CyberAttack – Page 42 – IoT OT Security News

東アジアの Web サイトへの攻撃：脆弱な FTP 認証情報が悪用されている

Thousands of Websites Hijacked Using Compromised FTP Credentials

2023/03/03 SecurityWeek — クラウド・セキュリティ企業である Wiz の警告は、正規の FTP 認証情報を介して侵害されるリダイレクト・キャンペーンが、東アジアのユーザーをターゲットとする数千の Web サイトへ向けて広がっているというものだ。多くのケースにおいて攻撃者は、自動生成され安全性の高い FTP 認証情報を入手し、それを用いて被害者の Web サイトを乗っ取り、訪問者をアダルトテーマのコンテンツにリダイレクトしている。

Redis データベース・サーバが標的：３つ目のクリプトジャッキング・キャンペーンが登場

New Cryptojacking Campaign Leverages Misconfigured Redis Database Servers

2023/03/02 TheHackerNews — Redis データベース・サーバのミスコンフィグレーションが、新しいクリプトジャッキング・キャンペーンのターゲットとなっているが、そこで悪用されているのは、正規のオープンソース・コマンドライン・ファイル転送サービスである。Cado Security は、「このキャンペーンを支えていたのは、transfer[.]sh である。つまり、数多くのサービスなどで普通に使われる、pastebin[.]com などのコード・ホスティング・ドメインをベースにした、検出を回避する試みの可能性がある」と、The Hacker News と共有したレポートで述べている。

Hatch Bank のデータ侵害：GoAnywhere MFT のゼロデイ脆弱性が悪用された

Hatch Bank discloses data breach after GoAnywhere MFT hack

2023/03/02 BleepingComputer — フィンテック・バンキング Hatch Bank が開示したのは、同社のセキュア・ファイル共有プラットフォーム Fortra GoAnywhere MFT から、約 14万人の顧客の個人情報を、ハッカーが窃取するというデータ侵害に関するものだ。Hatch Bank とは、銀行間サービスへのアクセスを、中小企業に提供するフィンテック企業である。TechCrunch が報じたように、影響を受けた顧客と司法長官事務所に提出されたデータ侵害通知には、ハッカーが GoAnywhere MFT ソフトウェアの脆弱性を悪用して、139,493人の顧客のデータを盗んだと記されている。

PyPI に colorfool という悪意のパッケージが登場：情報スティーラー／RAT を配布

Experts Identify Fully-Featured Info Stealer and Trojan in Python Package on PyPI

2023/03/02 TheHackerNews — 完全な機能を備えた情報スティラーとリモート・アクセス型トロイの木馬を含む、悪意の Python パッケージが、PyPI (Python Package Index) にアップロードされていたことが判明した。この、colorfool と名付けられたパッケージは、Kroll の Cyber Threat Intelligence Team により発見され、このマルウェア自体は Colour-Blind と呼ばれている。Kroll の研究者である Dave Truman と George Glass は、「Colour-Blind マルウェアは、他から調達したコードから複数の亜種を生成する。つまり、サイバー犯罪の不偏化により、脅威が激化していく可能性を示している」と、The Hacker News と共有したレポートで述べている。

CISA の Decider というツール：観測された脅威の結果と MITRE ATT&CK をマッピング

CISA releases free ‘Decider’ tool to help with MITRE ATT&CK mapping

2023/03/02 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、セキュリティ・アナリストなどの防御側が、MITRE ATT&CK マッピング・レポートを迅速に作成するための、オープンソース・ツール Decider をリリースした。MITRE ATT&CK フレームワークは、サイバー攻撃の観測に基づき、敵対者の戦術や技術を特定／追跡するための標準であり、それに応じて防御側のセキュリティ態勢を調整するためのものだ。共通の基準を持つ組織は、新たに発見／出現した包括的で正確な情報を迅速に共有し、その攻撃を阻止するためのアクションを実施できる。

Iron Tiger ハッキング・グループは中国由来の APT27：Linux 版のカスタム・マルウェアを投入

Iron Tiger hackers create Linux version of their custom malware

2023/03/01 BleepingComputer — Iron Tiger こと APT27 ハッキング・グループは、カスタム・リモートアクセス・マルウェア SysUpdate の新しい Linux 版を用意し、企業で使用される広範なサービスを標的にしようとしている。Trend Micro の最新レポートによると、このハッカーは 2022年7月より Linux 版をテストし始めている。そして、2022年10月になると、複数のペイロードが野放し状態で活動し始めまた。

BlackLotus という UEFI Bootkit マルウェア第１号：Windows 11 の Secure Boot を突破する

BlackLotus Becomes First UEFI Bootkit Malware to Bypass Secure Boot on Windows 11

2023/03/01 TheHackerNews — BlackLotus という高ステルス性の UEFI (Unified Extensible Firmware Interface) ブートキットが、Secure Boot 防御を回避するマルウェアとして初めて公になり、サイバー環境における強力な脅威となってきた。スロバキアのサイバーセキュリティ企業 ESET は、「このブートキットは、UEFI セキュアブートを有効にした最新の Windows 11 システム上でも実行可能である」と、The Hacker News と共有したレポートで述べている。

モバイル・フィッシング 2022年レポート：BYOD ポリシー緩和につけ込む攻撃者たち

Record Number of Mobile Phishing Attacks in 2022

2023/03/01 InfoSecurity — Lookout によると、2022年においては、過去最大のモバイル・フィッシングが観測され、世界のスマフォ・ユーザーの半数が、四半期ごとにフィッシング攻撃にさらされていたこと判明した。この調査結果は、2023年3月1日に Lookout 発表した Global State of Mobile Phishing Report から得られたものだ。このレポートによると、モバイル・フィッシングの発生率は、３年前からの上昇傾向を裏付けるものであり、2020年 Q4 以降においては四半期ごとに増加している。ただし、この数字は、個人の携帯電話のみを対象としている。

Parallax RAT の標的は暗号通貨企業：洗練されたインジェクション技術で検出を回避

Parallax RAT Targeting Cryptocurrency Firms with Sophisticated Injection Techniques

2023/03/01 TheHackerNews — Parallax RAT と呼ばれるリモート・アクセス型トロイの木馬を配信する新しいキャンペーンにおいて、暗号通貨企業が標的にされている。Uptycs の最新レポートには、「このマルウェアは、インジェクション技術を用いて正規のプロセス内に潜伏し、検出を困難にしている。その注入を成功させた攻撃者は、おそらく通信チャネルとして機能する Windows Notepad を介して、被害者に接触するようになる。

LastPass のデータ侵害：エンジニアの自宅 PC が企業ストレージへの侵入経路に

LastPass breach: Hacker accessed corporate vault by compromising senior developer’s home PC

2023/02/28 HelpNetSecurity — 2022年8月に発生した LastPass の開発環境への侵害と、その後に発生したバックアップ・ホストのサードパーティ・クラウド・ストレージ・サービスへの不正アクセスに関して、同社から顧客へを通知が改めて行われた。同社の通知には、「脅威アクターたちは、最初のインシデントで盗み出した情報や、サードパーティのデータ漏えいから得た情報に加えて、サードパーティのメディア・ソフトウェア・パッケージの脆弱性などを悪用することで、協調的な第２の攻撃を開始した」と記されている。２つの侵害の影響は壊滅的であり、盗まれた／危険にさらされたデータと、機密情報のリストは広範囲に及んでいる。

EX-22 という悪意のフレームワークが登場：システム侵入後の作業が容易に

New EX-22 Tool Empowers Hackers with Stealthy Ransomware Attacks on Enterprises

2023/02/28 TheHackerNews — EXFILTRATOR-22 (別名 EX-22 ) という、新たな Post-Exploitation フレームワークが野放し状態で発見された。その主目的は、企業ネットワーク内で検知されずに、ランサムウェアを拡散させることにあるという、サイバー・セキュリティ企業の CYFIRMA は最新レポートで、「このツールには、システムに侵入した後の作業を容易にするための、幅広い機能が搭載されている」と述べている。

CISA KEV 警告 23/02/27：ZK Java Web Framework の脆弱性が悪用されている

CISA Issues Warning on Active Exploitation of ZK Java Web Framework Vulnerability

2023/02/28 TheHackerNews — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ZK フレームワークに影響を及ぼす深刻な欠陥が活発に悪用されているとし、Known Exploited Vulnerabilities (KEV) カタログに追加したことを発表した。この脆弱性 CVE-2022-36537 (CVSS: 7.5) は、ZK Framework バージョン 9.6.1／ 9.6.0.1／9.5.1.3／9.0.1.2／8.6.4.1 に影響を及ぼすものであり、特別に細工したリクエストを介して、驚異アクターに機密情報の取得を許すものである。

SaaS-to-SaaS 接続のリスク：人々の認識よりも遥かに根深い問題とは？

Shocking Findings from the 2023 Third-Party App Access Report

2023/02/27 The Hacker News — SaaS である M365 と Google Workspace を使用する 10,000人のユーザーを抱える組織では、平均で 4,371 以上の接続アプリが追加されている。世界中の組織で、サードパーティ製 SaaS-to-SaaS アプリのインストールが止まらなくなってきた。効率や生産性を高めるために、従業員たちが追加のアプリを必要とするとき、ほとんど考えることなくインストールするのが一般的になっている。大半の従業員は、コンテンツの読取／更新／作成／削除などのスコープを必要とする、この SaaS-to-SaaS 接続により、組織の攻撃対象領域が大幅に拡大することに気づいていない。

米国の国家サイバー戦略が規制を強化：攻撃的な Hack-Back アプローチも容認

US National Cyber Strategy Pushes Regulation, Aggressive Hack-Back Operations

2023/02/27 SecurityWeek — 米国政府は、重要インフラ・ベンダーに対する強制的な規制を承認する一方で、外国の敵対者に対する積極的な Hack-Back アプローチを容認するための、サイバー・セキュリティ戦略文書を発表する予定である。ワシントンで話題になっている、この戦略文書に関する初期の報道によると、国家安全保障における公平な競争条件のために規制を利用する、35 ページに及ぶ国家サイバーセキュリティ戦略の最終詳細を、バイデン政権は熟考しているとのことだ。

モバイル・バンキングの脅威：この１年で２倍増した偽装アプリの検出件数

Researchers Discover Nearly 200,000 New Mobile Banking Trojan Installers

2023/02/27 InfoSecurity — サイバー・セキュリティの研究者たちは、2022年に新たに196,476件のモバイル・バンキング型トロイの木馬を発見した。これは、2021年の倍以上の数字となる。この調査結果は、先ほど Kaspersky が公開したレポートで明らかにされ、メールで InfoSecurity と共有された。同社は、「モバイル・バンキング型トロイの数の急増は、過去６年間で報告された中で最も激しいものであり、懸念すべき事態である」と述べている。

ChromeLoader マルウェアが蔓延：Nintendo／Steam のゲーム・クラックを介して配布されている

ChromeLoader Malware Poses as Steam, Nintendo Game Mods

2023/02/27 InfoSecurity — Nintendo や Steam のゲーム・クラックや MOD を装うファイルを介して、脅威アクターたちが、ChromeLoader マルウェアを配布していることが判明した。Asec のセキュリティ研究者たちによると、最近になって観測された悪意の活動は、VHD ディスク・イメージ・ファイルに依拠しているとのことだ。同社が木曜日に発表したアドバイザリには、「このプロセスを通じて VHD ファイルがダウンロードされた場合には、悪意の VHD ファイルをゲーム関連のプログラムだと、ユーザーが間違える可能性がある」と説明されている。

PureCrypter のキャンペーンの狙いは政府機関：AgentTesla などのマルウェアを配布

PureCrypter used to deliver AgentTesla to govt organizations

2023/02/27 SecurityAffairs — PureCrypter マルウェア・ローダーを使用し、政府機関を標的としたキャンペーンを展開する未知の脅威アクターを、Menlo Labs の研究者たちが発見した。このキャンペーンは、侵害した NPO のドメインを C2 サーバとして悪用して、Redline Stealer／AgentTesla／Eternity／Blackmoon／Philadelphia Ransomware などのマルウェアを配信し、セカンド・ステージ・ペイロードを展開しようとするものだ。専門家たちが発見したのは、アジア太平洋地域 (APAC) ／北米の複数の政府系組織に対する、複数のマルウェア配信の試みである

PlugX マルウェアは中国由来：Windows の x32dbg を装い攻撃を仕掛ける

PlugX Trojan disguised as a legitimate Windows open-source tool in recent attacks

2023/02/27 SecurityAffairs — オープンソースの Windows デバッガ・ツール x32dbg を装う、PlugX RAT (Remote Access Trojan) の配布を目的とした新たな攻撃を、Trend Micro が発見した。x32dbg は、カーネル・モードやユーザー・モードのコード／クラッシュ・ダンプ／CPU レジスタなどの解析を可能にするツールである。

Fortinet の脆弱性 CVE-2022-39952：Shodan 検索結果をベースにした推測は適切なのか？

Fortinet Shares Clarifications on Exploitation of FortiNAC Vulnerability

2023/02/24 SecurityWeek — Fortinet は、FortiNAC network access control (NAC) の脆弱性を狙った最近の悪用行為について、同社がセンセーショナルな報道と表現したことに関して、いくつかの重要な説明を行った。この脆弱性 CVE-2022-39952 は、悪用に成功したリモートの未認証の攻撃者により、任意のコードが実行される可能性を持つものだ。この問題は、Fortinet の内部で発見されている。

ランサムウェアと身代金：支払いに応じるケースは 10% に過ぎないが金額は高騰している

Firms Who Pay Ransom Subsidise 10 New Attacks: Report

2023/02/24 InfoSecurity — ランサムウェの被害において、身代金が支払われたケースは 10％に過ぎないが、その対価が新たな攻撃 6件～10件の資金源になっていることが、Trend Micro の調査により判明した。セキュリティ・ベンダーである Trend Micro は、データサイエンスの手法を用いて、検知用テレメトリ／ネットワーク・インフラ／ブロックチェーン取引／アンダーグラウンド・フォーラム／チャットログなどのデータを分析しましたという。

News Corp への不正侵入：2020〜2022年において中国由来の APT が潜み続けていた

News Corp says state hackers were on its network for two years

2023/02/24 BleepingComputer — マスメディア News Corp の発表によると、2022年に公開された情報漏えいの背後にいる攻撃者は、2020年2月から同社のシステムにアクセスし続けていたとのことだ。この状況が明らかになったのは、データ侵害の影響を受けた従業員にデータ侵害通知書が送られたからである。具体的に言うと、従業員の個人情報や健康情報の一部に不正アクセスが生じていたこと、そして、News Corp の複数の事業で使用されている、メールと文書保存システムにも不正アクセスが生じていたことが判明したのだ。

Microsoft 365 Defender の新機能：ランサムウェア／BEC の攻撃を自動で遮断

Microsoft announces automatic BEC, ransomware attack disruption capabilities

2023/02/24 HelpNetSecurity — 昨年に Microsoft は、企業向けのセキュリティ・スイートである Microsoft 365 Defender に、自動攻撃遮断機能を搭載すると発表した。水曜日に同社は、これらの機能を活用する組織は、ランサムウェアと BEC (Business Email Compromise) の攻撃という、２つの代表的なパターンを効果的に阻止すると明かした。

NLBrute パスワード・クラッキング攻撃：ダークウェブでのビジネス実態が明らかに

Russian malware dev behind NLBrute hacking tool extradited to US

2023/02/23 BleepingComputer — パスワード・クラッキング・ツール NLBrute を開発／販売した罪に問われていたロシアのマルウェア開発者が、2022年10月4日にジョージア共和国で逮捕され、米国に身柄を引き渡された。この容疑者 Dariy Pankov は、dpxaker という名でも知られている。彼は現在、アクセス機器詐欺およびコンピュータ詐欺で起訴されており、全ての訴因で有罪判決を受けた場合には、最高で 47年間におよぶ連邦刑務所への収監の可能性があるという。

Exchange Server のウイルス対策の除外項目を廃止：Microsoft からユーザーへの要請

Microsoft urges Exchange admins to remove some antivirus exclusions

2023/02/23 BleepingComputer — Microsoft は、 Exchange Server のセキュリティを強化するために、以前に推奨されていたウイルス対策の、いくつかの除外に関する設定を解除をするよう推奨している。同社は、その理由として、Temporary ASP.NET Files と Inetsrv フォルダ、および、PowerShell と w3wp プロセスを対象とした除外は、もはや安定性やパフォーマンスに影響を与えないため、必要ないと述べている。しかし、これらのフォルダやプロセスは、マルウェアを展開する攻撃に悪用されることが多いため、管理者はスキャンするように心がける必要がある。

S1deload Stealer という情報スティーラーが登場：Facebook／YouTube ユーザーが標的

Hackers Use S1deload Stealer to Target Facebook, YouTube Users

2023/02/23 InfoSecurity — Facebook／YouTube のアカウントを標的とする情報スティーラーを用いた、新たなグローバル・キャンペーンをセキュリティ研究者たちが発見した。Bitdefender が S1iDeload Stealer と命名した新しいスティーラーは、悪意のコンポーネントを実行するために、DLL サイドローディング技術を採用している。

ワイパー・マルウェアが急増：ウクライナ侵攻により世界中で蔓延し始める

Russian Invasion Sparks Global Wiper Malware Surge

2023/02/23 InfoSecurity — セキュリティ・ベンダーの Fortinet によると、ウクライナ戦争により破壊的なマルウェアの新しい波が世界中に押し寄せており、それをサービスとして提供する、サイバー犯罪グループが増えているという。昨年にロシア軍が利用したワイパー・マルウェアだが、昨年にウクライナ国境を越えて急速に拡大し、その活動量は 2022 Q3 と Q4 の比較において 53％増になると、同社は指摘している。

Zoho ManageEngine の脆弱性 CVE-2022-47966 の PoC 悪用が始まった：直ちにパッチを！

Experts Sound Alarm Over Growing Attacks Exploiting Zoho ManageEngine Products

2023/02/23 TheHackerNews — 複数の Zoho ManageEngine 製品に影響を及ぼすパッチ公開済の脆弱性が、2023年1月20日以降において、複数の脅威アクターにより悪用されていたことが判明した。この脆弱性 CVE-2022-47966 (CVSS：9.8) は、リモート・コード実行を許すものであり、悪用に成功した未認証の攻撃者は、影響のあるシステムを完全に乗っ取ることが可能になる。

CISA KEV 警告 23/02/21：Mitel MiVoice と IBM Aspera Faspex の脆弱性を追加

CISA Warns of Two Mitel Vulnerabilities Exploited in Wild

2023/02/22 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Mitel MiVoice Connect ビジネス・コミュニケーション・プラットフォームに存在する２つの脆弱性が、野放し状態で悪用されていることを連邦政府組織に警告している。CISA は、この欠陥を KEV (Known Exploited Vulnerabilities) カタログに追加し、3月14日まで対処するよう関係機関に指示した。

R1Soft Server Backup Manager にバックドア：2022年5月の脆弱性 CVE-2022-36537 が要因

R1Soft Server Backup Manager Vulnerability Exploited to Deploy Backdoor

2023/02/22 SecurityWeek — 昨年に発見された、ConnectWise の R1Soft Server Backup Manager に存在する脆弱性の悪用により、数百台のサーバーにバックドアが展開されていることが判明した。2022年10月下旬に ConnectWise は、R1Soft Server Backup Manager に存在する深刻な脆弱性に対してパッチを提供し、また、それを悪用する攻撃者による、任意のコード実行および機密データへのアクセスを防ぐよう顧客に通知した。その時点において同社は、この脆弱性が野放し状態で悪用される可能性が高いことを警告し、ユーザーに対しては、可能な限り速やかに、パッチを適用するよう促していた。

ChatGPT の偽アプリ／偽ドメインに御用心：Windows／Android マルウェアが配信されている

Hackers use fake ChatGPT apps to push Windows, Android malware

2023/02/22 BleepingComputer — OpenAI のチャットボット ChatGPT の人気を利用して、Windows／Android 向けのマルウェア配布や、無防備な人々をフィッシング・ページへと誘導する、驚異アクターの活動が検知されている。2022年11月にリリースされた ChatGPT は絶大な人気を博し、2023年1月の時点で１億人以上のユーザーを持つという、最も急成長したコンシューマー向けアプリケーションである。この人気と急成長が要因となり、OpenAI はツールの使用を制限せざるを得ない状況になった。つなり、利用制限なしでチャットボットを使用する個人向けに、月額 $20 の有料サービス (ChatGPT Plus) を立ち上げることになった。

Npm に大量の悪意のパッケージ：分散型フィッシング・リンクを備えている

Npm Packages Used to Distribute Phishing Links

2023/02/22 InfoSecurity — 複数のユーザー・アカウントから、数時間のうちに 15,000以上のスパム・パッケージを、OSS リポジトリ npm にアップロードするという脅威が確認されている。2023年2月21日に、JavaScript 開発者である Jesse Mitchell は、「npm に対するスパム攻撃を検知した。何万ものパッケージがレジストリに殺到し、トップページを占拠している」と、Twitter に投稿している。続いて、Checkmarx の Cybersecurity Expert である Yehuda Gelb が、さらに調査／分析を行い、その結果についてアドバイザリで述べている。

プーチン大統領の演説を DDoS で妨害：ウクライナ IT Army の仕業か？

Putin Speech Interrupted by DDoS Attack

2023/02/21 InfoSecurity — Reuters の報道によると、2月21日 (火) のプーチン大統領による演説を放送していた複数の Web サイトがダウンしたが、分散型サービス妨害 (DDoS) 攻撃の疑いがあるという。この演説の間、複数の場所にいたジャーナリストたちは、All-Russia State Television and Radio Broadcasting Company (VGTRK) の Web サイトや、Smotrim のライブ・ストリーミング・プラットフォームにアクセスできない時間帯があったとのことだ。それぞれが表示したエラー・メッセージは、”技術的な作業が行われている” と “単にロードされなかっただけ” というものだった。

APAC のデータセンターが標的：新たなサイバー攻撃の証拠が発見された

Resecurity warns about cyber-attacks on data center service providers

2023/02/21 SecurityAffairs — カリフォルニアに拠点を置くサイバー・セキュリティ企業の Resecurity は、複数のデータセンターに対して、それらの組織と顧客を標的としたサイバー攻撃に関する警告を。 2021年9月から発してきたことを公表した。同社は最新のレポートで、通知の対象とされた組織は、サプライチェーンの重要な部分として機能しており、国家支援 APT／犯罪者／サイバー・スパイグループなどの格好のターゲットだと述べている。この、Resecurity による通知の詳細は、さらなる分析とリスク軽減のために、影響を受けた当事者および、中国／シンガポール政府の緊急対応チームと共有された。さらに、2022年と 2023年1月にアップデートされた同通知は、発見されたデータセットに Fortune 500 の大企業が多数存在していたことから、米国の法執行機関とも共有された。

MyloBot ボットネットが全世界に拡大：毎日５万台以上のデバイスを感染させている

MyloBot Botnet Spreading Rapidly Worldwide: Infecting Over 50,000 Devices Daily

2023/02/21 TheHackerNews — MyloBot という高度なボットネットは、数千のシステムを侵害しており、その大半がインド／米国／インドネシア／イランなどに配置されている。これは BitSight の最新の調査結果によるもので、現時点において、毎日 50,000 以上のユニークな感染システムが確認されているが、2020年の最高値である 250,000 のユニークなホストからは減少しているとのことだ。また、MyloBot のインフラの分析により、BHProxies と呼ばれる住宅用プロキシ・サービスへの接続が見つかり、侵害されたマシンが利用されていたことが判明した。

Windows の脆弱性 CVE-2023-21752 の悪用を確認：直ちにパッチ適用を！

Hackers Exploit Privilege Escalation Flaw on Windows Backup Service

2023/02/21 InfoSecurity — Windows の Backup and Restore サービスに存在する、権限昇格の脆弱性 CVE-2023-21752 が、脅威アクターたちに悪用されていることが確認された。CloudSEK の研究者たちは、「この脆弱性の悪用に成功したベーシック・ユーザーは、Windows Backup and Restore サービスから指定したストレージパスを介して、ホスト上で任意のコード実行することでファイルの削除が可能になる。このアクションは、特権を持つユーザーのみが実行できるものだ」と述べている。

Stealc 情報スティーラーは MaaS へと進化：YouTube 動画をルアーに使用

Researchers Discover Numerous Samples of Information Stealer ‘Stealc’ in the Wild

2023/02/21 TheHackerNews — ダークウェブで宣伝されている Stealc という新しい情報スティーラーが、他の同種のマルウェアの有力な競合相手として頭角を現しているようだ。SEKOIA は 2月20日 (月) のレポートで、「Stealc は、完全な機能を備え、即座に使用できるスティーラーとして脅威アクターに紹介されている。そのテクノロジーは、Vidar／Raccoon／Mars／RedLine などのスティーラーを拠り所にしている」と述べている。

ノルウェーの Økokrim が大活躍：北朝鮮の APT グループ Lazarus から $5.9M を奪還

Norway Seizes Millions in North Korean Crypto

2023/02/20 InfoSecurity — 昨年にノルウェー当局は、北朝鮮の脅威アクターが盗み出した 60 million kroner ($5.9m) の暗号通貨を追跡／奪還し、この種の出来事としては過去最大の記録を打ち立てた。スカンジナビア諸国の対経済犯罪機関 (Økokrim) は、2022年3月の Ronin Network への襲撃以来、北朝鮮の脅威アクターたちによる大規模なマネーロンダリング指摘してきた。Økokrim の弁護士である Marianne Bender は、「Økokrim は、金銭の追跡が得意である。犯罪者が高度な手法を使ったとしても、ブロックチェーンには、金銭を追跡する高い能力があったことを、今回のケースが示している」と述べている。

WhiskerSpy という北朝鮮のマルウェア：ウォータリング・ホール攻撃で中国と日本を狙う

New WhiskerSpy malware delivered via trojanized codec installer

2023/02/18 BleepingComputer — セキュリティ研究者たちが発見したのは、北朝鮮に関心を示す個人を標的とする、最近の脅威アクター Earth Kitsune のキャンペーンで使用されている、新しいバックドア WhiskerSpy だ。この脅威アクターは、試行錯誤の末に、北朝鮮の親サイトのビジターからターゲットを選び出すという、ウォータリング・ホール攻撃として知られる手口を採用していた。この新しいオペレーションの存在は、2019年から Earth Kitsune の活動を追跡してきた、サイバーセキュリティ企業の Trend Micro の研究者たちにより、昨年末に発見された。

GoDaddy でデータ侵害が発生：不正アクセスは数年前から始まっていた

GoDaddy: Hackers stole source code, installed malware in multi-year breach

2023/02/17 BleepingComputer — Web ホスティング大手の GoDaddy の発表は、数年にわたる攻撃により cPanel 共有ホスティング環境が侵害され、未知の攻撃者にソースコードを盗み出され、サーバにマルウェアをインストールされるという侵害に遭ったというものだ。GoDaddy がセキュリティ侵害を発見したのは、自社のサイトがランダムなドメインへのリダイレクトに利用されているという、顧客からの報告を受けた 2022年12月上旬のことだった。しかし攻撃者の不正アクセスは、その数年前から発生していたという。

ChatGPT とセキュリティの関係：ポジティブ？ネガティブ？判断は時期尚早？

ChatGPT Subs In as Security Analyst, Hallucinates Only Occasionally

2023/02/16 DarkReading — 今週に発表された調査結果によると、人気の Large Language Model (LLM) である ChatGPT は、その AI モデルが特定のアクティビティのために訓練されていなくても、潜在的なセキュリティ・インシデントのトリアージや、コード内のセキュリティ脆弱性を見つける防御者にとって、有益であると示唆される。

PayPal のメール・アカウントを悪用する偽請求書：その見破り方と対処法は？

Hackers Leverage PayPal to Send Malicious Invoices

2023/02/16 InfoSecurity — オンライン決済プラットフォーム PayPal を悪用して、偽の請求書をユーザーに対してダイレクトに送信する、脅威アクターの存在が確認された。この最新のキャンペーンは、Check Point 傘下 Avanan のセキュリティ研究者により発見されたものだが、従来からのキャンペーンとは全く異なるものだとされる。今日のアドバイザリには、「これは、PayPal に成りすます攻撃とは異なるものだ。つまり、PayPal からダイレクトに送られてくる悪質な請求書である」と記されている。

Atlassian で発生した情報流出：サプライチェーン内で責任転嫁が始まった

Atlassian says recent data leak stems from third-party vendor hack

2023/02/16 BleepingComputer — Atlassian におけるデータが流出だが、サードパーティへの侵害が原因であり、同社のネットワークと顧客情報は安全であることが確認された。すでに Cyberscoop が報じているように、オーストラリアに拠点を置くコラボレーション・ソフトウェア会社 Atlassian から盗んだと主張するデータを、SiegedSec という名のハッキング・グループが昨日に Telegram で流出させた。

VMware ESXi 攻撃の推移：ESXiArgs ランサムウェアが 500 台以上のホストを侵害

Over 500 ESXiArgs Ransomware infections in one day, but they dropped the day after

2023/02/16 SecurityAffairs — Censys の研究者たちが、「この数日において、新たな ESXiArgs ランサムウェアに 500台強のホストが感染したことが確認された。その大半は、フランス／ドイツ／オランダ／イギリスに存在している。ESXi バージョン 6.5／6.7 がサポート終了を迎えた直後である、2022年10月中旬に配布されたと思われる、きわめて類似した身代金メモを持つ２台のホスト、このインシデントの分析中に発見された」と述べている。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。

LockBit 対 Royal Mail：身代金交渉に関する生々しい会話がリークされた

LockBit and Royal Mail Ransomware Negotiation Leaked

2023/02/15 InfoSecurity — 2023年1月に発生した、LockBit による Royal Mail へのランサムウェア攻撃において、同社から盗まれたデータを安全に返還するためには、£65.7m ($79.85m) が必要だと要求する、両者間での会話のログが公開された。このインシデントは発生してから数時間後に、LockBit グループが犯行声明を出し、数日間にわたり Royal Mail の業務に支障が生じたと報道された。そして昨日には、Royal Mail の交渉担当者との会話を、このハッキング集団が流出させたが、ITPro によると、この会話は約３週間にも及んでいるそうだ。

Beep というスティルス・マルウェア：未完成だが検知回避のフルセットを備える

New stealthy ‘Beep’ malware focuses heavily on evading detection

2023/02/14 BleepingComputer — 先週に、Beep という新しいステルス・マルウェアが発見されたが、セキュリティ・ソフトウェアによる分析／検出を回避するための、数多くの機能を備えていることが明らかになった。ファイル・スキャンと悪意のコンテンツの検出のためのオンライン・プラットフォームである VirusTotal に、このマルウェアのサンプルが次々とアップロードされた後に、Minerva のアナリストが特定することになった。現時点の Beep は開発中であり、いくつかの重要な機能が欠けているが、脅威アクターたちは侵害したデバイスに、さらなるペイロードをダウンロードしてリモートで実行している。

AdSense 上の大規模な不正キャンペーン：WordPress １万サイト以上が感染

Massive AdSense Fraud Campaign Uncovered – 10,000+ WordPress Sites Infected

2023/02/14 TheHackerNews — Black Hat のリダイレクト・マルウェア・キャンペーンを操る脅威アクターは、URL 短縮ツールを模倣した 70以上の偽ドメインの規模を拡大し、10,800以上の Web サイトにマルウェアを感染させた。Sucuri の研究者である Ben Martin は、先週に発表したレポートの中で、「このキャンペーンは、Google 広告などの AdSense ID を含むページへの、トラフィックを人為的に増やすことを主目的とした、収益獲得のための広告詐欺だ」と述べている。このキャンペーンの詳細が、GoDaddy 傘下の Sucuri により初めて公開されたのは、2022年11月のことだ。

Swiss Army knife は多機能マルウェア：キルチェーンを支援しながら増加の傾向

Malware that can do anything and everything is on the rise

2023/02/14 HelpnetSecurity — セキュリティ・ソフトウェアによる検出を回避しながら、サイバー・キルチェーン全体で悪質な行為を行う多目的マルウェア Swiss Army knife の増加が、Picus Security の調査により判明した。この、同社による調査結果は、プロプライエタリ／オープンソースの脅威情報サービスや、セキュリティベンダー、マルウェア・サンドボックス、データベース、研究者などから収集した、55万以上の実世界のマルウェア・サンプルを分析して得られたものだ。

iPhone／iPad／Mac の新たなゼロデイ CVE-2023-23529 などが FIX

Apple fixes new WebKit zero-day exploited to hack iPhones, Macs

2023/02/13 BleepingComputer — Apple リリースした緊急セキュリティ・アップデートは、iPhone／iPad／Mac へのハッキング攻撃で使われる、新たなゼロデイ脆弱性に対処するものだ。今回のアップデートで修正されたゼロデイ脆弱性 CVE-2023-23529 [1, 2] は、WebKit の混乱を悪用し、侵害したデバイス上で OS クラッシュを誘発し、コード実行を許すものだ。

PyPI パッケージに潜む W4SP Stealer：あらゆる機密情報を盗み取る

Devs targeted by W4SP Stealer malware in malicious PyPi packages

2023/02/12 BleepingComputer — Python Package Index (PyPI) 上で発見された５つの悪意のパッケージは、無防備な開発者からパスワード／Discord 認証クッキー／暗号通貨ウォレットを盗み出すものだ。PyPI とは、プログラミング言語 Python で作成されたパッケージのためのソフトウェア・リポジトリであり、約 20万個のパッケージをホストしている。そのため、開発者は各種のプロジェクト要件を満たす、既存のパッケージを見つけることが可能となり、時間と労力を節約できる。