IoT OT Security News

Ethereum $100M 相当が Harmony から消えた：北朝鮮の Lazarus と APT38 の犯行

FBI: North Korean hackers stole $100 million in Harmony crypto hack

2023/01/24 BleepingComputer — FBI の発表によると、2022年6月に Harmony Horizon から $100 million 相当の Ethereum が盗まれたが、その背後には、北朝鮮の国家的なハッキング・グループ Lazarus と APT38 が存在することが確認されたという。Harmony Horizon は Ethereum のクロス・チェーンブリッジであり、2022年6月に侵害を受け、MultiSigWallet の制御をハッカーが奪ったことで、大量のトークンが犯罪者のアドレスに転送された。

GoTo で発生したデータ侵害：暗号化されたバックアップや MFA 設定などを窃取

GoTo Says Hackers Stole Encrypted Backups, MFA Settings

2023/01/24 SecurityWeek — IT マネージメント・ソフトウェアを提供する GoTo は、2022年に発生した LastPass 関連会社に影響を及ぼしたセキュリティ侵害において、暗号化されたバックアップと一部の暗号化キーが、正体不明の脅威アクターに盗まれたと発表した。GoTo の CEO である Paddy Srinivasan は、このセキュリティ侵害が、当初の報告よりもはるかに深刻であることを認めている。具体的に言うと、アカウントのユーザー名および、ソルト化／ハッシュ化されたパスワード、MFA 設定の一部に加えて、一部製品のコンフィグレーション／ライセンス情報が盗まれたようだ。

Emotet が新たなバイパス手法で再登場：クレカ窃取と横移動の新モジュールを追加

Emotet Malware Makes a Comeback with New Evasion Techniques

2023/01/24 TheHackerNews — マルウェア Emotet は、Bumblebee／IcedID などの危険なマルウェアの感染経路となる一方で、その手口を改良し、レーダーを回避し続けている。2021年初頭に、捜査当局が Emotet のインフラを排除したが、同年末には活動を再開しており、フィッシング・メールを介して配布される、持続的な脅威として存在し続けている。このウイルスは、サイバー犯罪グループ TA542 (別名 Gold Crestwood／Mummy Spider) に帰属するものであり、バンキング型トロイの木馬として 2014年に登場した後に、マルウェア配布者へと進化してきた。

VMware vRealize Log Insight における４つの深刻な脆弱性が FIX

VMware Plugs Critical Code Execution Flaws

2023/01/24 SecurityWeek — 2023年1月24日に VMware がリリースしたのは、RCE (Remote Code Execution) 攻撃につながる可能性のある、複数の深刻な脆弱性のパッチを含む、2023年最初のセキュリティ情報である。VMware によると、これらの脆弱性は、VMware vRealize Log Insight に影響を及ぼすものであり、悪用に成功した未承認の攻撃者に対して、ターゲット・システムの完全な制御を許す可能性があるという。

ChatGPT が明らかにした問題点： AI を騙して悪用するのは簡単だ

Learning to Lie: AI Tools Adept at Creating Disinformation

2023/01/24 SecurityWeek — 人工知能は小説を書き、ゴッホにインスパイアされた画像を作り、山火事の消火活動を支援するにまでいたった。そして今、人工知能は、かつて人間に限られていた活動において、つまりプロパガンダや偽情報の作成において競争を始めた。オンライン AI チャットボット ChatGPT に、広く否定されている主張 (たとえば COVID-19 ワクチンは危険だという主張) を支持する、ブログ記事／ニュース記事／エッセイを作成するよう、研究者たちは依頼してみた。すると、このサイトは応じることがあり、オンライン・コンテンツのモデレーターを長年にわたり悩ませてきた、同様の主張と見分けがつかないほどの出来栄えで、それらを作文したという。

Sliver は Cobalt Strike の後継：多様な機能を搭載する C2 フレームワーク

Threat Actors Turn to Sliver as Open Source Alternative to Popular C2 Frameworks

2023/01/23 TheHackerNews — Cobalt Strike や Metasploit に代わるオープンソースのフレームワークであり、合法的な Command and Control (C2) フレームワークである Sliver が、脅威アクターたちの支持を集めていることが判明した。サイバー・セキュリティ企業である BishopFox が開発した Sliver は、Golang ベースのクロスプラットフォームなポスト・エクスプロイト・フレームワークであり、レッドチームが使用することを想定して設計されている。先週に Cybereason が実施した徹底的な分析により、この Sliver の内部構造が詳細まで明らかにされた。

ICS のサイバー・セキュリティ：2022年後半に CISA が報告した 920件の脆弱性とは？

Extent of reported CVEs overwhelms critical infrastructure asset owners

2023/01/23 HelpNetSecurity — SynSaber によると、膨大な量の ICS における脆弱性と CVE の件数が報告されることで、重要インフラ資産の所有者は圧倒され、また、どこから手をつければ良いのかと、手助けを求めることがあるようだ。SynSaber の CTO である Ron Fabela は、「毎年のように、産業用制御システムの脆弱性が大量に開示されるが、セキュリティ・コミュニティによる露出ポイントへのパッチ適用／修正が不可能であるため、しばしば不安を生み出しているま」と述べている。

CISA KEV 警告 23/01/23：Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966 を追加

CISA warns of critical ManageEngine RCE bug exploited in attacks

2023/01/23 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Zoho ManageEngine 製品群の大半に影響を及ぼすリモートコード実行 (RCE) を、野放し状態で悪用されているとして KEV カタログに追加した。この脆弱性 CVE-2022-47966 は、2022年10月27日から製品ごとにパッチが適用されている。SAML ベースのシングルサインオン (SSO) が有効である場合や、一度でも有効であった場合に、未認証の脅威アクターに悪用され、任意のコード実行にいたる恐れがある。

DDoS 攻撃によるロシア側の被害：最大手 ISP の Rostelecom が語る惨状

Russia’s largest ISP says 2022 broke all DDoS attack records

2023/01/23 BleepingComputer — ロシア最大の ISP (internet service provider) である Rostelecom によると、同国内の組織を標的とした分散型サービス拒否攻撃 (DDoS) が、2022年に最悪の記録を樹立したという。DDoS 攻撃とは、インターネットに接続された Web サイトやサービスに対して、大量のリクエストを送信することで、新しい接続を受け入れるサーバの能力を枯渇させ、サービスを応答不能にすることを目的としたサイバー攻撃である。ウクライナとロシアの紛争の両側で、それぞれのハクティビストたちが、進行中の戦争に関連する行動や報復として、重要なサービスを妨害するために DDoS 攻撃を使用している。

Samsung Galaxy Store の２つの脆弱性：2023/01 のアップデートで対応

Samsung Galaxy Store App Found Vulnerable to Sneaky App Installs and Fraud

2023/01/23 TheHackerNews — Samsung の Galaxy Store App にセキュリティ欠陥が存在し、ローカル攻撃者による任意のアプリのインストールや、Web 上の不正なランディング・ページへの誘導などが可能なことが判明した。NCC Group が発見した、脆弱性 CVE-2023-21433／CVE-2023-21434 は、2022年11月／12月の時点で Samsung に通知されている。同社は、これらのバグを Medium のリスクとして分類し、2023年1月初めに出荷された、バージョン 4.5.49.8 で対応している。

Microsoft のマルウェア対策：Excel XLL add-in の制限が 2023年3月から始まる

Microsoft plans to kill malware delivery via Excel XLL add-ins

2023/01/23 BleepingComputer — Microsoft が取り組んでいるのは、インターネットからダウンロードされた XLL アドインを、自動的にブロックする機能を追加することで、Microsoft 365 における XLL アドインを保護することである。それにより、この感染経路を悪用するマルウェア増加の傾向に、対処することが可能となる。Microsoft は、「この数カ月で増加しているマルウェア攻撃に対抗するため、インターネットからダウンロードされる XLL アドインを、ブロックするための対策を実施している」と述べている。同社によると、この新機能は 2023年3月から、Current／Monthly Enterprise／Semi-Annual Enterprise チャネルの、デスクトップ・ユーザーを対象に一般提供される予定だという。

Microsoft OneNote ファイルに要注意：新たなマルウェア配布が始まっている

Hackers now use Microsoft OneNote attachments to spread malware

2023/01/21 BleepingComputer — OneNote の添付ファイルをフィッシング・メールに使用する攻撃者たちが、被害者のマシンにリモート・アクセスに対応するマルウェアを感染させ、さらなるマルウェアのインストールや、パスワードの窃取、暗号通貨ウォレット侵害へとエスカレートさせようとしている。長年にわたり攻撃者たちは、電子メールに添付した Word／Excel ファイルに隠したマクロを起動させ、マルウェアをダウンロード／インストールするという方式で、マルウェアを配布してきた。しかし、2022年7月に Microsoft は、Office 文書に含まれるマクロをデフォルトで無効にし、マルウェアの配布に利用できないようにした。

iOS デバイスを汚染するアドウェア Vastflux：ピーク時で 120億／日のリクエスト

Massive ad-fraud op dismantled after hitting millions of iOS devices

2023/01/21 BleepingComputer — iOS を主体として展開された、Vastflux という名の大規模な広告詐欺作戦は、 120社のパブリッシャーから提供される 1,700件以上のアプリを偽装していたが、サイバー・セキュリティ企業 HUMAN の研究者たちにより阻止されたことが明らかになった。このオペレーション名は、広告配信テンプレート VAST と、単一のドメインに関連する大量の IP アドレスや DNS レコードを迅速に変更することで、悪意のあるコードを隠す回避手法 fast flux に由来しているという。HUMAN のレポートによると、ピーク時の Vastflux では 120億以上／日の入札リクエストが生成され、約 1100万台のデバイス (大半が iOS エコシステム) に影響を与えたとされている。

製造業の 76% に未パッチの深刻な脆弱性：マルウェア感染は 40% 以上

Critical Manufacturing Sector in the Bull’s-eye

2023/01/21 DarkReading — 製造業の４社に３社以上が、未パッチの深刻度の高い脆弱性をシステム内に抱えていることが、この分野に関する調査で明らかになった。SecurityScorecard による最新のテレメトリ測定では、これらの組織における深刻な脆弱性は、前年比で増加していることが示されている。同社の共同設立者／CEO である Aleksandr Yampolskiy は、「2022年において、我々のプラットフォーム上の製造業の IP アドレスから調べたところ、約 76% 組織でパッチが適用されていない CVE を発見された」と述べている。

Zendesk で顧客情報の漏洩が発生：従業員を狙った SMS フィッシングに起因

Compromised Zendesk Employee Credentials Lead to Breach

2023/01/21 DarkReading — SaaS 版の CRM (Customer Relationship Management) を提供する Zendesk が、2022年10月に脅威アクターによる不正アクセスを受け、顧客情報の漏洩が発生したこと明らかになった。ことの発端は、2023年1月13日に同社から顧客に送られたメールである。インシデントの詳細が記された Zendesk からのメールは、仮想ウォレット・サービスを提供する Coinigy により公開されたものだ。Coinigy は侵害に関する投稿で、「我々の顧客に開示する必要性を感じた」と述べている。

WhatsApp が GDPR 違反：Meta に €5.5m の罰金を科した EU 委員会内に摩擦

WhatsApp Hit with €5.5m fine for GDPR Violations

2023/01/20 InfoSecurity — アイルランドのデータ保護委員会 (DPC : Data Protection Commission) が WhatsApp に対して、GDPR 違反があったとして €5.5m ($5.9m) の罰金を科した。また、この罰金に加えて、WhatsApp Ireland は 6ヶ月以内に、データ処理業務をコンプライアンスに適合させるよう指示された。この WhatsApp の責任範囲に関する訴訟については、欧州のデータ保護当局の間に、大きな意見の相違があることを示すものだ。

T-Mobile にデータ侵害が発生：API 攻撃により 3,700万人分の顧客情報が漏えい

API Attacker Steals Data on 37 Million T-Mobile Customers

2023/01/20 InfoSecurity — T-Mobile は、数千万人の顧客の個人情報やアカウント情報に対して、脅威アクターがAPI 経由で不正にアクセスしたことを認めた。同社は、2023年1月19日の SEC ファイリングで、この攻撃は 2022年11月25日頃に始まり、また、2023年1月5日まで発見されなかったが、発見後の１日以内にインシデントは解決したと説明している。

Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966：活発な悪用と攻撃

Critical ManageEngine RCE bug now exploited to open reverse shells

2023/01/20 BleepingComputer — 複数の Zoho ManageEngine 製品に影響を及ぼす、深刻な RCE (Remote Code Execution) の脆弱性が、攻撃に悪用されている。この脆弱性の悪用コードと詳細な技術分析を、Horizon3 のセキュリティ研究者たちが公開する２日前に、サイバーセキュリティ企業の Rapid7 が最初の悪用の試みを検知していた。Rapid7 は、「我々は、少なくとも 24種類のオンプレミス ManageEngine 製品に影響を与える、未認証のRCE 脆弱性 CVE-2022-47966 の悪用から生じる、さまざまな侵害に対応している。2023年1月17日 (UTC) の時点で、複数の組織にまたがる悪用を観測している」と述べている。

Cisco の VPN ルータ群：深刻な脆弱性が放置される２万台の EoL デバイス

Over 19,000 end-of-life Cisco routers exposed to RCE attacks

2023/01/20 BleepingComputer — Cisco VPN ルーターが、リモート・コマンド実行のエクスプロイト・チェーン攻撃にさらされているが、インターネット上に 19,000台以上の製造終了 (EoL) ルーターが残されていることが判明した。先週に公開された２つの脆弱性を、脅威アクターが連鎖させることが可能となる。具体的に言うと、Cisco Small Business RV016／RV042／RV042G／RV082 ルーター OS 上で認証をバイパス (CVE-2023-20025) した後に、任意のコマンドを実行 (CVE-2023-20026?) できるのだ。

ランサムウェア・ギャングたちの総決算 2022年：身代金収益は 40% 減

Ransomware Revenue Plunged in 2022 as More Victims Refuse to Pay Up: Report

2023/01/20 SecurityWeek — Chainalysis のデータが示すのは、身代金要求の支払いを拒否する被害者が増えたことで、2022年のランサムウェア攻撃による収入が、2021年と比較して大幅に減少したことだ。2023年1月19日に、このブロックチェーン・データ企業が発表したレポートによると、ランサムウェア・グループが使用したと認識される、暗号通貨アドレスが受け取った $457 million は、2021年の $766 million in 2021 との比較において、40％以上の減少を示している。

PayPal ユーザー 35,000 人の個人情報に不正アクセス：クレデンシャル・スタッフィングの可能性大

Massive Credential Stuffing Campaign Hits 35,000 PayPal Users

2023/01/20 InfoSecurity — 今週に PayPal が公表したのは、2022年12月に発生したアカウントへの不正アクセスと、米国の数万人の顧客に対して通知が行われたことだ。この不正アクセスは、12月6日〜12月8日に発生し、その後に事態を把握した同社は、脅威となった人物によるアクセスを排除した。PayPal からメイン州司法長官事務所に提出された侵害通知書には、「この間において、不正な第三者が、特定の PayPal ユーザーの個人情報の一部を閲覧し、取得した可能性がある」と記されている。

FortiOS SSL-VPN の脆弱性 CVE-2022-42475：中国由来のハッカーが 2022年10月から侵害

Chinese hackers used recently patched FortiOS SSL-VPN flaw as a zero-day in October

2023/01/20 SecurityAffairs — 先日にパッチが適用された FortiOS SSL-VPN の脆弱性 CVE-2022-42475 を、中国の脅威アクターと思われる人物が、ゼロデイとして悪用したことを、Mandiant の研究者たちが報告している。この脆弱性は、欧州の政府機関やアフリカの MSP などを標的とする、一連の攻撃で悪用されたと、同社は述べている。この脆弱性は、2022年12月に Fortinet により対処されているが、攻撃自体は 10月の時点で生じていた。専門家たちが集めた証拠によると、中国のサイバースパイ活動の一環であることが示唆されている。

透明の SVG ファイルにマルウェア：この見えない敵に対処できるのか？

Phishers Use Blank Images to Disguise Malicious Attachments

2023/01/20 InfoSecurity — フィッシング詐欺師たちが、従来からのセキュリティ・フィルタを回避するために、透明の画像イメージを使用するという新たな革新的な手法を、セキュリティ研究者たちが発見した。Check Point の事業会社である Avanan が検知した問題の電子メールは、一見すると正規の DocuSign メッセージとして受信されたものだ。メール本文に記載されたリンクは、ユーザーを通常の DocuSign のページへと誘導するものだが、末尾に記載された HTML 添付ファイルは疑わしいものだった。

SBOM の品質をチェック：米政府基準の最小限要素を満たすものは１％に過ぎない

Chainguard Trains Spotlight on SBOM Quality Problem

2023/01/19 SecurityWeek — ソフトウェア部品表で品質を管理しているソフトウェア・エンジニアが、驚くべき発見をした。現時点で作成されている SBOM のうち、米国政府が定義した「最小限の要素」を満たしているものは、わずか 1% に過ぎないというのだ。ソフトウェア・サプライチェーン・セキュリティの企業である Chainguard の新しいデータによると、既存のツールで生成された SBOM は、ソフトウェアの脆弱性／ライセンス／在庫の追跡を管理するために、SBOM 内で定義されている必要最小限のデータフィールドを満たしていないことが判明した。

サイバー保険でリスクを相殺？：中小企業における実態を調査してみた

Cyber insurance can offset the risks of potential breaches

2023/01/19 HelpNetSecurity — Datto の調査によると、中小企業はサイバー脅威の高まり認識し、ネットワークやクラウドのセキュリティといった分野に、リソースを割り当て、投資している。Datto の VP of Product Marketing for Security and Networking Solutions である Chris McKie は、「多くの企業が、脅威から身を守るために、さらなる対策を講じている。ほとんどの中小企業は、ランサムウェアがもたらす現実的な脅威を認識し、新しいセキュリティ製品への投資や、複数のセキュリティ・フレームワークの活用などの、安全性を確保するために奮闘している」と述べている。

Microsoft Azure の CRFS 脆弱性 EmojiDeploy が FIX：RCE 攻撃の可能性

New Microsoft Azure Vulnerability Uncovered — EmojiDeploy for RCE Attacks

2023/01/19 TheHackerNews — Microsoft Azure に関連する複数のサービスに影響を及ぼす、新規かつ深刻なリモートコード実行 (RCE) の脆弱性が発見された。この脆弱性の悪用に成功した攻撃者により、ターゲット・アプリケーションの完全な制御が可能になるようだ。Ermetic の研究者である Liv Matan は、The Hacker News と共有したレポートの中で、「ユビキタス SCM サービスである Kudu に、CRFS (Cross Site Request Forgery) の脆弱性が存在する。この脆弱性の悪用に成功した攻撃者は、ペイロードを含む悪意の ZIP ファイルを、被害者の Azure アプリケーションに展開できる」と述べている。

Cisco の SQLi 脆弱性 CVE-2023-20010 などが FIX：データ改竄および権限昇格の可能性

Cisco Patches High-Severity SQL Injection Vulnerability in Unified CM

2023/01/19 SecurityWeek — 2023年1月18日に Cisco は、Unified Communications Manager (CM) および Unified Communications Manager Session Management Edition (CM SME) に存在する、深刻な SQL インジェクションの脆弱性に対するパッチを発表した。エンタープライズ・コールおよびセッション管理プラットフォームとして設計されたCisco Unified CM／Unified CM SME は、Webex／Jabber などのアプリとの相互運用性を確保し、可用性と安全性を維持するものだ。

GE Historian の脆弱性： ICS を標的とするスパイ活動や破壊活動にいたる恐れ

Hackers Can Exploit GE Historian Vulnerabilities for ICS Espionage, Disruption

2023/01/18 SecurityWeek — GE の Proficy Historian 製品で発見された脆弱性は、諜報活動のために悪用するハッカーにより、産業環境に被害や混乱を生じる可能性があるという。2023年1月17日に、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、これらの脆弱性について連邦政府組織に通知し、この欠陥を発見した産業用サイバー・セキュリティ企業である Claroty も、詳細な内容をブログで発表した。

TP-Link／NetComm ルーターに深刻な脆弱性：RCE や DoS にいたる恐れ

Remote Code Execution Vulnerabilities Found in TP-Link, NetComm Routers

2023/01/18 SecurityWeek — TP-Link／NetComm のルーターで確認された脆弱性が悪用されると、リモートからのコード実行 (RCE) にいたる可能性が生じる。TP-Link WR710N-V1-151022／Archer-C5-V2-160201 SOHO (small office/home office) ルーターで発見された、２つの脆弱性の悪用に成功した攻撃者に対して、コード実行／デバイス・クラッシュ／ログイン認証推測などを許す可能性があるという。

CISA KEV 警告 23/01/17：CentOS CWP の深刻な脆弱性 CVE-2022-44877 を追加

Exploited Control Web Panel Flaw Added to CISA ‘Must-Patch’ List

2023/01/18 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、広く使われている CentOS Control Web Panel の深刻な脆弱性 CVE-2022-44877 を、KEV（Known Exploited Vulnerabilities）カタログに追加し、連邦機関に対して２月初旬までに修正するよう指示している。

Magento の１年前の脆弱性 CVE-2022-24086：対策の混乱による積極的な悪用が止まらない

Vendors Actively Bypass Security Patch for Year-Old Magento Vulnerability

2023/01/18 SecurityWeek — Adobe Commerce／Magento ストアのメール・テンプレートに存在する、深刻な脆弱性 CVE-2022-24086 に対して、2022年2月に Adobe が公開したセキュリティ・パッチが、適用されていないケースが多いと、eコマース・セキュリティ企業である Sansec が警告している。この脆弱性 CVE-2022-24086 (CVSS: 9.8) は、チェックアウト・プロセスにおける不適切な入力検証のバグだと説明されている。このバグの悪用に成功した攻撃者に対して、任意のコード実行を許す可能性があり、また、パッチが提供されてから１週間ほどで、実環境での悪用も確認されている。

ChatGPT でマルウェア開発：継続的な変異により捕捉／検出が困難になる

ChatGPT Creates Polymorphic Malware

2023/01/18 InfoSecurity — CyberArk のサイバー・セキュリティ研究者が、OpenAI の ChatGPT とテキストベースの対話を行い、新たな多形態マルウェア (Polymorphic Malware) を作成したと報告している。先日に同社が InfoSecurity と共有した技術文書によると、ChatGPT を用いて作成されたマルウェアは、「攻撃者による努力や投資を大幅に抑制した上で、簡単にセキュリティ製品を回避し、緩和を面倒なものにする」ことが可能だという。

Sophos Firewall 4,000台が危険な状況：インターネットに露出するサーバの 6% が未パッチ

Over 4,000 Sophos Firewall devices vulnerable to RCE attacks

2023/01/17 BleepingComputer — インターネットに接続される 4,000 台以上の Sophos Firewall に存在する、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2022-3236 を狙って、サイバー攻撃が発生する可能性があることが判明した。Sophos Webadmin／Sophos Firewall の User Portal に存在する、このコードインジェクションの脆弱性は 2022年9月に公開され、複数の Sophos Firewall バージョンに対するホットフィックスがリリースされた (正式な修正プログラムは3カ月後の2022年12月に発行)。

Zoho ManageEngine の脆弱性 CVE-2022-47966：PoC エクスプロイトが登場

Zoho ManageEngine PoC Exploit to be Released Soon – Patch Before It’s Too Late!

2023/01/17 TheHackerNews — Zoho ManageEngine のユーザーが催促されているのは、PoC エクスプロイト・コードの公開に先立って、深刻なセキュリティ脆弱性を持つインスタンスにパッチを適用することだ。この脆弱性 CVE-2022-47966 は、旧来からのサードパーティ依存関係である Apache Santuario の使用により、未認証のリモート・コード実行が発生し、複数の製品に影響を与える可能性を生じるというものだ。

クレジットカード犯罪が 62% 減：ウクライナ戦争に影響されるダークウェブ市場

Russia’s Ukraine War Drives 62% Slump in Stolen Cards

2023/01/17 InfoSecurity — Recorded Futureによると、2022年初頭に始まったロシアのウクライナ侵攻により、ダークウェブに公開されるペイメントカードの盗難記録が大きく減少したようだ。同社の Insikt Group 部門は、サイバー犯罪の地下組織から得た詳細な脅威情報を分析し、Annual Payment Fraud Report : 2022 をまとめ上げた。それによると、2022年にダークウェブのカードショップに記録されている、正規には存在しないカードは前年比 24% 減の 4560万件に、また、正規に存在するカードは 62%減の 1380万件になると報告されている。

GitLab の深刻な脆弱性 CVE-2022-41903／CVE-2022-23521 が FIX：RCE の可能性

Git patches two critical remote code execution security flaws

2023/01/17 BleepingComputer — GitLab が、２つの深刻なセキュリティ脆弱性に対してパッチを適用した。それらは、ヒープバッファ・オーバーフローに起因するものであり、悪用に成功した攻撃者に、任意のコード実行を許すものである。３つ目の Windows 固有の脆弱性は、信頼できない検索パスに起因するものであり、Git GUI ツールに影響を及ぼす。未認証の脅威者に対して、信頼できないコードを、容易に実行させる可能を持つ。最初の２つの脆弱性である CVE-2022-41903 (commit formatting mechanism) と、CVE-2022-23521 (gitattributes parser) に関しては、v2.30.7 によりパッチが適用されている。

Initial Access Broker の活動量が１年で倍増：Group-IB の IAB 調査

Initial Access Broker Activity Doubles in a Year

2023/01/17 InfoSecurity — セキュリティ研究者たちが明らかにしたのは、IAB (Initial Access Broker) がダークウェブ上で企業アクセスを販売したケースが、2022年と2021年の比較において２倍に増加し、また、ブローカーの数も急増したことである。Group-IB が発見した IAB の販売活動は、2021年7月〜2022年6月の間に 2348件を数え、その被害に遭った被害組織の所在国数も、41％増の 96ヶ国になったという。最も標的になったのは米国企業であり、分野別では製造業 (5.8％) ／金融サービス (5.1％) ／不動産 (4.6％) ／教育 (4.2％) が上位を占めている。

Microsoft Azure サービスの４つの SSRF 脆弱性：不正アクセスに悪用の可能性

Microsoft Azure Services Flaws Could’ve Exposed Cloud Resources to Unauthorized Access

2023/01/17 TheHackerNews — Microsoft Azure の４種類のサービスに存在する SSRF (Server-Side Request Forgery) の脆弱性が、クラウド・リソースへの不正アクセスに悪用される可能性のあるものだ。Azure API Management／Azure Functions／Azure Machine Learning／Azure Digital Twins における一連の脆弱性は、2022年10月8日から 2022年12月2日の間に Orca により発見されたものであり、すでに Microsoft による対処が完了している。

GitHub Codespaces の悪用方法が判明：新たな侵害ベクターからマルウェアを配布

Hackers Can Abuse Legitimate GitHub Codespaces Feature to Deliver Malware

2023/01/17 TheHackerNews — 脅威アクターたちが、GitHub Codespaces の正規の機能を悪用して、被害者のシステムへマルウェアを配信することが可能であるという、新たな研究の結果が明らかになった。GitHub Codespaces とは、クラウドベースのカスタマイズ可能な開発環境のことである。それを利用するユーザーは、Web ブラウザや Visual Studio Code との統合を介して、指定したコードベースのデバッグ／メンテナンス／変更のコミットを実行できる。また、ポート・フォワーディング機能により、コードスペース内の特定のポートで動作する Web アプリケーションに、ローカルマシンのブラウザから直接にアクセスし、テスト／デバッグを行うことも可能だ。

Nissan North America にデータ侵害が発生：17,998人の顧客データが流出

Nissan North America data breach caused by vendor-exposed database

2023/01/17 BleepingComputer — Nissan North America は、サードパーティ・プロバイダーにおける情報漏えいを介して、顧客情報の流出が発生したとする通知を開始している。このセキュリティ・インシデントは、2023年1月16日 (月) にメイン州司法長官事務所に報告されたものであり、17,998人の顧客が侵害の影響を受けたことを、Nissan は明らかにしている。Nissan による通知には、2022年6月21日にソフトウェア開発ベンダーの１社から、データ侵害の通知を受けたと記されている。

Java と .NET のデベロッパー：大量の脆弱性に対峙する理由を解明

Java, .NET Developers Prone to More Frequent Vulnerabilities

2023/01/16 DarkReading — Java と .NET で書かれたアプリケーションの約 75％が、OWASP Top-10 に含まれる脆弱性を、少なくとも１つは持っていることが判明した。ソフトウェア・テスト会社である Veracode が、約76万件のアプリケーションを分析した結果として、上記の２つのプログラミング・エコシステムを使用したアプリケーションの 20% ほどは、少なくとも１つの深刻な脆弱性を抱えていることも明らかになった。

WikiLeaks が暴露した CIA の Hive マルウェア：未知の脅威アクターが改造／悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

Qbot 7%／Emotet 4%／XMRig 3% という調査結果：2022年12月のマルウェア・レポート

Qbot Overtakes Emotet in December 2022’s Most Wanted Malware List

2023/01/16 InfoSecurity — 2022年12月において、野放し状態での悪用が発見されたマルウェアとして、Qbot トロイの木馬が Emotet を追い抜き、世界中の組織の 7％に影響を及ぼしたことが判明した。さらに、ブロックチェーン対応の、トロイの木馬型ボットネットである Grupteba マルウェアが、2022年7月以降において、初めて Top-10 に返り咲いた。この調査結果は、2022年12月の Global Threat Index に発表した Check Point Software Technologies が、電子メールで InfoSecurity と共有したものだ。

Datadog が RPM 署名キーを変更：CircleCI ハッキング・インシデントを受けて

Datadog rotates RPM signing key exposed in CircleCI hack

2023/01/16 BleepingComputer — クラウド・セキュリティ企業 Datadog の発表によると、先日に発生した CircleCI のセキュリティ侵害により、同社の RPM (Redhat Package Manager) における GPG (Gnu Privacy Guard) 署名キーの１つと、そのパスフレーズが流出したとのことだ。ただし同社は、この署名キーの流出／悪用については、現時点で証拠は見つかっていないと付け加えている。

PyPI に悪意の３つのパッケージ：数日で 500件以上のダウンロードにいたる

Malicious ‘Lolip0p’ PyPi packages install info-stealing malware

2023/01/16 BleepingComputer — ある脅威アクターが、PyPI (Python Package Index) リポジトリにアップロードした３つの悪意のパッケージには、開発者たちのシステムに情報窃取マルウェアをドロップするコードが搭載されている。Fortinet が発見した悪意のパッケージは、その全てが 2023年1月7日〜12日の間に、”Lolip0p” という作者によりにアップロードされたものだ。それらの名称は、colorslib／httpslib／libhttps であり、すでに PyPI からは削除されている。

Raccoon／Vidar 情報スティーラーが蔓延：AnyDesk／Notepad++／Zoom などをルアーに使う

Raccoon and Vidar Stealers Spreading via Massive Network of Fake Cracked Software

2023/01/16 TheHackerNews — Raccoon や Vidar などの情報窃取型マルウェアの配布において、250以上のドメインで構成される大規模で弾力性のあるインフラが、2020年初頭から利用されている。サイバー・セキュリティ企業である SEKOIA は、今月の初めに発表した分析で、「偽のソフトウェア・カタログを使用すると、約 100 の Web サイトへとリダイレクトされた後に、GitHub などのファイル共有プラットフォームでホストされている、ペイロードをダウンロードすることになる」と述べている。

米国防総省のバグバウンティ Hack the Pentagon：４年に一度の大会が開催

US to Launch Third Iteration of ‘Hack the Pentagon’ Bug Bounty Program

2023/01/16 InfoSecurity — 米国国防総省 (DoD : Department of Defense) は、2016年に初めて行われた “Hack the Pentagon” バグバウンティ・プログラムの第３弾を、近々に開催すると発表した。Sam.Gov Web サイトの専用ページによると、この構想では、サイバー・セキュリティ研究者たちが、政府の Facility Related Controls System (FRCS) ネットワークの脆弱性を発見していくことになる。

Cacti の脆弱性 CVE-2022-46169：大量の未パッチ・サーバがインターネットに露出している

Most internet-exposed Cacti servers exposed to hacking

2023/01/14 SecurityAffairs — Cacti は、堅牢で拡張性の高い運用監視／障害管理フレームワークを、ユーザーに提供するオープンソースのプラットフォームである。Censys の研究者が発見したのは、インターネットに公開されている Cacti サーバの大部分に、現時点で積極的に悪用されている、深刻な脆弱性 CVE-2022-46169 が存在することだ。

CircleCI のデータ侵害：セッションクッキーが窃取され 2FA が突破された

Malware Attack on CircleCI Engineer’s Laptop Leads to Recent Security Incident

2023/01/14 TheHackerNews — 2023年1月13日に DevOps プラットフォームの CircleCI が明らかにしたのは、昨年12月に未知の脅威アクターが従業員のラップトップを侵害し、マルウェアを用いて２FA 認証に裏付けられた認証情報を盗み出し、同社システムに侵入しデータを侵害したことだ。CI/CD サービスの CircleCI によると、この高度な攻撃は、2022年12月16日に行われ、そこで用いられたマルウェアを、同社のウイルス対策ソフトウェアは検出できなかったとのことだ。

Brave ブラウザの新機能 Snowflake：Tor へつなぐ検閲回避のフリーウェイだ

Brave browser’s new Snowflake feature help bypass Tor blocks

2023/01/14 BleepingComputer — 昨日にリリースされた Brave Browser 1.47 には、Snowflake エクステンションが追加されている。この機能により、自分のデバイスを Tor に接続するためのプロキシに設定し、検閲対象国に在住するユーザーを支援できるようになった。すでに Brave は、2022年9月にリリースされたバージョン 1.44 で、Private Windows with Tor の Tor Bridges に対応しており、同社独自のリソースを使って、検閲を回避するユーザーを支援してきた。