IoT OT Security News

OPERA1ER という現金強奪者：４年間で銀行などから $11M 以上を盗み出した

Threat Actor “OPERA1ER” Steals Millions from Banks and Telcos

2022/11/03 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、フランス語圏の脅威グループによる長期的な APT キャンペーンの存在であり、４年間で銀行や通信事業者から少なくとも $11m を盗み出したグループのことである。Group-IB は、このグループを OPERA1ER と名付けたが、以前には DESKTOP-group や Common Raven など呼ばれていたようだ。Group-IB は、Orange CERT Coordination Center と協力して、レポート OPERA1ER. Playing God without permission を作成した。

Fortinet の深刻な脆弱性 CVE-2022-38374 などが FIX：XSS 攻撃の可能性

Fortinet fixed 16 vulnerabilities, 6 rated as high severity

2022/11/03 SecurityAffairs — Fortinet が FIX した脆弱性の中で、深刻度の高いものとしては、FortiADC の Log ページに存在する persistent XSS の脆弱性 CVE-2022-38374 がある。この問題の原因は、FortiADC の Web ページ生成時における、入力の不適切な無効化の脆弱性 [CWE-79] となる。この脆弱性の悪用に成功したリモートの未認証の攻撃者は、トラフィックやイベントのログビューで観測される HTTP フィールドを介して、persistent XSS 攻撃が可能となる。

Checkmk に複数の脆弱性：IT インフラ監視ソフトウェアに乗っ取りの可能性

Multiple Vulnerabilities Reported in Checkmk IT Infrastructure Monitoring Software

2022/11/02 TheHackerNews — モニタリング・ソフトウェアである Checkmk IT Infrastructure に存在する、複数の脆弱性が報告された。これらの脆弱性により、認証されていないリモートの攻撃者が、連鎖的に影響を受けるサーバを完全に乗っ取る可能性が生じている。SonarSource の研究者である Stefan Schiller は、「これらの脆弱性を連鎖させることで、Checkmk 2.1.0p10 以下のサーバ上でのコード実行が、未認証のリモート攻撃者に許されてしまう」と、技術分析で述べている。

SandStrike という Android 向けスパイウェア：悪意の VPN アプリ経由で端末に感染

Experts Warn of SandStrike Android Spyware Infecting Devices via Malicious VPN App

2022/11/02 TheHackerNews — これまで文書化されていなかった Android のスパイウェア・キャンペーンが、一見無害な VPN アプリを装って、ペルシャ語圏の人々を襲っていることが判明した。ロシアのサイバーセキュリティ企業である Kaspersky は、このキャンペーンを SandStrike という名前で追跡している。ただし、それは、特定の脅威グループに起因するものではない。

Dropbox の開発者を狙うフィッシング：GitHub リポジトリ侵害と 130 件のコード流出

130 Dropbox code repos plundered after successful phishing attack

2022/11/02 HelpNetSecurity — Dropbox はデータ侵害に遭ったが、攻撃者による Dropbox のアカウント／パスワード／支払い情報などへのアクセスはなかったので、ユーザーは心配する必要ない。その代わりに、同社が GitHub にホストしている 130件のプライベート・リポジトリーからコードが取得されてしまった。

PyPI からドロップされる W4SP Info-Stealer：タイポスクワットで開発者を狙い続ける

Dozens of PyPI packages caught dropping ‘W4SP’ info-stealing malware

2022/11/02 BleepingComputer — 研究者たちが発見したのは、PyPI レジストリ上において、情報窃取マルウェアをプッシュしている 20件以上の Python パッケージだ。それらの大半は難読化されたコードを含んでおり、感染させたマシンに上に W4SP Info-Stealer をドロップしていく。また、他のマルウェアは、教育を目的として作成されたと称している。

CISA の MFA ガイダンス：Number Matching 実装でフィッシングに対抗

CISA Urges Organizations to Implement Phishing-Resistant MFA

2022/11/02 SecurityWeek — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、フィッシングに耐性のある Multi Factor Authentication (MFA) と MFA 対応アプリの番号照合を導入することで、組織におけるフィッシング脅威などからの保護に関するガイダンスを発表した。MFA とは、漏洩したログイン情報を悪用する攻撃者からの、ネットワークやシステムへの不正アクセスを困難にするセキュリティ・コントロールのことであり、ユーザーによる本人確認を実施するために、２つ以上の異なる認証手段の組み合わせを要求するものだ。

Raccoon Stealer V2 の調査：収集されたアクティビティから実行プロセスを推測

Inside Raccoon Stealer V2

2022/11/02 TheHackerNews — Raccoon Stealer が再び話題になっている。米国当局は、このプログラムの背後にいるマルウェア・アクターの一人である Mark Sokolovsky を逮捕した。2022年7月に Raccoon Stealer は閉鎖されたが、その数カ月後に Raccoon Stealer V2 が流行りだしている。先週の、司法省 (DoJ) プレスリリースによると、このマルウェアは 5,000万件のクレデンシャルを収集したとのことだ。この記事では、Raccoon Stealer V2 情報窃盗犯の最新バージョンについて簡単に説明していく。

Emotet が 11月2日に活動を再開：Microsoft の Protected View を回避する戦術とは？

Emotet botnet starts blasting malware again after 5 month break

2022/11/02 BleepingComputer — マルウェア Emotet のオペレーションだが、サイバー犯罪作戦の活動がほとんど見られなかった約５ヶ月間の休暇を経て、再び悪質な電子メールを送信し始めている。Emotet のフィッシング・キャンペーンは、悪意の Excel／Word 文書を介して、マルウェアを配布し感染させるものだ。それらの文書を開いたユーザーが、マクロを有効にしていると、Emotet DLL がダウンロードされ、メモリに読み込まれる。

Deep Instinct の 2022 ランサムウェア・レポート：Conti の残像と LockBit の台頭

LockBit Dominates Ransomware Campaigns in 2022: Deep Instinct

2022/11/01 InfoSecurity — 2022年 Q1／Q2／Q3 におけるランサムウェア・キャンペーンでは、全体の 44% を LockBit RaaS グループが占めることになった。それに続くのが、Conti (23%)／Hive (21%)／Black Cat (7%)／Conti Splinters (5%) などであり、Quantum／Black Basta／Black Byte などの脅威アクター・グループで構成されるものだ。この数字は、Deep Instinct のレポートである 2022 Interim Cyber Threat Report をベースにしたものだ。

Azure Cosmos DB の Jupyter Notebooks に存在する深刻な RCE の脆弱性が FIX

Microsoft fixes critical RCE flaw affecting Azure Cosmos DB

2022/11/01 BleepingComputer — Orca Security のアナリストたちが、Azure Cosmos DB で発見した深刻な脆弱性は、コンテナへの認証されていない読み取り／書き込みを可能にするものだ。Azure Cosmos DB や Azure Portal のアカウントにビルトインされ、NoSQL データの容易なクエリ／分析／可視性を統合する Jupyter Notebooks に、この CosMiss と名付けられたセキュリティ脆弱性は存在する。

OpenSSL の脆弱性 CVE-2022-3602／CVE-2022-3786 が FIX：深刻だが緊急性は低い

High-severity OpenSSL vulnerabilities fixed (CVE-2022-3602, CVE-2022-3786)

2022/11/01 HelpNetSecurity — 暗号ライブラリ OpenSSL のバージョン 3.0.7 がリリースされ、punycode decoder に存在する、サービス拒否／リモートコード実行につながる可能性のある、２つの深刻なバッファオーバーフロー脆弱性 CVE-2022-3602／CVE-2022-3786 が修正された。脆弱性 CVE-2022-3602 は、１週間前に OpenSSLプロジェクト・チームにより、その存在が事前に発表されていたが、幸運なことに、当初に想定されていたよりも、危険度が低いことが判明している。

大阪急性期総合医療センターにランサムウェア攻撃：電子カルテ・システムに障害

Osaka Hospital Halts Services After Ransomware Attack

2022/11/01 InfoSecurity — 大阪の主要な病院である大阪急性期総合医療センターが、ランサムウェアのサイバー攻撃により電子カルテ・システムを破壊され、通常の医療サービスを停止している。救急医療は継続して行われているが、同センターの職員は記者団に対し、10月31日未明に病院のシステムに障害が発生し、アクセスできなくなったと語っている。

Zombie API と Shadow API の恐ろしさ：API 乱立の副産物に向き合う

Why Are Zombie APIs and Shadow APIs So Scary?

2022/11/01 DarkReading — API に関連するビジネス価値を、企業が最大化しようとするにつれ、API の数が急増している。DX の浸透や、マイクロサービスによるアプリの近代化、API ファーストのアプリ設計、迅速なソフトウェア・デプロイメントなどが、企業が作成／使用する API 数を急速に増加させてきた。

KELA のダークウェブ調査：2022 Q3 の IAB 市場規模は $4M で対象は 576社

Hackers selling access to 576 corporate networks for $4 million

2022/10/31 BleepingComputer — 世界の 576社の企業ネットワークへのアクセス権を販売する、ハッカーたちのビジネスの累計額が $4,000,000 に達しており、企業への攻撃に拍車が掛かることが、新たなレポートで明らかになった。この調査は、イスラエルのサイバー・インテリジェンス企業である KELA が、Q3 2022 Ransomware Report としてを発表したものであり、イニシャル・アクセス販売の分野の活動は一定であるが、提供額の高騰が判明しているとのことだ。

ConnectWise の深刻な脆弱性が FIX：サプライチェーン攻撃の PoC も発表

Critical ConnectWise Vulnerability Affects Thousands of Internet-Exposed Servers

2022/10/31 SecurityWeek — 金量日に IT 管理ソフトウェア・プロバイダーである ConnectWise は、数千台のサーバが攻撃にさらされる深刻な脆弱性にパッチを当てるアップデートを発表したと、サイバー・セキュリティの専門家たちが述べている。この欠陥は、「下流のコンポーネントが使用する出力における、特殊要素の不適切な無効化」と説明され、ConnectWise の Recover Backup と Disaster Recovery (v2.9.7 以前) および、R1Soft Server Backup Manager (v6.16.3 以前) に影響を及ぼすとされる。

医療機関とサイバー攻撃：犯罪者にとって魅力的なターゲットであり続ける理由は？

Cyberattacks in healthcare sector more likely to carry financial consequences

2022/10/31 HelpNetSecurity — Netwrix の Global 2022 Cloud Security Report による、ヘルスケア業界に関する追加調査結果が発表されたことで、回答者の 61％が過去12カ月以内に、クラウド・インフラに対するサイバー攻撃を受けたことが明らかになった。また、最も多く報告された攻撃のタイプはフィッシングである。

中国 APT10 の標的は日本の政府機関など：K7Security を悪用する LODEINFO マルウェアとは？

Hacking group abuses antivirus software to launch LODEINFO malware

2022/10/31 BleepingComputer — APT10 として追跡されている中国のハッキング・グループ Cicada は、セキュリティ・ソフトウェアを悪用することで、日本の組織に対してマルウェア LODEINFO の新バージョンをインストールしていたことが確認されている。標的となったのは、日本国内の報道機関／外交機関／政府機関／公共機関／シンクタンクなどであり、いずれもサイバー犯罪の標的として高い関心を集める組織である。

Windows の MoTW ゼロデイ脆弱性：Magniber ランサムウェアを 0Patch が阻止する？

Actively exploited Windows MoTW zero-day gets unofficial patch

2022/10/30 BleepingComputer — Windows 10／11 の積極的に悪用されているゼロデイに対して、無料の非公式パッチがリリースされた。この脆弱性は、不正に署名されたファイルが、Mark-of-the-Web セキュリティ警告を回避するというものだ。先週末に BleepingComputer は、スタンドアロンの JavaScript ファイルを悪用する脅威アクターが、被害者のデバイスに Magniber ランサムウェアをインストールしていることを報告した。

Google Play に５つの危険なドロッパー・アプリ：銀行口座や暗号通貨ウォレットが狙われている

These Dropper Apps On Play Store Targeting Over 200 Banking and Cryptocurrency Wallets

2022/10/28 TheHackerNews — 累計インストール数が 130,000 を超える、悪質なドロッパー型 Android アプリ５個が Google Play ストアで発見された。それらにより、SharkBot と Vultur といったバンキング・トロイの木馬が配布され、金融データの窃取などを含む、端末上での不正行為が生じていることも判明した。

VMware の深刻な RCE 脆弱性 CVE-2021-39144：PoC エクスプロイトが公開

Exploit released for critical VMware RCE vulnerability, patch now

2022/10/28 BleepingComputer — VMware の Cloud Foundation／NSX Manager アプライアンスに存在し、未承認の攻撃者に root 権限によるリモート・コード実行 (RCE) を許してしまう、未パッチの脆弱性に対する PoC エクスプロイト・コードが公開された。この脆弱性 CVE-2021-39144 は、２つの VMware 製品で使用されている XStream オープンソース・ライブラリに存在し、VMware は CVSS 値 9.8 と評価している。

Microsoft IIS ログを悪用する Cranefly マルウェア：３つの文字列で侵害を完遂

Hackers use Microsoft IIS web server logs to control malware

2022/10/28 BleepingComputer — Microsoft Internet Information Services (IIS) の Web サーバのログを経由して、感染端末のマルウェアを制御するという、これまでにはなかった手法を、ハッキング・グループ Cranefly (UNC3524) が採用しているという。Microsoft IIS は Web サーバであり、Web サイトや Web アプリをホストするために使用されている。また、Microsoft Exchange の Outlook on the Web (OWA) などのソフトウェアでも、管理アプリや Web インターフェイスをホストするために使用されている。

Google Chrome 107 の緊急アップデート：新たなゼロデイ CVE-2022-3723 を FIX

Google fixes a new actively exploited Chrome zero-day, it is the seventh one this year

2022/10/28 SecurityAffairs — Google は、積極的に悪用されるゼロデイ脆弱性 CVE-2022-3723 に対処するために、Chrome 107 の緊急アップデートをリリースした。CVE-2022-3723 は、Chrome V8 の Javascript エンジンに存在するタイプ・コンフュージョンの脆弱性であり、2022年10月25日に Avast の Jan Vojtěšek／Milánek／Przemek Gmerek により報告されたものだ。

Juniper Junos OS の深刻な脆弱性が FIX：ファイアウォール／ルーター／スイッチで RCE

High-Severity Flaws in Juniper Junos OS Affect Enterprise Networking Devices

2022/10/28 TheHackerNews — Juniper Networks のデバイスに影響を及ぼす、複数の深刻なセキュリティ欠陥が公開されたが、そのうちのいくつかは、悪用に成功した攻撃者にコードを実行される可能性があるという。Octagon Networks の研究者である Paulos Yibelo によると、このうち最も深刻なものは、Junos OS の J-Web コンポーネントに存在する、リモートでの事前認証を介した PHP アーカイブ・ファイルのデシリアライズの脆弱性 CVE-2022-22241 (CVSS 値： 8.1) であるという。

Access-as-a-Service へと進化した Raspberry Robin：Clop ランサムウェアの展開を推進か？

Raspberry Robin Operators Selling Cybercriminals Access to Thousands of Endpoints

2022/10/28 TheHackerNews — Raspberry Robin ワームは Access-as-a-Service へと進化し、IcedID／Bumblebee／TrueBot (Silence)／Clop などの、他のペイロード展開に採用されつつある。Microsoft Security Threat Intelligence Center (MSTIC) は、「このマルウェアは、複雑で相互接続されたマルウェア・エコシステムの一部であり、従来からの USB ドライブ拡散を超えた、多様な感染方式を実現している」と詳述している。Raspberry Robin は、USB ドライブを介して Windows システムに拡散するマルウェアであり、感染させた QNAP ストレージ・サーバを Command and Control に使用することから、サイバー・セキュリティ企業 Red Canary は QNAP Worm とも呼んでいる。

Instagram ユーザーを狙う新手のフィッシング：著作権違反を示唆する通知に要注意

Cyberattackers Target Instagram Users With Threats of Copyright Infringement

2022/10/28 DarkReading — 新たなフィッシング・キャンペーンで Instagram ユーザーを標的とする脅威アクターたちは、URL リダイレクトを介したアカウントの乗っ取り、および、将来の攻撃での悪用、ダークウェブでの販売などを目的とした、機密情報の窃取を狙っている。Trustwave SpiderLabs の研究者たちが、10月27日に Dark Reading と共有した分析結果によると、このキャンペーンで用いられるルアーは、標的ユーザーたちに著作権侵害の疑いがあると思い込ませるものだという。それは、Instagram のインフルエンサー／企業／普通のユーザーたちにとって、大きな懸念であるようだ。

GitHub の名前空間リタイアメントにバグ：RepoJacking 攻撃が発生する可能性とは？

GitHub Bug Exposed Repositories to Hijacking

2022/10/27 InfoSecurity — セキュリティ研究者が新たに発見した GitHub の欠陥は、攻撃に成功した攻撃者がリポジトリを制御し、関連するアプリやコードにマルウェアを拡散する可能があるものだ。現時点において GitHub は、”popular repository namespace retirement” 機能のバグを修正しているが、将来において同じツールが、脅威者の標的となる可能性があると Checkmarx は警告している。

Docker／Kubernetes の脆弱なインスタンスを狙う：Kiss-a-dog クリプトジャッキング

New Cryptojacking Campaign Targeting Vulnerable Docker and Kubernetes Instances

2022/10/27 TheHackerNews — 脆弱な Docker／Kubernetes インフラを標的とし、暗号通貨の不正マイニングを行う、新たなクリプトジャッキング・キャンペーンが発覚した。このアクティビティを Kiss-a-dog と名付けた CrowdStrike は、その Command and Control インフラについて、ミスコンフィグレーションのある Docker／Kubernetes インスタンスへの攻撃で知られる、TeamTNT などのグループとの重複があることを明らかにした。この、kiss.a-dog[.]top というドメインに由来する侵入は、2022年9月に発見されており、Base64 エンコードされた Python コマンドを用いて、侵入したコンテナでシェル・スクリプト・ペイロードを起動するものである。

企業が SNS を使うとき：そこに隠された７つのリスクとは？

7 Hidden Social Media Cyber Risks for Enterprises

2022/10/27 DarkReading — ブランドを持つ企業はソーシャルメディアを好み、ビジネスの拡大／新入社員の採用／新製品の宣伝／消費者への直販などに活用している。最近の統計によると、ソーシャルメディア上のブランド広告は、昨年には 53% 増という成長を示し、それぞれのブランドは、コンテンツの開発と配布に投資し続けている。また、コンテンツとしては、バイラルビデオ／興味深いミーム／ポッドキャスト／ドキュメントなどがあり、顧客とのエンゲージメントを高めている。

Twilio 侵害の調査が完了：209人の顧客と 93人の Authy エンドユーザーに被害

Twilio discloses another hack from June, blames voice phishing

2022/10/27 BleepingComputer — クラウド・コミュニケーション企業の Twilio は、2022年6月のセキュリティ・インシデントに起因する新たなデータ侵害を開示したが、その背景には、８月に生じたハッキングで顧客の情報にアクセスした同一の攻撃者がいるようだ。Twilio によると、新たに開示された 6月29日の件は、短時間のセキュリティ・インシデントだったという。攻撃者はソーシャル・エンジニアリングを用いて、音声フィッシング攻撃で従業員を騙して認証情報を受け取った。その後に、盗まれた認証情報は、限られた顧客の情報にアクセスするために使われた。

SonicWall ランサムウェア統計 2022 Q3：米国は 51％減で APAC は 56％増

Ransomware Threat Shifts from US to EMEA and APAC

2022/10/26 InfoSecurity — SonicWall の 2022 Threat Mindset Survey によると、2022年 Q3 におけるランサムウェアの検出量は、過去２年間で最低となり、米国の組織への攻撃が衰退した。しかし、その他の地域での標的が、拡大していることも判明している。セキュリティ・ベンダーである SonicWall は、200カ国以上に展開された、100万個以上のセキュリティ・センサーなどを用いた独自の脅威検知ネットワークにより、こうした現状を明らかにしている。

LinkedIn の新しいセキュリティ機能：偽プロフィールをチェックして詐欺を防ぐ

LinkedIn’s new security features combat fake profiles, threat actors

2022/10/26 BleepingComputer — LinkedIn は３つの新機能を導入し、偽プロフィールやプラットフォーム悪用に対抗していくという。それらの新機能には、認証された勤務先のＥメール／電話番号の有無により、プロフィールの正真性を確認するなどの、新たな手法が含まれている。この数年において、同サービスは脅威アクターたちに悪用され、マルウェアの配布／サイバースパイ活動／認証情報の窃盗／金融詐欺などの温床となっていた。

BestBuy という名のダークウェブ運営者が逮捕：米政府の機密データなどを販売

Notorious ‘BestBuy’ hacker arraigned for running dark web market

2022/10/26 BleepingComputer — 今は亡きダークウェブ・マーケットプレイス The Real Deal を運営していた疑いで、この水曜日に、英国のハッカーが米国司法省に喚問された。Daniel Kaye 被告 34歳 (別名：Bestbuy／Spdrman／Popopret／UserL0ser) は、The Real Deal が立ち上げられた 2015年初頭から、閉鎖された 2016年11月までの間に、違法なサービス市場を運営したとされる。

MyOpenVDP で脆弱性を通知：OSS で実現する Vulnerability Disclosure Policy とは？

MyOpenVDP: Open-source web application to securely disclose vulnerabilities

2022/10/26 HelpNetSecurity — MyOpenVDP とは、誰もが自分の脆弱性開示ポリシー (VDP : Vulnerability Disclosure Policy) をホストできるようにするための、オープンソース・ソリューションのことである。この、YesWeHack により開発された Web アプリケーションは、GitHub 上で公開されている。

大規模タイポスクワット・キャンペーン：Android／Windows ユーザーを狙う 600+ のドメインを列挙

Typosquat Campaign Targeting Android, Windows Users Now Counts 600+ Domains

2022/10/26 InfoSecurity — この週末に Cyble と BleepingComputer が発見した大規模なタイポスクワット・キャンペーンだが、それに関連する大規模なドメイン群を示唆する、いくつかの兆候がセキュリティ研究者たちにより明らかにされた。一連の攻撃では、Windows／Android ユーザーが標的とされ、200種類以上のタイポスクワット・ドメインにおいて、27件のブランドが模倣されていた。現時点において DomainTools は、さらに疑わしいインフラを発見したと説明しており、InfoSecurity と共有するブログ投稿で、その詳細を説明している。

VMware Cloud Foundation の深刻な脆弱性 CVE-2021-39144 が FIX：RCE の可能性

VMware Releases Patch for Critical RCE Flaw in Cloud Foundation Platform

2022/10/26 TheHackerNews — 火曜日に VMware は、同社の VMware Cloud Foundation 製品群に存在する、深刻なセキュリティ上の欠陥に対処するセキュリティ・アップデートをリリースした。この脆弱性 CVE-2021-39144 は、XStream オープンソース・ライブラリを介したリモートコード実行に関連するものであり、深刻度を示す CVSS 値は 9.8 と評価されている。

OpenSSL の重要な修正プログラムがリリースされる：すべてのユーザーは準備を！

Incoming OpenSSL critical fix: Organizations, users, get ready!

2022/10/26 HelpNetSecurity — このチームの独自のリスク分類によると、OpenSSL の重大な脆弱性とは、一般的な設定に影響を与え、悪用される可能性が高い脆弱性を指すとのことだ。彼らは、「それらの脆弱性に含まれる例を挙げると、サーバのメモリの内容の大量に開示するもの (ユーザーの詳細が明らかになる可能性)／リモートから容易に悪用されてサーバの秘密鍵を危険にさらすもの／一般的な状況でリモートコード実行の可能性が高いものなどがある」と述べている。

サイバー侵害に鈍感な企業：54% の従業員が離職を考えている

54% of Staff Would Reconsider Working for a Firm That Had Experienced a Cyber Breach, Research Finds

2022/10/26 DarkReading — 企業における半数以上 (54％) の従業員が、最近のサイバー侵害を経験した企業で働くことを、考え直すと回答している。サイバー・セキュリティ技術のプロバイダー Encore の、新しい調査結果には、そう記されている。

SQLite Database Library で 22年前のバグが発覚：Chrome 64 Bit などに生じる影響とは？

22-Year-Old Vulnerability Reported in Widely Used SQLite Database Library

2022/20/25 TheHackerNews — 2000年10月に行われたコード変更がもたらした、SQLite データベース・ライブラリの深刻な脆弱性により、プログラムのクラッシュや乗っ取りが生じる可能性が判明した。この 22 年前の脆弱性 CVE-2022-35737 (CVSS : 7.5) は、SQLite バージョン 1.0.12〜3.39.1 に影響するものであり、2022 年 7 月 21 日にリリースされたバージョン 3.39.2 で対処されている。

Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出：CISA KEV リストにも追加

Cisco warns admins to patch AnyConnect flaw exploited in attacks

2022/10/25 BleepingComputer — 今日に Cisco は、Cisco AnyConnect Secure Mobility Client for Windows に存在する、２つの脆弱性が悪用されているとして、顧客に警告を発した。AnyConnect Secure Mobility Clientは、企業のエンドポイントへの安全なアクセスを簡素化し、SSL (Secure Sockets Layer) と IPsec IKEv2 を通じて、あらゆるロケーションからの安全な VPN 接続を提供するものである。

Atlassian Jira Align の脆弱性：クラウド・インフラの一部を制御される可能性

Atlassian Vulnerabilities Highlight Criticality of Cloud Services

2022/10/25 DarkReading — アジャイル・プランニングの SaaS (Software-as-a-Service) ツール Atlassian Jira Align に存在する２つの脆弱性 (CVE-2022-36802／CVE-2022-36803) により、サービスにアクセスできる脅威アクターがアプリケーション管理者になり、Atlassian サービスを攻撃する可能性があることが判明した。サイバーセキュリティ・サービス企業である Bishop Fox は、「この脆弱性は、クラウド・サービスで生じるリスクの典型であり、比較的よく知られているが、発見するのが難しいことが多い」と、今日のアドバイザリで述べている。

Raccoon Stealer が解体：ウクライナ人の Malware-as-a-Service 運営者が逮捕／起訴

Ukrainian charged for operating Raccoon Stealer malware service

2022/10/25 BleepingComputer — 26歳のウクライナ人 Mark Sokolovsky が、Raccoon Stealer というマルウェア・サービス (MaaS：Malware-as-a-Service) を介した、サイバー犯罪に関与したとして起訴された。Raccoon Stealer とは、MaaS モデルで配布される情報窃取型トロイの木馬であり、脅威アクターは $75／週あるいは $200／月でレンタルできる。利用者は、マルウェアのカスタマイズ／盗み出したデータ (ログとも呼ばれる) の取得／新しいマルウェア・ビルドの作成などを行うための、管理パネルへのアクセスが可能になる。

データ侵害は 2022年 Q2／Q3 比較で 70% の急増：14件／秒でアカウントが流出

Data Breaches Rise By 70% Globally in Q3 2022

2022/10/25 InfoSecurity — 2022年 Q3 に侵入されたアカウント数は合計で 1億890万件であり、Q2 と比較して 70％増となった。2022年 Q3 にデータ侵害の影響を受けた上位５カ国／地域は、ロシア／フランス／インドネシア／米国／スペインだった。ロシアは最も多くの情報漏洩が発生した国 (2230万件) だが、漏洩密度が最も高いのはフランスであり、1000人あたり平均で 212件の流出アカウントがあったとされる。

Veeam の深刻な RCE 脆弱性 CVE-2022-26501／CVE-2022-26504 が FIX

Multiple RCE Vulnerabilities Discovered in Veeam Backup & Replication App

2022/10/24 InfoSecurity — Veeam Backup & Replication アプリケーションで、複数の重大かつ深刻な脆弱性が発見された。その中でも、リモート・コード実行 (RCE) の脆弱性を悪用する、完全に武器化されたツールが販売されている可能性があることが判明しました。この発見は、CloudSEK のセキュリティ研究者たちによるものであり、今日の未明にアドバイザリが発表されている。

iPhone／iPad のゼロデイ脆弱性にパッチ適用：iOS 16.1 への移行を急ごう

Apple fixes new zero-day used in attacks against iPhones, iPads

2022/10/24 BleepingComputer — Apple は、月曜日に公開されたセキュリティ・アップデートにおいて、今年の iPhone 攻撃に悪用された、９つ目のゼロデイ脆弱性を修正した。今日のアドバイザリで Apple は、「このセキュリティ上の脆弱性が積極的に悪用されている可能性があるとする、レポートの存在を認識している」と述べている。この脆弱性 CVE-2022-42827 は、匿名の研究者が Apple に報告したものであり、メモリバッファの境界の外にデータを書き込む、境界外書き込みの問題に関するものだ。

DHL を装うフィッシングに御用心：2022 Q3 調査で LinkedIn を抑えてトップに！

DHL Replaces LinkedIn As Most Imitated Brand in Phishing Attempts

2022/10/24 InfoSecurity — 2022年7月〜9月にかけて、フィッシング詐欺に悪用されたブランドの第１位は、海運会社の DHL となり、LinkedIn はその座を明け渡した。このデータは、今日に Check Point が InfoSecurityと共有した、Q3 Brand Phishing Report によるものだ。新しいデータによると、DHL を模倣したフィッシングは、現在、全世界のフィッシング試行の４分の１弱 (22%) を占めているという。それは、DHL が Q3 が始まる数日前に警告した、世界規模の大規模な詐欺とフィッシングの攻撃に一因であると、Check Point は述べている。

GitHub に潜む偽 PoC エクスプロイト：騙されてマルウェアを配信される確率は 10.3%

Thousands of GitHub repositories deliver fake PoC exploits with malware

2022/10/23 BleepingComputer — Leiden Institute of Advanced Computer Science の研究者たちは、様々な脆弱性に対する偽の PoC エクスプロイトを提供する、GitHub 上の数千のリポジトリを発見した。それらのリポジトリには、マルウェアも含まれていたという。GitHub は最大のコード・ホスティング・プラットフォームの１つである。そして、研究者たちが GitHub を用いて PoC エクスプロイトを公開し、セキュリティ・コミュニティが脆弱性の修正を検証することで、脆弱性の影響と範囲を判断できるようにしている。

RockYou2021 にエントリーされる 84億のパスワード：攻撃で悪用される 50万のパスワードとの関係は？

List of Common Passwords Accounts for Nearly All Cyberattacks

2022/10/21 DarkReading — 一般的な２種類のサーバを標的とする、数千万件の認証情報ベースの攻撃は、流出した認証情報のリストを形成する RockYou2021 の、ごく一部のパスワードに集約される。Rapid7 は 12ヶ月間にわたり、ハニーポットのネットワークを通じて、これらのサーバを侵害しようとした全ての試みを記録した。その結果として、クレデンシャル攻撃の試みは、512,000 通りの組み合わせになることを発見した。

Emotet の新たなマルスパム・キャンペーン：CoinMiner と Quasar RAT のドロップが始まった

Emotet Botnet Distributing Self-Unlocking Password-Protected RAR Files to Drop Malware

2022/10/21 TheHackerNews — Emotet ボットネットの新しいマルスパム・キャンペーンは、パスワードで保護されたアーカイブ・ファイルを利用して、感染させたシステムに CoinMiner と Quasar RAT をドロップするものだ。Trustwave SpiderLabs の研究者たちが検出した攻撃チェーンの手口では、請求書を装う ZIP ファイルのルアーに、ネストした自己解凍 (SFX) アーカイブが含まれており、最初のアーカイブを媒介として機能させ、２番目のアーカイブを起動することが判明している。

Cisco Identity Services Engine の２つの XSS 脆弱性：パッチ適用と PoC までの間の対策とは？

Vulnerabilities in Cisco Identity Services Engine require your attention (CVE-2022-20822, CVE-2022-20959)

2022/10/21 HelpNetSecurity — Cisco は、Cisco Identity Services Engine (ISE) の管理者に対して、同プロダクトに存在する２つの脆弱性 CVE-2022-20822／CVE-2022-20959 への注意喚起を発表した。これらの悪用に成功した驚異アクターは、影響を受けるデバイス上のファイルの読み取りや削除／任意のスクリプトの実行／機密情報へのアクセスなどが可能になる。