Cyber Attack – Page 43 – IoT OT Security News

Twitter が２億人分のユーザーデータ販売を調査：同社の脆弱性とは無関係と主張

Twitter claims leaked data of 200M users not stolen from its systems

2023/01/11 BleepingComputer — Twitter の発表によると、数億人の Twitter ユーザーのメールアドレスが流出し、オンラインで販売されたとの報道があるが、同社システムの脆弱性を悪用してデータが取得された証拠は見つからなかったとのことだ。同社はブログで、「Twitter ユーザーのデータがオンラインで販売されているという最近の報道を受け、徹底的な調査を行ったが、最近販売されているデータが、Twitter システムの脆弱性を悪用して入手されたという証拠はない」と述べている。

CISA KEB 警告 23/01/10：Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加

CISA orders agencies to patch Exchange bug abused by ransomware gang

2023/01/10 BleepingComputer — 今日に、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Known Exploited Vulnerabilities (KEV) カタログに、２つのセキュリティ脆弱性を追加した。１つ目は、Microsoft Exchange の権限昇格の脆弱性 CVE-2022-41080 であり、別の脆弱性 ProxyNotShell CVE-2022-41082 と連鎖してリモート・コードが実行される可能性がある。先週に、テキサス州に拠点を置くクラウド・コンピューティング・プロバイダーである Rackspace は、Play ランサムウェアが CVE-2022-41082 をゼロデイとして悪用し、Microsoft の ProxyNotShell URL 書き換え緩和策をバイパスして、感染させた Exchange Server 内で権限昇格を行ったことが確認されている。

AnyDesk に大量の偽サイト：Vidar マルウェアを配布する 1,300 以上のドメイン

Over 1,300 fake AnyDesk sites push Vidar info-stealing malware

2023/01/10 BleepingComputer — AnyDesk の公式サイトを装う 1,300以上のドメインを用いて、情報スティーラー・マルウェア Vidar を仕込んだ Dropbox フォルダーへと、すべてのターゲットをリダイレクトさせる、大規模なキャンペーンが進行中だ。AnyDesk は、Windows／Linux／mac OS向けの、リモート・デスクトップ・アプリであり、セキュアなリモート接続／システム管理のために、世界中で数百万人が使用している。この人気から、AnyDesk は、マルウェア配布キャンペーンで頻繁に悪用されている。たとえば、2022年10月に、AnyDesk のフィッシング・サイトを利用する Mitsu Stealer のオペレーターが、新しいマルウェアをプッシュしていることを Cyble が報告している。

Kinsing による Kubernetes 攻撃：PostgreSQL のミスコンフィグを狙っている

Kinsing Cryptojacking Hits Kubernetes Clusters via Misconfigured PostgreSQL

2023/01/09 TheHackerNews — Kinsing クリプト・ジャッキングを操る脅威アクターは、Kubernetes 環境へのイニシャル・アクセスを得るために、露出した PostgreSQL サーバのミスコンフィグレーションを悪用しているという。Microsoft Defender for Cloud のセキュリティ研究者である Sunders Bruskin は、先週のレポートで、「２番目のイニシャル・アクセス・ベクターの手法には、脆弱なイメージの悪用も含まれる」と述べている。

2022 サイバー攻撃調査：件数はグローバルで前年比 38% 増で Q4 は過去最大

Global Cyber-Attack Volume Surges 38% in 2022

2023/01/09 InfoSecurity — Check Point によると、昨年に記録されたサイバー攻撃の件数は、2021年との比較において 38％増とのことだ。前年同期比で最大の増加率 74％を記録した、医療機関への攻撃が急増したことや、小規模で機敏なハッキング集団の活動が主な原因であると、同社は述べている。全体として、2022年 Q4 に攻撃は過去最高を記録し、１組織あたりの週間平均攻撃回数は 1168回となった。週平均の数値が最も高かったのは、教育分野の組織 2314件／政府と軍 1661件／ヘルスケア 1463件である。

Pokemon NFT ゲームカード：偽の Web サイトとトロイの木馬に御用心

Fake Pokemon NFT game installer lets hackers hijack your PC

2023/01/08 BleepingComputer — 巧妙に作られたポケモン NFT カードゲーム Web サイトを用いる脅威アクターたちは、NetSupportリモートアクセス・ツールを配布することで、被害者のデバイスを制御している。この Web サイト “pokemon-go[.]io” は、本稿の執筆時点ではオンラインであり、ポケモンのフランチャイズに基づく新しい NFT カードゲームを提供し、戦略的な楽しさと NFT 投資の利益を提供すると、ユーザーに対して主張している。

Turla APT の奇妙な動き：10年前のマルウェア・インフラからバックドアを展開

Russian Turla Hackers Hijack Decade-Old Malware Infrastructure to Deploy New Backdoors

2023/01/08 TheHackerNews — ロシアのサイバー・スパイグループ Turla が、10年前のマルウェアの攻撃インフラを利用して、ウクライナのターゲットに、独自の偵察ツールやバックドア・ツールを配布していることが確認された。Google 傘下の Mandiant は、この活動を UNC4210 という未分類のクラスタ名で追跡しており、乗っ取られたサーバを調査したところ、2013年に VirusTotal にアップロードされた ANDROMEDA (別名 Gamarue) というマルウェアの亜種に該当したと述べている。

Zoom ユーザーを狙う IcedID マルウェア：精巧な偽 Web ページによるフィッシングに御用心

IcedID malware campaign targets Zoom users

2023/01/07 SecurityAffairs — 先日に Cyble の研究者たちは、人気のビデオ／オンライン会議プラットフォーム Zoom のユーザーをターゲットにして、IcedID マルウェアを配信するフィッシング・キャンペーンを発見した。IcedID バンキング型トロイの木馬は、2017年に初めて登場し、Gozi／Zeus／Dridex などのオンライン・バンキング・マルウェアと同様の機能を有している。

PyPI に悪意のパッケージが登場：CloudFlare Tunnel を悪用するトロイの木馬

Malicious PyPi packages create CloudFlare Tunnels to bypass firewalls

2023/01/07 BleepingComputer — PyPI (Python Package Index) 上の６つの悪意のパッケージが Cloudflare Tunnel を悪用し、リモート・アクセスに対するファイアウォール制限をバイパスしている間に、InfoStealer／RAT (Remote Access Trojan) 機能を備えたマルウェアをインストールしていることが発見された。これらの悪意のパッケージは、ブラウザーに保存されている機密情報の窃取／キーロガーを用いた入力情報の窃取に加えて、シェルコマンドの実行などを試みる。この６つのパッケージを発見したのは、新しいキャンペーンについて PyPI を注視している Phylum Research Team である。

ChatGPT という人工知能：フィッシング／BEC／マルウェア開発に利用できる？

ChatGPT Artificial Intelligence: An Upcoming Cybersecurity Threat?

2023/01/06 DarkReading — 人工知能 (AI) に秘められる可能性は、サイバー・セキュリティへの取り組み方を含めて、私たちの生活の多くの側面に革命をもたらす。しかし、それは、慎重に管理する必要がある、新たなリスクと課題も提示している。AI をサイバー・セキュリティに活用する方法の１つは、サイバー脅威を検知して対応できる、インテリジェントなシステムの開発を通じてとなる。これは、ある AI チャット・ボットからの返答であり、私が AI とサイバー脅威について書いてほしいと頼んだときのものだ。もうお分かりだと思うが、この世で一番人気の ChatGPT である。

Slack の GitHub コード・リポジトリで侵害が発生：従業員トークンの窃取が原因

Slack’s private GitHub code repositories stolen over holidays

2023/01/05 BleepingComputer — 年末年始の休暇中に、Slack の GitHub プライベート・コード・リポジトリの一部に影響を与える、セキュリティ・インシデントが発生した。Salesforce が所有する IM アプリである Slack は、世界中の職場やデジタル・コミュニティで、推定 1800万人のユーザーに利用され、絶大な人気を誇っている。BleepingComputer は、2022年12月31日に Slack が発行したセキュリティ・インシデント通知を目にした。このインシデントでは、脅威アクターが限られた数の Slack 従業員トークンを盗み、Slack の外部でホストされている GitHub リポジトリにアクセスしたという。

Microsoft と Rackspace：Exchange の ProxyNotShell 緩和策回避を巡って衝突？

Rackspace: Ransomware Attack Bypassed ProxyNotShell Mitigations

2023/01/05 DarkReading — マネージド・クラウド・ホスティングを提供する Rackspace Technology は、12月2日に発生した大規模なランサムウェア攻撃により、中小企業の顧客数千社のメール・サービスに障害が発生したことを発表した。その要因は、Microsoft Exchange Server におけるサーバー・サイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2022-41080 を悪用するゼロデイ攻撃にあるという。

SpyNote のオープン化：金融機関を標的とする Android スパイウェアが進化

SpyNote Strikes Again: Android Spyware Targeting Financial Institutions

2023/01/05 TheHackerNews — 2022年10月以降において、SpyNoteと呼ばれる Android マルウェアの新バージョンが、金融機関を標的にしている。ThreatFabric は The Hacker News と共有したレポートの中で、「このスパイウェアが増加した背景には、開発者がソースコードを公開したことにある。つまり、他の脅威アクターによるスパイウェアの開発／配布が容易になり、銀行機関をターゲットにするケースが増えている」と述べている。このマルウェアが装う有名な金融機関には、Deutsche Bank／HSBC U.K.／Kotak Mahindra Bank／Nubank などがある。

Automated Libra という脅威：GitHub CAPTCHA のバイパスで 20,000 アカウントを作成

Hackers use CAPTCHA bypass to make 20K GitHub accounts in a month

2023/01/05 BleepingComputer — Automated Libra と呼ばれる南アフリカの脅威アクターは、クラウド・プラットフォームのリソースを悪用した、暗号通貨マイニングから利益を得る手法を進化させている。Palo Alto Networks Unit 42 によると、この脅威アクターは、新しい CAPTCHA 解決システムをマイニングに用いて、CPU リソースを積極的に悪用している。また、Feejacking と Play and Run を組み合わせて、クラウド・リソースを無料で乱用しているとのことだ。

Twitter ユーザー２億人分のリークが発生：メール・アドレスなどが $2 で販売される

200 million Twitter users’ email addresses allegedly leaked online

2023/01/04 BleepingComputer — Twitter ユーザー２億人分の、メール・アドレスを含むとされるデータリークが発生し、人気のハッカー・フォーラムで約 $2 の対価で公開されている。BleepingComputer は、このリークに記載されている、数多くのメール・アドレスの妥当性を確認した。2022年7月22日以降において、脅威アクターや侵害データ収集者たちは、さまざまなオンライン・ハッカー・フォーラムやサイバー犯罪マーケットプレイスで、電話番号およびメール・アドレスで構成されるプライベート・データと、パブリック・データを含む Twitter ユーザー・プロフィールをスクレイピングし、大規模なデータセットとして販売／流通してきた。

Mercedes／BMW／日本大手などに API 欠陥：Sam Curry が 20社の深刻な状況を指摘

Toyota, Mercedes, BMW API flaws exposed owners’ personal info

2023/01/04 BleepingComputer — 約20社の自動車メーカーおよび自動車サービスに影響を及ぼす、API の脆弱性が存在する。それにより、車両のロック解除／始動／追跡から顧客の個人情報の流出にいたるまで、悪意の行為をハッカーに許す可能性があることが判明した。この脆弱性は、BMW／Roll Royce／Mercedes-Benz／Ferrari／Porsche／Jaguar／Land Rover／Ford／KIA／Honda／Infiniti／Nissan／Acura／Hyundai／Toyota／Genesis といった有名ブランドに影響を及ぼしている。また、この脆弱性は、車両技術ブランドである Spireon および Reviver と、ストリーミングサービスの SiriusXM にも影響を与える。

BitRAT マルウェアは $20 で使い放題：銀行の顧客情報を悪用するフィッシング・キャンペーン

BitRAT malware campaign uses stolen bank data for phishing

2023/01/03 BleepingComputer — クラウド・セキュリティ企業の Qualys によると、最近のマルウェア・キャンペーンにおける脅威アクターたちは、リモート・アクセス型トロイの木馬 BitRAT に感染させるために、コロンビアの銀行から窃取した顧客情報を、フィッシング・メールのルアーに用いているという。さらに同社は、アクティブなフィッシング攻撃における BitRAT ルアーを調査していたところ、コロンビアの非公開の銀行インフラが、攻撃者により乗っ取られていたことを発見した。

Exchange Server の脆弱性 ProxyNotShell：60,000 台以上のサーバがパッチ未適用

Over 60,000 Exchange servers vulnerable to ProxyNotShell attacks

2023/01/03 BleepingComputer — オンラインに晒されてされている 60,000 台以上の Microsoft Exchange Server において、ProxyNotShell の１つであるリモート・コード実行 (RCE) の脆弱性 CVE-2022-41082 への、パッチが適用されていないことが判明した。インターネット・セキュリティの向上を目指す、非営利団体 Shadowserver Foundation のセキュリティ研究者たちの最新ツイートによると、バージョン情報 (サーバの x_owa_version ヘッダ) の追跡により、約 70,000 台の Microsoft Exchange Server が、ProxyNotShell 攻撃に対して脆弱であることが判明した。

2022年のランサムウェア攻撃：米国での被害は政府／教育／医療など 200件

Ransomware impacts over 200 govt, edu, healthcare orgs in 2022

2023/01/02 BleepingComputer — 2022年のランサムウェア攻撃は、米国の政府／教育／医療などのパブリックな分野における、200以上の大規模組織に影響を与えた。情報源としての、公開レポート／開示ドキュメント／ダークウェブ・リーク／サードパーティなどから収集したデータによると、これらのランサムウェア攻撃の約半分において、ハッカーたちはデータを盗み出していたことが判明した。

WordPress サイトを標的とする Linux マルウェア：20種類以上のテーマ／プラグインを悪用

WordPress Security Alert: New Linux Malware Exploiting Over Two Dozen CMS Flaws

2022/01/02 TheHackerNews — WordPressサイトを標的とする未知の Linuxマルウェアが、20数種類のプラグイン／テーマの欠陥を悪用して、脆弱なシステムを侵害していることが判明した。ロシアのセキュリティ・ベンダーである Doctor Web は、「もし、対象となる WordPress サイトが、重要な修正を行っていない場合や、古いバージョンのアドオンを使用している場合には、標的となる Web ページに悪意の JavaScript が注入される恐れがある。その結果として、攻撃されたページの任意の領域をユーザーがクリックすると、他のサイトにリダイレクトされる」と、先週のレポートで説明している。

LockBit が謝罪：ポリシー違反のアフィリエイトが医療機関 SickKids を攻撃した件について

Lockbit apologized for the attack on the SickKids pediatric hospital and releases a free decryptor

2023/01/01 SecurityAffairs — ランサムウェア・グループ LockBit は、Hospital for Sick Children (SickKids) への攻撃について正式に謝罪し、同病院向けの復号器を無償で公開した。このグループはアフィリエイターたちに対して、医療機関への攻撃を禁止している。つまり、サイバー攻撃の被害が個人の死につながる可能性がある場合には、対象となる組織のシステムの暗号化を禁じるというポリシーを持っている。そのアフィリエイトの１つが、この規則に違反して SickKids を攻撃したことで、ブロックされたと、LockBit は述べている。

医療機関へのランサムウェア攻撃：米国の 4200万人分の情報がダークウェブへ

Personal health information of 42M Americans leaked between 2016 and 2021

2022/12/31 SecurityAffairs — 2016年以降において、4200万人のアメリカ人の医療記録がダークウェブで販売されている。これらの情報は、医療機関へのサイバー攻撃により窃取されたものである。Jama Network の研究者たちは、米国の病院／診療所／医療提供組織に対する、2016年〜2021年のランサムウェア攻撃の傾向を分析した。攻撃による一般的な業務上の混乱としては、予約と手術のキャンセル／電子システムのダウンタイム／救急車の迂回などがあった。研究者たちは、業務上の混乱期間と、攻撃に関連する、その他のデータを算出した。

CISA KEV カタログの１年：悪用された脆弱性の半分は Adobe／Apple／Cisco／Microsoft

Adobe, Apple, Cisco, Microsoft Flaws Make Up Half of KEV Catalog

2022/12/30 DarkReading — 2021年11月に、米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのが、活発に悪用されている脆弱性を、連邦政府機関や重要インフラ組織が特定／是正するための Known Exploited Vulnerabilities (KEV) カタログである。Grey Noise が発表した GreyNoise Mass Exploits Report によると、CISA は 2022年1月〜11月末に 58回の更新を行い、548件の新たな脆弱性をカタログに追加している。2021年11月／12月に追加された約300件の脆弱性を含めると、このカタログが始まってからの１年間で、CISA は約850件の脆弱性をリストアップしたことになる。

CISA KEV 警告 22/12/29：JasperReports の古い脆弱性２件を追加

CISA Warns of Active exploitation of JasperReports Vulnerabilities

2022/12/30 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、TIBCO Software の JasperReports 製品に影響を及ぼす、２つのセキュリティ欠陥を Known Exploited Vulnerabilities (KEV) カタログに追加した。それらの脆弱性 CVE-2018-5430 (CVSS：7.7) および CVE-2018-18809 (CVSS：9.9) は、TIBCOにより 2018年4月と 2019年3月に対処されている。

Google Home Speaker の欠陥が FIX：リモートから会話が盗聴される可能性

Google Home speakers allowed hackers to snoop on conversations

2022/12/29 BleepingComputer — Google Home Smart Speaker のバグにより、リモートからの操作が可能なバックドア・アカウントのインストールや、マイクフィードへのアクセスする盗聴が可能であることが判明した。2021年に、この問題を発見した研究者は Google に報告し、$107,500 の報奨金を受け取っている。今週の初めに、この研究者が公開したのは、発見された技術的な詳細と、悪用の方法を示す攻撃シナリオである。

2023年の地政学を占う：国家に支援される脅威アクターは何を仕掛けてくる？

Geopolitical Tensions Expected to Further Impact Cybersecurity in 2023

2022/12/29 InfoSecurity — 地政学は 2023年においても、組織のサイバー・セキュリティとセキュリティ態勢に影響を与え続けるだろう。2022年2月に、ロシアによるウクライナ侵攻の動きが始まったとき、世界的な紛争がサイバー・セキュリティに与える影響力がクローズアップされた。それに伴い、ウクライナと西側同盟国が認識したことは、多額のロシア制裁に対する報復として、重要な国家インフラ (CNI : Critical National Infrastructure) へのサイバー攻撃の脅威が生じることだった。しかし、多くのサイバー・セキュリティ専門家が、2023年に向けて考えているのは、地政学的な問題である。

Excel への再攻撃を狙う APT：新たな手口は XLL Add-in 侵入ベクター

APT Hackers Turn to Malicious Excel Add-ins as Initial Intrusion Vector

2022/12/28 TheHackerNews — インターネットからダウンロードされた Office ファイルの Visual Basic for Applications (VBA) マクロについて、Microsoft がデフォルトでのブロックを決定したことで、多くの脅威者が、この数カ月で攻撃方法を変更するようになった。Cisco Talos によると、APT (Advanced Persistent Threat) や各種のマルウェア・ファミリーは、イニシャルの侵入経路として Excel Add-in (.XLL) ファイルを使用する傾向を強めているとのことだ。

Citrix ADC／Gateway のパッチ未適用：深刻な脆弱性を引きずる数千台のサーバ

Thousands of Citrix servers vulnerable to patched critical flaws

2022/12/28 BleepingComputer — Citrix ADC／Gateway だが、この数ヶ月の間に修正された２つの脆弱性が、そのまま放置されているサーバが数千台はあるという。１つ目の欠陥は、11月8日に修正された CVE-2022-27510 であり、Citrix の両製品に影響を与える認証バイパスの脆弱性である。その悪用に成功した攻撃者は、デバイスへの不正アクセス／リモートデスクトップの乗っ取り／ログインブルート・フォースなどの攻撃を行えるようになる。２つ目の欠陥は、12月13日に修正された CVE-2022-27518 であり、認証されていない攻撃者による、脆弱なデバイス上でのリモートコマンド実行と乗っ取りを許すものだ。

Okta の GitHub リポジトリ侵害から学ぶ：セキュリティ確保のための７つのヒント

Why Attackers Target GitHub, and How You Can Secure It

2022/12/28 DarkReading — 先週に Okta は、GitHub でホストされている同社のソースコードに、攻撃者がアクセスするというセキュリティ侵害について発表した。ただし、それは、GitHub に保存される企業のソースコードに対する、不正なアクセスを仕掛ける攻撃の、最新の事例に過ぎない。以前には、Dropbox／Gentoo Linux／Microsoft なども、GitHub のアカウントが狙われたことがあるのだ。

Google 検索の広告を悪用：マルウェアを正規のソフトウェアに仕込んで配布

Hackers abuse Google Ads to spread malware in legit software

2022/12/28 BleepingComputer — Google Ads のプラットフォームを悪用するマルウェアのオペレーターが、人気のソフトウェア製品を検索している無防備なユーザーに対して、マルウェアをばらまくというケースが増加している。これらのキャンペーンにおいて、なりすましに利用されているのは、Grammarly／MSI Afterburner／Slack／Dashlane／Malwarebytes／Audacity／μTorrent／OBS／Ring／AnyDesk／Libre Office／Teamviewer／Thunderbird／Brave などの製品である。

Identity Tools の用法とコスト：統合できない企業は無駄なコストを費やす

Enterprises waste money on identity tools they don’t use

2022/12/27 HelpNetSecurity — One Identity によると、複数の ID ツールに対する企業の誤った投資により、現在の脅威の状況に対する不十分な防御が生じているようだ。96%の企業が複数の ID 管理ツールを使用しており、41%はアクセス権を管理するために、少なくとも 25種類のシステムを導入していると報告されている。その一方で、70%の企業が、積極的に使用していない ID ツールのために、費用を支払っていると報告している。このように、複数の異なる ID ツールに投資することが、全体的なセキュリティ態勢に直接的な影響を及ぼしている。

2023年のサイバー攻撃を予測：テクノロジーとリカバリーが交差していく

Modern technology and cyber recovery will intersect in the next generation of attacks

2022/12/27 HelpNetSecurity — Experian によると、企業／個人で使用されえる技術が進化し続ける中、サイバー犯罪者たちもイノベーションを活用し、次世代型の攻撃を仕掛けているという。2023年のハッカーたちは、メタバース／宇宙／人工知能などの革新的な技術を取り込んだ、攻撃方法を開拓するための探索を進めてくるだろう。Experian の最新レポートでは、サイバー犯罪者が潜む場所や、攻撃の方法について、企業の理解を促すための、いくつかの予測について概説している。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

GuLoader という VBScript ダウンローダ：セキュリティを回避してシェルコードを注入

GuLoader Malware Utilizing New Techniques to Evade Security Software

2022/12/26 TheHackerNews — サイバー・セキュリティ研究者たちは、GuLoader と呼ばれる高度なマルウェア・ダウンローダと、そこで採用されるセキュリティ・ソフトウェア回避のための、各種のテクニックを公開した。CrowdStrike の研究者である Sarang Sonawane と Donato Onofri は、先週に公開された技術レポートで、「新しいシェルコード分析防止技術は、プロセス・メモリ全体をスキャンして、仮想マシン (VM) 関連の文字列を探すことで、研究者や敵対者の環境を妨害しようと試みる」と述べている。

APT と地政学的な背景：2022年に猛威を奮った脅威 Top-5 を分析

2022 Top Five Immediate Threats in Geopolitical Context

2022/12/26 TheHackerNews — 2022年も終わりに近づいているがが、この激動の年に最も懸念された脅威に対するテスト数を見ると、特定の脅威に対する脆弱度について、それぞれのサイバーセキュリティ・チームがチェックした、脅威ベースの視点が得られる。2022年1月1日〜12月1日に、Cymulate Security Posture Management Platform でレジリエンスを検証するために、最も多くテストされた脅威は以下の通りである。

PrivateLoader という PPI サービス：情報窃取型マルウェア RisePro を配布

PrivateLoader PPI Service Found Distributing Info-Stealing RisePro Malware

2022/12/26 TheHackerNews — PrivateLoader として知られる Pay-Per-Install (PPI) マルウェア・ダウンローダー・サービスが、既知の情報搾取マルウェア RisePro の配布に使用されていることが判明した。2022年12月13日に Flashpoint は、Russian Market と呼ばれる不正なサイバー犯罪マーケットにおいて、このマルウェアを用いて流出した複数のログセットを検出し、新たな窃盗グループを発見した。

Kubernetes と Kyverno：コンテナ・イメージ検証／署名における深刻な脆弱性が FIX

Container Verification Bug Allows Malicious Images to Cloud Up Kubernetes

2022/12/24 DarkReading — Kyverno の Admission Controller for Container Images に存在する深刻なセキュリティ脆弱性により、クラウド・プロダクション環境へ向けて、悪意の行為者がに多数の不正コードを流し込める可能性があることが判明した。Kyverno Admission Controller は、署名／検証されたコンテナ・イメージのみが、所定の Kubernetes クラスタに取り込まれることを保証するために設計された、署名検証機構を提供している。つまり、暗号化されたコンテナ・イメージには、クリプトマイナ／ルートキット／コンテナ・エスケープ／横移動エクスプロイト・キット／クレデンシャル・スティーラーなどの、さまざまなペイロードが含まる可能性があるため、それらの悪意の行為を回避するための機能として利用されている。

2023年の脅威を予測：サイバー戦争から Alexa に指示する Bitcoin 採掘まで

Threat predictions for 2023: From hacktivism to cyberwar

2022/12/23 HelpNetSecurity — 2023年の脅威予測について Trellix は、アジア／ヨーロッパにおける地政学的な動機による攻撃の急増、および、対立する政治的な緊張に起因するハクティビズム、コアとなるソフトウェアのサプライチェーン脆弱性などを予測している。

LastPass が認めたデータ侵害：暗号化されたパスワードなどが盗み出されている

LastPass Admits to Severe Data Breach, Encrypted Password Vaults Stolen

2022/12/23 TheHackerNews — 2022年8月に発生した LastPass におけるセキュリティ侵害は、以前に同社が公表したよりも深刻なものだった可能性があるという。木曜日に、人気のパスワード管理サービスである LastPass は、前回の侵入で吸い上げたデータを悪意の行為者が利用し、暗号化されたパスワード保管庫を含む、同社の顧客に属する個人情報の山を入手したことを明らかにした。

TikTok と ByteDance：ユーザー・データを悪用してジャーナリストを追跡

TikTok’s Parent Company Admits Using the Platform’s Data to Track Journalists

2022/12/23 InfoSecurity — 噂に過ぎなかったことが、事実として確認された。TikTok と ByteDance (中国版 Douyin を所有) の中国の従業員たちが、メディアへのリーク元を特定するために TikTok のデータにアクセスし、Financial Times の記者と、BuzzFeed の元記者を追跡していたことが判明した。それについて、ByteDance の顧問弁護士である Erich Andersen が Agence France Presse (AFP) の取材に対して、2022年12月23日のＥメールで認めている。

FIN7 ハッキング・グループの正体：Exchange を SQL インジェクションで自動攻撃

FIN7 hackers create auto-attack platform to breach Exchange servers

2022/12/22 BleepingComputer — ハッキング・グループ FIN7 は、Microsoft Exchange に存在する SQL インジェクションの脆弱性を悪用した自動攻撃システムにより、企業ネットワークに侵入してデータを盗み出し、財務規模に基づいてランサムウェア攻撃のターゲットを選定している。この自動攻撃システムは、数年前から FIN7 の活動を注意深く監視してきた、Prodaft の脅威インテリジェンス・チームにより発見されたものだ。

北朝鮮の脅威アクターの稼ぎ高：５年間で $1.2B で 2022年だけで $626 M

North Korea-linked hackers stole $626 million in virtual assets in 2022

2022/12/22 SecurityAffairs — 韓国の諜報機関である国家情報院 (National Intelligence Service) は、これまでの５年間において、北朝鮮に関連する脅威アクターたちが盗み出した暗号通貨などの仮想資産が、1.5 trillion won ($1.2 billion) 相当になることを明らかにした。AP 通信の報道によると、今年だけで暗号資産の半分以上に相当する、800 billion won ($626 million) が盗まれたと、この諜報機関は述べているようだ。

Exchange Server を攻撃する Play ランサムウェア：ProxyNotShell の緩和策をバイパス

Play ransomware attacks use a new exploit to bypass ProxyNotShell mitigations on Exchange servers

2022/12/21 SecurityAffairs — Crowdstrike によると、Play ランサムウェアの運営者は OWASSRF と呼ばれる新しいエクスプロイト・チェーンを用いて、ProxyNotShell 脆弱性に対する緩和策をバイパスすることで、Microsoft Exchange サーバをターゲットにしているようだ。この脆弱性の悪用に成功した認証済の攻撃者は、Exchange Server 2013／2016／2019 で権限を昇格を行い、そのシステムのコンテキストで PowerShell を実行し、脆弱なサーバ上で任意コード実行またはリモートコード実行の可能性を生じるという。

Okta の GitHub リポジトリで侵害が発生：３月の Lapsus$ との関連性は不明

Okta’s source code stolen after GitHub repositories hacked

2022/12/21 BleepingComputer — 今月のことだが、認証サービスおよび IAM (Identity and Access Management) ソリューションの大手プロバイダーである Okta は、同社のプライベート GitHub リポジトリがハッキングされたことを発表した。Okta から送信された機密のメール通知によると、このセキュリティ・インシデントにおいて、脅威アクターが Okta のソースコードを盗み出したという。

GodFather というバンキング・トロイの木馬：400 以上の金融アプリが標的

GodFather Android Banking Trojan Targeting Users of Over 400 Banking and Crypto Apps

2022/12/21 TheHackerNews — GodFather と呼ばれる Android バンキング・トロイの木馬が、16カ国にまたがる 400以上の銀行および、暗号通貨アプリのユーザーを標的としている。Group-IB が The Hacker Newsと共有したレポートには、「米国／トルコ／スペイン／イタリア／カナダなどのユーザーにサービスを提供する、215 の銀行および、94 の暗号ウォレット・プロバイダ、110 の暗号交換プラットフォームが、そのターゲットに含まれている」と記されている。

PyPI に W4SP Stealer：大量の亜種が出回り 2500回もダウンロードされた

Hackers bombard PyPi platform with information-stealing malware

2022/12/20 BleepingComputer — Python パッケージ・リポジトリである PyPI に、情報窃取マルウェアを取り込んだ悪意のパッケージが相次いでドロップされ、ソフトウェア開発者のデータが盗み出されている。このキャンペーンでドロップされたマルウェアは、オープンソース W4SP Stealer のクローンであり、PyPI 上で 2022年11月に広まったマルウェア感染の原因となったものでもある。それ以来、W4SP をドロップする 31個のパッケージが、PyPI リポジトリから削除されてはいるが、このマルウェアの運営者は、マルウェアを再導入するための新たな方法を模索し続けているようだ。

KmsdBot ボットネットは DDoS 傭兵：ゲームサーバから高級ブランドまでが標的

KmsdBot Botnet Suspected of Being Used as DDoS-for-Hire Service

2022/12/20 TheHackerNews — KmsdBot ボットネットの継続的な分析により、それが DDoS-for-Hire であり、他の脅威アクターに提供されている可能性が浮上してきた。Akamai は、その理由として、KmsdBot ボットネットが攻撃した業界や地域が異なる点を挙げている。注目すべきターゲットとしては、Grand Theft Auto V や Red Dead Redemption 2 のゲーム改造を行う FiveM や RedM があるが、その一方では、高級ブランドやセキュリティ企業なども挙げられている。

VirusTotal チートシートが登場：より具体的なデータ検索が可能に

VirusTotal cheat sheet makes it easy to search for specific results

2022/12/20 BleepingComputer — VirusTotal が公開したチートシートは、このマルウェアの情報プラットフォーム上でクエリを作成するものであり、より具体的な検索結果を、研究者たちは得られるようになる。このチートシートは、検索結果の絞り込みに役立つファイル検索修飾子を、どのように組み合わせれば、特定のデータを検出できるのかを示している。

SentinelOne SDK を装う悪意の PyPI パッケージ：SentinelSneak はトロイの木馬

Malicious Python Trojan Impersonates SentinelOne Security Client

2022/12/20 DarkReading — 最新のサプライチェーン攻撃を仕掛ける未知の脅威アクターが、SentinelOne の人気のSDK (Software Development Kit) を装う、悪質な Python パッケージを作成しているようだ。月曜日にサイバー・セキュリティ企業 ReversingLabs が発表したアドバイザリによると、この SentinelSneak と名付けられたパッケージは、高機能な SentinelOne クライアントのように見えるものであり、Python コードの主要リポジトリである Python Package Index (PyPI) で、頻繁に更新されながら開発中であるとのことだ。

Cisco 警告：IOS／NX-OS／HyperFlex の脆弱性が活発に悪用されている

Old vulnerabilities in Cisco products actively exploited in the wild

2022/12/19 SecurityAffairs — Cisco は、複数のセキュリティ・アドバイザリを更新し、同社製品に影響を与える複数の古い脆弱性の活発な悪用について警告している。Cisco IOS／NX-OS／HyperFlex などに影響をおよぼす一連の脆弱性には、深刻度が Critical と評価されるものも含まれる。