Research – Page 11 – IoT OT Security News

ChatGPT がフィッシングをプッシュ：2022年下半期の 61％増がさらに加速する？

Phishing Surges Ahead, as ChatGPT & AI Loom

2023/02/10 DarkReading — 2022年後半にキャンペーン量が大幅に増加するなど、フィッシングが勢いを増している。今週に発表された分析では、フィッシング・メールの総量は下半期に 61％も増加していたという。また、ChatGPT などの新しいツールの台頭により、この分野の勢いも加速する可能性がある。メール・セキュリティ企業である Vade が 2月9日に発表した Q4 2022 Phishing and Malware Report によると、フィッシング攻撃の量は 2022 Q3〜Q4 で 36％増加しており、研究者たちは 2022年10月〜12月の３月間で、2億7830万件のユニークなフィッシング・メールを調査したとのことだ。

ICS の脆弱性 2022年：Siemens が突出している理由を正しく理解する

Siemens Drives Rise in ICS Vulnerabilities Discovered in 2022: Report

2023/02/10 SecurityWeek — 産業用サイバー・セキュリティ企業である SynSaber の最新レポートによると、Industrial Control Systems (ICS) で発見される脆弱性の数は増え続けており、その多くが Critical または High という深刻な評価を受けていることが判明した。このレポートでは、CISA が発表した、2020年〜2022年における ICS とメディカルのアドバイザリの件数を比較している。アドバイザリの数は、2021年〜2022年でほぼ同数の 350件であるが、昨年に発見された脆弱性の数は、前年の 1,191 件から 1,342 へと増大している。

NIST が選んだ IoT デバイス向けの軽量暗号 ASCON：伝送中のデータの保護が目的

NIST chooses encryption algorithms for lightweight IoT devices

2023/02/09 HelpNetSecurity — 米国の National Institute of Standards and Technology (NIST) が発表したのは、IoT デバイス (エンベッド型医療機器／キーレスエントリー／スマートホームなど) が生成するデータを保護するための、軽量認証暗号化およびハッシュ・アルゴリズムに付けられた ASCON というグループ名である。ASCON のラベルの下には、７種類アルゴリズムが集められているが、今年の後半に NIST が発表するとしている、最終的な成果に含まれないものもある。

Google 広告の悪用：AWS 検索で２番目に表示されるフィッシング・サイトとは？

Malicious Google ads sneak AWS phishing sites into search results

2023/02/09 BleepingComputer — Amazon Web Services (AWS) を狙う新たなフィッシング・キャンペーンでは、Google 検索の広告を悪用するフィッシング・サイトへの誘導が行われ、ログイン情報が盗み出されようとしている。 2023年1月30日に Sentinel Labs のアナリストにより、このキャンペーンが観測された。この悪質な広告の検索結果の順位だが、”aws” で検索した際に、Amazon に次いで２位にランクインしていた。

Dark Web マーケットの 2022年：Hydra の閉鎖により市場規模が 50% に縮小

Dark Web Market Revenues Sink 50% in 2022

2023/02/09 InfoSecurity — Chainalysis によると、2022年4月に人気の Hydra Market が閉鎖されたおかげで、アンダーグラウンド・マーケットが生み出す収益は、2022年に２桁台の減少となった。このブロックチェーン分析会社によると、ダークウェブの収益は 2021年の $3.1bn から、2022年の $1.5bn へと減少した。そして、ロシア言語圏での Hydra 閉鎖の前後において、全市場の１日平均収益は $4.2m から $447,000 へと減少したという。

Killnet の Proxy IP リストを公開：ブラックリスト化してロシアからの攻撃に備える

Experts published a list of proxy IPs used by the pro-Russia group Killnet

2023/02/09 SecurityAffairs — 親ロシア派グループ Killnet の運営を妨害し、その攻撃をブロックするために、SecurityScorecard の研究者たちが Killnet のプロキシ IP リストを公開した。彼らは、「ユーザー組織の保護を強化するために、Killnet DDoS ボットのブロックに役立つ、プロキシ IP リストを公開した」と述べている。Killnet は 2022年3月から活動しているグループであり、ウクライナ支援を表明したイタリア／ルーマニア／モルドバ／チェコ／リトアニア／ノルウェー／ラトビアなどの、政府や重要インフラに対して DDoS 攻撃を仕掛け続けている。

Wireless IIoT の問題：攻撃エントリーポイントを生み出す 38件の脆弱性とは？

Critical Infrastructure at Risk from New Vulnerabilities Found in Wireless IIoT Devices

2023/02/09 TheHackerNews — Industrial Internet of Things (IIoT) ベンダー４社のデバイスに、38件のセキュリティ脆弱性が発見され、OT (Operational Technology) 環境の悪用を狙う脅威アクターに対して、深刻な攻撃領域を提供する可能性があることが判明した。イスラエルの産業用サイバー・セキュリティ企業である Otorio は、「脅威アクターたちは、ワイヤレス IIoT デバイスの脆弱性を悪用し、内部の OT ネットワークに対する初期アクセスを得ることが可能だ。攻撃者たちは、それらの脆弱性を悪用してセキュリティ層を迂回し、ターゲット・ネットワークに侵入し、重要なインフラを危険にさらし、製造を中断させることが可能だ」と述べている。

BEC 2022 調査：28% の開封率と前年比 81% 増の攻撃量

BEC Attacks Surge 81% in 2022

2023/02/08 InfoSecurity — Abnormal Security の調査によると、BEC (business email compromise) 攻撃は 2022年を通して 81％以上も増加し、過去２年間でも 175％増加したという。また、悪質なメールに対する、開封率も急増していることが明らかになった。セキュリティ・ベンダーである同社は、顧客からのデータを分析した結果として、H1 2023 threat report, Read Alert を公開した。

Tor ネットワークの戦い：７ヶ月間も DDoS 攻撃にさらされる

Tor Network Under DDoS Pressure for 7 Months

2023/02/08 SecurityWeek — 匿名ネットワーク Tor が、過去７ヶ月間にわたって DDoS (Distributed Denial-of-Service) 攻撃を受けていたことが、同ネットワークの保守担当者たちにより発表された。一部の攻撃は、ページのロードやオニオンサービスへのアクセスが不可能になるほどの深刻なものだったと、今週に Tor Project は述べている。

OneNote ファイル経由で QBot をプッシュ：QakNote というマルウェア・キャンペーンを観測

New QakNote attacks push QBot malware via Microsoft OneNote files

2023/02/07 BleepingComputer — 先週から観測されているのは、QakNote という名の新しい QBot マルウェア・キャンペーンである。同キャンペーンでは、システムにバンキング型トロイの木馬を感染させる手口として、Microsoft OneNote の悪意の “.one” 添付ファイルが使用されている。Qbot (別名：QakBot) は、かつてはバンキング型トロイの木馬だったが、デバイスへのイニシャル・アクセスを獲得することに特化したマルウェアへと進化している。それにより、感染させたマシンに脅威アクターが追加のマルウェアをロードし、ネットワーク全体でデータ窃取／ランサムウェア展開などの活動を行うことが可能になった。

英銀行のデジタル・セキュリティ：４つのチェック項目で未だ不十分という評価

UK Banks Still Failing on Digital Security – Report

2023/02/07 InfoSecurity — Which? の新しい調査により、英国の銀行における不十分なオンライン・セキュリティが原因となり、その顧客たちの口座が、詐欺や侵害にさらされていることが判明した。消費者権利団体が Red Maple Technologies に依頼し、2022年9月から11月にかけて当座預金プロバイダーのオンライン・バンキングの、13件の Web サイトとアプリを評価した。調査の対象は、ログイン／ナビゲーションとログアウト／口座管理／暗号化の、４つの主要分野である。

オンラインショップのバックアップが狙われる：店舗の 12% で機密情報が漏洩しやすい状況

Attackers are searching for online store backups in public folders. Can they find yours?

2023/02/07 HelpNetSecurity — 数多くのオンライン・ショップの管理者たちは、プライベートなバックアップをパブリック・フォルダに保存している。それは、データベース・パスワード／秘密 API キー／管理者 URL／顧客データなどを、見知らぬ攻撃者に暴露していることに他ならない。Sansec の脅威研究者たちは、「公開された秘密データは、店舗の支配権強奪／販売者の強奪／顧客支払いの傍受などに使用されている」と述べている。

Mirai ベースの Medusa ボットネット：ランサムウェア機能を備えて再登場

Medusa botnet returns as a Mirai-based variant with ransomware sting

2023/02/07 BleepingComputer — Miraiコードをベースにした、Medusa という DDoS ボットネットの新バージョンが、ランサムウェア・モジュールと Telnet ブルートフォースターを搭載し、野放し状態で暴れまわっている。Medusa とは、2015年からダークウェブで宣伝されている、昔からのマルウェア株 (同名の Android トロイの木馬とは別物) であり、2017年には HTTP ベースの DDoS 機能が追加されている。

TOYOTA サプライヤー・ポータルに侵入：機密データへのアクセス方法を研究者が報告

Researcher breaches Toyota supplier portal with info on 14,000 partners

2023/02/07 BleepingComputer — トヨタ自動車の Global Supplier Preparation Information Management System (GSPIMS) が、セキュリティ研究者により侵入され、その結果が同社に報告されたことが明らかになった。 GSPIMS は、従業員やサプライヤーがリモートでログインし、トヨタのグローバル・サプライチェーンを管理する、自動車メーカーのための Web アプリケーションである。この研究者が、EatonWorks というペンネームで発表したのは、トヨタのシステムに存在するバックドアの発見と、電子メールさえ知っていれば、誰もが既存のユーザー・アカウントにアクセスできるという現状である。

Sliver マルウェアによる BYOVD 攻撃：Windows にバックドアを作る手順とは？

Hackers backdoor Windows devices in Sliver and BYOVD attacks

2023/02/06 BleepingComputer — Sunlogin の脆弱性を悪用して Sliver ポスト・エクスプロイト・ツールキットを展開し、Windows Bring Your Own Vulnerable Driver (BYOVD) 攻撃を仕掛けることで、セキュリティ・ソフトウェアを無効化するという、新しいハッキング・キャンペーンが観測されている。Sliver とは、Bishop Fox が作成したポスト・エクスプロイト・ツールキットであり、Cobalt Strike の代替手段として、昨年の夏から脅威アクターたちが利用し始めているものだ。その機能としては、ネットワーク監視／コマンド実行、反射型 DLL ロード／セッション生成／プロセス操作などが提供されている。

GuLoader の標的は e-Commerce 業界：NSIS ファイルでマルウェアをドロップ

GuLoader Malware Using Malicious NSIS Executables to Target E-Commerce Industry

2023/02/06 TheHackerNews — 先月末に、韓国と米国の e-Commerce 業界が、現在進行中の GuLoader マルウェア・キャンペーンの被害を受けていたことを、サイバーセキュリティ企業の Trellix が明らかにした。このマルスパム活動の特徴は、その侵入の手口を、マルウェアを混入した Microsoft Word 文書から、マルウェアをロードするための NSIS 実行ファイルへと移行している点だ。このキャンペーンでは、ドイツ／サウジアラビア／台湾／日本などの国々も対象となっている。

MalVirt という仮想化された .NET マルウェア・ローダー：マルバタイジングで配布

MalVirt Loaders Exploit .NET Virtualization to Deliver Malvertising Attacks

2023/02/03 InfoSecurity — マルバタイジング攻撃を仕掛ける脅威アクターたちが、MalVirt と呼ばれる仮想化された .NET マルウェア・ローダーを配布していることが確認された。2023年2月2日に SentinelOne が発表したアドバイザリによると、この新しいローダーは、難読化した仮想化技術を利用して検知を回避しているという。同社は、「このローダーは .NET で実装され、その実装と実行を難読化するために、.NET アプリケーションの仮想化プロテクター KoiVM をベースにした技術を使用している。ハッキング・ツールやクラックでは一般的なものだが、サイバー犯罪の脅威アクター利用する難読化手法として、KoiVM の仮想化の使用は珍しい」と述べている。

MITRE が CREF Navigator を発表：レジリエンス・システムの設計をサポート

MITRE Releases Tool to Design Cyber-Resilient Systems

2023/02/03 DarkReading — サイバー攻撃は増加傾向にあり、企業のセキュリティ担当者は、ますます拡大／複雑化する攻撃対象領域を保護する必要に迫られている。そして、多くの企業にとっての関心事は、攻撃の防止から回復力へと焦点を移している。つまり、攻撃を受けても重要なビジネス機能を維持し、ダウンタイムから迅速に回復することである。そのため、MITRE は、サイバー・レジリエンス・システムを設計するエンジニアのための、可視化ツール Cyber Resiliency Engineering Framework (CREF) Navigator を無償でリリースした。

CISA KEV 警告 23/02/02：Oracle E-Business Suite の PoC 悪用が始まった

Exploitation of Oracle E-Business Suite Vulnerability Starts After PoC Publication

2023/02/03 SecurityWeek — Oracle E-Business Suite の深刻な脆弱性が、PoC エクスプロイト・コードの公開直後から悪用されている。Oracle E-Business Suite は、Oracle の主要製品群の１つであり、サプライチェーン管理 (SCM)／企業資源計画 (ERP)／顧客関係管理 (CRM) などのプロセスを、自動化するためのエンタープライズ・アプリケーションのセットである。

ChatGPT に関する調査：IT リーダーの 51% がサイバー攻撃の中核になると回答

IT Leaders Reveal Cyber Fears Around ChatGPT

2023/02/03 InfoSecurity — BlackBerry の最新調査によると、ChatGPT が１年以内にサイバー攻撃の中核として成功すると、セキュリティ・リーダーたちの過半数 (51%) が予想していることが明らかになった。この、北米／英国／オーストラリアの IT 意思決定者 1500人を対象にした調査では、すでに ChatGPT が他国への悪意の目的で使用されている可能性が高いと、71% が推定していることも判明した。ChatGPT とは OpenAI が開発した人工知能 (AI) 言語モデルをチャットボット形式で展開し、ユーザーの質問に対して迅速かつ詳細な回答を提供するものであり、2022年末に製品化されている。

Microsoft Visual Studio アドインを悪用するマルウェア：リモート配布を検知

Hackers weaponize Microsoft Visual Studio add-ins to push malware

2023/02/03 BleepingComputer — Microsoft Visual Studio Tools for Office (VSTO) を悪用するハッカーたちが、ターゲット・マシン上で悪意の Office アドインを用いて、持続性を維持しながらコードを実行する攻撃へと移行するだろうと、セキュリティ研究者たちが警告している。このテクニックは、Office 文書に VBA マクロを忍び込ませ、外部ソースからマルウェアを取得させる手法に代わるものだ。Microsoft が Office の VBA／XL4 マクロの実行を、デフォルトでブロックすると発表した以降において、脅威アクターたちがマルウェアを配布する手法は、アーカイブ (.ZIP、.ISO)／ショートカット (.LNK) ファイルに移行している。

InTheBox は Web インジェクション販売業者：バンキング狙いのツール 1,800種類を提供

Over 1,800 Android phishing forms for sale on cybercrime market

2023/02/02 BleepingComputer — ロシアのサイバー犯罪フォーラムで、InTheBox という脅威アクターが宣伝しているのは、銀行／暗号通貨取引所／電子商取引などのアプリから、認証情報や機密データを盗むための Web インジェクション (フィッシング・ウィンドウのオーバーレイ) 1,894 件の商品目録である。このオーバーレイは、多様な Android バンキング・マルウェアと互換性があり、世界の数十カ国で使用されている、主要な犯罪組織が運営するアプリを模倣している。このような悪意のプロダクトが、大量かつ安価に入手できるサイバー犯罪者たちは、マルウェアの開発などに集中することが可能であり、また、さまざまな国々へと攻撃を拡大できる。

Google の OSS-Fuzz 脆弱性特定プログラムが延長：すでに $600K 報酬が支払われた

Google Shells Out $600,000 for OSS-Fuzz Project Integrations

2023/02/02 SecurityWeek — 今週に Google は、OSS-Fuzz 報酬プログラムの延長を発表した。このイニシアチブは、OSS-Fuzz 上にプロジェクトを統合するコントリビューターに対して、報酬を与えることを目的としている。2016年に開始された OSS-Fuzz は、継続的なファジングを通じてオープンソース・ソフトウェアの脆弱性を特定し、共通のソフトウェア・インフラの安全性を高めることを目標としている。

LockBit Green という亜種：Conti ベースの暗号化システムが使用されている

LockBit ransomware goes ‘Green,’ uses new Conti-based encryptor

2023/02/02 BleepingComputer — LockBit ランサムウェア・ギャングは、他のオペレーションが開発した暗号化システムを使い始めている。今回に流出したのは、Conti ランサムウェアが使用していた暗号化システムの、ソースコードをベースにしたものに切り替わっている。LockBit が登場したときはカスタム暗号から始まったが、BlackMatter ギャングのソースコードに由来する LockBit 3.0 (別名 LockBit Black) へと、暗号化システムを切り替えていた。

サイバー・セキュリティ調査：インサイダーは？予算は？人員確保は？

The next cyber threat may come from within

2023/02/02 HelpNetSecurity — EisnerAmper によると、企業が直面する最大の脅威として、経営者の 71％が社内の偶発的なミスを心配しており、外部からの攻撃に対する懸念 (75％) と変わらないことが明らかになった。さらに 23% が、従業員による悪意の行為を懸念していると回答している。この調査では、現在の安全対策に対する信頼度は、やや低く評価されている。サイバー防衛戦略の全体的なについて、ある程度は備えているが 51% で、適切に備えているが 39%、全く備えていないが 6%、分からないが 4% となっている。また、インサイダーに対するサイバー防衛について尋ねたところ、ある程度自信があるが 57% で、非常に自信があるが 37%、全く自信がないが 6% という回答だった。

2022年に盗まれた暗号通貨は総額で $3.8bn 相当：北朝鮮へは $1.7bn が流れた

Record $3.8bn Stolen Via Crypto in 2022

2023/02/02 InfoSecurity — 北朝鮮の国家に支援されたハッカーと、安全性が担保されない DeFi (Decentralized Finance) プロトコルにより、2022年は暗号通貨強盗の記録的な年になったと、Chainalysis がレポートしている。ブロックチェーン分析の同社は、発表を予定されている Annual Crypto Crime Report に先立ち、その数字を予告している。2022年には合計で $3.8bn 相当の暗号通貨が盗まれたが、そのうちの 82％が DeFi プロトコルの弱点を狙ったものであり、2021年との比較で73% の増加となる。

コンテナ・イメージのセキュリティ調査：全体の 87% に深刻な脆弱性が存在する

Researchers Claim High-Risk Vulnerabilities Found in 87% of All Container Images

2023/02/01 InfoSecurity — コンテナ・イメージの圧倒的多数である 87％において、深刻な脆弱性が存在していること、また、90% において、コンテナに関連するパーミッションが使用されていないことが判明した。この指摘は、クラウド／コンテナ統合セキュリティ企業である Sysdig の最新レポートによるものであり、InfoSecurity と共有されたものだ。また、この新しいデータによると、修正プログラムが提供されている深刻な脆弱性のうち、ランタイムにロードされるパッケージに含まれるものは、わずか 15% に過ぎないことが示されている。したがって、使用時に脆弱なパッケージをフィルタリングすることで、本質的なリスクを示す脆弱性が、より少ないものに対して集中していける。

NPM／PyPI に悪意のパッケージ：Python-drgn と bloxflip に要注意

Malicious NPM, PyPI Packages Stealing User Information

2023/02/01 SecurityWeek — NPM／PyPI に存在するパッケージの中に、ユーザー情報の窃取と追加のペイロードをダウンロードの行うものあると、先日に Check Point と Phylum が警告を発した。アプリケーション開発において広く利用されているオープンソース・コードを悪用する脅威アクターたちは、開発者とユーザーをマルウェアに感染させるために、ソフトウェア・サプライチェーン攻撃を多用している。2022年10月の Sonatype のレポートによると、2022年に観測されたソフトウェア・サプライチェーン攻撃の数は、前年比 633% 増となっている。

サプライチェーン調査：3rd パーティーから 4th パーティーへの可視化の拡大が不可欠

Almost all Organizations are Working with Recently Breached Vendors

2023/02/01 InfoSecurity — サプライチェーン攻撃の増加に伴い、サプライヤー／ビジネスパートナー／顧客のセキュリティが、より厳しく監視されるようになっている。2023年2月1日に、セキュリティ評価プロバイダー SecurityScorecard と Cyentia Institute 発表した Close Encounters of the Third (and Fourth) Party Kind という新しいレポートは、組織の依存関係におけるリスク調査に基づくものである。

コネクテッドカーとレガシー OT の接点：セキュリティを提供する新たな動きとは？

Mix of legacy OT and connected technologies creates security gaps

2023/02/01 HelpNetSecurity — ISG の調査レポートによると、自動車などの各種産業における Operational Technology (OT) への脅威が高まり、資産の安全性を向上させるためのテクノロジーやサービスに投資する企業が増加しているとのことだ。このレポートでは、製造施設やコネクテッド・ビークルに対する最近のサイバー攻撃を受け、製造業／自動車／ライフサイエンスなどの企業にとって、サイバー・セキュリティの優先度が高まっている状況が示されている。レガシー・システムに対する近代化や置き換えが急務であることに加え、熟練したサイバー・セキュリティ・エンジニアの不足が、ソリューション／アウトソーシング・プロバイダーの成長に拍車をかけている。

QNAP に SQLi の脆弱性 CVE-2022-27596：約３万台のデバイスが危険な状況

Nearly 30,000 QNAP Devices Exposed Via New Bug

2023/02/01 InfoSecurity — 今週に NAS (Network-Attached Storage) ベンダーの QNAP が公表した新しい脆弱性は、全世界で約 30,000 台のデバイスで悪用される可能性があると、Censys は述べている。Censys がインターネットをスキャンしたところ、QNAP ベースのシステムを実行している 67,415 台のホストが世界中で見つかった。そのうちで、バージョンを確認できたものは僅か 30,250 台であり、また、新しい脆弱性を悪用する攻撃に対して、98％が脆弱だろうという状況が判明した。

OpenAI がリリースした AI Text Classifier：書いたのは ChatGPT なのか？人間なのか？

OpenAI releases tool to detect AI-written text

2023/01/31 BleepingComputer — OpenAI が新たに公開したのは、ChatGPT のような人工知能ツールが生成したコンテンツを検出するための、AI Text Classifier である。OpenAI のブログポストには、「この AI Text Classifier は、テキストの各パートが、ChatGPT のような AI により生成された可能性を予測する、微調整された GPT モデル」と記されている。

OAuth を悪用する偽アプリ攻撃： Office 365 アカウントへの不正アクセスが発生

Attackers used malicious “verified” OAuth apps to infiltrate organizations’ O365 email accounts

2023/01/31 HelpNetSecurity — ”Publisher identity verified” マークを取得したサードパーティ製 OAuth アプリが、英国／アイルランドの組織を標的とする、未知の攻撃者に利用されていることを、Microsoft が明らかにした。この攻撃は、2022年12月初旬に Proofpoint の研究者が発見したものであり、SSO／Zoom になりすました３つの不正なアプリが関与しているという。この手口に騙されたターゲット組織は、一連の不正アプリにより O365 メールアカウントにアクセスされ、組織のクラウド環境への侵入を許してしまった。

インサイダー脅威に関する調査：多発する攻撃と困難な発見への懸念

Insider attacks becoming more frequent, more difficult to detect

2023/01/30 HelpNetSecurity — Gurucul の調査によると、あらゆる種類の組織において、インサイダー脅威は最大の関心事となる。調査対象者のうち、インサイダー脅威のリスクについて、懸念しないという回答者はわずか３％だという。325名以上のサイバー・セキュリティの専門家たちからの回答をもとに、変化する内部脅威への対応に取り組む組織が、直面している最新のトレンドと課題、そして機密データと IT インフラの確実な保護のために、組織が取り組んでいる体制作りなどを、同社は調査している。

サイバー犯罪組織の求人広告：開発者 61%／攻撃者 16%／設計者 10% という分布

Cybercrime job ads on the dark web pay up to $20k per month

2023/01/30 BleepingComputer — サイバー犯罪グループによるダークウェブでの求人広告は、高額給与／有給休暇／有給病欠などを開発者やハッカーに提示することで、ビジネスとしての運営を支えているようだ。Kaspersky は 2020年3月〜6月の間に、155ヶ所のダークウェブに掲載された 20万件の求人広告を分析し、Hacking／APT グループは主にソフトウェア開発者 (全広告の61％) の採用を目指し、きわめて競争力の高い条件で勧誘しているようだ。

Emotet／REvil を配信する TrickGate：巧妙な検出回避で６年間も生き続ける

Hackers Use TrickGate Software to Deploy Emotet, REvil, Other Malware

2023/01/30 InfoSecurity — TrickGate という名の悪意のソフトウェア・サービスは、６年以上にわたり脅威アクターたちに利用され、EDR (Endpoint Detection and Response) 保護ソフトウェアをバイパスしてきたようだ。この Check Point Research (CPR) が発表した調査結果は、今日の未明に InfoSecurity と共有された。最新のアドバイザリによると、Emotet／REvil／Maze などのグループに属する複数の脅威アクターたちが、このサービスを悪用してマルウェアを展開していたことが示唆される。

Titan Stealer という情報スティーラーを発見：Golang ベースで検出を巧みに回避

Titan Stealer: A New Golang-Based Information Stealer Malware Emerges

2023/01/30 TheHackerNews — Titan Stealer という名の Golang ベースの新たな情報窃取型マルウェアが、Telegram チャンネルで宣伝されていることが判明した。Uptycs のセキュリティ研究者である Karthickkumar Kathiresan と Shilpesh Trivedi の最新のレポートには、「このスティーラーは、感染した Windows マシンから、ブラウザや暗号ウォレットからのクレデンシャル・データ／FTP クライアントの詳細／スクリーンショット／システム情報／掴んだファイルなどの、さまざまな情報を盗み出す」と記されている。

クラウドストレージ調査：52% のユーザー企業で前年度の予算を上回る支出

50% of organizations exceed their budgeted spend on cloud storage

2023/01/27 HelpNetSecurity — Wasabi が明らかにしたのは、ユーザー企業はクラウド・ストレージに全力を注いでおり、2024年にはパブリック・クラウドの平均保存容量が、ストレージ全体の 43% に達すると予想されており、大多数 (84%) の企業が、その実現に向けて予算を増やしていることだ。この調査の目的は、パブリック・クラウド・ストレージ導入に対する考え方の変化と、ストレージ購入の意思決定に影響を与える要因を明らかにし、予算／ユースケース／セキュリティ／クラウドデータ移行における最優先事項を明らかにすることだ。

OSS の需要が継続して増大：ユーザー企業の 80% が深刻な “人材問題” を抱える

Open source skills continue to be in high demand

2023/01/27 HelpNetSecurity — Perforce Software と Open Source Initiative によると、これまでの 12ヶ月間において 80% の組織が、オープンソース・ソフトウェアの利用を増やしている。例を挙げると、データベース管理／コンテナ・オーケストレーション／DevOps／SDLC ツールといった、幅広いビジネス・クリティカルなアプリケーションで、５社のうち４社が OSS への依存度を高めている。しかし、このレポートでは、いくつかの障害が残っていることも明らかにされた。調査対象となった全テクノロジー・カテゴリーで、専門知識を持つ人材の不足が、最大の課題の１つとして挙げられている。

Golden Chickens という Malware-as-a-Service：背後で操る人物を追跡せよ

Experts Uncover the Identity of Mastermind Behind Golden Chickens Malware Service

2023/01/27 TheHackerNews — Golden Chickens という Malware-as-a-Service の背後にいる脅威アクターの身元が、現実世界でのオンライン・ペルソナ “badbullzvenom” として活動している人物であると、サイバー・セキュリティ研究者たちが明らかにした。eSentire の Threat Response Unit (TRU) は、16ヶ月に及ぶ調査を経て発表した包括的なレポートの中で、「２人の人物が “badbullzvenom” アカウントを共有されているという、複数の言及を発見した」と述べている。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

Yandex のソースコードが漏洩：元従業員が BreachForums に 44.7GB のファイルを公開

An unfaithful employee leaked Yandex source code repositories

2023/01/26 SecurityAffairs — 不正な Yandex git ソースへのマグネット・リンクが含まれたアナウンスメントが、BreachForums に公開された。この投稿の背後にいる脅威アクターは、2022年7月に 44.7GB のファイルを入手したと主張しており、すべてのファイルの日付は 2022年2月24日 (ロシアのウクライナ侵攻の日) にまでさかのぼる。脅威アクターの主張は、このソースコード・リポジトリには、アンチ・スパム・ルールを除くソースコードが含まれているというものだ。

Google が Dragonbridge をシャットダウン：中国の偽情報アカウント５万件を削除

Google nukes 50,000 accounts pushing Chinese disinformation

2023/01/26 BleepingComputer — Google の Threat Analysis Group (TAG) は、複数のオンライン・プラットフォームで親中派情報を発信しているグループ Dragonbridge／Spamouflage Dragon に関連する、数万件のアカウントを削除した。 Googleによると、Dragonbridge はバルクでアカウントを販売する業者から、新しい Google アカウントを入手してきたという。場合によっては、以前に金銭的な動機で使用されていたアカウントを再利用し、情報操作のための動画／ブログを投稿することもあるようだ。

Windows CryptoAPI の脆弱性 CVE-2022-34689：PoC エクスプロイトが公開

Researchers release PoC exploit for critical Windows CryptoAPI bug (CVE-2022-34689)

2023/01/26 HelpnetSecurity — Akamai の研究者たちが、公開キー証明書を検証する Windows CryptoAPI に存在する、深刻な脆弱性 CVE-2022-34689 に対する PoC エクスプロイトを公表した。この Windows／Windows Server に影響する脆弱性は、2022年10月に修正プログラムが公開されている。その際に Microsoft は、「攻撃者は既存の公開証明書 x.509 を操作して身元を偽り、認証／コード署名などのアクションを、本物の証明書を持っているかのように実行できる」と説明していた。

WordPress サイト 4,500 以上でハッキングが発生：ビジターを悪意の広告ページへ誘導

Over 4,500 WordPress Sites Hacked to Redirect Visitors to Sketchy Ad Pages

2023/01/25 TheHackerNews — 2017年ころから活動しているとされる、長期的かつ大規模なキャンペーンにより、4,500 件以上の WordPress サイトが感染していることが明らかになった。GoDaddy 系列の Sucuri によると、悪意のドメイン track[.]violetlovelines[.]com にホストされている、難読化された JavaScript の注入により感染が広まり、悪意のサイトへと訪問者たちがリダイレクトされているようだ。urlscan.io のデータによると、2022年12月26日から動きが活発になっているようだ。2022年12月初旬に確認された攻撃では 3,600 件以上のサイトが影響を受け、2022年9月に記録された別の攻撃では、7,000以上のサイトが被害に遭ったとされている。

Web ブラウザのセキュリティ：体系化された５本の柱で分解／整理してみよう

The Definitive Browser Security Checklist

2023/01/25 TheHackerNews — セキュリティ関係者は、現代の企業環境におけるブラウザの重要な役割と、その管理／保護の再評価が必要であることを認識するようになった。少し前までは、エンドポイント／ネットワーク／クラウドの各ソリューションのパッチワークで Web ベースのリスクに対応していたが、これらのソリューションが提供する部分的な保護では、もはや不十分であることが明らかになった。そのため、多くのセキュリティ・チームが、ブラウザのセキュリティ上の課題に対する答えとして、専用に構築されたブラウザ・セキュリティ・プラットフォームという、新たなカテゴリーに注目するようになってきた。

フィッシング・ブランドの首位は Yahoo：2022年 Q4 の調査結果で DHL を逆転

Yahoo Overtakes DHL As Most Impersonated Brand in Q4 2022

2023/01/25 InfoSecurity — Check Point チェック・ポイントのセキュリティ研究者たちは、2022年 Q4 に最も成りすまされたブランドは、フィッシングの全試行の 20% を占めた Yahoo であり、DHL をトップから陥落させたことを明らかにした。この調査結果は、同社の最新ブランド・フィッシング・レポートから得られたものであり、数十万ドル相当の賞金が Yahoo から提供されるというメールを、複数のサイバー犯罪者たちが配信していることが確認されたようだ。メールの送信者は、”Award Promotion” や “Award Center” といった名前を使用している。

Python に PY#RATION というマルウェア：WebSocket でスティルス C2 通信

New stealthy Python RAT malware targets Windows in attacks

2023/01/25 BleepingComputer — Python ベースの新しいマルウェアが発見されたが、侵入したシステムを操作するための (RAT：Remote Access Trojan) 機能を備えていることが判明した。脅威分析会社 Securonix の研究者により、PY#RATION と名付けられた新しい RAT は、WebSocket プロトコルを用いて C2 Server と通信し、被害者のホストからデータを流出させるものだ。同社の技術レポートでは、このマルウェアの動作が分析されている。PY#RATION キャンペーンが始まった 2022年8月以降において、複数のバージョンが確認されていることから、この RAT が活発に開発されていると、研究者たちは示唆している。

ChatGPT がもたらす変化：Social エンジニアリングから Prompt エンジニアリングへ

Malicious Prompt Engineering With ChatGPT

2023/01/25 SecurityWeek — 2022年末に、誰もが OpenAI の ChatGPT を利用できるようになったことで、AI の可能性が良くも悪くも実証された。ChatGPT は、大規模な AI ベースの自然言語生成器であり、LLM (Large Language Model) と呼ばれるものである。そして、プロンプト・エンジニアリングという概念を、一般に知らしめたものでもある。ChatGPT は、2022年11月に OpenAI がリリースしたチャットボットであり、OpenAI の LLM である GPT-3 ファミリーの上に構築されている。

DragonSpark という中国の APT：Golang ソースの実行時解釈で検出を回避

Hackers use Golang source code interpreter to evade detection

2023/01/24 BleepingComputer — DragonSpark という名で追跡されている、中国語を話すハッキング・グループは、東アジアの組織に対してスパイ攻撃を行う際に、検出を回避するために Golang ソースコードの解釈を採用していることが確認された。この攻撃は SentinelLabs により追跡されており、DragonSpark は SparkRAT と呼ばれるオープンソース・ツールに採用し、感染させシステムから機密データを盗み、コマンドを実行し、ネットワーク上での横移動などを行うと、研究者たちは報告している。SentinelLabs が観測した侵入経路は、オンラインで公開されている脆弱な MySQL データベース・サーバだった。