Web Shell – IoT OT Security News

Atlassian Confluence の脆弱性 CVE-2023-22527：Godzilla Web シェルのドロップで悪用

Godzilla Backdoor: A Stealthy Threat Targeting Atlassian Confluence Flaw (CVE-2023-22527)

2024/08/30 SecurityOnline — Atlassian Confluence Data Center／Server の脆弱性 CVE-2023-22527 を悪用する新たな攻撃手法が、Trend Micro のサイバー・セキュリティ研究者たちにより発見された。このキャンペーンで採用されている Godzilla バックドアは、中国で開発されたファイルレス・マルウェアであり、メモリ内で動作することで、従来からのセキュリティ・ソリューションを効果的に回避する。

Atlassian Confluence の脆弱性 CVE-2023-22527：Web シェルをドロップする新たな PoC が登場

Stealth Bomber: Atlassian Confluence Exploits Drop Web Shells In-Memory

2024/03/09 DarkReading — さまざまなケースで標的とされる、Atlassian Confluence Data Center／Confluence Server の、脆弱性 CVE-2023-22527 に対する新たな PoC (Proof-of-concept) エクスプロイト・コードが出回っている。この新たな攻撃ベクターを利用する攻撃者は、ファイル・システムにアクセスすることなく、Confluence のメモリ内で任意のコードを密かに実行することが可能になる。

Microsoft Exchange に２つの深刻なゼロデイ脆弱性：積極的な悪用を検出

WARNING: New Unpatched Microsoft Exchange Zero-Day Under Active Exploitation

2022/09/30 TheHackerNews — セキュリティ研究者たちは、すべてのパッチが適用されているはずの Microsoft Exchange Server において、これまで公表されていなかった脆弱性が驚異アクターに悪用され、それにより侵害されたシステム上で、リモートコード実行を実現することを警告している。ベトナムのサイバー・セキュリティ企業である GTSC は、2022年8月に実施したセキュリティ監視とインシデント対応のアクティビティ一環として、この欠点を発見した。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用までの対応を詳述する

Actively Exploited Atlassian Zero-Day Bug Allows Full System Takeover

2022/06/04 DarkReading — UPDATE — Atlassian Confluence の深刻な脆弱性を悪用する攻撃が多発しており、サーバーが完全に乗っ取られる可能性があると、セキュリティ研究者たちが警告している。この脆弱性 CVE-2022-26134 は、未認証のリモート・コード実行を可能にするコマンド・インジェクションの問題であり、Confluence Server／Confluence Data Center のすべての現行バージョンに影響を及ぼす。Volexity による、２つのゼロデイ攻撃に関するフォレンジック調査では、特別に細工した Web リクエストを Confluence のシステムに送信するだけで、認証情報やユーザーの操作を必要とせずに、攻撃者による悪用が成功する可能性があるとのことだ。なお、Atlassian Cloud サイトに影響はない — UPDATE

Atlassian Confluence のゼロデイ脆弱性 CVE-2022-26134：広範な悪用／攻撃が始まっている

Atlassian fixes Confluence zero-day widely exploited in attacks

2022/06/03 BleepingComputer — Atlassian は、Confluence Server／Data Center のゼロデイ脆弱性に対してセキュリティ・アップデートを公開し、インターネットに露出しているサーバーがバックドアとして悪用される問題に対処した。このゼロデイ脆弱性 CVE-2022-26134 は、Confluence Server／Data Center の全ての現行バージョンに影響し、認証されていない攻撃者に対して、未パッチ・サーバー上でのリモート・コード実行を許す可能性がある。

Atlassian Confluence の脆弱性 CVE-2022-26134：パッチ適用前にハッカーが悪用

Hackers Exploiting Unpatched Critical Atlassian Confluence Zero-Day Vulnerability

2022/06/02 TheHackerNews — Atlassian が発した警告は、Confluence Server／Data Center に影響をおよぼすリモート・コード実行の脆弱性に関して、パッチ適用前のシステムが数多く存在し、それらが活発に悪用されているというものだ。オーストラリアに本拠を置く Atlassian は、サイバーセキュリティ会社 Volexity が、脆弱性 CVE-2022-26134 を特定したことの功績を認めている。

Microsoft Exchange への BlackByte 攻撃：依然として ProxyShell が暴れている

Microsoft Exchange servers hacked to deploy BlackByte ransomware

2021/12/01 BleepingComputer — BlackByte というランサムウェアが、ProxyShell と呼ばれる脆弱性を利用してMicrosoft Exchange サーバーを攻撃し、さまざまな企業ネットワークに侵入している。ProxyShell とは、Microsoft Exchange における３つの脆弱性のセットの名称であり、それらが連鎖することで、サーバー上で認証を必要としないリモートコード実行が可能になるものだ。

Conti ランサムウェアが Exchange ProxyShell 脆弱性を狡猾な手口で狙っている

Conti ransomware now hacking Exchange servers with ProxyShell exploits

2021/09/03 BleepingComputer — Conti ランサムウェアは、最近に公開された ProxyShell の脆弱性を悪用して、Microsoft Exchange サーバーに侵入し、企業ネットワークを侵害していくだろう。ProxyShell とは、Microsoft Exchange の脆弱性 (CVE-2021-34473 CVE-2021-34523 CVE-2021-31207) を連鎖させるエクスプロイトの名称であり、パッチが適用されていない脆弱のあるサーバーで、認証を回避したリモート・コード実行を許すことになる。

CISA 警告：Microsoft Exchange の ProxyShell 脆弱性へのパッチを急げ

CISA warns admins to urgently patch Exchange ProxyShell bugs

2021/08/23 BleepingComputer — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、初めての緊急と銘打った警告を発し、オンプレミスの Microsoft Exchange サーバーにパッチを適用し、ProxyShell の脆弱性が積極的に悪用されないようにと促している。同組織は、「悪意の脅威アクターが、ProxyShell の脆弱性である CVE-2021-34473 CVE-2021-34523 CVE-2021-31207 を積極的に利用している。

Black Hat 2021：Microsoft Exchange 問題の新たな観点

‘A whole new attack surface’ – Researcher Orange Tsai documents ProxyLogon exploits against Microsoft Exchange Server

2021/08/06 DailySwig — Black Hat USA 2021 において、ハッキング・マエストロである Orange Tsai は、Microsoft Exchange の脆弱性に関する待望の技術情報を公開した。2021年1月に Tsai が発見した認証前のリモートコード実行 (RCE : remote code execution) の欠陥は、Microsoft Exchange 史上で最も深刻な脆弱性かもしれないと、彼はリモート講演で語っていた。この欠陥は、３月にパッチが適用されたが、悪用されると世界の何十万ものエンタープライズ・メッセージング・サーバーがハッキングされるという、きわめて深刻なゼロデイ欠陥の１つだった。このバグを深く掘り下げた後に Tsai は、ProxyLogon は単一のバグではなく、研究者が新しい脆弱性を発見するために役立つ、まったく新しい攻撃対象領域であることに気づいた。

CISA 警告：Pulse Secure に潜むスティルス・マルウェアに注意せよ

CISA warns of stealthy malware found on hacked Pulse Secure devices

2021/07/21 BleepingComputer — 今日のことだが、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、感染した Pulse Secure デバイスで見つかった十数個のマルウェア・サンプルを公表したが、それらはアンチ・ウイルス製品では、ほとんど検出されないものだと警告している。遅くとも 2020年6月以降には、米国の政府機関および、重要インフラ事業体、各種の民間組織の Pulse Secure デバイスが、脅威アクターによる攻撃の対象となっている。

NSA : Russian GRU ハッカーたちは Kubernetes を悪用してブルートフォースを仕掛ける

NSA : Russian GRU hackers use Kubernetes to run brute force attacks

2021/07/01 BleepingComputer — National Security Agency (NSA) は、ロシアの国家に支援されるハッカーたちが。米国のネットワークから電子メールやファイルを盗むために、ブルートフォース攻撃を行っていると警告している。NSA は、7月1日に発表した勧告のにおいて、Russian GRU の 85th Main Special Service Center (GTsSS) の軍事ユニット 26165 が、2019年から Kubernetes のクラスターを悪用することで、米国政府や国防総省などの組織にパスワード・スプレー攻撃を行っていると述べた。