Repository – Page 4 – IoT OT Security News

GitHub の脆弱性 CVE-2024-0200 が FIX：漏洩キーのローテーションにも対応

GitHub rotates keys to mitigate impact of credential-exposing flaw

2024/01/16 BleepingComputer — GitHub がローテーションしたキーは、2023年12月に発生した脆弱性へのパッチ適用により、公開されてしまう可能性があるものだ。この脆弱性の悪用に成功した攻撃者は、環境変数を介して運用中のコンテナ内の認証情報にアクセスできたという。この、不適切なリフレクションの脆弱性 CVE-2024-0200 が悪用されると、パッチ未適用のサーバ上で、リモート・コード実行にいたる可能性がある。

GitHub 2023 調査：リポジトリを悪用するサイバー攻撃の増加 – Recorded Future

Security Experts Urge IT to Lock Down GitHub Services

2024/01/15 InfoSecurity — GitHub サービスを悪用して秘密裏にサイバー攻撃を仕掛けるケースが増えていると、脅威インテリジェンス企業である Recorded Future が警告している。同社は、企業の IT チームに対して、対策を講じるよう呼びかけている。Recorded Future の最新レポート “Flying Under the Radar: Abusing GitHub for Malicious Infrastructure” では、脅威アクターに最もよく悪用される GitHub サービスが列挙されている。

PyPI に潜む Blank Grabber マルウェア：Python 開発者たちを狙い続ける

“Blank Grabber” Malware in PyPI: A Silent Threat to Python Developers

2024/01/14 SecurityOnline — Python Package Index (PyPI) は、開発者のコーディング効率を向上させるための、膨大なパッケージ・ライブラリとして認識されている。しかし、この革新的なレポジトリに潜んでいる Blank Grabber マルウェアが、新たなサイバー・セキュリティの脅威となっている。

GitLab の深刻な脆弱性 CVE-2023-7028／CVE-2023-5356 などが FIX：直ちにアップデートを！

CVE-2023-7028 & 5356: GitLab Addresses Account Takeover & Command Flaws

2024/01/11 SecurityOnline — 進化し続けるサイバー脅威の状況に対応するために、DevOps 分野で有名な GitLab が、先日に一連の重大な脆弱性を修正した。今回のアップデートで修正された脆弱性には、Critical なものとして CVE-2023-7028／CVE-2023-5356 があるが、その他にも３件の脆弱性が修正されている。

ファイル共有のベスト・プラクティス：SaaS の公開リンクが攻撃対象になる理由とは？

Why Public Links Expose Your SaaS Attack Surface

2024/01/09 TheHackerNews — SaaS の強力なセールスポイントとなっているのは、アプリケーション間における連携機能である。Microsoft／Github／Miro などは、ユーザーのパフォーマンスを高めるものとして、各々のソフトウェア・アプリケーションの連携性の高さを訴求している。ファイル／リポジトリ／掲示板などへのリンク URL は、どこでも、誰とでも、共有できる。それにより、地域や部署を越えて分散している従業員間の連携が促進され、より強力なキャンペーンやプロジェクトを生み出すためのチームワークが後押しされる。

Harmony ライブラリを使用した .NET マルウェア対抗策が公開 – Check Point 調査

New Research: Tackling .NET Malware With Harmony Library

2024/01/08 InfoSecurity — 2024年1月8日に、セキュリティ研究者たちが発表したのは、Harmony ライブラリを使用して .NET マルウェアに対抗するための、戦略的洞察に関するレポートだ。マルウェア研究者／アナリスト／リバース・エンジニアたちにとって、コードの特定の部分の機能を操作する能力は、分析プロセスで有意義な結果を得るために不可欠なものだ。

ソフトウェア・サプライ・チェーンの安全性：三本柱の実践で改善できるはず

Three Ways To Supercharge Your Software Supply Chain Security

2024/01/04 TheHackerNews — “Executive Order on Improving the Nation’s Cybersecurity” の第４節で紹介されているのは、技術業界の人々のための、ソフトウェア・サプライ・チェーンと安全性確保の概念である。もし、あなたがソフトウェアを作り、それを連邦政府機関に売りたいと考えているのであれば、ソフトウェア・サプライ・チェーンについて注意を払う必要がある。もし、政府機関に販売する計画がないとしても、ソフトウェア・サプライ・チェーンを理解し、その安全性を確保する方法を学ぶことで、より強固なセキュリティの足場とメリットという配当が得られる。この記事では、ソフトウェア・サプライチェーンのセキュリティを強化するための、３つの方法について説明していく。

npm で発生した “依存性地獄”：パッケージ削除を禁止する最悪の連鎖が発生

‘everything’ blocks devs from removing their own npm packages

2024/01/04 BleepingComputer — 年末年始の連休中に、npm パッケージのレジストリは 3,000以上のパッケージで溢れかえった。この、”everything” をダウンロードするように命名されたパッケージは、すべての npm パッケージを徐々に取り込む。それらは、コンピュータ上の npmjs.com レジストリに公開されものであり、ストレージが不足する可能性がある。しかし、このような問題は、氷山の一角にすぎない。つまり、誰が “everything をインストールするのかという疑問は、このパッケージが持っている、もっと大きな副作用を無視している。

PyPI に新たな悪意のパッケージ： Linux デバイス上で CoinMinerを展開

Python’s New Threat: Malicious PyPI Packages Targeting Linux Devices

2024/01/03 SecurityOnline — 先日に Python コミュニティで、Linux デバイス上に CoinMinerを展開する、３つの悪意の PyPI (Python Package Index) パッケージが発見された。これらのパッケージ modularseven-1.0／driftme-1.0／catme-1.0 は、FortiGuard の AI 駆動型 OSS マルウェア検出システムにより発見されたものであり、オープンソースのエコシステムを標的とする、攻撃の洗練度の大幅なエスカレーションを示唆している。

GitHub の2FA 義務化：2024年1月19日から正式スタート

GitHub warns users to enable 2FA before upcoming deadline

2023/12/26 BleepingComputer — GitHub アカウントにおいて、２要素認証 (2FA) が有効化されていない場合には、同サイトでの機能が制限されると警告されている。クリスマス・イブに GitHub ユーザーに送られたメールには、 GitHub.com でコードをコントリビュートしている全ユーザーは、2024年1月19日までに 2FA を有効化する必要があると記されている。

GitHub の gists／commits 機能：マルウェアのホストに悪用されている

Unsung GitHub Features Anchor Novel Hacker C2 Infrastructure

2023/12/19 DarkReading — ある GitHub アカウントが、このサイトの２つのユニークな機能を悪用して、ステージ２のマルウェアをホストしていることを、研究者たちが発見した。この、パブリックなサービスが、不正行為の拠点としてハッカーに再利用されることが、最近になって増えてきている。ハッカーたちは、コード・リポジトリやファイル共有サービスにマルウェアを格納し、メッセージング・アプリから Command and Control (C2) を実行することに加えて、SaaS (Software-as-a-Service) プラットフォームを悪用することで、想像もつかないような手口で悪事を働くことがある。

npm で発見された 48個の悪意のパッケージ：難読化されたリバースシェルを展開

48 Malicious npm Packages Found Deploying Reverse Shells on Developer Systems

2023/11/03 TheHackerNews — npm リポジトリで、48個の悪意の npm パッケージ・セットが、新たに発見された。それらは、侵害したシステム上にリバースシェルを展開する機能を持っているという。ソフトウェア・サプライチェーンのセキュリティ企業 Phylum は、「これらのパッケージは、正規のパッケージを偽装されており、そのインストール時にリバースシェルを開始するための、難読化された JavaScript を取り込んでいる」と述べている。すべての偽造パッケージは、hktalent (GitHub／X) という npm ユーザーにより公開されている。この記事の執筆時点で、hktalent がアップロードしたパッケージのうち、39個がダウンロード可能な状態にある。

NuGet パッケージに潜む SeroXen RAT：GitHub にホストされるペイロードへの導線

Malicious NuGet Packages Caught Distributing SeroXen RAT Malware

2023/10/31 TheHackerNews — NuGet パッケージ・マネージャに公開された、珍しいマルウェア展開の方法を用いる悪意のパッケージの新しいセットを、サイバー・セキュリティ研究者たちが発見した。ソフトウェア・サプライ・チェーンのセキュリティ企業である ReversingLabs は、「このキャンペーンは、SeroXen RAT と呼ばれるリモート・アクセス型トロイの木馬を配信するために、不正な NuGet パッケージのホストとの関連付けを用いながら、2023年8月1日以降において広まってきている」と説明している。

EleKtra-Leak クリプトジャッキング： AWS IAM と GitHub のギャップを突いて活動

EleKtra-Leak Cryptojacking Attacks Exploit AWS IAM Credentials Exposed on GitHub

2023/10/30 TheHackerNews — EleKtra-Leak と名付けられた現在進行中の新しいキャンペーンは、クリプト・ジャッキング活動を促進するために、パブリックな GitHub リポジトリ内の公開された、Amazon Web Service (AWS) の ID／IAM 資格情報に目をつけた。Palo Alto Networks Unit 42 の研究者である William Gamazo と Nathaniel Quist は、「このキャンペーンに関与する脅威アクターたちは、複数の AWS Elastic Compute (EC2) インスタンスを作成し、広範かつ長期的なクリプトジャッキング操作に用いていた」と、The Hacker News と共有した技術レポートの中で述べている。

NuGet に悪意のパッケージ：.NET 開発者に SeroXen RAT を配信している

Malicious NuGet Package Targeting .NET Developers with SeroXen RAT

2023/10/12 TheHackerNews — .NET Framework のための NuGet パッケージ・マネージャーにホストされている悪質なパッケージが、SeroXen RAT というリモート・アクセス型のトロイの木馬を配信していることが判明した。このパッケージは、Pathoschild.Stardew.Mod.Build.Config と名付けられ、Disti というユーザーにより公開されているが、正規のパッケージであるPathoschild.Stardew.ModBuildConfig を装うタイポスクワッティングであると、サプライチェーン・セキュリティ会社 Phylum が、今日のレポートで指摘している。現時点において、正規のパッケージは約79,000ダウンロードを記録しているが、2023年10月6日に公開された悪意の亜種の方は、ダウンロード数を人為的に水増して、100,000 ダウンロードを超えているとされる。

Python に潜むマルウェア：272種類のパッケージと 75,000回のダウンロード

Hundreds of malicious Python packages found stealing sensitive data

2023/10/04 BleepingComputer — この半年で複雑さを増した悪質なキャンペーンにより、OSS プラットフォームに数百の情報窃取パッケージが仕掛けられ、そのダウンロード数は約 75,000回を数えるという。このキャンペーンについては、４月上旬から Checkmarx の Supply Chain Security チームのアナリストたちが監視しており、標的となったシステムから機密データを盗み出すためのコードを取り込んだ、272種類のパッケージが発見されている。最初に確認されたときと比べて、この種の攻撃は大幅に進化しており、さらに巧妙になった難読化レイヤと検出回避の技術が、悪意のパッケージ作成者たちにより実装されているという。

npm に悪意の rootkit パッケージ：２ヶ月間で 700 回もダウンロードされている

Rogue npm Package Deploys Open-Source Rootkit in New Supply Chain Attack

2023/10/04 TheHackerNews — npm パッケージ・レジストリで新種の偽装パッケージが発見され、r77 と呼ばれるオープンソースの rootkit が配布されていたことが判明した。問題のパッケージは、”node-hide-console-windows” であり、正規の npm パッケージ “node-hide-console-window” を模倣する、典型的なタイポスクワッティング・キャンペーンの事例となる。このパッケージは、削除されるまでの２ヶ月間に、704回もダウンロードされている。

NPM パッケージ汚染：悪意の実装を９パターンに分類 – Fortinet

Dozens of Malicious NPM Packages Steal User, System Data

2023/10/03 SecurityWeek — Fortinet のセキュリティ研究者たちは、被害者のシステムから大量の情報を採取するように設計された難読化スクリプトを取り込んでいる、複数の悪意の NPM パッケージを特定した。10月2日 (月) に Fortinet は、NPM レジストリ内の 35件の悪意のパッケージについて警告した。それらのパッケージに取り込まれているスクリプトにより、システムおよびユーザーデータが収集され、Web フックまたはファイル共有リンクを介したデータ流出が実行されるという。

GitHub における偽装 Dependabot：悪意のコードをコミットさせる新たなキャンペーン

GitHub Repositories Hit by Password-Stealing Commits Disguised as Dependabot Contributions

2023/09/28 TheHackerNews — 開発者からパスワードを盗むことを目的として、GitHub アカウントをハイジャックし、Dependabot の投稿を装いながら悪意のコードをコミットするという、新たな悪意のキャンペーンが観察された。Checkmarx はテクニカル・レポートで、「この悪意のコードは、GitHub プロジェクトで定義されたシークレットを、悪意の C2 サーバへと流出させる。それに加えて、攻撃したプロジェクト内の既存の javascript ファイルを、Webフォーム・パスワード・ステーラー・マルウェア・コードを用いて変更する」と述べている。

GitHub の Passkeys サポートが始動：Apple／Google／Microsoft と協調

GitHub passkeys generally available for passwordless sign-ins

2023/09/21 BleepingComputer −−− 9月21日に GitHub が公開した Passkeys により、すべてのユーザーのパスワードレス・ログインが、このプラットフォーム全体で利用可能となり、フィッシングからアカウントが保護されるようになる。Passkeys は、コンピューター／タブレット／スマートフォンなどのデバイスにリンクされ、フィッシング攻撃からの保護や、不正アクセスの阻止を提供することで、データ漏洩のリスクを低減するという重要な役割を担っている。また、Passkeys は、暗証番号や指紋／顔認証などの生体認証といった、個人識別方法を通じて、アプリやオンライン・サービスへのアクセスを容易にする。

npm の悪意のパッケージの新たな動向：Kubernetes コンフィグと SSH キーを盗み出す

Fresh Wave of Malicious npm Packages Threaten Kubernetes Configs and SSH Keys

2023/09/20 TheHackerNews — 侵害済のマシンからリモート・サーバへ向けて、Kubernetes のコンフィグと SSH キーを流出させるようにデザインされた、悪意のパッケージを連携させる新たなバッチを、研究者たちが npm パッケージ・レジストリで発見した。Sonatype は、これまでに14種類の npm パッケージを発見したと発表した。具体的には、@am-fe/hooks、@am-fe/provider、@am-fe/request、@am-fe/utils、@am-fe/watermark、@am-fe/watermark-core、@dynamic-form-components/mui、@dynamic-form-components/shineout、@expue/app、@fixedwidthtable/fixedwidthtable、@soc-fe/use、@spgy/eslint-plugin-spgy-fe、@virtualsearchtable/virtualsearchtable、shineouts などである。

Culturestreak というクリプト・マイナー：GitLab Python に潜んでいる

‘Culturestreak’ Malware Lurks Inside GitLab Python Package

2023/09/20 DarkReading — 現在の脅威の状況において、あまりにも有りふれたことだが、新たな悪意のオープンソース・パッケージが、セキュリティ研究たちにより発見された。今回は、暗号通貨をマイニングするために、システム・リソースのハイジャックを試みる、GitLab 上のアクティブな Python ファイルである。この、Culturestreak と呼ばれる悪意のパッケージが、GitLab 開発者サイト上の Aldri Terakhir というユーザーのアクティブなリポジトリから発信されていることを、9月19日の Checkmarx ブログが明らかにした。

GitHub の深刻な脆弱性が FIX：ユーザー名変更にともなうレポハイジャックの問題

Critical GitHub Vulnerability Exposes 4,000+ Repositories to Repojacking Attack

2023/09/12 TheHackerNews — GitHub に新たな脆弱性が発見され、何千ものリポジトリがレポジャッキング攻撃の危険にさらされている可能性があると判明した。Checkmarx のセキュリティ研究者である Elad Rapoport は、「GitHub のリポジトリ作成とユーザー名の変更操作における、競合状態を悪用できる。この脆弱性の悪用に成功した攻撃者は、Go／PHP／Swift などによる 4,000 以上のコード・パッケージや GitHub Actions を乗っ取ることが可能となり、このオープンソース・コミュニティに深刻な影響が生じる恐れがある。2023年3月1日の情報公開に続いて、2023年9月1日付けで GitHub は、この問題に対処した」と、The Hacker News と共有した技術レポートの中で述べている。

北朝鮮の APT グループ Labyrinth Chollima：偽の VMConnect PyPI キャンペーンを実施

North Korean hackers behind malicious VMConnect PyPI campaign

2023/08/31 BleepingComputer — PyPI (Python Package Index) リポジトリに対して、悪意のパッケージをアップロードする VMConnect キャンペーンの背後には、北朝鮮の国家に支援を受けたハッカーたちが存在し、その中には VMware vSphere の正規のコネクタ・モジュール vConnector を模倣するものがある。この、VMConnect という名前の悪意のパッケージは８月初旬にアップロードされ、仮想化ツールを求める IT スペシャリストを標的としている。すでに、PyPI プラットフォームからは削除されているが、その時点で VMConnect は 237回もダウンロードされている。

npm に悪意のパッケージ：特定のディレクトリからソースコードと機密情報を採取

Malicious npm Packages Aim to Target Developers for Source Code Theft

2023/08/30 TheHackerNews — 悪意の npm パッケージを用いる未知の脅威アクターが、被害者のマシンからソースコードや設定ファイルを盗む目的で開発者を標的にするという、オープンソース・リポジトリにおける脅威が消え去らない状況が示唆されている。ソフトウェア・サプライチェーン・セキュリティ企業 Checkmarx は、「このキャンペーンの背後にいる脅威アクターの活動は、2021年ころから発生している。それ以来、彼らは継続的に、悪意のパッケージを公開している」と、The Hacker News と共有したレポートで述べている。

Microsoft PowerShell Gallery に不適切なポリシー問題：サプライ・チェーン攻撃の危険性

Microsoft PowerShell Gallery vulnerable to spoofing, supply chain attacks

2023/08/17 BleepingComputer — Microsoft の PowerShell Gallery コード・リポジトリには、パッケージの命名に関する不適切なポリシーが存在する。それを悪用する脅威アクターは typosquatting 攻撃を実行し、人気のパッケージを詐称し、大規模なサプライチェーン攻撃の基礎を築く可能性を有している。PowerShell Gallery は Microsoft が運営するオンライン・リポジトリであり、PowerShell コミュニティから様々なアップロードされたパッケージとして、各種のスクリプトとコマンドレットのモジュールをホストしている。現時点において、とても人気のあるコード・ホスティング・プラットフォームであり、月間で数千万もダウンロードされるパッケージもあるという。

GitHub からのバグ報奨金：2022年には $1.5 Million が支払われた

GitHub Paid Out $1.5 Million in Bug Bounties in 2022

2023/08/16 SecurityWeek — 8月15日 (火) に Microsoft 傘下の GitHub は、$1.57 million にのぼるバグ報奨金を、2022年2月〜2023年2月の間に支払ったことを発表した。このバグ報奨金プログラムは、2016年から HackerOne プラットフォーム上で実施されているものだが、GitHub は総額で $3.8 million を支払っている。

Python の URL 解析の脆弱性 CVE-2023-24329 が FIX：任意のコマンド実行にいたる恐れ

New Python URL Parsing Flaw Could Enable Command Execution Attacks

2023/08/12 TheHackerNews — Python の URL 解析関数に、深刻な脆弱性 CVE-2023-24329 が発見された。その悪用に成功した攻撃者は、ブロック・リストを介して実装された、ドメインやプロトコルのフィルタリング方法のバイパスが可能になるという。そして、最終的には、任意のファイルの読み取りや、コマンドの実行を引き起こすことになると判明した。

VMware vConnector などを装う悪意の PyPI パッケージ：開発者をターゲットに展開

Fake VMware vConnector package on PyPI targets IT pros

2023/08/04 BleepingComputer — VMware vSphere のコネクタ・モジュール vConnector を模倣する悪質なパッケージが、PyPI (Python Package Index) に VMConnect という名前でアップロードされている。VMware vSphere は仮想化ツール群であり、vConnector は開発者やシステム管理者が使用するインターフェース Python モジュールであり、全体的な PyPI 経由のダウンロード数は、毎月およそ 40,000件にも達するという。Sonatype の研究者であり BleepingComputer のレポーターでもある Ax Sharma によると、この悪意のパッケージは、2023年7月28日に PyPI にアップロードされた後に、2023年8月1日に削除されるまでに、237 件ほどダウンロードされたという。

npm に新たな悪意のパッケージ：開発者たちをサプライチェーン攻撃に組み込む

Malicious npm Packages Found Exfiltrating Sensitive Data from Developers

2023/08/04 TheHackerNews — npm パッケージ・レジストリ上に展開され、機密性の高い開発者情報を流出させる悪意のパッケージ群を、サイバー・セキュリティの研究者たちが発見した。2023年7月31日に、ソフトウェア・サプライチェーン企業である Phylum が発見した “test” パッケージは、その機能が向上し、洗練されていることが確認されている。Phylum の研究者たちは、「このプロジェクトの最終目的は明らかではないが、”rocketrefer” や “binarium” といったモジュールが言及されていることから、暗号通貨セクターを狙った高度な標的型キャンペーンであることが疑われている」と述べている。

JumpCloud ハッキング：北朝鮮の RGB に属する脅威アクターが関与か？

North Korean Nation-State Actors Exposed in JumpCloud Hack After OPSEC Blunder

2023/07/25 TheHackerNews — 北朝鮮の General Bureau (RGB) に所属する活動家たちが、JumpCloud のハッキングに関与しているようだ。Google 傘下の Mandiant は、UNC4899 という名前で追跡している脅威アクターに起因する活動だとしている。このグループは、ブロックチェーンと暗号通貨セクターを攻撃してきた Jade Sleet／TraderTraitor として監視されている、クラスターと重複している可能性が高いようだ。また、UNC4899 は APT43 とも重なっている。APT43 とは、北朝鮮 (DPRK) に関連する別のハッキング・グループであり、2023年3月の初旬に、標的とした企業から暗号通貨を吸い上げるための、一連のキャンペーンを実施していることが明らかになっている。

バンキング OSS サプライチェーン攻撃：銀行員を装う脅威アクターが悪意の npm パッケージを展開

Banking Sector Targeted in Open-Source Software Supply Chain Attacks

2023/07/24 TheHackerNews — 銀行業界を初めて標的とする、オープンソース・ソフトウェアのサプライチェーン攻撃が、サイバー・セキュリティの研究者たちにより発見された。Checkmarx は先週に公開したレポートで、「これらの攻撃では、被害者である銀行の Web 資産に悪意の機能を追加することで、特定のコンポーネントを標的にするといった、高度なテクニックが使用されている」と述べている。

Lazarus が開発者を狙っている：悪意の GitHub プロジェクトに御用心

GitHub warns of Lazarus hackers targeting devs with malicious projects

2023/07/20 BleepingComputer — GitHub が警告しているソーシャル・エンジニアリング・キャンペーンは、ブロックチェーン／暗号通貨／オンライン・ギャンブル／サイバー・セキュリティなどの分野の、開発者のアカウントを標的とし、彼らのデバイスにマルウェアに感染させるものだ。このキャンペーンは、北朝鮮国家支援のハッキング・グループ Lazarus と関連づけられている。Microsoft が Jade Sleet と呼び、CISA が TraderTraitor と呼ぶ、この脅威アクターの手口を詳述したレポートは、2022年に米国政府から発表されている。このハッキング・グループは、暗号通貨企業やサイバー・セキュリティ研究者たちを標的とした、サイバースパイ活動や暗号通貨の窃取を行ってきた。

AI と Open Source の関係：半数以上のプロジェクトで脆弱なパッケージが使用されている

Half of AI Open Source Projects Reference Buggy Packages

2023/07/20 InfoSecurity — AI テクノロジー・スタック全体で、オープンソースが役割を拡大しているが、大半のプロジェクト (52％) ではマニフェスト・ファイルを用いて、既知の脆弱な依存関係が参照されていると、Endor Labs は指摘している。セキュリティ・ベンダーである Endor Labs の最新レポート State of Dependency Management によると、ChatGPT の API はリリースから僅か５ヶ月で、”多様な問題領域”にまたがる 900件の npm／PyPI パッケージで使用されており、これらのパッケージの 70% は真新しいものだという。しかし、あらゆるオープンソース・プロジェクトと同様に、脆弱な依存関係に伴うセキュリティ・リスクは管理される必要があると、Endor Labs は警告している。

Google Cloud Build の深刻な脆弱性：MOVEit 悪用のような問題を生じる恐れ

Google Cloud Build bug lets hackers launch supply chain attacks

2023/07/18 BleepingComputer — クラウド・セキュリティ企業 Orca Security が発見した、Google Cloud Build サービスの重大な設計上の欠陥は、攻撃者を特権へとエスカレートさせ、Google Artifact Registry コード・リポジトリへの、ほぼ完全なアクセスを提供する可能性があるというものだ。この Bad.Build と名付けられた欠陥を悪用する脅威アクターたちは、Google Cloud Build の CI/CD (continuous integration and delivery) サービスのアカウントになりすまし、アーティファクト・レジストリに対して API コールを実行し、アプリケーション・イメージを制御することが可能になる。たとえば、悪意のコードの注入や、脆弱なアプリの作成などを行った後に、顧客の環境内に悪意のあるアプリをデプロイした攻撃者が、サプライチェーン攻撃を仕掛ける可能性が生じてくる。

Linux の偽 PoC エクスプロイトに御用心：GitHub を悪用してマルウェアを配布

Fake Linux vulnerability exploit drops data-stealing malware

2023/07/13 BleepingComputer — サイバー・セキュリティ研究者や脅威アクターたちが、脆弱性 CVE-2023-35829 を悪用して Linux パスワード窃取マルウェアをインストールする、偽の PoCエクスプロイトの標的になっているという。Uptycs のアナリストたちは、定期スキャン中に、予期しないネットワーク接続／未承認のシステム・アクセス試行／非定型のデータ転送などの不正なアクションが検知されたことで、この悪意の PoC を発見した。

サードパーティのセキュリティ・リスクという問題：多くの企業が軽視しているが – Panorays

Businesses are ignoring third-party security risks

2023/06/30 HelpNetSecurity — サードパーティとの連携が重要な役割を担う、ダイナミックなビジネス環境において、セキュリティおよびコンプライアンス要件に重大な影響を及ぼす、さまざまなリスクに企業は直面していると、Panorays は述べている。こうしたリスクの深刻性から、厳しい経済状況の中であっても、積極的な管理が必要とされている。Panorays のレポートには、サードパーティのリスク管理における差し迫った課題と新たな戦略を明確にするための、統計とトレンドが掲載されている。

NPM の根幹を揺るがす Manifest Confusion：パッケージ情報が信頼できない理由

NPM ecosystem at risk from “Manifest Confusion” attacks

2023/06/28 BleepingComputer — NPM (Node Package Manager) レジストリには、Manifest Confusion と呼ばれるセキュリティ上の欠陥が存在する。具体的に言うと、それにより、依存関係を用いたマルウェアの埋め込みや、インストール中における悪意のスクリプトの実行などが生じ、パッケージの信頼性が損なわることになる。NPM は、JavaScript プログラミング言語用のパッケージ・マネージャであり、広く使用されている Node.js のデフォルト環境である。このパッケージ・マネージャーは、npmjs.com に置かれた npm registry データベースにホストされている、ソフトウェア・パッケージのインストール／アップグレード／コンフィグレーションを、プロジェクト・オーナーが自動化できるよう支援するものである。

GitHub で懸念される RepoJacking 攻撃：変更された名称の悪用が容易だと判明

Alert: Million of GitHub Repositories Likely Vulnerable to RepoJacking Attack

2023/06/22 TheHackerNews — GitHub 上の何百万ものソフトウェア・リポジトリが、RepoJackingと呼ばれる攻撃に対して脆弱である可能性が高いことが、新たな研究で明らかになった。マサチューセッツ州を拠点とするクラウドネイティブ・セキュリティ企業 Aqua が、水曜日に発表したレポートによると、それらの脆弱なリポジトリには、Google や Lyft などの、いくつかの組織のものも含まれているという。この、リポジトリ依存関係ハイジャックとも呼ばれるサプライチェーンの脆弱性は、活動を停止した組織やユーザーの名前を乗っ取り、悪意のコードを忍び込ませ、トロイの木馬化したバージョンのリポジトリを公開する攻撃の一種である。

SBOM Lifecycle：CISA が分析する発見／アクセス／転送の各フェーズとは？

What to Know About the CISA Software Bill of Materials Sharing Lifecycle Phases

2023/06/20 SecurityBoulevard — Software Bill of Materials (SBOM) を採用するための取り組みが、成熟へ向けて動き出している。先日に Cybersecurity and Infrastructure Security Agency (CISA) が発表した報告書では、SBOM 共有ライフサイクルの各フェーズを実施するための、時間／リソース／専門知識／労力／ツールへのアクセス量をベースにした、適切な SBOM 共有プラットフォームを選択する際の指針が示されている。

Amazon S3 バケットで悪意のバイナリを配布：新たなサプライチェーン攻撃を発見

New Supply Chain Attack Exploits Abandoned S3 Buckets to Distribute Malicious Binaries

2023/06/15 TheHackerNews — オープンソース・プロジェクトを狙った、新しいタイプのソフトウェア・サプライチェーン攻撃が検出された。この攻撃では、期限切れの Amazon S3 バケットを掌握した脅威アクターが、S3 モジュール自体には手を加えることなく、不正なバイナリを拡散しているという。Checkmarx の研究者である Guy Nachshon は、「悪意のバイナリが盗み出すのは、ユーザー ID／パスワード／ローカルマシン環境変数／ローカルホスト名などであり、それらのデータを乗っ取ったバケットに流出させている」と述べている。

ICS Patch Tuesday: Siemens が公表した 180件の OSS コンポーネントにおける脆弱性

ICS Patch Tuesday: Siemens Addresses Over 180 Third-Party Component Vulnerabilities

2023/06/14 SecurityWeek — Siemens が発表したのは、合計で約200件の脆弱性をカバーする、12件の新たなアドバイザリである。これらの脆弱性の大部分は、サードパーティのコンポーネントに影響を与えるものだとされる。Siemens は顧客に通知したのは、Simatic S7-1500 に対して、特に TM MFP (Multi Functional Platform) に影響を及ぼす、Linux カーネルの 108件の脆弱性である。同社は、これらの脆弱性に対するパッチを準備中であり、それらが提供されるまでの間の、回避策と緩和策を共有している。

GitHub リポジトリで発見されたマルウェア拡散の新手口：研究者たちの偽プロファイルを悪用

Fake Researcher Profiles Spread Malware through GitHub Repositories as PoC Exploits

2023/06/14 TheHackerNews — 不正なサイバー・セキュリティ企業の研究者たちによる、少なくとも６つの GitHub アカウントが、７つの悪意のリポジトリをプッシュしていることが確認された。この７つのリポジトリは、Discord／Google Chrome／Microsoft Exchange Server などの、ゼロデイ脆弱性の概念実証 (PoC) だと見られている。

Kubernetes の SBOM：KBOM スタンダードの第一稿が登場

The First Kubernetes Bill of Materials Standard Arrives

2023/06/13 TheNewStack — Software Bill of Materials (SBOM) を使っていない組織であっても、すぐに使うことになるだろう。SBOM は、ビルディング・コードのセキュリティ防御における、不可欠な基盤として捉えられている。Software Package Data Exchange (SPDX) や CycloneDX に加えて、GitHub における依存関係サブミッション・フォーマットなどの、いくつかの SBOM 標準が存在していたが、これまでは Kubernetes 専用の標準が存在しなかった。しかし、Kubernetes Security Operations Center (KSOC) の、Kubernetes Bill of Materials (KBOM) スタンダードが出てきたようだ。

Visual Studio の脆弱性 CVE-2023-28299：Microsoft が言うより悪用は簡単だ

Easily Exploitable Microsoft Visual Studio Bug Opens Developers to Takeover

2023/06/08 DarkReading — セキュリティ研究者たちが警告しているのは、Microsoft Visual Studio のインストーラに存在するバグにより、悪意のエクステンションを作成するサイバー攻撃者が、正規のソフトウェア・パブリッシャーを装い、アプリケーション開発者に配布する方法が生じる点である。そのような悪意のエクステンションを介して開発環境に侵入し、制御を奪い、コードを汚染させ、価値の高い知的財産を盗むことが可能になるという。

Android アドウェア 60,000 件を発見：Google Play 以外からのインストールは危険だ！

Over 60,000 Android apps secretly installed adware for past six months

2023/06/06 BleepingComputer — これまでの６ヶ月間において、正規のアプリケーションを装う 60,000 件以上の Android アプリが検出を回避して、モバイル端末にアドウェアをインストールしていたことが判明した。この発見は、ルーマニアのサイバー・セキュリティ企業 Bitdefender によるものだ。先月に同社は、Bitdefender Mobile Security ソフトウェアに追加された異常検知機能を用いて、それらの悪意のアプリを検出したという。

PyPI に新たな悪意のパッケージ：コンパイルされた Python コードで検出を回避

Malicious PyPI Packages Use Compiled Python Code to Bypass Detection

2023/06/02 infosecurity — ReversingLabs のセキュリティ研究者たちが発見したのは、検出回避のためにコンパイルされた、Python コードを用いる新たな攻撃の手法である。ReversingLabs の Reverse Engineer である Karlo Zanki によると、PYC (Python Byte Code) ファイルのダイレクト実行機能を利用する、最初のサプライチェーン攻撃の事例になる可能性があるという。大半のセキュリティ・ツールは、Python ソースコード (PY) ファイルのみをスキャンするため、このような攻撃を見逃す可能性がある。そのため、この手法は、将来的に新たな種類のサプライチェーン脆弱性をもたらすことになる。Zanki は、Python Package Index (PyPI) に関する有害な投稿の増加とも一致すると指摘している。

PyPI による 2FA 義務化のアナウンスメント：すべてのアカウントで年末までに対応

PyPI announces mandatory use of 2FA for all software publishers

2023/05/28 BleepingComputer — Python Package Index (PyPI) が発表したのは、同プラットフォーム上でプロジェクトを管理する全てのアカウントに対して、2023年内に二要素認証 (2FA) をオンにすることの義務付けである。PyPI とは、プログラミング言語 Python で作成されたパッケージのための、ソフトウェア・リポジトリのことである。このインデックスには、20万個のパッケージが登録されており、開発者は各種プロジェクトの要件を満たす既存のパッケージを、ここで見つけることにより、時間と労力を節約することが可能となる。

GitLab の深刻な脆弱性 CVE-2023-2825：Ver 16.0.0 ユーザーは直ちにアップデートを！

GitLab ‘strongly recommends’ patching max severity flaw ASAP

2023/05/24 BleepingComputer — GitLab に存在する、深刻なパストラバーサルの脆弱性 CVE-2023-2825 (CVSS：10.0) の欠陥に対処するために、緊急セキュリティ・アップデートであるバージョン 16.0.1 がリリースされた。リモートでコードを管理する必要がある、開発者チーム向けの Web ベース Git リポジトリである GitLab は、約3000万人の登録ユーザーと100万人の有料顧客を有している。

シークレットが氾濫する GitHub の世界：どのように緩和していくべきなのか – Git Guardian 提案

The Rising Threat of Secrets Sprawl and the Need for Action

2023/05/23 TheHackerNews — 今日の情報化時代において、最も貴重な資産はカギでロックされたシークレットである。GitHub の公開アクティビティを分析した、最大規模のレポート 2023 State of Secrets Sprawl が示すように、さらにシークレットの維持が難しくなるという、残念な状況が浮き彫りになっている。このレポートでは、漏えいシークレット数が前年比で 67% 増加し、2022年だけで 1000万個のハードコードされたシークレットが検出された指摘されている。このシークレットの氾濫とも言うべき状況は、安全なソフトウェア開発と対策の必要性を強調するものとなっている。