TTP – IoT OT Security News

LNK ファイル攻撃が 50% も急増：４種類のマルウェア・カテゴリーを特定／分析する

Surge in LNK File Weaponization by 50%, Fueling Four Major Malware Types

2025/07/03 gbhackers — Palo Alto – Unit 42 のテレメトリ・データによると、マルウェア配布における Windows ショートカット (LNK) ファイルの武器化が前年から 50% も増加し、悪意の LNK サンプルは、2023年の 21,098 件から 2024年の 68,392 件へと急増しているという。本来の LNK ファイルは、複雑なフォルダ構造をナビゲートせずに、ファイルやアプリケーションへアクセスするための仮想リンクとして使用されるが、その柔軟性からサイバー犯罪者にとっても、強力な攻撃ツールとなっている。

Play ランサムウェアの現状：2022 年からの３年間で 900の組織を攻撃 – FBI／CISA

Play ransomware group hit 900 organizations since 2022

2025/06/06 SecurityAffairs — 米国の FBI および CISA とオーストラリア ASD 傘下の ACSC (Australian Cyber Security Centre) による共同勧告によると、これまでの３年間において Play ランサムウェアは約 900もの組織を攻撃したとのことだ。2022年6月から活動を開始した Play ランサムウェア・グループだが、その被害者リストには、オークランド市／Rackspace／オランダの海上物流会社 Royal Dirkzwager などが含まれている。

SentinelOne EDR のアップグレード・プロセスの脆弱性を悪用：新たな回避手法 Bring Your Own Installer とは？

Hacker Finds New Technique to Bypass SentinelOne EDR Solution

2025/05/08 InfoSecurity — 多くの組織において標準的なサイバー・セキュリティ製品となっている EDR (Endpoint Detection and Response) ソリューションだが、それらが万全だとは決して言えない。5月5日に公開された新たなレポートで、Aon 傘下の Stroz Friedberg インシデント対応チームの研究者たちは、広く使用されている EDR ソリューションである、SentinelOne を回避する新たな手法を発見したと表明している。

npm で新たなリポジトリ汚染：人気パッケージ “rand-user-agent” が標的にされた

Supply chain attack hits npm package with 45,000 weekly downloads

2025/05/08 BleepingComputer — npm パッケージ “rand-user-agent” がサプライチェーン攻撃を受け、難読化されたコードを注入されたことが判明した。このコードは、ユーザーのシステム上で RAT(Remote Access Trojan) を起動させるよう設計されている。“rand-user-agent” パッケージは、ランダムなユーザー・エージェント文字列を生成するツールであり、Web スクレイピング／自動テスト／セキュリティ研究などに役立つものだ。このパッケージは、現在では非推奨となっているが、週平均で 45,000 件ものダウンロード数を誇っている。

Regex Filter の脆弱性：正規表現に対するバックエンド再検証が不可欠な理由とは？

Researcher Exploits Regex Filter Flaw to Gain Remote Code Execution

2025/05/06 gbhackers — フロントエンドの正規表現フィルタ（/^[a-zA-Z0-9]{1,20}$/）により制限されるユーザー名フィールドが、対象となるアプリケーションには含まれており、英数字だけを受け入れるように設計されていた。当初、この方式は堅牢に見えたが、正規表現チェック後に、バックエンドが入力を再検証していないことを、研究者たちが発見した。この見落としにより、特別に細工されたペイロードがクライアント側の制御をバイパスし、サーバ上で任意のコマンドを実行できる状態になっていた。

Linux Kernel の脆弱性 CVE-2025-21756 が FIX：完全な Root アクセスと PoC エクスプロイト

CVE-2025-21756: How a Tiny Linux Kernel Bug Led to a Full Root Exploit, PoC Releases

2025/04/29 SecurityOnline — Linux Kernel の vsock サブシステムに影響を与える、解放後使用 (UAF) の脆弱性 CVE-2025-21756 の全容が、セキュリティ研究者である Michael Hoefler の分析で、を明らかになった。当初は、vsock_remove_sock() の動作を数行で変更する単純なコード調整から始まり、最終的には、ローカル権限昇格 (LPE) とカーネル・コード実行へと至るものだという。

SAP NetWeaver の脆弱性 CVE-2025-31324 が FIX：すでに悪用を観測

New Critical SAP NetWeaver Flaw Exploited to Drop Web Shell, Brute Ratel Framework

2025/04/25 TheHackerNews — SAP NetWeaver の新たな脆弱性を悪用する攻撃者が、 JSP Web シェルを展開し、不正ファイルのアップロードやコード実行を試みているようだ。2025年4月22日に ReliaQuest が公開したレポートによると、「この攻撃は、以前に開示された “脆弱性 CVE-2017-9844” もしくは “未報告のリモート・ファイル・インクルージョン (RFI) 脆弱性” の、いずれかと関連している可能性が高い」という。すでに最新のパッチが適用されたシステムの一部が影響を受けていることから、この攻撃がゼロデイ攻撃である可能性が高いと、同社は指摘している。

Ivanti Connect Secure の脆弱性 CVE-2025-0282 が標的：DslogdRAT の展開を検証 – JPCERT/CC

Hackers Exploit Ivanti Connect Secure 0-Day to Deploy DslogdRAT and Web Shell

2025/04/24 gbhackers — Ivanti Connect Secure のゼロデイ脆弱性 CVE-2025-0282 を悪用する脅威アクターが、Web シェルや DslogdRAT などの、高度な悪意のツールを展開している。JPCERT/CC の詳細な分析によると、これらの攻撃が浮き彫りにするのは、サイバー犯罪者たちに頻繁に標的化される、Ivanti 製品における執拗かつ最新のリスクである。

日本の金融庁による警告：証券会社を装うフィッシングと不正取引の増加

Japan ’s FSA warns of unauthorized trades via stolen credentials from fake security firms’ sites

2024/04/22 SecurityAffairs — 日本の金融庁 (FSA：Financial Services Agency) が発表したのは、インターネット取引サービスにおける不正アクセスや不正取引による、被害が増加している状況を説明する情報である。金融庁は、「実在する証券会社の Web サイトを装う、フィッシング・サイトなどから窃取された、ログイン ID／パスワードなどの顧客情報を用いて、インターネット取引サービスにおける不正アクセスや不正取引 (第三者による取引) などの事案が急増している」と警告している。

Booking.com を装うフィッシング詐欺：偽の CAPTCHA を使用して AsyncRAT を展開

Booking.com Phishing Scam Uses Fake CAPTCHA to Install AsyncRAT

2025/04/21 HackRead — 偽の Booking.com メールを使用してホテルのスタッフを狙う、新たなフィッシング・キャンペーンが確認された。この攻撃はソーシャル・エンジニアリングを巧みに利用し、被害者自身のシステム上で悪意のコマンドを実行させ、最終的にホテルのネットワークを AsyncRAT に感染させ、さらなる侵害の拡大を目的とするものだ。

Windows の脆弱性 CVE-2025-24054：NTLM ハッシュ漏洩の大規模キャンペーンが発覚

CVE-2025-24054: Actively Exploited NTLM Hash Disclosure Vulnerability

2025/04/16 SecurityOnline — Windows の脆弱性 CVE-2025-24054 が、積極的に悪用されていると、Check Point Research が警告を発している。この新たに公開された脆弱性だが、細工された “.library-ms” ファイルを悪用する攻撃者に対して、NTLMv2-SSP ハッシュの漏洩を許すとされる。2025年3月11日の修正プログラムで、すでに Microsoft がパッチを提供している脆弱性 CVE-2025-24054 であるが、Windows のサポートが有効な全バージョンに影響を与えるものであり、その公開から２週間も経たないうちに実環境で攻撃に悪用されている。

Windows 11 の権限昇格の脆弱性 CVE-2025-24076／24994：DLL ハイジャックの PoC

Windows 11 Privilege Escalation Flaws Uncovered: CVE-2025-24076 and CVE-2025-24994

2025/04/16 SecurityOnline — Microsoft Windows に存在する２つの権限昇格の脆弱性 CVE-2025-24076／CVE-2025-24994 が、Compass Security の研究者である John Ostrowski の分析結果により明らかになった。必要な権限を持たないユーザーであっても、これらの脆弱性を悪用することで、DLL ハイジャック攻撃を引き起こしり、ローカル SYSTEM レベルの権限を取得する可能性を手にするという。

IAB たちの戦術転換：イニシャル・アクセスの低価格／大量販売で攻撃を加速 – Check Point 調査

Initial Access Brokers Shift Tactics, Selling More for Less

2025/04/11 TheHackerNews — アンダーグラウンド市場の仲介業者であるイニシャル・アクセス・ブローカー (IAB：Initial Access Broker) は、コンピュータ・システムやネットワークへの不正侵入を専門とし、そのアクセス権を他のサイバー犯罪者に販売することで利益を得ている。この“役割分担”により、IAB はソーシャル・エンジニアリングやブルートフォース攻撃などの手法を使った脆弱性の悪用という、自身の本業に専念できるというわけだ。

Ivanti の脆弱性 CVE-2025-22457：APT による攻撃の解析と PoC の提供

Ivanti 0-Day RCE Flaw Exploitation Details Revealed

2024/04/11 gbhackers — Ivanti が公表した、認証不要の深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-22457 により、サイバー・セキュリティ業界全体に懸念が広がっている。この脆弱性は複数の Ivanti 製品に影響を及ぼすものであり、攻撃者に対してリモート・コード実行を許すため、企業の機密環境が危険にさらされる可能性がある。その一方で、Rapid7 の脆弱性対策チームなどの研究者たちが、この脆弱性の悪用の方法と、その修正に必要な手順について、詳細な分析結果を公開している。

MCP に潜む脆弱性：AI 時代の新たな脅威として浮上するツール・ポイズニング攻撃

Tool Poisoning Attacks: Critical Vulnerability Discovered in Model Context Protocol (MCP)

2025/04/10 SecurityOnline — Model Context Protocol (MCP) に存在する深刻な脆弱性は、ツール・ポイズニング攻撃 (TPA：Tool Poisoning Attacks) を可能にするものだと、Invariant Labs が明らかにした。AI エージェントが利用する、無害に見えるツールを悪用する TPA により、機密データの流出／AI の挙動の乗っ取り／リモート・コード実行などが引き起こされる恐れがある。Invariant のセキュリティ・チームは、ユーザーに対して、「サードパーティの MCP サーバに接続する際には十分な注意を払い、機密情報を保護するためのセキュリティ対策を実施してほしい」と促している。

OpenAI を悪用する AkiraBot：中小企業の Web サイトを解析してフェイク SEO サービスを展開

New AkiraBot Abuses OpenAI API to Spam Website Contact Forms

2025/04/09 HackRead — AkiraBot と呼ばれる AI 搭載ボットによる、新たなスパム攻撃キャンペーンを、サイバー・セキュリティ研究者たちが特定した。AkiraBot は、中小企業の Web サイトを標的にして、カスタマイズされたプロモーション・メッセージを送り付けるものだ。高度なスパム・ツールである AkiraBot は、少なくとも８万件以上の Web サイトの問い合わせフォームや、チャット・ウィジェットへ向けてスパムを送信しており、2024年9月以降において 40万回以上の攻撃を仕掛けてきた。

GitHub Action での連鎖的攻撃：SpotBugs の PAT 漏洩トリガー説を掘り下げる

SpotBugs Access Token Theft Identified as Root Cause of GitHub Supply Chain Attack

2025/04/04 TheHackerNews — Coinbase を最初に標的とし、その後に “tj-actions/changed-files” GitHub Action のユーザーへと拡大していった、いわゆる連鎖型のサプライチェーン攻撃が確認されている。さらに、この攻撃の足跡を遡ると、SpotBugs に関連する PAT (personal access token) の窃取に端を発していたことが判明した。

Apache Tomcat の脆弱性 CVE-2025-24813 への攻撃：ハッカーたちの高度な戦術を解明する

Hackers Exploit Apache Tomcat Flaw to Hijack Servers and Steal SSH Credentials

2025/04/03 gbhackers — 新たに発見された攻撃キャンmasuペーンにより露呈した、Apache Tomcat サーバの脆弱性 CVE-2025-24813 を悪用するハッカーたちは、リソースの乗っ取りと SSH 認証情報の窃取を可能にしている。この問題の発見から 30 時間以内にボットネットを武器化した一連の攻撃は、暗号化されたペイロードと高度な永続化メカニズムを用いるものであり、Windows／Linux プラットフォームで稼働するシステムに侵入したことを、Aqua Nautilus の研究者たちが明らかにした。

Ivanti ICS の脆弱性 CVE-2025-22457：中国スパイ・グループ UNC5221 による悪用を観測

Ivanti patches Connect Secure zero-day exploited since mid-March

2025/04/03 BleepingComputer — Ivanti が 2025年4月3日に公開したのは、Ivanti Connect Secure (ICS) に存在する、深刻なリモート・コード実行の脆弱性を修正するセキュリティ・アップデートだ。この脆弱性は、中国関連のスパイ・グループにより、遅くとも 2025年3月中旬から、マルウェアの展開で悪用されていたことが確認されている。

Kentico Xperience CMS の脆弱性：XSS から RCE への脆弱性チェーンが発覚

Kentico Xperience CMS XSS Vulnerability Allows Remote Code Execution

2025/04/01 gbhackers — 企業や組織で広く使用されている Kentico Xperience CMS に、クロスサイト・スクリプティング (XSS) 脆弱性を足がかりとする、リモート・コード実行 (RCE：Remote Code Execution) 攻撃チェーンが発見された。この攻撃チェーンは研究者により公開され、詳細な PoC を通じて、その潜在的な危険性が明らかにしている。そのための調査は、現在も続けられている。

Morphing Meerkat という Phishing-as-a-Service：新たな戦術として DNS-over-HTTPS の悪用を導入

Phishing-as-a-service operation uses DNS-over-HTTPS for evasion

2025/03/28 BleepingComputer — 研究者たちが Morphing Meerkat と呼ぶ、PhaaS (phishing-as-a-service) オペレーションは、DNS over HTTPS (DoH) プロトコルを悪用することで検出を回避している。この最新のプラットフォームは、DNS MX (Mail Exchange) レコードも悪用することで、被害者のメール・プロバイダーを特定する一方で、114件を超えるブランドの偽装ログイン・ページを動的に展開している。

Directus の深刻な脆弱性 CVE-2025-30353 が FIX：Webhook トリガーによる機密データの漏洩

CVE-2025-30353: Directus Vulnerability Exposes Sensitive Data in Webhook Trigger Flows

2025/03/28 SecurityOnline — SQL データベース・コンテンツの管理のための、Real-Time API とApp Dashboard である Directus に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-30353 (CVSS：8.6) の悪用に成功した攻撃者は、機密データへの不正アクセスの可能性を手にする。

CoffeeLoader という最新のマルウェア・ローダーを発見：SmokeLoader との連携も疑われる

CoffeeLoader Malware Loader Linked to SmokeLoader Operations

2025/03/27 InfoSecurity — 新たに特定された CoffeeLoader というマルウェア・ローダーだが、エンドポイント・セキュリティ対策を回避しながら、第２段階のペイロードを展開することが確認されている。Zscaler ThreatLabz の研究者たちは、この 2024年9月に登場したマルウェアを追跡しており、SmokeLoader と組み合わせも確認しているという。

Raspberry Robin マルウェアの C2 ドメイン約 200件を特定：ロシアとの関係と EU 経由での拡散

Researchers Uncover ~200 Unique C2 Domains Linked to Raspberry Robin Access Broker

2025/03/25 TheHackerNews — Raspberry Robin マルウェアに関連する約 200のユニークな C2 (command-and-control) ドメインが、Silent Push の調査により発見された。Silent Push は、「Raspberry Robin (別名：Roshtyak／Storm-0856) は、複雑で進化し続ける脅威アクターであり、他の犯罪グループに対して初期アクセス・ブローカー (IAB：initial access broker) サービスを提供している。それらのグループの多くは、ロシアとつながりがある」と、 The Hacker News に共有したレポートで述べている。

Microsoft Trusted Signing：マルウェアのコード署名での悪用が判明

Microsoft Trust Signing service abused to code-sign malware

2025/03/22 BleepingComputer — Microsoft の Trusted Signing プラットフォームを悪用するサイバー犯罪者たちが、有効期限が３日間のコード署名証明書を使って、マルウェアに署名していたことが明らかになった。コード署名証明書を悪用するマルウェアを、正規のソフトウェアに見せかける機会を、以前から攻撃者たちは窺っていた。なぜなら、通常はブロックされやすい未署名の実行可能ファイルと比べて、署名されたマルウェアはセキュリティ・フィルターを回避しやすく、また、疑わしいものとして警戒され難いという利点を持つからだ。

Akira ランサムウェアに対する複合ツール：GPU を用いて暗号化キーにブルートフォースを仕掛ける

New Akira ransomware decryptor cracks encryptions keys using GPUs

2025/03/15 BleepingComputer — Akira ランサムウェアの Linux 版に対する復号ツールが、セキュリティ研究者の Yohanes Nugroho によりリリースされた。この無料のツールは、GPU パワーを利用して復号キーを取得し、ファイルのロックを解除する。Nugroho は、友人から助けを求められ、この復号ツールを開発することになった。Akira が暗号化キーを生成する方法に、つまり、タイムスタンプを用いる方法を分析すれば、１週間以内で暗号化されたシステムを復号できると判断したのだ。

DeepSeek R1 とジェイルブレイク：マルウェア生成の能力を試してみた – Tenable 調査

AI Chatbot DeepSeek R1 Can Be Manipulated to Create Malware

2025/03/14 HackRead — オープンソースの AI チャットボットである DeepSeek R1 は、キーロガーやランサムウェアなどの悪意のソフトウェアを、その操作に応じて生成し得ることが、サイバーセキュリティ企業 Tenable Research の新たな分析により明らかになった。Tenable Research の調査は、DeepSeek における有害なコードの生成能力の評価を目的として行われたものであり、２種類の主要なマルウェア・タイプに焦点を当てるものとなっている。具体的には、秘密裏にキー・ストロークを記録するキーロガーと、ファイルを暗号化して身代金を要求するランサムウェアである。

LLM Model 17 種類を調査：すべてのサービスでジェイルブレイクに成功

Researchers Jailbreak 17 Popular LLM Models to Reveal Sensitive Data

2025/03/07 gbhackers — Palo Alto Networks の Threat Research Center が発表した最新調査によると、研究者たちは 17 種類の GenAI 製品のジェイルブレイクに成功し、安全対策における脆弱性の存在が明らかになったという。この調査の目的は、有害／機密コンテンツの生成を防ぐように設計された、LLM のガードレールを回避する、ジェイルブレイク手法の有効性を評価することにあった。

中国由来の Silk Typhoon の戦術：脆弱性悪用とパスワード・スプレーの採用

China-Linked Silk Typhoon Expands Cyber Attacks to IT Supply Chains for Initial Access

2025/03/05 TheHackerNews — Microsoft Exchange サーバのセキュリティ欠陥を、2021年1月のゼロデイ攻撃で悪用していた中国由来の脅威アクターだが、企業ネットワークへのイニシャル・アクセスの手段を、IT サプライチェーンを標的とする戦術へと転換しているようだ。この情報は、Microsoft Threat Intelligence チームの新たな調査結果によるものであり、いまの Silk Typhoon (旧 Hafnium) ハッキング・グループは、攻撃の足がかりを得るためにリモート管理ツールやクラウド・アプリなどの、IT ソリューションを標的にしているという。

Active Directory FS のログイン・ページを模倣：最新のフィッシング・キャンペーンが検出される

Hackers Using Fake Microsoft ADFS Login Pages to Steal Credentials

2025/02/05 HackRead — Microsoft の Active Directory Federation Services (ADFS) の脆弱性を悪用する、巧妙なフィッシング・キャンペーンにより、ユーザー・アカウントを侵害され、多要素認証 (MFA) がバイパスされていると、Abnormal Security の調査が明らかにしている。

SSH デーモンを狙う中国の Evasive Panda：ネットワーク・デバイスにバックドアを仕掛ける

Chinese cyberspies use new SSH backdoor in network device hacks

2025/02/04 BleepingComputer — ネットワーク・デバイスの SSH デーモンを乗っ取る中国のハッキング・グループが、プロセスにマルウェアを注入し、秘密裏に永続的なアクセスを取得しているという。2024年11月中旬に発生した、新たに特定される攻撃スイートは、中国のサイバー・スパイ集団 Evasive Panda (別名 DaggerFly) によるものとされている。

Google の Agentic AI Security Team が発表：プロンプト・インジェクション攻撃への対抗策とは？

Google’s Agentic AI Security Team Develops Framework to Combat Prompt Injection Attacks

2025/01/29 SecurityOnline — 最近のブログ投稿で Google の Agentic AI Security Team が発表したのは、Gemini などの AI システムに対するプロンプト・インジェクション攻撃のリスクを評価し、軽減するための新しいフレームワークの開発に関する情報である。このアプローチにおいては、自動化されたレッドチーム・テクニックを使用して、AI を操作する悪意の試みを特定／防御するという。

Subaru Starlink の脆弱性：米／加／日での車両ハイジャックにいたる問題を FIX

Subaru Starlink flaw let hackers hijack cars in US and Canada

2025/01/24 BleepingComputer — Subaru Starlink サービスに存在する、任意のアカウント乗っ取りの脆弱性により、米国／カナダ／日本のナンバープレートを用いて、車両の追跡／制御／ハイジャックが可能なことが、セキュリティ研究者たちにより解明された。2025年1月23日 (木) にバグ・ハンターである Sam Curry 公表した内容は、2024年11月20日の時点で研究者 Shubham Shah の協力を得て発見した、この脆弱性の詳細である。

State of Web Exposure 2025：隠された弱点を新たな手法で分析する

New Research: The State of Web Exposure 2025

2025/01/23 TheHackerNews — あなたの Web サイトから、機密データが漏洩していないだろうか？最新の調査によると、サードパーティ製アプリの 45% が、適切な許可なくユーザー情報にアクセスしており、小売業における Web Exposure リスクの 53% は、追跡ツールの過度の使用によるものだという。これらの隠れた脅威とリスクを発見し、軽減していく方法を学ぶべきだ。このフルレポートは、ココからダウンロードできる。

OWASP の Smart Contract 脆弱性 Top-10：2025年の傾向を探る

OWASP Unveils Top 10 Smart Contract Vulnerabilities for 2025

2025/01/20 SecurityOnline — Open Web Application Security Project (OWASP) は、2025年において Smart Contract に影響を与え得る、脆弱性の Top-10 リストを更新した。この包括的なドキュメントは、Smart Contract で最重視されるべき脆弱性を特定し、分散型エコシステムのリスクを軽減するためのロードマップを、開発者とセキュリティ専門家に提供するものである。

米政府による Salt Typhoon 制裁：中国の企業とハッカーを名指しで批判

US sanctions Chinese firm behind sweeping Salt Typhoon telecom hacks

2025/01/17 NextGov — 1月17日 (金) に米国の財務省は、機密性の高いデータを保持するシステムを標的とする、大規模なハッキングに関与したとして、中国企業の Sichuan Juxinhe Network Technology と、上海を拠点とするハッカーの Yin Kecheng に制裁を科した。この法執行は、バイデン政権が発動するハッカーへの最後の制裁である。

Salt Typhoon 侵害：最初に発見されたのは政府のネットワーク内だった – CISA

Salt Typhoon breach was first detected on federal networks, CISA head says

2025/01/15 NextGov — 中国政府が支援するスパイ集団による、米国のテレコムなどへの広範囲にわたる侵入だが、最初に検知されたのは政府のシステム内である、1月14日 (水) に政府高官が述べている。Foundation for Defense of Democracies での討論会で、CISA 長官である Jen Easterly は、「Salt Typhoon と呼ばれるハッキング集団は、連邦政府のネットワークで最初に確認され、その後に法執行機関が仮想プライベート・サーバで正体を解明したことで、追跡のための手続きの請求が可能になった」と述べている。

Google Ads を舞台にしたマルバタイジング：ユーザーの認証情報や 2FA コードを盗み出していく

Google Ads Users Targeted in Malvertising Scam Stealing Credentials and 2FA Codes

2025/01/15 TheHackerNews — Google Ads で広告を出稿する企業や個人を装い、不正な広告を通じて認証情報を盗み取ろうとする、新たなマルバタイジング・キャンペーンについて、サイバー・セキュリティ研究者たちが警告している。Malwarebytes の senior director of threat intelligence である Jerome Segura は、「この悪意のオペレーションは、Google 広告を装うことで被害者のアカウントを盗み出し、偽のログイン・ページへとリダイレクトするものだ」と、The Hacker News に共有されたレポートで述べている。

Fortinet Firewall 標的キャンペーン：４段階の侵害フェーズが明らかに

Fortinet FortiGate Firewalls Targeted in Sophisticated Campaign Exploiting Management Interfaces

2025/01/14 SecurityOnline — Arctic Wolf Labs の最新レポートが明らかにしたのは、インターネットに公開されている Fortinet FortiGate ファイアウォールの管理インターフェイスを標的とする、懸念すべきキャンペーンの内容である。この脅威アクターは、2024年11月〜12 月にかけて、複数のフェーズにわたる活動を展開した。具体的に言うと、脆弱性の悪用からコンフィグレーションの操作へと移行し、認証情報の抽出と不正アクセスを確立していた。

Fortinet Firewall を侵害したキャンペーンの詳細：ゼロデイ脆弱性の悪用が入口？

Zero-Day Vulnerability Suspected in Attacks on Fortinet Firewalls with Exposed Interfaces

2025/01/14 TheHackerNews — Fortinet FortiGate ファイアウォールをターゲットとし、管理インターフェースがパブリック・インターネットに露出するデバイスを狙う、新たなキャンペーンについて、脅威ハンターたちが注意を喚起している。先週にサイバー・セキュリティ企業 Arctic Wolf が公開したレポートには、「このキャンペーンを分析した結果として、ファイアウォールの管理インターフェースに関連する、不正な管理者ログイン／新規アカウントの作成などが確認された。具体的に言うと、それらのアカウントを介した SSL VPN 認証や、各種のコンフィグレーション変更などが行われていた」と記されている。

Muddling Meerkat は中国由来の脅威アクター：DNS 操作で日本も標的？

Muddling Meerkat Linked to Domain Spoofing in Global Spam Scams

2025/01/11 HackRead — サイバー・セキュリティ企業 Infoblox の最新レポートが明らかにしたのは、スパム・キャンペーンを展開する詐欺師たちが、ドメイン・スプーフィングを使用する方法である。サイバー・セキュリティとネットワーキング・コミュニティが協力して、中国のグレートファイアウォールに関する研究を行った結果として、このレポートは提供された。

Windows の脆弱性 LDAPNightmware CVE-2024-49113：偽 POC に御用心

Fake LDAPNightmware exploit on GitHub spreads infostealer malware

2025/01/11 BleepingComputer — Windows の脆弱性 CVE-2024-49113 (別名 LDAPNightmare) に対して、GitHub 上で提供されている偽の PoC エクスプロイトは、情報窃盗マルウェアにユーザーを感染させ、機密データを外部 FTP サーバへと流出させるものだ。ただし、この戦術は目新しいものではなく、以前にも GitHub 上では、PoC エクスプロイトを装う悪意のツールの事例が何度か記録されている。そして、Trend Micro により発見された今回の事例が浮き彫りにするのは、この戦術を採用し続ける脅威アクターたちが、疑いを持たないユーザーを騙して、マルウェアに感染させ続けている状況である。

Banshee 2.0 が盗んだ Apple XProtect 暗号化アルゴリズム：すべての Anti-Virus を回避

Banshee 2.0 Malware Steals Apple’s Encryption to Hide on Macs

2025/01/10 DarkReading — macOS を標的とするインフォスティーラー Banshee が、Apple から盗んだ文字列暗号化アルゴリズムを悪用し、ウイルス対策プログラムによる検知を開始していることが、研究者により発見された。2024年7月から、主としてロシアのサイバー犯罪マーケットプレイスを介して拡散された Banshee は、Mac 用の Stealer-as-a-Service として $1,500 で販売されていた。

脅威リサーチを構成するプロプラと OSS：組織が備えるべきセキュリティ対策とは

Balancing proprietary and open-source tools in cyber threat research

2025/01/06 HelpNetSecurity — Microsoft の Senior Security Researcher である Thomas Roccia へのインタビューは、サイバーセキュリティ運用における迅速かつ適切な意思決定を、脅威リサーチが促進する状況について説明するものだ。彼の示すのは、脅威リサーチの内部と外部のバランスおよび、AI と地政学的イベントの影響、そして、組織におけるセキュリティ対策の強化に関する洞察である。

Salt Typhoon 侵害：ネットワークからの締め出しに成功と Lumen が発表

Lumen reports that it has locked out the Salt Typhoon group from its network

2025/01/02 SecurityAffairs — 年明け早々にホワイトハウスの関係者が確認したのは、中国に由来する APT グループ Salt Typhoon が、世界のテレコムを狙うサイバー・スパイ活動の一環として、米国では９社目となる通信会社に侵入したことだ。中国に関係する APT グループ Salt Typhoon (別名：FamousSparrow／GhostEmperor) は、遅くとも 2019年から活動しており、政府機関や通信会社を標的にしてきた。

Salt Typhoon インシデント：米国の９社目のテレコム侵害を確認

China-linked APT Salt Typhoon breached a ninth U.S. telecommunications firm

2024/12/29 SecurityAffairs — 中国由来の APT グループ Salt Typhoon が、世界中の企業を狙うサイバー・スパイ活動を展開しているが、米国テレコムとして９社目への侵入があったことを、ホワイトハウスの当局者が認めた。Bloomberg が報じたのは、「12月27日 (金) にホワイトハウス当局者は、広範囲にわたる中国のスパイ活動の影響を受けた９社目のテレコムを特定し、北京からのサイバー攻撃を抑制するための、さらなる措置を計画している」という内容である。

DMM から $308m 相当の Bitcoin を盗んだ北朝鮮の犯罪グループ：全暗号通貨窃取額の 61％を占める

US and Japan Blame North Korea for $308m Crypto Heist

2024/12/24 InfoSecurity — 米国と日本の当局は、$308m 相当の暗号通貨を窃取する大規模なインシデントを、北朝鮮のハッカーによるものとしている。FBI／Department of Defense Cyber Crime Center／日本の警察庁からの警告によると、日本を拠点とする仮想通貨企業 DMM で、2024年5月に発生した盗難インシデントは、TraderTraitor (別名 Jade Sleet／UNC4899／Slow Pisces) として追跡されている、北朝鮮の脅威グループによるものだという。

Windows Kernel の脆弱性 CVE-2024-30088 を悪用：イランの APT OilRig の TTP を解析

CVE-2024-30088 Under Attack: OilRig Targets Windows Kernel Vulnerability

2024/12/24 SecurityOnline — 中東の重要セクターを標的とするサイバー・スパイ活動と高度な技術で知られる、OilRig (別名 APT34／Helix Kitten) が脆弱性 CVE-2024-30088 などを悪用し、緻密な活動を展開し、地政学的な目標を達成している。Picus Labs は最新のレポートで、イランの国家に支援される攻撃者の活動を詳しく調査／報告している。このレポートでは、OilRig について、これまでの活動および用いられる高度な戦術について、その進化の過程を掘り下げている。

Salt Typhoon による侵害：テレコムを含む数百の組織に広がる被害とは？

Hundreds of organizations were notified of potential Salt Typhoon compromise

2024/12/23 NextGov — 米国のサイバーセキュリティ当局は、中国が支援する大規模なサイバー侵入の発見と緩和に取り組み、同国内の通信インフラに押し寄せる困難な時期に備えている。ハッキング集である Salt Typhoon は、大手テレコムである Verizon／AT&T／Lumen／T-Mobile などを罠にかけ、数十人の重要政治家を標的にしているが、その中には、ドナルド・トランプ次期大統領とつながる人物も含まれているという。

GitHub の偽 PoC リポジトリ：研究者たちの機密データと大量の WordPress 資格証明を窃取

390,000+ WordPress Credentials Stolen via Malicious GitHub Repository Hosting PoC Exploits

2024/12/13 TheHackerNews — WordPress ツールとして宣伝され、現在は削除されている悪意の GitHub リポジトリにより、39万件以上の認証情報が流出したと推定されている。この狡猾なアクティビティは、MUT-1244 と名付けられた脅威アクターが展開する、広範な攻撃キャンペーンの一部であり、フィッシング情報や PoC コードをホストする、トロイの木馬化された複数の GitHub リポジトリで構成されるものだ。