Literacy – Page 22 – IoT OT Security News

Veritas Backup の３つの脆弱性：ALPHV／BlackCat ランサムウェアの標的になっている

ALPHV/BlackCat ransomware affiliate targets Veritas Backup solution bugs

2023/04/04 SecurityAffairs — ALPHV／BlackCat ランサムウェア・ギャングのアフィリエイトである UNC4466 が、Veritas Backup の３つの脆弱性を悪用して、ターゲットのネットワークへのイニシャル・アクセスを取得していることが確認された。この UNC4466 は、他の ALPHV のアフィリエイトとは異なり、ターゲットの環境へのイニシャル・アクセスにおいて、盗み出した認証情報に依存していない。2022年10月22日に、Mandiant の研究者たちは、このアフィリエイトが Veritas の脆弱性をターゲットにしていることを初めて観測した。

Docker の BuildKit で SBOM をサポート：どのように機能するのか？どんな制限があるのか？

Docker’s BuildKit adds SBOM attestation capabilities: How they work — and key limitations

2023/04/04 SecurityBoulevard — 今年の初めに Docker は、BuildKit ツールにおいて、ビルド時の証明書と SBOM (Software Bills of Materials) のサポートを追加し、それぞれのイメージ内のソフトウェア・コンポーネントのビルド・プロセスを、開発チームが完全に記録する方法を提供するようになった。BuildKit とは、コンテナ・イメージを構築するための Docker のビルド・エンジンであり、従来からのスクリプト・ベースの Dockerfile ビルド・エンジンを改良したものである。Docker は、このツールにより、ビルドのパフォーマンスが向上し、Dockerfile の再利用性が高まったと主張している。

Rorschach というランサムウェア：Palo Alto Cortex XDR の DLL を装い拡散している

New “Rorschach” Ransomware Spread Via Commercial Product

2023/04/04 InfoSecurity — 商用セキュリティ製品である Palo Alto Cortex XDR Dump Service Tool を悪用する脅威アクターたちが、新しくユニークなランサムウェア株を展開させている。この Rorschach (ロールシャッハ) と名付けられたマルウェアは、Check Point Research (CPR) および Check Point Incident Response Team (CPIRT) により発見され、今日の未明のアドバイザリで取り上げられた。

Rilide マルウェアは Chromium を狙う：偽物の Google Drive エクステンションに要注意

New Rilide Malware Targeting Chromium-Based Browsers to Steal Cryptocurrency

2023/04/04 TheHackerNews — Chromium ベースの Web ブラウザが、新しいマルウェア Rilide の標的になっている。このマルウェアは、正規のエクステンションを装い、機密データを採取し、暗号通貨を吸い上げる。Trustwave SpiderLabs Research は、「Rilide マルウェアは、正規の Google Drive エクステンションに偽装されており、脅威アクターに対して各種の悪意のアクティビティを提供する。具体的に言うと、閲覧履歴の監視／スクリーンショットの撮影に加えて、各種の暗号通貨取引所から資金を引き出すための悪意のスクリプトの挿入なども可能にする」と、The Hacker News に提供されたレポートで述べている。

HTTP/S DDoS 攻撃が３年間で 487%急増：ウクライナをめぐるサイバー戦争が激化

HTTP/S DDoS Attacks Soar 487% in Three Years

2023/04/04 InfoSecurity — Netscout によると、HTTP／HTTPS の Web サイトを標的としたアプリケーション層の DDoS (Distributed Denial of Service) 攻撃の量は、Killnet などにより、2019年から2022年にかけて 487% も急増したという。セキュリティ・ベンダーである Netscout の 2022 H2 レポート “DDoS Threat Intelligence Report” は、93カ国と世界のインターネット・トラフィックの 50％以上をカバーする、同社の ATLAS ネットワークが収集したデータを基に作成されたものだ。2019年以降に、Web サイトへの攻撃が最も急増したのは 2022年下半期で、親ロシア・ハクティビストの活動による影響が大きい。

NTT の新たな MDR サービス：Microsoft Sentinel をベースに展開される

NTT Taps Microsoft to Provide MDR Service

3023/04/03 SecurityBoulevard — NTT Ltd が提供を開始した MDR (Managed Detection and Response) セキュリティ・サービスは、Azure クラウド・サービスにホストされている SIEM (Security Information Event Management) プラットフォーム Microsoft Sentinel をベースにしたものとなる。この NTT MDR サービスは、オンプレミス／クラウド環境における、あらゆるユーザー／デバイス／アプリケーション／インフラ・プラットフォームからデータを収集する。そして、このアプローチにより、NTT は高度な分析と機械学習アルゴリズムを適用して、効果的に攻撃を特定し阻止することが可能になるという。

CISA KEV 警告 23/04/03：Zimbra の脆弱性が NATO 諸国への攻撃で悪用

CISA warns of Zimbra bug exploited in attacks against NATO countries

2023/04/03 BleepingComputer — CISA が連邦政府機関に要請したのは、NATO 諸国を標的とした攻撃でロシアのハッカーがＥメールを盗むために悪用した、Zimbra Collaboration (ZCS) に存在する XSS (Cross-Site Scripting) の脆弱性の修正である。NATO に加盟する複数の政府のポータルへの攻撃で、Winter Vivern および TA473 として追跡されているロシアのハッキング・グループが、この脆弱性 CVE-2022-27926 を悪用して、当局／政府／軍人／外交官などのメール・ボックスに不正アクセスしていたという。

WinRAR／7-Zip アーカイブに仕込まれたトリック：検出を回避して PowerShell などを実行

WinRAR SFX archives can run PowerShell without being detected

2023/04/03 BleepingComputer — 脅威アクターたちは、WinRAR 自己解凍アーカイブを無害なファイルで偽装した上で、悪意の機能を追加することで、ターゲットシステムのセキュリティ・エージェントを起動させることなく、バックドアを仕掛けるようになってきた。WinRAR や 7-Zip などの圧縮ソフトウェアで作成される、自己解凍型アーカイブ (SFX：Self-extracting archives) は、基本的に、アーカイブされたデータと内蔵の解凍スタブ (データを解凍するためのコード) で構成される実行型のファイルである。そして、SFX ファイルには、不正なアクセスを防止するためのパスワードが設定されている。

3CX VoIP にサプライチェーン攻撃：Win／Mac アプリがトロイの木馬化され暗号通貨が狙われる

Cryptocurrency companies backdoored in 3CX supply chain attack

2023/04/03 BleepingComputer — 3CX のサプライチェーン攻撃の影響を受けた被害者の一部が、Gopuramマルウェアによりシステムにバックドアを仕掛けられた。この悪意のペイロードを流し込んだ脅威アクターは、暗号通貨企業を主たるターゲットにしているという。Lazarus Groupとして追跡されている北朝鮮の脅威アクターによる、大規模なサプライチェーン攻撃に被害に遭った VoIP 通信会社 3CX は、同社の顧客が使用する Windows／macOS のデスクトップ・アプリを、トロイの木馬化させてしまった。

Microsoft OneNote の安全性を確保する：危険なファイル拡張子のブロックが始まる

Microsoft OneNote Starts Blocking Dangerous File Extensions

2023/04/03 SecurityWeek — Microsoft が発表したのは、危険とされる拡張子を持つエンベッド・ファイルを自動的にブロックする、OneNote ユーザー向けの保護機能の向上である。OneNote は、企業ユーザーがメモ作成やタスク管理のために使用する、Office スイートのコンポーネントであり、マルチ・ユーザー・コラボレーション機能も備えている。その他の Office アプリケーションと同様に、OneNote はマルウェア配信に悪用されてきた。そして、OneNote ドキュメントでは、ユーザーに対する警告を出さずに実行されるファイルを添付できる。

リモート・ワーカーの 32％が未承認アプリを利用：BYOD の実態を調査する

Unapproved Apps Used By 32% of Remote Workers

2023/04/03 InfoSecurity — リモート・ワーカーとハイブリッド・ワーカーのおよそ３人に１人 (32%) が、IT 部門が承認していないアプリやソフトウェアを使用している。さらに、リモート・ワーカーの 92%が、個人のタブレットやスマートフォンを用いて、仕事のタスクをこなしていることが判明した。このデータは、クラウド・セキュリティ企業である Lookout の最新レポートによるものだ。また、調査対象となったリモート・ワーカーの 46％が、仕事のファイルを個人用デバイスに保存している。さらに、45％が、仕事と個人のアカウントで、同じパスワードを使用していることも判明した。

CISA KEV 警告 23/04/01：スパイウェアなどを対象に９件の危険な脆弱性を追加

CISA adds bugs exploited by commercial surveillance spyware to Known Exploited Vulnerabilities catalog

2023/04/01 SecurityAffairs — CISA は、KEV (Known Exploited Vulnerabilities) カタログに、９件の脆弱性を新たに追加した。そのうちの５件は、セキュリティ監視ベンダーが自社の商用スパイウェアでモバイル機器を狙うために使用するエクスプロイトの一部である。これらの脆弱性のカタログへの追加は、Google Threat Analysis Group (TAG) が最近に発表した、Android／iOS／Chrome などに対して複数のゼロデイ脆弱性を使用した２つの異なるキャンペーンに関する詳細レポートを受けたものだ。

LockBit が韓国の国税庁をハッキング：盗んだデータを公表すると脅迫している

LockBit leaks data stolen from the South Korean National Tax Service

2023.04/01 SecurityAffairs — 2023年3月29日に、LockBit ランサムウェア・ギャングは、韓国の国税庁をハッキングしたことを公表した。同グループは、この韓国の機関を Tor リーク・サイトに追加し、身代金が支払われない場合には、2023年4月1日までに盗み出したデータを公開すると脅している。主として、内税の査定と徴収を担当する国税庁は、1966年3月3日に大蔵省の外郭団体として設立されている。

Cacti／Realtek／IBM Aspera の脆弱性：複数の DDoS ボットネットとランサムウェアが悪用

Cacti, Realtek, and IBM Aspera Faspex Vulnerabilities Under Active Exploitation

2023/04/01 TheHackerNews — Cacti／Realtek／IBM Aspera Faspex の深刻なセキュリティ脆弱性を悪用する脅威アクターたちにより、パッチ未適用のシステムを標的としたハッキングが行われている。今週の Fortinet FortiGuard Labs レポートによると、MooBot／ShellBot (別名 PerlBot) の配信に、CVE-2022-46169 (CVSS：9.8)／CVE-2021-35394 (CVSS：9.8) が悪用されているようだ。

CISA KEV に登録された危険な脆弱性：現時点で合計 1,500万件がインターネットに露出している

15 million public-facing services vulnerable to CISA KEV flaws

2023/03/31 BleepingComputer — CISA の KEV (known exploitable vulnerabilities) カタログに記載されている 896件の脆弱性のうち、少なくとも１つの脆弱性の影響を受けている公共性の高いサービスが、1,500万以上も存在することが明らかになった。この膨大な数値は、国家に支援される機関やランサムウェア集団などからの、サイバー攻撃にさらされる脆弱なシステムを特定するために、サイバー・セキュリティ企業である Rezilion が実施した、大規模な調査結果の報告に基づくものである。

WordPress プラグイン Elementor Pro に深刻な脆弱性：現時点で 1100万サイトにインストール

Hackers exploit bug in Elementor Pro WordPress plugin with 11M installs

2023/03/31 BleepingComputer — 1100万以上の Web サイトで使用されている、人気の WordPress プラグイン Elementor Pro の深刻な脆弱性が、ハッカーたちに積極的に悪用されている。Elementor Pro が提供する機能には、ドラッグ＆ドロップ／テーマ構築／テンプレート・コレクション／カスタム・ウィジェットのサポートに加えて、オンライン・ショップ用の WooCommerce ビルダーなどがある。そのため、ユーザーがコードを知らなくても、プロフェッショナルなサイトを簡単に構築できる、WordPress ページ・ビルダー・プラグインとして人気を博している。

Microsoft Azure SFX の深刻な脆弱性：Super FabriXss と命名された CVE-2023-23383

Researchers Detail Severe “Super FabriXss” Vulnerability in Microsoft Azure SFX

2023/03/30 TheHackerNews — Azure Service Fabric Explorer (SFX) に存在する、未認証のリモートコード実行につながる脆弱性の詳細が明らかになったが、すでにパッチが適用されたという。この脆弱性 CVE-2023-23383 (CVSS：8.2) は、2022年10月に Microsoft が修正した脆弱性 FabriXss (CVE-2022-35829 CVSS：6.2) にちなんで、Super FabriXss という名前が ORCA Security により付けられた。

従業員の 70% 以上に問題あり：個人のデバイスに仕事用のパスワードを保持

Over 70% of Employees Keep Work Passwords on Personal Devices

2023/03/30 InfoSecurity — 従業員の5人に4人 (71%) が、個人のスマフォに仕事用の機密パスワードを保存し、66% が個人用のテキスト・アプリを仕事に使用している。このデータは、SlashNext の最新の Mobile BYOD Security Report によるものであり、プライベート・メッセージング・アプリを介したフィッシング攻撃について、セキュリティ・リーダーの 95% が懸念を強めていることも示されている。SlashNext の CEO である Patrick Harr は、「職場において個人のモバイル・デバイスが広く使われるようになり、機密情報のセキュリティを雇用主が確保することが、ますます難しくなっている」と述べている。

AlienFox というツールキットが登場：ミスコンフィグ・スキャナーでクラウドの機密情報を狙う

New AlienFox toolkit steals credentials for 18 cloud services

2023/03/30 BleepingComputer — AlienFox と呼ばれる新しいツールキットを利用する脅威アクターたちが、サーバのミスコンフィグレーションをスキャンし、クラウドベースのメールサービスの認証情報や機密情報を窃取していることが判明した。このツールキットがサイバー犯罪者たちに販売される、Telegram のプライベート・チャネルは、マルウェア開発者とハッカーが取引する際の、一般的な手段となっている。 SentinelLabs の研究者たちによると、AlienFox はモジュール式のツールセットであり、Laravel／Drupal／Joomla／Magento／Opencart／Prestashop／WordPress などのオンライン・ホスティング・フレームワークの、一般的なサービスにおけるミスコンフィグレーションをターゲットにしているという。

Microsoft Cloud の脆弱性：Bing 検索のハイジャック／Office 365 でデータ流出の可能性

Microsoft Cloud Vulnerability Led to Bing Search Hijacking, Exposure of Office 365 Data

2023/03/30 SecurityWeek — サイバー・セキュリティ企業の Wiz によると、Azure Active Directory (AAD) のミスコンフィグレーションにより、アプリケーションが不正アクセスにさらされ、Bing.com が乗っ取られる可能性もあったという。Microsoft AAD は、クラウドベースの IAM (Identity and Access Management) サービスであり、一般的には Azure App Services／Azure Functions アプリケーションの認証メカニズムとして使用される。このサービスは、マルチテナントを含む各種のアカウント・アクセスをサポートしており、適切な制限がない限り、任意の Azure テナントに属するユーザーが、自分自身の OAuth トークンを発行できるようになっている。

フィッシングの HTTPS 化：悪意のサイトの 49% がブラウザに南京錠マークを表示

Volume of HTTPS Phishing Sites Surges 56% Annually

2023/03/30 InfoSecurity — セキュリティ専門家たちが明らかにしたのは、HTTPS を使用するフィッシング・サイトの急増である。つまり、ブラウザに南京錠のマークが表示されている Web サイトであっても、要注意だと警告しているのだ。この調査結果は、9,500 万台ものエンドポイント／センサー／サードパーティのデータベースから収集した情報を、Open Text Cybersecurity が取りまとめた “2023 Global Threat Report” によるものだ。同レポートによると、HTTPS を使用していたフィッシング・サイトの割合は前年比で 56％近くも増加し、全体に占める割合は 2021年の32％から 2022年の 49％以上へと跳ね上がっている。

IBM の Aspera Faspex の脆弱性 CVE-2022-47986：危険性を考慮した対策が必要

Patch Now: Cybercriminals Set Sights on Critical IBM File Transfer Bug

2023/03/30 DarkReading — IBM のファイル転送スタック Aspera Faspex に存在する、任意のコード実行の脆弱性に対するパッチ適用が滞っていることで、ランサムウェア・ギャングなどのサイバー犯罪者の目に留まりはじめている。この深刻な脆弱性に対して、IBM がパッチをリリースしてから数ヶ月が経つが、脅威アクターたちにより野放し状態で悪用されていると、今週に Rapid7 の研究者たちが報告している。先日に、Rapid7 の顧客が、この脆弱性 CVE-2022-47986 により危険にさらされたことで、研究者たちは、早急な対策が必要であると述べている。

クラウド環境の ID を再考する：人間とマシンに付与された権限の 1% だけが使用されている

Just 1% of Cloud Permissions Are Actively Used

2023/03/29 InfoSecurity — Microsoft によると、クラウド・インフラを運用する組織における、ワークロード ID／スーパー・アドミン／過剰な権限付与の急増が、サイバー・リスクの増大に拍車をかけているという。Microsoft が発表した 2023 State of Cloud Permissions Risks レポートによると、主要なクラウド・プラットフォームでは４万以上の権限が付与されているが、そのうちの半数以上が高リスクであることが判明した。パーミッションとは、ユーザーやマシンが特定のリソースに対して、アクセスするために与えられる権限のことを指す。

ChatGPT／GPT-4 を止めろ：Musk／Wozniak などの著名人グループが申し立て

Musk, Scientists Call for Halt to AI Race Sparked by ChatGPT

2023/03/29 SecurityWeek — いつかは人間を凌駕するかもしれない、パワフルなな人工知能技術の展開において、テック企業の動きは速すぎるのだろうか。著名なコンピューター科学者や、Elon Musk、Apple の創業者 Steve Wozniak といったテック業界の著名人たちのグループは、リスクを考慮するために、６ヶ月間の一時停止を要求している。この申立は、サンフランシスコのスタートアップ OpenAI が、先日に発表した GPT-4 に対するものだ。広く使われている AI チャットボット ChatGPT を、さらに進化させた GPT-4 は、ビッグテックである Microsoft と Google のアプリケーション開発競争に火をつけるきっかけにもなっている。

100万回のペンテスト・データは語る：この１年で増大したリスクとは？

Millions of Pen Tests Show Companies’ Security Postures Are Getting Worse

2023/03/29 DarkReading — 平均的な企業のリスク・スコアは、この１年で悪化している。その背景にあるのは、企業におけるデータ流出への対応が不足し、Web アプリケーションの適切な保護が向上しないという現実である。企業におけるデータ流出のリスク・スコアは、2021年の 30ポイントから、2022年の 44ポイントに上昇し、データ漏洩に関する全体的なリスクが高まったことを示している。この調査結果は Cymulate によるものであり、プロダクション環境における 170万時間に及ぶ攻撃的サイバー・セキュリティ・テストを含む、100万回のペンテスト・データを集計したものである。

QNAP NAS の脆弱性 CVE-2023-22809：Linux Sudo のポリシー・バイパスに起因

QNAP warns customers to patch Linux Sudo flaw in NAS devices

2023/03/29 BleepingComputer — 台湾のハードウェア・ベンダーである QNAP は、深刻度の高い Sudo 権限昇格の脆弱性から、Linux 搭載の NAS デバイスを保護するよう顧客に警告している。この脆弱性 CVE-2023-22809 は、Synacktiv のセキュリティ研究者たちにより発見されたものであり、Sudo バージョン 1.9.12p1 における sudoedit 使用時の sudoers ポリシー・バイパスの欠陥として説明されている。

Google TAG 警告：複数の Zero-Day／N-Day エクスプロイトを用いるキャンペーンについて

Google TAG shares details about exploit chains used to install commercial spyware

2023/03/29 SecurityAffairs — Android／iOS／Chrome に対して複数のゼロデイ・エクスプロイトを悪用する、２つのキャンペーンの詳細を、Google Threat Analysis Group (TAG) が公開した。専門家たちは、どちらのキャンペーンも、限定的で高度な標的型であったと述べている。攻撃の背後にいる脅威アクターは、エクスプロイトに Zero-Day と N-Day の両方を使用していたという。これらのエクスプロイト・チェーンは、ターゲットのデバイスに商用スパイウェアや悪意のアプリをインストールするために使用されていたようだ。

API セキュリティの調査：この６ヶ月の攻撃件数が 400％も増加している！

Attacks Targeting APIs Increased By 400% in Last Six Months

2023/03/29 InfoSecurity — API (Application Programming Interfaces) を標的とした攻撃が、この６ヶ月間で 400% も増加している。この調査結果は、Salt Security の最新レポートからのものであり、これらの攻撃における 80％が、認証された API で生じているという。このレポート ”State of API Security Q1 Report 2023″ は、400人のセキュリティ専門家と API 開発者を対象とした、調査の回答から作成されたものだ。この１年間の特筆すべき数値として、回答者の 94％がプロダクション環境での API でセキュリティ問題を経験し、17％が API 関連の侵害を経験したことも示されている。このような問題が生じたことで、API セキュリティが経営陣で議論されたと、48% が回答している。

ChatGPT に対するユーロポールの評価：近い将来に起こり得る問題の可能性

Europol details ChatGPT’s potential for criminal abuse

2023/03/28 HelpNetSecurity — ChatGPT に対する社会の関心が高まる中、この問題に真剣に取り組んでいる Europol Innovation Lab は、さまざまな部門の専門家が参加する、一連のワークショップを実施した。これらのワークショップは、ChatGPT のような LLM (Large Language Models) が犯罪者に悪用される可能性や、捜査官の日常業務を支援する可能性の、調査を目的としている。

Tor Browser のトロイの木馬：ロシア／東欧のユーザーを標的にしている

Trojanized Tor browsers target Russians with crypto-stealing malware

2023/03/28 BleepingComputer — トロイの木馬化した Tor Browser のインストーラーが急増し、ロシアや東欧のユーザーをターゲットにして、感染したユーザーの暗号通貨取引を盗むクリップボード・ハイジャック・マルウェアを仕掛けている。Kaspersky のアナリストたちは、この攻撃は新しくもなく、特に独創的でもないが、依然として効果が高く、世界中の多くのユーザーへの感染が蔓延していると警告している。Kaspersky によると、これらの悪意の Tor インストーラーは世界中の国々をターゲットにしているが、主な標的はロシアと東欧とのことだ。

WiFi プロトコル IEEE 802.11 に欠陥：５月の BlackHat Asia で発表

WiFi protocol flaw allows attackers to hijack network traffic

2023/03/28 BleepingComputer — IEEE 802.11 WiFi プロトコル規格の設計において、基本的なセキュリティ上の欠陥が存在することを、サイバー・セキュリティ研究者たちが発見した。その悪用に成功した攻撃者は、アクセス・ポイントを騙すことが可能であり、ネットワーク・フレームを平文で漏えいさせられるという。WiFi フレームとは、ヘッダー／データペイロード／トレーラーで構成されるデータ・コンテナであり、そこに含まれるものとしては、送信元と送信先の MAC アドレス・コントロール／管理データなどの情報がある。これらのフレームは、受信ポイントのビジー／アイドル状態を監視することで衝突を回避し、データ交換性能を最大化するために、キューで順序付けられ、制御された方式で送信される。

米大統領令による商用スパイウェア制限：政府による使用については曖昧さが残る

President Biden Signs Executive Order Restricting Use of Commercial Spyware

2023/03/28 TheHackerNews — 2023年3月27日 (月) に、米国のジョー・バイデン米大統領は、連邦政府機関による商用スパイウェアの使用を制限する大統領令に署名した。この大統領令には、「スパイウェアのエコシステムが、米国政府にとって深刻な防諜上のリスクとセキュリティ上のリスクをもたらし、また、外国政府または外国人により不適切に使用される重大なリスクをもたらす」と記されている。また、こうしたツールの政府による使用が、法の支配および、人権と、民主主義の規範／価値の尊重と一致する方法で行われることを、保証するよう求めている。

Microsoft の AI セキュリティ：GPT-4 を搭載する Copilot のプレビューが始まった

Microsoft Introduces GPT-4 AI-Powered Security Copilot Tool to Empower Defenders

2023/03/28 TheHackerNews — 2023年3月28日 (火) に Microsoft は、Security Copilot のプレビュー版を発表した。それは、マシンのスピードとスケールで End−to-End 防御を提供するために、AI 指向の機能を組み込むことを、継続的に推進していくことを示すものだ。この、OpenAI の GPT-4 AI と、独自のセキュリティ専用モデルを搭載した製品は、サイバー・セキュリティ・アナリストによる、脅威への迅速な対応／シグナルの処理／リスク露出の評価を可能にする、セキュリティ分析ツールだとされている。

中国の原子力エネルギー部門が標的：APT アクター Bitter は南アジアから攻撃する

China’s Nuclear Energy Sector Targeted in Cyberespionage Campaign

2023/03/28 SecurityWeek — サイバースパイ・キャンペーンを展開する南アジアの APT アクターが、中国の原子力エネルギー部門を標的にしていると、Intezer が最新情報として報告している。2021年ころから活動している Bitter という名のグループは、中国／バングラデシュ／パキスタン／サウジアラビアのエネルギーおよび政府組織を標的とすることで知られており、その戦術として、Excel／Microsoft Compiled HTML Help (CHM)／Windows Installer (MSI) ファイルの悪用を特徴としている。

Latitude Financial にデータ侵害：1400万件以上の顧客データが盗まれた

Latitude Financial Admits Breach Impacted Millions

2023/03/27 InfoSecurity — Latitude Financial が公表したのは、３月の初めに明らかになったサイバー攻撃により、機密個人情報を含む 1400万件以上の顧客データが盗まれたインシデントに関するものだ。今日の声明の中で説明されているのは、あるハッカーがオーストラリアとニュージーランドの運転免許証番号 790万件を持ち出したインシデントである。このメルボルンに本社を置く消費者金融会社は、盗まれた免許証番号の 40% が、これまでの 10年間において、同社に提出されたものだったと述べている。

Dark Web：インテリジェンスを用いて脅威アクターを理解すると何が変わる？

Understanding adversaries through dark web intelligence

2023/03/27 HelpNetSecurity — CISO の 93%がダークウェブの脅威を懸念し、また、組織の防衛とサイバー・セキュリティの向上において、サイバー犯罪者に関するインテリジェンスが重要であると、CISO の 72% が考えていることが、Searchlight Cyber の調査により判明した。このレポートの調査結果によると、セキュリティ上の懸念に対処するために、大半の CISO が脅威インテリジェンスを重視し、79％の CISO がダークウェブからデータを収集しているという。しかし、すでにダークウェブのデータを収集している企業の中にも、サイバー・セキュリティにおける最大級の課題の克服するために、そのデータを利用する上で、やるべきことがあることが示唆されている。

IcedID の新たな亜種：バンキング詐欺からマルウェア配信へとシフトしている

New IcedID variants shift from bank fraud to malware delivery

2023/03/27 BleepingComputer — IcedID の新しい亜種は、通常のオンライン・バンキング詐欺の機能を持たない代わりに、侵害したシステムに新たなマルウェアをインストールすることに、重点を置いていることが判明した。Proofpoint によると、これらの新しい亜種は、昨年末から７つのキャンペーンで、３つの異なる脅威アクターにより使用されており、ランサムウェアなどのペイロードの配信に重点を置いていることが確認されている。

MacStealer という新たな macOS マルウェア：iCloud Keychain からパスワードを窃取

New MacStealer macOS malware steals passwords from iCloud Keychain

2023/03/27 BleepingComputer — Mac ユーザーを標的とする、MacStealer とう名の新たな情報スティーラー・マルウェアが、iCloud KeyChain や Web ブラウザに保存されている認証情報や暗号通貨ウォレットなどの、機密ファイルなどを窃取しているようだ。この MacStealer は、Malware-as-a-Service (MaaS) として配布されており、開発者はプレメイドのビルドを $100 で販売し、購入者はキャンペーンでマルウェアを拡散している。Uptycs 脅威研究チームが発見した MacStealer は、macOS Catalina 10.15 〜 Ventura 13.2 の環境で動作するという。

GoAnywhere ゼロデイの被害者：Crown Resorts が６番目として公表される

Crown Resorts confirms ransom demand after GoAnywhere breach

2023/03/26 BleepingComputer — オーストラリア最大のギャンブル・エンターテイメント企業である Crown Resorts は、GoAnywhere に存在するゼロデイ脆弱性を悪用する脅威アクターに、セキュア・ファイル共有サーバへの侵入とデータ侵害を許したことを認めた。Blackstone 傘下の同社は、年間売上高が $8 billion 超える企業であり、メルボルン／パース／シドニー／マカオ／ロンドンで複合施設を運営している。このデータ侵害は、ランサムウェア・ギャング Clop によるものだが、この１年間において同グループは、ファイルの暗号化からデータ強奪攻撃へとシフトしている。

Outlook の脆弱性 CVE-2023-23397 の悪用：Microsoft のガイダンスで攻撃に対抗

Microsoft shares guidance for investigating attacks exploiting CVE-2023-23397

2023/03/26 SecurityAffairs — 先日にパッチが適用された Outlook の脆弱性 CVE-2023-23397 について、Microsoft が悪用と攻撃に関するガイダンスを公開した。Microsoft Outlook における成りすましの脆弱性から生じる、この問題は認証バイパスへとつながるものだ。この脆弱性の悪用に成功したリモートの攻撃者は、影響を受けるシステムに対して特別に細工した電子メールを送信することで、ユーザーの Net-NTLMv2 ハッシュに、未認証でアクセスできる。

Dark Power という新種のランサムウェア：すでに脅迫が開始されている

New Dark Power ransomware claims 10 victims in its first month

2023/03/25 BleepingComputer — Dark Power という名の新たなランサムウェア・オペレーションが登場し、ダークウェブのデータ漏洩サイトに最初の被害者をリストアップし、身代金を支払わなければデータを公開すると脅迫している。このランサムウェア・グループのエンクリプターの日付を見ると、攻撃が開始された 2023年1月29日にコンパイルされたものだった。さらに、現時点のハッカー・フォーラムやダークウェブ・スペースでは、このオペレーションのプロモーションが行われていないため、プライベート・プロジェクトである可能性が高い。

GitHub の RSA SSH シークレット・キー：パブリック・リポジトリに誤って公開される

GitHub’s Private RSA SSH Key Mistakenly Exposed in Public Repository

2023/03/25 DarkReading — 暗号化方式の RSA SSH ホスト鍵の機密部分が、未知の脅威アクターにより公開されたことで、GitHub は SSH キーを交換した。GitHub のオープン・リポジトリで、脅威アクターがシークレット・キーを公開したと思い込み、飛びつく人もいるかもしれないが、これはヒューマン・エラーによって発生したものだった。SSH キーには、パブリック・キーとシークレット・キーがあり、パブリック・キーは共有／公開できるが、シークレット・キーは秘密にしておくことが不可欠なのだ。誰が公開したのか、どこで公開されたのかという点について、GitHub は情報を公表していないが、管理者はブログで状況を説明している。

GoAnywhere ゼロデイの被害者：Procter & Gamble が５番目として公表される

Procter & Gamble confirms data theft via GoAnywhere zero-day

2023/03/24 BleepingComputer — 2023年2月上旬に、消費財メーカーである Procter & Gamble の GoAnywhere MFT セキュアファイル共有プラットフォームに不正侵入が発生し、非公開にされている従業員データが侵害された。このセキュリティ侵害の背後にいる人物については、同社は言及していないが、世界中の Fortra GoAnywhere セキュア・ストレージ・サーバを標的とし、Clop ランサムウェア・ギャングが継続している、一連の攻撃に関連するものだとされる。ただし、Procter & Gamble によると、従業員の財務情報や社会保障情報に対しては、攻撃者によるアクセスは生じていないとのことだ。

WooCommerce 決済プラグインの深刻な脆弱性：WordPress サイト 50万以上に影響を及ぼす？

Critical WooCommerce Payments Plugin Flaw Patched for 500,000+ WordPress Sites

2023/03/24 TheHackerNews — WordPress のプラグインであり、50万以上の Web サイトにインストールされている WooCommerce Payments に影響を及ぼす、深刻なセキュリティ欠陥に対するパッチがリリースされた。この欠陥を放置すると、脆弱なオンラインショップに対して、脅威アクターによる不正なアクセスが可能になると、2023年3月23日のアドバイザリで同社は発表している。この問題は、バージョン 4.8.0〜5.6.1 に影響を及ぼすという。

Windows／Ubuntu／VMWare Workstation が陥落：Pwn2Own 2023 レポート Day_3

Windows, Ubuntu, and VMWare Workstation hacked on last day of Pwn2Own

2023/03/24 BleepingComputer — ハッキング・コンテスト Pwn2Own の Day-3 でセキュリティ研究者たちは、Windows 11／Ubuntu Desktop／VMware Workstation を標的とした５つのゼロデイ・エクスプロイトを実演し、$185,000 を獲得した。この日のハイライトは、Ubuntu Desktop オペレーティングシステムが、３つのチームにより３回ハッキングされたことだが、そのうちの１つは、以前から知られていたエクスプロイトと重なってしまった。

企業におけるストレージとバックアップを考える：ハイリスクの Top-5 とは？

Top 5 security risks for enterprise storage, backup devices

2023/03/23 HelpNetSecurity — 企業向けのストレージとバックアップのデバイスには、平均で 14件の脆弱性が存在し、そのうち3件は、悪用された場合に重大な侵害をもたらす高リスクの脆弱性であると、Continuity はレポートで記している。この調査結果は、企業におけるストレージとバックアップのセキュリティ状況に、大きなギャップが生じていることを浮き彫りにしている。つまり、IT の他のレイヤーのセキュリティに比べて、大きく遅れているかことを示している。

SharePoint を狙うフィッシング活動を発見：欧米の 1600 人の個人がターゲット

SharePoint Phishing Scam Targets 1600 Across US, Europe

2023/03/23 InfoSecurity — Microsoft のコラボレーション・プラットフォーム SharePoint の、正規サーバを悪用する新たなフィッシング詐欺が、ネイティブの通知メカニズムを介して、欧州／米国などの国々で、少なくとも 1600人の個人を標的にしていることが判明した。2023年3月23日の未明に、Kaspersky のセキュリティ研究者たちが発表したアドバイザリでは、この詐欺を実行するサイバー犯罪者たちが、Yahoo!／AOL／Outlook／Office 365 などの、電子メール・アカウントの認証情報を盗んでいると説明されている。

Microsoft クラウドへのハッキングを検出：CISA が最新ツールを提供

New CISA tool detects hacking activity in Microsoft cloud services

2023/03/23 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、Microsoft のクラウド環境における悪意のアクティビティの兆候の検出に有効な、新しいオープンソースのインシデント対応ツールを公開した。米国エネルギー省の国立研究所である Sandia と共同で開発された、この Untitled Goose Tool という名の Python ベースのユーティリティは、Azure Active Directory／Microsoft Azure／Microsoft 365 環境からテレメトリ情報をダンプする。

Veeam Backup & Replication の脆弱性 CVE-2023-27532：PoC エクスプロイトが登場

Exploit released for Veeam bug allowing cleartext credential theft

2023/03/23 BleepingComputer — Veeam Backup & Replication (VBR)ソフトウェアに影響を及ぼす、Backup Service の深刻な脆弱性に対して、クロスプラット・フォームのエクスプロイト・コードが登場した。この脆弱性 CVE-2023-27532 は、すべての VBR バージョンに影響し、未認証の攻撃者に対して、平文の認証情報の窃取とバックアップ・インフラへの侵入を許し、SYSTEM としてのリモート・コード実行にいたる可能性が生じる。

Okta のパスワード誤入力が狙われる：不適切なログ管理に起因する攻撃手法とは？

New Post-Exploitation Attack Method Found Affecting Okta Passwords

2023/03/23 InfoSecurity — 企業向け ID ソリューション・プロバイダーである Okta のソフトウェア監査ログから、攻撃者がユーザーのパスワードや認証情報を読み取ることができる、ポストエクスプロイトにおける新たな攻撃方法が発見された。この手法は、フォレンジック専門家である Mitiga により発見され、本日の未明に同チームが発表したアドバイザリで説明されている。