Malware – Page 10 – IoT OT Security News

Chameleon という Android マルウエア：バイオメトリック・プロンプトをバイパス

Chameleon Android Malware Can Bypass Biometric Security

2023/12/22 SecurityWeek — Chameleon という Android バンキング型トロイの木馬のは、新しいバイパス機能を備えており、その標的地域を拡大していると、オンライン詐欺検出会社 ThreatFabric が報告している。この、2023年初頭から活動しているマルウェアは、オーストラリアとポーランドのモバイル・バンキング・アプリケーションを標的化するところから始まり、その後にはイギリスとイタリアにまで、その侵害の範囲を広げている。

悪意の VPN Chrome エクステンション：すでに 150万回インストールされている

Fake VPN Chrome extensions force-installed 1.5 million times

2023/12/22 BleepingComputer — VPN (Virtual Private Networks) を装う悪意の Chrome エクステンションが、150万回もダウンロードされていることが判明した。この悪意のエクステンションは、ブラウザ・ハイジャッカー／キャッシュバック・ハックツール／データ・スティーラーとしての、３つの機能を有しているという。この悪質なエクステンションを発見した ReasonLabs によると、それらのエクステンションは、Grand Theft Auto／Assassins Creed／The Sims 4 などの、人気ビデオゲームの海賊版に隠されたインストーラーを介して、多数のサイトから拡散しているという。

Magecart キャンペーンの現状：不正な WordPress プラグインでカード情報を窃取

Rogue WordPress Plugin Exposes E-Commerce Sites to Credit Card Theft

2023/12/22 TheHackerNews — 不正な WordPress プラグインを使用して偽の管理者アカウントを作成し、悪意の JavaScript コードを注入して、クレジットカード情報を窃取するキャンペーンが発見された。このスキミング行為は、ｅコマース・サイトを標的とした Magecart キャンペーンの一環である。Sucuri のセキュリティ研究者である Ben Martin は、「このプラグインには、他の多くの悪意の WordPress プラグインと同様に、ファイルの先頭に正規のものを装うための、いくつかの偽情報が含まれている。今回の場合は、このプラグインが “WordPress Cache Addons” であると主張するコメントが含まれていた」と述べている。

Oracle WebLogic の脆弱性 CVE-2020-14883：8220 Gang がマルウェア配布に悪用

8220 Gang Exploiting Oracle WebLogic Server Vulnerability to Spread Malware

2023/12/19 TheHackerNews — 8220 Gang に関連する脅威アクターが、Oracle WebLogic Server の RCE 脆弱性 CVE-2020-14883 (CVSSスコア：7.2) を悪用して、マルウェアを拡散していることが確認された。Imperva は、先週に発表されたレポートで、「この脆弱性の悪用に成功した、リモートの認証された攻撃者が、ガジェット・チェーンを悪用することで、コードを実行することを可能にするものだ。Oracle WebLogic Server にも影響を与える、認証バイパスの脆弱性 CVE-2020-14882 と連鎖させる悪用が一般的であるが、漏洩／窃取した認証情報や、脆弱な認証情報が使用される場合もある」と詳述している。

GitHub の gists／commits 機能：マルウェアのホストに悪用されている

Unsung GitHub Features Anchor Novel Hacker C2 Infrastructure

2023/12/19 DarkReading — ある GitHub アカウントが、このサイトの２つのユニークな機能を悪用して、ステージ２のマルウェアをホストしていることを、研究者たちが発見した。この、パブリックなサービスが、不正行為の拠点としてハッカーに再利用されることが、最近になって増えてきている。ハッカーたちは、コード・リポジトリやファイル共有サービスにマルウェアを格納し、メッセージング・アプリから Command and Control (C2) を実行することに加えて、SaaS (Software-as-a-Service) プラットフォームを悪用することで、想像もつかないような手口で悪事を働くことがある。

インフォ・スティーラーが台頭した 2023年：一般的なマルウェアとの違いは？

Info Stealers And How To Protect Against Them

2023/12/18 SecurityAffairs — インフォ・スティーラーとは、その名の通り、その他のマルウェアと同様に企業や個人のユーザーを麻痺させる可能性があるものだ。この種のマルウェアを、どのように防御すればよいのだろうか。インフォ・スティーラーは、情報窃盗とも呼ばれ、被害者のコンピュータやネットワークから機密情報や個人情報を密かに収集するように設計された、悪意のマルウェアの一種である。それらのマルウェアは、ログイン情報／財務情報／個人情報などの貴重なデータを盗むことを目的として作成されている。

QakBot の再来：新たなフィッシング・キャンペーンで再び配布されている

Qbot malware returns after this summer’s law enforcement disruption

2023/12/17 BleepingComputer — QakBot マルウェアが、新たなフィッシング・キャンペーンで再び配布されていることが発見された。2023年8月に、Operation Duck Huntと呼ばれる多国籍法執行機関が、QakBot 管理者のサーバにアクセスし、そのインフラを破壊している。それ以来、QakBot の活動は停止していたが、またしても復活したことになる。

Mirai ボットネット Infectedslurs：FXC／QNAP の Router／NVR のゼロデイ脆弱性を悪用

Infectedslurs Botnet Targets QNAP Viostor Nvr Vulnerability

2023/12/17 SecurityAffairs — 2023年11月の時点で Akamai は、InfectedSlurs という新たな Mirai ベースの DDoS ボットネットが、２つのゼロデイ脆弱性を活発に悪用して、Router や NVR (Network Video Recorder) 機器に感染していることを警告していた。このボットネットが研究者たちに発見されたのは 2023年10月だったが、遅くとも 2022年から活動していたと見られている。専門家たちは、これらの２つの脆弱性を個々の製造元に報告していたが、2023年12月に修正プログラムがリリースされる予定だという。 C

GambleForce ハッキング・グループ：Joomla の脆弱性 CVE-2023-23752 などを悪用している

New Threat Actor Uses SQL Injection Attacks to Steal Data From APAC Companies

2023/12/14 SecurityWeek — 脅威ハンティング・インテリジェンス企業 Group-IB のレポートによると、2023年9月以降において新たな脅威アクターが、８カ国 (主に APAC) の 24の組織を標的としているという。この、GambleForce と名付けられたハッキング・グループは、SQL インジェクションを使用し、ギャンブル／旅行／小売／行政などの分野の組織で利用される、Joomla CMS (Content Management System) の脆弱性を悪用して、ユーザー認証データなどの機密情報を盗んできた。

PyPI リポジトリ汚染：116 件の悪意の Python パッケージが発見された

PyPI Poisoned: 116 Malicious Packages Target Windows and Linux

2023/12/12 SecurityOnline — ESET の最新調査により、Python Package Index (PyPI) における脅威の動向が明らかになった。公式リポジトリ内における依存関係を悪用する形で、Windows／Linux を標的とする悪質なコードが大量に展開され、悪意の Python プロジェクトが網の目のように張り巡らされている状況が、この調査で判明した。

Blacksmith という APT オペレーション：Log4J の脆弱性を Lazarus が狙っている

Operation Blacksmith: Lazarus Exploits Log4J Flaws To Deploy Dlang Malware

2023/12/12 SecurityAffairs — 北朝鮮に関連する APT グループ Lazarus が、Log4j の脆弱性を悪用して、これまで文書化されていなかった RAT (remote access trojans) を展開するという、新たなハッキング・キャンペーンを操っている。Cisco Talos の研究者たちは、このキャンペーンを “Operation Blacksmith” として追跡しているが、この国家に支援される脅威アクターは、少なくとも３種類の新たな DLang ベースのマルウェア・ファミリーを採用している。それらのマルウェアのうち２系統は RAT であり、NineRAT と DLRAT という名前で追跡されている。また、NineRAT は、C2 通信のために Telegram のボットとチャンネルに依存している。

AsyncRAT による侵害を解説：持続性のための機能と正規プロセスの悪用

Unmasking the Menace: Trend Micro Exposes AsyncRAT’s Deception

2023/12/11 SecurityOnline — 複雑に入り組んだサイバー脅威のエコシステムの中で、強烈な存在感を放つ AsyncRAT が新たに登場した。この RAT (Remote Access Tool) は、キーロギングや RDP 侵害などのために多彩な機能を提供することが確認されており、さまざまなサイバー・セキュリティ・プラットフォームで大きな注目を集めている。

Pool Party プロセス・インジェクションという手法：主要 EDR ソリューションのバイパスに成功

Bypassing Major Edrs Using Pool Party Process Injection Techniques

2023/12/08 SecurityAffairs — サイバーセキュリティ企業 SafeBreach の研究者たちが、EDR ソリューションをバイパスするプロセス・インジェクションのテクニックを考案した。彼らは、このテクニックを Black Hat Europe 2023 で発表した。SafeBreach の研究者は、あまり調査されていない Windows のスレッド・プールに注目し、プロセス・インジェクションの新しい攻撃ベクターを発見した。

Outlook の脆弱性 CVE-2023-23397：ロシアの APT28 が NATO 攻撃に悪用

Russian military hackers target NATO fast reaction corps

2023/12/07 BleepingComputer — ロシアの APT28 軍事ハッカーは、Microsoft Outlook のゼロデイ脆弱性を利用して、NATO 加盟国の Rapid Deployable Corps をなどを標的としている。ロシアの政府および軍事において、戦略的な諜報活動が重要であると考えられる 14 カ国の、少なくとも 30 の組織に対する３つのキャンペーンで、約20カ月にわたって脆弱性 CVE-2023-23397 が悪用されてきたと、Paro Alto Networks の Unit 42 の研究者たちが指摘している。

LogoFAIL という UEFI の脆弱性：デバイスをステルス・マルウェア攻撃にさらしている

LogoFAIL: UEFI Vulnerabilities Expose Devices to Stealth Malware Attacks

2023/12/04 TheHackerNews — 様々な独立系ファームウェア／BIOS ベンダー (IBV：Independent firmware/BIOS Vendors) の UEFI (Unified Extensible Firmware Interface) コードを解析したところ、ファームウェアに埋め込まれた画像解析ライブラリに存在する深刻な脆弱性の悪用により、潜在的な攻撃に対して脆弱であることが判明した。この脆弱性を LogoFAIL と命名した Binarly は、「この脆弱性の悪用に成功した脅威アクターたちが、悪意のペイロードを配信し、Secure Boot／Intel Boot Guard などのセキュリティ技術をバイパスする可能性がある」と説明している。

Microsoft Office 攻撃は 53% 増：Kaspersky Security Bulletin 2023

Cybercriminals Escalate Microsoft Office Attacks By 53% in 2023

2023/12/04 InfoSecurity — Microsoft Office を標的とするサイバー脅威が、2023年には 53% も急増していると、Kaspersky の最新サイバー・セキュリティ・レポートが強調している。また、このレポートが明示するのは、平均で 411,000 件／日というペースで、悪質なファイルが検出されたことであり、前年との比較において３％近くの増加となっている。Kaspersky の調査が示唆するのは、サイバー犯罪者の手口が変化し、Microsoft Office をはじめとする文書形式が、主要な標的になっているという現実である。

Citrix Bleed CVE-2023-4966：全米の病院におけるパッチ適用を保険省が要請

US Health Dept urges hospitals to patch critical Citrix Bleed bug

2023/12/02 BleepingComputer — 今週に、米国の保健社会福祉省 (HHS：Health and Human Services) は複数の病院に対して、攻撃で活発に悪用されている Netscaler の深刻な脆弱性 Citrix Bleed (CVE-2023-4966) にパッチを当てるよう警告を発した。Citrix Bleed を悪用する複数のランサムウェア・グループが、すでにログイン要件や多要素認証保護を回避し、標的のネットワークに侵入している。

RedLine マルウェアと ScrubCrypt 難読化ツール：脅威アクターたちの最新テクニックを解析

RedLine Stealer Malware Deployed Via ScrubCrypt Evasion Tool

2023/11/30 InfoSecurity — RedLine Stealer マルウェアによりユーザー組織を標的にするために、ScrubCrypt という難読化ツールの新バージョンが使用されていると、詐欺センサー・ネットワークの Human Security が警告している。Human の Satori Threat Intelligence Team は、ダークウェブで販売されている ScrubCrypt の新たなビルドを発見した。そして、RedLine Stealer によるアカウント乗っ取りや詐欺において、このビルドの利用が確認されたと述べている。

Google が公表した RETVec：Gmail からスパムや敵対行為を取り除くベクタラーザーとは？

Google Unveils RETVec – Gmail’s New Defense Against Spam and Malicious Emails

2023/11/30 TheHackerNews — Google が公開したのは、RETVec (Resilient and Efficient Text Vectorizer の略) と呼ばれる新たな多言語テキスト・ベクタライザーである。それにより、Gmail 内のスパムや悪意のメールなどの、有害と推定されるコンテンツの検出が推進される。GitHub 上のプロジェクト説明には、RETVec は、挿入／削除／タイプミス／ホモグリフ／ LEET 置換などなどの、文字レベルでの悪意の操作に対して、回復力を持つように訓練されている。RETVec モデルは、すべての UTF-8 文字と単語を効率的に変換するための、新たな文字エンコーダー上で学習される」と記されている。

Booking.com を介したソーシャル・エンジニアリング：巧妙なキルチェーンを解説

Booking.com Customers Scammed in Novel Social Engineering Campaign

2023/11/30 InfoSecurity — Secureworks の新しい調査によると、Booking.com の顧客が斬新なソーシャル・エンジニアリング・キャンペーンの標的となり、サイバー犯罪者にとって大きな利益をもたらしているという。研究者たちによると、このキャンペーンは遅くとも１年前から行われているようだ。最初に、Vidar infostealer を介して、パートナー・ホテルの Booking.com 認証情報にアクセスする。続いて、この情報を悪用して Booking.com の顧客にフィッシング・メールを送り、支払い情報を渡すように騙して、金銭を盗み出すというインシデントが多発している。

VirusTotal における AI の活用：マルウェア検出が 70% も向上している

AI Boosts Malware Detection Rates by 70%

2023/11/29 InfoSecurity — 脅威インテリジェンス共有プラットフォーム VirusTotal が発表したのは、マルウェア分析を強化するサイバー防御者たちが、AI を活用する方法を示す新たな調査結果である。VirusTotal が、この調査を通じて明らかにしたのは、AI が悪意のコードの解析に対して極めて有効であり、従来の手法と比較して 70% も多くの、悪意のスクリプトを特定する能力を持っていることだ。

Apache ActiveMQ の脆弱性 CVE-2023-46604：GoTitan ボットネットも巧撃に参戦

GoTitan Botnet Spotted Exploiting Recent Apache ActiveMQ Vulnerability

2023/11/29 TheHackerNews — 先日に公開された、Apache ActiveMQ に影響を及ぼす深刻なセキュリティ欠陥が、脅威アクターたちにより積極的に悪用されている。そこで配布されるマルウェアには、GoTitan という新たな Golang ベースのボットネットや、感染させたホストをリモートかんら操作する、悪意の .NET プログラム PrCtrl Rat などがある。この数週間における一連の攻撃では、Lazarus Group などのハッキング集団により武器化された、リモートコード実行の脆弱性 CVE-2023-46604 (CVSS：10.0) が悪用されている。

北朝鮮発のサプライチェーン攻撃：日本／台湾／米国／カナダに到達している

North Korean Software Supply Chain Attack Hits North America, Asia

2023/11/24 SecurityWeek — 今週に Microsoft が報告したのは、北朝鮮の脅威グループ Diamond Sleet (Zinc) が台湾のソフトウェア会社に侵入し、そのシステムを悪用して、北米とアジアに展開されるデバイスへ向けてマルウェアを配信したことだ。この脅威グループは、以前は Lazarus のサブ・グループとされてきたハッカー集団であり、データ窃盗／スパイ活動／破壊／金銭的利益を目的とする攻撃を行なってきた。そして、サイバー・セキュリティやハイテク企業の従業員に加えて、セキュリティ研究者や侵入テスト担当者も攻撃してきたという。

Mirai ボットネットによる大規模な DDoS 攻撃：Router／NVR のゼロデイ脆弱性を悪用

Mirai-based Botnet Exploiting Zero-Day Bugs in Routers and NVRs for Massive DDoS Attacks

2023/11/23 TheHackerNews — ２つの RCE ゼロデイ脆弱性を悪用して、Mirai ベースの分散型サービス妨害 (DDoS) ボットネット配信し、ルーターやビデオレコーダーを悪意のネットワークに接続させるという、活発なマルウェア・キャンペーンが発生している。Akamai は今週に発表したアドバイザリで、「このペイロードは、ルーターおよび NVR (Network Video Recorder) デバイス存在する、管理者用のデフォルト認証情報を標的として、侵入に成功した後に Mirai の亜種をインストールするものだ」と説明している。

WailingCrab マルウェアの進化：MQTT C2 通信でステルス性が進化

WailingCrab Malware Evolves: Embracing MQTT for Stealthier C2 Communication

2023/11/23 SecurityOnline — 進化を続けるサイバーセキュリティの脅威の中で、マルウェアの運営者たちは絶えず戦術を洗練させ、検知を回避しながらシステムを侵害し続けている。IBM X-Force の研究者たちが明らかにしたのは、2022年12月に発見された WailingCrab マルウェア・ファミリーが、この傾向を例証していることである。具体的に言うと、その C2 通信メカニズムとステルス技術において、絶え間ない進化が示されているという。

CISA KEV 警告 23/11/21：Linux の Looney Tunables を悪用リストに追加

CISA orders federal agencies to patch Looney Tunables Linux bug

2023/11/21 BleepingComputer — Qualys の Saeed Abbasi は、「この脆弱性 CVE-2023-4911 の悪用により、Fedora／Ubuntu／Debian などのプラットフォームにおいて、完全な root アクセスが不正に取得されるため、システム管理者は迅速に行動すべきだ」と警告している。また、今日になって CISA は、この Linux の不具合を Known Exploited Vulnerabilities Catalog に追加した。さらに CISA は、この脆弱性を、悪意のサイバー行為が頻繁に発生する攻撃ベクターのリストに取り込み、連邦政府企業に重大なリスクが生じていることを指摘した。

Agent Tesla マルウェアの新たな亜種：Office の脆弱性 CVE-2017-11882 を悪用？

New Agent Tesla Malware Variant Using ZPAQ Compression in Email Attacks

2023/11/21 TheHackerNews — Agent Tesla マルウェアの新たな亜種が、ZPAQ 圧縮形式のルアー・ファイルを介して配信され、複数の電子メール・クライアントと、40近くの Web ブラウザから、データを採取していることが確認された。G Data のマルウェア・アナリストである Anna Lvova は、「ZIP や RAR などの広く使用されているフォーマットと比較して ZPAQ は、より優れた圧縮率とジャーナリング機能を提供する、ファイル圧縮フォーマットである」と、月曜日の分析で述べている。

ロシアの APT29：WinRAR の脆弱性 CVE-2023-38831 を悪用したキャンペーンを展開

Russia’s APT29 Targets Embassies With Ngrok and WinRAR Exploit

2023/11/20 InfoSecurity — ウクライナのセキュリティ研究者たちは、ロシアの大規模な新しいサイバースパイ・キャンペーンを明らかにした。このキャンペーンは、アゼルバイジャンの軍事戦略に関する情報を収集するために設計された可能性があると、彼らは主張している。ウクライナの NDSC (National Security and Defense Council) の新しい報告書によると、この攻撃の背後には APT29 がいたという。同グループは、Cozy Bear／Nobelium などの呼び名でも知られている。

Apache ActiveMQ の脆弱性 CVE-2023-46604：Kinsing マルウェアも侵害に参戦

Kinsing malware exploits Apache ActiveMQ RCE to plant rootkits

2023/11/20 BleepingComputer — Apache ActiveMQ に存在する深刻な脆弱性 CVE-2023-46604 を、Kinsing マルウェアが積極的に悪用し、Linux システムを侵害しようとしている。このリモート・コード実行の脆弱性は、すでに 10月下旬に修正されている。Apache が開示した情報では、この問題により、OpenWire プロトコルのシリアライズされたクラス型を悪用し、任意のシェルコマンドを実行できると説明されている。研究者たちが発見したのは、パッチのリリース後も数千台のサーバーが攻撃にさらされ、HelloKitty や TellYouThePass などのランサムウェア・ギャングが、この機会を利用し始めていることだ。

Bad Bot の活動が止まらない：インターネット・トラフィックの 73% を占めるという

Bad Bots Account for 73% of Internet Traffic: Analysis

2023/11/16 SecurityWeek — Bad Bot による攻撃の 2023年 Q3 Top-5 は、偽アカウント作成／アカウント乗っ取り／スクレイピング／アカウント操作／製品内不正使用の順となる。この順位は、製品内不正使用がカード・テストを追い抜いてランクインした以外は、2023年 Q2 から変わっていない。Q2 から Q3 かけて最も増加した攻撃は、SMS 利用料詐欺 2,141％増／アカウント操作 160％増／偽アカウント作成 23％増となる。

ALPHV／BlackCat ランサムウェア：マルウェアの配布に Google 広告を悪用

BlackCat Ransomware Gang Targets Businesses Via Google Ads

2023/11/15 InfoSecurity — 悪名高い ALPHV／BlackCat ランサムウェアが、Google 広告を利用してマルウェアを配布していることが確認された。eSentire の Threat Response Unit (TRU) によると、このグループは $100M 規模の MGM Resorts の情報流出や、乳がん患者の機密画像流出事件を引き起こし、さらに攻撃手法をマルバタイジングに拡大しているという。

Apache ActiveMQ の脆弱性 CVE-2023-46604：ステルス攻撃の手法が判明

New PoC Exploit for Apache ActiveMQ Flaw Could Let Attackers Fly Under the Radar

2023/11/15 TheHackerNews — Apache ActiveMQ の深刻なセキュリティ上の脆弱性を悪用し、メモリ上で任意のコードを実行する新しいテクニックを、サイバー・セキュリティ研究者が実証した。このリモートコード実行の脆弱性 CVE-2023-46604 (CVSS：10.0) の悪用に成功した脅威アクターは、任意のシェルコマンドを実行できるという。なお、この Apache の脆弱性は、先月末にリリースされた ActiveMQ のバージョン 5.15.16／5.16.7／5.17.6／5.18.3 で修正されている。

サイバー攻撃の 82% でテレメトリ・データが無効化／消去されている – Sophos

82% of Attacks Show Cyber-Criminals Targeting Telemetry Data

2023/11/14 InfoSecurity — サイバー犯罪者が仕掛けたインシデントの 82% で、ログが無効化され消去されていることが判明した。この Sophos のレポートは、ランサムウェアによる攻撃が数時間以内に実行されるという、いまの時代のスピードにフォーカスし、それらの攻撃の複雑さを分析するものだ。今日のレポートは、2022年1月1日〜6月30日に 25分野で発生した、232件の Sophos Incident Response (IR) の事例をベースとして、活発な敵対勢力が展開する TTP (tactics, techniques and procedures) の概要を示している。

MySQL／Docker にホストされる DDoS マルウェア：Ddostf と OracleIV の動向に注意

MySQL Servers, Docker Hosts Infected With DDoS Malware

2023/11/14 SecurityWeek — MySQL サーバと Docker ホストをターゲットにする脅威アクターが、分散型サービス拒否 (DDoS) 攻撃をするマルウェアを仕込んでいると、AhnLab Security Emergency Response Center の研究者たちが警告している。AhnLab によると、Windows 上の MySQL を標的とする攻撃が、脆弱な MySQL サーバが Ddostf に感染することで頻度を増しているという。Ddostf は、遅くとも 2016年から存在する、中国起源の DDoS 対応ボットネットである。

Docker API のミス・コンフィグレーション：悪意の Docker コンテナ展開で悪用

Python Malware Poses DDoS Threat Via Docker API Misconfiguration

2023/11/13 InfoSecurity — Docker Engine API の一般公開されたインスタンスを標的とする、新たなサイバー脅威が、セキュリティ研究者たちにより発見された。この OracleIV キャンペーンで、ミス・コンフィグレーションを悪用する攻撃者は、”oracleiv_latest “という名前のイメージからビルドされ、ELF (Executable and Linking Format) ファイルとしてコンパイルされる、 Python マルウェアを取り込んだ悪意の Docker コンテナをデプロイしている。この悪意のツールは、分散型サービス拒否 (DDoS) ボット・エージェントとして機能し、DoS 攻撃を行うための各種の攻撃手法を提示している。

Atlassian Confluence の脆弱性：パッチを適用後も Effluence バックドアは生き続ける

Alert: ‘Effluence’ Backdoor Persists Despite Patching Atlassian Confluence Servers

2023/11/10 TheHackerNews — Effluence いうステルス性のバックドアを、サイバー・セキュリティ研究者たちが発見した。先日に公開された Atlassian Confluence Data Center／Server の脆弱性だが、その悪用に成功した攻撃者が、その後に Effluence を展開しているようだ。Aon の Incident Response Services に所属する Stroz Friedberg は、「このマルウェアは永続的なバックドアとして機能し、Confluence にパッチを適用しても修復されない」と、今週の初めに発表したレポートで述べている。

SysAid IT のゼロデイ CVE-2023-47246：Clop ランサムウェアが攻撃を仕掛ける

Zero-Day Alert: Lace Tempest Exploits SysAid IT Support Software Vulnerability

2023/11/09 TheHackerNews — Microsoft の新たな調査結果によると、SysAid IT サポート・ソフトウェアのゼロデイ脆弱性を悪用する限定的な攻撃に、Lace Tempest という脅威アクターが関連しているようだ。Cl0p ランサムウェアを配布する Lace Tempest は、これまでに MOVEit Transfer や PaperCut サーバのゼロデイ脆弱性を悪用してきた。SysAid IT のパス・トラバーサルの脆弱性 CVE-2023-47246 は、オンプレミス・インストール内でコード実行にいたるものだとされ、バージョン 23.3.36 で修正されている。

Farnetwork という脅威アクター：５つの RaaS プログラムに関連付けられる – Group-IB

Threat Actor Farnetwork Linked to Five Ransomware Schemes

2023/11/08 InfoSecurity — セキュリティ研究者たちが公表したのは、過去数年間にわたって複数の RaaS (Ransomware-as-a-Service) プログラムに関与し、現在は別のプログラムを展開している脅威アクターの情報である。Group-IB は新しいレポートの中で、”farnetwork” は遅くとも 2019年から活動しており、アンダーグラウンドでは farnetworkl／jingo／jsworm／razvrat／piparkuka／farnetworkit として活動していると主張している。

PyPI 汚染が露見：BlazeStealer マルウェアを隠し持つ悪意の Python パッケージ

Beware, Developers: BlazeStealer Malware Discovered in Python Packages on PyPI

2023/11/08 TheHackerNews — PyPI (Python Package Index) リポジトリに忍び込み、開発者のシステムを侵害して機密情報を盗み出す、悪質な Python パッケージの新しいセットが発見された。 Checkmarx は、「これらのパッケージは、無害な難読化ツールを装っているが、BlazeStealer と呼ばれるマルウェアを隠し持っている」と、The Hacker News と共有したレポートで述べている。

GootLoader マルウェアの新たな亜種：検出回避と横展開を強化している

New GootLoader Malware Variant Evades Detection and Spreads Rapidly

2023/11/07 TheHackerNews — GootBot と呼ばれる GootLoader マルウェアの新たな亜種は、侵害したシステム上で容易に横方向へ移動し、検出を回避することが判明した。IBM X-Force の研究者である Golo Mühr と Ole Villadsen は、「GootLoader グループが、攻撃チェーンの後半ステージに独自のカスタム・ボットを導入した理由は、CobaltStrike や RDP のような C2 用の既製ツールを使用した場合の、検出回避の試みにある。この新しい亜種は軽量かつ効果的なマルウェアであり、攻撃範囲はネットワーク全体へと急速に拡大し、さらなるペイロードの展開へといたる」と述べている。

Google Calendar の悪用が露見：イベント記述を介して C2 通信が行われる

Google Warns How Hackers Could Abuse Calendar Service as a Covert C2 Channel

2023/11/06 TheHackerNews — Google Calendar サービスを悪用して、Command and Control (C2) インフラをホストする PoC エクスプロイトを、複数の脅威アクターが共有していることを、Google 自身が警告している。この、Google Calendar RAT (GCR) と呼ばれるツールは、Gmail アカウントを介して、C2 サーバとして Google Calendar Events を悪用するものだ。そして、2023年6月に GitHub に公開さてから、脅威アクターたちの間で共有されているという。

GNU C Library の脆弱性 CVE-2023-4911：クラウドを狙う脅威アクターが兵器化

‘Looney Tunables’ Glibc Vulnerability Exploited in Cloud Attacks

2023/11/06 SecurityWeek — 最近パッチが適用された GNU C Library (glibc) に存在する深刻な特権昇格の脆弱性が、Kinsing マルウェアの展開やクリプトジャッキング攻撃を操る脅威グループにより、クラウドへの攻撃で悪用されている。Looney Tunablesと名付けられた脆弱性 CVE-2023-4911 は、Debian／Gentoo／Red Hat／Ubuntu などの主要 Linux ディストリビューションに影響を及ぼすことが判明している。この脆弱性により、ローカル攻撃者は昇格した権限で、任意のコードを実行できるという。

Atlassian Confluence の脆弱性 CVE-2023-22518：Cerber ランサムウェアの攻撃を観測

Critical Atlassian Confluence bug exploited in Cerber ransomware attacks

2023/11/06 BleepingComputer — 先日にパッチが適用された、Atlassian Confluence に存在する深刻な認証バイパスの脆弱性を悪用する Cerber ランサムウェアが、被害者のファイルを暗号化している。Atlassian が不適切な認証の脆弱性と説明する CVE-2023-22518 (CVSS：9.1) は、Confluence Data Center／Confluence Server ソフトウェアの全てのバージョンに影響を及ぼす。10月31日 (火) にセキュリティ・アップデートをリリースした Atlassian は、この脆弱性の悪用によりデータが消去される可能性もあるため、脆弱性のある全てのインスタンスに対して、直ちにパッチを当てるよう管理者たちに警告した。

npm で発見された 48個の悪意のパッケージ：難読化されたリバースシェルを展開

48 Malicious npm Packages Found Deploying Reverse Shells on Developer Systems

2023/11/03 TheHackerNews — npm リポジトリで、48個の悪意の npm パッケージ・セットが、新たに発見された。それらは、侵害したシステム上にリバースシェルを展開する機能を持っているという。ソフトウェア・サプライチェーンのセキュリティ企業 Phylum は、「これらのパッケージは、正規のパッケージを偽装されており、そのインストール時にリバースシェルを開始するための、難読化された JavaScript を取り込んでいる」と述べている。すべての偽造パッケージは、hktalent (GitHub／X) という npm ユーザーにより公開されている。この記事の執筆時点で、hktalent がアップロードしたパッケージのうち、39個がダウンロード可能な状態にある。

Okta の失敗：従業員の Google パーソナル・アカウントから情報が漏洩していた

Okta Hack Blamed on Employee Using Personal Google Account on Company Laptop

2023/11/03 SecurityWeek — つい先日に Okta のサポート・システムがハッキングされたが、同社の従業員に支給されたノートパソコンで、個人の Google アカウントへのログインが行われ、認証情報が流出したことが判明した。それにより、複数の Okta 顧客からのデータ窃取が生み出された。Okta のセキュリティ・チーフである David Bradbury が、「サイバーセキュリティ企業である BeyondTrust や Cloudflare を含む、数百の Okta 顧客を巻き込んだ情報漏えいの、最も可能性の高い経路は、社内の過失であった」と事後報告行っている。

Turla の Kazuar バックドア：新たな機能群を Palo Alto Unit 42 が分析

Palo Alto Reveals New Features in Russian APT Turla’s Kazuar Backdoor

2023/11/01 InfoSecurity — Palo Alto Networks によると、Kazuar バックドアの最新バージョンは、これまで想像されていた以上に狡猾な可能性があるという。Kazuar バックドアとは、ロシアのハッキング・グループ Turla により、2023年7月にウクライナの防衛セクターを標的に使用されたものだと、ウクライナの CERT-UA (Ukrainian Computer Emergency and Response Team) が報告している。Palo Alto Unit 42 の研究者たちは、Kazuarの最新の亜種である .NET バックドアにおいて、これまで文書化されていなかった機能を発見した。

Citrix Bleed を解析：セッション・クッキー窃取と LOLBIN によるステルス化

Hackers use Citrix Bleed flaw in attacks on govt networks worldwide

2023/11/01 BleepingComputer — Citrix Bleed と名付けられた脆弱性CVE-2023-4966 を悪用する攻撃者が、南北アメリカ／ヨーロッパ／アフリカ／アジア太平洋地域の、政府／技術／法律などの組織を標的としている。Mandiant の研究者たちによると、現在進行中の４つのキャンペーンはCitrix NetScaler ADC／Gateway アプライアンスの脆弱性を標的としており、2023年8月下旬から攻撃が行われているようだ。

NuGet パッケージに潜む SeroXen RAT：GitHub にホストされるペイロードへの導線

Malicious NuGet Packages Caught Distributing SeroXen RAT Malware

2023/10/31 TheHackerNews — NuGet パッケージ・マネージャに公開された、珍しいマルウェア展開の方法を用いる悪意のパッケージの新しいセットを、サイバー・セキュリティ研究者たちが発見した。ソフトウェア・サプライ・チェーンのセキュリティ企業である ReversingLabs は、「このキャンペーンは、SeroXen RAT と呼ばれるリモート・アクセス型トロイの木馬を配信するために、不正な NuGet パッケージのホストとの関連付けを用いながら、2023年8月1日以降において広まってきている」と説明している。

EleKtra-Leak クリプトジャッキング： AWS IAM と GitHub のギャップを突いて活動

EleKtra-Leak Cryptojacking Attacks Exploit AWS IAM Credentials Exposed on GitHub

2023/10/30 TheHackerNews — EleKtra-Leak と名付けられた現在進行中の新しいキャンペーンは、クリプト・ジャッキング活動を促進するために、パブリックな GitHub リポジトリ内の公開された、Amazon Web Service (AWS) の ID／IAM 資格情報に目をつけた。Palo Alto Networks Unit 42 の研究者である William Gamazo と Nathaniel Quist は、「このキャンペーンに関与する脅威アクターたちは、複数の AWS Elastic Compute (EC2) インスタンスを作成し、広範かつ長期的なクリプトジャッキング操作に用いていた」と、The Hacker News と共有した技術レポートの中で述べている。

MSIX App Packages の悪用： GHOSTPULSE マルウェアを配信するキャンペーンが発覚

Hackers Using MSIX App Packages to Infect Windows PCs with GHOSTPULSE Malware

2023/10/30 TheHackerNews — Google Chrome／Microsoft Edge／Brave／Grammarly／Cisco Webex 用の偽の MSIX Windows アプリ・パッケージ・ファイルを使って、GHOSTPULSE という新種のマルウェア・ローダーを配布する、新たなサイバー攻撃キャンペーンが確認されている。Elastic Security Labs の研究者 Joe Desimone は、先週に発表した技術レポートの中で、「MSIX とは、開発者がアプリケーションをパッケージ化し、Windows ユーザーに配布することで、インストールを可能にするための、Windows app package format である」と説明している。