CyberAttack – Page 4 – IoT OT Security News

AI Chat におけるプライバシーとリスク：Microsoft が詳述する Whisper Leak というサイドチャネル攻撃

AI chat privacy at risk: Microsoft details Whisper Leak side-channel attack

2025/11/09 SecurityAffairs — Microsoft が発表したのは、Whisper Leak と呼ばれる新たなサイドチャネル攻撃に関する情報である。具体的に言うと、ネットワーク・トラフィックを監視する攻撃者は、データが暗号化されている場合であっても、リモートの言語モデルを使用してユーザーが会話した内容を推測できるという。この脆弱性により、企業／個人ユーザーがストリーミング AI システムと交わした会話から機密情報が漏洩し、深刻なプライバシー・リスクが生じる可能性があると、同社は警告している。

GenAI を悪用するサイバー脅威の増加：製造業が対象の調査結果とは？　　

AI-Powered Cyber Threats Rise: Attackers Target Manufacturing Sector

2025/11/08 gbhackers — 最新の包括的なレポート Threat Labs Report: Manufacturing 2025 によると、製造業は二重の課題に直面している。GenAI 技術の急速な導入を進める一方で、そのプラットフォームや信頼できるクラウド・サービスを悪用する、高度な攻撃からの防御に対応しなければならない。この調査が浮き彫りにするのは、イノベーションとデータ保護のバランスを取る製造業において、セキュリティ対策の強化が喫緊の課題であることだ。

RDP 認証情報を悪用：Cephalus ランサムウェアを展開する脅威アクターの手口とは？

Threat Actors Leveraging RDP Credentials to Deploy Cephalus Ransomware

2025/11/08 CyberSecurityNews — Cephalus という新たなランサムウェア・グループが、Remote Desktop Protocol (RDP) インフラのセキュリティ上の欠陥を悪用し、持続的かつ金銭目的の脅威をもたらしていることを、2025年6月中旬に AhnLab の研究者が確認した。このグループは盗み出した RDP の認証情報を悪用し、ネットワークに侵入して強力な暗号化攻撃を展開し、世界中の組織に重大な脅威を与えているという。

Booking.com を偽装して宿泊客を狙う I Paid Twice 詐欺：ClickFix 経由で PureRAT 感染

“I Paid Twice” Scam Infects Booking.com Users with PureRAT via ClickFix

2025/11/07 hackread — Sekoia が公表したのは、ホテルの運営者を標的とし、その後に宿泊客を狙うという、広範かつ継続的なサイバー犯罪活動の詳細である。このサイバー脅威の検知／対応企業による調査は、宿泊施設の顧客を標的とするフィッシング・キャンペーンを、同社のパートナーが報告したことから始まった。予約代金をホテルと犯罪者の双方に支払わされた被害者のメール件名にちなみ、この報告は “I Paid Twice (二重支払い)” と命名された。

ClickFix の進化する手口を検出：オンライン販売業者のページを模倣してユーザーを欺く

Attackers upgrade ClickFix with tricks used by online stores

2025/11/07 HelpNetSecurity — ClickFix の手法を進化させる攻撃者が、オンライン販売業者を模倣するページで被害者に圧力をかけ、マルウェア感染につながる手順を実行させるという手口が発見された。それらのページに配置されるのは、要求された操作を説明するチュートリアル動画／操作完了までの残り時間を示すカウントダウン・タイマー／過去１時間に認証を行ったユーザー数を表示するカウンターなどであり、いずれもユーザーに考える余地を与えずに、迅速な行動を促すことを目的としている。

VS Code エクステンションを悪用する Kimsuky：ランサムウェアと永続化のためのキャンペーンとは？

Threat Actors May Abuse VS Code Extensions to Deploy Ransomware and Use GitHub as C2 Server

2025/11/07 CyberSecurityNews — 開発者向けエクステンションを感染経路として悪用する北朝鮮の脅威アクターが、その攻撃戦略を進化させている。最近のセキュリティ調査によると、2012年から活動する国家支援グループ Kimsuky は、 JavaScript ベースのマルウェアを用いてシステムに侵入し、永続的な Command-and-Control (C2) インフラを構築しているという。これまでの攻撃は、政府機関／シンクタンク／専門家を標的とする活動に集中していたが、今回のキャンペーンが示すのは、技術力の拡大とサプライチェーン攻撃の高度化である。

SonicWall が認めたインシデント：国家に支援されるハッカーによるクラウド・ファイルへの不正アクセス

SonicWall Confirms State-Sponsored Hackers Behind the Massive Firewall Backup Breach

2025/11/06 CyberSecurityNews — SonicWall が公表したのは、最近のインシデントにおけるファイアウォールのバックアップ・ファイルへの不正アクセスなどに、国家に支援されるハッカーが関与していたことだ。2025年9月初旬に発生した侵害において、クラウド環境に保存されているファイアウォールのバックアップ・コンフィグ・ファイルに関する、不審なダウンロード・アクティビティが検出された。

Cisco Secure ASA／FTD の脆弱性 CVE-2025-20333 が FIX：RCE 攻撃を確認

Cisco Confirms Active Exploitation of Secure ASA and FTD RCE Vulnerability

2025/11/06 gbhackers — Cisco が発表したのは、Secure ASA (Adaptive Security Appliance)／FTD (Firewall Threat Defense) に影響を及ぼす深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-20333 を標的とする、継続的な攻撃に関する重大な警告である。同社は 2025年11月5日にセキュリティ・アドバイザリを更新し、パッチ未適用のシステム上でデバイスを完全に侵害する新たな攻撃手法が、脅威アクターにより展開されていることを明らかにした。

OneDrive を悪用する新手の DLL サイドローディング攻撃：PoC が示す悪意のコード実行とは？

Hackers Abuse OneDrive.exe via DLL Sideloading to Run Malicious Code

2025/11/05 gbhackers — Microsoft の OneDrive アプリケーションを悪用して、検知されることなく悪意のコードを実行する高度な攻撃手法が、セキュリティ研究者たちにより発見された。この攻撃で用いられる DLL サイドローディングと呼ばれる手法は、Windows のライブラリ読み込みの仕組みを悪用して正規のアプリケーションを騙し、攻撃者が制御する DLL をロードさせるものである。膨大な数のマシンに OneDrive が導入されているエンタープライズ環境において、この手口は深刻な脅威となる。

Rhysida の大規模侵害キャンペーン：Teams／PuTTY／Zoom を装うマルバタイジング攻撃

Weaponized Putty and Teams Ads Deliver Malware Allowing Hackers to Access Network

2025/11/04 CyberSecurityNews — 現在進行中の悪質な広告キャンペーンでは、正規のソフトウェア配布を悪用するかたちで、OysterLoader マルウェア (旧称 Broomstick／CleanUpLoader) が展開されている。この高度な初期アクセス・ツールにより、サイバー犯罪者は企業ネットワーク環境に足掛かりを築き、Rhysida ランサムウェア集団の配信手段としての環境の悪用を可能にする。

OpenAI の Assistants API を悪用する SesameOp：AI 侵害のためのバックドアをステルス C2 で確立

SesameOp: Using the OpenAI Assistants API for Covert C2 Communication

2025/11/04 gbhackers — OpenAI Assistants API を悪用する高度なバックドア型マルウェア SesameOp が、従来とは異なる Command-and-Control (C2) 通信経路を用いていることを、Microsoft の Detection and Response Team (DART) が明らかにした。この種の脅威は、正規のクラウド・サービスを悪用して通信を隠蔽する手法へ急速に適応しており、既存のセキュリティ対策による検知を著しく困難にしている。

XWiki のリモート・コード実行の脆弱性の悪用：インターネット上で積極的なスキャン活動を確認

Hackers Actively Scanning Internet to Exploit XWiki Remote Code Execution Vulnerability

2025/11/04 CyberSecurityNews — XWiki の SolrSearch コンポーネントに影響を及ぼす、重大なリモート・コード実行脆弱性 CVE-2025-24893 が広範な悪用の標的となっており、サイバー・セキュリティ当局が監視リストに追加している。この脆弱性により、最小限のゲスト権限しか持たない攻撃者であっても、脆弱なシステム上で任意のコマンドを実行できるという。そのため、このオープンソースのエンタープライズ Wiki プラットフォームを利用する組織に、深刻なセキュリティ・リスクが生じている。

Windows WSUS CVE-2025-59287：TCP ポート 8530/8531 への積極的な偵察を観測

Hackers Actively Scanning TCP Ports 8530/8531 for WSUS CVE-2025-59287

2025/11/03 gbhackers — Windows Server Update Services (WSUS) インフラを標的とする不審なネットワーク・トラフィックの急増を、SANS Internet Storm Center のセキュリティ研究者たちが公表した。この偵察活動は、特に TCP ポート 8530 および 8531 に重点を置いている。これらのポートは、先日に公開された CVE-2025-59287 の影響を受ける WSUS サーバの、暗号化／非暗号化の通信チャネルに相当する。

フィッシング攻撃に新たなスタイルが登場：Cloudflare／ZenDesk のサポートを装う手口に御用心

Beware of New Phishing Attack that Abuses Cloudflare and ZenDesk Pages to Steal Logins

2025/11/03 CyberSecurityNews — 正規のクラウド・ホスティング・サービスへの信頼を悪用する、巧妙なフィッシング攻撃が出現した。この脅威アクターは、Cloudflare Pages および Zendesk プラットフォームを悪用し、無防備なユーザーを標的とする大規模な認証情報窃取の作戦を実行している。この攻撃が示唆するのは、既存のインフラ・サービスがソーシャル・エンジニアリング攻撃の媒介となるという懸念すべき傾向である。

Akira ランサムウェアによる Apache OpenOffice 侵害：23GB の機密データ流出の主張とは？

Akira Ransomware Allegedly Claims Theft of 23GB in Apache OpenOffice Breach

2025/11/01 CyberSecurityNews — Akira ランサムウェア・グループが発表したのは、2025年10月29日に Apache OpenOffice のシステムへの侵入に成功し、23GB の機密性の高い企業データを盗み出したという主張である。強硬な二重恐喝戦術で知られる同グループは、ダークウェブ上のリークサイトに詳細を掲載し、身代金が支払われない限り情報を公開すると脅迫している。このインシデントが浮き彫りにするのは、高度なサイバー脅威が蔓延する時代においては、非営利ソフトウェア財団でさえ深刻なリスクに直面するという現実である。

Windows の脆弱性 CVE-2025-9491：APT による 2017 年からの悪用が判明

Unpatched Windows vulnerability continues to be exploited by APTs (CVE-2025-9491)

2025/10/31 HelpNetSecurity — 国家の支援を受ける脅威アクターやサイバー犯罪グループが、Windows の脆弱性 CVE-2025-9491 (ZDI-CAN-25373) を、2017 年から悪用し続けていることが明らかになった。Arctic Wolf Labs の脅威研究者たちは、「新たに検知した攻撃キャンペーンが、 UNC6384 に起因すると高い確信を持って評価している。過去に記録された UNC6384 の攻撃との間で、マルウェア・ツール／戦術的手順／標的の選択／インフラの重複などの証拠があり、この帰属を特定した」と述べている。

Chromium の脆弱性 Brash：悪意の URL をクリックするだけで発動する強力な攻撃とは？

New “Brash” Exploit Crashes Chromium Browsers Instantly with a Single Malicious URL

2025/10/30 TheHackerNews — Chromium の Blink レンダリング・エンジンで発見された深刻な脆弱性が悪用されると、多くの Chromium ベースのブラウザが短時間でクラッシュするという。この脆弱性の詳細は、セキュリティ研究者である Jose Pino により発見／報告されたものであり、Brash というコードネームが付けられている。この研究者は、「特定の DOM (Document Object Model) 操作の管理方法において、アーキテクチャ上の欠陥を悪用することで、あらゆる Chromium ブラウザが 15～60 秒でクラッシュする可能性がある」と述べている。

WooCommerce サイトが標的：フェイク・プラグインを介した侵入と多層化されたクレカ情報窃取戦術

New Malware Infects WooCommerce Sites Through Fake Plugins to Steal Credit Card Data

2025/10/30 gbhackers — WooCommerce プラグインを使用する WordPress ベースの EC サイトを、高度なマルウェアを用いる脅威アクターが積極的に標的としていると、Wordfence 脅威インテリジェンス・チームが報じている。このマルウェア攻撃は、正規の WordPress プラグインを装いながら、高度な回避技術と多層的な攻撃戦略を駆使し、オンライン・ショッピング利用者からクレジットカード情報を密かに盗み出している。

PhantomRaven の攻撃手法：依存関係隠蔽／AI 標的／自動スクリプトを持つ 126 の悪意の npm パッケージ

PhantomRaven Attack Discovered in 126 Malicious npm Packages, Exceeding 86,000 Downloads

2025/10/30 gbhackers — PhantomRaven の出現は、世界中の開発者コミュニティを揺るがすものだ。この大規模キャンペーンには、126 個の悪意のある npm パッケージが関与し、86,000 回以上のダウンロードを記録した。これらの悪意のパッケージは水面下に潜み、世界中の無防備な開発者から npm トークン／GitHub の認証情報／CI/CD のシークレットを積極的に盗んでいる。この攻撃者はオープンソース・エコシステムの盲点を突くことで、セキュリティ分析から悪意のコードを隠蔽する新しい手法を駆使し、大きな影響を生み出している。

FileFix + Cache Smuggling：従来のセキュリティ対策を回避する新たなハイブリッド・フィッシング手法とは？

FileFix + Cache Smuggling: A New Evasion Combo

2025/10/28 gbhackers — FileFix は、ソーシャル・エンジニアリングとキャッシュ・スマグリングを組み合わせて、最新のセキュリティ防御を回避するものだ。そして、MalwareTech のサイバー・セキュリティ研究者たちが分析するのは、高度に進化したハイブリッド・フィッシング攻撃の手法である。このハイブリッド攻撃では、Web リクエストのための悪意のコードが不要となる。それに代えて用いられるのは、キャッシュ・スマグリングで仕込まれたペイロードであり、それらはブラウザのキャッシュからダイレクトに抽出される。この手法の目的は、インターネットへのアクセスを監視／制限するセキュリティ制御の回避にあり、攻撃者の手口が大きく進歩したことを示している。

新たなフィッシング・パターンの検出：MIME エンコードとメール件名への不可視文字の挿入

New Phishing Attack Using Invisible Characters Hidden in Subject Line Using MIME Encoding

2025/10/28 gbhackers — MIME エンコードの悪用により、メールの件名に埋め込まれた不可視の Unicode 文字を武器化する高度なフィッシング手法を、セキュリティ研究者たちが発見した。この手法は、メール・セキュリティ専門家の間でも、ほとんど知られていない。エンド・ユーザーによるメール操作を損なわずに、その手口を進化させる攻撃者が自動フィルタリング・システムを回避していく状況が、この発見により明らかになった。

Operant AI が警告する Shadow Escape 攻撃：MCP 接続 AI エージェントをゼロクリックで悪用

First Zero Click Attack Exploits MCP and Connected Popular AI Agents To Exfiltrate Data Silently

2025/10/28 CyberSecurityNews — Operant AI が発見した脆弱性 Shadow Escape を悪用する攻撃者は、Model Context Protocol (MCP) と ChatGPT／Claude／Gemini などの一般的な AI エージェントを介して、機密データをゼロクリック攻撃で盗み出す。この攻撃者は、ユーザーによる操作を必要とせず、従来のセキュリティ・ツールによる検出を回避しながら、社会保障番号や医療記録といった個人識別情報を流出させることが可能になるという。

Qilin ランサムウェアの攻撃手法を分析：MS ペイント／メモ帳の悪用による情報窃取と二重恐喝

Qilin Ransomware Exploits MSPaint and Notepad to Locate Sensitive Files

2025/10/27 gbhackers — 2025年後半に Qilin (旧称 Agenda) ランサムウェア・グループは、ファイル暗号化と公開データ漏洩の二重恐喝戦略を軸とする攻撃キャンペーンにより、製造／科学サービス／卸売などの業種を中心に毎月 40件以上の被害者情報を公開し、世界で最も影響力のあるランサムウェア集団の一つに躍り出た。

Copilot Studio を悪用する CoPhish 攻撃が拡大：OAuth トークンを窃取する新たな攻撃手法

New CoPhish Attack Exploits Copilot Studio to Exfiltrate OAuth Tokens

2025/10/27 CyberSecurityNews — CoPhish と呼ばれる高度なフィッシング手法は、Microsoft Copilot Studio を悪用してユーザーを騙し、Microsoft Entra ID アカウントへの不正アクセスを攻撃者に許可させるものだ。Datadog Security Labs が命名したこの手法は、正規の Microsoft ドメイン上でホストされるカスタマイズ可能な AI エージェントを悪用することで、従来の OAuth 同意攻撃を巧妙に偽装し、信頼性を装いながらユーザーの疑念を回避するものである。この攻撃は、最近のレポートで詳細が明らかにされたものだ。それが浮き彫りにするのは、Microsoft が同意ポリシーの強化に努めているにもかかわらず、クラウドベースの AI ツールに継続的な脆弱性が存在することだ。

ClickFix を採用する脅威アクターたち：NetSupport リモート管理ツールを展開してシステム制御を奪う

Hackers Use ClickFix Technique to Deploy NetSupport RAT Loaders

2025/10/25 gbhackers — ClickFix と呼ばれる手法を用いるサイバー犯罪者たちが、NetSupport リモート管理ツール (RAT：Remote Administration Tool) を悪意の目的で展開するケースが増えている。eSentire – Threat Response Unit (TRU) の最新レポートによると、脅威アクターたちは 2025年を通して、偽のソフトウェア・アップデートから ClickFix による初期アクセス経路へと、主要な配信戦略を移行している。この手法は、正規のリモート・サポート・サービスを悪用して、ユーザーを騙す攻撃者が、システムの制御権を奪うものである。

OAuth プロンプトを用いるフィッシング：アクセス・トークンを騙し取って Microsoft アカウントを侵害

New Phishing Wave Uses OAuth Prompts to Take Over Microsoft Accounts

2025/10/24 gbhackers — OAuth 認証プロンプトを巧妙に操作する新たなフィッシング攻撃が、Microsoft アカウント保有者を狙っている。この攻撃者の手口は、ユーザーに直接パスワードの入力を求めるのではなく、正規の Microsoft 認証画面を装うことでユーザーを欺き、悪意のアプリケーションへの許可を促すものだ。この手法により、従来のパスワード保護や多要素認証が回避されるため、標的とされるユーザーはきわめて危険な状況にある。

IIS サーバをへの攻撃キャンペーン：サンプル ASP.NET マシンキーによる HijackServer の拡散

IIS Servers Hijacked via Exposed ASP.NET Machine Keys — Malicious Modules Injected in the Wild

2025/10/24 gbhackers — インターネット上に公開されている ASP.NET マシンキーを悪用し、世界中の数百台の Internet Information Services (IIS) サーバを侵害する高度なサイバー攻撃キャンペーンを、セキュリティ研究者たちが発見した。この攻撃は、2025年8月下旬から 9月上旬にかけて検出されたものであり、これまで文書化されていなかった HijackServer と呼ばれる悪意あるモジュールが展開された。このモジュールは、正規の Web サーバを検索エンジン操作のツールに変えるものであり、永続的なバックドア・アクセスを維持するという。

WinRAR のゼロデイを悪用：Bitter APT が展開する狡猾な情報窃取キャンペーンとは？

Bitter APT Exploits WinRAR Zero-Day Through Malicious Word Files to Steal Sensitive Data

2025/10/22 gbhackers — Bitter (APT-Q-37) として追跡される脅威グループが、Office マクロの悪用と、未知の WinRAR パス・トラバーサル脆弱性を悪用し、C# バックドアを仕掛けて機密情報を盗み出している。Qi’anxin Threat Intelligence Center の研究者は、この二面的な攻撃が示すのは、同グループの戦術の進化と、中国やパキスタンなどの戦略的な地域における、政府／電力／軍事の重要標的への注力であると警告している。

SharePoint の脆弱性 ToolShell CVE-2025-53770：中国由来の APT による悪用が止まらない

Chinese Hackers Using ToolShell Vulnerability To Compromise Networks Of Government Agencies

2025/10/22 CyberSecurityNews — Microsoft SharePoint サーバの深刻な脆弱性を悪用する中国拠点の脅威アクターが、世界中のネットワークに侵入している。このスパイ活動とみられる攻撃キャンペーンは、政府機関や重要インフラを標的としている。ToolShell として識別される脆弱性 CVE-2025-53770 は、未認証のリモート・コード実行を可能にするものであり、2025年7月に情報が公開されて以来、Microsoft による迅速な修正プログラムの適用に反して活発に悪用されている。

情報窃取マルウェア Vidar Stealer 2.0：Lumma を凌駕するブラウザ認証情報取得の新手法とは？

Vidar Stealer Exploits: Direct Memory Attacks Used to Capture Browser Credentials

2025/10/22 gbhackers — 2025年10月6日にサイバー犯罪者 Loadbaks は、Vidar Stealer v2.0 のリリースをアンダーグラウンド・フォーラムで発表した。この新バージョンは、メモリへのマルウェアの直接注入により、最新ブラウザのセキュリティ対策を回避する。この高度な情報窃取マルウェアは、C++ から純粋な C 実装への移行によりアーキテクチャを全面的に刷新し、パフォーマンスとステルス性を向上させている。今回のリリースの背景には、Lumma Stealer の活動量の低下があると思われる。それが示唆するのは、脅威環境の変化に適応するサイバー犯罪者たちが、より効果的な代替手段を積極的に模索している状況である。

Microsoft 365 Copilot の悪用：間接プロンプト・インジェクションと情報漏洩

Microsoft 365 Copilot Flaw Lets Hackers Steal Sensitive Data via Indirect Prompt Injection

2025/10/21 gbhackers — Microsoft 365 Copilot の脆弱性を悪用する攻撃者は AI アシスタントを騙して、ドキュメント内に隠し持った指示を実行させ、テナントの機密データを取得／抽出できる状態にあった。その後に、この AI はデータを悪意の Mermaid ダイアグラムにエンコードし、それがクリックされると、盗んだ情報を攻撃者のサーバに送信する仕組みを構築していた。

無印良品に影響を及ぼしたサプライチェーン攻撃：オンラインストアなどに影響

Retail giant Muji halts online sales after ransomware attack on supplier

2025/10/20 BleepingComputer — 日本の小売企業 Muji が発表したのは、配送パートナーの Askul が受けたランサムウェア攻撃が原因となり、オンライン・ストアが停止したという声明である。日本時間の 10月19日 (日) に Muji は、「すべての小売サービスにおいて、オンラインストアでの閲覧と購入／アプリを介した注文履歴の確認／一部の Web コンテンツの表示などに問題が生じている」と発表した。

F5 侵害と大規模な情報漏洩：オンラインに露出する約 27万台の F5 デバイス – 日本は２位

Over 269,000 F5 Devices Exposed Online After Major Breach: U.S. Faces Largest Risk

2025/10/17 CyberSecurityNews — F5 による情報公開は、同社が明らかにした高度な国家レベルの攻撃の直後に行われたものだ。この攻撃では、F5 の開発環境が侵害され、ソースコード／BIG-IP 製品の未公表脆弱性の詳細情報が盗み出された。その影響が及ぶ範囲として挙げられるのは、公開されたデバイスの約半数にあたる 134,000 台が集中する米国であり、F5 のアプリケーション・デリバリー・コントローラーに依存する世界中の組織に警鐘を鳴らしている。2024年8月に検知された今回の侵害の特質は、長期にわたる不正アクセスにあり、F5 のインフラに存在する脆弱性を露呈するものだ。この問題により、公開されたデバイスへのリスクが増大する可能性がある。

F5 に侵入した脅威アクター：BIG-IP のソースコードと脆弱性関連の機密情報を盗み出す

Hackers Breach F5 and Stole BIG-IP Source Code and Undisclosed Vulnerability Data

2025/10/15 gbhackers — F5 Networks が認めたのは、国家に支援される高度な脅威アクターによる自社システムへの侵入により、BIG-IP のソースコードと機密の脆弱性情報が盗み出されたことだ。この 2025年8月に発生したインシデントは、F5 の製品開発およびエンジニアリング・ナレッジ・プラットフォームを標的とするものであり、顧客の保護と信頼回復のため、迅速な対応と一連の緩和策が実施された。

Telegram とハッシュタグ：ノイズの海からシグナルを抽出するハクティビストたち

Telegram Becomes the Nerve Center for Modern Hacktivist Operations

2025/10/15 gbhackers — 120以上の政治的な動機を持つ脅威アクター・グループが投稿した、11,000 件以上のメッセージを分析する包括的な研究が行われた。その結果によると、現代のハクティビスト活動における主要な調整拠点としての地位を、Telegram が確立しているという。その一方で、ハクティビスト活動は、ダークウェブのフォーラム上で秘密裏に行われるという通説も覆された。この研究で明らかになったのは、ハクティビストの計画立案や動員の多くが、主流のプラットフォーム上で公然と行われていることだった。司令塔としてのポジションは、Telegram が首位を占め、それに続くのが X (旧 Twitter) となっている。

10万以上のノードを持つ大規模ボットネットを発見：RDP 攻撃の拡大を研究者たちが警告

Researchers warn of widespread RDP attacks by 100K-node botnet

2025/10/14 SecurityAffairs — GreyNoise の研究者たちが発見したのは、10月8日以降の米国で Remote Desktop Protocol (RDP) サービスを標的とする、大規模なボットネットの活動である。今週に同社が検知したのは、ブラジルの IP 空間での異常なトラフィックの急増であり、その後に広範な通信パターンを調査したという。そして、このボットネットが複数の国の 10 万以上の IP アドレスから発信されていることが、調査の結果として確認された。

ScreenConnect を悪用する脅威アクターたち：RMM の機能を逆手に取る侵害の手法とは？

ScreenConnect Abused by Threat Actors to Gain Unauthorized Remote Access to Your Computer

2025/10/14 CyberSecurityNews — 長年にわたり Remote Monitoring and Management (RMM) ツールは、IT 管理者にとって不可欠な資産として機能し、企業のエンドポイントを網羅し、シームレスなリモート制御／無人アクセス／スクリプトによる自動化を提供してきた。その一方で、ここ数ヶ月でセキュリティ研究者が確認しているのは、ConnectWise の RMM ソリューションである ScreenConnect を、初期侵入と継続的な制御のためのバックドアとして悪用する攻撃者の急増である。

Salesforce 侵害：10億レコードの窃取と Extortion-as-a-Service の展開

Hackers Claim Massive Salesforce Breach: 1 Billion Records Stolen

2025/10/13 gbhackers — Scattered Lapsus$ Hunters という新たなサイバー犯罪集団が、Salesforce の顧客テナントを標的とする大規模なデータ侵害の犯行声明を出し、世界中の組織にとっての深刻な脅威として浮上している。SP1D3R HUNTERS または SLSH とも呼ばれる、このグループは、２つの恐喝キャンペーンで 10億件以上の Salesforce レコードを窃取したと報じられており、近年で最大級のデータ窃盗を展開している。専門家たちは、この犯罪シンジケートを “Trinity of Chaos” と呼んでいる。それが意味するのは、Muddled Libra (Scattered Spider)／Bling Libra (ShinyHunters)／LAPSUS$ という３つの脅威グループのメンバーにより構成されていることだ。

Microsoft Edge の IE モードが標的：レガシー・ブラウザの弱点を突く脅威アクターたちの戦術とは？

Hackers Leveraging Microsoft Edge Internet Explorer Mode to Gain Access to Users’ Devices

2025/10/13 CyberSecurityNews — Microsoft Edge の Internet Explorer モード機能を標的とする脅威アクターが、新たな攻撃ベクターを発見したことで、懸念すべき展開が生じている。2025年8月に出現した、この高度な攻撃キャンペーンは、従来のブラウザ技術に内在するセキュリティ上の弱点を悪用して、無防備なユーザーのデバイスを侵害している。この攻撃は、脅威アクターの戦術における大きな進化を示すものであり、無害に見える互換性機能を武器化する能力を示している。

npm／PyPI／RubyGems パッケージを介した Discord C2：ステルス情報漏洩が加速

Threat Actors Exploit Discord Webhooks for C2 via npm, PyPI, and Ruby Packages

2025/10/12 gbhackers — オープンソース・パッケージ内での Command and Control (C2) チャネルとして、Discord Webhook を悪用する脅威アクターが増えている。それにより、専用のインフラを構築することなく、機密情報／ホスト・テレメトリ／開発者環境データのステルス的な流出が可能になる。Socket の脅威調査チームが確認したのは、npm／PyPI／RubyGems 内でハードコードされた Discord Webhook URL が、書き込み専用のデータ受信先 (シンク)として機能し、HTTPS 経由で攻撃者が管理するチャネルへデータを吸い上げるという、活発な悪用の事例である。

Stealit マルウェアの新たな活動を確認：Node.js 機能の悪用とWindows システムの標的化

New Stealit Malware Exploits Node.js Extensions to Target Windows Systems

2025/10/11 gbhackers — 実験的な Node.js 機能を悪用して Windows システムを感染させる新たな Stealit マルウェアの活動を、セキュリティ研究者が確認した。FortiGuard Labs のレポートによると、この攻撃者は Node.js の Single Executable Application (SEA) 機能を用いて、悪意のペイロードをパッケージ化して配布している。この新たな戦術は、Electron フレームワークに依存していた、従来の Stealit バージョンからの転換を示している。このマルウェアは、Mediafire や Discord などのファイル共有プラットフォームを経由し、人気ゲームや VPN ソフトウェアのインストーラーを装いながら拡散している。

Cisco／Fortinet／Palo Alto のデバイスに組織的なスキャン：Firewall／VPN を狙う攻撃が懸念される

Cisco, Fortinet, Palo Alto Networks Devices Targeted in Coordinated Campaign

2025/10/10 securityweek — Cisco と Palo Alto Networks のファイアウォール、および、 Fortinet の VPN を標的とする３件の攻撃キャンペーンが、同一サブネット上の IP アドレスから発信されていることを、GreyNoise が発見した。同社の調査結果により判明したのは、Secure Firewall ASA ／Secure FTD デバイスを標的とするスキャン攻撃については、Cisco が２件のゼロデイ脆弱性を公表する約３週間前の９月初旬に、警告が発せられていたことだ。

GenAI と ASCII スマグリング：Gemini の問題を脆弱性ではないと否定する Google

Google won’t fix new ASCII smuggling attack in Gemini

2025/10/07 BleepingComputer — Google が公表したのは、Gemini に対する新たな ASCII スマグリング攻撃について、修正を施さないという方針である。この攻撃は、AI アシスタントを騙してユーザーに偽の情報を提供させ、モデルの動作を改変し、データを密かに改竄する可能性があるものだ。ASCII スマグリングとは、Unicode の Tags ブロックに含まれる特殊文字を利用して、ユーザーには見えないかたちで悪意のペイロードを挿入し、LLM による検出／処理を行わせるものである。

Palo Alto Networks と Grafana を標的とする大規模な偵察活動：懸念される Zero-Day／N-Day 脆弱性の悪用

Massive surge in scans targeting Palo Alto Networks login portals

2025/10/04 BleepingComputer — Palo Alto Networks のログイン・ポータルを狙う、不審なスキャンの急増が示すのは、疑わしい IP アドレスからの明確な偵察活動であると研究者たちは警告している。サイバー・セキュリティ情報会社 GreyNoise は、Palo Alto Networks の GlobalProtect／PAN-OS プロファイルを狙う IP アドレスが、500% も増加したと報告している。この活動がピークに達した 10月3日には、1,285 以上の固有 IP アドレスが活動に参加していた。通常において、１日のスキャン・アドレスが 200 IP を超えることはないと、GreyNoise は述べている。

Oracle E-Business Suite を狙う恐喝キャンペーン：Cl0p に関連するサイバー攻撃を確認

Oracle Confirms that Hackers Targeting E-Business Suite Data With Extortion Emails

2025/10/03 CyberSecurityNews — Oracle が公表したのは、高度な恐喝キャンペーンを展開するサイバー犯罪者が、同社の E-Business Suite (EBS) プラットフォーム・ユーザーを標的にしていることだ。同社の最高セキュリティ責任者である Rob Duhart は、2025年7月の Critical Patch Update (CPU) で Oracle が修正した脆弱性を、ハッカーたちが悪用していることを認めた。このインシデントが浮き彫りにするのは、エンタープライズ・アプリケーションが直面する継続的な脅威環境と、タイムリーなセキュリティ・パッチ適用の重要性である。