Defender – IoT OT Security News

Oracle Weblogic Server が標的：ScrubCrypt 攻撃を仕掛ける 8220 Gang

8220 Gang Behind ScrubCrypt Attack Targeting Oracle Weblogic Server

2023/03/09 InfoSecurity —8220 Gang と呼ばれる脅威アクターが、特定の Uniform Resource Identifier (URI) 内の悪用可能な Oracle Weblogic Server を標的とし、新たなペイロードを展開することが判明した。この、Fortinet のセキュリティ研究たちが分析したペイロードは、セキュリティ・プログラムによる検出の回避を特徴としている。そして、アプリケーションを難読化／暗号化するために設計されたマルウェアである、ScrubCrypt の抽出を目的としている。

BlackLotus という UEFI Bootkit マルウェア第１号：Windows 11 の Secure Boot を突破する

BlackLotus Becomes First UEFI Bootkit Malware to Bypass Secure Boot on Windows 11

2023/03/01 TheHackerNews — BlackLotus という高ステルス性の UEFI (Unified Extensible Firmware Interface) ブートキットが、Secure Boot 防御を回避するマルウェアとして初めて公になり、サイバー環境における強力な脅威となってきた。スロバキアのサイバーセキュリティ企業 ESET は、「このブートキットは、UEFI セキュアブートを有効にした最新の Windows 11 システム上でも実行可能である」と、The Hacker News と共有したレポートで述べている。

Microsoft 365 Defender の新機能：ランサムウェア／BEC の攻撃を自動で遮断

Microsoft announces automatic BEC, ransomware attack disruption capabilities

2023/02/24 HelpNetSecurity — 昨年に Microsoft は、企業向けのセキュリティ・スイートである Microsoft 365 Defender に、自動攻撃遮断機能を搭載すると発表した。水曜日に同社は、これらの機能を活用する組織は、ランサムウェアと BEC (Business Email Compromise) の攻撃という、２つの代表的なパターンを効果的に阻止すると明かした。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。

Microsoft Defender の Linux 機能が強化：侵害されたエンドポイントの隔離が可能に

Microsoft Defender can now isolate compromised Linux endpoints

2023/01/31 BleepingComputer — 今日、Microsoft が発表したのは、Linux に搭載された Microsoft Defender for Endpoint (MDE) への、デバイス分離サポートの追加である。エンタープライズ管理者たちは、Microsoft 365 Defender ポータルまたは、API リクエストを用いて、パブリック・プレビューの一部として登録された Linux マシンを、手動で隔離することができる。この隔離が行われると、脅威アクターによる侵入済みシステムへの接続が不能になる。したがって、攻撃者によるコントロールは遮断され、データ盗難などの悪意のアクティビティは阻止される。

Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966：活発な悪用と攻撃

Critical ManageEngine RCE bug now exploited to open reverse shells

2023/01/20 BleepingComputer — 複数の Zoho ManageEngine 製品に影響を及ぼす、深刻な RCE (Remote Code Execution) の脆弱性が、攻撃に悪用されている。この脆弱性の悪用コードと詳細な技術分析を、Horizon3 のセキュリティ研究者たちが公開する２日前に、サイバーセキュリティ企業の Rapid7 が最初の悪用の試みを検知していた。Rapid7 は、「我々は、少なくとも 24種類のオンプレミス ManageEngine 製品に影響を与える、未認証のRCE 脆弱性 CVE-2022-47966 の悪用から生じる、さまざまな侵害に対応している。2023年1月17日 (UTC) の時点で、複数の組織にまたがる悪用を観測している」と述べている。

Variston IT というスパイウェア：Chrome／Firefox／Defender の N-Day 脆弱性を悪用

Spyware Vendor Variston Exploited N-Days in Chrome, Firefox, Windows

2022/12/01 InfoSecurity — スペインのカスタム・セキュリティ・ソリューション・プロバイダーとされる Variston IT は、自社の Heliconia フレームワークで Chrome／Firefox／Microsoft Defender の N-Day 脆弱性を悪用し、ターゲット・デバイスにペイロードを展開するためのツールを配布している。これは、Google Threat Analysis Group (TAG) が、11月30日のアドバイザリで明らかにしたものであり、Google／Microsoft／Mozilla は 2021年と 2022年初旬に、この脆弱性を修正しているという。

Microsoft Defender for Endpoint の保護機能を強化：すべての企業ユーザーが利用可能に

Microsoft Defender boosts default protection for all enterprise users

2022/11/29 BleepingComputer — Microsoft は、同社のエンドポイント・セキュリティ・プラットフォームである Defender for Endpoint を導入している全てのデバイスで、ビルトイン保護機能が利用可能になることを発表した。このデフォルト設定を適用すると、ランサムウェア攻撃を含む、高度な脅威や新たな脅威に対して、企業のエンドポイント保護を強化できる。Microsoft は、「この保護機能では、まずはテナントの改ざん防止機能をオンにする。その後に、その他のデフォルト設定も導入する予定だ」と説明している。

Microsoft 365 とユーザーを隔てるギャップ：90% の企業は何を思う？

90% of organizations have Microsoft 365 security gaps

2022/11/22 HelpNetSecurity — 前日に発表された CoreView の調査では、世界の 160万人の Microsoft 365 ユーザーの声を評価することで、90% もの組織においてセキュリティ保護にギャップが存在することを明らかにした。Microsoft 365 (M365) の管理は複雑である。どのようにすれば、IT チームは管理における頭痛の種を回避し、100% のコンプライアンスを維持し、M365 インスタンスを正しくコントロールできるのだろうか。

IceXLoader マルウェアの感染が増大：Windows Defender を巧みに回避

Phishing drops IceXLoader malware on thousands of home, corporate devices

2022/11/10 BleepingComputer — 現在進行中のフィッシング・キャンペーンにより、数千のホーム／コーポレート・ユーザーが、マルウェア IceXLoader の新バージョンに感染していることが判明している。この夏に、マルウェア・ローダー IceXLoader の野放し状態での悪用が発見されたが、その後にツールの機能が強化され、多段階の配信チェーンを導入されるという、バージョン 3.3.3 がリリースされている。2022年6月に Fortinet が、この Nim ベースのマルウェアを発見したときのバージョンは 3.0 であり、また、ローダーとしての重要な機能が欠けており、開発中というような印象だったという。

Microsoft Teams と Defender for Office 365 の連携強化：フィッシング・メッセージを排除する

Microsoft to let Office 365 users report Teams phishing messages

2022/10/01 BleepingComputer — Microsoft は、Defender for Office 365 のアップデートに取り組んでおり、Microsoft Teams のユーザーが受け取った疑わしいメッセージを、組織のセキュリティ・チームに警告できるようにするという。Microsoft Defender for Office 365 (旧 Office 365 Advanced Threat Protection／Office 365 ATP) は、メールメッセージ／リンク／コラボレーション・ツールからの、悪質な脅威から組織を保護するものとなる。

LockBit の新戦術：Windows Defender を悪用して Cobalt Strike をロードする経路を発見

LockBit operator abuses Windows Defender to load Cobalt Strike

2022/07/29 BleepingComputer — ランサムウェア LockBit 3.0 に関連する脅威アクターたちは、Windows Defender のコマンドライン・ツールを悪用して、感染させたシステムに Cobalt Strike Beacon をロードし、セキュリティ・ソフトウェアによる検出を回避していることが明らかになった。Cobalt Strike は、正規のペンテスト・スイートだが、その広範な機能は脅威アクターたちに好まれ、ネットワークでの偵察と横方向の移動をステルスで実行した後に、データを盗んで暗号化するために使用されている。