CyberAttack – Page 25 – IoT OT Security News

CISA KEV 警告 24/02/12：Roundcube の XSS 脆弱性 CVE-2023-43770 を追加

CISA Adds Roundcube Webmail Persistent Xss Bug To Its Known Exploited Vulnerabilities Catalog

2024/02/12 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Roundcube Webmail に存在する持続的 XSS (Cross-Site Scripting) の脆弱性 CVE-2023-43770 を、KEV (Known Exploited Vulnerabilities Catalog) カタログに追加した。

Ivanti の SSRF 脆弱性 CVE-2024-21893：新たな DSLog バックドアの展開に悪用される

Hackers exploit Ivanti SSRF flaw to deploy new DSLog backdoor

2024/02/12 BleepingComputer — Ivanti Connect Secure／Policy Secure／ZTA Gateway の SSRF (Server-Side Request Forgery) 脆弱性の悪用に成功した攻撃者が、脆弱なデバイス上に新しい DSLog バックドアを展開していることが分かった。この脆弱性 CVE-2024-21893 は、2024年1月31日にアクティブに悪用されるゼロデイとして公開されたものであり、Ivanti からはセキュリティ・アップデートと緩和策が共有されている。

KiTTY に３つの脆弱性：深刻な RCE 攻撃の可能性と PoC の存在

KiTTY Triple Threat: Millions of Users Exposed to RCE Flaws, No Patch Available!

2024/02/10 SecurityOnline — PuTTY SSH／telnet クライアントの人気フォークである KiTTY に、３つの脆弱性が存在することが、セキュリティ研究者の Austin A. DeFrancesco (別名：DEFCESCO) により明らかになった。世界中で 2,000 万以上のダウンロードを誇る KiTTY であるため、様々な Windows OS ユーザーにとって、この脆弱性は深刻なリスクとなる。

CISA KEV 警告 24/02/09：Fortinet の RCE 脆弱性 CVE-2024-21762 を追加

New Fortinet RCE bug is actively exploited, CISA confirms

2024/02/09 BleepingComputer — 2月9日に CISA が発表したのは、その前日である 2月8日に、Fortinet がパッチをリリースした深刻なリモート・コード実行 (RCE：Remote Code Execution) の脆弱性が、攻撃者に積極的に悪用されているというものだ。悪用が確認されたのは、FortiOS における境界外書き込みの脆弱性 CVE-2024-21762 であり、認証されていない攻撃者が、悪意を持って細工した HTTP リクエストを使用して、リモートで任意のコードを実行する可能性があるとされる。

フィッシング攻撃調査 – 2023 Q4：メール・セキュリティを回避する QR コード攻撃が急増

QR Code ‘Quishing’ Attacks on Execs Surge, Evading Email Security

2024/02/09 DarkReading — QR コードを悪用するＥメール攻撃が、2023年 Q4 に急増している。そして、攻撃者たちが特に標的としていたのは、企業の重役や管理職などであることが判明した。QR コードを使ったフィッシング・メールは、”キッシング：Quishing” とも呼ばれており、スパム・フィルターを通過する可能性が高い。そのため、Microsoft 365 や DocuSign のユーザーを狙う悪意のメールが、受信トレイまで到達してしまうのだと、クラウド・メール・セキュリティ企業 Abnormal Security が、2月6日に発表したレポートで述べている。

AnyDesk におけるインシデント：ハッキングに関する詳細情報が共有された

AnyDesk Shares More Information on Recent Hack

2024/02/09 SecurityWeek — AnyDesk が共有した情報は、最初に脅威アクターたちが同社のシステムに侵入した時期や、インシデントの影響などの攻撃に関する詳細である。このソフトウェアの開発者によると、侵入は2024年1月中旬に発見され、フォレンジック調査の結果として、システムへの侵入時期は2023年12月下旬であることが判明したという。

偽 LastPass が Apple App Store に登場：”LassPass” という悪意のアプリに要注意

Fake LastPass password manager spotted on Apple’s App Store

2024/02/08 BleepingComputer — LastPass が警告するのは、Apple App Store で同社のアプリの偽コピーが配布されており、ユーザーの認証情報を盗むためのフィッシング・アプリとして使用されている可能性が高いというものだ。この偽アプリは、本物アプリと似た名前／似たアイコン／赤を基調としたインターフェイスを使用し、LastPass ふうのデザインで欺く。しかし、この偽アプリの名前は “LastPass” ではなく “LassPass” であり、発行者は Parvati Patel となっている。

Oracle WebLogic Server の RCE 脆弱性 CVE-2024-20931 が FIX：PoC も公開された

PoC Releases for Oracle WebLogic Server Servers RCE Flaw (CVE-2024-20931)

2024/02/07 SecurityOnline — 最近にパッチが適用された Oracle WebLogic Server の脆弱性 CVE-2024-20931 (CVSS：7.5) に対して、任意のコード実行を可能にする PoC エクスプロイト・コードが公開された。この脆弱性は、Oracle WebLogic Server の、特に T3/IIOP プロトコルに影響するものであり、新しいクラスのサイバー脅威に対する防御を強化することを目的とする、Oracle の 2024年1月の Patch Update で公開されたものだ。

CISA KEV 警告 24/02/06：Google Chrome の脆弱性 CVE-2023-4762 の悪用を確認

CISA warns of a patched Chrome flaw now exploited in attacks

2024/02/07 SecurityOnline — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、広く使用されている Google Chrome Web ブラウザに存在し、積極的に悪用されるセキュリティ脆弱性に関して警告を発した。この脆弱性 CVE-2023-4762 の悪用に成功した攻撃者は、リモートから任意のコード実行を可能にし、ユーザーに深刻なリスクをもたらす。その影響として甚大な被害が予測されるため、個人および組織のユーザーは緊急の対応を迫られている。

Unix cpio の脆弱性 CVE-2023-7216：PoC エクスプロイトが提供

One Click, System Exposed: cpio (CVE-2023-7216) Threatens Unix Security

2024/02/06 SecurityOnline — 主に Unix ライクなオペレーティング・システムで見られる “cpio” コマンドライン・ユーティリティは、アーカイブ・ファイル内のファイルをパッケージ化／解凍する機能を備えている。汎用性が高く、複数のアーカイブ形式をサポートする “cpio” は、システム管理者やユーザーにとって強力なツールだ。しかし、この cpio に、システム・セキュリティの根幹に影響を及ぼしかねない脆弱性が発見された。

Ivanti の新たな脆弱性 CVE-2024-21888／CVE-2024-21893：攻撃が急増している

Experts Warn Of A Surge Of Attacks Targeting Ivanti SSRF Flaw

2024/02/05 SecurityAffairs — Ivanti の SSRF (Server-Side Request Forgery) の脆弱性 CVE-2024-21893 が、最近のサイバー攻撃で、さまざまな脅威アクターにより活発に悪用されている。1月31日に Ivanti が発した警告は、同社の Connect Secure／Policy Secure ソリューションに、それぞれ２つの新たな深刻な脆弱性 CVE-2024-21888 (CVSS：8.8)／CVE-2024-21893 (CVSS：8.2) が存在するというものだ。同社によると、CVE-2024-21893 は、野放し状態で活発に悪用されているという。

iOS の脆弱性 CVE-2024-23208 に PoC がリリース：検証目的であり攻撃は発生しない

CVE-2024-23208 Exposed: A PoC Tool Unveils iOS Kernel Flaw

2024/02/04 SecurityOnline — Apple iOS 17.3 で修正された、カーネルの脆弱性 CVE-2024-23208 に対する PoC ツールを、ある研究者が公開した。この脆弱性 CVE-2024-23208 (CVSS：7.8) は、アプリケーションによりカーネル特権での任意のコード実行にいたるというものであり、デバイスのセキュリティに深刻な結果をもたらす可能性を持つものだ。

Mispadu Stealer の亜種：Microsoft SmartScreen の CVE-2023-36025 を悪用

New variant of Mispadu Stealer is Exploiting CVE-2023-36025 Vulnerability

2024/02/04 SecurityOnline — 悪名高い Mispadu Stealer インフォ・スティーラーは、2019年以降のラテンアメリカ (LATAM) において、主にスペイン語／ポルトガル語圏の被害者を標的としている。最近になって Unit 42 の研究者たちが、Mispadu Stealer の現状／進化に関連する重要な情報を取得し、このマルウェアが悪用する SmartScreen の脆弱性に注目している。

AnyDesk で発生したデータ侵害：プロダクション・システムの一部に不正アクセスか？

AnyDesk Hacked: Popular Remote Desktop Software Mandates Password Reset

2024/02/03 TheHackerNews — リモート・デスクトップを提供する AnyDesk は、2月2日にサイバー攻撃を受け、同社のプロダクション・システムが危険にさらされたことを明らかにした。AnyDesk によると、このインシデントはセキュリティ監査の際に発見されたものであり、ランサムウェア攻撃によるものではないという。さらに、関係当局に通知済みであると、同社は述べている。

WordPress の Cookie Information | Free GDPR プラグインに脆弱性：活発な悪用を観測

Under Attack: CVE-2023-6700 in ‘Cookie Information’ Plugin Threatens 100k WordPress Sites

2024/02/02 SecurityOnline — 進化し続けるインターネットの世界において、データ・プライバシーと GDPR (General Data Protection Regulation) などの規制へのコンプライアンスの重要性は、日々高まりつつある。そんな中、人気の CMS の１つである WordPress は、これらの規制を遵守するのを支援するプラグインを、Web サイト所有者に対して数多く提供している。しかし、WordPress の Cookie Information | Free GDPR Consent Solution プラグインに、重大なセキュリティ脆弱性 CVE-2023-6700 が発見され、脅威アクターにより積極的に悪用されていることが判明した。

LockBit が支配するランサムウェア市場：2023年 Q4 を解析する- ReliaQuest

LockBit Reigns Supreme in Soaring Ransomware Landscape

2024/02/02 InfoSecurity — XDR セキュリティ・プロバイダ ReliaQuest によると、2023年 Q4 にランサムウェア・キャンペーンが急増したのは、きわめて活発な LockBit グループが要因となっている。ReliaQuest が発表した Q4 2023 Ransomware Trends レポートによると、2023年10月〜12月のランサムウェアの活動は、2022年の同時期と比較して 80% 増加している。この期間において、合計で 1262件の被害者がデータ流出サイトに掲載されたが、その業種は製造／建設／専門職／科学技術サービスなどの多岐にわたっている。

TP-Link Router の脆弱性 CVE-2024-21833：PoC 開発の兆候も見られる

Millions of Routers at Risk: CVE-2024-21833 Threatens TP-Link Devices

2024/02/01 SecurityOnline — 最近の TP-Link ルーターに重大なリスクをもたらしている、セキュリティ脆弱性 CVE-2024-21833 の徹底的な分析を、CYFIRMA の調査チームが実施した。この脆弱性は、 2024年1月10日に JPCERT/CC により発見されたものであり、深刻度を示す CVSS 値は 8.8 と評価されている。

Cloudflare にも影響を及ぼした Okta 攻撃：盗まれたアクセス・トークンの悪用が発生

Cloudflare hacked using auth tokens stolen in Okta attack

2024/02/01 BleepingComputer — 今日、Cloudflare が公表したのは、同社内の Atlassian サーバが APT と疑われる人物に侵入され、Confluence wiki／Jira Bug Database／Bitbucket Source Code Management System への不正アクセスが発生したことだ。この脅威アクターは、11月14日の時点で Cloudflare のセルフ・ホスト型 Atlassian サーバにアクセスし、偵察段階を経た後に、同社の Confluence／Jira システムにアクセスした。

Log4Shell／PwnKit を悪用する FritzFrog：パッチ未適用の内部システムが標的？

FritzFrog Returns with Log4Shell and PwnKit, Spreading Malware Inside Your Network

2024/02/01 TheHackerNews — FritzFrog という P2P ボットネットを背後で操る脅威アクターが、Log4Shell の脆弱性を悪用することで、すでに侵害したネットワーク内で内部的に増殖する、新たな亜種が登場している。Akamai は、「この脆弱性は、可能な限り多くの脆弱な Java アプリケーションをターゲットとする、ブルートフォース攻撃を介して悪用される」と、The Hacker News と共有したレポートの中で述べている。

Ivanti VPN 上でポスト・エクスプロイト・マルウエアを観測：中国由来の APT UNC5221 の活動と重複

Warning: New Malware Emerges in Attacks Exploiting Ivanti VPN Vulnerabilities

2023/02/01 TheHackerNews — Ivanti の Connect Secure VPN／Policy Secure デバイスを標的とするポスト・エクスプロイトの活動において、UNC5221 という中国由来のスパイ・アクターなどが採用する新たなマルウェアを確認したと、Google 傘下の Mandiant が発表した。それらのマルウエアに含まれるのは、BUSHWALK／CHAINLINE／FRAMESTING／LIGHTWIRE などの、カスタム Web シェルの亜種である。

CISA が異例の通達：Ivanti の疑わしいインスタンスを 48時間以内に隔離せよ

CISA Sets 48-hour Deadline for Removal of Insecure Ivanti Products

2024/02/01 SecurityWeek — 米国政府のサイバーセキュリティ機関 CISA は連邦政府機関に対して、Ivanti Connect Secure／Policy Secure の全製品のインスタンスを、48時間以内に切断せよという、前例のない要求を通達している。CISA は、「可能な限り早急に、また、遅くとも 2024年2月2日 (金) の午後11時59分までに、Ivanti Connect Secure／Policy Secure ソリューションの全インスタンスを、政府機関のネットワークから切断せよ」と、新たな緊急指令において圧力を強めている。防御側にとって必要とされるのは、実環境で積極的に悪用されている、少なくとも３件の Ivanti セキュリティ欠陥を軽減することである。

Pawn Storm という APT：ステルス性 Net-NTLMv2 リレー攻撃に注意が必要

Pawn Storm’s Stealthy Net-NTLMv2 Assault Revealed

2024/01/31 InfoSecurity — APT28 としても知られる APT アクターである Pawn Storm は、遅くとも 2004年以降において各種のテクニックを駆使し、世界的に価値の高い事業体を標的としてきた。このグループは、一見すると 10年前のフィッシング・キャンペーンのような時代遅れの手法に頼っているが、現実には何千もの電子メール・アカウントを侵害し続けている。1月31日に、Trend Micro の研究者 Feike Hacquebord と Fernando Merces が発表したアドバイザリによると、最近の Pawn Storm は、Net-NTLMv2 ハッシュ・リレー攻撃に関与しており、世界中の政府／防衛／軍事ネットワークへのブルートフォース侵入を試みている。

Ivanti の新たな脆弱性 CVE-2024-21888／CVE-2024-21893：すでに悪用を観測

Ivanti Warns Of A New Actively Exploited Zero-Day

2024/01/31 SecurityAffairs — Ivanti の警告は、Connect Secure／Policy Secure で新たに発見された、２つの脆弱性 CVE-2024-21888 (CVSS：8.8)／CVE-2024-21893 (CVSS：8.2) に関するものである。同社によると、CVE-2024-21893 は、野放し状態で活発に悪用されているという。１つ目の脆弱性 CVE-2024-21888 は、Ivanti Connect Secure (9.x/22.x) ／Policy Secure (9.x/22.x) の Web コンポーネントに存在する権限昇格の欠陥であり、悪用に成功した攻撃者は、管理者権限を得る可能性があるという。

CISA／FBI 共同警告：SOHO ルーターへの Volt Typhoon 攻撃の対処を要請

CISA: Vendors must secure SOHO routers against Volt Typhoon attacks

2024/01/31 BleepingComputer — CISA が発した警告は、進行中の攻撃から機器のセキュリティを確保するよう、SOHO (small office/home office) ルーターの製造業者に求めるものだ。展開されている攻撃というのは、特に中国が支援するハッキング・グループ Volt Typhoon (別名：Bronze Silhouette) が、ルーターの乗っ取りを試みているというものだ。CISA／FBI による共同ガイダンスで、両機関がベンダーに求めているのは、設計／開発段階における SOHO ルーターの WMI (Web Management Interface) の脆弱性の解消だ。

Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887：KrustyLoader マルウェアの配布に悪用

Hackers Exploiting Ivanti VPN Flaws to Deploy KrustyLoader Malware

2024/01/31 TheHackerNews — 最近に公開された Ivanti Connect Secure (ICS) VPN (Virtual Private Network) デバイスの２つのゼロデイ脆弱性が、KrustyLoader というペイロードの配信に悪用されている。KrustyLoader とは、オープンソースの Sliver 攻撃シミュレーション・ツールを投下するために使用される、Rust ベースのツールのことである。悪用が確認されている脆弱性 CVE-2023-46805 (CVSS：8.2)／CVE-2024-21887 (CVSS：9.1) は、認証されていない攻撃者に対して、影響を受けやすいアプライアンス上でのリモート・コード実行を許す可能性があるものだ。

Alpha ランサムウェアとDark Web 上のリークサイト：被害者が増えるのか？

Alpha Ransomware Group Launches Data Leak Site on the Dark Web

2024/01/30 InfoSecurity — 最近のことだが、Alpha と呼ばれる新たなランサム・ウェアグループが出現し、ダークウェブ上に Dedicated/Data Leak Site (DLS) を立ち上げ、６件の被害者たちのデータの初期リストを掲載している。ただし、2023年5月から観測されている Alpha ランサムウェア (ALPHVとは別物) は、競合するギャングたちと比べて感染率が低く、分析に利用できるアクティブなサンプルも野放し状態になっていない。

Microsoft Teams を悪用したフィッシング攻撃：DarkGate マルウェアを配布

Microsoft Teams phishing pushes DarkGate malware via group chats

2024/01/30 BleepingComputer — Microsoft Teams のグループ・チャットのリクエストを悪用して、被害者のシステムに悪意の添付ファイルをプッシュし、 DarkGate マルウェアのペイロードをインストールするという、フィッシング攻撃が展開されている。AT&T Cybersecurity の調査によると、この攻撃者は、侵害した Teams ユーザーやドメインを悪用して、1,000 以上の悪意の Teams グループ・チャット招待を送信していたという。

Schneider Electric で発生したランサムウェア攻撃：Cactus が身代金を要求

Energy giant Schneider Electric hit by Cactus ransomware attack

2024/01/29 BleepingComputer — エネルギー・マネジメント／オートメーションの大手である Schneider Electric で、企業データの盗難につながる Cactus ランサムウェア攻撃が発生した。1月17日の未明に発生した、このランサムウェア攻撃を受けたのは、Schneider の Sustainability Business 部門だということが、BleepingComputer の調査で判明した。この攻撃により、 Schneider Electric のクラウド・プラットフォームである Resource Advisor の一部が停止し、現在も障害が続いているという。

ランサムウェアの 2023年：急増の要因と戦術の変化 – GRIT Report

GRIT Report 2023: Unpacking the Surge in Ransomware Attacks

2024/01/29 SecurityOnline — GRIT Ransomware Annual Report 2023 は、進化するランサムウェアの詳細な状況を、包括的に解説するレポートである。そこでは、ランサムウェア攻撃の急増について分析が行われるだけではなく、さまざまなランサムウェア・グループの複雑な仕組みや戦略についても詳述されている。

Ivanti Avlanche の脆弱性 CVE-2023-41474：PoC が提供されている

CVE-2023-41474: Ivanti Avalanche Directory Traversal Flaw, PoC Published

2024/01/29 SecurityOnline — Ivanti Avalanche は、Mobile Device Management (MDM) 領域の強力なツールであり、堅牢な倉庫スキャナから洗練された小売用タブレットにいたるまでの、さまざまなデバイスを管理する迷路の中で、組織を導く道標の役割を果たしている。

Microsoft が公表した防御のガイダンス：Midnight Blizzard の狡猾な戦術を封じる

Microsoft Provides Defense Guidance After Nation-State Compromise

2024/01/29 InfoSecurity — Microsoft が発表したのは、2024年1月初旬に同社のシステムを侵害した、ロシア国家に支援される攻撃者の詳細であり、また、この脅威に対抗する方法をユーザーに伝えるためのガイダンスである。2024年1月12日に Microsoft は、スパイ活動や情報収集活動を専門とするロシアの APT である Midnight Blizzard (別名 Nobelium／APT29／Cozy Bear) による、ネットワーク上での悪質な活動を検知した。

Jenkins サーバ 45,000台への攻撃が始まる？ PoC エクスプロイトも公開済み

45k Jenkins servers exposed to RCE attacks using public exploits

2024/01/29 BleepingComputer — Jenkins には、深刻なリモート・コード実行の脆弱性 CVE-2023-23897 が存在する。そして研究者たちは、この脆弱性を持つ約 45,000 のインスタンスがオンラインで公開されていることを確認している。Jenkins は、CI/CD のための主要なオープンソースの自動化サーバであり、ビルド／テスト／デプロイのプロセスを合理化するものだ。また、広範なプラグインをサポートしており、さまざまなミッションや規模の組織に対応している。

PyPI に新たな悪意のパッケージ： Windows デバイス上に WhiteSnake マルウェアを展開

Malicious PyPI Packages Slip WhiteSnake InfoStealer Malware onto Windows Machines

2024/01/29 TheHackerNews — Python Package Index (PyPI) レポジトリ上で発見されたのは、WhiteSnake Stealer という情報窃取型マルウェアを、Windows システム上に配布する悪意のパッケージである。それらのマルウェアが埋め込まれたパッケージの名前は、nigpal／figflix／terer／seGMM／fbdebug／sGMM／myGens／NewGends／TestLibs111 である。そして、これらのパッケージをアップロードしているのは “WS “という脅威アクターだと、サイバーセキュリティ研究者たちは述べている。

Ivanti VPN アプライアンスで発見：WIREFIRE Web シェル亜種のステルス性とは

Cybersecurity Alert: Unseen WIREFIRE Web Shell Variant in ICS VPN Appliances

2024/01/28 SecurityOnline — 先日に QuoIntelligence が発見したのは、Python ベースのインプラントである WIREFIRE という Web シェルの新たな亜種だ。この亜種が発見されたのは、２つのゼロデイ脆弱性 CVE-2024-21887／CVE-2023-46805 を悪用して侵害された、Ivanti Connect Secure (ICS) VPN アプライアンスである。この亜種の登場が浮き彫りにするのは、サイバー・スパイ戦術の大幅な進化であり、また、インターネットに面した VPN デバイスのセキュリティに関する懸念である。

FakeAPP という不正広告キャンペーン：偽の Google Ads で Line ユーザーも標的に！

Malicious Ads on Google Target Chinese Users with Fake Messaging Apps

2024/01/26 TheHackerNews — Google Ads で展開されている、Telegram などのメッセージング・アプリの不正広告キャンペーンにより、中国語圏のユーザーが狙われているという。1月25日のレポートで Malwarebytes の Jerome Segura は、「この脅威アクターは、Google の広告主アカウントを使用して悪意の広告を作成し、無防備なユーザーを RAT (Remote Administration Trojan) のダウンロード・ページに誘導している。この種の RAT は、攻撃者による被害者マシンの完全なコントロールを達成し、追加のマルウェアをドロップする能力を与える」と述べている。

Microsoft 幹部の Exchange を侵害したロシアの Midnight Blizzard：手口の詳細を解説

Microsoft reveals how hackers breached its Exchange Online accounts

2024/01/26 BleepingComputer — 2023年11月に Microsoft 幹部の電子メール・アカウントに侵入した、ロシア政府 Foreign Intelligence Service (SVR) のハッキング・グループが、悪意のキャンペーンの一環として他の組織にも侵入したことが確認された。Midnight Blizzard (別名 Nobelium／APT29) は、ロシアの SVR 傘下のサイバー・スパイ集団と考えられており、主に米国／欧州の政府組織／NGO／ソフトウェア開発者／IT サービス・プロバイダーを標的としている。

Blackwood という APT：WPS Office などのアップデートから NSPX30 マルウェアを配布

Blackwood hackers hijack WPS Office update to install malware

2024/01/25 BleepingComputer — Blackwood という新たな APT (advanced threat actor) が、企業や個人に対するサイバースパイ攻撃のために、NSPX30 と呼ばれる高度なマルウェアを使用していることが判明した。この脅威アクターは、遅くとも 2018年から活動しており、中間者攻撃 (AitM：Adversary-in-the-Middle) に加えて、単純なバックドアに根ざしたコードベースを持つ、インプラントである NSPX30 マルウェアを 2005年から利用している。

Jenkins の脆弱性 CVE-2024-23897 が FIX：翌日に PoC エクスプロイトが登場

Breaking Down CVE-2024-23897: PoC Code Surfaces Just After Jenkins Advisory

2024/01/26 SecurityOnline — Jenkins の深刻な脆弱性である CVE-2024-23897 について、ベンダーがアドバイザリを公表した翌日に、技術的詳細と PoC エクスプロイト・コードが公開された。CI/CD (continuous integration and delivery) に欠かせない、オープンソースの自動化サーバーである Jenkins に、任意のファイル読み取りの脆弱性が存在することが判明したのだ。

QR Code フィッシングの進化：複雑な条件付きルーティングで検出を回避する

Beyond Simple Scams: The Rise of Conditional QR Code Routing Attacks

2024/01/25 SecurityOnline — 大手サイバー・セキュリティ企業 Avanan は、QR コードを悪用するフィッシング攻撃が、2023年8月〜9月で 587％、11月〜12月では 425％も増加していることを観測した。これらの攻撃は、一見して単純に見えるが、数多くの電子メール・セキュリティ・システムの脆弱性を、つまり、QR コード保護の欠如を悪用したものである。この脆弱性は、QR コードが一般大衆に広く普及していることと相まって、フィッシング詐欺に成功する道を開いている。

GoAnywhere の CVE-2024-0204：Horizon3 が詳述する PoC エクスプロイトとは？

PoC Code Published for Just-Disclosed Fortra GoAnywhere Vulnerability

2024/01/24 SecurityWeek — Fortra の GoAnywhere MFT に存在する深刻な脆弱性を標的とする PoC コードが、ベンダー・アドバイザリの翌日に公開された。この認証バイパスの脆弱性 CVE-2024-0204 (CVSS：9.8) の悪用に成功した、認証されていない攻撃者が得るのは、管理ポータルを介してアプリケーションの管理者ユーザーを作成する可能性である。

Web Browser ベースのフィッシング：2023年の前半／後半の比較で 198% も増加

Browser Phishing Threats Grew 198% Last Year

2024/01/24 InfoSecurity — Web ブラウザ・ベースのフィッシング攻撃が、2023年の上半期と下半期の比較において 198% も増加し、それに伴い回避型攻撃も 206% 増加したことを、セキュリティ研究者たちが観測している。この調査結果は、Menlo Security が先日に発表した “2023 State of Browser Security Report” で報告されており、ブラウザを標的とする Highly Evasive Adaptive Threats (HEAT) の急増という、懸念すべき傾向を浮き彫りにしている。

Cisco VPN の脆弱性 CVE-2023-20269：ランサムウェアによる悪用を確認

Denmark’s CFCS Raises Alarm on Ransomware Exploiting Cisco VPN Flaw CVE-2023-20269

2023/01/24 SecurityOnline — Cisco Adaptive Security Appliance (ASA)／Cisco Firepower Threat Defense (FTD) 製品の VPN 機能に影響を及ぼす脆弱性 CVE-2023-20269 だが、それを悪用するランサムウェア活動が活発化しているとして、デンマークの Centre for Cyber Security (CFCS) が注意を呼びかけている。

Trello のデータ流出：API を悪用して 1500万人のユーザーデータを窃取

Trello API abused to link email addresses to 15 million accounts

2024/01/23 BleepingComputer — Atlassian 傘下の Trello は、データやタスクをボード／カード／リストで整理するための、オンライン・プロジェクト管理ツールを提供するベンダーである。その Trello が公開している API は、個人のメール・アドレスと Trello アカウントを紐づけ、何百万ものデータ・プロファイルの作成を可能にするが、そこには公開／非公開の情報も取り込まれている。

NPM に悪意のパッケージ：開発者を騙して盗んだ SSH Key を GitHub に隠して保存

Malicious NPM Packages Exfiltrate Hundreds of Developer SSH Keys via GitHub

2024/01/23 TheHackerNews — npm パッケージ・レジストリで発見された２つの悪意のパッケージは、開発者システムにインストールされた後に、Base64 暗号化された SSH キーを盗み出し、GitHub に保存するものだったと判明した。2024年1月初旬に公開された、warbeast2000 と kodiak2k という名のモジュールは、npm のメンテナンスにより削除されるまでに、それぞれ 412回と 1,281回のダウンロードを記録している。また、最新のダウンロードは 2024年1月21日に行われているという。

VexTrio という悪のネットワーク帝国：60 以上のアフィリエイトたちとトラフィックを支配する

Cybercrime’s Silent Operator: The Unraveling of VexTrio’s Malicious Network Empire

2024/01/23 SecurityWeek — VexTrio は巨大で複雑かつ悪質な TDS (Traffic Direction System) 組織である。トラフィックを VexTrio へと迂回させる 60以上のアフィリエイト・ネットワークを持ち、それと同時に独自の TDS ネットワークも運営している。さまざまな研究者により、その活動の一端が発見／分析されているが、コアとなるネットワークは、ほとんど知られていない。

CISA KEV 警告 24/01/22：VMware vCenter の脆弱性 CVE-2023-34048 を追加

CISA Adds VMware vCenter Server Bug To Its Known Exploited Vulnerabilities Catalog

2024/01/23 SecurityAffairs — U.S. Cybersecurity and Infrastructure Security Agency (CISA) は、VMware vCenter Server に存在する、Out-of-Bounds Write の脆弱性 CVE-2023-34048 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。vCenter Server は、VMware の仮想化およびクラウド・コンピューティング・ソフトウェアの重要なコンポーネントであり、また、VMware の仮想化データセンターの集約的かつ包括的な管理プラットフォームとして機能する。

GoAnywhere MFT の脆弱性 CVE-2024-0204 (CVSS 9.8) が FIX：認証バイパス

CVE-2024-0204 (CVSS 9.8): Critical Authentication Bypass Flaw in GoAnywhere MFT

2024/01/22 SecurityOnline — GoAnywhere MFT はセキュアな MFT (Managed File Transfer) ソリューションであり、ファイル転送の自動化／一元化／セキュア化を支援するものだ。それにより、各種のシステム間でのデータ移動の手間を省く、ソフトウェア・プラットフォームとして活用されている。GoAnywhere MFT は、ファイル転送の安全性と効率的な管理を必要とする組織にとって、強力で多用途なソリューションである。このファイル転送ソリューションの開発者からの警告により、本質的に認証をバイパスする、深刻な脆弱性が明らかになっている。

Atlassian Confluence の深刻な RCE 脆弱性 CVE-2023-22527 が FIX：積極的な悪用を観測

Researchers Published Technical Details for Atlassian Confluence RCE (CVE-2023-22527)

2024/01/22 SecurityOnline — Atlassian Confluence Server／Data Center において、積極的な悪用が確認されている深刻なセキュリティ脆弱性について、Project Discovery のセキュリティ研究者 Rahul Maini と Harsh Jaiswal が技術的な詳細を公開した。この脆弱性 CVE-2023-22527 は CVSS 10.0 とされるが、現時点では修正されている。

Apple macOS／iOS／tvOS のゼロデイ脆弱性 CVE-2024-23222 が FIX：悪用を観測

Apple fixes first zero-day bug exploited in attacks this year

2024/01/22 BleepingComputer — Apple は、セキュリティ・アップデートをリリースし、iPhone／Mac／Apple TV に影響を与える可能性があり、また、すでに攻撃で悪用されている、2024年初のゼロデイ脆弱性に対処した。1月22日に修正されたゼロデイ脆弱性 CVE-2024-23222 (iOS／macOS／tvOS) は、WebKit のタイプ・コンフュージョンの欠陥に起因し、標的デバイス上でのコード実行を攻撃者にゆるす可能性があるものだ。

pyLoad の CSRF 脆弱性 CVE-2024-22416：CVSS 9.6 で PoC も公開

CVE-2024-22416: Exposing pyLoad’s High-Risk CSRF Vulnerability

2024/01/21 SecurityOnline — NAS システムから次世代ルーター、ヘッドレス・ホームサーバーに至るまで、様々なデバイスがデジタル・ライフのバックボーンとなっている現代技術の相互接続領域では、それらを動かすソフトウェアが大きな鍵となっている。 pyLoad は、多数のプラットフォーム上で Python を活用するために開発され、高い柔軟性と幅広い互換性を備えた、多用途のダウンロード・マネージャーだ。その pyLoad に、広範囲に影響を及ぼす可能性がある、深刻な脆弱性が発見された。