PoC Exploit Released for 0-day Windows Kernel Elevation of Privilege Vulnerability (CVE-2024-21338)
2024/04/15 SecurityOnline — 国家に支援される北朝鮮のハッキンググループ Lazarus が悪用した、危険なゼロデイ脆弱性 CVE-2024-21338 の技術的詳細と概念実証 PoC エクスプロイトコードが、最近になってセキュリティ研究者たちから公開された。この脆弱性は Windows カーネル自体に存在し、攻撃者に対してシステムレベルでの制御を許し、セキュリティ・ツールの無効化も可能となる。
Continue reading “Windows Kernel の脆弱性 CVE-2024-21338 に PoC：2024年2月の月例パッチを確認！”Microsoft Zero-Day Used by Lazarus in Rootkit Attack
2024/03/01 DarkReading — Microsoft のアプリケーション・ホワイトリスト・ソフトウェア AppLocker の、ゼロデイ脆弱性は修正されている。しかし、北朝鮮に支援される Lazarus Group が実施する、ルートキット型サイバー攻撃において、この脆弱性が悪用されることは防げなかった。Avast の研究者たちの説明によると、Microsoft Windows のゼロデイ脆弱性 CVE-2024-21338 を発見した Lazarus は、FudModule と呼ばれる独自のルートキット・マルウェアの更新版を介して、Admin から Kernel へと権限を引き上げたという。
Continue reading “Microsoft のゼロデイ CVE-2024-21338：Lazarus の Rootkit 攻撃で悪用される”Japan warns of malicious PyPi packages created by North Korean hackers
2024/02/28 BleepingComputer — JPCERT/CC (Japan’s Computer Security Incident Response Team) の警告は、悪名高い北朝鮮のハッキング・グループ Lazarus が、開発者をマルウェアに感染させる４つの悪意の PyPI パッケージをアップロードしたというものだ。PyPI (Python Package Index) は、オープンソースのソフトウェア・パッケージのリポジトリだ。ソフトウェア開発者たちは、多種多様なパッケージを Python プロジェクトで利用することで、最小限の労力でプログラムに機能を追加していく。
Continue reading “JPCERT/CC 警告：北朝鮮のハッカー Lazarus が悪意のパッケージを PyPI にアップロード”Operation Blacksmith: Lazarus Exploits Log4J Flaws To Deploy Dlang Malware
2023/12/12 SecurityAffairs — 北朝鮮に関連する APT グループ Lazarus が、Log4j の脆弱性を悪用して、これまで文書化されていなかった RAT (remote access trojans) を展開するという、新たなハッキング・キャンペーンを操っている。Cisco Talos の研究者たちは、このキャンペーンを “Operation Blacksmith” として追跡しているが、この国家に支援される脅威アクターは、少なくとも３種類の新たな DLang ベースのマルウェア・ファミリーを採用している。それらのマルウェアのうち２系統は RAT であり、NineRAT と DLRAT という名前で追跡されている。また、NineRAT は、C2 通信のために Telegram のボットとチャンネルに依存している。
Continue reading “Blacksmith という APT オペレーション：Log4J の脆弱性を Lazarus が狙っている”North Korean Software Supply Chain Attack Hits North America, Asia
2023/11/24 SecurityWeek — 今週に Microsoft が報告したのは、北朝鮮の脅威グループ Diamond Sleet (Zinc) が台湾のソフトウェア会社に侵入し、そのシステムを悪用して、北米とアジアに展開されるデバイスへ向けてマルウェアを配信したことだ。この脅威グループは、以前は Lazarus のサブ・グループとされてきたハッカー集団であり、データ窃盗／スパイ活動／破壊／金銭的利益を目的とする攻撃を行なってきた。そして、サイバー・セキュリティやハイテク企業の従業員に加えて、セキュリティ研究者や侵入テスト担当者も攻撃してきたという。
Continue reading “北朝鮮発のサプライチェーン攻撃：日本／台湾／米国／カナダに到達している”US, Japan and South Korea Unite to Counter North Korean Cyber Activities
2023/11/07 InfoSecurity — 日本／米国／韓国が、北朝鮮のサイバー活動に対抗するための、ハイレベル協議機関を設立した。韓国の国家安全保障室によると、この新組織の主な目的は、核開発を含む北朝鮮の兵器開発の資金源となる、サイバー攻撃や暗号強奪を防ぐことだという。同組織によると、この協議体は、世界的なサイバー脅威に対して、３カ国が共同で対応する能力を強化するという。
Continue reading “日本／米国／韓国の協定：北朝鮮のサイバー攻撃や暗号強奪に対抗”North Korean Nation-State Actors Exposed in JumpCloud Hack After OPSEC Blunder
2023/07/25 TheHackerNews — 北朝鮮の General Bureau (RGB) に所属する活動家たちが、JumpCloud のハッキングに関与しているようだ。Google 傘下の Mandiant は、UNC4899 という名前で追跡している脅威アクターに起因する活動だとしている。このグループは、ブロックチェーンと暗号通貨セクターを攻撃してきた Jade Sleet／TraderTraitor として監視されている、クラスターと重複している可能性が高いようだ。また、UNC4899 は APT43 とも重なっている。APT43 とは、北朝鮮 (DPRK) に関連する別のハッキング・グループであり、2023年3月の初旬に、標的とした企業から暗号通貨を吸い上げるための、一連のキャンペーンを実施していることが明らかになっている。
Continue reading “JumpCloud ハッキング：北朝鮮の RGB に属する脅威アクターが関与か？”Lazarus hackers hijack Microsoft IIS servers to spread malware
2023/07/24 BleepingComputer — 北朝鮮の国家支援のハッカー・グループである Lazarus が、Windows IIS (Internet Information Service) Web サーバを乗っ取り、マルウェアを配布していることが明らかになった。Microsoft の Web Server ソリューションである IIS は、Web サイトや Microsoft Exchange Outlook Web などのアプリケーション・サービスをホストするために使用されるものだ。
Continue reading “北朝鮮のハッカー Lazarus：Microsoft IIS Server を乗っ取ってマルウェアを配布”Beware: New ‘RustBucket’ Malware Variant Targeting macOS Users
2023/07/01 TheHackerNews — 研究者たちが発見したのは、永続性を確立し、セキュリティ・ソフトウェアによる検出を回避する機能を備えた、RustBucket と呼ばれる macOS マルウェアの更新バージョンだ。Elastic Security Labs の研究者たちは、6月29日に公開されたレポートで、「macOS システムを標的とするマルウェア・ファミリーである RustBucket の亜種は、Command-and-Control (C2) のための動的ネットワーク・インフラ手法を活用し、これまで観測されていなかった永続化機能が追加されている」と説明している。
Continue reading “macOS ユーザーを狙う RustBucket マルウェア亜種：特異な永続性メカニズムを装備”Japan in the Crosshairs of Many State-Sponsored Threat Actors New Report Finds
2023/06/29 InfoSecurity — Rapid7 の最新レポートによると、日本は数多くのサイバー脅威にさらされ、スパイ活動や金銭的な動機によるキャンペーンなどの標的になっているという。Rapid7 は、2023年6月28日に発表したレポート ”Japan and Its Global Business Footprint: The Cyberthreat Landscape Report” で、典型的な国家的脅威の発生源である３カ国 (中国／北朝鮮／ロシア) から、この東アジアの国が標的にされていることを明らかにした。また、2022年上半期におけるランサムウェア攻撃の 32.5％が、製造業に対するものであることも判明した。これに対して、同期間中にヘルスケア業界から報告されたものは、わずか 7.9％だった。
Continue reading “日本の官民における脆弱なサイバー・セキュリティ：数多くの APT に狙われている – Rapid7”North Korea Makes 50% of Income from Cyber-Attacks: Report
2023/06/05 InfoSecurity — 北朝鮮の政権における外貨収入の約半分は、暗号通貨などを狙ったサイバー攻撃から得られていると、米国の外交官が主張している。核兵器／ミサイルの計画と歩調を合わせるように、2018年以降において、同国からのサイバー攻撃が急増していると、バイデン政権の高官が日本経済新聞に語っている。
Continue reading “北朝鮮とサイバー攻撃：外貨収入の 50% を暗号通貨ハイジャックなどから得ている”N. Korean Lazarus Group Targets Microsoft IIS Servers to Deploy Espionage Malware
2023/05/24 TheHackerNews — 悪名高い Lazarus Group は、狙いを定めたシステムにマルウェアを展開するイニシャル侵入経路として、脆弱な バージョンの Microsoft Internet Information Services (IIS) をターゲットにしている。今回の発見は、AhnLab Security Emergency response Center (ASEC) によるものであり、DLL サイドローディング技術を継続的に悪用する APT グループが、任意のペイロードを実行する方法について詳述している。
Continue reading “北朝鮮の Lazarus Group：Microsoft IIS を侵害してスパイウェアを配布している”N. Korean Kimsuky Hackers Using New Recon Tool ReconShark in Latest Cyberattacks
2023/05/05 TheHackerNews — Kimsuky という名の、北朝鮮の国家に支援される脅威アクターは、進行中のグローバル・キャンペーンの一環として、ReconShark という新たな偵察ツールを使用していることが判明した。 SentinelOne の研究者である Tom Hegel と Aleksandar Milenkoski は、「ReconShark は、スピアフィッシング・メールおよび、文書のダウンロードにつながる OneDrive リンク、そして、悪意のマクロの実行を介して、標的とする個人に対して配信されている」と述べている。
Continue reading “Kimsuky APT は北朝鮮由来：ReconShark という偵察ツールで標的を狙い続ける”North Korea-linked ScarCruft APT uses large LNK files in infection chains
2023/05/02 SecurityAffairs — 北朝鮮に関連する ScarCruft APT グループ (別名：APT37／Reaper／Group123) による、2022年以降の攻撃に関するレポートが、Check Point の研究者たちにより公開され。このレポートによると、観測された感染チェーンでは、マルウェアの配信手段が、悪意のドキュメントから、悪意のペイロードを埋め込んだ大容量の LNK ファイルに変わったとのことだ。
Continue reading “ScarCruft という北朝鮮の APT：感染チェーンに大容量 LNK ファイルを使用 – Check Point”Lazarus, ScarCruft North Korean APTs Shift Tactics, Thrive
2023/04/28 DarkReading — 北朝鮮の APT (Advanced Persistent Threats) は、新たなペイロードの開発における TTP (Tactics, Techniques, and Procedures) を変更することで、新たな分野や個人を偏りなく標的にすることへ向けて進化し、その個人が北朝鮮人であったとしても標的にし始めている。Kaspersky は、APT Trends Report Q1 2023 において、世界各地における APT 活動の進展を紹介している。たとえば、ロシアでは、動機に決定的な違いがあっても、脅威の主体が重なり合い、協力し合っている。また、イランでは、MuddyWater や OilRig といった既知のグループが新たなキャンペーンを実施し、マルウェアを修正している。特に前者は、エジプト／カナダ／マレーシアといった、遠方の国々へと広がっている。
Continue reading “北朝鮮の Lazarus／ScarCruft：戦術の拡大と標的のグローバル化 – Kaspersky 調査”North Korean Hackers Uncovered as Mastermind in 3CX Supply Chain Attack
2023/04/12 TheHackerNews — 企業向け通信サービス・プロバイダーである 3CX は、同社の Windows／macOS 向けデスクトップアプリを標的としたサプライチェーン攻撃が、北朝鮮に関連のある脅威アクターによるものだと発表した。この調査結果は、先月末に侵入が明るみに出た後に、Google 傘下の Mandiant が実施した中間評価の結果によるものだ。脅威情報およびインシデント対応チームは、UNC4736 という未分類の呼称で、この活動を追跡しているという。
Continue reading “3CX VoIP サプライチェーン攻撃：北朝鮮 Lazarus が脆弱性 CVE-2023-29059 を悪用”Norway Seizes Millions in North Korean Crypto
2023/02/20 InfoSecurity — 昨年にノルウェー当局は、北朝鮮の脅威アクターが盗み出した 60 million kroner ($5.9m) の暗号通貨を追跡／奪還し、この種の出来事としては過去最大の記録を打ち立てた。スカンジナビア諸国の対経済犯罪機関 (Økokrim) は、2022年3月の Ronin Network への襲撃以来、北朝鮮の脅威アクターたちによる大規模なマネーロンダリング指摘してきた。Økokrim の弁護士である Marianne Bender は、「Økokrim は、金銭の追跡が得意である。犯罪者が高度な手法を使ったとしても、ブロックチェーンには、金銭を追跡する高い能力があったことを、今回のケースが示している」と述べている。
Continue reading “ノルウェーの Økokrim が大活躍：北朝鮮の APT グループ Lazarus から $5.9M を奪還”Record $3.8bn Stolen Via Crypto in 2022
2023/02/02 InfoSecurity — 北朝鮮の国家に支援されたハッカーと、安全性が担保されない DeFi (Decentralized Finance) プロトコルにより、2022年は暗号通貨強盗の記録的な年になったと、Chainalysis がレポートしている。ブロックチェーン分析の同社は、発表を予定されている Annual Crypto Crime Report に先立ち、その数字を予告している。2022年には合計で $3.8bn 相当の暗号通貨が盗まれたが、そのうちの 82％ が DeFi プロトコルの弱点を狙ったものであり、2021年との比較で73% の増加となる。
Continue reading “2022年に盗まれた暗号通貨は総額で $3.8bn 相当：北朝鮮へは $1.7bn が流れた”FBI: North Korean hackers stole $100 million in Harmony crypto hack
2023/01/24 BleepingComputer — FBI の発表によると、2022年6月に Harmony Horizon から $100 million 相当の Ethereum が盗まれたが、その背後には、北朝鮮の国家的なハッキング・グループ Lazarus と APT38 が存在することが確認されたという。Harmony Horizon は Ethereum のクロス・チェーンブリッジであり、2022年6月に侵害を受け、MultiSigWallet の制御をハッカーが奪ったことで、大量のトークンが犯罪者のアドレスに転送された。
Continue reading “Ethereum $100M 相当が Harmony から消えた：北朝鮮の Lazarus と APT38 の犯行”BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection
2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。
Continue reading “BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避”North Korea-linked hackers stole $626 million in virtual assets in 2022
2022/12/22 SecurityAffairs — 韓国の諜報機関である国家情報院 (National Intelligence Service) は、これまでの５年間において、北朝鮮に関連する脅威アクターたちが盗み出した暗号通貨などの仮想資産が、1.5 trillion won ($1.2 billion) 相当になることを明らかにした。AP 通信の報道によると、今年だけで暗号資産の半分以上に相当する、800 billion won ($626 million) が盗まれたと、この諜報機関は述べているようだ。
Continue reading “北朝鮮の脅威アクターの稼ぎ高：５年間で $1.2B で 2022年だけで $626 M”Hackers Exploiting Dell Driver Vulnerability to Deploy Rootkit on Targeted Computers
2022/10/01 TheHackerNews — 北朝鮮が支援する Lazarus Group が、Dell のファームウェア・ドライバの脆弱性を悪用して、Windows のルートキットを展開していることが確認されている。それにより、国家に支援された脅威アクターが採用する、新たな戦術が浮き彫りになっている。2021年秋に発生した BYOVD (Bring Your Own Vulnerable Driver) 攻撃は、この脅威アクターが、航空宇宙／防衛産業に向けて行っているスパイ活動 Operation In(ter)ception の亜種となる。
Continue reading “Dell ドライバの脆弱性 CVE-2021-21551：北朝鮮のハッカー集団 Lazarus が悪用”Hackers trojanize PuTTY SSH client to backdoor media company
2022/09/15 BleepingComputer — 北朝鮮のハッカーが、PuTTY SSH クライアントのトロイの木馬版を使用し、偽の Amazon Job Assessment を仕掛ける手段として、ターゲットのデバイスにバックドアを展開している。 このキャンペーンにおける斬新な要素は、PuTTY／KiTTY SSH ユーティリティのトロイの木馬版を使用して、バックドア (このキャンペーンの場合は AIRDRY.V2) を展開している点にある。今日の Mandiant 技術レポートによると、このキャンペーンを展開した脅威アクターは UNC4034 (別名 Temp.Hermit または Labyrinth Chollima) だとのことだ。このグループの最新の活動は、2020年6月から続いている Operation Dream Job キャンペーンに続くものであり、今回はメディア企業を標的にしていると見られている。
Continue reading “PuTTY トロイの木馬版：Amazon の求人情報をルアーにしてバックドアを配布”US sanctioned crypto mixer Tornado Cash used by North Korea-linked APT
2022/08/09 SecurityAffairs — 米国財務省外国資産管理局 (OFAC : Treasury Department’s Office of Foreign Assets Control0) は、北朝鮮に関連する Lazarus APT Group が使用していた暗号ミキサー・サービス Tornado Cash を制裁した。暗号ミキサーとは、マネーロンダリングを利用するサイバー犯罪者にとって不可欠なコンポーネントであり、被害者から盗んだ暗号通貨を洗浄するために使用されていた。
Continue reading “米財務当局が暗号通貨ミキサー Tornado Cash を制裁：北朝鮮 APT との関連性も指摘”New Woody RAT used in attacks aimed at Russian entities
2022/08/04 SecurityAffairs — Malwarebytes の研究者たちは、Woody RAT と呼ばれる新たなリモート・アクセス型トロイの木馬で、ロシアの組織を標的とする未知の脅威アクターを観察した。攻撃者は、Follina Windows の欠陥 (CVE-2022-30190) を悪用するアーカイブ・ファイルや Microsoft Office ドキュメントを用いて、マルウェアを配信していた。
Continue reading “Woody RAT というリモートアクセス・トロイの木馬が登場：標的はロシアの組織”Five Key Signals From Russia’s REvil Ransomware Bust
2022/01/18 SecurityWeek — 突然にロシアの最高法執行機関が、ランサムウェア REvil を公開捜査したことで、大規模なランサムウェア攻撃を阻止する鍵は、外交が握っているのではないかと話題になっている。この囮捜査は、「米国の要請を受けて」という慎重な発表に続いて行われたが、その背景には、ロシアとウクライナの地政学的な対立がある。そして、すでに、データ消去などを目的とした、ウクライナ政府に対するマルウェア攻撃や標的型 Web サイトの改ざんに結びついている。
Continue reading “ロシア政府による REvil 破壊から読み取るべき５つのシグナルとは？”Cyber espionage campaign targets renewable energy companies
2022/01/17 BleepingComputer — 再生可能エネルギーや産業技術gy連の組織を主たる対象とした、大規模なサイバー・スパイ・キャンペーンが 2019年頃から活動を開始し、世界の 15以上の組織を標的にしていることが判明した。このキャンペーンを発見したのは、Curated Intelligenceトラスト・グループのセキュリティ研究者である William Thomas であり、DNS スキャンやパブリック・サンドボックス・サブミッションといった、OSINT (open-source intelligence) 技術を用いたとのことだ。
Continue reading “再生可能エネルギー産業を標的とする、大規模なサイバー・スパイ・キャンペーン”Russian Cyberspy Groups Start Exploiting Log4Shell Vulnerability
2021/12/17 SecurityWeek — 先日に公開された、Log4Shell の脆弱性を狙う国家のリストにロシアが追加されたが、すでに複数のロシアン・サイバースパイ・グループが悪用を試みている。この、CVE-2021-44228／Log4Shell／LogJam として追跡されている、Log4j の脆弱性の悪用は 12月初旬に始まっている。最初の攻撃報告では、暗号通貨マイナー／DDoS マルウェア／ランサムウェア／悪意のプログラムの配信などの、利益を追求するサイバー犯罪者に関連する活動が報告されていた。
Continue reading “ロシアのスパイグループが Log4Shell の悪用を開始：APT28／Turla／Ursnif などによる探索を検知”Nation-state hackers aim to exploit Log4j software flaw, Microsoft warns
2021/12/15 CyberScoop — 火曜日に、Microsoft の Threat Intelligence Team が発表したところによると、中国／北朝鮮／イラン／トルコの政府に関連するハッカーたちが、Apache Log4j の脆弱性を利用する方法を模索しているとのことだ。この脆弱性を利用して、米国の連邦政府機関を標的した例はないが、依然として攻撃を警戒していると、Cybersecurity and Infrastructure Security Agency (CISA) が述べている。
Continue reading “Microsoft 警告：国家に支援されたハッカーたちが Log4j 悪用を開始”Hackers Begin Exploiting Second Log4j Vulnerability as a Third Flaw Emerges
2021/12/15 TheHackerNews — 水曜日に、Web インフラ企業である Cloudflare は、幅広く利用されている Log4j ロギング・ユーティリティーの２つ目のバグを悪用しする脅威が存在することを明らかにした。パッチを適用していないシステムに対して、多様なマルウェアによる攻撃が続いているため、顧客は最新バージョンのインストールを迅速に行う必要がある。
Continue reading “Log4j の２つ目の脆弱性 CVE-2021-45046 が悪用されている：３つ目の脆弱性も浮上”South Korea’s Nuclear Research agency hacked using VPN flaw
2021/06/19 BleepingComputer — この５月に韓国原子力研究院 (KAERI : Korea Atomic Energy Research Institute) は、VPN の脆弱性を悪用する北朝鮮の脅威アクターにより、内部ネットワークがハッキングされたと明らかにした。韓国原子力研究所（KAERI）は、同国における原子力の研究と応用を目的とした、政府が出資する機関である。
Continue reading “韓国原子力研究院が VPN の欠陥を悪用した攻撃に遭っている”North Korean hackers use new Vyveva malware to attack freighters
2021/04/08 BleepingComputer — 北朝鮮の支援を受けたハッキング・グループ Lazarus が、Vyveva と名付けられたバックドア機能を持つ新しいマルウェアを、南アフリカの貨物物流会社を標的とする攻撃に使用している。
Continue reading “北朝鮮のハッカーが用いる Vyveva というマルウェアとは？”
IoT OT Security News 