PHP – IoT OT Security News

phpMyAdmin／MySQL／FTP／Postgres が標的：GoBruteforcer というマルウエアが登場

New GoBruteforcer malware targets phpMyAdmin, MySQL, FTP, Postgres

2023/03/10 BleepingComputer — 新たに発見された Golang ベースのボットネット・マルウェアは、phpMyAdmin／MySQL／FTP／Postgres サービスを実行している Web サーバをスキャンして感染させる。このマルウェアは、Palo Alto Networks Unit 42 の研究者たちに発見され GoBruteforcer と名付けられたが、x86／x64／ARM アーキテクチャに対応しているという。GoBruteforcer は、脆弱な *nix デバイスをハッキングするために、脆弱なパスワードまたは、デフォルトのパスワードを持つアカウントに対してブルートフォースを仕掛ける。

PyPI に悪意の Python パッケージ：すでに 450回もダウンロードされている

Researchers Uncover Obfuscated Malicious Code in PyPI Python Packages

2023/02/10 TheHackerNews — Python Package Index (PyPI) に侵入した４種類の悪意のパッケージが、マルウェア投下／netstat ユーティリティ削除／SSH authorized_keys ファイルの操作などの、数々の悪質なアクションを実行することが確認されている。問題のパッケージの名称は、aptx／bingchilling2／httops／tkint3rs であり、いずれも削除までの間に、450回ほどダウンロードされている。なお、aptx は Qualcomm の同名オーディオ・コーデックを模倣したものであり、httops と tkint3rs は、それぞれ https と tkinter のタイポスクワッティングである。

GoTrim ボットネットのブルートフォース攻撃：WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開／クレジットカード窃取スクリプトの注入／フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Magento と TrojanOrders 攻撃：脆弱性 CVE-2022-24086 未パッチ・サイトが標的

Magento stores targeted in massive surge of TrojanOrders attacks

2022/11/16 BleepingComputer — Magento 2 を用いる Web サイトを標的とした、TrojanOrders 攻撃が急増している。脆弱性を悪用して脆弱なサーバを侵害する、少なくとも７つのハッキング・グループが背後にいるとされている。Web サイト・セキュリティ会社である Sansec は、Magento 2 Web サイトの約 40％が、この攻撃の標的になっていると述べている。さらに、感染させたサイトの制御をめぐって、ハッキング・グループが互いに争っていると警告している。

Google 検索と悪意の SEO：汚染されたサイト 15,000 件の大半は WordPress

15,000 sites hacked for massive Google SEO poisoning campaign

2022/11/09 BleepingComputer — 約 15,000件の Web サイトを侵害し、訪問者を偽の Q&A ディスカッション・フォーラムにリダイレクトするという、大規模なブラック・ハット SEO (Search Engine Optimization) キャンペーンが行われている。この攻撃は、Sucuri により発見された。Sucuri によると、侵害された各 Web サイトには、検索エンジン・スパム・キャンペーンの一部として使用される、約20,000 のファイルが含まれており、その大半のサイトがWordPressで構成されているとのことだ。

Juniper Junos OS の深刻な脆弱性が FIX：ファイアウォール／ルーター／スイッチで RCE

High-Severity Flaws in Juniper Junos OS Affect Enterprise Networking Devices

2022/10/28 TheHackerNews — Juniper Networks のデバイスに影響を及ぼす、複数の深刻なセキュリティ欠陥が公開されたが、そのうちのいくつかは、悪用に成功した攻撃者にコードを実行される可能性があるという。Octagon Networks の研究者である Paulos Yibelo によると、このうち最も深刻なものは、Junos OS の J-Web コンポーネントに存在する、リモートでの事前認証を介した PHP アーカイブ・ファイルのデシリアライズの脆弱性 CVE-2022-22241 (CVSS 値： 8.1) であるという。

Ducktail の PHP バージョン：Facebook ビジネス・アカウントの窃取を狙っている

New PHP Version of Ducktail Malware Hijacking Facebook Business Accounts

2022/10/14 TheHackerNews — Zscaler の最新の調査結果によると、Ducktail と呼ばれる情報窃取マルウェアの PHP バージョンが、クラックされた正規のアプリやゲーム用のインストーラーの形で、野放し状態で配布されていることが発覚した。Zscaler ThreatLabz の研究者である Tarun Dewan と Stuti Chaturvedi は、「旧バージョン (.NetCore) と同様に、最新バージョン (PHP) も、保存したブラウザ認証情報／Facebook アカウント情報などの、機密情報の流出を目的としている」と述べている。

PHP Packagist の深刻な脆弱性 CVE-2022-24828：サプライチェーン攻撃にいたる恐れ

Critical Packagist Vulnerability Opened Door for PHP Supply Chain Attack

2022/10/04 SecurityWeek — 10月4日に、コード・セキュリティ企業の SonarSource は、Packagist に影響を及ぼす深刻な脆弱性の詳細を発表した。この脆弱性の悪用に成功した脅威アクターにより、PHP コミュニティを標的としたサプライチェーン攻撃が行われる可能性があるという。Packagist とは、PHP 管理ツールである Composer のデフォルト・リポジトリであり、インストール可能な PHP パッケージが集約されている場所だ。Composer は、毎月のように 20億以上のパッケージをダウンロードするために使用されている。

WordPress Plugin の脆弱性：160万のサイトをスキャンするキャンペーンが見つかった

Attackers scan 1.6 million WordPress sites for vulnerable plugin

2022/07/15 BleepingComputer — セキュリティ研究者たちは、160万近い WordPress サイトをスキャンし、認証なしでファイルをアップロードする脆弱なプラグインの存在を探し出そうとする、大規模なキャンペーンを検出した。この攻撃者は、Kaswara Modern WPBakery Page Builderをターゲットにしているが、真の狙いは深刻な脆弱性 CVE-2021-24284 に対するパッチを受ける前に、作者により放棄されたサイトへの攻撃にある。

PayPal を装う新たなフィッシング・キット：狡猾な手口で個人情報を抜き取る

PayPal phishing kit added to hacked WordPress sites for full ID theft

2022/07/14 BleepingComputer — PayPal ユーザーを標的とした新たなフィッシング・キットにより、政府発行の身分証明書や写真などの、大量の個人情報を盗み出そうとするアクティビティが発見された。現時点において、４億人以上の個人および企業が、オンライン決済ソリューションとして PayPal を使用している。このキットは、ハッキングした正規の WordPress Web サイトをホストとしているため、ある程度は検出を回避することが可能である。

PHP の深刻な脆弱性 CVE-2019-11043 ：QNAP NAS デバイスにリモートコード実行の危険性

QNAP warns of a critical PHP flaw that could lead to remote code execution

2022/06/22 SecurityAffairs — 台湾のベンダーである QNAP は、QNAP NAS デバイスに影響をおよぼす、PHP の深刻なリモート・コード実行の脆弱性 CVE-2019-11043 (CVSS：9.8) に対処している。この脆弱性の存在により、PHP FastCGI Process Manager (FPM) の特定のコンフィグレーションにおいて、FCGI プロトコルのデータ用に確保されたメモリ領域に関連するバッファ・オーバーフローが発生し、リモートからコードが実行される可能性が生じる。

富士通のクラウド・ストレージに仮想バックアップ破壊の脆弱性：アップデートを急げ！

Separate Fujitsu cloud storage vulnerabilities could enable attackers to destroy virtual backups

2022/06/10 DailySwig — 富士通のクラウド・ストレージ・システムの Web インターフェースに、２つの脆弱性が存在することが確認された。この脆弱性の悪用に成功した、認証されていない攻撃者により、バックアップされたファイルの読取／書込／破壊が生じる可能性があることが判明した。これらの脆弱性は、エンタープライズ・グレードの Fujitsu Eternus CS8000 (Control Center) V8.1 に存在している。

WordPress にサプライチェーン攻撃の可能性：93 のテーマ／プラグインにバックドア

Over 90 WordPress themes, plugins backdoored in supply chain attack

2022/01/21 BleepingComputer — 大規模なサプライ・チェーン攻撃により、WordPress の 93個のテーマとプラグインが侵害され、バックドアが含まれていたことで、脅威アクターは Web サイトへのフルアクセスを手に入れている。この攻撃では、36万件以上の Web サイトで使用されている WordPress に対して、アドオンを開発している AccessPress のテーマ 40個とプラグイン 53個が侵害されている。

CentOS Web Panel の深刻な脆弱性 CVE-2021-45467 がFIX：RCE の可能性

Critical Bugs in Control Web Panel Expose Linux Servers to RCE Attacks

2022/01/21 TheHackerNews — Control Web Panel に存在する、２つの深刻なセキュリティ上の脆弱性が公開された。これらの脆弱性は、侵害の連鎖の一部として悪用され、影響が生じたサーバー上で認証前のリモートコード実行を許す可能性がある。この問題は、CVE-2021-45467 として追跡されており、Web アプリケーションが Web サーバー上の任意のファイルを、公開または実行するように仕向けられることで発生する、ファイル・インクルージョンの脆弱性に関するものだ。

Azure App Service の深刻な問題：４年間にわたり PHP／Ruby／Python／Node のソースが漏洩

4-Year-Old Bug in Azure App Service Exposed Hundreds of Source Code Repositories

202/12/22 TheHackerNews — Microsoft の Azure App Service におけるセキュリティ上の欠陥により、2017年9月から少なくとも４年間に渡り、Java／Node／PHP／Python／Ruby で書かれた、顧客アプリケーションのソースコードが公開されていたことが明らかになった。

Prometheus TDS という MaaS (Malware-as-a-Service) とトラフィック操作攻撃

A Wide Range of Cyber Attacks Leveraging Prometheus TDS Malware Service

2021/08/05 TheHackerNews — 複数のサイバー犯罪グループが、MaaS (Malware-as-a-Service) ソリューションを活用して、Campo Loader / Hancitor / IcedID / QBot / Buer Loader / SocGholish などのペイロードを展開する悪意のソフトウェア配布キャンペーンを、ベルギーの個人や米国の政府機関／企業／法人に対して実施している。この Prometheus というサービスは、2020年8月からアンダーグラウンドなプラットフォームで月額250ドルで販売されている。マルウェアが混入された Word や Excel のドキュメントを配布することで、ユーザーをフィッシング・サイトや悪意のサイトに誘導することを目的とした、TDS (Traffic Direction System) であることが、The Hacker News に共有された Group-IB の報告書で明らかになった。

Magecart ハッカーたちは盗んだクレカ情報をイメージファイルに隠し持つ

Magecart Hackers Hide Stolen Credit Card Data Into Images for Evasive Exfiltration

2021/07/09 TheHackerNews — Magecart グループに属するサイバー犯罪者たちは、コメント・ブロック内に難読化されたマルウェアコードを仕込み、盗み出したクレジットカード情報をサーバー上の画像などのファイルにエンコードするという、新しい手口を使い始めている。それにより示されるのは、攻撃者が検知を逃れるために、感染経路を継続的に消し去っているという実態だ。