Google – Page 10 – IoT OT Security News

2022年の認証情報を考える：240 億件以上のパスワードセットが闇取引されている現状とは？

24+ Billion Credentials Circulating on the Dark Web in 2022 — So Far

2022/06/15 DarkReading — パスワードレス技術は、いまのサイバー・セキュリティ部門で最も注目されている分野のひとつだと思われるが、現場では未だにパスワードが広く利用されおり、安全性が非常に低いという現実が存在する。ある報告書によると、サイバー犯罪者のマーケット・プレイスで流通しているユーザー名／パスワードのセットは、今年の時点で 246億件にのぼることが判明している。これは、地球上のすべての人に４セットの認証情報があることを示し、前回の 2020年の調査と比較して 65％増加している。

Google の視点：SBOM を適切に機能させるには脆弱性情報とのマッピングが不可欠

Google: SBOMs Effective Only if They Map to Known Vulns

2022/06/15 DarkReading — Software bills of materials (SBOMs) は、製品を構築するために使用されるコンポーネント／モジュール／ライブラリの詳細なリストであり、消費者のためのサプライチェーンにおけるサイバー・セキュリティ・リスクを低減する方法として、National Institute of Standards and Technology (NIST) や米国の規制当局により支持されている。

Google Chrome 102 アップデート：深刻度の高い脆弱性 CVE-2022-2007 などが FIX

Chrome 102 Update Patches High-Severity Vulnerabilities

2022/06/10 SecurityWeek — 今週に Google がリリースした Chrome 102 は、７つの脆弱性を修正するものであり、その中には外部研究者から報告された４つの脆弱性も含まれている。これらの脆弱性うち、CVE-2022-2007 は WebGPU における use-after-free の問題であり、発見した David Manouchehri には $10,000 のバグバウンティ報酬が贈られている。

Apple App Store の 2021年：160万件の危険／脆弱なアプリの配信が阻止された

Apple blocked 1.6 millions apps from defrauding users in 2021

2022/06/04 BleepingComputer — 今週、Apple App Store のアプリ審査チームは、2021年に申請された iOS アプリについて、343,000 件以上がプライバシー違反でブロックされ、157,000 件が詐欺／スパムの理由で却下されたと発表した。さらに App Store では、34,500 件以上のアプリが、文書化されていない機能や隠し機能を理由にブロックされ、155,000件のアプリが、承認後に新しい機能／性能を追加したことなどで削除されている。2021年を通じて App Review チームは、160 万件以上の危険／脆弱なアプリの追加やアップデートを阻止している。

Google とロシア制裁：ISP ２社のキャッシュ・サーバーがシャットダウン

Google shut down caching servers at two Russian ISPs

2022/05/26 BleepingComputer — ロシアの ISP ２社が、自社のネットワーク上のグローバル・キャッシング・サーバーが無効化された旨の通知を、Google から受け取った。このキャッシング・サーバーとは、Google のコンテンツをインターネット・ユーザーに高速で提供し、障害が発生したときにも、アクセスに対する信頼性を維持するための ISP 向けノードである。ISP がサーバーに保持するキャッシュとは、ユーザーによる高速でのデータ・ロードを実現するためのものであり、たとえば YouTube コンテンツにとっては必要不可欠なものである。

Google 警告：Zoom のリモートコード実行の脆弱性とゼロクリックの詳細

Google Discloses Details of Zoom Zero-Click Remote Code Execution Exploit

2022/05/25 SecurityWeek — Google の Project Zero は、ビデオ会議ソフトウェア Zoom を標的とした、ゼロクリック・リモートコード実行の詳細を公開した。Project Zero の Ivan Fratric は、悪意の行為者が XMPP プロトコル上でメッセージを送信することで、ユーザーとのインタラクションを必要とせずに、チャット機能を介して Zoom ユーザーを侵害する、悪用チェーンについて説明した。Fratric が公表した悪用チェーンの１つは、XMPP Stanza Smuggling と名付けられている。

Google の OAuth Client Library for Java における深刻な脆弱性 CVE-2021-22573 が FIX

High-Severity Bug Reported in Google’s OAuth Client Library for Java

2022/05/19 TheHackerNews — 2022年4月に Google は、Java 用 OAuth クライアント・ライブラリに存在する深刻度の高い脆弱性に対処した。この欠陥は、漏洩したトークンを用いる脅威アクターに対して、任意のペイロード展開を許す可能性があるというものだ。この脆弱性 CVE-2021-22573 の深刻度は CVSS 値 8.7 と評価され、暗号署名の不適切な検証に起因し、ライブラリの認証バイパスにいたる恐れがある。

Google Cloud の Assured OSS サービス：審査済みの Open Source コンポーネントを提供

Google Cloud Aims to Share Its Vetted Open Source Ecosystem

2022/05/18 DarkReading — Google によるセキュリティ対策の恩恵を望む開発者は、Google の開発者がセキュリティ問題を検証し、パッチ適用を把握している、オープンソース・コンポーネントを利用するサービスを、まもなくサブスクライブできるようになる。この Assured Open Source Software (OSS) と名付けられたサービスは、頻繁なスキャンとコード解析により作成されたメタデータで補強される、新たな Supply chain Levels for Software Artifacts (SLSA) フレームワークに準拠する。したがって、Google の署名を受けた、オープンソース・パッケージのバージョンが提供されることになる。

Google がパッケージの依存関係をグラフで分析：Open-Source Maintenance Crew とは？

Google Created ‘Open-Source Maintenance Crew’ to Help Secure Critical Projects

2022/05/13 TheHackerNews — 木曜日に Google は、重要なオープンソース・プロジェクトのセキュリティ強化のために、Open Source Maintenance Crew を創設したことを発表した。さらに Google は、パッケージと依存関係をグラフで分析するツールとして Open Source Insights を指摘し、それを使って「依存関係にある脆弱性が自身のコードに影響を及ぼす可能性の有無を判断する」ことを提案した。

Google の SMTP Relay サービスを悪用するフィッシング：DMARC プロトコルでの防御が必須

Phishers exploit Google’s SMTP Relay service to deliver spoofed emails

2022/05/03 HelpNetSecurity — フィッシング詐欺師たちが、Google の SMTP Relay サービスの欠陥を悪用し、人気ブランドになりすます悪質なメールを送信している。Avanan のリサーチャーである Jeremy Fuchs によると、2022年4月から、この SMTP Relay サービスを悪用する脅威アクターが大量に発生し、他の Gmail テナントになりすますという攻撃に至っているとのことだ。

OpenSSF の新プロジェクトが実用段階に：OSS リポジトリから悪意のパッケージを探し出す

New OpenSSF Project Hunts for Malicious Packages in Open Source Repositories

2022/04/29 SecurityWeek — Open Source Security Foundation (OpenSSF) が発表した新しいプロジェクトとは、オープンソース・リポジトリ内の悪意のパッケージの特定を、支援することを目的とするものだ。OpenSSF によると、この Package Analysis プロジェクトは、オープンソース・パッケージの挙動と機能 (アクセスするファイル／サポートするコマンド／接続する IP など) を特定し、疑わしい活動を明らかにし、変更を追跡することを目的としている。

Google Play 2021年の奮闘記：120 万件の悪質アプリをブロックしたけど・・・

1.2 Million Bad Apps Blocked From Reaching Google Play in 2021

2022/04/28 SecurityWeek — 2021年の Google は、Google Play にエントリーされた、120万件の悪質なアプリをブロックしたと主張している。しかし、依然としてサイバー犯罪者たちは、公式 Android アプリ・ストアを介して、マルウェアを配信する方法を見つけ出そうとしている。水曜日に Google が共有したデータによると、同社の自動化されたシステムにより、ポリシー違反アプリ 120万件がブロックされ、Google Play への公開が阻止され、数十億件の有害なインストールが防止されたようだ。

ゼロデイ脆弱性調査 2021：悪用の件数は前年比で２倍以上に！

Zero-Day Exploit Use Exploded in 2021

2022/04/22 DarkReading — 2021年の脅威アクターたちは、これまでと比べて数多くのゼロデイ脆弱性を悪用しているが、その大半で Microsoft／Google／Apple のソフトウェアが対象にされている。これまでと同様に、国家に支援された APT (advanced persistent threat) アクターたちが、これらのゼロデイ脆弱性を最も活発に悪用している。また、ランサムウェア運営者などの、金銭的な動機のあるグループもゼロデイ攻撃を急増させ、攻撃者の３人に１人を占めている。

あなたが脆弱性を発見したとき：CVE 発行までの 4-Steps とは？

4 Steps to Getting CVEs Published

2022/04/19 SecurityBoulevard — あなたが、セキュリティ研究分野の新参者なら、最も苛立たしい問題の１つとして、脆弱性と CVE を公開するためのプロセスのナビゲーションがあるだろう。結局のところ、あなたは、新しく発見した脆弱性を世界と共有したいだけなのだが、それが厄介なのだ。

この業界を代表して申し上げると、私たちは皆、キャリアのどこかで、この困難な状況に直面したことがあるはずだと思う。研究者仲間を助けるリソースとして、私自身の個人的な経験 (そして正直なところ、多くの古き良き試行錯誤) に基づき、以下の CVE パブリッシング・ガイドをまとめてみた。このガイドにより、頭痛や推量が回避され、より簡単に CVE が公開されることを期待している。

Google Chrome に緊急パッチ：野放しで悪用されているゼロデイ脆弱性に対応

Google Releases Urgent Chrome Update to Patch Actively Exploited Zero-Day Flaw

2022/04/14 The Hacker News — 4月11日に Google は、同社の Web ブラウザ Chrome に存在する、２つのセキュリティ問題に対処するための緊急パッチを配布した。この深刻な脆弱性 CVE-2022-1364 は、V8 JavaScript エンジンにおけるタイプ・コンフュージョンに起因すると説明されている。Google Threat Analysis Group の Clément Lecigne が、この欠陥を 2022年4月13日に報告したとされている。

メッセージング・アプリの選び方：利便性と安全性をビジネス目線で考察する

Which Third-Party Messenger App Is Best for Secure Business?

2022/04/07 SecurityIntelligence — 2021年10月のこと、世界中で Facebook／Instagram／WhatsApp／Messenger が最大で６時間にわたり停止し、数十億人がメッセージ・サービスを受けられなくなった。Facebook のエンジニアたちが問題解決に奔走する間、ユーザーは他のアプリに移行してつながりを維持した。Telegram の創設者である Pavel Durov によると、この停止の後に、7000万人のユーザーが増加したという。

Google と GitHub が協力：ソフトウェアの真正性確保によりサプライチェーン攻撃に対抗

Google Teams Up With GitHub for Supply Chain Security

2022/04/07 SecurityWeek — Google と GitHub が協力して、SolarWinds や Codecov に影響を与えたような、ソフトウェア・サプライチェーン攻撃に対抗するための、防御ソリューションを提供している。Google の Open Source Security Team の説明によると、SolarWinds の攻撃では、ハッカーがビルド・サーバーを制御し、ビルド・プラットフォームに悪意のアーティファクトを注入している。また、Codecov の攻撃では、脅威者は信頼できるビルド・サーバを迂回して、悪意のアーティファクトをアップロードしていた。

OpenSSL の脆弱性 CVE-2022-0778 の追跡調査：各ベンダーたちの現状について

Cybersecurity Vendors Assessing Impact of Recent OpenSSL Vulnerability

2022/03/31 SecurityWeek — ３月の初めに発生した OpenSSL の脆弱性が、自社の製品やサービスに与える影響について、セキュリティ／クラウド／ストレージなどのベンダーたちが評価を進めている。OpenSSL プロジェクトが公開した更新プログラムでは、証明書の解析に関連する深刻度の高いサービス拒否 (DoS) 脆弱性に対してパッチが適用されている。このセキュリティ・ホールは、Google の脆弱性研究者である Tavis Ormandy が報告したものであり、CVE-2022-0778 として追跡され、OpenSSL の Ver 1.0.2／1.1.1／3.0 に影響を及ぼしている。このリリースにより、Ver 1.0.2zd／1.1.1n／3.0.2 で修正されている。

Google Chrome のゼロデイ脆弱性が FIX：緊急アップデートが配布されている

Google Issues Urgent Chrome Update to Patch Actively Exploited Zero-Day Vulnerability

2022/03/25 TheHackerNews — 金曜日に Google は、Chrome ブラウザに存在する深刻な脆弱性に対処するため、不定期のセキュリティ・アップデートを配布した。このゼロデイ脆弱性 CVE-2022-1096 は、V8 JavaScript エンジンに存在するタイプ・コンヒュージョンの欠陥に起因する。なお、このバグを 2022年3月23日に報告したのは、匿名の研究者だとされている。

Google 警告：中国の国家支援ハッカーたちがウクライナ政府を狙っている

Google: Chinese state hackers target Ukraine’s government

2022/03/18 BleepingComputer — Google の Threat Analysis Group (TAG) によると、人民解放軍 (PLA) を含む中国情報機関が、ロシアによるウクライナ侵攻について、より多くの情報を得ようとして動き回っているようだ。Google TAG の Security Engineer である Billy Leonard によると、中国が支援するハッキング・グループの標的となったウクライナ政府機関に対して、Google から通知が行われているようだ。

OpenSSL 証明書解析の脆弱性 CVE-2022-0778 が FIX：サービス拒否が発生

OpenSSL cert parsing bug causes infinite denial of service loop

2022/03/16 BleepingComputer — OpenSSL が公開したセキュリティ・アップデートは、そのライブラリの脆弱性を悪用により無限ループ関数が作動し、サービス拒否状態に陥るという脆弱性に対処するためのものである。サービス拒否攻撃は、最も悲惨なセキュリティ問題ではないかもしれないが、重要な事業の中断／長期的な財務的影響、ブランド評価の低下などを引き起こす可能性が生じる。

Google が中国由来の APT31 をブロック：米政府関係者の Gmail にフィッシング

Google blocked China-linked APT31’s attacks targeting U.S. Government

2022/03/09 SecurityAffairs — Google は、中国に関連するサイバー・スパイ・グループ APT31 (別名：Zirconium／Judgment Panda／Red Keres) が実施した、米国政府関連 Gmail ユーザーを狙ったフィッシング・キャンペーンをブロックしたと発表した。このキャンペーンは２月に行われたが、Google Threat Analysis Group (TAG) チームは、現在進行中のウクライナ侵攻と関連付けてはいない。Google TAG の Director である Shane Huntley は、同社により全てのフィッシング・メッセージが検知され、ブロックされたことを確認した。

ロシア政府による Facebook と Twitter のブロック：これもハイブリッド戦？

Russia blocks access to Facebook, Twitter, foreign news outlets

2022/03/04 BleepingComputer — Facebook の親会社である Meta が、RIA Novosti／Sputnik／Russia Today などのクレムリン系のメディア／通信社のアカウントを無効化／アクセス制限したことで、ロシア政府は Facebook へのアクセスをブロックした。この記事の掲載後に、ロシアのインターネット監視機関である Roskomnadzor が Interfax に伝えたところによると、ロシアは 2月24日に検察庁の要求を受けて、Twitter へのアクセスもブロックしたとのことだ。2月26日に Twitter は、「ロシアの一部の人々に対して、制限されている。サービスの安全性とアクセスを維持するために努力している」と述べている。

ロシア当局から Google への要請：ウクライナ侵攻に関するフェイクの停止

Russia asks Google to end “misinformation” on “special op” in Ukraine

2022/03/03 BleepingComputer — ロシアの通信監視機関である Roskomnadzor は、ロシアのウクライナ侵攻に関する誤った情報を伝える、YouTube 動画の広告キャンペーン停止を Google に要請した。ロシアの通信監視団が主張するように、不正確な内容もあり、年齢指定のないオンライン広告が、ウクライナでのロシア軍の特別作戦に関する誤った情報を押し付け、抗議ムードを植え付けるために利用されている。

ウクライナ当局の発表：IT Army によりロシア主要 Web サイトがダウン

Ukraine says its ‘IT Army’ has taken down key Russian sites

2022/02/28 BleepingComputer — ウクライナのサイバー警察は、ロシアの主要 Web サイトや国営オンライン・ポータルなどがオフラインになり、現在も公然としたサイバー戦争が行われていると主張している。同警察サイトでの発表によると、セキュリティ専門家がボランティアと協力して、ロシアとベラルーシの Web リソースを攻撃したとのことだ。この３カ国は、大規模な武力紛争に巻き込まれているが、それ以前からサイバー戦争の存在は顕在化していた。

CISA が編纂するリスト：サイバー・セキュリティのための無償ツール／サービス

CISA compiles list of free cybersecurity tools and services

2022/02/19 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃からの防御を強化し、組織のセキュリティ能力を高めるための、無料のサイバー・セキュリティ・サービス／ツールのリストを公開した。このリストは、包括的なものではなく、また、変化にも対応できるものだが、サイバー・セキュリティ・プログラムのための、基本的なセキュリティ対策と組み合わせることで、企業のサイバー・セキュリティ・リスク管理を成熟させることを目的としている。

Google Cloud と Log4Shell：ピーク時のスキャン数は 40万件／日

Google Cloud offers good news and bad news on Log4Shell, other issues

2022/02/15 CyberScoop — Google Cloud では、Log4Shell バグを持つ脆弱なシステムに対して、１日あたり 40万回のスキャンが行われていると、同社は火曜日に発表した。Google Cloud の CISO である Phil Venables は CyberScoop に対して、「当社の不定期レポート Threat Horizons の調査結果では、スキャンは継続的に行われており、脆弱なインスタンスを１つでもオープンにしておくと発見される。IT セキュリティ担当者は常に注意を払う必要がある」と述べている。

Google Chrome のゼロデイ脆弱性 CVE-2022-0609：積極的な悪用と緊急アップデート

New Chrome 0-Day Bug Under Active Attack – Update Your Browser ASAP!

2022/02/14 TheHackerNews — 月曜日に Google は、Web ブラウザ Chrome に存在する、８つのセキュリティ問題の修正プログラムを公開した。この中には、実際の攻撃で積極的に悪用されている、深刻度の高い脆弱性も含まれており、2022年に入ってから初めてのゼロデイ・パッチとなった。

Google のバグ報奨金プログラム：2021年は $8.7 M で前年比 30% 増の支払い額

Google Paid Record $8.7 Million to Bug Hunters in 2021

2022/02/12 DarkReading — バグバウンティ・プログラムは、外部のセキュリティ研究者と協力して、製品のセキュリティの脆弱性を特定／修正する意欲の表れであり、また、テクノロジーを標的とする潜在的な攻撃への対抗の表れでもある。Google のプラットフォームである Android／Chrome／Play は、悪意の攻撃者が標的とする、脆弱性の多い環境であり続けている。昨年に Google は、自社のテクノロジーに存在する何千もの脆弱性を発見／報告した、62カ国の 696人のバグハンターに対して過去最高額となる $8.7 million の報奨金を支払った。

Google Project Zero レポート：各ベンダーのゼロデイ対応と時間軸

Google Project Zero: Vendors are now quicker at fixing zero-days

2022/02/11 BleepingComputer — Google の Project Zero は、2021年において同チームが報告したゼロデイ脆弱性について、それぞれの組織が対応に要した時間の短縮示すレポートを発表した。この Project Zero が報告したデータによると、ソフトウェア・ベンダーがセキュリティ修正プログラムの発行に要した平均期間は、2017年の 80日から、2021年は 52日に短縮された。さらに、大半のベンダーが、業界標準の期限である90日と、２週間の猶予期間内に、欠陥に対処した。

Google の 2FA 推進プロモーション：1.5 億人が追加されセキュリティが向上

Google sees 50% security boost for 150M users after 2FA enroll

2022/02/08 BleepingComputer — Google は、可能な限り多くのアカウントにおいて、２要素認証 (2FA) を自動的に登録する取り組みを加速させ、2FA を有効にするユーザー 1億5,000万人を追加したと発表した。Google は 2021年5月に、漏洩した認証情報や推測されたパスワードの悪用によるアカウント乗っ取り攻撃から、可能な限り多くのアカウントを保護するための広範な取り組みの一環として、すべてのユーザーに 2FA の使用させることを発表した。

Google Cloud の脅威検出テクノロジー：仮想マシン内を VMTD でスキャン

Google announces threat detection for virtual machines in its cloud

2022/02/07 HelpNetSecurity — Google Cloud 上で動いている企業のワークロードを保護するために、Google は新たな防御層を追加した。それは、Virtual Machine Threat Detection (VMTD) と呼ばれるものであり、Security Command Center の Premium 顧客が、仮想マシン内の暗号化マルウェアを検出するのに役立つ。

多要素認証 (MFA) の第２ラウンド：脅威アクターはリバースプロキシ・キットで対抗

MFA adoption pushes phishing actors to reverse-proxy solutions

2022/02/03 BleepingComputer — オンライン・アカウントへの多要素認証 (MFA) の導入が進むにつれて、フィッシング詐欺師たちは悪質な活動を継続するために、より洗練されたソリューション (特にリバースプロキシ・ツール) を利用するようになっている。COVID-19 の大流行は、人々の働き方を大きく変え、自宅での仕事を可能にし、場合によっては望ましいことを証明した。

SolarWinds 攻撃と新たなマルウェア：長期間の潜伏を可能にする手法とは？

New Malware Used by SolarWinds Attackers Went Undetected for Years

2022/02/02 TheHackerNews — SolarWinds サプライチェーン侵害の背後にいる脅威アクターは、この攻撃に新しいツールやテクニックを投入し、2019年からマルウェアを強化し続けることで、とらえどころのない性質を持つキャンペーンに成長し、何年もアクセスを維持する敵対者の能力を示してきた。

Nobelium ハッキング・グループの斬新な戦術を解説する、サイバー・セキュリティ企業である CrowdStrike によると、攻撃の規模が拡大する以前から、２つの洗練されたマルウェア・ファミリーが被害者のシステムに潜入していたという。それらは、GoldMax の Linux 版と、TrailBlazer という新たなインプラントである。

OpenSSF の新プロジェクト Alpha – Omega：セキュリティのために Microsoft／Google が出資

OpenSSF Launches Project to Secure Open Source Software

2022/02/01 SecurityBoulevard — 今日、Open Source Security Foundation (OpenSSF) は、Microsoft と Google から提供された $5 million の初期投資を用いて、オープンソース・ソフトウェアのセキュリティを向上させるための Alpha-Omega プロジェクトを立ち上げた。

OpenSSF の General Manager である Brian Behlendorf は、このプロジェクトの目的について、セキュリティに関する専門知識を広範なオープンソース・ソフトウェア・プロジェクトに提供し、オープンソース・ソフトウェア構築で用いられる DevSecOps ワークフローに組み込むことが可能な、自動セキュリティ・テスト・ツールへのアクセスを提供することだと述べている。

Chaes というバンキング・トロイの木馬が Chrome エクステンションを介して拡散

Chaes banking trojan hijacks Chrome with malicious extensions

2022/01/26 BleepingComputer — 800 以上の侵害された WordPress Web サイトを含む、大規模なキャンペーンにより、ブラジルの電子銀行ユーザーの認証情報を狙うバンキング・トロイの木馬が拡散している。Avast の研究者たちによると、このキャンペーンで使用されているトロイの木馬は Chaes と呼ばれており、2021年後半から活発に拡散しているとのことだ。

Google Drive の警告バナー：悪意のファイルへのアクセスを止める

Google Drive now warns you of suspicious phishing, malware docs

2022/01/25 BleepingComputer — Google は、Google Drive に新たな警告バナーを導入し、脅威アクターがマルウェア配信やフィッシング攻撃に使用する可能性のある、疑わしいファイルについてユーザーに警告を発している。この新しい警告バナーは、2021年10月に開催されたユーザー・カンファレンス Google Cloud Next 2021 で発表されたものだ。Google は、「Google Drive に存在する疑わしいファイルや危険なファイルを、ユーザーが開いた場合に警告バナーを表示して、マルウェア／フィッシング／ランサムウェアなどから保護する」と説明している。

Google の方針転換：Cookie の代替としての FLoC は諦めて Topics API を提示

Google Drops FLoC and Introduces Topics API to Replace Tracking Cookies for Ads

2022/01/25 TheHackerNews — 火曜日に Google は、物議を醸したサードパーティー・クッキーの置き換え計画を断念し、ユーザーの閲覧履歴を約350のトピックに分類する、Topics というプライバシー・サンドボックスの新提案を行うことを発表した。FLoC (Federated Learning of Cohorts) に代わる、この新しい仕組みでは、ある週のユーザーの閲覧履歴を、あらかじめ指定された上位の関心事 (Topics) にスロットし、３週間だけデバイス上にのみに保持される。

Zoom ゼロデイ脆弱性の特殊性：Google Project Zero の研究者が語る

Google Details Two Zero-Day Bugs Reported in Zoom Clients and MMR Servers

2022/01/21 TheHackerNews — 人気の高いビデオ会議ソリューション Zoom の、ゼロクリック攻撃領域を調査した結果として、これまで公表されていなかった２つの脆弱性が発見された。これらの脆弱性が悪用されると、サービスのクラッシュ／悪意のコードの実行／メモリの任意の領域のリークが可能となる。昨年に、この２つの脆弱性を発見／報告した Google Project Zero の Natalie Silvanovich によると、この問題は、Zoom クライアントおよび、オンプレミス環境でクライアント間の音声／映像コンテンツを伝送する Multimedia Router (MMR) サーバーに影響するという。

ホワイトハウス OSS セキュリティ・サミット：各ベンダーの声明を集めてみた

U.S. Government, Tech Giants Discuss Open Source Software Security

2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開／悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。

ホワイトハウスの念押し：ハイテク大手のオープンソースが国家安全保障の問題

White House reminds tech giants open source is a national security issue

2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、３つのテーマが取り上げられた。

サイバー攻撃の最新動向：クラウドからトロイの木馬を振り撒く攻撃者たち

New Cyberattack Campaign Uses Public Cloud Infrastructure to Spread RATs

2022/01/13 DarkReading — 最近の攻撃キャンペーンには、パブリック・クラウドのインフラを利用して、コモディティ RAT である Nanocore／Netwire／AsyncRAT の亜種を配信し、ユーザーのデータを標的にするものが見られると、研究者たちが報告している。この、10月に発見された攻撃キャンペーンは、攻撃者が自身でインフラをホストせずに目的を達成するために、クラウド利用を増やしていることが明示されていると、Cisco Talos の研究者たちが報告している。

Google Docs コメントを武器化する新たなフィッシング・キャンペーンに注意

Google Docs Comments Weaponized in New Phishing Campaign

2022/01/07 DarkReading — 最近のフィッシング・キャンペーンにおいて、Google Docs のコメント機能を悪用することで、正当に見えるメールを送信し、ターゲットに悪意のリンクをクリックさせるものが発見された。このキャンペーンを発見した Avanan の研究者たちによると、Google Suite に対するユーザーの信頼性を悪用する方法は、今回が初めてではないとのことだ。

Mac マルウェア調査：Windows に比べて安全という考え方は過去のものに

New Mac Malware Samples Underscore Growing Threat

2022/01/07 DarkReading — 2021年に出現した一握りのマルウェア・サンプルは、Windows システムに比べて Apple のテクノロジーが、攻撃や侵害を受けにくいとはいえ、決して無敵ではないことを改めて示した。セキュリティ研究者である Patrick Wardle は、その年に出現した全ての新しい Mac マルウェアの脅威リスト The Mac Malware of 2021 [pdf] を、６年連続で発表している。彼は、それぞれのマルウェアのサンプルについて、感染経路／インストールと持続のメカニズム／マルウェアの目的などの特徴を特定している。2021年に出現した新しい Mac マルウェアの各サンプルは、彼の Web サイトで公開されている。

フランスのプライバシー保護機関が F と G に合計で 210 M Euros の制裁金

France hits Facebook and Google with $210 million in fines

2022/01/06 BleepingComputer — フランスのデータプライバシー保護機関である National Commission on Informatics and Liberty (CNIL) は、Facebook に対して 60 million Euros ($68 million)、Google に対して 150 million Euros ($170 million) の制裁金を科すことを発表した。これらの制裁金の背景には、Web サイトの訪問者に対して、トラッキング・クッキーの拒否に複数回のクリックを要求することで、拒否し難くしたことを違法と判断したことがある。

Google Chrome 97：１件の Critical と 10件の High などの脆弱性を修正

Chrome 97 Patches 37 Vulnerabilities

2022/01/05 Security Week — 今週に Google は、外部の研究者から報告された 24件の脆弱性を含む、合計で 37件のセキュリティ修正を施した Chrome 97 を、Stable Channel でリリースした。外部から報告された 24件のセキュリティ上の欠陥のうち、深刻度 Critical は 1件、High は 10件、Medium は 10件、Low は 3件となっている。脆弱性の種類としては、use-after-free が 7件で、不適切な実装が 8件などになっている。

Log4j が明らかにしたもの：ソフトウェアの依存関係と SBoM のすすめ

Log4j Highlights Need for Better Handle on Software Dependencies

2022/01/04 DarkReading — 新しい年を迎えたが、サイバー・セキュリティ業界は、またしてもソフトウェア・サプライチェーン・セキュリティの悪夢がもたらす、長期化が予測される問題に直面している。アプリケーション・セキュリティのゼロデイ問題が多発した１年の最後に生じた、Log4j の脆弱性 (Log4Shell) の問題は、2021年のテーマに沿ったブックエンドのようなもので、SolaWinds がスタートさせた年を、同じようなかたちで締め括る。

Google 調査：Log4j の影響を受ける Java Packages は 35,863 種類

Google Finds 35,863 Java Packages Using Defective Log4j

2021/12/20 SecurityWeek — コンピュータ・セキュリティ業界は、Log4j のセキュリティ問題が散見される、長くて険しい道のりに気を引き締めている。専門家たちは、ソフトウェアの依存関係にパッチを当てる作業が上手くいかないと、世界的な緩和策が遅れてしまうと警告している。今週に、Google のオープンソース・チームが、Maven Central にある 35,863個のJava パッケージが、欠陥のある Log4j ライブラリ。バージョンを使用していると報告したことで、この危機の規模と影響が明らかになった。(編集部注：Maven Centralは最大かつ最重要な Java パッケージ・リポジトリ)

Log4j 脆弱性：WebSocket を介した新たな攻撃ベクターと参入ランサムウェア

New Local Attack Vector Expands the Attack Surface of Log4j Vulnerability

2021/12/18 TheHackerNews — サイバー・セキュリティ研究者たちが、JavaScript による WebSocket 接続を介して、ローカル・サーバー上の Log4Shell 脆弱性を悪用するという、まったく新しい攻撃ベクターを発見した。

Google Calendar にフィッシング・ブロック機能が追加：悪意の招待を締め出せ

Google Calendar now lets you block invitation phishing attempts

2021/12/16 BleepingComputer — Google は、フィッシング詐欺などの悪意のキャンペーンに多用される、Google Calendar への不要な招待状をブロックし、追加されないようするための機能をリリースした。この機能は、「招待状を自動的に追加する」という設定を改善するものであり、招待状の自動的なカレンダーへの追加、もしくは、Respond to Event Invitations (RSVP) のみを、選択できるようになった。