Cyber Attack – Page 39 – IoT OT Security News

WordPress 上の eコマース侵害：決済の瞬間を狙ってクレカ情報を盗み出す手口とは？

Hackers inject credit card stealers into payment processing modules

2023/03/22 BleepingComputer — クレジットカードを盗み出す新たなハッキング・キャンペーンは、これまでに見られたものとは異なり、悪意のコードを WooCommcerce の “Authorize.net” 決済ゲートウェイ・モジュール内に隠すことで、セキュリティ・スキャンによる検出の回避を可能にしているようだ。これまでの脅威アクターたちが、Magenta および WooCommerce + WordPress のようなコマース・サイトを侵害する場合には、店舗や顧客のチェックアウト・ページ HTML に、悪意の JavaScript を注入するのが一般的だった。

Facebook アカウント・ハイジャック：悪意の ChatGPT Chrome エクステンションが導線

Facebook accounts hijacked by new malicious ChatGPT Chrome extension

2023/03/22 BleepingComputer — 正規の ChatGPT Extension for Chrome のトロイの木馬バージョンが、Chrome Web Store で人気を博しており、9,000 回以上のダウンロードを達成し、Facebook アカウントを盗み続けている。この Chrome エクステンションは、検索結果に ChatGPT の統合を提供する ChatGPT for Google という名前の、正規の Chrome アドオンをコピーしたものだ。そして、この悪意のバージョンは、Facebook のセッション・クッキーを盗み出すための追加コードを含んでいる。

HinataBot というボットネットが登場：Mirai 由来のハッカーたちが開発

Mirai Hackers Use Golang to Create a Bigger, Badder DDoS Botnet

2023/03/21 DarkReading — HinataBot と名付けられた新しいボットネットを、Mirai 由来のハッカーたちが開発した。このボットネットは、従来のものと比べて、はるかに少ないリソースで大きなダメージを与える可能性があるという。Mirai は、世界で最も悪名高いボットネットの１つだ。2010年代半ばから流通し、ルーターやカメラなどの IoT 機器を利用して、大量のトラフィックでターゲットを攻撃し、分散型サービス拒否 (DDoS) を仕掛けてきた。最も被害の大きかった攻撃は、フランスのテクノロジー企業 OVH／リベリア政府／DNS プロバイダー Dyn などに対するものであり、Twitter／Reddit／GitHub／CNN などの Web サイトが被害を被った。

PowerMagic／CommonMagic というマルウェア：新たなバックドアと悪意のフレームワーク

Hackers use new PowerMagic and CommonMagic malware to steal data

2023/03/21 BleepingComputer — セキュリティ研究者たちが発見したのは、CommonMagic と呼ばれる “かつてない悪意のフレームワーク” と、PowerMagic と呼ばれる新しいバックドアを使用した、先進的な脅威アクターによる攻撃だ。これらのマルウェアは、2021年9月ころから現在まで続くオペレーションで使用され、行政／農業／輸送分野の組織をスパイ目的で狙っている。

Microsoft／Google／Apple を悩ませたゼロデイ脆弱性： 2022年の統計結果を見てみよう

2022 witnessed a drop in exploited zero-days

2023/03/21 HelpNetSecurity — 2022年に悪用されたゼロデイ脆弱性は 55件であり、2021年の 81件から減少しており、最も狙われたのは Microsoft／Google／Apple の製品だった。この 55件のうち 53件が、脆弱なデバイス上での攻撃者による特権昇格やリモートコード実行につながるものだと、Mandiant の最新レポートは明らかにしている。

Bitcoin ATM の脆弱性をハッキング：General Bytes における $1.5M 盗難を分析

General Bytes Bitcoin ATMs hacked using zero-day, $1.5M stolen

2023/03/20 BleepingComputer — 大手 Bitcoin ATM メーカーの General Bytes は、同社の BATM 管理プラットフォームのゼロデイ脆弱性を悪用するハッカーたちが、同社と顧客から暗号通貨を盗み出したことを明らかにした。 General Bytes は、40種類以上の暗号通貨を売買できる Bitcoin ATM を製造している。そして、顧客である事業者たちは、スタンドアロンの管理サーバまたは、General Bytes のクラウド・サービスを使用して、ATM を展開することが可能となっている。

.NET 開発者がターゲット：NuGet に展開された悪意のパッケージを追跡

Hackers target .NET developers with malicious NuGet packages

2023/03/20 BleepingComputer — タイポスクワッティングにより複数の正規パッケージになりすました暗号通貨ステーラーが、NuGet リポジトリを通じて配信され、.NET 開発者をターゲットに感染し続けている。この継続的なキャンペーンを発見した、JFrog のセキュリティ研究者 Natan Nehorai と Brian Moussalli によると、そのうちの３つは、この１ヶ月の間に 15万回以上もダウンロードされているとのことだ。この膨大なダウンロード数は、システムを侵害された多数の .NET 開発者を示している可能性もありるが、悪意の NuGet パッケージを正当化するために、攻撃者が人為的に操作した結果なのかもしれない。

KillNet による DDoS 攻撃：Microsoft Azure のヘルスケア・アプリが狙われている

KillNet Group Uses DDoS Attacks Against Azure-Based Healthcare Apps

2023/03/20 InfoSecurity — KillNet として知られるロシア系のハクティビスト・グループが、Microsoft Azure にホストされているヘルスケア・アプリを標的としていることが、３ヶ月以上も前から確認されている。Microsoft は、金曜日に公開されたアドバイザリで、この新しいキャンペーンの詳細を公開した。Azure Network Security Team によると、2022年11月には１日あたり 10～20回、2023年2月には１日あたり 40～60回の攻撃が確認されたという。

中小企業とセキュリティ：山積するギャップを乗り越えるための処方箋とは？

Most mid-sized businesses lack cybersecurity experts, incident response plans

2023/03/20 HelpNetSecurity — Huntress の調査によると、米国／カナダの全企業の 99％が中小企業であり、サイバー・セキュリティの課題に直面していることが判明した。この調査の目的は、組織構造／リソース／サイバー・セキュリティ戦略などに関する洞察を得ることにある。具体的に言うと、ツールキット／計画／人員配置／セキュリティ意識のトレーニングなどに加えて、サイバー・セキュリティ保険の確保の難しさといった、主要な課題を文脈化して示している。

CatB ランサムウェアの検出回避テクニック：DLL 検索順序ハイジャックとは？

Researchers Shed Light on CatB Ransomware’s Evasion Techniques

2023/03/20 TheHackerNews — CatB ランサムウェアのオペレーターは、検出を回避してペイロードを起動するために、DLL 検索順序ハイジャックと呼ばれる攻撃手法を使用していると確認されている。2022年末に出現した CatB99／Baxtoy とも呼ばれる CatB だが、Pandora という別のランサムウェア株の “進化形または直接的なリブランド” だと言われるのは、コード・レベルの類似性に関する分析が進んだ結果である。Pandora を使用してきたのは、Bronze Starlight (別名 DEV-0401／Emperor Dragonfly) だとされている。中国に拠点を置く、この脅威アクターは、真の目的を隠すために、短命のランサムウェア・ファミリーを採用することで知られている。

Emotet が本気の戦略シフト：OneNote ファイルを介した配布が始まった

Emotet malware now distributed in Microsoft OneNote files to evade defenses

2023/03/18 BleepingComputer — 現時点において Emotet マルウェアは、Microsoft のセキュリティ制限を回避して、より多くのターゲットに感染させるために、OneNote ファイルを添付したＥメールで配布されている。Emotet は、歴史的に悪名高いマルウェア・ボットネットであり、悪意のマクロを仕込んだ Word や Excel の添付ファイルを通じて配布されていた。これらの添付ファイルを、ユーザーが開いてマクロを有効にすると、DLL がダウンロード／実行され、Emotet マルウェアがデバイスにインストールされる。このマルウェアがロードされると、Ｅメールの連絡先やメールの内容が盗まれ、今後のマルウェア・キャンペーンで悪用されるようになる。また、企業ネットワークへのイニシャル・アクセスを提供する、他のペイロードもダウンロードされる。

Outlook のゼロデイ脆弱性 CVE-2023-23397：突出した危険度に要注意

Microsoft Outlook Vulnerability Could Be 2023’s ‘It’ Bug

2023/03/18 DarkReading — 先日に Microsoft は、積極的に悪用されている Outlook のゼロデイ脆弱性 CVE-2023-23397 にパッチを適用した。この脆弱性の悪用に成功した攻撃者は、権限昇格を実行し、被害者の Net-NTLMv2 チャレンジ・レスポンス認証ハッシュにアクセスし、ユーザーになりすますことが可能だ。現時点において、CVE-2023-23397 は、今年に入って発生したバグの中で、最も広範囲に影響を及ぼす危険なものだと判明し、セキュリティ研究者たちは警告を発している。わずか３日前に公開されたばかりだが、数多くの PoC エクスプロイトが登場している。悪用する際に、ユーザーの操作が必要ないという点からも、犯罪者の関心が大きく高まることは間違いない。

FBI／CISA／MS-ISAC の共同勧告：ランサムウェア LockBit 3.0 攻撃について

US Government Warns Organizations of LockBit 3.0 Ransomware Attacks

2023/03/17 SecurityWeek — 今週に、FBI／CISA／MS-ISAC は共同で、ランサムウェア LockBit 3.0 のオペレーションに関するアラートを発表した。LockBit は2020年1月以降において、Ransomware-as-a-Service (RaaS) モデルをベースに活動し、広範囲におよぶ企業や重要インフラ事業体をターゲットに、さまざまな TTP (Tactics, Techniques, and Procedures) を用いてきた。

2023 インサイダー脅威 Top-5：今後も変化し続けるという分析の結果

Top 5 Insider Threats to Look Out For in 2023

2023/03/17 SecurityAffairs — テクノロジーの進化に伴い、サイバー攻撃がさらに複雑化している。数多くの企業において、サイバー・セキュリティの取り組みが、外部からの攻撃だけに向けられているため、内部リスクに対する隙が多くなっている。また、従業員の過失や悪意により機密情報が失われる危険性を、認識できていない企業もある。インサイダー脅威は、サイバー・セキュリティにおいて最も軽視される側面の１つであることに間違いはない。インサイダー脅威の統計によると、これらの脅威は、従業員や業務委託先だけではなく、ネットワークに簡単にアクセスできる信頼できるパートナーから発生する可能性もある。そして、インサイダー脅威に関する報告や、最近の動向を分析すると、この種の攻撃の頻度が急激に高まっていることが分かる。したがって、サイバー・セキュリティの専門家たちは、インサイダー攻撃の有害な影響について、より注意を払うようになっている。

GoAnywhere ゼロデイの被害者：Hitachi Energy が４番目として公表される

Hitachi Energy breached by Clop gang through GoAnywhere Zero-Day exploitation

2023/03/17 SecurityAffairs — 日立エネルギーが公表したデータ漏洩は、先日に公表された GoAnywhere MFT (Managed File Transfer) のゼロデイ脆弱性を悪用する、ランサムウェア集団 Clop にハッキングされデータを盗まれたというものだ。同社も、このゼロデイ脆弱性の悪用により、世界中の GoAnywhere MFT デバイスを標的とする、Clop の大規模キャンペーンの犠牲者となった。

Fortinet のゼロデイ悪用：ハッキングの背景に存在する中国系ハッカー集団とは？

Fortinet zero-day attacks linked to suspected Chinese hackers

2023/03/16 BleepingComputer — Fortinet のゼロデイ脆弱性 CVE-2022-41328 を悪用してマルウェアを展開するという、政府機関に対する一連の攻撃の背景には、中国のハッカー集団の存在があるようだ。先週に Fortinet が開示したように、この脆弱性の悪用に成功した脅威アクターは、パッチ未適用の FortiGate ファイアウォール・デバイス上で、不正なコード／コマンドを実行することで、マルウェア・ペイロードを展開できるとされる。さらに、このマルウェアの分析を進めることで、データの流出／侵害デバイス上でのファイルのダウンロードと書き込み／細工された ICMP パケット受信によるリモートシェルのオープンといった、サイバースパイ活動にも利用可能なことが判明した。

SILKLOADER という検出回避に優れたマルウェア：中国／ロシアの犯罪エコシステムが連携？

Chinese and Russian Hackers Using SILKLOADER Malware to Evade Detection

2023/03/16 TheHackerNews — 中国／ロシアのサイバー犯罪エコシステムに属する脅威アクター・グループが、感染させたマシン上に Cobalt Strike をロードするために設計された、新たなマルウェアを使用していることが確認されている。フィンランドのサイバー・セキュリティ企業 WithSecure は、DLL のサイドローディング技術を利用して、商業的アドバイザリを装うソフトウェアを配信する、このマルウェアを SILKLOADERと名付けた。

Adobe Acrobat Sign を悪用：Redline マルウェアを配布する手口が暴かれた

Adobe Acrobat Sign abused to push Redline info-stealing malware

2023/03/16 BleepingComputer — オンライン・ドキュメント署名サービスである Adobe Acrobat Sign が、情報窃取マルウェアの配布に悪用されている。このサービスを悪用する脅威アクターたちは、Adobe を装う悪意のメールをターゲットに送信しすることで、セキュリティ保護を回避して受信者を騙そうとしている。このような、正規のサービスを悪用する手口は新しいものではない。最近に見られた同様のケースに、PayPal の請求書や Google Docs のコメントなどの悪用がある。Avast の研究者たちは、Adobe Acrobat Sign を悪用してセキュリティを回避してターゲットを騙す、この新たな詐欺手法について警告している。

BEC の発生件数が２倍に増えた：急増するフィッシングから移行している？

BEC Volumes Double on Phishing Surge

2023/03/16 InfoSecurity — Secureworks の調査により、昨年の BEC (Business Email Compromise) インシデントが倍増し、ランサムウェアに取って代わる、最多のサイバー犯罪のカテゴリとなった。脅威の検知／対応の企業である Secureworks は、調査依頼を受けた数百件の実戦的なインシデントを基に、 “Learning from Incident Response“ レポートを作成した。同社は、BEC の件数の大幅増の背景にはフィッシングの急増があり、イニシャル・アクセス・ベクターの 33％を占めており、2021年の 13％から増加したと発表している。

GoAnywhere ゼロデイの被害者：セキュリティ企業の Rubrik が３番目として公表される

Security Firm Rubrik breached by Clop gang through GoAnywhere Zero-Day exploitation

2023/03/15 SecurityAffairs — 先日に公開された、Fortra GoAnywhere セキュア・ファイル転送プラットフォームのゼロデイ脆弱性を悪用したランサムウェア・グループが、サイバー・セキュリティ企業である Rubrik の企業データを盗み出すというデータ侵害を発生させた。Rubrik も、このゼロデイ脆弱性を悪用して、世界中の GoAnywhere MFT デバイスを標的とする大規模なキャンペーンの犠牲となった。同社は、サードパーティであるフォレンジック専門家の協力を得て、この事件の調査を直ちに開始した。

Tick APT Group：東アジアの政府機関や軍事機関をサプライチェーンから狙っている

Tick APT Group Hacked East Asian DLP Software Firm

2023/03/15 InfoSecurity — 政府機関や軍事機関向けの DLP (data-loss prevention) ソフトウェアを開発する、東アジアの企業を標的とした新たなマルウェアキャン・ペーンは、Tick という名の APT グループに起因することが判明した。2023年3月14日 (火) に ESET が発表したアドバイザリによると、この脅威アクターは DLP 企業の内部アップデート・サーバに侵入し、ネットワーク内にマルウェアを配信したという。その後に、同社が使用する正規のツール・インストーラをトロイの木馬化し、同社の顧客２社のコンピュータでマルウェアが実行される状況に至ったという。

Microsoft IIS の Telerik コンポーネントの脆弱性：放置した米政府機関に大きな被害

US federal agency hacked using old Telerik bug to steal data

2023/03/15 BleepingComputer — 昨年に米国の連邦政府機関において、Microsoft Internet Information Services (IIS) Web サーバがハッキングされたが、その原因は Progress Telerik UI for ASP.NET AJAX コンポーネントの、深刻な .NET デシリアライズの脆弱性にあるという。3月15日に CISA／FBI／MS-ISAC が発表した共同勧告によると、ある連邦民間行政府 (FCEB) 機関のネットワークで見つかった、侵害指標 (IOC) を分析したところ、2022年11月〜2023年1月初旬にかけて攻撃者がサーバにアクセスしたことが判明したという。

Emotet や QSnatch などが御用達：DNS を悪意のハイウェイとして活用するマルウェアたち

Emotet, QSnatch Malware Dominate Malicious DNS Traffic

2023/03/15 DarkReading — インターネットの DNS (domain name system) は、脅威アクターたちにとって、一種のスーパー・ハイウェイとなっているようだ。この四半期において、6 組織に 1 組織の割合で、悪質なネットワーク・トラフィックを経験しているが、それらは、Emotet などのマルウェア／フィッシング攻撃／コマンド＆コントロール (C2) アクティビティの、いずれかの形態であることが、研究者たちにより明らかになった。

CISA KEV 警告 23/03/15：Adobe ColdFusion の深刻なゼロデイ CVE-2023-26360

CISA warns of Adobe ColdFusion bug exploited as a zero-day

2023/03/15 BleepingComputer — Adobe ColdFusion バージョン 2021／2018 に影響を及ぼす深刻な脆弱性が、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加された。この深刻な任意コード実行の脆弱性 CVE-2023-26360 は、Improper Access Control の欠陥に起因するものであり、ユーザー操作を必要としない低複雑度の攻撃により、未認証の攻撃者にリモートでの悪用を許すものである。Adobe は、ColdFusion 2018 Update 16／ColdFusion 2021 Update 6 で、このアプリケーション・サーバの脆弱性に対応したが、ゼロデイとして攻撃に悪用されたとも述べている。

Microsoft Outlook のゼロデイ CVE-2023-23397 が FIX：直ちにパッチ適用を！

Microsoft fixes Outlook zero-day used by Russian hackers since April 2022

2023/03/14 BleepingComputer — ロシアの軍事情報機関 GRU に関連するハッキング・グループが、欧州の組織への攻撃に悪用した Outlook のゼロデイ脆弱性 (CVE-2023-23397) に、Microsoft はパッチを適用した。この脆弱性は、2022年4月中旬から 12月までの間に、政府／軍事／エネルギー／輸送機関などのネットワークを標的にした、15件ほどの攻撃で悪用されてきた。この攻撃を仕掛けたのは、APT28／STRONTIUM／Sednit／Sofacy／Fancy Bear などの名前で追跡されているハッキング・グループである。その手口は、悪意の Outlook のメモとタスクを送信し、NTLM ネゴシエーション・リクエストを介して NTLM ハッシュを盗み出し、攻撃者が制御する SMB 共有に対して、ターゲットのデバイスを強制的に認証させるというものだ。

SVB 銀行の破綻を悪用：金銭やデータを盗み出すサイバー犯罪者たち

Cybercriminals exploit SVB collapse to steal money and data

2023/03/14 BleepingComputer — 2023年3月10日のシリコンバレー銀行 (SVB) の破綻は、世界の金融システムに波紋を広げているが、ハッカー／詐欺師／フィッシング・キャンペーンにとっては、絶好のチャンスになりつつある。複数のセキュリティ研究者たちが報告しているように、すでに脅威アクターたちは疑わしいドメインを登録してフィッシング・ページを作成し、BEC (Business E-mail Compromise) 攻撃の準備を整えている。これらのキャンペーンの目的は、金銭やアカウントの窃取、マルウェアの展開などにある。

SpaceX の機密データが LockBit に盗まれた：製造請負の Maximum Industries ハッキングが原因

LockBit Ransomware gang claims to have stolen SpaceX confidential data from Maximum Industries

2023/03/14 SecurityAffairs — ランサムウェア・ギャング LockBit は、生産会社である Maximum Industries のシステムをハッキングし、SpaceX の機密データを盗み出したと主張している。Maximum Industries は、部品生産や製造受託をフルサービスでを行う企業である。

Dark Pink は中国の APT グループ：ASEAN 諸国の政府機関に KamiKakaBot を配布

Dark Pink APT Group Deploys KamiKakaBot Against South Asian Entities

2023/03/13 InfoSecurity — Dark Pink として知られる脅威アクターが、ASEAN (東南アジア諸国連合) 諸国の複数の政府機関に対する KamiKakaBot マルウェアの配布に関与していたことが判明した。先週に EclecticIQ の研究者たちは、2023年2月に行われた攻撃に関するレポートを公開した。このレポートでは、「この新しいキャンペーンでは、東南アジア諸国の軍事／政府機関に対するソーシャル・エンジニアリングのルアーとして、ヨーロッパと ASEAN 諸国の交流関係が悪用されている可能性が非常に高い。EclecticIQ の研究者たちは、このグループの国籍を特定するだけの決定的な証拠を得ていないが、攻撃者の目的や行動パターンから、Dark Pink は中国の APT グループであろうと考えている」と説明されている。

Fortinet FortiOS の深刻な脆弱性 CVE-2022-41328：政府機関への攻撃で悪用される

Fortinet: New FortiOS bug used as zero-day to attack govt networks

2023/03/13 BleepingComputer — 今月にパッチが適用された FortiOS のゼロデイ・エクスプロイトを悪用する未知の攻撃者たちが、政府機関や大規模組織を標的とした攻撃を行い、OS やファイルの破壊と、データ流出を引き起こしているという。2023年3月7日に Fortinet は、不正なコードやコマンドを実行できる深刻な脆弱性 CVE-2022-41328 に対して、セキュリティ・アップデートをリリースしている。

AT&T のデータ侵害：サードパーティ・ベンダーがハッキングされた

AT&T is notifying millions of customers of data breach after a third-party vendor hack

2023/03/10 SecurityAffairs — AT&T が発表し内容は、同社のサードパーティー・ベンダーがハッキングされ、個人情報の一部が漏えいしたことを、数百万人の顧客に通知したというものだ。不正アクセスを受けた CPNI (Customer Proprietary Network Information) とは、顧客が購入した電気通信サービスに関連する情報のことであり、アカウントごとの回線数や顧客が加入しているワイヤレスプランなどのデータが含まれるという。

CISA KEV 警告 23/03/10：VMware の RCE 脆弱性 CVE-2021-39144 を追加

CISA warns of critical VMware RCE flaw exploited in attacks

2023/03/10 BleepingComputer — CISA が新たに KEV カタログに追加したのは、VMware Cloud Foundation に存在する深刻な脆弱性であり、野放し状態での悪用が確認されているものだ。この欠脆弱性 CVE-2021-39144 は、VMware 製品で使用されている XStream オープンソース・ライブラリに起因するものであり、VMware の評価による深刻度スコアは 9.8 となっている。ユーザーの操作が不要な、低複雑度の脆弱性を悪用する未認証の脅威者は、パッチ未適用のアプライアンス上のルート権限で、リモートから任意のコードを実行可能になるという。

Xenomorph は最凶のバンキング・トロイの木馬：侵入後の不正送金まで自動化している！　

Latest version of Xenomorph Android malware targets 400 banks

2023/03/10 SecurityAffairs — Android マルウェアである Xenomorph の作者 Hadoken Security Group は、悪意のあるコードを改良し続けている。ThreatFabric の研究者たちが Xenomorph マルウェアを発見した 2022年2月の時点で、Google Play ストア経由での配布が行われ、すでに５万以上のインストールに達していたという。このバンキング・トロイの木馬は、欧州の 56 の銀行を標的とし、顧客のデバイスから機密情報を盗み出すために使用されていた。そのコードの分析により、未実装の機能が存在すること、そして、大量のログが存在することが明らかになり、この脅威の活性化が示唆されている。

米政府職員のセキュリティ意識：20％が雇用主へのハッキングに無関心だと回答

Fifth of Government Workers Don’t Care if Employer is Hacked

2023/03/09 InfoSecurity — 説明責任を果たさない文化と、不十分なサイバー衛生と、限られたスタッフ・トレーニング・・・このような傾向が、世界中の政府にサイバー・リスクの大きな嵐を生み出し、その一方では、深刻なデータ漏洩の可能性に対して、多くの職員が無関心になっていると、Ivanti は警告している。セキュリティ・ベンダーである Ivanti は、世界中の公共部門の職員 800人を対象にアンケートを実施し、新しい Government Cybersecurity Status Report を公開した。

Oracle Weblogic Server が標的：ScrubCrypt 攻撃を仕掛ける 8220 Gang

8220 Gang Behind ScrubCrypt Attack Targeting Oracle Weblogic Server

2023/03/09 InfoSecurity —8220 Gang と呼ばれる脅威アクターが、特定の Uniform Resource Identifier (URI) 内の悪用可能な Oracle Weblogic Server を標的とし、新たなペイロードを展開することが判明した。この、Fortinet のセキュリティ研究たちが分析したペイロードは、セキュリティ・プログラムによる検出の回避を特徴としている。そして、アプリケーションを難読化／暗号化するために設計されたマルウェアである、ScrubCrypt の抽出を目的としている。

IceFire というランサムウェアが登場：IBM Aspera Faspex を悪用して Linux ネットワークを攻撃

IceFire Ransomware Exploits IBM Aspera Faspex to Attack Linux-Powered Enterprise Networks

2023/03/09 TheHackerNews — IceFire として知られている Windows ベースのランサムウェアが、世界中のメディアやエンターテイメントの組織で運用されている、Linux エンタープライズ・ネットワークへとターゲットを拡大している。サイバーセキュリティ企業の SentinelOne によると、このランサムウェアは、最近に公表された IBM Aspera Faspex ファイル共有ソフトウェアに存在する、不適切なデシリアライズの脆弱性 CVE-2022-47986 (CVSS：9.8) を悪用して展開されているという。

SonicWall SMA を攻撃するカスタム・マルウェア：背後にいるのは中国由来の UNC4540 ？

SonicWall SMA appliance infected by a custom malware allegedly developed by Chinese hackers

2023/03/09 SecurityAffairs — UNC4540 として追跡され中国由来とされている脅威アクターが、SonicWall SMA アプライアンスにカスタム・マルウェアを展開したことを、Mandiant の研究者たちが報告した。このマルウェアは、攻撃者によるユーザー認証情報の窃取を可能にし、ファームウェアのアップグレードによる永続性を実現し、シェルアクセスを提供するとされる。

Sunlogin／AweSun の脆弱性を悪用して展開：PlugX マルウェア感染が止まらない

Hackers Exploiting Remote Desktop Software Flaws to Deploy PlugX Malware

2023/03/09 TheHackerNews — リモート・デスクトップ・プログラムである、Sunlogin／AweSun のセキュリティ脆弱性を悪用する脅威アクターたちが、マルウェア PlugX を展開していることが判明した。この脆弱性は、侵害したシステム上に各種のペイロードを配信するために悪用され続けていると、AhnLab Security Emergency Response Center (ASEC) は最新の調査結果で述べている。こうして配信されたマルウェアには、Sliver post-exploitation framework／XMRig cryptocurrency miner／Gh0st RAT／Paradise ransomware などが含まれている。そして PlugX は、最近になって配布されるようになったという。

Akamai が DDoS 攻撃を緩和：アジアでは最大級の 900Gbps という規模だった

Akamai mitigates record-breaking 900Gbps DDoS attack in Asia

2023/03/09 BleepingComputer — Akamai が発表したのは、APAC 地域の顧客に仕掛けられた、過去最大の DDoS 攻撃を緩和したというものである。DDoS (Distributed Denial of Service) 攻撃とは、標的となるサーバに大量のリクエストを送信してキャパシティを枯渇させることで、そのサーバがホストする Web サイト／アプリケーションなどのオンライン・サービスを、正規のユーザーからアクセスできない状態にするものだ。

API 悪用の脅威がスピードアップ：脆弱性の発生と攻撃の頻度も増大している

Attackers exploit APIs faster than ever before

2023/03/08 HelpNetSecurity — Wallarm が35 万件のレポートを精査したところ、337 のベンダーが関連する、650 の API 固有の脆弱性が確認されたという。さらに、これらの脆弱性に影響を与える 115 の公開されたエクスプロイトを追跡した結果、API の脅威の状況は、さらに危険度を増していることが判明したという。

CISA KEV 警告 23/03/08：Teclib／Apache／Zoho の脆弱性など３件が追加

CISA’s KEV Catalog Updated with 3 New Flaws Threatening IT Management Systems

2023/03/08 TheHackerNews — 米国の CISA は、悪用されている証拠があるとして、３つのセキュリティ脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した。この３件のうち最も深刻なものは CVE-2022-35914 で、オープンソースの資産／IT 管理ソフトウェア・パッケージである、Teclib GLPI のサードパーティ・ライブラリ htmlawed に存在する、リモート・コード実行の脆弱性だ。

Fortinet の深刻な脆弱性 CVE-2023-25610 が FIX：直ちにパッチ適用を！

Fortinet warns of new critical unauthenticated RCE vulnerability

2023/03/08 BleepingComputer — Fortinet が公開したのは、FortiOS／FortiProxy に影響を及ぼす、きわめて深刻な脆弱性 CVE-2023-25610 である。特別に細工したリクエストを、未認証の攻撃者が用いることで、脆弱なデバイスの GUI 上で任意のコード実行やサービス拒否 (DoS) が生じる可能性があるという。このバッファ・アンダーフローの脆弱性 CVE-2023-25610 は、CVSS v3 値が 9.3 であり、Critical と評価されている。この種の不具合は、メモリ・バッファから設定値以上のデータ量を、プログラムが読み込もうとしたときに発生する。その結果として、隣接するメモリ領域へのアクセスが生じ、危険な動作やクラッシュにつながるという。

2022年のマルウェア検出数は 1460 億件：前年比で 55% 増と Trend Micro

Cyber-Threat Detections Surge 55% in 2022

2023/03/08 InfoSecurity — Trend Micro の発表は、2022年に 1460億件のサイバー脅威を阻止したというものだ。この件数は、前年比で 55％増を示しており、あらゆる規模／分野の企業に対して、サイバー犯罪者がアプローチを拡大している証拠でもある。同社が発表したのは、世界各地で発生した脅威情報から構成される、年次総括レポート Rethinking Tactics であり、そのスコープは、モバイル／IoT／PC エンドポイント／サーバ・エンドポイント／電子メール／ウェブ層／ネットワーク層／OT ネットワーク／クラウド／ホーム・ネットワーク／脆弱性／消費者／企業／政府などにまで広がっている。

Microsoft Excel の XLL add-ins がデフォルトでブロック：さらなる MoTW の強化

Microsoft Excel now blocking untrusted XLL add-ins by default

2023/03/07 BleepingComputer — 世界中の Microsoft 365 テナントに配置される、表計算ソフトの Excel において、信頼できない XLL アドインをデフォルトでブロックするようになったと、Microsoft が発表した。同社は、この変更について 2023年1月に発表しているが、Insiders 向けにロールアウトの初期テスト・フェーズに入ったときに、この新しいエントリーが Microsoft 365 のロードマップに追加された。この新機能は、Current／Monthly Enterprise／Semi-Annual Enterprise チャネルの全デスクトップ・ユーザーにロールアウトされた後の３月下旬までに、世界中のマルチ・テナントで一般でも利用可能になる予定だ。

Acer でデータ侵害：160GB のデータがハッキングフォーラムで販売されている

Acer confirms breach after 160GB of data for sale on hacking forum

2023/03/07 BleepingComputer — 台湾の大手コンピュータ・メーカーである Acer は、同社の修理技術者が使用していたプライベート・ドキュメントを格納するサーバが、脅威アクターにハッキングされ、データ侵害が発生したことを明らかにした。しかし同社は、これまでの調査結果では、このセキュリティ・インシデントが顧客データに影響を与えたとは言えないとしている。2023年2月中旬に Acer から盗まれたとされる 160GBのデータが、ある脅威アクターにより、人気のハッキングフォーラムで販売され始めたことで、このデータ漏洩が認められることになった。

Toyota Customer 360 の深刻な脆弱性が FIX：開発用／本番用 API の錯綜が原因

Vulnerability in Toyota Management Platform Provided Access to Customer Data

2023/03/07 SecurityWeek — Toyota Customer 360 という CRM (Customer Relationship Management) プラットフォームに、深刻な脆弱性が存在していたことが判明した。この脆弱性を発見したセキュリティ研究者によると、メキシコの顧客の個人情報にアクセスが可能だったという。この Web アプリケーションは、組織全体として顧客データを集約しており、個人情報／購入履歴／サービス内容などの、全ての顧客情報を一元的に把握するためのものだ。

LastPass ハッキングの全容を解明：エンジニアの自宅のメディアサーバが侵入経路だった

LastPass Hack: Engineer’s Failure to Update Plex Software Led to Massive Data Breach

2023/03/07 TheHackerNews — LastPass における大規模な情報漏えいは、同社のエンジニアの１人が、自宅のコンピュータで Plex のアップデートを怠った結果であり、ソフトウェアを最新に保つことを怠ることの危険性を痛感させるものだった。先週に LastPass は、「2022年8月12日以前に発生したインシデントで盗まれた情報と、サードパーティに対するデータ侵害および、一般的なメディア・ソフトウェア・パッケージ Plex の脆弱性から入手した情報を組み合わせた正体不明の人物が、2022年8月〜10月に２度目の組織的な攻撃を行ったことを明らかにした。

Emotet の活動再開を捕捉：2023 大規模キャンーペンのトリックは大容量ファイル？

Emotet malware attacks return after three-month break

2023/03/07 BleepingComputer — 2023年03月07日 (火) の朝の時点で、Emotet マルウェアの活性化が観測されている。このマルウェアは、３ヶ月間の休息を経て、再び悪意の電子メールを送信し、そのネットワークを再構築し、世界中のデバイスへの感染を広め始めている。Emotet は、悪意の Word／Excel 添付ファイルを隠し持つ子メールで配布される、悪名高いマルウェアである。それらの文書をユーザーが開いたとき、マクロが有効になっていると、Emotet DLL がダウンロードされ、メモリにロードされる。そして、ロードされた Emotet は静かに待機し、リモートの Command and Control (C2) サーバからの指示を待つ。

SYS01stealer という情報スティーラーを発見：Facebook ビジネス・アカウントなどが標的

SYS01stealer: New Threat Using Facebook Ads to Target Critical Infrastructure Firms

2023/03/07 TheHackerNews — サイバー・セキュリティ研究者たちが発見したのは、政府／インフラ／製造業などを標的とする、SYS01stealer という名の新しい情報スティーラーである。 Morphisec は、「このキャンペーンのターゲットは、Facebook のビジネス・アカウントだ。この脅威アクターは、ゲーム／アダルトコンテンツ／クラックソフトウェアなどを宣伝する、Google 広告や Facebook の偽プロファイルを使用して、悪意のファイルをダウンロードするように、被害者たちを誘導する。この攻撃は、ログインデータ／クッキーだけではなく、Facebook ビジネスアカウント情報などの、機密情報を盗むために設計されている」と、The Hacker News と共有したレポートで詳述している。

Google Cloud Platform の深刻な問題：データ流出攻撃に対して死角が生じている

Experts Reveal Google Cloud Platform’s Blind Spot for Data Exfiltration Attacks

2023/03/06 TheHackerNews — Google Cloud Platform (GCP) のフォレンジック可視性が不十分であることを利用して、脅威アクターたちによる機密データの流出が可能なことが、最新の研究で明らかになった。クラウド・インシデント対応企業である Mitiga のレポートには、「残念ながら、GCP は、フォレンジック調査に必要なストレージ・ログの可視性を備えていない。そのため、潜在的なデータ流出攻撃を、組織は見過ごす可能性がある」と述べている。

CISA KEV の 2022年を分析：新たに追加された CVE 557件に関する統計データとは？

557 CVEs Added to CISA’s Known Exploited Vulnerabilities Catalog in 2022

2023/03/06 SecurityWeek — 脆弱性インテリジェンス企業の VulnCheck によると、米国の Cybersecurity and Infrastructure Security Agency (CISA) が管理する Known Exploited Vulnerabilities (KEV) カタログには、約900件の脆弱性が存在するが、そのうちの 557件の CVE は、2022年に追加されたものだという。VulnCheck は CISA の KEV リストの分析を行い、このデータの重要性に関するレポートを発表した。