Cyber Attack – Page 60 – IoT OT Security News

Microsoft の ms-appinstaller プロトコルが無効化：マルウェア配信での悪用をストップ

Microsoft disables the ms-appinstaller protocol because it was abused to spread malware

2022/02/07 SecurityAffairs — Microsoft は、MSIX の ms-appinstaller プロトコルが、Emotet などのマルウェアに悪用されたことで、一時的に無効にしたと発表した。2021年12月に Microsoft は、Microsoft Windows に影響を与える AppXインストーラの脆弱性 CVE-2021-43890 に対処したが、この脆弱性は現在も悪用されている。

中国のハッカーが台湾の金融機関を狙う：スティルス・バックドアで 250日も潜伏

Chinese Hackers Target Taiwanese Financial Institutions with a new Stealthy Backdoor

2022/02/06 TheHackerNews — 中国の APT (Advanced Persistent Threat) グループが、少なくとも１年半にわたって、台湾の金融機関を標的にした「執拗なキャンペーン」を展開していたことが判明した。Broadcom 傘下の Symantec は、先週に発表したレポート「Antlion: Chinese APT Uses Custom Backdoor to Target Financial Institutions in Taiwan」の中で、スパイ活動を主目的とした Antlion の侵入行為により、xPack と呼ばれるバックドアが導入され、侵入したマシンを広範囲で制御できるようにしていたと述べている。

Wall Street Journal にサイバー攻撃が発生：中国への疑惑と米国への反発

Wall Street Journal is hit by cyberattack that security expert links to China

2022/02/05 SCMP — Wall Street Journal 紙が、外国政府による「持続的」なサイバー攻撃を受けたと、金曜日に同紙の親会社である NewsCorp が発表した。このデータ窃取攻撃を調査するために雇われたサイバー・セキュリティ会社は、ハッカーが中国のスパイである可能性が高いと述べている。

FBI が提供する Lockbit 対策マニュアル：Accenture 以外にも被害が出ているのか？

FBI shares Lockbit ransomware technical details, defense tips

2022/02/05 BleepingComputer — 今週の金曜日に米連邦捜査局 (FBI) は、新たに発表した Flash Alert において、LockBit ランサムウェアに関連する技術的な詳細と危険性の指標を公開した。また、同組織は、ユーザーのネットワークに侵入しようとする、この敵対者の試みを阻止するための情報を提供し、また、インシデントが発生した場合には、ローカルの FBI Cyber Squad に対して、早急に報告するよう被害者に求めている。

ロシアのハッキング・グループ Gamaredon：標的はウクライナの西側政府組織

Russian Gamaredon Hackers Targeted ‘Western Government Entity’ in Ukraine

2022/02/04 TheHackerNews — 先月に、ロシアのハッキング・グループ Gamaredon は、ウクライナで活動する欧米政府機関への侵入を試みましたが、それは両国間の緊張が続く中でのことだった。Palo Alto Networks 脅威インテリジェンス・チーム Unit 42 は、2月3日に公開した新しいレポートの中で、「このフィッシング攻撃は 1月19日に行われたと述べ、別のフィッシングやマルウェアをサポートするために使用されている、彼らのインフラの３つの大規模なクラスターをマッピングした」と付け加えている。

航空サービス会社の Swissport にランサムウェア攻撃：欧州でフライト遅延などが発生

Swissport ransomware attack delays flights, disrupts operations

2022/02/04 BleepingComputer — 航空サービス会社の Swissport International だが、ランサムウェア攻撃により IT インフラおよびサービスに影響を受け、フライトの遅延などが発生したと公表した。スイスの Swissport International は、世界50カ国、310の空港で、貨物ハンドリング／セキュリティ／メンテナンス／清掃／ラウンジ・ホスピタリティなどのサービスを提供している。年間 2億8,200万人の乗客と、480万トンの貨物を取り扱っており、世界の航空旅行産業チェーンの中で重要な役割を果たしている。

ウクライナを標的とするロシアのハッキング・キャンペーン：Microsoft が詳細を公表

Microsoft Uncovers New Details of Russian Hacking Campaign Targeting Ukraine

2022/02/04 TheHackerNews — Microsoft は、ロシアを拠点とするハッキング・グループ Gamaredon が過去６ヶ月間に、ウクライナの複数の組織を対象に行ったサイバー・スパイ攻撃で採用した、TTPs (Tactics／Techniques／Procedures) の詳細を公開した。これらの攻撃は、政府機関／軍／非政府組織 (NGO)／司法機関／法執行機関／非営利団体などを対象としており、機密情報の流出やアクセス権の維持などにより、関連組織に対する横展開を目的としているとされる。

多要素認証 (MFA) の第２ラウンド：脅威アクターはリバースプロキシ・キットで対抗

MFA adoption pushes phishing actors to reverse-proxy solutions

2022/02/03 BleepingComputer — オンライン・アカウントへの多要素認証 (MFA) の導入が進むにつれて、フィッシング詐欺師たちは悪質な活動を継続するために、より洗練されたソリューション (特にリバースプロキシ・ツール) を利用するようになっている。COVID-19 の大流行は、人々の働き方を大きく変え、自宅での仕事を可能にし、場合によっては望ましいことを証明した。

日本政府の思惑：サーバー攻撃回避のために中国からのテクノロジー輸入を制約

Japan eyes tighter curbs to counter cyberattacks in move aimed at China

2022/02/02 SCMP — 火曜日に発表された委員会からの提案で、日本はサイバー攻撃への対策の一環として、セキュリティにセンシティブな分野の企業が、海外のソフトウェアを調達するときの審査を、より厳しく制限するための検討に入ったことが明らかになった。それは、岸田政権が、日本の経済的安全保障を中国から守るために、機密技術の漏洩を防ぎ、より弾力性のあるサプライチェーンを構築するという、構想の一環として行われるものだ。

Log4j 脆弱性へのパッチ適用：もう遅いのか？その前に考えるべきことは？

Critical Log4j Vulnerabilities Are the Ultimate Gift for Cybercriminals

2022/02/02 DarkReading — いま、誰もがパッチ適用に追われている。Log4j のセキュリティ脆弱性が悪用されるのを防ぐために、ドアや窓に鍵をかけている。パッチの適用を急ぐことは理解できるが、多くの人が気づいていないのは、それが既に遅すぎるということだ。しかし、それは、Log4j を利用している組織にとって、悪いことだという意味ではない。この記事では、Log4j の被害を軽減するために知っておくべきこと、そして、やっておくべきことを説明していく。

まず、なぜ Log4j へのパッチ適用が、それほど複雑であるかを理解することが重要である。まず、自社のソフトウェア資産とサードパーティのコンポーネントの双方において、どれだけの資産がインターネットに公開されているかを、誰もが即座に判断できずにいる。また、組織のリスクを特定することも簡単ではない。そのためには、組織が Log4j パッケージを使用しているかどうかだけでなく、それが組織におけるミッション・クリティカルな資産と、どのように関連しているかを知る必要がある。

SolarWinds 攻撃と新たなマルウェア：長期間の潜伏を可能にする手法とは？

New Malware Used by SolarWinds Attackers Went Undetected for Years

2022/02/02 TheHackerNews — SolarWinds サプライチェーン侵害の背後にいる脅威アクターは、この攻撃に新しいツールやテクニックを投入し、2019年からマルウェアを強化し続けることで、とらえどころのない性質を持つキャンペーンに成長し、何年もアクセスを維持する敵対者の能力を示してきた。

Nobelium ハッキング・グループの斬新な戦術を解説する、サイバー・セキュリティ企業である CrowdStrike によると、攻撃の規模が拡大する以前から、２つの洗練されたマルウェア・ファミリーが被害者のシステムに潜入していたという。それらは、GoldMax の Linux 版と、TrailBlazer という新たなインプラントである。

アクセス・ブローカー Prophet Spider が Log4Shell 攻撃を増幅させる

IAB Prophet Spider Seizes Opportunity to Exploit Log4j Vulnerability

2022/02/02 SecurityBoulevard — イニシャル・アクセス・ブローカー (initial access broker：IAB) グループである Prophet Spider による攻撃は、最近になって発見された VMware Horizon での Log4j 脆弱性の悪用と相関関係があることが判明した。また、侵害の兆候を示すいくつかの指標は、自身の組織に対する攻撃の有無を、セキュリティ・チームが判断するのに役立つ。

Prophet Spider 攻撃を発見したBlackBerry Research & IntelligenceとIncident Response チームによると、昨年末に VMware は Log4Shell パッチと緩和のためのガイダンスを発行したが、多くの実装においてパッチが適用されていない。

Cloudflare の有償パブリック・バグバウンティ・プログラムが開始された

Cloudflare launches a paid public bug bounty program

2022/02/01 BleepingComputer — Web インフラ／Webサイトのセキュリティに特化したプロバイダーである Cloudflare は、新たな公開バグバウンティ・プログラムの開始を発表した。Cloudflare の Product Security Engineer である Rushil Shah は、「本日、Cloudflare は有償パブリック・バグバウンティ・プログラムを開始する。私たちは、バグバウンティが全てのセキュリティ・チームにおける、ツール・ボックスの重要な一部であると信じており、ここ数年、プライベート・バグバウンティ・プログラムの改善と拡大に努めてきた」と述べている。

ドイツ大手石油貯蔵会社の Oiltanking を BlackCat ランサムウェアが攻撃

Major German fuel storage provider hit with cyberattack, working under limited operations

2022/02/01 CyberScoop — 日曜日に、ドイツの大手石油貯蔵会社である Ooltanking GmbH Group にサイバー攻撃が襲ったことを、同社の声明により確認した。Handelsblatt が入手したドイツ情報局の報告書によると、BlackCat ランサムウェアによる攻撃が生じたとされる。ドイツのニュース・メディア Handelsblatt が最初に報じたところによると、この攻撃は Oiltanking の IT システムに加えて、鉱物油貿易会社 Mabanaft の IT システムにも影響を与えた。両社は、ハンブルグに本社を置く、世界最大級のエネルギー供給企業である Marquard & Bahls グループに属している。

米国のサイバー高官 Anne Neuberger の訪欧：ウクライナ対策を NATO と協議

Top White House cyber adviser Anne Neuberger makes the rounds in Europe

2022/02/01 CyberScoop — 火曜日の朝に、バイデン政権の高官が記者団に語ったところによると、米国のサイバー担当の高官がヨーロッパに滞在し、今週は NATO や国際的パートナーとの間で、サイバー・セキュリティを最優先事項として推進するための会議を開催するとのことだ。Deputy National Security Adviser for Cyber and Emerging Technology である Anne Neuberger は、ブリュッセルから旅程を開始し、NATO および EU の担当者たちと会い、ウクライナや周辺国に対する、さらなるロシアの攻撃を抑止／対応するために議論する。

OpenSSF の新プロジェクト Alpha – Omega：セキュリティのために Microsoft／Google が出資

OpenSSF Launches Project to Secure Open Source Software

2022/02/01 SecurityBoulevard — 今日、Open Source Security Foundation (OpenSSF) は、Microsoft と Google から提供された $5 million の初期投資を用いて、オープンソース・ソフトウェアのセキュリティを向上させるための Alpha-Omega プロジェクトを立ち上げた。

OpenSSF の General Manager である Brian Behlendorf は、このプロジェクトの目的について、セキュリティに関する専門知識を広範なオープンソース・ソフトウェア・プロジェクトに提供し、オープンソース・ソフトウェア構築で用いられる DevSecOps ワークフローに組み込むことが可能な、自動セキュリティ・テスト・ツールへのアクセスを提供することだと述べている。

CISA の脆弱性カタログに８件が追加：Apple／SonicWall などに注意

CISA adds 8 vulnerabilities to list of actively exploited bugs

2022/01/31 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、現在進行形の攻撃での利用が確認されている脆弱性のカタログに、新旧取り混ぜた８件の脆弱性を追加した。これらの脆弱性を公表する目的は、サーバー攻撃に対する意識を高め、連邦政府組織が指定された厳しい期限までにアップデートを適用する義務があることを思い出させる点にある。

ロシアによるウクライナ攻撃：国家支援 APT などのアクティビティが明るみに

More Russian Attacks Against Ukraine Come to Light

2022/01/31 SecurityWeek — ここ数カ月の間に、ロシアに関連する脅威アクターが、ウクライナに対して行ったと考えられる作戦は、WhisperGate 攻撃だけではない。月曜日に Symantec は、既知のグループと関連づけたスパイ活動の詳細を公開した。数年前から、ロシアの APT アクターがウクライナの標的に対して、様々なサイバー攻撃を仕掛けていることが確認されている。これらのグループの中には、モスクワのシークレット・サービスの一部と考えられるもの、また、直接の監督下にあると考えられるものもある。

Microsoft Outlook のゼロデイ／ゼロクリック RCE 脆弱性の報奨金は $400,000

Microsoft Outlook RCE zero-day exploits now selling for $400,000

2022/01/28 BleepingComputer — Exploit Brokerである Zerodium は、Microsoft Outlook メール・クライアントにおけるリモートコード実行 (RCE) を可能にする、ゼロデイ脆弱性に対する報酬を $400,000 に引き上げることを発表した。同社は、この新たな報酬額は永続的なものではないと短いツイートで述べているが、提出の終了日はまだ公表されていない。

ゼロトラストと Log4Shell：どのように考えれば攻撃を防げるのか？

How would zero trust prevent a Log4Shell attack?

2022/01/27 HelpNetSecurity — どのようなリモートコード実行の攻撃であっても、一見すると些細に思える解決策がある。それは、インバウンド・トラフィックが、サーバーの脆弱性を引き起こすパターンと、一致しないようにすることだ。言うのは簡単だが、実行するのは困難である。致命的な深刻さを持つ Log4j の脆弱性を誘発する可能性のあるトラフィック・パターンには、ほぼ無限のバリエーションがある。

Microsoft が耐えた 3.47 Tbps の DDoS 攻撃：更新され続ける史上最大規模

Microsoft mitigated a 3.47 Tbps DDoS attack, the largest one to date

2022/01/27 SecurityAffairs — Microsoft の Azure DDoS 保護プラットフォームが、同社のある顧客を標的とする、3億4000万パケット／秒 (pps) の、記録的な 3.47 Tbps 攻撃を軽減した。この攻撃に関するニュースは、Azure DDoS Protection -2021 Q3 and Q4 DDoS attack trends で報告されている。2021年11月に Microsoft は、アジアの Azure 顧客を標的としたスループット3.47Tbps、パケットレート3.4億パケット／秒 (pps) の DDoS 攻撃を軽減した。これは史上最大の攻撃であると考えられる。

台湾の電子機器メーカー Delta を攻撃した Conti が $15 M の身代金を要求

Taiwanese Apple and Tesla contractor hit by Conti ransomware

2022/01/27 BleepingComputer — 台湾の電子機器メーカーであり、Apple／Tesla／HP／Dell などに電源を提供している Delta Electronics は、金曜日の朝に発見されたサイバー攻撃により、被害を被っていることを公表した。Delta は、スイッチング電源の世界最大のプロバイダーであり、2021年の売上高は $9 billion を超えているという。同社は、2022年1月22日の声明において、今回のインシデントで重要システムは影響を受けず、業務に大きな問題は生じていないと述べている。

Microsoft 警告：Outlook と Azure AD を悪用するフィッシング・キャンペーン

Microsoft warns of multi-stage phishing campaign leveraging Azure AD

2021/01/27 BleepingComputer — Microsoft の脅威アナリストたちは、盗み出した認証情報を用いてターゲットのネットワークに悪意のデバイスを登録し、そのデバイスを用いてフィッシング・メールを配信するという、大規模かつ多段階なマルチステージ・フィッシング・キャンペーンを発見した。報告書によると、この攻撃は、多要素認証 (MFA) 保護が施されていないアカウントでのみ発生しており、それが要因となったことで乗っ取りが容易になっていた。

Chaes というバンキング・トロイの木馬が Chrome エクステンションを介して拡散

Chaes banking trojan hijacks Chrome with malicious extensions

2022/01/26 BleepingComputer — 800 以上の侵害された WordPress Web サイトを含む、大規模なキャンペーンにより、ブラジルの電子銀行ユーザーの認証情報を狙うバンキング・トロイの木馬が拡散している。Avast の研究者たちによると、このキャンペーンで使用されているトロイの木馬は Chaes と呼ばれており、2021年後半から活発に拡散しているとのことだ。

DDoS 防御／軽減マーケット：2021年の $3.3 B から 2026年の $6.7 B へと成長

DDoS protection and mitigation market to reach $6.7 billion by 2026

2022/01/26 HelpNetSecurity — ResearchAndMarkets によると、世界の DDoS 防御／軽減のマーケット規模は、2021年の $3.3 billion から 2026年の $6.7 billion へと成長し、2021年から2026年までの年間平均成長率 (CAGR) は 15.1% 増になると予想されている。DDoS 防御／軽減マーケットを活性化させている主な要因としては、高度なセキュリティ・ソリューションに対する需要の高まり、および、規制環境の変化、各業界におけるビジネス・データの増大などが挙げられる。

LockBit の Linux バージョンは VMware ESXi サーバーを標的にする

Linux version of LockBit ransomware targets VMware ESXi servers

2022/01/26 BleepingComputer — LockBit は最新のランサムウェアであり、Linux の暗号化機能を用いた、VMware ESXi の仮想マシンの暗号化に特化していることが判明している。その一方で、一般的な企業では、コンピュータ・リソースの節約／サーバーの統合／バックアップの容易さなどの理由から、仮想マシンへの移行が進んでいる。そのような状況を受け、これまでの１年間でランサムウェア・ギャングたちは、人気の高い VMware vSphere／ESXi 仮想化プラットフォームを標的とする、Linux エンクリプターを作成するよう、戦術を進化させてきた。

QNAP 警告：新たな DeadBolt ランサムウェアが NAS デバイスを暗号化

QNAP warns of new DeadBolt ransomware encrypting NAS devices

2022/01/26 BleepingComputer — QNAP が、新種のランサムウェア DeadBolt による、データを狙う継続的かつ広範な攻撃にさらされている。そのため、同社は、インターネットに露出している NAS デバイスを保護するよう、顧客に再度警告している。QNAP は、「DeadBolt は、インターネットに接続されている、すべての NAS を広く標的とし、ユーザーのデータを暗号化して Bitcoin の身代金を要求している。ダッシュボードに “The System Administration service can be directly accessible from an external IP address via the following protocols: HTTP」と表示されている場合には、その NAS はインターネットにさらされており、高いリスクが生じている」と述べている。

VMware Horizon への Log4Shell 攻撃：悪名高いアクセス・ブローカーが参戦

Initial Access Broker Involved in Log4Shell Attacks Against VMware Horizon Servers

2022/01/26 TheHackerNews — Prophet Spider として追跡されているイニシャル・アクセスブローカー・グループが、パッチが適用されていない VMware Horizon Server の Log4Shell 脆弱性を利用するための、一連の悪意のアクティビティに関与している。今日、BlackBerry Research & Intelligence & Incident Response (IR) チームが発表した新たな調査結果によると、このサイバー犯罪者は、侵入したシステムに第２段階のペイロードをダウンロードするために、この脆弱性の好機を利用している。このペイロードには、暗号通貨マイナー／Cobalt Strike Beacon／Web シェルなどが含まれている。

Google Drive の警告バナー：悪意のファイルへのアクセスを止める

Google Drive now warns you of suspicious phishing, malware docs

2022/01/25 BleepingComputer — Google は、Google Drive に新たな警告バナーを導入し、脅威アクターがマルウェア配信やフィッシング攻撃に使用する可能性のある、疑わしいファイルについてユーザーに警告を発している。この新しい警告バナーは、2021年10月に開催されたユーザー・カンファレンス Google Cloud Next 2021 で発表されたものだ。Google は、「Google Drive に存在する疑わしいファイルや危険なファイルを、ユーザーが開いた場合に警告バナーを表示して、マルウェア／フィッシング／ランサムウェアなどから保護する」と説明している。

Trickbot の巧妙なインジェクション手法：防御側の検出と分析を困難にする

Trickbot Injections Get Harder to Detect & Analyze

2022/01/25 DarkReading — トロイの木馬 Trickbot の作者は、このマルウェアに複数の防御層を追加し、悪意のオペレーションで用いられるインジェクションの、防御側による検出と分析を困難にしている。これらの機能は、マルウェアの配布目的で Trickbot が再利用される前に設計されていたものであり、オンライン・バンキング詐欺を目的とした攻撃を、想定したものと思われる。

NATO とウクライナの同意：サイバー・セキュリティに関する協力を深化

NATO & Ukraine Agree Deeper Cyber Co-operation

2022/01/24 CyberSecurityIntelligence — ウクライナ政府機関の 70以上のWeb サイトがハッキングされるという被害が生じた後に、同国のサイバー・サポートを強化するための協定が、NATO との間で締結された。ウクライナ政府のコンピュータ・システムが侵入され、Wiper と呼ばれるマルウェアがインストールされていた。このマルウェアは、一部のシステムで数ヶ月間眠っていた後に、悪意のコードをネットワーク上に投下していたようだ。

SonicWall の RCE 脆弱性 CVE-2021-20038：標的型攻撃が進行中

Attackers now actively targeting critical SonicWall RCE bug

2022/01/24 BleepingComputer — SonicWall の Secure Mobile Access (SMA) ゲートウェイに影響をおよぼす深刻な脆弱性だが、先月に対処されていながら、現在でも悪用されようとしている。この脆弱性 CVE-2021-20038 は、スタックバッファ・オーバーフローを引き起こす可能性があり、WAF が有効な場合であっても、SMA 100 シリーズのアプライアンス (SMA 200／210／400／410／500v を含む) に影響をおよぼす。

ベラルーシの反体制ハッカー・グループが、国営鉄道 Belarusian Railway のシステムを暗号化

Hackers say they encrypted Belarusian Railway servers in protest

2022/01/24 BleepingComputer — ベラルーシの Cyber-Partisans と呼ばれるハッカー・グループが、ベラルーシの国営鉄道会社である Belarusian Railway のサーバーに侵入し、暗号化に成功したしたと主張している。彼らは、ロシアが Belarusian Railway の鉄道輸送網を利用して、軍の部隊や機材を国内に移動させていることが、今回の攻撃の背景にあるとしている。今日、同グループは、「テロリストであるルカシェンコ大統領の命令で、Belarusian Railway は占領軍が我々の国に入るのを許している」と、Twitterで発表した。

Emotet の新バージョンは奇抜な IP アドレス形式により検知を回避する

Emotet Now Using Unconventional IP Address Formats to Evade Detection

2022/01/23 TheHackerNews — マルウェア Emotet を用いたソーシャル・エンジニアリング・キャンペーンにおいて、セキュリティ・ソリューションによる検知を逃れるための、従来とは異なる IP アドレス形式が、初めて使用されたことが確認されている。Trend Micro の Threat Analyst である Ian Kenefick は、金曜日に発表したレポートの中で、IP アドレスの 16進数および8進数での表現が使用されており、これらの表現がオペレーティングシステムで処理されると、リモート・サーバーからのリクエストを開始するために、ドット付きの 10進数表現に自動的に変換されると述べている。

CISA の脆弱性カタログに 17件が追加：October CMS と SolarWinds Serv-U に注意

CISA adds 17 vulnerabilities to list of bugs exploited in attacks

2022/01/22 BleepingComputer — 今週に CISA (Cybersecurity and Infrastructure Security Agency) は、積極的に悪用されている 17件の脆弱性を Known Exploited Vulnerabilities Catalog に追加しました。このカタログは、これまでに攻撃に悪用されたことが確認されている脆弱性のリストであり、FCEB (Federal Civilian Executive Branch) がパッチの適用を義務付けているものでもある。

オランダのサイバー・セキュリティ機関が警告：Log4j 脆弱性のリスクは長期化する

Dutch cybersecurity agency warns of lingering Log4j risks

2022/01/22 BleepingComputer — オランダの Dutch National Cybersecurity Centre (NCSC) は、木曜日に発表した警告の中で、企業は Log4j 攻撃に関連するリスクを認識し、現在進行中の脅威に警戒する必要があると述べている。一連の深刻な脆弱性を緩和するために、多くの組織が迅速に行動したことで、Log4Shell の悪用に関連しするインシデントの余波は、それほど大きくないとされているが、NCSC によると、脅威アクターたちは依然として新たな標的への侵入を、計画している可能性が高いとのことだ。

Apache Log4j 1.x の３つの脆弱性が公開：Chainsaw と JDBC Appender に注意

SBN New Log4j 1.x CVEs, and critical Chainsaw Vulnerability — What to Do?

2022/01/21 SecurityBoulevard — 今週になって、Apache は Log4j 1.x のバージョンに影響を与える、３つの脆弱性を公開した。Log4j 1.x は 2015年8月の時点で、いずれにしても end-of-life の製品であり、推奨されるアドバイスは、安全な log4j 2.x への移行である。しかし、これらの CVE 開示の中には、以下に分析する深刻な Apache Chainsaw の脆弱性が埋もれている。

Diavol ランサムウェアは TrickBot ギャングと関連している：FBI が正式に発表

FBI links Diavol ransomware to the TrickBot cybercrime group

2022/01/20 BleepingComputer — FBI の正式な発表により、ランサムウェア Diavol の活動と、バンキングトロイの木馬 TrickBot グループが結びつけられた。Wizard Spider として知られる TrickBot グループは、長年にわたって企業ネットワークに大損害を与えてきたマルウェアの開発者であり、Conti や Ryuk などのランサムウェアの攻撃や、ネットワークへの侵入、金融詐欺、企業スパイなどにつながっている。

2021年はサプライチェーン攻撃の年：３倍増の件数と３つの大きな課題

Software Supply Chain Attacks Tripled in 2021: Study

2022/01/20 SecurityWeek — 2021年は、ソフトウェア・サプライチェーン攻撃の年だったと言えるだろう。SolarWinds が世界の目を見開かせ、脅威の大きさを明らかにした年だ。それ以外にも、Kaseya／Codecov／ua-parser-js／Log4j などの大規模な攻撃があった。いずれの場合も、攻撃者にとって魅力的なのは、分散したコードにおける１つの違反／危殆化／脆弱性が、数千人にもいたる犠牲者を出す可能性があることだ。

奇妙な SMTP スパイウェアにより産業界の ICS から認証情報が盗まれている

‘Anomalous’ spyware stealing credentials in industrial firms

2022/01/20 BleepingComputer — 研究者たちにより、産業界をターゲットにした、いくつかのスパイウェア・キャンペーンが発見された。電子メールアカウントの認証情報が盗みだされたが、その目的は、金融詐欺や認証情報の転売だと考えられる。攻撃者は、既製のスパイウェア・ツールを使用しているが、検出を逃れるために、それぞれの亜種を、きわめて限られた時間において展開している。攻撃に使用される汎用マルウェアの例としては、AgentTesla／Origin Logger／HawkEye／Noon／Formbook／Masslogger／Snake Keylogger／Azorult／Lokibot などがある。

インドネシアの中央銀行 Bank Indonesia が Conti に攻撃されデータ・リーク？

Indonesia’s central bank confirms ransomware attack, Conti leaks data

2022/01/20 BleepingComputer — インドネシア共和国の中央銀行である Bank Indonesia (BI) が、先月にランサムウェア攻撃を受け、同社のネットワークが襲われたことを、今日になって認めた。このインシデントでは、BI の従業員が所有する「非重要データ」を攻撃者が盗み出した後に、同行ネットワーク上の 10数台のシステムにランサムウェアのペイロードを展開したと、CNN Indonesia が報じている。しかし、BI の広報担当者によると、Reuter が最初に報じたように、この事件は BI の公共サービスに影響を与える前に軽減されたとのことだ。

英豪の国防相／外相ミーティング：ロシア／中国／イランなどからのサイバー攻撃に反撃

Australia vows to ‘fight back’ against cyberattacks from China, Russia

2022/01/20 SCMP — オーストラリアの Peter Dutton 国防相は、シドニーで開催される協議に先立ち、中国／ロシア／イランからのサイバー攻撃に対して、英国と共に反撃すると述べた。金曜日に、オーストラリアの国防相と外務相は、英国のカウンターパートである Ben Wallace および Liz Truss と、Australia-United Kingdom Ministerial Consultations (AUKMIN) を開催する。

Microsoft が発見した新たな SolarWinds Serv-U バグが FIX：Log4j 攻撃を伝搬する？

Microsoft: SolarWinds fixes Serv-U bug exploited for Log4j attacks

2022/01/19 BleepingComputer — Microsoft が発見した Serv-U の脆弱性に対して、SolarWinds がパッチを適用した。この脆弱性は、脅威アクターが Log4j 攻撃を、ネットワーク上の内部デバイスに伝播させるために積極的に利用するものだ。Microsoft によると、Log4j 攻撃の監視中に、この脆弱性を発見したとのことだ。このバグは、Microsoft のセキュリティ研究者である Jonathan Bar Or が発見した不適切な入力検証の脆弱性であり、攻撃者により作成されたクエリが、無節操にネットワーク上に送信されることになる。

Office 365 認証情報を騙し取るフィッシング詐欺：米国労働省を装う巧妙な手口

Office 365 phishing attack impersonates the US Department of Labor

2022/01/19 BleepingComputer — 米国労働省 (Department of Labor) を装う新たなフィッシング・キャンペーンが、偽の入札を依頼するという手口で、受信者から Office 365 の認証情報を盗もうとしている。このフィッシング・キャンペーンは、数ヶ月前から行われており、政府機関を装う 10以上のフィッシン・グサイトが利用されている。

Prometheus という Crimeware-as-a-Service (CaaS)：フィッシングとリダイレクトを促進

Russian Hackers Heavily Using Malicious Traffic Direction System to Distribute Malware

2022/01/19 TheHackerNews — サブスクリプション・ベースの Crimeware-as-a-Service (CaaS) ソリューションと、クラックされた Cobalt Strike のコピーの連携が確立され、脅威アクターによる侵入後の活動を支えるツールとして提供されていると、研究者たちは疑っている。この種のサービスだと言われる Prometheus の存在は、サイバー・セキュリティ企業である Group-IB が、悪意のソフトウェア配布キャンペーンの詳細を開示した 2021年8月に明らかにされた。

White Rabbit と呼ばれる新しいランサムウェア登場：金融を狙う FIN8 の亜種なのか？

New White Rabbit ransomware linked to FIN8 hacking group

2022/01/18 BleepingComputer — 最近のことだが、White Rabbit と呼ばれる新しいランサムウェア・ファミリーが登場した。最新の研究結果によると、この活動はハッキング・グループ FIN8 の副次的なものだという可能性が生じている。FIN8 は、数年前から金融機関を標的にし、主にクレジット・カード情報を盗むための、POS マルウェアの展開が明らかになっている、金銭的動機を持った脅威アクターである。

ロシア政府による REvil 破壊から読み取るべき５つのシグナルとは？

Five Key Signals From Russia’s REvil Ransomware Bust

2022/01/18 SecurityWeek — 突然にロシアの最高法執行機関が、ランサムウェア REvil を公開捜査したことで、大規模なランサムウェア攻撃を阻止する鍵は、外交が握っているのではないかと話題になっている。この囮捜査は、「米国の要請を受けて」という慎重な発表に続いて行われたが、その背景には、ロシアとウクライナの地政学的な対立がある。そして、すでに、データ消去などを目的とした、ウクライナ政府に対するマルウェア攻撃や標的型 Web サイトの改ざんに結びついている。

再生可能エネルギー産業を標的とする、大規模なサイバー・スパイ・キャンペーン

Cyber espionage campaign targets renewable energy companies

2022/01/17 BleepingComputer — 再生可能エネルギーや産業技術gy連の組織を主たる対象とした、大規模なサイバー・スパイ・キャンペーンが 2019年頃から活動を開始し、世界の 15以上の組織を標的にしていることが判明した。このキャンペーンを発見したのは、Curated Intelligenceトラスト・グループのセキュリティ研究者である William Thomas であり、DNS スキャンやパブリック・サンドボックス・サブミッションといった、OSINT (open-source intelligence) 技術を用いたとのことだ。

WordPress プラグインの深刻な脆弱性 CVE-2022-0215：Web サイト 84,000 件に影響

High-Severity Vulnerability in 3 WordPress Plugins Affected 84,000 Websites

2022/01/16 TheHackerNews — 研究者たちが、84,000以上の Web サイトに影響を与える、３種類の WordPress プラグインのセキュリティ欠陥を公開した。これらの欠陥を悪用する脅威アクターにより、脆弱な WordPress サイトが乗っ取られる可能性もある。WordPress 傘下のセキュリティ企業である Wordfence は、先週に発表したレポートの中で、「この欠陥により、サイトの管理者が騙され、リンクをクリックするなどのアクションが実行されると、攻撃者は脆弱なサイトで任意のサイト・オプションを更新できる」と述べている。

QNAP NAS デバイスに対する攻撃：Qlocker ランサムウェアの新種が観測されている

A new wave of Qlocker ransomware attacks targets QNAP NAS devices

2022/01/16 SecurityAffairs — 世界中の QNAP NAS デバイスを標的とした、ランサムウェア Qlocker の新たな波が 1月6日に始まり、感染したデバイス上に !!!READ_ME.txt というランサム・ノートを投下している。2021年5月に、台湾のベンダーである QNAP は、Qlocker ランサムウェアの感染を防ぐために、NAS デバイス上で動作する災害復旧アプリ HBS 3 (Hybrid Backup Sync) を更新するよう、顧客に対して警告を発した。