CyberAttack – Page 51 – IoT OT Security News

CISA KEV 警告 22/09/22：Zoho ManageEngine 脆弱性 CVE-2022-35405 の活発な悪用

CISA Warns of Hackers Exploiting Recent Zoho ManageEngine Vulnerability

2022/09/23 TheHackerNews — 火曜日に米国 Cybersecurity and Infrastructure Security Agency (CISA) は、最近に公開された Zoho ManageEngine の脆弱性を、活発な悪用の証拠があるとして、Known Exploited Vulnerabilities (KEV) カタログに追加した。CISA は、「Zoho ManageEngine の PAM360／Password Manager Pro／Access Manager Plus には、リモートコードを実行にいたる、特定されていない脆弱性が存在する」と述べている。

Adobe Magento 2 の深刻な脆弱性 CVE-2022-24086：大規模な攻撃が発生

Critical Magento vulnerability targeted in new surge of attacks

2022/09/22 BleepingComputer — Magento 2 に存在する脆弱性 CVE-2022-24086 を狙う、ハッキング行為が急増している。Magento は、Adobe が所有するオープンソースの eコマースプラットフォームであり、全世界の約17万件のオンライン・ショッピング・サイトで利用されている。この脆弱性 CVE-2022-24086 は、2022年2月に発見され、パッチが適用されているが、すでに侵害に成功した脅威アクターにより、野放状態で悪用されている。その当時に、CISA はサイト管理者に対して、提供されたセキュリティ更新プログラムを適用するよう、アラートで促していた。

CircleCI で進行するフィッシング：GitHub のアカウント認証情報と 2FA コードを盗み出す

Hackers stealing GitHub accounts using fake CircleCI notifications

2022/09/22 BleepingComputer — GitHub は、9月16日に始まったフィッシング・キャンペーンが活発に進行していることについて、注意を呼びかけている。具体的に言うと、継続的なインテグレーションとデリバリーのプラットフォームである、CircleCI になりすましたメールがユーザーを狙っているという。この偽メッセージは、「ユーザー規約とプライバシー・ポリシーが変更されたことをユーザー知らせ、GitHub アカウントにサインインして変更を受け入れ、サービスを使い続ける必要がある」と述べている。

Tailwind CSS／Material Design を模倣：発見された悪意の NPM パッケージとは？

Malicious NPM Package Caught Mimicking Material Tailwind CSS Package

2022/09/22 TheHackerNews — Material Tailwind の正規のソフトウェア・ライブラリを装う、悪意の NPM パッケージが発見され、オープンソース・ソフトウェアのリポジトリで悪意のコード配布を試みる、脅威アクターたちの狙いが再確認された。Material Tailwind は、CSS ベースのフレームワークであり、「Tailwind CSS と Material Design のための使いやすいコンポーネント・ライブラリ」だと、メンテナは宣伝している。

Imperva が DDoS を緩和：25.3 B リクエストの総量と 3.9 M RPS のピーク値

Imperva blocked a record DDoS attack with 25.3 billion requests

2022/09/21 SecurityAffairs — サイバー・セキュリティ企業の Imperva は、2022年6月27日に発生した 253回億以上のリクエストによる、DDoS 攻撃を緩和させた。専門家たちによると、この攻撃は Imperva のアプリケーションである DDoS 軽減ソリューションの新記録となったという。今回の攻撃は、中国の無名の電気通信会社を標的とし、４時間以上にわたって発生し、ピーク時には 3.9 million RPS を記録したとされる。

Redis 運用で判明した問題：39,000 件のインターネット接続サーバが狙われている

Over 39,000 Unauthenticated Redis Instances Found Exposed on the Internet

2022/09/21 TheHackerNews — 未知の攻撃者が、インターネット上に公開されている、数万台の未認証 Redis サーバを標的とし、暗号通貨採マイナーをインストールしようとした。これらのホストに対する、すべての侵入の成功／失敗については、すぐには判明しないだろう。しかし、2018年9月に初めて文書化された、サーバを騙して任意のファイルにデータを書き込むように設計された、あまり知られていない技術が使用された不正アクセスの事例だとされる。

LockBit 3.0 Builder が流出：不満を持つ開発者の裏切りがもたらす大きな影響とは？

LockBit ransomware builder leaked online by “angry developer”

2022/09/21 BleepingComputer — ランサムウェア LockBit だが、不満を持つ開発者とされる人物から、最新の暗号化ソフトのビルドが流出されるという裏切り行為を受けているようだ。この６月に、LockBit ランサムウェアは、２ヶ月間にわたるテストの後に、コードネーム LockBit Black と呼ばれる暗号化装置の Ver 3.0 をリリースした。この新バージョンは、「ランサムウェアを再び偉大なものにする」ことを約束し、新しいアンチ解析機能や、ランサムウェアのバグバウンティ・プログラム、新たな強奪方法などを追加している。しかし、２人 (あるいは同一人物) の不満分子が、Twitter で LockBit 3.0 Builder を流出させるなど、LockBit の運営者は厄介な情報漏洩に見舞われているようだ。

LinkedIn の Smart Link を悪用：セキュリティを回避するフィッシング攻撃に御用心

LinkedIn Smart Links abused in evasive email phishing attacks

2022/09/21 BleepingComputer — フィッシング詐欺師たちが LinkedIn の Smart Link 機能を悪用してメールセキュリティ製品を回避し、フィッシング・ページにターゲット・ユーザーを誘導した後に、支払い情報を盗み出すことに成功している。この Smart Link は、LinkedIn の Sales Navigator／Enterprise のユーザーだけが使える機能であり、追跡可能な１つのリンクを使用して、最大 15件の文書をまとめて送信することができる。

PyPI の脆弱性 CVE-2007-4559：35万件のオープンソース・プロジェクトに影響

350K Open-Source Projects At Risk of Supply Chain Vulnerability

2022/09/21 InfoSecurity — Trellix が設立を発表した Advanced Research Center は、最新のサイバー・セキュリティ脅威を検出／対応／修復するための、リアルタイムのインテリジェンスと脅威指標の作成を目的とするものだ。Trellix の最高製品責任者である Aparna Rayasam は、「脅威の状況は、洗練され、影響を与える可能性が拡大している。我々は、デジタルと物理的な世界で全ての人々を安全にするために、この事業に取り組んでいる。脅威アクターたちは、人材と技術的ノウハウに戦略的に投資している。したがって、サイバー・セキュリティ業界は、最も好戦的な行為者とその手法を研究し、より速い速度で革新していく義務がある」と述べている。

Okta 報告：全ログイン試行の 34%を占めるクレデンシャル・スタッフィングの猛攻

Okta: Credential stuffing accounts for 34% of all login attempts

2022/09/21 BleepingComputer — 2022 Q2 にクレデンシャル・スタッフィング攻撃が流行し、そのためのトラフィックが、一般ユーザーからの正当なログイン試行回数を上回る国もあるという。この種の攻撃で悪用されるのは、複数のサイトで同じ認証情報のペア (ログイン名とパスワード) を使用する、パスワード・リサイクルという悪習慣である。

オープンソース・リポジトリへの攻撃が３年間で 700% 増加：サプライチェーンの深刻な危機

Open Source Repository Attacks Soar 700% in Three Years

2022/09/21 InfoSecurity — Sonatype の調査結果によると、アップストリームのオープンソース・コード・リポジトリを標的とする悪意の活動の量は、この３年間で３桁の増加に達したという。同社は、新たに公開したデータの中で、ソフトウェア・コンポーネントにマルウェアを仕込むことを目的とした攻撃が、700％増加していることを検出したと主張している。また、同社は、これらのコンポーネントがダウンストリームの DevOps チームに悪影響をおよぼすことで、大混乱が引き起こされる可能性があると述べている。

MFA 疲れを狙う攻撃：フィッシングで根負けさせ Microsoft／Cisco／Uber などを陥落

MFA Fatigue: Hackers’ new favorite tactic in high-profile breaches

2022/09/20 BleepingComputer — 企業の認証情報へのアクセスを試みるハッカーたちは、大規模なネットワークに侵入するために、ソーシャル・エンジニアリング攻撃を多用し始めている。多要素認証の普及に伴い、それらのを攻撃する際の構成要素の１つとして、MFA Fatigue (MFA 疲れ) と呼ばれる手法が一般的になってきた。企業ネットワークに侵入する際にハッカーたちは、盗み出した従業員のログイン認証情報を使って VPN や内部ネットワークに、アクセスするのが一般である。そしてハッカーたちにとっては、フィッシングやマルウェアで流出させた認証情報があり、また、ダークウェブ・マーケット・プレイスで購入した認証情報もありという具合に、さまざまな方法で企業の機密情報の入手が可能であり、それは難しいことではないというのが現実である。

Uber で生じたデータ侵害：Lapsus$ によるソーシャル・エンジニアリングが侵入経路？

Uber links breach to Lapsus$ group, blames contractor for hack

2022/09/19 BleepingComputer — 先週にサイバー攻撃に遭った Uber だか、その背後にいるハッカーについて、Microsoft／Cisco／NVIDIA／Samsung／Okta などの著名ハイテク企業を侵害したとされる、Lapsus$ グループに関連すると考えているようだ。この攻撃者は、盗み出した Uber EXT 契約者の認証情報を用いて、その契約者たちに 2FA ログインを要求し、誰かが受け入れるまで、MFA 疲れ攻撃を行ったと、同社は述べている。

VMware／Microsoft 警告：アドウェアからランサムローダーへと進化する ChromeLoader

VMware, Microsoft warn of widespread Chromeloader malware attacks

2022/09/19 BleepingComputer — VMware と Microsoft の警告は、現在進行中で蔓延している ChromeLoader マルウェア・キャンペーンにより、悪意のブラウザ・エクステンションや、node-WebKit マルウェアが、場合によってはランサムウェアまでがドロップされるという、かなり危険な脅威が迫っているというものだ。ChromeLoader の感染は 2022 Q1 に急増しており、Red Canary の研究者たちは、マーケティングのアフィリエイトや広告詐欺に利用される、ブラウザ・ハイジャッカーの危険性について警鐘を鳴らしていた。

Emotet 最新情報：RaaS グループ Quantum／BlackCat などが活用し始めている

Emotet Botnet Started Distributing Quantum and BlackCat Ransomware

2022/09/19 TheHackerNews — 2022年の Conti 撤退後の Emotet マルウェアだが、Quantum／BlackCat などのRansomware-as-a-Service (RaaS) グループにより活用され始めていることが判明した。このマルウェア Emotet は、2014年にバンキング型トロイの木馬として始まった。その後の、度重なるアップデートにより、被害者のマシンに他のペイロードをダウンロードする機能を実装し、攻撃者による遠隔操作に対応するなど、きわめて強力な脅威へと変化している。

アメリカン航空でデータ侵害：フィッシングにより顧客／従業員の個人情報が漏洩

American Airlines discloses data breach after employee email compromise

2022/09/19 BleepingComputer — アメリカン航空は、従業員の電子メール・アカウントが侵害され、個人情報への不正アクセスが生じたことを顧客に通知したが、その侵害の規模は非公表となっている。9月16日 (金) に送付された通知書では、漏洩したデータが悪用された証拠はないと説明されている。アメリカン航空は、7月5日に情報漏洩を発見し、直ちに影響を受けた電子メール・アカウントを保護し、サイバーセキュリティ・フォレンジック会社にインシデントの調査を依頼したとのことだ。

Netgear ルーターに複数の脆弱性：ゲーマー用の FunJSQ モジュールが問題を引き起こす

Netgear Routers impacted by FunJSQ Game Acceleration Module flaw

2022/09/18 SecurityAffairs — Xiamen Xunwang Network Technology が開発した、オンライン・ゲーム高速化のサードパーティ・モジュールである FunJSQ を介して任意のコードが実行され、Netgearルータの複数のモデルに影響が生じる、セキュリティとコンプライアンスの評価会社 Onekey の研究者たちが警告している。

Uber が主張する機密情報へのアクセスの証拠は無い：しかし無事だという証拠も無い

Uber Claims No Sensitive Data Exposed in Latest Breach… But There’s More to This

2022/09/17 TheHackerNews — Uber が更新した情報だが、木曜日の遅くに発覚した社内コンピューター・システムの侵害により、ユーザーの個人情報が漏えいしたという証拠は無いと述べている。同社は、「我々は、このインシデントが、機密性の高いユーザーデータへのアクセスに関連しているという証拠はないと捉えている。Uber／Uber Eats／Uber Freight／Uber Driver アプリを含む、当社の全サービスは稼働している」と説明している。

LastPass のシステムで発生した不正侵入：４日間にわたる不正アクセスが判明

Hackers Had Access to LastPass’s Development Systems for Four Days

2022/09/17 TheHackerNews — パスワード管理ソリューションの LastPass は、2022年8月に発生したセキュリティ・インシデントの詳細を公開し、脅威者が 8月の4日間にわたり、同社のシステムに不正にアクセスしていたことを明らかにした。LastPass の CEO である Karim Toubba は、9月15日に公開されたアップデートで、「観測されたタイムラインを超える脅威者の活動の証拠はない。また、このインシデントにおいて、脅威者が顧客データ／暗号化パスワード保管庫へアクセスした形跡もない」と付け加えている。

CISA KEV 警告 22/09/15：Trend Micro Apex One 脆弱性や Stuxnet 攻撃に対応

CISA orders agencies to patch vulnerability used in Stuxnet attacks

2022/09/16 BleepingComputer — CISA は、KEV (Known Exploited Vulnerabilities) カタログに６件の脆弱性を追加し、連邦政府機関に対し、ベンダーの指示に従って修正するよう求めている。カタログに追加された６件のセキュリティ脆弱性のうち、2022年になって公表されたものは、Trend Micro の自動脅威検知／対応プラットフォーム Apex One に影響を与える脆弱性の１件のみとなる。

Starbucks シンガポールでハッキング：219,000 人分の顧客データが漏洩

Hacker sells stolen Starbucks data of 219,000 Singapore customers

2022/09/16 BleepingComputer — アメリカの人気コーヒーハウス・チェーン Starbucks のシンガポール支社は、219,000 人以上の顧客に影響を与えるデータ侵害に遭ったことを発表した。この情報漏えいは、9月10日に脅威者が人気のハッキング・フォーラムで、Starbucks の顧客 219,675 人分の機密情報を含むデータベースの販売を申し出たことで発覚した。

YouTube ユーザーが標的：RedLine という自己増殖型のスティーラーは危険だ！

YouTube Users Targeted By RedLine Self-Spreading Stealer

2022/09/15 InfoSecurity — RedLine スティーラーを用いる脅威アクーたちが、YouTube ユーザーをターゲットにしたキャンペーンを実施している。今日の未明に Kaspersky のサイバー・セキュリティ研究者たちが、このキャンペーンに関するアドバイザリを発表した。その一方で Oleg Kupreev は、「2020年3月に発見された RedLine は、ブラウザ／FTP クライアント／デスクトップ・メッセンジャーなどから、パスワードや認証情報を盗むために使われる最も一般的なトロイの木馬の１つだ。

Notepad++ Plugin を悪用する脅威アクターたち：侵入後に永続性を確保する可能性

Notepad++ Plugins Allow Attackers to Infiltrate Systems, Achieve Persistence

2022/09/15 InfoSecurity — Notepad++ プラグインの悪用に成功した行為アクターたちが、セキュリティ機構を回避し、被害者のマシン上で永続性を確保する可能性があることを、セキュリティ企業 Cybereason の最新調査結果が示唆している。同社の水曜日のアドバイザリには、「オープンソース・プロジェクトである Notepad++ Plugin Pack を用いて、RastaMouse と名乗るセキュリティ研究者が、永続化メカニズムとして使用できる悪意のプラグインの構築方法を実証した」と記している。

PuTTY トロイの木馬版：Amazon の求人情報をルアーにしてバックドアを配布

Hackers trojanize PuTTY SSH client to backdoor media company

2022/09/15 BleepingComputer — 北朝鮮のハッカーが、PuTTY SSH クライアントのトロイの木馬版を使用し、偽の Amazon Job Assessment を仕掛ける手段として、ターゲットのデバイスにバックドアを展開している。このキャンペーンにおける斬新な要素は、PuTTY／KiTTY SSH ユーティリティのトロイの木馬版を使用して、バックドア (このキャンペーンの場合は AIRDRY.V2) を展開している点にある。今日の Mandiant 技術レポートによると、このキャンペーンを展開した脅威アクターは UNC4034 (別名 Temp.Hermit または Labyrinth Chollima) だとのことだ。このグループの最新の活動は、2020年6月から続いている Operation Dream Job キャンペーンに続くものであり、今回はメディア企業を標的にしていると見られている。

Akamai が阻止した 704.8Mpps の DDoS 攻撃：狙われ続ける東欧企業の防衛策は？

Akamai stopped new record-breaking DDoS attack in Europe

2022/09/15 BleepingComputer — 2022年9月12日に発生した、新たな分散型サービス妨害 (DDoS) 攻撃は、この７月に Akamai が記録した従来からの記録を更新した。DDoS 攻撃とは、偽のリクエストなどのトラフィックでサーバをあふれさせ、正当な訪問者や顧客が利用できないようにするサイバー攻撃のことである。

WordPress サイト 28万件に影響：WPGateway Plugin の深刻なゼロデイ脆弱性

Over 280,000 WordPress Sites Attacked Using WPGateway Plugin Zero-Day Vulnerability

2022/09/14 TheHackerNews — WordPress プレミアム・プラグイン WPGateway の最新バージョンに存在する、ゼロデイ脆弱性が活発に悪用されており、攻撃に成功した脅威アクターによるサイトの完全な乗っ取りの可能性が生じている。この脆弱性 CVE-2022-3180 (CVSS : 9.8) は、WPGateway プラグインを実行しているサイトに対して、攻撃者を管理者ユーザーとして追加する武器として使われていると、WordPress セキュリティ企業である Wordfence は指摘している。

航空機内の無線 LAN デバイスに致命的なセキュリティ欠陥：Contec Flexlan とは？

Vulnerabilities Found in Airplane WiFi Devices, Passengers’ Data Exposed

2022/09/14 InfoSecurity — 航空機内のインターネット接続に使用される無線 LAN デバイスに、２つの深刻な脆弱性が発見された。これらの脆弱性は、Necrum Security Labs の Thomas Knudsen と Samy Younsi が発見したものであり、Contec 社製の Flexlan FX3000／FX2000 シリーズの、無線 LAN デバイスに影響を及ぼすものである。

Snyk 2022年 Cloud 調査：企業ユーザーの 80% が痛い目にあっている

Four-Fifths of Firms Hit by Critical Cloud Security Incident

2022/09/14 InfoSecurity — Snyk の最新調査によると、これまでの１年間で約 80% の組織が、なんらかの深刻なクラウド・セキュリティ・インシデントに見舞われており、また、25% の組織は、クラウド・データ侵害に見舞われているのに気づいていない状況にあるとのことだ。Snyk の調査内容は、さまざまな規模や業種の組織に所属する、400人のクラウド・エンジニアとセキュリティ専門家を対象に行われ、その結果として、State of Cloud Security Report が作成された。

FormBook が８月のトップ・マルウェア：Emotet は５位に転落という急激な動き

FormBook Knocks Off Emotet As Most Used Malware in August

2022/09/14 InfoSecurity — FormBook が、現時点で最も多く発見されたマルウェアとなったが、2022年1月に再登場してからトップの座を守ってきた、Emotet を退けての結果である。 FormBook は、Windows OS を標的とする情報窃取ツールであり、認証情報の取得／スクリーン・ショットの収集／キーストローク監視／ログ取得などを行うものである。また、Command and Control (C&C) の命令に従ってファイルをダウンロードし、実行できる。さらに、強力な回避技術と比較的安価な価格も特徴である。

Docker の調査：TeamTNT が仕掛けた不正イメージが 15万回以上もダウンロード

TeamTNT Hits 150K Docker Containers via Malicious Cloud Images

2022/09/14 DarkReading — TeamTNT 脅威グループ・メンバーの明らかな不手際により、不適切なコンフィグレーションで運用されている Docker サーバを、悪用するために用いられていた戦術の一部が暴露された。先日に Trend Micro のセキュリティ研究者たちは、Docker REST API を公開するハニーポットを設置し、広く利用されているクラウド・コンテナ・プラットフォームの脆弱性やミスコンフィグレーションを、一般的な脅威者が悪用する方式を理解しようと試みた。

Facebook Page オーナーを狙うフィッシング・メール：その特徴を確認しておこう

Phishers take aim at Facebook page owners

2022/09/14 HelpNetSecurity — フィッシング詐欺師たちは、Facebook／Instagram／WhatsApp／Meta を装う偽の通知で、Facebook ページのオーナーを騙し、機密情報を引き渡させようとしている。Meta Ads Manager でリード・ジェネレーション・フォームを作成し、そのリンクをフィッシング・メールに記載するというものであり、非常に巧妙な方法で情報を収集している。

CISA KEV 警告 22/09/14：Windows／iOS の脆弱性が悪用リストに追加

CISA orders agencies to patch Windows, iOS bugs used in attacks

2022/09/14 BleepingComputer — 今日 CISA は、悪用されているセキュリティ脆弱性のリストに、２つの新しい脆弱性を追加した。これには、Windows の権限昇格の脆弱性と、iPhone／Mac に影響を与える任意のコード実行の脆弱性が含まれている。Windows Common Log File System Driver の権限昇格の脆弱性は CVE-2022-37969 として追跡されており、悪用に成功したローカルの攻撃者は、SYSTEM 権限の取得が可能になる。

マルウェアを解析する：ANY.RUN サンドボックスを用いたハンティングの流れとは？

How to Do Malware Analysis?

2022/09/14 TheHackerNews — Malwarebytes’ Threat Review for 2022 の調査結果によると、2021年には4000万台の Windows ビジネス・コンピュータで脅威が検出された。このような攻撃に対抗し、脅威を回避するためには、マルウェアの解析が欠かせない。今回は、悪意のプログラムの調査の目的と、サンドボックスを使ったマルウェア解析の方法を紹介していく。

ShadowPad ハッカー集団：アジア各国の政府組織をターゲットにしている

ShadowPad-Associated Hackers Targeted Asian Governments

2022/09/13 InfoSecurity — リモートアクセス型トロイの木馬 (RAT) である ShadowPad だが、以前から関連していた脅威グループが新たなツールセットを採用し、アジア各国の政府機関や国営企業に対してキャンペーンを展開している。このニュースは、9月13日の未明に Symantec の Threat Hunter Team が発表した、脅威に関する新たなアドバイザリがソースとなっている。

Microsoft 警告：Windows CLFS 脆弱性 CVE-2022-37969 へのゼロデイ攻撃を検知

Microsoft Raises Alert for Under-Attack Windows Flaw

2022/09/13 SecurityWeek — Microsoft のセキュリティ・チームが、主要 Windows プラットフォームの深刻な脆弱性を悪用するゼロデイ攻撃を検出したことを明らかにした。同社は、9月の Patch Tuesday において、最新のゼロデイ脆弱性に対する修正を提供しているが、すでに、この脆弱性を悪用する攻撃者たちが、パッチが適用された Windows マシンでも SYSTEM 権限を獲得しているケースがあると警告している。

Cisco で発生した８月のデータ侵害：Lapsus$ ランサムウェア・グループとの関連性

Cisco Data Breach Attributed to Lapsus$ Ransomware Group

2022/09/13 DarkReading — Cisco のシステムへの侵入が確認されてから１カ月が経過したが、この攻撃は Lapsus$ グループによるランサムウェア攻撃であり、失敗したと、同社は報告している。このサイバー犯罪者は、ソーシャル・エンジニアリング攻撃で Cisco のシステムにアクセスし、従業員の Google パーソナル・アカウントを操作し、被害者のブラウザに保存されていた認証情報を盗み出した。

Trend Micro 警告：Apex One の RCE 脆弱性 CVE-2022-40139 が悪用されている

Trend Micro warns of actively exploited Apex One RCE vulnerability

2022/09/12 BleepingComputer — 今日、セキュリティ・ソフトウェア会社の Trend Micro は、積極的に悪用される Apex One のセキュリティ脆弱性に対して、早急にパッチを適用するよう顧客に警告を発しまた。Apex One は、悪意のツール／マルウェア／脆弱性に対する脅威の自動検出と対処を、企業に提供するエンドポイント・セキュリティ・プラットフォームである。この脆弱性 CVE-2022-40139 の悪用に成功した攻撃者は、パッチが適用されていないソフトウェアを実行しているシステム上で、任意のコードをリモートから実行することが可能になる。

QNAP NAS に大規模 DeadBolt キャンペーン：狙われる脆弱性 CVE-2022-27593

Thousands of QNAP NAS devices hit by DeadBolt ransomware (CVE-2022-27593)

2022/09/12 HelpNetSecurity — QNAP Systems は、同社の NAS デバイスのユーザーを標的とした、最新の DeadBolt ランサムウェア・キャンペーンと、攻撃者に悪用されている脆弱性 CVE-2022-27593 についての詳細情報を提供した。脆弱性 CVE-2022-27593 は、意図した制御範囲外のリソースへ向けて解決される、外部制御の参照に関するものであり、広く使用されている Photo Station アプリケーションに影響を及ぼすものである。

Cisco をハッキングした Yanluowang の手口：従業員の認証情報漏洩から始まった

Cisco confirms that data leaked by the Yanluowang ransomware gang were stolen from its systems

2022/09/12 SecurityAffairs — 8月に Cisco が公表したのは、Yanluowang ランサムウェア・ギャングが同社のネットワークに、5月下旬に侵入して内部データを盗んだというインシデントに関する詳細である。 Cisco Security Incident Response (CSIRT) と Cisco Talos が実施した調査で判明したのは、被害者のブラウザに保存された認証情報と同期している、個人の Google アカウントを操作する脅威アクターが、Cisco の従業員の認証情報を漏洩させたことである。

中規模リテール 422社の調査：2021年には 77% がランサムウェアの被害に遭った

Over Three-Quarters of Retailers Hit by Ransomware in 2021

2022/09/11 InfoSecurity — Sophos によると、世界の小売業の約 77％が、2021年にランサムウェアの被害に遭い、最も大きな被害を受けた業界にもなっている。セキュリティ・ベンダーである Sophos は、31カ国の中規模 (従業員数 100～5000人) である小売業者の回答者 422人を対象に、レポート The State of Ransomware in Retail 2022 を作成した。この数字は、2020年と比較して 75% という大幅な増加を示しており、全セクターの平均値よりも 11% 高く、小売業は２番目に大きな被害を受けた業界となった。

米政府がイランを制裁：MuddyWater と APT34 に対する国家による支援を指摘

US Sanctions Iran Over APT Cyberattack Activity

2022/09/10 DarkReading — 米国連邦政府は、イラン政府が APT (advanced persistent threat) グループを介して組織的に、米国を標的にしてきたサイバー犯罪行為について、制裁に乗り出した。米国財務省外国資産管理局 (OFAC : Department of the Treasury’s Office of Foreign Assets Control) は、イラン情報安全保障省 (MOIS : Ministry of Intelligence and Security) に対して、2007年以降における米国と同盟国に対するサイバー犯罪に関与していると判断／指定した。

WordPress プラグイン BackupBuddy のゼロデイが FIX：500万回もの攻撃が試行

Hackers Exploit Zero-Day in WordPress BackupBuddy Plugin in ~5 Million Attempts

2022/09/09 TheHackerNews — WordPress のセキュリティ企業である Wordfence は、WordPress プラグイン BackupBuddy のゼロデイ脆弱性の活発な悪用を明らかにした。同社は、「この脆弱性の悪用に成功した未認証のユーザーは、標的となるサイトから、機密情報を含む任意のファイルをダウンロードできる」と述べている。

CISA KEV 警告 22/09/08：Chrome／ D-Link／QNAP などの 12件の脆弱性が追加

CISA orders agencies to patch Chrome, D-Link flaws used in attacks

2022/09/08 BleepingComputer — CISA は、攻撃に悪用されるバグ・リストに、D-Link の２つの深刻な脆弱性と、Google Chrome および QNAP Photo Station ソフトウェアの２つの (パッチ適用済) ゼロデイを含む、全体で 12件のセキュリティ欠陥を追加した。Google Chrome のゼロデイ (CVE-2022-3075) は、9月2日に緊急セキュリティ・アップデートでパッチが適用されたが、野放し状態での悪用を同社が認識したことで、このリストに加えられた。

Shopify の脆弱なパスワード・ポリシー：e コマース業界全体としての改善が必要

Shopify Fails to Prevent Known Breached Passwords

2022/09/08 TheHackerNews — 最近のレポートにより、e コマース・プロバイダーである Shopify は、同社の Web サイトの顧客向けセクションで、特に脆弱なパスワード・ポリシーを使用していることが判明した。報告書によると、Shopify は顧客に対して、少なくとも５文字以上で、スペースで開始／終了しないパスワードの使用を要求しているという。

Bumblebee マルウェアはディスクに触れない：高度なスティルス性で侵害し続ける

Bumblebee malware adds post-exploitation tool for stealthy infections

2022/09/08 BleepingComputer — 新たに発見されたマルウェア・ローダー Bumblebee は、PowerSploit フレームワークを用いて、DLL ペイロードをメモリにステルス的に注入するものであり、野放し状態で感染を広げている。Bumblebee は４月に発見され、BazarLoader や TrickBot の背後にいると推測される、Conti シンジケートが組織するフィッシング・キャンペーンに関与している。

NATO の機密文書がダークウェブで販売される：流出元はポルトガル政府

Classified NATO documents sold on darkweb after they were stolen from Portugal

2022/09/08 SecurityAffairs — ポルトガル軍参謀本部機関 (EMGFA : Estado-Maior-General das Forças Armadas) が所有する NATO 機密文書が、ダークウェブ上で売りに出されていたことで、同機関に対するサイバー攻撃が判明した。EMGFA は、ポルトガルの最高軍事機関であり、ポルトガル軍の計画／指揮／統制を担当する組織である。

日本政府の Web サイトが攻撃される：犯行を主張する Killnet とは？

Japan Government Websites Hit By Cyber-Attacks, Killnet Suspected

2022/09/07 InfoSecurity — ロシア系のハッカー集団 Killnet が、日本政府の４組織における 20件の Web サイトおよび、日本企業に対する一連のサイバー攻撃の犯行を主張している。松野博一官房長官によると、日本政府 Web サイトにおける問題と、サービス妨害 (DDoS) 攻撃との関連性について調べているとのことだ。また、日本政府のデジタル庁は、水曜日に e-Gov 行政ポータルの一部で、サービスへのログインに問題があったと述べたが、原因は明らかにしていない。

Cobalt Strike サーバに DDoS 攻撃：ロシアン・ランサムウェアを追撃するのは誰なのか？

Ransomware gang’s Cobalt Strike servers DDoSed with anti-Russia messages

2022/09/07 BleepingComputer — ランサムウェア・ギャングの元メンバーが運営する Cobalt Strike のサーバに、何者かが反ロシアのメッセージを流し込んで活動を妨害している。最近のランサムウェアに関する動向だが、2022年5月に ContI は、内部インフラのシャットダウンを完了し、そのメンバーたちは Quantum／Hive／BlackCat といった他のランサムウェア・ギャングに分散していった。

Google TAG 警告：Conti ランサムウェアの元メンバーがウクライナを攻撃している

Google says former Conti ransomware members now attack Ukraine

2022/09/07 BleepingComputer — Google によると、サイバー犯罪組織 Conti の元メンバーの一部が、現在 UAC-0098 として追跡されている脅威グループに参加し、ウクライナの組織やヨーロッパの非政府組織 (NGO) を標的にしているという。UAC-0098 は、イニシャル・アクセス・ブローカーであり、企業ネットワーク内の侵害済みシステムへの、バンキング型トロイの木馬 IcedID を用いるアクセスを、ランサムウェア・グループに提供することで知られている。

Shikitega というステルス型 Linux マルウェア：多段階展開で検知を巧みに回避

New Linux malware evades detection using multi-stage deployment

2022/09/06 BleepingComputer — Shikitega という新たなステルス型 Linux マルウェアが、PC や IoT デバイスにペイロードを流し込み、感染させていることが発見された。このマルウェアは、脆弱性を悪用して権限を昇格させ、crontab を介してホスト上で永続性を確立する。そして最終的に、感染させたデバイス上で、暗号通貨マイナーを起動させる。Shikitega は非常にステルス性が高く、静的な署名ベースの検出を不可能にするポリモーフィック・エンコーダを使用して、ウイルス検出を回避する。