iOS – IoT OT Security News

BrutePrint という新たな攻撃手法：スマフォの指紋認証をブルートフォースで突破

Android phones are vulnerable to fingerprint brute-force attacks

2023/05/21 BleepingComputer — BrutePrint と呼ばれる新しい攻撃手法について、Tencent Labs と Zhejiang University の研究者たちが調査結果を発表した。この攻撃は、最新のスマートフォンの指紋をブルートフォースしてユーザー認証を突破し、デバイスを制御するものだ。ブルートフォース攻撃では、コード／キー／パスワードなどを解読して、アカウント／システム／ネットワークなどへ不正アクセスするために、あらゆる手段が試みられている。

Apple の iPhone／Mac／WebKit の脆弱性が FIX：３件のゼロデイを含む数十件の欠陥

Apple Patches 3 Exploited WebKit Zero-Day Vulnerabilities

2023/05/19 SecurityWeek — 5月19日にリリースされた、Apple のセキュリティ・アップデートにより、iPhone／Mac への攻撃で悪用される可能性のある、数十件の脆弱性が FIX した。その中には、ブラウザ・エンジンである WebKit に影響を及ぼす、３件のゼロデイ脆弱性も含まれている。積極的に悪用される脆弱性のうち、CVE-2023-28204／CVE-2023-32373 は、匿名の研究者たちが Apple に報告したものだ。これらの脆弱性の悪用に成功した攻撃者は、特別に細工された Web コンテンツを処理させる (悪意のサイトに誘導するなど) ことでユーザーを騙し、機密情報の漏えいや任意のコード実行を可能にするという。

DLL サイドローディングの二重化：追跡が困難なスティルス攻撃を東アジアで検出 – Sophos

Hackers start using double DLL sideloading to evade detection

2023/05/03 BleepingComputer — Dragon Breath／Golden Eye Dog／APT-Q-27 として知られる APT ハッキング・グループが、古典的な DLL サイドローディング手法を組み合わせる、いくつかの複雑なバリエーションを用いて、検知を回避し始めている。これらの攻撃のバリエーションは、Telegram などのクリーンなアプリケーションを悪用する最初のベクターから始まり、セカンド・ステージのペイロード (クリーンな場合もある) をサイドロードし、そのサイドロードにより悪意のマルウェア・ローダー DLL をロードするものだ。

Google の Passkey：すべてのアカウントで安全なパスワードレス・サインインを実現

Google adds passkeys support for passwordless sign-in on all accounts

2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。

Apple と Google が連携：AirTags 悪用などによる不正追跡を排除するスタンダードとは？

Apple and Google Join Forces to Stop Unauthorized Tracking Alert System

2023/05/03 TheHackerNews — Apple と Google が連携して取り組み始めたのは、たとえば AirTags のようなデバイスが悪用され、ユーザーの知らないうちに追跡されている場合に警告し、安全上のリスクを取り除くための仕様のドラフトである。両社は共同声明で、「この業界初の仕様により、Bluetooth 位置追跡デバイスは、Android／iOS プラットフォームにおいて、不正な追跡の検出と警告の対象になる」と述べている。

Android アプリ侵害：$20K で機能満載のハッキング・ツールが購入できる時代

Apps for Sale: Cybercriminals Sell Android Hacks for Up to $20K a Pop

2023/04/11 DarkReading — サイバー犯罪者たちは、Google Play ストアのセキュリティを回避する手段を見つけ出し、既存の Android アプリをトロイの木馬化するツールを開発している。それらのツールの最高値は、サイバー犯罪市場で１件あたり $20,000 だという。Kaspersky の研究者たちは、4月10日のブログ記事で、最も人気のあるダークウェブ・フォーラムの９つを幅広く調査した結果を発表した。2019年と2023年の活動を追跡したところ、アプリ開発者アカウントへのアクセス／ボットネット／悪意の Android アプリなどを、時には一度に数千ドルで取引される市場が盛んであることが判明した。

Apple の深刻なゼロデイ脆弱性が FIX：iOS／iPadOS／macOS で活発に悪用されている

Apple Releases Updates to Address Zero-Day Flaws in iOS, iPadOS, macOS, and Safari

2023/04/08 TheHackerNews — 2023年4月7日 (金) に Apple は、iOS／iPadOS／macOS および、Web ブラウザ Safari のセキュリティ・アップデートをリリースし、野放し常態で悪用されている２つのゼロデイ脆弱性に対処した。Apple は、１つ目の脆弱性 CVE-2023-28205 はメモリ管理の欠陥であり、２つ目の脆弱性 CVE-2023-28206 は入力検証の欠陥である。同社は、それぞれの脆弱性に対処した上で、活発に悪用された可能性があると認めている。

CISA KEV 警告 23/04/01：スパイウェアなどを対象に９件の危険な脆弱性を追加

CISA adds bugs exploited by commercial surveillance spyware to Known Exploited Vulnerabilities catalog

2023/04/01 SecurityAffairs — CISA は、KEV (Known Exploited Vulnerabilities) カタログに、９件の脆弱性を新たに追加した。そのうちの５件は、セキュリティ監視ベンダーが自社の商用スパイウェアでモバイル機器を狙うために使用するエクスプロイトの一部である。これらの脆弱性のカタログへの追加は、Google Threat Analysis Group (TAG) が最近に発表した、Android／iOS／Chrome などに対して複数のゼロデイ脆弱性を使用した２つの異なるキャンペーンに関する詳細レポートを受けたものだ。

Google TAG 警告：複数の Zero-Day／N-Day エクスプロイトを用いるキャンペーンについて

Google TAG shares details about exploit chains used to install commercial spyware

2023/03/29 SecurityAffairs — Android／iOS／Chrome に対して複数のゼロデイ・エクスプロイトを悪用する、２つのキャンペーンの詳細を、Google Threat Analysis Group (TAG) が公開した。専門家たちは、どちらのキャンペーンも、限定的で高度な標的型であったと述べている。攻撃の背後にいる脅威アクターは、エクスプロイトに Zero-Day と N-Day の両方を使用していたという。これらのエクスプロイト・チェーンは、ターゲットのデバイスに商用スパイウェアや悪意のアプリをインストールするために使用されていたようだ。

Brave のユーザー保護機能が前進：open in app のブロックで pool-party 攻撃に対抗

Brave browser to block “open in app” prompts, pool-party attacks

2023/02/24 BleepingComputer — プライバシー保護に特化したブラウザ Brave の次期メジャー・バージョンでは、”open in app” のような煩わしいプロンプトがブロックされ、pool-party 攻撃に対する保護の強化が始まる予定だという。この、邪魔な “open in app” ポップアップは、ブラウザのプライバシー保護機能が適用されない空間へと、訪問者を連れて行くことを目的としており、広範なユーザー・データが、アプリの作成者により自由に収集される可能性を生じる。

macOS／iOS で権限昇格の新たなバグ：Pegasus スパイウェアの二の舞はゴメンだ！

New Privilege Escalation Bug Class Found on macOS and iOS

2023/02/21 InfoSecurity — Trellix のサイバー・セキュリティ研究者たちが、macOS／iOS に存在する６つの脆弱性と、新しいバグクラスに関する調査結果を発表した。今日の未明に公開された同社のアドバイザリでは、新しいクラスの権限昇格の脆弱性は、NSO Group のモバイル・マルウェア Pegasus を展開するために macOS／iOS の機能を悪用した、ForcedEntry 攻撃に基づくものだと述べられている。

CISA KEV 警告 23/02/14：Windows／Office／iOS の脆弱性を悪用リストに追加

CISA warns of Windows and iOS bugs exploited as zero-days

2023/02/16 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃において野放し状態で悪用される脆弱性４件をバグリストに追加した。そのうち２件は、Microsoft 製品に影響するものだ。パッチ未適用の Windows システム上で、Common Log File System Driver やグラフィック・コンポーネントの脆弱性の悪用に成功した攻撃者に対して、リモート実行 (CVE-2023-21823) および特権昇格 (CVE-2023-23376) を許してしまう。

iPhone／iPad／Mac の新たなゼロデイ CVE-2023-23529 などが FIX

Apple fixes new WebKit zero-day exploited to hack iPhones, Macs

2023/02/13 BleepingComputer — Apple リリースした緊急セキュリティ・アップデートは、iPhone／iPad／Mac へのハッキング攻撃で使われる、新たなゼロデイ脆弱性に対処するものだ。今回のアップデートで修正されたゼロデイ脆弱性 CVE-2023-23529 [1, 2] は、WebKit の混乱を悪用し、侵害したデバイス上で OS クラッシュを誘発し、コード実行を許すものだ。

iOS デバイスを汚染するアドウェア Vastflux：ピーク時で 120億／日のリクエスト

Massive ad-fraud op dismantled after hitting millions of iOS devices

2023/01/21 BleepingComputer — iOS を主体として展開された、Vastflux という名の大規模な広告詐欺作戦は、 120社のパブリッシャーから提供される 1,700件以上のアプリを偽装していたが、サイバー・セキュリティ企業 HUMAN の研究者たちにより阻止されたことが明らかになった。このオペレーション名は、広告配信テンプレート VAST と、単一のドメインに関連する大量の IP アドレスや DNS レコードを迅速に変更することで、悪意のあるコードを隠す回避手法 fast flux に由来しているという。HUMAN のレポートによると、ピーク時の Vastflux では 120億以上／日の入札リクエストが生成され、約 1100万台のデバイス (大半が iOS エコシステム) に影響を与えたとされている。

WhatsApp がプロキシのサポートを開始：インターネット遮断を回避する

WhatsApp adds proxy support to help bypass Internet blocks

2023/01/05 BleepingComputer — 今日から WhatsApp は、インターネットが遮断された場合や、政府によるサービス・ブロックに直面した場合に、プロキシ・サーバ経由で接続できるようになった。この新しいプロキシ・サポート・オプションは、最新の WhatsApp iOS／Android アプリを利用している全てのユーザーに提供される。WhatsApp によると、プロキシ経由で接続しても、メッセージは End-to-End の暗号化で保護されるため、プライバシーとセキュリティは維持されるという。そのため、プロキシ・サーバ運営者／Meta／WhatsApp などの第三者が、メッセージの内容にアクセスすることはできず、ユーザーと受信者だけがメッセージを読むことができるようになる。

Google の同意なき位置情報の追跡：米国で $29.5M の罰金が追加される

Google to Pay $29.5 Million to Settle Lawsuits Over User Location Tracking

2023/01/01 TheHackerNews — Google は、同社の不誠実な位置追跡に関して、インディアナ州とワシントン D.C. から提訴された２つの訴訟で、合計 $29.5 million を支払うことに同意した。明示的な同意なしに、ユーザーの位置を追跡したとして、Google は両州から訴えられ、ワシントン D.C. に $9.5 million、インディアナ州に $20 million の支払うことが決定した。今回の和解は、2022年11月に Google が同様の申し立てについて、40州に支払うことで合意した $391.5 million に追加されるものだ。同社は、テキサス州とワシントン州で、さらに２件の位置情報追跡に関する訴訟に直面している。

Cisco 警告：IOS／NX-OS／HyperFlex の脆弱性が活発に悪用されている

Old vulnerabilities in Cisco products actively exploited in the wild

2022/12/19 SecurityAffairs — Cisco は、複数のセキュリティ・アドバイザリを更新し、同社製品に影響を与える複数の古い脆弱性の活発な悪用について警告している。Cisco IOS／NX-OS／HyperFlex などに影響をおよぼす一連の脆弱性には、深刻度が Critical と評価されるものも含まれる。

Chrome での Passkeys サポート開始：Android／iOS デバイスの生体認証を活用

Google Adds Passkey Support to Chrome for Windows, macOS and Android

2022/12/12 TheHackerNews — Google は、次世代パスワードレス・ログイン規格である Passkeys のサポートを、Chrome の Stable バージョンで正式に展開し始めた。同社の Ali Sarraf は、「Passkeys は、フィッシングによる攻撃が可能な、パスワードなどの認証要素に代わる、より安全性の高い技術である。それらの再利用は不可能であり、また、サーバー侵害で漏洩することもないため、フィッシング攻撃からユーザーを保護できる」と述べている。

Google Play の最新マルアプリ情報：100万 DL の TubeBox などを発見

Android malware apps with 2 million installs spotted on Google Play

2022/12/04 BleepingComputer — Google Play ストアに侵入した、Android の新たなマルウェア／フィッシング／アドウェア群が、200万人以上のユーザーにインストールされていることが判明した。Dr. Web antivirus により発見された、これらの悪質なアプリは、便利なユーティリティやシステム最適化の機能を装っている。しかし実際には、パフォーマンス／ユーザエクスペリエンスの低下や、不正な広告の表示時などを引き起こす元凶となっている。

macOS／iOS のリモート・コード実行の脆弱性が FIX：CVE-2022-40303／CVE-2022-40304

Apple out-of-band patches fix remote code execution bugs in iOS and macOS

2022/11/10 SecurityAffairs — Apple は、iOS／macOS 用の不定期パッチをリリースし、XML ドキュメント解析のための libxml2 ライブラリに存在する、２つのコード実行の脆弱性 CVE-2022-40303／CVE-2022-40304 に対処した。これらの２つの脆弱性は、Google Project Zero のセキュリティ研究者たちにより発見された。この脆弱性の悪用に成功したリモートの攻撃者は、アプリの想定外の終了や、任意のコード実行が可能になる。

SQLite Database Library で 22年前のバグが発覚：Chrome 64 Bit などに生じる影響とは？

22-Year-Old Vulnerability Reported in Widely Used SQLite Database Library

2022/20/25 TheHackerNews — 2000年10月に行われたコード変更がもたらした、SQLite データベース・ライブラリの深刻な脆弱性により、プログラムのクラッシュや乗っ取りが生じる可能性が判明した。この 22 年前の脆弱性 CVE-2022-35737 (CVSS : 7.5) は、SQLite バージョン 1.0.12〜3.39.1 に影響するものであり、2022 年 7 月 21 日にリリースされたバージョン 3.39.2 で対処されている。

iPhone／iPad のゼロデイ脆弱性にパッチ適用：iOS 16.1 への移行を急ごう

Apple fixes new zero-day used in attacks against iPhones, iPads

2022/10/24 BleepingComputer — Apple は、月曜日に公開されたセキュリティ・アップデートにおいて、今年の iPhone 攻撃に悪用された、９つ目のゼロデイ脆弱性を修正した。今日のアドバイザリで Apple は、「このセキュリティ上の脆弱性が積極的に悪用されている可能性があるとする、レポートの存在を認識している」と述べている。この脆弱性 CVE-2022-42827 は、匿名の研究者が Apple に報告したものであり、メモリバッファの境界の外にデータを書き込む、境界外書き込みの問題に関するものだ。

FB アカウントでのログイン要求に注意：認証情報を盗む 400種以上のマルアプリが判明

Facebook Login Details at Risk as Meta Identifies Over 400 Malicious Apps

2022/10/10 InfoSecurity — Facebook の親会社である Meta は、Facebook のログイン情報を盗み出すことを目的とした、400種類以上の悪質な Android／iOS アプリを発見したと述べている。Meta によると、一連のアプリの発見は 2022年に生じており、発見者たちは Apple と Google に結果を報告している。

Cisco iOS／iOS XE における 12件の脆弱性が FIX：DoS 状態に陥る問題など

Cisco Patches High-Severity Vulnerabilities in Networking Software

2022/09/30 SecurityWeek — Ciscoは今週、深刻度の高い 10件のセキュリティ脆弱性を含む、12件の脆弱性に対処する iOS／iOS XE ソフトウェアのアップデートを発表した。これらの脆弱性は、Cisco が３月と９月に半期ごとにリリースしている、ネットワーク・ソフトウェアのパッチの一部として対処された。新たに対処された問題の中で最も深刻なのは CVSS 値 8.6 で、サービス拒否 (DoS) 状態を引き起こす可能性のある６つの脆弱性だ。

Google Play／Apple Store のアドウェア：巧妙に振る舞い 1,300万回インストールに到達

Adware on Google Play and Apple Store installed 13 million times

2022/09/26 BleepingComputer — 広告詐欺を調査しているセキュリティ研究者たちは、Google Play で 75 件のアプリが、Apple App Store で 10件のアプリが、関与していることを発見した。これらのアプリは、合計で 1300万回もインストールされていた。インストールされた不正アプリは、ユーザーを広告で埋め尽くすだけではなく、正規のアプリやインプレッションになりすまして収益も得ていた。この種のアプリは深刻な脅威とは見なされていないが、そのオペレーターは、より危険な行為での悪用へと転換することも可能だ。

Apple macOS／iOS アップデート：悪用中のゼロデイ脆弱性 CVE-2022-32917 が FIX

Apple fixes eighth zero-day used to hack iPhones and Macs this year

2022/09/12 BleepingComputer — Apple は、iPhone／Mac に対する攻撃で使用された、2022年に入ってから８番目のゼロデイ脆弱性に対処するセキュリティ・アップデートを公開した。同社は、月曜日に公開されたセキュリティ・アドバイザリの中で、この脆弱性の積極的な悪用の可能性が報告されていることを明らかにしている。この脆弱性 CVE-2022-32917 により、悪意を持って細工されたアプリケーションが、カーネル権限で任意のコードを実行する可能性があるという。

Apple iOS／macOS のゼロデイ脆弱性が FIX：CVE-2022-32893／CVE-2022-32894

Apple security updates fix 2 zero-days used to hack iPhones, Macs

2022/08/17 BleepingComputer — 今日、Apple が公開したのは、iPhone／iPad／Mac のハッキングに悪用された、２つのゼロデイ脆弱性を修正するための緊急セキュリティ・アップデートである。ゼロデイ脆弱性とは、ソフトウェア・ベンダーがパッチ適用を行う前に、攻撃者や研究者により検知されたセキュリティ上の欠陥のことである。多くの場合において、ゼロデイ脆弱性には、PoC エクスプロイトの公開や、積極的な攻撃での悪用が伴う。

Facebook が摘発した南アジアのサイバー・ギャングたち：騙しのテクニックを分析

Meta Cracks Down on Cyber Espionage Operations in South Asia Abusing Facebook

2022/08/08 TheHackerNews — Facebook の親会社である Meta は、同社の SNS を利用してマルウェアを配布していた、南アジアにおける２つのスパイ活動への対策を講じたことを発表した。１つ目のアクティビティは、ニュージーランド／インド／パキスタン／イギリスの個人を標的とした、ハッキング・グループ Bitter APT (別名 APT-C-08／T-APT-17) により実施されたものだ。Meta は、この活動について、十分な持続性とリソースを持つと表現している。

Apple iOS／iPadOS／macOS／tvOS／watchOS における 37件の脆弱性が FIX

Apple fixes multiple flaws in iOS, iPadOS, macOS, tvOS, and watchOS devices

2022/07/21 SecurityAffairs — Apple は、iOS／iPadOS／macOS／tvOS／watchOS を搭載する各デバイスに、影響を与える 37件の脆弱性を修正するセキュリティ・アップデートを公開した。今回、Apple が対応した欠陥には、任意のコードの実行／特権の昇格／サービス拒否 (DoS)／情報漏えいなどにつながるものが含まれる。

Microsoft が詳述：Apple iOS／macOS のサンドボックス・エスケープの脆弱性

Microsoft Details App Sandbox Escape Bug Impacting Apple iOS, iPadOS, macOS Devices

2022/07/14 TheHackerNews — 水曜日に Microsoft は、Apple の OS に影響を及ぼすセキュリティ脆弱性 (パッチ適用済み) について詳細を明らかにした。この脆弱性の悪用に成功した攻撃者は、対象デバイスで特権へ昇格し、マルウェアを展開できるようになる。Microsoft 365 Defender Research Team の Jonathan Bar Or は、「攻撃者は、このサンドボックス脱出の脆弱性を悪用し、影響が生じるデバイス上で昇格した特権を取得し、悪意のコマンド実行により、追加のペイロードをインストールできる」と記述している。

iOS／macOS に追加された Lockdown Mode：国家支援スパイウェアに対抗する最強の防御

Apple Adds ‘Lockdown Mode’ to Thwart .Gov Mercenary Spyware

2022/07/06 SecurityWeek — Apple は、同社の主力プラットフォームである iOS を標的とした、国家に支援された傭兵スパイウェア攻撃の急増に直面している。その攻撃表面を大幅に縮小し、ソフトウェアの狡猾な悪用を制限するための技術バリアーとして、新たな Lockdown Mode の導入を計画している。カリフォルニア州クパチーノにある Apple は、「この Lockdown Mode は、いくつかの政府により監視の対象とされている、ごく少数のユーザーに対する究極の保護策として、iOS 16／iPadOS 16／macOS Ventura などで利用可能になると述べている。

Google の 2022年ゼロデイ分析：古い脆弱性の派生系が 50% を占める

Google: Half of 2022’s Zero-Days Are Variants of Previous Vulnerabilities

2022/07/01 SecurityWeek — Google Project Zeroは、2022年前半に悪用された、合計 18件のゼロデイ脆弱性を観測しており、そのうちの少なくとも半分は、以前のバグが適切に対処されていなかったことに起因していると述べている。Google Project Zero の研究者である Maddie Stone によると、今年に入ってから確認された、野放し状態だったゼロデイ脆弱性のうち９件は、組織がより包括的なパッチを適用していれば防ぐことができた可能性があるという。

Google Password Manager アップデート：全てのプラットフォームでセキュリティ強化

Google Improves Its Password Manager to Boost Security Across All Platforms

2022/07/01 TheHackerNews — 木曜日に Google は、Password Manager におけるアップデートを公開した。Google Chrome の Product Manager である Ali Sarraf は、「今回のリリースの主な改善点は、Chrome／Android 間の設定が同じになるよう、Management Experience をシンプルに統一したことだ」とブログで述べている。

Google Play に潜む Android マルウェア：いまも生き続ける悪意のアプリ５点を暴く

Android malware on the Google Play Store gets 2 million downloads

2022/06/14 BleepingComputer — 先月にサイバー・セキュリティ研究者たちは、Google Play ストアに潜むアドウェアや情報窃取マルウェアを発見している。そのうちの、少なくとも５つのマルウェアは依然として生きており、200 万以上のダウンロードに到達していることが明らかにされた。アドウェア感染とは、煩わしく不要な広告を表示させるものであり、ユーザー・エクスペリエンスの低下／バッテリー消耗／デバイスの発熱／不正な請求などを引き起こす可能性がある。

Apple App Store の 2021年：160万件の危険／脆弱なアプリの配信が阻止された

Apple blocked 1.6 millions apps from defrauding users in 2021

2022/06/04 BleepingComputer — 今週、Apple App Store のアプリ審査チームは、2021年に申請された iOS アプリについて、343,000 件以上がプライバシー違反でブロックされ、157,000 件が詐欺／スパムの理由で却下されたと発表した。さらに App Store では、34,500 件以上のアプリが、文書化されていない機能や隠し機能を理由にブロックされ、155,000件のアプリが、承認後に新しい機能／性能を追加したことなどで削除されている。2021年を通じて App Review チームは、160 万件以上の危険／脆弱なアプリの追加やアップデートを阻止している。

Google の 2FA 推進プロモーション：1.5 億人が追加されセキュリティが向上

Google sees 50% security boost for 150M users after 2FA enroll

2022/02/08 BleepingComputer — Google は、可能な限り多くのアカウントにおいて、２要素認証 (2FA) を自動的に登録する取り組みを加速させ、2FA を有効にするユーザー 1億5,000万人を追加したと発表した。Google は 2021年5月に、漏洩した認証情報や推測されたパスワードの悪用によるアカウント乗っ取り攻撃から、可能な限り多くのアカウントを保護するための広範な取り組みの一環として、すべてのユーザーに 2FA の使用させることを発表した。

Apple Safari の WebKit に脆弱性：same-origin ポリシー違反による情報漏洩

Safari bug leaks your Google account info, browsing history

2022/01/17 BleepingComputer — Safari の WebKit エンジンに搭載されている、IndexedDB API の実装に問題が発見された。この欠陥を悪用された場合、リアルタイムでの不正な閲覧活動や、ユーザーの個人情報などが漏洩する可能性がある。IndexedDB は、広く使われているブラウザの API であり、容量制限のない汎用性の高いクライアント・サイドのストレージ・システムである。

Mac マルウェア調査：Windows に比べて安全という考え方は過去のものに

New Mac Malware Samples Underscore Growing Threat

2022/01/07 DarkReading — 2021年に出現した一握りのマルウェア・サンプルは、Windows システムに比べて Apple のテクノロジーが、攻撃や侵害を受けにくいとはいえ、決して無敵ではないことを改めて示した。セキュリティ研究者である Patrick Wardle は、その年に出現した全ての新しい Mac マルウェアの脅威リスト The Mac Malware of 2021 [pdf] を、６年連続で発表している。彼は、それぞれのマルウェアのサンプルについて、感染経路／インストールと持続のメカニズム／マルウェアの目的などの特徴を特定している。2021年に出現した新しい Mac マルウェアの各サンプルは、彼の Web サイトで公開されている。

Google Calendar にフィッシング・ブロック機能が追加：悪意の招待を締め出せ

Google Calendar now lets you block invitation phishing attempts

2021/12/16 BleepingComputer — Google は、フィッシング詐欺などの悪意のキャンペーンに多用される、Google Calendar への不要な招待状をブロックし、追加されないようするための機能をリリースした。この機能は、「招待状を自動的に追加する」という設定を改善するものであり、招待状の自動的なカレンダーへの追加、もしくは、Respond to Event Invitations (RSVP) のみを、選択できるようになった。

macOS のゼロデイ脆弱性：国家支援型マルウェアが香港のユーザーに配信される

macOS Zero-Day Exploited to Deliver Malware to Users in Hong Kong

2021/11/12 SecurityWeek — 木曜日に Google は、macOS のゼロデイ脆弱性を悪用して、香港のユーザーにマルウェアを配信するという、最近の攻撃に関する詳細を発表した。Google によると、この攻撃は８月下旬に発見されており、コードの品質から見て、独自のソフトウェア・エンジニアリング・チームにアクセスできる、十分なリソースを持った国家支援型の脅威グループの可能性が高いとのことだ。

Chrome 95 ゼロデイ脆弱性と中国の Tianfu Cup ハッキング・コンテスト

Chrome 95 Update Patches Exploited Zero-Days, Flaws Disclosed at Tianfu Cup

2021/10/29 SecurityWeek — 木曜日に Google がリリースした Chrome 95 アップデートは、２つの積極的に悪用されているゼロデイ脆弱性と、先日に中国のハッキング・コンテストで公開された欠陥を修正するものだ。積極的に悪用されている脆弱性は、CVE-2021-38000 として追跡されており、Intents への信頼できない入力に対する不十分な検証の問題とされている。また、CVE-2021-38003 は、V8 JavaScript エンジンに影響をおよぼす不適切な実装の問題である。CVE-2021-38000 は９月に発見され、CVE-2021-38003は僅か３日前に確認されたものである。

Apple iOS / macOS から TLS 1.0 / 1.1 が消えていく

Apple will disable insecure TLS in future iOS, macOS releases

2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0／1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント／サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴／改竄／偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。

Black Hat キーノート：モバイル上のゼロデイ・マルウェア駆逐が必須

Black Hat Keynote: Mobile Platforms ‘Actively Obstructing’ Zero-Day Malware Hunters

2021/08/04 SecurityWeek — 著名なセキュリティ専門家である Matt Tait は、水曜日に開催された Black Hat アニュアル・カンファレンスの冒頭で、急増するモバイル端末のゼロデイ攻撃やサプライチェーン攻撃に対処するため、プラットフォーム・ベンダーに対して、大幅な技術変更を要求した。Google Project Zero や、英国情報機関 GCHQ ににも、研究者として所属していた経験を持つ Tait は、現在進行中のゼロデイ攻撃に対応するために、モバイル・プラットフォームはデバイス上での観察能力 (on-device observability) の向上を、早急に実現する必要があると述べた。

Microsoft Defender ATP によりプリンターと外部ストレージの運用が安全になる

Microsoft Defender ATP now secures removable storage, printers

2021/07/26 BleepingComputer — COVID-19 パンデミックに伴い、リモート・ワーカーが増大している。そして、彼らの家庭用のプリンターとリムーバブル・デバイスが、企業のデータと日常業務につながることで、サイバー攻撃の対象となる領域が拡大している。このようなセキュリティ・リスクの増大に対応するため、Microsoft は、Windows 10 Defender アンチ・ウイルスのエンタープライズ版である Microsoft Defender for Endpoint に、リムーバブル・ストレージとプリンターを制御するための機能を新たに追加した。

Apple が iPhone / iPad / Mac で悪用されているセロデイ脆弱性に対応

Apple fixes zero-day affecting iPhones and Macs, exploited in the wild

2021/07/26 BleepingComputer — Apple は、iPhone / iPad / Mac 上で広く悪用されたゼロデイ脆弱性に対して、セキュリティ・アップデートを公開した。この脆弱性 CVE-2021-30807 は、匿名の研究者により報告された IOMobileFramebuffer カーネル拡張におけるメモリ破壊の問題である。Apple は、iOS 14.7.1 / iPadOS 14.7.1 / macOS Big Sur 11.5.1 のメモリ処理を改善することで、アプリケーションがカーネル権限で任意のコードを実行するという、バグを修正した。影響を受けるデバイスのリストには、Mac / iPhone 6s 以降 / iPad Pro (全モデル) / iPad Air 2 以降 / iPad 第5世代以降 / iPad mini 4 以降 / iPod touch (第7世代) が含まれる。

iPhone / iPad の WiFi 自動接続に関連する深刻なバグが FIX

Apple fixes bug that breaks iPhone WiFi when joining rogue hotspots

2021/07/23 BleepingComputer — Apple は、iOS および macOS の数十件の脆弱性に対処する、セキュリティ・アップデートを公開したが、その中には iOS でサービス拒否や任意のコード実行を生じる可能性のある、WiFiDemon という深刻なバグを含まれる。この脆弱性 CVE-2021-30800 は、セキュリティ研究者の Carl Schou が公開した際にはゼロデイ・バグとなっていたが、7月21日にリリースされた iOS 14.7 において FIX している。

Google Chrome のゼロデイ・エクスプロイトが FIX

Google patches 8th Chrome zero-day exploited in the wild this year

2021/07/16 BleepingComputer — Google は、Chrome 91.0.4472.164 を Windows / Mac / Linux 向けにリリースし、7つの脆弱性を修正した。そのうちの１つは、すでに悪用されている、深刻度の高いゼロデイ脆弱性である。Google は、「脆弱性 CVE-2021-30563 の、エクスプロイトが存在するという報告を認識している」と明らかにしている。

167 種類の Android / iOS フェイク・アプリで詐欺をはたらくグループが判明

Hackers stealing money via 167 fake Android, iOS apps

2021/05/17 EconomicTimes — ニューデリー発：サイバー・セキュリティの研究者たちの調査により、犯罪者が悪用する 167種類の Android / iOS フェイク・アプリの隠し場所が特定された。これらのアプリの被害者は、信頼できる組織から提供されるトレーディング／バンキング／暗号通貨のアプリを、インストールしたと思い込んだ上で、現金を盗まれている。