Literacy – Page 44 – IoT OT Security News

Qbot マルウェアの戦術変更：感染ベクターを Macro から Windows Installer へ

Qbot malware switches to new Windows Installer infection vector

2022/04/11 BleepingComputer — 現在 Qbot ボットネットは、パスワード保護された ZIP アーカイブを添付したフィッシング・メールを介して、マルウェアのペイロードを送信しているが、その中に悪意の MSI Windows Installer パッケージも含まれる。これまでの Qbot オペレーターたちは、悪意のマクロを含む Microsoft Office ドキュメントを、フィッシング・メールにより配信し、標的デバイスにマルウェアをドロップするという手法を用いていたが、新しい戦術が使われたことになる。

6000人を対象にセキュリティ調査：人為的なリスクが最大の痛みを伴うという結論

Human activated risk still a pain point for organizations

2022/04/11 HelpNetSecurity — 広範囲に及ぶ業種の IT セキュリティ・リーダー 600人を対象に、脅威が高まる環境下という前提で、それぞれの組織のセキュリティ態勢について、匿名での調査が実施された。Egress の調査レポートによると、IT リーダーの 56% の回答として、セキュリティ攻撃に対して非技術系の従業員は、ある程度は備えている、あるいは、まったく備えていない、ことが明らかになった。さらに、回答者の 77％が、パンデミックが引き起こしたリモート化により、セキュリティ侵害が増加したと回答しており、組織には大きなリスクが存在し続けていることが判明した。

Microsoft の Autopatch 機能が７月から稼働：サーバー系は Patch Tuesday を継続

Microsoft’s New Autopatch Feature to Help Businesses Keep Their Systems Up-to-Date

2022/04/10 TheHackerNews — 先週に Microsoft は、Windows Enterprise E3 の一部として、2022年7月から Autopatch と呼ばれる機能を、一般に提供する方針だと発表した。Microsoft の Senior Product Marketing Manager である Lior Bela は、「このサービスは、登録されたエンド・ポイント上の Windows と Office のソフトウェアを、追加費用なしで自動的に最新の状態に保つものだ。毎月の第２火曜日は、ただの火曜日になる」と、先週の投稿で述べている。

中国の科学者が構築した衛星のセキュリティ欠陥を特定するシステムとは？

Chinese scientists build system ‘to identify satellite security flaws’

2022/04/09 SCMP — このプロジェクトに携わった軍事科学者によると、中国は軌道上の衛星のセキュリティの弱点を自動的に検出するための、新しいサイバー防衛インフラを構築したとのことだ。宇宙には何千もの衛星が存在するが、それぞれの衛星を構成する何百もの部品には、ハッカーに悪用される可能性のある、ソフトウェアやハードウェアの抜け穴が存在する。

その研究者によると、National University of Defence Technology in Changsha と Beijing Aerospace Control Centre が共同開発した、コンピューター・システム Ontology of Cyber Situational Awareness for Satellites (OntoCSA4Sat) は、衛星の詳細なデータベースを維持しているとのことだ。

保険会社とランサムウェア：上位 99社のうち 18% が影響を受けやすい状況にある

18% of the top 99 insurance carriers have a high susceptibility to ransomware

2022/04/08 HelpNetSecurity — Black Kite が発表したレポートは、保険分野におけるサイバー・リスクの高まりと、ランサムウェアの影響に対する懸念を示している。最も注目すべき点は、上位 99社の保険会社のうち、20％近くがランサムウェアの影響を受けやすい状況にあることだ。Black Kite の CSO である Bob Maley は、「サイバー保険の状況は、かつてないほど不安定になっている。デジタル・サプライチェーンは急速に拡大しており、サードパーティにおけるデータ漏洩やランサムウェア攻撃のリスクにさらされている。ビジネスを保護するためには、デジタル・ネットワークのサイバー健全性を徹底的に評価し、継続的に監視する必要がある」と述べている。

Google Play に粘着する SharkBot バンキング RAT は次世代型：テストが終わると蠢き出す

Google Removes Dangerous Banking Malware From Play Store

2022/04/08 DarkReading — 2021年10月に表面化し、現在も野放しになっている、SharkBot と呼ばれる危険な Android バンキング・トロイの木馬は、Google Play という信頼できるモバイル・アプリ・ストアを通じて、マルウェアを配布しようとする脅威アクターの執念を示す最新の事例である。

この不正プログラムは、発見者が次世代型と表現しているように、銀行口座にログインしている被害者に、感染させた Android 端末を使用させ、多要素認証の制御をバイパスし、銀行口座からひそかに不正送金するものだ。SharkBot は、認証情報やクレジットカード情報を盗むことも可能であり、また、検出の複雑化により発見を遅らせるなどの、複数の機能を搭載している。

Accenture 調査：コンシューマを狙うサイバー詐欺が 2020〜2021 で 22.5％の増加

Consumer fraud tripled in the last two years

2022/04/08 HelpNetSecurity — Accenture の最新レポートによると、2020年から2021年にかけて、消費者詐欺の報告件数が前年比で３倍以上に増加しているという。また、この傾向に対抗する新しい戦略を見つけることが、公共の安全機関にとって困難になっていることが明らかになった。このレポートは、先進８カ国 (オーストラリア／カナダ／フランス／ドイツ／イタリア／シンガポール／英国／米国) における、消費者詐欺に関するデータをまとめたものであり、政府機関や企業を標的とした詐欺を除いた、コンシューマを標的とした詐欺と定義されている。

メッセージング・アプリの選び方：利便性と安全性をビジネス目線で考察する

Which Third-Party Messenger App Is Best for Secure Business?

2022/04/07 SecurityIntelligence — 2021年10月のこと、世界中で Facebook／Instagram／WhatsApp／Messenger が最大で６時間にわたり停止し、数十億人がメッセージ・サービスを受けられなくなった。Facebook のエンジニアたちが問題解決に奔走する間、ユーザーは他のアプリに移行してつながりを維持した。Telegram の創設者である Pavel Durov によると、この停止の後に、7000万人のユーザーが増加したという。

Google と GitHub が協力：ソフトウェアの真正性確保によりサプライチェーン攻撃に対抗

Google Teams Up With GitHub for Supply Chain Security

2022/04/07 SecurityWeek — Google と GitHub が協力して、SolarWinds や Codecov に影響を与えたような、ソフトウェア・サプライチェーン攻撃に対抗するための、防御ソリューションを提供している。Google の Open Source Security Team の説明によると、SolarWinds の攻撃では、ハッカーがビルド・サーバーを制御し、ビルド・プラットフォームに悪意のアーティファクトを注入している。また、Codecov の攻撃では、脅威者は信頼できるビルド・サーバを迂回して、悪意のアーティファクトをアップロードしていた。

ランサムウェアに関する 2021年の調査：63% の組織が身代金を支払っている

63% of organizations paid the ransom last year

2022/04/06 HelpNetSecurity — CyberEdge Group のレポートによると、昨年は 71% の組織がランサムウェア攻撃の被害を受け、2017年の 55% から増加し、過去最悪の結果となった。また、被害に遭った組織のうち、要求された身代金を支払ったのは 63% であり、2017年の 39% から大きく増加している。

Intel がロシアから撤退：すべての事業活動を停止すると表明

Intel shuts down all business operations in Russia

2022/04/05 BleepingComputer — 火曜日の夜に Intel は、ウクライナ侵攻によりロシアから撤退した他のハイテク企業と同様に、ロシアでの全事業を停止したと発表した。先月に Intel は、米国政府がロシアとベラルーシへの技術輸出を禁じる大規模な制裁措置を発動した後に、ロシアとベラルーシの顧客への出荷をすべて停止していた。1,200人の従業員をロシアで抱えていた Intel だが、本日の発表により、その全事業活動を停止することになる。

SpringShell 問題を抱える組織と脅威アクターたち：すでに６社に１社がターゲットに

SpringShell attacks target about one in six vulnerable orgs

2022/04/05 BleepingComputer — あるサイバー・セキュリティ企業の統計によると、ゼロデイ脆弱性 Spring4Shell の影響を受ける世界中の組織の約６社に１社は、すでに脅威者に狙われていることが判明した。この、深刻なリモートコード実行 (RCE) の脆弱性 CVE-2022-22965 の、エクスプロイト・コードが公開されてから４日間で、悪用の試みが行われているようだ。テレメトリ・データを基にレポートをまとめた Check Point によると、この週末だけで 37,000件の Spring4Shell 攻撃が検出されたとのことだ。

FIN7 ギャングの戦略：運輸／保険／防衛をターゲットにサプライチェーン攻撃？

FIN7 Hackers Leveraging Password Reuse and Software Supply Chain Attacks

2022/04/05 TheHackerNews — この FIN7 と名付けられたサイバー犯罪グループは、当初からのアクセス・ベクターを多様化させ、ソフトウェア・サプライチェーン侵害や、盗まれた認証情報の利用などを取り入れていることが、新しい調査により明らかになった。インシデント・レスポンス会社である Mandiant は月曜日のレポートで、「複数の組織における FIN7 による活動のあとに続く、データ盗難／ランサムウェア展開／技術的重複から、長年に渡り FIN7 の行為者は、様々なランサムウェア・オペレーションと関連していたことが示唆される」と述べている。

ロシアの Hydra ダークウェブを摘発：ドイツ当局が $25M 相当の Bitcoin を押収

Germany Shuts Down Russian Hydra Darknet Market; Seizes $25 Million in Bitcoin

2022/04/05 TheHackerNews — 3月24日にドイツの連邦刑事局 (Bundeskriminalamt：BKA) は、これまでの累計で $5 billion 相当の Bitcoin 取引を行ってきた、世界最大の違法ダークウェブ Hydra を摘発したと公表した。BKA はプレスリリースで、「このマーケットプレイスに起因するものとして、現時点で €23 million 相当の Bitcoin が押収された」と述べている。ブロックチェーン分析会社である Elliptic は、2022年4月5日に 543.3 BTC に相当する、88件の取引に対して摘発が行われたことを確認している。

CISA 警告：積極的に悪用されている Spring4Shell などを脆弱性リストに追加

CISA Warns of Active Exploitation of Critical Spring4Shell Vulnerability

2022/04/05 TheHackerNews — 月曜日に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、先日に公開された Spring Framework に影響を及ぼすリモートコード実行 (RCE) の脆弱性が、活発に悪用されているという証拠に基づき、Known Exploited Vulnerabilities Catalog に追加した。この深刻な脆弱性 CVE-2022-22965 (CVSS : 9.8) は、Java Development Kit 9 以降で動作する Spring Model-view-Controller (MVC) および、 Spring WebFlux アプリケーションに影響を与える。

GitHub にトークン保護機能が追加：リポジトリ・プッシュの前に自動判定

GitHub can now auto-block commits containing API keys, auth tokens

2022/04/04 BleepingComputer — 月曜日に GitHub は、GitHub Advanced Security の顧客向けに、コード・ホスティング・プラットフォームのシークレット・スキャン機能を拡張し、秘密漏えいを自動的にブロックすると発表した。シークレット・スキャンは、GitHub Enterprise Cloud を Advanced Security ライセンスで使用している組織が、リポジトリのスキャンに追加できる高度なオプションである。

ロシアの人々に情報を届ける：Cloudflare が説明するブロック回避の状況

Russians bypass website blocks to access Western news sources

2022/04/04 BleepingComputer — Cloudflare は、ウクライナ情勢に関する正確な情報を得るために、ロシアの人々が欧米のニュースソースを利用するという傾向が強まっている兆候を捉えている。今日、Cloudflare が発表した新しいブログ記事では、ロシアのネット・ユーザーが英国／米国／フランスのニュースサイトにアクセスするために、ブロッキング回避ツールを積極的に採用していることを示す、統計的な証拠が提示されている。

GitLab に深刻なアカウント乗っ取りの脆弱性：管理者に推奨される対策とは？

Critical GitLab vulnerability lets attackers take over accounts

2022/04/01 BleepingComputer — GitLab は、ハードコードされたパスワードを使用するリモートの攻撃者に、ユーザー・アカウントの乗っ取りを許してしまう、深刻な脆弱性に対処した。この脆弱性 CVE-2022-1162 は、GitLab Community Edition (CE) と Enterprise Edition (EE) の双方に影響をおよぼす。具体的に言うと、GitLab CE/EE で OmniAuth ベースで登録を行う際の、誤って設定された静的なパスワードに起因している。

Spring Java Framework のゼロデイ脆弱性 CVE-2022-22963：RCE 防御のための緩和策

New Spring Java framework zero-day allows remote code execution

2022/03/30 BleepingComputer — Framework Spring Core の新たなゼロデイ脆弱性 Spring4Shell が公開され、それを利用するアプリケーション上で、未認証のリモートコード実行が可能になることが明らかにされた。Spring は、エンタープライズ・レベルの機能を持つ Java アプリケーションを、迅速かつ容易に開発できるようにするため、ソフトウェア開発者にとって極めて人気の高いアプリケーション・フレームワークである。それらのアプリケーションは、必要な依存関係をすべて備えたスタンドアロン・パッケージとして、Apache Tomcat などのサーバーにディプロイできる。

サブドメインの乗っ取りが増加：クラウド台頭によりエスカレートしている

Subdomain takeover attacks on the rise and harder to monitor

2022/03/29 HelpNetSecurity — Detectify の調査によると、サブドメインの乗っ取りが増加傾向にあるが、現時点において、それらのドメインには多くの脆弱性があり、また、監視が難しくなっていることが判明した。Detectify は、2021年と 2020年の比較において、顧客の Web 資産の脆弱性が 25% 増となり、ドメインあたりの脆弱性数の中央値は２倍になったとしている。そして、組織のサイバー・セキュリティ・プログラムに対して、EASM (External Attack Surface Monitoring) ツールが提供する有用性が実証されたと述べている。

ゼロデイという状況に陥ったとき：準備がなければ何もできない？

What Does it Mean to Be Zero-Day?

2022/03/29 SecurityBoulevard — ゼロデイ脆弱性とは、コンピュータ・ソフトウェアの未知の脆弱性のことであり、その存在にセキュリティ・チームが気付く前に、ステルス・モードでの攻撃を可能にするものである。ゼロデイとは、ソフトウェアの欠陥が発生してから、修正プログラムが提供されるまでの期間を指す、不定形な概念である。それにより、リスクに満ちたユニークなセキュリティ態勢の状況が生み出される。

悪意の NPM パッケージを量産：サプライチェーン攻撃のための驚異のシステム

A Large-Scale Supply Chain Attack Distributed Over 800 Malicious NPM Packages

2022/03/29 TheHackerNews — RED-LILI と呼ばれる脅威アクターが、約800の悪質なモジュールを公開したが、NPM (Node Package Manager) パッケージ・リポジトリを標的として進行中の、大規模なサプライチェーン攻撃キャンペーンに関与していることが明らかになった。イスラエルのセキュリティ企業である Checkmarx は、「一般的に、攻撃者は匿名の使い捨ての NPM アカウントを使用し、そこから攻撃を開始する。今回の攻撃者は、NPM アカウントの作成プロセスを完全に自動化し、パッケージごとに１つの専用アカウントを開設していたようであり、新しい悪意のパッケージを一括して発見することを難しくしていた」と述べている。

2021年の DDoS 攻撃数は 975万件：パンデミック前のレベルを 14% 上回るペース

Cybercriminals launched 9.75 million DDoS attacks in 2021

2022/03/28 HelpNetSecurity — 2021年 2H において、サイバー犯罪者たちは約 440万件の DDoS (分散型サービス拒否) 攻撃を仕掛け、2021年の DDoS 攻撃の総数が 975万件に達したことが、NETSCOUT のレポートで明らかになった。これらの攻撃は、パンデミックの最盛期に記録したレベルからは 3% 減少しているが、パンデミック前のレベルを 14% 上回るペースで続いている。

ロシアのインターネットにサービス停止の危機：深刻な機材と人材の不足

Russia facing internet outages due to equipment shortage

2022/03/28 BleepingComputer — ロシア最大の企業家組合である RSPP Commission for Communications and IT は、通信機器の不足を原因とする、大規模なインターネット・サービス停止が間近に迫っていると警告している。同委員会は、ロシアの通信業界が直面している、現実的な課題を反映した文書を作成し、それを軽減するための具体的な提案も行っている。この文書を見たロシアのメディアは、同委員会は、通信事業者の機器の備蓄があと半年しか持たないことを強調しており、その警告は悲惨なものであると述べている。

Hive が Linux VMware ESXi 暗号化ツールを Rust に移植：解析と分析が困難に

Hive ransomware ports its Linux VMware ESXi encryptor to Rust

2022/03/27 BleepingComputer — ランサムウェア Hive は、VMware ESXi Linux 用の暗号化ツールを、Rust プログラミング言語で書き換え、セキュリティ研究者による身代金交渉のチェックを、難しくするための新機能を追加した。企業における仮想マシンへの依存度は、コンピュータ・リソースの節約／サーバの統合／バックアップの容易化などのニーズの中で高まっているが、このランサムウェア集団は、それらのサービスに特化した専用の暗号化ツールを作成している。

CISA 警告：Windows／Mitel などの 66 件の脆弱性を悪用リストに追加

CISA adds 66 vulnerabilities to list of bugs exploited in attacks

2022/03/26 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、活発に悪用されている 66件の脆弱性の大規模なセットを、Known Exploited Vulnerabilities のカタログに追加した。これらの欠陥は、組織に対する現実のサイバー攻撃として観測されているため、システム管理者の意識を高め、セキュリティ更新プログラムを適用するための、公式勧告として公開されている。

Kaspersky が FCC の禁止リストに追加：Huawei や ZTE と同じクラスに分類

Kaspersky added to FCC list that bans Huawei, ZTE from US networks

2022/03/25 CyberScoop — 金曜日に連邦通信委員会 (FCC) は、ロシアに本拠を置くサイバー・セキュリティ大手 Kaspersky を、米国の国家安全保障にとって受け入れがたいリスクをもたらす企業の、対象リストに追加した。この決定により、実質的に Kaspersky は、このリストが始まった 2021年に最初にリストに追加された、中国の通信ハードウェア・メーカーである Huawei や ZTE と同じクラスに入ることになる。

パンデミックとリモートワークで経験したリスクが将来の GRC を形づくる

How will recent risk trends shape the future of GRC

2022/03/24 HelpNetSecurity — かつてないほど、リスクマネジメントは、組織にとって重要なものとなっている。かつてないほど、私たちの世界では、変化のスピードが速くなっている。組織が直面するリスクの種類には、サードパーティ／サプライチェーン／レギュレーション／プライバシー／オペレーション／サイバー／金融／環境など、日々進化している。そして、これらの問題は単独で存在するのではなく、相互に関連したリスクであり、全体的な対応が求められる。

サイバー保険の現状：ウクライナ侵攻と戦争免責の関係は慎重に考えるべき

Cyber Insurance and War Exclusions

2022/03/24 DarkReading — サイバー保険は、通常、「戦争排除」または「敵対行為排除」の文言を組み込んでいる。基本的に保険会社は、戦争行為を防御できないという文言である。2022年 Q1 において、すでにサイバー保険市場は戦争排除条項を強化し、補償を拒否するようになっていた。ロシアによるウクライナ侵攻、そして予想されるサイバー攻撃の影響を考慮し、セキュリティ専門家は補償のギャップを判断するために、サイバー保険の補償内容を見直す必要がある。

Phishing Kit を解説：検出を回避する手口と延命のための悪知恵とは？

Phishing kits constantly evolve to evade security software

2022/03/24 BleepingComputer — サイバー犯罪フォーラムで販売されている最新の Phishing Kit は、インターネット・セキュリティ・ソリューションが脅威として認識しないように、複数の高度な検知回避システムとトラフィック・フィルタリング・システムを備えている。有名ブランドを模倣した偽 Web サイトは、インターネット上に数多く存在し、被害者を誘い出し、支払詳細やアカウント情報を盗み出す。これらの偽 Web サイトの多くは、ブランドのロゴやリアルなログ・インページを提供するが、基本的な要素から組み立てられた動的な Web ページなどを特徴とする、高度な Phishing Kit も存在する。

MicroTik ルーターの Botnet-as-a-Service 化：20万台以上が支配下に

Over 200,000 MicroTik Routers Worldwide Are Under the Control of Botnet Malware

2022/03/23 TheHackerNews — MikroTik の脆弱なルーターが大規模に悪用され、サイバー・セキュリティ研究者が近年で最大級の Botnet-as-a-Service の１つと呼ばれる物が形成されている。Avast が発表した新たな調査結果によると、新たな破壊型 Glupteba ボットネットと、TrickBot マルウェアを活用した、暗号通貨マイニング・キャンペーンの全てが、同一の Command and Control (C2) サーバーを使用して配布されたようだ。

FBI レポート：2021年のランサムウェアは重要インフラ 649 件を攻撃

FBI: Ransomware hit 649 critical infrastructure orgs in 2021

2022/03/23 BleepingComputer — FBI は、Crime Complaint Center (IC3) の 2021 Internet Crime Report を引用するかたちで、昨年には米国の複数の重要インフラ部門の少なくとも 649 組織が、ランサムウェアによりネットワークを侵害されたと発表した。ただし FBI は、重要インフラ分野で報告されたランサムウェア・インシデントの追跡が、2021年6月に開始されていることから、実際の数字は増大するはずだと述べている。また FBI は、Crime Complaint Center (IC3) に被害者が苦情を申し立てなかった場合も、その攻撃は統計に含まれないとしている。

Qihoo 360 の主張：中国からデータを盗み出すハッカーの背後に米 NSA がいる

Qihoo 360 says US NSA is behind hacking group that has stolen Chinese data

2022/03/23 SCMP — 米国の制裁対象となっている、中国のサイバー・セキュリティ企業の主張は、米国政府の支援を受けたハッカー集団が、10年以上にわたって中国を攻撃しているというものだ。中国の起業家 Zhou Hongyi が設立した Qihoo 360 は、APT-C-40 と呼ばれるハッキンググループが米国政府と提携しており、過去10年にわたり中国の大手企業／政府／研究機関／インフラをひそかに攻撃していると、最近の報告書で述べている。

Microsoft が Lapsus$ ハッキングを認める：Bing などのソースコードにアクセス

Microsoft confirms they were hacked by Lapsus$ extortion group

2022/03/22 BleepingComputer — Microsoft は、同社の従業員１名のアカウントが Lapsus$ にハッキングされ、この脅威アクターによる、同社のソースコードの一部へのアクセス／窃取が生じたことを認めた。昨夜、Lapsus$ ランサムウェアは、Microsoft の Azure DevOps サーバーから盗み出した 37GB のソースコードを公開した。このソースコードは、Bing／Cortana／Bing Maps などの、同社の様々なプロジェクトに関わるものである。

ウクライナの研究者の反撃：Conti の最新ソースコードが新たにリークされる

Ukrainian Security Researcher Leaks Newer Conti Ransomware Source Code

2022/03/21 SecurityWeek — ロシアがウクライナ侵攻を開始した直後に、ランサムウェア・グループ Conti はロシアへの攻撃の報復として、ロシアの敵国の重要インフラを攻撃する用意があると声明を発表した。これを受けて、匿名の人物が Conti Leaks という Twitter アカウントを開設し、このランサムウェアから盗んだとされるファイルの公開を開始した。最初のリーク情報は、過去１年間に Conti のメンバー間で交わされたメッセージだった。

CISA／FBI／EU の警告：ロシアによる衛星通信ネットワークの破壊は可能

EU and US agencies warn that Russia could attack satellite communications networks

2022/03/20 SecurityAffairs — 衛星通信ネットワーク (SATCOM) は、現代社会にとって重要なインフラであり、米国とEU の機関は、それに対する脅威の可能性を警告している。ウクライナの国家特殊通信情報保護局 (SSSCIP) の Chief Digital Transformation Officer である Victor Zhora は、VIASAT 攻撃について、「まさに戦争の始まりであり、本当に深刻な通信の損失だった」と述べている。紛争が続く中、European Union Aviation Safety Agency (EASA) は、ウクライナ紛争地域付近における Global Navigation Satellite Systems (GNSS) の断続的な停止について警告を発した。

Kubernetes を悪用するランサムウェア：Veritas の調査から見えてくるもの

How prepared are organizations to face a ransomware attack on Kubernetes?

2022/03/18 HelpNetSecurity — Veritas Technologies の新しい調査結果により、大半の組織が Kubernetes 環境において、直面する脅威対する準備が不十分であることが明らかになった。Kubernetes の急速な導入が、世界中の組織のミッション・クリティカルな環境で進んでいる。それらの組織の 86% が、今後２～３年の間に、この技術の導入を想定している。

Google が追跡：Conti／Diavol と連携するアクセス・ブローカー Exotic Lily

Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang

2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界の 650 の標的組織に対して、１日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。

Secure Software Summit：OSS サプライチェーン・セキュリティの現状について

Secure Software Summit: The State of OSS Supply Chain Security

2022/03/17 SecurityBoulevard — Open Source Software (OSS) サプライチェーンが、サイバー攻撃にさらされている。最近の Log4Shell 脆弱性に見られるように、OSS のサプライチェーンは、セキュリティの弱点を突こうとする、攻撃者の焦点となりつつある。数多くの調査レポートにおいて、いわゆる次世代ソフトウェア・サプライチェーン攻撃の、過去 10年間での大幅な増加が示されている。これらの攻撃は、ソースコード／ビルドシステム／CI/CDツール／コードテスト・ツールといった、ソフトウェア・サプライチェーンの重要なリンクの侵害を狙ったものである。

Microsoft が Trickbot 対策オープンソース・ツールを公表： MikroTik ルーターをスキャン

Microsoft Releases Open Source Tool for Securing MikroTik Routers

2022/03/17 SecurityWeek — TrickBot は、2016年から出回っているマルウェアである。当初は金融データを盗むために設計されたバンキング・トロイの木馬だったが、現在では幅広い情報を狙うことができる、モジュール型の情報窃取マルウェアへと進化している。研究者の中には、このマルウェアは限界に達しており、利用可能な膨大な IoC により簡単に検出できるようになったことで、その開発チームはランサムウェア・グループの Conti により買収されたと考える者もいる。

NIST が製造業向けの Industrial Control System (ICS) ガイド SP 1800-10 を公開

NIST Releases ICS Cybersecurity Guidance for Manufacturers

2022/03/17 SecurityWeek — 新しいサイバーセキュリティ実践ガイドのタイトルは「NIST SP 1800-10, Protecting Information and System Integrity in Industrial Control System Environments: Cybersecurity for the Manufacturing Sector」である。これは、NIST の National Cybersecurity Center of Excellence (NCCoE) および MITRE、そして Microsoft／Dispel／Forescout／Dragos／OSIsoft／TDi Technologies／GreenTec／Tenable／VMware などの民間企業の協力により実現されたものだ。

Unix で新たな rootkit が発見：Oracle Solaris に展開され ATM データを操作

New Unix rootkit used to steal ATM banking data

2022/03/17 BleepingComputer — 金銭的な動機を持つハッカー LightBasin の活動を追う脅威アナリストたちは、このグループが ATM から銀行データを盗み、不正な取引を行うために使用している、未知の Unix rootkit を発見したと報告した。このハッカー集団は、2020年にマネージド・サービス・プロバイダーを危険にさらし、そのクライアントを犠牲にしていることが確認されているが、最近ではカスタム・インプラントを用いて、通信会社をターゲットにしているようだ。

TrickBot による MikroTik ルーターの侵害：C2 サーバー連携のプロキシとして機能させる

TrickBot Malware Abusing MikroTik Routers as Proxies for Command-and-Control

2022/03/17 TheHackerNews — 水曜日に Microsoft は、マルウェア TrickBot について、これまで発見されていなかった、IoT デバイスを仲介した Command and Control (C2) サーバーとの、通信の確立に関する詳細な手法を発表した。Microsoft の Defender for IoT Research Team and Threat Intelligence Center (MSTIC) は、「TrickBotは、C2 サーバーのプロキシ・サーバーとして MikroTik ルーターを使用し、標準以外のポート経由でトラフィックをリダイレクトすることで、標準セキュリティ・システムによる検出から悪質な IP を回避させる、別の永続層を追加している」と述べている。

人気の NPM Package が抗議活動：ファイル破壊などでロシア／ベラルーシを狙い撃ち

2022/03/17 TheHackerNews — ロシアのウクライナ侵攻に抗議するために、人気の NPM パッケージ node-ipc の開発者が新バージョンを出荷したが、そのことで、オープンソースとソフトウェア・サプライチェーンにおけるセキュリティへの懸念が高まっている。この変更は、ライブラリの Ver 10.1.1／10.1.2 に影響するものだが、そのメンテナである RIAEvangelist による望ましくない動作を導入し、ロシアおよびベラルーシの IP アドレスを持つユーザーをターゲットにして、任意のファイルのコンテンツを消去し、ハートの絵文字に置き換えるものになっている。

欧州各国が警告：ロシアのウクライナ侵攻に伴う GPS 停止が相次いでいる

Europe warns of aircraft GPS outages tied to Russian invasion

2022/03/17 BleepingComputer — EU における航空の安全および環境保護を管轄する European Union Aviation Safety Agency (EASA) は、ロシアによるウクライナ侵攻に関連して、Global Navigation Satellite Systems (GNSS) に影響を及ぼす、断続的な障害が発生していることについて、今日に警告を発した。

一連の GNSS の停止は、ウクライナ周辺で激化している妨害や、スプーフィング問題の可能性により、航行や監視の劣化につながる可能性を生じる。ロシアが2月24日にウクライナに侵攻して以来、カリーニングラード地域／東フィンランド／黒海／東地中海地域において、衛星ナビに対するスプーフィングやジャミングの件数が拡大していると、Eurocontrol やオープンソースのデータ報告に基づき、EASA は警告している。

CISA／FBI 警告：MFA プロトコルと PrintNightmare を悪用するロシアからの攻撃

US Warns About Russian Attacks Exploiting MFA Protocols, PrintNightmare Flaw

2022/03/16 SecurityWeek — 3月2日に、米国 Cybersecurity and Infrastructure Security Agency (CISA) と FBI は、ロシアの国家に支援された脅威アクターが、デフォルトの多要素認証 (MFA) プロトコルと、PrintNightmare と呼ばれる Windows の脆弱性を悪用して、ネットワークやシステムに不正にアクセスしていると、各組織に警告を発した。この正体不明の脅威グループは、早ければ 2021年5月に NGO を標的とし、デフォルトの MFA プロトコル上に構成された、誤った設定のアカウントを悪用し、被害者のネットワークにアクセスしたとのことだ。

Microsoft Defender の誤検知：Office アップデートをランサムウェアと取り違える

Microsoft Defender tags Office updates as ransomware activity

2022/03/16 BleepingComputer — 今日、Windows 管理者たちに対して、システム上でランサムウェアの挙動を示すアラートが検出されたという Defender for Endpoint の問題により、Office アップデートに対して悪意のタグが付けられるという事態に見舞われた。Windows システム管理者の報告 [1, 2, 3, 4] によると、この現象は数時間前から発生しており、ランサムウェアの警告が大量に発生するケースにも発展した。

OpenSSL 証明書解析の脆弱性 CVE-2022-0778 が FIX：サービス拒否が発生

OpenSSL cert parsing bug causes infinite denial of service loop

2022/03/16 BleepingComputer — OpenSSL が公開したセキュリティ・アップデートは、そのライブラリの脆弱性を悪用により無限ループ関数が作動し、サービス拒否状態に陥るという脆弱性に対処するためのものである。サービス拒否攻撃は、最も悲惨なセキュリティ問題ではないかもしれないが、重要な事業の中断／長期的な財務的影響、ブランド評価の低下などを引き起こす可能性が生じる。

サイバー・セキュリティの指標：IOC と IOA の違いと活用方法

IOCs vs. IOAs — How to Effectively Leverage Indicators

2022/03/16 SecurityIntelligence — サイバーセキュリティ・チームは、サイバー・セキュリティ攻撃／敵対的行動／高度持続的脅威 (APT)、そして、恐ろしいゼロデイ脆弱性の特定を任務としている。この取り組みを通じて、サイバーセキュリティ担当者と運用チームは、効果的な監視／検出／対応の戦略において Indicators of Compromise (IOC) と Indicators of Attack (IOA) を適切に活用することに、同じ苦労を抱えている。

CISA 警告：Microsoft ゼロデイを含む 15件の脆弱性を悪用リストに追加

CISA adds 15 vulnerabilities to list of flaws exploited in attacks

2022/03/16 BleepingComputer — 米国の Cybersecurity & Infrastructure Security Agency (CISA) は、積極的な悪用が認められる脆弱性のリストに、さらに 15件の不具合を追加した。これらのアドバイザリは、セキュリティ更新プログラムを適用していないシステム管理者の注意を喚起し、優先的な対応を促すことを目的としている。一連の欠陥をターゲットにする脅威アクターが確認されているため、これらの問題に対処しないと、ネットワークが侵害され、データ漏洩やランサムウェア攻撃につながる可能性がある。