Malware – Page 2 – IoT OT Security News

SAP の深刻な脆弱性 CVE-2025-31324 を悪用：Linux マルウェア Auto-Color の抑制的な振る舞い

Critical SAP flaw exploited to launch Auto-Color Malware attack on U.S. company

2025/07/30 SecurityAffairs — SAP NetWeaver の脆弱性 CVE-2025-31324 を悪用する脅威アクターが、米国の化学関連企業を標的として Auto-Color Linux マルウェアを展開した事例について、サイバー・セキュリティ企業 Darktrace が報告している。Darktrace によると、2025年4月の時点で、米国拠点の化学企業のネットワーク内において、Auto-Color バックドア・マルウェアの活動が確認されたという。そのときの脅威アクターは、３日間にわたりネットワークにアクセスし、複数の不審なファイルのダウンロードを試行しながら、Auto-Color に関連する不正なインフラと通信していたようだ。

マルウェアの開発能力を考える：AI が人間を凌駕する状況を “Koske” が証明

AI-Generated Linux Miner ‘Koske’ Beats Human Malware

2025/07/25 DarkReading — 新たに発見されたクリプトマイナーが示すのは、人工知能 (AI) を駆使して開発されるマルウェアは完全に新しいものであり、人間が作成するマルウェアを超えるコードを生成しているという事実である。Aqua Nautilus の研究者たちは、ハニーポットから新たな Linux マルウェアを発見し、それを Koske と命名した。このマルウェアは、本質的にクリプトマイナーであり、感染させたコンピュータの能力を特定し、Monero／Ravencoin などの 18種類の暗号通貨を獲得するために最適化された、マイナーを実行するように設計されている。

Amazon Q の脆弱性 CVE-N/A が FIX：リポジトリの侵害と謎めいたマルウェアの展開

Amazon AI coding agent hacked to inject data wiping commands

2025/07/25 BleepingComputer — Visual Studio Code 用の GenAI アシスタントである Amazon Q Developer Extension に、あるハッカーがデータ・ワイパー・コードを埋め込んだという。この Amazon Q の GenAI アシスタントを用いる開発者たちは、無料のエクステンションに支援され、コーディング／デバッグ／ドキュメント作成／カスタム・コンフィグ設定などを可能にしている。Microsoft の Visual Studio Code (VSC) マーケットプレイスで入手が可能な Amazon Q の人気は高く、インストール数は 100 万件近くに達している。

LLM-Powered マルウェアが登場：ロシアの APT28 が採用する AI 機能の統合とは？

First Known LLM-Powered Malware From APT28 Hackers Integrates AI Capabilities into Attack Methodology

2025/07/24 CyberSecurityNews — 新たに明らかになった LAMEHUG 攻撃が示唆するのは、サイバー・セキュリティにおける画期的な出来事である。大規模言語モデル (LLM) を実環境のマルウェアにダイレクトに組み込むロシア政府系 APT28 (Fancy Bear) は、それぞれの感染させたホストから、カスタマイズされたシェル・コマンドを即座に受信できるようにしている。Hugging Face の公開 API を介することで、攻撃者は　Qwen2.5-Coder-32B-Instruct モデルを呼び出す。この手法により、従来の静的ペイロード制約を回避し、これまでにはなかった柔軟性を実現している。

DeerStealer は最先端のマルウェア：武器化された LNK と LOLBin Tool による動的な攻撃とは？

DeerStealer Malware Spread Through Weaponized .LNK and LOLBin Tools

2025/07/22 gbhackers — 高度に難読化された多段階の攻撃チェーンを通じて、DeerStealer インフォスティーラーを拡散する、新たなサイバー攻撃の波が出現している。そこで用いられるのは、Windows ショートカット・ファイル “.LNK” と、正規のシステム・ユーティリティを悪用する、Living-off-the-Land Binaries and Scripts (LOLBin/S) という手口である。

SVG ファイルに取り込まれる悪意の JavaScript：ステガノグラフィによる武器化が進んでいる

Threat Actors Weaponizing SVG Files to Embed Malicious JavaScript

2025/07/17 CyberSecurityNews — Scalable Vector Graphics (SVG) ファイルを精密誘導型マルウェアへと、脅威アクターたちが巧妙に変貌させている。フィッシング攻撃で配信される、無害に見える “.svg” 形式の悪意の添付ファイルが、メール・フィルターにより静止画像として誤認され、安全のためのメールゲート・ウェイをすり抜けていく。さらに、それらのファイルを受信者がプレビューするだけで、隠された JavaScript がブラウザ内で実行され、目に見えないリダイレクト・チェーンがトリガーされ、攻撃者のインフラへと被害者が誘導されていくという。

Chrome の武器化された Extension 群：アップデートにより悪意へと変貌し 170 万人を騙す

Weaponized Chrome Extension from Webstore With Verification Badge Infected 1.7 Million Users

2025/07/08 CyberSecurityNews — Chrome ユーザー 170万人以上を感染させた、高度なマルウェア攻撃キャンペーンは、正当に見える 11個のブラウザ・エクステンションを配布するものだった。それらの、すべてのエクステンションは、Google による認証済みバッジを取得し、Chrome Web Store において注目の広告として掲載されていた。このインシデントは、最大級のブラウザ・ハイジャック攻撃であり、ユーザーが安全なエクステンションを見分けるための信頼シグナルが、悪用されたことになる。なお、この “Malicious11” キャンペーンを発見したのは、Koi Security のサイバー・セキュリティ研究者たちである。

LNK ファイル攻撃が 50% も急増：４種類のマルウェア・カテゴリーを特定／分析する

Surge in LNK File Weaponization by 50%, Fueling Four Major Malware Types

2025/07/03 gbhackers — Palo Alto – Unit 42 のテレメトリ・データによると、マルウェア配布における Windows ショートカット (LNK) ファイルの武器化が前年から 50% も増加し、悪意の LNK サンプルは、2023年の 21,098 件から 2024年の 68,392 件へと急増しているという。本来の LNK ファイルは、複雑なフォルダ構造をナビゲートせずに、ファイルやアプリケーションへアクセスするための仮想リンクとして使用されるが、その柔軟性からサイバー犯罪者にとっても、強力な攻撃ツールとなっている。

Remcos RAT がフィッシング経由で拡散中：戦術は “.pif” ファイルの悪用と UAC バイパス

Hackers Deliver Remcos Malware Via .pif Files and UAC Bypass in Windows

2025/06/30 gbhackers — DBatLoader マルウェアを介して、Remcos リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) が配信する、高度なフィッシング・キャンペーンが確認されている。ANY.RUN のインタラクティブ・サンドボックスで解析された、この攻撃チェーンは、UAC (User Account Control) バイパス技術／不明瞭化されたスクリプト／LOLBAS (Living Off the Land Binaries and Scripts) の悪用／永続化メカニズムなどを組み合わせ、検出を回避しながらシステムへの侵入を図るものだ。

Rust マルウェアを解析する RIFT (Rust Identification and Function Tagging)：OSS ツールとして Microsoft が公開

RIFT – Microsoft’s New Open-Source Tool to Analyze Malware in Rust Binaries

2025/06/30 CyberSecurityNews — Rust バイナリ内に隠されたマルウェアを識別／分析する、サイバー・セキュリティ・アナリストたちを支援するためにデザインされた、画期的な OSS ツールである RIFT (Rust Identification and Function Tagging) が、Microsoft からリリースされた。これまでの５年間で、サイバー・セキュリティ・コミュニティが目の当たりにしてきたのは、Rust ベースのマルウェア開発へと向かう大きな移行だった。注目すべき Rust への移行例としては、2021年12月の BlackCat ランサムウェア、そして、2022年6月の Hive ランサムウェアが挙げられる。

Windows／Linux を標的とする活動を観測：正規ツールとマルウェアを組み合わせる戦術

Threat Actors Exploit Windows and Linux Server Vulnerabilities to Deploy Web Shells

2025/06/28 gbhackers — ファイル・アップロードの脆弱性を悪用する脅威アクターが、Windows／Linux システムに対して、Web シェルや高度なマルウェアを展開する様子が確認されている。この攻撃キャンペーンの特質は、公開されている正規ツールと悪意のカスタム・ペイロードの組み合わせにあり、イニシャル・アクセス／永続化／ラテラル・ムーブメントなどを介して組織ネットワークの侵害を試行する、高度に組織化された取り組みを示している。

ConnectWise コンフィグを悪用する EvilConwi マルウェア：Authenticode スタッフィング攻撃とは？

Threat Actors Abuse ConnectWise Configuration to Build a Signed Malware

2025/06/24 CyberSecurityNews — 正規の ConnectWise リモート・アクセス・ソフトウェアを悪用し、有効な署名を持つ悪意のアプリケーションを作成するという、高度なマルウェア攻撃が出現した。このマルウェアが示すのは、サイバー犯罪の戦術の大きな進化である。2025年3月以降において、セキュリティ研究者たちが確認しているのは、EvilConwi と呼ばれる手法を用いる攻撃の急増である。それは、ConnectWise アプリケーションの正規のデジタル署名を維持する攻撃者に対して、カスタムなリモート・アクセス・マルウェアの作成を許す手法である。

Shadow Vector マルウェアの脅威：SVG イメージを入口に AsyncRAT／RemcosRAT を展開

Shadow Vector Malware Uses SVG Images to Deliver AsyncRAT and RemcosRAT Payloads

2025/06/23 gbhackers — Acronis Threat Research Unit (TRU) が発見したのは、驚くべきサイバー脅威の展開である。Shadow Vector と呼ばれる脅威キャンペーンが、悪意の SVG (Scalable Vector Graphics) ファイルという新たな攻撃ベクターを用いて、コロンビアの国民を積極的に標的化しているのだ。信頼できる国家機関を装うスピアフィッシング・メールに埋め込まれた、これらの SVG ファイルは緊急の裁判所通知を装うものであり、国民の信頼を悪用して危険なペイロードをダウンロードさせようとする。

PowerShell Loader の進化：中国で発見された高ステルス性のポスト・エクスプロイト・ツール

PowerShell Loaders Use In-Memory Execution to Evade Disk-Based

2025/06/20 gbhackers — 最近の脅威ハンティング・セッションで明らかにされたのは、中国のサーバ “IP: 123.207.215.76” のオープン・ディレクトリにホストされている、“y1.ps1” という名の高度な PowerShell スクリプトの存在である。このシェルコード・ローダーとして動作するスクリプトは、2025年6月1日に初めて検出されたものであり、高度なインメモリ実行技術を用いて、従来からのディスク・ベースの検出メカニズムを回避していくという。

JPEG に潜むマルウェア：ステガノグラフィと Base64 難読化を巧妙に実装

Malicious Payload Found in JPEG Image Using Steganography and Base64 Obfuscation

2025/06/16 gbhackers — 無害に見える JPEG イメージの中に、悪意のペイロードを隠す巧妙な手法を、サイバー・セキュリティ研修者である Xavier が明らかにした。この発見が浮き彫りにするのは、データの中に悪意を隠すステガノグラフィ技術を用いるサイバー脅威が、その複雑さが増している状況であり、情報セキュリティ・コミュニティで大きな関心を集めている。これらの隠されたペイロードを、動的な解析により発見できるという Xavier の発見は、こうした脅威を解読するための、説得力のあるケース・スタディとなっている。

React Native Package 16種類に RAT：一晩で仕込まれた組織的な悪意とは？

Developers Beware! 16 React Native Packages With Million of Download Compromised Overnight

2025/06/09 CyberSecurityNews — 一週間のダウンロード数が合計で 100万回以上に達するという、人気の React Nativeパッケージ 16件が、巧妙なサプライチェーン攻撃により侵害され、NPM エコシステムに対する脅威が深刻化している。この、2025年6月6日に開始された攻撃では、React Native Aria エコシステムと GlueStack フレームワーク内のパッケージに体系的なバックドアが仕掛けられ、持続的なシステム制御とデータ窃取機能を確立する、高度なリモートアクセス型トロイの木馬 (RAT) が展開された。

Wazuh Server RCE 脆弱性 CVE-2025-24016：Mirai 亜種による攻撃を観測

Critical Wazuh Server RCE Vulnerability Exploited to Deploy Mirai Variants

2025/06/09 CyberSecurityNews — Wazuh サーバに存在する深刻なリモート・コード実行の脆弱性が悪用されていることを、Akamai のセキュリティ研究者たちが発見した。この OSS セキュリティ・プラットフォームの脆弱性 CVE-2025-24016 (CVSS：9.9) は、今年の初めに公表されたものだが、実環境での攻撃が報告されたのは初めてのことである。この脆弱性を悪用する API アクセス権を持つリモート攻撃者は、悪意を持って作成された JSON ファイルを通じて、任意のコードを実行できるようになる。なお、この脆弱性が影響を及ぼす範囲は、Wazuh のバージョン 4.4.0〜4.9.0 である。

npm／PyPI エコシステムが標的：新たなサプライチェーン・マルウェア攻撃の詳細が判明

New Supply Chain Malware Operation Hits npm and PyPI Ecosystems, Targeting Millions Globally

2025/06/08 TheHackerNews — GlueStack 関連の 12以上のパッケージを標的とする、マルウェア拡散を目的としたサプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。Aikido Security は、「”lib/commonjs/index.js” への変更時に侵入した、このマルウェアを操作する攻撃者は、シェル・コマンドの実行／スクリーン・ショットの撮影／感染マシンへのファイル・アップロードが可能にする。これらのパッケージのダウンロード数は、合計で毎週約 100万回に達している」と、The Hacker News に述べている。

OpenSSH を武器化する脅威アクター：”dllhost.exe” 偽装マルウェアを解析する

Hackers Weaponize Free SSH Client PuTTY to Deliver Malware on Windows

2025/06/02 gbhackers — Linux／Windows システムにおいて、OpenSSH は安全なリモート管理を行うための標準ツールとなっている。その一方で、Windows 10 のバージョン 1803 で、OpenSSH がデフォルト・コンポーネントとして組み込まれて以来、Living Off the Land Binary (LOLBIN) として悪用されるケースも増えている。つまり、攻撃者たちは、信頼できるシステム・ツール ssh.exe を悪用して検出を回避し、永続的なアクセスを確立しようとしている。

Bitdefender のフェイク・サイト：OSS マルウェアによる階層化された侵入アプローチを採用

Fake Bitdefender Site Spreads Trio of Malware Tools

2025/05/28 InfoSecurity — 偽装された Bitdefender Web サイトを介したマルウェア・キャンペーンにより、VenomRAT などの悪意のツールが配布され、被害者システムの深層への攻撃が生じているようだ。”DOWNLOAD FOR WINDOWS” というタイトルの偽サイトは、Bitdefender の正規のウイルス対策ダウンロード・ページを模倣しているが、訪問者がリダイレクトされる先は、Bitbucket Amazon S3 にホストされている悪意のサイトである。

NPM 上の悪意のパッケージがネットワーク情報を収集：60 件のマルウェア・パッケージを発見

Dozens of malicious packages on NPM collect host and network data

2025/05/23 BleepingComputer — NPM インデックスで発見されたのは、機密性の高いホスト／ネットワークのデータを収集し、脅威アクターが制御する Discord Web フックへと送信する、60 件の悪意のパッケージである。Socket の脅威調査チームによると、これらのパッケージは、5月12日以降において、３つのパブリッシャー・アカウントから NPM リポジトリにアップロードされたものだという。

Skitnet という多段型インフォ・スティーラーに注意：ステルス性を備え Black Basta ランサムウェアなどを配信

Ransomware Gangs Use Skitnet Malware for Stealthy Data Theft and Remote Access

2025/05/19 TheHackerNews — Skitnetと呼ばれるマルウェアを、ポスト・エクスプロイトで使用する複数のランサムウェア・グループが、機密データを窃取し、侵害したホストをリモート制御しようとしている。スイスのサイバー・セキュリティ企業 PRODAFT は、「Skitnet は、RAMP などのアンダーグラウンド・フォーラムで、2024年4月から販売されている。さらに、2025年の初頭以降においては、複数のランサムウェア攻撃者が、実際の攻撃で Skitnet を使用しているのを確認している」と、The Hacker News に述べている。

Google Calendar を C2 サーバに変える：NPM に仕掛けられた高ステルス性のマルウェアとは？

Sophisticated NPM Attack Leverages Google Calendar for Advanced Communication

2025/05/16 gbhackers — npm エコシステムで判明した驚くべき問題は、無害に見えるパッケージ os-info-checker-es6 の中に、きわめて洗練されたマルウェア攻撃が埋め込まれていることだ。2025年3月19日に、このパッケージは初めて公開され、そのイニシャル・バージョンは無害に見えたが、その後に複雑な脅威へと急速に進化している。具体的に言うと、初期のイテレーションは、基本的な OS 情報の収集に重点を置いていたが、3月22日〜23日に行われたアップデートでは、プラットフォーム対応の固コンパイル済み Node.js モジュールと、複雑な難読化技術が導入された。

Check Point のマルウェア・レポート 2025/04：FakeUpdates／Remcos／AgentTesla の蔓延と戦術の高度化

FakeUpdates, Remcos, AgentTesla Top Malware Charts in Stealth Attack Surge

2025/05/12 hackread — Check Point Research (CPR) が発表したのは、2025年4月に実施した調査の結果である。それが示すのは、より複雑で巧妙な手法を用いる攻撃者が、有害なソフトウェアを拡散しているという懸念すべき傾向である。一部の著名なマルウェア・ファミリーが依然として活動しているが、システムへの感染手法はというと、より巧妙化しており、検出が困難になっているという。

npm で新たなリポジトリ汚染：人気パッケージ “rand-user-agent” が標的にされた

Supply chain attack hits npm package with 45,000 weekly downloads

2025/05/08 BleepingComputer — npm パッケージ “rand-user-agent” がサプライチェーン攻撃を受け、難読化されたコードを注入されたことが判明した。このコードは、ユーザーのシステム上で RAT(Remote Access Trojan) を起動させるよう設計されている。“rand-user-agent” パッケージは、ランダムなユーザー・エージェント文字列を生成するツールであり、Web スクレイピング／自動テスト／セキュリティ研究などに役立つものだ。このパッケージは、現在では非推奨となっているが、週平均で 45,000 件ものダウンロード数を誇っている。

MirrorFace という脅威：強力なカスタム・マルウェアを武器に日本と台湾の組織を狙う

MirrorFace Targets Japan and Taiwan with ROAMINGMOUSE and Upgraded ANEL Malware

2025/05/08 TheHackerNews — MirrorFace として知られる国家主導の脅威アクターが、日本と台湾の政府機関および公的機関を標的とするサイバー・スパイ活動の一環として、ROAMINGMOUSE と呼ばれるマルウェアを展開していることが確認された。2025年3月の時点で Trend Micro が検知した活動は、スピアフィッシングのルアーを用いて、ANEL と呼ばれるバックドアの最新バージョンを配信するものだ。

GeoVision の製造中止 IoT 機器の脆弱性 CVE-2024-6047／11120：ボットネット LZRD による悪用を観測

Botnet Exploits Old GeoVision IoT Devices via CVE-2024-6047 & CVE-2024-11120

2025/05/07 SecurityOnline — GeoVision の製造中止となった IoT デバイスに存在する、２つのコマンド・インジェクション脆弱性が積極的に悪用されていることを、Akamai の Security Intelligence and Response Team (SIRT) が特定した。Akamai は、「2024年6月／11月に公開された、脆弱性 CVE-2024-6047／CVE-2024-11120 が、積極的に悪用された初めての事例となる」と述べている。

Linux が標的の Go モジュール・マルウェア：ディスク完全削除でサプライチェーンを狙う

Malicious Go Modules Deliver Disk-Wiping Linux Malware in Advanced Supply Chain Attack

2025/05/03 TheHackerNews — サイバー・セキュリティ研究者たちが発見した、３つの悪意のある Go モジュールは、次段階のペイロードを取得する難読化コードにより、Linux システムのプライマリ・ディスクを永久に上書きし、起動不能にする可能性があるものだ。それらのパッケージ名は、以下の通りである：

github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy

Magento エクステンションを狙うサプライチェーン攻撃：６年前から Tigren／Meetanshi／MGS が標的化？

Magento supply chain attack compromises hundreds of e-stores

2025/05/02 BleepingComputer — Magento エクステンション 21種類を狙うサプライチェーン攻撃により、500～1,000 件の eコマース・ストアが侵害を受けており、その中には、$40 billion 規模の多国籍企業のものも含まれている。この攻撃を発見した Sansec の研究者によると、2019年から一部のエクステンションにはバックドアが仕掛けられていたが、悪意のあるコードが有効化されたのは、2025年4月になってからだという。

PyPI に７つの悪意のパッケージ：Gmail SMTP への信用を悪用する新たな手口

Seven Malicious Packages Exploit Gmail SMTP to Run Harmful Commands

2025/05/02 gbhackers — Python Package Index (PyPI) に公開された７つのパッケージに、相互に関連する悪意が潜んでいることが、Socket 脅威調査チームの研究者たちにより発見された。それは、Python オープンソース・コミュニティを揺るがす、大規模なサプライチェーン・セキュリティ・インシデントを示すものだ。

Ivanti Connect Secure の脆弱性 CVE-2025-0282 が標的：DslogdRAT の展開を検証 – JPCERT/CC

Hackers Exploit Ivanti Connect Secure 0-Day to Deploy DslogdRAT and Web Shell

2025/04/24 gbhackers — Ivanti Connect Secure のゼロデイ脆弱性 CVE-2025-0282 を悪用する脅威アクターが、Web シェルや DslogdRAT などの、高度な悪意のツールを展開している。JPCERT/CC の詳細な分析によると、これらの攻撃が浮き彫りにするのは、サイバー犯罪者たちに頻繁に標的化される、Ivanti 製品における執拗かつ最新のリスクである。

Zoom のリモート・コントロール機能を悪用：巧妙なソーシャル・エンジニアリングに要注意

Hackers Abuse Zoom’s Remote Control to Access Users’ Computers

2025/04/22 gbhackers — 新たに発覚したハッキング攻撃は、Zoom のリモート・コントロール機能を悪用し、企業幹部や暗号通貨に関連する企業を標的とするものだ。被害者のコンピュータを、攻撃者はワンクリックで乗っ取ることができる。この高度な攻撃は、ELUSIVE COMET という脅威グループによるものとされる。技術的な欠陥が悪用されたわけではなく、ソーシャル・エンジニアリングや人為的ミスが原因となり、組織セキュリティにおける最大の弱点となるという、近年の傾向を浮き彫りにしている。

Booking.com を装うフィッシング詐欺：偽の CAPTCHA を使用して AsyncRAT を展開

Booking.com Phishing Scam Uses Fake CAPTCHA to Install AsyncRAT

2025/04/21 HackRead — 偽の Booking.com メールを使用してホテルのスタッフを狙う、新たなフィッシング・キャンペーンが確認された。この攻撃はソーシャル・エンジニアリングを巧みに利用し、被害者自身のシステム上で悪意のコマンドを実行させ、最終的にホテルのネットワークを AsyncRAT に感染させ、さらなる侵害の拡大を目的とするものだ。

npm に潜む悪意のパッケージを発見：Telegram Bot API を装い SSH バックドアを展開

Rogue npm Packages Mimic Telegram Bot API to Plant SSH Backdoors on Linux Systems

2025/04/19 TheHackerNews — npmレジストリ内に存在し、人気の Telegram ボット・ライブラリを装いながら、SSH バックドアとデータ窃取の機能を隠し持つ３つの悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。

Windows の脆弱性 CVE-2025-24054：NTLM ハッシュ漏洩の大規模キャンペーンが発覚

CVE-2025-24054: Actively Exploited NTLM Hash Disclosure Vulnerability

2025/04/16 SecurityOnline — Windows の脆弱性 CVE-2025-24054 が、積極的に悪用されていると、Check Point Research が警告を発している。この新たに公開された脆弱性だが、細工された “.library-ms” ファイルを悪用する攻撃者に対して、NTLMv2-SSP ハッシュの漏洩を許すとされる。2025年3月11日の修正プログラムで、すでに Microsoft がパッチを提供している脆弱性 CVE-2025-24054 であるが、Windows のサポートが有効な全バージョンに影響を与えるものであり、その公開から２週間も経たないうちに実環境で攻撃に悪用されている。

Ivanti の脆弱性 CVE-2025-22457：APT による攻撃の解析と PoC の提供

Ivanti 0-Day RCE Flaw Exploitation Details Revealed

2024/04/11 gbhackers — Ivanti が公表した、認証不要の深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-22457 により、サイバー・セキュリティ業界全体に懸念が広がっている。この脆弱性は複数の Ivanti 製品に影響を及ぼすものであり、攻撃者に対してリモート・コード実行を許すため、企業の機密環境が危険にさらされる可能性がある。その一方で、Rapid7 の脆弱性対策チームなどの研究者たちが、この脆弱性の悪用の方法と、その修正に必要な手順について、詳細な分析結果を公開している。

Windows CLFS の脆弱性 CVE-2025-29824：PipeMagic RAT を介したランサムウェア攻撃で悪用

PipeMagic Trojan Exploits Windows Zero-Day Vulnerability to Deploy Ransomware

2025/04/09 TheHackerNews — Microsoft が明らかにしたのは、Windows Common Log File System (CLFS) に影響を及ぼす、すでに修正済みのセキュリティ脆弱性を、ゼロデイとして悪用するランサムウェア・グループが、標的を絞り込んだ攻撃を仕掛けていることだ。同社は、「この標的には、米国の IT 分野および不動産業界や、ベネズエラの金融業界、スペインのソフトウェア企業、サウジアラビアの小売業界などが含まれる」と述べている。

CISA KEV 警告 25/04/08：Windows CLFS と Gladinet CentreStack の脆弱性を登録

Critical Vulnerabilities: CISA Alerts to Windows CLFS and Gladinet CentreStack Threats

2025/04/09 SecurityOnline — 4月8日付で米国の Cybersecurity and Infrastructure Security Agency (CISA) は、２件の深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、ユーザーに対して速やかにパッチを適用するよう促している。１つ目は、Microsoft Windows Common Log File System (CLFS) の脆弱性 CVE-2025-29824 であり、２つ目は、Gladinet CentreStack の脆弱性 CVE-2025-30406 である。

Microsoft 2025-04 月例アップデート：１件のゼロデイを含む 134件の脆弱性に対応

Microsoft April 2025 Patch Tuesday fixes exploited zero-day, 134 flaws

2025/04/08 BleepingComputer — 今日は Microsoft の April 2025 Patch Tuesday の日だ。今回のパッチでは、134件の脆弱性に対するセキュリティ・アップデートが提供され、その中には、現時点で悪用されているゼロデイ脆弱性１件が含まれる。なお、今回の月例パッチでは、Critical レベルの脆弱性が 11件も修正されているが、そこにはリモートコード実行の脆弱性も含まれている。

EncryptHub の悪意と SkorikARI の善意：600+ の組織を侵害し Microsoft にはバグを報告する人物とは？

EncryptHub’s dual life: Cybercriminal vs Windows bug-bounty researcher

2024/04/07 BleepingComputer — 618 の組織に対する情報漏洩インシデントに関与したとされる、悪名高い脅威アクター・グループ EncryptHub は、Microsoft に対しても２件の Windows ゼロデイ脆弱性を報告したとみられ、サイバー犯罪とセキュリティ研究の境界線をまたぐ、矛盾した人物の姿を明らかにしている。

Apache Tomcat の脆弱性 CVE-2025-24813 への攻撃：ハッカーたちの高度な戦術を解明する

Hackers Exploit Apache Tomcat Flaw to Hijack Servers and Steal SSH Credentials

2025/04/03 gbhackers — 新たに発見された攻撃キャンmasuペーンにより露呈した、Apache Tomcat サーバの脆弱性 CVE-2025-24813 を悪用するハッカーたちは、リソースの乗っ取りと SSH 認証情報の窃取を可能にしている。この問題の発見から 30 時間以内にボットネットを武器化した一連の攻撃は、暗号化されたペイロードと高度な永続化メカニズムを用いるものであり、Windows／Linux プラットフォームで稼働するシステムに侵入したことを、Aqua Nautilus の研究者たちが明らかにした。

Ivanti ICS の脆弱性 CVE-2025-22457：中国スパイ・グループ UNC5221 による悪用を観測

Ivanti patches Connect Secure zero-day exploited since mid-March

2025/04/03 BleepingComputer — Ivanti が 2025年4月3日に公開したのは、Ivanti Connect Secure (ICS) に存在する、深刻なリモート・コード実行の脆弱性を修正するセキュリティ・アップデートだ。この脆弱性は、中国関連のスパイ・グループにより、遅くとも 2025年3月中旬から、マルウェアの展開で悪用されていたことが確認されている。

Stripe API を悪用する Web スキミング：オンライン・ストアから効率よくクレカ情報を盗み出す

Hackers Exploit Stripe API for Web Skimming Card Theft on Online Stores

2025/04/03 HackRead — オンライン小売業を標的とする高度な Web スキミング・キャンペーンを、Jscamblers のサイバー・セキュリティ研究者たちが発見した。このキャンペーンは、盗み出したクレジットカードの詳細を、レガシー API を介して悪意のサーバへと送信するものだが、その前にリアルタイムで情報を検証する点に特徴がある。この手法により、アクティブで有効なカード番号のみを、攻撃者は収集できるため、侵害における効率と利益が大幅に向上する。

PostgreSQL のインスタンス 1,500+ を悪用：XMRig をファイルレスで展開するキャンペーンとは？

Over 1,500 PostgreSQL Servers Compromised in Fileless Cryptocurrency Mining Campaign

2025/04/01 TheHackerNews — インターネットに露出する PostgreSQL インスタンスが、進行中のキャンペーンのターゲットにされているが、その目的は、不正アクセスの取得と、暗号通貨マイナーの展開にあるという。クラウド・セキュリティ企業 Wiz によると、2024年8月の時点で Aqua Security がフラグを付けた、侵入セットの亜種による活動が検出され、PG_MEM と呼ばれるマルウェア株が展開されているという。このキャンペーンは、Wiz が JINX-0126として追跡している、脅威アクターによるものとされる。