CyberAttack – Page 14 – IoT OT Security News

LastPass ユーザーを狙うソーシャル・エンジニアリング：Chrome Web Store のフェイク・レビューに要注意

Warning: LastPass Alerts Users to Phishing Scam Using Fake Support Reviews on Chrome Web Store

2024/11/05 SecurityOnline — パスワード管理プラットフォーム LastPass が発した警告は、Chrome Web Store アプリ・ページでの偽のレビューを通じて、ユーザー・ベースを狙うソーシャル・エンジニアリング・キャンペーンに関するものである。この新たな攻撃は、脅威アクターが偽のレビューを送信してユーザーを欺き、不正なサポート番号へと電話をかけさせ、機密情報を危険にさらす可能性があるものだ。

Snowflake データ侵害：犯行に関与したとされるハッカーをカナダ当局が逮捕

Canada Arrests Suspected Hacker Linked to Snowflake Data Breaches

2024/11/05 HackRead — クラウド・データウェアハウス・プラットフォーム Snowflake における、データ侵害事件に関与した容疑者を、カナダ当局が逮捕した。攻撃者は大手企業などを標的にして、そのアクセスを悪用することで、機密データを盗み出し、身代金を要求した。

Android の複数の脆弱性が FIX：悪用が確認された CVE-2024-43047 は CISA KEV に登録

CVE-2024-43047 & CVE-2024-43093: Android Zero-Days Demand Immediate Patching

2024/11/04 SecurityOnline — 2024年11月のセキュリティ・アップデートにおいて、Google は Android OS の 40件のセキュリティ脆弱性に対応した。そのうちの２件の脆弱性 CVE-2024-43047／CVE-2024-43093 は、現在も悪用されていることが報告されている。Google は、「これらの脆弱性が、標的を絞り込んだ限定的な攻撃で、悪用されているという兆候がある」と述べている。

DocuSign の Envelopes API を悪用：Norton／PayPal などの署名付き偽請求書の送信

DocuSign’s Envelopes API abused to send realistic fake invoices

2024/11/04 BleepingComputer — DocuSign の Envelopes API を悪用する脅威アクターが、Norton や PayPal などの著名なブランドを装うことで、偽の請求書を大量に作成／配布していることが判明した。脅威アクターが送信するメールは、正規の DocuSign ドメインである docusign.net から送信されるため、メール・セキュリティ保護は回避されてしまう。

Cortex XDR を回避する脅威アクター：痛恨のミスにより暴露されたツールキットと戦略

EDRsandblast Exploited: How Attackers are Weaponizing Open-Source Code

2024/11/03 SecurityOnline — Unit 42 の研究者たちが発見したのは、最近に発生した EDR (endpoint detection and response) 回避において、脅威アクターたちが使用していた、新たなツール・キットの存在である。この調査では、EDR 防御を回避するために攻撃者が用いた、戦術が明らかになっただけではなく、攻撃を背後で操る１人の脅威アクターの、身元に関する重大な発見にもつながった。

中国のサイバースパイ Volt Typhoon／APT31／APT41：５年間にわたる活動の詳細 – Sophos 調査

Pacific Rim: Sophos Exposes 5 Years of Chinese Cyber Espionage

2024/11/03 SecurityOnline — Sophos X-Ops の最新レポート “Pacific Rim” は、中国を拠点とする脅威グループを追跡し、インド太平洋地域の高価値インフラ／政府機関を、５年間にわたり標的としてきたキャンペーンを明らかにするものだ。これらの活動で用いられる戦術には、特注のマルウェアや、ステルス性の持続的機能だけではなく、高度な運用セキュリティなどがあるという。Sophos は、他のサイバーセキュリティ企業／法執行機関／政府機関との共同調査により、これらの攻撃を、Volt Typhoon／APT31／APT41 (Winnti) などの悪名高い国家支援グループと関連付けている。

Meta の広告を巧みに悪用：SYS01 Infostealer キャンペーンが世界に広がっている

SYS01 Infostealer Campaign Exploits Meta Ads to Target Millions Worldwide

2024/11/02 SecurityOnline — オンライン広告への依存度が高まっている世界において、サイバー犯罪者たちは Meta の広大な広告エコシステムを悪用する機会を手にしている。そのような状況の中で、Bitdefender Labs が公表したレポートは、”SYS01 Infostealer” キャンペーンの詳細を記し、警告を発するものとなっている。このキャンペーンは、侵害した Facebook Business アカウントを悪用して、世界中のプラットフォームへ向けて、悪意の広告を配信する高度なマルバタイジング攻撃である。

SharePoint の脆弱性 CVE-2024-38094：PoC 悪用による企業ネットワークへの侵入を観測

Microsoft SharePoint RCE bug exploited to breach corporate network

2024/11/02 BleepingComputer — 先日に公表された Microsoft SharePoint のリモート・コード実行 (RCE) 脆弱性 CVE-2024-38094 (CVSS v3.1：7.2) が、企業ネットワークへのイニシャル・アクセス獲得のために悪用されていることが判明した。Microsoft 365 のアプリケーションとシームレスに統合が可能な SharePoint は、広く使用されている Web ベースのプラットフォームであり、イントラネット／文書管理／コラボレーション・ツールとして機能する。

金融機関におけるセキュリティ負債：新たな概念でアプリの脆弱性を分類する – Veracode 調査

50% of financial orgs have high-severity security flaws in their apps

2024/11/01 HelpNetSecurity — Veracode のレポートが定義する、”セキュリティ負債” という言葉は、１年以上にわたって修正されず、放置されている、深刻な脆弱性により構成される概念を指す。このセキュリティ負債は、金融組織の 76% に存在しており、そのうちの 50% の組織は、深刻なセキュリティ負債を抱えていることが、Veracode の最新レポート “Research Highlights Financial Sector’s Escalating Security Debt” により明らかになった。

新たな犯罪グループ EMERALDWHALE：Git コンフィグ・ファイルからクラウド認証情報を窃取

EMERALDWHALE Operation Exposes Over 15,000 Cloud Credentials in Widespread Git Exploit

2024/10/31 SecurityOnline — 世界規模の犯罪組織 EMERALDWHALE が、Git の無防備なコンフィグ・ファイルを悪用し、15,000件以上のクラウド認証情報を盗み出していることが、Sysdig の Threat Research Team (TRT) により発見された。Sysdig TRT のレポートでは、認証情報を漏洩させる大量のミスコンフィグが存在するという、憂慮すべき Web サーバの状況が指摘されている。それらのミスコンフィグは、何千ものプライベート・リポジトリに影響を与え、１つのアカウントが侵害されるごとに、数多くの被害者に損失を与える可能性があるものだ。

Xiū gǒu という新たなフィッシング・キット：米／英／豪／日を積極的に標的化

New Xiū gǒu Phishing Kit Hits UK, US, Japan, Australia Across Key Sectors

2024/10/31 HackRead — 英国／米国／スペイン／オーストラリア／日本のユーザーをターゲットにする “Xiū gǒu” フィッシング・キットが、サイバー・セキュリティ研究者たちにより発見された。このキットが標的とするのは、公共／郵便／銀行などの分野であり、正当なサービスを模倣してデータを収集している。Netcraft のサイバー・セキュリティ研究者たちが発見した、”Xiū gǒu” という新たなフィッシング・キットは実際に機能している。このキットは、2024年9月から、英国／米国／スペイン／オーストラリア／日本の無防備なユーザーを、積極的にターゲットにしている。

DrayTek Vigor2960 Routers の脆弱性 CVE-2024-48074 が FIX：RCE と PoC

CVE-2024-48074: RCE Flaw Discovered in DrayTek Vigor2960 Routers, PoC Published

2024/10/30 SecurityOnline — 堅牢な VPN ソリューションを必要とする企業に人気の、DrayTek Vigor2960 ルーターに重大なリモートコード実行 (RCE) の脆弱性が存在することを、セキュリティ研究者たちが発見した。この脆弱性 CVE-2024-48074 (CVSS：8.0) は、ファームウェア・バージョン 1.4.4 を実行するデバイスに影響を及ぼす。

新しい永続化の手法を発見：Windows Explorer.exe の TypeLib をハイジャック

Uncovering a New Persistence Technique: TypeLib Hijacking with Explorer.exe

2024/10/30 SecurityOnline — MTS Innovation Center CICADA8 チームの Michael Zhmailo により、永続化のための新しい方法が発見された。この方法は、Windows COM (Component Object Model) システム内の TypeLib ライブラリをハイジャックし、explorer.exe などのプロセスを具体的にターゲットにして、ステルス性の高い永続的なコード実行を実現するものだ。

悪意の RDP コンフィグを展開するロシアの Midnight Blizzard：Microsoft と AWS が警告

Russian hackers deliver malicious RDP configuration files to thousands

2024/10/30 HelpNetSecurity — ロシア対外情報局 (SVR) と関連があるとされる、サイバースパイ集団の Midnight Blizzard は、署名された RDP コンフィグ・ファイルを取り込んだフィッシング・メールで、政府／学術／防衛／NGO 関係者を標的にしている。Microsoft の脅威アナリストたちは、「Midnight Blizzard のスピアフィッシング・キャンペーンに関する以前の調査に基づけば、この作戦の目的は、おそらく情報収集であると推測される」と述べている。

悪意の Python 暗号通貨取引パッケージ：PyPI と GitHub で 1,300 回以上もダウンロード

Researchers Uncover Python Package Targeting Crypto Wallets with Malicious Code

2024/10/30 TheHackerNews — 新たな悪意の Python パッケージを発見した Checkmarx によると、それらは、暗号通貨取引ツールを装いながら機密データを盗み足し、被害者の暗号通貨ウォレットから資産を流出させる機能を備えるものだとされる。この CryptoAITools と名付けられたパッケージは、Python Package Index (PyPI) と偽の GitHub リポジトリで配布されたと言われ、PyPI では削除されるまでの間に、1,300 回以上もダウンロードされたという。

Atlassian Confluence の脆弱性 CVE-2023-22527：Titan を介したクリプトジャッキングで悪用

Atlassian Confluence Vulnerability CVE-2023-22527 Exploited for Cryptomining

2024/10/30 SecurityOnline — Atlassian Confluence サーバの脆弱性 CVE-2023-22527 を悪用する脅威アクターが、被害者のサーバを攻撃した上でリソースを窃取していることが、先日の Trend Micro レポートにより判明した。それらの脅威アクターたちは、Titan Network から報酬を得ているが、この分散型のオープンソース・プラットフォームは、ハードウェアを価値のあるデジタル資産に置き換えるものである。

CyberPanel の RCE 脆弱性：PSAUX ランサムウェア展開での悪用を確認

PSAUX Ransomware is Exploiting Two Max Severity Flaws (CVE-2024-51567, CVE-2024-51568) in CyberPanel

2024/10/29 SecurityOnline — 人気の Web ホスティング・コントロールパネル CyberPanel に存在する、３つの RCE 脆弱性 CVE-2024-51567／CVE-2024-51568／CVE-2024-51378 が悪用されていることが判明した。これらの脆弱性は、CyberPanel バージョン 2.3.6〜2.3.7 に影響を与えるものであり、認証されていない攻撃者によるルートアクセス権の窃取を許し、影響を受けるシステムの完全な制御を奪われる恐れが生じる。これらの脆弱性を悪用する攻撃者たちは、脆弱なサーバを侵害し、PSAUX ランサムウェアを展開しているという。

情報窃取マルウェア RedLine／MetaStealer：国際協調 Operation Magnus がテイクダウン

Dutch Police Disrupt Major Info Stealers RedLine and MetaStealer in Operation Magnus

2024/10/29 TheHackerNews —オランダ国家警察が発表したのは、２つの情報窃取ツールである RedLine／ MetaStealer を動かすインフラを、各国のパートナーと共にテイクダウンしたことだ。2024年10月28日に行われた、このテイクダウンは、コードネーム Operation Magnus の成果であり、国際的な法執行機関のタスクフォースに、米国／英国／ベルギー／ポルトガル／オーストラリアの当局が参加した結果でもある。

中国ハッカー Evasive Panda：CloudScout を使用してセッション・クッキーを窃取

Chinese Hackers Use CloudScout Toolset to Steal Session Cookies from Cloud Services

2024/10/28 TheHackerNews — 中国の脅威アクター Evasive Panda に標的とされた台湾の政府機関と宗教団体が、未知のポスト・コンプロマイズ・ツールセットである、CloudScout という名の文書化されていないマルウェアに感染したことが判明した。ESET のセキュリティ研究者である Anh Ho は、「CloudScout ツールセットは、盗み出された Web セッション・クッキーを悪用することで、様々なクラウド・サービスからデータを取得している。さらに、Evasive Panda の代表的なマルウェア・フレームワークである MgBot と、プラグインを介してシームレスに連携する」と説明している。

Xlight FTP Server の脆弱性 CVE-2024-46483 (CVSS 9.8) が FIX：PoC も公開

CVE-2024-46483 (CVSS 9.8): Xlight FTP Server Flaw Leaves Users Exposed to Remote Attacks, PoC Published

2024/10/28 SecurityOnline — 安全で高性能なファイル転送用に設計された、Windows ベースの FTP／SFTP ソリューションである Xlight SFTP サーバで、深刻なセキュリティ脆弱性が発見された。この認証前ヒープ・オーバーフロー脆弱性 CVE-2024-46483 は、その重大な影響の可能性を反映して、CVSS スコア 9.8 と評価されている。この脆弱性は、32／64 Bit アーキテクチャの Xlight バージョン 3.9.4.2 以下に影響を及ぼし、認証されていない攻撃者に対して、リモート・コード実行やサービス運用妨害を許すものとされる。

Grafana の脆弱性 CVE-2024-9264 (CVSS 9.9)：PoC エクスプロイトが公開

Grafana Vulnerability CVE-2024-9264: PoC Exploit Released for 9.9-Rated Critical Flaw

2024/10/28 SecurityOnline — オープンソースのマルチ・プラットフォーム分析／可視化ツールである、Grafana に存在する脆弱性 CVE-2024-9264 (CVSS： 9.9) に対して、技術的詳細と PoC エクスプロイト・コードが公開された。この脆弱性は、Grafana のバージョン 11.0.x／11.1.x／11.2.x に影響を及ぼし、コマンド・インジェクションおよびローカルファイル・インクルージョン (LFI：local file inclusion) のリスクに、システムをさらす可能性があるものだ。

Chrome の App-Bound Encryption がクラックされた：OSS のツールが GitHub で提供

Chrome’s App-Bound Encryption Cracked: Open-Source Tool Bypasses Security Measure

2024/10/27 SecurityOnline — Chrome の App-Bound Encryption で保護されたキーの復号を、新しくリリースされたオープンソース・ツールが成功させたことで、このセキュリティ機能の長期的な有効性について懸念が高まっている。Google Chrome のバージョン 127 で導入された App-Bound Encryption (ABE) は、復号機能を特定のアプリケーションにリンクすることで、ユーザーのセキュリティを強化することを目的としている。それにより、Cookie／パスワード／支払い情報などの機密データへの、悪意のプログラムによるアクセスを防止している。

AWS がロシアの APT29 ドメインを凍結：政府／軍事などにフィッシング攻撃

AWS Seizes Domains Used by Russia’s APT29

2024/10/25 SecurityWeek — 10月24日に Amazon Web Services (AWS) が発表したのは、ロシアの脅威グループである APT29 が、フィッシング攻撃に用いたドメインの凍結に関する情報である。同社によると、APT29 が使用していたドメインの一部は、AWS のドメインであるかのような名称であったという。しかし、その攻撃の標的は、Amazon や顧客ではなく政府機関／軍事組織／企業であり、Microsoft Remote Desktop を介した Windows 認証情報の収集が目的だった。

CISA KEV 警告 24/10/24：Cisco と Roundcube の脆弱性を登録

CISA Sounds Alarm on Actively Exploited Cisco and Roundcube Vulnerabilities

2024/10/24 SecurityOnline — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、悪用が報告されている Cisco VPN の脆弱性 CVE-2024-20481 と Roundcube wabmail の脆弱性 CVE-2024-37383 を、KEV (Known Exploited Vulnerabilities) カタログに登録した。これらの脆弱性が悪用されると、サービス拒否状態や機密情報の盗難につながる可能性があり、組織や個人に重大なリスクが生じるとされる。

FortiManager のゼロデイ脆弱性 CVE-2024-47575：未知の脅威グループ UNC5820 が悪用

New Threat Group UNC5820 Targets FortiManager Zero-Day CVE-2024-47575 in Global Cyberattack

2024/10/24 SecurityOnline — 10月24日に Mandiant が公開したレポートは、FortiManager アプライアンスのゼロデイ脆弱性 CVE-2024-47575 を悪用する攻撃が、複数の業界に及んでいることを警告するものだ。この脆弱性の悪用に成功した攻撃者は、欠陥のある FortiManager デバイス上で任意のコード／コマンドの実行を達成し、深刻なセキュリティ・リスクを引き起こす可能性を手にする。

CISA KEV 警告 24/10/22：Microsoft SharePoint のコード実行の脆弱性を登録

U.S. CISA adds Microsoft SharePoint flaw to its Known Exploited Vulnerabilities catalog

2024/10/23 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Microsoft SharePoint に存在するデシリアライゼーション脆弱性 CVE-2024-38094 (CVSS v4：7.2) を、KEV (Known Exploited Vulnerabilities) カタログに登録した。対象となるサイト所有者の権限を持つ攻撃者であれば、この脆弱性を悪用し、SharePoint Server に任意の悪意のコードを挿入／実行できる。

Fortinet FortiManager の脆弱性 CVE-2024-47575 が FIX：積極的な悪用を検出

Fortinet Confirms Zero-Day Exploit Targeting FortiManager Systems

2024/10/23 SecurityWeek — Fortinet の新たなゼロデイ脆弱性が、実際に悪用されている状況が発見された。10月23日 (水) に、米国政府のサイバー・セキュリティ機関である CISA は、Fortinet FortiManager プラットフォームに存在する深刻な脆弱性に関する緊急注意を喚起し、すでにリモートのハッカーがコード実行に達していることを警告した。同社は、FortiManager fgfmdデーモンに存在する脆弱性 CVE-2024-47575 (CVSS：9.8) について、重要な機能に対する認証の欠落の脆弱性だと記述している。

Lumma Stealer マルウェア：偽の CAPTCHA ページを使用してペイロードを実行

Fake CAPTCHA Pages Used by Lumma Stealer to Spread Fileless Malware

2024/10/22 HackRead — Qualys TRU (Threat Research Unit) が公表したのは、MaaS (Malware-as-a-Service) モデルとして提供されるマルウェア Lumma Stealer が、ユーザーを欺くための手口を大幅に進化させていることだ。Qualys が HackRead に共有した調査結果は、偽の CAPTCHA ページを使用してユーザーを騙して永続的なペイロードを実行させる、アクティブな Lumma Stealer キャンペーンに関するものだ。この攻撃は、複数のステップで構成され、ファイルレス技術を用いる、巧妙かつ持続的なものとなっている。

Microsoft Remote Registry の EoP 脆弱性 CVE-2024-43532：技術的詳細と PoC が公開

Critical EoP Flaw in Microsoft’s Remote Registry: Researcher Publishes PoC for CVE-2024-43532

2024/10/21 SecurityOnline — Microsoft Remote Registry クライアントに存在する権限昇格の脆弱性 CVE-2024-43532 (CVSS：8.8) に対する、技術的詳細と PoC エクスプロイト・コードが、Akamai の研究者 Stiv Kupchik から公開された。この脆弱性は、推奨の SMB トランスポートが利用できない場合において、旧式のトランスポート・プロトコルを安全でない方法で使用する、WinReg クライアントのフォールバック・メカニズムの悪用に関連するものだ。この脆弱性の悪用に成功した攻撃者は、NTLM 認証情報のリレーを達成し、機密性の高いシステムを危険にさらす可能性を手にする。

SonicWall SonicOS の脆弱性 CVE-2024-40766：Akira による悪用を確認 – Cisco Talos

Akira Ransomware Exploit CVE-2024-40766 in SonicWall SonicOS

2024/10/21 SecurityOnline — Akira ランサムウェア・グループは、サイバー攻撃における手口を改良し続け、最も影響力の大きな脅威としての地位を築いている。Cisco Talos の最近のレポートによると、Akira の成長の要因は、絶え間ない進化と戦術的なシフトにあるあるという。Akira は、従来のランサムウェア技術の枠を超えて、サイバー犯罪の分野で強力な勢力を維持している。

Internet Archive でデータ侵害：サービス復旧作業中に再びハッキングが発生

Internet Archive Hacked Again During Service Restoration Efforts

2024/10/21 SecurityWeek — 非営利デジタル・ライブラリである Internet Archive でデータ侵害が発生し、3,100万人分のユーザー名／メールアドレス／パスワード・ハッシュなどが流出した。さらに、Internet Archive は大規模な DDoS 攻撃の標的となり、また、Web サイトの改ざんにも見舞われている。それにより、何千億もの Web ページのスナップショットを収集してきた、人気の Wayback Machine などを含む、大半のサービスが停止した。

Windows Kernel Streaming の脆弱性 CVE-2024-30090 が FIX：技術詳細と PoC も提供

Microsoft Windows Flaw: CVE-2024-30090 PoC Exploit Published, Posing SYSTEM Privilege Threat

2024/10/20 SecurityOnline — Microsoft の Kernel Streaming サービスに存在するお特権昇格の脆弱性 CVE-2024-30090 (CVSS：7.0) が、セキュリティ研究者の Angelboy (@scwuaptx) と DEVCORE により発見された。この脆弱性の悪用に成功した攻撃者は、脆弱な Windows システム上で SYSTEM 特権獲得の可能性を手にする。

Roundcube Webmail の XSS 脆弱性 CVE-2024-37383：フィッシング攻撃での悪用を確認

Hackers Exploit Roundcube Webmail XSS Vulnerability to Steal Login Credentials

2024/10/20 TheHackerNews — オープンソースの Web メールソフトウェア Roundcube の、すでに修正済みの脆弱性 CVE-2024-37383 を、正体不明の脅威アクターがフィッシング攻撃で悪用し、ユーザー認証情報の窃取を試行していることが確認された。ロシアのサイバーセキュリティ企業 Positive Technologies が 2024年9月に公表したのは、CIS (Commonwealth of Independent States) 加盟国のに所在する不特定の政府機関に対して、不審なメールが送信されたことである。特筆すべきは、そのメッセージが、2024年6月の時点で送信されていたことだ。

CISA KEV 警告 24/10/17：Veeam の RCE 脆弱性 CVE-2024-40711 を追加

U.S. CISA adds Veeam Backup and Replication flaw to its Known Exploited Vulnerabilities catalog

2024/10/19 SecurityAffairs — Veeam Backup and Replication の脆弱性 CVE-2024-40711 (CVSS：9.8) が、米国の CISA の KEV (Known Exploited Vulnerabilities)カタログに追加された。10月11日の時点で Sophos の研究者たちが警告していたのは、Veeam Backup & Replication の脆弱性 CVE-2024-40711 を悪用する、ランサムウェアのオペレーターが不正なアカウントを作成し、マルウェアを展開していることだった。

IntelBroker によるデータ窃取の主張：Cisco の DevHub ポータルがオフラインに

Cisco takes DevHub portal offline after hacker publishes stolen data

2024/10/18 BleepingComputer — Cisco の発表は、DevHub ポータルのオフラインに関するものであり、同社の “非公開” のデータを脅威アクターが流出させたという報告を受けてのものである。しかし Cisco は、自社のシステムが侵害された証拠はないと主張している。Cisco のインシデント・レポートには、「問題のデータは、パブリックな DevHub 環境に存在するものであると判明した。DevHub とは、Cisco のリソース・センターであり、必要に応じてソフトウェア・コードやスクリプトなどを利用できるようにし、コミュニティをサポートするものだ」と記されている。

EC プラットフォーム Vendure の脆弱性 CVE-2024-48914 が FIX：PoC も提供

CVE-2024-48914 (CVSS 9.1): Critical File Read Flaw Discovered in Vendure E-commerce Platform

2024/10/18 SecurityOnline — 人気の OSS ヘッドレスＥコマースのプラットフォーム Vendure に、深刻なセキュリティ脆弱性 CVE-2024-48914 (CVSS：9.1) が発見された。この脆弱性の悪用に成功した攻撃者は、サーバからの任意のファイル読み取りを達成し、コンフィグ・ファイルや環境変数などの機密情報を漏洩させる可能性を手にする。

CISA／FBI／NSA の共同勧告：イランのハッカーが Microsoft 365 などに MFA 疲労攻撃を展開

Iranian Hackers Target Microsoft 365, Citrix Systems with MFA Push Bombing

2024/10/18 HackRead — イランのハッカーたちが、ブルートフォース攻撃の手法を用いて、重要なインフラ組織を標的にしている。この記事で掘り下げていくのは、MFA プッシュ攻撃や認証情報の窃取などの、彼らが用いるテクニックの詳細である。これらの高度な脅威から組織を保護し、効果的なセキュリティ対策を導入する方法について学んでいこう。

F5 BIG-IP の脆弱性 CVE-2024-45844 (CVSS：8.6) が FIX：PoC エクスプロイトも提供

F5 BIG-IP Vulnerability (CVE-2024-45844): Access Control Bypass Risk, PoC Available

2024/10/17 SecurityOnline — ネットワーク・トラフィック管理とセキュリティ・ソリューションを提供する F5 BIG-IP に、深刻な脆弱性の存在が確認された。この脆弱性 CVE-2024-45844 (CVSSv4：8.6) を悪用する認証済みの攻撃者は、アクセス制御制限を回避し、システムに脅威をもたらす可能性を得る。

Google Meet アラートを偽装：ClickFix 攻撃によるマルウェア配信が蔓延

ClickFix Attack: Fake Google Meet Alerts Install Malware on Windows, macOS

2024/10/17 HackRead — 人気のビデオ会議プラットフォームである、Google Meet のユーザーを標的とするサイバー攻撃が増加していることを、Sekoia のサイバー・セキュリティ研究者たちが検出している。この攻撃では、”ClickFix” 呼ばれる戦術が使用されている。この戦術は 2024年5月に登場したものであり、Google Chrome／Google Meet／Facebook などの正当なサービスを装うことで、ユーザーを騙してマルウェアをダウンロードさせるものだ。

2023年に悪用された脆弱性の 70％はゼロデイ：Google Mandiant 調査

Google: 70% of exploited flaws disclosed in 2023 were zero-days

2024/10/16 BleepingComputer — Google Mandiant のセキュリティ・アナリストたちは、脅威アクターがソフトウェアのゼロデイ脆弱性を発見し、悪用する能力を向上させているという、懸念すべき新たな傾向について警告している。Mandiant によると、2023年に積極的な悪用が公表された 138件の脆弱性のうち、97件 (70.3%) がゼロデイとして悪用されたという。つまり、脆弱性の影響を受けるベンダーが、バグの存在を知る以前に、あるいは、パッチを適用する以前に、それらの欠陥を脅威アクターが攻撃で悪用したことを意味する。

Internet Explorer (IE) の脆弱性 CVE-2024-38178 を悪用：北朝鮮の TA-RedAnt とは？

North Korean Hackers Exploit Zero-Day Flaw (CVE-2024-38178) in “Operation Code on Toast”

2024/10/16 SecurityOnline — Microsoft Internet Explorer (IE) の脆弱性 CVE-2024-38178 が、北朝鮮のハッカーたちにより積極的に悪用されていることが、AhnLab Security Emergency response Center (ASEC) と National Cyber Security Center (NCSC) の共同レポートにより判明した。この攻撃は Operation Code on Toast と呼ばれ、時代遅れの Toast 広告プログラムのユーザーをターゲットにして、マルウェアを配信している。

EDRSilencer の武器化：脅威アクターが変容させたレッドチーム・ツールに要注意

EDRSilencer: The Red Team Tool Turned Cybercriminal Weapon

2024/10/15 SecurityOnline — EDR (Endpoint Detection and Response) ソリューションを妨害するように設計された、レッドチーム・ツール EDRSilencer に関連する問題が、Trend Micro の Threat Hunting Team により発見された。もともとは、EDR システムの脆弱性を特定／解決する、セキュリティ専門家たちを支援するために設計されたツールであるが、現在ではサイバー犯罪者が検出を回避するために、また、秘密裏に攻撃を実行するために再利用されている。

CISA KEV 警告 24/10/15：Windows／Firefox／SolarWinds の脆弱性を登録

CISA Warns Actively Exploited Vulnerabilities, Including Windows Kernel Flaw and Firefox Zero-Day

2024/10/15 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発したのは、Microsoft Windows／Mozilla Firefox／SolarWinds Web Help Desk などに影響を及ぼし、現在も悪用されている３件の脆弱性についての緊急警告である。これらの脆弱性について、CISA は Known Exploited Vulnerabilities (KEV) に登録したことで、直ちにパッチを適用することの重要性が強調されることになった。

Windows カーネルモード・ドライバの脆弱性 CVE-2024-35250 が FIX：PoC も公開

PoC Exploit Release for Windows Kernel-Mode Driver Elevation of Privilege Flaw (CVE-2024-35250)

2024/10/14 SecurityOnline — Windows の SYSTEM 特権の獲得を攻撃者に許すとされる、深刻な脆弱性 CVE-2024-35250が、 DEVCORE Research Team のセキュリティ研究者 Angelboy (@scwuaptx) の詳細な分析により明らかにされた。この脆弱性は、Pwn2Own Vancouver 2024 で実際に取り上げられ、その深刻度から広く注目を集めている。

Windows Kernel 脆弱性 CVE-2024-30088 を悪用：イラン由来の Earth Simnavaz という APT

Earth Simnavaz Exploits Windows Kernel Flaw CVE-2024-30088 in Attacks on Critical Infrastructure

2024/10/14 SecurityOnline — Trend Micro の研究者たちが公表したのは、脅威グループ Earth Simnavaz (別名 APT34／OilRig) が実施したとされる、一連の高度なサイバー攻撃に関する情報である。このイラン由来のサイバースパイ・グループは、アラブ首長国連邦 (UAE) などの湾岸地域の政府機関や重要なインフラを積極的に標的にしており、高度な技術を駆使して不正アクセスを行い、機密情報を盗み出している。

Cisco から窃取したデータ：IntelBroker がハッキング・フォーラムでの販売？

Cisco investigates breach after stolen data for sale on hacking forum

2024/10/14 BleepingComputer — Cisco が認めたのは、同社に侵入したハッカーが盗み出したとするデータが、ハッキング・フォーラムで販売され始めたという、インシデントの調査に着手したことだ。Cisco の広報担当者は「あるハッカーが、Cisco 関連の特定のファイルにアクセスしたと、主張していることを認識している。いま、この主張を評価するために調査を開始しており、調査は継続中である」と、BleepingComputer に語っている。

Fidelity Investments で今年二度目のデータ侵害：約８万人分の個人情報が流出

Fidelity Investments suffered a second data breach this year

2024/10/14 SecurityAffairs — 米国を拠点とする金融サービス企業の Fidelity Investments は、8月のサイバー攻撃により 77,099人分の個人情報が流出したことを、当局に対して報告している。同社のデータ流出は、2024年8月17日に発生し、その 2日後の8月19日に発見された。

Casio データ侵害が発生：Underground ランサムウェア・グループが犯行を主張

Casio Confirms Data Breach as Ransomware Group Leaks Files

2024/10/14 SecurityWeek — 日本の大手電機メーカー CASIO は、ランサムウェア・グループによるサイバー攻撃を受け、それによりデータ流出が発生したことを認めた。10月5日の時点で検知されたネットワークへの不正アクセスにより、システム障害が発生し、一部のサービスが中断したたことを、10月8日になって CASIO は発表している。その後の 10月11日に CASIO が公開した情報によると、このインシデントはランサムウェア攻撃によるものであり、同社に関連する個人情報や、関連会社の機密ファイルを窃取されたという。

Zendesk のメール・スプーフィングの脆弱性 CVE-2024-49193 が FIX：長々と放置された理由は？

$50,000 Bounty: Researcher Reveals Critical Zendesk Email Spoofing Flaw (CVE-2024-49193)

2024/10/13 SecurityOnline — Zendesk のメール管理システムに存在する、深刻な脆弱性 CVE-2024-49193 が、セキュリティ研究者の Daniel により発見され、詳細に分析されている。この脆弱性の悪用に成功した攻撃者は、スプーフィング攻撃により、機密情報であるサポート・チケット履歴への、不正アクセスの可能性を得るという。この Daniel の報告に対して、Zendesk は否定していたが、問題の深刻さが明らかになったことで、同社は早急な対策を講じることになった。

Fortinet の RCE 脆弱性 CVE-2024-23113：日本におけるインターネット露出は 5,100台

Thousands of Fortinet Devices Remain Exposed to RCE CVE-2024-23113 Vulnerability

2024/10/13 SecurityOnline — 最近の Shadowserver Foundation レポートによると、数ヶ月前にパッチが提供された RCE の欠陥 CVE-2024-23113 に対して、Fortinet デバイスの多くが脆弱な状態にあり、現在も悪用されているという。