CyberAttack – Page 48 – IoT OT Security News

Zimbra の深刻な RCE 脆弱性 CVE-2022-41352：悪用するハッカーが出現

Hackers Exploiting Unpatched RCE Flaw in Zimbra Collaboration Suite

2022/10/08 TheHackerNews — Zimbra の企業向けコラボレーション・ソフトウェア／Eメール・プラットフォームに存在する、深刻なリモート・コード実行の脆弱性が活発に悪用されているが、この脆弱性のパッチは現時点で提供されていない。この脆弱性 CVE-2022-41352 (CVSS：9.8) の悪用に成功した攻撃者は、任意のファイルをアップロードし、影響を受けるインストール上で悪意のアクションを実行できる。

フィッシング最前線：18.8% の確率で Microsoft プラットフォーム防御を回避する悪意のメールたち

Email Defenses Under Siege: Phishing Attacks Dramatically Improve

2022/10/08 DarkReading — 今週は、サイバー攻撃者たちが仕掛ける攻撃が、Microsoft のデフォルト・セキュリティを回避しているというレポートがあり、また、セキュリティ専門家たちは、フィッシングの手口が驚くほど進化していることを明らかにした。脅威アクターたちが用いるテクニックには、ゼロポイント・フォントの難読化／クラウド・メッセージング・サービスへの混入／ペイロード起動の遅延などがあり、メール・プラットフォーム防御の弱点をついて、フィッシング攻撃を狡猾に行っている。また、被害者の調査／選定の頻度も上がっている。

LofyGang という犯罪グループ：ソフトウェア・サプライチェーン攻撃への大規模な関与が判明

LofyGang Group Linked to Recent Software Supply Chain Attacks

2022/10/07 InfoSecurity — Checkmarx の最新調査により、ソフトウェア・サプライチェーンに対する注目すべきサイバー・インシデントの大半に、１年以上前から活動している攻撃グループ LofyGang が関与していることが判明した。研究者たちは、LofyGang に関連する約 200の悪意のパッケージと数千のインストーラを発見した。これらのパッケージには、いくつかのクラスに分類される悪意のペイロード／一般的なパスワード窃盗ツール／Discord 専用の永続的マルウェアなどが含まれていたという。

OWASP API Top 10 [+] に注目：Shadow API を狙う 50億のリクエストなどの脅威

Shadow APIs hit with 5 billion malicious requests

2022/10/07 HelpNetSecurity — Cequence Security は、”API Protection Report: Shadow APIs and API Abuse Explode” と題した、2022年上半期のレポートを発表した。調査結果の主なものは、一般的に Shadow API と呼ばれる、未知かつ管理／保護されていない API を対象とした、約50億 (31％) の悪質なトランザクションに関するものであり、この分野における最大の脅威になっているという。

NSA／CISA／FBI の共同勧告：Log4j の脆弱性などが中国系ハッカーに悪用されている

RCE on Log4j Among Top CVEs Exploited By Chinese-Backed Hackers

2022/10/07 InfoSecurity — NSA／CISA／FBI が 2022年10月6日に発表したアドバイザリによると、中国の国家に支援された脅威アクターたちが、米国／同盟国のネットワークや企業を標的とし、既知の脆弱性を悪用し続けているとのことだ。同アドバイザリには、「悪質なことに、それらの脅威アクターは、より多くの新しい技術や、適応性のある技術を使用するようになっている。その一部は IT 部門 (電気通信事業者を含む) ／防衛産業基盤 (DIB：Defense Industrial Base) 部門／その他の重要インフラ組織などに、大きなリスクをもたらす」と記されている。

Lloyd’s 保険にサーバー攻撃：ロシア制裁の推進者に対する報復か？

Russian Sanctions Instigator Lloyd’s Possibly Hit by Cyber-Attack

2022/10/07 InfoSecurity — 対ロシア制裁の実施をリードするロンドンの保険市場 Lloyd’s of London が、サイバー攻撃を受けた可能性があることが判明した。2022年10月5日 (水) に、Lloyd’s of London は、同社のシステム上で “異常なアクティビティ”を検知し、予防措置として全ての外部接続をオフにしたと公表した。

WhatsApp から 100万件の認証情報を窃取：Meta が中国企業を提訴

Meta sues app dev for stealing over 1 million WhatsApp accounts

2022/10/06 BleepingComputer — 2022年5月から非公式な WhatsApp Android アプリを開発／使用して、100万以上の WhatsApp アカウントを盗用したとして、HeyMods／Highlight Mobi／HeyWhatsApp などの複数の中国企業を、Meta が提訴した。Meta の訴状によると、これらの悪質なアプリは、上記３社のサイトに加えて、Google Play Store／APK Pure／APKSFree／iDescargar／Malavida などからダウンロードが可能だったとのことだ。

Binance で $566M の窃取：盗まれた資金の大部分は BNB Smart Chain 上に残っている？

Hacker steals $566 million worth of crypto from Binance Bridge

2022/10/06 BleepingComputer — Binance Bridgeから200 million Binance Coins (BNB $566 million 相当) が、あるハッカーにより盗み出されたと報じられている。現時点では詳細は不明だが、この攻撃は 10月6日の午後2時30分 (EST) に開始されたようであり、攻撃者のウォレットが受信した２つのトランザクション [1, 2] は、それぞれが 1,000,000 BNB であるという。その後に、このハッカーは直ちに、資金の一部を各種の流動性プールに分散させ、BNB を他の資産に移し替えようと試みまた。

RDP 攻撃が 89% も減少：ESET が分析する５月〜８月のデータとは？

RDP Attacks Decline 89% in Eight Months

2022/10/06 InfoSecurity — ESET の最新データによると、RDP パスワード推測攻撃の検出数は、今年の１月〜４月の 1230億件から、５月〜８月の 130億件へと減少している。セキュリティ・ベンダーである ESET の Threat Report シリーズは、同社製品からのテレメトリーを使用して編集されている。このレポートは、通常、４ヶ月単位で脅威の状況を分析しており、今回のレポートでは５月～８月が対象となっている。

Microsoft Exchange のゼロデイ脆弱性：ProxyNotShell に対する緩和策の更新

Microsoft updates mitigation for ProxyNotShell Exchange zero days

2022/10/05 BleepingComputer — Microsoft は、ProxyNotShell と呼ばれ、CVE-2022-41040／CVE-2022-41082 として追跡される、最新の Exchange ゼロデイ脆弱性に対する緩和策を更新した。最初の推奨事項に関しては、2 つのバグを悪用する新しい攻撃方法が研究者たちが示し、容易な回避策を提示したことで、不十分さが証明されている。

BlackByte ランサムウェア：検出を回避するための Bring Your Own Driver とは？

BlackByte ransomware abuses legit driver to disable security products

2022/10/05 BleepingComputer — BlackByte ランサムウェア・ギャングは、研究者たちが “Bring Your Own Driver” と呼ぶ新しい手法を用いて、各種のセキュリティ・ソリューションで使用される 1,000以上のドライバを無効化し、保護の回避を可能にするという。このグループに起因する最近の攻撃には、特権昇格／コード実行の脆弱性 CVE-2019-16098として追跡されている、Micro-Star の MSI Afterburner RTCore64.sys ドライバのバージョンが関与している。

Microsoft SQL Server に感染する多機能バックドア：Maggie 汚染は既に数百台

Hundreds of Microsoft SQL servers backdoored with new malware

2022/10/05 BleepingComputer — Microsoft SQL Server を標的とする新たなマルウェアが、セキュリティ研究者たちにより発見された。この Maggie と名付けられたバックドアは、すでに世界中の数百台のマシンに感染しているようだ。Maggie は、コマンドの実行やファイルとのやり取りを指示する、SQL クエリにより制御される。その機能の及ぶ範囲には、他の Microsoft SQL Server への管理者ログインの強要や、サーバのネットワーク環境へのブリッジヘッドなどが含まれるという。

ランサムウェア・ギャングが好む攻撃ベクター：No.1 は脆弱性の悪用で 52% を占める

Bug Exploitation Now Top Ransomware Access Vector

2022/10/04 InfoSecurity — Secureworks の最新調査によると、過去 12ヶ月間に発生した調査したランサムウェア・インシデントのうち、イニシャル・アクセス経路としてナンバーワンになったのは脆弱性の悪用であり、その比率が 52％に達したことが明らかになった。Secureworks の年次レポートである State of the Threat は、同社の Counter Threat Unit が行った、過去１年間の調査をベースに作成されている。

NRA という反政府ハッキング組織：ロシア国内の標的にサイバー攻撃を開始

Russian Hackers Take Aim at Kremlin Targets: Report

2022/10/04 InfoSecurity — ロシアの脅威アクターたちが、ウクライナとの無用な戦争に対する報復として、自国内のターゲットにサイバー攻撃を開始した。Kyiv Post 誌は、プーチン政権打倒を目指すロシアのハッキング組織である、国民共和軍 (NRA：National Republican Army) のメンバーに対して、インタビューを行ったっとしている。その NRA メンバーによると、最初のターゲットはロシアのソフトウェア開発会社であり、政府の顧客と密接に仕事をしているとされている Unisoftware だったという。

Tor Browser のトロイの木馬版：中国で人気の YouTube チャネルからインストーラが配布される

2022/10/04 TheHackerNews — 中国語の人気 YouTube チャネルが、トロイの木馬化した Windows 版の Tor Browser インストーラを配布する手段として浮かび上がっている。Kaspersky は、このキャンペーンを OnionPoison と名付け、被害者の全てが中国のユーザーであることを公表した。現時点で、攻撃の規模は不明だが、2022年3月にはテレメトリーで被害者を検出したと、同社は述べている。

CISA から連邦政府への新指令 BOD 23-01：IT 資産の可視化／脆弱性検出を強化

CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks

2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性／脆弱性検出を改善するための、新たな拘束的運用指令 (BOD：Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を７日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。

Bumblebee マルウェア：標的システムに特化したペイロードをロードして攻撃する

Bumblebee Malware Loader’s Payloads Significantly Vary by Victim System

2022/10/04 DarkReading — ３月に表面化した、きわめて悪質なマルウェア・ローダー Bumblebee の最新分析により、企業ネットワークの一部としてのシステム向けのペイロードと、スタンドアロン・システム向けのペイロードでは、その種類が大きく異なることが判明した。たとえば、Active Directory サーバを共有しているような、ドメインの一部として認識されたシステムの場合には、Cobalt Strike のような高度なポスト・エクスプロイト・ツールを実行するよう、このマルウェアはプログラムされている。

KFC／McDonald’s @ シンガポール／サウジアラビア／UAE を狙ったフィッシング・キャンペーンが発生

Phishing Campaigns Target KFC, McDonald’s in Saudi Arabia, UAE, Singapore

2022/10/03 InfoSecurity — シンガポール／サウジアラビア／UAE の KFC と McDonald’s の顧客がフィッシング・キャンペーンに狙われ、一部の顧客の支払情報が脅威アクターにより盗み出された。CloudSEK のセキュリティ研究者たちが発見した一連のキャンペーンだが、その当初の手口は、Google Play ストアに成りすましたドメインを経由して、悪質な Chrome ブラウザベースのアプリを表示させるというものだった。

Microsoft Exchange のゼロデイ脆弱性：ProxyNotShell の偽 PoC が販売されている

Fake Microsoft Exchange ProxyNotShell exploits for sale on GitHub

2022/10/03 BleepingComputer — 詐欺師たちがセキュリティ研究者になりすまし、新たに発見された Microsoft Exchange のゼロデイ脆弱性に対する、偽の PoC エクスプロイト ProxyNotShell を販売しているようだ。先週に、ベトナムのサイバー・セキュリティ企業 GTSC は、Microsoft Exchange の２つの新しいゼロデイ脆弱性を悪用した攻撃を、一部のユーザーが受けていたことを明らかにした。研究者たちは、Trend Micro の Zero Day Initiative と共同で、この脆弱性を Microsoft に対して非公開で報告した。Microsoft は、この脆弱性が攻撃に悪用されていることを確認し、セキュリティ更新プログラムをリリースするスケジュールを早めるとしている。

Chromium アプリ・モードの危険性：Chrome／Edge／Brave ユーザーの盲点を突く攻撃手法

Web browser app mode can be abused to make desktop phishing pages

2022/10/03 BleepingComputer — Chrome のアプリケーション・モード機能を利用した、デスクトップ・アプリとして表示されるローカル・ログイン・フォームから、新たなフィッシング手法を実施する脅威アクターが、認証情報を容易に盗み出しているという。このアプリ・モード機能は、Google Chrome／Microsoft Edge／Brave Browser などを含む、すべての Chromium ベースのブラウザで利用できる。この機能により、正規のログイン画面と見分けがつかない、リアルなログイン画面を生成することが可能となる。

BlackCat ランサムウェア：米国の防衛関連企業 NJVC を攻撃

BlackCat ransomware gang claims to have hacked US defense contractor NJVC

2022/10/02 SecurityAffairs — ALPHV／BlackCat ランサムウェア・ギャングが、米国の連邦政府／国防総省をサポートする IT 企業 NJVC に侵入したと主張している。同社は、情報機関／防衛機関／地理空間情報機関などを支援しており、世界中の拠点に 1,200人以上の従業員を擁している。BlackCat は、Tor リークサイトの被害者リストに NJVC を追加し、同社が身代金を支払わない場合には、盗み出したデータを公開すると脅迫している。

Dell ドライバの脆弱性 CVE-2021-21551：北朝鮮のハッカー集団 Lazarus が悪用

Hackers Exploiting Dell Driver Vulnerability to Deploy Rootkit on Targeted Computers

2022/10/01 TheHackerNews — 北朝鮮が支援する Lazarus Group が、Dell のファームウェア・ドライバの脆弱性を悪用して、Windows のルートキットを展開していることが確認されている。それにより、国家に支援された脅威アクターが採用する、新たな戦術が浮き彫りになっている。2021年秋に発生した BYOVD (Bring Your Own Vulnerable Driver) 攻撃は、この脅威アクターが、航空宇宙／防衛産業に向けて行っているスパイ活動 Operation In(ter)ception の亜種となる。

CISA KEV 警告 22/09/30：Microsoft Exchange と Atlassian Bitbucket のゼロデイを追加

CISA: Hackers exploit critical Bitbucket Server flaw in attacks

2022/09/30 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、攻撃で悪用されたバグのリストに、Atlassian Bitbucket Server の RCE 脆弱性と、Microsoft Exchange のゼロデイ脆弱性の２件を含む、合計で３件のセキュリティ欠陥を追加したことを発表した。Microsoft によると、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加されたのは、限定的な標的型攻撃で悪用された Microsoft Exchangeのゼロデイ脆弱性 CVE-2022-41040／CVE-2022-41082 の２件となる。

Microsoft Exchange に２つの深刻なゼロデイ脆弱性：積極的な悪用を検出

WARNING: New Unpatched Microsoft Exchange Zero-Day Under Active Exploitation

2022/09/30 TheHackerNews — セキュリティ研究者たちは、すべてのパッチが適用されているはずの Microsoft Exchange Server において、これまで公表されていなかった脆弱性が驚異アクターに悪用され、それにより侵害されたシステム上で、リモートコード実行を実現することを警告している。ベトナムのサイバー・セキュリティ企業である GTSC は、2022年8月に実施したセキュリティ監視とインシデント対応のアクティビティ一環として、この欠点を発見した。

米政府組織などを装う Word 文書フィッシング：Bitbucket から Cobalt Strike を展開

Government, Union-Themed Lures Used to Deliver Cobalt Strike Payloads

2022/09/29 InfoSecurity — 2022年8月に Cisco Talos の研究者たちは、モジュール化された攻撃手法により Cobalt Strike ビーコンを配信し、後続の攻撃に使用するという、悪質なキャンペーンを発見した。同社は 9月28日に、このキャンペーンについて新たなアドバイザリを発表し、このキャンペーンの背後にいる脅威アクターは、フィッシング・メールを使用していたと述べた。最初の攻撃ベクターとして、悪意の Microsoft Word 文書を添付して、米国の政府組織またはニュージーランドの労働組合に成りすましているという。

Brute Ratel ポスト・エクスプロイト・キットのクラック版：残念なことに蔓延の兆し

Hackers now sharing cracked Brute Ratel post-exploitation kit online

2022/09/28 BleepingComputer — Brute Ratel のポスト・エクスプロイト・ツールキットがクラックされ、ロシア語圏と英語圏のハッキング・コミュニティで無料で共有されている。Brute Ratel C4 (BRC4) を知らない人のために説明すると、これは Mandiant と CrowdStrike の元レッドチーマーである、Chetan Nayak が作成したポスト・エクスプロイト・ツールキットのことである。

Apple News の Fast Company アカウントへの侵害：6737 人分の従業員情報がリーク

Hacker Breaches Fast Company Apple News Account, Sends Racist Messages

2022/09/28 InfoSecurity — 火曜日の夜に Fast CompanyのApple News アカウントを侵害したハッカーが、ユーザーのホーム画面にわいせつなプッシュ通知を行った。米ビジネス誌である Fast Company は、同社のコンテンツ管理システム (CMS) に侵入した驚異アクターが、そのアクセス権を悪用して Apple News の購読者に対して、わいせつで人種差別的な、２件のプッシュ通知を行ったと、ソーシャルメディア上で認めた。

Auth0 警告：2020年以前のコード・リポジトリが流出したが Okta には影響なし

Auth0 warns that some source code repos may have been stolen

2022/09/28 BleepingComputer — 認証サービスプロバイダーであり、Okta の子会社でもある Auth0 は、同社のコード・リポジトリの一部に関わる、”Security Event” と呼ぶものを公表した。Auth0 の認証プラットフォームは、AMD／Siemens／Pfizer／Mazda／Subaru などを含む、30カ国 2000社以上の企業ユーザーにより、毎日 4200万回以上のログインの認証に使用されている。

軍事産業への PowerShell 攻撃：洗練された７段階の実行チェーンとスティルス性

Stealthy hackers target military and weapons contractors in recent attack

2022/09/28 BleepingComputer — セキュリティ研究者たちが発見したのは、F-35 Lightning II 戦闘機部品サプライヤーなどの、兵器製造に携わる複数の軍事関連業者を標的とした新たなキャンペーンである。この高度な標的型攻撃は、従業員にフィッシング・メールを送信することから始まり、検知回避システムを用いた、永続性を確保する感染にいたるまでの、多段階で構成される。このキャンペーンは、安全な C2 インフラと、PowerShell ステージャによる、何重もの難読化という点で際立っている。

Google が Chrome Manifest V3 のテスト開始を発表：2023年6月に V2 は消滅

Google to test disabling Chrome Manifest V2 extensions in June 2023

2022/09/28 BleepingComputer — Google は、Chrome Manifest V2 エクステンションのサポート終了に関する詳細を発表し、より多くの開発者にManifest V3 への移行を促している。Chrome チームからのアップデートによると、2023年6月に Manifest V2 を段階的に廃止しながら、スムーズなエンドユーザー・エクスペリエンスを確保しながら、慎重かつ実験的なステップで進めていくとのことだ。

NullMixer の新キャンペーン：ユーザーの認証情報窃取＋各種 RAT の大量散布

New NullMixer Malware Campaign Stealing Users’ Payment Data and Credentials

2022/09/27 TheHackerNews — このサイバー犯罪者は、クラックされた海賊版ソフトウェアを探そうとするユーザーを、武器化されたインストーラーをホストする不正な Web サイトに誘導してシステムを侵害し、NullMixer と呼ばれるマルウェアを展開している。月曜日のレポートで Kaspersky は、「ユーザーが NullMixer を解凍／実行すると、感染したマシンに多数のマルウェア・ファイルがドロップされる。NullMixer は、バックドア／バンカー／ダウンローダー／スパイウェアなどのような、さまざまな悪意のバイナリをドロップして、マシンに感染させる」と述べている。

Optus でデータ侵害：豪テレコムの顧客記録 10,200件がダークウェブでリーク

Hacker Behind Optus Breach Releases 10,200 Customer Records in Extortion Scheme

2022.09/27 TheHackerNews — 月曜日に、オーストラリア連邦警察 (AFP：Australian Federal Police) は、通信事業者 Optus のハッキング事件を受けて、国外の法執行当局と共同で証拠の収集に努めていることを明らかにした。AFP は声明で、「ハッキング事件の背後にいる犯罪者を特定し、オーストラリア人を ID 詐欺から保護するために、Operation Hurricane が開始された」と述べている。

PowerPoint のマウスオーバーだけで感染：Graphite マルウェアは VBA 非依存で攻めてくる

Hackers use PowerPoint files for ‘mouseover’ malware delivery

2022/09/26 BleepingComputer — ロシア政府に所属すると思われるハッカーが、Microsoft PowerPoint プレゼンテーションのマウスの動きにより、悪意の PowerShell スクリプトをトリガーする、新しいコード実行テクニックを使用し始めたようだ。悪意のマクロに依存することなく、悪意のコードを実行しペイロードをダウンロードできるため、脅威アクターはより狡猾に攻撃を行うことができる。脅威情報企業 Cluster25 のレポートでは、9月9日の時点で、ロシアの参謀本部主要情報局 (GRU：Main Intelligence Directorate of the Russian General Staff) に帰属する脅威グループ APT28 (通称 Fancy Bear) が、この新しい手法を用いて Graphite マルウェアを配信していると報告されている。

Google Play／Apple Store のアドウェア：巧妙に振る舞い 1,300万回インストールに到達

Adware on Google Play and Apple Store installed 13 million times

2022/09/26 BleepingComputer — 広告詐欺を調査しているセキュリティ研究者たちは、Google Play で 75 件のアプリが、Apple App Store で 10件のアプリが、関与していることを発見した。これらのアプリは、合計で 1300万回もインストールされていた。インストールされた不正アプリは、ユーザーを広告で埋め尽くすだけではなく、正規のアプリやインプレッションになりすまして収益も得ていた。この種のアプリは深刻な脅威とは見なされていないが、そのオペレーターは、より危険な行為での悪用へと転換することも可能だ。

ロンドン警察が逮捕した 17歳の少年：Uber ハッキングへの関与の疑い

London Police Arrested 17-Year-Old Hacker Suspected of Uber and GTA 6 Breaches

2022/09/24 TheHackerNews — 9月20日に City of London Police は、オックスフォードシャー州の 17歳のティーンエイジャーを、ハッキングの疑いで逮捕したことを明らかにした。当局は、「2022年9月22日の夜に、オックスフォードシャー州在住の 17歳の少年を、ハッキングの疑いで逮捕した。彼は今も警察に拘束されている」と発表した。同局によると、今回の逮捕は、英国 National Crime Agency のサイバー犯罪部門と連携した捜査の一環として行われたとのことだ。

Microsoft SQL Server をハッキング：TargetCompany ランサムウェアの狙いはどこに？

Microsoft SQL servers hacked in TargetCompany ransomware attacks

2022/09/24 BleepingComputer — 脆弱な Microsoft SQL Server が、FARGO ランサムウェアの新たな攻撃の標的になっていると、セキュリティ研究者たちが警告している。MS-SQL Server は、インターネット・サービスやアプリのデータを保持するデータベース管理システムであり、これらを停止させると、ビジネスに大きな支障をきたすことになる。BleepingComputer は、2月に Cobalt Strike ビーコンを投下する同様の攻撃について、7月には脆弱な MS-SQL Server をハイジャックしてプロキシサービスの帯域を奪取する攻撃について、報告をしている。最近の攻撃の波は、より破滅的なものであり、データベースの所有者を脅迫して、手っ取り早く利益を得ることを目的としている。

アメリカン航空でデータ侵害 (続報)：1,700人以上の顧客と従業員に影響

American Airlines learned it was breached from phishing targets

2022/09/24 BleepingComputer — American Airlines のサイバーセキュリティ対応チームは、ハッキングされた同社従業員の Microsoft 365 アカウントが悪用され、そこから行われたフィッシング・キャンペーンのターゲットを入り口にして、同社のデータが侵害されたとしている。American Airlines はニューハンプシャー州検事総長室への提出書類で、「こうしたフィッシングの報告を受け後に、同社の CIRT が、社内の Microsoft 365 環境における不正な活動を発見した」と述べている。

Microsoft Exchange Server の侵害と乗っ取り：OAuth を悪用してスパムメールを配信

Cyberattackers Compromise Microsoft Exchange Servers via Malicious OAuth Apps

2022/09/24 DarkReading — Microsoft Exchange Server を乗っ取り、スパムの拡散を目的とする攻撃者たちが、侵害したクラウド・テナントに、悪意の OAuth アプリケーションを展開している。今週の Microsoft 365 Defender Research Team の発表では、多要素認証 (MFA) が無効な高リスクのアカウントに対して、クレデンシャル・スタッフィング攻撃が行われた後に、安全ではない管理者アカウントを利用した、イニシャル・アクセス獲得の様子が詳述されている。

Sophos Firewall の深刻な脆弱性 CVE-2022-3236 が FIX：積極的な悪用を検知

Sophos warns of a new actively exploited flaw in Firewall product

2022/09/23 SecurityAffairs — Sophos は、同社の Firewall 製品群に存在するコード・インジェクションの脆弱性 CVE-2022-3236 が、悪用されていることを警告している。この脆弱性 CVE-2022-3236 は、Sophos Firewall のユーザーポータルおよび Webadmin に存在し、この脆弱性の悪用に成功した攻撃者に対して、コード実行 (RCE) を許す可能性がある。

CISA KEV 警告 22/09/22：Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用

CISA Warns of Hackers Exploiting Recent Zoho ManageEngine Vulnerability

2022/09/23 TheHackerNews — 火曜日に米国 Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された Zoho ManageEngine の脆弱性を、活発な悪用の証拠があるとして、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、「Zoho ManageEngine の PAM360／Password Manager Pro／Access Manager Plus には、リモートコードを実行にいたる、特定されていない脆弱性が存在する」と述べている。

Adobe Magento 2 の深刻な脆弱性 CVE-2022-24086：大規模な攻撃が発生

Critical Magento vulnerability targeted in new surge of attacks

2022/09/22 BleepingComputer — Magento 2 に存在する脆弱性 CVE-2022-24086 を狙う、ハッキング行為が急増している。Magento は、Adobe が所有するオープンソースの eコマースプラットフォームであり、全世界の約17万件のオンライン・ショッピング・サイトで利用されている。この脆弱性 CVE-2022-24086 は、2022年2月に発見され、パッチが適用されているが、すでに侵害に成功した脅威アクターにより、野放状態で悪用されている。その当時に、CISA はサイト管理者に対して、提供されたセキュリティ更新プログラムを適用するよう、アラートで促していた。

CircleCI で進行するフィッシング：GitHub のアカウント認証情報と 2FA コードを盗み出す

Hackers stealing GitHub accounts using fake CircleCI notifications

2022/09/22 BleepingComputer — GitHub は、9月16日に始まったフィッシング・キャンペーンが活発に進行していることについて、注意を呼びかけている。具体的に言うと、継続的なインテグレーションとデリバリーのプラットフォームである、CircleCI になりすましたメールがユーザーを狙っているという。この偽メッセージは、「ユーザー規約とプライバシー・ポリシーが変更されたことをユーザー知らせ、GitHub アカウントにサインインして変更を受け入れ、サービスを使い続ける必要がある」と述べている。

Tailwind CSS／Material Design を模倣：発見された悪意の NPM パッケージとは？

Malicious NPM Package Caught Mimicking Material Tailwind CSS Package

2022/09/22 TheHackerNews — Material Tailwind の正規のソフトウェア・ライブラリを装う、悪意の NPM パッケージが発見され、オープンソース・ソフトウェアのリポジトリで悪意のコード配布を試みる、脅威アクターたちの狙いが再確認された。Material Tailwind は、CSS ベースのフレームワークであり、「Tailwind CSS と Material Design のための使いやすいコンポーネント・ライブラリ」だと、メンテナは宣伝している。

Imperva が DDoS を緩和：25.3 B リクエストの総量と 3.9 M RPS のピーク値

Imperva blocked a record DDoS attack with 25.3 billion requests

2022/09/21 SecurityAffairs — サイバー・セキュリティ企業の Imperva は、2022年6月27日に発生した 253回億以上のリクエストによる、DDoS 攻撃を緩和させた。専門家たちによると、この攻撃は Imperva のアプリケーションである DDoS 軽減ソリューションの新記録となったという。今回の攻撃は、中国の無名の電気通信会社を標的とし、４時間以上にわたって発生し、ピーク時には 3.9 million RPS を記録したとされる。

Redis 運用で判明した問題：39,000 件のインターネット接続サーバが狙われている

Over 39,000 Unauthenticated Redis Instances Found Exposed on the Internet

2022/09/21 TheHackerNews — 未知の攻撃者が、インターネット上に公開されている、数万台の未認証 Redis サーバを標的とし、暗号通貨採マイナーをインストールしようとした。これらのホストに対する、すべての侵入の成功／失敗については、すぐには判明しないだろう。しかし、2018年9月に初めて文書化された、サーバを騙して任意のファイルにデータを書き込むように設計された、あまり知られていない技術が使用された不正アクセスの事例だとされる。

LockBit 3.0 Builder が流出：不満を持つ開発者の裏切りがもたらす大きな影響とは？

LockBit ransomware builder leaked online by “angry developer”

2022/09/21 BleepingComputer — ランサムウェア LockBit だが、不満を持つ開発者とされる人物から、最新の暗号化ソフトのビルドが流出されるという裏切り行為を受けているようだ。この６月に、LockBit ランサムウェアは、２ヶ月間にわたるテストの後に、コードネーム LockBit Black と呼ばれる暗号化装置の Ver 3.0 をリリースした。この新バージョンは、「ランサムウェアを再び偉大なものにする」ことを約束し、新しいアンチ解析機能や、ランサムウェアのバグバウンティ・プログラム、新たな強奪方法などを追加している。しかし、２人 (あるいは同一人物) の不満分子が、Twitter で LockBit 3.0 Builder を流出させるなど、LockBit の運営者は厄介な情報漏洩に見舞われているようだ。

LinkedIn の Smart Link を悪用：セキュリティを回避するフィッシング攻撃に御用心

LinkedIn Smart Links abused in evasive email phishing attacks

2022/09/21 BleepingComputer — フィッシング詐欺師たちが LinkedIn の Smart Link 機能を悪用してメールセキュリティ製品を回避し、フィッシング・ページにターゲット・ユーザーを誘導した後に、支払い情報を盗み出すことに成功している。この Smart Link は、LinkedIn の Sales Navigator／Enterprise のユーザーだけが使える機能であり、追跡可能な１つのリンクを使用して、最大 15件の文書をまとめて送信することができる。

PyPI の脆弱性 CVE-2007-4559：35万件のオープンソース・プロジェクトに影響

350K Open-Source Projects At Risk of Supply Chain Vulnerability

2022/09/21 InfoSecurity — Trellix が設立を発表した Advanced Research Center は、最新のサイバー・セキュリティ脅威を検出／対応／修復するための、リアルタイムのインテリジェンスと脅威指標の作成を目的とするものだ。Trellix の最高製品責任者である Aparna Rayasam は、「脅威の状況は、洗練され、影響を与える可能性が拡大している。我々は、デジタルと物理的な世界で全ての人々を安全にするために、この事業に取り組んでいる。脅威アクターたちは、人材と技術的ノウハウに戦略的に投資している。したがって、サイバー・セキュリティ業界は、最も好戦的な行為者とその手法を研究し、より速い速度で革新していく義務がある」と述べている。

Okta 報告：全ログイン試行の 34%を占めるクレデンシャル・スタッフィングの猛攻

Okta: Credential stuffing accounts for 34% of all login attempts

2022/09/21 BleepingComputer — 2022 Q2 にクレデンシャル・スタッフィング攻撃が流行し、そのためのトラフィックが、一般ユーザーからの正当なログイン試行回数を上回る国もあるという。この種の攻撃で悪用されるのは、複数のサイトで同じ認証情報のペア (ログイン名とパスワード) を使用する、パスワード・リサイクルという悪習慣である。

オープンソース・リポジトリへの攻撃が３年間で 700% 増加：サプライチェーンの深刻な危機

Open Source Repository Attacks Soar 700% in Three Years

2022/09/21 InfoSecurity — Sonatype の調査結果によると、アップストリームのオープンソース・コード・リポジトリを標的とする悪意の活動の量は、この３年間で３桁の増加に達したという。同社は、新たに公開したデータの中で、ソフトウェア・コンポーネントにマルウェアを仕込むことを目的とした攻撃が、700％増加していることを検出したと主張している。また、同社は、これらのコンポーネントがダウンストリームの DevOps チームに悪影響をおよぼすことで、大混乱が引き起こされる可能性があると述べている。