Microsoft – Page 20 – IoT OT Security News

Microsoft Build Engine 悪用キャンペーンを観測：Cobalt Strike Beacon が実行されている

Threat Actors Abuse MSBuild for Cobalt Strike Beacon Execution

2021/12/28 SecurityWeek — 最近に観測された悪質なキャンペーンにおいて、Microsoft Build Engine (MSBuild) を悪用し、侵入したマシン上で Cobalt Strike ペイロードを実行するものがあった。Windows 上でアプリケーションを作成するために設計された MSBuild は、Tasks と呼ばれるプロジェクト・ファイルの要素を用いて、プロジェクトの構築中に実行されるコンポーネントを指定する。

Microsoft Office の脆弱性 CVE-2021-40444：パッチ回避とマルウェア投下

Crooks bypass a Microsoft Office patch for CVE-2021-40444 to spread Formbook malware

2021/12/23 SecurityAffairs — Microsoft Office に存在する脆弱性 CVE-2021-40444 (CVSS 8.8) に関して、サイバー犯罪者たちはパッチを回避する方法を見つけ出した。そして、この脆弱性を悪用し、マルウェア Formbook を配布している。CVE-2021-40444 は、MSHTML ファイル・フォーマットに影響を与える、リモートコード実行の脆弱性である。

Microsoft Teams のバグ：３月からフィッシングの脅威にさらされている？

Microsoft Teams bug allowing phishing unpatched since March

2021/12/22 BleepingComputer — Microsoft の発表は、2021年3月以降に報告された Microsoft Teams のリンクプレビュー機能に影響をおよぼす、複数のセキュリティ欠陥について、修正しないか、パッチを延期するというものだった。ドイツの IT セキュリティ・コンサルタント会社 Positive Security の Fabian Bräunlein が発見した４つの脆弱性は、Server-Side Request Forgery (SSRF)、URLプレビューの偽装、IP アドレスの漏洩 (Android) と、Message of Death (Android)と名付けられたサービス拒否 (DoS) につながるものだった。

Active Directory の脆弱性：Windows ドメイン・コントローラ乗っ取りの PoC が公開

Active Directory Bugs Could Let hackers Take Over Windows Domain Controllers

2021/12/21 TheHackerNews — Microsoft は、11月に対処した Active Directory ドメイン・コントローラの２つのセキュリティ脆弱性に関して、12月12日に PoC ツールを公開し、パッチを適用するよう顧客に呼びかけている。この２つの脆弱性は、CVE-2021-42278 および CVE-2021-42287 として追跡されており、深刻度を示す CVSS 値は 7.5 であり、Active Directory Domain Services (AD DS) コンポーネントに影響を与える特権昇格の欠陥を示す。この２つのバグを発見／報告したのは、Catalyst IT の Andrew Bartlett である。

Microsoft 警告：国家に支援されたハッカーたちが Log4j 悪用を開始

Nation-state hackers aim to exploit Log4j software flaw, Microsoft warns

2021/12/15 CyberScoop — 火曜日に、Microsoft の Threat Intelligence Team が発表したところによると、中国／北朝鮮／イラン／トルコの政府に関連するハッカーたちが、Apache Log4j の脆弱性を利用する方法を模索しているとのことだ。この脆弱性を利用して、米国の連邦政府機関を標的した例はないが、依然として攻撃を警戒していると、Cybersecurity and Infrastructure Security Agency (CISA) が述べている。

Log4j の２つ目の脆弱性 CVE-2021-45046 が悪用されている：３つ目の脆弱性も浮上

Hackers Begin Exploiting Second Log4j Vulnerability as a Third Flaw Emerges

2021/12/15 TheHackerNews — 水曜日に、Web インフラ企業である Cloudflare は、幅広く利用されている Log4j ロギング・ユーティリティーの２つ目のバグを悪用しする脅威が存在することを明らかにした。パッチを適用していないシステムに対して、多様なマルウェアによる攻撃が続いているため、顧客は最新バージョンのインストールを迅速に行う必要がある。

Log4Shell 攻撃で最初のランサムウェアを検出：Khonsari はワイパー型マルウェアかも？

New ransomware now being deployed in Log4Shell attacks

2021/12/14 BleepingComputer — 脆弱性 Log4Shell が、ランサムウェアのダウンロード／インストールに使用されるという、最初の事例が研究者により発見された。先週の金曜日に、Java ベースのロギング・プラットフォーム Apache Log4j に存在する、Log4Shell (CVE-2021-44228) と名付けられた深刻なゼロデイ脆弱性に対するエクスプロイトが公開された。Log4j は、開発者が Java アプリケーションに対して、エラーやイベントのログを追加するための開発フレームワークである。

Microsoft 2021-12 月例アップデートは６件のゼロデイと 67件の脆弱性に対応

Microsoft December 2021 Patch Tuesday fixes 6 zero-days, 67 flaws

2021/12/14 BleepingComputer — 今日は、Microsoft の December 2021 Patch Tuesday であり、それに伴い、６つのゼロデイ脆弱性と合計で67件の欠陥が修正された。これらのアップデートには、マルウェアの配布キャンペーンで積極的に悪用されている、Windows Installer の脆弱性の修正も含まれている。Microsoft は、今日のアップデートで 55件の脆弱性 (Microsoft Edge を除く) を修正し、７件を Critical に、60件を Important に分類した。

Dell 製ドライバーに存在し続ける Windows Kernel レベル攻撃の脆弱性

Dell driver fix still allows Windows Kernel-level attacks

2021/12/13 BleepingComputer — 2021年5月に、Dell 製のドライバーに存在する５つの脆弱性が、まとめて CVE-2021-21551 として公開されたが、それは 12年間にわたる悪用の末の修正でもある。しかし、Dell の修正は、さらなる悪用を防ぐために、十分な包括的なものとは言えず、セキュリティ研究者が警告しているように、今後の BYOVD (Bring Your Own Vulnerable Driver) 攻撃の格好の候補となっている。

TrickBot の感染は１年で 14万件：それをベースに Emotet が拡散される可能性が高い

140,000 Reasons Why Emotet is Piggybacking on TrickBot in its Return from the Dead

2021/12/08 TheHackerNews — この高度なトロイの木馬 TrickBot は、2021年初頭にダウンしたボットネット Emotet を復活させる、新たなエントリー・ポイントになりつつある。その TrickBot も解体が試みられたが、それから１年あまりで、149カ国の14万人の被害者に感染したと推定されている。

Microsoft 報告：中国ハッカーが使用する 42 の悪意の Web ドメインが押収された

Microsoft Seizes 42 Malicious Web Domains Used By Chinese Hackers

2021/12/07 TheHackerNews — 米国バージニア州の連邦裁判所が発行した令状に基づき、米国などの28カ国の組織を標的とする、中国のサイバー・スパイ集団が使用していた42個のドメインを押収されたと、Microsoft が発表した。同社は、この悪質なスパイ行為について、Nickel と呼ばれるグループおよび、APT15／Bronze Palace／Ke3Chang／Mirage／Playful Dragon／Vixen Panda と呼ばれているグループの仕業だとしている。この APT アクターは、2012年ごろから活動していると考えられている。

SolarWinds を侵害した脅威アクター：UNC2652 と UNC3004 は活動を継続している？

SolarWinds hackers kept busy in the year since the seminal hack, Mandiant finds

2021/12/06 CyberScoop — SolarWinds サプライチェーン侵害に関連したハッカーたちは、この攻撃が明らかになってから１年の間に、ロシアの関心を示すデータを盗み出した。そして、さらに被害者を増やすルートを見つけることを目的に、複数のクラウド・ソリューション企業を侵害していたことが、新たな調査で明らかになった。

Nobelium の最新マルウェア Ceeloader は高スティルス性で CSP と MSP を狙う

Russian hacking group uses new stealthy Ceeloader malware

2021/12/06 BleepingComputer— Nobelium ハッキング・グループは、CSP (Cloud Service Provider) や MSP (Managed Service Provider) を標的する、新しいカスタム・マルウェア Ceeloader を用いて、世界中の政府機関や企業のネットワークへの侵入を続けている。Nobelium は、米国の複数の連邦政府機関からの情報漏洩につながった、昨年の SolarWinds サプライチェーン攻撃の背後にいる脅威アクターであり、その名前は Microsoft がつけたものだ。

悪意の Excel XLL アドインが RedLine マルウェアをプッシュしてパスワードを盗み出す

Malicious Excel XLL add-ins push RedLine password-stealing malware

2021/12/05 BleepingComputer — Web サイトの問合せフォームやフォーラムにスパムを送り、パスワードなどの情報を盗むマルウェア RedLine をダウンロード／インストールさせる Excel XLL ファイルが、サイバー犯罪者たちにより配布されている。RedLine は情報窃取型のトロイの木馬であり、Web ブラウザに保存されているクッキー／ユーザー名／パスワード／クレジットカードなどの情報のほか、感染したデバイスから FTP 認証情報やファイルを盗み出す。

AWS と顧客の責任分担モデル：14項目の Shared Responsibility を表にしてみた

SBN What is the AWS Shared Responsibility Model?

2021/12/02 SecurityBoulevard — 多くのクラウド・プロバイダーと同様に、AWS は責任共有モデル (Shared Responsibility Model) を基に運営されている。AWS は ‘of’ the cloud のセキュリティに責任を持ち、AWSの顧客は ‘in’ the cloud のセキュリティに責任を持つ。AWS は、顧客の重要な情報やアプリケーションを保護するために、プラットフォームのセキュリティを優先しており、インフラのセキュリティに責任を持つ。

Emotet が偽の Adobe インストーラーを介して広まり始めている

Emotet now spreads via fake Adobe Windows App Installer packages

2021/12/01 BleepingComputer — 現在、マルウェア Emotet は、Adobe PDF ソフトウェアを装う、悪意の Windows App Installer パッケージを介して配布されている。Emotet は、フィッシング・メールや悪意の添付ファイルを介して拡散する、悪名高いマルウェアである。インストールされると、他のスパム・キャンペーンのために被害者のメールを盗み、TrickBot や Qbot などのマルウェアを展開して、ランサムウェア攻撃などへつなげる。

Microsoft Exchange への BlackByte 攻撃：依然として ProxyShell が暴れている

Microsoft Exchange servers hacked to deploy BlackByte ransomware

2021/12/01 BleepingComputer — BlackByte というランサムウェアが、ProxyShell と呼ばれる脆弱性を利用してMicrosoft Exchange サーバーを攻撃し、さまざまな企業ネットワークに侵入している。ProxyShell とは、Microsoft Exchange における３つの脆弱性のセットの名称であり、それらが連鎖することで、サーバー上で認証を必要としないリモートコード実行が可能になるものだ。

HP 製プリンタで複数の脆弱性：150 種類のモデルに影響するという

HP Issues Firmware Updates for Printer Product Vulnerabilities

2021/12/01 DarkReading — HP Inc は、同社の多機能プリンタ (MFP: multifunction printer) 製品 150 モデル以上に影響をおよぼす、複数のセキュリティ脆弱性に対応したファームウェア・アップデートを発行した。これらの問題を悪用するのは、特に簡単というわけではない。ただし、2021年4月にバグを発見して HP に報告した F-Secure の研究者たちによると、これらの問題は、攻撃者がデータを盗み、ネットワークへの足掛かりを得る手段となるため、あらゆる組織にとって脅威となるようだ。

オープンソースからバグを取り除く：重要なのは報奨金とエコシステムだ

Searching for Bugs in Open Source Code

2021/11/30 SecurityBoulevard — まずは、迷信の払拭から始めよう。オープンソース・ソフトウェアが、クローズドソース・ソフトウェアよりも、安全性が低いということはない。しかし、オープンソースのプログラムに脆弱性が発見されると、クローズドソースで発見された脆弱性よりも、はるかに容易に武器化し、悪用される傾向にある。これが、現実だ。

Microsoft Defender の Emotet 誤検知：Office ファイルも開けず Admin たちは大混乱

Microsoft Defender scares admins with Emotet false positives

2021/11/30 BleepingComputer — Microsoft Defender for Endpoint の現状だが、Emotet マルウェアのペイロードがバンドルされている可能性があるという、誤ったタグをファイルに付けているため、Office ドキュメントがオープンできず、一部の実行ファイルの起動がプロックされるという問題が存在している。

Windows 10 の新たなゼロデイ脆弱性とアンオフィシャル・パッチの存在

New Windows 10 zero-day gives admin rights, gets unofficial patch

2021/11/27 BleepingComputer — Windows 10 Version 1809以降に影響する、Mobile Device Management Service のゼロデイ脆弱性「ローカル特権昇格 (LPE) 」から、Windows ユーザーを保護するための非公式パッチが無料で公開されている。このセキュリティ上の欠陥は、”Access Work or School” 設定に存在し、Microsoft が２月にリリースした CVE-2021-24084 情報漏えいバグに対処する、パッチを回避するものだ。

IKEA のシステムがリプライチェーン・メール攻撃の渦中にある

IKEA email systems hit by ongoing cyberattack

2021/11/26 BleepingComputer — IKEA が、サイバー攻撃の渦中にいる。この攻撃では、盗まれた機密情報をもとに、リプライチェーン・メールにより従業員に対して、内部的なフィッシング攻撃が行われている。リプライチェーン型のメール攻撃とは、脅威アクターが企業からの正当なメールを盗み出し、そのメールに対して悪意のドキュメントなどへのリンクを返信して、受信者のデバイスにマルウェアをインストールするものである。

Microsoft MSHTML のバグ悪用：Google／Instagram から認証情報などが盗まれる

Hackers exploit Microsoft MSHTML bug to steal Google, Instagram creds

2021/11/24 BleepingComputer — SafeBreach Labs のセキュリティ研究者たちにより、新たに発見されたイランの脅威アクターは、PowerShortShell と名付けた PowerShell ベースの新しい情報窃取ツールを用いて、ペルシャ語を話す世界中のターゲットから、Google および Instagram の認証情報を盗んでいる。

Windows Installer のゼロデイ脆弱性：マルウェアの試験運用が始まっている

Malware now trying to exploit new Windows Installer zero-day

2021/11/23 BleepingComputer — この週末に、セキュリティ研究者の Abdelhamid Naceri が公開した、Microsoft Windows Installer のゼロデイを標的にした PoC エクスプロイトだが、すでにマルウェア作成者たちによりテストが開始されている。Cisco の Talos Security Intelligence & Research Group の Technical Leader であるJaeson Schultz は、「Talos では、この脆弱性を利用しようとするマルウェア・サンプルを、すでに検出している」と述べている。

Microsoft Exchange の RCE 脆弱性 CVE-2021-42321 の PoC が提供されている

Expert released PoC exploit code for Microsoft Exchange CVE-2021-42321 RCE bug

2021/11/23 SecurityAffairs — この日曜日に、研究者である Janggggg は、Microsoft Exchange サーバーの CVE-2021-42321 として追跡されている、活発に悪用されている脆弱性に対する PoC エクスプロイト・コードを公開した。この脆弱性 CVE-2021-42321 は、コマンドレットにおける不適切な引数の検証に起因する、深刻度の高いリモートコード実行の問題である。Microsoft は、この欠陥は認証された攻撃者のみが悪用できると指摘している。

ロシアの国家支援型ハッカー Nobelium：米国サプライチェーンへの侵入を継続

Nobelium – Long Term Threat Activity

2021/11/22 CyberSecurityIntelligence — ロシアの国家に支援される脅威アクターである Nobelium が、新たなターゲットを選んでいる。Nobelium は、2020年にSolarWinds の顧客に対して行われた、広範囲におよぶサイバー攻撃の実行者と考えられており、ロシアの対外情報機関である SVR の一部であると、米国政府などは特定している。グローバルな IT サプライチェーンに不可欠とされる組織を、Nobelium は過去の攻撃と同じ手法で標的にしている。

Microsoft Exchange を狙うリプライ・チェーン攻撃は止まらずに継続している

Microsoft Exchange servers hacked in internal reply-chain attacks

2021/11/20 BleepingComputer — ProxyShell や ProxyLogon を利用する脅威アクターたちが、Microsoft Exchange サーバーのハッキング／マルウェアの配布／社内の返信用電子メールの侵害／検知の回避などを継続している。悪意の電子メール・キャンペーンを行う場合、脅威アクターたちにとって最も難しいのは、ユーザーが送信者を十分に信頼するように仕向け、不正なリンクや不正プログラムを開くように仕向けることだ。

Microsoft Office 365：全ユーザーのディフォルト保護レベルを Admin 設定で強化する

Microsoft: Office 365 will boost default protection for all users

2021/11/20 BleepingComputer — Microsoft は、Defender for Office 365 に Built-In Protection を導入する。この機能は、推奨される設定やポリシーを自動的に有効にし、すべての新規／既存のユーザーが、少なくとも基本的なレベルの保護を受けられるようにする新機能である。

Microsoft Azure AD の深刻な脆弱性 CVE-2021-42306 がユーザーに通知される

Microsoft Informs Users of High-Severity Vulnerability in Azure AD

2021/11/18 SecurityWeek — 水曜日に Microsoft は、Azure Active Directory (AD) に影響を与える情報漏えいの脆弱性に、パッチを適用したと顧客に通知しました。この脆弱性 CVE-2021-42306 (CVSS 8.1) は、Azure で新しい Automation Account が設定されたときの、Run as 認証情報が作成される方法に起因している。

Microsoft Defender for Endpoint に AI 駆動型のランサムウェア検知機能が追加

Microsoft adds AI-driven ransomware protection to Defender

2021/11/16 BleepingComputer — Microsoft は Defender for Endpoint の顧客に対して、AI によるランサムウェア攻撃検知システムを提供し、境界でリスクを評価して脅威アクターをブロックすることで、既存のクラウド保護を補完すると発表した。人間により操作されるランサムウェア攻撃は、特定の手法や行動を特徴としているため、データ駆動型の AI アプローチを用いて、この種の攻撃を検知できると、同社は考えている。

Black Hat Europe：Microsoft Azure Cosmos DB はカオスだという話

ChaosDB: Researchers Share Technical Details of Azure Flaw

2021/11/11 DarkReading — Black Hat Europe 2021：London：今日、Microsoft Azure Cosmos DB データベース・ソリューションに深刻な脆弱性を発見した研究者は、その欠陥の全範囲と、これまで未開示だった調査の詳細を明らかにした。それは、当初に公表されたよりも、はるかに広範におよぶものであることが判明した。

Microsoft 2021-11 月例アップデートは６件のゼロデイと 55件の脆弱性に対応

Microsoft November 2021 Patch Tuesday fixes 6 zero-days, 55 flaws

2021/11/09 BleepingComputer — 今日の Microsoft November 2021 Patch Tuesday により、6件のゼロデイ脆弱性うぃ含む、合計で 55件の脆弱性が修正された。積極的に悪用されている脆弱性は、Microsoft Exchange と Excel に関連するものであり、Exchange のゼロデイは Tianfu ハッキング・コンテストでも使用されていた。

Sitecore XP の RCE 脆弱性の悪用：Silverlight への対応が原因

Sitecore XP RCE flaw patched last month now actively exploited

2021/11/08 BleepingComputer — Australian Cyber Security Center (ACSC) は、Sitecore Experience Platform (Sitecore XP) におけるリモートコード実行の脆弱性 CVE-2021-42237 が、Web 管理者に対して積極的に悪用されていると警告している。

CISA が 306件の脆弱性カタログを発行：政府およびインフラに対する悪用を阻止する

CISA shares a catalog of 306 actively exploited vulnerabilities

2021/11/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている 306件の脆弱性のカタログを公開し、それぞれの連邦政府機関に対して、一定の期限内に対処するよう命じる運用指令を発出した。この指令は、連邦政府の情報システムに存在する、すべてのソフトウェアおよびハードウェアを対象としており、そこには、連邦政府の施設内で管理されているもの、および、連邦政府に代わって第三者がホストされているものがある。

Microsoft のマルチ・クラウド・セキュリティ戦略：Azure Preview に AWS も統合

Microsoft Expands Security to AWS in Multicloud Push

2021/11/03 DarkReading — 今日、Microsoft は Ignite 2021 カンファレンスを開催し、エンタープライズ・のクラウド保護について、特にマルチクラウド環境への対応に重点を置く、クラウド・セキュリティに関する発表を行った。同社は、Microsoft Defender for Cloud (旧称：Azure Security Center および Azure Defender) と呼ばれるスイート製品の中で AWS に対しても、ネイティブな Cloud Security Posture Management (CSPM) およびワークロード保護機能を拡張していく。

Office 365 フィッシングで使用される Kaspersky から盗まれた Amazon SES トークン

Kaspersky’s stolen Amazon SES token used in Office 365 phishing

2021/11/01 BleepingComputer — Kaspersky は、第三者に発行された正規の Amazon Simple Email Service (SES)トークンが、Office 365 ユーザーを標的としたスピアフィッシング・キャンペーンを仕掛ける、脅威アクターにより悪用されたと発表した。Amazon SES は、任意のアプリからメールを送信できるように設計された、スケーラブルなメールサービスであり、マーケティングや大量のメール・コミュニケーションなど、さまざまなユースケースに対応している。

Microsoft 警告：クラウドなどを標的としたパスワード・スプレー攻撃が増加

Microsoft warns of rise in password sprays targeting cloud accounts

2021/10/31 BleepingComputer — Microsoft の DART (Detection and Response Team) によると、クラウドの特権アカウントやＣレベル役員などを標的とした、パスワード・スプレー攻撃の増加を検出したとのことだ。パスワード・スプレーとは、ブルートフォース攻撃の一種であり、よく使われる少数のパスワードを使って、大量のアカウント・リストへのアクセスを試みるものだ。

Apple macOS の SIP 回避脆弱性を Microsoft が発見し Shrootless と命名

Shrootless: macOS Vulnerability Found by Microsoft Allows Rootkit Installation

2021/10/29 SecurityWeek — 木曜日に Microsoft は、Apple macOSに存在する脆弱性の情報を公開した。この脆弱性により、攻撃者は System Integrity Protection (SIP) を回避し、OS のファイルを変更することが可能になる。この脆弱性は、CVE-2021-30892 として追跡され、Microsoft により Shrootless と名付けられた。

Microsoft が発見した macOS のバグ：System Integrity Protection がバイパスされる

Microsoft found Shrootless bug in macOS that could bypass System Integrity Protection

2021/10/28 SecurityAffairs — Microsoft は、Shrootless (CVE-2021-30892) と呼ばれる macOS の脆弱性を発見した。この脆弱性により、攻撃者は System Integrity Protection (SIP) を回避し、脆弱なデバイスでの root 権限取得や、rootkit のインストールなどの、悪意のアクティビティを実行できる。

QR コード・メール・フィッシング：Microsoft の認証情報を盗み出そうとする手口とは？

Scammers are emailing waves of unsolicited QR codes, aiming to steal Microsoft users’ passwords

2021/10/26 CyberScoop — 電子メールを悪用する詐欺師たちは、レストランなどで見かけるようになったクイック・レスポンス・コードの注目度に乗じて、QR コードを利用してユーザーの Microsoft 認証情報などを盗もうとしている。

Microsoft Defender ATP における Linux／macOS 対応が発表された

Microsoft Defender ATP adds live response for Linux and macOS

2021/10/25 BleepingComputer — Microsoft は、Windows 10 Defender Antivirus のエンタープライズ版である Defender for Endpointに、macOS と Linux 対応を追加すると発表した。この新機能は、Enterprise Endpoint Security Platform (旧称 : Microsoft Defender Advanced Threat Protection) でパブリック・プレビューが開始されており、新たなプラットフォーム向けに独自のコマンドが用意されている。

Microsoft 警告： Nobelium による新たなサプライチェーン攻撃が発見された

Microsoft Warns of Continued Supply-Chain Attacks by the Nobelium Hacker Group

2021/10/25 TheHackerNews — 2020年12月に発生した SolarWinds 不正アクセス事件の背後には、複数のクラウド・サービス・プロバイダー (CSP) や、マネージド・サービス・プロバイダー (MSP) などの、IT サービス企業の下流顧客 14社を標的にした、継続的な攻撃の波が押し寄せている。そのため、「１つの侵害から複数の侵害へ」というアプローチでサプライチェーンを標的にする、敵対者の継続的な関心が示されている。

Microsoft 365 がサポートする ARC により成りすまし検知が強化される

Microsoft 365 will get support for custom ARC configurations

2021/10/24 BleepingComputer — Microsoft において、Defender for Office 365 にカスタム ARC (Authenticated Received Chain) コンフィグレーションを追加する作業が進んでいる。ARC とは、メッセージの認証された Chain of Custody を提供する認証メカニズムであり、発信サーバーから受信者のメールボックスまでの間で、電子メールを処理する全ての仲介者が、他のエンティティが以前に処理した電子メールを確認できるものとなる。