Cyber Attack – Page 25 – IoT OT Security News

API セキュリティ戦略を見直す：魅力的な侵入経路を脅威アクターに提供しないために

The importance of a good API security strategy

2024/02/21 HelpNetSecurity — Cloudflare 2024 API Security & Management Report によると、今年の API リクエストはグローバルにおけるインターネット・トラフィックの 57% を占めることになり、現代のソフトウェア開発における極めて重要な要素としての、API の存在が裏付けられている。しかし、API の採用が毎年のように増加するにつれて、関連するセキュリティ上の課題も増加している。過去の２年間において、60％のユーザー組織が、API に関連する侵害を少なくとも１回は経験している。これは憂慮すべき傾向であり、対処すべき問題である。

PyPI に “NP6” を冠した悪意のパッケージ：DLL サイド・ローディングで攻めてくる

New Malicious PyPI Packages Caught Using Covert Side-Loading Tactics

2024/02/20 TheHackerNews — Python Package Index (PyPI) リポジトリに、２つの悪意のパッケージが存在することが、サイバーセキュリティ研究者たちにより発見／確認された。それらの悪意のパッケージは、DLL サイド・ローディングと呼ばれるテクニックを用いて、セキュリティ・ソフトウェアによる検出を回避し、悪意のコードを実行するものだ。それらのパッケージは NP6HelperHttptest と NP6HelperHttper と名付けられ、削除されるまでに、それぞれが 537回／166回ダウンロードされている。

WordPress 用の Bricks Builder の脆弱性 CVE-2024-25600 が FIX：すでに悪用が始まっている

CVE-2024-25600: WordPress’s Bricks Builder RCE Flaw Under Attack

2024/02/19 SecurityOnline — WordPress 用の Bricks Builder は、広く使用されているサイトビルダーであるが、そこに深刻なリモートコード実行 (RCE) 脆弱性 CVE-2024-25600 (CVSS：9.8) が発見された。この脆弱性は活発に悪用されており、影響を受ける Web サイトに、大きなリスクをもたらしている。

GoldPickaxe は iOS トロイの木馬：APAC のバンキングを狙っている

iOS Trojan Collects Face and Other Data for Bank Account Hacking

2024/02/19 SecurityWeek — 被害者の銀行口座から現金を盗む際に必要とされる、情報を取得するために設計された新しい iOS トロイの木馬を、中国のサイバー犯罪グループが配布していることを、サイバーセキュリティ企業 Group-IB の研究者たちが発見した。この GoldFactoryとして追跡されているマルウェアは、2023年に発見されたものであり、APAC 地域を標的としていると推測され、現在までにタイやベトナムで攻撃が行われているようだ。

Anatsa という Android トロイの木馬：Google Play のセキュリティを回避していた

Anatsa Android Trojan Bypasses Google Play Security, Expands Reach to New Countries

2024/02/19 TheHackerNews — 新たなキャンペーンとして 2023年11月に観測された、Anatsa と呼ばれる Android バンキング型トロイの木馬は、スロバキア／スロベニア／チェコへと活動の範囲を拡大している。ThreatFabric は、「このキャンペーンにおけるドロッパーの一部は、Google Play の強化された検出／保護メカニズムを回避して、Accessibility Service の悪用に成功している」と、The Hacker News と共有したレポートの中で述べている。

Microsoft Exchange の脆弱性 CVE-2024-21410：28,500 台以上のサーバが危険な状況

Over 28,500 Exchange servers vulnerable to actively exploited bug

2024/02/19 BleepingComputer — 最大で 97,000台の Microsoft Exchange サーバに、深刻な権限昇格の脆弱性 CVE-2024-21410 が存在する可能性があることが判明した。2月13日に Microsoft は、この脆弱性に対処したが、その時点で既にゼロデイとして悪用されていたようだ。現時点において、28,500台のサーバに脆弱性があることが確認されている。

DDoS 2023 調査：UDP フラッド攻撃が急増 – Qrator Labs

DDoS Evolves: 2023 Trends Reveal Attackers Shift Tactics, Target E-commerce

2024/02/18 SecurityOnline — 分散型サービス拒否 (DDoS) 攻撃の世界において、2023年は著しく変革する年となった。Qrator Labs の力作であるレポートでは、商業ツールとしての DDoS の戦略的武器化や、電子商取引プラットフォームを狙った攻撃の執拗な増加、そして、適応的な防御戦略を必要とする複雑化する脅威の状況などの、いくつかの憂慮すべき動向が明らかにされている。

Google Magika がオープンソース化：AI でファイルの安全性を識別

Google Open Sources Magika: AI-Powered File Identification Tool

2024/02/17 TheHackerNews — Google は、人工知能 (AI) を搭載したファイル識別ツールである Magika をオープンソース化することを発表した。同社は、「Magika は、従来のファイル識別方法を凌駕するものであり、VBA／JavaScript／Powershell などの、従来は識別が困難であったが潜在的に問題のあるコンテンツに対して、全体として 30％の精度向上と、最大で 95％の高精度を提供する」と述べている。

CISA KEV 警告 24/02/15：Cisco ASA／FTD の脆弱性 CVE-2020-3259 を狙う Akira

CISA Warning: Akira Ransomware Exploiting Cisco ASA/FTD Vulnerability

2024/02/16 TheHackerNews — 2024年2月15日 (木) に米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Cisco の Adaptive Security Appliance (ASA)／Firepower Threat Defense (FTDI) の脆弱性 (パッチ適用済み) が、Akiraランサムウェア攻撃で悪用されている可能性が高いとの報告を受け、それらを Known Exploited Vulnerabilities (KEV) カタログに追加した。

Mastodon の脆弱性 CVE-2024-23832 が FIX：PoC からユーザーを守るために管理者が行うべきことは？

PoC Published for Critical Mastodon Vulnerability – CVE-2024-23832 (CVSS 9.8)

2024/02/16 securityonline — 急速に人気を高めている、分散型 SNS プラットフォームの Mastodon が、深刻なセキュリティ脅威に直面している。先日にパッチが適用された脆弱性 CVE-2024-23832 の詳細が暴露され、PoC エクスプロイト・コードが野放し状態で出回っているのだ。つまり、Mastodon サーバの管理者にとって急務なのは、直ちにシステムをアップデートすることである。

Microsoft Outlook の脆弱性 CVE-2024-21413：PoC エクスプロイトが GitHub で公開

PoC Exploit Released for Microsoft Outlook RCE Flaw – CVE-2024-21413

2024/02/16 SecurityOnline — 今週にパッチが公開された、Microsoft Outlook の深刻な脆弱性 CVE-2024-21413 に対する PoC エクスプロイト・コードが公開され、最新バージョンへのアップデートが喫緊の課題となっている。Check Point の脆弱性研究者である Haifei Li により発見された、Microsoft Outlook のリモートコード実行 (RCE) の脆弱性 CVE-2024-21413 (CVSS：9.8) は、脆弱なエディションを用いて悪意のリンクを含む電子メールを開くと誘発されるものである。

Prudential Financial で発生したセキュリティ侵害：SEC に報告書が提出された

Prudential Financial Faces Cybersecurity Breach

2024/02/15 InfoSecurity — Prudential Financial が公表したのは、2024年2月5日にサイバー・セキュリティ侵害が発見され、同社の特定システムへの不正アクセスが生じたというものだ。2024年2月12日に Prudential は、米国証券取引委員会 (SEC) に書類を提出し、サイバー・セキュリティ・インシデント対応のプロトコルを起動し、外部の専門家と協力して事件の調査と軽減に取り組んでいると述べた。Prudential は、サイバー犯罪グループの関与を疑っているという。

PDF マルウェアの急増：WikiLoader／Ursnif／DarkGate などが配信される – HP

PDF Malware on the Rise, Used to Spread WikiLoader, Ursnif and DarkGate

2024/02/16 InfoSecurity — PDF を通じてWikiLoader／Ursnif／DarkGate などのマルウェアを拡散するサイバー犯罪者たちが検出され、新たな脅威が増加していることが、HP Wolf Security の最新レポートで明らかになった。同社の分析によると、2023年 Q4 と 2013年 Q1 の比較において、PDF の脅威が７％ほど増加している。これまでの PDF は、被害者から認証情報や財務情報を引き出すフィッシングで使用されてきたが、いまはマルウェアの拡散が増大している状況にある。

Ubuntu の “Command-Not-Found” ユーティリティの悪用：悪意のパッケージをインストールする可能性

Abusing The Ubuntu ‘Command-Not-Found’ Utility To Install Malicious Packages

2024/02/14 SecurityAffairs — クラウドセキュリティ企業 Aqua のサイバー・セキュリティ研究者が発見したのは、一般的なユーティリティ “command-not-found”‘” の悪用により、悪意のパッケージの欺瞞的な推奨につながる可能性である。Aqua Nautilus の研究者たちは、「Ubuntu の “command-not-found” パッケージと “snap” パッケージの、リポジトリ間における相互作用に起因する、セキュリティ問題を特定した。”command-not-found” は、アンインストールされたコマンドのインストールを提案する便利なツールとして機能するが、”snap” リポジトリを介した操作により、悪意のパッケージの欺瞞的な推奨につながる」と述べている。

Microsoft Exchange のゼロデイ CVE-2024-21410：修正前に悪用されていた

Microsoft: New critical Exchange bug exploited as zero-day

2024/02/14 BleepingComputer — 2月14日のセキュリティ・アドバイザリで、Microsoft が警告しているのは、Exchange Server の深刻な脆弱性 CVE-2024-21410 が、2月の Patch Tuesday で修正される前にゼロデイとして悪用されていたことだ。この脆弱性は、Microsoft 社内で発見されたものであり、Microsoft Exchange Server の脆弱なバージョンを標的とした NTLM リレー攻撃において、リモートの認証されていない脅威アクターに、権限の昇格をゆるす可能性があるものだ。

Outlook のゼロデイ脆弱性 CVE-2024-21413：RCE 攻撃につながる恐れ

Microsoft Warns of ‘In the Wild’ Outlook Attack – #MonikerLink Bug (CVE-2024-21413)

2024/02/14 SecurityOnline — Microsoft は、Outlook で新たに発見された、ゼロデイ脆弱性 CVE-2024-21413 のアドバイザリを公開した。この脆弱性 CVE-2024-21413 (CVSS：9.8) は、Check Point の Haifei Li により発見されたものであり、その悪用に成功した攻撃者は、悪意のリンクを含む電子メールを送信するだけで、リモートからのコード実行が可能になるという深刻なものだ。

Microsoft 2024-02 月例アップデート：２件のゼロデイと 73件の脆弱性に対応

Microsoft February 2024 Patch Tuesday fixes 2 zero-days, 73 flaws

20234/02/13 BleepingComputer — 今日は Microsoft の February 2023 Patch Tuesday であり、合計で 73件の脆弱性と、2件のゼロデイ対するセキュリティ更新プログラムが提供されている。今月は、サービス拒否／リモート・コード実行／情報漏えい／権限昇格の脆弱性を含む、５つの深刻な脆弱性が修正されている。

Microsoft Azure を狙う攻撃キャンペーン：すでに数百の個人アカウントが侵害されている

Ongoing Azure Compromises Target Senior Execs, Microsoft 365 Apps

2024/02/12 DarkReading — 企業の Microsoft Azure クラウドを標的とする、現在進行中のキャンペーンにより、すでに数十の環境と数百の個人アカウントが被害にあっている。このキャンペーンを操る脅威アクターは、様々な地域や業種の組織に対して、データの流出／金融詐欺／なりすましなどを、手当たり次第に仕掛けているように見える。しかし、その一方で、企業の経営者層の個人を標的とするオーダーメイドのフィッシングといった、きわめて洗練された攻撃も仕掛けられている。

CISA KEV 警告 24/02/12：Roundcube の XSS 脆弱性 CVE-2023-43770 を追加

CISA Adds Roundcube Webmail Persistent Xss Bug To Its Known Exploited Vulnerabilities Catalog

2024/02/12 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Roundcube Webmail に存在する持続的 XSS (Cross-Site Scripting) の脆弱性 CVE-2023-43770 を、KEV (Known Exploited Vulnerabilities Catalog) カタログに追加した。

Ivanti の SSRF 脆弱性 CVE-2024-21893：新たな DSLog バックドアの展開に悪用される

Hackers exploit Ivanti SSRF flaw to deploy new DSLog backdoor

2024/02/12 BleepingComputer — Ivanti Connect Secure／Policy Secure／ZTA Gateway の SSRF (Server-Side Request Forgery) 脆弱性の悪用に成功した攻撃者が、脆弱なデバイス上に新しい DSLog バックドアを展開していることが分かった。この脆弱性 CVE-2024-21893 は、2024年1月31日にアクティブに悪用されるゼロデイとして公開されたものであり、Ivanti からはセキュリティ・アップデートと緩和策が共有されている。

KiTTY に３つの脆弱性：深刻な RCE 攻撃の可能性と PoC の存在

KiTTY Triple Threat: Millions of Users Exposed to RCE Flaws, No Patch Available!

2024/02/10 SecurityOnline — PuTTY SSH／telnet クライアントの人気フォークである KiTTY に、３つの脆弱性が存在することが、セキュリティ研究者の Austin A. DeFrancesco (別名：DEFCESCO) により明らかになった。世界中で 2,000 万以上のダウンロードを誇る KiTTY であるため、様々な Windows OS ユーザーにとって、この脆弱性は深刻なリスクとなる。

CISA KEV 警告 24/02/09：Fortinet の RCE 脆弱性 CVE-2024-21762 を追加

New Fortinet RCE bug is actively exploited, CISA confirms

2024/02/09 BleepingComputer — 2月9日に CISA が発表したのは、その前日である 2月8日に、Fortinet がパッチをリリースした深刻なリモート・コード実行 (RCE：Remote Code Execution) の脆弱性が、攻撃者に積極的に悪用されているというものだ。悪用が確認されたのは、FortiOS における境界外書き込みの脆弱性 CVE-2024-21762 であり、認証されていない攻撃者が、悪意を持って細工した HTTP リクエストを使用して、リモートで任意のコードを実行する可能性があるとされる。

フィッシング攻撃調査 – 2023 Q4：メール・セキュリティを回避する QR コード攻撃が急増

QR Code ‘Quishing’ Attacks on Execs Surge, Evading Email Security

2024/02/09 DarkReading — QR コードを悪用するＥメール攻撃が、2023年 Q4 に急増している。そして、攻撃者たちが特に標的としていたのは、企業の重役や管理職などであることが判明した。QR コードを使ったフィッシング・メールは、”キッシング：Quishing” とも呼ばれており、スパム・フィルターを通過する可能性が高い。そのため、Microsoft 365 や DocuSign のユーザーを狙う悪意のメールが、受信トレイまで到達してしまうのだと、クラウド・メール・セキュリティ企業 Abnormal Security が、2月6日に発表したレポートで述べている。

AnyDesk におけるインシデント：ハッキングに関する詳細情報が共有された

AnyDesk Shares More Information on Recent Hack

2024/02/09 SecurityWeek — AnyDesk が共有した情報は、最初に脅威アクターたちが同社のシステムに侵入した時期や、インシデントの影響などの攻撃に関する詳細である。このソフトウェアの開発者によると、侵入は2024年1月中旬に発見され、フォレンジック調査の結果として、システムへの侵入時期は2023年12月下旬であることが判明したという。

偽 LastPass が Apple App Store に登場：”LassPass” という悪意のアプリに要注意

Fake LastPass password manager spotted on Apple’s App Store

2024/02/08 BleepingComputer — LastPass が警告するのは、Apple App Store で同社のアプリの偽コピーが配布されており、ユーザーの認証情報を盗むためのフィッシング・アプリとして使用されている可能性が高いというものだ。この偽アプリは、本物アプリと似た名前／似たアイコン／赤を基調としたインターフェイスを使用し、LastPass ふうのデザインで欺く。しかし、この偽アプリの名前は “LastPass” ではなく “LassPass” であり、発行者は Parvati Patel となっている。

Oracle WebLogic Server の RCE 脆弱性 CVE-2024-20931 が FIX：PoC も公開された

PoC Releases for Oracle WebLogic Server Servers RCE Flaw (CVE-2024-20931)

2024/02/07 SecurityOnline — 最近にパッチが適用された Oracle WebLogic Server の脆弱性 CVE-2024-20931 (CVSS：7.5) に対して、任意のコード実行を可能にする PoC エクスプロイト・コードが公開された。この脆弱性は、Oracle WebLogic Server の、特に T3/IIOP プロトコルに影響するものであり、新しいクラスのサイバー脅威に対する防御を強化することを目的とする、Oracle の 2024年1月の Patch Update で公開されたものだ。

CISA KEV 警告 24/02/06：Google Chrome の脆弱性 CVE-2023-4762 の悪用を確認

CISA warns of a patched Chrome flaw now exploited in attacks

2024/02/07 SecurityOnline — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、広く使用されている Google Chrome Web ブラウザに存在し、積極的に悪用されるセキュリティ脆弱性に関して警告を発した。この脆弱性 CVE-2023-4762 の悪用に成功した攻撃者は、リモートから任意のコード実行を可能にし、ユーザーに深刻なリスクをもたらす。その影響として甚大な被害が予測されるため、個人および組織のユーザーは緊急の対応を迫られている。

Ivanti の新たな脆弱性 CVE-2024-21888／CVE-2024-21893：攻撃が急増している

Experts Warn Of A Surge Of Attacks Targeting Ivanti SSRF Flaw

2024/02/05 SecurityAffairs — Ivanti の SSRF (Server-Side Request Forgery) の脆弱性 CVE-2024-21893 が、最近のサイバー攻撃で、さまざまな脅威アクターにより活発に悪用されている。1月31日に Ivanti が発した警告は、同社の Connect Secure／Policy Secure ソリューションに、それぞれ２つの新たな深刻な脆弱性 CVE-2024-21888 (CVSS：8.8)／CVE-2024-21893 (CVSS：8.2) が存在するというものだ。同社によると、CVE-2024-21893 は、野放し状態で活発に悪用されているという。

iOS の脆弱性 CVE-2024-23208 に PoC がリリース：検証目的であり攻撃は発生しない

CVE-2024-23208 Exposed: A PoC Tool Unveils iOS Kernel Flaw

2024/02/04 SecurityOnline — Apple iOS 17.3 で修正された、カーネルの脆弱性 CVE-2024-23208 に対する PoC ツールを、ある研究者が公開した。この脆弱性 CVE-2024-23208 (CVSS：7.8) は、アプリケーションによりカーネル特権での任意のコード実行にいたるというものであり、デバイスのセキュリティに深刻な結果をもたらす可能性を持つものだ。

Mispadu Stealer の亜種：Microsoft SmartScreen の CVE-2023-36025 を悪用

New variant of Mispadu Stealer is Exploiting CVE-2023-36025 Vulnerability

2024/02/04 SecurityOnline — 悪名高い Mispadu Stealer インフォ・スティーラーは、2019年以降のラテンアメリカ (LATAM) において、主にスペイン語／ポルトガル語圏の被害者を標的としている。最近になって Unit 42 の研究者たちが、Mispadu Stealer の現状／進化に関連する重要な情報を取得し、このマルウェアが悪用する SmartScreen の脆弱性に注目している。

AnyDesk で発生したデータ侵害：プロダクション・システムの一部に不正アクセスか？

AnyDesk Hacked: Popular Remote Desktop Software Mandates Password Reset

2024/02/03 TheHackerNews — リモート・デスクトップを提供する AnyDesk は、2月2日にサイバー攻撃を受け、同社のプロダクション・システムが危険にさらされたことを明らかにした。AnyDesk によると、このインシデントはセキュリティ監査の際に発見されたものであり、ランサムウェア攻撃によるものではないという。さらに、関係当局に通知済みであると、同社は述べている。

WordPress の Cookie Information | Free GDPR プラグインに脆弱性：活発な悪用を観測

Under Attack: CVE-2023-6700 in ‘Cookie Information’ Plugin Threatens 100k WordPress Sites

2024/02/02 SecurityOnline — 進化し続けるインターネットの世界において、データ・プライバシーと GDPR (General Data Protection Regulation) などの規制へのコンプライアンスの重要性は、日々高まりつつある。そんな中、人気の CMS の１つである WordPress は、これらの規制を遵守するのを支援するプラグインを、Web サイト所有者に対して数多く提供している。しかし、WordPress の Cookie Information | Free GDPR Consent Solution プラグインに、重大なセキュリティ脆弱性 CVE-2023-6700 が発見され、脅威アクターにより積極的に悪用されていることが判明した。

LockBit が支配するランサムウェア市場：2023年 Q4 を解析する- ReliaQuest

LockBit Reigns Supreme in Soaring Ransomware Landscape

2024/02/02 InfoSecurity — XDR セキュリティ・プロバイダ ReliaQuest によると、2023年 Q4 にランサムウェア・キャンペーンが急増したのは、きわめて活発な LockBit グループが要因となっている。ReliaQuest が発表した Q4 2023 Ransomware Trends レポートによると、2023年10月〜12月のランサムウェアの活動は、2022年の同時期と比較して 80% 増加している。この期間において、合計で 1262件の被害者がデータ流出サイトに掲載されたが、その業種は製造／建設／専門職／科学技術サービスなどの多岐にわたっている。

TP-Link Router の脆弱性 CVE-2024-21833：PoC 開発の兆候も見られる

Millions of Routers at Risk: CVE-2024-21833 Threatens TP-Link Devices

2024/02/01 SecurityOnline — 最近の TP-Link ルーターに重大なリスクをもたらしている、セキュリティ脆弱性 CVE-2024-21833 の徹底的な分析を、CYFIRMA の調査チームが実施した。この脆弱性は、 2024年1月10日に JPCERT/CC により発見されたものであり、深刻度を示す CVSS 値は 8.8 と評価されている。

Cloudflare にも影響を及ぼした Okta 攻撃：盗まれたアクセス・トークンの悪用が発生

Cloudflare hacked using auth tokens stolen in Okta attack

2024/02/01 BleepingComputer — 今日、Cloudflare が公表したのは、同社内の Atlassian サーバが APT と疑われる人物に侵入され、Confluence wiki／Jira Bug Database／Bitbucket Source Code Management System への不正アクセスが発生したことだ。この脅威アクターは、11月14日の時点で Cloudflare のセルフ・ホスト型 Atlassian サーバにアクセスし、偵察段階を経た後に、同社の Confluence／Jira システムにアクセスした。

Log4Shell／PwnKit を悪用する FritzFrog：パッチ未適用の内部システムが標的？

FritzFrog Returns with Log4Shell and PwnKit, Spreading Malware Inside Your Network

2024/02/01 TheHackerNews — FritzFrog という P2P ボットネットを背後で操る脅威アクターが、Log4Shell の脆弱性を悪用することで、すでに侵害したネットワーク内で内部的に増殖する、新たな亜種が登場している。Akamai は、「この脆弱性は、可能な限り多くの脆弱な Java アプリケーションをターゲットとする、ブルートフォース攻撃を介して悪用される」と、The Hacker News と共有したレポートの中で述べている。

Ivanti VPN 上でポスト・エクスプロイト・マルウエアを観測：中国由来の APT UNC5221 の活動と重複

Warning: New Malware Emerges in Attacks Exploiting Ivanti VPN Vulnerabilities

2023/02/01 TheHackerNews — Ivanti の Connect Secure VPN／Policy Secure デバイスを標的とするポスト・エクスプロイトの活動において、UNC5221 という中国由来のスパイ・アクターなどが採用する新たなマルウェアを確認したと、Google 傘下の Mandiant が発表した。それらのマルウエアに含まれるのは、BUSHWALK／CHAINLINE／FRAMESTING／LIGHTWIRE などの、カスタム Web シェルの亜種である。

CISA が異例の通達：Ivanti の疑わしいインスタンスを 48時間以内に隔離せよ

CISA Sets 48-hour Deadline for Removal of Insecure Ivanti Products

2024/02/01 SecurityWeek — 米国政府のサイバーセキュリティ機関 CISA は連邦政府機関に対して、Ivanti Connect Secure／Policy Secure の全製品のインスタンスを、48時間以内に切断せよという、前例のない要求を通達している。CISA は、「可能な限り早急に、また、遅くとも 2024年2月2日 (金) の午後11時59分までに、Ivanti Connect Secure／Policy Secure ソリューションの全インスタンスを、政府機関のネットワークから切断せよ」と、新たな緊急指令において圧力を強めている。防御側にとって必要とされるのは、実環境で積極的に悪用されている、少なくとも３件の Ivanti セキュリティ欠陥を軽減することである。

Pawn Storm という APT：ステルス性 Net-NTLMv2 リレー攻撃に注意が必要

Pawn Storm’s Stealthy Net-NTLMv2 Assault Revealed

2024/01/31 InfoSecurity — APT28 としても知られる APT アクターである Pawn Storm は、遅くとも 2004年以降において各種のテクニックを駆使し、世界的に価値の高い事業体を標的としてきた。このグループは、一見すると 10年前のフィッシング・キャンペーンのような時代遅れの手法に頼っているが、現実には何千もの電子メール・アカウントを侵害し続けている。1月31日に、Trend Micro の研究者 Feike Hacquebord と Fernando Merces が発表したアドバイザリによると、最近の Pawn Storm は、Net-NTLMv2 ハッシュ・リレー攻撃に関与しており、世界中の政府／防衛／軍事ネットワークへのブルートフォース侵入を試みている。

Ivanti の新たな脆弱性 CVE-2024-21888／CVE-2024-21893：すでに悪用を観測

Ivanti Warns Of A New Actively Exploited Zero-Day

2024/01/31 SecurityAffairs — Ivanti の警告は、Connect Secure／Policy Secure で新たに発見された、２つの脆弱性 CVE-2024-21888 (CVSS：8.8)／CVE-2024-21893 (CVSS：8.2) に関するものである。同社によると、CVE-2024-21893 は、野放し状態で活発に悪用されているという。１つ目の脆弱性 CVE-2024-21888 は、Ivanti Connect Secure (9.x/22.x) ／Policy Secure (9.x/22.x) の Web コンポーネントに存在する権限昇格の欠陥であり、悪用に成功した攻撃者は、管理者権限を得る可能性があるという。

CISA／FBI 共同警告：SOHO ルーターへの Volt Typhoon 攻撃の対処を要請

CISA: Vendors must secure SOHO routers against Volt Typhoon attacks

2024/01/31 BleepingComputer — CISA が発した警告は、進行中の攻撃から機器のセキュリティを確保するよう、SOHO (small office/home office) ルーターの製造業者に求めるものだ。展開されている攻撃というのは、特に中国が支援するハッキング・グループ Volt Typhoon (別名：Bronze Silhouette) が、ルーターの乗っ取りを試みているというものだ。CISA／FBI による共同ガイダンスで、両機関がベンダーに求めているのは、設計／開発段階における SOHO ルーターの WMI (Web Management Interface) の脆弱性の解消だ。

Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887：KrustyLoader マルウェアの配布に悪用

Hackers Exploiting Ivanti VPN Flaws to Deploy KrustyLoader Malware

2024/01/31 TheHackerNews — 最近に公開された Ivanti Connect Secure (ICS) VPN (Virtual Private Network) デバイスの２つのゼロデイ脆弱性が、KrustyLoader というペイロードの配信に悪用されている。KrustyLoader とは、オープンソースの Sliver 攻撃シミュレーション・ツールを投下するために使用される、Rust ベースのツールのことである。悪用が確認されている脆弱性 CVE-2023-46805 (CVSS：8.2)／CVE-2024-21887 (CVSS：9.1) は、認証されていない攻撃者に対して、影響を受けやすいアプライアンス上でのリモート・コード実行を許す可能性があるものだ。

Alpha ランサムウェアとDark Web 上のリークサイト：被害者が増えるのか？

Alpha Ransomware Group Launches Data Leak Site on the Dark Web

2024/01/30 InfoSecurity — 最近のことだが、Alpha と呼ばれる新たなランサム・ウェアグループが出現し、ダークウェブ上に Dedicated/Data Leak Site (DLS) を立ち上げ、６件の被害者たちのデータの初期リストを掲載している。ただし、2023年5月から観測されている Alpha ランサムウェア (ALPHVとは別物) は、競合するギャングたちと比べて感染率が低く、分析に利用できるアクティブなサンプルも野放し状態になっていない。

Microsoft Teams を悪用したフィッシング攻撃：DarkGate マルウェアを配布

Microsoft Teams phishing pushes DarkGate malware via group chats

2024/01/30 BleepingComputer — Microsoft Teams のグループ・チャットのリクエストを悪用して、被害者のシステムに悪意の添付ファイルをプッシュし、 DarkGate マルウェアのペイロードをインストールするという、フィッシング攻撃が展開されている。AT&T Cybersecurity の調査によると、この攻撃者は、侵害した Teams ユーザーやドメインを悪用して、1,000 以上の悪意の Teams グループ・チャット招待を送信していたという。

Schneider Electric で発生したランサムウェア攻撃：Cactus が身代金を要求

Energy giant Schneider Electric hit by Cactus ransomware attack

2024/01/29 BleepingComputer — エネルギー・マネジメント／オートメーションの大手である Schneider Electric で、企業データの盗難につながる Cactus ランサムウェア攻撃が発生した。1月17日の未明に発生した、このランサムウェア攻撃を受けたのは、Schneider の Sustainability Business 部門だということが、BleepingComputer の調査で判明した。この攻撃により、 Schneider Electric のクラウド・プラットフォームである Resource Advisor の一部が停止し、現在も障害が続いているという。

ランサムウェアの 2023年：急増の要因と戦術の変化 – GRIT Report

GRIT Report 2023: Unpacking the Surge in Ransomware Attacks

2024/01/29 SecurityOnline — GRIT Ransomware Annual Report 2023 は、進化するランサムウェアの詳細な状況を、包括的に解説するレポートである。そこでは、ランサムウェア攻撃の急増について分析が行われるだけではなく、さまざまなランサムウェア・グループの複雑な仕組みや戦略についても詳述されている。

Ivanti Avlanche の脆弱性 CVE-2023-41474：PoC が提供されている

CVE-2023-41474: Ivanti Avalanche Directory Traversal Flaw, PoC Published

2024/01/29 SecurityOnline — Ivanti Avalanche は、Mobile Device Management (MDM) 領域の強力なツールであり、堅牢な倉庫スキャナから洗練された小売用タブレットにいたるまでの、さまざまなデバイスを管理する迷路の中で、組織を導く道標の役割を果たしている。

Jenkins サーバ 45,000台への攻撃が始まる？ PoC エクスプロイトも公開済み

45k Jenkins servers exposed to RCE attacks using public exploits

2024/01/29 BleepingComputer — Jenkins には、深刻なリモート・コード実行の脆弱性 CVE-2023-23897 が存在する。そして研究者たちは、この脆弱性を持つ約 45,000 のインスタンスがオンラインで公開されていることを確認している。Jenkins は、CI/CD のための主要なオープンソースの自動化サーバであり、ビルド／テスト／デプロイのプロセスを合理化するものだ。また、広範なプラグインをサポートしており、さまざまなミッションや規模の組織に対応している。

PyPI に新たな悪意のパッケージ： Windows デバイス上に WhiteSnake マルウェアを展開

Malicious PyPI Packages Slip WhiteSnake InfoStealer Malware onto Windows Machines

2024/01/29 TheHackerNews — Python Package Index (PyPI) レポジトリ上で発見されたのは、WhiteSnake Stealer という情報窃取型マルウェアを、Windows システム上に配布する悪意のパッケージである。それらのマルウェアが埋め込まれたパッケージの名前は、nigpal／figflix／terer／seGMM／fbdebug／sGMM／myGens／NewGends／TestLibs111 である。そして、これらのパッケージをアップロードしているのは “WS “という脅威アクターだと、サイバーセキュリティ研究者たちは述べている。

Ivanti VPN アプライアンスで発見：WIREFIRE Web シェル亜種のステルス性とは

Cybersecurity Alert: Unseen WIREFIRE Web Shell Variant in ICS VPN Appliances

2024/01/28 SecurityOnline — 先日に QuoIntelligence が発見したのは、Python ベースのインプラントである WIREFIRE という Web シェルの新たな亜種だ。この亜種が発見されたのは、２つのゼロデイ脆弱性 CVE-2024-21887／CVE-2023-46805 を悪用して侵害された、Ivanti Connect Secure (ICS) VPN アプライアンスである。この亜種の登場が浮き彫りにするのは、サイバー・スパイ戦術の大幅な進化であり、また、インターネットに面した VPN デバイスのセキュリティに関する懸念である。