Google – Page 10 – IoT OT Security News

Cobalt Strike のハッキング・バージョンは 34 種類：YARA ルールで排除を目指す Google

Google Identifies 34 Cracked Versions of Popular Cobalt Strike Hacking Toolkit in the Wild

2022/11/21 TheHackerNews — 先週に Google Cloud は、Cobalt Strike には 34 種類のハッキングされたバージョンが存在、野放し状態で悪用されていることを明らかにした。その中で、最も古いものは、2012年11月にリリースされたバージョンだという。GCTI (Google Cloud Threat Intelligence) チームの調査結果によると、Cobalt Strike は 1.44 から 4.7 までのバージョンがあり、合計で 275 種類のユニークな JAR ファイルが存在するようだ。そして、最新のバージョンは 4.7.2 だ。

Google が $391M の罰金に同意：Android における不誠実な位置情報の収集

Google will pay $391M to settle Android location tracking lawsuit

2022/11/14 BleepingComputer — Google は、米国 40州の検事総長連合が起こしたプライバシー訴訟に関して、$391.5 million を支払って和解することに合意した。この訴訟と和解は、位置情報追跡が無効になっていると Android ユーザーを誤解させ、2014年から Google が追跡していたことを、2018年の AP 通信の記事を調査中に、米検事総長が発見したことに起因している。

Google Pixel の脆弱性 CVE-2022-20465 が FIX：ロック画面がバイパスされる

5 Easy Steps to Bypass Google Pixel Lock Screens

2022/11/11 DarkReading — 2022年11月の Android アップデートには、Google Pixel のロック画面の、攻撃者によるバイパスというバグの修正版が含まれている。この Google Pixel のセキュリティ脆弱性は、研究者である David Schützにより発見され、６月に報告されたものだ。

Cloud9 は Chrome ボットネット：リモート操作＋多彩な機能で攻めてくる

Malicious extension lets attackers control Google Chrome remotely

2022/11/08 BleepingComputer — Cloud9 という新しい Chrome ブラウザ・ボットネットが、野放し状態で発見された。このボットネットは、悪意のエクステンションを使用して、オンライン・アカウントの窃盗／キーストロークの記録／広告や悪意の JS コードの注入／被害者のブラウザへの DDoS 攻撃などをしていたという。Cloud9 ブラウザ・ボットネットは、Google Chrome／Microsoft Edge を含む Chromium Web ブラウザ用のリモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) であり、脅威アクターによるリモート・コマンドの実行を可能にする。

Robin Banks は Phishing-as-a-Service：機能を充実させて脅威を増大させる

Robin Banks phishing-as-a-service platform continues to evolve

2022/11/07 SecurityAffairs — Phishing-as-a-Service (PhaaS) プラットフォームの Robin Banks は、以前は Cloudflare のプロバイダーによりホストされていたが、7月に通知を受けた同社が、Robin Banks のフィッシング・インフラをサービスから切り離し、現在に至っている。この変化により、Robin Banks の運営には数日の混乱が生じたが、このプラットフォームの管理者により、ロシアの防弾ホスティング・プロバイダー DDoS-Guard への移行などが行われたようだ。

Google Play に５つの危険なドロッパー・アプリ：銀行口座や暗号通貨ウォレットが狙われている

These Dropper Apps On Play Store Targeting Over 200 Banking and Cryptocurrency Wallets

2022/10/28 TheHackerNews — 累計インストール数が 130,000 を超える、悪質なドロッパー型 Android アプリ５個が Google Play ストアで発見された。それらにより、SharkBot と Vultur といったバンキング・トロイの木馬が配布され、金融データの窃取などを含む、端末上での不正行為が生じていることも判明した。

Google Chrome 107 の緊急アップデート：新たなゼロデイ CVE-2022-3723 を FIX

Google fixes a new actively exploited Chrome zero-day, it is the seventh one this year

2022/10/28 SecurityAffairs — Google は、積極的に悪用されるゼロデイ脆弱性 CVE-2022-3723 に対処するために、Chrome 107 の緊急アップデートをリリースした。CVE-2022-3723 は、Chrome V8 の Javascript エンジンに存在するタイプ・コンフュージョンの脆弱性であり、2022年10月25日に Avast の Jan Vojtěšek／Milánek／Przemek Gmerek により報告されたものだ。

LinkedIn の新しいセキュリティ機能：偽プロフィールをチェックして詐欺を防ぐ

LinkedIn’s new security features combat fake profiles, threat actors

2022/10/26 BleepingComputer — LinkedIn は３つの新機能を導入し、偽プロフィールやプラットフォーム悪用に対抗していくという。それらの新機能には、認証された勤務先のＥメール／電話番号の有無により、プロフィールの正真性を確認するなどの、新たな手法が含まれている。この数年において、同サービスは脅威アクターたちに悪用され、マルウェアの配布／サイバースパイ活動／認証情報の窃盗／金融詐欺などの温床となっていた。

Google に対する提訴：同意なく生体認証データを収集／使用した疑い

Google sued over biometric data collection without consent

2022/10/20 BleepingComputer — テキサス州司法長官 Ken Paxton は、数百万人のテキサス州民が所有する生体認証データを、適切な同意なく収集／使用した疑いで Google を提訴した。テキサス州司法長官によると、Google は2015年以降において、Google Photos／Google Assistant／Nest Hub Max などの製品やサービスを利用し、声紋や顔形状の記録などの、膨大な数の生体識別情報を収集した疑いがあるという。

Google の GUAC：OSS の全ての要素を結びつける Knowledge Graph の作成が目標

Google Launches GUAC Open Source Project to Secure Software Supply Chain

2022/10/20 TheHackerNews — 木曜日に Google は、ソフトウェア・サプライチェーン強化の継続的な取り組みの一環として、新たなオープンソース構想 Graph for Understanding Artifact Composition (GUAC) とへの、コントリビュータを募集していると発表した。Google の Brandon Lum と、Mihai Maruseac、Isaac Hepworth は、「GUAC とは、ソフトウェアのビルド／セキュリティ／依存関係のメタデータを生成するための、エコシステム全体で急成長している取り組みから生まれたニーズに対応するものだ」と、The Hacker News で共有した投稿で述べている。

Clicker マルウェア 16種類：Google Play から削除されたがダウンロード数は 2,000万回

These 16 Clicker Malware Infected Android Apps Were Downloaded Over 20 Million Times

2022/10/20 TheHackerNews — モバイル広告における詐欺の摘発を受け、累計ダウンロード数が 2000万を超える 16種類もの悪質なアプリが、Google Play Store から削除された。McAfee によると、一連の Clicker マルウェアは、カメラ／通貨変換／単位変換／QR コードリーダー／メモ帳アプリ／辞書などの、無害なユーティリティに見せかけて、ユーザーを騙してダウンロードさせようとするものだ。

Mirai ボットネットが Minecraft Server に DDoS 攻撃：2.5 Tbps のピーク値を記録

Mirai Botnet Launched 2.5 Tbps DDoS Attack Against Minecraft Server

2022/10/13 SecurityWeek — Cloudflare によると、Mirai ボットネットの亜種が分散型サービス拒否 (DDoS) 攻撃を開始し、そのピークは 2.5テラバイト／秒 (Tbps) に達し、これまでのビットレートの中で最大の攻撃だったと述べている。この攻撃は、Wynncraft という名前の Minecraft サーバを狙ったものであり、UDP と TCP のフラッドを含んでいた。しかし、この攻撃は緩和され、ゲームの利用に支障をきたすことはなかったと、Cloudflare は述べている。

Chrome 106 の深刻な脆弱性６件が FIX：なかなか止まらない use-after-free 欠陥

Chrome 106 Update Patches Several High-Severity Vulnerabilities

2022/10/12 SecurityWeek — 火曜日に Google は、Chrome の最新アップデートを提供し、４つの use-after-free のバグを含む、６つの深刻度の高い脆弱性にパッチを適用したと発表した。新たに解決された脆弱性は、すべて外部の研究者により発見されたものであり、Google は報告者たちに $38,000 のバグバウンティ報奨金を手渡した。

Google が展開する Passkey：Android／Chrome でパスワードレス認証をサポート

Google Rolling Out Passkey Passwordless Login Support to Android and Chrome

2022/10/12 TheHackerNews — 水曜日に Google は、次世代認証規格である Passkeys のサポートを、Android と Chrome に対して正式に展開した。Google は、「Passkeys は、フィッシングに狙われやすいパスワードなどの認証要素に代わる、より安全性の高い認証手段である。再利用できず、サーバーの侵入で漏れることもなく、フィッシング攻撃からユーザーを保護する」と述べている。この機能は、共通のパスワードレス・サインイン規格をサポートするための、広範なプッシュ規格の一部として、2022年5月に発表されたものだ。

Google が買収した Siemplify／Mandiant：統合によりクラウド・セキュリティを刷新

Google Unifies Recent Acquisitions Under New Cloud Security Offering

2022/10/11 InfoSecurity — Siemplify と Mandiant を買収した Google は、それに続いて Chronicle Security Operations を発表し、同社の全てのクラウド機能をひとつ屋根の下に集めようとしている。2022年10月11日に Google の Cloud Next 部門は、クラウド・ネイティブなソフトウェア・スイートを発表し、「それぞれのサイバー・セキュリティ・チームは、Google のスピード／スケール／インテリジェンスを活用することで、脅威に対する検知／調査／対応を可能にできる」と述べている。

FB アカウントでのログイン要求に注意：認証情報を盗む 400種以上のマルアプリが判明

Facebook Login Details at Risk as Meta Identifies Over 400 Malicious Apps

2022/10/10 InfoSecurity — Facebook の親会社である Meta は、Facebook のログイン情報を盗み出すことを目的とした、400種類以上の悪質な Android／iOS アプリを発見したと述べている。Meta によると、一連のアプリの発見は 2022年に生じており、発見者たちは Apple と Google に結果を報告している。

WhatsApp から 100万件の認証情報を窃取：Meta が中国企業を提訴

Meta sues app dev for stealing over 1 million WhatsApp accounts

2022/10/06 BleepingComputer — 2022年5月から非公式な WhatsApp Android アプリを開発／使用して、100万以上の WhatsApp アカウントを盗用したとして、HeyMods／Highlight Mobi／HeyWhatsApp などの複数の中国企業を、Meta が提訴した。Meta の訴状によると、これらの悪質なアプリは、上記３社のサイトに加えて、Google Play Store／APK Pure／APKSFree／iDescargar／Malavida などからダウンロードが可能だったとのことだ。

Tor Browser のトロイの木馬版：中国で人気の YouTube チャネルからインストーラが配布される

2022/10/04 TheHackerNews — 中国語の人気 YouTube チャネルが、トロイの木馬化した Windows 版の Tor Browser インストーラを配布する手段として浮かび上がっている。Kaspersky は、このキャンペーンを OnionPoison と名付け、被害者の全てが中国のユーザーであることを公表した。現時点で、攻撃の規模は不明だが、2022年3月にはテレメトリーで被害者を検出したと、同社は述べている。

KFC／McDonald’s @ シンガポール／サウジアラビア／UAE を狙ったフィッシング・キャンペーンが発生

Phishing Campaigns Target KFC, McDonald’s in Saudi Arabia, UAE, Singapore

2022/10/03 InfoSecurity — シンガポール／サウジアラビア／UAE の KFC と McDonald’s の顧客がフィッシング・キャンペーンに狙われ、一部の顧客の支払情報が脅威アクターにより盗み出された。CloudSEK のセキュリティ研究者たちが発見した一連のキャンペーンだが、その当初の手口は、Google Play ストアに成りすましたドメインを経由して、悪質な Chrome ブラウザベースのアプリを表示させるというものだった。

Dell ドライバの脆弱性 CVE-2021-21551：北朝鮮のハッカー集団 Lazarus が悪用

Hackers Exploiting Dell Driver Vulnerability to Deploy Rootkit on Targeted Computers

2022/10/01 TheHackerNews — 北朝鮮が支援する Lazarus Group が、Dell のファームウェア・ドライバの脆弱性を悪用して、Windows のルートキットを展開していることが確認されている。それにより、国家に支援された脅威アクターが採用する、新たな戦術が浮き彫りになっている。2021年秋に発生した BYOVD (Bring Your Own Vulnerable Driver) 攻撃は、この脅威アクターが、航空宇宙／防衛産業に向けて行っているスパイ活動 Operation In(ter)ception の亜種となる。

Google が Chrome Manifest V3 のテスト開始を発表：2023年6月に V2 は消滅

Google to test disabling Chrome Manifest V2 extensions in June 2023

2022/09/28 BleepingComputer — Google は、Chrome Manifest V2 エクステンションのサポート終了に関する詳細を発表し、より多くの開発者にManifest V3 への移行を促している。Chrome チームからのアップデートによると、2023年6月に Manifest V2 を段階的に廃止しながら、スムーズなエンドユーザー・エクスペリエンスを確保しながら、慎重かつ実験的なステップで進めていくとのことだ。

Fitbit と Google のログイン統合：2023年から G アカウント利用がスタート

Fitbit Increases Security Requirements, Mandates Google Login From 2023

2022/09/26 InfoSecurity — ウェアラブルのパイオニアである Fitbit は、2023年からログインに Google アカウントの採用をユーザーに義務付ける、新たな条項を発表した。同社はブログ記事に、「2023年より、Google アカウントで Fitbit を使用可能にする Google accounts on Fitbit の開始を予定している。この開始日から後は、Fitbit の一部の利用においては Google アカウントが必要になる」と記されている。

Chrome／Edge のスペルチェック機能の問題：ユーザーの個人情報が G／M に送信されている？

Google, Microsoft can get your passwords via web browser’s spellcheck

2022/09/17 BleepingComputer — Web ブラウザ Google Chrome／Microsoft Edge の拡張スペルチェック機能は、個人情報 (PII：Personally Identifiable Information) や、場合によってはパスワードを含むフォームデータを、Google と Microsoft に送信することが判明した。これは、これらの Web ブラウザの一般的な機能かもしれない。しかし、送信後のデータの取り扱いについては、特にパスワード・フィールドに関しては、どれほどの安全性が担保されるのかという点で懸念が生じる。

Chrome 105 に 11件の脆弱性：メモリの安全性に対する取り組みが続く

Chrome 105 Update Patches High-Severity Vulnerabilities

2022/09/15 SecurityWeek — 9月2日に Google は、外部の研究者から報告された７つの深刻なバグを含む、全体で 11件の脆弱性を修正する Chrome 105 アップデートのリリースを発表した。このセキュリティ問題のリストで注目されるのは、Chrome の Storage コンポーネントにおける境界外書き込みが挙げられる。続いて、PDF コンポーネントにおける３つの use-after-free の不具合と、Frames における４つ目の use-after-free の不具合が存在する。

Cisco で発生した８月のデータ侵害：Lapsus$ ランサムウェア・グループとの関連性

Cisco Data Breach Attributed to Lapsus$ Ransomware Group

2022/09/13 DarkReading — Cisco のシステムへの侵入が確認されてから１カ月が経過したが、この攻撃は Lapsus$ グループによるランサムウェア攻撃であり、失敗したと、同社は報告している。このサイバー犯罪者は、ソーシャル・エンジニアリング攻撃で Cisco のシステムにアクセスし、従業員の Google パーソナル・アカウントを操作し、被害者のブラウザに保存されていた認証情報を盗み出した。

Google セキュリティ・アップデート９月：Android／Pixel の脆弱性 46件に対応

Google Patches Critical Vulnerabilities in Pixel Phones

2022/09/12 SecurityWeek — 2022年9月の Pixel 端末向けセキュリティ・アップデートで、Google は２件の深刻な脆弱性に対処した。この他にも、Android プラットフォームにおいて、合計で 46件のセキュリティ脆弱性が修正されている。同社は、２件の深刻な脆弱性 CVE-2022-20231／CVE-2022-20364 について、Pixel の Trusty／kernel コンポーネントに影響を及ぼし、どちらも権限昇格につながる可能性があると説明している。

Google TAG 警告：Conti ランサムウェアの元メンバーがウクライナを攻撃している

Google says former Conti ransomware members now attack Ukraine

2022/09/07 BleepingComputer — Google によると、サイバー犯罪組織 Conti の元メンバーの一部が、現在 UAC-0098 として追跡されている脅威グループに参加し、ウクライナの組織やヨーロッパの非政府組織 (NGO) を標的にしているという。UAC-0098 は、イニシャル・アクセス・ブローカーであり、企業ネットワーク内の侵害済みシステムへの、バンキング型トロイの木馬 IcedID を用いるアクセスを、ランサムウェア・グループに提供することで知られている。

American Express 顧客を狙うフィッシング・メール：Google Workspace の検出を回避

A new phishing scam targets American Express cardholders

2022/09/04 SecurityAffairs — Armorblox の研究者たちにより、American Express 顧客をターゲットにする新たなフィッシング・キャンペーンが発見された。このフィッシング・メッセージの内容は、カード所有者を騙して、悪意の添付ファイルを開かせようとするものだ。メールの件名は「Important Notification About Your Account」となっており、受信者に開封を促そうとしている。

Google Chrome の緊急アップデート：新たなゼロデイ CVE-2022-3075 を FIX

Google Chrome emergency update fixes new zero-day used in attacks

2022/09/02 BleepingComputer — Google は、Chrome for Windows／Mac／Linux 105.0.5195.102 をリリースし、2022年に入って攻撃に悪用された、６番目のゼロデイ脆弱性にパッチを適用した。同社は、金曜日に公開したセキュリティ・アドバイザリで、「我々は、脆弱性 CVE-2022-3075 が、野放し状態で悪用されていると認識している」と述べている。Google によると、この新バージョンは Stable Desktop チャンネルで展開されており、数日〜数週間のうちに全ユーザーに行き渡るようだ。

Google Manifest V3 対応：広告ブロック・エクステンション AdGuard が実験を開始

AdGuard’s new ad blocker struggles with Google’s Manifest v3 rules

2022/08/31 BleepingComputer — Google の Manifest V3 に対応する、初めての Chrome 広告ブロック・エクステンションが利用可能になった。このエクステンション用の Manifest とは、Chrome ブラウザ・エクステンションに、開発者が取り込む権限や能力の概要を示すものだ。Manifest V3 で Google は、webRequest API を変更し、ユーザーに表示される前のデータを、エクステンションが変更することをブロックした。それにより、広告ブロックが無意味になってしまった。

TikTok for Android の脆弱性 CVE-2022-28799：アカウント乗っ取りにいたる？

A flaw in TikTok Android app could have allowed the hijacking of users’ accounts

2022/08/31 SecurityAffairs — Microsoft の研究者たちは、TikTok for Android アプリに存在する、深刻度の高い脆弱性 CVE-2022-28799 を発見した。この脆弱性の悪用に成功した攻撃者は、ユーザー・アカウントをワンクリックで乗っ取る可能性を持つことになる。ただし、専門家たちは、この脆弱性を悪用してアカウントを乗っ取るには、他の脆弱性との連携が必要になると述べている。この脆弱性は、2022年2月に Microsoft から TikTok へと報告され、すぐに問題は対処された。 Microsoft は、このバグを悪用した攻撃が実際に行われていることを認識していないとしている。

Chrome の深刻なバク：悪意の Web サイトによるクリップボード上書きが証明された

Google Chrome bug lets sites write to clipboard without asking

2022/08/31 BleepingComputer — Chrome Version 104 で、事故とも言えるバグの混入が発生した。それは、訪問した Web サイトから、クリップボードへの書き込みイベントを承認するための、ユーザー要件が削除されるというものだ。この機能は、Google Chromeに限ったものではない。Safari と Firefox も、Web ページからシステムのクリップボードへの書き込みを許可しているが、ジェスチャーによる保護が施されている。

Chrome に潜む悪意のエクステンション：140万人のユーザーから情報を盗み出す

Chrome extensions with 1.4 million installs steal browsing data

2022/08/30 BleepingComputer — McAfee の脅威アナリストたちは、ユーザーの閲覧履歴を盗み出す、５つの Google Chrome エクステンションを発見した。これらのエクステンションは、合計で 140万回以上もダウンロードされている。一連のエクステンションの目的は、アフィリエイト料を騙し取ることになる。具体的には、ユーザーが eコマースサイトを訪問した際に監視を行い、訪問者のクッキーを変更して、あたかもリファラー・リンクを経由し訪問したように見せかける。それにより、エクステンションの作者は、eコマースサイトでの購入に際して、アフィリエイト料を不正に得ていく。

Google がバグバウンティを刷新：オープンソース・プロジェクトも取り込んでいく

A new Google bug bounty program now covers Open Source projects

2022/08/30 SecurityAffairs — Google は、同社のプロジェクトをカバーしてきた Open Source Software Vulnerability Rewards Program (OSS VRP) の一環として、新たなバグバウンティ・プログラムを開始した。このプログラムでは、Google のプロジェクトに存在する脆弱性に対して、最大 $31,337 〜最低 $100 の報酬額が支払われるという。

Google G-Suite 企業ユーザーを狙う AiTM フィッシング攻撃に注意

Researchers Warn of AiTM Attack Targeting Google G-Suite Enterprise Users

2022/08/24 TheHackerNews — Microsoft メールサービスの企業ユーザーを標的とする、大規模な中間者 (AiTM : Adversary-in-The-Middle) フィッシング・キャンペーンを仕掛けている脅威アクターたちが、Google Workspace のユーザーにも狙いを定めていることが明らかになった。Zscaler の研究者である Sudeep Singh と Jagadeeswar Ramanukolanu は、今月に発表したレポートで、「このキャンペーンは、Google Workspace を使用する、さまざまな組織の最高責任者などの、上級メンバーの標的を絞り込んでいる」と詳述している。

ChromeOS の脆弱性 CVE-2022-2587 が FIX：Chromium の問題を Microsoft が発見

Microsoft publicly discloses details on critical ChromeOS flaw

2022/08/23 SecurityAffairs — Microsoft は、ChromeOS における深刻な脆弱性 CVE-2022-2587 (CVSS：9.8) について、詳細な情報を共有した。この脆弱性は、OS Audio Serverにおける境界外書き込みの問題であり、DoS 状態を引き起こすこともあれば、特定の状況下ではリモートコード実行のために悪用される可能性があるとのことだ。

CISA 警告 22/08/18：SAP などの７つの深刻な脆弱性を悪用リスト KEV に追加

CISA adds 7 vulnerabilities to list of bugs exploited by hackers

2022/08/19 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ハッカーに活発に悪用されているバグのリストに７つの脆弱性を追加した。その内容は、新たな脆弱性として Apple／Microsoft／SAP／Google の４社が公開したものと、Palo Altos Networks の2017年の脆弱性で構成されている。Known Exploited Vulnerabilities Catalog (KEV) は、CISA が共有するリストであり、サイバー攻撃での活発な悪用が判明している脆弱性に対して、連邦政府民間行政機関 (FCEB) がパッチ適用の義務を負うものである。

Google が史上最大の HTTPS DDoS を阻止：ピーク時には 4600万 RPS を記録

Google blocked the largest Layer 7 DDoS reported to date

2022/08/18 SecurityAffairs — Google は、Google Cloud Armor の顧客を標的とする、過去最大の HTTPs DDoS 攻撃を阻止し、そのピーク時には 46 million RPS (requests per second) が記録されたと発表した。この HTTP/S Load Balancer を標的とした攻撃は、2022年6月1日の午前9時45分に発生した。10,000 RPS 以上から始まり、８分後に 100,000 RPS に増加し、10分後には 46 million RPS に達した。この DDoS 攻撃は、69分間続いたという。

Google Chrome ゼロデイ脆弱性 CVE-2022-2856 が FIX：野放し状態での悪用を確認

New Google Chrome Zero-Day Vulnerability Being Exploited in the Wild

2022/08/17 TheHackerNews — 8月10日に Google は、デスクトップ用 Chrome ブラウザに存在する、深刻なゼロデイ脆弱性を修正するパッチを配布した。この脆弱性 CVE-2022-2856 は、Intents における信頼されていない入力に対する検証が、不十分なケースだと説明されている。Google Threat Analysis Group のセキュリティ研究者である Ashley Shen と Christian Resell は、2022年7月19日に、この不具合を報告したとされている。

Google の Titan M Chip で発見された深刻な脆弱性：研究者たちに $75,000 の報奨金

Critical Vulnerability in Google’s Titan M Chip Earns Researchers $75,000

2022/08/16 SecurityWeek — Quarkslab のセキュリティ研究者は、今年の初めに発見した Google の Titan M Chip における、深刻な脆弱性についての詳細情報を公開した。2018年に発表された Titan M は、Pixel デバイスにセキュリティ保護の強化を提供するために設計された、セキュアブートなどを保証する SoC (system-on-a-chip) である。この新たな脆弱性 CVE-2022-20233 は、Android の 2022年6月のセキュリティ・パッチの一部として対処されたが、深刻な権限昇格のバグだと、Google は説明していた。

OSINT について考える：企業のセキュリティ保護に適用する理由と方法とは？

How and Why to Apply OSINT to Protect the Enterprise

2022/08/15 DarkReading — あなたは、Strava のような、フィットネスに特化した SNS のファンだろうか？あなただけではなく、軍人でさえも、ランニングの記録／共有を楽しんでいる。しかし、Strava が収集／公開する、彼らのすべての活動量と GPS データは、軍事基地の正確な位置を晒してしまう。現在、インターネット上で公開されている情報の種類を見ると、驚くかもしれない。しかし、私たちが過剰な共有の時代に生きていることを考えれば、驚くことではない。Twitter や自動返信のメールで、休暇の計画を公開している私たちは、実質的に強盗を招いているようなものだ。

Android バンキング型トロイの木馬 SOVA：新たな機能でターゲットを拡大

SOVA Android Banking Trojan Returns With New Capabilities and Targets

2022/08/15 TheHackerNews — Android バンキング型トロイの木馬 SOVA は、バンキング・アプリ／仮想通貨取引／ウォレットなどの、200以上のモバイルアプリを標的とするために、積極的にアップグレードが続けられている。そして、ターゲットとなるアプリの数は、開発当初の 90から増加している。

Google に $60M の罰金：豪の公取委が主張する Android の不正な位置情報収集

Google fined $60 million over Android location data collection

2022/08/13 BleepingComputer — Australian Competition and Consumer Commission (ACCC) は Google に対して、$60 million の罰金を科したことを発表した。その理由は、2017年1月〜2018年12月の約２年間において、位置情報の収集／利用の説明に不備があり、オーストラリアの Android ユーザーに誤解を与えたと言うものだ。ACCC によると、ユーザーが端末の設定で位置情報履歴を無効にしていたにも関わらず、Google は一部のユーザーの Android デバイスを、追跡し続けていたという。

米 FTC の新たな規制：大手 IT 企業のデータ収集／利用の方法が疑問視される

FTC Looking at Rules to Corral Tech Firms’ Data Collection

2022/08/12 SecurityWeek — 手首に巻きつけたフィットネス・トラッカーも、居間に置かれたスマート家電も、子どもたちが夢中になるオンライン・ビデオでの流行も、その全てが、大手ハイテク企業にとっては個人データの宝庫となっている。これらのデータが、どのように利用され、どのように保護されているかについて、社会的な関心が高まっており、政府関係者の怒りも広がっている。そして今、連邦規制当局は、商業的で有害な監視と、がさつなデータ・セキュリティを取り締まるために、新たな規則の起草を検討している。

Google Workspace 保護の強化：アカウント・ハイジャックを防ぐための警告／確認とは？

Google now blocks Workspace account hijacking attempts automatically

2022/08/10 BleepingComputer — Google Workspace (旧 G Suite) における高リスクのアカウント操作への保護が強化され、本人確認のプロンプトにより乗っ取りの試みが自動的にブロックされ、さらなる調査のためのログが記録されるようになった。この、追加されたセキュリティ層は、ユーザー・アカウントに不正アクセスする脅威アクーをブロックし、個人データや組織の機密情報を保護するものだ。このアカウント保護機能の強化は、従来の G Suite Basic および Business の顧客を含む、すべての Google Workspace の顧客に提供される。

Android OS の深刻な脆弱性 CVE-2022-20345 が FIX：Bluetooth を介した RCE

Google fixed Critical Remote Code Execution flaw in Android

2022/08/03 SecurityAffairs — Google は、Android OS の Bluetooth 経由でリモートコード実行に悪用される、深刻な脆弱性 CVE-2022-20345 に対処した。Google は、Android 12／12L アップデートのリリースに伴い、Android System コンポーネントに影響をおよぼす CVE-2022-20345 修正した。ただし、同社は、この脆弱性についての追加的な詳細を明らかにしていない。

Chrome／Chromium のブックマーク同期：データ流出の新たな経路になる可能性とは？

Chromium Browsers Allow Data Exfiltration via Bookmark Syncing

2022/08/02 DarkReading — ブックマーク同期機能は、最新のブラウザの標準機能となっている。この機能により、インターネット・ユーザーは、１つのデバイスで行ったブックマークへの変更を、すべてのデバイスで同時に反映させることができる。しかし、この便利なブラウザの機能は、サイバー犯罪者にとっても便利な攻撃経路となることが分かっている。つまり、ブックマークを悪用して、企業環境から大量のデータを吸い上げても、攻撃ツールや悪意のペイロードを忍び込ませても、ほとんど発見される心配がないのだ。

Google セキュリティ・アップデート：Android／Pixel の脆弱性に対応

Google Patches Critical Android Flaw Allowing Remote Code Execution via Bluetooth

2022/08/02 SecurityWeek — 月曜日に Google は、Android OS の最新パッチに関するセキュリティ情報を公開した。今回のアップデートでは、 37件の脆弱性が修正されている。このうち最も深刻な脆弱性 CVE-2022-20345 は、Bluetooth 経由のリモート・コード実行の可能性があり、Systemコンポーネントに影響を及ぼすとされる。この脆弱性についても、Android 12／12L のアップデートでパッチが適用されている。

Facebook 上で宣伝されるアドウェア・アプリ：日本などから 700万回も DL されている

Facebook ads push Android adware with 7 million installs on Google Play

2022/07/30 BleepingComputer — Android デバイスの System Cleaner や Optimizer として、Facebook 上で積極的に宣伝されているアドウェア・アプリが存在するが、それらの Google Play Store 上でのインストール回数は数百万を数えている。それらのアプリは、約束された機能をすべて備えることもなく、デバイス上で可能な限り長期間に渡り居座り、広告を不正にプッシュしていく。

Google Play がドロッパーアプリ群を削除：Octo などのバンキング・マルウェアを配布

Over a Dozen Android Apps on Google Play Store Caught Dropping Banking Malware

2022/07/29 TheHackerNews — Google Play Store における、一見無害なドロッパー・アプリを利用した悪質なキャンペーンにより、ユーザーの端末がバンキング・マルウェアに感染する被害が発生していた。Trend Micro が DawDropper と総称する 17種類のドロッパー・アプリは、ドキュメント・スキャナー／QR コードリーダー／VPN サービス／コール・レコーダーなどの、生産性／実用性の高いアプリを装っていた。現在は、これらのアプリは全て、Play Storeから削除されている。