Phishing – Page 3 – IoT OT Security News

Interactive PDF Analysis：脅威を検出するオープンソース・フォレンジック・ツール

Interactive PDF Analysis: An Open Source Forensic Tool for Threat Detection

2024/09/21 SecurityOnline — 今日のデジタル社会において、PDF ファイルは欠かせない存在であり、ビジネス文書からユーザー・マニュアルに至るまでの、あらゆる用途で使用されている。しかし、その他のフォーマットと同様に PDF も、悪意のペイロードの拡散に悪用される可能性があり、サイバー攻撃の標的となることが多い。そこで役立つのが、IPA (Interactive PDF Analysis) である。IPA は、セキュリティ・アナリストが PDF ファイルの隠れた構造を深く掘り下げ、潜在的な脅威を明らかにするために設計された、強力なオープンソース・ツールである。

Earth Baxia サイバー・スパイ：GeoServer の CVE-2024-36401 を武器にして APAC を狙う

Sophisticated Cyber Espionage: Earth Baxia Uses CVE-2024-36401 and Cobalt Strike to Infiltrate APAC

2024/09/19 SecurityOnline — サイバースパイ集団 Earth Baxia が、洗練されたスピアフィッシング攻撃と、GeoServer の脆弱性 CVE-2024-36401 の悪用を通じて、台湾の政府機関や APAC 諸国を標的にしていることが、最近の Trend Micro のレポートにより判明した。この攻撃は、通信／電力／政府などの主要セクターに侵入する、従来からの継続的な取り組みの一環だとされる。

HTTP Response Header を悪用するフィッシング・キャンペーン：危険性が高まる理由は何処に？

Beyond HTML: The Hidden Danger of Phishing in HTTP Response Headers

2024/09/12 SecurityOnline — Palo Alto Networks – Unit 42 の研究者たちは、あまり知られていない手法である、HTTP リフレッシュ・レスポンス・ヘッダーを通じて配信される、フィッシング・ページによる大規模なフィッシング・キャンペーンを発見しました。従来からの、悪意のHTML コンテンツに依存するフィッシング戦術とは異なり、この手法は、サーバから送信されたレスポンス・ヘッダーを使用して、HTML コンテンツが処理される前に、ユーザーを不正なサイトへとリダイレクトするものだ。2024年5月〜7月に、研究者たちが検出した悪意の URL は、１日あたり 2,000 件に達しており、この手法が広く使用されていることを示している。

レッドチーム演習ツール MacroPack：複数の脅威アクターがマルウェア展開に悪用

Red Teaming Tool Abused for Malware Deployment

2024/09/04 InfoSecurity — レッドチームの演習用ツールである MacroPack が、マルウェアの展開に悪用されていることが、Cisco Talos の調査により判明した。Cisco Talos の研究者たちが発見したのは、2024年5月〜7月に VirusTotal にアップロードされた、悪意の Microsoft 文書群である。それら全ては、MacroPack と呼ばれるペイロード・ジェネレータ・フレームワークにより生成されたものだった。これらの文書は、中国／パキスタン／ロシア／米国などの国々の脅威アクターからアップロードされていた。

Booking.com を狙うフィッシング：ホテルのアカウント侵害から個人アカウントの侵害へ

Travelers Targeted: Booking.com Phishing Scam Unveiled

2024/09/03 SecurityOnline — オンライン旅行予約プラットフォームの Booking.com を標的とする、巧妙なフィッシング・キャンペーンについて詳述されたレポートが、OSINTMATTER から公開された。この攻撃は、ホテル支配人のアカウントの侵害から始まり、Booking.com のアプリを通じてホテルの顧客をダイレクトに騙すという、多段階のアプローチで構成されている。

FakeBat マルウェア：Brave／KeePass／Notion／Steam／Zoom などを装い配布

Cybercriminals Exploit Popular Software Searches to Spread FakeBat Malware

2024/08/19 TheHackerNews — FakeBat マルウェア・ローダーを配布するための、不正な広告キャンペーンを介したマルウェア感染が急増している。Mandiant Managed Defense チームのテクニカル・レポートには、「これらの攻撃は、一般的なビジネス・ソフトウェアを求めるユーザーをターゲットにした、日和見的なものだ。具体的に言うと、トロイの木馬化された MSIX インストーラによりマルウェア感染が始まり、PowerShell スクリプトの実行による二次的なペイロードのダウンロードへといたる」と記されている。

Windows の深刻な脆弱性 CVE-2024-38063：GitHub 上の偽 PoC エクスプロイトに御用心

Beware of Fake PoC Exploits for 0-Click RCE CVE-2024-38063 on GitHub

2024/08/18 SecurityOnline — Windows システムに影響を及ぼす深刻な脆弱性 CVE-2024-38063 に対して、いくつかの偽の PoC エクスプロイト・コードが公開されていることを、セキュリティ研究者たちが発見している。それらの、GitHub に登場した詐欺エクスプロイトは、誤解を招くだけではなく、マルウェアを配布する手段として悪用されている。Windows 10／11／Server の脆弱性 CVE-2024-38063 は、Kunlun Lab の XiaoWei により発見されたものであり、深刻度は CVSS 値で 9.8 と評価されている。この脆弱性は、整数アンダーフローの欠陥に起因しており、それを悪用する攻撃者により、バッファ・オーバーフローが引き起こされ、任意のコード実行にいたる可能性を持つ。

Google 広告を狙うマルバタイジング：偽ページへとリダイレクトさせた後の仕掛けとは？

Google Products Exploited in Sophisticated Malvertising Scheme

2024/08/16 SecurityOnline — Google 検索を利用する人々をターゲットにする巧妙なマルバタイジング・キャンペーンを、Malwarebytes Labs のサイバー・セキュリティ研究者が発見した。詐欺師たちは悪質な検索広告を介して、被害者を偽の Google ホームページへとリダイレクトするが、そこでは、Google の全製品ラインナップが大胆に偽装されている。

Windows SmartScreen バイパスの脆弱性 CVE-2024-38213：３月の攻撃でゼロデイとして悪用

New Windows SmartScreen bypass exploited as zero-day since March

2024/08/13 BleepingComputer — 今日になって Microsoft が明らかにしたのは、SmartScreen 保護をバイパスするゼロデイとして攻撃者に悪用された、Mark of the Web セキュリティ・バイパスの脆弱性が、2024日6月の Patch Tuesday で修正されたことだ。Windows 8で導入されたセキュリティ機能 SmartScreen は、Mark of the Web (MotW) ラベルの付いたダウンロード・ファイルを開く際に、悪意の可能性のあるソフトウェアからユーザーを保護するものだ。

Chrome／Edge を狙うキャンペーン：エクステンションの弱点を突いて 30万台の DLL を侵害

Malware force-installs Chrome extensions on 300,000 browsers, patches DLLs

2024/08/09 BleepingComputer — 現時点において進行中の広範なマルウェア・キャンペーンにより、30万以上の Web ブラウザに悪意の Chrome／Edge エクステンションが強制インストールされ、ブラウザの実行ファイルが変更され、ホームページがハイジャックされ、閲覧履歴が盗まれるという被害が発生している。問題のインストーラーとエクステンションは、通常ウイルス対策ツールでは検出されないものであり、感染したデバイス上でのデータ窃取やりコマンド実行を試行するよう設計されているという。このキャンペーンを発見した ReasonLabs の研究者たちが警告するのは、初期感染を達成するために、その背後にいる脅威アクターが多様な不正広告テーマを採用している点である。

Microsoft 365 フィッシング対策のバイパス：HTML メールの CSS 操作でアラートを隠す

Microsoft 365 anti-phishing feature can be bypassed with CSS

2024/08/07 BleepingComputer — 研究者は、Microsoft 365 (旧 Office 365) のフィッシング対策を回避する方法が実証され、悪意のメールをユーザーが開封するリスクが高いことが判明した。具体的に言うと、”First Contact Safety Tip” という、見慣れないアドレスからのメッセージを受信した際に、Outlook のメール受信者に警告を出すフィッシング対策が隠されてしまうのだ。この欠陥を発見した Certitude のアナリストが、Microsoft に調査結果を報告したが、現時点では対処しないことが、同社により決定されている。

Google Authenticator の偽広告に御用心：マルウェアを拡散する悪質なキャンペーンが発覚

Fake Google Authenticator Ads Spread Malware Through Google Search

2024/07/30 SecurityOnline — Google を装う脅威アクターたちが、Google Authenticator の偽広告を通じてマルウェアを拡散するという悪質なキャンペーンを、Malwarebytes Labs のサイバー・セキュリティ研究者が発見した。

lr-utils-lib という悪意の PyPI パッケージ：macOS 開発者から Google Cloud の認証情報を窃取

Targeted PyPi Package Steals Google Cloud Credentials from macOS Devs

2024/07/27 DarkReading — macOS ユーザーの一部から Google Cloud Platform の認証情報を盗み出す、かなり奇妙な悪意の Python コードのパッケージを、研究者たちが発見した。Checkmarx の 7月26日のブログによると、このパッケージ “lr-utils-lib” は、6月初旬の時点で Python Package Index (PyPI) にアップロードされたものだが、セットアップ・ファイルに悪意のコードを隠し持っていた。そのコードは、macOS システム上で実行されていることをチェックし、続いて、システムの IOPlatformUUID をチェックする。この値は、特定の Mac コンピュータを識別するために使用されるものである。

Microsoft SmartScreen の脆弱性 CVE-2024-21412：マルウェア拡散に悪用されている

Hackers Exploit Microsoft Defender Smartscreen Bug CVE-2024-21412 To Deliver Acr, Lumma, And Meduza Stealers

2024/07/25 SecurityAffairs — 脆弱性 CVE-2024-21412 (CVSS：8.1) を悪用して、ACR Stealer／Lumma／Meduza などの情報スティーラーを拡散するマルウェア・キャンペーンが、Fortinet FortiGuard Labs の研究者たちにより発見された。悪用が観測された CVE-2024-21412 は、Microsoft Windows SmartScreen に存在する脆弱性であり、インターネット・ショートカット・ファイルのセキュリティ機能バイパスの欠陥だとされる。

GitHub 上の 3,000以上の偽アカウントで構成される DaaS：マルウェア配布で成功している

Over 3,000 GitHub accounts used by malware distribution service

2024/07/24 BleepingComputer — Stargazer Goblin として知られる脅威アクターが作成したのは、GitHub 上の 3,000以上の偽アカウントで構成される Distribution-as-a-Service (DaaS) であり、そこから情報スティーラー・マルウェアをプッシュしているという。このマルウェア配信サービスは Stargazers Ghost Network と呼ばれ、GitHub リポジトリと侵害済みの WordPress サイトを利用して、パスワード保護されたアーカイブを配布するが、その中にマルウェアが含まれている。ほとんどのケースにおいて、そこから配布されるマルウェアは、RedLine／Lumma Stealer／Rhadamanthys／RisePro／Atlantida Stealer などのインフォ・スティーラーである。

Microsoft SmartScreen の脆弱性 CVE-2024-21412：情報窃取マルウェアの展開に悪用されている

Cybercriminals Escalate Attacks Exploiting Microsoft SmartScreen Flaw (CVE-2024-21412)

2024/07/07 SecurityOnline — Microsoft Defender SmartScreen の脆弱性 CVE-2024-21412 を悪用するサイバー攻撃が急増していることが、Cyble Research and Intelligence Labs (CRIL) が公開したレポートにより明らかになった。この脆弱性に対しては、すでにパッチが適用されているが、以前にも DarkGate や Water Hydra などの脅威グループのキャンペーンで悪用されていた。しかし、現在では、Lumma や MeduzaStealer といった情報窃取マルウェアを展開する、サイバー犯罪者たちにより広く悪用されている。

Google Chrome の偽エラー・トリックに要注意：巧みな誘導で悪意の PowerShell を実行

Fake Google Chrome errors trick you into running malicious PowerShell scripts

2024/06/17 BleepingComputer — Google Chrome／Microsoft Word／OneDrive のエラーを装い、ユーザーを騙してマルウェアをインストールさせるために、PowerShell の悪質な “修正プログラム” を実行させるという、新たなマルウェア配布キャンペーンが発生している。この新しいキャンペーンは、ClearFake や ClickFix と呼ばれる新しい攻撃クラスターを操る、複数の脅威アクターにより使用されていることが確認されている。また、大量のメールを送信してマルウェアやランサムウェアの感染を引き起こす、スパム配信者 TA571 にも使用されているようだ。

Windows の検索プロトコルを悪用するフィッシング：ローカルとリモートの認識を混乱させる

Phishing emails abuse Windows search protocol to push malicious scripts

2024/06/12 BleepingComputer — 新たに発見されたフィッシング・キャンペーンで用いられるのは、Windows 検索プロトコル (search-ms URI) を悪用する HTML 添付ファイルである。そこから、リモート・サーバにホストされているバッチ・ファイルがプッシュされ、最終的にはマルウェアの配信にいたるという。Windows Search プロトコルは URI (Uniform Resource Identifier) であり、アプリケーションが Windows エクスプローラを開き、特定のパラメータを介した検索を可能にするものだ。

Microsoft VSCode 調査：数百万回もインストールされた悪意のエクステンションを発見！

Malicious VSCode extensions with millions of installs discovered

2024/06/09 BleepingComputer — Visual Studio Code マーケットプレイスの、セキュリティを調査していたイスラエルの研究者グループが、人気の公式テーマである “Dracula Official” のコピーに、実験として悪意のコードを取り込んだトロイの木馬により、100以上の組織を擬似的に感染させることに成功した。さらに、彼らが VSCode マーケットプレイスを調査したところ、数千もの悪意のエクステンションが、数百万もインストールされていることが判明した。

PyPI に新たな悪意のパッケージ：Crytic-Compiler を装い Lumma スティーラーを配布

Hackers Target Python Developers with Fake “Crytic-Compilers” Package on PyPI

2024/06/06 TheHackerNews — Lumma (別名：ummaC2) 情報スティーラーを配信するように設計された悪意の Python パッケージが、Python Package Index (PyPI) リポジトリにアップロードされたことを、サイバー・セキュリティ研究者たちが発見した。このパッケージは、crytic-compile という正規ライブラリのタイポスクワット版であり、PyPI のメンテナにより削除されるまでに、441回もダウンロードされている。

Microsoft India の X アカウント乗っ取り：暗号通貨詐欺に悪用される

Microsoft India’s X account hijacked in Roaring Kitty crypto scam

2024/06/03 BleepingComputer — 211,000 以上のフォロワーを持つ Microsoft India の X 公式アカウントが、暗号通貨詐欺グループに乗っ取られた。ハンドルネーム “Roaring Kitty” が装われたが、それは、悪名高いミーム株トレーダーである Keith Gill が使っていたものだ。Microsoft India の X アカウントは、同プラットフォームで公式に認証された組織としてゴールド・バッジを取得しているため、乗っ取り犯の投稿に信憑性が与えられてしまっている。この脅威アクターは、Gill の最近の復活に乗じて、潜在的な被害者を誘い出し、暗号通貨ウォレット流出マルウェアに感染させている。

Google Play の悪意の Android アプリ 90種類：550 万以上もインストールされる

Over 90 malicious Android apps with 5.5M installs found on Google Play

2024/05/28 BleepingComputer — 90種類以上の悪意の Android アプリが、Google Play から 55,000,000 回以上もインストールされ、マルウェアやアドウェアを配信していることが判明した。バンキング型トロイの木馬 Anatsa (別名：Teabot) は、ヨーロッパ／米国／英国／アジアなどの金融機関の、650 種類以上のアプリケーションを標的としている。このトロイの木馬は、人々のｅバンキングの認証情報を盗み出し、不正な取引を実行しようとするものだ。

Cloud と SMS でフィッシング：AWS／Google／IBM などのクラウド・ストレージの悪用

Cybercriminals Exploit Cloud Storage For SMS Phishing Scams

2024/05/23 InfoSecurity — Amazon S3／Google Cloud Storage／Backblaze B2／IBM Cloud Object Storage などの、クラウド・ストレージ・サービスを悪用する一連の犯罪キャンペーンを、セキュリティ研究者たちが明らかにした。このキャンペーンは、無名の脅威アクターにより実施されるものであり、ユーザーを悪意の Web サイトへとリダイレクトし、SMS メッセージを用いて情報を盗み出すことを目的としている。

GitHub とマルウェア群：共通のインフラから AMOS／Vidar／Lumma／Octo などで侵害

Threat Actors Abuse GitHub to Distribute Multiple Information Stealers

2024/05/15 SecurityWeek — 5月13日 (火) に脅威インテリジェンス企業 Recorded Future は、正規の GitHub プロフィールを悪用して情報窃取マルウェアを配布する、悪質なキャンペーンに対して警鐘を鳴らした。このキャンペーンの一環として、Commonwealth of Independent States (CIS) で活動するロシア語圏の脅威アクターたちが、1Password／Bartender 5／Pixelmator Proなどの正規アプリケーションを装いながら、Atomic macOS Stealer (AMOS)／Vidar／Lumma／Octo などのマルウェアを配布している。

Black Basta の戦術：ソーシャル・エンジニアリングで Windows Quick Assist を侵害

Windows Quick Assist abused in Black Basta ransomware attacks

2024/05/15 BleepingComputer — 金銭的な動機に基づくサイバー犯罪者たちが、ソーシャル・エンジニアリング攻撃で Windows Quick Assist 機能を悪用し、被害者のネットワーク上に Black Basta ランサムウェアのペイロードを展開している。Microsoft は、遅くとも 2024年4月中旬から、このキャンペーンを調査している。同社の観察によると、脅威グループ (Storm-1811) は、さまざまな電子メール配信サービスにアドレスを登録した後に、標的に対する大量の電子メール配信を行うことで攻撃を開始する。

Mobile Banking マルウェアが 32% の急増：サイバー犯罪者にとって金銭は魅力的 – Kaspersky

Mobile Banking Malware Surges 32%

2023/05/09 InfoSecurity — Kaspersky 最新年次レポート “Financial Threats Report for 2023” のデータによると、世界のモバイル・バンキング向けマルウェアは、2022年と比べて 32% も増加している。この、5月6日に発表されたレポートが指摘するのは、Android ユーザーを狙う攻撃が急増し、アフガニスタン／トルクメニスタン／タジキスタンでは、バンキング型トロイの木馬に遭遇する割合が最も高くなっている点だ。特筆すべきは、モバイル・バンキングを狙うマルウェア攻撃ではトルコがトップであり、約３％のユーザーが感染しているという。

Docker Hub ユーザーを標的にした３つのキャンペーン：2021年から展開されていたことが判明

Millions of Docker repos found pushing malware, phishing sites

2024/04/30 BleepingComputer — Docker Hub ユーザーを標的として、2021年初めから展開されている３つの大規模なキャンペーンにより、マルウェアやフィッシング・サイトをプッシュする、数百万のリポジトリが設置されていたことが判明した。Docker Hub がホストする 1,500 万件のリポジトリのうちの約 20%に、スパムからマルウェアやフィッシング・サイトなどにいたる、悪意のコンテンツが含まれていたことが、JFrog のセキュリティ研究者たちにより発見された。

サイバー保険請求の 56％はＥメールの受信トレイから発生している – Coalition 調査

56% of cyber insurance claims originate in the email inbox

2024/04/24 HelpNetSecurity — サイバー保険会社である Coalition は、2023年1月1日〜12月31日に報告された保険金支払いデータに基づき、新たなレポート ”2024 Cyber Claims Report” を公開した。Coalition の Head of Global Claims である Robert Jones は、「金銭的な利得を求める攻撃者は、Ｅメールの受信トレイで支払情報を見つけ出し、支払プロセスに潜在的に介入して資金を盗む。つまり、受信トレイは、犯行が容易な場所であることが証明されている」と述べている。

GitLab にも GitHub スタイルのコメント悪用の問題：マルウェアのホスティングが容易になる

GitLab affected by GitHub-style CDN flaw allowing malware hosting

2024/04/22 BleepingComputer — 先日に BleepingComputer は、GitHub の欠陥 (あるいは設計上の仕様) を悪用する脅威アクターが、Microsoft のリポジトリに関連付けられた URL を介して、信頼できるファイルを装いながら、マルウェアを配布していることを報告した。この問題は、GitLab に対しても影響を及ぼすものであり、同様の方法で悪用される可能性が生じることが判明した。このマルウェアに関連する活動の大半は、Microsoft GitHub の URL に基づくものだった。しかしこの “欠陥” は、GitHub や GitLab の、あらゆる公開リポジトリで悪用が可能であり、きわめて説得力のあるルアーを、脅威アクターたちは作成できるという。

GitHub のコメント機能を悪用：Microsoft のリポジトリ URL 経由でマルウェア配布

GitHub comments abused to push malware via Microsoft repo URLs

2024/04/20 BleepingComputer — GitHub のバグ (あるいは設計上の仕様) を悪用する脅威アクターたちが、Microsoft のリポジトリに関連する URL を使って信頼できるファイルを装い、マルウェアを配布している。先日に発見されたマルウェアの多くは、Microsoft GitHub の URL を中心に活動していた。さらに、この “欠陥” の悪用は、GitHub 上のあらゆる公開リポジトリで応用できるため、きわめて説得力のあるルアーを、脅威アクターたちが作成するという可能性が生じている。

QR コードを悪用するフィッシング：2021／2024 比較で 10倍以上に増加 – Egress

Quishing Attacks Jump Tenfold, Attachment Payloads Halve

2024/04/18 InfoSecurity — QR コードを悪用するフィッシングの一種である、クイッシング (Quishing) 攻撃が大幅に増加しており、2021年には僅か 0.8% であったものが、2024年には 10.8% にまで増加している。この数字は Egress の最新レポートによるものである。その一方では、添付ファイルベースのペイロードの減少も顕著であり、同期間中に 72.7% から 35.7% へと半減している。

CryptoChameleon フィッシング・キット：LastPass を装うキャンペーンを展開

Cybercriminals pose as LastPass staff to hack password vaults

2024/04/18 BleepingComputer — 暗号通貨窃盗をサポートする CryptoChameleon フィッシング・キットによりユーザーを狙うという、悪質なキャンペーンが展開されていると、LastPass が警告している。CryptoChameleon は、2024年の初めに発見された高度なフィッシング・キットであり、カスタムメイドの Okta Single Sign-On (SSO) ページを用いて、連邦通信委員会 (FCC：Federal Communications Commission) の職員をターゲットにしていた。

LastPass の CEO になりすました音声フィシング：従業員の機転により被害には至らず

LastPass: Hackers targeted employee in failed deepfake CEO call

2024/04/11 BleepingComputer — 今週に LastPass が明らかにしたのは、ディープフェイク音声を使って同社の CEO Karim Toubba になりすますという、音声フィッシング攻撃を受けたことだ。しかし、McAfee による最近のグローバル調査によると、25％の人々が AI 音声を用いるなりすまし詐欺の被害にあった、もしくは、知り合いが被害にあったと回答している。ただし、その LastPass の従業員は、攻撃者が WhatsApp を使用していたことを、つまり、きわめて珍しいビジネス・チャネルを使っていたことを不審に思い、被害には至らなかったとのことだ。

偽の Adobe Acrobat Reader に注意：PDF から Byakugan マルウェアにつなげる攻撃とは？

From PDFs to Payload: Bogus Adobe Acrobat Reader Installers Distribute Byakugan Malware

2024/04/05 TheHackerNews —Adobe Acrobat Reader 用を装う偽インストーラーが、Byakuganという新たな多機能マルウェアの配布に使用されている。この攻撃の起点となるのは、ポルトガル語で書かれた PDF ファイルであり、それを開くと不鮮明な画像が表示され、コンテンツを閲覧するためには必要だと欺き、Reader アプリケーションをダウンロードするためのリンクを、クリックするよう被害者に要求するという。

Gmail におけるスパム／フィッシング対策の強化：メール送信事業者は注意が必要

Google now blocks spoofed emails for better phishing protection

2024/04/01 BleepingComputer — Google が開始したメールの自動的なブロックとは、スパム／フィッシング攻撃に対する防御を、新しいガイドラインの要求に応じて強化するものである。それにより、大量送信者により送信される欺瞞的なメッセージは、フルイにかけられることになる。現時点において Google は、Gmail アカウントに対して 5,000通を超えるメッセージを送信するドメインに対して、SPF/DKIM と DMARC メール認証を設定するよう求めている。この制限は、2023年10月に発表されたものである。

GitHub のサプライチェーン攻撃：Top.gg アカウントを悪用してマルウェアを展開

GitHub Developers Hit in Complex Supply Chain Cyberattack

2024/03/25 DarkReading — 正体不明の脅威グループが、Top.gg の GitHub のメンバーや開発者たちに対して高度なサプライチェーン攻撃を展開し、このコード・エコシステムに悪意のコードを注入していることが明らかになった。攻撃者は、信頼されているソフトウェア開発要素に侵入することで、開発者たちを侵害していく。彼らは、盗んだクッキーで GitHub アカウントを乗っ取り、検証済みのコミットを通じて悪意のコードを投稿し、偽の Python ミラーを確立し、PyPI レジストリに汚染されたパッケージを公開する。

ロシアのハッカー Midnight Blizzard：パスワード・スプレー攻撃で Microsoft を侵害

Key Lesson from Microsoft’s Password Spray Hack: Secure Every Account

2024/03/25 TheHackerNews — 2024年1月に Microsoft は、ロシアのハッカー Midnight Blizzard (別名：Nobelium) によるハッキング被害を受けていたことを発表した。この件で特筆すべきは、Microsoft への侵入が、いかに容易であったかということだ。ハッカーたちは、ゼロデイ脆弱性を悪用した高度な技術的ハッキングではなく、単純なパスワード・スプレーという手法を使って、同社の古い非アクティブなアカウントの制御に成功した。このインシデントは、パスワード・セキュリティの重要性と、組織が全てのユーザー・アカウントを保護すべき理由を、思い知らせる結果となった。

Tycoon 2FA という PhaaS の台頭：Microsoft 365／Gmail アカウントの MFA バイパスで収益

New MFA-bypassing phishing kit targets Microsoft 365, Gmail accounts

2024/03/24 BleepingComputer — Microsoft 365 および Gmail のアカウントを標的とし、二要素認証 (2FA) 保護をバイパスするために、Tycoon 2FA という PhaaS プラットフォームを使用する、サイバー犯罪者が増加している。2023年10月に実施された Sekoia の定期的な脅威ハンティングの最中に、Tycoon 2FA は発見されている。遅くとも 2023年8月には、Saad Tycoon グループがプライベートな Telegram チャンネルを通じて提供したようだ。

800 以上の NPM パッケージで不一致を検出：そのうちの 18件は Manifest Confusion を悪用

Over 800 npm Packages Found with Discrepancies, 18 Exploitable to ‘Manifest Confusion’

2024/03/21 TheHackerNews — npm レジストリに存在する、800 以上のパッケージのレジストリ・エントリに不一致であることが、サイバーセキュリティ企業 JFrog の新たな調査により判明した。不一致があったエントリのうちの 18 件は、 “Manifest Confusion” と呼ばれる手法を悪用していたという。JFrog によると、開発者を騙して悪意のコードを実行させるために、この問題が脅威アクターに悪用される可能性があるという。

X (Twitter) 上で横行する悪意のリダイレクト：プレビューを信用すると騙される？

Here’s why Twitter sends you to a different site than what you clicked

2024/03/20 BleepingComputer — ソーシャルメディア・プラットフォーム X (旧 Twitter) のユーザーが困惑するのは、外部リンクの取り込んだポストをクリックしても、そこに表示されるものとは全く異なる、予想外の Web サイトに到達するときである。この記事で紹介する Twitter 広告は、あるセキュリティ研究者が発見したものであり、リンク先として forbes.com が表示されているが、実際に誘導されるのは暗号詐欺を宣伝するとされる、Telegram のアカウントである。

Microsoft の警告：ロシアン・ハッカーの侵入によりソースコードが盗まれた

Microsoft Says Russian Gov Hackers Stole Source Code After Spying on Executive Emails

2024/03/08 SecurityWeek — Microsoft の発表によると、同社の企業ネットワークに侵入して上級幹部に対するスパイ活動を展開した、ロシア政府に支援されたハッキング・チームは、ソースコードも盗んでいたという。さらに、現在も同社内のコンピューター・システムに、粘着している可能性があるという。Microsoft は、「現在進行中の攻撃として、あるハッキング・グループが当社の企業電子メール・システムから流出した情報を使って、不正アクセスを獲得している可能性もしくは、獲得しようと施行している可能性の証拠を掴んだ」と述べている。

E メール攻撃の現状：Secure Email Gateways を毎分１通のペースで迂回

100% Surge In Malicious Emails Bypassing Secure Email Gateways

2024/03/08 GBHackers — SEG (Secure Email Gateways) の回避に成功する悪意のメールの頻度は、過去１年間で倍増している。この急増が浮き彫りにするのは、サイバー脅威の高度化と、組織が直面するデジタル資産の保護という課題である。Cofense の分析によると、SEG を迂回する悪質な電子メールは毎分１通に達し、企業の防御に対する執拗な攻撃が示唆されている。

IBM 2023 調査：企業における最大の脅威は、依然として基礎的なセキュリティ対策

The old, not the new: Basic security issues still biggest threat to enterprises

2024/02/23 HelpNetSecurity — IBM の 2024 X-Force Index によると、2023年に増加したのは、サイバー犯罪者が不正ログインを行い、有効なアカウントを通じて企業ネットワークに侵入するインデントであるという。

Twilio SendGrid を悪用した新たなフィッシング・キャンペーン：中小企業が主な標的

SMBs at Risk From SendGrid-Focused Phishing Tactics

2024/02/22 InfoSecurity — 主に中小企業 (SMB：Small and Medium Business) を標的とした新しいフィッシング・キャンペーンが、Kaspersky のサイバーセキュリティ専門家たちにより発見された。このキャンペーンで用いられている攻撃方法は、ESP (Email Service Provider) の Twilio SendGrid を悪用して顧客のメーリング・リストにアクセスし、そこで盗んだ認証情報を利用して巧妙なフィッシング・メールを送信するというものである。これらのメールは、まるで本物であるかのように作られており、悪意を疑わない受信者に甚大な損害を与える可能性がある。

PyPI に “NP6” を冠した悪意のパッケージ：DLL サイド・ローディングで攻めてくる

New Malicious PyPI Packages Caught Using Covert Side-Loading Tactics

2024/02/20 TheHackerNews — Python Package Index (PyPI) リポジトリに、２つの悪意のパッケージが存在することが、サイバーセキュリティ研究者たちにより発見／確認された。それらの悪意のパッケージは、DLL サイド・ローディングと呼ばれるテクニックを用いて、セキュリティ・ソフトウェアによる検出を回避し、悪意のコードを実行するものだ。それらのパッケージは NP6HelperHttptest と NP6HelperHttper と名付けられ、削除されるまでに、それぞれが 537回／166回ダウンロードされている。

Anatsa という Android トロイの木馬：Google Play のセキュリティを回避していた

Anatsa Android Trojan Bypasses Google Play Security, Expands Reach to New Countries

2024/02/19 TheHackerNews — 新たなキャンペーンとして 2023年11月に観測された、Anatsa と呼ばれる Android バンキング型トロイの木馬は、スロバキア／スロベニア／チェコへと活動の範囲を拡大している。ThreatFabric は、「このキャンペーンにおけるドロッパーの一部は、Google Play の強化された検出／保護メカニズムを回避して、Accessibility Service の悪用に成功している」と、The Hacker News と共有したレポートの中で述べている。

PDF マルウェアの急増：WikiLoader／Ursnif／DarkGate などが配信される – HP

PDF Malware on the Rise, Used to Spread WikiLoader, Ursnif and DarkGate

2024/02/16 InfoSecurity — PDF を通じてWikiLoader／Ursnif／DarkGate などのマルウェアを拡散するサイバー犯罪者たちが検出され、新たな脅威が増加していることが、HP Wolf Security の最新レポートで明らかになった。同社の分析によると、2023年 Q4 と 2013年 Q1 の比較において、PDF の脅威が７％ほど増加している。これまでの PDF は、被害者から認証情報や財務情報を引き出すフィッシングで使用されてきたが、いまはマルウェアの拡散が増大している状況にある。

フィッシング攻撃調査 – 2023 Q4：メール・セキュリティを回避する QR コード攻撃が急増

QR Code ‘Quishing’ Attacks on Execs Surge, Evading Email Security

2024/02/09 DarkReading — QR コードを悪用するＥメール攻撃が、2023年 Q4 に急増している。そして、攻撃者たちが特に標的としていたのは、企業の重役や管理職などであることが判明した。QR コードを使ったフィッシング・メールは、”キッシング：Quishing” とも呼ばれており、スパム・フィルターを通過する可能性が高い。そのため、Microsoft 365 や DocuSign のユーザーを狙う悪意のメールが、受信トレイまで到達してしまうのだと、クラウド・メール・セキュリティ企業 Abnormal Security が、2月6日に発表したレポートで述べている。

偽 LastPass が Apple App Store に登場：”LassPass” という悪意のアプリに要注意

Fake LastPass password manager spotted on Apple’s App Store

2024/02/08 BleepingComputer — LastPass が警告するのは、Apple App Store で同社のアプリの偽コピーが配布されており、ユーザーの認証情報を盗むためのフィッシング・アプリとして使用されている可能性が高いというものだ。この偽アプリは、本物アプリと似た名前／似たアイコン／赤を基調としたインターフェイスを使用し、LastPass ふうのデザインで欺く。しかし、この偽アプリの名前は “LastPass” ではなく “LassPass” であり、発行者は Parvati Patel となっている。

MaaS 感染が最大の脅威：2023年下半期のサイバー攻撃 – Darktrace 調査

Malware-as-a-Service Now the Top Threat to Organizations

2024/02/06 InfoSecurity — Darktrace の最新の研究によると、2023年下半期に、組織にとっての最大の脅威となったのは、MaaS (Malware-as-a-Service) 感染だったという。Darktrace の 2023 年の “End of Year Threat Report” では、多くのマルウェアが機能横断的に適応していることが強調されている。そこに含まれるものには、リモート・アクセス型トロイの木馬 (RAT：Remote Access Trojans) のようなマルウェア・ローダーと、情報窃取型マルウェアとの組み合わせも存在する。