Fortinet – Page 3 – IoT OT Security News

DarkGate マルウェア：Skype／Teams を介して悪意の VBA を埋め込んだ PDF を配布

DarkGate Malware Spreading via Messaging Services Posing as PDF Files

2023/10/13 TheHackerNews — Microsoft の Skype や Teams などの IM (Instant Messaging) プラットフォームを介して、DarkGate というマルウェアが拡散していることが確認されている。これらの攻撃では、PDFドキュメントを装う VBA (Visual Basic for Applications) ローダー・スクリプトを配信するために、それらのメッセージング・アプリが使用される。そして、それらの悪意のスクリプトを開かれると、AutoIt スクリプトのダウンロードと実行がトリガーされ、マルウェアを起動するように設計されている。

Mirai DDoS マルウェアの亜種を検出：13種類のルーターを悪用するための武器とは？

Mirai DDoS malware variant expands targets with 13 router exploits

2023/10/10 BleepingComputer — IZ1H9 として追跡されている Mirai ベースのDDoS (分散型サービス拒否) マルウェア・ボットネットが、D-Link／Zyxel／TP-Link／TOTOLINK などのルーターや Linux ベースのルーターを標的とする、13種類の新たなペイロードを追加したようだ。Fortinet の研究者たちが報告しているのは、９月の第１週頃に悪用率がピークに達し、脆弱なデバイスに対する悪用の試行回数が数万回に達したことである。

NPM パッケージ汚染：悪意の実装を９パターンに分類 – Fortinet

Dozens of Malicious NPM Packages Steal User, System Data

2023/10/03 SecurityWeek — Fortinet のセキュリティ研究者たちは、被害者のシステムから大量の情報を採取するように設計された難読化スクリプトを取り込んでいる、複数の悪意の NPM パッケージを特定した。10月2日 (月) に Fortinet は、NPM レジストリ内の 35件の悪意のパッケージについて警告した。それらのパッケージに取り込まれているスクリプトにより、システムおよびユーザーデータが収集され、Web フックまたはファイル共有リンクを介したデータ流出が実行されるという。

日米の共同勧告：中国の APT BlackTech が Cisco ルーターをバックドアにしている

US and Japan warn of Chinese hackers backdooring Cisco routers

2023/09/27 BleepingComputer — 日本と米国の法執行機関およびサイバーセキュリティ機関が、中国の BlackTech というハッカーがネットワーク機器を侵害し、企業ネットワークにアクセスするためのカスタム・バックドアを設置していると警告している。この共同勧告は、FBI／NSA／CISA に加えて、日本の NISC と警察庁が発行したものであり、国家に支援されたハッカー集団が、事前に海外子会社のネットワーク機器を侵害し、本社のネットワークに軸足を移していると説明している。

CISA 警告：Fortinet と Zoho の既知の脆弱性が国家支援ハッカーに狙われている

CISA Warning: Nation-State Hackers Exploit Fortinet and Zoho Vulnerabilities

2023/09/08 TheHackerNews — Fortinet FortiOS SSL-VPN と Zoho ManageEngine ServiceDesk Plus の脆弱性を悪用する複数の APT が、侵害したシステムに不正アクセスし、永続性を確立していると、9月12日に CISA が警告した。また、FBI および CNMF との共同アラートには、「国家レベルの APT が脆弱性 CVE-2022-47966 を悪用して、インターネットに公開された Zoho ManageEngine ServiceDesk Plus に不正アクセスし、永続性を確立し、横方向へ移動していると」と記されている。

HiatusRAT マルウェアが復活：台湾企業と米軍にサイバー攻撃を仕掛けている

HiatusRAT Malware Resurfaces: Taiwan Firms and U.S. Military Under Attack

2032/08/21 TheHackerNews — HiatusRAT マルウェアを背後から操る脅威アクターは、台湾を拠点とする組織と米軍調達システムを狙うために復帰し、新たな偵察と標的さがしの活動に入った。先週に発表したレポートで Lumen Black Lotus Labs は、このマルウェアのサンプルを調査した結果として、複数の CPU に対応する再コンパイルが行われ、新しい VPS 上でアーティファクトがホストされていると指摘している。Lumen は、この活動群を最も大胆なものと表現しており、その勢いに衰える気配がないことを指摘している。現在のところ、脅威アクターの身元や帰属は不明である。

Zyxel ファイアウォールの脆弱性 CVE-2023-28771：Mirai 亜種による積極的な悪用を観測

Zyxel Vulnerability Exploited by DDoS Botnets on Linux Systems

2023/07/20 InfoSecurity — Zyxelファイアウォールで発見された深刻な脆弱性が、分散型サービス拒否 (DDoS) ボットネットに積極的に悪用されている。Fortinet のセキュリティ研究者たちが特定した、この脆弱性 CVE-2023-28771 は Linux プラットフォームに影響を及ぼすものだ。この脆弱性の悪用に成功したリモートの攻撃者は、脆弱性のあるシステムを不正に制御し、DDoS 攻撃を行うことが可能になる。

MS Office ドキュメントを悪用する攻撃：LokiBot マルウェアの新たな手口に注意

LokiBot Malware Targets Windows Users in Office Document Attacks

2023/07/14 InfoSecurity — 悪意の Office 文書を介して拡散する、LokiBot と呼ばれる巧妙なマルウェアに、Windows ユーザーたちが再び狙われている。Fortinet の Security Researcher である Cara Lin の最新アドバイザリによると、攻撃者たちは既知の脆弱性 CVE-2021-40444／CVE-2022-30190 などを悪用することで、Microsoft Office 文書内に悪意のマクロを埋め込んでいるという。これらのマクロが実行されると、被害者のシステム上に LokiBot マルウェアがドロップされ、機密情報の収集などが行われる。

Fortinet FortiOS／FortiProxy の RCE 脆弱性 CVE-2023-33308 が FIX

Fortinet Patches Critical FortiOS Vulnerability Leading to Remote Code Execution

2023/07/12 SecurityWeek — 7月11日 (火) に Fortinet は、FortiOS／FortiProxy に存在する、深刻なリモート・コード実行 (RCE) の脆弱性に対処するセキュリティ・アップデートを発表した。この脆弱性 CVE-2023-33308 (CVSS：9.8) は、プロキシ・モードのディープ・インスペクション機能に影響をおよぼす、スタック・オーバーフローに起因すると説明されている。

Fortinet FortiGate の脆弱性 CVE-2023-27997：依然として30万台の未パッチが公開

300,000+ Fortinet firewalls vulnerable to critical FortiOS RCE bug

2023/07/03 BleepingComputer — 数十万台の FortiGate ファイアウォールに影響を及ぼすとされる、深刻な脆弱性 CVE-2023-27997 だが、この問題に対処するアップデートを Fortinet がリリースしてから、約１ヶ月が経過した。この、深刻度スコア 9.8 の脆弱性は、リモートコード実行にいたるものであり、すべてのネットワーキング・コンポーネントを、Fortiner のセキュリティ・ファブリック・プラットフォームに接続する、FortiOS のヒープバッファ・オーバーフローに起因するものだと説明されている。

ThirdEye というインフォ・スティーラーが登場：継続する改良に注視が必要

ThirdEye Infostealer Poses New Threat to Windows Users

2023/06/28 InfoSecurity — ThirdEye と呼ばれる新たなインフォ・スティーラー犯が、Windows ユーザーを標的にする可能性があるという。Fortinet の Threat Research Division である FortiGuard Labs は、6月27日 (火) に発表された技術文書で、この新しい脅威について説明している。その中で同社は、ThirdEye は侵害したマシンから貴重なシステム情報を抽出するように設計されており、将来のサイバー攻撃に悪用される可能性があると述べている。

Fortinet FortiNAC の深刻な脆弱性 CVE-2023-33299 が FIX：RCE の可能性

Fortinet fixes critical FortiNAC RCE, install updates asap

2023/06/23 SecurityAffairs — Fortinet の Network Access Control (NAC) ソリューションである FortiNAC は、セキュリティポリシーの適用／デバイスの監視／アクセス権限の管理などにより、企業におおけるネットワークへのアクセスを安全に制御するためのものである。その FortiNAC で、未認証の攻撃者が任意のコード／コマンドを実行できる、深刻な脆弱性 CVE-2023-33299 (CVSS：9.6) が発見され、Fortinet によるセキュリティ・アップデートがリリースされた。

Fortinet の脆弱性 CVE-2023-27997 が悪用されている：Volt Typhoon が攻撃？

Fortinet: New FortiOS RCE bug “may have been exploited” in attacks

2023/06/12 BleepingComputer — 先週パッチが適用された FortiOS SSL VPN の深刻な脆弱性だが、政府機関／製造業／重要インフラ組織に影響を与える攻撃において、悪用された可能性があると、Fortinet が発表した。この脆弱性 CVE-2023-27997 (FG-IR-23-097) は、FortiOS および FortiProxy SSL-VPN におけるヒープバッファ・オーバーフローに起因し、悪意を持って細工されたリクエストを介して、認証されていない攻撃者にリモートコード実行 (RCE) を許すものだ。

Fortinet Fortigate の RCE 脆弱性 CVE-2023-27997 は危険：ただちにパッチを！

Fortinet patches pre-auth RCE, update your Fortigate firewalls ASAP! (CVE-2023-27997)

2023/06/11 HelpNetSecurity — Fortinet の Fortigate ファイヤーウォールなどを駆動する、OS／Firmware である FortiOS の複数のバージョンがリリースされた。しかし同社は、その中に含まれるリモートコード実行 (RCE) の脆弱性 CVE-2023-27997 が、ログインしていない攻撃者に悪用される危険なものであることに言及していなかった。この脆弱性は、FortiOS のバージョン 7.2.5／7.0.12／6.4.13／6.2.15 で修正されているが、明らかに v6.0.17 (昨年に Fortinet は v6.0 ブランチのサポートを正式終了) においても修正されていた。

Volt Typhoon という中国の APT：グアムの重要インフラへの攻撃を Microsoft が検知

Microsoft Catches Chinese .Gov Hackers in Guam Critical Infrastructure Orgs

2023/05/24 SecurityWeek — 中国に支援されるハッカーが、グアムの主要インフラ組織からデータを窃取していたことを、Microsoft が発見した。グアムで中国製のサイバースパイ・マルウェアが発見されたことは、将来に起こり得るかもしれない中国と台湾の軍事衝突において、この小さな島が重要な役割を果たすと考えられるため、大きな関心を呼んでいる。

AndoryuBot という新たなボットネット：Ruckus Wireless の脆弱性を突いて増殖している

New Botnet Campaign Exploits Ruckus Wireless Flaw

2023/05/09 InfoSecurity — Linux ベースの Ruckus AP (access point) に存在する深刻な脆弱性が、リモート攻撃を仕掛ける脅威アクターにより制御を奪われる可能性があることが判明した。Fortinet の最新アドバイザリによると、2023年2月に発見された脆弱性 CVE-2023-25717 が、AndoryuBot という新たなボットネットに悪用されているという。

Fortinet の FortiADC／FortiOS に存在する深刻な脆弱性が FIX：任意のコマンド実行

Fortinet fixed two severe issues in FortiADC and FortiOS

2023/05/05 SecurityAffairs — Fortinet が対処した９件の脆弱性は、同社の複数の製品に影響を与えるものであり、その中には、FortiADC／FortiOS／FortiProxy に存在する、CVE-2023-27999／CVE-2023-22640 という深刻な欠陥も含まれる。

TBK DVR カメラの脆弱性 CVE-2018-9995 の悪用：攻撃試行が５万回に達した – Fortinet

Hackers Exploit High Severity Flaw in TBK DVR Camera System

2023/05/02 InfoSecurity — TBK の DVR カメラ・システムに存在する５年前の脆弱性 CVE-2018-9995 が、2023年4月の時点で、野放し状態で悪用されていることが、Fortinet のセキュリティ研究者たちの調査により判明した。この深刻な脆弱性は、悪意を持って細工された HTTP クッキーを処理する際に、カメラで生じるエラーに起因する。この脆弱性の悪用に成功したリモートの攻撃者は、認証を回避して管理者権限を取得し、最終的にはカメラからビデオ・フィードへとアクセスする可能性を引き起こす。

Evil Extractor という攻撃ツール：情報スティーラーでありランサムウェアも含む

Evil Extractor Targets Windows Devices to Steal Sensitive Data

2023/04/21 InfoSecurity — Kodex が “教育用“ として開発した、Evil Extractor という攻撃ツールが、Windows ベースのマシンを標的とした攻撃に悪用されている。2023年4月10日 (木) に公開されたアドバイザリで、「このマルウェアは、3月30日に観測されたフィッシング・キャンペーンで見つかったものであり、アドバイザリに含まれるサンプルまで辿り着いた。このキャンペーンは、正規の Adobe PDF や Dropbox ファイルなどを装うものであり、ロードすると PowerShell を活用した悪意の活動を開始する」と、Fortinet のセキュリティ研究者たちは主張している。

Fortinet 製品群へのパッチ適用：Redis／MongoDB インスタンスへの不正アクセスも？

Fortinet Patches Critical Vulnerability in Data Analytics Solution

2023/04/12 SecurityWeek — Fortinet の FortiPresence は、ホスト型クラウド・サービスまたは仮想マシンとして、プライベート・インストールが可能なデータ分析ソリューションであり、ヒートマップやレポートなどを提供する。今週に Fortinet は、FortiPresence インフラ・サーバに存在する深刻な認証欠落の脆弱性が、Redis／MongoDB インスタンスへの不正アクセスに悪用される可能性があると発表した。

Cacti／Realtek／IBM Aspera の脆弱性：複数の DDoS ボットネットとランサムウェアが悪用

Cacti, Realtek, and IBM Aspera Faspex Vulnerabilities Under Active Exploitation

2023/04/01 TheHackerNews — Cacti／Realtek／IBM Aspera Faspex の深刻なセキュリティ脆弱性を悪用する脅威アクターたちにより、パッチ未適用のシステムを標的としたハッキングが行われている。今週の Fortinet FortiGuard Labs レポートによると、MooBot／ShellBot (別名 PerlBot) の配信に、CVE-2022-46169 (CVSS：9.8)／CVE-2021-35394 (CVSS：9.8) が悪用されているようだ。

Fortinet のゼロデイ悪用：ハッキングの背景に存在する中国系ハッカー集団とは？

Fortinet zero-day attacks linked to suspected Chinese hackers

2023/03/16 BleepingComputer — Fortinet のゼロデイ脆弱性 CVE-2022-41328 を悪用してマルウェアを展開するという、政府機関に対する一連の攻撃の背景には、中国のハッカー集団の存在があるようだ。先週に Fortinet が開示したように、この脆弱性の悪用に成功した脅威アクターは、パッチ未適用の FortiGate ファイアウォール・デバイス上で、不正なコード／コマンドを実行することで、マルウェア・ペイロードを展開できるとされる。さらに、このマルウェアの分析を進めることで、データの流出／侵害デバイス上でのファイルのダウンロードと書き込み／細工された ICMP パケット受信によるリモートシェルのオープンといった、サイバースパイ活動にも利用可能なことが判明した。

SILKLOADER という検出回避に優れたマルウェア：中国／ロシアの犯罪エコシステムが連携？

Chinese and Russian Hackers Using SILKLOADER Malware to Evade Detection

2023/03/16 TheHackerNews — 中国／ロシアのサイバー犯罪エコシステムに属する脅威アクター・グループが、感染させたマシン上に Cobalt Strike をロードするために設計された、新たなマルウェアを使用していることが確認されている。フィンランドのサイバー・セキュリティ企業 WithSecure は、DLL のサイドローディング技術を利用して、商業的アドバイザリを装うソフトウェアを配信する、このマルウェアを SILKLOADERと名付けた。

Fortinet FortiOS の深刻な脆弱性 CVE-2022-41328：政府機関への攻撃で悪用される

Fortinet: New FortiOS bug used as zero-day to attack govt networks

2023/03/13 BleepingComputer — 今月にパッチが適用された FortiOS のゼロデイ・エクスプロイトを悪用する未知の攻撃者たちが、政府機関や大規模組織を標的とした攻撃を行い、OS やファイルの破壊と、データ流出を引き起こしているという。2023年3月7日に Fortinet は、不正なコードやコマンドを実行できる深刻な脆弱性 CVE-2022-41328 に対して、セキュリティ・アップデートをリリースしている。

IceFire というランサムウェアが登場：IBM Aspera Faspex を悪用して Linux ネットワークを攻撃

IceFire Ransomware Exploits IBM Aspera Faspex to Attack Linux-Powered Enterprise Networks

2023/03/09 TheHackerNews — IceFire として知られている Windows ベースのランサムウェアが、世界中のメディアやエンターテイメントの組織で運用されている、Linux エンタープライズ・ネットワークへとターゲットを拡大している。サイバーセキュリティ企業の SentinelOne によると、このランサムウェアは、最近に公表された IBM Aspera Faspex ファイル共有ソフトウェアに存在する、不適切なデシリアライズの脆弱性 CVE-2022-47986 (CVSS：9.8) を悪用して展開されているという。

Fortinet の深刻な脆弱性 CVE-2023-25610 が FIX：直ちにパッチ適用を！

Fortinet warns of new critical unauthenticated RCE vulnerability

2023/03/08 BleepingComputer — Fortinet が公開したのは、FortiOS／FortiProxy に影響を及ぼす、きわめて深刻な脆弱性 CVE-2023-25610 である。特別に細工したリクエストを、未認証の攻撃者が用いることで、脆弱なデバイスの GUI 上で任意のコード実行やサービス拒否 (DoS) が生じる可能性があるという。このバッファ・アンダーフローの脆弱性 CVE-2023-25610 は、CVSS v3 値が 9.3 であり、Critical と評価されている。この種の不具合は、メモリ・バッファから設定値以上のデータ量を、プログラムが読み込もうとしたときに発生する。その結果として、隣接するメモリ領域へのアクセスが生じ、危険な動作やクラッシュにつながるという。

Fortinet の脆弱性 CVE-2022-39952：Shodan 検索結果をベースにした推測は適切なのか？

Fortinet Shares Clarifications on Exploitation of FortiNAC Vulnerability

2023/02/24 SecurityWeek — Fortinet は、FortiNAC network access control (NAC) の脆弱性を狙った最近の悪用行為について、同社がセンセーショナルな報道と表現したことに関して、いくつかの重要な説明を行った。この脆弱性 CVE-2022-39952 は、悪用に成功したリモートの未認証の攻撃者により、任意のコードが実行される可能性を持つものだ。この問題は、Fortinet の内部で発見されている。

ワイパー・マルウェアが急増：ウクライナ侵攻により世界中で蔓延し始める

Russian Invasion Sparks Global Wiper Malware Surge

2023/02/23 InfoSecurity — セキュリティ・ベンダーの Fortinet によると、ウクライナ戦争により破壊的なマルウェアの新しい波が世界中に押し寄せており、それをサービスとして提供する、サイバー犯罪グループが増えているという。昨年にロシア軍が利用したワイパー・マルウェアだが、昨年にウクライナ国境を越えて急速に拡大し、その活動量は 2022 Q3 と Q4 の比較において 53％増になると、同社は指摘している。

Fortinet FortiNAC／FortiWeb の深刻な脆弱性が FIX：緩和策や回避策は存在しない

Fortinet fixes critical RCE flaws in FortiNAC and FortiWeb

2023/02/17 BleepingComputer — Fortinet の FortiNAC／FortiWeb に対するセキュリティ・アップデートが公開された。そこで対処された２つの深刻な脆弱性は、認証されていない攻撃者による任意のコード／コマンド実行にいたる可能性のあるものだ。１つ目は、FortiNAC に影響を及ぼす脆弱性 CVE-2022-39952 であり、CVSS 値は 9.8 (Critical) である。FortiNAC は、ネットワーク・アクセス制御ソリューションであり、リアルタイムでのネットワークの可視化／セキュリティ・ポリシーの適用／脅威の検知と緩和を支援するものだ。

PyPI パッケージに潜む W4SP Stealer：あらゆる機密情報を盗み取る

Devs targeted by W4SP Stealer malware in malicious PyPi packages

2023/02/12 BleepingComputer — Python Package Index (PyPI) 上で発見された５つの悪意のパッケージは、無防備な開発者からパスワード／Discord 認証クッキー／暗号通貨ウォレットを盗み出すものだ。PyPI とは、プログラミング言語 Python で作成されたパッケージのためのソフトウェア・リポジトリであり、約 20万個のパッケージをホストしている。そのため、開発者は各種のプロジェクト要件を満たす、既存のパッケージを見つけることが可能となり、時間と労力を節約できる。

PyPI に悪意の Python パッケージ：すでに 450回もダウンロードされている

Researchers Uncover Obfuscated Malicious Code in PyPI Python Packages

2023/02/10 TheHackerNews — Python Package Index (PyPI) に侵入した４種類の悪意のパッケージが、マルウェア投下／netstat ユーティリティ削除／SSH authorized_keys ファイルの操作などの、数々の悪質なアクションを実行することが確認されている。問題のパッケージの名称は、aptx／bingchilling2／httops／tkint3rs であり、いずれも削除までの間に、450回ほどダウンロードされている。なお、aptx は Qualcomm の同名オーディオ・コーデックを模倣したものであり、httops と tkint3rs は、それぞれ https と tkinter のタイポスクワッティングである。

FortiOS SSL-VPN の脆弱性 CVE-2022-42475：中国由来のハッカーが 2022年10月から侵害

Chinese hackers used recently patched FortiOS SSL-VPN flaw as a zero-day in October

2023/01/20 SecurityAffairs — 先日にパッチが適用された FortiOS SSL-VPN の脆弱性 CVE-2022-42475 を、中国の脅威アクターと思われる人物が、ゼロデイとして悪用したことを、Mandiant の研究者たちが報告している。この脆弱性は、欧州の政府機関やアフリカの MSP などを標的とする、一連の攻撃で悪用されたと、同社は述べている。この脆弱性は、2022年12月に Fortinet により対処されているが、攻撃自体は 10月の時点で生じていた。専門家たちが集めた証拠によると、中国のサイバースパイ活動の一環であることが示唆されている。

FortiOS のゼロデイ CVE-2022-42475 が FiX：高度かつ活発な悪用を検出

Fortinet: Govt networks targeted with now-patched SSL-VPN zero-day

2023/01/12 BleepingComputer — Fortinet によると、2022年12月にパッチ適用された FortiOS SSL-VPN のゼロデイ脆弱性を悪用する脅威アクターが、政府の機関や関連組織にターゲットを狙った攻撃を行っていたことが判明した。一連のインシデントで悪用されたのは、FortiOS SSL-VPN に存在するヒープバッファ・オーバーフローの脆弱性 CVE-2022-42475 であり、認証されていないリモートの攻撃者に対して、デバイスの毀損やコード実行を許すものである。

Fortinet FortiADC／FortiTester 深刻な脆弱性が FIX：HTTP リクエストを介した RCE

Fortinet fixed multiple command injection bugs in FortiADC and FortiTester

2023/01/04 SecurityAffairs — サイバー・セキュリティ・ベンダーである Fortinet は、同社製品に影響を及ぼす複数の脆弱性に対応した。また、Application Delivery Controller である FortiADC に影響を及ぼす、深刻なコマンド・インジェクションの脆弱性 CVE-2022-39947 (CVSS 8.6) について、顧客に警告を発している。この脆弱性 CVE-2022-39947 は、FortiADC の OS Command における特殊要素の不適切な無効化に起因し、特別に細工された HTTP リクエストを介した、任意のコード実行を許す可能性がある。

Fortinet FortiOS に緊急パッチ：認証バイパスの脆弱性 CVE-2022-42475 の悪用に対応

Fortinet Warns of Active Exploitation of New SSL-VPN Pre-auth RCE Vulnerability

2022/12/13 TheHackerNews — 月曜日に Fortinet は、同社の SSL-VPN 製品 FortiOS に影響を及ぼす深刻なセキュリティ脆弱性に対して緊急パッチをリリースし、この脆弱性が実際に悪用されていることを明らかにした。この深刻な脆弱性 CVE-2022-42475 (CVSS：9.3) は、ヒープベース・バッファ・オーバーフローの脆弱性であり、認証されていない攻撃者による、特別に細工したリクエストを介した任意のコード実行を引き起こす可能性がある。

GoTrim ボットネットのブルートフォース攻撃：WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開／クレジットカード窃取スクリプトの注入／フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Cryptonite というランサムウェア・ツールキット：誤ってワイパー型マルウェアに豹変

Open Source Ransomware Toolkit Cryptonite Turns Into Accidental Wiper Malware

2022/12/06 TheHackerNews — Cryptonite と呼ばれるオープンソースのランサムウェア・ツールキットだが、その構造とプログラミングの問題により、ワイパー機能を持つことが判明した。Cryptonite は、他のランサムウェア系統とは異なり、サイバー犯罪者の地下マーケットでは販売されていない。その代わりに、最近まで CYBERDEVILZ という脅威アクターが、GitHub リポジトリで無料で提供していた。このソースコードとフォークは、その後に削除されている。

Fortinet の深刻な脆弱性 CVE-2022-40684：アクセスを販売する IAB が登場？

Threat actors are offering access to corporate networks via unauthorized Fortinet VPN access

2022/11/29 SecurityAffairs — Cyble の研究者たちが認識しているのは、最近のパッチが適用された Fortinet 製品に存在する、深刻な脆弱性 CVE-2022-40684 を悪用する Initial Access Broker (IAB) が、企業ネットワークへのアクセスを販売している可能性が高いという状況である。10月の初旬に Fortinet は、FortiGate Firewall／FortiProxy Web Proxy に影響を及ぼす、認証バイパスの脆弱性 CVE-2022-40684 に対処している。この脆弱性の悪用に成功した攻撃者は、脆弱なデバイスにログインすることが可能であると、Fortinet は説明している。

Chrome の悪意のエクステンション VenomSoftX：Google Sheets を装い暗号通貨を窃取

Google Chrome extension used to steal cryptocurrency, passwords

2022/11/21 BleepingComputer — VenomSoftX という情報窃取型の Google Chrome エクステンションが、Windows マルウェアにより展開され、ユーザーの暗号通貨やクリップボードの内容を窃取している。この Chrome エクステンションは、Windows マルウェア ViperSoftX によりインストールされ、JavaScript ベースの RAT (Remote Access Trojan) として、また、暗号通貨ハイジャッカーとして機能する。 ViperSoftX は 2020年から存在しており、Cerberus と Colin Cowie のセキュリティ研究者により、また、Fortinet のレポートにより、以前から公表されている。

FBI／CISA／HHS 共同警告：ランサムウェア Hive の被害額が約 $100M に到達

Hive Ransomware Has Made $100m to Date

2022/11/18 InfoSecurity — 昨日に FBI／CISA／HHS (Health and Human Services) が発表した共同警告によると、ランサムウェア亜種 Hive は、これまでに 1,300以上のグローバル企業から約 $100 million の利益を得ているという。この推定利益は、2021年6月に Hive が発見されてから、約15カ月の間に発生したものだ。被害組織は、政府／通信／主要な製造業／IT企業など多岐にわたるが、特に医療機関へ攻撃が集中しているようだ。

IceXLoader マルウェアの感染が増大：Windows Defender を巧みに回避

Phishing drops IceXLoader malware on thousands of home, corporate devices

2022/11/10 BleepingComputer — 現在進行中のフィッシング・キャンペーンにより、数千のホーム／コーポレート・ユーザーが、マルウェア IceXLoader の新バージョンに感染していることが判明している。この夏に、マルウェア・ローダー IceXLoader の野放し状態での悪用が発見されたが、その後にツールの機能が強化され、多段階の配信チェーンを導入されるという、バージョン 3.3.3 がリリースされている。2022年6月に Fortinet が、この Nim ベースのマルウェアを発見したときのバージョンは 3.0 であり、また、ローダーとしての重要な機能が欠けており、開発中というような印象だったという。

Fortinet の深刻な脆弱性 CVE-2022-38374 などが FIX：XSS 攻撃の可能性

Fortinet fixed 16 vulnerabilities, 6 rated as high severity

2022/11/03 SecurityAffairs — Fortinet が FIX した脆弱性の中で、深刻度の高いものとしては、FortiADC の Log ページに存在する persistent XSS の脆弱性 CVE-2022-38374 がある。この問題の原因は、FortiADC の Web ページ生成時における、入力の不適切な無効化の脆弱性 [CWE-79] となる。この脆弱性の悪用に成功したリモートの未認証の攻撃者は、トラフィックやイベントのログビューで観測される HTTP フィールドを介して、persistent XSS 攻撃が可能となる。

Fortinet の脆弱性 CVE-2022-40684 に PoC エクスプロイト：直ちにパッチ適用を！

Exploit available for critical Fortinet auth bypass bug, patch now

2022/10/13 BleepingComputer — FortiOS／FortiProxy／FortiSwitchManager アプライアンスに影響を及ぼす深刻な認証バイパスの脆弱性に対して、PoC エクスプロイトコードが利用可能になった。この脆弱性 CVE-2022-40684 の悪用に成功した攻撃者は、FortiGate firewall／FortiProxy Web proxy／FortiSwitch Manager (FSWM) on-premise management instance などの、管理インターフェイスにおける認証プロセスのバイパスが可能になる。

Fortinet の認証バイパスの脆弱性 CVE-2022-40684：野放し状態での悪用を確認

Fortinet says critical auth bypass bug is exploited in attacks

2022/10/10 BleepingComputer — 今日、Fortinet は、先週にパッチを適用した深刻な認証バイパスの欠陥が、野放し状態で悪用されていることを認めた。このセキュリティ上の脆弱性 CVE-2022-40684 は、管理インターフェイスの認証バイパスに起因するものであり、攻撃に成功したリモートの攻撃者に対して、FortiGate Firewalls／FortiProxy Web Proxies に加えて、FortiSwitch Manager (FSWM) のオンプレミス管理インスタンスへのログインを許してしまうものである。

Fortinet 警告：FortiGate／FortiProxy に新たな認証バイパスの脆弱性

Fortinet Warns of New Auth Bypass Flaw Affecting FortiGate and FortiProxy

2022/10/07 TheHackerNews — Fortinet は顧客に対して、FortiGate Firewall／FortiProxy web proxy に影響するセキュリティ脆弱性に関する非公開の警告を発した。この脆弱性の悪用に成功した攻撃者は、影響を受けるデバイス上で、不正なアクションを行う可能性があるという。

D-Link を狙う Moobot ボットネットは Mirai 亜種：新旧の脆弱性を取り混ぜて攻撃

Moobot botnet is coming for your unpatched D-Link router

2022/09/06 BleepingComputer — MooBot として知られる Mirai 亜種のマルウェア・ボットネットが、８月初旬から始まった新たな攻撃に再登場し、新旧のエクスプロイトを取り混ぜて、脆弱な D-Link ルーターをターゲットにしている。2021年12月に Fortinet のアナリストが発見した MooBot は、Hikvision カメラの脆弱性を標的にして急速に拡散し、多数のデバイスを DDoS (分散型サービス拒否) に陥らせてきた。

RapperBot ボットネットは Mirai 由来：SSH サーバにブルートフォースを仕掛けて休眠

New Linux malware brute-forces SSH servers to breach networks

2022/08/04 BleepingComputer — 2022年6月の中旬から、RapperBot と呼ばれる新しいボットネットが攻撃が検知されているが、その後の調査により、Linux SSH サーバーにブルートフォースで侵入し、デバイスに足場を築くことに重点を置いていることが判明した。研究者たちによると、RapperBot は Mirai トロイの木馬をベースにしているが、可能な限り多くのデバイスを無秩序に感染させるという、マルウェア本来の動作から逸脱しているようだ。

Windows の脆弱性 Follina CVE-2022-30190 を悪用する Rozena バックドアに注意！

Hackers Exploiting Follina Bug to Deploy Rozena Backdoor

2022/07/09 TheHackerNews — 新たに観測されたフィッシング・キャンペーンは、先日に公開された脆弱性 Follina (CVE-2022-30190) を悪用し、これまで文書化されていなかったバックドアを、Windows システム上に配布するものだった。今週に発表したレポートで、Fortinet FortiGuard Labs の研究者である Cara Lin は、「Rozena は、攻撃者のマシンに戻ってリモートシェル接続を注入することが可能なバックドア・マルウェアだ」と述べている。

Cisco／Fortinet 製品群の深刻な脆弱性 CVE-2022-20812／CVE-2022-26117 などが FIX

Cisco and Fortinet Release Security Patches for Multiple Products

2022/07/06 TheHackerNews — 水曜日に Cisco は、複数の製品に存在する 10件のセキュリティ欠陥に対するパッチを配布した。そのうちの１件は、深刻度 Critical と評価され、絶対パストラバーサル攻撃を行うために武器となる可能性がある。Cisco Expressway および Cisco TelePresence Video Communication Server (VCS) に影響を及ぼす、脆弱性 CVE-2022-20812 および CVE-2022-20813 について、Cisco は「リモート攻撃者が任意のファイルを上書きし、影響を受けるデバイスで NULL バイト・ポイズニング攻撃を行える」と述べている。

EnemyBot の狙う脆弱性がエグイ：即座に VMware／Spring／F5 BIG-IP に対応

EnemyBot malware adds exploits for critical VMware, F5 BIG-IP flaws

2022/05/29 BleepingComputer — 複数のマルウェア・コードをベースにしたボットネット EnemyBot は、Webサーバー／CMS／IoT／Android 端末などで公開されたばかりの、深刻な脆弱性の悪用に迅速に対応し、その範囲を拡大している。このボットネットは、Securonix の研究者により 3月に初めて発見され、Fortinet から新しいサンプルの分析結果が提供された 4月には、すでに 12種類以上のプロセッサ・アーキテクチャの不具合を統合していた。このマルウェアは、分散型サービス拒否 (DDoS) 攻撃を主目的としており、新しいターゲット・デバイスをスキャンして感染させるモジュールも備えている。