Malware – Page 4 – IoT OT Security News

Microsoft 警告：ViewState と ASP.NET マシン・キーを悪用するマルウェアを検出

Microsoft says attackers use exposed ASP.NET keys to deploy malware

2025/02/06 BleepingComputer — Microsoft が発したのは、オンラインで発見された静的な ASP. NET マシン・キーを悪用する攻撃者が、ViewState コード・インジェクション攻撃により、マルウェアを展開しているという警告である。

2024年に収集された 100万個以上のマルウェアを分析：25% が認証情報を標的にしている

Credential Theft Becomes Cybercriminals’ Favorite Target

2025/02/05 DarkReading — 2024年に収集された 100万個以上のマルウェアを分析した結果において、ユーザーの認証情報を標的にするものが 25%を占めていることが、研究者たちにより明らかにされた。この数値は 2023年の３倍に相当するという。パスワード・ストアから認証情報を盗むという行為は、MITRE ATT&CK フレームワークにリストされている Top-10 の手口にランクインし、2024年における悪意のサイバー活動全体の 93%を占めている。

ValleyRAT マルウェアの新種を検出：感染ベクターは偽の Chrome ダウンロード

New ValleyRAT Malware Variant Spreading via Fake Chrome Downloads

2025/02/04 HackRead — ValleyRAT マルウェアの新しいバージョンが、Morphisec Threat Lab のサイバーセキュリティ研究者たちにより発見された。ValleyRAT は、悪名高い Silver Fox APT グループに関連する多段階のマルウェアであり、フィッシング・メール／インスタント・メッセージ／侵害済み Web サイトなどの、さまざまなチャネルを通じて配布されている。

Progress Telerik UI に存在する脆弱性 CVE-2019-18935：６年前の欠陥の悪用が判明

Threat Actors Exploit CVE-2019-18935 to Gain Remote Access and Elevate Privileges

2025/02/04 SecurityOnline — Progress Telerik UI for ASP.NET AJAX に存在する、６年前の脆弱性 CVE-2019-18935 を、脅威アクターたちが積極的に悪用していると、eSentire Threat Response Unit (TRU) が報告している。

7-Zip の脆弱性 CVE-2025-0411 が標的：ロシアの脅威アクターが SmokeLoader の展開で悪用

Russian Cybercrime Groups Exploiting 7-Zip Flaw to Bypass Windows MotW Protections

2025/02/04 TheHackerNews — 先日に修正された 7-Zip アーカイバ・ツールの脆弱性が、SmokeLoader マルウェアの配信に悪用されている。この脆弱性 CVE-2025-0411 (CVSS：7.0) を悪用するリモート攻撃者は、Mark-of-the-Web (MotW) 保護を回避し、カレント・ユーザーのコンテキストで任意のコード実行の可能性を得る。すでに 2024年11月の時点で 7-Zip は、バージョン 24.09 をリリースし、この問題を修正している。

American National Insurance Company (ANICO) でデータ侵害が発覚：MOVEit の悪用？

American National Insurance Company (ANICO) Data Leaked in MOVEit Breach

2025/01/25 HackRead — American National Insurance Company (ANICO) に属すとされる、279,332 行の機密データを含むデータベースへのリンクが、データ侵害 Web プラットフォーム Breach Forums で共有されていることを、SafetyDetectives のサイバー・セキュリティ・チームが発見した。一連のデータは、2023年に発生したサイバー侵害によるものと思われ、顧客情報に加えて一部の従業員情報も含まれている。

Microsoft Teams を介したソーシャル・エンジニアリング：STAC5143 と STAC5777 の戦術を解析

Ransomware Groups Abuse Microsoft Services for Initial Access

2025/01/21 SecurityWeek — Sophos が警告するのは、２つの脅威グループが Microsoft 365 サービスを侵害し、Microsoft Teams デフォルト・コンフィグレーションを悪用することで、組織内のユーザーとの会話に到達したという問題である。Microsoft 365 テナントを運用する２つのハッキング・グループは、この３ヶ月間に少なくとも 15件の攻撃を仕掛け、ユーザー組織を侵害してランサムウェアを展開し、データ窃取を施行していたという可能性が生じている。

2024年に盗まれたパスワードは 10億個：Redline／Vidar／Raccoon が悪意の Top-3

Redline, Vidar and Raccoon Malware Stole 1 Billion Passwords in 2024

2025/01/21 HackRead — Specops のサイバー・セキュリティ研究者たちが、パスワードに関連する重大な問題について警鐘を鳴らしている。2025年1月21日 (火) に公開された、Specops Software の “2025 Specops Breached Password Report” によると、この１年間で、10億を超えるパスワードが、マルウェアにより盗まれたという。また、盗まれたパスワードのうちの数百万件は、標準的な複雑さの要件を満たしていたとのことだ。

HPE がサイバー攻撃について公表：IntelBroker が主張するデータ侵害とは？

HPE investigates breach as hacker claims to steal source code

2025/01/20 BleepingComputer — Hewlett Packard Enterprise (HPE) は、同社の開発環境から文書を盗んだとする脅威アクターの主張を受けて、新たな侵害に関する調査を実施中であると公表した。HPE の広報担当である Clare Loxley は、「セキュリティ侵害の証拠は見つかっていないが、脅威アクターの主張を調査中である。2025年1月16日の時点で、HPE の情報を所有していると、IntelBroker と呼ばれるグループが主張していることを認識した」と、BleepingComputer に語っている。

米政府による Salt Typhoon 制裁：中国の企業とハッカーを名指しで批判

US sanctions Chinese firm behind sweeping Salt Typhoon telecom hacks

2025/01/17 NextGov — 1月17日 (金) に米国の財務省は、機密性の高いデータを保持するシステムを標的とする、大規模なハッキングに関与したとして、中国企業の Sichuan Juxinhe Network Technology と、上海を拠点とするハッカーの Yin Kecheng に制裁を科した。この法執行は、バイデン政権が発動するハッカーへの最後の制裁である。

Salt Typhoon 侵害：最初に発見されたのは政府のネットワーク内だった – CISA

Salt Typhoon breach was first detected on federal networks, CISA head says

2025/01/15 NextGov — 中国政府が支援するスパイ集団による、米国のテレコムなどへの広範囲にわたる侵入だが、最初に検知されたのは政府のシステム内である、1月14日 (水) に政府高官が述べている。Foundation for Defense of Democracies での討論会で、CISA 長官である Jen Easterly は、「Salt Typhoon と呼ばれるハッキング集団は、連邦政府のネットワークで最初に確認され、その後に法執行機関が仮想プライベート・サーバで正体を解明したことで、追跡のための手続きの請求が可能になった」と述べている。

Google Ads を舞台にしたマルバタイジング：ユーザーの認証情報や 2FA コードを盗み出していく

Google Ads Users Targeted in Malvertising Scam Stealing Credentials and 2FA Codes

2025/01/15 TheHackerNews — Google Ads で広告を出稿する企業や個人を装い、不正な広告を通じて認証情報を盗み取ろうとする、新たなマルバタイジング・キャンペーンについて、サイバー・セキュリティ研究者たちが警告している。Malwarebytes の senior director of threat intelligence である Jerome Segura は、「この悪意のオペレーションは、Google 広告を装うことで被害者のアカウントを盗み出し、偽のログイン・ページへとリダイレクトするものだ」と、The Hacker News に共有されたレポートで述べている。

FBI による法的措置：中国由来のマルウェア PlugX を 4,200台のコンピュータから削除

FBI deleted Chinese malware from 4,200 US computers

2025/01/14 NextGov — 2025年1月14日 (火) に FBI が発表したのは、中国政府が支援するマルウェアに感染した、米国内のコンピューター約4,200台から悪意のソフトウェアを排除するために、数か月にわたるオペレーションを実施していたことである。この悪意のソフトウェアは、被害者のマシンに感染した後に、それらを不正に制御し、情報を盗むようにデザインされている。

Fortinet Firewall 標的キャンペーン：４段階の侵害フェーズが明らかに

Fortinet FortiGate Firewalls Targeted in Sophisticated Campaign Exploiting Management Interfaces

2025/01/14 SecurityOnline — Arctic Wolf Labs の最新レポートが明らかにしたのは、インターネットに公開されている Fortinet FortiGate ファイアウォールの管理インターフェイスを標的とする、懸念すべきキャンペーンの内容である。この脅威アクターは、2024年11月〜12 月にかけて、複数のフェーズにわたる活動を展開した。具体的に言うと、脆弱性の悪用からコンフィグレーションの操作へと移行し、認証情報の抽出と不正アクセスを確立していた。

Fortinet Firewall を侵害したキャンペーンの詳細：ゼロデイ脆弱性の悪用が入口？

Zero-Day Vulnerability Suspected in Attacks on Fortinet Firewalls with Exposed Interfaces

2025/01/14 TheHackerNews — Fortinet FortiGate ファイアウォールをターゲットとし、管理インターフェースがパブリック・インターネットに露出するデバイスを狙う、新たなキャンペーンについて、脅威ハンターたちが注意を喚起している。先週にサイバー・セキュリティ企業 Arctic Wolf が公開したレポートには、「このキャンペーンを分析した結果として、ファイアウォールの管理インターフェースに関連する、不正な管理者ログイン／新規アカウントの作成などが確認された。具体的に言うと、それらのアカウントを介した SSL VPN 認証や、各種のコンフィグレーション変更などが行われていた」と記されている。

Aviatrix Controller の脆弱性 CVE-2024-50603：PoC の登場と積極的な悪用

Hackers Exploit Aviatrix Controller Vulnerability to Deploy Backdoors and Crypto Miners

2025/01/13 TheHackerNews — Aviatrix Controller プラットフォームに影響を及ぼす、深刻なセキュリティ上の脆弱性が、バックドアや暗号通貨マイナーの展開において、悪用されるケースが急増しているという。認証を必要としないリモート・コード実行にいたる可能性を持つ、最も深刻な脆弱性 CVE-2024-50603 (CVSS: 10.0) を武器化する、複数のインシデントに対応中だと、クラウド・セキュリティ企業 Wiz は述べている。

Muddling Meerkat は中国由来の脅威アクター：DNS 操作で日本も標的？

Muddling Meerkat Linked to Domain Spoofing in Global Spam Scams

2025/01/11 HackRead — サイバー・セキュリティ企業 Infoblox の最新レポートが明らかにしたのは、スパム・キャンペーンを展開する詐欺師たちが、ドメイン・スプーフィングを使用する方法である。サイバー・セキュリティとネットワーキング・コミュニティが協力して、中国のグレートファイアウォールに関する研究を行った結果として、このレポートは提供された。

Windows の脆弱性 LDAPNightmware CVE-2024-49113：偽 POC に御用心

Fake LDAPNightmware exploit on GitHub spreads infostealer malware

2025/01/11 BleepingComputer — Windows の脆弱性 CVE-2024-49113 (別名 LDAPNightmare) に対して、GitHub 上で提供されている偽の PoC エクスプロイトは、情報窃盗マルウェアにユーザーを感染させ、機密データを外部 FTP サーバへと流出させるものだ。ただし、この戦術は目新しいものではなく、以前にも GitHub 上では、PoC エクスプロイトを装う悪意のツールの事例が何度か記録されている。そして、Trend Micro により発見された今回の事例が浮き彫りにするのは、この戦術を採用し続ける脅威アクターたちが、疑いを持たないユーザーを騙して、マルウェアに感染させ続けている状況である。

Banshee 2.0 が盗んだ Apple XProtect 暗号化アルゴリズム：すべての Anti-Virus を回避

Banshee 2.0 Malware Steals Apple’s Encryption to Hide on Macs

2025/01/10 DarkReading — macOS を標的とするインフォスティーラー Banshee が、Apple から盗んだ文字列暗号化アルゴリズムを悪用し、ウイルス対策プログラムによる検知を開始していることが、研究者により発見された。2024年7月から、主としてロシアのサイバー犯罪マーケットプレイスを介して拡散された Banshee は、Mac 用の Stealer-as-a-Service として $1,500 で販売されていた。

Salt Typhoon 侵害：ネットワークからの締め出しに成功と Lumen が発表

Lumen reports that it has locked out the Salt Typhoon group from its network

2025/01/02 SecurityAffairs — 年明け早々にホワイトハウスの関係者が確認したのは、中国に由来する APT グループ Salt Typhoon が、世界のテレコムを狙うサイバー・スパイ活動の一環として、米国では９社目となる通信会社に侵入したことだ。中国に関係する APT グループ Salt Typhoon (別名：FamousSparrow／GhostEmperor) は、遅くとも 2019年から活動しており、政府機関や通信会社を標的にしてきた。

Chrome Extension の危機：16種類の拡張機能をハックするキャンペーンが発覚

16 Chrome Extensions Hacked, Exposing Over 600,000 Users to Data Theft

2024/12/29 TheHackerNews — Chrome ブラウザのエクステンションを標的にする、新たな攻撃キャンペーンが発見された。この攻撃では、少なくとも 16 個のエクステンションが侵害され、60万人以上のユーザーが、データ漏洩や認証情報窃取の危険に直面する状況となっている。この攻撃は、Chrome Web Store のブラウザ・エクステンションの発行者を、フィッシング・キャンペーンの標的として侵害し、そのアクセス権限を悪用することで正規のエクステンションに悪意のコードを挿入し、ユーザーのクッキーやアクセス・トークンを盗み出すものだ。最初に被害を受けたエクステンション発行者は、サイバー・セキュリティ企業 Cyberhaven である。

Salt Typhoon インシデント：米国の９社目のテレコム侵害を確認

China-linked APT Salt Typhoon breached a ninth U.S. telecommunications firm

2024/12/29 SecurityAffairs — 中国由来の APT グループ Salt Typhoon が、世界中の企業を狙うサイバー・スパイ活動を展開しているが、米国テレコムとして９社目への侵入があったことを、ホワイトハウスの当局者が認めた。Bloomberg が報じたのは、「12月27日 (金) にホワイトハウス当局者は、広範囲にわたる中国のスパイ活動の影響を受けた９社目のテレコムを特定し、北京からのサイバー攻撃を抑制するための、さらなる措置を計画している」という内容である。

D-Link の脆弱性 CVE-2024-33112 などを悪用：FICORA／CAPSAICIN ボットネットを分析

CVE-2024-33112 and More: How FICORA and CAPSAICIN Botnets Are Exploiting D-Link Devices

2024/12/28 SecurityOnline — 2024年10月／11 月に FortiGuard Labs が観測したのは、悪名高い２つのボットネットである FICORA と CAPSAICIN の活動が著しく増加したことである。これらのボットネットは、長年にわたり D-Link デバイスの脆弱性を悪用して、広範囲に及ぶ攻撃を仕掛けている。

Lumma インフォ・スティーラーの 400% 増が示す栄華盛衰：ESET Threat-Report-2024-h2

Infostealers Dominate as Lumma Stealer Detections Soar by Almost 400%

2024/12/26 InfoSecurity — サイバーセキュリティ企業 ESET によると、Lumma Stealer インフォ・スティーラーはサイバー犯罪者の間で人気を博しており、2024年後半にテレメトリでの検出数が 369% も急増したようだ。Lumma Stealer の登場は 2022年だが、2024 年の後半には、ESET が検出するインフォ・スティーラーの Top-10 のリストに入るようになった。

Palo Alto の脆弱性 CVE-2024-9474 を悪用：LITTLELAMB.WOOLTEA バックドアを展開

CVE-2024-9474 Exploited: LITTLELAMB.WOOLTEA Backdoor Discovered in Palo Alto Devices

2024/12/24 SecurityOnline — Palo Alto Networks のファイアウォールを標的とする、高度なバックドア LITTLELAMB.WOOLTEA を、Northwave Cyber Security が特定した。このバックドアは、侵害された Palo Alto Networks デバイスのフォレンジック調査中に発見されたものだという。この攻撃の直前に公開された、脆弱性 CVE-2024-9474 が悪用されるという状況にある。それをエントリポイントとして用いる脅威アクターが、bwmupdate という悪意のスクリプトを展開し、バックドアをインストールしている。

PyPI の悪意のパッケージ：キーストロークを盗みソーシャル・アカウントをハイジャック

Researchers Uncover PyPI Packages Stealing Keystrokes and Hijacking Social Accounts

2024/12/24 TheHackerNews — Python Package Index (PyPI) リポジトリにアップロードされた２つの悪意のパッケージが、侵害したホストから機密情報を盗み出していると、Fortinet FortiGuard Labs がフラグ付けしていることが発表された。

Salt Typhoon による侵害：テレコムを含む数百の組織に広がる被害とは？

Hundreds of organizations were notified of potential Salt Typhoon compromise

2024/12/23 NextGov — 米国のサイバーセキュリティ当局は、中国が支援する大規模なサイバー侵入の発見と緩和に取り組み、同国内の通信インフラに押し寄せる困難な時期に備えている。ハッキング集である Salt Typhoon は、大手テレコムである Verizon／AT&T／Lumen／T-Mobile などを罠にかけ、数十人の重要政治家を標的にしているが、その中には、ドナルド・トランプ次期大統領とつながる人物も含まれているという。

TP-Link Router がバンされる？米政府が懸念する広大なシェアと北京からの影響

US Ban on TP-Link Routers More About Politics Than Exploitation Risk

2024/12/21 DarkReading — 米国での TP-Link 製品の販売禁止を、政府機関や議員たちが検討していると報じられている。そこから推測されるのは、いまの TP-Link はサイバー攻撃者に最も頻繁に悪用される脆弱性を持つ、ネットワーク・ベンダーのリストで上位にランクされているという状況である。しかし、それは事実ではない。この中国企業の製品は、消費者や中小企業に人気を博しており、CISA の KEV という既知の悪用脆弱性リストには、現時点で２件のセキュリティ問題が掲載されているに過ぎない。それに対して、Cisco は74件、Ivanti は 23件、D-Link は 20件という状況にある。

NPM リポジトリ汚染：タイポスワッティングで正規のパッケージを偽装

Thousands Download Malicious npm Libraries Impersonating Legitimate Tools

2024/12/19 TheHackerNews — npm レジストリへのアップロードが確認された悪意のパッケージは、正規のパッケージである ”typescript-eslint” や ”@types/node” などを装うものである。それらの偽のパッケージは ”@typescript_eslinter/eslint”／”types-node” と名付けられ、それぞれがトロイの木馬をダウンロードするものとして、また、２段階目のペイロードを取得するものとして設計されている。

Mirai Botnet が Juniper SSR デバイスを悪用：DDoS 攻撃に至る恐れ

Mirai botnet targets SSR devices, Juniper Networks warns

2024/12/19 SecurityAffairs — Juniper Networks SSR (Session Smart Router) の、パスワードがデフォルトに設定されているデバイスを、Mirai ボットネットが標的にしていることが判明した。2024年12月11日の時点で Juniper Networks に寄せられたのは、SSN (Session Smart Network) プラットフォーム上で検知された、異常な動作に関する複数の報告である。Mirai を操る攻撃者たちの手口は、最初に標的デバイスを侵害し、その後に、それらのデバイスを足場にして DDoS 攻撃を仕掛けるというものだ。

Cleo の脆弱性 CVE-2024-50623 の悪用：Clop ランサムウェア・グループの犯行が濃厚

Clop ransomware claims responsibility for Cleo data theft attacks

2024/12/15 BleepingComputer — 最近の Cleo データ盗難攻撃において、Clop ランサムウェア・グループが、自らの犯行を認めている。このグループは、ゼロデイ・エクスプロイトにより、企業ネットワークに侵入してデータを盗んでいる。Cleo の Cleo Harmony／VLTrader／LexiComは、エンタープライズ・ユーザーが、そのビジネス・パートナーや顧客との間で、安全にファイルを交換するために使用する、マネージド・ファイル転送プラットフォームである。

Malware から Microsoft LOLBin へ：2024年上半期の脅威データを分析 – Sophos

2024 Sees Sharp Increase in Microsoft Tool Exploits

2024/12/13 InfoSecurity — 最新の Sophos Active Adversary Report が示すのは、脅威アクターによる正規の Microsoft ツールの悪用が、2023 年と 2024 年上半期の比較において、51% も増加していることだ。2024 年上半期に分析された 190 件のサイバー・インシデントにおいて、187 件で Microsoft 製品を用いる、Living Off the Land Binaries (LOLbins) が観測された。そのうちの 64 件は、Sophos データセットに１回だけ出現していたと、研究者たちは述べている。

Windows UI Framework を悪用する新たな脅威：EDR ツールを回避する可能性

New Malware Technique Could Exploit Windows UI Framework to Evade EDR Tools

2024/12/11 TheHackerNews — Akamai の研究者が発見した新たなマルウェア手法は、UIA (UI Automation)と呼ばれる Windows のアクセシビリティ・フレームワークを悪用し、EDR (endpoint detection and response) ソリューションに検知されることなく、広範な悪意のアクティビティを可能にするものだ。同社のセキュリティ研究者である Tomer Peled は、「この手法を悪用する攻撃者は、UI Automation を使用するプログラムの実行を、ユーザーに事前に承諾させる必要がある。そうすることで、ステルス・コマンドの実行が可能となり、機密データの収集／フィッシング・サイトへのリダイレクトなどが試行されていく」と、The Hacker News に共有されたレポートで述べている。

テレコムと政府と国民は Salt Typhoon に対抗できるのか？ End-to-End 暗号化通信の必要性

Governments, Telcos Ward Off China’s Hacking Typhoons

2024/12/11 DarkReading — 中国由来の Salt Typhoon グループからの侵害に対して、米国政府と８社の通信会社が、ネットワークの保護に苦戦している。それと並行して、他国における多くの通信会社も、APT の主標的にされている。それに先行するかたちで、2023年には、Salt Typhoonとの重複が疑われる中国由来のグループ Earth Estries が、APAC／中東／北アフリカ（MENA）地域、そして米国の通信会社を侵害している。

OSS リポジトリを汚染するマルウェア：2024 は前年比で 200% の増大

Open source malware up 200% since 2023

2024/12/11 HelpNetSecurity — Sonatype の 2024 Open Source Malware Threat Report によると、2019 年に追跡が開始された悪意のパッケージの数が 778,500 件を超えている。そして 2024年になり、カスタム AI モデルを構築する企業が、オープンソース・ツールを採用するケースが増えるにつれて、悪意のオープンソース・パッケージを用いる脅威アクターたちが、開発者を標的にするケースが増えている。この記事で概説するのは、こうしたトレンドについて調査した結果である。

ZLoader マルウェアの改良版：DNS トンネリング機能／インタラクティブなシェルを搭載

ZLoader Malware Returns With DNS Tunneling to Stealthily Mask C2 Comms

2024/12/11 TheHackerNews — ZLoader マルウェアの新バージョンが、Zscaler ThreatLabz の研究者たちにより発見された。2024年1月に再登場した ZLoader だが、その後もツールを改良し続け、C2 (command-and-control) 通信に DNS トンネルを使用する方向へと進化している。

米上院における法案：FCC が通信会社に義務付けるサイバー規則を推測する

Senate bill would require FCC to issue binding cyber rules for telecom firms

2024/12/10 NextGov — 12月10日 (火) に提出された法案が Federal Communications Commission (FCC) に対して指示するのは、最低限のサイバー要件や年次システム・テストを取り込んだ、必須のサイバー・セキュリティ・コンプライアンス・ルールのリストに従うよう、通信事業者に義務付けよというものだ。この法案は、Salt Typhoon と呼ばれる中国のサイバー・スパイ集団による、広範かつ多数の通信事業者と盗聴システムへのハッキングに対応するものである。この問題に関しては、いまもフォレンジック分析が続いているが、依然としてハッカーたちは、一部のネットワークに潜んでいると思われる。

PyPI における Ultralytics AI の悪用：ビルド環境の侵害と XMRig マルウェアの展開

Ultralytics AI Library with 60M Downloads Compromised for Cryptomining

2024/12/09 HackRead — PyPI (Python Package Index) で人気を博す、Ultralytics AI ライブラリに悪意のコードを注入して、暗号通貨のマイニングを行うという攻撃が、ReversingLabs のサイバーセキュリティ研究者たちにより発見された。

DLL サイドローディングをエミュレート：Eclipse でコンテキスト・ハイジャック

Activation Context Hijacking: “Eclipse” PoC Weaponizes Trusted Processes

2024/12/08 SecurityOnline — BlackArrow のレッドチーム・オペレーターである、Kurosh Dabbagh Escalante が発表したのは、Eclipse という名の PoC ツールである。この Eclipse は、Activation Contexts ハイジャックと呼ばれる手法をエミュレートするものであり、ターゲット・プロセス内での任意の DLL のロード／実行を達成する。Escalante は、このツールを “DLL サイドローディング + DLL プロキシのより柔軟な代替手段” と表現し、信頼されたプロセスに任意のコードを挿入するという点で、幅広い用途があると述べている。

Web ブラウザの分離技術を回避：QR コード C2 通信のための PoC ツールとは？

QR codes bypass browser isolation for malicious C2 communication

2024/12/08 BleepingComputer — Mandiant が特定したのは、ブラウザの分離技術を回避し、QR コードを通じて Command and Control (C2) 操作を実現する、新しい方法である。このブラウザの分離技術とは、クラウド環境または仮想マシンでホストされるリモート Web ブラウザを介して、すべてのローカル Web ブラウザ・リクエストをルーティングするセキュリティ技術のことであり、日増しに普及するという状況にある。

金融機関を狙う DroidBot というAndroid RAT：Trojan-as-a-Service へと進化する？

Trojan-as-a-Service Hits Euro Banks, Crypto Exchanges

2024/12/06 DarkReading — DroidBot と呼ばれるパワフルな Android RAT は、キーロギング／モニタリング／送受信データ転送などのスパイウェア機能を介して、銀行／暗号通貨取引所などの公的な組織からデータを盗み出している。その一方で、サイバー・セキュリティア研究者たちが懸念しているのは、完全な MaaS (Malware-as-a-Service) へと、DroidBot RAT が拡大しているように見える点である。

米 FCC の提案：Salt Typhoon 攻撃に対応する盗聴セキュリティの基準

FCC proposes updates to wiretap security standards following Chinese telecom hacks

2024/12/05 NextGov — 12月5日 (木) に FCC (Federal Communications Commission) のトップは、そのチーム・メンバーたちに草案を共有した。FCC の報道発表によると、この草案が採用された場合には、法執行機関からの盗聴要求に対応するシステムへの不正アクセスは、通信会社により直ちに保護されるよう義務付けられることになる。また、FCC の Jessica Rosenworcel 委員長も、別の規則制定案を同僚たちに提案している。この案が承認されると、同委員会から通信会社に対して、セキュリティ態勢に関する年次証明書の提出が義務付けられる。

Shadowserver インタビュー：その立ち位置と脅威／防御に対する認識を説明しよう

How the Shadowserver Foundation helps network defenders with free intelligence feeds

2024/12/05 HelpNetSecurity — Shadowserver Foundation の CEO である Piotr Kijewski が、Help Net Security のインタビューで語ったのは、脆弱性／悪意の活動／新たな脅威を明らかにすることで、インターネット・セキュリティを強化するという、同組織の使命に関する事柄である。Kijewski が説明してくれたのは、サイバー犯罪を追跡／阻止するための自動化された取り組みの詳細であり、また、法執行機関への支援と、開発サービスのグローバルな展開の内容である。

米国の通信キャリア８社が侵害された：中国の Salt Typhoon について FBI がコメント

At least 8 US carriers hit in Chinese telecom hacks, senior official says

2024/12/04 NextGov — 12月4日 (水) の政府高官のコメントは、通信事業者を標的とする中国のサイバー・スパイ活動が広まり、少なくとも米国の通信事業者８社が攻撃を受け、数十カ国でビジネスを展開する他の通信会社も侵害されたというものだ。中国政府が支援する Salt Typhoon が実行したハッキングは、この１～２年間にわたって続いていた可能性があり、この侵害においては、政府や政治とつながりのある個人も標的にされていたという。ホワイトハウスの報道ガイドラインに従い、匿名を条件に記者団に語った同高官は、このように付け加えた。

Linux 標的のブートキット Bootkitty が登場：UEFI の脆弱性 LogoFAIL CVE-2023-40238 を悪用

Security Alert: Bootkitty Bootkit Targets Linux via UEFI Vulnerability (CVE-2023-40238)

2024/12/01 SecurityOnline — Bootkitty という、史上で初めて Linux システムを標的にする UEFI ブートキットが、Binarly と ESET のセキュリティ研究者たちにより発見された。この新たな脅威は、UEFI ファームウェアの欠陥である LogoFAIL と命名された脆弱性 CVE-2023-40238 を悪用するものであり、Secure Boot の保護をバイパスし、悪意のペイロードを注入する。

北朝鮮ハッカー RedAnt による Code on Toast 攻撃：IE のゼロデイ CVE-2024-38178 を悪用

Operation “Code on Toast”: A Deep Dive into TA-RedAnt’s Exploitation of Zero-Day Flaw (CVE-2024-38178)

2024/12/01 SecurityOnline — Operation Code on Toast と呼ばれる、高度で大規模なサイバー攻撃が、北朝鮮ハッカーの TA-RedAnt により展開されている。Internet Explorer の新たな脆弱性を悪用する攻撃の仕組みと、それに続くマルウェアの展開に関するレポートが、韓国の NCSC ( National Cyber Security Center) と AhnLab のセキュリティ研究者により公開されている。

Rockstar 2FA という Phishing-as-a-Service：Microsoft 365 などを標的に AiTM 攻撃

Phishing-as-a-Service “Rockstar 2FA” Targets Microsoft 365 Users with AiTM Attacks

2024/11/29 TheHackerNews — Microsoft 365 アカウントの認証情報を盗むことを目的とし、Rockstar 2FA と呼ばれる PhaaS (phishing-as-a-service) ツールキットを利用する、悪意のメール・キャンペーンについて、サイバー・セキュリティ研究者たちが警告している。Trustwave の研究者である Diana Solomon と John Kevin Adriano は、「このキャンペーンでは AitM [adversary-in-the-middle] 攻撃が採用され、攻撃者はユーザーの認証情報とセッション Cookie の傍受を達成する。つまり、多要素認証 (MFA) が有効化されているユーザーであっても、脆弱になる可能性がある」と述べている。

中国由来の Salt Typhoon：大規模なスパイ活動の被害は T-Mobile にも？

T-Mobile Shares More Information on China-Linked Cyberattack

2024/11/28 SecurityWeek — 11月27日 (水) に T-Mobile が発表したのは、中国由来の脅威グループ Salt Typhoon が実行したとみられる、サイバー攻撃に関する追加情報であり、また、攻撃はブロックされているという声明である。今月の初めに明らかになったのは、米国の複数の通信会社を標的とする、Salt Typhoon による大規模なサイバー・スパイ活動に、T-Mobile も巻き込まれていたことだ。

RDP の脆弱性 CVE-2020-1472 がターゲット：Elpaco ランサムウェアの活動が捕捉された

Elpaco Ransomware: A New Threat Actor Leverages CVE-2020-1472 for Global Attacks

2024/11/27 SecurityOnline — 洗練されたランサムウェアの亜種 Elpaco が、Mimic ランサムウェア・ファミリーの進化形とし登場したことを、Kaspersky Labs が発表した。この高度なマルウェアは、多数のカスタマイズ機能を備えており、既知の脆弱性と正規のソフトウェア・ツールを悪用しながら密かに操作を実行し、世界中の被害者をターゲットにしている。

Salt Typhoon の武器庫を探査する：破壊力を静かに維持し続ける秘密は？

Salt Typhoon Builds Out Malware Arsenal With GhostSpider

2024/11/27 DarkReading — 中国由来の脅威アクター Salt Typhoon は、数年前から政府や通信などの重要組織をスパイしてきたが、新しいバックドア・マルウェアである GhostSpider もリリースしている。Salt Typhoon (別名 Earth Estries／FamousSparrow／GhostEmperor／UNC2286) は、中華人民共和国における最も選定的な APT の１つである。そのキャンペーンを、2023 年にまで遡ると、20 を超える組織を侵害してきたことが分かる。それらの標的となった組織には、世界中の最高レベルの組織という傾向があり、何年にもわたって侵害が検出されていないケースもある。最近の標的としては、米国の T-Mobile USA などの通信会社や、北米の ISP などが挙げられる。