Exchange – IoT OT Security News

Microsoft 365 Defender の新機能：ランサムウェア／BEC の攻撃を自動で遮断

Microsoft announces automatic BEC, ransomware attack disruption capabilities

2023/02/24 HelpNetSecurity — 昨年に Microsoft は、企業向けのセキュリティ・スイートである Microsoft 365 Defender に、自動攻撃遮断機能を搭載すると発表した。水曜日に同社は、これらの機能を活用する組織は、ランサムウェアと BEC (Business Email Compromise) の攻撃という、２つの代表的なパターンを効果的に阻止すると明かした。

Exchange Server のウイルス対策の除外項目を廃止：Microsoft からユーザーへの要請

Microsoft urges Exchange admins to remove some antivirus exclusions

2023/02/23 BleepingComputer — Microsoft は、 Exchange Server のセキュリティを強化するために、以前に推奨されていたウイルス対策の、いくつかの除外に関する設定を解除をするよう推奨している。同社は、その理由として、Temporary ASP.NET Files と Inetsrv フォルダ、および、PowerShell と w3wp プロセスを対象とした除外は、もはや安定性やパフォーマンスに影響を与えないため、必要ないと述べている。しかし、これらのフォルダやプロセスは、マルウェアを展開する攻撃に悪用されることが多いため、管理者はスキャンするように心がける必要がある。

A10 Networks にデータ侵害が発生：Play ランサムウェア攻撃が原因

A10 Networks confirms data breach after Play ransomware attack

2023/02/10 BleepingComputer — カリフォルニアに拠点を置くネットワーク・ハードウェア・メーカー A10 Networks は、Play ランサムウェア・ギャングの攻撃により、同社の IT インフラに一時的な不正アクセスが発生し、データが侵害されたことを BleepingComputer に対して認めた。A10 Networks の専門分野は、ソフトウェア／ハードウェアの ADC (Application Delivery Controllers)／ID 管理ソリューション／帯域幅管理アプライアンスの製造などであるが、ファイアウォールや DDoS 脅威のインテリジェンス／軽減サービスも提供している。

Microsoft 警告：ランサムウェアと情報窃取を仕掛ける 100以上の脅威アクターたち

Microsoft: Over 100 threat actors deploy ransomware in attacks

2023/01/31 BleepingComputer — 今日、Microsoft のセキュリティ・チームは、ランサムウェアを展開する 100以上の脅威アクターを追跡していると明かした。さらに、同チームは、昨年末までに活発に動き回っていた、50以上のランサムウェア・ファミリーを監視しているという。同社は、「最近のキャンペーンで多用されたランサムウェアのペイロードには、Lockbit Black／BlackCat (別名 ALPHV) ／Play／Vice Society／Black Basta／Royal などがある。ただし、防御のための戦略としては、それらのペイロードに注目するよりも、それらの展開につながる活動の連鎖に対して、もっと焦点を当てるべきだ。依然として、ランサムウェア・ギャングは、一般的な脆弱性を標的とし、パッチ未適用のサーバやデバイスを標的にしている」と述べている。

Exchange サーバと ProxyNotShell：緩和策では攻撃を防げないと Microsoft が警告

Microsoft urges admins to patch on-premises Exchange servers

2023/01/26 BleepingComputer — 今日、Microsoft が公表したのは、オンプレミスの Exchange サーバに対する累積アップデート (CU： Cumulative Update) の適用であり、また、緊急のセキュリティ・アップデートに対しても、導入の準備を整えておくよう顧客に呼びかけた。Exchange サーバのアップデート・プロセスについて、同社は簡単だと述べているが、多くの管理者が同意しないかもしれない。具体的な手順として、アップデートをインストールした後には必ず、Exchange Server Health Checker スクリプトの実行を推奨しているという。

Cuba ランサムウェアも Exchange 侵害に参戦：Microsoft が警告する OWASSRF 欠陥とは？

Microsoft: Cuba ransomware hacking Exchange servers via OWASSRF flaw

2023/01/12 BleepingComputer — Microsoft によると、Cuba ランサムウェア／ギャングも、Exchange サーバに存在する深刻なサーバ・サイド・リクエスト・フォージェリ (SSRF) の脆弱性を悪用して、Play ランサムウェア攻撃と同様に侵害を繰り返しているようだ。先日には、この脆弱性 CVE-2022-41080 を悪用する Play ランサムウェアが、 OWASSRF ゼロデイと呼ばれる攻撃により、ProxyNotShell URL リライト緩和策をバイパスした後に、Rackspace ネットワーク上のパッチ未適用の Microsoft Exchange サーバを侵害している。

Rackspace の Hosted Exchange にランサムウエア攻撃：M 365 への退避などで対応

Rackspace warns of phishing risks following ransomware attack

2022/12/09 BleepingComputer — 12月8日 (木) にクラウド・コンピューティング・プロバイダーの Rackspace は、同社の Microsoft Exchange ホスティング環境がランサムウェア攻撃を受けたことを受け、フィッシング攻撃のリスクが高まっていると、顧客に警告を発した。同社では、いまも調査が継続されており、影響を受けたシステムの復旧に取り組んでいるが、サイバー犯罪者が、このインシデントを悪用する可能性もあるとしている。

Exchange Server の深刻な脆弱性 ProxyNotShell：PoC エクスプロイトが公表

Exploit released for actively abused ProxyNotShell Exchange bug

2022/11/18 BleepingComputer — Microsoft Exchange に存在し、ProxyNotShellと総称される２つの深刻な脆弱性に対して、PoC エクスプロイト・コードが公開された。この２つの脆弱性 CVE-2022-41082／CVE-2022-41040 は、Microsoft Exchange Server 2013／2016／2019 に影響を及ぼし、権限を昇格した攻撃者がシステムのコンテキストで PowerShell を実行することで、侵害したサーバー上で任意のコード実行またはリモート・コード実行が可能なるというものだ。

Microsoft 2022-11 月例アップデートは６件のゼロデイと 68件の脆弱性に対応

Microsoft November 2022 Patch Tuesday fixes 6 exploited zero-days, 68 flaws

2022/11/08 BleepingComputer — 今日の、Microsoft November 2022 Patch Tuesday により、Windows 上で活発に悪用されている６件の脆弱性を含む、合計 68件の脆弱性が修正された。今日のアップデートでは、68件の脆弱性が修正されたが、そのうち 11件は、最も深刻なタイプの脆弱性のひとつである権限昇格／成りすまし／リモート・コード実行を可能にするもので、Critical に分類されている。

Microsoft IIS ログを悪用する Cranefly マルウェア：３つの文字列で侵害を完遂

Hackers use Microsoft IIS web server logs to control malware

2022/10/28 BleepingComputer — Microsoft Internet Information Services (IIS) の Web サーバのログを経由して、感染端末のマルウェアを制御するという、これまでにはなかった手法を、ハッキング・グループ Cranefly (UNC3524) が採用しているという。Microsoft IIS は Web サーバであり、Web サイトや Web アプリをホストするために使用されている。また、Microsoft Exchange の Outlook on the Web (OWA) などのソフトウェアでも、管理アプリや Web インターフェイスをホストするために使用されている。

Microsoft 2022-10 月例アップデートは２件のゼロデイと 84件の脆弱性に対応

Microsoft October 2022 Patch Tuesday fixes zero-day used in attacks, 84 flaws

2022/10/11 BleepingComputer — 今日は Microsoft の October 2022 Patch Tuesday だが、それに伴い、活発に悪用されている Windows の脆弱性などを含む、合計で 84件の不具合が修正された。今日のアップデートで修正された 84件の脆弱性のうち 13件は、最も深刻な Critical に分類され、特権昇格／なりすまし／リモートコード実行などを許すものだ。

Microsoft Exchange の新たな別のゼロデイ：悪用により LockBit ランサムウェアを配布？

Microsoft Exchange servers hacked to deploy LockBit ransomware

2022/10/11 BleepingComputer — Microsoft が進めている調査は、Exchange Server の新たなゼロデイ脆弱性がハッキングに悪用され、その後にランサムウェア Lockbit 攻撃の起動に使用されたという報告に対するものだ。2022年7月に発生した、少なくとも１件のインシデントでは、事前に Exchange Server に配置していた WebShell を用いて、侵入に成功した攻撃者が Active Directory 管理者への権限昇格を実行し、約 1.3TB のデータを窃取し、ネットワーク・システムの暗号化を行ったとされている。

NSA／CISA／FBI の共同勧告：Log4j の脆弱性などが中国系ハッカーに悪用されている

RCE on Log4j Among Top CVEs Exploited By Chinese-Backed Hackers

2022/10/07 InfoSecurity — NSA／CISA／FBI が 2022年10月6日に発表したアドバイザリによると、中国の国家に支援された脅威アクターたちが、米国／同盟国のネットワークや企業を標的とし、既知の脆弱性を悪用し続けているとのことだ。同アドバイザリには、「悪質なことに、それらの脅威アクターは、より多くの新しい技術や、適応性のある技術を使用するようになっている。その一部は IT 部門 (電気通信事業者を含む) ／防衛産業基盤 (DIB：Defense Industrial Base) 部門／その他の重要インフラ組織などに、大きなリスクをもたらす」と記されている。

Microsoft Exchange のゼロデイ脆弱性：ProxyNotShell の偽 PoC が販売されている

Fake Microsoft Exchange ProxyNotShell exploits for sale on GitHub

2022/10/03 BleepingComputer — 詐欺師たちがセキュリティ研究者になりすまし、新たに発見された Microsoft Exchange のゼロデイ脆弱性に対する、偽の PoC エクスプロイト ProxyNotShell を販売しているようだ。先週に、ベトナムのサイバー・セキュリティ企業 GTSC は、Microsoft Exchange の２つの新しいゼロデイ脆弱性を悪用した攻撃を、一部のユーザーが受けていたことを明らかにした。研究者たちは、Trend Micro の Zero Day Initiative と共同で、この脆弱性を Microsoft に対して非公開で報告した。Microsoft は、この脆弱性が攻撃に悪用されていることを確認し、セキュリティ更新プログラムをリリースするスケジュールを早めるとしている。

BEC の新たな手口：AiTM で MFA を突破して決済者の Microsoft 365 アカウントを狙う

Hackers use AiTM attack to monitor Microsoft 365 accounts for BEC scams

2022/08/24 BleepingComputer — 巧妙なスピアフィッシングと中間者攻撃 (AiTM：Adversary-in-The-Middle) を組み合わせて、企業の幹部たちの Microsoft 365 アカウントをハッキングする、新しいビジネスメール詐欺 (BEC：Business Email Compromise) キャンペーンが発見された。このキャンペーンの対象には、MFA で保護されているアカウントも含まれるという。

Microsoft 報告：中国ハッカーが使用する 42 の悪意の Web ドメインが押収された

Microsoft Seizes 42 Malicious Web Domains Used By Chinese Hackers

2021/12/07 TheHackerNews — 米国バージニア州の連邦裁判所が発行した令状に基づき、米国などの28カ国の組織を標的とする、中国のサイバー・スパイ集団が使用していた42個のドメインを押収されたと、Microsoft が発表した。同社は、この悪質なスパイ行為について、Nickel と呼ばれるグループおよび、APT15／Bronze Palace／Ke3Chang／Mirage／Playful Dragon／Vixen Panda と呼ばれているグループの仕業だとしている。この APT アクターは、2012年ごろから活動していると考えられている。

Microsoft 警告：クラウドなどを標的としたパスワード・スプレー攻撃が増加

Microsoft warns of rise in password sprays targeting cloud accounts

2021/10/31 BleepingComputer — Microsoft の DART (Detection and Response Team) によると、クラウドの特権アカウントやＣレベル役員などを標的とした、パスワード・スプレー攻撃の増加を検出したとのことだ。パスワード・スプレーとは、ブルートフォース攻撃の一種であり、よく使われる少数のパスワードを使って、大量のアカウント・リストへのアクセスを試みるものだ。

Chrome 95 ゼロデイ脆弱性と中国の Tianfu Cup ハッキング・コンテスト

Chrome 95 Update Patches Exploited Zero-Days, Flaws Disclosed at Tianfu Cup

2021/10/29 SecurityWeek — 木曜日に Google がリリースした Chrome 95 アップデートは、２つの積極的に悪用されているゼロデイ脆弱性と、先日に中国のハッキング・コンテストで公開された欠陥を修正するものだ。積極的に悪用されている脆弱性は、CVE-2021-38000 として追跡されており、Intents への信頼できない入力に対する不十分な検証の問題とされている。また、CVE-2021-38003 は、V8 JavaScript エンジンに影響をおよぼす不適切な実装の問題である。CVE-2021-38000 は９月に発見され、CVE-2021-38003は僅か３日前に確認されたものである。

広告業の Marketron が Blackmatter ランサムウェアに攻撃されている

Marketron marketing services hit by Blackmatter ransomware

2021/09/21 BleepingComputer — この週末に、ランサムウェア BlackMatter が、ビジネスソフトウェア・ソリューション・プロバイダーである Marketron を襲い、メディア業界の 6,000社以上の顧客に影響が生じた。この Marketron は、放送局やメディア企業向けに、クラウド・ベースの収益トラフィック管理ツールを提供している。収益管理と視聴者エンゲージメントを専門とし、毎年 $5 billion の広告収入を取り扱っている。

ElectroRAT という巧妙なトロイの木馬が暗号通貨を狙っている

I Smell a RAT! New Cybersecurity Threats for the Crypto Industry

2021/07/09 DarkReading — ブロックチェーンを利用した暗号通貨は安全であると考えられている。ブロックチェーンは、ノードと呼ばれるコンピュータのグローバル・ネットワークを使って分散化されるように設計されており、ブロックチェーンをハッキングして改ざんするには、膨大なコンピューティング・パワーが必要になる。また、ブロックチェーンの暗号化を解除するだけではなく、大多数のノードも同時に変更する必要がある。