AuthN AuthZ – Page 12 – IoT OT Security News

GitHub のシークレット・スキャン・アラートが正式運用：誰もが犯す間違いを自動的にチェック

GitHub’s secret scanning alerts now available for all public repos

2023/03/01 BleepingComputer — GitHub が発表したのは、すべての公開リポジトリにおいて、シークレット・スキャン・アラート・サービスが利用できるようになり、公開履歴全体にわたって流出したシークレットを検出できるようになったことだ。このシークレットとは、GitHub のリポジトリに誤って追加された APIキー／アカウントパスワード／認証トークンなどの機密データであり、攻撃者によるセキュリティ侵害や非公開データへのアクセスなどへといたる可能を生じるものだ。

多要素認証 (MFA) バイパス：３種類の侵入ベクターについて解説する

Cyberattackers Double Down on Bypassing MFA

2023/03/01 DarkReading — 企業が従業員や顧客に対して、より強固なセキュリティを企業が求めるにつれて、攻撃者たちは多要素認証 (MFA) の回避を進化させてきた。今週に発表された、サイバー・セキュリティ企業 LastPass におけるデータ漏洩や、２月の初めに発表されたソーシャルメディア・サービス Reddit における侵害のように、この種の侵害発生は、着実に増加している。

SaaS 内の資産は混乱している：3rd／4th パーティとの共有状況を定量化する

Public SaaS Assets Are a Major Risk For Medium, Large Firms

2023/03/01 InfoSecurity — 中堅企業の 81％および大手企業の 78％が、Google Drive/Workspace に暗号化ファイルを保存している。また、61% の組織には、会社が所有の資産を個人のメールで共有する従業員がいる。この調査結果は、DoControl の最新レポート Software-as-a-Service (SaaS) Security Threat Landscape から得られたものであり、機密資産の人手による追跡が、これまで想像されていた以上に複雑になる可能性を示唆している。

LastPass のデータ侵害：エンジニアの自宅 PC が企業ストレージへの侵入経路に

LastPass breach: Hacker accessed corporate vault by compromising senior developer’s home PC

2023/02/28 HelpNetSecurity — 2022年8月に発生した LastPass の開発環境への侵害と、その後に発生したバックアップ・ホストのサードパーティ・クラウド・ストレージ・サービスへの不正アクセスに関して、同社から顧客へを通知が改めて行われた。同社の通知には、「脅威アクターたちは、最初のインシデントで盗み出した情報や、サードパーティのデータ漏えいから得た情報に加えて、サードパーティのメディア・ソフトウェア・パッケージの脆弱性などを悪用することで、協調的な第２の攻撃を開始した」と記されている。２つの侵害の影響は壊滅的であり、盗まれた／危険にさらされたデータと、機密情報のリストは広範囲に及んでいる。

SaaS-to-SaaS 接続のリスク：人々の認識よりも遥かに根深い問題とは？

Shocking Findings from the 2023 Third-Party App Access Report

2023/02/27 The Hacker News — SaaS である M365 と Google Workspace を使用する 10,000人のユーザーを抱える組織では、平均で 4,371 以上の接続アプリが追加されている。世界中の組織で、サードパーティ製 SaaS-to-SaaS アプリのインストールが止まらなくなってきた。効率や生産性を高めるために、従業員たちが追加のアプリを必要とするとき、ほとんど考えることなくインストールするのが一般的になっている。大半の従業員は、コンテンツの読取／更新／作成／削除などのスコープを必要とする、この SaaS-to-SaaS 接続により、組織の攻撃対象領域が大幅に拡大することに気づいていない。

NLBrute パスワード・クラッキング攻撃：ダークウェブでのビジネス実態が明らかに

Russian malware dev behind NLBrute hacking tool extradited to US

2023/02/23 BleepingComputer — パスワード・クラッキング・ツール NLBrute を開発／販売した罪に問われていたロシアのマルウェア開発者が、2022年10月4日にジョージア共和国で逮捕され、米国に身柄を引き渡された。この容疑者 Dariy Pankov は、dpxaker という名でも知られている。彼は現在、アクセス機器詐欺およびコンピュータ詐欺で起訴されており、全ての訴因で有罪判決を受けた場合には、最高で 47年間におよぶ連邦刑務所への収監の可能性があるという。

APAC のデータセンターが標的：新たなサイバー攻撃の証拠が発見された

Resecurity warns about cyber-attacks on data center service providers

2023/02/21 SecurityAffairs — カリフォルニアに拠点を置くサイバー・セキュリティ企業の Resecurity は、複数のデータセンターに対して、それらの組織と顧客を標的としたサイバー攻撃に関する警告を。 2021年9月から発してきたことを公表した。同社は最新のレポートで、通知の対象とされた組織は、サプライチェーンの重要な部分として機能しており、国家支援 APT／犯罪者／サイバー・スパイグループなどの格好のターゲットだと述べている。この、Resecurity による通知の詳細は、さらなる分析とリスク軽減のために、影響を受けた当事者および、中国／シンガポール政府の緊急対応チームと共有された。さらに、2022年と 2023年1月にアップデートされた同通知は、発見されたデータセットに Fortune 500 の大企業が多数存在していたことから、米国の法執行機関とも共有された。

Twitter が SMS 2FA を廃止：iOS AutoFill や Google Auth などは利用可能とのこと

Twitter Shuts Off Text-Based 2FA for Non-Subscribers

2023/02/20 SecurityWeek — Elon Musk の Twitter だが、有料の Twitter Blue サービス・サブスクリプション以外のユーザーを対象にして、TEXT／SMS 方式の２要素認証 (2FA) 停止を突然決定し、この週末に騒動を引き起こした。2023年2月17日 (金) の遅くに Twitter は、「電話番号ベースの 2FA は、歴史的に人気のある 2FA 形式だが、残念なことに、悪意ある者により悪用される状況を目の当たりにしてきた。そこで本日から、Twitter Blue をサブスクリプションしていないアカウントに対しては、TXT／SMS 方式 2FA の登録させないようにする」と発表している。

GoDaddy でデータ侵害が発生：不正アクセスは数年前から始まっていた

GoDaddy: Hackers stole source code, installed malware in multi-year breach

2023/02/17 BleepingComputer — Web ホスティング大手の GoDaddy の発表は、数年にわたる攻撃により cPanel 共有ホスティング環境が侵害され、未知の攻撃者にソースコードを盗み出され、サーバにマルウェアをインストールされるという侵害に遭ったというものだ。GoDaddy がセキュリティ侵害を発見したのは、自社のサイトがランダムなドメインへのリダイレクトに利用されているという、顧客からの報告を受けた 2022年12月上旬のことだった。しかし攻撃者の不正アクセスは、その数年前から発生していたという。

PayPal のメール・アカウントを悪用する偽請求書：その見破り方と対処法は？

Hackers Leverage PayPal to Send Malicious Invoices

2023/02/16 InfoSecurity — オンライン決済プラットフォーム PayPal を悪用して、偽の請求書をユーザーに対してダイレクトに送信する、脅威アクターの存在が確認された。この最新のキャンペーンは、Check Point 傘下 Avanan のセキュリティ研究者により発見されたものだが、従来からのキャンペーンとは全く異なるものだとされる。今日のアドバイザリには、「これは、PayPal に成りすます攻撃とは異なるものだ。つまり、PayPal からダイレクトに送られてくる悪質な請求書である」と記されている。

Atlassian で発生した情報流出：サプライチェーン内で責任転嫁が始まった

Atlassian says recent data leak stems from third-party vendor hack

2023/02/16 BleepingComputer — Atlassian におけるデータが流出だが、サードパーティへの侵害が原因であり、同社のネットワークと顧客情報は安全であることが確認された。すでに Cyberscoop が報じているように、オーストラリアに拠点を置くコラボレーション・ソフトウェア会社 Atlassian から盗んだと主張するデータを、SiegedSec という名のハッキング・グループが昨日に Telegram で流出させた。

MagicWeb という AD FS 狙いのマルウェア：ロシアの国家支援ハッカー Nobelium が開発

MagicWeb Mystery Highlights Nobelium Attacker’s Sophistication

2023/02/11 DarkReading — ロシアに関連する Nobelium グループが開発した、Active Directory Federated Services (AD FS) に対する高度な認証バイパス・マルウェアを、Microsoft が検出した。この、Microsoft が MagicWeb と呼ぶ Nobelium のマルウェアは、ユーザーの AD FS サーバにバックドアを埋め込み、特別に細工した証明書を使用して通常の認証プロセスを迂回させるものだ。Microsoft のインシデント対応担当者は、認証フローのデータを収集し、攻撃者が使用した認証証明書をキャプチャし、バックドアコードをリバース・エンジニアリングした。

Microsoft WinGet Package Manager がダウン：CDN の SSL 期限切れが原因

Microsoft WinGet package manager failing from expired SSL certificate

2023/02/11 BleepingComputer — Microsoft WinGet Package Manager で発生した問題は、WinGet CDN の SSL／TLS 証明書の有効期限が切れた後の、パッケージのインストール／アップグレードに関するものだ。2020年5月にオープンソースとしてリリースされた Windows Package Manager (WinGet) は、コマンドラインからユーザーが、ダイレクトにアプリケーションをインストールするためのものだ。

NIST が選んだ IoT デバイス向けの軽量暗号 ASCON：伝送中のデータの保護が目的

NIST chooses encryption algorithms for lightweight IoT devices

2023/02/09 HelpNetSecurity — 米国の National Institute of Standards and Technology (NIST) が発表したのは、IoT デバイス (エンベッド型医療機器／キーレスエントリー／スマートホームなど) が生成するデータを保護するための、軽量認証暗号化およびハッシュ・アルゴリズムに付けられた ASCON というグループ名である。ASCON のラベルの下には、７種類アルゴリズムが集められているが、今年の後半に NIST が発表するとしている、最終的な成果に含まれないものもある。

TOYOTA サプライヤー・ポータルに侵入：機密データへのアクセス方法を研究者が報告

Researcher breaches Toyota supplier portal with info on 14,000 partners

2023/02/07 BleepingComputer — トヨタ自動車の Global Supplier Preparation Information Management System (GSPIMS) が、セキュリティ研究者により侵入され、その結果が同社に報告されたことが明らかになった。 GSPIMS は、従業員やサプライヤーがリモートでログインし、トヨタのグローバル・サプライチェーンを管理する、自動車メーカーのための Web アプリケーションである。この研究者が、EatonWorks というペンネームで発表したのは、トヨタのシステムに存在するバックドアの発見と、電子メールさえ知っていれば、誰もが既存のユーザー・アカウントにアクセスできるという現状である。

KeePass のパスワード窃取の脆弱性 CVE-2023-24055：開発者は反論を唱える

KeePass disputes vulnerability allowing stealthy password theft

2023/01/30 BleepingComputer — オープンソースのパスワード管理ソフトである KeePass に、攻撃者がデータベース全体を平文で密かにエクスポートできる、新たな脆弱性が発見された。しかし、KeePass の開発チームは、この発見に対して異議を唱えている。KeePass は人気のオープンソース・パスワード管理ソフトだが、LastPass／Bitwarden のようなクラウド・ホスティングのものではなく、ローカルに保存されたデータベースを使用してパスワードの管理を行うものだ。

GitHub から盗まれたコード署名証明書：Desktop／Atom 版が 2月2日に失効

GitHub revokes code signing certificates stolen in repo hack

2023/01/30 BleepingComputer — 未知の攻撃者が GitHub の開発とリリース計画にリポジトリにアクセスし、Desktop／Atom アプリケーションの暗号化されたコード署名証明書を盗み出したとのことだ。GitHub によると、盗み出されてしまったパスワード保護された証明書 (Apple Developer ID 証明書１枚と Windows アプリに使用される Digicert コード・サイニング証明書２枚) が、悪意の目的で使用されたという証拠は、これまでのところ発見されていない。

Facebook／Instagram の 2FA バイパスが FIX：バグ報奨金は $27,000

Researcher received a $27,000 bounty for 2FA bypass bug in Facebook and Instagram

2023/01/30 SecurityAffairs — Instagram／Facebook に影響を与える２要素認証 (2FA) バイパスの脆弱性を報告したことで、研究者の Gtm Manoz は $27,000 のバグバウンティを得た。この脆弱性は、電話番号／メールアドレスの確認のために、親会社である Meta が使用しているコンポーネントに存在する。Mänôz は、このソフトウェアがレート制限の保護メカニズムを実装していないことに気づいた。そして、Meta Accounts Center を使用して、ターゲット・ユーザーの認証済み Facebook 携帯電話番号を確認することで、Facebook の２要素認証を回避した。

Windows CryptoAPI の脆弱性 CVE-2022-34689：PoC エクスプロイトが公開

Researchers release PoC exploit for critical Windows CryptoAPI bug (CVE-2022-34689)

2023/01/26 HelpnetSecurity — Akamai の研究者たちが、公開キー証明書を検証する Windows CryptoAPI に存在する、深刻な脆弱性 CVE-2022-34689 に対する PoC エクスプロイトを公表した。この Windows／Windows Server に影響する脆弱性は、2022年10月に修正プログラムが公開されている。その際に Microsoft は、「攻撃者は既存の公開証明書 x.509 を操作して身元を偽り、認証／コード署名などのアクションを、本物の証明書を持っているかのように実行できる」と説明していた。

GoTo で発生したデータ侵害：暗号化されたバックアップや MFA 設定などを窃取

GoTo Says Hackers Stole Encrypted Backups, MFA Settings

2023/01/24 SecurityWeek — IT マネージメント・ソフトウェアを提供する GoTo は、2022年に発生した LastPass 関連会社に影響を及ぼしたセキュリティ侵害において、暗号化されたバックアップと一部の暗号化キーが、正体不明の脅威アクターに盗まれたと発表した。GoTo の CEO である Paddy Srinivasan は、このセキュリティ侵害が、当初の報告よりもはるかに深刻であることを認めている。具体的に言うと、アカウントのユーザー名および、ソルト化／ハッシュ化されたパスワード、MFA 設定の一部に加えて、一部製品のコンフィグレーション／ライセンス情報が盗まれたようだ。

CISA KEV 警告 23/01/23：Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966 を追加

CISA warns of critical ManageEngine RCE bug exploited in attacks

2023/01/23 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Zoho ManageEngine 製品群の大半に影響を及ぼすリモートコード実行 (RCE) を、野放し状態で悪用されているとして KEV カタログに追加した。この脆弱性 CVE-2022-47966 は、2022年10月27日から製品ごとにパッチが適用されている。SAML ベースのシングルサインオン (SSO) が有効である場合や、一度でも有効であった場合に、未認証の脅威アクターに悪用され、任意のコード実行にいたる恐れがある。

PayPal ユーザー 35,000 人の個人情報に不正アクセス：クレデンシャル・スタッフィングの可能性大

Massive Credential Stuffing Campaign Hits 35,000 PayPal Users

2023/01/20 InfoSecurity — 今週に PayPal が公表したのは、2022年12月に発生したアカウントへの不正アクセスと、米国の数万人の顧客に対して通知が行われたことだ。この不正アクセスは、12月6日〜12月8日に発生し、その後に事態を把握した同社は、脅威となった人物によるアクセスを排除した。PayPal からメイン州司法長官事務所に提出された侵害通知書には、「この間において、不正な第三者が、特定の PayPal ユーザーの個人情報の一部を閲覧し、取得した可能性がある」と記されている。

CircleCI のデータ侵害：セッションクッキーが窃取され 2FA が突破された

Malware Attack on CircleCI Engineer’s Laptop Leads to Recent Security Incident

2023/01/14 TheHackerNews — 2023年1月13日に DevOps プラットフォームの CircleCI が明らかにしたのは、昨年12月に未知の脅威アクターが従業員のラップトップを侵害し、マルウェアを用いて２FA 認証に裏付けられた認証情報を盗み出し、同社システムに侵入しデータを侵害したことだ。CI/CD サービスの CircleCI によると、この高度な攻撃は、2022年12月16日に行われ、そこで用いられたマルウェアを、同社のウイルス対策ソフトウェアは検出できなかったとのことだ。

CircleCI／LastPass／Okta／Slack が狙われる：サプライチェーン攻防の要は ID 管理と開発環境だ

CircleCI, LastPass, Okta, and Slack: Cyberattackers Pivot to Target Core Enterprise Tools

2023/01/14 DarkReading — 開発パイプライン・サービスを提供する CircleCI が、１月上旬にセキュリティ侵害について警告し、同社のプラットフォーム上に保存／管理されている、パスワードや SSH キーなどの機密情報などを、直ちに変更するようユーザー企業に呼びかけている。CircleCI は、DevOps サービスへの攻撃から生じる、侵害範囲の特定／ソフトウェア改ざんの抑制／開発機密の侵害の特定などに躍起になっていた。具体的に言うと、認証トークンのローテーション／コンフィグレーションの変更／他のプロバイダーとの連携によるキーの失効／インシデント調査などを、同社は進めてきた。

NortonLifeLock の Password Manager アカウントに侵害が発生：PW の使い回しが原因？

NortonLifeLock warns that hackers breached Password Manager accounts

2023/01/13 BleepingComputer — Gen Digital (旧 Symantec Corporation、NortonLifeLock) が顧客に送付したデータ侵害通知は、ハッカーによるクレデンシャル・スタッフィング攻撃で、Norton Password Manager アカウントの侵害に成功したことを知らせるものだ。バーモント州司法長官事務所に提出された書簡のサンプルによると、この攻撃の原因は、同社への侵入ではなく、他のプラットフォームでのアカウント侵害によるものとのことだ。

Amazon S3 上で AES-256 暗号化がデフォルト適用：新規／既存データの保護を強化

Amazon S3 will now encrypt all new data with AES-256 by default

2023/01/06 BleepingComputer — Amazon Simple Storage Service (S3) では、サーバ側でバケットに追加された全ての新規オブジェクトが、デフォルトで用いられる AES-256 により自動的に暗号化されるようになった。AWS におけるサーバ側での暗号化システムは、10年以上も前から利用可能だったが、それがデフォルトで有効化され、セキュリティが強化された。したがって、新しい暗号化システムによるバケット保護のための、AWS 管理者によるアクションは不要であり、また、パフォーマンスに悪影響が生じることもないと、Amazon は指摘している。

Slack の GitHub コード・リポジトリで侵害が発生：従業員トークンの窃取が原因

Slack’s private GitHub code repositories stolen over holidays

2023/01/05 BleepingComputer — 年末年始の休暇中に、Slack の GitHub プライベート・コード・リポジトリの一部に影響を与える、セキュリティ・インシデントが発生した。Salesforce が所有する IM アプリである Slack は、世界中の職場やデジタル・コミュニティで、推定 1800万人のユーザーに利用され、絶大な人気を誇っている。BleepingComputer は、2022年12月31日に Slack が発行したセキュリティ・インシデント通知を目にした。このインシデントでは、脅威アクターが限られた数の Slack 従業員トークンを盗み、Slack の外部でホストされている GitHub リポジトリにアクセスしたという。

WhatsApp がプロキシのサポートを開始：インターネット遮断を回避する

WhatsApp adds proxy support to help bypass Internet blocks

2023/01/05 BleepingComputer — 今日から WhatsApp は、インターネットが遮断された場合や、政府によるサービス・ブロックに直面した場合に、プロキシ・サーバ経由で接続できるようになった。この新しいプロキシ・サポート・オプションは、最新の WhatsApp iOS／Android アプリを利用している全てのユーザーに提供される。WhatsApp によると、プロキシ経由で接続しても、メッセージは End-to-End の暗号化で保護されるため、プライバシーとセキュリティは維持されるという。そのため、プロキシ・サーバ運営者／Meta／WhatsApp などの第三者が、メッセージの内容にアクセスすることはできず、ユーザーと受信者だけがメッセージを読むことができるようになる。

Automated Libra という脅威：GitHub CAPTCHA のバイパスで 20,000 アカウントを作成

Hackers use CAPTCHA bypass to make 20K GitHub accounts in a month

2023/01/05 BleepingComputer — Automated Libra と呼ばれる南アフリカの脅威アクターは、クラウド・プラットフォームのリソースを悪用した、暗号通貨マイニングから利益を得る手法を進化させている。Palo Alto Networks Unit 42 によると、この脅威アクターは、新しい CAPTCHA 解決システムをマイニングに用いて、CPU リソースを積極的に悪用している。また、Feejacking と Play and Run を組み合わせて、クラウド・リソースを無料で乱用しているとのことだ。

Mercedes／BMW／日本大手などに API 欠陥：Sam Curry が 20社の深刻な状況を指摘

Toyota, Mercedes, BMW API flaws exposed owners’ personal info

2023/01/04 BleepingComputer — 約20社の自動車メーカーおよび自動車サービスに影響を及ぼす、API の脆弱性が存在する。それにより、車両のロック解除／始動／追跡から顧客の個人情報の流出にいたるまで、悪意の行為をハッカーに許す可能性があることが判明した。この脆弱性は、BMW／Roll Royce／Mercedes-Benz／Ferrari／Porsche／Jaguar／Land Rover／Ford／KIA／Honda／Infiniti／Nissan／Acura／Hyundai／Toyota／Genesis といった有名ブランドに影響を及ぼしている。また、この脆弱性は、車両技術ブランドである Spireon および Reviver と、ストリーミングサービスの SiriusXM にも影響を与える。

Okta の GitHub リポジトリ侵害から学ぶ：セキュリティ確保のための７つのヒント

Why Attackers Target GitHub, and How You Can Secure It

2022/12/28 DarkReading — 先週に Okta は、GitHub でホストされている同社のソースコードに、攻撃者がアクセスするというセキュリティ侵害について発表した。ただし、それは、GitHub に保存される企業のソースコードに対する、不正なアクセスを仕掛ける攻撃の、最新の事例に過ぎない。以前には、Dropbox／Gentoo Linux／Microsoft なども、GitHub のアカウントが狙われたことがあるのだ。

Identity Tools の用法とコスト：統合できない企業は無駄なコストを費やす

Enterprises waste money on identity tools they don’t use

2022/12/27 HelpNetSecurity — One Identity によると、複数の ID ツールに対する企業の誤った投資により、現在の脅威の状況に対する不十分な防御が生じているようだ。96%の企業が複数の ID 管理ツールを使用しており、41%はアクセス権を管理するために、少なくとも 25種類のシステムを導入していると報告されている。その一方で、70%の企業が、積極的に使用していない ID ツールのために、費用を支払っていると報告している。このように、複数の異なる ID ツールに投資することが、全体的なセキュリティ態勢に直接的な影響を及ぼしている。

LastPass が認めたデータ侵害：暗号化されたパスワードなどが盗み出されている

LastPass Admits to Severe Data Breach, Encrypted Password Vaults Stolen

2022/12/23 TheHackerNews — 2022年8月に発生した LastPass におけるセキュリティ侵害は、以前に同社が公表したよりも深刻なものだった可能性があるという。木曜日に、人気のパスワード管理サービスである LastPass は、前回の侵入で吸い上げたデータを悪意の行為者が利用し、暗号化されたパスワード保管庫を含む、同社の顧客に属する個人情報の山を入手したことを明らかにした。

DuckDuckGo が Google に強硬手段：SSO サインイン・ポップアップをブロック

DuckDuckGo now blocks Google sign-in pop-ups on all sites

2022/12/22 BleepingComputer — DuckDuckGo の全てのアプリ／エクステンションは、Google サインインのポップアップをブロックする。つまり、ユーザーにとって迷惑でプライバシー・リスクであると、 DuckDuckGo が見なすものとして排除することになるし。DuckDuckGo が提供するのは、プライバシーに特化した検索エンジン／メールサービス／モバイルアプリ／データ保護用ブラウザ・エクステンションなどである。また、スタンドアロンの Web ブラウザも開発中だが、現在は macOS 向けのベータ版のみ利用可能だ。

Okta の GitHub リポジトリで侵害が発生：３月の Lapsus$ との関連性は不明

Okta’s source code stolen after GitHub repositories hacked

2022/12/21 BleepingComputer — 今月のことだが、認証サービスおよび IAM (Identity and Access Management) ソリューションの大手プロバイダーである Okta は、同社のプライベート GitHub リポジトリがハッキングされたことを発表した。Okta から送信された機密のメール通知によると、このセキュリティ・インシデントにおいて、脅威アクターが Okta のソースコードを盗み出したという。

GitHub の 2FA 義務化：2023/03〜2023/12 で全ユーザーに対応

GitHub to require all users to enable 2FA by the end of 2023

2022/12/15 BleepingComputer — 2023年末までに GitHub は、このプラットフォーム上でコードをコントリビュートする全ユーザーに対して、アカウント保護の追加措置として 2FA の有効化を義務付ける予定である。2FA (二要素認証) とは、ワンタイム・コードを入力する追加ステップを、ログイン時に導入することで、アカウントのセキュリティを向上させるものだ。

Fortinet FortiOS に緊急パッチ：認証バイパスの脆弱性 CVE-2022-42475 の悪用に対応

Fortinet Warns of Active Exploitation of New SSL-VPN Pre-auth RCE Vulnerability

2022/12/13 TheHackerNews — 月曜日に Fortinet は、同社の SSL-VPN 製品 FortiOS に影響を及ぼす深刻なセキュリティ脆弱性に対して緊急パッチをリリースし、この脆弱性が実際に悪用されていることを明らかにした。この深刻な脆弱性 CVE-2022-42475 (CVSS：9.3) は、ヒープベース・バッファ・オーバーフローの脆弱性であり、認証されていない攻撃者による、特別に細工したリクエストを介した任意のコード実行を引き起こす可能性がある。

GoTrim ボットネットのブルートフォース攻撃：WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開／クレジットカード窃取スクリプトの注入／フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Chrome での Passkeys サポート開始：Android／iOS デバイスの生体認証を活用

Google Adds Passkey Support to Chrome for Windows, macOS and Android

2022/12/12 TheHackerNews — Google は、次世代パスワードレス・ログイン規格である Passkeys のサポートを、Chrome の Stable バージョンで正式に展開し始めた。同社の Ali Sarraf は、「Passkeys は、フィッシングによる攻撃が可能な、パスワードなどの認証要素に代わる、より安全性の高い技術である。それらの再利用は不可能であり、また、サーバー侵害で漏洩することもないため、フィッシング攻撃からユーザーを保護できる」と述べている。

TAG-53 という親ロシア派ハッカー：米軍の兵器メーカーへの攻撃に関与

Russian Hackers Spotted Targeting U.S. Military Weapons and Hardware Supplier

2022/12/07 TheHackerNews — ロシアとつながりのある国家的なハッキング・グループが、米国に拠点を置く軍事兵器正規サプライヤーである Global Ordnance が使用する、Microsoft のログイン・ページを偽装する攻撃インフラに関連していることが判明した。Recorded Future によると、TAG-53 と命名された脅威アクターが、この新しい攻撃インフラを提供しているようだ。この驚異アクターは、Blue Callisto／Callisto／COLDRIVER／SEABORGIUM／TA446 などの呼び名で、サイバーセキュリティ・コミュニティでは有名な存在だという。

CloudSEK でハッキングが発生：他のサイバー・セキュリティ企業が首謀者か？

CloudSEK claims it was hacked by another cybersecurity firm

2022/12/07 BleepingComputer — インドのサイバー・セキュリティ企業である CloudSEK は、従業員の Jira アカウントから盗んだ認証情報を悪用する脅威アクターが、Confluence サーバに侵入したと発表した。Confluence wiki から流出したのは、製品ダッシュボードのスクリーンショット／３人の顧客の名前／発注書などの内部情報だとされる。ただし、CloudSEK は、同社のデータベースは危険にさらされていないと述べている。

LastPass のシステムで不正侵入：８月に窃取された情報により顧客データにアクセスか？

Lastpass says hackers accessed customer data in new breach

2022/11/30 BleepingComputer — LastPass の発表によると、2022年8月に発生したセキュリティ・インシデントで窃取した情報を悪用する未知の攻撃者が、同社のクラウド・ストレージに侵入し、顧客データへのアクセスに成功したようだ。 LastPass は、「当社と関連会社である GoTo の両社が現在共有している、サードパーティのクラウド・ストレージ・サービス内における異常な活動を検出した。不正な第三者が、2022年8月のインシデントで入手した情報を悪用して、顧客データの特定の要素にアクセスしたようだ」と述べている。

Ducktail 情報スティーラーが進化：狙いは Facebook Business アカウント

Ducktail information stealer continues to evolve

2022/11/23 SecurityAffairs — 2022年7月下旬に WithSecure (旧 F-Secure Business) の研究者たちが発見したのは、Facebook Business／Ads プラットフォームの組織／個人を標的とする、Ducktail という名の進行中のオペレーションだ。このキャンペーンの主体については、2018年から活動していると見られる、ベトナムの経済的な動機を持つ脅威アクターだと、専門家たちは考えている。この脅威アクターの主目的は、ターゲットの Facebook Business アカウントを乗っ取ることだ。

Aurora とロシア犯罪グループ：Amazon などから 5,000万件以上のパスワードを窃取

34 Russian Cybercrime Groups Stole Over 50 Million Passwords with Stealer Malware

2022/11/23 TheHackerNews — 2022年1月〜7月の間で 34グループものロシア系ギャングが、SaaS (Stealer-as-a-Service) モデルの下で情報窃取型マルウェアを配布し、5,000 万以上のパスワードを盗み出していたことが判明した。シンガポールに拠点を置く Group-IB は、The Hacker Newsと共有したレポートの中で、「盗まれたログと漏洩したカード情報の闇市場価値の総額は、約 $5.8 million と推定される」と述べている。

Microsoft 365 とユーザーを隔てるギャップ：90% の企業は何を思う？

90% of organizations have Microsoft 365 security gaps

2022/11/22 HelpNetSecurity — 前日に発表された CoreView の調査では、世界の 160万人の Microsoft 365 ユーザーの声を評価することで、90% もの組織においてセキュリティ保護にギャップが存在することを明らかにした。Microsoft 365 (M365) の管理は複雑である。どのようにすれば、IT チームは管理における頭痛の種を回避し、100% のコンプライアンスを維持し、M365 インスタンスを正しくコントロールできるのだろうか。

Sharkbot バンキング・トロイの木馬：Android ファイル・マネージャーとして再登場

Android file manager apps infect thousands with Sharkbot malware

2022/11/22 BleepingComputer — 無害なファイル・マネージャーを装う悪質な Android アプリの新しいコレクションが、Google Play の公式アプリ・ストアに侵入し、バンキング・トロイの木馬 Sharkbot を感染させていることが判明した。このアプリは、Google Play に投稿された際の検出を回避するために、インストール時には悪意のペイロードを搭載せず、その後にリモートリ・ソースから取得する。また、このトロイの木馬アプリはファイル・マネージャであるため、Sharkbot マルウェアをロードするための危険なパーミッションを要求しても、疑惑を持たれる可能性は低くなる。