15 million public-facing services vulnerable to CISA KEV flaws
2023/03/31 BleepingComputer — CISA の KEV (known exploitable vulnerabilities) カタログに記載されている 896件の脆弱性のうち、少なくとも１つの脆弱性の影響を受けている公共性の高いサービスが、1,500万以上も存在することが明らかになった。この膨大な数値は、国家に支援される機関やランサムウェア集団などからの、サイバー攻撃にさらされる脆弱なシステムを特定するために、サイバー・セキュリティ企業である Rezilion が実施した、大規模な調査結果の報告に基づくものである。
Continue reading “CISA KEV に登録された危険な脆弱性：現時点で合計 1,500万件がインターネットに露出している”Musk, Scientists Call for Halt to AI Race Sparked by ChatGPT
2023/03/29 SecurityWeek — いつかは人間を凌駕するかもしれない、パワフルなな人工知能技術の展開において、テック企業の動きは速すぎるのだろうか。著名なコンピューター科学者や、Elon Musk、Apple の創業者 Steve Wozniak といったテック業界の著名人たちのグループは、リスクを考慮するために、６ヶ月間の一時停止を要求している。この申立は、サンフランシスコのスタートアップ OpenAI が、先日に発表した GPT-4 に対するものだ。広く使われている AI チャットボット ChatGPT を、さらに進化させた GPT-4 は、ビッグテックである Microsoft と Google のアプリケーション開発競争に火をつけるきっかけにもなっている。
Continue reading “ChatGPT／GPT-4 を止めろ：Musk／Wozniak などの著名人グループが申し立て”Google TAG shares details about exploit chains used to install commercial spyware
2023/03/29 SecurityAffairs — Android／iOS／Chrome に対して複数のゼロデイ・エクスプロイトを悪用する、２つのキャンペーンの詳細を、Google Threat Analysis Group (TAG) が公開した。専門家たちは、どちらのキャンペーンも、限定的で高度な標的型であったと述べている。攻撃の背後にいる脅威アクターは、エクスプロイトに Zero-Day と N-Day の両方を使用していたという。これらのエクスプロイト・チェーンは、ターゲットのデバイスに商用スパイウェアや悪意のアプリをインストールするために使用されていたようだ。
Continue reading “Google TAG 警告：複数の Zero-Day／N-Day エクスプロイトを用いるキャンペーンについて”Europol details ChatGPT’s potential for criminal abuse
2023/03/28 HelpNetSecurity — ChatGPT に対する社会の関心が高まる中、この問題に真剣に取り組んでいる Europol Innovation Lab は、さまざまな部門の専門家が参加する、一連のワークショップを実施した。これらのワークショップは、ChatGPT のような LLM (Large Language Models) が犯罪者に悪用される可能性や、捜査官の日常業務を支援する可能性の、調査を目的としている。
Continue reading “ChatGPT に対するユーロポールの評価：近い将来に起こり得る問題の可能性”President Biden Signs Executive Order Restricting Use of Commercial Spyware
2023/03/28 TheHackerNews — 2023年3月27日 (月) に、米国のジョー・バイデン米大統領は、連邦政府機関による商用スパイウェアの使用を制限する大統領令に署名した。この大統領令には、「スパイウェアのエコシステムが、米国政府にとって深刻な防諜上のリスクとセキュリティ上のリスクをもたらし、また、外国政府または外国人により不適切に使用される重大なリスクをもたらす」と記されている。また、こうしたツールの政府による使用が、法の支配および、人権と、民主主義の規範／価値の尊重と一致する方法で行われることを、保証するよう求めている。
Continue reading “米大統領令による商用スパイウェア制限：政府による使用については曖昧さが残る”New CISA tool detects hacking activity in Microsoft cloud services
2023/03/23 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、Microsoft のクラウド環境における悪意のアクティビティの兆候の検出に有効な、新しいオープンソースのインシデント対応ツールを公開した。米国エネルギー省の国立研究所である Sandia と共同で開発された、この Untitled Goose Tool という名の Python ベースのユーティリティは、Azure Active Directory／Microsoft Azure／Microsoft 365 環境からテレメトリ情報をダンプする。
Continue reading “Microsoft クラウドへのハッキングを検出：CISA が最新ツールを提供”US Government Warns Organizations of LockBit 3.0 Ransomware Attacks
2023/03/17 SecurityWeek — 今週に、FBI／CISA／MS-ISAC は共同で、ランサムウェア LockBit 3.0 のオペレーションに関するアラートを発表した。LockBit は2020年1月以降において、Ransomware-as-a-Service (RaaS) モデルをベースに活動し、広範囲におよぶ企業や重要インフラ事業体をターゲットに、さまざまな TTP (Tactics, Techniques, and Procedures) を用いてきた。
Continue reading “FBI／CISA／MS-ISAC の共同勧告：ランサムウェア LockBit 3.0 攻撃について”CISA Seeks Public Opinion on Cloud Application Security Guidance
2023/03/16 SecurityWeek — CISA は、クラウド・ビジネス・アプリケーションの安全性確保のためのガイダンスについて、パブリック・コメントを募集している。この、SCuBA (Secure Cloud Business Applications) Hybrid Identity Solutions Architecture と題されたドキュメントは、連邦政府機関におけるクラウドベースのソリューションと、既存のオンプレミス・インフラとの安全な統合を支援するものだ。
Continue reading “CISA の Secure Cloud Business Applications：パブリック・コメントの募集を開始”Tick APT Group Hacked East Asian DLP Software Firm
2023/03/15 InfoSecurity — 政府機関や軍事機関向けの DLP (data-loss prevention) ソフトウェアを開発する、東アジアの企業を標的とした新たなマルウェアキャン・ペーンは、Tick という名の APT グループに起因することが判明した。2023年3月14日 (火) に ESET が発表したアドバイザリによると、この脅威アクターは DLP 企業の内部アップデート・サーバに侵入し、ネットワーク内にマルウェアを配信したという。その後に、同社が使用する正規のツール・インストーラをトロイの木馬化し、同社の顧客２社のコンピュータでマルウェアが実行される状況に至ったという。
Continue reading “Tick APT Group：東アジアの政府機関や軍事機関をサプライチェーンから狙っている”US federal agency hacked using old Telerik bug to steal data
2023/03/15 BleepingComputer — 昨年に米国の連邦政府機関において、Microsoft Internet Information Services (IIS) Web サーバがハッキングされたが、その原因は Progress Telerik UI for ASP.NET AJAX コンポーネントの、深刻な .NET デシリアライズの脆弱性にあるという。3月15日に CISA／FBI／MS-ISAC が発表した共同勧告によると、ある連邦民間行政府 (FCEB) 機関のネットワークで見つかった、侵害指標 (IOC) を分析したところ、2022年11月〜2023年1月初旬にかけて攻撃者がサーバにアクセスしたことが判明したという。
Continue reading “Microsoft IIS の Telerik コンポーネントの脆弱性：放置した米政府機関に大きな被害”Microsoft fixes Outlook zero-day used by Russian hackers since April 2022
2023/03/14 BleepingComputer — ロシアの軍事情報機関 GRU に関連するハッキング・グループが、欧州の組織への攻撃に悪用した Outlook のゼロデイ脆弱性 (CVE-2023-23397) に、Microsoft はパッチを適用した。この脆弱性は、2022年4月中旬から 12月までの間に、政府／軍事／エネルギー／輸送機関などのネットワークを標的にした、15件ほどの攻撃で悪用されてきた。この攻撃を仕掛けたのは、APT28／STRONTIUM／Sednit／Sofacy／Fancy Bear などの名前で追跡されているハッキング・グループである。その手口は、悪意の Outlook のメモとタスクを送信し、NTLM ネゴシエーション・リクエストを介して NTLM ハッシュを盗み出し、攻撃者が制御する SMB 共有に対して、ターゲットのデバイスを強制的に認証させるというものだ。
Continue reading “Microsoft Outlook のゼロデイ CVE-2023-23397 が FIX：直ちにパッチ適用を！”Dark Pink APT Group Deploys KamiKakaBot Against South Asian Entities
2023/03/13 InfoSecurity — Dark Pink として知られる脅威アクターが、ASEAN (東南アジア諸国連合) 諸国の複数の政府機関に対する KamiKakaBot マルウェアの配布に関与していたことが判明した。先週に EclecticIQ の研究者たちは、2023年2月に行われた攻撃に関するレポートを公開した。このレポートでは、「この新しいキャンペーンでは、東南アジア諸国の軍事／政府機関に対するソーシャル・エンジニアリングのルアーとして、ヨーロッパと ASEAN 諸国の交流関係が悪用されている可能性が非常に高い。EclecticIQ の研究者たちは、このグループの国籍を特定するだけの決定的な証拠を得ていないが、攻撃者の目的や行動パターンから、Dark Pink は中国の APT グループであろうと考えている」と説明されている。
Continue reading “Dark Pink は中国の APT グループ：ASEAN 諸国の政府機関に KamiKakaBot を配布”Fortinet: New FortiOS bug used as zero-day to attack govt networks
2023/03/13 BleepingComputer — 今月にパッチが適用された FortiOS のゼロデイ・エクスプロイトを悪用する未知の攻撃者たちが、政府機関や大規模組織を標的とした攻撃を行い、OS やファイルの破壊と、データ流出を引き起こしているという。2023年3月7日に Fortinet は、不正なコードやコマンドを実行できる深刻な脆弱性 CVE-2022-41328 に対して、セキュリティ・アップデートをリリースしている。
Continue reading “Fortinet FortiOS の深刻な脆弱性 CVE-2022-41328：政府機関への攻撃で悪用される”CISA warns of critical VMware RCE flaw exploited in attacks
2023/03/10 BleepingComputer — CISA が新たに KEV カタログに追加したのは、VMware Cloud Foundation に存在する深刻な脆弱性であり、野放し状態での悪用が確認されているものだ。この欠脆弱性 CVE-2021-39144 は、VMware 製品で使用されている XStream オープンソース・ライブラリに起因するものであり、VMware の評価による深刻度スコアは 9.8 となっている。ユーザーの操作が不要な、低複雑度の脆弱性を悪用する未認証の脅威者は、パッチ未適用のアプライアンス上のルート権限で、リモートから任意のコードを実行可能になるという。
Continue reading “CISA KEV 警告 23/03/10：VMware の RCE 脆弱性 CVE-2021-39144 を追加”Fifth of Government Workers Don’t Care if Employer is Hacked
2023/03/09 InfoSecurity — 説明責任を果たさない文化と、不十分なサイバー衛生と、限られたスタッフ・トレーニング・・・ このような傾向が、世界中の政府にサイバー・リスクの大きな嵐を生み出し、その一方では、深刻なデータ漏洩の可能性に対して、多くの職員が無関心になっていると、Ivanti は警告している。セキュリティ・ベンダーである Ivanti は、世界中の公共部門の職員 800人を対象にアンケートを実施し、新しい Government Cybersecurity Status Report を公開した。
Continue reading “米政府職員のセキュリティ意識：20％ が雇用主へのハッキングに無関心だと回答”IceFire Ransomware Exploits IBM Aspera Faspex to Attack Linux-Powered Enterprise Networks
2023/03/09 TheHackerNews — IceFire として知られている Windows ベースのランサムウェアが、世界中のメディアやエンターテイメントの組織で運用されている、Linux エンタープライズ・ネットワークへとターゲットを拡大している。サイバーセキュリティ企業の SentinelOne によると、このランサムウェアは、最近に公表された IBM Aspera Faspex ファイル共有ソフトウェアに存在する、不適切なデシリアライズの脆弱性 CVE-2022-47986 (CVSS：9.8) を悪用して展開されているという。
Continue reading “IceFire というランサムウェアが登場：IBM Aspera Faspex を悪用して Linux ネットワークを攻撃”CISA’s KEV Catalog Updated with 3 New Flaws Threatening IT Management Systems
2023/03/08 TheHackerNews — 米国の CISA は、悪用されている証拠があるとして、３つのセキュリティ脆弱性を KEV (Known Exploited Vulnerabilities) カタログに追加した。この３件のうち最も深刻なものは CVE-2022-35914 で、オープンソースの資産／IT 管理ソフトウェア・パッケージである、Teclib GLPI のサードパーティ・ライブラリ htmlawed に存在する、リモート・コード実行の脆弱性だ。
Continue reading “CISA KEV 警告 23/03/08：Teclib／Apache／Zoho の脆弱性など３件が追加”557 CVEs Added to CISA’s Known Exploited Vulnerabilities Catalog in 2022
2023/03/06 SecurityWeek — 脆弱性インテリジェンス企業の VulnCheck によると、米国の Cybersecurity and Infrastructure Security Agency (CISA) が管理する Known Exploited Vulnerabilities (KEV) カタログには、約900件の脆弱性が存在するが、そのうちの 557件の CVE は、2022年に追加されたものだという。VulnCheck は CISA の KEV リストの分析を行い、このデータの重要性に関するレポートを発表した。
Continue reading “CISA KEV の 2022年を分析 ：新たに追加された CVE 557件に関する統計データとは？”CISA releases free ‘Decider’ tool to help with MITRE ATT&CK mapping
2023/03/02 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、セキュリティ・アナリストなどの防御側が、MITRE ATT&CK マッピング・レポートを迅速に作成するための、オープンソース・ツール Decider をリリースした。MITRE ATT&CK フレームワークは、サイバー攻撃の観測に基づき、敵対者の戦術や技術を特定／追跡するための標準であり、それに応じて防御側のセキュリティ態勢を調整するためのものだ。共通の基準を持つ組織は、新たに発見／出現した包括的で正確な情報を迅速に共有し、その攻撃を阻止するためのアクションを実施できる。
Continue reading “CISA の Decider というツール：観測された脅威の結果と MITRE ATT&CK をマッピング”CISA Issues Warning on Active Exploitation of ZK Java Web Framework Vulnerability
2023/02/28 TheHackerNews — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、ZK フレームワークに影響を及ぼす深刻な欠陥が活発に悪用されているとし、Known Exploited Vulnerabilities (KEV) カタログに追加したことを発表した。この脆弱性 CVE-2022-36537 (CVSS: 7.5) は、ZK Framework バージョン 9.6.1／ 9.6.0.1／9.5.1.3／9.0.1.2／8.6.4.1 に影響を及ぼすものであり、特別に細工したリクエストを介して、驚異アクターに機密情報の取得を許すものである。
Continue reading “CISA KEV 警告 23/02/27：ZK Java Web Framework の脆弱性が悪用されている”US National Cyber Strategy Pushes Regulation, Aggressive Hack-Back Operations
2023/02/27 SecurityWeek — 米国政府は、重要インフラ・ベンダーに対する強制的な規制を承認する一方で、外国の敵対者に対する積極的な Hack-Back アプローチを容認するための、サイバー・セキュリティ戦略文書を発表する予定である。ワシントンで話題になっている、この戦略文書に関する初期の報道によると、国家安全保障における公平な競争条件のために規制を利用する、35 ページに及ぶ国家サイバーセキュリティ戦略の最終詳細を、バイデン政権は熟考しているとのことだ。
Continue reading “米国の国家サイバー戦略が規制を強化：攻撃的な Hack-Back アプローチも容認”PureCrypter used to deliver AgentTesla to govt organizations
2023/02/27 SecurityAffairs — PureCrypter マルウェア・ローダーを使用し、政府機関を標的としたキャンペーンを展開する未知の脅威アクターを、Menlo Labs の研究者たちが発見した。このキャンペーンは、侵害した NPO のドメインを C2 サーバとして悪用して、Redline Stealer／AgentTesla／Eternity／Blackmoon／Philadelphia Ransomware などのマルウェアを配信し、セカンド・ステージ・ペイロードを展開しようとするものだ。専門家たちが発見したのは、アジア太平洋地域 (APAC) ／北米の複数の政府系組織に対する、複数のマルウェア配信の試みである
Continue reading “PureCrypter のキャンペーンの狙いは政府機関：AgentTesla などのマルウェアを配布”CISA Warns of Two Mitel Vulnerabilities Exploited in Wild
2023/02/22 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Mitel MiVoice Connect ビジネス・コミュニケーション・プラットフォームに存在する２つの脆弱性が、野放し状態で悪用されていることを連邦政府組織に警告している。CISA は、この欠陥を KEV (Known Exploited Vulnerabilities) カタログに追加し、3月14日まで対処するよう関係機関に指示した。
Continue reading “CISA KEV 警告 23/02/21：Mitel MiVoice と IBM Aspera Faspex の脆弱性を追加”Putin Speech Interrupted by DDoS Attack
2023/02/21 InfoSecurity — Reuters の報道によると、2月21日 (火) のプーチン大統領による演説を放送していた複数の Web サイトがダウンしたが、分散型サービス妨害 (DDoS) 攻撃の疑いがあるという。この演説の間、複数の場所にいたジャーナリストたちは、All-Russia State Television and Radio Broadcasting Company (VGTRK) の Web サイトや、Smotrim のライブ・ストリーミング・プラットフォームにアクセスできない時間帯があったとのことだ。それぞれが表示したエラー・メッセージは、”技術的な作業が行われている” と “単にロードされなかっただけ” というものだった。
Continue reading “プーチン大統領の演説を DDoS で妨害：ウクライナ IT Army の仕業か？”Resecurity warns about cyber-attacks on data center service providers
2023/02/21 SecurityAffairs — カリフォルニアに拠点を置くサイバー・セキュリティ企業の Resecurity は、複数のデータセンターに対して、それらの組織と顧客を標的としたサイバー攻撃に関する警告を。 2021年9月から発してきたことを公表した。同社は最新のレポートで、通知の対象とされた組織は、サプライチェーンの重要な部分として機能しており、国家支援 APT／犯罪者／サイバー・スパイグループなどの格好のターゲットだと述べている。この、Resecurity による通知の詳細は、さらなる分析とリスク軽減のために、影響を受けた当事者および、中国／シンガポール政府の緊急対応チームと共有された。さらに、2022年と 2023年1月にアップデートされた同通知は、発見されたデータセットに Fortune 500 の大企業が多数存在していたことから、米国の法執行機関とも共有された。
Continue reading “APAC のデータセンターが標的：新たなサイバー攻撃の証拠が発見された”Norway Seizes Millions in North Korean Crypto
2023/02/20 InfoSecurity — 昨年にノルウェー当局は、北朝鮮の脅威アクターが盗み出した 60 million kroner ($5.9m) の暗号通貨を追跡／奪還し、この種の出来事としては過去最大の記録を打ち立てた。スカンジナビア諸国の対経済犯罪機関 (Økokrim) は、2022年3月の Ronin Network への襲撃以来、北朝鮮の脅威アクターたちによる大規模なマネーロンダリング指摘してきた。Økokrim の弁護士である Marianne Bender は、「Økokrim は、金銭の追跡が得意である。犯罪者が高度な手法を使ったとしても、ブロックチェーンには、金銭を追跡する高い能力があったことを、今回のケースが示している」と述べている。
Continue reading “ノルウェーの Økokrim が大活躍：北朝鮮の APT グループ Lazarus から $5.9M を奪還”Google Report Reveals Russia’s Elaborate Cyber Strategy in Ukraine
2023/02/17 InfoSecurity — ロシアが支援するサイバー攻撃は、2020年と 2022年の比較において、ウクライナを標的としたものは 250％ の、NATO 諸国を標的としたものは 300％ の増加となった。このデータを提供しているのは、2月16日に公開された Fog of War: How the Ukraine Conflict Transformed the Cyber Threat Landscape という、Google Trust & Safety と Mandiant (現在は Google Cloud の一部) の共同レポートであり、Google Threat Analysis Group (TAG) による調査の結果の１つである。同レポートで Google が明らかにしているのは、サイバー・スペースで決定的な戦時的優位を得ようとする、ロシアの積極的かつ多面的な戦略が、2019年にまでさかのぼる可能性である。
Continue reading “ウクライナ侵攻におけるロシアのサイバー戦略：この１年の活動を時系列で整理する”CISA warns of Windows and iOS bugs exploited as zero-days
2023/02/16 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃において野放し状態で悪用される脆弱性４件をバグリストに追加した。そのうち２件は、Microsoft 製品に影響するものだ。パッチ未適用の Windows システム上で、Common Log File System Driver やグラフィック・コンポーネントの脆弱性の悪用に成功した攻撃者に対して、リモート実行 (CVE-2023-21823) および特権昇格 (CVE-2023-23376) を許してしまう。
Continue reading “CISA KEV 警告 23/02/14：Windows／Office／iOS の脆弱性を悪用リストに追加”NIST chooses encryption algorithms for lightweight IoT devices
2023/02/09 HelpNetSecurity — 米国の National Institute of Standards and Technology (NIST) が発表したのは、IoT デバイス (エンベッド型医療機器／キーレスエントリー／スマートホームなど) が生成するデータを保護するための、軽量認証暗号化およびハッシュ・アルゴリズムに付けられた ASCON というグループ名である。ASCON のラベルの下には、７種類アルゴリズムが集められているが、今年の後半に NIST が発表するとしている、最終的な成果に含まれないものもある。
Continue reading “NIST が選んだ IoT デバイス向けの軽量暗号 ASCON：伝送中のデータの保護が目的”CISA Releases Recovery Tool for VMware Ransomware Victims
2023/02/08 InfoSecurity — VMware VM (Virtual Machine) を狙うランサムウェアの、世界的なキャンペーンの影響を受けた被害者たちが、システムを回復するたの新しいスクリプトを、CISA が公開した。ランサムウェアの支払い追跡サービスを提供する Ransomwhere は、月曜日に行われたインターネット全体のスキャン調査をベースにっして、この被害者の数は 3,800件と推定している。さらに同社は、４回の支払いで合計 $88,000 が支払われたと述べているが、このキャンペーンの規模を過小評価している可能性がある。
Continue reading “VMware VM の CVE-2021-21974 を悪用する攻撃：CISA が復旧ツールをリリース”Exploitation of Oracle E-Business Suite Vulnerability Starts After PoC Publication
2023/02/03 SecurityWeek — Oracle E-Business Suite の深刻な脆弱性が、PoC エクスプロイト・コードの公開直後から悪用されている。Oracle E-Business Suite は、Oracle の主要製品群の１つであり、サプライチェーン管理 (SCM)／企業資源計画 (ERP)／顧客関係管理 (CRM) などのプロセスを、自動化するためのエンタープライズ・アプリケーションのセットである。
Continue reading “CISA KEV 警告 23/02/02：Oracle E-Business Suite の PoC 悪用が始まった”Hive Ransomware Gang Loses Its Honeycomb, Thanks to DoJ
2023/01/27 DarkReading — 連邦政府は、Hive ランサムウェア集団の活動を停止させ、総額 $130 million の身代金要求から被害者たちを救った。しかし、この取り組みが、ランサムウェア全体の状況に、どれほどの打撃を与えるかとなると、現状では判断できないだろう。米国司法省の発表によると、この 2021年6月に出現したグループの活動は、最近の数カ月において活発であり、世界 80数カ国で 1500件以上の被害者を出している。
Continue reading “Hive ランサムウェアがシャットダウン：復活はないのか？ 犯人たちは何処へ行くのか？”An unfaithful employee leaked Yandex source code repositories
2023/01/26 SecurityAffairs — 不正な Yandex git ソースへのマグネット・リンクが含まれたアナウンスメントが、BreachForums に公開された。この投稿の背後にいる脅威アクターは、2022年7月に 44.7GB のファイルを入手したと主張しており、すべてのファイルの日付は 2022年2月24日 (ロシアのウクライナ侵攻の日) にまでさかのぼる。脅威アクターの主張は、このソースコード・リポジトリには、アンチ・スパム・ルールを除くソースコードが含まれているというものだ。
Continue reading “Yandex のソースコードが漏洩：元従業員が BreachForums に 44.7GB のファイルを公開”CISA warns of critical ManageEngine RCE bug exploited in attacks
2023/01/23 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Zoho ManageEngine 製品群の大半に影響を及ぼすリモートコード実行 (RCE) を、野放し状態で悪用されているとして KEV カタログに追加した。この脆弱性 CVE-2022-47966 は、2022年10月27日から製品ごとにパッチが適用されている。SAML ベースのシングルサインオン (SSO) が有効である場合や、一度でも有効であった場合に、未認証の脅威アクターに悪用され、任意のコード実行にいたる恐れがある。
Continue reading “CISA KEV 警告 23/01/23：Zoho ManageEngine の RCE 脆弱性 CVE-2022-47966 を追加”WhatsApp Hit with €5.5m fine for GDPR Violations
2023/01/20 InfoSecurity — アイルランドのデータ保護委員会 (DPC : Data Protection Commission) が WhatsApp に対して、GDPR 違反があったとして €5.5m ($5.9m) の罰金を科した。また、この罰金に加えて、WhatsApp Ireland は 6ヶ月以内に、データ処理業務をコンプライアンスに適合させるよう指示された。この WhatsApp の責任範囲に関する訴訟については、欧州のデータ保護当局の間に、大きな意見の相違があることを示すものだ。
Continue reading “WhatsApp が GDPR 違反：Meta に €5.5m の罰金を科した EU 委員会内に摩擦”Chainguard Trains Spotlight on SBOM Quality Problem
2023/01/19 SecurityWeek — ソフトウェア部品表で品質を管理しているソフトウェア・エンジニアが、驚くべき発見をした。現時点で作成されている SBOM のうち、米国政府が定義した「最小限の要素」を満たしているものは、わずか 1% に過ぎないというのだ。ソフトウェア・サプライチェーン・セキュリティの企業である Chainguard の新しいデータによると、既存のツールで生成された SBOM は、ソフトウェアの脆弱性／ライセンス／在庫の追跡を管理するために、SBOM 内で定義されている必要最小限のデータフィールドを満たしていないことが判明した。
Continue reading “SBOM の品質をチェック：米政府基準の最小限要素を満たすものは１％に過ぎない”Exploited Control Web Panel Flaw Added to CISA ‘Must-Patch’ List
2023/01/18 SecurityWeek — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、広く使われている CentOS Control Web Panel の深刻な脆弱性 CVE-2022-44877 を、KEV（Known Exploited Vulnerabilities）カタログに追加し、連邦機関に対して２月初旬までに修正するよう指示している。
Continue reading “CISA KEV 警告 23/01/17：CentOS CWP の深刻な脆弱性 CVE-2022-44877 を追加”New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild
2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。
Continue reading “WikiLeaks が暴露した CIA の Hive マルウェア：未知の脅威アクターが改造／悪用している”US to Launch Third Iteration of ‘Hack the Pentagon’ Bug Bounty Program
2023/01/16 InfoSecurity — 米国国防総省 (DoD : Department of Defense) は、2016年に初めて行われた “Hack the Pentagon” バグバウンティ・プログラムの第３弾を、近々に開催すると発表した。Sam.Gov Web サイトの専用ページによると、この構想では、サイバー・セキュリティ研究者たちが、政府の Facility Related Controls System (FRCS) ネットワークの脆弱性を発見していくことになる。
Continue reading “米国防総省のバグバウンティ Hack the Pentagon：４年に一度の大会が開催”Brave browser’s new Snowflake feature help bypass Tor blocks
2023/01/14 BleepingComputer — 昨日にリリースされた Brave Browser 1.47 には、Snowflake エクステンションが追加されている。この機能により、自分のデバイスを Tor に接続するためのプロキシに設定し、検閲対象国に在住するユーザーを支援できるようになった。すでに Brave は、2022年9月にリリースされた バージョン 1.44 で、Private Windows with Tor の Tor Bridges に対応しており、同社独自のリソースを使って、検閲を回避するユーザーを支援してきた。
Continue reading “Brave ブラウザの新機能 Snowflake：Tor へつなぐ検閲回避のフリーウェイだ”Twitter claims leaked data of 200M users not stolen from its systems
2023/01/11 BleepingComputer — Twitter の発表によると、数億人の Twitter ユーザーのメールアドレスが流出し、オンラインで販売されたとの報道があるが、同社システムの脆弱性を悪用してデータが取得された証拠は見つからなかったとのことだ。同社はブログで、「Twitter ユーザーのデータがオンラインで販売されているという最近の報道を受け、徹底的な調査を行ったが、最近販売されているデータが、Twitter システムの脆弱性を悪用して入手されたという証拠はない」と述べている。
Continue reading “Twitter が２億人分のユーザーデータ販売を調査：同社の脆弱性とは無関係と主張”CISA orders agencies to patch Exchange bug abused by ransomware gang
2023/01/10 BleepingComputer — 今日に、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Known Exploited Vulnerabilities (KEV) カタログに、２つのセキュリティ脆弱性を追加した。１つ目は、Microsoft Exchange の権限昇格の脆弱性 CVE-2022-41080 であり、別の脆弱性 ProxyNotShell CVE-2022-41082 と連鎖してリモート・コードが実行される可能性がある。先週に、テキサス州に拠点を置くクラウド・コンピューティング・プロバイダーである Rackspace は、Play ランサムウェアが CVE-2022-41082 をゼロデイとして悪用し、Microsoft の ProxyNotShell URL 書き換え緩和策をバイパスして、感染させた Exchange Server 内で権限昇格を行ったことが確認されている。
Continue reading “CISA KEB 警告 23/01/10：Microsoft Exchange の脆弱性 CVE-2022-41080 などを追加”Russian Turla Hackers Hijack Decade-Old Malware Infrastructure to Deploy New Backdoors
2023/01/08 TheHackerNews — ロシアのサイバー・スパイグループ Turla が、10年前のマルウェアの攻撃インフラを利用して、ウクライナのターゲットに、独自の偵察ツールやバックドア・ツールを配布していることが確認された。Google 傘下の Mandiant は、この活動を UNC4210 という未分類のクラスタ名で追跡しており、乗っ取られたサーバを調査したところ、2013年に VirusTotal にアップロードされた ANDROMEDA (別名 Gamarue) というマルウェアの亜種に該当したと述べている。
Continue reading “Turla APT の奇妙な動き：10年前のマルウェア・インフラからバックドアを展開”Meta to fight €390 million fine for breaching EU data privacy laws
2023/01/04 bleepingcomputer — アイルランドのデータ保護委員会 (DPC : Data Protection Commission) は、Facebook／Instagram のユーザーに対するターゲット広告のために、Meta が個人データ処理に同意するよう強制していたと認定し、合計で €390 million の罰金を科した。本日の決定は、EU の General Data Protection Regulation (GDPR) データプライバシー／セキュリティ法が施行された 2018年5月25日に、オーストリア／ベルギーのユーザー非営利団体 noyb が提出した苦情に端を発したものであり、Meta のデータ処理業務に関する２件の調査が終了した後に下されたものだ。
Continue reading “Facebook／Instagram に €390M の罰金：GDPR 違反という主張に Meta は反発”Google to Pay $29.5 Million to Settle Lawsuits Over User Location Tracking
2023/01/01 TheHackerNews — Google は、同社の不誠実な 位置追跡に関して、インディアナ州とワシントン D.C. から提訴された２つの訴訟で、合計 $29.5 million を支払うことに同意した。明示的な同意なしに、ユーザーの位置を追跡したとして、Google は両州から訴えられ、ワシントン D.C. に $9.5 million、インディアナ州に $20 million の支払うことが決定した。今回の和解は、2022年11月に Google が同様の申し立てについて、40州に支払うことで合意した $391.5 million に追加されるものだ。同社は、テキサス州とワシントン州で、さらに２件の位置情報追跡に関する訴訟に直面している。
Continue reading “Google の同意なき位置情報の追跡：米国で $29.5M の罰金が追加される”Ransomware impacts over 200 govt, edu, healthcare orgs in 2022
2023/01/02 BleepingComputer — 2022年のランサムウェア攻撃は、米国の政府／教育／医療などのパブリックな分野における、200以上の大規模組織に影響を与えた。情報源としての、公開レポート／開示ドキュメント／ダークウェブ・リーク／サードパーティなどから収集したデータによると、これらのランサムウェア攻撃の約半分において、ハッカーたちはデータを盗み出していたことが判明した。
Continue reading “2022年のランサムウェア攻撃：米国での被害は政府／教育／医療など 200件”Adobe, Apple, Cisco, Microsoft Flaws Make Up Half of KEV Catalog
2022/12/30 DarkReading — 2021年11月に、米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのが、活発に悪用されている脆弱性を、連邦政府機関や重要インフラ組織が特定／是正するための Known Exploited Vulnerabilities (KEV) カタログである。Grey Noise が発表した GreyNoise Mass Exploits Report によると、CISA は 2022年1月〜11月末に 58回の更新を行い、548件の新たな脆弱性をカタログに追加している。2021年11月／12月に追加された約300件の脆弱性を含めると、このカタログが始まってからの１年間で、CISA は約850件の脆弱性をリストアップしたことになる。
Continue reading “CISA KEV カタログの１年：悪用された脆弱性の半分は Adobe／Apple／Cisco／Microsoft”CISA Warns of Active exploitation of JasperReports Vulnerabilities
2022/12/30 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、活発な悪用の証拠があるとして、TIBCO Software の JasperReports 製品に影響を及ぼす、２つのセキュリティ欠陥を Known Exploited Vulnerabilities (KEV) カタログに追加した。それらの脆弱性 CVE-2018-5430 (CVSS：7.7) および CVE-2018-18809 (CVSS：9.9) は、TIBCOにより 2018年4月と 2019年3月に対処されている。
Continue reading “CISA KEV 警告 22/12/29：JasperReports の古い脆弱性２件を追加”Geopolitical Tensions Expected to Further Impact Cybersecurity in 2023
2022/12/29 InfoSecurity — 地政学は 2023年においても、組織のサイバー・セキュリティとセキュリティ態勢に影響を与え続けるだろう。2022年2月に、ロシアによるウクライナ侵攻の動きが始まったとき、世界的な紛争がサイバー・セキュリティに与える影響力がクローズアップされた。 それに伴い、ウクライナと西側同盟国が認識したことは、多額のロシア制裁に対する報復として、重要な国家インフラ (CNI : Critical National Infrastructure) へのサイバー攻撃の脅威が生じることだった。しかし、多くのサイバー・セキュリティ専門家が、2023年に向けて考えているのは、地政学的な問題である。
Continue reading “2023年の地政学を占う：国家に支援される脅威アクターは何を仕掛けてくる？”Facebook to Pay $725 Million to settle Lawsuit Over Cambridge Analytica Data Leak
2022/12/27 TheHackerNews — Facebook／Instagram／WhatsApp などの親会社である Meta Platforms は、2018年からの長期間の集団訴訟に対して、$725 million を支払うことに合意した。この法的紛争が勃発した背景には、Cambridge Analytica が使用したようなサードパーティ・アプリが、政治的広告のためにユーザーの個人情報に同意なくアクセスすることを、Meta Platforms が許可していたことがある。
Continue reading “Facebook が $725 Million の罰金に同意：Cambridge Analytica のデータ流出問題”
IoT OT Security News 
You must be logged in to post a comment.