Literacy – Page 47 – IoT OT Security News

SolarWinds 攻撃と新たなマルウェア：長期間の潜伏を可能にする手法とは？

New Malware Used by SolarWinds Attackers Went Undetected for Years

2022/02/02 TheHackerNews — SolarWinds サプライチェーン侵害の背後にいる脅威アクターは、この攻撃に新しいツールやテクニックを投入し、2019年からマルウェアを強化し続けることで、とらえどころのない性質を持つキャンペーンに成長し、何年もアクセスを維持する敵対者の能力を示してきた。

Nobelium ハッキング・グループの斬新な戦術を解説する、サイバー・セキュリティ企業である CrowdStrike によると、攻撃の規模が拡大する以前から、２つの洗練されたマルウェア・ファミリーが被害者のシステムに潜入していたという。それらは、GoldMax の Linux 版と、TrailBlazer という新たなインプラントである。

アクセス・ブローカー Prophet Spider が Log4Shell 攻撃を増幅させる

IAB Prophet Spider Seizes Opportunity to Exploit Log4j Vulnerability

2022/02/02 SecurityBoulevard — イニシャル・アクセス・ブローカー (initial access broker：IAB) グループである Prophet Spider による攻撃は、最近になって発見された VMware Horizon での Log4j 脆弱性の悪用と相関関係があることが判明した。また、侵害の兆候を示すいくつかの指標は、自身の組織に対する攻撃の有無を、セキュリティ・チームが判断するのに役立つ。

Prophet Spider 攻撃を発見したBlackBerry Research & IntelligenceとIncident Response チームによると、昨年末に VMware は Log4Shell パッチと緩和のためのガイダンスを発行したが、多くの実装においてパッチが適用されていない。

OpenSSF の新プロジェクト Alpha – Omega：セキュリティのために Microsoft／Google が出資

OpenSSF Launches Project to Secure Open Source Software

2022/02/01 SecurityBoulevard — 今日、Open Source Security Foundation (OpenSSF) は、Microsoft と Google から提供された $5 million の初期投資を用いて、オープンソース・ソフトウェアのセキュリティを向上させるための Alpha-Omega プロジェクトを立ち上げた。

OpenSSF の General Manager である Brian Behlendorf は、このプロジェクトの目的について、セキュリティに関する専門知識を広範なオープンソース・ソフトウェア・プロジェクトに提供し、オープンソース・ソフトウェア構築で用いられる DevSecOps ワークフローに組み込むことが可能な、自動セキュリティ・テスト・ツールへのアクセスを提供することだと述べている。

ロシアによるウクライナ攻撃：国家支援 APT などのアクティビティが明るみに

More Russian Attacks Against Ukraine Come to Light

2022/01/31 SecurityWeek — ここ数カ月の間に、ロシアに関連する脅威アクターが、ウクライナに対して行ったと考えられる作戦は、WhisperGate 攻撃だけではない。月曜日に Symantec は、既知のグループと関連づけたスパイ活動の詳細を公開した。数年前から、ロシアの APT アクターがウクライナの標的に対して、様々なサイバー攻撃を仕掛けていることが確認されている。これらのグループの中には、モスクワのシークレット・サービスの一部と考えられるもの、また、直接の監督下にあると考えられるものもある。

FTC 警告：ソーシャルメディア関連の詐欺で 2021年は $770 M が失われた

FTC: Americans lost $770 million from social media fraud surge

2022/01/30 BleepingComputer — 米国連邦取引委員会 (FTC) が2021年に受理した数万件の報告書によると、ソーシャルメディア上の詐欺師に米国人が狙われるケースが増えているという。FTC が明らかにしたように、95,000人以上の米国の消費者が、ソーシャルメディア上で詐欺に遭い、約 $770 million の損失を被ったと報告している。この被害額は、2017年と比べて 18倍、2020年の２倍以上という大幅な増加を示し、2021年に報告された詐欺被害全体の約 25％に相当するという。

米 FCC が China Unicom Americas に業務停止命令：安全保障上の重大な懸念が理由

US FCC bans China Unicom Americas telecom over national security risks

2022/01/29 SecurityAffairs — 米連邦通信委員会 (FCC：Federal Communications Commission) は、国家安全保障上の重大な懸念を理由として、China Unicom Americas のライセンスを取り消した。同社は、加入者数で世界第６位のモバイル・サービス・プロバイダーである。この通信会社は、中国の国有通信会社である China Unicom の海外子会社であり、数十カ国で事業を展開している。

2021 調査：288種類の脆弱性を悪用する 157 のランサムウェア・ファミリー

Ransomware families becoming more sophisticated with newer attack methods

2022/01/28 HelpNetSecurity — Ivanti／Cyber Security Works／Cyware の三社は、2021年には 32種類のランサムウェア・ファミリーが登場し、合計 157種類となり、前年比で 26％増になったことを Ransomware 2021 Year End Report で明らかにした。同レポートによると、これらのランサムウェアは、パッチが適用されていない脆弱性を標的とし、ゼロデイ脆弱性を記録的な速さで武器化し、致命的な攻撃を仕掛けることが判明した。また、これらのランサムウェア・グループは、攻撃範囲を拡大し、組織のネットワークを危険にさらす新たな方法を見つけ出し、大きなインパクトを与える攻撃を大胆に仕掛けている。

DDoS 防御／軽減マーケット：2021年の $3.3 B から 2026年の $6.7 B へと成長

DDoS protection and mitigation market to reach $6.7 billion by 2026

2022/01/26 HelpNetSecurity — ResearchAndMarkets によると、世界の DDoS 防御／軽減のマーケット規模は、2021年の $3.3 billion から 2026年の $6.7 billion へと成長し、2021年から2026年までの年間平均成長率 (CAGR) は 15.1% 増になると予想されている。DDoS 防御／軽減マーケットを活性化させている主な要因としては、高度なセキュリティ・ソリューションに対する需要の高まり、および、規制環境の変化、各業界におけるビジネス・データの増大などが挙げられる。

Secure Web Gateway と Web Filtering：ルール／メリット／問題点は？

How To Secure Web Gateway & Web Filtering

2022/01/26 CyberSecurityIntelligence — Secure Web Gateway は、企業のセキュリティ・ポリシーを適用し、悪意のインターネット・トラフィックをリアルタイムにフィルタリングすることで、オンライン・セキュリティの脅威からの保護を強化する。Secure Web Gateway は、最低限、URL フィルタリング／Web アプリケーションのコントロール／悪意のコードの検出とフィルタリングなどを提供するが、データ漏洩防止機能も不可欠となる。

ホワイトハウスから連邦政府組織への要求：ゼロトラスト・モデルを２年で採用せよ

White House wants US govt to use a Zero Trust security model

2022/01/26 BleepingComputer — 新たに発表された連邦政府の戦略では、米国政府が今後２年以内に「ゼロトラスト」のセキュリティ・モデルを採用し、連邦政府機関全体のサイバー・セキュリティの防御力を高めることが求められている。この戦略は、今日に Office of Management and Budget (OMB) が発表したものであり、米国の行政府全体で大統領のビジョンの実施を監督していくとされる。今日の発表は、米国の大統領令 (EO) 14028に促されたものであり、また、2021年9月に発表されたドラフトに続くものとなる。

VMware Horizon への Log4Shell 攻撃：悪名高いアクセス・ブローカーが参戦

Initial Access Broker Involved in Log4Shell Attacks Against VMware Horizon Servers

2022/01/26 TheHackerNews — Prophet Spider として追跡されているイニシャル・アクセスブローカー・グループが、パッチが適用されていない VMware Horizon Server の Log4Shell 脆弱性を利用するための、一連の悪意のアクティビティに関与している。今日、BlackBerry Research & Intelligence & Incident Response (IR) チームが発表した新たな調査結果によると、このサイバー犯罪者は、侵入したシステムに第２段階のペイロードをダウンロードするために、この脆弱性の好機を利用している。このペイロードには、暗号通貨マイナー／Cobalt Strike Beacon／Web シェルなどが含まれている。

Linux Polkit の深刻な脆弱性 CVE-2021-4034：PoC エクスプロイトが登場？

Linux system service bug gives root on all major distros, exploit released

2022/01/25 BleepingComputer — Polkit の pkexec コンポーネントには、脆弱性 CVE-2021-4034 が存在し、また、主要な Linux ディストリビューションのデフォルト設定に含まれているという。CVE-2021-4034 は PwnKit と名付けられ、その起源は 12年以上前の pkexec の最初のコミットまで追跡されており、すべての Polkit バージョンが影響を受けることになる。

Google Drive の警告バナー：悪意のファイルへのアクセスを止める

Google Drive now warns you of suspicious phishing, malware docs

2022/01/25 BleepingComputer — Google は、Google Drive に新たな警告バナーを導入し、脅威アクターがマルウェア配信やフィッシング攻撃に使用する可能性のある、疑わしいファイルについてユーザーに警告を発している。この新しい警告バナーは、2021年10月に開催されたユーザー・カンファレンス Google Cloud Next 2021 で発表されたものだ。Google は、「Google Drive に存在する疑わしいファイルや危険なファイルを、ユーザーが開いた場合に警告バナーを表示して、マルウェア／フィッシング／ランサムウェアなどから保護する」と説明している。

Google の方針転換：Cookie の代替としての FLoC は諦めて Topics API を提示

Google Drops FLoC and Introduces Topics API to Replace Tracking Cookies for Ads

2022/01/25 TheHackerNews — 火曜日に Google は、物議を醸したサードパーティー・クッキーの置き換え計画を断念し、ユーザーの閲覧履歴を約350のトピックに分類する、Topics というプライバシー・サンドボックスの新提案を行うことを発表した。FLoC (Federated Learning of Cohorts) に代わる、この新しい仕組みでは、ある週のユーザーの閲覧履歴を、あらかじめ指定された上位の関心事 (Topics) にスロットし、３週間だけデバイス上にのみに保持される。

Tor Project が抗議：ロシアの裁判所が Tor ノードと Web サイトをブロック

Tor Project appeals Russian court’s decision to block access to Tor

2022/01/24 BleepingComputer — 米国の Tor Project とロシアのデジタル著作権保護団体 RosKomSvoboda は、公開されている Tor ノードとプロジェクトの Web サイトへのアクセスをブロックした、ロシアの裁判所の決定を不服としている。非営利団体である Tor Project は、インターネット上で動作する分散型ネットワーク Tor を運営しており、検閲の回避／Web サイトへの匿名アクセス／Tor だけがアクセスできる特別な「Onion」URL（.onion）などをユーザーに提供している。

IoT データ・マネージメント市場は 2026年まで着実に伸び続ける

IoT data management market to grow steadily by 2026

2022/01/24 HelpNetSecurity — IoT データ・マネージメント市場は、成長の 35% が北米を起点とし、その主要な市場は米国である。北米における市場の成長は、他の地域と比較して速いと思われる。IoT データ・マネージメント市場は、2021年から2026年にかけて $94.79 billion の成長が見込まれている。しかし、Technavio の最新市場レポートによると、成長の勢いはCAGR 13.68%で減速する可能性が高いとされている。また、IoT データ・マネージメント市場は、2022年に前年比 18.50% の成長率を記録するとされている。

Tencent の WeChat がオーストラリア首相のアカウントをブロック

Tencent’s WeChat blocks Australian prime minister, lawmaker says

2022/01/24 SCMP — 中国の人気メッセージング・アプリ WeChat が、オーストラリアの Scott Morrison 首相のアカウントをブロックしていることを受け、議会全体による同サービスのボイコットを、ある上院議員が呼びかける事態となった。国会の情報／安全保障合同委員会の議長を務める James Paterson 上院議員によると、首相のチームは数ヶ月前から WeChat アカウントへのアクセスが不能になっているとのことだ。

Emotet の新バージョンは奇抜な IP アドレス形式により検知を回避する

Emotet Now Using Unconventional IP Address Formats to Evade Detection

2022/01/23 TheHackerNews — マルウェア Emotet を用いたソーシャル・エンジニアリング・キャンペーンにおいて、セキュリティ・ソリューションによる検知を逃れるための、従来とは異なる IP アドレス形式が、初めて使用されたことが確認されている。Trend Micro の Threat Analyst である Ian Kenefick は、金曜日に発表したレポートの中で、IP アドレスの 16進数および8進数での表現が使用されており、これらの表現がオペレーティングシステムで処理されると、リモート・サーバーからのリクエストを開始するために、ドット付きの 10進数表現に自動的に変換されると述べている。

CISA の脆弱性カタログに 17件が追加：October CMS と SolarWinds Serv-U に注意

CISA adds 17 vulnerabilities to list of bugs exploited in attacks

2022/01/22 BleepingComputer — 今週に CISA (Cybersecurity and Infrastructure Security Agency) は、積極的に悪用されている 17件の脆弱性を Known Exploited Vulnerabilities Catalog に追加しました。このカタログは、これまでに攻撃に悪用されたことが確認されている脆弱性のリストであり、FCEB (Federal Civilian Executive Branch) がパッチの適用を義務付けているものでもある。

オランダのサイバー・セキュリティ機関が警告：Log4j 脆弱性のリスクは長期化する

Dutch cybersecurity agency warns of lingering Log4j risks

2022/01/22 BleepingComputer — オランダの Dutch National Cybersecurity Centre (NCSC) は、木曜日に発表した警告の中で、企業は Log4j 攻撃に関連するリスクを認識し、現在進行中の脅威に警戒する必要があると述べている。一連の深刻な脆弱性を緩和するために、多くの組織が迅速に行動したことで、Log4Shell の悪用に関連しするインシデントの余波は、それほど大きくないとされているが、NCSC によると、脅威アクターたちは依然として新たな標的への侵入を、計画している可能性が高いとのことだ。

バイデン大統領が NSA の権限拡大の覚書に署名：国家安全保障システムの可視化を推進

Biden Broadens NSA Oversight of National Security Systems

2022/01/21 DarkReading — 昨日にバイデン大統領は、国家安全保障局 (NSA : National Security Agency) の役割を、機密の情報やデータを取り扱う軍事機関／情報機関の監督、そして、米国政府ネットワークのサイバー・セキュリティの監督へと、実質的に拡大する覚書に署名した。

ロシア当局の REvil 逮捕を受けて：ハッカーたちはダークウェブで何を囁く？

Dark Web Chatter: What Other Russian Hackers Are Saying About the REvil Arrests

2022/01/21 SecurityWeek — 2022年1月14日に実施された、ロシア連邦保安庁 (FSB) によるランサムウェア REvil の破壊は、世界を驚かせた。それまで、ロシアを攻撃しないハッカーは、ロシアにいても安全だという不文律があった。FSB の発表によると、今回の破壊は米国当局からの要請に応えたものだという。それは、サイバー犯罪者に対する国際協力の新時代の幕開けなのか、それとも、ロシア外交の一例に過ぎないのか。判断を下すのは時間だが、それまでの間、我々は推測するしかない。

Microsoft Excel 4.0 マクロはディフォルトで OFF：マルウェア対策の一環

Microsoft disables Excel 4.0 macros by default to block malware

2022/01/21 BleepingComputer — Microsoft は、悪意のドキュメントから顧客を守るために、Excel 4.0 (XLM) のマクロをデフォルトで無効にすることを発表した。同社は2021年10月に、Microsoft 365 Message Center のアップデートにおいて、ユーザーや管理者が手動で機能の ON／OFF を切り替えていない場合、すべてのテナントで XLM マクロを無効にすることを初めて明らかにした。

ダークウェブへの潜入調査：ランサムウェア・ギャングたちのデータを分析／整理

A Trip to the Dark Site — Leak Sites Analyzed

2022/01/20 TheHackerNews — ランサムウェアのオペレータが、侵入直後にファイルを暗号化し、被害者に復号化キーの代金を請求するという時代は終わった。現在、一般的に見られるのは、暗号化の脅威に加えて、盗んだデータの流出という脅威を伴うものであり、Double-Extortion (Cyber Extortion : Cy-X) と呼ばれている。それは、被害者を貶めるリークサイトを介して、サイバー犯罪の一部を観察／分析を可能にするという点で、価値を見いだせるものとなる。

Diavol ランサムウェアは TrickBot ギャングと関連している：FBI が正式に発表

FBI links Diavol ransomware to the TrickBot cybercrime group

2022/01/20 BleepingComputer — FBI の正式な発表により、ランサムウェア Diavol の活動と、バンキングトロイの木馬 TrickBot グループが結びつけられた。Wizard Spider として知られる TrickBot グループは、長年にわたって企業ネットワークに大損害を与えてきたマルウェアの開発者であり、Conti や Ryuk などのランサムウェアの攻撃や、ネットワークへの侵入、金融詐欺、企業スパイなどにつながっている。

2021年はサプライチェーン攻撃の年：３倍増の件数と３つの大きな課題

Software Supply Chain Attacks Tripled in 2021: Study

2022/01/20 SecurityWeek — 2021年は、ソフトウェア・サプライチェーン攻撃の年だったと言えるだろう。SolarWinds が世界の目を見開かせ、脅威の大きさを明らかにした年だ。それ以外にも、Kaseya／Codecov／ua-parser-js／Log4j などの大規模な攻撃があった。いずれの場合も、攻撃者にとって魅力的なのは、分散したコードにおける１つの違反／危殆化／脆弱性が、数千人にもいたる犠牲者を出す可能性があることだ。

奇妙な SMTP スパイウェアにより産業界の ICS から認証情報が盗まれている

‘Anomalous’ spyware stealing credentials in industrial firms

2022/01/20 BleepingComputer — 研究者たちにより、産業界をターゲットにした、いくつかのスパイウェア・キャンペーンが発見された。電子メールアカウントの認証情報が盗みだされたが、その目的は、金融詐欺や認証情報の転売だと考えられる。攻撃者は、既製のスパイウェア・ツールを使用しているが、検出を逃れるために、それぞれの亜種を、きわめて限られた時間において展開している。攻撃に使用される汎用マルウェアの例としては、AgentTesla／Origin Logger／HawkEye／Noon／Formbook／Masslogger／Snake Keylogger／Azorult／Lokibot などがある。

米連邦通信委員会 FCC による新たな規則の提案：データ侵害の開示方式を厳しく

FCC Proposes Stricter Regulations for Data Breach Disclosure

2022/01/20 SecurityBoulevard — 米連邦通信委員会 (Federal Communications Commission : FCC) は、企業がデータ漏洩を開示する際の要件を、より厳格にすることを提案した。この提案によると、企業は不注意によるデータ漏洩の影響を受けた顧客に通知することが義務付けられ、開示前の１週間の待機期間は廃止される。この変更により FCC の規則は、他のセクターを対象とした連邦／州のデータ漏洩法の最近の動向と、より良く一致することになる。

Prometheus という Crimeware-as-a-Service (CaaS)：フィッシングとリダイレクトを促進

Russian Hackers Heavily Using Malicious Traffic Direction System to Distribute Malware

2022/01/19 TheHackerNews — サブスクリプション・ベースの Crimeware-as-a-Service (CaaS) ソリューションと、クラックされた Cobalt Strike のコピーの連携が確立され、脅威アクターによる侵入後の活動を支えるツールとして提供されていると、研究者たちは疑っている。この種のサービスだと言われる Prometheus の存在は、サイバー・セキュリティ企業である Group-IB が、悪意のソフトウェア配布キャンペーンの詳細を開示した 2021年8月に明らかにされた。

サイバー脅威の可視化：XDR (Extended Detection and Response) ソリューションとは？

Cyber Threat Protection — It All Starts with Visibility

2022/01/19 TheHackerNews — 動物が五感を使って危険を察知するように、サイバー・セキュリティは、コンピュータ環境における危険を知らせる信号を識別するセンサーに依存している。この感覚が高度に調整され、多様で協調的であればあるほど、危険を示す重要な信号を検出できる可能性が高くなる。しかし、これは諸刃の剣でもある。信号が多すぎても、高度な信号処理がなければ、ただのノイズになってしまう。しかし、高度に進化した信号処理による適切で多様な信号の存在は、生存へとつながる。

2022年のクラウド・セキュリティ：Gartner が提唱する３つのトレンドとは？

3 Cloud Security Trends to Watch in 2022

2022/01/18 SecurityIntelligence — 数多くの企業が、2022年に向けて、クラウド・セキュリティを意識している。2021年4月に Gartner は、クラウド・マネージメント／セキュリティ・サービスに対して、世界のエンドユーザーが費やす費用は、2022年には $18 million に達すると予測していた。その規模は、過去２年間に比べて 30％の成長となる。上述の予測は、重要な問題を提起している。

ロシア政府による REvil 破壊から読み取るべき５つのシグナルとは？

Five Key Signals From Russia’s REvil Ransomware Bust

2022/01/18 SecurityWeek — 突然にロシアの最高法執行機関が、ランサムウェア REvil を公開捜査したことで、大規模なランサムウェア攻撃を阻止する鍵は、外交が握っているのではないかと話題になっている。この囮捜査は、「米国の要請を受けて」という慎重な発表に続いて行われたが、その背景には、ロシアとウクライナの地政学的な対立がある。そして、すでに、データ消去などを目的とした、ウクライナ政府に対するマルウェア攻撃や標的型 Web サイトの改ざんに結びついている。

クレデンシャル・スタッフィング攻撃：現状を理解して対策を講じるために

The State of Credential Stuffing Attacks

2022/01/17 SecurityIntelligence — この数年において、クレデンシャル・スタッフィングが、デジタル攻撃者の間で好まれる手口となっている。Help Net Security の報告によると、研究者たちは 2020年に、世界で 1,930億件のクレデンシャル・スタッフィング攻撃を検出した。そのうち、金融サービス分野は 34億件の攻撃を受け、前年比で45％以上の増加となっている。Business Wire によると、2021年の上半期に詐欺師たちは、既存のユーザー・アカウントへの侵入や、新しいアカウントの作成などにより、デジタルア・カウントを標的にしてきた。そのうちの 30% ほどが、クレデンシャル・スタッフィングによる攻撃だった。

Linux と IoT とマルウェア：2021年の調査結果は前年比で 35% 増

Linux malware sees 35% growth during 2021

2022/01/15 BleepingComputer — Linux デバイスを標的としたマルウェアの感染件数は、2021年に 35%増加しており、その多くは DDoS 攻撃のための IoT デバイスの取り込みが目標となっている。IoT デバイスは多様な Linux ディストリビューションを実行するが、一般的にパワー不足のスマート・デバイスであり、その機能も特定の範囲に制限されている。しかし、それらのリソースが、大規模なグループにまとめられると、十分に保護されたインフラに対して大規模な DDoS 攻撃を仕掛ける能力を持つことになる。

Managed Security Providers を活用するための３つのヒントとは？

3 Pillars of a Successful Managed Security Services Deployment

2022/01/14 SecurityBoulevard — セキュリティの専門家で構成される、SWAT チームを社内に設置して、組織に対する最新の脅威に対応したいと思っても、それだけの余裕のある企業は多くない。数多くの企業が、時間とリソースの制約を受けている。また、スキル不足が深刻化し、優秀なサイバーセ・キュリティの専門家を雇用／維持することが、困難になっている企業もある。

クラウドの暗号化を改善するためのベスト・プラクティスとは？

Best Practices for Improving Cloud Encryption

2022/01/14 SecurityBoulevard — エンタープライズにおけるクラウドの採用が増大するにつれて、クラウド・セキュリティが最重要課題となっている。年々、クラウド・セキュリティへの脅威は増加しており、企業はオンプレミスからクラウドへの移行を再考し、クラウド・セキュリティを向上させる方法を検討している。クラウド・セキュリティを強化する１つの方法は、クラウドの暗号化を改善することだ。

ホワイトハウス OSS セキュリティ・サミット：各ベンダーの声明を集めてみた

U.S. Government, Tech Giants Discuss Open Source Software Security

2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開／悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。

ウクライナ政府の 15 の Web サイトが一斉に攻撃されオフラインに追い込まれた

Multiple Ukrainian government websites hacked and defaced

2022/01/14 BleepingComputer — ウクライナにおける公的機関の Web サイトのうち、少なくとも 15 の Web サイトが不正アクセスを受け、改ざんされ、その後にオフラインに追い込まれた。その中には、外務省／農業省／教育科学省／安全保障・防衛省／閣僚内閣のオンライン・ポータルなどが含まれている。改ざんされたメッセージは、ウクライナ語／ロシア語／ポーランド語で書かれており、サイトの訪問者に対して、公共のネットワークにアップロードされている、すべての市民データが漏洩していることを警告していた。

ホワイトハウスの念押し：ハイテク大手のオープンソースが国家安全保障の問題

White House reminds tech giants open source is a national security issue

2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、３つのテーマが取り上げられた。

サイバー攻撃の最新動向：クラウドからトロイの木馬を振り撒く攻撃者たち

New Cyberattack Campaign Uses Public Cloud Infrastructure to Spread RATs

2022/01/13 DarkReading — 最近の攻撃キャンペーンには、パブリック・クラウドのインフラを利用して、コモディティ RAT である Nanocore／Netwire／AsyncRAT の亜種を配信し、ユーザーのデータを標的にするものが見られると、研究者たちが報告している。この、10月に発見された攻撃キャンペーンは、攻撃者が自身でインフラをホストせずに目的を達成するために、クラウド利用を増やしていることが明示されていると、Cisco Talos の研究者たちが報告している。

AWS 顧客データ流出のバグが FIX：発見した Orca と AWS の間で評価にズレが

AWS fixes security flaws that exposed AWS customer data

2022/01/13 BleepingComputer — Amazon Web Services (AWS) は、他の AWS 顧客アカウントにリンクされたデータへのアクセス／変更を許す、AWS Glue のセキュリティ問題に対処した。AWS Glue は、サーバーレスのクラウド・データ統合サービスであり、アプリ開発／機械学習／分析のための、データの発見／準備／結合を支援するものだ。

脆弱性 2021 の最終結果：件数は前年比 10% のアップと５年連続の増加

The Final Count: Vulnerabilities Up Almost 10% in 2021

2022/01/11 Security Boulevard — 2021年12月8日に、NIST National Vulnerability Database (NVD) に記録された脆弱性の数が、単年度の記録として５年連続で過去最高を記録したことを伝えた。 2021年が終了した今、2021年に記録された脆弱性の最終集計結果を見ることが可能となった。この年には、前年比 9.3% 増の 20,061件の脆弱性が記録され、このデータベースが始まって以来、過去最多の記録が塗り替えられることになった。

CISA から連邦政府機関へ警告：活発に悪用されている既知の脆弱性 15件

CISA alerts federal agencies of ancient bugs still being exploited

2022/01/11 BleepingComputer — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、悪用が検知されている脆弱性のリストを更新し、米国企業への攻撃手段として頻繁に利用されている、15件のセキュリティ問題を新たに追加した。今回のリストに追加された脆弱性は、それぞれの深刻度と公開日を持ち、中程度のリスクと評価されているものもあれば、2013年に公開されたものもある。

BlackMatter ランサムウェアのロジックに欠陥：Active Directory 保護のヒントになるのか？

How to Proactively Limit Damage From BlackMatter Ransomware

2022/01/08 DarkReading — 米国の重要インフラ企業や大規模組織などへの攻撃に多用される、ランサムウェア BlackMatter のコードに重大な論理的欠陥があり、状況によってはマルウェアの有効性を制限できる。Illusive は、この欠陥のあるロジックを起動できれば、BlackMatter が自社の環境にもたらす被害を軽減できる可能性があると発表した。

Google Docs コメントを武器化する新たなフィッシング・キャンペーンに注意

Google Docs Comments Weaponized in New Phishing Campaign

2022/01/07 DarkReading — 最近のフィッシング・キャンペーンにおいて、Google Docs のコメント機能を悪用することで、正当に見えるメールを送信し、ターゲットに悪意のリンクをクリックさせるものが発見された。このキャンペーンを発見した Avanan の研究者たちによると、Google Suite に対するユーザーの信頼性を悪用する方法は、今回が初めてではないとのことだ。

HackerOne のバグバウンティ・プログラム：そこから見えてくる５つの論点

5 Things New with Bug Bounty Programs

2022/01/07 SecurityIntelligence — 2021年9月29日に HackerOne は、Internet Bug Bounty (IBB) プログラムの最新版を発表した。この取り組みにより、2013年から2021年の間に生じている、オープンソース・ソフトウェアに存在する、1,000件以上の脆弱性を発見するよう調整がなされた。HackerOne の最新バージョンは、既存のバグバウンティから得られる防御力を蓄積し、脆弱性管理ライフサイクルに貢献する利害関係者を表彰する方法で報奨金を分割していく。さらに、脆弱性提出フローの統合により、参加する研究者のエクスペリエンスを向上させ、プログラムの範囲をさらに拡大することを目的としている。

Mac マルウェア調査：Windows に比べて安全という考え方は過去のものに

New Mac Malware Samples Underscore Growing Threat

2022/01/07 DarkReading — 2021年に出現した一握りのマルウェア・サンプルは、Windows システムに比べて Apple のテクノロジーが、攻撃や侵害を受けにくいとはいえ、決して無敵ではないことを改めて示した。セキュリティ研究者である Patrick Wardle は、その年に出現した全ての新しい Mac マルウェアの脅威リスト The Mac Malware of 2021 [pdf] を、６年連続で発表している。彼は、それぞれのマルウェアのサンプルについて、感染経路／インストールと持続のメカニズム／マルウェアの目的などの特徴を特定している。2021年に出現した新しい Mac マルウェアの各サンプルは、彼の Web サイトで公開されている。

NIST の CSF フレームワーク：SaaS セキュリティへの適用は合理的

NIST Cybersecurity Framework: A Quick Guide for SaaS Security Compliance

2022/01/06 TheHackerNews — サイバー・セキュリティにおける最新のベストプラクティスを知りたいとき、私は米国の National Institute of Standards and Technology (NIST) を訪れる。最新のパスワード要件 (NIST 800-63) から、製造業者向けの IoT セキュリティ (NISTIR 8259) にいたるまで、NIST は常に出発点である。NIST は、組織の専門性と、NIST 文書の作成に協力する外部の専門家により、米国の標準制定者として重要な役割を果たしている。

ロシア政府：違法とするコンテンツの掲載／削除をめぐり Google に罰金

Russia Fines Google For Illegal Content Breach

2022/01/06 CybersecurityIntelligence — モスクワの裁判所が、ロシアで違法とされるコンテンツの削除を、繰り返して怠ったとして、Google に 7.2bn roubles ($98m : £73m) の罰金を科した。これは、欧米のテクノロジー企業を統制しようとするロシア政府において、最大の罰金額であり、ロシア国内での起訴が続く可能性がある。今回の判決は、ロシアでは初となる、収益に連携する罰金となる。インターネットの取り締まりが懸念される中、欧州連合 (EU) で初めて実施された年間売上高に基づく罰金が、さらに増える可能性もある。

Elephant Beetle：組織化された金融窃取の背後にあるハッカー・グループとは？

Researchers Uncover Hacker Group Behind Organized Financial-Theft Operation

2022/01/05 TheHackerNews — サイバー・セキュリティの研究者たちは、少なくとも４年間にわたって、主にラテンアメリカに所在するエンティティからのトランザクション処理とサイフォン資金を標的にする、慎重な脅威アクターにより実行される組織的な金融窃取作戦を暴いた。イスラエルのインシデント・レスポンス企業である Sygnia は、Elephant Beetle と名付けた悪質なハッキング・グループが、銀行や小売店を標的に、良心的な活動に紛れて不正な取引を注入していたと発表した。