Asia – Page 3 – IoT OT Security News

1Panel の SQLi 脆弱性 CVE-2024-39907 (CVSS 9.8) が FIX：PoC も提供されている

CVE-2024-39907 (CVSS 9.8): SQLi Flaw Exposes 1Panel Users to Remote Takeover, PoC Published

2024/07/22 SecurityOnline — OSS Web ベースのサーバー管理コントロール・パネル 1Panel に、深刻な脆弱性 CVE-2024-39907 が発見された。この SQL インジェクションの欠陥は、CVSS スコアが 9.8 と高く、悪用されると深刻な影響を与える可能性があることが示唆されている。

中国由来の APT41 が復活：世界のロジスティクスやテクノロジーなどの産業を狙っている – Mandiant

Chinese Hacking Group APT41 Infiltrates Global Shipping and Tech Sectors, Mandiant Warns

2024/07/18 SecurityWeek — ヨーロッパとアジアの海運／ロジスティクス／テクノロジー／自動車産業の組織に侵入したとして摘発された、中国政府が支援する多発ハッキング・チーム APT41 によるマルウェア攻撃が、大規模なレベルで復活していることを、Mandiant の研究者たちが指摘している。Mandiant の警告によると、侵入された組織の大部分は英国／イタリア／スペイン／トルコ／タイ／台湾にあるという。これらの組織に侵入した APT41 は、遅くとも 2023年以降において、不正アクセスを長期にわたって維持することに成功しているようだ。

Cellopoint SEG の脆弱性 CVE-2024-6744 (CVSS 9.8) が FIX：直ちにアップデートを！

CVE-2024-6744: Cellopoint Secure Email Gateway Flaw Exposes Organizations to Critical Risk

2024/07/15 SecurityOnline — 台湾の TWCERT/CC (Computer Emergency Response Team/Coordination Center) は、配信前のメール保護ソリューションとして人気を博している、Cellopoint SEG (Secure Email Gateway) に存在する深刻なセキュリティ脆弱性に関するアドバイザリを公開した。この脆弱性は CVE-2024-6744 として追跡され、CVSS：9.8 というスコアが割り当てられている。

北朝鮮のハッカー Kimsuky が日本の組織を標的にしている – JPCERT/CC

Japan warns of attacks linked to North Korean Kimsuky hackers

2024/07/10 BleepingComputer — 北朝鮮の脅威アクターである Kimsuky が、日本の組織を攻撃の標的にしていると、JPCERT/CC (Japan’s Computer Emergency Response Team Coordination Center) が警告している。この Kimsuky は、北朝鮮の APT (advanced persistent threat) グループだと米国政府は位置づけている。同グループは、北朝鮮政府にとって関心のある情報を収集するために、世界中の標的に対して攻撃を行っている。

富士通のデータ侵害：シングルポイントから侵入して 49台の PC に感染したマルウェア

Fujitsu confirms customer data exposed in March cyberattack

2024/07/09 BleepingComputer — 富士通が認めたのは、2024年の3月に発生したデータ侵害で、一部の個人と顧客のビジネスに関連する情報が漏洩したことである。同社の発表によると、この攻撃にはランサムウェアは関与していなかったが、詳細情報を流出させながら検知を回避するという、高度なメカニズムが用いられていたという。2024年3月に富士通は、複数のシステムがマルウェアに感染していることを発見し、機密性の高い顧客情報が漏洩した可能性を指摘していた。同社は、影響を受けたコンピュータを隔離し、外部専門家の協力を得て調査を開始し、侵害の範囲を特定した。

CISA KEV 警告 24/07/02：Cisco NX-OS の脆弱性を悪用する中国由来の Velvet Ant

CISA Adds Cisco Nx-Os Command Injection Bug To Its Known Exploited Vulnerabilities Catalog

2024/07/08 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Cisco NX-OS コマンド・インジェクション脆弱性 CVE-2024-20399 を、KEV カタログに追加した。今週に Cisco は、NX-OS のゼロデイ脆弱性 CVE-2024-20399 (CVSS：6.0) 対処している。この脆弱性を悪用する中国由来の Velvet Ant が、root として未知のマルウェアを展開するために、脆弱なスイッチを悪用している。

Cisco NX-OS のゼロデイ悪用が発見される：カスタム・マルウェアの展開を警告

Cisco warns of NX-OS zero-day exploited to deploy custom malware

2024/07/01 BleepingComputer — Cisco が公表したのは、脆弱なスイッチに root 権限で未知のマルウェアをインストールするという、2024年4月の攻撃で悪用された、NX-OS のゼロデイ脆弱性 CVE-2024-20399 に対する修正である。サイバー・セキュリティ企業の Sygnia は、このインシデントを Cisco に報告し、同社が追跡している脅威アクター “Velvet Ant” による攻撃と関連付けた。Sygnia のインシデント対応の担当ディレクターである Amnon Kushnir は、「Velvet Ant として追跡している、中国由来のサイバー・スパイ・グループに関する大規模なフォレンジック調査中に、この悪用を検出した」と、 BleepingComputer に語っている。

悪意の Chrome エクステンション TRANSLATEXT：機密データを窃取する北朝鮮 Kimsuky の手口とは？

Kimsuky Using TRANSLATEXT Chrome Extension to Steal Sensitive Data

2024/06/28 TheHackerNews — 北朝鮮の脅威アクター Kimsuky が、機密情報を盗むように設計された、新たな悪意の Google Chrome エクステンションを使用して、情報収集活動を展開している。この活動を 2024年3月初旬に観測した Zscaler ThreatLabz は、このエクステンションのコードネームを TRANSLATEXT とし、電子メールアドレス／ユーザー名／パスワード／クッキー／ブラウザのスクリーン・ショットなどを、収集する機能を持つと指摘している。この標的型キャンペーンは、韓国の学術界を狙うものであり、特に北朝鮮の政治問題に関連するアカウントを標的にしたものだと見られている。

シンガポールの個人情報とダークウェブ：アンダーグラウンド取引が前年比で 230% 増 – Resecurity

Dark Web Sees 230% Rise in Singapore Identity Theft

2024/06/25 InfoSecurity — シンガポール国民から盗んだ個人情報を流通させる、ダークウェブ活動が大幅に増加していることを明らかになった。6月24日に Resecurity が公開したアドバイザリによると、サイバー犯罪者たちが販売している一連の盗難データが、詐欺／ID 窃盗／なりすまし詐欺／Know Your Customer (KYC) プロトコル回避などに悪用されるという。同社による指摘は、シンガポールのユーザーから盗み出した ID データを販売するアンダーグラウンド業者が、前年比で 230％増加しているというものだ。この急増と、データ侵害の増加は連動しており、消費者情報を保存する各種のオンライン・プラットフォームを危険にさらしている。

アジアの通信事業者への 10年にわたるサイバー攻撃：中国ハッカーの犯行と判明 – Symantec

Decade-Long Cyber Assault on Asian Telecoms Traced to Chinese State Hackers

2024/06/20 SecurityWeek — 長年にわたってアジア某国の通信会社が、中国のスパイ集団に帰属する悪意のツールの標的となっていることが、Symantec のレポートにより判明した。遅くとも 2021年以降から、通信事業者／通信事業者にサービスを提供する企業／大学などを標的とするキャンペーンが発生し、Coolclient／Quickheal／Rainyday などのカスタム・バックドアが使用されてきた。過去においても、このカスタム・バックドアは、中国に支援される既知の脅威アクターたちと関連付けられてきたが、その中には、10年以上も活動しているグループも含まれるという。

Fortinet／VMware の脆弱性を悪用：中国由来の UNC3886 が実現している永続性とは？

UNC3886 Uses Fortinet, VMware 0-Days and Stealth Tactics in Long-Term Spying

2024/06/19 TheHackerNews — Fortinet／Ivanti／VMware デバイスのゼロデイ脆弱性を悪用する、中国由来のサイバースパイ・アクターたちは、侵害した環境への自由なアクセスを維持するために、複数の永続化メカニズムを利用していることが確認されている。Mandiant の研究者たちは、「彼らの持続性メカニズムの対象となるのは、ネットワークデバイス／ハイパーバイザー／仮想マシンなどであり、プライマリ・レイヤーが検出／排除された場合であっても、代替チャネルが利用可能であることを保証している」と、最新レポート述べている。問題となっている脅威の主体は UNC3886 であり、Mandiant は、「洗練され、慎重で、回避的である」と評している。

中国のサイバー Offense／Defense パワー：世界の脆弱性情報エコシステムとの関係を考察する – ETH Zurich

Bug Bounty Programs, Hacking Contests Power China’s Cyber Offense

2024/06/18 DarkReading — これまでの 10年間を振り返ってみると、中国のサイバー・セキュリティ専門家は、世界的なエクスプロイト・コンテストや、バグ・バウンティ・プログラムへの遠慮がちな参加者から、これらの分野における支配的なプレーヤーへと進化している。そして、中国政府は、この戦利品を国家のサイバー攻撃力強化に活用している。

F5 のレガシー・デバイスを悪用：３年間にわたり潜み続けた中国系ハッカーの TTP を分析 – Sygnia

China-Linked Hackers Infiltrate East Asian Firm for 3 Years Using F5 Devices

2024/06/17 TheHackerNews — 中国と密接な関係にあると疑われるサイバー・スパイが、約３年間という長期間にわたり、東アジアの無名の組織に対して攻撃を続けていたことが判明した。この脅威アクターは、F5 BIG-IP のレガシー・アプライアンスを悪用して永続性を確立し、内部 C&C (command-and-control) として使用することで、セキュリティを回避していた。2023年の後半に、この活動に対応したサイバー・セキュリティ企業 Sygnia は、Velvet Ant という名前で追跡した結果として、迅速な機動力と対処策に適応する強力な能力を有すると分析している。

Microsoft が認めたセキュリティ施策の失敗：米政府委員会での Brad Smith 証言

Microsoft Admits Security Failings Allowed China to Access US Government Emails

2024/06/14 InfoSecurity — 2023年の夏に中国に支援されるハッカーが、米国政府高官の電子メールにアクセスしたインシデントについて、Microsoft の Brad Smith 社長はセキュリティ上の失策を認めた。2024年6月13日に開催された、米下院の国土安全保障委員会のメンバーへの証言で、Cyber Safety Review Board (CSRB) の報告書に記載された全ての問題に対して、Microsoft は “躊躇することなく” 責任を負うと、Smith 社長は述べている。

MS Office の古い脆弱性 CVE-2017-11882 を悪用：北朝鮮の Kimsuky がキーロガーを配信

North Korean Hackers Exploit Old Office Flaw to Deploy Keylogger

2024/06/13 SecurityOnline — 北朝鮮の国家支援グループ Kimsuky により、新たなサイバー・スパイ・キャンペーンが実施されていることを、AhnLab Security Emergency response Center (ASEC) が公表した。このグループは、Microsoft Office の数式エディタに存在する、既知の脆弱性 CVE-2017-11882 を悪用して、高度なキーロガーを配信している。

FortiOS／FortiProxy の脆弱性 CVE-2022-42475：中国 APT が 20,000台のデバイスに RAT を展開

Chinese hackers breached 20,000 FortiGate systems worldwide

2024/06/11 BleepingComputer — オランダ軍の情報セキュリティ局 (MIVD：Military Intelligence and Security Service) が 6月11日に公開したアラートは、2024年の初頭に公表中国のサイバースパイ・キャンペーンの影響が、これまで考えられていたよりも遥かに大きいと警告するものだ。2024年2月に MIVD は、オランダの情報機関である AIVD (Algemene Inlichtingen- en Veiligheidsdienst) との共同レポートで、この件について情報を公開している。同レポートによると、中国のハッカーは 2022〜2023年の数カ月間にわたり、Fortinet FortiOS／FortiProxy の深刻なリモート・コード実行の脆弱性 CVE-2022-42475 を悪用し、脆弱な Fortigate ネットワーク・セキュリティ・アプライアンスにマルウェアを展開していたという。

Niconico 動画にデータ侵害：関連サービスが一時停止に

Japanese Video-Sharing Platform Niconico Was Victim Of A Cyber Attack

2024/06/10 SecurityAffairs — 日本の動画共有プラットフォームであるニコニコ動画が、2024年6月8日に大規模なサイバー攻撃を受け、サービスを一時停止した。同社の発表は、「大規模なサイバー攻撃の影響により、6月8日の早朝からニコニコを利用できない状態が続いている」というものだ。

ThinkPHP の古い脆弱性 CVE-2018-20062／CVE-2019-9082：中国の脅威アクターに悪用される

Chinese Threat Actor Exploits Old ThinkPHP Flaws Since October 2023

2024/06/07 SecurityAffairs — ThinkPHP に存在する２つのリモート・コード実行の脆弱性 CVE-2018-20062／CVE-2019-9082 が、中国の脅威アクターに悪用されていることが、Akamai の研究者たちにより判明した。この、遅くとも 2023年10月から展開されているキャンペーンは、当初は限られた数の顧客／組織を標的としていたが、最近になって攻撃の対象を広げているという。この攻撃は、香港ベースの Zenlayer クラウド・プロバイダー (ASN 21859) にホストされている、各種サーバの IP アドレスから発信されていた。

D-Link NAS の脆弱性 CVE-2024-3273：EoL デバイスを狙う積極的な攻撃を観測

Hackers Actively Exploiting Critical D-Link NAS Vulnerability: 90,000+ Devices at Risk

2024/05/30 SecurityOnline — D-Link NAS の EOL (end-of-life) デバイス群に、深刻な脆弱性 CVE-2024-3273 が存在することが、サイバーセキュリティ企業 CYFIRMA からの緊急の警告により判明した。この脆弱性の CVSS 基本スコアは 9.8 であり、広範囲での悪用が懸念されている。

MITRE が公表した 2024年1月の攻撃：不正な VMS を用いて検知を回避

MITRE December 2023 Attack: Threat Actors Created Rogue VMS To Evade Detection

2024/05/25 SecurityAffairs — MITRE Corporation は、昨年末に発生した攻撃に関するアップデート情報を公開した。MITRE は、研究／試作ネットワークの１つにセキュリティ侵害があったことを、2024年4月に明らかにしている。同組織のセキュリティ・チームは速やかに調査を開始し、脅威アクターをログアウトさせ、サードパーティの DFIR (Forensics and Incident Response) チームに依頼し、社内の専門家たちと共同で独自の分析を実施した。

Telesquare ルーターの RCE 脆弱性 CVE-2024-29269：PoC エクスプロイトが公開

PoC Releases for Unauthorized RCE Flaw (CVE-2024-29269) Threatens 40K+ Telesquare Routers

2024/05/22 SecurityOnline — 韓国で広く使用されている Telesquare TLR-2005KSH LTE ルーターに、リモート・コード実行の脆弱性 CVE-2024-29269 が発見された。この脆弱性の悪用に成功した攻撃者は、リモートからのシステム・コマンド実行が可能になるため、サーバの完全な侵害につながる恐れがある。

Linux を標的とする OSS Pupy RAT：充実したポスト・エクスプロイト機能でアジアを狙う

Linux Systems Targeted: Open-Source Pupy RAT Exploited in Attacks Across Asia

2024/04/21 SecurityOnline — Pupy と呼ばれるパワフルな RAT (Remote Access Trojan) が、韓国を含むアジア全域の Linux システムを標的とした攻撃で積極的に武器化されている。AhnLab Security Emergency Response Center (ASEC) のセキュリティ研究者たちが、先日に発見したのは、Pupy の巧妙なオペレーションの存在であり、そこでは Decoy Dog という新たな亜種も用いられているという。

WordPress Forminator プラグインの深刻な脆弱性が FIX：Web サイトの侵害や機密データ流出の恐れ

Critical Vulnerabilities in Popular Forminator WordPress Plugin Put Hundreds of Thousands of Websites at Risk

2024/04/17 SecurityOnline — 広く使用されている WordPress Forminator プラグインに、複数の重大な脆弱性があることが JVN のセキュリティ・アドバイザリにより明らかになった。これらの脆弱性の悪用に成功した攻撃者は、Web サイトを侵害し、機密データを盗み、サービスに障害を引き起こす可能性を持つ。

Windows Kernel の脆弱性 CVE-2024-21338 に PoC：2024年2月の月例パッチを確認！

PoC Exploit Released for 0-day Windows Kernel Elevation of Privilege Vulnerability (CVE-2024-21338)

2024/04/15 SecurityOnline — 国家に支援される北朝鮮のハッキンググループ Lazarus が悪用した、危険なゼロデイ脆弱性 CVE-2024-21338 の技術的詳細と概念実証 PoC エクスプロイトコードが、最近になってセキュリティ研究者たちから公開された。この脆弱性は Windows カーネル自体に存在し、攻撃者に対してシステムレベルでの制御を許し、セキュリティ・ツールの無効化も可能となる。

HOYA へのサイバー攻撃：Hunters International が $10 M の身代金を要求

Optics giant Hoya hit with $10 million ransomware demand

2024/04/11 BleepingComputer — 3月29日に、HOYA へのサイバー攻撃が発生した。攻撃を行った Hunters International は、ファイル復号化装置と攻撃中に盗み出したファイルに対して、$10 million の身代金を要求しているという。HOYA は、光学機器／医療機器／電子部品に特化した日本企業であり、世界 30カ国以上に 160の事業所と子会社を持ち、世界各地に 43の研究所を保有している。

LG Smart TV に４つの脆弱性：90,000台以上の TV が危険に晒されている

Over 90,000 LG Smart TVs may be exposed to remote attacks

2024/04/09 BleepingComputer — LG Smart TV で使用されている、WebOS の複数のバージョンに影響を及ぼす４つの脆弱性を、Bitdefender のセキュリティ研究者たちが発見した。これらの脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で、さまざまなレベルでの不正アクセスやの制御を行い、認証バイパス／権限昇格／コマンド・インジェクションなどを可能にするとされる。

Ivanti 製品の脆弱性：中国系のハッカーが新たな TTP を開発している

Chinese Threat Actors Deploy New TTPs to Exploit Ivanti Vulnerabilities

2024/04/05 InfoSecurity — Ivanti の脆弱性を悪用した後に、横方向へと移動する新しいテクニックを、中国の脅威アクターたちが開発していることが、Mandiant の新しい調査により明らかになった。4月4日付けのブログ記事で Mandiant は、中国と関連があると疑われる５つのスパイ・グループの活動について詳述している。Ivanti の Connect Secure／Policy Secure ゲートウェイでは、脆弱性 CVE-2023-46805／CVE-2024-21887／CVE-2024-21893 の悪用が既に発見／報告されているが、この活度は、その後に続くものである。

Ivanti の新たな脆弱性 CVE-2024-21894：日本の存在する危険なインスタンスは 2,000 ？

New Ivanti RCE flaw may impact 16,000 exposed VPN gateways

2024/04/05 BleepingComputer — インターネット上に公開されている Ivanti の Connect Secure／Poly Secure ゲートウェイ約 16,500 台に、リモートコード実行 (RCE) の脆弱性が存在する可能性がある。今週初めにベンダーが対処した、この脆弱性 CVE-2024-21894 は、Ivanti Connect Secure 9.x／22.x の IPSec コンポーネントに存在する、深刻度の高いヒープオーバーフローに起因するものだ。認証されていないユーザーが、特別に細工したリクエストを送信することにより、サービス拒否 (DoS) やリモートコード実行にいたる可能性がある。

HOYA で発生したサイバー侵害：一部の生産工場と事業部門のサーバがオフラインに

Hoya’s optics production and orders disrupted by cyberattack

2024/04/04 BleepingComputer — 世界最大級の光学製品メーカーである HOYA が発表したのは、3月29日 (土) に発生したシステム障害により、一部の生産工場と事業部門のサーバがオフラインになったことである。同社は、30カ国以上に展開される 160ヶ所の事業所と子会社で 37,000人以上の従業員を擁し、また、世界中に偏在する 43ヶ所の研究所ネットワークを運営している。

UNC5174 という中国ハッカー：F5／ScreenConnect の脆弱性を悪用して攻撃を展開

Chinese State-Linked Hackers Target Critical Systems; Exploit F5 and ScreenConnect Flaws

2024/03/22 SecurityOnline — UNC5174 という新たな脅威アクターが、ゼロデイおよび最近にパッチが適用された脆弱性を悪用して、一連の標的型侵入を仕掛けていることが、Mandiant のレポートにより明らかになった。同グループの活動は、技術力の高い標的攻撃により、特に政府／防衛／学術などの分野における、価値の高い組織をターゲットにするものだ。

Earth Krahang は中国由来の APT：ありきたりの OSS ツールで 48の政府機関を侵害

Chinese APT ‘Earth Krahang’ Compromises 48 Gov’t Orgs on 5 Continents

2024/03/19 DarkReading — これまで正体不明だった、中国のスパイ・グループが特定された。このフループは、標準的な TTP (Tactics／Techniques／Procedures) を用いながらも、23カ国の少なくとも 70組織への侵入に成功したが、そこには政府機関の 48組織も含まれていたという。Earth Krahang は、高レベルの軍事 APT ではないようだ。Trend Micro の研究者たちは新たなレポートの中で、中国共産党 (CCP) が契約した、民間のハッカー雇用オペレーションである、iSoon の一部である可能性を示唆している。

富士通で発生したデータ侵害：個人情報や顧客情報が盗まれた可能性

Fujitsu Suffered A Malware Attack And Probably A Data Breach

2024/03/18 SecurityAffairs — 3月22日に富士通が発表したのは、マルウェア攻撃を受けた同社が、個人情報や顧客情報を脅威アクターに盗まれた可能性があるというものだ。日本の大手テクノロジー企業である富士通は、社内の複数の業務用コンピュータがマルウェアに感染し、影響を受けたシステムをネットワークから遮断したとしている。このインシデントについて、同社が調査を行ったところ、個人情報や顧客情報を含むファイルが、脅威アクターにより流出した可能性があると判明したという。

中国のハッカー Evasive Panda：水飲み場とサプライチェーンを組み合わせる戦術とは？

China-Linked Cyber Spies Blend Watering Hole, Supply Chain Attacks

2024/03/07 DarkReading — 中国の脅威グループによる標的型の水飲み場攻撃により、仏教フェスティバルの Web サイト訪問者とチベット語翻訳アプリのユーザーが、MgBot マルウェアなどに感染したことが判明した。ESET の新しい調査によると、ハッキング・チームである Evasive Panda のサイバー作戦キャンペーンが、2023年9月以前に開始されており、インド／台湾／オーストラリア／米国／香港などのシステムに影響を与えたという。

ScreenConnect の脆弱性 CVE-2024-1708／CVE-2024-1709：マルウェアの投下に悪用されている

ScreenConnect flaws exploited to drop new ToddleShark malware

2024/03/04 BleepingComputer — 北朝鮮の APT ハッキング・グループである Kimsuky は、ScreenConnect の脆弱性を、特に CVE-2024-1708／CVE-2024-1709 を悪用して、ToddleShark という新しいマルウェアの亜種をターゲットに感染させている。Kimsuky (別名 Thallium／Velvet Chollima) は、北朝鮮の国家支援ハッキング・グループであり、世界中の組織や政府に対するサイバー・スパイ攻撃で知られている。

台湾の中華電信でデータ侵害が発生：軍事文書／政府文書などが窃取された

Threat Actors Hacked Taiwan-Based Chunghwa Telecom

2024/03/04 SecurityAffairs — 中華電信 (Chunghwa Telecom Company, Ltd.) は、台湾最大の総合電気通信サービス・プロバイダーであり、同国のローカル・エクスチェンジ・キャリアとして、PSTN／モバイル／ブロードバンド・サービスなどを提供している。その中華電信から、軍事文書や政府文書を含む機密情報が、脅威アクターにより窃取されたことを、台湾の国防省が明らかにした。この脅威アクターは、政府関連の契約書類を含む 1.7 TB のデータを盗み出したと主張しているという。

Microsoft のゼロデイ CVE-2024-21338：Lazarus の Rootkit 攻撃で悪用される

Microsoft Zero-Day Used by Lazarus in Rootkit Attack

2024/03/01 DarkReading — Microsoft のアプリケーション・ホワイトリスト・ソフトウェア AppLocker の、ゼロデイ脆弱性は修正されている。しかし、北朝鮮に支援される Lazarus Group が実施する、ルートキット型サイバー攻撃において、この脆弱性が悪用されることは防げなかった。Avast の研究者たちの説明によると、Microsoft Windows のゼロデイ脆弱性 CVE-2024-21338 を発見した Lazarus は、FudModule と呼ばれる独自のルートキット・マルウェアの更新版を介して、Admin から Kernel へと権限を引き上げたという。

Ivanti Connect Secure VPN の脆弱性：中国由来ハッカーによるマルウェア展開で悪用

State-sponsored hackers know enterprise VPN appliances inside out

2024/02/29 HelpNetSecurity — Ivanti Connect Secure VPN の脆弱性を悪用して、さまざまな組織に侵入している、中国の国家支援ハッカーと思われるグループ UNC5325 は、アプライアンスに精通しているようだと、Mandiant のインシデント対応者や脅威ハンターたちは述べている。このハッカーたちは、デバイス上で数多くの改ざんを行っていた。さらに、システムのアップグレード／パッチ適用／工場出荷状態リセットなどの対策に影響されることなく、侵入した環境での永続性を獲得するために、UNC5325 は特殊なマルウェアやプラグインの展開も成功させていた。

JPCERT/CC 警告：北朝鮮のハッカー Lazarus が悪意のパッケージを PyPI にアップロード

Japan warns of malicious PyPi packages created by North Korean hackers

2024/02/28 BleepingComputer — JPCERT/CC (Japan’s Computer Security Incident Response Team) の警告は、悪名高い北朝鮮のハッキング・グループ Lazarus が、開発者をマルウェアに感染させる４つの悪意の PyPI パッケージをアップロードしたというものだ。PyPI (Python Package Index) は、オープンソースのソフトウェア・パッケージのリポジトリだ。ソフトウェア開発者たちは、多種多様なパッケージを Python プロジェクトで利用することで、最小限の労力でプログラムに機能を追加していく。

GoldPickaxe は iOS トロイの木馬：APAC のバンキングを狙っている

iOS Trojan Collects Face and Other Data for Bank Account Hacking

2024/02/19 SecurityWeek — 被害者の銀行口座から現金を盗む際に必要とされる、情報を取得するために設計された新しい iOS トロイの木馬を、中国のサイバー犯罪グループが配布していることを、サイバーセキュリティ企業 Group-IB の研究者たちが発見した。この GoldFactoryとして追跡されているマルウェアは、2023年に発見されたものであり、APAC 地域を標的としていると推測され、現在までにタイやベトナムで攻撃が行われているようだ。

Canon プリンターの７つの深刻な脆弱性：RCE／DoS攻撃が生じる恐れ

Canon Warns of Critical Vulnerabilities in Printers: RCE & DoS Attacks

2024/02/05 SecurityOnline — 日本の画像処理／光学製品の大手である Canon の、オフィス／スモール・オフィス向け多機能プリンター／レーザープリンターに、７つの深刻なセキュリティ脆弱性が発見された。これらの脆弱性は、ビジネスを混乱させ、機密情報を危険にさらす可能性がある。

三菱電機の FA 製品に脆弱性：米 CISA もアドバイザリを提供

Mitsubishi Electric Factory Automation Flaws Expose Engineering Workstations

2024/02/05 SecurityWeek — 日本における電子／電気機器会社である、三菱電機が製造したファクトリー・オートメーション製品に、深刻な脆弱性が２件見つかった。先週に発表されたアドバイザリで三菱電機は、いくつかのファクトリー・オートメーション (FA) 製品に、深刻度の高い認証バイパスとリモートコード実行の、脆弱性の影響が生じると発表した。影響を受ける製品には、EZSocket／FR Configurator2／GT Designer3／GX／MT Works／MELSOFT Navigator／MX などが含まれる。

Ivanti VPN 上でポスト・エクスプロイト・マルウエアを観測：中国由来の APT UNC5221 の活動と重複

Warning: New Malware Emerges in Attacks Exploiting Ivanti VPN Vulnerabilities

2023/02/01 TheHackerNews — Ivanti の Connect Secure VPN／Policy Secure デバイスを標的とするポスト・エクスプロイトの活動において、UNC5221 という中国由来のスパイ・アクターなどが採用する新たなマルウェアを確認したと、Google 傘下の Mandiant が発表した。それらのマルウエアに含まれるのは、BUSHWALK／CHAINLINE／FRAMESTING／LIGHTWIRE などの、カスタム Web シェルの亜種である。

FakeAPP という不正広告キャンペーン：偽の Google Ads で Line ユーザーも標的に！

Malicious Ads on Google Target Chinese Users with Fake Messaging Apps

2024/01/26 TheHackerNews — Google Ads で展開されている、Telegram などのメッセージング・アプリの不正広告キャンペーンにより、中国語圏のユーザーが狙われているという。1月25日のレポートで Malwarebytes の Jerome Segura は、「この脅威アクターは、Google の広告主アカウントを使用して悪意の広告を作成し、無防備なユーザーを RAT (Remote Administration Trojan) のダウンロード・ページに誘導している。この種の RAT は、攻撃者による被害者マシンの完全なコントロールを達成し、追加のマルウェアをドロップする能力を与える」と述べている。

Blackwood という APT：WPS Office などのアップデートから NSPX30 マルウェアを配布

Blackwood hackers hijack WPS Office update to install malware

2024/01/25 BleepingComputer — Blackwood という新たな APT (advanced threat actor) が、企業や個人に対するサイバースパイ攻撃のために、NSPX30 と呼ばれる高度なマルウェアを使用していることが判明した。この脅威アクターは、遅くとも 2018年から活動しており、中間者攻撃 (AitM：Adversary-in-the-Middle) に加えて、単純なバックドアに根ざしたコードベースを持つ、インプラントである NSPX30 マルウェアを 2005年から利用している。

VMware の脆弱性 CVE-2023-34048：2021年から中国の APT がゼロデイとして悪用

China-Linked Apt UNC3886 Exploits VMware Zero-Day Since 2021

2024/01/19 SecurityAffairs — 中国由来の APT グループ UNC3886 が、遅くとも 2021年後半から、VMware vCenter Server のゼロデイ脆弱性 CVE-2023-34048 を悪用していることが、Mandiant の研究者たちにより報告された。vCenter Server は、VMware の仮想化およびクラウド・コンピューティング・ソフトウェア群の重要なコンポーネントであり、VMware の仮想化データセンターのための、集権的かつ包括的な管理プラットフォームとして機能している。

Panasonic の航空機通信システム：インシデントから１年を経て個人情報漏洩が判明

Panasonic discloses data breach after December 2022 cyberattack

2023/12/27 BleepingComputer — 航空機向けの機内通信とエンターテインメントのシステムを手掛ける Panasonic Avionics Corporation は、1 年以上前の 2022 年 12 月に発生した企業ネットワーク侵入の後に、多数の個人に影響を与えるデータ侵害に至っていたことを明らかにした。同社の企業ネットワーク上のデバイスの一部に侵入した攻撃者は、影響を受けた組織と個人から収集された情報に、不正アクセスしたとされる。

CISA KEV 警告 23/12/21：QNAP NVR の CVE-2023-47565 の積極的な悪用

CVE-2023-47565 Flaw in QNAP NVR Devices Exploited in the Wild

2023/12/27 SecurityOnline — QNAP の VioStor Network Video Recorder (NVR) 機器に存在する深刻な脆弱性を、先日に Akamai の Security Intelligence Response Team (SIRT) が発見した。洗練された監視ソリューションが増加するデジタル社会の中で、刻々と差し迫るサイバー・セキュリティのリスクを、この積極的に悪用されている脆弱性が再認識させている。

Yakult の豪法人にデータ侵害：DragonForce が 95 GB のデータ取得を主張

Yakult Australia confirms ‘cyber incident’ after 95 GB data leak

2023/12/27 BleepingComputer — 乳飲健康飲料メーカーである Yakult Australia は、サイバー・インシデントが発生したことついて、 BleepingComputer への声明で認めている。同社におけるオーストラリアとニュージーランドの IT システムが、その影響を受けている。サイバー攻撃を主張する DragonForce は、Yakult が所有する 95GB のデータを流出させたとのことだ。1935年に日本で発明され、現在では世界中で販売されている Yakult は、生きたバクテリア入りの発酵加糖乳飲料であり、消化と免疫システムをサポートするために飲まれている。

Buffalo VR-S1000 VPN ルーターの脆弱性が FIX：PoC エクスプロイトも公開

The Urgent Need to Patch Buffalo’s VR-S1000 VPN Router

2023/12/27 SecurityOnline — デジタル時代に入り、中小企業のインターネットへの依存度はますます高まっている。そして、このようなインターネットへの依存に伴い、サイバー脅威に対する脆弱性も高まっている。最近、Buffalo の VPN ルーター VR-S1000 BroadStation Pro に複数のセキュリティ脆弱性が発見されたことは、サイバー・セキュリティへの警戒が極めて重要であることを浮き彫りにしている。

Nissan Australia のデータ侵害：Akira ランサムウェアが 100GB のファイルを盗んだと主張

Akira Ransomware Gang Claims The Theft Of Sensitive Data From Nissan Australia

2023/12/22 SecurityAffairs — Akira ランサムウェアは、Nissan Australia に侵入し、同社から約 100GB のファイルを盗んだと主張している。Nissan が身代金の支払いを拒否したことで、Akira は、プロジェクトデータ／顧客情報／パートナー情報／NDA などの盗み出したとする文書を漏らすと脅している。