Research – Page 4 – IoT OT Security News

82% の企業がセキュリティ管理に苦慮している：300人の CISO たちは何を考える？

82% of Companies Struggle to Manage Security Exposure

2024/01/09 InfoSecurity — セキュリティ上の脅威と、それに対する管理能力とのギャップが拡大していると、82％もの企業が報告している。この数値は、XM Cyber の “2024 State of Security Posture Report” から抽出したものであり、この調査では、米国と英国の主要企業の CISO およびセキュリティ意思決定者 300人から得られた知見がまとめられている。この、2024年1月9日に発行された報告書は、サイバー・セキュリティの課題に対して、組織が取り組む際の方式を調査し、業界内の傾向と問題に注目するものになっている。

ソフトウェア・サプライ・チェーンの安全性：三本柱の実践で改善できるはず

Three Ways To Supercharge Your Software Supply Chain Security

2024/01/04 TheHackerNews — “Executive Order on Improving the Nation’s Cybersecurity” の第４節で紹介されているのは、技術業界の人々のための、ソフトウェア・サプライ・チェーンと安全性確保の概念である。もし、あなたがソフトウェアを作り、それを連邦政府機関に売りたいと考えているのであれば、ソフトウェア・サプライ・チェーンについて注意を払う必要がある。もし、政府機関に販売する計画がないとしても、ソフトウェア・サプライ・チェーンを理解し、その安全性を確保する方法を学ぶことで、より強固なセキュリティの足場とメリットという配当が得られる。この記事では、ソフトウェア・サプライチェーンのセキュリティを強化するための、３つの方法について説明していく。

2023年11月のランサムウェア攻撃件数：LockBit 活動再開などにより過去最高を記録

Ransomware Leak Site Victims Reached Record-High in November

2023年10月は低調だったランサムウェアだが、11月には活動を再開するグループが増え、過去最高の被害者数を記録したことが、Corvus Insurance の調査により判明した。Corvus Threat Intel の 2023年12月18日のレポートでは、11月にリークサイトに投稿された新たなランサムウェア被害者が、484件も報告されている。

サイバー攻撃の 86% は暗号化チャネルを介して到達する：HTTPS 攻撃は前年比で 24% 増

86% of cyberattacks are delivered over encrypted channels

2023/12/21 HelpNetSecurity — HTTPS を介した脅威は 2022年から 24%増加し、暗号化されたチャネルを標的にするサイバー犯罪の手口の巧妙化が、Zscaler により明らかにされた。２年連続で最も標的とされた業界は製造業であり、それに続く教育機関と政府機関は、前年比で攻撃増加率が最も高くなっている。その他の暗号化チャネルを介した攻撃タイプと比べて、悪意の Web コンテンツやマルウェアのペイロードなどの配信が多く見受けられ、すべてのブロックされた攻撃全体の 78% を、広告スパイウェア・サイトとクロスサイト・スクリプティング攻撃が占めていた。

2023年の脆弱性は 26,447件：悪用に至ったものは１％に過ぎない – Qualys

More Flaws, Fewer Frightmares: 2023 Cybersecurity – A Tale of Exploitable Echoes

2023/12/20 SecurityOnline — 2023年の終わりを迎えるにあたり、私たちのデジタル世界を形成してきたサイバー脅威を振り返ることは極めて重要である。今年のサイバー・セキュリティ領域はジェットコースターのような１年であり、デジタル脅威に対する理解と挑戦があり、また、前進させてきたという進展があった。Qualys Threat Research Unit の包括的な分析から、今年のサイバー脅威の状況について、重要な洞察を得ることが可能となっている。

企業の 85% でインシデントが発生：そのうちの 11% は Shadow IT 関連 -Kaspersky

New Report: 85% Firms Face Cyber Incidents, 11% From Shadow IT

2023/12/20 InfoSecurity — これまでの２年間で、世界の企業の 85％がサイバー・インシデントを経験しており、そのうちの 11％は Shadow IT が原因となっている。この数字は、サイバー・セキュリティ企業 Kaspersky が、先日に実施した調査に基づくものであり、企業において懸念すべき脅威のパターンを露呈している。Kaspersky によると、分散型ワークフォースが拡大する中、従業員による Shadow IT の利用が深刻化しているため、企業におけるセキュリティが危殆性しているという。

OpenSSH 接続を劣化させる Terrapin 攻撃：新たな研究成果が発表された

Terrapin attacks can downgrade security of OpenSSH connections

2023/12/19 BleepingComputer — 広く普及している暗号化モードにおいて、ハンドシェイク・プロセス中のシーケンス番号を操作することで SSH チャネルの整合性を破壊する、Terrapin という新しい攻撃手法を学術研究者たちが考え出した。この操作により、通信チャネルを通じて交換されるメッセージの削除／変更が、攻撃者に許されることになる。結果として、OpenSSH 9.5 のユーザー認証に使用される公開鍵アルゴリズムのダウングレードや、キーストローク・タイミング攻撃に対する防御の無効化などにいたるという。

SMTP スマグリングの最新テクニック：DMARC などの防御を潜り抜けていく

Novel SMTP Smuggling Technique Slips Past DMARC, Email Protections

2023/12/18 DarkReading — インターネットの創世記から電子メールの送信に使用されてきた、数十年前のプロトコルを悪用する新たな標的型フィッシング攻撃により、組織や個人が危険にさらされている。この手法を用いる攻撃者は、DMARC (Domain-based Message Authentication, Reporting and Conformance) などの電子メール保護を回避できるという。

サイバー保険の最前線：MOVEit 攻撃に対する保証で何が変わるのか？

How MOVEit Is Likely to Shift Cyber Insurance Calculus

2023/10/14 DarkReading — 大手企業数十社の不正侵入で悪用された、ファイル転送ソフト MOVEit の開発元である Progress Software は、最近の証券取引委員会 (SEC) への提出書類の中で、$15 million のサイバー保険の全額を受け取るつもりだと述べている。しかし、この巨額の支払いは、保険会社自身のビジネスに対して、どのような影響を与えるのだろうか？ Progress が直面しているのは、集団訴訟／罰金／ビジネス・ブランドの失墜などであり、その損失をカバーするために数百万ドルが必要になるのは当然のことである。さらに、SEC への最新の 10-Q 提出書類によると、Progress Software は MOVEit ランサムウェアとは別のインシデントで、2022年11月に保険を受け取っている。

Microsoft 365 管理者への警告：Google が強化するスパム・メール判定への対策が必要

Microsoft 365 admins warned of new Google anti-spam rules

2023/10/08 BleepingComputer — 今週のことだが、Microsoft 365 の電子メール送信者に対して、Microsoft が送信メッセージを認証するよう警告を発した。この動きは、前日に Google が、大量のメール送信者に対して、スパム対策ルールを厳格化すると発表したことを受けてのものだ。Microsoft Defender for Office 365チームは「自分のドメインにメール認証を設定することで、Gmail／Yahoo／AOL／Outlook.com などのメール・プロバイダによるメッセージ拒否やスパム指定の可能性が低くなる。この処置は、特にバルクメール送信の際に重要であり、メール・キャンペーンの配信において有効である」と述べている。

CISA KEV の効果：連邦政府機関における脆弱性を 72％も減少させた

Faster Patching Pace Validates CISA’s KEV Catalog Initiative

2023/09/22 SecurityWeek — 米国のサイバーセキュリティ機関 CISA が管理する KEV (Known Exploited Vulnerabilities) カタログにより、連邦政府機関のパッチ適用作業が大幅に改善されたという。現在では、このリストに 1,000件以上の脆弱性が含まれている。2021年11月に開始された、この KEV カタログは、連邦政府機関へのサイバー攻撃で悪用されている判明した脆弱性を、CISA がリストアップしたものである。そして、法的拘束力のある Binding Operational Directive (BOD) 22-01 に従い、それぞれの連邦政府機関は、指定された期間内に対象となる脆弱性にパッチを当てるよう要求される。

VPN 製品の大半に影響：TunnelCrack 攻撃でトラフィック・リークにいたる脆弱性とは？

Almost all VPNs are vulnerable to traffic-leaking TunnelCrack attacks

2023/08/14 HelpNetSecurity — 世の中に出回っている大半の VPN 製品に影響を及ぼす複数の脆弱性が、攻撃者に悪用されていることが、研究者たちにより発見された。その悪用に成功した攻撃者たちにより、トラフィック盗聴／情報窃取／デバイス攻撃などが行われる可能性があるという。ニューヨーク大学の Nian Xue と、ニューヨーク大学アブダビ校の Yashaswi Malla／Zihang Xia／Christina Pöpper、そして、KU ルーヴェン大学の Mathy Vanhoef は、「私たちが検証した攻撃方式では、コンピューティング・コストが掛からないため、適切なネットワークア・クセスさえあれば誰もが実行可能であり、それぞれの環境で用いられている VPN プロトコルには非依存である」と主張している。

ハッキング・フォーラムの認証情報 10万件が流出：インフォ・スティーラーが活躍する別の世界

Over 100K hacking forums accounts exposed by info-stealing malware

2023/08/14 BleepingComputer — 研究者たちが発見した 120,000 の感染したシステムには、サイバー犯罪フォーラムにおける認証情報が含めているという。研究者たちによると、これらのコンピュータの多くはハッカーのものだという。データを分析したところ、ハッキング・フォーラムへのログインに使用されるパスワードは、政府組織で用いられている一般的な Web サイトのパスワードよりも強力であることが判明した。

十分な脅威インテリジェンス・プログラムを導入している企業は僅か 22％ – OPSWAT 調査

#BHUSA: Only 22% of Firms Have Mature Threat Intelligence Programs

2023/08/10 InfoSecurity — サイバーセキュリティ・ソリューション・プロバイダー OPSWAT の、最新レポートが発表された。このレポートによると、脅威インテリジェンス・プログラムが十分な企業は 22％に過ぎないという。8月9日にラスベガスで開催された Black Hat USA で、この調査結果が同社から発表された。マルウェアの検出と対応を専門とする、従業員 50人以上の組織の IT専門家 300人以上を対象に、この初調査は実施されたという。

世界を襲う中国系ハッカー RedHotel：３年間で日本などの 17カ国を攻撃

China-Linked Hackers Strike Worldwide: 17 Nations Hit in 3-Year Cyber Campaign

2023/08/09 TheHackerNews — 中国の国家安全部 (MSS：Ministry of State Security) に関連するハッカーたちが、2021〜2023年にかけて、アジア／ヨーロッパ／北米などの 17カ国に攻撃を仕掛けてきたことが判った。サイバー・セキュリティ企業 Recorded Future は、この一連の攻撃について、RedHotel (以前は Threat Activity Group-22／TAG-222) として追跡している国家グループによるものであり、Aquatic Panda／Bronze University／Charcoal Typhoon／Earth Lusca／Red Scylla (または Red Dev 10) などの活動群と重複していると述べている。

EvilProxy という PhaaS：大規模なクラウド・アカウント乗っ取りに利用されている

EvilProxy used in massive cloud account takeover scheme

2023/08/09 SecurityAffairs — Microsoft 365 アカウントの窃取を狙う EvilProxy が、100以上の組織へ向けて 12万通のフィッシング・メールを送信していることが確認された。それにより、クラウド・アカウントの侵害が、過去５ヶ月間に急増していることを、Proofpoint が発見した。攻撃の大半は、高位の幹部を標的としていた。研究者たちは、このキャンペーンは全世界の 100以上の組織／150万人の従業員を対象としていると推定している。被害者の約 39% はＣレベルのエグゼクティブであり、そのうち 17% は最高財務責任者 (CFO) であり、9% は最高経営責任者 (CEO) だったという。

Microsoft VS Code に脆弱性：悪意のエクステンションに認証トークン窃取の構造的な欠陥？

Malicious extensions can abuse VS Code flaw to steal auth tokens

2023/08/08 BleepingComputer — Microsoft のコード・エディターおよび開発環境である、VS Code (Visual Studio Code) に脆弱性により、Windows／Linux／macOS のクレデンシャル・マネージャーに保存されている認証トークンの取得を、悪意のエクステンションに許す可能性があることが発見された。これらのトークンは、Git／GitHub などのコーディング・プラットフォームや、各種のサードパーティ・サービスおよび API との統合に使用されるものだ。そのため、これらのトークンの窃取により、組織のデータ・セキュリティに深刻な影響が生じ、不正なシステム・アクセスやデータ侵害などにいたる可能性があるという。

Microsoft Active Directory への攻撃経路：セキュリティ向上のために知っておくべきことは？

Understanding Active Directory Attack Paths to Improve Security

2023/08/08 TheHackerNews — 1999年に導入された Microsoft AD (Active Directory) は、Windows ネットワークにおけるデフォルトの ID／アクセス管理サービスであり、全てのネットワーク・エンドポイントに対するセキュリティ・ポリシーの割当／実施を担っている。それによりユーザーは、ネットワーク上の様々なリソースにアクセスできるようになる。そして数年前に Microsoft は、AD のパラダイムを拡張するクラウドベースの Azure Active Directory を発表し、クラウドとオンプレミスの両方に IDaaS (Identity-as-a-Service) ソリューションを提供した。2023年7月11日付で、このサービスは Microsoft Entra ID に名称変更されたが、分かりやすくするために、この記事では Azure AD と呼ぶことにする。

VMware vConnector などを装う悪意の PyPI パッケージ：開発者をターゲットに展開

Fake VMware vConnector package on PyPI targets IT pros

2023/08/04 BleepingComputer — VMware vSphere のコネクタ・モジュール vConnector を模倣する悪質なパッケージが、PyPI (Python Package Index) に VMConnect という名前でアップロードされている。VMware vSphere は仮想化ツール群であり、vConnector は開発者やシステム管理者が使用するインターフェース Python モジュールであり、全体的な PyPI 経由のダウンロード数は、毎月およそ 40,000件にも達するという。Sonatype の研究者であり BleepingComputer のレポーターでもある Ax Sharma によると、この悪意のパッケージは、2023年7月28日に PyPI にアップロードされた後に、2023年8月1日に削除されるまでに、237 件ほどダウンロードされたという。

npm に新たな悪意のパッケージ：開発者たちをサプライチェーン攻撃に組み込む

Malicious npm Packages Found Exfiltrating Sensitive Data from Developers

2023/08/04 TheHackerNews — npm パッケージ・レジストリ上に展開され、機密性の高い開発者情報を流出させる悪意のパッケージ群を、サイバー・セキュリティの研究者たちが発見した。2023年7月31日に、ソフトウェア・サプライチェーン企業である Phylum が発見した “test” パッケージは、その機能が向上し、洗練されていることが確認されている。Phylum の研究者たちは、「このプロジェクトの最終目的は明らかではないが、”rocketrefer” や “binarium” といったモジュールが言及されていることから、暗号通貨セクターを狙った高度な標的型キャンペーンであることが疑われている」と述べている。

LOLBAS という難題：Microsoft Office がステルス性マルウェア・ローダーになり得る

Hackers can abuse Microsoft Office executables to download malware

2023/08/03 BleepingComputer — LOLBAS ファイル (Windows に存在し、悪用される可能性のある正規のバイナリやスクリプト) のリストには、Microsoft の電子メール・クライアント Outlook や、データベース管理システム Access の主要な実行ファイルが、まもなく含まれることになる。Microsoft Publisher アプリケーションのメイン実行ファイルに関しては、リモート・サーバからペイロードをダウンロードできることが、すでに確認されている。なお、LOLBAS とは、Living-off-the-Land Binaries and Scripts の略であり、Windows OS でネイティブのもの、また、Microsoft からダウンロードされた、署名付きファイルのことを指す。

Microsoft Teams が Midnight Blizzard フィッシング攻撃に悪用されている

Microsoft Teams Targeted in Midnight Blizzard Phishing Attacks

2023/08/03 InfoSecurity — Microsoft Teams のチャットを悪用して認証情報を盗むフィッシングのルアーを配信する、高度に標的化されたソーシャル・エンジニアリング攻撃を、Microsoft Threat Intelligence が検知した。8月2日に Microsoft が発表したアドバイザリによると、これらの攻撃は Midnight Blizzard という脅威アクターによるものとのことだ。同グループは、以前は Nobelium と呼ばれていた。この、ロシアを拠点とする攻撃は、中小企業が所有する Microsoft 365 のテナントを悪用し、正規のものを装うテクニカル・サポート・エンティティを作成するという手口を用いるものだ。

2023年の上半期の OT／IoT：マルウェアの脅威が 10倍に急増

OT/IoT Malware Surges Tenfold in First Half of the Year

2023/08/02 InfoSecurity — OT (Operational Technology)／IoT (Internet of Things) 環境におけるマルウェア関連のサイバー脅威は、2023年上半期に前年の 10倍に急増したことが、セキュリティ・ベンダーである Nozomi Networks の調査で判った。Nozomi Networks の最新のレポートである Nozomi Networks Labs OT & IoT Security Report は、ICS の脆弱性／IoT ハニーポット／OT 環境の攻撃統計などのデータから作成されている。同社はレポートを公開したブログで、「マルウェアに限れば、サービス拒否 (DoS) 活動は依然として OT システムに対する最も一般的な攻撃の１つだ」と述べている。

Facebook ユーザーを狙うフィッシング・キャンペーン：Salesforce のゼロデイを悪用

Phishers Exploit Salesforce’s Email Services Zero-Day in Targeted Facebook Campaign

2023/08/02 TheHackerNews — Salesforce の E メール・サービスに存在する、ゼロデイ脆弱性を悪用する巧妙な Facebook フィッシング・キャンペーンが確認された。この脅威アクターは、Facebook のドメインとインフラを使用して、標的型フィッシング・メッセージを作成できるという。Guardio Labs の研究者である Oleg Zaytsev と Nati Tal は、「このフィッシング・キャンペーンは、Facebook の Web ゲーム・プラットフォーム存在するレガシーな問題と、Salesforce の脆弱性を連鎖させることで、従来の検出方法を巧みに回避している」と、The Hacker News と共有したレポートの中で述べている。

AWS の SSM Agent を悪用するシナリオ：高スティルス性 RAT の構築が可能

Researchers Uncover AWS SSM Agent Misuse as a Covert Remote Access Trojan

2023/08/02 TheHackerNews — Windows および Linux 環境上でリモート・アクセス・トロイの木馬として、AWS Systems Manager Agent (SSM Agent) を実行させることが可能な、Amazon Web Services (AWS) の新たなポスト・エクスプロイト手法を、サイバー・セキュリティ研究者たちが発見した。Mitiga の研究者である Ariel Szarf と Or Aspir は、「この SSM Agent は、Admin によるインスタンス管理で使用される正当なツールだが、SSM Agent がインストールされたエンドポイント上で、高特権のアクセスを獲得した攻撃者が、悪意の活動を継続的に実行することも可能にする」と、The Hacker News と共有したレポートで述べている。

Facebook のビジネス・アカウントが標的：新種の情報スティーラー NodeStealer 2.0 とは？

New Infostealer Uncovered in Phishing Scam Targeting Facebook Business Accounts

2023/08/01 InfoSecurity — Facebook のビジネス・アカウントを乗っ取るために、新種の情報スティーラーを用いるフィッシング・キャンペーンが、Unit 42 の研究者たちにより発見された。この、ベトナムの脅威アクターによると思われる、過去１年間にわたるキャンペーンは、広告詐欺などを目的として Facebook ビジネス・アカウントを標的とする、攻撃者が増加しているトレンドの一部とされている。ベトナムとの関連性については、Python スクリプトの文字列の多くがベトナム語で書かれているなどの、いくつかの要因に基づいて判断されている。

Google AMP を悪用：狡猾なモバイル・フィッシング攻撃が増加している

Threat actors abuse Google AMP for evasive phishing attacks

2023/08/01 BleepingComputer — Google Accelerated Mobile Pages (AMP) を悪用してメール・セキュリティをバイパスし、企業の従業員の受信トレイに到達するフィッシング活動が増加していると、セキュリティ研究者たちが警告している。Google AMP は、Googleと 30社のパートナーが共同開発したオープンソースの HTML フレームワークであり、モバイル端末での Web コンテンツの読み込みを高速化するものだ。

Patchwork はインドの APT：EyeShell バックドアを使って中国の研究機関を攻撃

Patchwork Hackers Target Chinese Research Organizations Using EyeShell Backdoor

2023/07/31 TheHackerNews — Patchwork と命名されたハッキング・グループが、最近に確認されたキャンペーンの一環として、中国の大学および研究機関を攻撃していることが判明した。KnownSec 404 Team によると、このキャンペーンでは、コードネーム EyeShell と呼ばれるバックドアが使用されていたという。Patchwork は、別名 Operation Hangover／Zinc Emerson でも知られており、インドが支援する脅威グループであると見られている。遅くとも 2015年12月から活動している同グループは、スピア・フィッシングやウォータリング・ホール攻撃を通じて、パキスタンや中国の組織に対して、BADNEWS などのカスタムイン・プラントを仕掛けてきた。

CVSS と CISA KEV だけに頼らない脆弱性管理：EPSS という新たな指標が登場

Relying on CVSS alone is risky for vulnerability management

2023/07/31 HelpNetSecurity — Rezilion によると、脆弱性の優先順位付けを CVSS のみに依存する管理の手法は、最善ではないことが判明しているようだ。実際のところ、それぞれの脆弱性のリスクを評価するために、CVSS の深刻度スコアのみに依存することは、脆弱性をランダムに選択して修復することに変わりないという。よりスケーラブルで効果的な優先順位の決定戦略を可能にするためには、さらなるコンテキストが必要となる。このコンテキストには、標的環境の内部的な情報源 (資産に関する重要性／緩和策／到達可能性) だけでなく、外部的な情報源も必要になる。

AVRecon ボットネットの標的は SOHO ルーター：不正なプロキシを増殖してサーバー犯罪を支援

AVRecon Botnet Leveraging Compromised Routers to Fuel Illegal Proxy Service

2023/07/31 TheHackerNews — AVReconと呼ばれるボットネットの詳細が明らかになった。このボットネットは、遅くとも 2021年5月以降における、複数年にわたるキャンペーンの一環として、侵害した SOHO ルーターを悪用していることが確認されている。７月の初めに AVRecon は、Lumen Black Lotus Labsにより公開されたマルウェアであり、追加コマンドを実行し、被害者の帯域幅を盗み、他の脅威アクターが利用できるようするという、違法なプロキシ・サービスだと思われる。また、その規模は QakBot を上回り、世界20カ国に存在する 41,000台を超えるノードに侵入していという。

Fruity マルウェア・ローダーと Remcos RAT のセット：偽の DL サイトでユーザーを待ち伏せ

Fruity Trojan Uses Deceptive Software Installers to Spread Remcos RAT

2023/07/31 TheHackerNews — 脅威アクターたちは、トロイの木馬化されたソフトウェアをホストする偽の Web サイトを作成してユーザーを騙し、Fruity と呼ばれるマルウェア・ローダーをダウンロードさせた後に、Remcos RAT などのリモート型トロイの木馬ツールをインストールさせている。セキュリティ・ベンダーである Doctor Web は、「問題のソフトウェアの中には、CPU／グラフィックカード／BIOS など微調整するツールや、PC ハードウェア・モニタリング・ツールなどのアプリも含まれている。このようなインストーラーはオトリとして使用され、潜在的な被害者が望むソフトウェアに加えて、トロイの木馬を構成するコンポーネントが含まれている」と述べている。

Android マルウェアの新たな手口：OCR を悪用してキャプチャ画像から機密情報を窃取

New Android Malware CherryBlos Utilizing OCR to Steal Sensitive Data

2023/07/29 TheHackerNews — CherryBlos という新たな Android マルウェアが、OCR 技術を悪用することで、写真に保存された機密データを収集していることが確認された。Trend Micro によると、SNS プラットフォーム上の偽の投稿を介して配布される CherryBlosは、暗号通貨ウォレット関連の認証情報を盗む機能を備えており、事前に定義された形式に一致する文字列を、被害者がクリップボードにコピーした際に、ウォレット・アドレスを置き換えるクリッパーとして動作する。

Apache Tomcat サーバが標的：ハニーポットで収集された Mirai ボットネットを分析

Hackers Target Apache Tomcat Servers for Mirai Botnet and Crypto Mining

2023/07/27 TheHackerNews — ボットネット・マルウェア Mirai などの標的として、また、暗号通貨マイナーを配信する新たなキャンペーンの一環として、コンフィグレーションやセキュリティに不備がある Apache Tomcat サーバーが狙われている。この調査結果は Aqua によるもので、Tomcat サーバのハニーポットに対して、２年間で 800件以上の攻撃を検出し、そのうちの 96％が、Mirai ボットネットに関連していたことが判明した。これらの攻撃のうちの 20％ (152件) は、24のユニークな IP アドレスから発信された “neww” と呼ばれる Web シェル・スクリプトの使用を伴うものであり、その 68％は単一の IP アドレス (104.248.157[.]218) から発信されていた。

Nitrogen というキャンペーン：Google／Bing の広告を介してマルウェアを展開

New Nitrogen malware pushed via Google Ads for ransomware attacks

2023/07/26 BleepingComputer — Nitrogen マルウェアによる、イニシャル・アクセス・キャンペーンは、Google や Bing などの検索広告で偽ソフトウェア・サイトを宣伝し、疑念を持たないユーザーたちに、Cobalt Strike やランサムウェアのペイロードに感染させていくものだ。Nitrogen マルウェアの目的は、企業ネットワークへのイニシャル・アクセスを脅威アクターたちに提供し、データ窃取やサイバー・スパイ活動を行わせ、最終的に BlackCat／ALPHV ランサムウェアを展開させることにある。7月26日に Sophos が発表したレポートには、Nitrogen キャンペーンに関する詳細な説明として、AnyDesk／Cisco AnyConnect VPN／TreeSize Free／WinSCP などの一般的なソフトウェアになりすまし、主に北米の技術組織や非営利組織をターゲットにしている状況が記されている。

2023 Q1／Q2 比較でランサムウェア攻撃が 74％の急増 – SonicWall

Ransomware Attacks Skyrocket in Q2 2023

2023/07/26 InfoSecurity — 2023 Q2 と Q1 の比較において、ランサムウェア攻撃が 74％も急増したことが、最新のレポートで明らかになった。2023 SonicWall Mid-Year Cyber Threat Report では、2023年に入ってからのランサムウェア攻撃件数について、２つの非常に不均衡な現象が観測された。SonicWall Capture Labs の研究者たちは、2023 Q1 に 5,120万件の攻撃を観測しているが、これは 2019 Q4 以降で最小の件数だった。しかし、Q2 にはランサムウェアが復活し、8,890万件の攻撃が確認され、Q1 から 74％の急増となった。

北朝鮮のハッカー Lazarus：Microsoft IIS Server を乗っ取ってマルウェアを配布

Lazarus hackers hijack Microsoft IIS servers to spread malware

2023/07/24 BleepingComputer — 北朝鮮の国家支援のハッカー・グループである Lazarus が、Windows IIS (Internet Information Service) Web サーバを乗っ取り、マルウェアを配布していることが明らかになった。Microsoft の Web Server ソリューションである IIS は、Web サイトや Microsoft Exchange Outlook Web などのアプリケーション・サービスをホストするために使用されるものだ。

2023年6月のランサムウェア攻撃件数：活発な Clop などにより過去最高を記録

Clop Drives Record Ransomware Activity in June

2023/07/21 InfoSecurity — NCC Group の Global Threat Intelligence Team の分析によると、6月のランサムウェア攻撃は前年同月比 221%増の 434件となり、過去最高を記録したことが判明した。この増加の要因として挙げられるのは、MOVEit の脆弱性を悪用する Clop によるグローバル組織への攻撃、および、Lockbit 3.0 などのグループによる一貫したハイレベルの活動、そして、５月以降に登場した新たなグループだと、同社は主張している。

エンタープライズ・セキュリティにおけるマクロ・シフトを探る – Scale 調査

Exploring the macro shifts in enterprise security

2023/07/20 HelpNetSecurity — Scale の 2023 Cybersecurity Perspectives Survey によると、ランサムウェア攻撃とデータ侵害の成功件数は昨年１年間で 30％減少したが、ユーザー組織から報告されたセキュリティ・インシデントの種類は増加した。実際のところ、71％の組織が３種類以上のセキュリティ・インシデントを経験しており、前年比で 51％増となっている。特にクラウドの状況が急速に進化し、人手不足が続いている中で、ネットワークを保護するための困難な戦いに、セキュリティ・チームは直面し続けている。

Sophos の名を語る SophosEncrypt という RaaS：ID Ransomware に被害者からの投稿

Cybersecurity firm Sophos impersonated by new SophosEncrypt ransomware

2023/07/18 BleepingComputer — サイバー・セキュリティ・ベンダーの Sophos が、新しい RaaS (ransomware-as-a-service) になりすまされているが、この脅威アクターは同社の名前を取り込んだ、SophosEncrypt という名前で活動している。この、昨日に MalwareHunterTeam により発見されたランサムウェアは、当初は Sophos 自身のレッドチームによる演習の一環と考えられていた。しかし、Sophos X-Ops チームは、この暗号化ツールを作成したのは自分たちではなく、その立ち上げについて調査中であるとツイートした。

Google Cloud Build の深刻な脆弱性：MOVEit 悪用のような問題を生じる恐れ

Google Cloud Build bug lets hackers launch supply chain attacks

2023/07/18 BleepingComputer — クラウド・セキュリティ企業 Orca Security が発見した、Google Cloud Build サービスの重大な設計上の欠陥は、攻撃者を特権へとエスカレートさせ、Google Artifact Registry コード・リポジトリへの、ほぼ完全なアクセスを提供する可能性があるというものだ。この Bad.Build と名付けられた欠陥を悪用する脅威アクターたちは、Google Cloud Build の CI/CD (continuous integration and delivery) サービスのアカウントになりすまし、アーティファクト・レジストリに対して API コールを実行し、アプリケーション・イメージを制御することが可能になる。たとえば、悪意のコードの注入や、脆弱なアプリの作成などを行った後に、顧客の環境内に悪意のあるアプリをデプロイした攻撃者が、サプライチェーン攻撃を仕掛ける可能性が生じてくる。

WooCommerce の深刻な脆弱性 CVE-2023-28121：侵害の試みが 100万回以上も記録される

WooCommerce Bug Exploited in Targeted WordPress Attacks

2023/07/18 InfoSecurity — 人気の WordPress プラグインを侵害しようとする試みが、この数日間で 100万回以上を記録したと、セキュリティ研究者たちが警告している。Wordfence によると、この攻撃は 7月14日に始まり、週末にかけて続き、7月16日には 157,000 件のサイトに対する 130万件の攻撃というピークに達したという。この攻撃は WooCommerce Payments プラグインの、深刻な脆弱性 CVE-2023-28121 (CVSS：9.8) を悪用するものだ。

MOVEit ハッキング：340 の組織と 1800万人を超える個人が侵害された – Emsisoft

MOVEit Hack: Number of Impacted Organizations Exceeds 340

2023/07/17 SecurityWeek — Clop グループが仕掛ける MOVEit 攻撃により、影響を受けた組織の数は 340 に達し、1800万人を超える被害者を生み出したと報じられている。サイバー・セキュリティ企業 Emsisoft の脅威アナリストであり、このキャンペーンを監視している Brett Callow は、現時点において米国内の 58 の教育機関を含む、347 の組織が影響を受けていると述べた。この中には、先週に学生と従業員のデータが盗まれた可能性のある、コロラド州立大学も含まれている。

Azure AD 署名キーが盗まれた方法：依然として不明だと Microsoft が公表

Microsoft still unsure how hackers stole Azure AD signing key

2023/07/14 BleepingComputer — 中国のハッカーが、米政府機関を含む 20以上の組織の Exchange Online および Azure AD アカウントに侵入したが、そこで使用された非アクティブな Microsoft Account (MSA) のコンシューマー署名キーが、盗まれた方法は依然として不明だと Microsoft が発表した。7月14日に Microsoft が発表した最新アドバイザリには、「犯人が、このキーを入手した方法については、現在調査中である」と記されている。複数の政府機関の Exchange Online メール・サービスへの不正アクセスが発見された後に、このインシデントは米国政府当局により報告されている。

金融サービスにおけるランサムウェア被害額：2018〜2022 の５年間で $32 bn

Ransomware Costs Financial Services $32bn in Five Years

2023/07/14 InfoSecurity — 世界の金融サービス組織は、2018年以降におけるランサムウェアの侵入により、$32bn 相当以上のダウンタイムを生じていると、最新のレポートが主張している。Comparitech は、これまでの５年間における、金融業界で確認された 225件の攻撃を分析し、平均的な組織で起こったインシデントにより、２週間のダウンタイムが生じていることを明らかにした。

暗号化されたクラウド・データは 45% に過ぎない：ハッカーの標的は SaaS／Storage に集中

Only 45% of cloud data is currently encrypted

2023/07/13 HelpNetSecurity — Thales によると、2022年にクラウド環境でデータ漏洩を経験した企業は 39％であり、前年に報告された 35％を上回っている。さらに、調査対象の 55％がクラウド・データ漏洩の主な原因として、人為的ミスを挙げている。その一方で、クラウドに保存される機密データのレベルが、劇的に高まっていることを多くの企業が報告している。クラウドに保存されているデータの40％以上が、機密データに分類されると、75％の企業が回答した。ハッカーの主な標的として挙げられるのは、38％の SaaS (Software as a Service) と、36％がクラウド・ストレージである。

CVSS Version 4.0 が公開：CVSS 3.1 に対する批判への対処が目的

New CVSS Version Unveiled Amid Rising Cyber Threats

2023/07/13 InfoSecurity — CVSS (Common Vulnerability Scoring System) の新バージョンである CVSS 4.0 が、Forum of Incident Response and Security Teams (FIRST) により 2023年7月13日に公開された。CVSSは、コンピュータ・システムのセキュリティ脆弱性の深刻度を評価するためのオープンな業界標準であり、組織における脆弱性管理プロセスの優先順位付けを支援するものだ。CVSS は、脆弱性の主要な特徴を捉え、その深刻度を示す数値スコアを作成する方法を提供している。

Ghostscript PDF Lib の深刻な RCE 脆弱性 CVE-2023-3664 が FIX

Critical RCE found in popular Ghostscript open-source PDF library

2023/07/12 BleepingComputer — Linux で広く使用されている PostScript 言語であり、PDF ファイルのオープンソース・インタープリタである Ghostscript で、深刻なリモートコード実行の脆弱性が発見された。この脆弱性 CVE-2023-3664 (CVSS：9.8) は、３週間前にリリースされた最新バージョンである 10.01.2 以前の、Ghostscript 全バージョンに影響をおよぼす。この脆弱性の PoC エクスプロイトを作成した、Kroll の研究者である G. Glass と D. Truman によると、悪意のある特別な細工が施されたファイルを開くと、コードが実行される可能性があるとのことだ。

2023年の恐喝型ランサムウェアは大成功：暗号通貨犯罪の被害額は 62% ダウン

Crypto Crime Down 62% but Ransomware Activity Surges

2023/07/12 InfoSecurity — Chainalysisによると、2023年上半期の既知の犯罪組織への暗号通貨の流入は、2022年の同時期と比較して 65％減少したが、ランサムウェアは最大級の１年になる勢いだという。同社は 2023年上半期のブロックチェーン活動を分析し、Crypto Crime Midyear Update をまとめた。それによると、暗号ミキサーやリスクの高い取引所のような、危険なエンティティでの取引量も、前年同期比で 42％減と大幅に減少した。しかし、合法的なサービスにとの取引量も 28％減少した。

2022 年の詐欺調査：フィッシング・サイトは 62% 増で、ページ数は 304% 増 – Group-IB

Scam Page Volumes Surge 304% Annually

2023/07/12 InfoSecurity — 2022年にはフィッシング・サイトが前年比で 62％増加し、詐欺ページが 304％も急増したことが、セキュリティ研究者たちの研究により明らかになった。Group-IB が 7月12日に発表したレポート Digital Risk Trends 2023 では、フィッシングについては個人情報の窃取につながる脅威として、詐欺については被害者を騙して金銭や機密情報を自発的に引き出す試みとして、それぞれを分類している。同レポートによると、ブランドのイメージやロゴが、詐欺キャンペーンに使用された平均件数は前年比で 162％も増加しており、APAC に至っては 211％も増加していたという。

MOVEit の脆弱性 CVE-2023-34362：Clop ランサムウェア攻撃が 257社に達した

Clop: Behind MOVEit Lies a Loud, Adaptable and Persistent Threat Group

2023/07/12 InfoSecurity — MOVEit サイバー攻撃は拡大し続けており、毎日のように数多くの企業が被害者リストに挙げられている。Emsisoft の脅威アナリストである Brett Callow によると、2023年7月11日までに、この攻撃の犠牲となった企業は 257社で、個人は 17,750,524名に上るという。その一方で、この攻撃を行ったとされるランサムウェア・グループ Clop は、リークサイトの被害者リストを更新し続けている。新たに追加されたのは、大手金融会社 (Deutsche Bank／ING Bank／Post Bank) や 25 の米国の学校などだ。