Microsoft Office – IoT OT Security News

Emotet が 11月2日に活動を再開：Microsoft の Protected View を回避する戦術とは？

Emotet botnet starts blasting malware again after 5 month break

2022/11/02 BleepingComputer — マルウェア Emotet のオペレーションだが、サイバー犯罪作戦の活動がほとんど見られなかった約５ヶ月間の休暇を経て、再び悪質な電子メールを送信し始めている。Emotet のフィッシング・キャンペーンは、悪意の Excel／Word 文書を介して、マルウェアを配布し感染させるものだ。それらの文書を開いたユーザーが、マクロを有効にしていると、Emotet DLL がダウンロードされ、メモリに読み込まれる。

中国 APT10 の標的は日本の政府機関など：K7Security を悪用する LODEINFO マルウェアとは？

Hacking group abuses antivirus software to launch LODEINFO malware

2022/10/31 BleepingComputer — APT10 として追跡されている中国のハッキング・グループ Cicada は、セキュリティ・ソフトウェアを悪用することで、日本の組織に対してマルウェア LODEINFO の新バージョンをインストールしていたことが確認されている。標的となったのは、日本国内の報道機関／外交機関／政府機関／公共機関／シンクタンクなどであり、いずれもサイバー犯罪の標的として高い関心を集める組織である。

Emotet の最新分析：進化するモジュールとインフラを VMware が徹底追跡

Experts analyzed the evolution of the Emotet supply chain

2022/10/11 SecurityAffairs — VMware の研究者たちは、Emotet マルウェアの背後に存在するサプライチェーンを分析し、そのオペレータが検出を回避するために取っている TTP が継続的に変更されていることを報告した。Emotet バンキング・トロイの木馬は、2014年ころから活動しており、このボットネットは TA542. として追跡されている脅威アクターにより運営されている。Emotet が利用されるケースは、Trickbot／QBot などのトロイの木馬の配信および Conti／ProLock／Ryuk／Egregor などのランサムウェアなど配信である。

Windows 11 の新機能：パスワードを保護する Enhanced Phishing Protection とは？

Windows 11 now warns when typing your password in Notepad, websites

2022/09/24 BleepingComputer — Windows 11 22H2 がリリースされ、安全ではないアプリケーションや Web サイトにおいて、Windows のパスワードを入力する際に警告する、新しいセキュリティ機能 Enhanced Phishing Protection が搭載された。Windows のログイン情報は、企業内ネットワークへのアクセスを伴う、データ窃盗やランサムウェア攻撃を可能にするため、脅威アクターにとって貴重なものである。一般的に、これらのパスワードはフィッシング攻撃などで不正に取得されるが、ワープロ／テキストエディタ／表計算ソフトなどの安全ではないアプリケーションに、ユーザーがパスワードを保存することでも不正に取得される。

Microsoft 2022-09 月例アップデートは２件のゼロデイと 63件の脆弱性に対応

Microsoft September 2022 Patch Tuesday fixes zero-day used in attacks, 63 flaws

2022/09/13 BleepingComputer — 今日は Microsoft の September 2022 Patch Tuesday であり、活発に悪用されている Windows の脆弱性を含めて、合計で 63件の不具合が修正された。本日のアップデートで修正された 63件の脆弱性のうち 5件は、最も深刻なタイプの脆弱性である、リモートコード実行を許すものであり、Critical に分類されている。

Google G-Suite 企業ユーザーを狙う AiTM フィッシング攻撃に注意

Researchers Warn of AiTM Attack Targeting Google G-Suite Enterprise Users

2022/08/24 TheHackerNews — Microsoft メールサービスの企業ユーザーを標的とする、大規模な中間者 (AiTM : Adversary-in-The-Middle) フィッシング・キャンペーンを仕掛けている脅威アクターたちが、Google Workspace のユーザーにも狙いを定めていることが明らかになった。Zscaler の研究者である Sudeep Singh と Jagadeeswar Ramanukolanu は、今月に発表したレポートで、「このキャンペーンは、Google Workspace を使用する、さまざまな組織の最高責任者などの、上級メンバーの標的を絞り込んでいる」と詳述している。

Microsoft の Office マクロ対策：ブロック後のハッカーたちの動向を統計値で見る

As Microsoft blocks Office macros, hackers find new attack vectors

2022/07/28 BleepingComputer — これまでのフィッシングでは、悪意の Office マクロを埋め込んだ添付ファイルでマルウェアを配布していたハッカーたちだが、Microsoft がデフォルトで Office マクロをブロックするようになってから戦術を変更し、ISO／RAR／LNK (Windows ショートカット) などの、新しいファイル・タイプへと添付ファイルを切り替えている。

Microsoft の Office マクロ問題：無効化 → 有効化 → 再無効化という紆余曲折

Microsoft starts blocking Office macros by default, once again

2022/07/21 BleepingComputer — 今日 Microsoftは、今月の初めに一時的に取りやめていた、ダウンロードした Office 文書における VBA マクロの自動ブロックの展開を、ユーザーからのフィードバックにより再開したと発表した。この変更は、マクロがブロックされたときに利用可能な、オプションを理解しやすくするために、ユーザーと管理者に対するサポート・ドキュメントを改善した後に行われた。

7-zip のセキュリティが強化：インターネットからのファイルに Mark-of-the-Web 識別子を付与

7-zip now supports Windows ‘Mark-of-the-Web’ security feature

2022/06/21 BleepingComputer — 7-zip は長年の要望に応え、Windows のセキュリティ機能である Mark-of-the-Web のサポートを追加し、悪意のダウンロード・ファイルに対する保護を強化した。それにより、Windows は、Web からダウンロードされた Mark-of-the-Web (MoTW) と呼ばれるドキュメントや実行ファイルに対して、’Zone.Id’ 代替データストリームを追加する。

Microsoft 2022-06 月例アップデートは１件のゼロデイと 55件の脆弱性に対応

Microsoft June 2022 Patch Tuesday fixes 1 zero-day, 55 flaws

2020/06/14 BleepingComputer — 今日は、Microsoft の June 2022 Patch Tuesday の日だ。今月は、Windows MSDT のゼロデイ脆弱性 Follina や Intel MMIO の新しい不具合などの、合計で 55件の脆弱性が修正された。今日のアップデートで修正された 55件の脆弱性のうち、３件はリモート・コード実行を可能にするため深刻度は Critical に分類され、残りは Important に分類されている。なお、今週初めに公開された、Microsoft Edge の Chromium アップデート５件は含まれていない。

Windows の脆弱性 Follina：Qbot／AsyncRAT などによる悪用が観測された

‘Follina’ Vulnerability Exploited to Deliver Qbot, AsyncRAT, Other Malware

2022/06/09 SecurityWeek — 最近になって公開された Windows の脆弱性を Follina (CVE-2022-30190) 悪用する、複数のマルウェアが配信されているが、現時点においても公式パッチが提供されていない状態である。この脆弱性は、Microsoft Support Diagnostic Tool (MSDT) に関連しており、特別に細工されたドキュメントを介した、リモートコード実行に悪用される可能性がある。

Windows のゼロデイ脆弱性 Follina：フィッシング攻撃で積極的に悪用されている

Windows zero-day exploited in US local govt phishing attacks

2022/06/06 BleepingComputer — 欧州政府および米国の地方自治体が、Windows の深刻なゼロデイ脆弱性 Follina を悪用する、RTF 文書を介したフィッシング・キャンペーンのターゲットになっている。BleepingComputer は、このキャンペーンの標的となった、少なくとも２つの米国の地方自治体を確認している。エンタープライズ・セキュリティ企業 Proofpoint のセキュリティ研究者は、「Proofpoint は、脆弱性 Follina CVE-2022-30190 を悪用しようとする、欧州政府および米国の地方政府を標的とした、国家ぐるみのフィッシング・キャンペーンをブロックした」と明かしている。

Windows のゼロデイ脆弱性 Follina CVE-2022-30190 は ProtocolNightmare になるのか？

New Windows Search zero-day added to Microsoft protocol nightmare

2022/06/01 BleepingComputer — Windows Search で見つかった新たなゼロデイ脆弱性は、Word 文書を起動するだけで、リモートにホストされているマルウェア実行ファイルを取り込んだかたちで、検索ウィンドウを自動的に開いてしまうとされる。このセキュリティ上の問題は、Windows が search-ms と呼ばれる URI プロトコル・ハンドラをサポートしているため、アプリケーションと HTML リンクを組み合わたせた、悪意の検索にも利用されてしまう。

Microsoft Office のゼロデイ脆弱性 Follina：中国の国家支援ハッカーが積極的に悪用

Chinese Hackers Begin Exploiting Latest Microsoft Office Zero-Day Vulnerability

2022/05/31 TheHackerNews — 中国国家に支援される高度持続的脅威 (APT) 脅威アクターが、Microsoft Office の新しいゼロデイ脆弱性を武器にして、侵害したシステムでコード実行を可能にしていることが確認された。エンタープライズ・セキュリティ企業である Proofpoint は、「この TA413 CN APT は、脆弱性 Follina を悪用することで、悪意の URL から ZIP アーカイブを配信し、そこに含まれる Word ドキュメントを攻撃に使用する。いまは、それが野放しの状態である。このキャンペーンは、中央チベット自治政府の Women Empowerments Desk になりすまし、ドメイン tibet-gov.web[.]app を使用している」とツイートで述べている。

Microsoft Office の脆弱性 Follina に緩和策：ベンダーと研究者の見解に相違が

Microsoft Releases Workarounds for Office Vulnerability Under Active Exploitation

2022/05/30 TheHackerNews — 日本マイクロソフトは、同社の Office で発見されたゼロデイ脆弱性の悪用に成功した攻撃者に、システム上でのコード実行を許してしまう問題への緩和策を発表した。現時点で、この脆弱性 CVE-2022-30190 の CVSS 値は 7.8 と評価されている。Microsoft の Office 2013／2016／2019／2021、および Professional Plus エディションが影響を受けるとされている。

Microsoft Office のゼロデイ脆弱性 Follina：マクロとは別経路で PowerShell コードを実行

Watch Out! Researchers Spot New Microsoft Office Zero-Day Exploit in the Wild

2022/05/30 TheHackerNews — サイバー・セキュリティ研究者たちは、Microsoft Office のゼロデイ脆弱性の悪用に成功した脅威アクターに、Windows システム上での任意のコード実行を許す可能性があるという注意を呼びかけている。この脆弱性は、nao_sec として知られる独立系のサイバー・セキュリティ研究チームが、ベラルーシの IP アドレスから VirusTotal にアップロードされた Word 文書 [05-2022-0438.doc] を発見したことで明らかになった。

Emotet の検出量が最多になった：HP Wolf Security 調査 2022 Q1

Emotet is the most common malware

2022/05/17 HelpNetSecurity — HP の Wolf Security 脅威リサーチ・チームが、Emotet が再登場した 2021年 Q4 と 2022年 Q1 を比較し、Emotet 悪質スパム・キャンペーンによる検出数が 28倍に増加していることを確認し発表している。現実のサイバー・セキュリティ攻撃の分析を提供する、最新の HP Wolf Security Threat Insights Report Q1-2022 によると、Emotet は 36 ランク・アップして、2022年 Q1 で最も多く検出されたマルウェア・ファミリーとなった (捕捉した全マルウェアの 9％)。

Nerbian RAT マルウェアは手強い：スティルス機能を満載して WHO を偽装する

New stealthy Nerbian RAT malware spotted in ongoing attacks

2022/05/11 BleepingComputer — Nerbian RAT と呼ばれる、新たなリモート・アクセス型トロイの木馬が発見された。この RAT は、研究者による検出や分析を回避する機能などの、豊富な機能を備えていることが判明している。この新しいマルウェアの亜種は、Golang で書かれているため、クロス・プラットフォームの 64 Bit 脅威となっており、現時点においてはマクロが混入された文書の添付ファイルを使用した、小規模な電子メール配信キャンペーンにより配布されている。この電子メール・キャンペーンは、Proofpoint の研究者たちが発見したものであり、同社は Nerbian に関するレポートも発表している。

韓国の Naver が狙われている：大規模なフィッシングを仕掛けるのは TrickBot か？

Massive phishing campaign uses 500+ domains to steal credentials

2022/03/15 BleepingComputer — Google ライクな、韓国のオンラインプ・ラットフォーム Naver の認証情報を盗むために、数百のドメインを用いる大規模なフィッシング活動は、TrickBot ボットネットに関連するインフラとの重複を示している。この攻撃に使用されたリソースは、さまざまな攻撃に使用するためにログイン・データを収集する、サイバー犯罪者の取り組みの規模が大きいことを示している。Google と同様に、Naver は Web 検索から、電子メールや、ニュース、オンライン Q&A である Naver Knowledge iN に至るまで、多様なサービスを提供している。

Microsoft 2022-03 月例アップデートは３件のゼロデイと 71件の脆弱性に対応

Microsoft March 2022 Patch Tuesday fixes 71 flaws, 3 zero-days

2022/03/08 BleepingComputer — 今日の、Microsoft March 2022 Patch Tuesday により、３つのゼロデイ脆弱性を含む、合計で 71件の不具合が修正された。Microsoft は、今日のアップデートで、71件の脆弱性 (Microsoft Edge の 21件を除く) を修正したが、そのうち３件はリモート・コード実行の脆弱性であり、Critical に分類されている。

Microsoft 2022-02 月例アップデートは１件のゼロデイと 48件の脆弱性に対応

Microsoft February 2022 Patch Tuesday fixes 48 flaws, 1 zero-day

2022/02/08 BleepingComputer — 本日、Microsoft は February 2022 Patch Tuesday で、ゼロデイ脆弱性１件を含む、合計で 48件の欠陥を修正した。なお、アップデートされた 48件の脆弱性 (22件の Microsoft Edge 脆弱性は除く) の中に、Critical に分類されるものはない。

Microsoft の方針転換：Office VBA MoTW マクロはディフォルトで OFF

Microsoft plans to kill malware delivery via Office macros

2022/02/07 BleepingComputer — ４月上旬より Microsoft は、インターネットからダウンロードした VBA マクロを、いくつかの Microsoft Office アプリで有効にし難くし、脅威アクターたちに好まれるマルウェア配布方法を、事実上死滅させることを発表した。悪意の Office 文書に埋め込まれた VBA マクロの悪用は、Emotet／TrickBot／Qbot／Dridex などのマルウェをフィッシング攻撃でプッシュする際の、きわめて一般的な手法である。

Microsoft Excel 4.0 マクロはディフォルトで OFF：マルウェア対策の一環

Microsoft disables Excel 4.0 macros by default to block malware

2022/01/21 BleepingComputer — Microsoft は、悪意のドキュメントから顧客を守るために、Excel 4.0 (XLM) のマクロをデフォルトで無効にすることを発表した。同社は2021年10月に、Microsoft 365 Message Center のアップデートにおいて、ユーザーや管理者が手動で機能の ON／OFF を切り替えていない場合、すべてのテナントで XLM マクロを無効にすることを初めて明らかにした。

Office 365 認証情報を騙し取るフィッシング詐欺：米国労働省を装う巧妙な手口

Office 365 phishing attack impersonates the US Department of Labor

2022/01/19 BleepingComputer — 米国労働省 (Department of Labor) を装う新たなフィッシング・キャンペーンが、偽の入札を依頼するという手口で、受信者から Office 365 の認証情報を盗もうとしている。このフィッシング・キャンペーンは、数ヶ月前から行われており、政府機関を装う 10以上のフィッシン・グサイトが利用されている。

Microsoft 2022-01 月例アップデートは６件のゼロデイと 97件の脆弱性に対応

Microsoft January 2022 Patch Tuesday fixes 6 zero-days, 97 flaws

2022/01/11 BleepingComputer — 今日は、Microsoft の January 2022 Patch Tuesday であり、それに伴い、６つのゼロデイ脆弱性を含む、合計で97件の脆弱性が修正された。Microsoft は、今日のアップデートで、97件の脆弱性 (29件の Microsoft Edge 脆弱性を除く) を修正し、9件を Critical に、88件を Important に分類している。

Microsoft Defender の Emotet 誤検知：Office ファイルも開けず Admin たちは大混乱

Microsoft Defender scares admins with Emotet false positives

2021/11/30 BleepingComputer — Microsoft Defender for Endpoint の現状だが、Emotet マルウェアのペイロードがバンドルされている可能性があるという、誤ったタグをファイルに付けているため、Office ドキュメントがオープンできず、一部の実行ファイルの起動がプロックされるという問題が存在している。

Microsoft Office 365：全ユーザーのディフォルト保護レベルを Admin 設定で強化する

Microsoft: Office 365 will boost default protection for all users

2021/11/20 BleepingComputer — Microsoft は、Defender for Office 365 に Built-In Protection を導入する。この機能は、推奨される設定やポリシーを自動的に有効にし、すべての新規／既存のユーザーが、少なくとも基本的なレベルの保護を受けられるようにする新機能である。

Office 365 フィッシングで使用される Kaspersky から盗まれた Amazon SES トークン

Kaspersky’s stolen Amazon SES token used in Office 365 phishing

2021/11/01 BleepingComputer — Kaspersky は、第三者に発行された正規の Amazon Simple Email Service (SES)トークンが、Office 365 ユーザーを標的としたスピアフィッシング・キャンペーンを仕掛ける、脅威アクターにより悪用されたと発表した。Amazon SES は、任意のアプリからメールを送信できるように設計された、スケーラブルなメールサービスであり、マーケティングや大量のメール・コミュニケーションなど、さまざまなユースケースに対応している。

Windows 用のファイル・アーカイブ WinRAR の RCE 脆弱性

2021/10/21 TheHackerNews — Windows 用のファイル・アーカイブ・ユーティリティー WinRAR の試用版で、新たなセキュリティ上の欠陥が発見された。この脆弱性を悪用するリモートの攻撃者が、標的となるシステム上で任意のコードを実行し、さまざまな攻撃にいたる可能性がある。

シャドウ IT とクラウド・マルウェアが組織のリスクを高める

Shadow IT, Cloud-Based Malware Increase AppSec Risks

2021/07/26 SecurityBoulevard — Netskope の調査によると、クラウド・アプリにより配信されるマルウェアが増加し続けていることにより、クラウド・アプリのセキュリティ・リスクが引き続き高まっているという。この調査では、従業員の離職に伴い、重要なデータが流出していく可能性も指摘されている。離職する従業員は、その直前の 30日間に、通常の３倍ものデータをパーソナル・アプリにアップロードしているという。つまり、Google Drive や Microsoft OneDrive などが、最も人気のターゲットとなる。

Microsoft Office のマクロ警告を OFF にする新たなトリックが発見された

Hackers Use New Trick to Disable Macro Security Warnings in Malicious Office Files

2021/07/08 TheHackerNews — Microsoft Office 文書を武器として配布するフィッシング・キャンペーンでは、被害者にマクロを有効にするよう促し、感染の連鎖をダイレクトに引き起こすことが一般的だ。しかし、攻撃者は悪意のない文書を使用してセキュリティ警告を無効にし、その後にマクロコードを実行して、被害者のコンピュータに感染させろという、新たな発見があった。