TTP – Page 3 – IoT OT Security News

ヒズボラの通信デバイスを爆発させた組織：その驚異的な諜報能力とは？ – 元 NSA 長官

Device detonations reveal ‘incredible’ intelligence abilities: ex-NSA chief

2024/09/19 NextGov — ヒズボラの数千台ものデバイスが爆発したことについて、9月19日 (水) に元 NSA 長官が語ったことは、イスラエルの驚くべき情報収集能力を示すと同時に、世界のサプライチェーンが抱える潜在的な脆弱性を浮き彫りにするものだ。National Security Agency 局長と、U.S. Cyber Command 指揮官を歴任してきた Paul Nakasone は、「犯人たちは、標的を定めて情報収集する驚くべき能力を持ち、実際にデバイスのシリアル番号を把握し、それを保有する人物と、それが使用される周期を掌握していた」と語っている。

Windows MSI Installers の脆弱性 CVE-2024-38014 が FIX：以前からの積極的な悪用とは？

Researchers Detail CVE-2024-38014 0-Day Vulnerability in Windows MSI Installers Exploited in the Wild

2024/09/18 SecurityOnline — Microsoft Windows MSI インストーラーに影響を及ぼす、ゼロデイ脆弱性 CVE-2024-38014 が発見され、パッチ未適用のバージョンが悪用されていると、SEC Consult Vulnerability Lab のセキュリティ研究者 Michael Baer は分析している。この重大な脆弱性の悪用に成功した攻撃者は、SYSTEM 権限への昇格を達成する。また、この脆弱性は、MSI インストーラーの修復機能に関係しており、最近の修正プログラムが Microsoft から公開される以前において、積極的に悪用されていたという。

HTTP Response Header を悪用するフィッシング・キャンペーン：危険性が高まる理由は何処に？

Beyond HTML: The Hidden Danger of Phishing in HTTP Response Headers

2024/09/12 SecurityOnline — Palo Alto Networks – Unit 42 の研究者たちは、あまり知られていない手法である、HTTP リフレッシュ・レスポンス・ヘッダーを通じて配信される、フィッシング・ページによる大規模なフィッシング・キャンペーンを発見しました。従来からの、悪意のHTML コンテンツに依存するフィッシング戦術とは異なり、この手法は、サーバから送信されたレスポンス・ヘッダーを使用して、HTML コンテンツが処理される前に、ユーザーを不正なサイトへとリダイレクトするものだ。2024年5月〜7月に、研究者たちが検出した悪意の URL は、１日あたり 2,000 件に達しており、この手法が広く使用されていることを示している。

Remcos RAT のファイルレス攻撃：脆弱性 CVE-2017-0199 の悪用を日本でも観測

Fileless Remcos RAT Campaign Leverages CVE-2017-0199 Flaw

2024/09/12 SecurityOnline — 新たに発見された高度なマルウェア攻撃では、複雑なファイルレスのアプローチが用いられ、無害に見える Excel ドキュメントが攻撃ベクターとなり、Remcos RAT が配信されている。Trellix の研究者たちが分析した攻撃では、従来から痕跡とされてきた悪意のファイルを残すことなく、サイバー犯罪者が検出を回避してシステムへと侵入する戦術を、改良し続けていることが判明した。

COFF／PE ローダーのツール Goffloader がリリース – Praetorian

Goffloader: In-Memory Execution, No Disk Required

2024/09/04 SecurityOnline — セキュリティ企業 Praetorian は、BOF ファイルや管理されていない Cobalt Strike PE ファイルの実行を、ディスクへのファイル書き込みに依存することなく、メモリ内でダイレクトに実行できるように設計されたツール GoffLoader をリリースした。

レッドチーム演習ツール MacroPack：複数の脅威アクターがマルウェア展開に悪用

Red Teaming Tool Abused for Malware Deployment

2024/09/04 InfoSecurity — レッドチームの演習用ツールである MacroPack が、マルウェアの展開に悪用されていることが、Cisco Talos の調査により判明した。Cisco Talos の研究者たちが発見したのは、2024年5月〜7月に VirusTotal にアップロードされた、悪意の Microsoft 文書群である。それら全ては、MacroPack と呼ばれるペイロード・ジェネレータ・フレームワークにより生成されたものだった。これらの文書は、中国／パキスタン／ロシア／米国などの国々の脅威アクターからアップロードされていた。

Booking.com を狙うフィッシング：ホテルのアカウント侵害から個人アカウントの侵害へ

Travelers Targeted: Booking.com Phishing Scam Unveiled

2024/09/03 SecurityOnline — オンライン旅行予約プラットフォームの Booking.com を標的とする、巧妙なフィッシング・キャンペーンについて詳述されたレポートが、OSINTMATTER から公開された。この攻撃は、ホテル支配人のアカウントの侵害から始まり、Booking.com のアプリを通じてホテルの顧客をダイレクトに騙すという、多段階のアプローチで構成されている。

CISA／FBI などの共同アドバイザリ：RansomHub ランサムウェアの TTPs／IoC を公開

US Authorities Issue RansomHub Ransomware Alert

2024/09/02 InfoSecurity — 8月29日に CISA が発表した “#StopRansomware: RansomHub Ransomware” は、ランサムウェア・グループ RansomHub に関する共同サイバー・セキュリティ・アドバイザリである。二重恐喝のテクニックを用いる RansomHub は、少なくとも 210社の被害者からデータを窃取／暗号化し、流出させたと見られている。その被害者の範囲は、医療／IT／政府／緊急サービス／食品・農業／上下水道などに及び、さらには製造／輸送／通信などの重要インフラにも達している。

Google Sheets を悪用するマルウェア：基本的な技術／機能による巧妙な手口とは？

Cyberattackers Exploit Google Sheets for Malware Control in Likely Espionage Campaign

2024/08/30 TheHackerNews — Google Sheets を Command and Control (C2) メカニズムとして悪用する、新しいマルウェア・キャンペーンを、サイバー・セキュリティ研究者たちが発見した。この、Proofpoint により検出された活動は、2024年8月5日から始まり、世界中の 70 を超える組織を標的にしているようだ。具体的に言うと、ヨーロッパ／アジア／米国における税務当局になりすまし、情報を収集して追加のペイロードを配信するために、Voldemort と呼ばれる独自のツールを使っている。

CTEM への注目：新たなカテゴリがセキュリティを支援する – Gartner

CTEM in the Spotlight: How Gartner’s New Categories Help to Manage Exposures

2024/08/27 TheHackerNews — 2024年の SecOps において、最新かつ最高のものを知りたいだろうか？先日に Gartner が発表した Hype Cycle for Security Operations 2024 レポートには、Continuous Threat Exposure Management (CTEM) のドメインを整理して成熟させるための、重要なステップが踏まれている。今年のレポートには、このドメイン内の３つのカテゴリ Threat Exposure Management (TEM)／Exposure Assessment Platforms (EAP)／Adversarial Exposure Validation (AEV) が取り込まれている。

Gmail を狙う新たなマルウェア：MalAgent.AutoITBot を SonicWall が発見

SonicWall Warns: New Malware Targets Gmail

2024/08/27 SecurityOnline — Gmail アカウントを標的とする、コンパイル済みの AutoIT 実行ファイルが、SonicWall Capture Labs の脅威リサーチ・チームにより発見された。このマルウェアは、元々 “File.exe” と命名されており、各種の手口を用いてユーザー・アカウントを侵害するものである。具体的には、クリップボード・データの読み取り／キー入力のキャプチャ／マウス・イベントの取得などを行うとされる。

VMware ESXi の脆弱性 CVE-2024-37085：BlackByte ランサムウェアによる悪用を確認

BlackByte Ransomware group targets recently patched VMware ESXi flaw CVE-2024-37085

2024/08/27 SecurityAffairs — 先日にパッチが適用されたVMware ESXi の認証バイパスの脆弱性 CVE-2024-37085 (CVSS：6.8) を、BlackByte ランサムウェア・グループが悪用していることを、Cisco Talos が確認した。以前にも複数のランサムウェア・グループが、この脆弱性を悪用していることが確認されている。この７月末には Microsoft が、「複数のランサムウェア・オペレーターが VMware ESXi の脆弱性を悪用し、ドメイン結合された ESXi ハイパーバイザーの完全な管理者権限を取得している状況を、研究者たちが発見した」と警告を発している。

Atlassian Confluence の脆弱性 CVE-2023-22527 を悪用：広範なクリプトジャッキングが発覚

Cryptojacking Campaign Exploits Atlassian Confluence CVE-2023-22527 Vulnerability

2024/08/27 SecurityOnline — Atlassian Confluence Data Center／Server の深刻な脆弱性 CVE-2023-22527 を悪用する、広範なクリプトジャッキング・キャンペーンが Trend Micro により発見された。この脆弱性の悪用に成功した攻撃者は、暗号通貨マイニング・マルウェアをインストールして、コンピューティング・リソースを乗っ取ることで、不正な利益を上げている。

東南アジアで新たなステルス・テクニック：台湾／フィリピン／ベトナムなどの政府機関に被害 – NTT

Hackers Use Rare Stealth Techniques to Down Asian Military, Gov’t Orgs

2024/08/27 DarkReading — 東南アジアで進行中の攻撃では、政府の高官組織を感染させるために、ほとんど知られていない２つのステルス技術が使用されている。１つ目の “GrimResource” は、Microsoft Management Console (MMC) で攻撃者が任意のコードを実行できるようにするという、新しいテクニックである。２つ目の “AppDomainManager Injection” は、悪意の DLL を使用するものだが、従来のサイドローディングよりも簡単な方法となる。この手法は７年前から存在しており、イランや中国の脅威アクターや、オープンソース・コミュニティにおける侵入テスト担当者などに使用されている。ただし、悪意を持った攻撃で実際に見られることは稀であるという。

2024年 Q2 のサイバー脅威：そのトレンドを分析／解説する – Kaspersky Labs

Escalating Cyber Threats: Q2 2024 Vulnerability Report

2024/08/22 SecurityOnline — 2024年 Q2 におけるサイバー・セキュリティの状況では、アプリケーションとオペレーティング・システムを標的とする、新しい脆弱性と悪用の手法の顕著な増加が特徴的だった。Kaspersky Labs の最新レポートによると、この Q2 には、権限昇格の主な手段として、脆弱なドライバーを悪用する攻撃が大幅に増加した。この傾向は、従来からのセキュリティ対策を回避してシステムに侵入するためのベクターとして、攻撃者が古いドライバーを悪用するケースが増えていることを示しており、また、脅威の増大も示している。

FakeBat マルウェア：Brave／KeePass／Notion／Steam／Zoom などを装い配布

Cybercriminals Exploit Popular Software Searches to Spread FakeBat Malware

2024/08/19 TheHackerNews — FakeBat マルウェア・ローダーを配布するための、不正な広告キャンペーンを介したマルウェア感染が急増している。Mandiant Managed Defense チームのテクニカル・レポートには、「これらの攻撃は、一般的なビジネス・ソフトウェアを求めるユーザーをターゲットにした、日和見的なものだ。具体的に言うと、トロイの木馬化された MSIX インストーラによりマルウェア感染が始まり、PowerShell スクリプトの実行による二次的なペイロードのダウンロードへといたる」と記されている。

Windows の脆弱性 CVE-2022-26923 の悪用：電子メール爆弾から RAT へつなげる手口とは？

Cybercriminals Evolve Social Engineering Tactics, Exploit CVE-2022-26923 in Sophisticated Campaign

2024/08/16 SecurityOnline — 先日にサイバーセ・キュリティ企業 Rapid7 が特定したのは、同社の脅威インテリジェンス・チームが継続的に監視している、進行中のソーシャル・エンジニアリング・キャンペーンに関連する一連の巧妙な侵入の試みである。このキャンペーンは、欺瞞的かつ技術的なテクニックを織り交ぜて組織を標的とするものであり、最近では、セキュリティ対策の迂回や、新たなツールやテクニックの採用により、システム侵害の確率を高めている。

Windows SmartScreen バイパスの脆弱性 CVE-2024-38213：３月の攻撃でゼロデイとして悪用

New Windows SmartScreen bypass exploited as zero-day since March

2024/08/13 BleepingComputer — 今日になって Microsoft が明らかにしたのは、SmartScreen 保護をバイパスするゼロデイとして攻撃者に悪用された、Mark of the Web セキュリティ・バイパスの脆弱性が、2024日6月の Patch Tuesday で修正されたことだ。Windows 8で導入されたセキュリティ機能 SmartScreen は、Mark of the Web (MotW) ラベルの付いたダウンロード・ファイルを開く際に、悪意の可能性のあるソフトウェアからユーザーを保護するものだ。

Chrome／Edge を狙うキャンペーン：エクステンションの弱点を突いて 30万台の DLL を侵害

Malware force-installs Chrome extensions on 300,000 browsers, patches DLLs

2024/08/09 BleepingComputer — 現時点において進行中の広範なマルウェア・キャンペーンにより、30万以上の Web ブラウザに悪意の Chrome／Edge エクステンションが強制インストールされ、ブラウザの実行ファイルが変更され、ホームページがハイジャックされ、閲覧履歴が盗まれるという被害が発生している。問題のインストーラーとエクステンションは、通常ウイルス対策ツールでは検出されないものであり、感染したデバイス上でのデータ窃取やりコマンド実行を試行するよう設計されているという。このキャンペーンを発見した ReasonLabs の研究者たちが警告するのは、初期感染を達成するために、その背後にいる脅威アクターが多様な不正広告テーマを採用している点である。

Web ブラウザの脆弱性 0.0.0.0 Day：18年前から MacOS／Linux に影響を与えていた？

0.0.0.0 Day: 18-Year-Old Browser Vulnerability Impacts MacOS and Linux Devices

2024/08/08 TheHackerNews — 悪意の Web サイトが全ての主要な Web ブラウザに影響を与える、新しい脆弱性 “0.0.0.0 Day” が、サイバーセキュリティ研究者たちにより発見された。この脆弱性には、ローカル・ネットワークへの侵入に悪用さえる可能性のあるという。Oligo Security の研究者である Avi Lumelsky は、この脆弱性について、「ブラウザがネットワーク・リクエストを処理する方法における、根本的な欠陥を露呈している。この脆弱性の悪用に成功した攻撃者は、ローカル・デバイス上で実行されている、機密性の高いサービスにアクセスする可能性を得る」と述べている。

Windows のゼロデイ脆弱性 CVE-2024-21302／38202：修正済みパッチが無効化される？

CVE-2024-21302, CVE-2024-38202: Zero-Day Vulnerabilities Expose Windows Systems to “Unpatching” Attacks

2024/08/07 SecurityOnline — Windows システム上の更新済みのパッチを逆利用し、以前に修正されたセキュリティ欠陥を再び引き起こす可能性のある、２つのゼロデイ脆弱性 CVE-2024-21302／CVE-2024-38202 が、SafeBreach のセキュリティ研究者 Alon Leviev により、Black Hat 2024 で発表された。

Microsoft 365 フィッシング対策のバイパス：HTML メールの CSS 操作でアラートを隠す

Microsoft 365 anti-phishing feature can be bypassed with CSS

2024/08/07 BleepingComputer — 研究者は、Microsoft 365 (旧 Office 365) のフィッシング対策を回避する方法が実証され、悪意のメールをユーザーが開封するリスクが高いことが判明した。具体的に言うと、”First Contact Safety Tip” という、見慣れないアドレスからのメッセージを受信した際に、Outlook のメール受信者に警告を出すフィッシング対策が隠されてしまうのだ。この欠陥を発見した Certitude のアナリストが、Microsoft に調査結果を報告したが、現時点では対処しないことが、同社により決定されている。

Facebook の偽広告に御用心：600以上の詐欺キャンペーン・サイトが発見された

E-Commerce Fraud Campaign Uses 600+ Fake Sites

2024/08/01 InfoSecurity — 悪意の Facebook 広告を通じて偽の Web ショップへと被害者を誘い込む、巧妙な情報窃取詐欺ネットワークが、Recorded Future のセキュリティ研究者たちにより発見された。このキャンペーンが “Eriakos” と名付けられたのは、脅威アクターが使用する CDN (content delivery network) に由来している。

Cloudflare Tunnel を悪用したマルウェア・キャンペーンが展開されている – Proofpoint

Hackers abuse free TryCloudflare to deliver remote access malware

2024/08/01 BleepingComputer — Cloudflare Tunnel サービスを悪用して RAT (Remote Access Trojans) を配信する、マルウェア・キャンペーンの拡大について、研究者たちが警告を発している。このサイバー犯罪活動は、2024年2月に検出されたものであり、TryCloudflare の無料サービスを悪用することで、AsyncRAT／GuLoader／VenomRAT／Remcos RAT／Xworm などの複数の RAT を配布している。

Apache OFBiz の脆弱性 CVE-2024-32113 が FIX：悪意のスキャンと CISA KEV 登録

Actively Exploited Apache OFBiz Flaw Triggers Urgent Security Alert

2024/07/31 SecurityOnline — Apache OFBiz の脆弱性 CVE-2024-32113 に対するスキャン試行が、この数週間で驚くほど増加していることを、セキュリティ研究者たちが確認している。この欠陥は、パス・トラバーサル問題と説明されており、脆弱なバージョンのソフトウェアを実行しているシステムにおいて、攻撃者に悪意のリモート・コード実行を許す可能性があり、重大なリスクをもたらすとされる。

VMware ESXi の脆弱性 CVE-2024-37085：20,000 台以上のサーバが危険に晒されている

VMware ESXi Vulnerability Exposes Thousands of Servers to Ransomware

2024/07/31 SecurityOnline — VMware ESXi の認証バイパスの脆弱性 CVE-2024-37085 について、サイバー犯罪者による積極的な悪用が報じられ、主要なセキュリティ組織から警告が発せられている。しかし、その一方では、依然として数千台のサーバが、ランサムウェア攻撃に対して脆弱な状態を晒し続けている。Shadowserver は、20,275台もの ESXi インスタンスが、CVE-2024-37085 に対して脆弱であると特定している。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステムの完全な制御が可能となり、壊滅的なランサムウェア攻撃や大規模なデータ窃取の可能性を手にする。

Google Authenticator の偽広告に御用心：マルウェアを拡散する悪質なキャンペーンが発覚

Fake Google Authenticator Ads Spread Malware Through Google Search

2024/07/30 SecurityOnline — Google を装う脅威アクターたちが、Google Authenticator の偽広告を通じてマルウェアを拡散するという悪質なキャンペーンを、Malwarebytes Labs のサイバー・セキュリティ研究者が発見した。

VMware ESXi への認証バイパスの攻撃：複数のランサムウェアが悪用 – Microsoft

Microsoft: Ransomware gangs exploit VMware ESXi auth bypass in attacks

2024/07/29 BleepingComputer — VMware ESXi の認証バイパスの脆弱性を悪用するランサムウェア集団が、積極的な攻撃を展開していると、Microsoft が警告している。この Medium レベルの脆弱性 CVE-2024-37085 は、Microsoft のセキュリティ研究者である Edan Zwick／Danielle Kuznets Nohi／Meitar Pinto により発見され、6月25日にリリースされた ESXi 8.0 U3 で修正されている。このバグを悪用する攻撃者は、ESX Admins グループを作成し、新規ユーザーの追加を可能にするものであり、それらのユーザーに対しては、ESXi ハイパーバイザー上の完全な管理者権限が自動的に割り当てられるという。

Proofpoint の脆弱性 EchoSpoofing：フィッシング・キャンペーンに悪用されている

Phishing Campaign Exploited Proofpoint Email Protections for Spoofing

2024/07/29 SecurityWeek — Proofpoint のメール保護サービスの脆弱性を悪用し、有名企業に成りすますフィッシング・キャンペーンが展開されていることが、Guardio Labs のレポートにより明らかになった。このキャンペーンでは、１日あたり数百万通のフィッシング・メッセージが配信されている。攻撃者たちは、Proofpoint を悪王することで、フィッシング・メッセージが本物であるように見せかけている。彼らは、過剰なアクセス許可を与えるという、Proofpoint のミス・コンフィグを悪用することで、電子メールのセキュリティ保護を回避しているという。

OAuth と XSS のコンボ攻撃：数百万人の Web ユーザーをアカウント乗っ取りで脅かす

OAuth+XSS Attack Threatens Millions of Web Users With Account Takeover

2024/07/29 DarkReading — Web ユーザーの行動を追跡／記録するサービスの Hotjar と、人気のニュース・サイト Business Insider の API に、重大なセキュリティ欠陥が存在することが判明した。最新の認証規格が悪用され、長年の脆弱性が復活させられたことで、数百万人のユーザーがアカウント乗っ取りの危険にさらされている。API のセキュリティ会社である Salt Security の Salt Labs が、7月29日に公開したブログによると、認証規格の OAuth と、２つのサイトの XSS (cross-site scripting) の欠陥を組み合わせることで、攻撃者は機密データの窃取が可能になり、100万以上の Web サイトの正規ユーザーを装う悪質な活動の可能性が生じているという。

Selenium Grid サーバのミス・コンフィグ：Monero マイニングに悪用されている

Misconfigured Selenium Grid servers abused for Monero mining

2024/07/28 BleepingComputer — 人気の Web アプリのテスト・フレームワークである、Selenium Grid のミスコンフィグを悪用する脅威アクターたちが、改ざんされた XMRig ツールを展開し、Monero 暗号通貨を不正マイニングしている。Selenium Grid はオープンソースであり、複数のマシンやブラウザにわたってテストを自動化する環境を、開発者に提供するものだ。クラウド環境で使用され、Docker Hub では１億以上のプルがある。

lr-utils-lib という悪意の PyPI パッケージ：macOS 開発者から Google Cloud の認証情報を窃取

Targeted PyPi Package Steals Google Cloud Credentials from macOS Devs

2024/07/27 DarkReading — macOS ユーザーの一部から Google Cloud Platform の認証情報を盗み出す、かなり奇妙な悪意の Python コードのパッケージを、研究者たちが発見した。Checkmarx の 7月26日のブログによると、このパッケージ “lr-utils-lib” は、6月初旬の時点で Python Package Index (PyPI) にアップロードされたものだが、セットアップ・ファイルに悪意のコードを隠し持っていた。そのコードは、macOS システム上で実行されていることをチェックし、続いて、システムの IOPlatformUUID をチェックする。この値は、特定の Mac コンピュータを識別するために使用されるものである。

Microsoft SmartScreen の脆弱性 CVE-2024-21412：マルウェア拡散に悪用されている

Hackers Exploit Microsoft Defender Smartscreen Bug CVE-2024-21412 To Deliver Acr, Lumma, And Meduza Stealers

2024/07/25 SecurityAffairs — 脆弱性 CVE-2024-21412 (CVSS：8.1) を悪用して、ACR Stealer／Lumma／Meduza などの情報スティーラーを拡散するマルウェア・キャンペーンが、Fortinet FortiGuard Labs の研究者たちにより発見された。悪用が観測された CVE-2024-21412 は、Microsoft Windows SmartScreen に存在する脆弱性であり、インターネット・ショートカット・ファイルのセキュリティ機能バイパスの欠陥だとされる。

GitHub 上の 3,000以上の偽アカウントで構成される DaaS：マルウェア配布で成功している

Over 3,000 GitHub accounts used by malware distribution service

2024/07/24 BleepingComputer — Stargazer Goblin として知られる脅威アクターが作成したのは、GitHub 上の 3,000以上の偽アカウントで構成される Distribution-as-a-Service (DaaS) であり、そこから情報スティーラー・マルウェアをプッシュしているという。このマルウェア配信サービスは Stargazers Ghost Network と呼ばれ、GitHub リポジトリと侵害済みの WordPress サイトを利用して、パスワード保護されたアーカイブを配布するが、その中にマルウェアが含まれている。ほとんどのケースにおいて、そこから配布されるマルウェアは、RedLine／Lumma Stealer／Rhadamanthys／RisePro／Atlantida Stealer などのインフォ・スティーラーである。

Cloudflare WARP トラフィックへの信頼：regreSSHion CVE-2024-6387 を悪用するシナリオも

Cloudflare WARP Abused to Hijack Cloud Services, Cado Security Report Reveals

2024/07/22 SecurityOnline — Cloudflare の WARP サービスを悪用して、脆弱なインターネット向けサービスを攻撃する複数のキャンペーンについて、先日に Cado Security の研究者が情報を公開した。WARP は無料の VPN サービスであり、また、ユーザー・トラフィックを最適化するために設計されている。その一方で、この VPN サービスを悪用する攻撃者が、真の出所を隠蔽し、セキュリティ対策を回避している。

Linux 版ランサムウェア Play の新種が登場：VMware ESXi システムを狙っている

New Linux Variant of Play Ransomware Targeting VMware ESXi Systems

2024/07/22 TheHackerNews — VMware ESXi 環境を標的とするように設計された、Play (別名：Balloonfly／PlayCrypt) というランサムウェアの Linux 亜種が、サイバーセキュリティ研究者たちにより発見された。Trend Micro の研究者たちは、7月19日に公開されたレポートの中で、「この動向は、グループの攻撃対象が Linux プラットフォーム全体に広がっている可能性を示唆している。それにより Play は、被害者の拡大と身代金交渉の成功を得ている」と述べている。

CrowdStrike 障害：混乱に乗じてマルウェアやデータ・ワイパーが配布されている

Fake CrowdStrike updates target companies with malware, data wipers

2024/07/21 BleepingComputer — 金曜日に CrowdStrike が引き起こした、アップデートの不具合による大規模なビジネスの混乱を悪用し、データ・ワイパーやリモート・アクセス・ツールを使って組織を狙っている脅威アクターたちがいるようだ。組織が影響を受けた Windows ホストを修正するために、誰もがサポートを求めている最中に、研究者や政府機関などが発見したのは、この状況を悪用するするフィッシング・メールの増加である。

新たな E-commerce Skimming 戦術：Megento サイトで発見されたスワップ・ファイルの悪用とは？

Cybercriminals Exploit Swap Files: New E-commerce Skimming Tactic

2024/07/20 SecurityOnline — Sucuri のセキュリティ・アナリストたちが発見したのは、スワップ・ファイルを悪用するサイバー犯罪者がクレジット・カード・スキマーを永続的に維持し、電子商取引サイトを標的とする新たな攻撃手法である。この形態のインシデントは Magentoサイトで発生し、チェックアウト・ページに埋め込まれた悪意のスクリプトにより、機密性の高い顧客データが不正に取得される。

ロシアの FIN7 ギャング：セキュリティ回避ツール AvNeutralizer を販売していた

Notorious FIN7 hackers sell EDR killer to other threat actors

2024/07/17 BleepingComputer — 悪名高いハッキング・グループ FIN7 が、企業ネットワーク上のエンドポイント保護ソフトウェアを破壊して検知を回避するための、カスタム・ツール AvNeutralizer を販売していることが発見された。FIN7 はロシアのハッキング・グループと考えられており、その活動が観測され始めた 2013年頃は金融詐欺に注力しており、組織をハッキングしてデビットカードやクレジットカード情報を窃取してきた。同グループは、やがてランサムウェアの分野にも進出し、DarkSide／BlackMatter などの RaaS (ransomware-as-a-service) を使用し始めた。最近では、2024年3月頃に発生した、UnitedHealth からの身代金を持ち逃げるという BlackCat ランサムウェアの活動にも、FIN7 が関係している可能性が高いと見られている。

Squarespace への侵害：Google Domains から移行したドメインに甚大な被害が

Hackers Exploit Flaw in Squarespace Migration to Hijack Domains

2024/07/16 SecurityWeek — 先週のことだが、Squarespace に登録された複数のドメイン名がハッカーに侵害され、複数の暗号通貨プラットフォームが DNS レコード制御を取り戻すために、奔走する事態となっている。2023年に Squarespace が買収した、Google Domains からの移行ドメインを管理するアカウントに、この 7月9日に始まった侵害の影響は及んでいる。Squarespace は、Google から買収した約 1,000万件のドメイン名のユーザーを移行してきたが、その方式に潜んでいた欠陥を悪用するハッカーにアカウントが乗っ取られ、それらのドメインの DNS レコードが変更されるという事態に陥った。

DarkGate マルウェア：Samba と Excel を介して配布されている – Unit 42

Dark Gate Malware Campaign Uses Samba File Shares

2024/07/15 SecurityAffairs — 2024年3月〜4月に展開された、DarkGate マルウェア・キャンペーンに関するレポートを、Palo Alto Networks Unit 42 の研究者たちが公開した。このキャンペーンで用いられた手法は、公開されている SMB ファイル共有から、Microsoft Excel ファイルを介して、悪意のソフトウェア・パッケージをダウンロードさせるというものだった。Unit 42 の研究者たちによると、脅威アクターはマルウェアを配布するために、正規のツールやサービスを巧妙に悪用していたという。

CISA が要請する OS コマンド・インジェクション脆弱性の排除とは？ – Security by Design

CISA Urges Software Makers to Eliminate OS Command Injection Vulnerabilities

2024/07/11 InfoSecurity — 米国政府からソフトウェア・メーカーへの要請は、OS コマンド・インジェクションの脆弱性の解消に取り組むべきというものだ。この、Cybersecurity and Infrastructure Security Agency (CISA) とFBI の警告は、ネットワーク・エッジ・デバイスの OS コマンド・インジェクションの欠陥を悪用してユーザーを危険にさらすという、2024年に注目された複数の脅威アクターたちのキャンペーンを受けたものである。

PHP の脆弱性 CVE-2024-4577：脅威アクターたちが悪用してマルウェアを配布 – Akamai

Multiple Threat Actors Exploit PHP Flaw Cve-2024-4577 To Deliver Malware

2024/07/11 SecurityAffairs — PHP の脆弱性 CVE-2024-4577 を悪用する脅威アクターたちが、Gh0st RAT／RedTail cryptominers／XMRig などの多様なマルウェア・ファミリーを配信していると、Akamai の Security Intelligence Response Team (SIRT) が警告している。Akamai は、「新たな CVE-2024-4577 を迅速に悪用した脅威アクターたちは、脆弱性情報の公開から悪用までの時間が、短縮されているという傾向を維持している。Akamai のハニーポット・ネットワークでは、この PHP の欠陥を標的とする悪用の試みが、公開から 24時間以内に確認されている」と述べている。

北朝鮮のハッカー Kimsuky が日本の組織を標的にしている – JPCERT/CC

Japan warns of attacks linked to North Korean Kimsuky hackers

2024/07/10 BleepingComputer — 北朝鮮の脅威アクターである Kimsuky が、日本の組織を攻撃の標的にしていると、JPCERT/CC (Japan’s Computer Emergency Response Team Coordination Center) が警告している。この Kimsuky は、北朝鮮の APT (advanced persistent threat) グループだと米国政府は位置づけている。同グループは、北朝鮮政府にとって関心のある情報を収集するために、世界中の標的に対して攻撃を行っている。

EstateRansomware という新たなランサムウェア：Veeam Backup & Replication の脆弱性を悪用

New Ransomware Group Exploiting Veeam Backup Software Vulnerability

2024/07/10 TheHackerNews — Veeam Backup & Replication ソフトウェアの、すでにパッチが適用されているセキュリティ欠陥が、EstateRansomware という新たなランサムウェアに悪用されている。この脅威を 2024年4月初旬に発見したのは、シンガポールに本社を置く Group-IB であり、その悪質な活動は CVE-2023-27532 (CVSS：7.5) を悪用して行われたと述べている。ターゲットの環境へのイニシャル・アクセスは、Fortinet FortiGate firewall SSL VPN アプライアンスの、休眠アカウントを使用して確立されていた。

Windows の脆弱性 CVE-2024-38112：悪意の “.url” を IE に開かせる可能性 – Check Point

Check Point Research Details 0-Day Flaw (CVE-2024-38112), Threatens Windows Users

2024/07/09 SecurityOnline — 無害に見える Windows Internet Shortcut ファイル (.url) を武器にして、無防備なユーザーを狙う新たなゼロデイ攻撃を、Check Point Research のサイバーセキュリティ研究者たちが発見した。この、脆弱性 CVE-2024-38112 を悪用する巧妙な攻撃は、長らく使われていなかった Internet Explorer (IE) ブラウザを復活させことで、最新の Windows 10／11 の OS 上であっても、悪意のコードを実行させる可能性を持つものだ。

Microsoft SmartScreen の脆弱性 CVE-2024-21412：情報窃取マルウェアの展開に悪用されている

Cybercriminals Escalate Attacks Exploiting Microsoft SmartScreen Flaw (CVE-2024-21412)

2024/07/07 SecurityOnline — Microsoft Defender SmartScreen の脆弱性 CVE-2024-21412 を悪用するサイバー攻撃が急増していることが、Cyble Research and Intelligence Labs (CRIL) が公開したレポートにより明らかになった。この脆弱性に対しては、すでにパッチが適用されているが、以前にも DarkGate や Water Hydra などの脅威グループのキャンペーンで悪用されていた。しかし、現在では、Lumma や MeduzaStealer といった情報窃取マルウェアを展開する、サイバー犯罪者たちにより広く悪用されている。

Jenkins サーバのミスコンフィグ：クリプトジャッキング攻撃に悪用されている

Misconfigured Jenkins Servers Targeted in Cryptojacking Attacks

2024/07/06 SecurityOnline — Jenkins サーバのミスコンフィグを標的とする攻撃が相次いでいることを、サイバー・セキュリティの世界のリーダー Trend Micro が警告している。脅威アクターたちは、Jenkins Script Console の脆弱性を悪用して、暗号通貨マイニング・ソフトウェアを不正にインストール／運用し、無防備な組織から計算リソースを抜き取っている。

Twilio Authy の API に脆弱性：3,300万件の電話番号を含むユーザー情報が流出

Hackers abused API to verify millions of Authy MFA phone numbers

2024/07/03 BleepingComputer — Twilio が認めたのは、数百万人の Authy 多要素認証ユーザーの電話番号を確認できる脅威アクターたちが、SMS フィッシングや SIM スワッピングなどの攻撃を仕掛けてくる可能性があることだ。Authy は、MFA をサポートしている Web サイトにおいて、多要素認証コードを生成するモバイル・アプリだが、その API エンドポイントの安全性が欠如していた。2024年6月下旬に、ShinyHunters という脅威アクターが流出させた CSV ファイルには、Authy サービスに登録された 3,300万件の電話番号を含まれていた。

Microsoft MSHTML の脆弱性 CVE-2021-40444：スパイウェア MerkSpy の配布で悪用

Microsoft MSHTML Flaw Exploited to Deliver MerkSpy Spyware Tool

2024/07/03 TheHackerNews — Microsoft MSHTML の脆弱性 CVE-2021-40444 を悪用して、MerkSpy という監視ツールを配信する、未知の脅威アクターが発見された。このキャンペーンでは、カナダ／インド／ポーランド／米国のユーザーが、主要ターゲットにされているという。Fortinet FortiGuard Labs の研究者である Cara Lin は、「MerkSpy は、ユーザーの活動を密かに監視して、機密情報を取得することに加えて、侵害したシステム上で永続性を確立するよう設計されている」と、先週に公開されたレポートで述べている。