Literacy – Page 36 – IoT OT Security News

Conti 解体新書：研究開発部／人事部を有するグローバル RaaS 産業に成長

Conti effectively created an extortion-oriented IT company, says Group-IB

2022/06/23 HelpNetSecurity — Group-IB の最新レポートによると、ランサムウェア・グループ Conti は、わずか１か月ほどで世界中の 40以上の企業を侵害し、最速の攻撃は３日で完了しているという。このレポートは、頻発するランサムウェア攻撃において、最も活発な組織 Conti の仕組みを詳述している。Conti は、この２年間で、企業／政府機関／国全体 (コスタリカ) を含む 850以上の被害者を生み出している。

API セキュリティ調査：全インシデントに占める割合は 4.1〜7.5％

One in every 13 incidents blamed on API insecurity – report

2022/06/22 DailySwig — サイバー・セキュリティ・インシデントの原因のうち、API の不安定さが 4.1〜7.5％を占めていることが、最新の研究により明らかになった。Marsh McLennan Cyber Risk Analytics Center が実施した調査は、約11万7000件のユニークなサイバー・セキュリティ・インシデントの分析をベースにしたものであり、大企業ほど API 関連のインシデントが増加する傾向にあることが、統計的に判明している。大企業は、中小企業と比べて３〜４倍も、API セキュリティ問題を経験する可能性が高かったのである。

オープンソース・ソフトウェアと脆弱性の関係：実際に攻撃可能なものは３％に過ぎない

Only 3% of Open Source Software Bugs Are Actually Attackable, Researchers Say

2022/06/25 DarkReading — ソフトウェア・サプライチェーンにおけるセキュリティ・リスクが高まる中、脆弱性管理の作業負荷が増大しているが、今日の Shiftleft レポートでは、現存の脆弱性のうち、実際に攻撃者が到達可能なものは約３%に過ぎないことが示されている。このデータは、アプリケーション・セキュリティ (appsec) の専門家と開発者たちが、攻撃可能な脆弱性の修正と軽減に注力すれば、チームの負担を劇的に軽減できることを示唆している。

NSA が Windows PowerShell 活用を提言：適正な利用により防御側の武器になる！

NSA shares tips on securing Windows devices with PowerShell

2022/06/22 BleepingComputer — 今日、National Security Agency (NSA) とサイバーセキュリティ・パートナー機関はシステム管理者たちに対して、Windows マシン上における悪意のアクティビティ防止／検出に PowerShell の使用を推奨するアドバイザリーを発表した。PowerShell は、サイバー攻撃で頻繁に使用され、主に侵入後の段階で悪用されているが、Microsoft の自動化およびコンフィグレーション・ツールに組み込まれたセキュリティ機能は、防御側のフォレンジック作業やインシデント対応の改善や、反復タスクの自動化にも有効とされる。

7-zip のセキュリティが強化：インターネットからのファイルに Mark-of-the-Web 識別子を付与

7-zip now supports Windows ‘Mark-of-the-Web’ security feature

2022/06/21 BleepingComputer — 7-zip は長年の要望に応え、Windows のセキュリティ機能である Mark-of-the-Web のサポートを追加し、悪意のダウンロード・ファイルに対する保護を強化した。それにより、Windows は、Web からダウンロードされた Mark-of-the-Web (MoTW) と呼ばれるドキュメントや実行ファイルに対して、’Zone.Id’ 代替データストリームを追加する。

Adobe Acrobat の問題：アンチ・ウィルス製品による PDF ファイル・モニタリングをブロック？

Adobe Acrobat may block antivirus tools from monitoring PDF files

2022/06/21 BleepingComputer — セキュリティ研究者たちは、Adobe Acrobat がアンチウィルス・ソフトウェアをブロックし、PDF ファイルをオープンする際の、セキュリティ的な可視化を拒否していることを発見し、ユーザーにリスクを生じさせることを明らかにした。Adobe の製品は、30 種類のセキュリティ製品のコンポーネントの、プロセスへのロードの有無をチェックしており、また、それらをブロックすることで、悪意のアクティビティ監視を本質的に拒否している。

リモート・ファーストの世界とランサムウェア：VPN 依存からの脱却は不可欠？

Mitigate Ransomware in a Remote-First World

2022/06/21 TheHackerNews — ランサムウェアは、長年にわたって、サイバー・セキュリティ・チームにとって悩みの種として存在している。リモート・ワークやハイブリッド・ワークへの移行に伴い、この陰湿な脅威は、あらゆる組織にとってさらに大きな課題となっている。2021年は、多種多様な攻撃／多大な金銭的／経済的影響／組織側の多様な防御方法といった、ランサムウェアのケース・スタディの年となった。これらの攻撃から得られた教訓は、ランサムウェアのリスクを軽減するための、今後のセキュリティ戦略に活かせるものだと捉えるべきだ。組織は進化し続けるため、セキュリティ戦略も進化すべきなのだ。

Windows Server の VPN／RDP／RRAS 接続に問題：6月の Patch Tuesday が悪さをしている？

Recent Windows Server updates break VPN, RDP, RRAS connections

2022/06/20 BleepingComputer — 今月の Windows Server アップデートは、Routing and Remote Access Service (RRAS) を有効にしたサーバにおける VPN／RDP 接続などで、さまざまな問題を引き起こしているようだ。RRAS とは、VPN およびダイヤルアップ接続を用いた、リモート・アクセスやサイト間の接続などの、追加の TCP 接続およびルーティングの機能を提供する Windows サービスである。

Google Project Zero の解説：５年前の Safari の脆弱性 CVE-2022-22620 が悪用された理由

Google Researchers Detail 5-Year-Old Apple Safari Vulnerability Exploited in the Wild

2022/06/20 TheHackerNews — Google Project Zero の最新レポートによると、今年の初めに野放しで悪用されていた Apple Safari のセキュリティ欠陥は、もともと2013年に修正され、2016年12月に改めて問題とされたものだ。この脆弱性 CVE-2022-22620 (CVSS : 8.8) は、WebKit コンポーネントの use-after-free に起因するものであり、特別に細工された Web コンテンツの一部により悪用され、任意のコード実行を許す可能性があるというものだ。

Google Chrome フィンガープリントという問題：エクステンションの種類からユーザー追跡ハッシュの取得が可能

Google Chrome extensions can be fingerprinted to track you online

2022/06/19 BleepingComputer — ある研究者が、ユーザーの追跡を可能にするフィンガープリントを、ユーザーのデバイスにインストールされている Google Chrome のエクステンションから取得する Web サイトを公開した。 Web 上のユーザーの追跡を可能にするフィンガープリントは、つまり追跡用ハッシュは、Web サイトにアクセスするデバイスの、さまざまな特性をベースに生成される。このデバイスの特性には、GPUの性能／インストールされている Windows アプリケーション／デバイスの画面解像度／ハードウェア構成／インストールされているフォントなどが含まれる。さらに、同じ方式を使用して、複数のサイトでデバイスを追跡することも可能になる。

Sophos Firewall のゼロデイ脆弱性 CVE-2022-1040：中国の DriftingCloud APT が修正前に悪用

Chinese DriftingCloud APT exploited Sophos Firewall Zero-Day before it was fixed

2022/06/17 SecurityAffairs — Volexity の研究者たちは、Sophos Firewall のゼロデイ脆弱性が中国の脅威アクターにより悪用され、ターゲットとされた企業のクラウド・ホスト Web サーバが侵害されていたことを発見した。この脆弱性 CVE-2022-1040 は、Sophos が修正する数週間前に中国の攻撃者に悪用され、ターゲットのシステムに Web シェルがドロップされていた。2022年3月25日に Sophos は、Sophos Firewall のユーザー・ポータル／Webadmin エリアに存在する、この認証バイパスの脆弱性を修正したと発表している。なお、脆弱性 CVE-2022-1040 (CVSS：9.8) は、Sophos Firewall 18.5 MR3 (18.5.3) 以前のバージョンに影響を及ぼす。

BeanVPN の 2500 万人分のデータが流出：ポリシー違反の ElasticSearch が放置されている

25 million free VPN user records exposed

2022/06/15 CyberNews — 無料の VPN ソフトウェアが、18GB 以上の接続ログを公開／放置するというインシデントがあった。このデータベースを悪用する脅威アクターたちにより、ユーザーや居場所の特定がや可能になるかもしれない。Cybernews チームは、BeanVPN アプリにより生成された、18.5GBの接続ログなどを取り込んだオープンなデータベースを発見した。このデータセットには、ユーザー・デバイス／Play Service ID／IP アドレス／接続タイムスタンプなどの診断情報を含む、2500万件以上のレコードが含まれていた。

Microsoft 警告：６月の Patch Tuesday を適用した Windows Server にバックアップの問題が？

Microsoft: June Windows Server updates may cause backup issues

2022/06/15 BleepingComputer — Microsoft の発表によると、６月の Patch Tuesday の Windows 更新プログラムを適用した後に、一部のアプリケーションにおいて、Volume Shadow Copy Service (VSS) を用いたデータ・バックアップに失敗する可能性があるようだ。この問題は、Microsoft File Server Shadow Copy Agent Service (RVSS) の権限昇格の脆弱性 CVE-2022-30154 に対処する導入された、セキュリティ強化に起因するとされる。

Dark Web Price Index 2022：潜入調査で明らかにされた商品相場と価格動向

Let’s give a look at the Dark Web Price Index 2022

2022/06/15 SecurityAffairs — Privacy Affairs は、ブラック・マーケットで入手できる違法なサービス／製品の価格を分析し、2021年2月〜2022年6月を対象期間とする調査結果を発表した。このドキュメントは、Dark Web Index 2022 レポートで提供された情報を更新したものである。今年のインデックスの例を見ていこう。Mastercard (PIN 付き) のクローン情報は、2021年の $25 から $20 に引き下げられている。American Express (PIN 付き) のクローン情報も、2021年の $35 から $25 に引き下げられている。

Microsoft の定例６月パッチは重要：Follina 以外にも深刻な RCE 情報が満載

Microsoft Patches ‘Follina’ Zero-Day Flaw in Monthly Security Update

2022/06/15 DarkReading — 今日、Microsoft は、6月にスケジュールされたセキュリティ更新プログラムの一環として、Microsoft Support Diagnostic Tool (MSDT) に存在し、広く悪用されているゼロデイ脆弱性 Follina に対するパッチを発行した。このパッチは、同社が製品ポートフォリオ全体の脆弱性に対処するために公開した、合計で 60件のセキュリティ更新プログラムの中で、重要のものとなる。

2022年の認証情報を考える：240 億件以上のパスワードセットが闇取引されている現状とは？

24+ Billion Credentials Circulating on the Dark Web in 2022 — So Far

2022/06/15 DarkReading — パスワードレス技術は、いまのサイバー・セキュリティ部門で最も注目されている分野のひとつだと思われるが、現場では未だにパスワードが広く利用されおり、安全性が非常に低いという現実が存在する。ある報告書によると、サイバー犯罪者のマーケット・プレイスで流通しているユーザー名／パスワードのセットは、今年の時点で 246億件にのぼることが判明している。これは、地球上のすべての人に４セットの認証情報があることを示し、前回の 2020年の調査と比較して 65％増加している。

Google の視点：SBOM を適切に機能させるには脆弱性情報とのマッピングが不可欠

Google: SBOMs Effective Only if They Map to Known Vulns

2022/06/15 DarkReading — Software bills of materials (SBOMs) は、製品を構築するために使用されるコンポーネント／モジュール／ライブラリの詳細なリストであり、消費者のためのサプライチェーンにおけるサイバー・セキュリティ・リスクを低減する方法として、National Institute of Standards and Technology (NIST) や米国の規制当局により支持されている。

BlackCat の新手法：情報のリーク先がパブリック・インターネットに切り替わった

Ransomware gang publishes stolen victim data on the public Internet

2022/06/15 HelpNetSecurity — BlackCat (Alphv) ランサムウェア・グループは、被害者の組織から盗み出した従業員や顧客の機密データをクリアネット (パブリック・インターネット) サイトに掲載し、侵入後に沈黙を守る企業に対して支払いを迫るという新しい戦術を試みている。また、以前のランサムウェア・ギャングと同様に、漏洩した情報を用いて被害者である個人とダイレクトに連絡を取り、「オンライン検索が可能な誰もが、対象となる個人情報／財務情報／医療情報などが入手できる」と、通知しているものと思われる。

Google Play に潜む Android マルウェア：いまも生き続ける悪意のアプリ５点を暴く

Android malware on the Google Play Store gets 2 million downloads

2022/06/14 BleepingComputer — 先月にサイバー・セキュリティ研究者たちは、Google Play ストアに潜むアドウェアや情報窃取マルウェアを発見している。そのうちの、少なくとも５つのマルウェアは依然として生きており、200 万以上のダウンロードに到達していることが明らかにされた。アドウェア感染とは、煩わしく不要な広告を表示させるものであり、ユーザー・エクスペリエンスの低下／バッテリー消耗／デバイスの発熱／不正な請求などを引き起こす可能性がある。

Cloudflare 報告：毎秒 2600万リクエストの HTTPS DDoS 攻撃を緩和した

Cloudflare mitigates record-breaking HTTPS DDoS attack

2022/06/14 BleepingComputer — 今日の発表で、インターネット・インフラ企業である Cloudflare は、これまでに検知された中で最大となる HTTPS DDoS 攻撃である、毎秒 2600万リクエスト (rps) の分散型サービス妨害 (DDoS) 攻撃を緩和したことを明らかにした。この記録的な攻撃は先週に発生し、Cloudflare のフリープランを利用している顧客 (１社のみ) が標的にされたという。

Travis-CI API からの OAuth トークン流出：GitHub や AWS S3 に影響が生じた理由が判明

Unpatched Travis CI API Bug Exposes Thousands of Secret User Access Tokens

2022/06/14 TheHackerNews — Travis-CI API における未パッチの脆弱性により、数万人のユーザー・トークンが潜在的な攻撃にさらされ、脅威アクターによるクラウド・インフラの侵害／不正なコード変更／サプライチェーン攻撃がなど事実上可能になっている。クラウド・セキュリティ企業である Aqua の研究者たちは、月曜日のレポートの中で「無料ユーザーの 7億 7000万件以上のログが公開され、そこから GitHub／AWS／Docker Hubといった人気のクラウドサービス・プロバイダーに関連する、トークン／機密情報／認証情報などが容易に抽出できる」と述べている。

Syslogk という Linux Rootkit：リモートから Magic Packet を介してバックドアを制御する

New Syslogk Linux Rootkit Lets Attackers Remotely Command It Using “Magic Packets”

2022/06/14 TheHackerNews — Syslogk という名の新しい Linux カーネル rootkit は、リモートから魔法のネットワーク・トラフィック・パケットを操る敵対者が、悪意のペイロードの隠蔽まで可能にすることが明らかになった。月曜日に Avast のセキュリティ研究者である David Álvarez と Jan Neduchal は、「Syslogk rootkit は Adore-Ng をベースにしているが、新しい機能が組み込まれており、ユーザーモード・アプリケーションとカーネル rootkit の検出を困難にしている」とレポートの中で語っている。

API セキュリティのベスト・プラクティス：攻撃トラフィック量が 681% 増加という現実

API Security Best Practices

2022/06/14 SecurityAffairs — ユーザー組織におけるエコシステムは、API を介して急速にオープン化され、データへのシームレスなアクセスや、外部のソフトウェア・コンポーネント／サービスとの相互作用が保証されるようになってきた。API とは、組織内のデータに対して、高度なセキュリティを提供するためのゲートウェイである。また API は、異なるアプリケーション間における通信を可能にすることで、タスクの自動化などを実現し、業務を容易にする。しかし、組織はデータを保護するために、API に対する攻撃から身を守る必要性に常に直面している。

PureCrypter マルウエア・ローダー：$59／月で MS Office 初期感染キットも提供

Researchers Detail PureCrypter Loader Cyber Criminals Using to Distribute Malware

2022/06/14 TheHackerNews — サイバー・セキュリティ研究者たちは、PureCrypter と呼ばれるマルウェア・ローダーの、完成度の高い機能と仕組みについて詳細を説明している。このローダーは、サイバー犯罪者たちにより購入され、RAT (remote access trojans (RATs) や、情報スティーラーを配信するために使用されている。Zscaler の Roman Dumont は最新レポートで、「このローダーは、SmartAssembly で難読化された .NET 実行ファイルであり、圧縮／暗号化／難読化を利用してアンチウイルス・ソフトウェア製品による検出を回避する」と述べている。

(IN)SECURE Magazine の RSA Conference 2022 特別号

(IN)SECURE Magazine: RSAC 2022 special issue released

2022/06/14 HelpNetSecurity — RSA Conference 31st は、Moscone Center in San Francisco で開催され、6月10日に幕を閉じた。今年の RSA Conference で議論されたのは、プライバシーと監視をめぐる問題／機械学習と人工知能のプラスとマイナスの影響／リスクとポリシーのニュアンス／暗号とブロックチェーンをめぐるサイバー・セキュリティ・イノベーションといった、いくつかの差し迫ったトピックについてである。

Microsoft 警告：Exchange Server のハッキングにより BlackCat ランサムウェアが広まっている

Microsoft: Exchange servers hacked to deploy BlackCat ransomware

2022/06/13 BleepingComputer — Microsoft によると、BlackCat ランサムウェアのアフィリエイトが、未パッチの脆弱性を狙うエクスプロイトを用いて、Microsoft Exchange サーバーを攻撃しているとのことだ。Microsoft のセキュリティ専門家が観察した１つの事例では、攻撃者は被害者のネットワークをゆっくりと移動し、認証情報を盗んで情報を流出させ、二重の恐喝に利用しているようだ。最初の侵害から２週間後に、この脅威者は、パッチの適用されていない Exchange サーバーを侵入経路とし、PsExec を介してネットワーク全体に BlackCat ランサムウェアのペイロードを展開させた。

Syslogk という Linux rootkit は危険：驚異的なスティルス性でバックドアを自在に制御

New Syslogk Linux rootkit uses magic packets to trigger backdoor

2022/06/13 BleepingComputer — Syslogk という名の新たな Linux rootkit マルウェアは、悪意のあるプロセスを隠すために使用されており、特別に細工された magic packets を用いて、デバイス上で眠っているバックドアを目覚めさせる。現時点において、このマルウェアは活発に開発が進められている。その作者は、古いオープンソースの rootkit である Adore-Ng をベースに、プロジェクトを進めているようだ。

PyPI パッケージ keep に含まれるタイプミス：悪意の依存関係とパスワード窃取

PyPI package ‘keep’ mistakenly included a password stealer

2022/06/12 BleepingComputer — PyPI パッケージである keep／pyanxdns／api-res-py の一部のバージョンには、悪意の request との依存関係が存在するため、バックドアが含まれることが判明した。たとえば、keep プロジェクトの大半のバージョンでは、HTTP リクエストを行うために正規の Python モジュール requests を使用しているが、keep v.1.2 にはマルウェアである request (s なし) が含まれている。BleepingComputer は、これが単なる誤植なのか自作自演なのか、それとも、メンテナ・アカウントの乗っ取りによるものなのかを確認するため、それぞれのパッケージの作者に問い合わせた。

Symbiote マルウエアの詳細：金融業界の Linux-Based システムに脅威をもたらす？

Symbiote Malware Poses Stealthy, Linux-Based Threat to Financial Industry

2022/06/11 DarkReading — ステルス性の高い Symbiote という Linux 上の脅威が、ラテン・アメリカの金融機関を標的としている。それにより、すべてのファイル／プロセス／ネットワークのアーティファクトがマルウェアにより隠され、ライブ・フォレンジックによる検出が事実上不可能な状態に陥っている。BlackBerry Research のブログ記事によると、このマルウェアは 2021年11月に露見している。Symbiote が、他の Linux マルウェアと異なる点は、単独で実行可能なファイルを使用して被害を与えるのではなく、実行中のプロセスに感染させるというアプローチにある。

Symbiote という新型 Linux マルウェア：巧妙なカモフラージュにより検出が不可能？

New Linux Malware ‘Nearly Impossible to Detect’

2022/06/11 DarkReading — Linux システムを攻撃する新型マルウェアが、認証情報を盗み出し、カモフラージュしながら被害者のマシンにリモート・アクセスしている。このマルウェアを研究している専門家たちは、それが標的型や大規模型の攻撃キャンペーンで使用されているのかどうか、結論づけられないと述べている。

Deepwatch 調査：38% の専門家が 24 x 365 の SOC カバーは不可能と回答

Only 43% of security pros can respond to critical alerts in less than an hour

2022/06/10 HelpNetSecurity — Deepwatch が発表した State of the Modern SOC レポートにより、ビジネスに被害をおよぼすサイバー攻撃は、より優れた対応能力を備えていれば阻止できたと、ほとんどの IT セキュリティ専門家たちが考えていることが明らかになった。このレポートは、従業員数 1,000 人以上の米国企業に勤務する、300 人以上のセキュリティ専門家を対象に、Dimensional Research が実施した調査の結果に基づく。このレポートによると、IT セキュリティ専門家の 85 %が、不十分な対応手順に起因する予防可能なビジネスへの打撃を経験しており、97 %が、より正確なアラートがあれば脅威対応の自動化への信頼が高まると回答している。

Apple M1 Kernel の脆弱性 PACKMAN：ARM のポインタ認証を狙う攻撃が可能？

Design Weakness Discovered in Apple M1 Kernel Protections

2022/06/10 DarkReading — 今日、セキュリティ研究者たちは、Apple M1 プロセッサに対する、新しい攻撃の形態にについて詳細を発表した。それにより、メモリ破壊攻撃からオペレーティングシステム (OS) のカーネルを保護するための、重要なセキュリティ機能が危殆化するという。この、PACMAN と名付けられた概念実証 (PoC) 攻撃とは、ARM Pointer Authentication (ポインタ認証) を標的とするものであり、ソフトウェアのバグに対する最終防衛ラインとして用いられる、ハードウェア・プロセッサの問題を指す。それが適切に機能しないと、メモリ・ロケーションの内容が破壊され、走っているプログラムの実行フローが乗っ取られ、最終的にはシステムを完全に制御されるという。

Windows の新たな脆弱性 DogWalk を検出：Follina と同様に MSDT に影響する

DogWalk Vulnerability Detection: New Path Traversal Flaw in Microsoft Windows

2022/06/09 SOCPrime — DogWalk と呼ばれる、Microsoft Support Diagnostic Tool (MSDT) のゼロデイ脆弱性が、積極的に悪用されているリモートコード実行の脆弱性 Follina CVE-2022-30190 の直後に発生した。MSDT に影響を与える、深刻なセキュリティ問題である Follina のときと同様に、Microsoft のトラブル・シューターは、この脆弱性が最初に注目されたときに見過ごしており、この文章を書いている時点では、この脆弱性に CVE は割り当てられていない。

Meeting Owl Pro の脆弱性 CVE-2022-31460 が FIX：悪用が始まり CISA も対応を表明

Threat Actors Start Exploiting Meeting Owl Pro Vulnerability Days After Disclosure

2022/06/09 SecurityWeek — 今週の初めから、Owl Labs はビデオ会議デバイスに生じた深刻な脆弱性に対処しているが、すでに脅威アクターたちは悪用し始めている。この脆弱性 CVE-2022-31460 (CVSS 7.4) が、脆弱な Owl デバイスに対して悪用されると、自身が接続している Wi-Fi ネットワーク内の、不正なアクセスポイントにされる可能性が生じる。

IoT アーキテクチャ＠カーネギーメロン大：データ最小化の原則に基づく動作とは？

New Privacy Framework for IoT Devices Gives Users Control Over Data Sharing

2022/06/09 TheHackerNews — プライバシーに配慮した、新たにデザインされたアーキテクチャでは、開発者がデータ共有の懸念に対処し、ユーザーが個人情報を管理できるような方法で、スマートホーム・アプリを作成することが目的となっている。カーネギーメロン大学の研究者たちにより Peekaboo と名付けられたシステムは、「家庭内のハブを活用し、外部のクラウド・サーバーに送信する前に、構造的かつ強制力のある方法で、送信データを前処理して最小化する」と説明されている。

Atlassian Confluence の深刻な脆弱性 CVE-2021-26084 を Linux ボットネットが侵害

Linux botnets now exploit critical Atlassian Confluence bug

2022/06/08 BleepingComputer — Atlassian の Confluence Server／Data Center に存在するリモートコード実行 (RCE) 脆弱性を、複数のボットネットが狙っており、パッチが適用されていない Linux サーバーへの感染が広まっている。この脆弱性 CVE-2021-26084 の悪用に成功した未認証の攻撃者は、新たな管理者アカウントを作成し、コマンドを実行し、インターネットに公開されたサーバーを乗っ取り、最終的にはバックドアとしてリモート操作することが可能となる。

Facebook Messenger で大規模フィッシング：リダイレクト料で数百万米ドルを稼いだようだ

Massive Facebook Messenger phishing operation generates millions

2022/06/08 BleepingComputer — Facebook と Messenger を悪用した大規模なフィッシング・キャンペーンが、研究者たちにより発見された。それは、数百万人のユーザーをフィッシング・ページに誘い込み、アカウント情報を入力させ、広告を表示させるというものである。このキャンペーン運営者たちは、盗んだアカウントから友人たちをたどり、さらにフィッシング・メッセージを送ることにで、オンライン広告手数料から多額の収益を得ていた。

Emotet の最新情報：Google Chrome に保存されるクレジット・カード情報を盗もうとしている

Emotet malware now steals credit cards from Google Chrome users

2022/06/08 BleepingComputer — 現状における Emotet ボットネットは、Google Chrome のユーザー・プロファイルに保存されている、クレジット・カード情報を採取するように設計された・クレジット・カード盗用モジュールを被害者に感染させようとしている。このマルウェアは、クレジットカード情報 (氏名／有効期限／カード番号など) を盗み出した後に、通常の Emotet カード・スティーラー・モジュールが使用するものとは別の、Command and Control (C2) サーバーへと情報を送信する。

Radware 調査：2022 Q1 における DDoS 攻撃と App 攻撃の状況は悲惨だった

Q1 2022 DDoS and Application Attack Activity: An Overview

2022/06/08 SecurityBoulevard — 2022年 Q1 におけるサイバー・セキュリティの脅威の状況は、旧来／新規の敵が混在するものとなった。DDoS の脅威は新たな勢力により支配され、アプリケーション・セキュリティは従来からの攻撃ベクターに直面し続けている。これらの攻撃は、地政学的な不安定さ、ハクティビスト、国民国家の脅威者、新たな脆弱性の悪用にフォーカスする、脅威の状況により大幅に加速されている。2022年 Q1 に発生したネットワーク／アプリケーションに対する攻撃活動の詳細な分析は、Radware 2021-2022 Global Threat Analysis Report で確認できる。以下のハイライトを参照し、驚くべき結果を確認してほしい。

米政府とキプロス警察：SSNDOB という個人情報ブラック・マーケットを押収

US dismantled and seized SSNDOB cybercrime marketplace

2022/06/08 SecurityAffairs — 米国司法省は、米国内の個人が所有する氏名／生年月日／社会保障番号などの個人情報を、不正に提供する一連の Web サイト SSNDOB Marketplace を差し押さえたと発表した。当局によると、SSNDOB Marketplace は、米国内の約 2400万人分の個人情報を掲載し、$19 million USD の利益を計上しているとのことだ。この国際作戦は、FBI／DoJ／Internal Revenue Service と、キプロス警察により実施された。

Cybereason のランサムウェア調査：リピーター被害者になる企業が 80% に達した

It Doesn’t Pay to Pay: Study Finds Eighty Percent of Ransomware Victims Attacked Again

2022/06/08 SecurityWeek — 支払うことはない。この、ランサムウェア支払いに関するアドバイスは、よく言われるものであるが、その事例が列挙されることは殆どなかった。それが、ようやく実現した。新しい調査によると、身代金を支払った企業の 80％が２回目の被害に遭い、40％が再び支払っていることが分かった。そのうちの 70% は、２回目のほうが高額の身代金を支払っている。

ThreatLabz 調査：ランサムウェア攻撃は前年比で 80% 増で手口も多様化

Ransomware attacks setting new records

2022/06/07 HelpNetSecurity — Zscaler は、毎年恒例の ThreatLabz Ransomware Report の調査結果を発表し、ランサムウェア攻撃が前年比で80%増加したことを明らかにした。2022年に最も広まったランサムウェアのトレンドとしては、二重脅迫／サプライチェーン攻撃／RaaS／リブランディング／地政学的扇動などが挙げられている。このレポートでは、サイバー犯罪者に最も狙われている業界の詳細や、二重脅迫やサプライチェーン攻撃による被害などが説明され、現在活動している最も活発なランサムウェアグループが紹介されている。

Pegasus Airline から漏洩した 6.5TB の機密情報：CSPM があれば AWS S3 バケットを守れたのか？

6.5TB of Sensitive Data Flies Away in Airline Cloud Data Breach

2022/06/07 SecurityBoulevard — つい先日のこと、Pegasus Airline は大規模なAWSデータ侵害に見舞われ、6.5TB のデータを危険にさらすことになった。最終的に、乗務員の個人情報／平文パスワード／秘密鍵／ソースコードなどの機密情報を含む、2300万件のファイルが公開されてしまった。犯人と思われるのは、悪名高い S3 バケット問題である。

SBoM 支持の CISA／OpenSSF／OWASP：ソフトウェア・サプライチェーンのリスクを軽減

Gathering Momentum: 3 Steps Forward to Expand SBoM Use

2022/06/06 DarkReading — IT 環境における Software Bills of Materials (SBoM) の普及を求める声は大きくなっているが、アプリケーション・ポートフォリオで使用されている、ソフトウェア・コンポーネントの追跡のために SBoM を一貫して導入している組織は、相対的に少ないという現実がある。

Windows のゼロデイ脆弱性 Follina：フィッシング攻撃で積極的に悪用されている

Windows zero-day exploited in US local govt phishing attacks

2022/06/06 BleepingComputer — 欧州政府および米国の地方自治体が、Windows の深刻なゼロデイ脆弱性 Follina を悪用する、RTF 文書を介したフィッシング・キャンペーンのターゲットになっている。BleepingComputer は、このキャンペーンの標的となった、少なくとも２つの米国の地方自治体を確認している。エンタープライズ・セキュリティ企業 Proofpoint のセキュリティ研究者は、「Proofpoint は、脆弱性 Follina CVE-2022-30190 を悪用しようとする、欧州政府および米国の地方政府を標的とした、国家ぐるみのフィッシング・キャンペーンをブロックした」と明かしている。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用までの対応を詳述する

Actively Exploited Atlassian Zero-Day Bug Allows Full System Takeover

2022/06/04 DarkReading — UPDATE — Atlassian Confluence の深刻な脆弱性を悪用する攻撃が多発しており、サーバーが完全に乗っ取られる可能性があると、セキュリティ研究者たちが警告している。この脆弱性 CVE-2022-26134 は、未認証のリモート・コード実行を可能にするコマンド・インジェクションの問題であり、Confluence Server／Confluence Data Center のすべての現行バージョンに影響を及ぼす。Volexity による、２つのゼロデイ攻撃に関するフォレンジック調査では、特別に細工した Web リクエストを Confluence のシステムに送信するだけで、認証情報やユーザーの操作を必要とせずに、攻撃者による悪用が成功する可能性があるとのことだ。なお、Atlassian Cloud サイトに影響はない — UPDATE

Apple App Store の 2021年：160万件の危険／脆弱なアプリの配信が阻止された

Apple blocked 1.6 millions apps from defrauding users in 2021

2022/06/04 BleepingComputer — 今週、Apple App Store のアプリ審査チームは、2021年に申請された iOS アプリについて、343,000 件以上がプライバシー違反でブロックされ、157,000 件が詐欺／スパムの理由で却下されたと発表した。さらに App Store では、34,500 件以上のアプリが、文書化されていない機能や隠し機能を理由にブロックされ、155,000件のアプリが、承認後に新しい機能／性能を追加したことなどで削除されている。2021年を通じて App Review チームは、160 万件以上の危険／脆弱なアプリの追加やアップデートを阻止している。

Evil の新たな戦略：LockBit ランサムウェアの運用により制裁を逃れる？

Evil Corp switches to LockBit ransomware to evade sanctions

2022/06/02 BleepingComputer — 現時点におけるサイバー犯罪グループ Evil Corp は、米国財務省外国資産管理局 (OFAC：Office of Foreign Assets Control) が課す制裁を回避するため、ランサムウェア LockBit を標的ネットワークに展開する方法へと、切り替えていることが明らかになった。2007年から活動している Evil Corp (INDRIK SPIDER／ Dridex) は、Dridex マルウェアを展開した後にランサムウェアをビジネスへと転換した、パイオニアとして知られている。

RaaS ギャングとアクセス・ブローカーの緊密な関係：深化するエコシステムを追跡

Access Brokers and Ransomware-as-a-Service Gangs Tighten Relationships

2022/06/02 SecurityWeek — ここ数年、ダークウェブ・ウォッチャーたちは、サイバー犯罪集団の専門性の高まりに注目している。脅威アクターたちは、利益を最大化するための業務の効率化という目的のもとに、うまく組織化されている。アクセス・ブローカーと Ransomware-as-a-Service (RaaS) グループがより密接な関係になっていることは、明らかな進展である。

ウクライナの不安定化を狙うロシア：サイバー空間での戦いに “Z” は失敗している

Russia is ‘failing’ in its mission to destabilize Ukraine’s networks after a series of thwarted cyber-attacks

2022/06/02 DailySwig — ウクライナのサイバー耐性を揺るがすという任務に、ロシアは失敗している。言い換えるなら、ウクライナは、同国は圧制者からのサイバー攻撃をうまく阻止し続けている。これは、今週に開催された WithSecure の Sphere Conference で得られた教訓であり、同社の CRO である Mikko Hyppönen は、「プーチン政権は、ほぼ失敗している」と出席者に伝えた。