AuthN AuthZ – Page 12 – IoT OT Security News

Microsoft Outlook のゼロデイ CVE-2023-23397 が FIX：直ちにパッチ適用を！

Microsoft fixes Outlook zero-day used by Russian hackers since April 2022

2023/03/14 BleepingComputer — ロシアの軍事情報機関 GRU に関連するハッキング・グループが、欧州の組織への攻撃に悪用した Outlook のゼロデイ脆弱性 (CVE-2023-23397) に、Microsoft はパッチを適用した。この脆弱性は、2022年4月中旬から 12月までの間に、政府／軍事／エネルギー／輸送機関などのネットワークを標的にした、15件ほどの攻撃で悪用されてきた。この攻撃を仕掛けたのは、APT28／STRONTIUM／Sednit／Sofacy／Fancy Bear などの名前で追跡されているハッキング・グループである。その手口は、悪意の Outlook のメモとタスクを送信し、NTLM ネゴシエーション・リクエストを介して NTLM ハッシュを盗み出し、攻撃者が制御する SMB 共有に対して、ターゲットのデバイスを強制的に認証させるというものだ。

AiTM フィッシング・キットを提供する DEV-1101：Microsoft を装う大規模キャンペーンに御用心

DEV-1101 AiTM phishing kit is fueling large-scale phishing campaigns

2023/03/14 SecurityAffairs — Adversary-in-the-middle (AiTM) フィッシング・キットは、サイバー犯罪のエコシステムにおける多数の脅威アクターたちが、フィッシング攻撃を仕掛ける際に用いる必須の技術になり始めてきた。AiTM フィッシングは、リバース・プロキシ機能により、脅威アクターたちに多要素認証 (MFA) 回避術を提供する。

GitHub のシークレット調査：2022年には 1000万件の機密情報が新たに漏洩していた

Inside Threat: Developers Leaked 10M Credentials, Passwords in 2022

2023/03/10 DarkReading — 喜ばしいことに、2022年には、パスワードや API キーなどの、ソフトウェアの機密情報が流出する割合が半減しており、GitHub リポジトリへのコミット 1,000件につき 5.5件というレベルになった。今週に、機密管理会社である GitGuardian が発表した 2022 State of Secrets Sprawl に、このような調査の結果が記されている。上記の割合は一見すると小さく思えるが、公開リポジトリに機密情報が漏れる事例は、全体では少なくとも 1000万件も検出され、ユニークな機密としての 300 万件も含まれるという。

phpMyAdmin／MySQL／FTP／Postgres が標的：GoBruteforcer というマルウエアが登場

New GoBruteforcer malware targets phpMyAdmin, MySQL, FTP, Postgres

2023/03/10 BleepingComputer — 新たに発見された Golang ベースのボットネット・マルウェアは、phpMyAdmin／MySQL／FTP／Postgres サービスを実行している Web サーバをスキャンして感染させる。このマルウェアは、Palo Alto Networks Unit 42 の研究者たちに発見され GoBruteforcer と名付けられたが、x86／x64／ARM アーキテクチャに対応しているという。GoBruteforcer は、脆弱な *nix デバイスをハッキングするために、脆弱なパスワードまたは、デフォルトのパスワードを持つアカウントに対してブルートフォースを仕掛ける。

Xenomorph は最凶のバンキング・トロイの木馬：侵入後の不正送金まで自動化している！　

Latest version of Xenomorph Android malware targets 400 banks

2023/03/10 SecurityAffairs — Android マルウェアである Xenomorph の作者 Hadoken Security Group は、悪意のあるコードを改良し続けている。ThreatFabric の研究者たちが Xenomorph マルウェアを発見した 2022年2月の時点で、Google Play ストア経由での配布が行われ、すでに５万以上のインストールに達していたという。このバンキング・トロイの木馬は、欧州の 56 の銀行を標的とし、顧客のデバイスから機密情報を盗み出すために使用されていた。そのコードの分析により、未実装の機能が存在すること、そして、大量のログが存在することが明らかになり、この脅威の活性化が示唆されている。

MFA の限界を知ろう：Active Directory との相性の悪さについて深堀りする

When Partial Protection is Zero Protection: The MFA Blind Spots No One Talks About

2023/03/10 TheHackerNews — 多要素認証 (MFA) は、かなり以前から、標準的なセキュリティ手法になっている。アカウント乗っ取り攻撃の 99% 以上を防ぐという、MFA の性能は広く認められており、MFAの導入は必須だと、セキュリティ・アーキテクトが考えるのも不思議ではない。しかし、あまり知られていないのは、従来からの MFA ソリューションには、固有の適用範囲の制限であるという視点である。RDP 接続やローカル・デスクトップへのログインには対応しているが、たとえば PsExec や Remote PowerShell などの、リモート・コマンド・ライン・アクセス・ツールを保護する機能は備えていない。

SonicWall SMA を攻撃するカスタム・マルウェア：背後にいるのは中国由来の UNC4540 ？

SonicWall SMA appliance infected by a custom malware allegedly developed by Chinese hackers

2023/03/09 SecurityAffairs — UNC4540 として追跡され中国由来とされている脅威アクターが、SonicWall SMA アプライアンスにカスタム・マルウェアを展開したことを、Mandiant の研究者たちが報告した。このマルウェアは、攻撃者によるユーザー認証情報の窃取を可能にし、ファームウェアのアップグレードによる永続性を実現し、シェルアクセスを提供するとされる。

Google One の新機能：VPN アクセス／Dark Web レポートでセキュリティを強化

Google One expands security features to all plans with dark web report, VPN access

2023/03/08 HelpNetSecurity — Google One に、２つの画期的な機能の追加が発表された。まず、VPN by Google One が全てのプランで利用可能になり、オンライン中のセキュリティが強化される。さらに、米国における Dark Web レポートの導入により、より適切な個人情報の監視が可能になるという。

Toyota Customer 360 の深刻な脆弱性が FIX：開発用／本番用 API の錯綜が原因

Vulnerability in Toyota Management Platform Provided Access to Customer Data

2023/03/07 SecurityWeek — Toyota Customer 360 という CRM (Customer Relationship Management) プラットフォームに、深刻な脆弱性が存在していたことが判明した。この脆弱性を発見したセキュリティ研究者によると、メキシコの顧客の個人情報にアクセスが可能だったという。この Web アプリケーションは、組織全体として顧客データを集約しており、個人情報／購入履歴／サービス内容などの、全ての顧客情報を一元的に把握するためのものだ。

LastPass ハッキングの全容を解明：エンジニアの自宅のメディアサーバが侵入経路だった

LastPass Hack: Engineer’s Failure to Update Plex Software Led to Massive Data Breach

2023/03/07 TheHackerNews — LastPass における大規模な情報漏えいは、同社のエンジニアの１人が、自宅のコンピュータで Plex のアップデートを怠った結果であり、ソフトウェアを最新に保つことを怠ることの危険性を痛感させるものだった。先週に LastPass は、「2022年8月12日以前に発生したインシデントで盗まれた情報と、サードパーティに対するデータ侵害および、一般的なメディア・ソフトウェア・パッケージ Plex の脆弱性から入手した情報を組み合わせた正体不明の人物が、2022年8月〜10月に２度目の組織的な攻撃を行ったことを明らかにした。

PyPI に colorfool という悪意のパッケージが登場：情報スティーラー／RAT を配布

Experts Identify Fully-Featured Info Stealer and Trojan in Python Package on PyPI

2023/03/02 TheHackerNews — 完全な機能を備えた情報スティラーとリモート・アクセス型トロイの木馬を含む、悪意の Python パッケージが、PyPI (Python Package Index) にアップロードされていたことが判明した。この、colorfool と名付けられたパッケージは、Kroll の Cyber Threat Intelligence Team により発見され、このマルウェア自体は Colour-Blind と呼ばれている。Kroll の研究者である Dave Truman と George Glass は、「Colour-Blind マルウェアは、他から調達したコードから複数の亜種を生成する。つまり、サイバー犯罪の不偏化により、脅威が激化していく可能性を示している」と、The Hacker News と共有したレポートで述べている。

Web Browser Security Report 2023：ブラウザのリスクと検証の盲点について詳述する

2023 Browser Security Report Uncovers Major Browsing Risks and Blind Spots

2023/03/02 TheHackerNews — 今日の企業環境における主要な作業用インターフェースとして、Web ブラウザが重要な役割を担っている。Web ブラウザは、従業員の管理／非管理デバイスで使用され、Web ブサイト／SaaS アプリケーション／社内アプリケーションへのアクセスを実現している。ブラウザ・セキュリティ・ベンダーである LayerX が発表した最新レポートによると、この現実を悪用する攻撃者たちは、数多くのブラウザを標的にし、ユーザー組織におけるリスクが高まっていることが判明した。

Booking.com の OAuth 実装に脆弱性：Facebook アカウントを用いたログインに影響

API Security Flaw Found in Booking.com Allowed Full Account Takeover

2023/03/02 InfoSecurity — オンライン旅行会社 Booking.com が使用しているソーシャル・ログイン機能 Open Authorization (OAuth) の実装に、複数のセキュリティ上の欠陥があることが判明した。Salt Security が発見した脆弱性は、Facebook アカウントを用いて同サイトにログインしているユーザーに、影響が生じる可能性があるというものだ。

GitHub のシークレット・スキャン・アラートが正式運用：誰もが犯す間違いを自動的にチェック

GitHub’s secret scanning alerts now available for all public repos

2023/03/01 BleepingComputer — GitHub が発表したのは、すべての公開リポジトリにおいて、シークレット・スキャン・アラート・サービスが利用できるようになり、公開履歴全体にわたって流出したシークレットを検出できるようになったことだ。このシークレットとは、GitHub のリポジトリに誤って追加された APIキー／アカウントパスワード／認証トークンなどの機密データであり、攻撃者によるセキュリティ侵害や非公開データへのアクセスなどへといたる可能を生じるものだ。

多要素認証 (MFA) バイパス：３種類の侵入ベクターについて解説する

Cyberattackers Double Down on Bypassing MFA

2023/03/01 DarkReading — 企業が従業員や顧客に対して、より強固なセキュリティを企業が求めるにつれて、攻撃者たちは多要素認証 (MFA) の回避を進化させてきた。今週に発表された、サイバー・セキュリティ企業 LastPass におけるデータ漏洩や、２月の初めに発表されたソーシャルメディア・サービス Reddit における侵害のように、この種の侵害発生は、着実に増加している。

SaaS 内の資産は混乱している：3rd／4th パーティとの共有状況を定量化する

Public SaaS Assets Are a Major Risk For Medium, Large Firms

2023/03/01 InfoSecurity — 中堅企業の 81％および大手企業の 78％が、Google Drive/Workspace に暗号化ファイルを保存している。また、61% の組織には、会社が所有の資産を個人のメールで共有する従業員がいる。この調査結果は、DoControl の最新レポート Software-as-a-Service (SaaS) Security Threat Landscape から得られたものであり、機密資産の人手による追跡が、これまで想像されていた以上に複雑になる可能性を示唆している。

LastPass のデータ侵害：エンジニアの自宅 PC が企業ストレージへの侵入経路に

LastPass breach: Hacker accessed corporate vault by compromising senior developer’s home PC

2023/02/28 HelpNetSecurity — 2022年8月に発生した LastPass の開発環境への侵害と、その後に発生したバックアップ・ホストのサードパーティ・クラウド・ストレージ・サービスへの不正アクセスに関して、同社から顧客へを通知が改めて行われた。同社の通知には、「脅威アクターたちは、最初のインシデントで盗み出した情報や、サードパーティのデータ漏えいから得た情報に加えて、サードパーティのメディア・ソフトウェア・パッケージの脆弱性などを悪用することで、協調的な第２の攻撃を開始した」と記されている。２つの侵害の影響は壊滅的であり、盗まれた／危険にさらされたデータと、機密情報のリストは広範囲に及んでいる。

SaaS-to-SaaS 接続のリスク：人々の認識よりも遥かに根深い問題とは？

Shocking Findings from the 2023 Third-Party App Access Report

2023/02/27 The Hacker News — SaaS である M365 と Google Workspace を使用する 10,000人のユーザーを抱える組織では、平均で 4,371 以上の接続アプリが追加されている。世界中の組織で、サードパーティ製 SaaS-to-SaaS アプリのインストールが止まらなくなってきた。効率や生産性を高めるために、従業員たちが追加のアプリを必要とするとき、ほとんど考えることなくインストールするのが一般的になっている。大半の従業員は、コンテンツの読取／更新／作成／削除などのスコープを必要とする、この SaaS-to-SaaS 接続により、組織の攻撃対象領域が大幅に拡大することに気づいていない。

NLBrute パスワード・クラッキング攻撃：ダークウェブでのビジネス実態が明らかに

Russian malware dev behind NLBrute hacking tool extradited to US

2023/02/23 BleepingComputer — パスワード・クラッキング・ツール NLBrute を開発／販売した罪に問われていたロシアのマルウェア開発者が、2022年10月4日にジョージア共和国で逮捕され、米国に身柄を引き渡された。この容疑者 Dariy Pankov は、dpxaker という名でも知られている。彼は現在、アクセス機器詐欺およびコンピュータ詐欺で起訴されており、全ての訴因で有罪判決を受けた場合には、最高で 47年間におよぶ連邦刑務所への収監の可能性があるという。

APAC のデータセンターが標的：新たなサイバー攻撃の証拠が発見された

Resecurity warns about cyber-attacks on data center service providers

2023/02/21 SecurityAffairs — カリフォルニアに拠点を置くサイバー・セキュリティ企業の Resecurity は、複数のデータセンターに対して、それらの組織と顧客を標的としたサイバー攻撃に関する警告を。 2021年9月から発してきたことを公表した。同社は最新のレポートで、通知の対象とされた組織は、サプライチェーンの重要な部分として機能しており、国家支援 APT／犯罪者／サイバー・スパイグループなどの格好のターゲットだと述べている。この、Resecurity による通知の詳細は、さらなる分析とリスク軽減のために、影響を受けた当事者および、中国／シンガポール政府の緊急対応チームと共有された。さらに、2022年と 2023年1月にアップデートされた同通知は、発見されたデータセットに Fortune 500 の大企業が多数存在していたことから、米国の法執行機関とも共有された。

Twitter が SMS 2FA を廃止：iOS AutoFill や Google Auth などは利用可能とのこと

Twitter Shuts Off Text-Based 2FA for Non-Subscribers

2023/02/20 SecurityWeek — Elon Musk の Twitter だが、有料の Twitter Blue サービス・サブスクリプション以外のユーザーを対象にして、TEXT／SMS 方式の２要素認証 (2FA) 停止を突然決定し、この週末に騒動を引き起こした。2023年2月17日 (金) の遅くに Twitter は、「電話番号ベースの 2FA は、歴史的に人気のある 2FA 形式だが、残念なことに、悪意ある者により悪用される状況を目の当たりにしてきた。そこで本日から、Twitter Blue をサブスクリプションしていないアカウントに対しては、TXT／SMS 方式 2FA の登録させないようにする」と発表している。

GoDaddy でデータ侵害が発生：不正アクセスは数年前から始まっていた

GoDaddy: Hackers stole source code, installed malware in multi-year breach

2023/02/17 BleepingComputer — Web ホスティング大手の GoDaddy の発表は、数年にわたる攻撃により cPanel 共有ホスティング環境が侵害され、未知の攻撃者にソースコードを盗み出され、サーバにマルウェアをインストールされるという侵害に遭ったというものだ。GoDaddy がセキュリティ侵害を発見したのは、自社のサイトがランダムなドメインへのリダイレクトに利用されているという、顧客からの報告を受けた 2022年12月上旬のことだった。しかし攻撃者の不正アクセスは、その数年前から発生していたという。

PayPal のメール・アカウントを悪用する偽請求書：その見破り方と対処法は？

Hackers Leverage PayPal to Send Malicious Invoices

2023/02/16 InfoSecurity — オンライン決済プラットフォーム PayPal を悪用して、偽の請求書をユーザーに対してダイレクトに送信する、脅威アクターの存在が確認された。この最新のキャンペーンは、Check Point 傘下 Avanan のセキュリティ研究者により発見されたものだが、従来からのキャンペーンとは全く異なるものだとされる。今日のアドバイザリには、「これは、PayPal に成りすます攻撃とは異なるものだ。つまり、PayPal からダイレクトに送られてくる悪質な請求書である」と記されている。

Atlassian で発生した情報流出：サプライチェーン内で責任転嫁が始まった

Atlassian says recent data leak stems from third-party vendor hack

2023/02/16 BleepingComputer — Atlassian におけるデータが流出だが、サードパーティへの侵害が原因であり、同社のネットワークと顧客情報は安全であることが確認された。すでに Cyberscoop が報じているように、オーストラリアに拠点を置くコラボレーション・ソフトウェア会社 Atlassian から盗んだと主張するデータを、SiegedSec という名のハッキング・グループが昨日に Telegram で流出させた。

MagicWeb という AD FS 狙いのマルウェア：ロシアの国家支援ハッカー Nobelium が開発

MagicWeb Mystery Highlights Nobelium Attacker’s Sophistication

2023/02/11 DarkReading — ロシアに関連する Nobelium グループが開発した、Active Directory Federated Services (AD FS) に対する高度な認証バイパス・マルウェアを、Microsoft が検出した。この、Microsoft が MagicWeb と呼ぶ Nobelium のマルウェアは、ユーザーの AD FS サーバにバックドアを埋め込み、特別に細工した証明書を使用して通常の認証プロセスを迂回させるものだ。Microsoft のインシデント対応担当者は、認証フローのデータを収集し、攻撃者が使用した認証証明書をキャプチャし、バックドアコードをリバース・エンジニアリングした。

Microsoft WinGet Package Manager がダウン：CDN の SSL 期限切れが原因

Microsoft WinGet package manager failing from expired SSL certificate

2023/02/11 BleepingComputer — Microsoft WinGet Package Manager で発生した問題は、WinGet CDN の SSL／TLS 証明書の有効期限が切れた後の、パッケージのインストール／アップグレードに関するものだ。2020年5月にオープンソースとしてリリースされた Windows Package Manager (WinGet) は、コマンドラインからユーザーが、ダイレクトにアプリケーションをインストールするためのものだ。

NIST が選んだ IoT デバイス向けの軽量暗号 ASCON：伝送中のデータの保護が目的

NIST chooses encryption algorithms for lightweight IoT devices

2023/02/09 HelpNetSecurity — 米国の National Institute of Standards and Technology (NIST) が発表したのは、IoT デバイス (エンベッド型医療機器／キーレスエントリー／スマートホームなど) が生成するデータを保護するための、軽量認証暗号化およびハッシュ・アルゴリズムに付けられた ASCON というグループ名である。ASCON のラベルの下には、７種類アルゴリズムが集められているが、今年の後半に NIST が発表するとしている、最終的な成果に含まれないものもある。

TOYOTA サプライヤー・ポータルに侵入：機密データへのアクセス方法を研究者が報告

Researcher breaches Toyota supplier portal with info on 14,000 partners

2023/02/07 BleepingComputer — トヨタ自動車の Global Supplier Preparation Information Management System (GSPIMS) が、セキュリティ研究者により侵入され、その結果が同社に報告されたことが明らかになった。 GSPIMS は、従業員やサプライヤーがリモートでログインし、トヨタのグローバル・サプライチェーンを管理する、自動車メーカーのための Web アプリケーションである。この研究者が、EatonWorks というペンネームで発表したのは、トヨタのシステムに存在するバックドアの発見と、電子メールさえ知っていれば、誰もが既存のユーザー・アカウントにアクセスできるという現状である。

KeePass のパスワード窃取の脆弱性 CVE-2023-24055：開発者は反論を唱える

KeePass disputes vulnerability allowing stealthy password theft

2023/01/30 BleepingComputer — オープンソースのパスワード管理ソフトである KeePass に、攻撃者がデータベース全体を平文で密かにエクスポートできる、新たな脆弱性が発見された。しかし、KeePass の開発チームは、この発見に対して異議を唱えている。KeePass は人気のオープンソース・パスワード管理ソフトだが、LastPass／Bitwarden のようなクラウド・ホスティングのものではなく、ローカルに保存されたデータベースを使用してパスワードの管理を行うものだ。

GitHub から盗まれたコード署名証明書：Desktop／Atom 版が 2月2日に失効

GitHub revokes code signing certificates stolen in repo hack

2023/01/30 BleepingComputer — 未知の攻撃者が GitHub の開発とリリース計画にリポジトリにアクセスし、Desktop／Atom アプリケーションの暗号化されたコード署名証明書を盗み出したとのことだ。GitHub によると、盗み出されてしまったパスワード保護された証明書 (Apple Developer ID 証明書１枚と Windows アプリに使用される Digicert コード・サイニング証明書２枚) が、悪意の目的で使用されたという証拠は、これまでのところ発見されていない。

Facebook／Instagram の 2FA バイパスが FIX：バグ報奨金は $27,000

Researcher received a $27,000 bounty for 2FA bypass bug in Facebook and Instagram

2023/01/30 SecurityAffairs — Instagram／Facebook に影響を与える２要素認証 (2FA) バイパスの脆弱性を報告したことで、研究者の Gtm Manoz は $27,000 のバグバウンティを得た。この脆弱性は、電話番号／メールアドレスの確認のために、親会社である Meta が使用しているコンポーネントに存在する。Mänôz は、このソフトウェアがレート制限の保護メカニズムを実装していないことに気づいた。そして、Meta Accounts Center を使用して、ターゲット・ユーザーの認証済み Facebook 携帯電話番号を確認することで、Facebook の２要素認証を回避した。

Windows CryptoAPI の脆弱性 CVE-2022-34689：PoC エクスプロイトが公開

Researchers release PoC exploit for critical Windows CryptoAPI bug (CVE-2022-34689)

2023/01/26 HelpnetSecurity — Akamai の研究者たちが、公開キー証明書を検証する Windows CryptoAPI に存在する、深刻な脆弱性 CVE-2022-34689 に対する PoC エクスプロイトを公表した。この Windows／Windows Server に影響する脆弱性は、2022年10月に修正プログラムが公開されている。その際に Microsoft は、「攻撃者は既存の公開証明書 x.509 を操作して身元を偽り、認証／コード署名などのアクションを、本物の証明書を持っているかのように実行できる」と説明していた。

GoTo で発生したデータ侵害：暗号化されたバックアップや MFA 設定などを窃取

GoTo Says Hackers Stole Encrypted Backups, MFA Settings

2023/01/24 SecurityWeek — IT マネージメント・ソフトウェアを提供する GoTo は、2022年に発生した LastPass 関連会社に影響を及ぼしたセキュリティ侵害において、暗号化されたバックアップと一部の暗号化キーが、正体不明の脅威アクターに盗まれたと発表した。GoTo の CEO である Paddy Srinivasan は、このセキュリティ侵害が、当初の報告よりもはるかに深刻であることを認めている。具体的に言うと、アカウントのユーザー名および、ソルト化／ハッシュ化されたパスワード、MFA 設定の一部に加えて、一部製品のコンフィグレーション／ライセンス情報が盗まれたようだ。

CISA KEV 警告 23/01/23：Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966 を追加

CISA warns of critical ManageEngine RCE bug exploited in attacks

2023/01/23 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Zoho ManageEngine 製品群の大半に影響を及ぼすリモートコード実行 (RCE) を、野放し状態で悪用されているとして KEV カタログに追加した。この脆弱性 CVE-2022-47966 は、2022年10月27日から製品ごとにパッチが適用されている。SAML ベースのシングルサインオン (SSO) が有効である場合や、一度でも有効であった場合に、未認証の脅威アクターに悪用され、任意のコード実行にいたる恐れがある。

PayPal ユーザー 35,000 人の個人情報に不正アクセス：クレデンシャル・スタッフィングの可能性大

Massive Credential Stuffing Campaign Hits 35,000 PayPal Users

2023/01/20 InfoSecurity — 今週に PayPal が公表したのは、2022年12月に発生したアカウントへの不正アクセスと、米国の数万人の顧客に対して通知が行われたことだ。この不正アクセスは、12月6日〜12月8日に発生し、その後に事態を把握した同社は、脅威となった人物によるアクセスを排除した。PayPal からメイン州司法長官事務所に提出された侵害通知書には、「この間において、不正な第三者が、特定の PayPal ユーザーの個人情報の一部を閲覧し、取得した可能性がある」と記されている。

CircleCI のデータ侵害：セッションクッキーが窃取され 2FA が突破された

Malware Attack on CircleCI Engineer’s Laptop Leads to Recent Security Incident

2023/01/14 TheHackerNews — 2023年1月13日に DevOps プラットフォームの CircleCI が明らかにしたのは、昨年12月に未知の脅威アクターが従業員のラップトップを侵害し、マルウェアを用いて２FA 認証に裏付けられた認証情報を盗み出し、同社システムに侵入しデータを侵害したことだ。CI/CD サービスの CircleCI によると、この高度な攻撃は、2022年12月16日に行われ、そこで用いられたマルウェアを、同社のウイルス対策ソフトウェアは検出できなかったとのことだ。

CircleCI／LastPass／Okta／Slack が狙われる：サプライチェーン攻防の要は ID 管理と開発環境だ

CircleCI, LastPass, Okta, and Slack: Cyberattackers Pivot to Target Core Enterprise Tools

2023/01/14 DarkReading — 開発パイプライン・サービスを提供する CircleCI が、１月上旬にセキュリティ侵害について警告し、同社のプラットフォーム上に保存／管理されている、パスワードや SSH キーなどの機密情報などを、直ちに変更するようユーザー企業に呼びかけている。CircleCI は、DevOps サービスへの攻撃から生じる、侵害範囲の特定／ソフトウェア改ざんの抑制／開発機密の侵害の特定などに躍起になっていた。具体的に言うと、認証トークンのローテーション／コンフィグレーションの変更／他のプロバイダーとの連携によるキーの失効／インシデント調査などを、同社は進めてきた。

NortonLifeLock の Password Manager アカウントに侵害が発生：PW の使い回しが原因？

NortonLifeLock warns that hackers breached Password Manager accounts

2023/01/13 BleepingComputer — Gen Digital (旧 Symantec Corporation、NortonLifeLock) が顧客に送付したデータ侵害通知は、ハッカーによるクレデンシャル・スタッフィング攻撃で、Norton Password Manager アカウントの侵害に成功したことを知らせるものだ。バーモント州司法長官事務所に提出された書簡のサンプルによると、この攻撃の原因は、同社への侵入ではなく、他のプラットフォームでのアカウント侵害によるものとのことだ。

Amazon S3 上で AES-256 暗号化がデフォルト適用：新規／既存データの保護を強化

Amazon S3 will now encrypt all new data with AES-256 by default

2023/01/06 BleepingComputer — Amazon Simple Storage Service (S3) では、サーバ側でバケットに追加された全ての新規オブジェクトが、デフォルトで用いられる AES-256 により自動的に暗号化されるようになった。AWS におけるサーバ側での暗号化システムは、10年以上も前から利用可能だったが、それがデフォルトで有効化され、セキュリティが強化された。したがって、新しい暗号化システムによるバケット保護のための、AWS 管理者によるアクションは不要であり、また、パフォーマンスに悪影響が生じることもないと、Amazon は指摘している。

Slack の GitHub コード・リポジトリで侵害が発生：従業員トークンの窃取が原因

Slack’s private GitHub code repositories stolen over holidays

2023/01/05 BleepingComputer — 年末年始の休暇中に、Slack の GitHub プライベート・コード・リポジトリの一部に影響を与える、セキュリティ・インシデントが発生した。Salesforce が所有する IM アプリである Slack は、世界中の職場やデジタル・コミュニティで、推定 1800万人のユーザーに利用され、絶大な人気を誇っている。BleepingComputer は、2022年12月31日に Slack が発行したセキュリティ・インシデント通知を目にした。このインシデントでは、脅威アクターが限られた数の Slack 従業員トークンを盗み、Slack の外部でホストされている GitHub リポジトリにアクセスしたという。

WhatsApp がプロキシのサポートを開始：インターネット遮断を回避する

WhatsApp adds proxy support to help bypass Internet blocks

2023/01/05 BleepingComputer — 今日から WhatsApp は、インターネットが遮断された場合や、政府によるサービス・ブロックに直面した場合に、プロキシ・サーバ経由で接続できるようになった。この新しいプロキシ・サポート・オプションは、最新の WhatsApp iOS／Android アプリを利用している全てのユーザーに提供される。WhatsApp によると、プロキシ経由で接続しても、メッセージは End-to-End の暗号化で保護されるため、プライバシーとセキュリティは維持されるという。そのため、プロキシ・サーバ運営者／Meta／WhatsApp などの第三者が、メッセージの内容にアクセスすることはできず、ユーザーと受信者だけがメッセージを読むことができるようになる。

Automated Libra という脅威：GitHub CAPTCHA のバイパスで 20,000 アカウントを作成

Hackers use CAPTCHA bypass to make 20K GitHub accounts in a month

2023/01/05 BleepingComputer — Automated Libra と呼ばれる南アフリカの脅威アクターは、クラウド・プラットフォームのリソースを悪用した、暗号通貨マイニングから利益を得る手法を進化させている。Palo Alto Networks Unit 42 によると、この脅威アクターは、新しい CAPTCHA 解決システムをマイニングに用いて、CPU リソースを積極的に悪用している。また、Feejacking と Play and Run を組み合わせて、クラウド・リソースを無料で乱用しているとのことだ。

Mercedes／BMW／日本大手などに API 欠陥：Sam Curry が 20社の深刻な状況を指摘

Toyota, Mercedes, BMW API flaws exposed owners’ personal info

2023/01/04 BleepingComputer — 約20社の自動車メーカーおよび自動車サービスに影響を及ぼす、API の脆弱性が存在する。それにより、車両のロック解除／始動／追跡から顧客の個人情報の流出にいたるまで、悪意の行為をハッカーに許す可能性があることが判明した。この脆弱性は、BMW／Roll Royce／Mercedes-Benz／Ferrari／Porsche／Jaguar／Land Rover／Ford／KIA／Honda／Infiniti／Nissan／Acura／Hyundai／Toyota／Genesis といった有名ブランドに影響を及ぼしている。また、この脆弱性は、車両技術ブランドである Spireon および Reviver と、ストリーミングサービスの SiriusXM にも影響を与える。

Okta の GitHub リポジトリ侵害から学ぶ：セキュリティ確保のための７つのヒント

Why Attackers Target GitHub, and How You Can Secure It

2022/12/28 DarkReading — 先週に Okta は、GitHub でホストされている同社のソースコードに、攻撃者がアクセスするというセキュリティ侵害について発表した。ただし、それは、GitHub に保存される企業のソースコードに対する、不正なアクセスを仕掛ける攻撃の、最新の事例に過ぎない。以前には、Dropbox／Gentoo Linux／Microsoft なども、GitHub のアカウントが狙われたことがあるのだ。

Identity Tools の用法とコスト：統合できない企業は無駄なコストを費やす

Enterprises waste money on identity tools they don’t use

2022/12/27 HelpNetSecurity — One Identity によると、複数の ID ツールに対する企業の誤った投資により、現在の脅威の状況に対する不十分な防御が生じているようだ。96%の企業が複数の ID 管理ツールを使用しており、41%はアクセス権を管理するために、少なくとも 25種類のシステムを導入していると報告されている。その一方で、70%の企業が、積極的に使用していない ID ツールのために、費用を支払っていると報告している。このように、複数の異なる ID ツールに投資することが、全体的なセキュリティ態勢に直接的な影響を及ぼしている。

LastPass が認めたデータ侵害：暗号化されたパスワードなどが盗み出されている

LastPass Admits to Severe Data Breach, Encrypted Password Vaults Stolen

2022/12/23 TheHackerNews — 2022年8月に発生した LastPass におけるセキュリティ侵害は、以前に同社が公表したよりも深刻なものだった可能性があるという。木曜日に、人気のパスワード管理サービスである LastPass は、前回の侵入で吸い上げたデータを悪意の行為者が利用し、暗号化されたパスワード保管庫を含む、同社の顧客に属する個人情報の山を入手したことを明らかにした。

DuckDuckGo が Google に強硬手段：SSO サインイン・ポップアップをブロック

DuckDuckGo now blocks Google sign-in pop-ups on all sites

2022/12/22 BleepingComputer — DuckDuckGo の全てのアプリ／エクステンションは、Google サインインのポップアップをブロックする。つまり、ユーザーにとって迷惑でプライバシー・リスクであると、 DuckDuckGo が見なすものとして排除することになるし。DuckDuckGo が提供するのは、プライバシーに特化した検索エンジン／メールサービス／モバイルアプリ／データ保護用ブラウザ・エクステンションなどである。また、スタンドアロンの Web ブラウザも開発中だが、現在は macOS 向けのベータ版のみ利用可能だ。