Site

2025/07/29 CyberSecurityNews — Python Package Index (PyPI) が、開発者に対して発している緊急の警告は、ドメイン・スプーフィング技術を悪用してユーザーの認証情報を窃取する、進行中のフィッシング攻撃に関するものだ。この攻撃は、PyPI にパッケージを公開する開発者を標的とした、巧妙なものである。PyPI エコシステムへの信頼を悪用する攻撃者は、正規プラットフォームを模倣する偽サイトを通じて、開発者たちの認証情報を収集している。

CISA KEV 警告 25/07/29：PaperCut の脆弱性 CVE-2023-2533 を登録

CISA Issues Alert on PaperCut RCE Vulnerability Under Active Exploitation

2025/07/29 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、印刷管理ソフトウェア PaperCut に存在する重大な脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。それぞれの連邦政府組織に対して、CISA が警告を発する背景にあるのは、この広く使用されているソフトウェアを標的とする、サイバー攻撃の活発化がある。この PaperCut の脆弱性 CVE-2023-2533 を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を得るという。

CodeIgniter4 の脆弱性 CVE-2025-54418 が FIX：画像ファイル名などを悪用するコマンド・インジェクション

Critical CodeIgniter Vulnerability Exposes Million of Webapps to File Upload Attacks

2025/07/29 CyberSecurityNews — CodeIgniter4 の ImageMagick ハンドラにおいて、悪意のファイル・アップロードに起因するコマンド・インジェクションの脆弱性が発見された。この欠陥により、数百万の Web アプリケーションに対して深刻な影響が及ぶ可能性がある。この脆弱性 CVE-2025-54418 は (CVSS v3.1：9.8) は Critical と評価されており、影響を受けるシステムへの速やかな対応が必要とされる。

SonicWall SMA100 の脆弱性 CVE-2025-40596／40597／40598 が FIX：メモリ破損と XSS の可能性

Researchers Reveal Technical Details of SonicWall SMA100 Series N-Day Vulnerabilities

2025/07/29 gbhackers — SonicWall の SMA100 シリーズ SSL-VPN アプライアンスに影響を及ぼす、３件の脆弱性に関する技術的な詳細が、セキュリティ研究者たちにより公開された。これらの脆弱性が浮き彫りにするのは、リモート・コード実行／クロスサイト・スクリプティング (XSS) を可能とする、認証前のセキュリティ欠陥に関する懸念である。このネットワーク・アプライアンスの、ファームウェア・バージョン 10.2.1.15 における脆弱性が示すのは、プログラミング上の典型的な落とし穴が、セキュリティ上の根本的な課題となっていることだ。

Gemini CLI AI コーディング・アシスタントの脆弱性が FIX：データ窃取やコード実行の恐れ

Flaw in Gemini CLI AI coding assistant allowed stealthy code execution

2025/07/28 BleepingComputer — Google の Gemini CLI に、脆弱性が発見された。この脆弱性を悪用する攻撃者は、許可リストに登録されたプログラムを利用して悪意のコマンドを秘密裏に実行し、開発者のコンピュータからデータを窃取することが可能であったという。6月27日に、この脆弱性を発見した Tracebit が Google に報告した。それを受けた Google は、7月25日にバージョン 0.1.14 をリリースし、この問題を修正した。

Toptal の GitHub が侵害された：悪意の npm パッケージが 5,000 回もダウンロード

Hackers Breach Toptal GitHub, Publish 10 Malicious npm Packages With 5,000 Downloads

2025/07/28 TheHackerNews — Toptal の GitHub 組織アカウントに侵入した正体不明の脅威アクターが、そのアクセス権を悪用して 10個の悪意のパッケージを npm レジストリに公開するという、ソフトウェア・サプライチェーン攻撃の最新事例が紹介されている。先週に Socket が公開したレポートによると、これらのパッケージに隠された悪意のコードにより、GitHub の認証トークン窃取や、被害者システムの破壊などが引き起こされるという。それに加えて、この組織に関連する73個のリポジトリが公開されている。

Tridium Niagara Framework の複数の脆弱性が FIX：ルート権限取得や RCE などが可能に

Critical Flaws in Niagara Framework Threaten Smart Buildings and Industrial Systems Worldwide

2025/07/28 TheHackerNews — Tridium の Niagara Framework に影響を及ぼす、12 件を超えるセキュリティ脆弱性を、サイバー・セキュリティ研究者たちが特定した。これらの脆弱性は、特定の条件下において、同一ネットワーク上の攻撃者に対して、システムへの侵入を許す可能性を示している。先週に公開したレポートにおいて Nozomi Networks Labs は、「Niagara システムのミスコンフィグにより、一部ネットワーク・デバイスの暗号化が無効化されると、これらの脆弱性の完全な悪用が可能になる。また、複数の脆弱性が連鎖的に悪用された場合には、中間者攻撃 (MitM) などを通じて、ネットワーク内の攻撃者による Niagara システムの侵害が現実的なものとなる」と指摘している。

CISA KEV 警告 25/07/28：Cisco ISE／ISE-PIC および PaperCut の脆弱性を登録

U.S. CISA adds Cisco ISE and PaperCut NG/MF flaws to its Known Exploited Vulnerabilities catalog

2025/07/28 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Cisco Identity Services Engine (ISE) および PaperCut NG/MF に存在する複数の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに登録した。それらの脆弱性は、以下のとおりである：

CVE-2025-20281：Cisco ISE におけるインジェクションの脆弱性
CVE-2025-20337：Cisco ISE におけるインジェクションの脆弱性
CVE-2023-2533：PaperCut NG/MF における CSRF の脆弱性

LLM Honeypot がもたらす成果：攻撃者の手法を逆手に取る対策とは？

LLM Honeypots Deceive Hackers into Exposing Attack Methods

2025/07/28 gbhackers — 人工知能 (AI) を搭載するハニーポットにサイバー犯罪者を巧妙に誘導し、攻撃戦略を暴くことを、サイバー・セキュリティ研究者たちが成功させた。この手法が実証するのは、脅威情報の収集における有望かつ新規のアプローチである。大規模言語モデル (LLM) を用いて攻撃者を欺き、攻撃手法やインフラを暴露させる、説得力のある偽システムの作成が、この手法により可能となる。

SharePoint Servers を完全に侵害：ToolShell エクスプロイト・チェーンについて整理する

New “ToolShell” Exploit Chain Attacking SharePoint Servers to Gain Complete Control

2025/07/28 CyberSecurityNews — Microsoft SharePoint Server を標的とする新たな脅威として、ToolShell と呼ばれる高度なエクスプロイト・チェーンが注目を集めている。すでに修正されている脆弱性と、新たなゼロデイ・エクスプロイトを組み合わせる、この多段階の攻撃により、システム全体が侵害されている。その攻撃対象は、SharePoint Enterprise Server 2016／2019 および、SharePoint Server Subscription Edition である。

Leak Zone が引き起こした情報漏洩：ダークウェブ・ユーザーの 2,200 万件のメタデータが暴露

Leak Zone Dark Web Forum Breach Exposes 22 Million User IPs and Locations

2025/07/28 gbhackers — 不正アクセスされたアカウントやハッキング・ツールの売買で知られるダークウェブ・フォーラム Leak Zone において、大規模なデータ侵害が発生し、ユーザーに関する機密情報が漏洩した。セキュリティ企業 UpGuard が発見したのは、約 2,200 万件の Web リクエスト記録を取り込んだ、保護されていない Elasticsearch データベースの存在である。この記録により、違法マーケット・プレイスに訪問した人々の、IP アドレス／位置情報／ISP などに関する詳細な情報を取得できたという。

Salesforce Tableau Server の複数の脆弱性が FIX：認証バイパス／RCE の可能性

Critical Salesforce Tableau Vulnerabilities Let Attackers Execute Code Remotely

2025/07/28 CyberSecurityNews — Salesforce の Tableau Server に存在する、複数の深刻なセキュリティ脆弱性が明らかになった。それらを悪用する攻撃者は、リモート・コード実行 (RCE)／認証バイパスに加えて、機密性の高い本番データベースへのアクセスを達成するという。2025年6月26日に公開されたセキュリティ・アドバイザリにより、これらの脆弱性に関する情報が公表された。その影響が及ぶ範囲は、Tableau Server バージョン 2025.1.3／2024.2.12／2023.3.19 以下であり、エンタープライズ環境全体に対する迅速なパッチ適用が求められている。

マルウェアの開発能力を考える：AI が人間を凌駕する状況を “Koske” が証明

AI-Generated Linux Miner ‘Koske’ Beats Human Malware

2025/07/25 DarkReading — 新たに発見されたクリプトマイナーが示すのは、人工知能 (AI) を駆使して開発されるマルウェアは完全に新しいものであり、人間が作成するマルウェアを超えるコードを生成しているという事実である。Aqua Nautilus の研究者たちは、ハニーポットから新たな Linux マルウェアを発見し、それを Koske と命名した。このマルウェアは、本質的にクリプトマイナーであり、感染させたコンピュータの能力を特定し、Monero／Ravencoin などの 18種類の暗号通貨を獲得するために最適化された、マイナーを実行するように設計されている。

バグバウンティを法的に規制する判決：本来の意図とは異なる判例がもたらす懸念とは？

A Court Ruling on Bug Bounties Just Made the Internet Less Safe

2025/07/25 InfoSecurity — いまの時代の、サイバー脅威の頻度／規模／巧妙さが増大する現状において、官民の連携は強固な防衛手段である。しかし、United States v. Sullivan インシデントに関するU.S. Court of Appeals for the Ninth Circuit の最近の判決により、バグ報奨金プログラムを介した、責任のある脆弱性情報の開示のフレームワークが崩壊していく可能性が生じている。このフレームワークは、最も有効に機能している、官民連携の一つなのである。

WordPress Post SMTP の脆弱性 CVE-2025-24000 が FIX：20万のサイトに乗っ取りの可能性

Post SMTP plugin flaw exposes 200K WordPress sites to hijacking attacks

2025/07/25 BleepingComputer — Post SMTP プラグインの脆弱性により、20万以上の WordPress サイトが、管理者アカウント乗っ取りの危険に直面している。この Post SMTP は、40万以上のアクティブインストール数を有する、WordPress の人気メール配信プラグインであり、WordPress のデフォルト関数 wp_mail() の代替として、信頼性と機能性を備えているとされる。この脆弱性 CVE-2025-24000 (CVSS：8.8)は、2025年5月23日にセキュリティ研究者より、WordPress セキュリティ企業 PatchStack に報告されている。

Microsoft Copilot Enterprise の脆弱性：Jupyter サンドボックス経由で root 権限を取得

Microsoft Copilot Rooted to Gain Unauthorized Root Access to its Backend System

2025/07/25 CyberSecurityNews — Microsoft Copilot Enterprise に発見されたのは、バックエンド・コンテナへの root アクセスを、権限のないユーザーが可能にするという深刻なセキュリティ脆弱性である。この脆弱性を悪用する脅威アクターは、システム・コンフィグの改変／機密データへのアクセス／アプリケーション整合性への侵害などを、引き起こす可能性を手にするという。

VMware Tools の脆弱性 CVE-2025-22230／22247 が FIX：認証バイパスによる SYSTEM 権限の乗っ取りの可能性

Critical VMware Tools VGAuth Vulnerabilities Enable Full System Access for Attackers

2025/07/25 CyberSecurityNews — VMware Tools の VGAuth (VMware Guest Authentication Service) コンポーネントに存在する、２つの深刻な脆弱性を悪用するローカル攻撃者は、Windows 仮想マシン上で任意のユーザー・アカウントから SYSTEM 権限を取得する可能性を手にする。これらの脆弱性 CVE-2025-22230／CVE-2025-22247 が影響を及ぼす範囲は、スタンドアロンの VMware Workstation デプロイメントおよび ESXi 管理環境における、VMware Tools のインストールとなる。

AI-Powered サイバー攻撃：MITRE ATT&CK と合致する悪意のアクティビティとは？

AI-Powered Cyber Attacks Utilize ML Algorithms to Deploy Malware and Circumvent Traditional Security

2025/07/25 gbhackers — 急速に変化する脅威環境において、人工知能 (AI) と機械学習 (ML) を悪用する攻撃者たちは、従来の防御を上回る極めて複雑な攻撃を可能にし始めている。ハイブリッド・クラウドに関する Gigamon のセキュリティ調査によると、世界中の 1,000 人以上の Srcurity／IT リーダーのうちの 59% が、AI を悪用するスミッシング／フィッシング／ランサムウェアなどの攻撃の急増を報告している。

Amazon Q の脆弱性 CVE-N/A が FIX：リポジトリの侵害と謎めいたマルウェアの展開

Amazon AI coding agent hacked to inject data wiping commands

2025/07/25 BleepingComputer — Visual Studio Code 用の GenAI アシスタントである Amazon Q Developer Extension に、あるハッカーがデータ・ワイパー・コードを埋め込んだという。この Amazon Q の GenAI アシスタントを用いる開発者たちは、無料のエクステンションに支援され、コーディング／デバッグ／ドキュメント作成／カスタム・コンフィグ設定などを可能にしている。Microsoft の Visual Studio Code (VSC) マーケットプレイスで入手が可能な Amazon Q の人気は高く、インストール数は 100 万件近くに達している。

Google Form と Apps Script が攻撃ベクター：１クリックで詐欺サイトに接続

Hackers Leverage Google Forms Surveys to Trick Victims into Stealing Cryptocurrency

2025/07/25 CyberSecurityNews — スムーズなデータ収集手段として高い評価を得ている Google Form だが、2024年末に検出されてから 2025 Q2 にかけて急増した、暗号通貨フィッシング攻撃の意外な拠点となっている。この攻撃は、正規を装う forms.gle リンクを取り込んだ、迷惑メールの受信から始まるが、このリンクは、ほとんどのスパム・フィルターを容易に回避していく。それに続いて、メールの受信者が悪意のリンクを開くと、有名な仮想通貨取引所を装う Google フォームが表示され “1.275 BTC の支払いが保留中” というメッセージが表示される。

SharePoint の脆弱性 CVE-2025-53770：ToolShell チェーンによるランサムウェア展開を確認

Ransomware Deployed in Compromised SharePoint Servers

2025/07/24 InfoSecurity — Microsoft SharePoint の脆弱性を悪用する、中国を拠点とする脅威アクターが、侵害済のシステムにランサムウェアを展開していることが確認されている。7月23日のインシデント・アップデートにおいて、Microsoft が明らかにしたのは、Storm-2603 として追跡している脅威グループが、オンプレミスの SharePoint サーバを悪用し、Warlock ランサムウェアを配布している状況である。それに加えて Microsoft は、影響を受ける可能性のある組織に対して、ランサムウェア対策を取り込んだ緩和策の拡充を勧告している。

Cursor バックグラウンド・エージェントの脆弱性：Amazon EC2 インスタンスの完全制御が可能に

Researchers Exploit Cursor Background Agents to Take Over Amazon EC2 Instance

2025/07/24 gbhackers — AIコードエディタ Cursor のバックグラウンド・エージェントに存在する、脆弱性を検証する reco のセキュリティ研究者たちが、Amazon EC2 インスタンスへの不正アクセスに成功した。それにより、クラウド・インフラと密接に統合される、SaaS アプリケーションに関連する重大なリスクが実証された。この脆弱性は、研究者たちにより直ちに Cursor のセキュリティ・チームに報告され、悪用を防止するための保護対策が講じられたという。

LLM-Powered マルウェアが登場：ロシアの APT28 が採用する AI 機能の統合とは？

First Known LLM-Powered Malware From APT28 Hackers Integrates AI Capabilities into Attack Methodology

2025/07/24 CyberSecurityNews — 新たに明らかになった LAMEHUG 攻撃が示唆するのは、サイバー・セキュリティにおける画期的な出来事である。大規模言語モデル (LLM) を実環境のマルウェアにダイレクトに組み込むロシア政府系 APT28 (Fancy Bear) は、それぞれの感染させたホストから、カスタマイズされたシェル・コマンドを即座に受信できるようにしている。Hugging Face の公開 API を介することで、攻撃者は　Qwen2.5-Coder-32B-Instruct モデルを呼び出す。この手法により、従来の静的ペイロード制約を回避し、これまでにはなかった柔軟性を実現している。

脅威アクター Mimo の戦術拡大：GSocket C2 により Magento や Docker から機密情報を窃取

Threat Actor Mimo Attacking Magento CMS to Steal Card Details and Bandwidth Monetization

2025/07/24 CyberSecurityNews — これまで、Craft CMS を標的としてきた悪名高い脅威アクター Mimo が、Magento の eコマース・プラットフォームへの侵入活動を大幅に進化させており、サイバー・セキュリティ環境は新たな脅威に直面することになった。この活動の拡大が示すのは、日常的に金融データ情報を処理する高価値ターゲットへの危険なシフトであり、Mimo グループの犯罪活動が、懸念すべきエスカレーションを遂げていることを意味する。

SonicWall SMA 100 の３件の脆弱性が FIX：リモートからの悪意の JavaScript 実行の可能性

SonicWall SMA 100 Vulnerabilities Allow Remote Execution of Arbitrary JavaScript

2025/07/24 gbhackers — SonicWall が発表したのは、Secure Mobile Access (SMA) 100 シリーズアプライアンスに影響を及ぼす、３件の深刻な脆弱性に関する重要なアドバイザリである。SMA 210／SMA 410／SMA 500v の、ファームウェア・バージョン 10.2.1.15-81sv 以下を実行するモデルに、これらの脆弱性は影響を及ぼす。それにより、未認証のリモート攻撃者は、サービス拒否 (DoS) 状態を引き起こし、任意のコードや JavaScript の実行の可能性を手にする。

VMware vSphere を攻撃する UNC3944：ESXi Host 上の SSH を介した巧妙な侵入

UNC3944 Attacking VMware vSphere and Enabling SSH on ESXi Hosts to Reset ‘root’ Passwords

2025/07/24 CyberSecurityNews — UNC3944 という金銭目的の脅威組織について確認されたのは、小売／航空／保険などの業界の VMware vSphere 環境を標的とする高度なサイバー・キャンペーンの展開と、”0ktapus”／”Octo Tempest”／”Scattered Spider” との関連性である。この攻撃者が採用する手口は、ソーシャル・エンジニアリングとハイパーバイザー・レベルへの攻撃の併用であるという。米国の小売業界に対する攻撃が激化しているという FBI の警告を受けて、2025年半ばに Google Threat Intelligence Group (GITG) が、このキャンペーンを分析／特定した。

Microsoft ログイン画面を装う Sneaky2FA：SharePoint 偽装キャンペーンに警戒を

Surge in Phishing Attacks Exploiting Spoofed SharePoint Domains and Sneaky 2FA Tactics

2025/07/24 gbhackers — Microsoft SharePoint を装うドメインによる、フィッシング・キャンペーンの急増を、サイバー・セキュリティ研究者たちが確認している。それらのドメインは、高度に構造化された命名規則を用いて、検出を回避しているという。2025年6月26日以降に急増している、それらの悪意のドメインは、予測可能なパターンを持っている。具体的に言うと、第３レベルおける 29文字の固定プレフィックス／数値セグメントのバリエーション／”-mysharepoint” という一貫したサフィックスなどが、”.org” のトップ・ドメインの下に展開されている。

Google の OSS Rebuild がスタート：リポジトリ汚染を一掃する試みへの期待とは？

Google Launches OSS Rebuild to Strengthen Security of The Open-Source Package Ecosystems

2025/07/24 CyberSecurityNews — 現代のソフトウェア・サプライチェーンは、無数のサードパーティ・コンポーネントに依存しているため、それらのパッケージ・リポジトリは攻撃者にとって格好の標的となっている。この１年の間に発生した、xz-utils バックドアや solana/webjs タイポスクワッティングなどの、注目を集めるセキュリティ侵害が示したのは、防御側が認知する前に、広く利用されているライブラリを巧妙なコードで汚染するという、可能性があることだった。