Over 640 Citrix servers backdoored with web shells in ongoing attacks
2023/08/02 BleepingComputer — Citrix Netscaler ADC／Gateway に存在する、深刻なリモートコード実行 (RCE) 脆弱性 CVE-2023-3519 を標的とする一連の攻撃で、すでに数百台のサーバが侵害され、バックドア化されているという。以前にも、この脆弱性はゼロデイとして悪用され、米国の重要インフラ組織のネットワークへの侵入の原因となっている。インターネット・セキュリティの強化に取り組む非営利団体 Shadowserver Foundation のセキュリティ研究者たちは、今回の攻撃において、少なくとも 640台の Citrix サーバ上に、Web シェルが展開されていると指摘している。
Continue reading “Citrix Netscaler の脆弱性 CVE-2023-3519 の活発な悪用：640台以上のサーバが侵害”Researchers Uncover AWS SSM Agent Misuse as a Covert Remote Access Trojan
2023/08/02 TheHackerNews — Windows および Linux 環境上でリモート・アクセス・トロイの木馬として、AWS Systems Manager Agent (SSM Agent) を実行させることが可能な、Amazon Web Services (AWS) の新たなポスト・エクスプロイト手法を、サイバー・セキュリティ研究者たちが発見した。Mitiga の研究者である Ariel Szarf と Or Aspir は、「この SSM Agent は、Admin によるインスタンス管理で使用される正当なツールだが、SSM Agent がインストールされたエンドポイント上で、高特権のアクセスを獲得した攻撃者が、悪意の活動を継続的に実行することも可能にする」と、The Hacker News と共有したレポートで述べている。
Continue reading “AWS の SSM Agent を悪用するシナリオ：高スティルス性 RAT の構築が可能”Patchwork Hackers Target Chinese Research Organizations Using EyeShell Backdoor
2023/07/31 TheHackerNews — Patchwork と命名されたハッキング・グループが、最近に確認されたキャンペーンの一環として、中国の大学および研究機関を攻撃していることが判明した。KnownSec 404 Team によると、このキャンペーンでは、コードネーム EyeShell と呼ばれるバックドアが使用されていたという。Patchwork は、別名 Operation Hangover／Zinc Emerson でも知られており、インドが支援する脅威グループであると見られている。遅くとも 2015年12月から活動している同グループは、スピア・フィッシングやウォータリング・ホール攻撃を通じて、パキスタンや中国の組織に対して、BADNEWS などのカスタムイン・プラントを仕掛けてきた。
Continue reading “Patchwork はインドの APT：EyeShell バックドアを使って中国の研究機関を攻撃”New P2PInfect Worm Targets Redis Servers with Undocumented Breach Methods
2023/07/31 TheHackerNews — P2PInfect P2 ワーム は、これまで文書化されていないイニシャル・アクセス方法を用いて、影響を受けやすい Redis サーバに侵入し、ボットネットへと取り込んでいることが確認されている。Cado Security の研究者である Nate Bill と Matt Muir は、「このマルウェアは、レプリケーション機能を悪用することで、Redis データストアの露出したインスタンスを侵害する。クラウド環境の Redis に対する一般的な攻撃パターンは、悪意のインスタンスを介して上記の機能を悪用し、レプリケーションを有効化することである。具体的に言うと、公開された Redis インスタンスに接続し、SLAVEOF コマンドを発行することで実現する」と、The Hacker Newsと共有したレポートの中で述べている。
Continue reading “P2PInfect ワームが Redis を侵害：洗練された手口と Rust で書かれたコードとは？”AVRecon Botnet Leveraging Compromised Routers to Fuel Illegal Proxy Service
2023/07/31 TheHackerNews — AVReconと呼ばれるボットネットの詳細が明らかになった。このボットネットは、遅くとも 2021年5月以降における、複数年にわたるキャンペーンの一環として、侵害した SOHO ルーターを悪用していることが確認されている。７月の初めに AVRecon は、Lumen Black Lotus Labsにより公開されたマルウェアであり、追加コマンドを実行し、被害者の帯域幅を盗み、他の脅威アクターが利用できるようするという、違法なプロキシ・サービスだと思われる。また、その規模は QakBot を上回り、世界20カ国に存在する 41,000台を超えるノードに侵入していという。
Continue reading “AVRecon ボットネットの標的は SOHO ルーター：不正なプロキシを増殖してサーバー犯罪を支援”Fruity Trojan Uses Deceptive Software Installers to Spread Remcos RAT
2023/07/31 TheHackerNews — 脅威アクターたちは、トロイの木馬化されたソフトウェアをホストする偽の Web サイトを作成してユーザーを騙し、Fruity と呼ばれるマルウェア・ローダーをダウンロードさせた後に、Remcos RAT などのリモート型トロイの木馬ツールをインストールさせている。セキュリティ・ベンダーである Doctor Web は、「問題のソフトウェアの中には、CPU／グラフィックカード／BIOS など微調整するツールや、PC ハードウェア・モニタリング・ツールなどのアプリも含まれている。このようなインストーラーはオトリとして使用され、潜在的な被害者が望むソフトウェアに加えて、トロイの木馬を構成するコンポーネントが含まれている」と述べている。
Continue reading “Fruity マルウェア・ローダーと Remcos RAT のセット：偽の DL サイトでユーザーを待ち伏せ”CISA: New Submarine Backdoor Used in Barracuda Campaign
2023/07/31 InfoSecurity — Barracuda セキュリティ・アプライアンスを標的として連邦政府ネットワークに侵入した中国の脅威アクターが、Submarine と呼ばれる新たなバックドアを、攻撃の一部で利用していたことが明らかにされた。この攻撃に関する Mandiant のオリジナル・レポートでは、このグループが使用した３種類のバックドア Seaside／Saltwater／Seaspy に焦点が当てられている。しかし、7月28日に CISA が、”永続性を確立し維持する” ためにの、新たなバックドア型マルウェアが配備されたことを明らかにした。
Continue reading “Barracuda ESG 攻撃に新たなマルウェア：Submarine と呼ばれるバックドア – CISA”New Android Malware CherryBlos Utilizing OCR to Steal Sensitive Data
2023/07/29 TheHackerNews — CherryBlos という新たな Android マルウェアが、OCR 技術を悪用することで、写真に保存された機密データを収集していることが確認された。Trend Micro によると、SNS プラットフォーム上の偽の投稿を介して配布される CherryBlosは、暗号通貨ウォレット関連の認証情報を盗む機能を備えており、事前に定義された形式に一致する文字列を、被害者がクリップボードにコピーした際に、ウォレット・アドレスを置き換えるクリッパーとして動作する。
Continue reading “Android マルウェアの新たな手口：OCR を悪用してキャプチャ画像から機密情報を窃取”IcedID Malware Adapts and Expands Threat with Updated BackConnect Module
2023/07/28 TheHackerNews — IcedID マルウェア・ローダーに関与する脅威アクターが、ハッキング済のシステムでの活動に使用さする BackConnect (BC) モジュールにアップデートを施していることが、Team Cymru の新たな調査結果で明らかになった。IcedID は BokBot とも呼ばれ、Emotet や QakBot に似たマルウェアの一種であり、2017年にバンキング型トロイの木馬として始まり、その後に他のペイロードのインシャル・アクセスを促進する役割へと移行している。このマルウェアの最新バージョンでは、ランサムウェアの配信を優先するために、オンライン・バンキング詐欺に関連する機能が削除されていることも確認されている。
Continue reading “IcedID の BackConnect モジュールの進化：被害者をプロキシとして悪用するケースも”Hackers Abusing Windows Search Feature to Install Remote Access Trojans
2023/07/28 TheHackerNews — Windows の正規の検索機能が、脅威アクターたちにより悪用されている。その結果として、リモート・サーバから AsyncRAT／Remcos RAT などのリモート・アクセス型トロイの木馬がダウンロードされ、標的とされるシステムが危険にさらされている。Trellix によると、この新しい攻撃手法は、”search-ms:” URI プロトコル・ハンドラを悪用しているようだ。URI プロトコル・ハンドラとは、デバイス上でアプリや HTML リンクが、カスタム・ローカル検索を起動するための機能であり、”search:” アプリケーション・プロトコルは、Windows 上でデスクトップ検索アプリケーションを呼び出すためのメカニズムである。
Continue reading “Windows ローカル検索の悪用：攻撃者のサーバからトロイの木馬をダウンロード”CISA: New Submarine malware found on hacked Barracuda ESG appliances
2023/07/28 BleepingComputer — Barracuda ESG (Email Security Gateway) アプライアンスの、すでにパッチが適用されているゼロデイバグを悪用する、Submarine と呼ばれる新しいマルウェアが、連邦政府機関のネットワーク上にバックドアに仕掛けていると、CISA が警告している。2023年5月に検出された一連のデータ盗難攻撃で、親中国派と見られるハッカー・グループ UNC4841 が、バックドアを展開していたことが確認された。そして、同グループは、遅くとも 2022年10月から活動していたとされる。
Continue reading “新種のマルウェア Submarine：Barracuda ESG のゼロデイ CVE-2023-2868 を悪用”Hackers Target Apache Tomcat Servers for Mirai Botnet and Crypto Mining
2023/07/27 TheHackerNews — ボットネット・マルウェア Mirai などの標的として、また、暗号通貨マイナーを配信する新たなキャンペーンの一環として、コンフィグレーションやセキュリティに不備がある Apache Tomcat サーバーが狙われている。この調査結果は Aqua によるもので、Tomcat サーバのハニーポットに対して、２年間で 800件以上の攻撃を検出し、そのうちの 96％が、Mirai ボットネットに関連していたことが判明した。これらの攻撃のうちの 20％ (152件) は、24のユニークな IP アドレスから発信された “neww” と呼ばれる Web シェル・スクリプトの使用を伴うものであり、その 68％は単一の IP アドレス (104.248.157[.]218) から発信されていた。
Continue reading “Apache Tomcat サーバが標的：ハニーポットで収集された Mirai ボットネットを分析”New Nitrogen malware pushed via Google Ads for ransomware attacks
2023/07/26 BleepingComputer — Nitrogen マルウェアによる、イニシャル・アクセス・キャンペーンは、Google や Bing などの検索広告で偽ソフトウェア・サイトを宣伝し、疑念を持たないユーザーたちに、Cobalt Strike やランサムウェアのペイロードに感染させていくものだ。Nitrogen マルウェアの目的は、企業ネットワークへのイニシャル・アクセスを脅威アクターたちに提供し、データ窃取やサイバー・スパイ活動を行わせ、最終的に BlackCat／ALPHV ランサムウェアを展開させることにある。7月26日に Sophos が発表したレポートには、Nitrogen キャンペーンに関する詳細な説明として、AnyDesk／Cisco AnyConnect VPN／TreeSize Free／WinSCP などの一般的なソフトウェアになりすまし、主に北米の技術組織や非営利組織をターゲットにしている状況が記されている。
Continue reading “Nitrogen というキャンペーン：Google／Bing の広告を介してマルウェアを展開”New AI Tool ‘FraudGPT’ Emerges, Tailored for Sophisticated Attacks
2023/07/26 TheHackerNews — WormGPT の足跡をたどる脅威アクターたちは、さまざまなダークウェブ・マーケットプレイスや Telegram チャンネルで、FraudGPT と名付けたサイバー犯罪生成 AI ツールを宣伝している。7月25日 (火) に発表されたレポートの中で、Netenrich の Security Researcher である Rakesh Krishnan は、「これは AI ボットであり、スピアフィッシング・メールの作成／クラッキングツールの作成／カーディングなどの攻撃に特化したものだ」と述べている。Netenrich によると、このサービスは遅くとも 2023年7月22日以降において、月額 $200 (半年 $1,000／1年 $1,700) で提供されているという。
Continue reading “FraudGPT という悪意の生成 AI ツール：月額 $200 で ChatGPT の代替品”Decoy Dog Malware Upgraded to Include New Features
2023/07/25 InfoSecurity — 今日に発表された Infoblox の脅威レポートにより、Decoy Dog という RAT ツールキットの最新情報が公開された。この Decoy Dog は、2023年4月に発見・公開されたものであるが、DNS を Command and Control (C2) に使用するという特徴を持ち、以前に考えられていたよりも巧妙なことが判明しており、現在進行中の国家によるサイバー攻撃で使用されている疑いがある。そのツールキットを Infoblox を公開した後に、背後で操る脅威アクターは迅速に対応し、侵害したデバイスへのアクセスを維持するためにシステムを適応させている。
Continue reading “Decoy Dog マルウェア：DNS を悪用する APT たちが好むツールキットとは？”North Korean Nation-State Actors Exposed in JumpCloud Hack After OPSEC Blunder
2023/07/25 TheHackerNews — 北朝鮮の General Bureau (RGB) に所属する活動家たちが、JumpCloud のハッキングに関与しているようだ。Google 傘下の Mandiant は、UNC4899 という名前で追跡している脅威アクターに起因する活動だとしている。このグループは、ブロックチェーンと暗号通貨セクターを攻撃してきた Jade Sleet／TraderTraitor として監視されている、クラスターと重複している可能性が高いようだ。また、UNC4899 は APT43 とも重なっている。APT43 とは、北朝鮮 (DPRK) に関連する別のハッキング・グループであり、2023年3月の初旬に、標的とした企業から暗号通貨を吸い上げるための、一連のキャンペーンを実施していることが明らかになっている。
Continue reading “JumpCloud ハッキング：北朝鮮の RGB に属する脅威アクターが関与か？”Lazarus hackers hijack Microsoft IIS servers to spread malware
2023/07/24 BleepingComputer — 北朝鮮の国家支援のハッカー・グループである Lazarus が、Windows IIS (Internet Information Service) Web サーバを乗っ取り、マルウェアを配布していることが明らかになった。Microsoft の Web Server ソリューションである IIS は、Web サイトや Microsoft Exchange Outlook Web などのアプリケーション・サービスをホストするために使用されるものだ。
Continue reading “北朝鮮のハッカー Lazarus：Microsoft IIS Server を乗っ取ってマルウェアを配布”Banking Sector Targeted in Open-Source Software Supply Chain Attacks
2023/07/24 TheHackerNews — 銀行業界を初めて標的とする、オープンソース・ソフトウェアのサプライチェーン攻撃が、サイバー・セキュリティの研究者たちにより発見された。Checkmarx は先週に公開したレポートで、「これらの攻撃では、被害者である銀行の Web 資産に悪意の機能を追加することで、特定のコンポーネントを標的にするといった、高度なテクニックが使用されている」と述べている。
Continue reading “バンキング OSS サプライチェーン攻撃：銀行員を装う脅威アクターが悪意の npm パッケージを展開”GitHub warns of Lazarus hackers targeting devs with malicious projects
2023/07/20 BleepingComputer — GitHub が警告しているソーシャル・エンジニアリング・キャンペーンは、ブロックチェーン／暗号通貨／オンライン・ギャンブル／サイバー・セキュリティなどの分野の、開発者のアカウントを標的とし、彼らのデバイスにマルウェアに感染させるものだ。このキャンペーンは、北朝鮮国家支援のハッキング・グループ Lazarus と関連づけられている。Microsoft が Jade Sleet と呼び、CISA が TraderTraitor と呼ぶ、この脅威アクターの手口を詳述したレポートは、2022年に米国政府から発表されている。このハッキング・グループは、暗号通貨企業やサイバー・セキュリティ研究者たちを標的とした、サイバースパイ活動や暗号通貨の窃取を行ってきた。
Continue reading “Lazarus が開発者を狙っている：悪意の GitHub プロジェクトに御用心”APT41 hackers target Android users with WyrmSpy, DragonEgg spyware
2023/07/20 BleepingComputer — 中国に支援されるハッキング・グループ APT41 が、WyrmSpy と DragonEgg と命名された２つの新種のスパイウェアで、Android デバイスを標的にしていると、Lookout のセキュリティ研究者たちが警告している。 APT41 は最も古い APT ハッキング・グループの１つであり、米国／アジア／ヨーロッパなどの様々な産業を標的としてきた。このグループが攻撃する分野は、ソフトウェア開発／ハードウェア製造／シンクタンク／通信事業者／大学／海外政府などであり、さまざまな組織／事業体に対してサイバースパイ・オペレーションを仕掛けている。
Continue reading “WyrmSpy／DragonEgg スパイウェア：Android ユーザーを狙う APT41 の新戦略”Zyxel Vulnerability Exploited by DDoS Botnets on Linux Systems
2023/07/20 InfoSecurity — Zyxelファイアウォールで発見された深刻な脆弱性が、分散型サービス拒否 (DDoS) ボットネットに積極的に悪用されている。Fortinet のセキュリティ研究者たちが特定した、この脆弱性 CVE-2023-28771 は Linux プラットフォームに影響を及ぼすものだ。この脆弱性の悪用に成功したリモートの攻撃者は、脆弱性のあるシステムを不正に制御し、DDoS 攻撃を行うことが可能になる。
Continue reading “Zyxel ファイアウォールの脆弱性 CVE-2023-28771：Mirai 亜種による積極的な悪用を観測”New P2PInfect worm malware targets Linux and Windows Redis servers
2023/07/23 BleepingComputer — 7月11日にセキュリティ研究者たちは、インターネットに公開された Windows／Linux 上で動作する Redis インスタンスを標的とする、自己拡散機能を備えた新しい P2P マルウェアを発見した。Lua サンドボックス・エスケープの脆弱性 CVE-2022-0543 が放置されている Redis サーバに、この Rust ベースのワーム (P2PInfect と命名) が侵入することも、Unit 42 の研究者たちは発見した。この２週間において、インターネットに公開された 307,000 台以上の Redis サーバが発見されているが、P2PInfect の攻撃に対して潜在的に脆弱なのは 934 インスタンスに過ぎないと、研究者たちは述べている。
Continue reading “P2PInfect という新種のワーム：Redis サーバの脆弱性 CVE-2022-0543 が狙われている”Microsoft Expands Cloud Logging to Counter Rising Nation-State Cyber Threats
2023/07/20 TheHackerNews — 7月19日 (水) に Microsoft が発表したのは、同社の電子メール・インフラを狙う最近のスパイ攻撃キャンペーンを受けて、ユーザー組織におけるサイバー・セキュリティ・インシデントの、調査を促進して可視化を高めるための、クラウド・ロギング機能を拡張するというものだ。同社は、国家に支援されるサイバー犯罪が進化し、また、攻撃の頻度が増加していることにダイレクトに対応するために、この変更を行うと述べている。この変更は、2023年9月から。すべての政府機関および民間企業の顧客に展開される予定だ。
Continue reading “Microsoft がクラウド・ロギング機能を拡張：中国政府に支援される Storm-0558 攻撃への対応”Microsoft: Hackers turn Exchange servers into malware control centers
3023/07/19 BleepingComputer — Microsoft と Ukraine CERT (CERT-UA) は、ロシア政府に支援されたハッキング・グループ Turla による新たな攻撃について警告している。この新たな “DeliveryCheck” マルウェアは、バックドアを用いて防衛産業と Microsoft Exchange サーバを標的としている。Turla (別名 Secret Blizzard／KRYPTON／UAC-0003) とは、ロシア連邦保安庁 (FSB) につながる、高度持続的脅威行為者 (APT) だと考えられている。このサイバー・スパイは、Operation MEDUSA という名の国際的な法執行活動により破壊された、サイバー・スパイ・マルウェア・ボットネット Snake を含め、長年にわたる欧米への攻撃に関与してきた。
Continue reading “Exchange サーバを C2 サーバとして悪用：Turla の DeliveryCheck マルウェアに注意”New SOHO Router Botnet AVrecon Spreads to 70,000 Devices Across 20 Countries
2023/07/14 TheHackerNews — SOHO (Small Office/Home Office) ルーターを２年以上にわたって密かに標的とし、70,000台以上のデバイスに侵入した上で、20カ国にまたがる 40,000 ノードのボットネットを構築した、新種のマルウェアが発見された。Lumen Black Lotus Labs により、AVrecon と名付けられたマルウェアは 、この１年間において SOHO ルーターに焦点を当てた、 ZuoRAT と HiatusRAT に続く３番目のマルウェアとなった。Black Lotus Labs は、「AVrecon は、SOHO ルーターを標的とするボットネットとしては、過去最大級のものである。このキャンペーンの目的は、パスワードの散布からデジタル広告詐欺に至るまで、さまざまな犯罪行為を下支えする秘密のネットワークの構築にあるようだ」と述べている。
Continue reading “AVrecon という SOHO Router ボットネット：20カ国の 70,000 万台のデバイスを制御”LokiBot Malware Targets Windows Users in Office Document Attacks
2023/07/14 InfoSecurity — 悪意の Office 文書を介して拡散する、LokiBot と呼ばれる巧妙なマルウェアに、Windows ユーザーたちが再び狙われている。Fortinet の Security Researcher である Cara Lin の最新アドバイザリによると、攻撃者たちは既知の脆弱性 CVE-2021-40444／CVE-2022-30190 などを悪用することで、Microsoft Office 文書内に悪意のマクロを埋め込んでいるという。これらのマクロが実行されると、被害者のシステム上に LokiBot マルウェアがドロップされ、機密情報の収集などが行われる。
Continue reading “MS Office ドキュメントを悪用する攻撃：LokiBot マルウェアの新たな手口に注意”Genesis Market infrastructure and inventory sold on hacker forum
2023/07/14 BleepingComputer — 盗まれた認証情報の取引所である Genesis Market の管理者は、ハッカーフォーラムでストアを売却し、8月にはオーナーが変わることを発表した。この発表の３ヶ月前には、法執行機関が “Operation Cookie Monster” として、クリアネット上におけるマーケットプレイスのドメインの一部を押収している。
Continue reading “Genesis Market インフラの売買が成立：ダークウェブの老舗は８月に新オーナーへ”Fake Linux vulnerability exploit drops data-stealing malware
2023/07/13 BleepingComputer — サイバー・セキュリティ研究者や脅威アクターたちが、脆弱性 CVE-2023-35829 を悪用して Linux パスワード窃取マルウェアをインストールする、偽の PoCエクスプロイトの標的になっているという。Uptycs のアナリストたちは、定期スキャン中に、予期しないネットワーク接続／未承認のシステム・アクセス試行／非定型のデータ転送などの不正なアクションが検知されたことで、この悪意の PoC を発見した。
Continue reading “Linux の偽 PoC エクスプロイトに御用心：GitHub を悪用してマルウェアを配布”Hackers Exploit Windows Policy Loophole to Forge Kernel-Mode Driver Signatures
2023/07/11 TheHackerNews — Microsoft Windows におけるポリシーの抜け穴が、主に中国語を用いる脅威アクターにより悪用され、カーネルモード・ドライバー署名の偽造に使われていることが確認されていた。Cisco Talos は、「この脅威アクターは、期限切れの証明書で署名された悪意の未検証のドライバーをロードするために、カーネルモード・ドライバーの署名日を変更するという、複数のオープンソース・ツールを活用している。カーネルへのアクセスは、システムへの完全なアクセスを可能にするため深刻な脅威となる」と、The Hacker News と共有した２部構成の包括的なレポートの中で述べている。
Continue reading “Windows Policy の抜け穴を悪用：カーネル・モード・ドライバー偽署名が横行している”RomCom Group Targets Ukraine Supporters Ahead of NATO Summit
2023/07/10 InfoSecurity — NATO 首脳会議が開催される数日前に、ウクライナを支援する組織や個人を狙う標的型サイバー・キャンペーンが、RomCom により開始されたと報じられている。BlackBerry Threat, Research and Intelligence チームは、この巧妙な作戦を発見し、本日の未明に発表されたアドバイザリで説明している。同チームによると、7月4日に RomCom グループがオトリとして使用した、２つの偽装文書を発見したとのことだ。
Continue reading “NATO 首脳会議を標的にした攻撃：RomCom によるマルウェア配布が確認された”Chinese Spyware Discovered on Google Play Store
2023/07/07 InfoSecurity — Google Play Store で発見された、ファイル管理ツールを装う２つのスパイウェア・アプリは 、少なくとも合計で 150万回もインストールされたという。サイバーセキュリティ企業 Pradeo が発見した、これらのアプリは同じ開発者によるものであり、同様の悪意のある動作を示し、ユーザーの操作なしで動作する。これらのアプリの主な目的は、ユーザーの機密データを秘密裏に抽出し、中国に拠点を置く悪意のあるサーバーに送信することである。この発見は Google に報告された。
Continue reading “中国由来のスパイウェア：Google Play Store で発見された２つのファイル管理ツールとは？”New tool exploits Microsoft Teams bug to send malware to users
2023/07/05 BleepingComputer — 米海軍のレッドチーム・メンバーが、TeamsPhisher と呼ばれるツールを公開した。このツールは、Microsoft Teams の未解決のセキュリティ問題を悪用し、外部テナントからのファイル受信制限を回避させ、標的とする組織のユーザーに対して攻撃を行うものだ。このツールは、英国のセキュリティ・サービス会社 Jumpsec の Max Corbridge と Tom Ellson が提供したものである。先月に指摘された問題の悪用を証明するものであり、Microsoft Teams のファイル送信制限を回避した攻撃者が、外部アカウントからマルウェアを配信する方法を簡潔に説明している。
Continue reading “Microsoft Teams の問題：外部からのマルウェア配信を証明するツールが公表された”RedEnergy Stealer-as-a-Ransomware Threat Targeting Energy and Telecom Sectors
2023/07/05 TheHackerNews — RedEnergy と名付けられた高度なランサムウェアの脅威が、ブラジルとフィリピンの公共／電力／石油／ガス／テレコム／機械などの部門を標的として、LinkedIn のページを介した野放し状態での攻撃を行っていることが発見された。Zscaler の研究者である Shatak Jain と Gurkirat Singh は、「このマルウェアは各種のブラウザから情報を盗み出す能力を持ち、機密データの流出を可能にすると同時に、ランサムウェア活動を実行するための、さまざまなモジュールを組み込んでいる」と、最近の分析結果を説明している。研究者たちは、被害者に最大限の損害を与えることを目的として、データ窃盗と暗号化を組み合わせていると指摘している。
Continue reading “RedEnergy という Stealer-as-a-Ransomware：ブラジルとフィリピンのインフラを攻撃している”Neo_Net runs eCrime campaign targeting clients of banks globally
2023/07/04 SecurityAffairs — 先日に vx-underground と SentinelOne が実施した共同調査により、Neo_Net というメキシコの脅威アクターが、世界中の金融機関を標的とした Android マルウェア・キャンペーンを仕掛けていることが明らかになった。この件は、セキュリティ研究者の Pol Thill により報告された。Neo_Net の eCrime キャンペーンは、2021年6月〜2023年4月にスペインとチリの銀行を中心に、世界中の銀行の顧客を標的としていたと報告されている。この脅威アクターは、比較的洗練されていないツールを使用しているが、このキャンペーンが成功した背景には、攻撃インフラを特定のターゲットに合わせて調整する能力があるためだと、専門家は推測している。
Continue reading “世界中の銀行の顧客が標的：メキシコの Neo_Net が eCrime キャンペーンを実施”Evasive Meduza Stealer Targets 19 Password Managers and 76 Crypto Wallets
2023/07/03 TheHackerNews — CaaS (Crimeware-as-a-Service) エコシステムが収益を上げている、新たな兆候が見つかった。ソフトウェア・ソリューションによる検出を回避し、活発に開発が継続されている Windows ベースの Meduza Stealer を、Uptycs のサイバー・セキュリティ研究者たちが発見したという。Uptycs は、「Meduza ステーラーが持つ唯一の目的は、包括的なデータ窃盗である。ユーザーのブラウジング活動を盗み出し、ブラウザに関連する各種のデータを抽出している。重要なログイン認証情報から、貴重な閲覧の履歴を綿密に記録／管理したブックマークにいたるまで、あらゆるデジタル成果物の安全性を脅かしている。暗号ウォレット・エクステンション／パスワード管理機能、2FA 拡張機能でさえも脆弱である」と述べている。
Continue reading “Meduza Stealer という Crimeware-as-a-Service：徹底的な情報窃取で収益を上げている”BlackCat ransomware pushes Cobalt Strike via WinSCP search ads
2023/07/01 BleepingComputer — BlackCat ランサムウェア・グループ (別名 ALPHV) は、Windows 用ファイル転送アプリケーション WinSCP の公式 Web サイトを模倣した偽ページに人々を誘い込み、マルウェアを仕込んだインストーラーをプッシュするという、マルバータイズ・キャンペーンを行っている。WinSCP (Windows Secure Copy) とは、SFTP／FTP／S3／SCP クライアントおよび、SSH ファイル転送機能を持つ、人気のフリー・オープンソースのファイル・マネージャでああり、SourceForge だけで毎週 40万もダウンロードされている。
Continue reading “WinSCP の偽サイトへ誘導：Google と Bing での悪意の広告キャンペーンでCobalt Strike を展開”Beware: New ‘RustBucket’ Malware Variant Targeting macOS Users
2023/07/01 TheHackerNews — 研究者たちが発見したのは、永続性を確立し、セキュリティ・ソフトウェアによる検出を回避する機能を備えた、RustBucket と呼ばれる macOS マルウェアの更新バージョンだ。Elastic Security Labs の研究者たちは、6月29日に公開されたレポートで、「macOS システムを標的とするマルウェア・ファミリーである RustBucket の亜種は、Command-and-Control (C2) のための動的ネットワーク・インフラ手法を活用し、これまで観測されていなかった永続化機能が追加されている」と説明している。
Continue reading “macOS ユーザーを狙う RustBucket マルウェア亜種：特異な永続性メカニズムを装備”Cybercriminals Hijacking Vulnerable SSH Servers in New Proxyjacking Campaign
2023/06/30 TheHackerNews — 金銭的な動機を持つ活発なキャンペーンが、脆弱な SSH サーバを標的とし、それらを秘密裏にプロキシ・ネットワークに参加させている。6月29日 (木) のレポートで Akamai の研究者である Allen West は、「SSH をリモートアクセスに活用する攻撃者が、悪質なスクリプトを実行して被害者のサーバを、 Peer2Profit や Honeygain などの P2P プロキシ・ネットワークへと、密かに参加させる活発なキャンペーンである」と述べている。
Continue reading “Proxyjacking という新たなキャンペーン：SSH サーバを Peer2Profit などに参加させて帯域を搾取”ThirdEye Infostealer Poses New Threat to Windows Users
2023/06/28 InfoSecurity — ThirdEye と呼ばれる新たなインフォ・スティーラー犯が、Windows ユーザーを標的にする可能性があるという。Fortinet の Threat Research Division である FortiGuard Labs は、6月27日 (火) に発表された技術文書で、この新しい脅威について説明している。その中で同社は、ThirdEye は侵害したマシンから貴重なシステム情報を抽出するように設計されており、将来のサイバー攻撃に悪用される可能性があると述べている。
Continue reading “ThirdEye というインフォ・スティーラーが登場：継続する改良に注視が必要”New Mockingjay process injection technique evades EDR detection
2023/06/27 BleepingComputer — Mockingjay と名付けられた、新しいプロセス・インジェクションの手法により、脅威たちは EDR (Endpoint Detection and Response) などのセキュリティ製品による検知を回避し、侵害したシステム上で悪意のコードを密かに実行できるという。この手法を発見したのは、サイバー・セキュリティ企業 Security Joes の研究者たちである、具体的に言うと、RWX (Read／Write／Execute) セクションを持つ正規の DLL を利用して、EDR のフックを回避し、リモート・プロセスにコードを注入するものとなる。
Continue reading “Mockingjay という新たなプロセス・インジェクションの手法：既存の EDR 検出を回避していく”Anatsa Android trojan now steals banking info from users in US, UK
2023/06/26 BleepingComputer — 2023年3月以降の新たなモバイル・マルウェア・キャンペーンにより、米国／英国／ドイツ／オーストリア／スイスのオンライン・バンキング利用者に対して、Android バンキング型トロイの木馬 Anatsa が押し付けられている。この悪質な活動を追跡している ThreatFabric のセキュリティ研究者によると、このマルウェアは Google Play ストア経由で配布され、このチャネルだけで既に３万件以上がインストールされているとのことだ。
Continue reading “Anatsa という Android バンキング・トロイの木馬：約 600 の金融アプリを標的としている”Chinese Hackers Using Never-Before-Seen Tactics for Critical Infrastructure Attacks
2023/06/26 TheHackerNews — 最近に発見され、Volt Typhoon と名付けられた、中国に支援される脅威アクターだが、遅くとも 2020年半ばから野放し状態で活動していたことが、CrowdStrike の調査により判明した。CrowdStrikeは、この脅威アクターを Vanguard Panda という名前で追跡している。同社は、「この脅威アクターは一貫して、イニシャル・アクセスのために ManageEngine Self-service Plus エクスプロイトを使用し、持続的なアクセスのためにカスタム Web シェルを使用し、横方向の移動のために Living-off-the-land (LotL) テクニックを使用していた」と説明している。
Continue reading “Volt Typhoon という中国ハッカー：重要インフラを攻撃する手口が明らかになってきた”Japanese Cryptocurrency Exchange Falls Victim to JokerSpy macOS Backdoor Attack
2023/06/26 TheHackerNews — 6月の初めに、日本のある暗号通貨取引所が、JokerSpy と呼ばれる Apple macOS バックドアを展開する新たな攻撃の標的になった。Elastic Security Labs は、JokerSpy に関連する侵害行為を、REF9134 という名前で監視している。同社は、この攻撃により、SeatBelt というオープンソースのユーティリティにインスパイアされた、Swift ベースの列挙ツール Swiftbelt がインストールされたと述べている。先週に JokerSky は、Bitdefender により初めて文書化され、macOS マシンに侵入するために設計された、洗練されたツールキットであると報告されている。
Continue reading “日本の暗号通貨取引所でサイバー攻撃？JokerSpy という macOS バックドアが展開されたらしい”Powerful JavaScript Dropper PindOS Distributes Bumblebee and IcedID Malware
2023/06/23 TheHackerNews — 新種の JavaScript ドロッパーにより、ネクスト・ステージ・ペイロードが配信されていることが確認された。サイバー・セキュリティ企業 Deep Instinct は、この Bumblebee や IcedID にも似ているマルウェアを、User-Agent 内に名前を持つ PindOS として追跡している。Bumblebee と IcedID は、どちらもローダーとしての役割を担い、侵害したホスト上でランサムウェアなどのベクターとして機能する。最近の Proofpoint のレポートでは、IcedID が銀行詐欺の機能を放棄し、マルウェア配信のみに特化していることが強調されている。
Continue reading “PindOS という JavaScript マルウェア・ローダー： Bumblebee／IcedID との関係は？”Microsoft Teams vulnerability allows attackers to deliver malware to employees
2023/06/23 HelpNetSecurity — Microsoft Teams の受信トレイへ向けて、攻撃者たちがダイレクトにマルウェアを配信できる脆弱性を、セキュリティ研究者たちが発見した。Jumpsec の研究者である Max Corbridge は、「Microsoft Teams を使用している組織は、Microsoft のデフォルト設定を継承しているため、組織外のユーザから内部の従業員へ向けて、連絡を取ることが可能になっている」と説明している。この脆弱性を悪用したマルウェア配信攻撃は、ソーシャル・エンジニアリングを入り口として、高確率で成功しているようだ。
Continue reading “Microsoft Teams の緩いデフォルト設定：脆弱性との組み合わせで容易にマルウェア投下”Mirai botnet targets 22 flaws in D-Link, Zyxel, Netgear devices
2023/06/22 BleepingComputer — Mirai ボットネットの亜種が、D-Link／Arris／Zyxel／TP-Link／Tenda／Netgear／MediaTek などのデバイスを制御し、分散型サービス拒否 (DDoS) 攻撃を実行するために、約 20件の脆弱性を標的にしているという。このマルウェアは、3月14日に始まり 4月と6月に急増している。そして、この２つの進行中のキャンペーンを調査していた、Palo Alto Networks Unit 42 の研究者たちにより発見されている。6月22日に発表されたレポートの中で研究者たちは、このボットネット開発者は、悪用可能な脆弱性に関するコードを追加し続けていると警告している。
Continue reading “D-Link／Zyxel／Netgear デバイス：Mirai ボットネットが 22件の脆弱性を狙っている”Microsoft: Hackers hijack Linux systems using trojanized OpenSSH version
2023/06/22 BleepingComputer — 最近に確認されたクリプト・ジャッキング・キャンペーンの一環として、インターネットに公開された Linux や IoT デバイスが、ブルートフォース攻撃で乗っ取られていると、Microsoft が警告している。標的とするシステムへのアクセスを取得した攻撃者は、トロイの木馬化された OpenSSH パッケージを展開し、侵害されたデバイスをバックドア化し、SSH 認証情報を盗んで永続性を維持する。
Continue reading “OpenSSH のトロイの木馬：Linux ベースの Hiveon OS を乗っ取りクリプト・ジャッキング”3CX data exposed, third-party to blame
2023/06/20 SecurityAffairs — サイバー攻撃の被害者を嘲笑うべきではないが、「初めて騙されたのなら相手が悪いが、続けて騙されたのなら自分が悪い」という言葉が、昔から繰り返して使われてきたのには、なんらかの理由があるのだろう。2023年の初めに、北朝鮮のハッカーと思われる人物が 3CX にサプライチェーン攻撃を仕掛け、同社のソフトウェアを使用してデバイス上にマルウェアをばらまいた。
Continue reading “3CX のデータ漏洩：Elasticsearch／Kibana のオープンなインスタンスが原因だったのか？”New RDStealer malware steals from drives shared over Remote Desktop
2023/06/20 BleepingComputer — RedClouds として追跡されているサイバースパイ／ハッキングのキャンペーンは、カスタム・マルウェア RDStealer を使用し、Remote Desktop 接続を介して共有されたドライブから、データを自動的に盗み出すものだ。この、Bitdefender Labs が発見した悪質なキャンペーンは、2022年以降において東アジアのシステムを標的にしていることが確認されている。このキャンペーンを、特定の脅威アクターによるものと断定はできないが、国家に支援される洗練された APT レベルの技術を持ち、関心の対象は中国と一致しているという。
Continue reading “RDStealer という強力なマルウェアが登場：RDP 侵害に特化した機能で東アジアを狙っている”Android spyware camouflaged as VPN, chat apps on Google Play
2023/06/19 BleepingComputer — Google Play 上の３件の Android アプリが、標的のデバイスから位置情報や連絡先リストなどを収集するに、国家に支援された脅威アクターにより運用されていたことが判明した。それらの悪意の Android アプリを発見した Cyfirma は、「遅くとも 2018年以降において、東南アジアの著名な組織を標的としている、インドのハッキング・グループ APT-C-35 (DoNot) が操作していたと、中程度の信頼性で判断している」と述べている。
Continue reading “Google Play にインド APT 由来のスパイウェア：VPN／Chat アプリを装っていた”
IoT OT Security News 
You must be logged in to post a comment.