CyberAttack – Page 6 – IoT OT Security News

Palo Alto Networks の Salesforce 環境が侵害：CRM プラットフォーム標的のサプライチェーン攻撃

Palo Alto Networks Confirms Data Breach via Compromised Salesforce Instances

2025/09/02 gbhackers — サイバー・セキュリティ・ベンダー Palo Alto Networks が明らかにしたのは、Salesloft Drift 統合の侵害を通じて、自社の Salesforce 環境が侵害されたことだ。このインシデントは、営業の効率化に広く利用される Salesforce CRM プラットフォームを標的とする、サプライチェーン攻撃の最新事例である。Palo Alto によると、 2025年8月8日～18日に、同社の Salesloft／Drift アプリケーションが侵入を受け、OAuth 認証情報が漏洩したという。Salesloft のトークンの失効処理が行われる前に、それを悪用する脅威アクターが、接続されている Salesforce インスタンス (同社環境を含む) からデータを抽出していた。

新たな ClickFix 攻撃を検出：AnyDesk を装い MetaStealer マルウェアを拡散

New ClickFix Attack Mimic as AnyDesk Leverages Windows Search to Drop MetaStealer

2025/09/02 CyberSecurityNews — 新たに検出された ClickFix の亜種が、正規の AnyDesk インストーラーを装いながら、情報窃取マルウェア MetaStealer を拡散している。この攻撃者は、偽の Cloudflare Turnstile 認証ページを介してユーザーを誘導し、細工された Windows プロトコル・ハンドラを実行させるものだ。そして最終的には、PDF に偽装された悪意の MSI パッケージを配信していく。

Cloudflare が 11.5 Tbps UDP フラッドを阻止：Google Cloud の侵害により大規模攻撃が可能に

Record-breaking 11.5 Tbps UDP Flood DDoS Attack Originated from Google Cloud Platform

2025/09/02 CyberSecurityNews — Web に対してセキュリティとインフラを提供する Cloudflare が発表したのは、先日に阻止した大規模なサイバー攻撃に関する情報である。この攻撃は、これまでの最大値である、11.5 TB/秒 (Tbps) に達したという。その攻撃の種類は、分散型サービス拒否 (DDoS) であり、具体的には UDP フラッド攻撃となる。攻撃の大部分は、Google Cloud Platform 上の、侵害されたリソースから発生していた。

Zscaler の顧客情報が侵害された：Salesloft の脆弱性に関連するインシデントが止まらない

Zscaler data breach exposes customer info after Salesloft Drift compromise

2025/09/01 BleepingComputer — サイバー・セキュリティ企業 Zscaler が発したのは、Salesforce インスタンスにアクセスした脅威アクターが、サポート・ケースの内容を含む顧客情報を盗み出すという、同社が受けた侵害に関する警告である。この問題は、Salesforce に統合された Salesloft と Drift への侵害に起因する。攻撃者は OAuth トークンとリフレッシュ・トークンを盗み出し、顧客の Salesforce と Drift の環境にアクセスして機密データを窃取した。Zscaler はアドバイザリにおいて、このサプライチェーン攻撃により Salesforce インスタンスが影響を受け、同社の顧客情報が漏洩したと述べている。

Salesforce がフォレンジック・ガイドを発行：サイバー攻撃に対するレジリエンスを確立

Salesforce Publishes Forensic Guide After Series of Cyberattacks

2025/09/01 gbhackers — Salesforce が公開したのは、ユーザー組織の Salesforce 環境内で、セキュリティ・インシデントを検出／分析／修復するための、包括的なフォレンジック調査ガイドである。この新しいガイドが対応するのは、アクティビティ・ログ／ユーザー権限／バックアップ・データという、３つの重要な領域におけるベスト・プラクティスを抽出したものである。具体的に言うと、対象となる時間帯での特定ユーザーの行動や、影響を受けたデータといった、重要な質問に答えるための構造化されたフレームワークを提供している。

武器化された PDF と LNK のオーケストレーション：国家に支援される APT37 が韓国で活動

Hackers Weaponize PDF Along With a Malicious LNK File to Compromise Windows Systems

2025/08/29 CyberSecurityNews — 無害に見える PDF ニュースレターと、悪意の Windows ショートカット (LNK) ファイルを組み合わせる脅威アクターが、企業環境への侵入を開始している。この攻撃は 2025年8月の下旬に発生したものであり、韓国の学術機関および政府機関を標的とし、正規の PDF ニュースレター “국가정보연구회 소식지 (52호)” を装うものが配信されている。

ScreenConnect を武器化する攻撃キャンペーンが発覚：ユーザーを騙して Xworm RAT を展開

Weaponized ScreenConnect RMM Tool Tricks Users into Downloading Xworm RAT

2025/08/29 CyberSecurityNews — 正規のリモート管理ツール ScreenConnect を武器化する攻撃キャンペーンにおいて、巧妙な多段階の感染チェーンを介して Xworm リモートアクセス型トロイの木馬 (RAT) が展開されていたことが、先日に TrustwaveのSpiderLabs チームが実施したAdvanced Continual Threat Hunt (ACTH) により明らかになった。この攻撃者は、AI をテーマにした偽コンテンツを用いて、デジタル署名を操作することで、EDR (Endpoint Detection and Response) アラートを回避していたが、人間による脅威ハンティングにより隠されたペイロードが発見された。

Salt Typhoon が侵害する Cisco／Ivanti／Palo Alto のエッジデバイス：80カ国 600 組織に拡大

Salt Typhoon Exploits Cisco, Ivanti, Palo Alto Flaws to Breach 600 Organizations Worldwide

2025/08/28 TheHackerNews — 中国に支援される APT である Salt Typhoon は、世界中の通信／政府／交通／宿泊／軍事インフラなどの組織の、ネットワークを標的とする攻撃を継続している。8月27日 (水) に共同公開されたサイバー・セキュリティ・アドバイザリには、「これらの攻撃者は、大手通信事業者の大規模なバックボーン・ルータ／プロバイダー・エッジ (PE) ルータ／カスタマー・エッジ (CE) ルータを標的としているが、侵害したデバイスや信頼できる接続を悪用して、他のネットワークに侵入することもあり得る。この攻撃者は、ネットワークへの永続的なアクセスを維持するために、ルータを改変することが多い」と記されている。

Claude AI に３つのインシデント：サイバー犯罪者たちの巧妙な試みを Anthropic が阻止

Hackers Attempted to Misuse Claude AI to Launch Cyber Attacks

2025/08/28 CyberSecurityNews — 新たに発表された脅威インテリジェンス・レポートによると、Claude AI プラットフォームの悪用を狙うサイバー犯罪者たちの、複数の巧妙な試みを Anthropic が阻止したようだ。Claude の高度な機能を悪用する攻撃者たちは、有害な出力を防ぐための多層的な安全対策を回避しながら、このエージェント AI を武器化することで、大規模な恐喝／雇用詐欺／ランサムウェア攻撃を実行している。

武器化された PuTTY が Bing で配布：永続化されたバックドアから Kerberos と AD を攻撃

Weaponized PuTTY Via Bing Ads Exploit Kerberos and Attack Active Directory Services

2025/08/26 CyberSecurityNews — Microsoft Bing 上のスポンサード検索結果を悪用する、マルバタイジング・キャンペーンにより武器化された PuTTY が配信されている。この悪意の PuTTY は、永続性を確立し、キーボードによる操作を可能にするものであり、Active Directory サービス・アカウントを標的とする Kerberoasting 攻撃を実行できる。LevelBlue の MDR SOC が公開した調査結果によると、検索広告と SEO ポイズニングを介して配布された、トロイの木馬化された管理ツールに関連する Oyster／Broomstick バックドア追跡調査により、悪意の PuTTY 展開が裏付けられているという。

新たな Mirai 亜種が登場：Cisco／TP-Link などの脆弱性を標的に DDoS 攻撃を実行

New Stealthy Malware Hijacking Cisco, TP-Link, and Other Routers for Remote Control

2025/08/26 gbhackers — Cisco／TP-Link などの重要インフラ・デバイスを標的とする、高度なマルウェア攻撃キャンペーンを、FortiGuard Labs が発見した。この Gayfemboy マルウェアは、新たな Mirai 亜種であり、高度な回避技術とマルチ・プラットフォーム対応の機能を備えている。すでに、DrayTek／TP-Link／Raisecom／Cisco などの脆弱性を悪用し、バックドア・アクセスと分散型サービス拒否 (DDoS) 攻撃の機能を備えた、永続的なボットネット・インフラを構築している。

Microsoft RDP を標的とする大規模スキャン・キャンペーンを観測：30,000+ の IP で構成される攻撃基盤

Hackers Actively Scanning to Exploit Microsoft Remote Desktop Protocol Services From 30,000+ IPs

2025/08/26 CyberSecurityNews — Microsoft Remote Desktop Protocol (RDP) サービスを標的とする、大規模な協調スキャン・キャンペーンが展開されている。脅威アクターたちは、30,000 を超える固有 IP アドレスを配備し、Microsoft RD Web アクセスおよび RDP Web クライアントの認証ポータルの脆弱性を探っている。近年確認された中において、最大級の協調 RDP 偵察キャンペーンであり、大規模な認証情報ベース攻撃のための準備が示唆される。

SendGrid を悪用するハッカーたち：巧みなフィッシングでログイン資格情報を窃取していく

Hackers Exploit SendGrid to Steal User Login Credentials in Latest Attack

2025/08/25 gbhackers — 信頼性の高いクラウド・メール・サービス SendGrid を悪用したフィッシング・メールの送信により、認証情報を不正に収集する攻撃の急増を、Cofense – Phishing Defense Center (PDC) サイバー・セキュリティ研究者たちが確認している。問題とされるのは、トランザクションやマーケティングで広く利用される、SendGrid への信頼を悪用する攻撃であり、そこでは、標準的なメール・セキュリティ・ゲートウェイを回避するメッセージが作成されている。

SharePoint への大規模攻撃と Microsoft の事後対応：中国への MAPP の提供が終了？

After SharePoint attacks, Microsoft stops sharing PoC exploit code with China

2025/08/22 SecurityAffairs — 2025年7月に発生した大規模な攻撃で、SharePoint の脆弱性が悪用されたことを受け、Microsoft Active Protections Program (MAPP) プログラムを通じて中国企業に提供されていた、PoC エクスプロイト・コードの開示が停止されたようだ。それに代わって、政府への脆弱性報告を義務付けられている中国などの企業は、一般的な書面による説明のみを受け取ることになる。この措置は、情報漏洩を抑制しながら、防御側にとっての MAPP の有用性の維持を目的としている。

HTTP リクエスト・スマグリングの新手法：HTTP/1.1 悪用への対策は？

New HTTP Smuggling Attack Technique Let Hackers Inject Malicious Requests

2025/08/25 CyberSecurityNews — フロントエンド・プロキシ・サーバとバックエンド・アプリケーション・サーバの間における解析動作の不一致を悪用する、高度な HTTP リクエスト・スマグリング攻撃の手法が新たに発見された。この攻撃は、不正なチャンク転送エンコーディング・エクステンションを利用して、既存のセキュリティ制御を回避し、不正な二次リクエストを Web アプリケーションに挿入するものだ。

Ghost-Tapping 攻撃：Apple Pay／Google Pay ユーザーから決済カード情報を盗み出す

New Ghost-Tapping Attacks Target Apple Pay and Google Pay Users’ Linked Cards

2025/08/18 gbhackers — NFC (Near Field Communication) リレーを Ghost-Tapping 技術で悪用する中国語圏のサイバー犯罪者たちは、決済カード詐欺を巧妙に進化させている。彼らの主要な標的は、Apple Pay や Google Pay などのモバイル決済サービスに集中している。この攻撃ベクターは、侵害したデバイスから盗み出した決済カードの認証情報を、使い捨て携帯電話に中継して、不正な非接触型の取引を仕掛け、小売詐欺を働くというものである。

CrossC2 という新たな C2 フレームワーク：Cobalt Strike Beacon を拡張して Linux／macOS を標的化？

Hackers Found Using CrossC2 to Expand Cobalt Strike Beacon’s Reach to Linux and macOS

2025/08/14 TheHackerNews — 8月14日 (木) に、日本の CERT Coordination Center (JPCERT/CC) が明らかにしたのは、Cobalt Strike の機能を Linux／Apple macOS などのプラットフォームに拡張し、クロスプラットフォームのシステム制御を可能にする、C2 フレームワーク CrossC2 によるインシデントが確認されたことだ。

Fortinet SSL VPN 標的のブルートフォース攻撃を確認：780 以上の固有 IP アドレスが関与

Fortinet SSL VPN Targeted by Hackers from 780 Unique IP Addresses

2025/08/12 gbhackers — Fortinet SSL VPN システムに対するブルートフォース攻撃の急増を、GreyNoise のサイバーセキュリティ研究者たちが検知した。僅か１日の間に 780 以上の固有 IP アドレスから協調攻撃が仕掛けられ、最近の数か月における、この種の攻撃としては最多件数を記録した。この攻撃キャンペーンが示すのは、Fortinet のエンタープライズ・ネットワーク・インフラを標的とする攻撃が顕著に増加し、その手法がランダム・スキャンではなく、標的を正確に侵害していることだ。

Erlang/OTP SSH の脆弱性 CVE-2025-32433：OT ネットワークへの活発な攻撃を検知

Erlang/OTP SSH RCE Vulnerability Exploited in the Wild to Attack Across OT Networks

2025/08/12 CyberSecurityNews — Erlang/OTP の SSH デーモンに存在する、深刻なリモート・コード実行の脆弱性が活発に悪用され、複数の業界における OT ネットワークが、サイバー犯罪者たちの標的となっている。特別に細工された SSH 接続プロトコル・メッセージを、SSH ポートに送信する未認証の攻撃者により、この脆弱性 CVE-2025-32433 (CVSS：10.0) が悪用され、脆弱なシステム上での任意のコマンド実行の可能性が生じている。

Gemini への間接プロンプト・インジェクション：メールからスマートホームにまで広がる攻撃領域

Gemini Exploited via Prompt Injection in Google Calendar Invite to Steal Emails, and Control Smart Devices

2025/08/07 CyberSecurityNews — 無害に見えるカレンダーの招待やメールを通じて、Google の Gemini AI アシスタントを、高度な攻撃手法により悪用する事例が報告されている。この “標的型プロンプトウェア攻撃” と呼ばれる手法では、間接的なプロンプト・インジェクションにより、ユーザーのデジタル・プライバシーを侵害され、さらには、家庭内の物理デバイスの制御が奪われるという懸念が生じている。

SonicWall VPN を標的とする攻撃：Akira ランサムウェアが用いる BYOVD 手法を解析

Akira Ransomware Uses Windows Drivers to Bypass AV/EDR in SonicWall Attacks

2025/08/06 CyberSecurityNews — 先日に発見された SonicWall VPN を標的とする攻撃キャンペーンにおいて、脅威アクターたちは Windows ドライバを悪用し、Anti-Virus／EDR システムを回避しているという。この攻撃は 2025年7月下旬から8月上旬にかけてエスカレートしており、侵害後の持続性確保と検出回避のために、脅威アクターが戦術を高度化させている実態を示している。

マルウェアの複雑さを定量化：89 万回以上のスキャンから得られた悪意の行動テレメトリとは？

Malware Complexity Jumps 127% in Six Months

2025/08/06 InfoSecurity — サイバー攻撃の標的に対して、脅威アクターが用いるツールセットが急速に進化しており、これまでの６ヶ月の間に、マルウェアの複雑性が 127% も増加したと、重要インフラに特化するサイバー・セキュリティ企業 OPSWAT が述べている。

SonicWall の声明：Gen 7 Firewall を標的とする攻撃と CVE-2024-40766 の関連性？

SonicWall Warns of Escalating Cyberattacks Targeting Gen 7 Firewalls in Last 72 Hours

2025/08/05 CyberSecurityNews — SonicWall は、今日までの 72時間で発生した、SonicWall 第7世代ファイアウォールを標的とするサイバー・インシデントの著しい増加を受け、緊急セキュリティ・アドバイザリを発出した。現時点における同社は、Secure Sockets Layer (SSL-VPN) 機能が有効化されているデバイスを標的とする、一連の攻撃に関する積極的な調査の推進中にある。

Cisco にビッシング攻撃：従業員が騙され CRM から Cisco.com ユーザー・プロファイルが流出

Cisco Hacked – Attackers Stole Profile Details of Users Registered on Cisco.com

2025/08/05 CyberSecurityNews — Cisco が認めたのは、同社 Webサイト “Cisco.com” に登録されているユーザーの基本プロフィール情報が、サイバー攻撃の標的となり盗み出されたという事実である。なお、被害に遭ったユーザー数は非公表とされている。同社によると、この情報侵害は、高度に洗練された音声フィッシング、いわゆる “ヴィッシング” (Vishing) 攻撃により従業員が騙された結果として発生したとされる。

WAF の限界が露呈：HTTP パラメータ汚染と JavaScript インジェクションによる突破の手法とは？

WAFs protection Bypassed to Execute XSS Payloads Using JS Injection with Parameter Pollution

2025/08/05 CyberSecurityNews — Web Application Firewall (WAF) 保護を回避するために、HTTP パラメータ汚染と JavaScript インジェクションを組み合わせるという、巧妙な手法が発見された。その仕組は、WAF エンジンと Web アプリケーション・フレームワークの間に存在する解析動作の相違を悪用し、特に ASP.NET におけるパラメータ処理の挙動に着目することで、従来のセキュリティ検出を回避するクロスサイト・スクリプティング (XSS) 攻撃を成立させるものだ。

JPEG を武器化する北朝鮮の APT37：多段階攻撃によりmspaint などのプロセスに悪意のコードを挿入

APT37 Hackers Weaponizes JPEG Files to Attack Windows Systems Leveraging “mspaint.exe”

2025/08/04 CyberSecurityNews — 北朝鮮の APT37 (Reaper) グループによる、洗練された新しいサイバー攻撃の波が確認されている。この攻撃は、JPEG イメージ・ファイルに埋め込まれた高度なマルウェアを用いて、Microsoft Windowsシステムを侵害するものであり、セキュリティ回避戦術およびファイル・レス攻撃手法の進化を示す事例でもある。

SonicWall Firewall の未知のゼロデイが狙われている：Akira ランサムウェアによる侵害の拡大とは？

SonicWall Firewall Devices 0-day Vulnerability Actively Exploited by Akira Ransomware

2025/08/02 CyberSecurityNews — SonicWallファイアウォール・デバイスに存在すると推定されるゼロデイ脆弱性を、Akira ランサムウェアグループが積極的に悪用しているようだ。この脆弱性を悪用する攻撃者は、SonicWall の SSL VPN 機能を介して企業ネットワークへの初期アクセスを取得し、その後にランサムウェアを展開することが可能となる。2025年7月下旬にセキュリティ研究者たちが確認したのは、SonicWall デバイスを悪用するランサムウェア攻撃の大幅な増加である。既知の脆弱性に対するパッチが完全に適用されていても、ファイアウォールへの侵入が成功した事例が存在するため、ゼロデイ脆弱性の存在が示唆される状況になっている。

Infostealer の驚異的な勢い：悪意のアクティビティが 2025年1月〜6月の間に 800% も増加

Staggering 800% Rise in Infostealer Credential Theft

2025/08/01 InfoSecurity — 2025年上半期には、18億件の認証情報が盗まれ、この６ヶ月間で 800% も増加したことを、セキュリティ専門家たちが明らかにし、ID ベースの攻撃が急増すると警告している。Flashpoint の “Global Threat Intelligence Index: 2025 Midyear Edition” は、同社が分析した 3.6 Peta Byte 以上のデータに基づくものである。このサイバー・インテリジェンス企業によると、一連の認証情報は、580万台の感染ホスト／デバイスから盗まれたという。

Cobalt Strike Beacon を展開するキャンペーンを発見：標的国がロシアから日本／中国などへと拡大

Hackers Deploy Cobalt Strike Beacon Using GitHub and Social Media

2025/07/30 gbhackers — ロシアなどの IT 業界に混乱をもたらす、高度なサイバー攻撃キャンペーンの存在が確認されたが、そこでは Cobalt Strike Beacon が展開され、高度な検出回避技術が駆使されているという。このキャンペーンを背後で操る攻撃者は、GitHub／Microsoft Learn Challenge／Quora に加えて、ロシアの SNS などのプラットフォーム上のユーザー・プロファイル内に、ペイロード情報を巧妙に隠している。つまり、悪意のデータを、正当なユーザーが生成するコンテンツに混在させることで、この攻撃者はセキュリティ検出の回避を試みている。この手法により、広く使用されるポスト・エクスプロイト・ツール Cobalt Strike の、複雑な実行チェーンの構築が可能になっている。

Enterprise LLM に潜むリスクを整理：シンプルなプロンプトによる巧妙な攻撃と甚大な被害

Enterprise LLMs Under Risk: How Simple Prompts Can Lead to Major Breaches

2025/07/30 CyberSecurityNews — 大規模言語モデル (LLM) を統合するエンタープライズ・アプリ群は、単純に見えるプロンプトのインジェクション攻撃により、悪用の可能性が生じるという、前例のないセキュリティ脆弱性に直面している。最近のセキュリティ評価により明らかにされたのは、巧妙に作成された自然言語クエリのみを使用する攻撃者が、認証システム回避と機密データの抽出を達成し、不正なコマンドの実行を可能にするという問題である。

PyPI 開発者を狙うフィッシング攻撃を確認：正規サイトに酷似した偽ページで情報窃取

PyPI Warns of New Phishing Attack Targeting Developers With Fake PyPI Site

2025/07/29 CyberSecurityNews — Python Package Index (PyPI) が、開発者に対して発している緊急の警告は、ドメイン・スプーフィング技術を悪用してユーザーの認証情報を窃取する、進行中のフィッシング攻撃に関するものだ。この攻撃は、PyPI にパッケージを公開する開発者を標的とした、巧妙なものである。PyPI エコシステムへの信頼を悪用する攻撃者は、正規プラットフォームを模倣する偽サイトを通じて、開発者たちの認証情報を収集している。

LLM Honeypot がもたらす成果：攻撃者の手法を逆手に取る対策とは？

LLM Honeypots Deceive Hackers into Exposing Attack Methods

2025/07/28 gbhackers — 人工知能 (AI) を搭載するハニーポットにサイバー犯罪者を巧妙に誘導し、攻撃戦略を暴くことを、サイバー・セキュリティ研究者たちが成功させた。この手法が実証するのは、脅威情報の収集における有望かつ新規のアプローチである。大規模言語モデル (LLM) を用いて攻撃者を欺き、攻撃手法やインフラを暴露させる、説得力のある偽システムの作成が、この手法により可能となる。

AI-Powered サイバー攻撃：MITRE ATT&CK と合致する悪意のアクティビティとは？

AI-Powered Cyber Attacks Utilize ML Algorithms to Deploy Malware and Circumvent Traditional Security

2025/07/25 gbhackers — 急速に変化する脅威環境において、人工知能 (AI) と機械学習 (ML) を悪用する攻撃者たちは、従来の防御を上回る極めて複雑な攻撃を可能にし始めている。ハイブリッド・クラウドに関する Gigamon のセキュリティ調査によると、世界中の 1,000 人以上の Srcurity／IT リーダーのうちの 59% が、AI を悪用するスミッシング／フィッシング／ランサムウェアなどの攻撃の急増を報告している。

Google Form と Apps Script が攻撃ベクター：１クリックで詐欺サイトに接続

Hackers Leverage Google Forms Surveys to Trick Victims into Stealing Cryptocurrency

2025/07/25 CyberSecurityNews — スムーズなデータ収集手段として高い評価を得ている Google Form だが、2024年末に検出されてから 2025 Q2 にかけて急増した、暗号通貨フィッシング攻撃の意外な拠点となっている。この攻撃は、正規を装う forms.gle リンクを取り込んだ、迷惑メールの受信から始まるが、このリンクは、ほとんどのスパム・フィルターを容易に回避していく。それに続いて、メールの受信者が悪意のリンクを開くと、有名な仮想通貨取引所を装う Google フォームが表示され “1.275 BTC の支払いが保留中” というメッセージが表示される。

脅威アクター Mimo の戦術拡大：GSocket C2 により Magento や Docker から機密情報を窃取

Threat Actor Mimo Attacking Magento CMS to Steal Card Details and Bandwidth Monetization

2025/07/24 CyberSecurityNews — これまで、Craft CMS を標的としてきた悪名高い脅威アクター Mimo が、Magento の eコマース・プラットフォームへの侵入活動を大幅に進化させており、サイバー・セキュリティ環境は新たな脅威に直面することになった。この活動の拡大が示すのは、日常的に金融データ情報を処理する高価値ターゲットへの危険なシフトであり、Mimo グループの犯罪活動が、懸念すべきエスカレーションを遂げていることを意味する。

VMware vSphere を攻撃する UNC3944：ESXi Host 上の SSH を介した巧妙な侵入

UNC3944 Attacking VMware vSphere and Enabling SSH on ESXi Hosts to Reset ‘root’ Passwords

2025/07/24 CyberSecurityNews — UNC3944 という金銭目的の脅威組織について確認されたのは、小売／航空／保険などの業界の VMware vSphere 環境を標的とする高度なサイバー・キャンペーンの展開と、”0ktapus”／”Octo Tempest”／”Scattered Spider” との関連性である。この攻撃者が採用する手口は、ソーシャル・エンジニアリングとハイパーバイザー・レベルへの攻撃の併用であるという。米国の小売業界に対する攻撃が激化しているという FBI の警告を受けて、2025年半ばに Google Threat Intelligence Group (GITG) が、このキャンペーンを分析／特定した。

WordPress Gravity Forms への侵害：公式 Web サイトのインストール・イメージが汚染された

WordPress Gravity Forms developer hacked to push backdoored plugins

2025/07/11 BleepingComputer — WordPress の人気プラグインである Gravity Forms が、サプライチェーン攻撃とみられるインシデントにより侵害された。公式 Web サイトから手動でインストールされたパッケージに、バックドアが仕込まれるという攻撃が発生したことになる。Gravity Forms は有料プラグインであり、コンタクトフォーム／決済フォームなどのオンラインフォームを作成するために活用されている。ベンダの統計データによると、この製品は約 100 万の Web サイトにインストールされており、その中に含まれるものには、Airbnb／Nike／ESPN／UNICEF／Google／Yale などの著名サイトもある。

VS Code エクステンションを介したサプライチェーン攻撃：blockchain エコシステムに深刻な懸念

Supply Chain Attack Unleashed via Compromised VS Code Extension

2025/07/09 gbhackers — 約6,000件のインストール実績を有する、正規の Visual Studio Code エクステンション ETHcode が侵害され、暗号資産開発者を標的とする高度なサプライチェーン攻撃が発生した。この攻撃は、悪意の GitHub プル・リクエストを介して引き起こされたものであり、信頼された開発ツールを最小限のコード変更により武器化する、脅威アクターの手口を示している。この攻撃により、blockchain エコシステムにおける、OSS ソフトウェアのセキュリティに対して、深刻な懸念が浮上している。

Infostealers-as-a-Service の台頭：攻撃のスキルとコストを低減し成功率を劇的に高める

Infostealers-as-a-Service Push Identity Hacks to Record Highs

2025/07/08 hackread — ユーザーのログイン情報／個人情報を標的とするサイバー攻撃を 156% も急増させ、オフィス／リモート・ワーカーの双方に影響を及ぼす、高度なインフォスティーラー／フィッシング・ツールキットの台頭を、eSentire のサイバーセキュリティ研究者たちが指摘している。それらの攻撃者は、ログイン情報およびセッション・クッキーの窃取に注力しており、その先にある、Business Email Compromise (BEC) や暗号通貨窃盗といった金融犯罪につなげていると、eSentire のレポートは指摘している。

Chrome の武器化された Extension 群：アップデートにより悪意へと変貌し 170 万人を騙す

Weaponized Chrome Extension from Webstore With Verification Badge Infected 1.7 Million Users

2025/07/08 CyberSecurityNews — Chrome ユーザー 170万人以上を感染させた、高度なマルウェア攻撃キャンペーンは、正当に見える 11個のブラウザ・エクステンションを配布するものだった。それらの、すべてのエクステンションは、Google による認証済みバッジを取得し、Chrome Web Store において注目の広告として掲載されていた。このインシデントは、最大級のブラウザ・ハイジャック攻撃であり、ユーザーが安全なエクステンションを見分けるための信頼シグナルが、悪用されたことになる。なお、この “Malicious11” キャンペーンを発見したのは、Koi Security のサイバー・セキュリティ研究者たちである。

PDF／QR Code を武器化：Microsoft／DocuSign／Dropbox などを装うフィッシング攻撃に要注意

Threat Actors Weaponize PDFs to Impersonate Microsoft, DocuSign, Dropbox and More in Phishing Attack

2025/07/03 CyberSecurityNews — PDF 添付ファイルを攻撃手段とする、サイバー犯罪が大幅に増加している。この信頼性の高いドキュメント形式を悪用する脅威アクターたちが、Microsoft／DocuSign／Dropbox／PayPal／Adobe といった大手ブランドを装い、巧妙なフィッシング攻撃を展開している。それらの攻撃は、PDF ドキュメントに対してユーザーが抱く、広範な信頼を悪用するものであり、本来は安全であるはずのファイル共有手段が、認証情報の窃取や金融詐欺の入口として機能している。

LNK ファイル攻撃が 50% も急増：４種類のマルウェア・カテゴリーを特定／分析する

Surge in LNK File Weaponization by 50%, Fueling Four Major Malware Types

2025/07/03 gbhackers — Palo Alto – Unit 42 のテレメトリ・データによると、マルウェア配布における Windows ショートカット (LNK) ファイルの武器化が前年から 50% も増加し、悪意の LNK サンプルは、2023年の 21,098 件から 2024年の 68,392 件へと急増しているという。本来の LNK ファイルは、複雑なフォルダ構造をナビゲートせずに、ファイルやアプリケーションへアクセスするための仮想リンクとして使用されるが、その柔軟性からサイバー犯罪者にとっても、強力な攻撃ツールとなっている。

FileFix の進化：Windows のブラウザ機能を悪用する Mark-of-the-Web 回避

FileFix Attack Exploits Windows Browser Features to Bypass Mark-of-the-Web Protection

2025/07/02 CyberSecurityNews — 2025年7月に出現した、洗練された新たなサイバー攻撃の亜種は、Chrome／Microsoft Edge の Web ページ保存機能に存在する、深刻な脆弱性を悪用するものだ。この、FileFix 2.0 と呼ばれる攻撃は、ブラウザの正規保存メカニズムと、HTML Application (HTA) 実行を組み合わせることで、Windows の Mark of the Web (MOTW) セキュリティ機能を回避するものだ。

米国のサイバー・セキュリティ機関からの警告：OT インフラを標的とするイラン APT の戦略について

U.S. Agencies Warn of Rising Iranian Cyberattacks on Defense, OT Networks, and Critical Infrastructure

2025/06/30 TheHackerNews — 米国のサイバー・セキュリティ機関と情報機関が発したのは、イラン政府が支援／関与する脅威アクターによる、潜在的なサイバー攻撃についての共同で警告である。これまでの数ヶ月間において、ハクティビストおよびイラン政府に関連するアクターたちによる活動が増加している。そして、最近の紛争により、さらにエスカレートする可能性があると、それらの機関は述べている。

ConnectWise コンフィグを悪用する EvilConwi マルウェア：Authenticode スタッフィング攻撃とは？

Threat Actors Abuse ConnectWise Configuration to Build a Signed Malware

2025/06/24 CyberSecurityNews — 正規の ConnectWise リモート・アクセス・ソフトウェアを悪用し、有効な署名を持つ悪意のアプリケーションを作成するという、高度なマルウェア攻撃が出現した。このマルウェアが示すのは、サイバー犯罪の戦術の大きな進化である。2025年3月以降において、セキュリティ研究者たちが確認しているのは、EvilConwi と呼ばれる手法を用いる攻撃の急増である。それは、ConnectWise アプリケーションの正規のデジタル署名を維持する攻撃者に対して、カスタムなリモート・アクセス・マルウェアの作成を許す手法である。

イランからのサイバー攻撃に備える：この数年の攻撃活動と心理操作を分析

Report: Iranian hackers are trying to create a psychological war in cyberspace

2025/06/24 nextgov — 全集にイランとイスラエルの緊張が頂点に達したことを受け、テヘランと連携するハッカーによるサイバー攻撃に備えるよう、当局は国民に対して警告を発した。米国政府機関や専門家たちは、世界各地で長年にわたり重要インフラ基盤の破壊を試行してきた、イランによるサイバー侵入の事例を踏まえ、サイバー空間における脅威に焦点を当てた声明を述べている。