SupplyChain – Page 2 – IoT OT Security News

npm／PyPI エコシステムが標的：新たなサプライチェーン・マルウェア攻撃の詳細が判明

New Supply Chain Malware Operation Hits npm and PyPI Ecosystems, Targeting Millions Globally

2025/06/08 TheHackerNews — GlueStack 関連の 12以上のパッケージを標的とする、マルウェア拡散を目的としたサプライチェーン攻撃の存在を、サイバー・セキュリティ研究者たちが指摘している。Aikido Security は、「”lib/commonjs/index.js” への変更時に侵入した、このマルウェアを操作する攻撃者は、シェル・コマンドの実行／スクリーン・ショットの撮影／感染マシンへのファイル・アップロードが可能にする。これらのパッケージのダウンロード数は、合計で毎週約 100万回に達している」と、The Hacker News に述べている。

GitHub を悪用する新たなサプライチェーン攻撃：ゲームチーターや経験の浅い脅威アクターが標的

Backdoored Open Source Malware Repositories Target Novice Cybercriminals

2025/06/05 SecurityWeek — デベロッパー／エンタープライズ／エンドユーザーを標的とし、情報窃取型のマルウェアやバックドアを展開するサプライチェーン攻撃が、今年だけでも数十件に達していることが明らかになった。その多くは、悪意の NPM パッケージを介して行われている。そして、6月4日 (水) に Sophos が明らかにしたのは、GitHub リポジトリを悪用することで、ゲームチーターや経験の浅い脅威アクターを標的とし、同様のバックドアを仕込むという攻撃行動である。

Ruby Gems を悪用した攻撃が発生：開発者のトークンやメッセージなどを窃取

Hackers Weaponize Ruby Gems To Exfiltrate Telegram Tokens and Messages

2025/06/04 CyberSecurityNews — RubyGems エコシステムを狙う巧妙なサプライチェーン攻撃が発生しているが、その背景には、ベトナムによる Telegram の全面的な禁止措置があるのかもしれない。この攻撃では、開発者の認証情報や通信内容を盗むために、Telegram の API 通信が攻撃者のインフラを経由するよう細工されている。このキャンペーンでは、正規の Fastlane プラグインを装う、２つのタイポスクワット Ruby gem が使用されている。それらの gem は、攻撃者が制御するインフラへと Telegram API のトラフィックを静かにリダイレクトし、Bot トークン／メッセージ内容／添付ファイルなどを収集する。

semantic-types という悪意のパッケージ：Solana の秘密鍵を盗むサプライチェーン攻撃を展開

Weaponized PyPI Package Steals Solana Private Keys Via Supply Chain Attack

2025/05/30 CyberSecurityNews — Solana 開発者を狙った高度なサプライチェーン攻撃により、25,900件以上のダウンロードにおいて侵害が生じ、Python パッケージ経由で暗号資産の秘密鍵が静かに盗まれていたことが明らかになった。この攻撃キャンペーンは、semantic-types というパッケージを中心に展開され、トランジティブ依存関係とブロックチェーンを使った情報の外部送信により、従来のセキュリティ制御を回避するという、新たなソフトウェア・サプライチェーン攻撃の形態を示している。

Security by Design とインセンティブ：なにがあればメーカーは導入するのか？

How to Incentivize Security by Design

2025/05/26 InfoSecurity — 各国の政府が、数千もの組織が利用するデジタル製品やサービスに対して、Secure by Design の原則を一貫して提唱するという状況にある。その原則とは、ソフトウェア・メーカーやシステム運用者の努力により、エンドユーザーのセキュリティ負担を大幅に軽減するためのものであり、既知の脆弱性の排除なども、その一例となる。このアプローチを推進してきたのは、米国 Cybersecurity and Infrastructure Security Agency (CISA) の Secure by Design イニシアチブや、英国政府が支援する Digital Security by Design (DSbD) プログラムなどである。

Linux が標的の Go モジュール・マルウェア：ディスク完全削除でサプライチェーンを狙う

Malicious Go Modules Deliver Disk-Wiping Linux Malware in Advanced Supply Chain Attack

2025/05/03 TheHackerNews — サイバー・セキュリティ研究者たちが発見した、３つの悪意のある Go モジュールは、次段階のペイロードを取得する難読化コードにより、Linux システムのプライマリ・ディスクを永久に上書きし、起動不能にする可能性があるものだ。それらのパッケージ名は、以下の通りである：

github[.]com/truthfulpharm/prototransform
github[.]com/blankloggia/go-mcp
github[.]com/steelpoor/tlsproxy

Magento エクステンションを狙うサプライチェーン攻撃：６年前から Tigren／Meetanshi／MGS が標的化？

Magento supply chain attack compromises hundreds of e-stores

2025/05/02 BleepingComputer — Magento エクステンション 21種類を狙うサプライチェーン攻撃により、500～1,000 件の eコマース・ストアが侵害を受けており、その中には、$40 billion 規模の多国籍企業のものも含まれている。この攻撃を発見した Sansec の研究者によると、2019年から一部のエクステンションにはバックドアが仕掛けられていたが、悪意のあるコードが有効化されたのは、2025年4月になってからだという。

PyPI に７つの悪意のパッケージ：Gmail SMTP への信用を悪用する新たな手口

Seven Malicious Packages Exploit Gmail SMTP to Run Harmful Commands

2025/05/02 gbhackers — Python Package Index (PyPI) に公開された７つのパッケージに、相互に関連する悪意が潜んでいることが、Socket 脅威調査チームの研究者たちにより発見された。それは、Python オープンソース・コミュニティを揺るがす、大規模なサプライチェーン・セキュリティ・インシデントを示すものだ。

OAuth ミスコンフィグの脆弱性：YesWeHack バグ・バウンティで判明した際限のない PII の抽出

Researchers Exploit OAuth Misconfigurations to Gain Unrestricted Access to Sensitive Data

2025/04/30 gbhackers — 先日に実施された YesWeHack バグ・バウンティ・キャンペーンにおいて、OAuth2 認証情報のミスコンフィグに起因する深刻な脆弱性が、あるセキュリティ研究者により発見された。Web アプリケーションを詳細に分析した結果として、この認証フレームワークにおける些細な見落としが深刻なリスクをもたらすという、驚くべき状況が明らかになった。

Docker Desktop macOS 版の脆弱性 CVE-2025-4095 が FIX：コンテナ・イメージへの不正アクセスの恐れ

Docker Registry Vulnerability Lets macOS Users Access Any Registry Without Authorization

2025/04/30 gbhackers — 先日に発見された Docker Desktop macOS 版の脆弱性が、開発者やセキュリティ・コミュニティの間で懸念を引き起こしている。この脆弱性は、Registry Access Management (RAM) ポリシーの、特定の状況下での不適切な適用に起因しており、悪意の可能性のあるコンテナ・イメージへの不正アクセスを許す可能性がある。それにより、サプライチェーン攻撃のリスクに、ユーザー組織が直面する可能性が生じる。

Cisco 製品群に影響を及ぼす Erlang/OTP SSH の脆弱性 CVE-2025-32433：暫定アドバイザリが公開

Multiple Cisco Tools at Risk from Erlang/OTP SSH Remote Code Execution Flaw

2024/04/24 gbhackers — Cisco が発行したのは、Erlang/OTP の SSH サーバを使用する製品群に存在する、深刻なリモート・コード実行 (RCE) の脆弱性に関する、重要なアドバイザリ (cisco-sa-erlang-otp-ssh-xyZZy) である。この脆弱性 CVE-2025-32433 (CVSS：10.0) の悪用に成功した未認証の攻撃者は、脆弱なデバイス上で任意のコード実行を達成し、企業のネットワーク／クラウド・インフラ／通信システムにリスクをもたらす。

Verizon DBIR 2025：脆弱性悪用とサードパーティ経由による侵害が急増

Verizon DBIR 2025: Vulnerability Exploitation Surges, Third-Party Breaches Double

2025/04/24 SecurityOnline — Verizon のデータ漏洩調査報告書 2025年版 (Data Breach Investigations Report：DBIR) が明らかにするのは、組織が注意を払うべき、サイバー脅威の状況における重要な変化である。このレポートでは、データ侵害が確認された 12,195 件のインシデントが分析されており、攻撃者による脆弱性の悪用が、主要なイニシャル・アクセスポイントとして増加している状況が示されている。

npm に潜む悪意のパッケージを発見：Telegram Bot API を装い SSH バックドアを展開

Rogue npm Packages Mimic Telegram Bot API to Plant SSH Backdoors on Linux Systems

2025/04/19 TheHackerNews — npmレジストリ内に存在し、人気の Telegram ボット・ライブラリを装いながら、SSH バックドアとデータ窃取の機能を隠し持つ３つの悪意のパッケージを、サイバー・セキュリティ研究者たちが発見した。

Erlang/OTP SSH の深刻な脆弱性 CVE-2025-32433：PoC がリリース

Critical CVE-2025-32433 PoC Released: Erlang/OTP SSH Vulnerability Enables RCE

2025/04/18 SecurityOnline — Erlang/OTP SSH アプリケーションに存在する、深刻な脆弱性 CVE-2025-32433 に対する、PoC エクスプロイト・コードを、匿名のセキュリティ研究者が公開した。この脆弱性により、脆弱なバージョンの Erlang/OTP SSH サーバを実行するシステム上で、認証を必要としないリモート・コード実行が可能になる。この状況は、テレコム・グレードの高可用性インフラを、Erlang に依存する環境にとって大きな懸念事項となる。

Yii 2 の脆弱性 CVE-2024-58136 が FIX：安全が確保されないリフレクションの可能性

Urgent: Yii 2 Vulnerability CVE-2024-58136 Under Active Exploit

2025/04/14 SecurityOnline — PHP Web アプリ・フレームワークとして人気を博す Yii 2 に、脆弱性 CVE-2024-58136 (CVSS：9.1) が発見された。この脆弱性が影響を及ぼす範囲は、バージョン 2.0.52 未満となる。Yii 2 のダウンロード数は 2,500万回を超えており、数え切れないほどの Web アプリで使用されているため、この脆弱性は、開発者やサイト管理者にとって重大な懸念事項となっている。

XZ Utils の脆弱性 CVE-2025-31115 が FIX：マルチスレッド・デコーダーに深刻な影響

CVE-2025-31115: XZ Utils Hit Again with High-Severity Multithreaded Decoder Bug

2025/04/07 SecurityOnline — XZ Utils は、データ圧縮機能を提供する、広く利用されるツールとライブラリのスイートである。効率的な圧縮で知られる XZ Utils は、gzip よりも小さなファイルの作成が必要な場合で多用される。ネイティブ・ファイル・フォーマットは “.xz” だが、従来からの “.lzma” フォーマットもサポートしている。

GitHub Action での連鎖的攻撃：SpotBugs の PAT 漏洩トリガー説を掘り下げる

SpotBugs Access Token Theft Identified as Root Cause of GitHub Supply Chain Attack

2025/04/04 TheHackerNews — Coinbase を最初に標的とし、その後に “tj-actions/changed-files” GitHub Action のユーザーへと拡大していった、いわゆる連鎖型のサプライチェーン攻撃が確認されている。さらに、この攻撃の足跡を遡ると、SpotBugs に関連する PAT (personal access token) の窃取に端を発していたことが判明した。

ArcGIS Enterprise の脆弱性 CVE-2025-2538 が FIX：管理者アカウントの乗っ取りにいたる

Critical Security Flaw in ArcGIS Enterprise Exposes Admin Accounts to Remote Takeover

2025/03/22 SecurityOnline — ArcGIS Enterprise プラットフォームに、深刻な脆弱性が存在することを、Esri が明らかにした。この脆弱性の悪用に成功した攻撃者は、パスワード・リセットの欠陥を悪用して、ビルトインされている管理者アカウントの乗っ取りを達成し得るとされる。

GitHub Actions の脆弱性 CVE-2025-30154／CVE-2025-30066：サプライチェーン攻撃の可能性を考える

Impact, Root Cause of GitHub Actions Supply Chain Hack Revealed

2025/03/21 SecurityWeek — GitHub Actions “tj-actions/changed-files” は、ファイルやディレクトリの変更を追跡するために、23,000 以上のリポジトリで積極的に使用されているアクションである。先週末のことだが、この GitHub Actions に発生した攻撃により、CI/CD シークレットをダンプしてログを作成するように設計された、悪意のスクリプトが実行されたことが判明した。

GitHub Actions の侵害：最初のターゲットとして狙われたのは Coinbase

Coinbase was primary target of recent GitHub Actions breaches

2025/03/21 BleepingComputer — 最近の GitHub Actions への連鎖型のサプライ・チェーン攻撃により、数百のリポジトリのシークレットが侵害されているが、その主要なターゲットは Coinbase であると、研究者たちが断定している。Palo Alto Unit 42 と Wiz の最新レポートによると、この綿密に計画された攻撃は、悪意のコードが reviewdog/action-setup@v1 GitHub Action に挿入されたときから始まっているという。この侵害の発生の方法は不明であるが、脅威アクターはアクションを変更して、CI/CD シークレットと認証トークンを、GitHub Actions ログにダンプした。

CISA KEV 警告 25/03/18：Fortinet の CVE-2025-24472 と GitHub の CVE-2025-30066 を登録

Cybersecurity Alert: CISA Adds Fortinet and GitHub Action Vulnerabilities to Exploited List

2025/03/18 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、２つの深刻なセキュリティ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、実際に悪用されていることを示した。これらの脆弱性は、広く使用されている Fortinet の FortiOS／FortiProxy および、GitHub Action “tj-actions/changed-files” に影響を及ぼすものだ。

npm リポジトリ汚染：Lazarus にリンクする６つの悪意のパッケージを発見

North Korean Lazarus hackers infect hundreds via npm packages

2025/03/11 BleepingComputer — npm (node package manager) で発見された６つの悪意のパッケージだが、悪名高い北朝鮮のハッカー集団 Lazarus にリンクしていたことが特定された。これらの 330 回もダウンロードされたパッケージは、アカウント認証情報の窃取／侵害済みシステムへのバックドア展開／機密性の高い暗号通貨情報の抽出などのために設計されていた。このキャンペーンを発見した Socket Research Team によると、一連の悪意のパッケージは、以前から知られている Lazarus のサプライ・チェーン・オペレーションにリンクしていたという。

中国由来の Silk Typhoon の戦術：脆弱性悪用とパスワード・スプレーの採用

China-Linked Silk Typhoon Expands Cyber Attacks to IT Supply Chains for Initial Access

2025/03/05 TheHackerNews — Microsoft Exchange サーバのセキュリティ欠陥を、2021年1月のゼロデイ攻撃で悪用していた中国由来の脅威アクターだが、企業ネットワークへのイニシャル・アクセスの手段を、IT サプライチェーンを標的とする戦術へと転換しているようだ。この情報は、Microsoft Threat Intelligence チームの新たな調査結果によるものであり、いまの Silk Typhoon (旧 Hafnium) ハッキング・グループは、攻撃の足がかりを得るためにリモート管理ツールやクラウド・アプリなどの、IT ソリューションを標的にしているという。

航空／旅行システムの OAuth 認証に脆弱性：数百万人のアカウントに乗っ取りの懸念

OAuth Redirect Flaw in Airline Travel Integration Exposes Millions to Account Hijacking

2025/01/28 TheHackerNews — API セキュリティ企業 Salt Labs が公表したレポートは、ホテルやレンタカーのオンライン予約サービスに存在する、アカウント乗っ取りの脆弱性に関するものだ。なお、この脆弱性は、すでに修正されているという。Salt Labs は、「この欠陥を悪用する攻撃者は、システム内のあらゆるユーザー・アカウントへのアクセス権を獲得し、被害者に成りすまして、さまざまな操作を実行する。具体的には、被害者のマイレッジ・ポイントによるホテルやレンタカーの予約や、予約情報のキャンセルや編集などである」と、The Hacker News に共有したレポートで述べている。

OWASP の Non-Human Identity (NHI) Top-10 とは？隠れたリスクを可視化する

Do We Really Need The OWASP NHI Top 10?

2025/01/27 TheHackerNews — 先日に OWASP (Open Web Application Security Project) は、新たな指針としての Non-Human Identity (NHI) Top-10 に取り組み始めた。長年にわたり OWASP は、広く利用される API Top-10 や Web App Top-10 などのプロジェクトを通じて、セキュリティの専門家と開発者に対して、重要なガイダンスと実用的なフレームワークを提供してきた。Non-Human Identity (NHI) セキュリティは、サイバー・セキュリティ業界で新たな関心を集めている。そこで OWASP は、NHI Top-10 により、API キー／サービス・アカウント／OAuth アプリ／SSH キー／IAM ロール／シークレットなどのマシン認証情報とワークロード ID に関連する、リスクと監視の欠如を指摘している。

米政府による Salt Typhoon 制裁：中国の企業とハッカーを名指しで批判

US sanctions Chinese firm behind sweeping Salt Typhoon telecom hacks

2025/01/17 NextGov — 1月17日 (金) に米国の財務省は、機密性の高いデータを保持するシステムを標的とする、大規模なハッキングに関与したとして、中国企業の Sichuan Juxinhe Network Technology と、上海を拠点とするハッカーの Yin Kecheng に制裁を科した。この法執行は、バイデン政権が発動するハッカーへの最後の制裁である。

2025年のセキュリティを考える：OSS とソフトウェア・サプライチェーンに注目すべきだ

Cyber Insights 2025: Open Source and Software Supply Chain Security

2025/01/15 SecurityWeek — RapidFort の CEO である Mehran Farimani は、「これまでの 10年間を経て、Open Source Software (OSS) は主要な脅威ベクターとなった。その理由は、500万を超える OSS パッケージが提供されているという、きわめて単純な数字にある」と説明する。Endor Labs の Chief Security Advisor である Chris Hughes は、「これまでの 10年間で、OSS の採用は飛躍的に増加しており、減速の兆候は見られない。現時点において OSS は、最新のコードベースの約 90% に存在し、それらのコードベースの 70～80% を占めている」と指摘する。

ヨーロッパの Top-100 社：レジリエンス評価 A の企業は僅か 26% – SecurityScorecard

Only 26% of Europe’s top companies earn a high rating for cybersecurity

2025/01/06 HelpNetSecurity — 2025年1月17日に設定された EU の Digital Operational Resilience Act (DORA) の期限が迫っているが、ヨーロッパの Top-100 企業はというと、緊急のサイバー・セキュリティの課題に直面していると、SecurityScorecard が報じている。

Postman に複数の脆弱性：30,000 以上の Workspaces から API Keys などがリーク

Postman Security Lapse: 30,000 Workspaces Leak API Keys & More

202224/12/29 SecurityOnline — API の開発／テストで人気のプラットフォーム Postman に、複数のセキュリティ上の脆弱性が存在することが、CloudSEK の TRIAD チームの最新レポートで明らかにされた。この調査の結果として、パブリック・アクセス可能な 30,000 を超える Postman Workspace で、API キー／トークン／ビジネス・データなどの機密情報が漏洩していることが判明している。

Chrome Extension の危機：16種類の拡張機能をハックするキャンペーンが発覚

16 Chrome Extensions Hacked, Exposing Over 600,000 Users to Data Theft

2024/12/29 TheHackerNews — Chrome ブラウザのエクステンションを標的にする、新たな攻撃キャンペーンが発見された。この攻撃では、少なくとも 16 個のエクステンションが侵害され、60万人以上のユーザーが、データ漏洩や認証情報窃取の危険に直面する状況となっている。この攻撃は、Chrome Web Store のブラウザ・エクステンションの発行者を、フィッシング・キャンペーンの標的として侵害し、そのアクセス権限を悪用することで正規のエクステンションに悪意のコードを挿入し、ユーザーのクッキーやアクセス・トークンを盗み出すものだ。最初に被害を受けたエクステンション発行者は、サイバー・セキュリティ企業 Cyberhaven である。

Cyberhaven で発生した侵害：改竄された Chrome エクステンションが Web ストアに流出

Cyberhaven Chrome Extension Compromised in Targeted Attack

2024/12/26 SecurityOnline — 2024年12月24日に、データ保護企業である Cyberhaven の Chrome エクステンションが、標的型攻撃により改ざんされた。同社の声明によると、攻撃者は Cyberhaven の従業員アカウントに不正アクセスし、 Cyberhaven Chrome エクステンションの悪意のバージョン (24.10.4) を、Chrome Web ストアで公開したという。

Cleo の脆弱性 CVE-2024-55956／50623 の悪用：60社以上の侵害を Clop が主張

Cl0p Ransomware Group to Name Over 60 Victims of Cleo Attack

2024/12/26 SecurityWeek — エンタープライズ・ソフトウェア・ベンダー Cleo のファイル転送製品の脆弱性を悪用する、Cl0p ランサムウェア・グループは、最近にハッキングした 60以上の組織を、まもなく公表する予定だという。12月中旬に発生した Cleo 攻撃について Cl0p は犯行を主張し、このキャンペーンの一環として、かなり多くのターゲットを攻撃したと、SecurityWeek に語っていた。

General Dynamics 従業員へのフィッシング攻撃と個人情報窃取：Fidelity ポータル経由で侵害

Defense Giant General Dynamics Says Employees Targeted in Phishing Attack

2024/12/26 SecurityWeek — 航空／宇宙／防衛の大手である General Dynamics が発表したのは、従業員を狙うフィッシング攻撃を許した後に、数十人の従業員の福利厚生アカウントが、脅威アクターにより侵害されたことだ。この 10月10日に発覚した不正行為は、サードパーティがホストするログイン・ポータルを悪用する攻撃者が、従業員の福利厚生アカウントにアクセスし、変更を加えたというものだ。

PyPI の悪意のパッケージ：キーストロークを盗みソーシャル・アカウントをハイジャック

Researchers Uncover PyPI Packages Stealing Keystrokes and Hijacking Social Accounts

2024/12/24 TheHackerNews — Python Package Index (PyPI) リポジトリにアップロードされた２つの悪意のパッケージが、侵害したホストから機密情報を盗み出していると、Fortinet FortiGuard Labs がフラグ付けしていることが発表された。

NPM リポジトリ汚染：タイポスワッティングで正規のパッケージを偽装

Thousands Download Malicious npm Libraries Impersonating Legitimate Tools

2024/12/19 TheHackerNews — npm レジストリへのアップロードが確認された悪意のパッケージは、正規のパッケージである ”typescript-eslint” や ”@types/node” などを装うものである。それらの偽のパッケージは ”@typescript_eslinter/eslint”／”types-node” と名付けられ、それぞれがトロイの木馬をダウンロードするものとして、また、２段階目のペイロードを取得するものとして設計されている。

Prometheus に認証情報／API キー流出の可能性：30万以上のインスタンスが公開されている

Over 300K Prometheus Instances Exposed: Credentials and API Keys Leaking Online

2024/12/12 TheHackerNews — OSS イベント監視ソリューションである、Prometheus をホスティングしている数千のサーバが、情報漏洩／サービス拒否 (DoS) 攻撃／リモート・コード実行 (RCE) 攻撃などのリスクにさらされていると、研究者たちが警告している。Aqua Security の研究者である Yakir Kadkoda と Assaf Morag は、「Prometheus Server／Exporter では、認証の欠落が多発するため、認証情報や API キーなどの機密情報が、攻撃者により容易に収集されてしまう」と、The Hacker News に共有されたレポートで述べている。

テレコムと政府と国民は Salt Typhoon に対抗できるのか？ End-to-End 暗号化通信の必要性

Governments, Telcos Ward Off China’s Hacking Typhoons

2024/12/11 DarkReading — 中国由来の Salt Typhoon グループからの侵害に対して、米国政府と８社の通信会社が、ネットワークの保護に苦戦している。それと並行して、他国における多くの通信会社も、APT の主標的にされている。それに先行するかたちで、2023年には、Salt Typhoonとの重複が疑われる中国由来のグループ Earth Estries が、APAC／中東／北アフリカ（MENA）地域、そして米国の通信会社を侵害している。

OSS リポジトリを汚染するマルウェア：2024 は前年比で 200% の増大

Open source malware up 200% since 2023

2024/12/11 HelpNetSecurity — Sonatype の 2024 Open Source Malware Threat Report によると、2019 年に追跡が開始された悪意のパッケージの数が 778,500 件を超えている。そして 2024年になり、カスタム AI モデルを構築する企業が、オープンソース・ツールを採用するケースが増えるにつれて、悪意のオープンソース・パッケージを用いる脅威アクターたちが、開発者を標的にするケースが増えている。この記事で概説するのは、こうしたトレンドについて調査した結果である。

ソフトウェア・サプライチェーンが世界を飲み込む：いまなら Marc Andreessen はそう言うだろう

Lessons From the Largest Software Supply Chain Incidents

2024/12/11 DarkReading — 2011年の Marc Andreessen の言葉を覚えているだろうか。それは、「ソフトウェアが世界を飲み込んでいる」というフレーズであり、13年以上が経ったいまも、真実味を深め続けている。産業界はソフトウェアにより変革され、世界経済の活性化においてもソフトウェアは不可欠だ。つまり、世界はソフトウェアで動いている。いまの企業に求められるのは、ビジネス環境における苛烈な競争に生き残ることであり、そのために、かつてないスピードで大量のソフトウェアが生み出されている。

米上院における法案：FCC が通信会社に義務付けるサイバー規則を推測する

Senate bill would require FCC to issue binding cyber rules for telecom firms

2024/12/10 NextGov — 12月10日 (火) に提出された法案が Federal Communications Commission (FCC) に対して指示するのは、最低限のサイバー要件や年次システム・テストを取り込んだ、必須のサイバー・セキュリティ・コンプライアンス・ルールのリストに従うよう、通信事業者に義務付けよというものだ。この法案は、Salt Typhoon と呼ばれる中国のサイバー・スパイ集団による、広範かつ多数の通信事業者と盗聴システムへのハッキングに対応するものである。この問題に関しては、いまもフォレンジック分析が続いているが、依然としてハッカーたちは、一部のネットワークに潜んでいると思われる。

PyPI における Ultralytics AI の悪用：ビルド環境の侵害と XMRig マルウェアの展開

Ultralytics AI Library with 60M Downloads Compromised for Cryptomining

2024/12/09 HackRead — PyPI (Python Package Index) で人気を博す、Ultralytics AI ライブラリに悪意のコードを注入して、暗号通貨のマイニングを行うという攻撃が、ReversingLabs のサイバーセキュリティ研究者たちにより発見された。

米 FCC の提案：Salt Typhoon 攻撃に対応する盗聴セキュリティの基準

FCC proposes updates to wiretap security standards following Chinese telecom hacks

2024/12/05 NextGov — 12月5日 (木) に FCC (Federal Communications Commission) のトップは、そのチーム・メンバーたちに草案を共有した。FCC の報道発表によると、この草案が採用された場合には、法執行機関からの盗聴要求に対応するシステムへの不正アクセスは、通信会社により直ちに保護されるよう義務付けられることになる。また、FCC の Jessica Rosenworcel 委員長も、別の規則制定案を同僚たちに提案している。この案が承認されると、同委員会から通信会社に対して、セキュリティ態勢に関する年次証明書の提出が義務付けられる。

Apache Arrow R の脆弱性 CVE-2024-52338 が FIX：任意のコード実行が可能に

CVE-2024-52338: Critical Security Flaw in Apache Arrow R Package Allows Arbitrary Code Execution

2024/11/29 SecurityOnline — Apache Arrow R パッケージのバージョン 4.0.0〜16.1.0 に存在する、重大な脆弱性 CVE-2024-52338 が修正された。この脆弱性の悪用に成功した攻撃者は、悪意を持って細工されたデータファイルを処理するシステム上で、任意のコード実行の可能性を得る。

Salt Typhoon の武器庫を探査する：破壊力を静かに維持し続ける秘密は？

Salt Typhoon Builds Out Malware Arsenal With GhostSpider

2024/11/27 DarkReading — 中国由来の脅威アクター Salt Typhoon は、数年前から政府や通信などの重要組織をスパイしてきたが、新しいバックドア・マルウェアである GhostSpider もリリースしている。Salt Typhoon (別名 Earth Estries／FamousSparrow／GhostEmperor／UNC2286) は、中華人民共和国における最も選定的な APT の１つである。そのキャンペーンを、2023 年にまで遡ると、20 を超える組織を侵害してきたことが分かる。それらの標的となった組織には、世界中の最高レベルの組織という傾向があり、何年にもわたって侵害が検出されていないケースもある。最近の標的としては、米国の T-Mobile USA などの通信会社や、北米の ISP などが挙げられる。

Citrix Session Recording Manager の RCE 脆弱性 CVE-2024-8068／8069 が FIX：PoC も公開

CVE-2024-8068 & CVE-2024-8069: Citrix Session Recording Manager Unauthenticated RCE Exploits Publicly Available

2024/11/12 SecurityOnline — Citrix Session Recording Manager に存在する２つの深刻な脆弱性 CVE-2024-8068／CVE-2024-8069 を、セキュリティ研究機関の watchTowr が発見した。これらの脆弱性を連鎖させることで、Citrix Virtual Apps／Desktops 上における、認証を必要としないリモート・コード実行 (RCE) が可能になるという。したがって、２つの脆弱性の悪用に成功した攻撃者は、脆弱なシステムを完全に制御できる可能性を得るため、これらの Citrix プラットフォームに依存する組織に深刻なリスクが生じる。

サードパーティ ID というリスク：サプライチェーンを IAM で安全かつ効果的に統合する

Third-Party Identities: The Weakest Link in Your Cybersecurity Supply Chain

2024/10/28 SecurityAffairs — サイバー攻撃における 70% 以上と言われるほどの割合で、認証情報の侵害やアイデンティティの盗難が関係しており、この攻撃ベクターは重大な懸念事項とされている。ただし、この問題は、主として可視性の欠如に起因しているという。毎日システムにログインする ID の数と、その出所を認識しているだろうか？興味深いことに、その大多数は従業員からのものではない。

AI コール・センターへの侵害が発覚：盗まれたデータの悪用が今後に及ぼす影響は？

Over 10m Conversations Exposed in AI Call Center Hack

2024/10/10 InfoSecurity — 大規模なデータ侵害により、中東の AI 搭載コールセンター・プラットフォームから、1,000 万件を超える会話が漏洩した。サイバー・セキュリティ企業 Resecurity によると、この侵害はプラットフォームの管理ダッシュボードへの不正アクセスに関係しているという。その結果として、消費者／オペレーター／AI エージェント間の、1,020 万件を超えるインタラクションが、攻撃者のより不正に収集されたという。Resecurity は、盗まれたデータが悪用されると、高度な詐欺／フィッシング・スキームなどに加えて、AI を介した悪意のアクティビティにいたる可能性があると警告している。

ヒズボラの通信デバイスを爆発させた組織：その驚異的な諜報能力とは？ – 元 NSA 長官

Device detonations reveal ‘incredible’ intelligence abilities: ex-NSA chief

2024/09/19 NextGov — ヒズボラの数千台ものデバイスが爆発したことについて、9月19日 (水) に元 NSA 長官が語ったことは、イスラエルの驚くべき情報収集能力を示すと同時に、世界のサプライチェーンが抱える潜在的な脆弱性を浮き彫りにするものだ。National Security Agency 局長と、U.S. Cyber Command 指揮官を歴任してきた Paul Nakasone は、「犯人たちは、標的を定めて情報収集する驚くべき能力を持ち、実際にデバイスのシリアル番号を把握し、それを保有する人物と、それが使用される周期を掌握していた」と語っている。

npm へ攻撃：難読化された悪意のパッケージを展開する北朝鮮の脅威グループ

North Korean Hackers Launch New Wave of npm Package Attacks

2024/08/29 InfoSecurity — 北朝鮮に関連する脅威グループが関与する悪意のアクティビティが、最近になって急増していることがサイバー・セキュリティ研究者によって特定された。それにより明らかになったのは、npm エコシステムを標的とする組織的なキャンペーンの存在である。この、2024年8月12日に始まったキャンペーンは、開発者たちの環境に侵入して、機密データを盗むように設計された悪意の npm パッケージを公開するものである。

Versa Director のゼロデイ CVE-2024-39717：中国 APT の Volt Typhoon による悪用を確認

Chinese APT Volt Typhoon Caught Exploiting Versa Networks SD-WAN Zero-Day

2024/08/26 SecurityWeek — 中国の APT である Volt Typhoon が、Versa Director サーバのゼロデイ脆弱性 CVE-2024-39717 を悪用し、クレデンシャルを乗っ取ってダウン・ストリームの顧客ネットワークに侵入していることが、Lumen Technologies の研究者たちにより明らかにされた。Versa Networks は、この脆弱性のゼロデイ悪用を確認し、Versa Director GUI のハッキングにより、影響を受けるデバイスにマルウェアを仕込むことが可能だと警告している。この脆弱性 CVE-2024-39717 は、8月23日の時点で、CISA の KEV カタログに登録されている。