IoT OT Security News

Tesla インフォテインメントへの侵入は可能：脆弱な AMD Zen 1 CPU ハッキングに起因

Tesla infotainment jailbreak unlocks paid features, extracts secrets

2023/08/06 BleepingComputer — 最近の Tesla 車の全モデルで採用されている、AMD ベースのインフォテインメント・システムをジェイルブレイクし、任意のソフトウェアを実行させる方法を、ベルリン工科大学の研究者たちが証明した。このハッキングにより、Tesla のサービス・ネットワークで、車両の認証に用いられる固有のハードウェア結合 RSA キーの抽出が可能であるという。また、電圧の操作によるシートヒーターの誤動作を引き起こし、有料の機能である Acceleration Boost のソフトウェア・ロックなどが可能になるという。

Clop ランサムウェアの MOVEit 攻撃：データ流出に Torrent の利用を開始

Clop ransomware now uses torrents to leak data and evade takedowns

2023/08/05 BleepingComputer — ランサムウェア・グループの Clop は、MOVEit 攻撃で盗んだデータを流出させる手段として、新たに Torrent を使用するようになっている。Clop は 5月27日に、ファイル転送プラットフォームである MOVEit Transfer のゼロデイ脆弱性を悪用したデータ窃取攻撃を開始した。同グループは、このゼロデイ脆弱性 CVE-2023-34362 を悪用することで、ハッキングに気付かれる前に、世界中の約 600の組織からデータを盗み出すことに成功した。

PaperCut に新たな脆弱性 CVE-2023-39143：RCE にいたるが悪用は難しい

New PaperCut flaw in print management software exposes servers to RCE attacks

2023/08/05 SecurityAffairs — Windows 用の印刷管理ソフトウェア PaperCut に、深刻度の高い脆弱性 CVE-2023-39143 (CVSS：8.4) が存在することが、Horizon3 のサイバー・セキュリティ研究者たちにより発見された。この脆弱性の悪用に成功した攻撃者は、特定の条件下において、リモートで・コードを実行することが可能になる。この、パストラバーサルの脆弱性 CVE-2023-39143 により、任意のファイルの読取／削除／アップロードが、攻撃者に対して許される可能性がある。この脆弱性は、PaperCut NG/MF のバージョン 22.1.3 以前に影響する。

Google Play Store にマルウェアが出回る理由：G 先生の言い訳を聞かせてもらおう

Google explains how Android malware slips onto Google Play Store

2023/08/04 BleepingComputer — Google Play ストアの審査プロセスやセキュリティ制御を回避して、Android 端末にマルウェアを送り込むために脅威アクターたちが用いる、バージョニングと呼ばれる一般的な手口が存在することを、Google Cloud のセキュリティ・チームは認めた。この手口は、すでにインストールされているアプリケーションに配信されるアップデートを介して、悪意のペイロードを導入するものである。また、DCL (Dynamic Code Loading) という方法で、脅威アクターの制御下にあるサーバから。悪意のあるコードをロードする方式もある。DCL は、アプリストアの静的解析チェックを回避することで、ネイティブ／Dalvik／JavaScript のコードとして、ペイロードを Android デバイス上に展開するものである。

VMware vConnector などを装う悪意の PyPI パッケージ：開発者をターゲットに展開

Fake VMware vConnector package on PyPI targets IT pros

2023/08/04 BleepingComputer — VMware vSphere のコネクタ・モジュール vConnector を模倣する悪質なパッケージが、PyPI (Python Package Index) に VMConnect という名前でアップロードされている。VMware vSphere は仮想化ツール群であり、vConnector は開発者やシステム管理者が使用するインターフェース Python モジュールであり、全体的な PyPI 経由のダウンロード数は、毎月およそ 40,000件にも達するという。Sonatype の研究者であり BleepingComputer のレポーターでもある Ax Sharma によると、この悪意のパッケージは、2023年7月28日に PyPI にアップロードされた後に、2023年8月1日に削除されるまでに、237 件ほどダウンロードされたという。

npm に新たな悪意のパッケージ：開発者たちをサプライチェーン攻撃に組み込む

Malicious npm Packages Found Exfiltrating Sensitive Data from Developers

2023/08/04 TheHackerNews — npm パッケージ・レジストリ上に展開され、機密性の高い開発者情報を流出させる悪意のパッケージ群を、サイバー・セキュリティの研究者たちが発見した。2023年7月31日に、ソフトウェア・サプライチェーン企業である Phylum が発見した “test” パッケージは、その機能が向上し、洗練されていることが確認されている。Phylum の研究者たちは、「このプロジェクトの最終目的は明らかではないが、”rocketrefer” や “binarium” といったモジュールが言及されていることから、暗号通貨セクターを狙った高度な標的型キャンペーンであることが疑われている」と述べている。

VPN 依存というリスキーなギャンブル：ネットワークへのアクセス権は危険

VPNs remain a risky gamble for remote access

2023/08/04 HelpNetSecurity — Zscaler の最新レポートによると、VPN がもたらすリスクとネットワーク・セキュリティについて、ユーザー組織は深い懸念を表明している。このレポートが強調するのは、VPN の脆弱性を悪用する脅威の高まりを受けて、組織におけるセキュリティ態勢の再評価を進め、また、ゼロトラスト・アーキテクチャへと移行すべきだという点だ。

LOLBAS という難題：Microsoft Office がステルス性マルウェア・ローダーになり得る

Hackers can abuse Microsoft Office executables to download malware

2023/08/03 BleepingComputer — LOLBAS ファイル (Windows に存在し、悪用される可能性のある正規のバイナリやスクリプト) のリストには、Microsoft の電子メール・クライアント Outlook や、データベース管理システム Access の主要な実行ファイルが、まもなく含まれることになる。Microsoft Publisher アプリケーションのメイン実行ファイルに関しては、リモート・サーバからペイロードをダウンロードできることが、すでに確認されている。なお、LOLBAS とは、Living-off-the-Land Binaries and Scripts の略であり、Windows OS でネイティブのもの、また、Microsoft からダウンロードされた、署名付きファイルのことを指す。

Rilide という最凶の Chrome エクステンション：PowerPoint ファイルなどがルアー

Chrome malware Rilide targets enterprise users via PowerPoint guides

2023/08/03 BleepingComputer — Rilide Stealer という悪意の Chrome エクステンションが、暗号ユーザーや企業従業員を標的とした新たなキャンペーンにおいて、認証情報や暗号ウォレットの窃取に使用されている。Rilide は、Chrome／Edge／Brave／Opera などの Chromium ベースのブラウザ用の悪意のブラウザ・エクステンションであり、Trustwave SpiderLabs が 2023年4月に発見したものだ。Rilide は正規の Google Drive エクステンションを装いブラウザをハイジャックし、すべてのユーザー活動を監視し、メール・アカウントの認証情報や暗号通貨資産などの情報を盗み出すという。

Microsoft Teams が Midnight Blizzard フィッシング攻撃に悪用されている

Microsoft Teams Targeted in Midnight Blizzard Phishing Attacks

2023/08/03 InfoSecurity — Microsoft Teams のチャットを悪用して認証情報を盗むフィッシングのルアーを配信する、高度に標的化されたソーシャル・エンジニアリング攻撃を、Microsoft Threat Intelligence が検知した。8月2日に Microsoft が発表したアドバイザリによると、これらの攻撃は Midnight Blizzard という脅威アクターによるものとのことだ。同グループは、以前は Nobelium と呼ばれていた。この、ロシアを拠点とする攻撃は、中小企業が所有する Microsoft 365 のテナントを悪用し、正規のものを装うテクニカル・サポート・エンティティを作成するという手口を用いるものだ。

2022年に悪用された脆弱性 Top-12：Five Eyes／FBI／CISA／NSA の共同勧告

FBI, CISA, and NSA reveal top exploited vulnerabilities of 2022

2023/08/03 BleepingComputer — Five Eyes のサイバー・セキュリティ当局は、CISA／NSA／FBI と共同で、2022年に最も悪用された 12件の脆弱性リストを発表した。米国／英国／豪州／カナダ／ニュージーランドの５カ国からなるサイバー・セキュリティ当局は、世界中の組織に対し、これらのセキュリティ上の脆弱性に対処し、パッチ管理システムを導入して、潜在的な攻撃にさらされる機会を最小限に抑えるよう呼びかけた。2022年に脅威アクターたちは、新たに公表された脆弱性よりも、古いとされる脆弱性に対して、攻撃を集中させる傾向を強め、特にパッチが適用されずにインターネット上に露出したままのシステムを標的としてきた。

2023年の上半期の OT／IoT：マルウェアの脅威が 10倍に急増

OT/IoT Malware Surges Tenfold in First Half of the Year

2023/08/02 InfoSecurity — OT (Operational Technology)／IoT (Internet of Things) 環境におけるマルウェア関連のサイバー脅威は、2023年上半期に前年の 10倍に急増したことが、セキュリティ・ベンダーである Nozomi Networks の調査で判った。Nozomi Networks の最新のレポートである Nozomi Networks Labs OT & IoT Security Report は、ICS の脆弱性／IoT ハニーポット／OT 環境の攻撃統計などのデータから作成されている。同社はレポートを公開したブログで、「マルウェアに限れば、サービス拒否 (DoS) 活動は依然として OT システムに対する最も一般的な攻撃の１つだ」と述べている。

Facebook ユーザーを狙うフィッシング・キャンペーン：Salesforce のゼロデイを悪用

Phishers Exploit Salesforce’s Email Services Zero-Day in Targeted Facebook Campaign

2023/08/02 TheHackerNews — Salesforce の E メール・サービスに存在する、ゼロデイ脆弱性を悪用する巧妙な Facebook フィッシング・キャンペーンが確認された。この脅威アクターは、Facebook のドメインとインフラを使用して、標的型フィッシング・メッセージを作成できるという。Guardio Labs の研究者である Oleg Zaytsev と Nati Tal は、「このフィッシング・キャンペーンは、Facebook の Web ゲーム・プラットフォーム存在するレガシーな問題と、Salesforce の脆弱性を連鎖させることで、従来の検出方法を巧みに回避している」と、The Hacker News と共有したレポートの中で述べている。

Citrix Netscaler の脆弱性 CVE-2023-3519 の活発な悪用：640台以上のサーバが侵害

Over 640 Citrix servers backdoored with web shells in ongoing attacks

2023/08/02 BleepingComputer — Citrix Netscaler ADC／Gateway に存在する、深刻なリモートコード実行 (RCE) 脆弱性 CVE-2023-3519 を標的とする一連の攻撃で、すでに数百台のサーバが侵害され、バックドア化されているという。以前にも、この脆弱性はゼロデイとして悪用され、米国の重要インフラ組織のネットワークへの侵入の原因となっている。インターネット・セキュリティの強化に取り組む非営利団体 Shadowserver Foundation のセキュリティ研究者たちは、今回の攻撃において、少なくとも 640台の Citrix サーバ上に、Web シェルが展開されていると指摘している。

AWS の SSM Agent を悪用するシナリオ：高スティルス性 RAT の構築が可能

Researchers Uncover AWS SSM Agent Misuse as a Covert Remote Access Trojan

2023/08/02 TheHackerNews — Windows および Linux 環境上でリモート・アクセス・トロイの木馬として、AWS Systems Manager Agent (SSM Agent) を実行させることが可能な、Amazon Web Services (AWS) の新たなポスト・エクスプロイト手法を、サイバー・セキュリティ研究者たちが発見した。Mitiga の研究者である Ariel Szarf と Or Aspir は、「この SSM Agent は、Admin によるインスタンス管理で使用される正当なツールだが、SSM Agent がインストールされたエンドポイント上で、高特権のアクセスを獲得した攻撃者が、悪意の活動を継続的に実行することも可能にする」と、The Hacker News と共有したレポートで述べている。

Facebook のビジネス・アカウントが標的：新種の情報スティーラー NodeStealer 2.0 とは？

New Infostealer Uncovered in Phishing Scam Targeting Facebook Business Accounts

2023/08/01 InfoSecurity — Facebook のビジネス・アカウントを乗っ取るために、新種の情報スティーラーを用いるフィッシング・キャンペーンが、Unit 42 の研究者たちにより発見された。この、ベトナムの脅威アクターによると思われる、過去１年間にわたるキャンペーンは、広告詐欺などを目的として Facebook ビジネス・アカウントを標的とする、攻撃者が増加しているトレンドの一部とされている。ベトナムとの関連性については、Python スクリプトの文字列の多くがベトナム語で書かれているなどの、いくつかの要因に基づいて判断されている。

Google AMP を悪用：狡猾なモバイル・フィッシング攻撃が増加している

Threat actors abuse Google AMP for evasive phishing attacks

2023/08/01 BleepingComputer — Google Accelerated Mobile Pages (AMP) を悪用してメール・セキュリティをバイパスし、企業の従業員の受信トレイに到達するフィッシング活動が増加していると、セキュリティ研究者たちが警告している。Google AMP は、Googleと 30社のパートナーが共同開発したオープンソースの HTML フレームワークであり、モバイル端末での Web コンテンツの読み込みを高速化するものだ。

Hot Topic 小売チェーンで情報漏洩：５ヶ月も続いたクレデンシャル・スタッフィング攻撃

Retail chain Hot Topic discloses wave of credential-stuffing attacks

2023/08/01 BleepingComputer — 米国のアパレル販売店である Hot Topic は、2023年2月7日〜6月21日にかけて複数のサイバー攻撃を受け、機密情報の漏洩が報じたと顧客に通知している。SimilarWeb のデータによると、Hot Topic は、カウンター・カルチャーの衣料品／アクセサリー／ライセンス音楽などを扱う小売チェーンであり、全米に 675店舗を展開している。

Patchwork はインドの APT：EyeShell バックドアを使って中国の研究機関を攻撃

Patchwork Hackers Target Chinese Research Organizations Using EyeShell Backdoor

2023/07/31 TheHackerNews — Patchwork と命名されたハッキング・グループが、最近に確認されたキャンペーンの一環として、中国の大学および研究機関を攻撃していることが判明した。KnownSec 404 Team によると、このキャンペーンでは、コードネーム EyeShell と呼ばれるバックドアが使用されていたという。Patchwork は、別名 Operation Hangover／Zinc Emerson でも知られており、インドが支援する脅威グループであると見られている。遅くとも 2015年12月から活動している同グループは、スピア・フィッシングやウォータリング・ホール攻撃を通じて、パキスタンや中国の組織に対して、BADNEWS などのカスタムイン・プラントを仕掛けてきた。

CVSS と CISA KEV だけに頼らない脆弱性管理：EPSS という新たな指標が登場

Relying on CVSS alone is risky for vulnerability management

2023/07/31 HelpNetSecurity — Rezilion によると、脆弱性の優先順位付けを CVSS のみに依存する管理の手法は、最善ではないことが判明しているようだ。実際のところ、それぞれの脆弱性のリスクを評価するために、CVSS の深刻度スコアのみに依存することは、脆弱性をランダムに選択して修復することに変わりないという。よりスケーラブルで効果的な優先順位の決定戦略を可能にするためには、さらなるコンテキストが必要となる。このコンテキストには、標的環境の内部的な情報源 (資産に関する重要性／緩和策／到達可能性) だけでなく、外部的な情報源も必要になる。

Canon インクジェット・プリンターの問題：初期化しても Wi-Fi 接続設定が消去されない

Canon warns of Wi-Fi security risks when discarding inkjet printers

2023/07/31 BleepingComputer — Canon の SOHO インクジェット・プリンターの初期化時に、デバイスのメモリに保存された Wi-Fi 接続設定が消去されず、データへの不正アクセスを許す脆弱性が存在すると警告されている。この脆弱性の悪用が、修理技術者／一時的なユーザー／デバイスの将来の購入者により行われると、プリンタ・メモリが抜き取られて Wi-FI ネットワークの接続情報を取得され、影響を受けるユーザーにリスクをもたらされる可能性がある。

P2PInfect ワームが Redis を侵害：洗練された手口と Rust で書かれたコードとは？

New P2PInfect Worm Targets Redis Servers with Undocumented Breach Methods

2023/07/31 TheHackerNews — P2PInfect P2 ワームは、これまで文書化されていないイニシャル・アクセス方法を用いて、影響を受けやすい Redis サーバに侵入し、ボットネットへと取り込んでいることが確認されている。Cado Security の研究者である Nate Bill と Matt Muir は、「このマルウェアは、レプリケーション機能を悪用することで、Redis データストアの露出したインスタンスを侵害する。クラウド環境の Redis に対する一般的な攻撃パターンは、悪意のインスタンスを介して上記の機能を悪用し、レプリケーションを有効化することである。具体的に言うと、公開された Redis インスタンスに接続し、SLAVEOF コマンドを発行することで実現する」と、The Hacker Newsと共有したレポートの中で述べている。

AVRecon ボットネットの標的は SOHO ルーター：不正なプロキシを増殖してサーバー犯罪を支援

AVRecon Botnet Leveraging Compromised Routers to Fuel Illegal Proxy Service

2023/07/31 TheHackerNews — AVReconと呼ばれるボットネットの詳細が明らかになった。このボットネットは、遅くとも 2021年5月以降における、複数年にわたるキャンペーンの一環として、侵害した SOHO ルーターを悪用していることが確認されている。７月の初めに AVRecon は、Lumen Black Lotus Labsにより公開されたマルウェアであり、追加コマンドを実行し、被害者の帯域幅を盗み、他の脅威アクターが利用できるようするという、違法なプロキシ・サービスだと思われる。また、その規模は QakBot を上回り、世界20カ国に存在する 41,000台を超えるノードに侵入していという。

Fruity マルウェア・ローダーと Remcos RAT のセット：偽の DL サイトでユーザーを待ち伏せ

Fruity Trojan Uses Deceptive Software Installers to Spread Remcos RAT

2023/07/31 TheHackerNews — 脅威アクターたちは、トロイの木馬化されたソフトウェアをホストする偽の Web サイトを作成してユーザーを騙し、Fruity と呼ばれるマルウェア・ローダーをダウンロードさせた後に、Remcos RAT などのリモート型トロイの木馬ツールをインストールさせている。セキュリティ・ベンダーである Doctor Web は、「問題のソフトウェアの中には、CPU／グラフィックカード／BIOS など微調整するツールや、PC ハードウェア・モニタリング・ツールなどのアプリも含まれている。このようなインストーラーはオトリとして使用され、潜在的な被害者が望むソフトウェアに加えて、トロイの木馬を構成するコンポーネントが含まれている」と述べている。

Barracuda ESG 攻撃に新たなマルウェア：Submarine と呼ばれるバックドア – CISA

CISA: New Submarine Backdoor Used in Barracuda Campaign

2023/07/31 InfoSecurity — Barracuda セキュリティ・アプライアンスを標的として連邦政府ネットワークに侵入した中国の脅威アクターが、Submarine と呼ばれる新たなバックドアを、攻撃の一部で利用していたことが明らかにされた。この攻撃に関する Mandiant のオリジナル・レポートでは、このグループが使用した３種類のバックドア Seaside／Saltwater／Seaspy に焦点が当てられている。しかし、7月28日に CISA が、”永続性を確立し維持する” ためにの、新たなバックドア型マルウェアが配備されたことを明らかにした。

積極的に悪用された 41 件のゼロデイ脆弱性 – 2022年調査 Google TAG

In 2022, more than 40% of zero-day exploits used in the wild were variations of previous issues

2023/07/30 SecurityAffairs — Google Threat Analysis Group (TAG) の Maddie Stone が、野放し状態のゼロデイ脆弱性について執筆する、2022年のイヤー・イン・レビューが公表された。これは、2019／2020／2021 年に続く、４年目のレビューでもある。研究者たちは 2022年において、アクティに悪用された 41 件のゼロデイ欠陥を開示したが、これは2014年半ばに追跡を開始して以来、２番目の記録となった。ちなみに、最悪だったのは、2021 年の 69 件である。

Abyss Locker ランサムウェア Linux 版：VMware ESXi サーバを狙っている

Linux version of Abyss Locker ransomware targets VMware ESXi servers

2023/07/29 BleepingComputer — Abyss Locker オペレーションは、Linux 暗号化ツールの開発における最新の事例であり、企業に対する攻撃において VMware の ESXi 仮想マシン・プラットフォームを標的にしている。リソース管理／パフォーマンス／ディザスタ・リカバリなどの向上を目的に、企業が個々のサーバーから仮想マシンへと移行するにつれて、ランサムウェア・ギャングたちは、このプラットフォームを標的とした暗号化ツールを開発するようになっている。

Google が提案する WEI API：大反対する Vivaldi／Brave／Firefox などの言い分は？

Browser developers push back on Google’s “web DRM” WEI API

2023/07/29 BleepingComputer — Google が Chrome に対して、WEI (Web Environment Integrity) API を導入するという計画は、ユーザーの自由を制限し、オープン Web の基本原則を損なうものだと、インターネット・ソフトウェア開発者から激しい反発を受けている。Vivaldi／Brave／Firefox の従業員たちは、この Google が提案する標準に対して強い反対の姿勢を示しており、Web サイトの DRM (デジタル著作権管理) とまで言う人もいる。

Android マルウェアの新たな手口：OCR を悪用してキャプチャ画像から機密情報を窃取

New Android Malware CherryBlos Utilizing OCR to Steal Sensitive Data

2023/07/29 TheHackerNews — CherryBlos という新たな Android マルウェアが、OCR 技術を悪用することで、写真に保存された機密データを収集していることが確認された。Trend Micro によると、SNS プラットフォーム上の偽の投稿を介して配布される CherryBlosは、暗号通貨ウォレット関連の認証情報を盗む機能を備えており、事前に定義された形式に一致する文字列を、被害者がクリップボードにコピーした際に、ウォレット・アドレスを置き換えるクリッパーとして動作する。

IcedID の BackConnect モジュールの進化：被害者をプロキシとして悪用するケースも

IcedID Malware Adapts and Expands Threat with Updated BackConnect Module

2023/07/28 TheHackerNews — IcedID マルウェア・ローダーに関与する脅威アクターが、ハッキング済のシステムでの活動に使用さする BackConnect (BC) モジュールにアップデートを施していることが、Team Cymru の新たな調査結果で明らかになった。IcedID は BokBot とも呼ばれ、Emotet や QakBot に似たマルウェアの一種であり、2017年にバンキング型トロイの木馬として始まり、その後に他のペイロードのインシャル・アクセスを促進する役割へと移行している。このマルウェアの最新バージョンでは、ランサムウェアの配信を優先するために、オンライン・バンキング詐欺に関連する機能が削除されていることも確認されている。

Windows ローカル検索の悪用：攻撃者のサーバからトロイの木馬をダウンロード

Hackers Abusing Windows Search Feature to Install Remote Access Trojans

2023/07/28 TheHackerNews — Windows の正規の検索機能が、脅威アクターたちにより悪用されている。その結果として、リモート・サーバから AsyncRAT／Remcos RAT などのリモート・アクセス型トロイの木馬がダウンロードされ、標的とされるシステムが危険にさらされている。Trellix によると、この新しい攻撃手法は、”search-ms:” URI プロトコル・ハンドラを悪用しているようだ。URI プロトコル・ハンドラとは、デバイス上でアプリや HTML リンクが、カスタム・ローカル検索を起動するための機能であり、”search:” アプリケーション・プロトコルは、Windows 上でデスクトップ検索アプリケーションを呼び出すためのメカニズムである。

Metabase BI Software の深刻な脆弱性 CVE-2023-38646 が FIX：早急な対応が必要

Major Security Flaw Discovered in Metabase BI Software – Urgent Update Required

2023/07/28 TheHackerNews — 人気の BI データ可視化ソフトウェア・パッケージである Metabase のユーザーは、新たに発見された深刻なリモートコード実行の脆弱性を修正するために、最新バージョンへとアップデートするよう勧告されている。その悪用に関しては、認証が不要だとされる。この脆弱性 CVE-2023-38646 は、OpenSource Edition の Ver 0.46.6.1 以前および、Enterprise Edition の Ver 1.46.6.1 以前に存在する。

IDOR 脆弱性がデータ漏洩に悪用されている：ACSC／CISA／NSA が共同勧告

Cybersecurity Agencies Warn Against IDOR Bugs Exploited for Data Breaches

2023/07/28 TheHackerNews — オーストラリアおよび米国のサイバーセキュリティ機関が、共同サイバー・セキュリティ・アドバイザリを発表した。同アドバイザリは、脅威アクターにより悪用される可能性のある、Web アプリケーションのセキュリティ脆弱性を警告するものだ。この脆弱性には、Insecure Direct Object Reference (IDOR) と呼ばれる特定のクラスのバグが含まれる。これはアクセス制御の脆弱性の一種であり、ユーザーから提供された入力または識別子を追加の検証なしに、データベース・レコードなどの内部リソースに、アプリケーションがダイレクトにアクセスする場合に発生する。

新種のマルウェア Submarine：Barracuda ESG のゼロデイ CVE-2023-2868 を悪用

CISA: New Submarine malware found on hacked Barracuda ESG appliances

2023/07/28 BleepingComputer — Barracuda ESG (Email Security Gateway) アプライアンスの、すでにパッチが適用されているゼロデイバグを悪用する、Submarine と呼ばれる新しいマルウェアが、連邦政府機関のネットワーク上にバックドアに仕掛けていると、CISA が警告している。2023年5月に検出された一連のデータ盗難攻撃で、親中国派と見られるハッカー・グループ UNC4841 が、バックドアを展開していたことが確認された。そして、同グループは、遅くとも 2022年10月から活動していたとされる。

政府系サービス企業 Maximus に MOVEit ハッキング：最大 1100万人の個人情報を侵害

Up to 11 Million People Hit by MOVEit Hack at Government Services Firm Maximus

2023/07/27 SecurityWeek — 今週に、政府系サービス・プロバイダーの Maximus が発表したのは、2023年の前半において MOVEit サイバー攻撃を受け、最大で 1100万人分の個人情報が盗み出されたという被害の内容である。この、2023年5月末に公表された攻撃は、MOVEit Transfer の MFT (Managed File Transfer) ソフトウェアのゼロデイ脆弱性を悪用するもので、このソフトを介して、脅威アクターは転送されたデータを窃取していた。

Apache Tomcat サーバが標的：ハニーポットで収集された Mirai ボットネットを分析

Hackers Target Apache Tomcat Servers for Mirai Botnet and Crypto Mining

2023/07/27 TheHackerNews — ボットネット・マルウェア Mirai などの標的として、また、暗号通貨マイナーを配信する新たなキャンペーンの一環として、コンフィグレーションやセキュリティに不備がある Apache Tomcat サーバーが狙われている。この調査結果は Aqua によるもので、Tomcat サーバのハニーポットに対して、２年間で 800件以上の攻撃を検出し、そのうちの 96％が、Mirai ボットネットに関連していたことが判明した。これらの攻撃のうちの 20％ (152件) は、24のユニークな IP アドレスから発信された “neww” と呼ばれる Web シェル・スクリプトの使用を伴うものであり、その 68％は単一の IP アドレス (104.248.157[.]218) から発信されていた。

AWS 環境の 62% が Zenbleed 脆弱性の影響を受ける：修正を急ぐ AMD

Wiz Says 62% of AWS Environments Exposed to Zenbleed Exploitation

2023/07/26 SecurityWeek — AWS 環境の 62% パーセントが、新たに文書化された AMD Zen 2 プロセッサの、Zenbleed 情報漏洩脆弱性にさらされている可能性があると、クラウド・セキュリティ企業 Wiz の研究者たちが報告している。7月23日 (水) に投稿されたリサーチ・ノートにおいて、AWS 環境の 60％以上が Zen 2 CPU を搭載した EC2 インスタンスを実行しているため、use-after-free メモリ破損バグの影響を受ける可能性があると、Wiz は算出している。

Zimbra のゼロデイ CVE-2023-38750 が FIX：CISA KEV にも追加

Zimbra patches zero-day vulnerability exploited in XSS attacks

2023/07/27 BleepingComputer — Zimbra Collaboration Suite (ZCS) メール・サーバを標的とする攻撃で悪用された、ゼロデイ脆弱性を修正するセキュリティ・アップデートが、最初の情報公開から２週間後にリリースされた。この、脆弱性 CVE-2023-38750 は、Google Threat Analysis Group のセキュリティ研究者である Clément Lecigne により発見された反射型 XSS (Cross-Site Scripting) である。XSS 攻撃は深刻な脅威であり、その悪用に成功した脅威アクターは、脆弱なシステム上での機密情報の窃取や、悪意のコード実行を可能にする。

WordPress の Ninja Forms プラグイン：３件の深刻な脆弱性が FIX

WordPress Ninja Forms plugin flaw lets hackers steal submitted data

2023/07/27 BleepingComputer — WordPress で人気のフォーム作成プラグイン Ninja Forms には、攻撃者に特権への昇格を許し、ユーザー・データ窃取へといたる、３つの脆弱性が存在する。2023年6月22日に Patchstack の研究者たちは、この３つの脆弱性を発見し、プラグインの開発元である Saturday Drive に情報を公開した。そして、2023年7月4日に、Saturday Drive はバージョン 3.6.26 をリリースし、脆弱性を修正した。しかし、WordPress.org の統計によると、Ninja Forms の最新リリースをダウンロードしたのは、すべてのユーザーの約半数に過ぎず、約 40万件のサイトに攻撃の可能性が残されているという。

Nitrogen というキャンペーン：Google／Bing の広告を介してマルウェアを展開

New Nitrogen malware pushed via Google Ads for ransomware attacks

2023/07/26 BleepingComputer — Nitrogen マルウェアによる、イニシャル・アクセス・キャンペーンは、Google や Bing などの検索広告で偽ソフトウェア・サイトを宣伝し、疑念を持たないユーザーたちに、Cobalt Strike やランサムウェアのペイロードに感染させていくものだ。Nitrogen マルウェアの目的は、企業ネットワークへのイニシャル・アクセスを脅威アクターたちに提供し、データ窃取やサイバー・スパイ活動を行わせ、最終的に BlackCat／ALPHV ランサムウェアを展開させることにある。7月26日に Sophos が発表したレポートには、Nitrogen キャンペーンに関する詳細な説明として、AnyDesk／Cisco AnyConnect VPN／TreeSize Free／WinSCP などの一般的なソフトウェアになりすまし、主に北米の技術組織や非営利組織をターゲットにしている状況が記されている。

Ubuntu ユーザーの 40% に脆弱性：Linux カーネル・プロジェクトとの整合性の問題

Almost 40% of Ubuntu users vulnerable to new privilege elevation flaws

2023/07/26 BleepingComputer — 先日に、Ubuntu カーネルに取り込まれてしまった２つの Linux 脆弱性により、権限のないローカル・ユーザーによる昇格昇格が、発生する可能性が生じている。Ubuntu は、最も広く利用されている Linux ディストリビューションの１つであり、特に米国では人気が高く、約 4000万人以上のユーザーを抱えている。Wiz の研究者である S. Tzadik と S. Tamari により発見された、脆弱性 CVE-2023-32629／CVE-2023-2640 が、このオペレーティング・システムに取り込まれてしまったことで、Ubuntu のユーザー・ベースの約 40％に影響が生じている。ｖ

FraudGPT という悪意の生成 AI ツール：月額 $200 で ChatGPT の代替品

New AI Tool ‘FraudGPT’ Emerges, Tailored for Sophisticated Attacks

2023/07/26 TheHackerNews — WormGPT の足跡をたどる脅威アクターたちは、さまざまなダークウェブ・マーケットプレイスや Telegram チャンネルで、FraudGPT と名付けたサイバー犯罪生成 AI ツールを宣伝している。7月25日 (火) に発表されたレポートの中で、Netenrich の Security Researcher である Rakesh Krishnan は、「これは AI ボットであり、スピアフィッシング・メールの作成／クラッキングツールの作成／カーディングなどの攻撃に特化したものだ」と述べている。Netenrich によると、このサービスは遅くとも 2023年7月22日以降において、月額 $200 (半年 $1,000／1年 $1,700) で提供されているという。

2023 Q1／Q2 比較でランサムウェア攻撃が 74％の急増 – SonicWall

Ransomware Attacks Skyrocket in Q2 2023

2023/07/26 InfoSecurity — 2023 Q2 と Q1 の比較において、ランサムウェア攻撃が 74％も急増したことが、最新のレポートで明らかになった。2023 SonicWall Mid-Year Cyber Threat Report では、2023年に入ってからのランサムウェア攻撃件数について、２つの非常に不均衡な現象が観測された。SonicWall Capture Labs の研究者たちは、2023 Q1 に 5,120万件の攻撃を観測しているが、これは 2019 Q4 以降で最小の件数だった。しかし、Q2 にはランサムウェアが復活し、8,890万件の攻撃が確認され、Q1 から 74％の急増となった。

MikroTik RouterOS の深刻な脆弱性 CVE-2023-30799：50万台以上にハッキングの可能性

Critical MikroTik RouterOS Vulnerability Exposes Over Half a Million Devices to Hacking

2023/07/26 TheHackerNews — MikroTik RouterOS に深刻な権限昇格の脆弱性が発見された。この脆弱性の悪用に成功した攻撃者が、リモートで任意のコードを実行し、脆弱なデバイスを完全に制御する可能性がある。VulnCheck は 7月25日のレポートで、この脆弱性 CVE-2023-30799 (CVSS：9.1) により、合計で約 140万台の RouterOS システムが、Web／Winbox インターフェイスを介して悪用の危険にさらされると明らかにした。

Decoy Dog マルウェア：DNS を悪用する APT たちが好むツールキットとは？

Decoy Dog Malware Upgraded to Include New Features

2023/07/25 InfoSecurity — 今日に発表された Infoblox の脅威レポートにより、Decoy Dog という RAT ツールキットの最新情報が公開された。この Decoy Dog は、2023年4月に発見・公開されたものであるが、DNS を Command and Control (C2) に使用するという特徴を持ち、以前に考えられていたよりも巧妙なことが判明しており、現在進行中の国家によるサイバー攻撃で使用されている疑いがある。そのツールキットを Infoblox を公開した後に、背後で操る脅威アクターは迅速に対応し、侵害したデバイスへのアクセスを維持するためにシステムを適応させている。

JumpCloud ハッキング：北朝鮮の RGB に属する脅威アクターが関与か？

North Korean Nation-State Actors Exposed in JumpCloud Hack After OPSEC Blunder

2023/07/25 TheHackerNews — 北朝鮮の General Bureau (RGB) に所属する活動家たちが、JumpCloud のハッキングに関与しているようだ。Google 傘下の Mandiant は、UNC4899 という名前で追跡している脅威アクターに起因する活動だとしている。このグループは、ブロックチェーンと暗号通貨セクターを攻撃してきた Jade Sleet／TraderTraitor として監視されている、クラスターと重複している可能性が高いようだ。また、UNC4899 は APT43 とも重なっている。APT43 とは、北朝鮮 (DPRK) に関連する別のハッキング・グループであり、2023年3月の初旬に、標的とした企業から暗号通貨を吸い上げるための、一連のキャンペーンを実施していることが明らかになっている。

VMware の深刻な脆弱性が FIX：Cloud Foundry API 管理者クレデンシャルへのアクセス

VMware fixes bug exposing CF API admin credentials in audit logs

2023/07/25 BleepingComputer — VMware の Tanzu Application Service for VMs (TAS for VMs) および Isolation Segment に存在する、情報漏えいの脆弱性が修正された。TAS for VMは、オンプレミス／パブリック／プライベート・クラウド (vSphere／AWS／Azure／GCP／OpenStack など) にまたがるアプリケーションを、ユーザー企業がデプロイする際の自動化を促進するものだ。この脆弱性 CVE-2023-20891 は、7月25日に Vmware が対処したものであり、パッチを適用していないシステムにおいて、Cloud Foundry API の管理者認証情報に対して、低権限のリモート攻撃者によるアクセスを許すものとなっている。

Microsoft の MSMQ サービスに３つの深刻な脆弱性：４月と７月の月例で対応済み

Critical Flaws Found in Microsoft Message Queuing Service

2023/07/25 InfoSecurity — Microsoft Message Queuing (MSMQ) サービスで、３つの脆弱性が発見された。MSMQ は、アプリケーション間の安全な通信を可能にするために、複数のコンピュータ上で動作するよう設計された、独自のメッセージング・プロトコルである。7月24日 (月) に発表したアドバイザリで、Fortinet のサイバー・セキュリティ研究部門である FortiGuard Labs が、これらの欠陥について説明している。

北朝鮮のハッカー Lazarus：Microsoft IIS Server を乗っ取ってマルウェアを配布

Lazarus hackers hijack Microsoft IIS servers to spread malware

2023/07/24 BleepingComputer — 北朝鮮の国家支援のハッカー・グループである Lazarus が、Windows IIS (Internet Information Service) Web サーバを乗っ取り、マルウェアを配布していることが明らかになった。Microsoft の Web Server ソリューションである IIS は、Web サイトや Microsoft Exchange Outlook Web などのアプリケーション・サービスをホストするために使用されるものだ。

Apple が大規模なセキュリティ・アップデートを実施：カーネルの脆弱性 CVE-2023-38606 などが FIX

Apple Patches Another Kernel Flaw Exploited in ‘Operation Triangulation’ Attacks

2023/07/24 SecurityWeek — 7月24日に Apple は、同社の主力プラットフォームである iOS／macOS／iPadOS に対して、大規模なセキュリティ・アップデートを行なった。今回のアップデートには、iOS／macOS におけるコード実行の深刻な脆弱性に対するパッチも含まれている。また、Apple によると、iOS／iPadOS／macOS 搭載デバイスに影響する、カーネルの脆弱性 CVE-2023-38606 は、iOS 15.7.1 以下において、すでに活発に悪用されていたという。