CyberAttack – Page 22 – IoT OT Security News

技術者の就活を狙う悪意の npm パッケージ：騙されてマルウェアをインストール

Bogus npm Packages Used to Trick Software Developers into Installing Malware

2024/04/27 TheHackerNews — 現在進行中のソーシャル・エンジニアリング・キャンペーンは、ソフトウェア開発者の就活をターゲットにする偽の npm パッケージを提供し、Python バックドアをダウンロードさせるというものだ。サイバー・セキュリティ企業の Securonix は、このキャンペーンを DEV#POPPER という名前で追跡しており、北朝鮮の脅威アクターと結びつけている。

Okta 警告：同社製品へのクレデンシャル・スタッフィング攻撃が激増している

Okta warns of “unprecedented” credential stuffing attacks on customers

2024/04/27 BleepingComputer — Okta は、同社の ID／Access 管理ソリューションを標的とするクレデンシャル・スタッフィング攻撃が、前例がないほど急増しており、一部の顧客アカウントが侵害されたと警告している。クレデンシャル・スタッフィング攻撃とは、ダークウェブなどで購入したユーザー名／パスワードのリストを悪用するサイバー犯罪者が、標的とするユーザー・アカウントへの自動ログイン要求を行い、侵害を試みるというものだ。

Windows Kernel EoP の脆弱性 CVE-2024-21345：PoC が公開された

Windows Kernel EoP Vulnerability (CVE-2024-21345) Gets PoC Exploit Code

2024/04/27 SecurityOnline — Windows Kernel の EoP (Elevation of Privilege) に存在する、脆弱性 CVE-2024-21345 に対する PoC (proof-of-concept) エクスプロイト・コードが、セキュリティ研究者の Gabe Kirkpatrick から公開された。このエクスプロイトにより、認証された攻撃者は、SYSTEM レベルまで権限を昇格させ、影響を受けるシステムを完全に制御できるようになる。

CrushFTP の脆弱性 CVE-2024-4040：1,400 台以上のサーバが危険に晒されている

Over 1,400 CrushFTP Internet-Facing Servers Vulnerable To Cve-2024-4040 Bug

2024/04/26 SecurityAffairs — 1,400台以上の CrushFTP インターネット接続サーバが、深刻な脆弱性 CVE-2024-4040 を狙う攻撃に対して脆弱であることが判明した。CrushFTP に存在する、VFS サンドボックス・エスケープの脆弱性 CVE-2024-4040 は、Airbus CERT の Simon Garrelou により発見されたものだ。

Cisco IOS XE のゼロデイ CVE-2023-20198 の PoC が公開：直ちにアップデートを！

Cisco Zero-Day Exploit Code Goes Public: Patch Now or Face Total System Takeover

2024/04/25 SecurityOnline — Cisco IOS XE の深刻なゼロデイ脆弱性 CVE-2023-20198 に対して、PoC エクスプロイト・コードが公開されたことにより、世界中の膨大な数の組織におけるリスクが激増している。それ以前において、このバグの悪用方法を知っていたのは、一部の高度な攻撃者だけだった。しかし現在では、あらゆる技術レベルのハッカーが、脆弱なルーターやスイッチを驚くべき手軽さで、完全にコントロールできるようになっている。そのため、企業／インフラ・プロバイダー／政府機関は、エスカレートする攻撃の波に直面している。

CISA KEV 警告 24/04/25：Microsoft Windows Print Spooler の脆弱性 CVE-2022-38028 を追加

CISA Adds Microsoft Windows Print Spooler Flaw To Its Known Exploited Vulnerabilities Catalog

2024/04/25 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Microsoft Windows Print Spooler の権限昇格の脆弱性 CVE-2022-38028 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。ロシアに関連する APT28 (別名：Forest Blizzard／Fancybear／Strontium) について、CISA は Microsoft からの報告を受けた。具体的な内容は、GooseEgg と名付けられた未知のツールにより、Windows Print Spooler の脆弱性 CVE-2022-38028 が悪用されたというものであり、この脆弱性が KEV カタログに追加された。

サイバー保険請求の 56％はＥメールの受信トレイから発生している – Coalition 調査

56% of cyber insurance claims originate in the email inbox

2024/04/24 HelpNetSecurity — サイバー保険会社である Coalition は、2023年1月1日〜12月31日に報告された保険金支払いデータに基づき、新たなレポート ”2024 Cyber Claims Report” を公開した。Coalition の Head of Global Claims である Robert Jones は、「金銭的な利得を求める攻撃者は、Ｅメールの受信トレイで支払情報を見つけ出し、支払プロセスに潜在的に介入して資金を盗む。つまり、受信トレイは、犯行が容易な場所であることが証明されている」と述べている。

XZ Utils へのバックドア混入：そこで用いられたソーシャル・エンジニアリングを紐解く

Attacker Social-Engineered Backdoor Code Into XZ Utils

2024/04/25 DarkReading — SolarWinds や CodeCov が経験したような、広範なソフトウェア・サプライチェーンへの攻撃において、敵対者には高度な技術的スキルは必要ない。必要なのは、ほんの少しの時間と、巧妙なソーシャル・エンジニアリングだけということもある。今年の初めに、Linux システムの OSS である XZ Utils データ圧縮ユーティリティに、バックドアを仕込んだ人物も、きっと、そうだっただろう。今週に発表された、このインシデントに対する Kaspersky による分析と、ここ数日における他の企業からの同様の報告から判明したのは、このユーティリティにバックドアを組み込んだ攻撃者は、ほぼ全面的にソーシャル・エンジニアリングを頼っていたことだ。

CISA KEV 警告 24/04/24：Cisco と CrushFTP の深刻な脆弱性に 5月1日までに対処せよ！

CISA Added Critical Vulnerabilities in Cisco Products and CrushFTP to KEV

2024/04/24 SecurityOnline — 米国の Cybersecurity Infrastructure Security Agency (CISA) が連邦政府機関に対して発動したのは、Cisco 製品で発見された２件深刻な脆弱性と、ファイル転送ツール CrushFTP の脆弱性に対して、最優先でパッチを適用すべきという警告である。これらの問題の緊急性は、国家の支援を受けたハッカーによる積極的な悪用に起因しており、脅威の状況の深刻さを強調している。

Progress Flowmon の深刻な脆弱性 CVE-2024-2389：PoC が登場

PoC for critical Progress Flowmon vulnerability released (CVE-2024-2389)

2024/04/24 HelpNetSecurity — Progress Software のネットワーク監視／分析／セキュリティ・ソリューション Flowmon に存在する、未認証により OS コマンド・インジェクションの脆弱性 CVE-2024-2389 の、詳細情報と PoC エクスプロイトが公開された。この致命的な脆弱性は、今月のはじめに Progress により公開され、すでにパッチが適用されている。4月19日 (金) に同社が更新したアドバイザリには、「現在のところ、この脆弱性が悪用されたという報告は受けていない。また、顧客への直接的な影響も認識していない」と記されている。

Cisco ASA／FTD のゼロデイ脆弱性：ArcaneDoor ハッカーが政府機関ネットワークへの侵入で悪用

ArcaneDoor hackers exploit Cisco zero-days to breach govt networks

2024/04/24 BleepingComputer — 4月24日に公開したアドバイザリで Cisco が警告しているのは、2023年11月以降において国家に支援されるハッカー・グループが、Adaptive Security Appliance (ASA) と Firepower Threat Defense (FTD) ファイアウォールに存在する、２つのゼロデイ脆弱性を悪用していたことだ。それにより、世界中の政府機関のネットワークで、侵入が発生していたという。

Palo Alto の脆弱性 CVE-2024-3400：Siemens 製品に影響をおよぼすことが判明

Siemens Industrial Product Impacted by Exploited Palo Alto Firewall Vulnerability

2024/04/23 SecurityWeek — 最近に公表された Palo Alto ファイアウォールの脆弱性 CVE-2024-3400 は、遅くとも１ヶ月前から攻撃で悪用されており、 Siemens の産業用製品の１つに影響が生じたことが判明した。4月19日に公開したアドバイザリで Siemens は、Palo Alto の NGFW (Next-Generation Firewall) でコンフィグレーションされた、同社の Ruggedcom APE1808 デバイスが、CVE-2024-3400 の影響を受けている可能性があることを明らかにした。

ロシアン APT Forest Blizzard の最新兵器 GooseEgg：Windows の CVE-2022-38028 を狙っている

Russia-Linked Hackers Exploit Windows Zero-Day, Deploy “GooseEgg” to Hijack Networks

2024/04/22 SecurityOnline — ロシア国家が支援するハッキング・グループ “Forest Blizzard” の武器庫にある、洗練された新ツールについて、Microsoft が情報を暴露した。この GooseEgg と名付けられたツールを活用して、侵害したシステムに深くアクセスする攻撃者は、欧米の政府や戦略的組織にとって深刻な脅威をもたらしている。

CrushFTP の脆弱性 CVE-2024-4040 が FIX：すでに悪用が観測されている

CVE-2024-4040: CrushFTP Users Targeted in Zero-Day Attack Campaign

2024/04/22 SecurityOnline — 人気のエンタープライズ・ファイル転送ソフトウェア CrushFTP のユーザーを標的とする、深刻な脆弱性が新たに出現した。このゼロデイ脆弱性 CVE-2024-4040 (CVSS：7.7) は、すべてのサポート対象プラットフォームにおいて、バージョン 10.7.1／11.1.0 未満を使用している組織に対して深刻なリスクをもたらす。この脆弱性により、最小限の権限しか持たない攻撃者は、VFS (Virtual File System) のサンドボックスをエスケープし、権限の及ばない機密ファイルへのアクセスを可能にする。

GitLab にも GitHub スタイルのコメント悪用の問題：マルウェアのホスティングが容易になる

GitLab affected by GitHub-style CDN flaw allowing malware hosting

2024/04/22 BleepingComputer — 先日に BleepingComputer は、GitHub の欠陥 (あるいは設計上の仕様) を悪用する脅威アクターが、Microsoft のリポジトリに関連付けられた URL を介して、信頼できるファイルを装いながら、マルウェアを配布していることを報告した。この問題は、GitLab に対しても影響を及ぼすものであり、同様の方法で悪用される可能性が生じることが判明した。このマルウェアに関連する活動の大半は、Microsoft GitHub の URL に基づくものだった。しかしこの “欠陥” は、GitHub や GitLab の、あらゆる公開リポジトリで悪用が可能であり、きわめて説得力のあるルアーを、脅威アクターたちは作成できるという。

Linux を標的とする OSS Pupy RAT：充実したポスト・エクスプロイト機能でアジアを狙う

Linux Systems Targeted: Open-Source Pupy RAT Exploited in Attacks Across Asia

2024/04/21 SecurityOnline — Pupy と呼ばれるパワフルな RAT (Remote Access Trojan) が、韓国を含むアジア全域の Linux システムを標的とした攻撃で積極的に武器化されている。AhnLab Security Emergency Response Center (ASEC) のセキュリティ研究者たちが、先日に発見したのは、Pupy の巧妙なオペレーションの存在であり、そこでは Decoy Dog という新たな亜種も用いられているという。

ランサムウェア 2024 Q1 調査：身代金の規模は高額から中程度に移行か？ – Coveware

Ransomware payments drop to record low of 28% in Q1 2024

2024/04/21 BleepingComputer — サイバー・セキュリティ会社 Coveware の統計によると、ランサムウェアの支払いに対してユーザー企業が拒否する傾向が強まっており、2024年 Q1 の身代金支払の比率は、過去最低である 28％を記録した。2023年 Q1 の数字は 29%であり、Coveware 統計における支払いの減少は、2019年初頭から安定しているという。

GitHub のコメント機能を悪用：Microsoft のリポジトリ URL 経由でマルウェア配布

GitHub comments abused to push malware via Microsoft repo URLs

2024/04/20 BleepingComputer — GitHub のバグ (あるいは設計上の仕様) を悪用する脅威アクターたちが、Microsoft のリポジトリに関連する URL を使って信頼できるファイルを装い、マルウェアを配布している。先日に発見されたマルウェアの多くは、Microsoft GitHub の URL を中心に活動していた。さらに、この “欠陥” の悪用は、GitHub 上のあらゆる公開リポジトリで応用できるため、きわめて説得力のあるルアーを、脅威アクターたちが作成するという可能性が生じている。

Palo Alto の脆弱性 CVE-2024-3400：脆弱なデバイス 22,500 台がインターネット公開

22,500 Palo Alto firewalls “possibly vulnerable” to ongoing attacks

2024/04/19 BleepingComputer — 2024年3月26日以降において、Palo Alto GlobalProtect ファイアウォール・デバイス約 22,500台に、活発な攻撃で悪用されているコマンド・インジェクションの脆弱性 CVE-2024-3400 が存在する可能性があるという。この脆弱性 CVE-2024-3400 は、GlobalProtect 機能における特定の Palo Alto Networks の PAN-OS バージョンに影響するものであり、未認証の攻撃者に任意のファイル作成をトリガーとするコマンド・インジェクションを許し、その結果として root 権限でのコマンド実行にいたる可能があるという。

MITRE が公表した 2024年1月の侵害：Ivanti のゼロデイを悪用する APT に侵入されていた

MITRE Revealed That Nation-State Actors Breached Its Systems Via Ivanti Zero-Days

2024/04/19 SecurityAffairs — 2024年4月に MITRE が公表したのは、その研究／試作ネットワークの１つに対して、セキュリティ侵害が生じていたことだ。同組織のセキュリティ・チームは直ちに調査を開始し、脅威アクターをログアウトさせ、サードパーティのフォレンジック・インシデント・レスポンス・チームに依頼し、社内の専門家と協力し、独自の分析を実施した。MITRE Corporation によると、この国家に支援された APT は、2024年1月に Ivanti Connect Secure の２つのゼロデイ脆弱性を連鎖させ、同社のシステムに侵入していた。

GPT-4 調査：脅威アドバイザリを読むだけで多くの脆弱性を悪用できる – University of Illinois

GPT-4 Can Exploit Most Vulns Just by Reading Threat Advisories

2024/04/19 DarkReading — GPT-4 を搭載した AI エージェントは、現実の世界のシステムに影響を及ぼしている、公開されている脆弱性の大半を、オンラインで読み込むだけで悪用できることが判明した。イリノイ大学アーバナ・シャンペーン校 (UIUC) が公開した最新の研究は、AI を悪用するサイバー脅威において、これまで 18ヶ月の間は停滞気味だった状況が、根本的に活性化する恐れがあるとしている。

Ivanti Avalanche の脆弱性 CVE-2024-29204：Poc エクスプロイト・コードが公開された

Exploit Code Released for Severe Ivanti Avalanche Vulnerability (CVE-2024-29204)

2024/04/19 SecurityOnline — さまざまな企業で利用されている MDM (Mobile Device Management) ソリューション Ivanti Avalanche で確認された、深刻な脆弱性 CVE-2024-29204 (CVSS：9.8) に対する、PoC (proof-of-concept) エクスプロイト・コードが公開された。この脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、脆弱なシステム上で任意のコード実行が可能になる。

Akira ランサムウェアの身代金総額が $42 M に到達：FBI／CISA などが共同勧告

FBI: Akira ransomware raked in $42 million from 250+ victims

2024/04/18 BleepingComputer — 4月18日に公開された、FBI／CISA／ユーロポールの EC3 (European Cybercrime Centre)／オランダの NCSC-NL (Netherlands’ National Cyber Security Centre) の共同勧告によると、Akira ランサムウェアは 250以上の組織のネットワークに侵入し、その身代金の総額は、およそ $42M にのぼるという。2023年3月に出現した Akira は、それ以降において、世界中の様々な業種の企業を標的にしながら急速に悪名を高めてきた。

QR コードを悪用するフィッシング：2021／2024 比較で 10倍以上に増加 – Egress

Quishing Attacks Jump Tenfold, Attachment Payloads Halve

2024/04/18 InfoSecurity — QR コードを悪用するフィッシングの一種である、クイッシング (Quishing) 攻撃が大幅に増加しており、2021年には僅か 0.8% であったものが、2024年には 10.8% にまで増加している。この数字は Egress の最新レポートによるものである。その一方では、添付ファイルベースのペイロードの減少も顕著であり、同期間中に 72.7% から 35.7% へと半減している。

OpenMetadata の脆弱性：Kubernetes 上で暗号通貨のマイニングに悪用されている

Hackers Exploit OpenMetadata Flaws to Mine Crypto on Kubernetes

2024/04/18 TheHackerNews — OpenMetadata の深刻な脆弱性を悪用する脅威アクターたちが、Kubernetes のワークロードに不正アクセスし、暗号通貨マイニングに悪用していることが判明した。Microsoft Threat Intelligence チームによると、この脆弱性は、2024年4月の始めから武器化されているという。

Cisco IMC の脆弱性 CVE-2024-20295 などが FIX：PoC エクスプロイトも公開

Cisco Says PoC Exploit Available for Newly Patched IMC Vulnerability

2024/04/18 SecurityWeek — 4月17日に Cisco は、Integrated Management Controller (IMC) の脆弱性 CVE-2024-20295 (CVSS：8.8) に対するパッチと、PoC (Proof-of-concept) エクスプロイト・コードを公開した。この脆弱性は、 IMC の Command Line Interface (CLI) に影響を与えるものであり、Read Only 以上の権限を持つローカル攻撃者が、基盤となる OS 上で任意のコマンドを注入し、ルート権限を取得する事態につながるという。

CryptoChameleon フィッシング・キット：LastPass を装うキャンペーンを展開

Cybercriminals pose as LastPass staff to hack password vaults

2024/04/18 BleepingComputer — 暗号通貨窃盗をサポートする CryptoChameleon フィッシング・キットによりユーザーを狙うという、悪質なキャンペーンが展開されていると、LastPass が警告している。CryptoChameleon は、2024年の初めに発見された高度なフィッシング・キットであり、カスタムメイドの Okta Single Sign-On (SSO) ページを用いて、連邦通信委員会 (FCC：Federal Communications Commission) の職員をターゲットにしていた。

増加し続ける悪質なボット：全インターネット・トラフィックの約半数に到達 – Imperva

Bots dominate internet activity, account for nearly half of all traffic

2024/04/18 HelpNetSecurity — 2023 年の全インターネット・トラフィックの、49.6％はボットによるものであり、前年比で２％増加しているという。Thales の子会社である Imperva が 2013年に自動トラフィック監視を開始して以来、この数字は最も高い水準となった。悪質なボットが生み出す Web トラフィックの割合は、５年連続で増加し続けており、2022年の 30.2％から 2023年の 32％へと増加し、人間であるユーザーからのトラフィックは 50.4% に減少した。Web サイト／API／アプリケーションなどへの、自動化されたトラフィックが引き起こす攻撃により、年間で数十億ドル (USD) 相当の損害が、ユーザー組織に発生している。

Atlassian の脆弱性 CVE-2023-22518：Linux 版 Cerber ランサムウェアの配布に悪用されている

Linux Cerber Ransomware Variant Exploits Atlassian Servers

2024/04/17 InfoSecurity — パッチ未適用の Atlassian サーバを悪用する攻撃者たちが、Cerber ランサムウェア (別名：C3RB3R) の Linux 亜種を展開していることが確認された。Atlassian Confluence Data Center／Server に存在する、深刻なセキュリティ脆弱性 CVE-2023-22518 の悪用に成功した攻撃者たちは、認証なしで Confluence をリセットし、管理者アカウントを作成することが可能になる。

Fortinet の脆弱性 CVE-2023-48788 を悪用するキャンペーン：Metasploit Powerfun ペイロードなどを配信

Hackers Exploit Fortinet Flaw, Deploy ScreenConnect, Metasploit in New Campaign

2024/04/17 TheHackerNews — Fortinet FortiClient EMS デバイスにおいて、最近になって公開された脆弱性を悪用することで、ScreenConnect および Metasploit Powerfun ペイロードを配信する新たなキャンペーンが、サイバー・セキュリティ研究者たちにより発見された。このキャンペーンは、SQLインジェクションの脆弱性 CVE-2023-48788 (CVSS：9.3) を悪用するものであり、特別に細工されたリクエストを介して、認証されていない攻撃者が不正なコードやコマンドを実行する可能性が生じる。

Cisco の SNMP に脆弱性 CVE-2024-20295 に PoC：ただちにパッチ適用を！

Cisco Patches Vulnerabilities in Integrated Management Controller, SNMP Implementation

2024/04/17 SecurityOnline — 4月17日に Cisco が発表したのは、Integrated Management Controller (IMC) と、Cisco IOS／IOS XE ソフトウェア内の SNMP 実装に存在する、深刻な脆弱性に対処するための３つの緊急セキュリティ・アドバイザリである。これらのセキュリティ上の欠陥を悪用する攻撃者による、リモートコードの実行や、高機密性システムへの不正アクセスが生じる可能性があるという。

Palo Alto PAN-OS の脆弱性 CVE-2024-3400：いくつかの PoC が登場している

Researchers Released Exploit Code For Actively Exploited Palo Alto PAN-OS Bug

2024/04/17 SecurityAffairs — Palo Alto Networks の PAN-OS に存在する、脆弱性 CVE-2024-3400 に関する技術的分析と、脆弱なファイアウォールでシェルコマンドの実行を証明する PoC エクスプロイトが、watchTowr Labs の研究者たちによりリリースされた。この脆弱性 CVE-2024-3400 (CVSS：10.0) は、Palo Alto Networks の PAN-OS ソフトウェアにおける、深刻なコマンド・インジェクションの欠陥である。

TP-Link Router の脆弱性 CVE-2023-1389：１年前の欠陥がボットネットに狙われている

Old Vulnerability, New Attacks: Botnets Swarm Exploited CVE-2023-1389 in TP-Link Routers

2024/04/16 SecurityOnline — TP-Link Archer AX21 ルーターの既知の脆弱性を狙った大規模な攻撃について、FortiGuard Labs のサイバー・セキュリティ専門家たちが警鐘を鳴らしている。この脆弱性は１年前に修正されたものであるが、パッチの未適用のデバイスを悪用する攻撃者により、危険なボットネットの増加に拍車が掛かっている。これらのボットネットには、Moobot／Mirai などが含まれており、それぞれが異なる悪意のアクティビティに特化している。

Cisco 警告：VPN サービスに対する大規模なブルートフォース攻撃が発生している

Cisco warns of large-scale brute-force attacks against VPN services

2024/04/16 BleepingComputer — 世界中の Cisco／CheckPoint／Fortinet／SonicWall／Ubiquiti デバイス上の VPN／SSH サービスを標的とする、大規模なクレデンシャル・ブルートフォース・キャンペーンについて、Cisco が警告している。ブルートフォース攻撃 (総当たり攻撃) とは、不特定多数のユーザー名とパスワードを使用して、正しい組み合わせが見つかるまで、アカウントやデバイスへのログインを試みるというものだ。正しい認証情報を発見した攻撃者は、それらを使用することで、デバイスの乗っ取りや、内部ネットワークへのアクセスを可能にする。

OpenJS Foundation／OpenSSF の共同アラート：OpenJS が乗っ取りの標的にされた

OpenJS Foundation Targeted in Potential JavaScript Project Takeover Attempt

2024/04/16 TheHackerNews — 先日に発覚したオープンソースの XZ Utils バックドア騒動と似た手口で、信頼を悪用して OpenJS Foundation を標的とし、乗っ取ろうとする試みが、セキュリティ研究者たちにより発見された。OpenJS Foundation と Open Source Security Foundation (OpenSSF) は共同アラートの中で、「OpenJS Foundation Cross Project Council は、GitHub 関連のメールと重複するが、名前が異なる一連の不審なメールを受け取った」と述べている。

Cisco Duo で侵害が発生：サードパーティ MFA における論点とは？

Cisco Duo’s Multifactor Authentication Service Breached

2024/04/16 DarkReading — Cisco の MFA サービス Duo に関する、テレフォニー担当のサードパーティ・プロバイダーが、ソーシャルエンジニアリングによるサイバー攻撃を受けた。現時点において、Cisco Duo のユーザーたちは、それに続くフィッシング詐欺などに警戒する必要がある。

LockBit の新たな亜種の活動を観測：自己増殖機能を備えているという – Kaspersky

New LockBit Variant Exploits Self-Spreading Features

2024/04/15 InfoSecurity — 先日に西アフリカで発生したインシデントにより、LockBit ランサムウェアがもたらす執拗な脅威が、再び注目を集めている。このサイバー犯罪者たちは、盗み出した Admin の認証情報で武装した上で、自己増殖機能を備えた暗号化マルウェアの、カスタマイズされた亜種を展開した。彼らは特権アクセスを悪用して企業のインフラに侵入し、過去に流出した LockBit 3.0 Builder がもたらす、継続的なリスクを実証した。

Windows Kernel の脆弱性 CVE-2024-21338 に PoC：2024年2月の月例パッチを確認！

PoC Exploit Released for 0-day Windows Kernel Elevation of Privilege Vulnerability (CVE-2024-21338)

2024/04/15 SecurityOnline — 国家に支援される北朝鮮のハッキンググループ Lazarus が悪用した、危険なゼロデイ脆弱性 CVE-2024-21338 の技術的詳細と概念実証 PoC エクスプロイトコードが、最近になってセキュリティ研究者たちから公開された。この脆弱性は Windows カーネル自体に存在し、攻撃者に対してシステムレベルでの制御を許し、セキュリティ・ツールの無効化も可能となる。

Notepad++ を侵害する WikiLoader というマルウェア：DLL ハイジャックで C2 通信

2024/04/14 SecurityOnline — 広く使用されているテキスト・エディタ Notepad++ を標的とする巧妙なマルウェアキャンペーンが、AhnLab Security Emergency Response Center (ASEC) のセキュリティ研究者たちにより発見された。この WikiLoader と名付けられた攻撃は、現代の脅威アクターたちの驚くべき巧妙さと、一見すると信頼できるソフトウェアにさえ、リスクが存在することを示している。

Palo Alto のゼロデイ CVE-2024-3400：公開の３週間前から Python バックドア

Hackers Deploy Python Backdoor in Palo Alto Zero-Day Attack

2024/04/13 TheHackerNews — Palo Alto Networks の PAN-OS ソフトウェアに存在するゼロデイ脆弱性だが、昨日に明るみに出る前の 2024年3月26日の時点から、３週間にわたり脅威アクターたちに悪用されてきたことが判明した。Palo Alto Networks の Unit 42 は、Operation MidnightEclipse という名称で、この活動を追跡している。現時点では、単一の脅威アクターの仕業であるとしているが、その出所は不明とされる。この脆弱性 CVE-2024-3400 (CVSS：10.0) は、コマンド・インジェクションの欠陥であり、認証されていない攻撃者に対して、ファイアウォールの root 権限を用いた任意のコード実行を許すものである。

Midnight Blizzard による Microsoft 侵害：CISA から連邦政府への緊急警告とは？

Midnight Blizzard’s Microsoft Corporate Email Hack Threatens Federal Agencies: CISA Warns

2024/04/12 GBHackers — Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft における企業電子メールシステムの侵害について緊急指令を発表した。この緊急指令 (ED 24-02) は、国家に支援された APT である Midnight Blizzard によるリスクを、軽減するために必要な緊急措置を概説している。このグループは、連邦民間行政府 (FCEB) 機関と Microsoft との間で交わされた機密メールの流出に成功しているため、国家の安全保障に対する潜在的な影響について、CISA は警鐘を鳴らすことにしたようだ。

XZ Utils バックドア汚染：Rust Crate liblzma-sys 侵害から手口を辿ってみる

2024/04/12 TheHackerNews —XZ Utilsのバックドアに関連する “テストファイル” が、liblzma-sys という名の Rust crate に紛れ込んでいることが、Phylum の新たな調査で明らかになった。この liblzma-sys は、現時点において 21,000回以上もダウンロードされており、XZ Utils データ圧縮ソフトウェアの一部である、基礎ライブラリ liblzma 実装へのバインディングを、Rust 開発者に提供している。問題のバージョンは、0.3.2 である。

Microsoft Windows の脆弱性 CVE-2023-35628 に PoC：ゼロクリック攻撃を証明！

PoC Released for Zero-Click CVE-2023-35628 Vulnerability in Microsoft Windows

2024/04/12 SecurityOnline — Akamai の研究者である Ben Barnea が発表したのは、Microsoft Windows に存在する深刻な脆弱性 CVE-2023-35628 (CVSS：8.1) に関する、技術的詳細および PoC エクスプロイトである。この脆弱性は、特に Outlook クライアントに影響を及ぼし、Windows Explorer を介して悪用される可能性があるという。また、この脆弱性は、ユーザー操作を必要とすることなく、悪用される可能性があるため、世界中のユーザーに対して深刻な脅威をもたらす、他に類を見ない危険なものである。

LastPass の CEO になりすました音声フィシング：従業員の機転により被害には至らず

LastPass: Hackers targeted employee in failed deepfake CEO call

2024/04/11 BleepingComputer — 今週に LastPass が明らかにしたのは、ディープフェイク音声を使って同社の CEO Karim Toubba になりすますという、音声フィッシング攻撃を受けたことだ。しかし、McAfee による最近のグローバル調査によると、25％の人々が AI 音声を用いるなりすまし詐欺の被害にあった、もしくは、知り合いが被害にあったと回答している。ただし、その LastPass の従業員は、攻撃者が WhatsApp を使用していたことを、つまり、きわめて珍しいビジネス・チャネルを使っていたことを不審に思い、被害には至らなかったとのことだ。

GitHub リポジトリ検索の悪用：マルウェア拡散の温床になっている

Threat Actors Game GitHub Search to Spread Malware

2024/04/11 InfoSecurity — 脅威アクターたちは、悪意のコードが隠された GitHub リポジトリを、多大な労力を費やして拡散していると、Checkmarx が警告している。最近に発見されたキャンペーンでは、これらのリポジトリが GitHub の検索結果の上位に表示されるよう設計された、テクニックが展開されていたという。

XZ Utils バックドア騒動：ソフトウェア・セキュリティの問題点が浮き彫りに

XZ Utils Scare Exposes Hard Truths About Software Security

2024/04/11 DarkReading ‐‐‐ ほぼ全ての主要 Linux ディストリビューションに搭載されている、データ圧縮ユーティリティである XZ Utils に、バックドアが注入されていたことが、最近になって判明した。このインシデントから痛感させられるのは、OSS コンポーネントを利用する組織は、ソフトウェアの安全性を確保する責任を、最終的に負う必要があるということだ。

Microsoft Windows における２件のゼロデイ：Sophos と ZDI と Google が発見

Microsoft fixes two Windows zero-days exploited in malware attacks

2024/04/09 BleepingComputer — Microsoft は April 2024 Patch Tuesday において、積極的に悪用されるゼロデイ脆弱性２件を修正した。１つ目の脆弱性 CVE-2024-26234 は、プロキシ・ドライバのなりすましを許す欠陥だと説明されている。2023年12月に Sophos X-Ops により発見され、有効な Microsoft Hardware Publisher 証明書を使用して署名された悪意のドライバを追跡するために、同社の Team Lead である Christopher Budd により報告されたものだ。

LG Smart TV に４つの脆弱性：90,000台以上の TV が危険に晒されている

Over 90,000 LG Smart TVs may be exposed to remote attacks

2024/04/09 BleepingComputer — LG Smart TV で使用されている、WebOS の複数のバージョンに影響を及ぼす４つの脆弱性を、Bitdefender のセキュリティ研究者たちが発見した。これらの脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で、さまざまなレベルでの不正アクセスやの制御を行い、認証バイパス／権限昇格／コマンド・インジェクションなどを可能にするとされる。

Microsoft の脆弱性 CVE-2024-29988：積極的な悪用を ZDI が観測

CVE-2024-29988: ‘In-the-Wild’ Flaw Among Microsoft’s April 2024 Patch Tuesday

2024/04/09 SecurityOnline — Microsoft の April 2024 Patch Tuesday でリリースされたのは、同社のソフトウェア・エコシステム全体にまたがる、脆弱性 147件に対する大量の修正である。この膨大なアップデートと、すでにゼロデイ脆弱性が活発に悪用されているという報告が示すのは、サイバー・セキュリティにおける絶え間のない戦いである。今月のアップデートでは、Windows／Office／Azure／.NET Framework／SQL Server などにおける深刻な弱点が対象とされている。

Fortinet の FortiClient EMS の脆弱性 CVE-2023-48788：悪用キャンペーンが検出された

Critical Fortinet Vulnerability Exploited: Hackers Deploy Remote Control Tools and Backdoors

2024/04/08 SecurityOnline — Fortinet の FortiClient Enterprise Management System (EMS) において、先日にパッチが適用された脆弱性 CVE-2023-48788 を狙う憂慮すべきキャンペーンを、Red Canary のセキュリティ研究者たちが発見した。この脆弱性に対してパッチが適用されていない場合には、完全な管理者権限を取得する攻撃者により、脆弱なシステム上でのリモートコード実行の可能性が生じる。