Literacy – Page 40 – IoT OT Security News

Trickbot のシステマチックな活動：ロシアによるウクライナ攻撃で観測

Russian Cybercrime Trickbot Group is systematically attacking Ukraine

2022/07/08 SecurityAffairs — IBM の研究者たちは、ロシアを拠点とするサイバー犯罪者 Trickbot グループ (別名 Wizard Spider／DEV-0193／ITG23) が、ウクライナ侵攻以来、組織的に攻撃を続けてきたことを示す証拠を収集した。また、2022年2月以降においては、Conti ランサムウェア・グループが TrickBot マルウェアの運用を引き継ぎ、さらに BazarBackdoor マルウェアへと置き換えることを計画していた。

MFA と中小企業の調査：採用 46% 不採用 54% というレベルまで来たが・・・

54% of SMBs do not implement MFA

2022/07/08 HelpNetSecurity — Cyber Readiness Institute (CRI) が発表した Global Small Business Multi-Factor Authentication (MFA) Study によると、世界中の中小企業における多くの経営者たちは、従業員／顧客／パートナーの重要なデータを保護するために、いまだにユーザ名／パスワードのみに頼っていることが明らかになった。

Microsoft Office の VBA マクロ・ブロック：突然のロールバックと大混乱のユーザー

Microsoft rolls back decision to block Office macros by default

2022/07/07 BleepingComputer — 今年の初めに Microsoft は、ダウンロードした Office 文書に含まれる VBA マクロをデフォルトでブロックすると発表したが、この木曜日には、この変更に関する通知を行うまでの間、「フィードバック」に基づきロールバックすると発表した。また、同社は、この決定の背後にある理由を説明できず、Access／Excel／PowerPoint／Visio／Word において、悪意の Office 文書に埋め込まれた VBA マクロが自動的にブロックされなくなることを、公には顧客に通知していない。

iOS／macOS に追加された Lockdown Mode：国家支援スパイウェアに対抗する最強の防御

Apple Adds ‘Lockdown Mode’ to Thwart .Gov Mercenary Spyware

2022/07/06 SecurityWeek — Apple は、同社の主力プラットフォームである iOS を標的とした、国家に支援された傭兵スパイウェア攻撃の急増に直面している。その攻撃表面を大幅に縮小し、ソフトウェアの狡猾な悪用を制限するための技術バリアーとして、新たな Lockdown Mode の導入を計画している。カリフォルニア州クパチーノにある Apple は、「この Lockdown Mode は、いくつかの政府により監視の対象とされている、ごく少数のユーザーに対する究極の保護策として、iOS 16／iPadOS 16／macOS Ventura などで利用可能になると述べている。

Brute Ratel C4 という強力なレッドチーム・ツール：Cobalt Strike のように悪意のペイロード化するのか？

2022/07/06 SecurityAffairs — Palo Alto Networks Unit 42 の研究者は、2022年5月19日にVirusTotal データベースにアップロードされたことで、大半のアンチウイルス製品が良性と判断していたサンプルに、レッドチーム／敵対攻撃シミュレーションのためのツールである、Brute Ratel C4 (BRc4) に関連するペイロードが含まれていたことを発見した。Cobalt Strike Beacons とは異なり、BRc4 ペイロードは普及していないが、同様の機能を備えている。このツールは、EDR (endpoint detection and response) や AV (antivirus) などによる、セキュリティ検出を回避するように設計されている。VirusTotal 上のベンダー間で検知されなかったことからも、このツールの有効性は明らかだ。

OpenSSL の深刻な脆弱性 CVE-2022-2274 が FIX：RCE にいたる恐れがある

OpenSSL Releases Patch for High-Severity Bug that Could Lead to RCE Attacks

2022/07/06 TheHackerNews — OpenSSL プロジェクトのメンテナたちは、特定のシナリオでリモートコード実行につながる可能性のある、暗号ライブラリに存在する極めて深刻なバグに対処するパッチを公開した。この脆弱性には、識別子 CVE-2022-2274 が割り当てられており、2022年6月21日にリリースされた OpenSSL Ver 3.0.4 で取り込まれてしまった、RSA 秘密鍵操作によるヒープメモリ破壊に起因すると説明されている。

Hive RaaS が Rust にアップグレード：より洗練された暗号化方式が実装されている

Hive Ransomware Upgrades to Rust for More Sophisticated Encryption Method

2022/07/06 TheHackerNews — Ransomware-as-a-Service (RaaS) Hive のオペレーターたちが、Hive の構成を全面的に見直し、記述言語を GoLang から Rust へと移行し、より洗練された暗号化方式を採用し始めた。火曜日のレポートで Microsoft Threat Intelligence Center (MSTIC) は、「Hive は、複数の大規模なアップグレードを伴う最新の亜種で、最も急速に進化するランサムウェア・ファミリーの１つであることも証明しており、絶えず変化するランサムウェアのエコシステムを実証している」と述べている。

NPM サプライチェーン攻撃：IconBurst 混入のモジュールが 27,000回以上もダウンロード

NPM supply-chain attack impacts hundreds of websites and apps

2022/07/05 BleepingComputer — NPM のサプライチェーン攻撃は、2021年12月からたどる必要がある。そのとき、難読化された Javascript コードを含む、数十の悪意の NPMモジュールが用いられ、数百の下流にあるデスクトップ・アプリケーションと Web サイトが危険にさらされた。

Windows Server と NTLM リレー攻撃：脆弱性 ShadowCoerce は密かに修正されたのか？

Microsoft quietly fixes ShadowCoerce Windows NTLM Relay bug

2022/07/05 BleepingComputer — Microsoft は、May 2022 Update において、Windows サーバを標的とした NTLM (Windows New Technology LAN Manager) リレー攻撃を可能にする脆弱性 ShadowCoerce を修正した。この NTLM リレー攻撃は、パッチ未適用のサーバを、自身の支配下にあるサーバに対して強制的に認証させることで、Windows ドメインを乗っ取るというものだ。この問題は非公開であるが、BleepingComputer が Microsoft の広報担当者に確認したところ、「MS-FSRVP coercion abuse PoC (ShadowCoerce) は、同じコンポーネントに影響を与える、脆弱性 CVE-2022-30154 への対策で緩和された」とのことだ。

Zoho ManageEngine ADAudit Plus のバグ：Active Directory アカウント侵害にいたる

Zoho ManageEngine ADAudit Plus bug gets public RCE exploit

2022/07/01 BleepingComputer — セキュリティ研究者たちは、Active Directory のアクティビティを監視するツール Zoho ManageEngine ADAudit Plus に存在する、深刻な脆弱性 CVE-2022-28219 (CVSS：9.8)の技術詳細と概念実証のためのエクスプロイト・コードを公開した。この脆弱性により、未認証の攻撃者がリモートでコードを実行し、Active Directory のアカウントを侵害することが可能になる。Horizon3.ai のセキュリティ研究者 Naveen Sunkavally から報告を受けた Zoho は、３月末に ADAudit Plus build 7060 で、この問題に対処している。

Microsoft Azure AD 認証がアップデート：期限付きパスコードの提供で高まる柔軟性

Microsoft updates Azure AD with support for temporary passcodes

2022/07/01 BleepingComputer — Azure Active Directory (Azure AD) の管理者による、期限付きのパスコードの発行が可能になった。このパスコードは、パスワードレス認証での新規登録や、Windows オンボーディング時において、また、認証情報や FIDO2 キー紛失などのアカウント復旧においても利用できる。 Microsoft は TAP (Temporary Access Pass) と表現しているが、Azure ポータルからAzure AD の認証方式ポリシーで TAP を有効にすると、(初回サインアップ時やデバイスのセットアップ時に) 認証情報を登録するために利用できるようになる。

SessionManager バックドアの発見：Microsoft IIS サーバへの攻撃で採用

SessionManager Backdoor employed in attacks on Microsoft IIS servers worldwide

2022/07/01 SecurityAffairs — Kaspersky Lab の研究者たちは、2021年3月以降に発生した Microsoft IIS Servers 標的の攻撃で採用された、新しい SessionManager バックドアを発見した。Kaspersky が公開した分析結果は、「2022年初頭に、私達は IIS バックドアの１つである SessionManager を調査した。そして、2022年4月下旬の時点で、私たちが特定したサンプルの大半に対して、一般的なオンライン・ファイルスキャン・サービスは悪意のフラグを立てていない状況だった。また、SessionManager は、依然として 20以上の組織に展開されていた。IIS モジュールをバックドアとして導入する脅威アクターは、標的組織の IT インフラへの永続的かつ耐更新性のある、スティルス性のあるアクセスを維持できる」と述べている。

Google の 2022年ゼロデイ分析：古い脆弱性の派生系が 50% を占める

Google: Half of 2022’s Zero-Days Are Variants of Previous Vulnerabilities

2022/07/01 SecurityWeek — Google Project Zeroは、2022年前半に悪用された、合計 18件のゼロデイ脆弱性を観測しており、そのうちの少なくとも半分は、以前のバグが適切に対処されていなかったことに起因していると述べている。Google Project Zero の研究者である Maddie Stone によると、今年に入ってから確認された、野放し状態だったゼロデイ脆弱性のうち９件は、組織がより包括的なパッチを適用していれば防ぐことができた可能性があるという。

Google Password Manager アップデート：全てのプラットフォームでセキュリティ強化

Google Improves Its Password Manager to Boost Security Across All Platforms

2022/07/01 TheHackerNews — 木曜日に Google は、Password Manager におけるアップデートを公開した。Google Chrome の Product Manager である Ali Sarraf は、「今回のリリースの主な改善点は、Chrome／Android 間の設定が同じになるよう、Management Experience をシンプルに統一したことだ」とブログで述べている。

ウクライナを標的とするロシアからのサーバー攻撃：侵攻が始まってから 800 件に到達

Ukraine targeted by almost 800 cyberattacks since the war started

2022/06/30 BleepingComputer — ロシアによるウクライナ侵攻が始まった2022年2月24日以来、ウクライナの政府機関や民間企業は 796件のサイバー攻撃の標的にされてきた。ウクライナの SSSCIP (State Service of Special Communications and Information Protection) によると、この戦いが始まってから、同国のネットワークは常にハッキングの試みにさらされているとのことだ。 7月2日に SSSCIP は、「敵のハッカーはウクライナを攻撃し続けている。ロシアの本格的な軍事侵攻が始まってから、サイバー攻撃の精度は低下しているが、量的には変化していない」と発表している。

ロシアのハクティビストによる DDoS 攻撃：ノルウェー政府のサイトがダウン

Russian hacktivists take down Norway govt sites in DDoS attacks

2022/06/30 BleepingComputer — 昨日にノルウェーの国家安全保障局 (NSM：National Security Authority) は、分散型サービス妨害 (DDoS) 攻撃により、同国の最も重要な Web サイトやオンライン・サービスにアクセスできない状態に陥っていると、警告を発表した。この警告では、親ロシア派の犯罪グループが攻撃の背後にいるようだとも説明している。DDoS 攻撃とは、サイバー攻撃の一種であり、大量のリクエストやトラフィックによりインターネット・サーバーを圧倒し、そこにホストされているサイトやサービスへのアクセスを不能にするものである。

Amazon Photos for Android の脆弱性：アクセス・トークンを盗み出される可能性

Vulnerability in Amazon Photos Android App Exposed Amazon access tokenUser Information

2022/06/30 SecurityWeek — サイバーセキュリティ企業である Checkmarx が公開した情報は、Amazon Photos のAndroid アプリケーションに存在する深刻な脆弱性の詳細であり、悪意のアプリにより Amazon のアクセス・トークンを盗み出される可能性を示唆するものである。5000万以上のダウンロード数を誇る Amazon Photos は、クラウド・ストレージを提供し、写真／動画をオリジナル品質で保存するほか、写真の印刷／共有や、複数の Amazon デバイス上での表示などを可能にするサービスだ。

SOHO Router を標的とする ZuoRAT マルウェア：米国／欧州の 80社をスティルス侵害

SOHO Routers in North America and Europe Targeted With ‘ZuoRAT’ Malware

2022/06/30 SecurityWeek — Lumen Technologies の脅威情報部門である Black Lotus Labs のセキュリティ研究者たちによると、ある SOHO (small office/home office) デバイスを標的とする RAT (remote access trojan) が、２年近く検出されなかった状況にあるという。この ZouRAT と名付けられたマルウェアは、リモートワーカーを標的とする巧妙なキャンペーンの一環として、北米／欧州に存在するデバイスに展開されており、国家に支援された脅威アクターによる犯行の可能性がある。研究者たちは、少なくとも 80 の事業体が影響を受けた可能性があると推定している。

米FCC 対 TikTok：Apple／Google のアプリストアからの追放を要求

U.S. FCC Commissioner Asks Apple and Google to Remove TikTok from App Stores

2022/06/30 TheHackerNews — 米国連邦通信委員会 (FCC) の委員の一人が Apple と Google に対して、人気の動画共有プラットフォーム TikTok について、「その密かなデータ処理のパターン」を理由にアプリ・ストアから追放するよう求め始めている。FCC のメンバーであり、共和党員でもある Brendan Carr は、Apple と Google の最高経営責任者への書簡で、「TikTok の機密データと、北京による広範囲なデータ採取とが組み合わさることで、容認できないレベルの国家安全保障リスクがもたらされる」と述べている。

Google が悪意のドメインをブロック：hack-for-hire グループを叩け！

Google blocked dozens of domains used by hack-for-hire groups

2022/06/30 BleepingComputer — Google の Threat Analysis Group (TAG) は、世界中の高リスクな標的を狙う攻撃のために、複数の hack-for-hire グループが用いている、数十の悪質なドメインと Web サイトをブロックした。悪意の商用監視ベンダーが、その顧客による攻撃に使用されるのとは異なり、hack-for-hire オペレーターはダイレクトに攻撃に関与し、通常は、そのような悪意のサービスを提供する驚異アクターに雇用される。また、フリーランスの脅威アクターが、その役割を担うこともある。

MITRE が 2022年版 CWE Top-25 をリリース：NVD と CISA のデータを活用

Mitre shared 2022 CWE Top 25 most dangerous software weaknesses

2022/06/29 SecurityAffairs — MITRE が、2022年版の CWE Top-25 をリリースした。2022年において、最も危険な弱点 Top-25 を集めたリストは、組織が内部インフラを評価し、その攻撃対象領域を特定するのに役立てられる。組織のインフラ内に、これらの脆弱性が存在すると、潜在的に広範な攻撃にさらされる可能性がある。

CISA 勧告と Exchange Online：10月までに Basic 認証から Modern 認証へ切り替えよ

CISA warns orgs to switch to Exchange Online Modern Auth until October

2022/06/29 BleepingComputer — CISA は政府機関／民間企業に対して、クラウドメール・プラットフォームである Microsoft Exchange を、ベーシック認証からモダン認証 (MFA) へと早急に切り替えるよう促している。ベーシック認証 (プロキシ認証) は、アプリがサーバー／エンドポイント／オンラインサービスに認証情報を平文で送信する、HTTP ベースの認証スキームである。

Facebook ビジネスページでデータ収穫：インタラクティブで本物に見えるフィッシングの新常識とは？

Facebook Business Pages Targeted via Chatbot in Data-Harvesting Campaign

2022/06/29 DarkReading — Facebook のアカウント情報／電話番号の窃取を目的とした、ソーシャル・エンジニアリング攻撃が、Facebook Messenger チャットボット機能を組み込んだ巧妙な手段で、ビジネス・ページを標的にしている。Trustwave SpiderLabs の Senior Security Research Manager である Karl Sigler は、「この攻撃は、そのインタラクティブ性で注目されており、ソーシャル・エンジニアリングのフィッシング攻撃が、いかに複雑になっているかを示している」と、Dark Reading に対して語っている。

Exchange の ProxyLogon と中国支援の APT：Building Automation System を攻撃

China-Backed APT Pwns Building-Automation Systems with ProxyLogon

2022/06/29 DarkReading — これまで未知とされてきた中国語圏の高度持続的脅威 (APT) アクターが、Microsoft Exchange の脆弱性 ProxyLogon を悪用してマルウェア ShadowPad を展開している。その最終目標は、ビルオートメーション・システム (BAS：Building Automation System) を乗っ取り、ネットワークに深く侵入することだと、研究者たちは述べている。

AMD から 450GB のデータが盗まれた：RansomHouse というギャングが犯行声明

AMD investigates RansomHouse hack claims, theft of 450GB data

2022/06/28 BleepingComputer — 半導体大手の AMD は、昨年に RansomHouse ギャングが、同社から 450GB のデータを盗んだと主張していることを受けて、このサイバー攻撃を調査していると発表した。RansomHouse は、企業ネットワークに侵入してデータを盗み出し、データを公開すると脅し、他の脅威アクターに販売すると脅すことで、身代金の支払いを要求するデータ強奪グループである。

LockBit 3.0 が導入したバグバウンティ：情報の内容に応じて $1000〜 $1 million が支払われる

LockBit 3.0 introduces the first ransomware bug bounty program

2022/06/27 BleepingComputer — ランサムウェア・オペレーターである LockBit は、新たに LockBit 3.0 をリリースし、ランサムウェアとしては初めてのバグバウンティ・プログラムを導入し、新たな強奪戦術と Zcash 暗号通貨の支払いオプションについてもリークした。このランサムウェアは 2019年に立ち上げられた後に、最も多発するランサムウェアに成長し、2022年5月には全ランサムウェア攻撃の 40% を占めるまでに至った。

Atlassian Confluence の脆弱性 CVE-2022-26134：50件のアクセス権を販売する驚異アクターが登場

Threat actors sell access to tens of vulnerable networks compromised by exploiting Atlassian 0day

2022/06/26 SecurityAffairs — 先日に発見された、Atlassian Confluence のゼロデイ欠陥 (CVE-2022-26134) の悪用により、侵入を許してしまった 50件の脆弱のネットワークへのイニシャル・アクセスが、ある脅威アクターにより販売されている。この発見は、Rapid7 Threat Intelligence チームによるものでありで、その情報は The Record で公開されている。この脆弱なネットワークへのイニシャル・アクセスは、ロシア語のフォーラム XSS で提供されていた。

Microsoft WebView2 の悪用：MFA をバイパスする狡猾なフィッシング手法が証明された

Clever phishing method bypasses MFA using Microsoft WebView2 apps

2022/06/26 BleepingComputer — Microsoft Edge WebView2 アプリケーションを悪用する、巧妙で新たなフィッシング手法により、被害者の認証クッキーが盗み出され、攻撃者によるアカウントへのログイン時に、多要素認証がバイパスされることが可能になるという。数多くのデータ漏洩や、リモートアクセス型トロイの木馬 (RAT)、フィッシング・キャンペーンなどにより、盗み出されたログイン認証情報は膨大な量になっている。その一方で、多要素認証 (MFA) の採用が進んでいるため、標的の MFA ワンタイム・パスコードやセキュリティ・キーに対しても、攻撃者がアクセスできない限り、これらの盗み出した認証情報の悪用は難しくなっている。

LockBit の最近の戦術：著作権違反を主張する偽のメールに御用心

Fake copyright infringement emails install LockBit ransomware

2022/06/26 BleepingComputer — LockBit ランサムウェアのアフィリエイトは、標的に対して著作権違反を主張することで、そのデバイスにマルウェアを感染させるという、興味深いトリックを使用している。これらのマルウェアを送りつけられる電子メールの受信者は、クリエイターのライセンス承諾なしにメディアファイルを使用したと主張され、著作権侵害について警告される。一連のメールの文面には、受信者の Web サイトから侵害コンテンツを削除するか、法的措置に対処することを要求している。

米国／英国／NZ が PowerShell セキュリティ・ガイダンスを発行：Windows の安全性確保に不可欠

US, UK, New Zealand Issue PowerShell Security Guidance

2022/06/24 SecurityWeek — PowerShell を適切に設定／監視し、不正利用のリスクを排除するための共同ガイダンスが、CISA／NSA (米国)、NCSC-UK (英国) ／NZ NCSC (ニュージーランド) から発表された。Windows のスクリプト言語／コマンドライン・ユーティリティである PowerShell は、反復作業を自動化し、フォレンジックを可能にするものになる。つまりインシデント対応を向上させることで、ユーザー・エクスペリエンスを拡張し、OS の管理を支援することを目的にできる。

Conti がデータ漏洩と交渉のサイトを閉鎖：サイバー犯罪シンジケートとして活動を継続？

Conti ransomware finally shuts down data leak, negotiation sites

2022/06/24 BleepingComputer — Conti ランサムウェア・オペレーターは、データを漏洩させ、被害者と交渉するために使用されていた、Tor サーバで構成されるパブリックなインフラをついに閉鎖し、悪名高いサイバ犯罪ブランドとしての幕を閉じた。脅威情報アナリストの Ido Cohen によると、Conti のサーバーは水曜日にシャットダウンされており、現時点においてもオフラインであることを、BleepingComputer も確認している。

AWS の機密情報を漏洩させる、迷惑なバックドアつき Python ライブラリ

Multiple Backdoored Python Libraries Caught Stealing AWS Secrets and Keys

2022/06/24 TheHackerNews — 研究者たちは、一般公開されたエンドポイントへ向けて、AWS の認証情報／環境変数を流出させるよう設計された悪意の Python パッケージを、サードパーティの公式ソフトウェア・リポジトリで数多く発見した。Sonatype のセキュリティ研究者 Ax Sharma によると、それらのパッケージには loglib-modules／pyg-modules／pygrata／pygrata-utils／hkg-sol-utils が含まれていたが、現在では一連のエンドポイントも含めて削除されているとのことだ。彼は、「これらのパッケージのいくつかは、ユーザーの機密情報を窃取／流出させるコードを含んでいるか、その機能をもつ依存関係を使用している」と述べている。

SMS Bomber ＋ Nimbda Backdoor：中国発のグレーウェアを悪用する意図はどこに？

Chinese Hackers Distributing SMS Bomber Tool with Malware Hidden Inside

2022/06/23 TheHackerNews — ハッカー集団 Tropic Trooper と関係のある脅威クラスタが、新たなキャンペーンの一環として、Nim 言語でコーディングされた、未知のマルウェアを使用していることが確認された。Nimbda と命名されたこの新しいローダーは、中国語のグレーウェア SMS Bomber ツールにバンドルされており、中国語圏で違法に配布されている可能性が高いと、イスラエルのサイバー・セキュリティ企業である Check Point は報告書で述べている。

企業に潜み続ける APT：脆弱な IoT／OT デバイスが理想のターゲットになっている

How APTs Are Achieving Persistence Through IoT, OT, and Network Devices

2022/06/23 DarkReading — IoT 攻撃に関する大半のニュースが、ボットネットやクリプトマイニングといったマルウェアに焦点を当てている。しかし、APT グループ UNC3524 が用いる攻撃手法を見れば分かるように、この種のデバイスは、ターゲットのネットワーク内部から、より有害な攻撃を仕掛けるための理想的な標的になっている。Mandiant のレポートは、「 UNC3524 の手法は、ネットワーク／IoT／OT デバイスの安全性の低さを悪用し、ネットワーク内部で長期的にアクティビティ持続する巧妙なものだ」と述べている。この種の APT (Advanced Persistent Threat) スタイルの攻撃は、近い将来において増加する可能性が高く、そのリスクを理解する必要がある。

ICS ベンダー 10社に生じた脆弱性 OT Icefall：いくつかの緩和策が提供され始めた

ICS Vendors Respond to OT:Icefall Vulnerabilities Impacting Critical Infrastructure

2022/06/23 SecurityWeek — 先日に公開された脆弱性 OT:Icefall の影響を受ける、複数の Industrial Control System (ICS) ベンダーがアドバイザリを公開し、その影響の詳細について顧客に通知し、緩和策を提供している。OT:Icefall は、Forescout の研究者たちが、OT システムを製造する 10社の製品で発見した、56件の脆弱性の集まりに付けられた名称である。これらの欠陥は、安全が確保されないエンジニアリング・プロトコル／脆弱な暗号化／壊れた認証スキーム、欠陥を伴うファームウェア・アップデート機構／ネイティブ機能の乱用などに関連するものである。

API セキュリティ調査：全インシデントに占める割合は 4.1〜7.5％

One in every 13 incidents blamed on API insecurity – report

2022/06/22 DailySwig — サイバー・セキュリティ・インシデントの原因のうち、API の不安定さが 4.1〜7.5％を占めていることが、最新の研究により明らかになった。Marsh McLennan Cyber Risk Analytics Center が実施した調査は、約11万7000件のユニークなサイバー・セキュリティ・インシデントの分析をベースにしたものであり、大企業ほど API 関連のインシデントが増加する傾向にあることが、統計的に判明している。大企業は、中小企業と比べて３〜４倍も、API セキュリティ問題を経験する可能性が高かったのである。

オープンソース・ソフトウェアと脆弱性の関係：実際に攻撃可能なものは３％に過ぎない

Only 3% of Open Source Software Bugs Are Actually Attackable, Researchers Say

2022/06/25 DarkReading — ソフトウェア・サプライチェーンにおけるセキュリティ・リスクが高まる中、脆弱性管理の作業負荷が増大しているが、今日の Shiftleft レポートでは、現存の脆弱性のうち、実際に攻撃者が到達可能なものは約３%に過ぎないことが示されている。このデータは、アプリケーション・セキュリティ (appsec) の専門家と開発者たちが、攻撃可能な脆弱性の修正と軽減に注力すれば、チームの負担を劇的に軽減できることを示唆している。

NSA が Windows PowerShell 活用を提言：適正な利用により防御側の武器になる！

NSA shares tips on securing Windows devices with PowerShell

2022/06/22 BleepingComputer — 今日、National Security Agency (NSA) とサイバーセキュリティ・パートナー機関はシステム管理者たちに対して、Windows マシン上における悪意のアクティビティ防止／検出に PowerShell の使用を推奨するアドバイザリーを発表した。PowerShell は、サイバー攻撃で頻繁に使用され、主に侵入後の段階で悪用されているが、Microsoft の自動化およびコンフィグレーション・ツールに組み込まれたセキュリティ機能は、防御側のフォレンジック作業やインシデント対応の改善や、反復タスクの自動化にも有効とされる。

7-zip のセキュリティが強化：インターネットからのファイルに Mark-of-the-Web 識別子を付与

7-zip now supports Windows ‘Mark-of-the-Web’ security feature

2022/06/21 BleepingComputer — 7-zip は長年の要望に応え、Windows のセキュリティ機能である Mark-of-the-Web のサポートを追加し、悪意のダウンロード・ファイルに対する保護を強化した。それにより、Windows は、Web からダウンロードされた Mark-of-the-Web (MoTW) と呼ばれるドキュメントや実行ファイルに対して、’Zone.Id’ 代替データストリームを追加する。

Adobe Acrobat の問題：アンチ・ウィルス製品による PDF ファイル・モニタリングをブロック？

Adobe Acrobat may block antivirus tools from monitoring PDF files

2022/06/21 BleepingComputer — セキュリティ研究者たちは、Adobe Acrobat がアンチウィルス・ソフトウェアをブロックし、PDF ファイルをオープンする際の、セキュリティ的な可視化を拒否していることを発見し、ユーザーにリスクを生じさせることを明らかにした。Adobe の製品は、30 種類のセキュリティ製品のコンポーネントの、プロセスへのロードの有無をチェックしており、また、それらをブロックすることで、悪意のアクティビティ監視を本質的に拒否している。

リモート・ファーストの世界とランサムウェア：VPN 依存からの脱却は不可欠？

Mitigate Ransomware in a Remote-First World

2022/06/21 TheHackerNews — ランサムウェアは、長年にわたって、サイバー・セキュリティ・チームにとって悩みの種として存在している。リモート・ワークやハイブリッド・ワークへの移行に伴い、この陰湿な脅威は、あらゆる組織にとってさらに大きな課題となっている。2021年は、多種多様な攻撃／多大な金銭的／経済的影響／組織側の多様な防御方法といった、ランサムウェアのケース・スタディの年となった。これらの攻撃から得られた教訓は、ランサムウェアのリスクを軽減するための、今後のセキュリティ戦略に活かせるものだと捉えるべきだ。組織は進化し続けるため、セキュリティ戦略も進化すべきなのだ。

Windows Server の VPN／RDP／RRAS 接続に問題：6月の Patch Tuesday が悪さをしている？

Recent Windows Server updates break VPN, RDP, RRAS connections

2022/06/20 BleepingComputer — 今月の Windows Server アップデートは、Routing and Remote Access Service (RRAS) を有効にしたサーバにおける VPN／RDP 接続などで、さまざまな問題を引き起こしているようだ。RRAS とは、VPN およびダイヤルアップ接続を用いた、リモート・アクセスやサイト間の接続などの、追加の TCP 接続およびルーティングの機能を提供する Windows サービスである。

Google Project Zero の解説：５年前の Safari の脆弱性 CVE-2022-22620 が悪用された理由

Google Researchers Detail 5-Year-Old Apple Safari Vulnerability Exploited in the Wild

2022/06/20 TheHackerNews — Google Project Zero の最新レポートによると、今年の初めに野放しで悪用されていた Apple Safari のセキュリティ欠陥は、もともと2013年に修正され、2016年12月に改めて問題とされたものだ。この脆弱性 CVE-2022-22620 (CVSS : 8.8) は、WebKit コンポーネントの use-after-free に起因するものであり、特別に細工された Web コンテンツの一部により悪用され、任意のコード実行を許す可能性があるというものだ。

Google Chrome フィンガープリントという問題：エクステンションの種類からユーザー追跡ハッシュの取得が可能

Google Chrome extensions can be fingerprinted to track you online

2022/06/19 BleepingComputer — ある研究者が、ユーザーの追跡を可能にするフィンガープリントを、ユーザーのデバイスにインストールされている Google Chrome のエクステンションから取得する Web サイトを公開した。 Web 上のユーザーの追跡を可能にするフィンガープリントは、つまり追跡用ハッシュは、Web サイトにアクセスするデバイスの、さまざまな特性をベースに生成される。このデバイスの特性には、GPUの性能／インストールされている Windows アプリケーション／デバイスの画面解像度／ハードウェア構成／インストールされているフォントなどが含まれる。さらに、同じ方式を使用して、複数のサイトでデバイスを追跡することも可能になる。

Sophos Firewall のゼロデイ脆弱性 CVE-2022-1040：中国の DriftingCloud APT が修正前に悪用

Chinese DriftingCloud APT exploited Sophos Firewall Zero-Day before it was fixed

2022/06/17 SecurityAffairs — Volexity の研究者たちは、Sophos Firewall のゼロデイ脆弱性が中国の脅威アクターにより悪用され、ターゲットとされた企業のクラウド・ホスト Web サーバが侵害されていたことを発見した。この脆弱性 CVE-2022-1040 は、Sophos が修正する数週間前に中国の攻撃者に悪用され、ターゲットのシステムに Web シェルがドロップされていた。2022年3月25日に Sophos は、Sophos Firewall のユーザー・ポータル／Webadmin エリアに存在する、この認証バイパスの脆弱性を修正したと発表している。なお、脆弱性 CVE-2022-1040 (CVSS：9.8) は、Sophos Firewall 18.5 MR3 (18.5.3) 以前のバージョンに影響を及ぼす。

BeanVPN の 2500 万人分のデータが流出：ポリシー違反の ElasticSearch が放置されている

25 million free VPN user records exposed

2022/06/15 CyberNews — 無料の VPN ソフトウェアが、18GB 以上の接続ログを公開／放置するというインシデントがあった。このデータベースを悪用する脅威アクターたちにより、ユーザーや居場所の特定がや可能になるかもしれない。Cybernews チームは、BeanVPN アプリにより生成された、18.5GBの接続ログなどを取り込んだオープンなデータベースを発見した。このデータセットには、ユーザー・デバイス／Play Service ID／IP アドレス／接続タイムスタンプなどの診断情報を含む、2500万件以上のレコードが含まれていた。

Microsoft 警告：６月の Patch Tuesday を適用した Windows Server にバックアップの問題が？

Microsoft: June Windows Server updates may cause backup issues

2022/06/15 BleepingComputer — Microsoft の発表によると、６月の Patch Tuesday の Windows 更新プログラムを適用した後に、一部のアプリケーションにおいて、Volume Shadow Copy Service (VSS) を用いたデータ・バックアップに失敗する可能性があるようだ。この問題は、Microsoft File Server Shadow Copy Agent Service (RVSS) の権限昇格の脆弱性 CVE-2022-30154 に対処する導入された、セキュリティ強化に起因するとされる。

Dark Web Price Index 2022：潜入調査で明らかにされた商品相場と価格動向

Let’s give a look at the Dark Web Price Index 2022

2022/06/15 SecurityAffairs — Privacy Affairs は、ブラック・マーケットで入手できる違法なサービス／製品の価格を分析し、2021年2月〜2022年6月を対象期間とする調査結果を発表した。このドキュメントは、Dark Web Index 2022 レポートで提供された情報を更新したものである。今年のインデックスの例を見ていこう。Mastercard (PIN 付き) のクローン情報は、2021年の $25 から $20 に引き下げられている。American Express (PIN 付き) のクローン情報も、2021年の $35 から $25 に引き下げられている。

Microsoft の定例６月パッチは重要：Follina 以外にも深刻な RCE 情報が満載

Microsoft Patches ‘Follina’ Zero-Day Flaw in Monthly Security Update

2022/06/15 DarkReading — 今日、Microsoft は、6月にスケジュールされたセキュリティ更新プログラムの一環として、Microsoft Support Diagnostic Tool (MSDT) に存在し、広く悪用されているゼロデイ脆弱性 Follina に対するパッチを発行した。このパッチは、同社が製品ポートフォリオ全体の脆弱性に対処するために公開した、合計で 60件のセキュリティ更新プログラムの中で、重要のものとなる。

2022年の認証情報を考える：240 億件以上のパスワードセットが闇取引されている現状とは？

24+ Billion Credentials Circulating on the Dark Web in 2022 — So Far

2022/06/15 DarkReading — パスワードレス技術は、いまのサイバー・セキュリティ部門で最も注目されている分野のひとつだと思われるが、現場では未だにパスワードが広く利用されおり、安全性が非常に低いという現実が存在する。ある報告書によると、サイバー犯罪者のマーケット・プレイスで流通しているユーザー名／パスワードのセットは、今年の時点で 246億件にのぼることが判明している。これは、地球上のすべての人に４セットの認証情報があることを示し、前回の 2020年の調査と比較して 65％増加している。