CyberAttack – IoT OT Security News

CISA KEV 警告 23/05/22：iPhone／iPad／Mac の３つの脆弱性を追加

CISA adds iPhone bugs to its Known Exploited Vulnerabilities catalog

2023/05/22 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、iPhone／iPad／Mac に影響を及ぼす３件のつのゼロデイ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。この３つの問題は、WebKit ブラウザ・エンジンに存在する、脆弱性 CVE-2023-32409／CVE-2023-28204／CVE-2023-32373 となる。

Zyxel Firewall の深刻な脆弱性 CVE-2023-28771：root 権限での OS コマンド実行 PoC が提供される

Vulnerability in Zyxel firewalls may soon be widely exploited (CVE-2023-28771)

2023/05/22 HelpNetSecurity — 先日に修正された、Zyxel ファイアウォールに存在するコマンド・インジェクションの脆弱性 CVE-2023-28771 が、近い将来において野放し状態で悪用される可能性があると、Rapid7 の研究者たちが警告を発している。彼らは、この脆弱性をトリガーして、リバース root シェルへといたる、PoC スクリプトも公開している。

BrutePrint という新たな攻撃手法：スマフォの指紋認証をブルートフォースで突破

Android phones are vulnerable to fingerprint brute-force attacks

2023/05/21 BleepingComputer — BrutePrint と呼ばれる新しい攻撃手法について、Tencent Labs と Zhejiang University の研究者たちが調査結果を発表した。この攻撃は、最新のスマートフォンの指紋をブルートフォースしてユーザー認証を突破し、デバイスを制御するものだ。ブルートフォース攻撃では、コード／キー／パスワードなどを解読して、アカウント／システム／ネットワークなどへ不正アクセスするために、あらゆる手段が試みられている。

npm で発見された悪意のライブラリ：正規パッケージを装う TurkoRat マルウェア

Once Again, Malware Discovered Hidden in npm

2023/05/19 DarkReading — 人気の npm JavaScript ライブラリ／レジストリに存在する、“nodejs-encrypt-agent” という名前の２つのコード・パッケージに、オープンソースの情報窃盗型マルウェア TurkoRat を含まれていることが判明した。このマルウェアが仕込まれたパッケージを発見した、ReversingLabs の研究者たちによると、2,000 万回以上ダウンロードされている別の正規のパッケージ (agent-base version 6.0.2) への偽装を、背後にいる攻撃者は試みていたという。

中国 – 台湾の緊張関係とサイバー戦争：PlugX マルウェアを仕込んだフィッシング攻撃が激化

Cyber Warfare Escalates Amid China-Taiwan Tensions

2023/05/18 InfoSecurity — 中国と台湾の間で緊張が高まるにつれて、台湾へのサイバー攻撃が大幅に増加していることが、Trellix のセキュリティ専門家たちの新しいレポートで明らかになった。特に台湾の産業界を狙うサイバー攻撃が急増しており、その主な目的は、マルウェアの配布と機密情報の窃取であると、同社は指摘している。

Microsoft Teams を狙うソーシャル・エンジニアリング：新たな手口が発見された

Social Engineering Risks Found in Microsoft Teams

2023/05/17 InfoSecurity — ソーシャル・エンジニアリングを介して、Microsoft Teams を悪用しようとする、いくつかの新たな手口が、Proofpoint のセキュリティ研究者たちにより発見された。同社が 2023年5月17日に発表したレポートには、「最近のことだが、2022年後半にかけて確認された、Microsoft 365 クラウド・テナントを標的とした 4億5000万以上の悪意のセッションを分析した。この調査結果によると、Microsoft Teams は、最も標的とされた 10 のサインイン・アプリケーションの１つであり、標的とされた組織の 40％近くで、少なくとも１回の不正ログインが試みられていた」と記されている。

Cisco Small Business Switches の RCE 脆弱性 CVE-2023-20159 などが FIX：直ちにパッチ適用を！

Cisco warns of critical switch bugs with public exploit code

2023/05/17 BleepingComputer — Cisco は 5月17日に、複数の Small Business Series Switches に影響を及ぼす４つの深刻なリモート・コード実行の脆弱性について、顧客に警告した。これらのセキュリティ脆弱性は、エクスプロイト・コードが公開されており、深刻度は CVSS スコア 9.8 と、ほぼ最大の評価を受けている。この脆弱性の悪用に成功した攻撃者は、侵害したデバイス上で認証を必要とすることなく、root 権限で任意のコードを実行できる。

Microsoft VSCode に悪意のエクステンション：パスワード窃取やリモートシェル確立などが目的

Malicious Microsoft VSCode extensions steal passwords, open remote shells

2023/05/17 BleepingComputer — Microsoft の VSCode Marketplace を標的とするサイバー犯罪者たちが、３種類の悪意の Visual Studio エクステンションをアップロードし、Windows 開発者たちが 46,600回もダウンロードしていることが判明した。Check Point のアナリストたちが、それらの悪意のエクステンションを発見し、Microsoft に報告した内容は、これらのマルウェアを操る脅威アクターたちは、認証情報／システム情報を盗み出し、被害者のマシン上に=にリモート・シェルを確立しているというものだ。

MalasLocker ランサムウェアが Zimbra サーバを攻撃：身代金のかわりに慈善団体への寄付を要求

MalasLocker ransomware targets Zimbra servers, demands charity donation

2023/05/17 BleepingComputer — Zimbra サーバをハッキングして電子メールを盗み出し、ファイルを暗号化するという、新たなランサムウェア・オペレーションが確認されている。しかし、この脅威アクターは、暗号化装置を提供しデータ漏洩を防ぐために、身代金の支払いに代えて慈善団体への寄付を要求すると主張している。BleepingComputer により MalasLocker と名付けられた、このランサムウェア・オペレーションは、2023年3月末に Zimbra サーバへの攻撃を開始し、メールが暗号化されたと、Zimbra フォーラムでは被害者たちは報告している。

Cobalt Strike の Golang 亜種が登場：Apple macOS を狙う中国の APT とは？

Hackers Using Golang Variant of Cobalt Strike to Target Apple macOS Systems

2023/05/16 TheHackerNews — Golang で実装された Geacon という名の Cobalt Strike 亜種が、Apple macOS システムをターゲットとする脅威アクターたちの注目を集める可能性があるという。VirusTotal に掲載される Geacon ペイロードの数が、この数カ月で増加していることを確認した SentinelOne が調査結果を発表した。セキュリティ研究者である Phil Stokes と Dinesh Devadoss はレポートの中で、「これらのペーロードには、レッドチーム・オペレーションで使用されたものもあると思われるが、本物の悪意あ攻撃の特徴を持つものもある」と述べている。

Apple App Store の 2022年の戦い：ブロックした悪質なアプリは 170万件！

Apple blocked 1.7 million apps for privacy, security issues in 2022

2023/05/16 BleepingComputer — Apple App Store チームは 2022年に、プライバシー／セキュリティ／コンテンツ・ポリシーに違反した約170万件のアプリをブロックし、不正の可能性があるとタグ付けされた $2 billion 以上の取引を阻止した。また、アカウント詐欺を撃退するための、不正行為に対する継続的な取り組みの一環として、顧客アカウント 2億8200万件の無効化、および、1億500万件のデベロッパー・アカウント作成のブロック、42万8000件のデベロッパー・アカウントの停止を実施した。

TP-Link ルーター群に危機：中国の APT グループ Camaro Dragon による侵害が始まっている

Camaro Dragon APT Group Exploits TP-Link Routers With Custom Implant

2023/05/16 InfoSecurity — Camaro Dragon という名の、中国に支援される APT グループが、悪意のファームウェアのインプラントを介して、TP-Link ルーター群を悪用していることが確認された。この発見は、Check Point Research (CPR) のセキュリティ専門家によるものであり、今日の未明に同社が発表したアドバイザリに、その内奥が記載されている。

情報スティーラー・ビジネスの活性化：ロシア市場での盗難ログ取引量が 670% 増

Infostealer Malware Surges: Stolen Logs Up 670% on Russian Market

2023/05/16 InfoSecurity — Secureworks Counter Threat Unit (CTU) が明らかにしたのは、ロシアのオンライン市場で、盗まれたログ情報の販売が活性化しており、その増加率は 670%を記録していることである。この最新の調査結果は、”The Growing Threat From Infostealers” というレポートに記載されているものだ。同レポートは、ランサムウェア攻撃などのサイバー犯罪活動を円滑にする上で、きわめて重要な役割を果たす、情報スティーラー市場の繁栄ぶりにフォーカスしている。Secureworks の VP of CTU である Don Smith は、「企業へのアクセスを素早く獲得し、そのアクセスからの収益化を狙うサイバー犯罪者たちが、情報スティーラーに目をつけるのは自然なことだ」とコメントしている。

ZIP／MOV という新たな TLD は危険か？セキュリティ専門家たちの間で議論が沸騰

New ZIP domains spark debate among cybersecurity experts

2023/05/16 BleepingComputer — Google た立ち上げる新たな ZIP／MOV インターネット・ドメインについて、脅威アクターがフィッシング攻撃やマルウェア配信に悪用する可能性があると、サイバー・セキュリティ研究者たちと IT 管理者たちが警告している。Google は５月初めに、Web サイトやＥメールのホスティングに使用できる、８つの新しい TLD (Top-Level Domains) を発表した。それらの新しい TLD は、.dad／.esq／.prof／.phd／.nexus／.foo、そして本記事で取り上げる .zip／.mov だ。

Qilin は新たな RaaS：Rust／Go を採用により高度なステルス攻撃を成功させている

Qilin’s Dark Web Ransomware Targets Critical Sectors

2023/05/15 InfoSecurity — Qilin ランサムウェア・グループの、オペレーションおよび Ransomware-as-a-Service (RaaS) プログラムに関する、新たな情報が明らかになった。Group-IB の Threat Intelligence Team は、最新の調査研究の一環として Qilin 内部に潜入した。そこから得られた分析の結果として、重要セクターをターゲットとしていることや、採用されている高度な技術に関する洞察が明らかになったと述べている。Qilin は Agenda とも呼ばれるランサムウェアであり、2022年8月に発見されてから、深刻な脅威として浮上しているとのことだ。

MerDoor という高スティルス性のマルウェア：５年前からのバックドア展開を確認 – Symantec

Stealthy MerDoor malware uncovered after five years of attacks

2023/05/15 BleepingComputer — 南アシア／東南アジアの政府機関／航空機関／通信機関を標的に、Lancefly という新たな APT ハッキング・グループが、カスタム Merdoor バックドア・マルウェアを展開している。今日の Symantec Threat Labs の発表で明らかにされたのは、Lancefly が2018年以降において、スティルス性の高い標的型攻撃で Merdoor バックドアを展開し、企業ネットワーク上での永続性の確立／コマンドの実行／キーロギングを行ってきたことだ。

2023 Q1 のランサムウェア・レポートを提供：Dashboard Ransomware Monitor というプロジェクト

Introducing the DRM-Report Q1 2023: Unveiling the Current State of Ransomware

2023/05/15 SecurityAffairs — サイバー・セキュリティ監視の独立したプラットフォームである Dashboard Ransomware Monitor が、2023年 Q1 における DRM-Report を発表した。この包括的なレポートは、世界中で憂慮すべきランサムウェア攻撃の増加を掘り下げ、サイバー犯罪者の活動の状況について、貴重な洞察を提供するものだ。

Discord で発生したサプライチェーン攻撃：ユーザーの機密情報が流出した可能性

Discord Breached After Service Agent Targeted

2023/05/15 InfoSecurity — Discord のユーザーに送られた通知は、サードパーティ・カスタマー・サービス・エージェントのサポート・チケット・キューに、脅威アクターが不正アクセスした際に発生したデータ侵害に関するものだ。影響を受けたユーザーに送られたメッセージには、「このインシデントの性質上、あなたの電子メールアドレスおよび、あなたと Discordの間で交換された顧客サービス・メッセージの内容および添付ファイルが、第三者に公開されている可能性がある」と書かれていることを InfoSecurity は確認している。

RA Group という新たなランサムウェア：Babuk クローンで３社を侵害している

New Ransomware Gang RA Group Hits U.S. and South Korean Organizations

2023/05/15 TheHackerNews — RA Group という名の新たなランサムウェア・グループが、流出した Babuk ランサムウェアのソースコードを活用して、独自のロッカー・バリアントを派生させている。サイバーセキュリティ企業 Cisco Talos によると、このサイバー犯罪集団は、遅くとも 2023年4月22日から活動しているとされ、急速に活動を拡大しているとのことだ。

Microsoft のマクロ・ブロックに挑む攻撃者たち：何がどう変わったのか？ – Proofpoint

How Cybercriminals Adapted to Microsoft Blocking Macros by Default

2023/05/13 DarkReading — Office Macro をデフォルトでブロックすることを、Microsoft が決定してからというもの、脅威アクターたちは進化を余儀なくされ、マルウェア配信のための新たな方法を。かつてない速度で導入している。長期間にわたって脅威アクターたちは、悪意の Microsoft Office マクロを使用して、ターゲットのコンピュータの内部にフックを仕掛けてきた。そのため、2022年に Microsoft は、インターネットからダウンロードされるファイルに対して、デフォルトでマクロをブロックするようになった (不均一ではあっても) 。

CISA／FBI の共同勧告：PaperCut の脆弱性 CVE-2023-27350 が悪用されている

PaperCut Software Flaw Sparks Ransomware Attacks, CISA Warns

2023/05/12 InfoSecurity — PaperCut ソフトウェアの深刻な脆弱性が、近ごろの一連のランサムウェア攻撃に悪用されていると、米国の CISA が警告を発している。広く採用されている印刷管理ソリューション PaperCut に存在する、脆弱性 CVE-2023-27350 の悪用に成功した攻撃者は、認証情報を必要とせずに悪意のコードをリモートで実行できるようになる。その結果として、攻撃者はランサムウェアの展開に成功し、機密データへの不正アクセスに成功している。

Netgear RAX30 ルーターに５つの脆弱性：連鎖によるリモート・コード実行が可能

Netgear Routers’ Flaws Expose Users to Malware, Remote Attacks, and Surveillance

2023/05/12 TheHackerNews — Netgear RAX30 ルーターに存在する、５つものセキュリティ脆弱性が公表された。これらの脆弱性は、連鎖的に認証を回避し、リモート・コード実行を許すものだ。Claroty のセキュリティ研究者である Uri Katz は、「これらの脆弱性の悪用に成功した攻撃者たちは、ユーザーのインターネット活動の監視／インターネット接続の乗っ取り／悪意の Web サイトへのトラフィックのリダイレクト／ネットワーク・トラフィックへのマルウェア注入などが可能になる」とレポートで述べている。

米国企業の 61%でソフトウェア・サプライチェーン攻撃が発生していた – Capterra 調査

Software Supply Chain Attacks Hit 61% of Firms

2023/05/12 InfoSecurity — Capterra の最新のレポートによると、これまでの１年間において米国企業の５分の３以上 (61％) が、ソフトウェア・サプライチェーンからのダイレクトな影響を受けていたことが分かった。この調査は、サードパーティー・ソフトウェアにおける脆弱性のリスクについて、米国企業の理解を深めることを目的にしたものであり、271人の IT 専門家／IT セキュリティ専門家を対象に実施された。回答者の半数は、ソフトウェア・サプライチェーンの脅威を “High” または “Extreme” と評価しており、さらに 41%は “Moderate” と評価している。

Babuk ランサムウェアのソースコード流出：VMware ESXi を狙う脅威アクターたちが特定された

Leaked source code of Babuk ransomware used by 10 different ransomware families targeting VMware ESXi

2023/05/12 SecurityAffairs — 2021年に流出した Babuk ランサムウェアのソースコードをベースにして、VMware ESXi ロッカーを使用する 10件のランサムウェア・ファミリーを、SentinelLabs の研究者たちが特定した。研究者たちが指摘するのは、これらのランサムウェア・ファミリーが、2022年下半期〜2023年上半期に確認されている点である。つまり、Babuk ランサムウェアのソースコードを使用する、脅威アクターが増加していると推測されるという。それらの脅威アクターたちは、流出したソースコードを利用することで、Linux システムを標的としたランサムウェアを、専門知識がなくても作成できるようになると、専門家たちは説明している。

XWorm マルウェアを配信するフィッシング攻撃が急増中：脆弱性 Follina が悪用されている

XWorm Malware Exploits Follina Vulnerability in New Wave of Attacks

2023/05/12 TheHackerNews — 独自の攻撃チェーンを利用して、標的のシステム上に XWorm マルウェアを配信する、進行中のフィッシング・キャンペーンを、サイバー・セキュリティ研究者たちが発見した。この、MEME#4CHAN と命名されたキャンペーンで標的にされているのは、主にドイツの製造会社や医療クリニックだと、Securonix は述べている。セキュリティ研究者である Den Iuzvyk／Tim Peck／Oleg Kolesnikov は、「この攻撃キャンペーンは、被害者を感染させるために、かなり珍しいミーム充填 PowerShell コードと、それに続く重く難読化された XWorm ペイロードを使用している」と、The Hacker News と共有した新しい分析で述べている。

Cyber Threat Landscape 2023/04：リスク・インテリジェンスの指標 – Flashpoint

Risk Intelligence Index: The April 2023 Cyber Threat Landscape

2023/05/11 SecurityBoulevard — Flashpoint の最新のランサムウェア・インフォグラフィックは、サイバー犯罪者が採用する戦術の洗練と、進化する脅威の状況を痛烈に描き出している。2023年4月に、同社のアナリストたちは、合計で 411件のランサムウェア攻撃を観測している。

Linux の BPFDoor マルウェアの高スティルス亜種：Berkley Packet Filter を巧妙に悪用

Stealthier version of Linux BPFDoor malware spotted in the wild

2023/05/11 BleepingComputer — Linux マルウェアである BPFDoor で、高ステルス性の新たな亜種が発見された。このマルウェアの特徴は、より強固な暗号化とリバース・シェル通信を備えている点にある。BPFDoor はステルス性の高いバックドア・マルウェアであり、遅くとも 2017年から活動していたと見られているが、セキュリティ研究者により発見されたのは、１年ほど前のことである。このマルウェアの名前は、Berkley Packet Filter (BPF) を悪用して、受信トラフィックのファイアウォール制限を回避することに由来している。BPFDoor は、侵入した Linux システム上で、脅威アクターが長時間の持続性を維持し、長期間にわたって検出を回避するように設計されている。

悪意のボット・トラフィックの増大：ついにインターネット全体の 30% を埋め尽くす – Imperva 調査

Bad Bots Now Account For 30% of All Internet Traffic

2023/05/11 InfoSecurity — 自動化された悪意のソフトウェアに起因するインターネット・トラフィックの量は、2021年以降において 2.5% ほど増加し、いまでは 30% を超えているようだ。この値は、2013年に Imperva が Bad Bot Report の初版を発表した以降において、最高の数値となっている。この、長期にわたるレポートの最新版で Imperva が主張しているのは、アカウント侵害／データ窃取／スパム／インフラ・コスト増加／オンライン・サービス劣化／顧客離れなどにつながる、悪質なボット攻撃により年間で数十億ドルが失われているという点だ。

Dragos が制した攻防戦：セキュリティ企業を狙った侵害と脅迫を分析する

Dragos Employee Hacked, Revealing Ransomware, Extortion Scheme

2023/05/11 DarkReading — セキュリティ企業は、サイバー攻撃から身を守るために、一般的な組織よりも態勢を整えるべきだという意見があるかもしれない。先日の Dragos では、新入社員の個人的な電子メール・アカウント侵害の後に発生したソーシャル・エンジニアリング攻撃で、既知のランサムウェア・グループが脅迫を開始したが、失敗したようである。

Windows のフェイク・アップデートが登場：Aurora 情報スティーラーをプッシュしている

Fake in-browser Windows updates push Aurora info-stealer malware

2023/05/10 BleepingComputer — 先日に発見された不正広告キャンペーンは、ブラウザ内の Windows アップデート・シミュレーションでユーザーを騙し、情報窃取マルウェア Aurora を配信するものだ。Golang で書かれた Aurora は、広範な機能を持ち、アンチウイルス検出率が低い情報シティーラーとして、１年以上も前から各種ハッカー・フォーラムで公開されている。Malwarebytes の研究者たちによると、このマルバーター作戦は、トラフィックの多いアダルト・コンテンツの Web サイト上のポップ・アンダー広告を用いて、そこを訪れた潜在的な被害者を、マルウェア提供場所へとリダイレクトさせるものだという。

Windows に新たなゼロデイ：Outlook クライアントの強制接続で NTLM 認証情報を盗み出す

Experts Detail New Zero-Click Windows Vulnerability for NTLM Credential Theft

2023/05/10 TheHackerNews — サイバー・セキュリティ研究者たちは、Windows の MSHTML プラットフォーム上の、すでにパッチが適用されている脆弱性の詳細を共有し、悪用の可能性があることを明らかにした。この脆弱性 CVE-2023-29324 (CVS：6.5) の悪用に成功した攻撃者は、セキュリティ機能の整合性保護をバイパスできると説明されている。この脆弱性は、2023年5月の Patch Tuesday 更新プログラムの一部として、Microsoft により対処されている。

Greatness という Phishing-aaS：強力なサービス・セットで Microsoft 365 ユーザーを標的に！

New ‘Greatness’ service simplifies Microsoft 365 phishing attacks

2023/05/10 BleepingComputer — Greatness という名の Phishing-as-a-Service (PhaaS) プラットフォームは、Microsoft 365 を使用している組織を、米国／英国／カナダ／オーストラリア／南アフリカでターゲットとしており、活動量を急増させていることが判明した。クラウドベースの Microsoft 365 は、世界中の多くの組織で使用されており、ネットワーク侵害で悪用するデータや認証情報を盗み出すサイバー犯罪者にとって、貴重なターゲットになっている。

Snake はロシア FSB 由来：米政府が無効化した最強のスパイツールとは？

U.S. Government Neutralizes Russia’s Most Sophisticated Snake Cyber Espionage Tool

2023/05/10 TheHackerNews — ロシア連邦の FSB (Federal Security Service) が保有する、高度なマルウェア Snakeが侵害したグローバル・ネットワークを、裁判所の許可を得た米国政府が、5月12日に停止したことが発表された。最も洗練されたサイバー・スパイ・ツールとされる Snake の背後には、Turla (別名 Iron Hunter／Secret Blizzard／SUMMIT／Uroburos／Venomous Bear／Waterbug) と呼ばれるロシアの国家支援グループがいるとされるが、その正体について米国政府は、FSB の Center 16 のユニットであると見ている。

Microsoft Secure Boot のゼロデイ CVE-2023-24932：アップデートしてもデフォルトでは無効？

Microsoft issues optional fix for Secure Boot zero-day used by malware

2023/05/09 BleepingComputer — Microsoft がリリースしたセキュリティ・アップデートは、Secure Boot のゼロデイ脆弱性に対応するものであり、パッチを適用した Windows システムであっても、BlackLotus UEFI Bootkit による感染を許すものだった。Secure Boot とは、セキュリティ機能のひとつである。Unified Extensible Firmware Interface (UEFI) ファームウェアと Trusted Platform Module (TPM) チップを搭載したコンピュータにおいて、OEM に信頼されていないブートローダーがブロックされ、起動プロセス中にルートキットがロードされないようにするものだ。

API の氾濫という深刻な問題：過去のインシデントを学習して将来を見据える

Unattended API challenge: How we’re losing track and can we get full visibility

2023/05/09 HelpNetSecurity — かつてないスピードで、API が開発／導入される現代の企業において、API スプロール (氾濫) の問題が広まり始めている。Postman の 2022 State of the API Report では、「回答者の 89％が、組織の API への時間とリソースの投資は、今後 12ヶ月間で増加するか、変わらないだろうと答えている」と指摘されている。つまり、API の開発／展開が進むだろうと、それぞれの組織は自信を持っているのだ。

AndoryuBot という新たなボットネット：Ruckus Wireless の脆弱性を突いて増殖している

New Botnet Campaign Exploits Ruckus Wireless Flaw

2023/05/09 InfoSecurity — Linux ベースの Ruckus AP (access point) に存在する深刻な脆弱性が、リモート攻撃を仕掛ける脅威アクターにより制御を奪われる可能性があることが判明した。Fortinet の最新アドバイザリによると、2023年2月に発見された脆弱性 CVE-2023-25717 が、AndoryuBot という新たなボットネットに悪用されているという。

Microsoft 2023-5 月例アップデートは３件のゼロデイと 38件の脆弱性に対応

Microsoft May 2023 Patch Tuesday fixes 3 zero-days, 38 flaws

2023/05/09 BleepingComputer — 今日は Microsoft の May 2023 Patch Tuesday の日だ。このセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性３件と、合計で 38件の不具合が修正された。このうち、Critical と評価された６つの脆弱性は、リモート・コード実行にいたる恐れのあるものだ。

QR コードで $20,000 を盗まれる：偽のアンケートで Android マルアプリに感染

QR codes used in fake parking tickets, surveys to steal your money

2023/05/08 BleepingComputer — QR コードは便利なものであるため、スーパーボウルの広告や駐車料金の徴収といった、合法的な組織で多く利用されている一方で、この技術を悪用する詐欺師も出現している。シンガポールではタピオカの専門店で QR コード・アンケートに答えた女性が $20,000 を騙し取られ、米国や英国では QR コード付きの偽駐車違反キップの事例が確認されている。

Microsoft と MFA 疲労攻撃：Authenticator のプッシュ通知で番号照合を実施

Microsoft enforces number matching to fight MFA fatigue attacks

2023/05/08 BleepingComputer — Microsoft は、MFA 疲労攻撃を防ぐため、Microsoft Authenticator のプッシュ通知において番号照合を実施することにした。この種の、プッシュボミング／MFA プッシュスパム攻撃を実施する脅威アクターたちは、盗み出した認証情報を悪用し、モバイル・プッシュ通知が承認されるまでターゲットに送り続け、企業アカウントにログインしようとする。多くのケースにおいて、標的にされた被害者は、無限に続く警告を止めるために、あるいは、誤って悪意の MFA プッシュ要求に応じ、アカウントへの攻撃者のログインを許してしまう。

AI による音声クローン作成：３秒間のデータがあれば詐欺の成功率は 85% というレベル – McAfee

Your voice could be your biggest vulnerability

2023/05/08 HelpNetSecurity — McAfee によると、オンライン音声詐欺の増加に AI 技術が拍車をかけており、人の声を複製するのに必要な音声は、わずか３秒であることが判明している。７カ国の 7,054人を対象に McAfee が調査したところ、成人の 4分の1 が何らかの AI 音声詐欺を経験したことがあり、10人に 1人が個人的に狙われ、15％が知人に起こったと回答している。結果として、被害者の 77％が騙され、金銭を失ったと回答している。McAfee Labs のセキュリティ研究者たちは、AI 音声クローニング技術と、サイバー犯罪者による悪用に関する、徹底的な調査から得た知見と分析を明らかにした。

Western Digital へのデータ侵害：３月のサイバー攻撃で顧客データが盗まれたことを認める

Western Digital says hackers stole customer data in March cyberattack

2023/05/07 BleepingComputer — 2023年3月にサイバー攻撃を受けた Western Digital は、ハッカーに機密個人情報が盗まれたことを認め、オンラインストアを休止し、顧客にデータ侵害の通知を送った。同社は、2023年5月5日(金) の午後にデータ侵害通知をＥメールで送信し、顧客のデータが保存されていた、Western Digital のデータベースが盗まれたことを警告した。Western Digital は、「2023年3月26日頃に、不正な第三者による侵害が発生し、当社のオンラインストア・ユーザーの限定的な個人情報を含む、Western Digital データベースのコピーを取得したことが、調査により判明した」と述べている。

Python パッケージに新たなマルウェア Kekw：データ窃取と暗号ハイジャックを仕掛ける

“Kekw” Malware in Python Packages Could Steal Data and Hijack Crypto

2023/05/05 InfoSecurity — PyPI (Python Package Index) 上で発見された、Kekw と呼ばれる新しいマルウェアを取り込んだ、複数の有害な Python .whl ファイルが存在しているという。Cyble Research and Intelligence Labs (CRIL) の最新の調査によると、Kekw マルウェアは感染済のシステムからの機密情報の窃取および、暗号通貨取引をハイジャックするクリッパー・アクティビティなどを行うという。

OSI の 7-Layers モデルをセキュリティ面から考える：各層と攻撃手法をマッピングしてみた

An overview of the OSI model and its security threats

2023/05/05 Tripwire — Open Systems Interconnection (OSI) モデルは、International Standards Organization (ISO) が作成した概念的なフレームワークであり、あらゆるコンピュータ・ネットワーク書籍において、40年以上にわたって使用されている。また、ほぼ全てのサイバー・セキュリティ試験で、好んで使用されるリソースでもある。OSI モデルは、コンピュータ・システム間の通信が行われる方式を理解する際に有効な、７つの層で表現されている。具体的に言うと、各層におけるプロトコル／サービス／インターフェイスを排他的に分離するため、ネットワークに関連するトラブルシューティングに有益であり、メーカーが技術を定義する際に、他社との互換性を維持するためにも有効である。

Kimsuky APT は北朝鮮由来：ReconShark という偵察ツールで標的を狙い続ける

N. Korean Kimsuky Hackers Using New Recon Tool ReconShark in Latest Cyberattacks

2023/05/05 TheHackerNews — Kimsuky という名の、北朝鮮の国家に支援される脅威アクターは、進行中のグローバル・キャンペーンの一環として、ReconShark という新たな偵察ツールを使用していることが判明した。 SentinelOne の研究者である Tom Hegel と Aleksandar Milenkoski は、「ReconShark は、スピアフィッシング・メールおよび、文書のダウンロードにつながる OneDrive リンク、そして、悪意のマクロの実行を介して、標的とする個人に対して配信されている」と述べている。

HTML 内に仕込まれたマルウェアの進化：セキュリティ・スキャンを難しくする手口とは

Barracuda Networks Reports Shift in HTML Malware Tactics

2023/05/05 SecurityBoulevard — Barracuda Networks が発表したレポートによると、HTML ファイル内にマルウェアを埋め込むバー犯罪者が、外部サイトへのリンクを介して悪意のペイロードを配信するケースが増えているようだ。このようなアプローチの変化により、一部のセキュリティ・スキャナでは、メールに埋め込まれたマルウェアを検出することが難しくなっている。

BlackBerry 脅威レポート：１位米国／２位ブラジル／３位日本という攻撃頻度が判明

BlackBerry Report Surfaces Increasing Rate of Cyberattacks

2023/05/05 SecurityBoulevard — BlackBerry が発表した脅威インテリジェンス・レポートによると、同社のサイバー・セキュリティ・ソフトウェア／サービスを利用している組織に対して、2022年12月〜2023年2月には１分あたり12件のサイバー攻撃が行われ、そのうち 1.5件は新しいマルウェア・サンプルに基づく攻撃であることが判明した。BlackBerry のレポートでは、これらの攻撃が行われているロケーションの変化についても指摘されている。１位の米国に次いで、２位はブラジル、３位は日本、４位はカナダとなり、シンガポールが初めて Top-10 にランクインしたとのことだ。

Fleckpe というトロイの木馬：Google Playから 60万回ダウンロードされている

Subscription Trojan Downloaded 600K Times From Google Play

2023/05/05 InfoSecurity — セキュリティ研究者たちが発見した新しいトロイの木馬型マルウェアは、Google Play から提供される 11種類の Android アプリ内に潜み、620,000 台以上のデバイスにインストールされているというものだ。Kaspersky により Fleckpe と命名された、このマルウェアは Jocker および Harly 系統に類似しており、2022年から活動を開始している。このマルウェアは、被害者を密かにプレミアム・サービスに加入させ、ユーザーが気づかない間にオペレーターに収益をもたらすように設計されている。

FluHorse は新たな Android マルウェア：検出を巧みに回避して認証情報などを窃取

New Android Malware ‘FluHorse’ Targeting East Asian Markets with Deceptive Tactics

2023/05/05 TheHackerNews — Flutter ソフトウェア開発フレームワークを悪用した、FluHorse という名の新たな Android マルウェア系統を配布する、電子メール・フィッシング・キャンペーンが、東アジア・マーケットの様々な分野で展開されていることが判明した。Check Point のテクニカル・レポートには、「このマルウェアは、正規のアプリケーションを模倣した、複数の悪意の Android アプリケーションに仕込まれ、その大半が 100万回以上もインストールされている。これらの悪意のあるアプリは、被害者の認証情報と二要素認証 (2FA) コードを盗み出す」と記されている。

PaperCut 脆弱性の悪用：新たな PoC エクスプロイトが証明する検出回避の手口

Researchers Uncover New Exploit for PaperCut Vulnerability That Can Bypass Detection

2023/05/04 TheHackerNews — 先日に公開された PaperCut サーバの深刻な欠陥だが、現時点における全ての検出方法を回避しながら悪用する手口を、サイバー・セキュリティ研究者たちが解明している。この脆弱性 CVE-2023-27350 (CVSS：9.8) は、PaperCut MF/NG のインストールに影響を及ぼし、認証されていない攻撃者に対して、SYSTEM 権限での任意のコード実行を許すものである。オーストラリアに本拠を置く PaperCut により、この欠陥は 2023年3月8日にパッチが適用されたが、活発な悪用の兆候が 2023年4月13日に観測されている。

DLL サイドローディングの二重化：追跡が困難なスティルス攻撃を東アジアで検出 – Sophos

Hackers start using double DLL sideloading to evade detection

2023/05/03 BleepingComputer — Dragon Breath／Golden Eye Dog／APT-Q-27 として知られる APT ハッキング・グループが、古典的な DLL サイドローディング手法を組み合わせる、いくつかの複雑なバリエーションを用いて、検知を回避し始めている。これらの攻撃のバリエーションは、Telegram などのクリーンなアプリケーションを悪用する最初のベクターから始まり、セカンド・ステージのペイロード (クリーンな場合もある) をサイドロードし、そのサイドロードにより悪意のマルウェア・ローダー DLL をロードするものだ。