Windows – Page 7 – IoT OT Security News

Outlook のゼロデイ脆弱性 CVE-2023-23397：突出した危険度に要注意

Microsoft Outlook Vulnerability Could Be 2023’s ‘It’ Bug

2023/03/18 DarkReading — 先日に Microsoft は、積極的に悪用されている Outlook のゼロデイ脆弱性 CVE-2023-23397 にパッチを適用した。この脆弱性の悪用に成功した攻撃者は、権限昇格を実行し、被害者の Net-NTLMv2 チャレンジ・レスポンス認証ハッシュにアクセスし、ユーザーになりすますことが可能だ。現時点において、CVE-2023-23397 は、今年に入って発生したバグの中で、最も広範囲に影響を及ぼす危険なものだと判明し、セキュリティ研究者たちは警告を発している。わずか３日前に公開されたばかりだが、数多くの PoC エクスプロイトが登場している。悪用する際に、ユーザーの操作が必要ないという点からも、犯罪者の関心が大きく高まることは間違いない。

Microsoft Outlook のゼロデイ CVE-2023-23397 が FIX：直ちにパッチ適用を！

Microsoft fixes Outlook zero-day used by Russian hackers since April 2022

2023/03/14 BleepingComputer — ロシアの軍事情報機関 GRU に関連するハッキング・グループが、欧州の組織への攻撃に悪用した Outlook のゼロデイ脆弱性 (CVE-2023-23397) に、Microsoft はパッチを適用した。この脆弱性は、2022年4月中旬から 12月までの間に、政府／軍事／エネルギー／輸送機関などのネットワークを標的にした、15件ほどの攻撃で悪用されてきた。この攻撃を仕掛けたのは、APT28／STRONTIUM／Sednit／Sofacy／Fancy Bear などの名前で追跡されているハッキング・グループである。その手口は、悪意の Outlook のメモとタスクを送信し、NTLM ネゴシエーション・リクエストを介して NTLM ハッシュを盗み出し、攻撃者が制御する SMB 共有に対して、ターゲットのデバイスを強制的に認証させるというものだ。

Microsoft 2023-3 月例アップデートは２件のゼロデイと 83件の脆弱性に対応

Microsoft March 2023 Patch Tuesday fixes 2 zero-days, 83 flaws

2023/03/14 BleepingComputer — 今日は Microsoft の March 2023 Patch Tuesday の日であり、このセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性２件と、合計で 83件の不具合が修正された。また、Critical と評価された９つの脆弱性は、リモートコード実行／サービス拒否／特権昇格攻撃などにいたる恐れのあるものだ。

MFA の限界を知ろう：Active Directory との相性の悪さについて深堀りする

When Partial Protection is Zero Protection: The MFA Blind Spots No One Talks About

2023/03/10 TheHackerNews — 多要素認証 (MFA) は、かなり以前から、標準的なセキュリティ手法になっている。アカウント乗っ取り攻撃の 99% 以上を防ぐという、MFA の性能は広く認められており、MFAの導入は必須だと、セキュリティ・アーキテクトが考えるのも不思議ではない。しかし、あまり知られていないのは、従来からの MFA ソリューションには、固有の適用範囲の制限であるという視点である。RDP 接続やローカル・デスクトップへのログインには対応しているが、たとえば PsExec や Remote PowerShell などの、リモート・コマンド・ライン・アクセス・ツールを保護する機能は備えていない。

ATM を狙う FiXS マルウェアはロシア由来：CEN XFS をサポートする全デバイスが攻撃対象

New ATM Malware ‘FiXS’ Emerges

2023/03/06 SecurityWeek — サイバーセキュリティ企業 Metabase Q は、ラテンアメリカの ATM を標的とする新しいマルウェア・ファミリーの動きを確認した。FiXS という名の、ロシアのメタデータを持つ脅威アクターは、現時点ではメキシコの銀行を標的にしている、CEN XFS をサポートする全ての ATM を標的にできることが判明している。これまでに活動してきた Ploutus ATM マルウェアと同様に、FiXS の展開には外部キーボードが必要となるため、サイバー犯罪者による ATM への物理的なアクセスが行われているようだ。

Iron Tiger ハッキング・グループは中国由来の APT27：Linux 版のカスタム・マルウェアを投入

Iron Tiger hackers create Linux version of their custom malware

2023/03/01 BleepingComputer — Iron Tiger こと APT27 ハッキング・グループは、カスタム・リモートアクセス・マルウェア SysUpdate の新しい Linux 版を用意し、企業で使用される広範なサービスを標的にしようとしている。Trend Micro の最新レポートによると、このハッカーは 2022年7月より Linux 版をテストし始めている。そして、2022年10月になると、複数のペイロードが野放し状態で活動し始めまた。

Parallax RAT の標的は暗号通貨企業：洗練されたインジェクション技術で検出を回避

Parallax RAT Targeting Cryptocurrency Firms with Sophisticated Injection Techniques

2023/03/01 TheHackerNews — Parallax RAT と呼ばれるリモート・アクセス型トロイの木馬を配信する新しいキャンペーンにおいて、暗号通貨企業が標的にされている。Uptycs の最新レポートには、「このマルウェアは、インジェクション技術を用いて正規のプロセス内に潜伏し、検出を困難にしている。その注入を成功させた攻撃者は、おそらく通信チャネルとして機能する Windows Notepad を介して、被害者に接触するようになる。

PureCrypter のキャンペーンの狙いは政府機関：AgentTesla などのマルウェアを配布

PureCrypter used to deliver AgentTesla to govt organizations

2023/02/27 SecurityAffairs — PureCrypter マルウェア・ローダーを使用し、政府機関を標的としたキャンペーンを展開する未知の脅威アクターを、Menlo Labs の研究者たちが発見した。このキャンペーンは、侵害した NPO のドメインを C2 サーバとして悪用して、Redline Stealer／AgentTesla／Eternity／Blackmoon／Philadelphia Ransomware などのマルウェアを配信し、セカンド・ステージ・ペイロードを展開しようとするものだ。専門家たちが発見したのは、アジア太平洋地域 (APAC) ／北米の複数の政府系組織に対する、複数のマルウェア配信の試みである

PlugX マルウェアは中国由来：Windows の x32dbg を装い攻撃を仕掛ける

PlugX Trojan disguised as a legitimate Windows open-source tool in recent attacks

2023/02/27 SecurityAffairs — オープンソースの Windows デバッガ・ツール x32dbg を装う、PlugX RAT (Remote Access Trojan) の配布を目的とした新たな攻撃を、Trend Micro が発見した。x32dbg は、カーネル・モードやユーザー・モードのコード／クラッシュ・ダンプ／CPU レジスタなどの解析を可能にするツールである。

Brave のユーザー保護機能が前進：open in app のブロックで pool-party 攻撃に対抗

Brave browser to block “open in app” prompts, pool-party attacks

2023/02/24 BleepingComputer — プライバシー保護に特化したブラウザ Brave の次期メジャー・バージョンでは、”open in app” のような煩わしいプロンプトがブロックされ、pool-party 攻撃に対する保護の強化が始まる予定だという。この、邪魔な “open in app” ポップアップは、ブラウザのプライバシー保護機能が適用されない空間へと、訪問者を連れて行くことを目的としており、広範なユーザー・データが、アプリの作成者により自由に収集される可能性を生じる。

ChatGPT の偽アプリ／偽ドメインに御用心：Windows／Android マルウェアが配信されている

Hackers use fake ChatGPT apps to push Windows, Android malware

2023/02/22 BleepingComputer — OpenAI のチャットボット ChatGPT の人気を利用して、Windows／Android 向けのマルウェア配布や、無防備な人々をフィッシング・ページへと誘導する、驚異アクターの活動が検知されている。2022年11月にリリースされた ChatGPT は絶大な人気を博し、2023年1月の時点で１億人以上のユーザーを持つという、最も急成長したコンシューマー向けアプリケーションである。この人気と急成長が要因となり、OpenAI はツールの使用を制限せざるを得ない状況になった。つなり、利用制限なしでチャットボットを使用する個人向けに、月額 $20 の有料サービス (ChatGPT Plus) を立ち上げることになった。

Windows の脆弱性 CVE-2023-21752 の悪用を確認：直ちにパッチ適用を！

Hackers Exploit Privilege Escalation Flaw on Windows Backup Service

2023/02/21 InfoSecurity — Windows の Backup and Restore サービスに存在する、権限昇格の脆弱性 CVE-2023-21752 が、脅威アクターたちに悪用されていることが確認された。CloudSEK の研究者たちは、「この脆弱性の悪用に成功したベーシック・ユーザーは、Windows Backup and Restore サービスから指定したストレージパスを介して、ホスト上で任意のコード実行することでファイルの削除が可能になる。このアクションは、特権を持つユーザーのみが実行できるものだ」と述べている。

CISA KEV 警告 23/02/14：Windows／Office／iOS の脆弱性を悪用リストに追加

CISA warns of Windows and iOS bugs exploited as zero-days

2023/02/16 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃において野放し状態で悪用される脆弱性４件をバグリストに追加した。そのうち２件は、Microsoft 製品に影響するものだ。パッチ未適用の Windows システム上で、Common Log File System Driver やグラフィック・コンポーネントの脆弱性の悪用に成功した攻撃者に対して、リモート実行 (CVE-2023-21823) および特権昇格 (CVE-2023-23376) を許してしまう。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。

Microsoft 2023-2 月例アップデートは３件のゼロデイと 77件の脆弱性に対応

Microsoft February 2023 Patch Tuesday fixes 3 exploited zero-days, 77 flaws

2023/02/14 BleepingComputer — 今日の、Microsoft February 2023 Patch Tuesday により、活発に悪用されているゼロデイ脆弱性３件を含む、合計77件の脆弱性が修正された。そのうちの９件は、脆弱なデバイスでリモート・コード実行を可能にするもので、深刻度 Critical に分類されている。

CISA KEV 警告 23/02/10：Intel Ethernet Diagnostics の古い脆弱性などを追加

CISA adds Fortra MFT, TerraMaster NAS, Intel driver Flaws, to its Known Exploited Vulnerabilities Catalog

2023/02/11 SecurityAffairs — CISA は、Fortra MFT／Intel ドライバ／TerraMaster NAS などに存在し、活発に悪用されている脆弱性 CVE-2023-0669／CVE-2015-2291／CVE-2022-24990 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この CVE-2015-2291 (CVSS：7.8) は、Windows IQVW32.sys／IQVW64.sys 用の Intel イーサネット診断ドライバに存在する、サービス拒否 (DoS) の脆弱性である。

Microsoft WinGet Package Manager がダウン：CDN の SSL 期限切れが原因

Microsoft WinGet package manager failing from expired SSL certificate

2023/02/11 BleepingComputer — Microsoft WinGet Package Manager で発生した問題は、WinGet CDN の SSL／TLS 証明書の有効期限が切れた後の、パッケージのインストール／アップグレードに関するものだ。2020年5月にオープンソースとしてリリースされた Windows Package Manager (WinGet) は、コマンドラインからユーザーが、ダイレクトにアプリケーションをインストールするためのものだ。

SonicWall の Web Content FIXilteringが無効化？ Windows 11 22H2 に限定した問題

SonicWall warns web content filtering is broken on Windows 11 22H2

2023/02/08 BleepingComputer — 今日、セキュリティ・ハードウェア・メーカーである SonicWall が発した警告は、Windows 11 バージョン 22H2 システムにおける WCF (Web Content FIXiltering) 機能に制限が生じるというものだ。SonicWall の Cloud Management Console サービスと、Capture Client の組み合わせは、Endpoint Detection & Response (EDR) 機能を備えた Windows／macOS 用のセキュリティ・ソリューションである。

Sliver マルウェアによる BYOVD 攻撃：Windows にバックドアを作る手順とは？

Hackers backdoor Windows devices in Sliver and BYOVD attacks

2023/02/06 BleepingComputer — Sunlogin の脆弱性を悪用して Sliver ポスト・エクスプロイト・ツールキットを展開し、Windows Bring Your Own Vulnerable Driver (BYOVD) 攻撃を仕掛けることで、セキュリティ・ソフトウェアを無効化するという、新しいハッキング・キャンペーンが観測されている。Sliver とは、Bishop Fox が作成したポスト・エクスプロイト・ツールキットであり、Cobalt Strike の代替手段として、昨年の夏から脅威アクターたちが利用し始めているものだ。その機能としては、ネットワーク監視／コマンド実行、反射型 DLL ロード／セッション生成／プロセス操作などが提供されている。

Microsoft Visual Studio アドインを悪用するマルウェア：リモート配布を検知

Hackers weaponize Microsoft Visual Studio add-ins to push malware

2023/02/03 BleepingComputer — Microsoft Visual Studio Tools for Office (VSTO) を悪用するハッカーたちが、ターゲット・マシン上で悪意の Office アドインを用いて、持続性を維持しながらコードを実行する攻撃へと移行するだろうと、セキュリティ研究者たちが警告している。このテクニックは、Office 文書に VBA マクロを忍び込ませ、外部ソースからマルウェアを取得させる手法に代わるものだ。Microsoft が Office の VBA／XL4 マクロの実行を、デフォルトでブロックすると発表した以降において、脅威アクターたちがマルウェアを配布する手法は、アーカイブ (.ZIP、.ISO)／ショートカット (.LNK) ファイルに移行している。

GitHub から盗まれたコード署名証明書：Desktop／Atom 版が 2月2日に失効

GitHub revokes code signing certificates stolen in repo hack

2023/01/30 BleepingComputer — 未知の攻撃者が GitHub の開発とリリース計画にリポジトリにアクセスし、Desktop／Atom アプリケーションの暗号化されたコード署名証明書を盗み出したとのことだ。GitHub によると、盗み出されてしまったパスワード保護された証明書 (Apple Developer ID 証明書１枚と Windows アプリに使用される Digicert コード・サイニング証明書２枚) が、悪意の目的で使用されたという証拠は、これまでのところ発見されていない。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

Windows CryptoAPI の脆弱性 CVE-2022-34689：PoC エクスプロイトが公開

Researchers release PoC exploit for critical Windows CryptoAPI bug (CVE-2022-34689)

2023/01/26 HelpnetSecurity — Akamai の研究者たちが、公開キー証明書を検証する Windows CryptoAPI に存在する、深刻な脆弱性 CVE-2022-34689 に対する PoC エクスプロイトを公表した。この Windows／Windows Server に影響する脆弱性は、2022年10月に修正プログラムが公開されている。その際に Microsoft は、「攻撃者は既存の公開証明書 x.509 を操作して身元を偽り、認証／コード署名などのアクションを、本物の証明書を持っているかのように実行できる」と説明していた。

Emotet が新たなバイパス手法で再登場：クレカ窃取と横移動の新モジュールを追加

Emotet Malware Makes a Comeback with New Evasion Techniques

2023/01/24 TheHackerNews — マルウェア Emotet は、Bumblebee／IcedID などの危険なマルウェアの感染経路となる一方で、その手口を改良し、レーダーを回避し続けている。2021年初頭に、捜査当局が Emotet のインフラを排除したが、同年末には活動を再開しており、フィッシング・メールを介して配布される、持続的な脅威として存在し続けている。このウイルスは、サイバー犯罪グループ TA542 (別名 Gold Crestwood／Mummy Spider) に帰属するものであり、バンキング型トロイの木馬として 2014年に登場した後に、マルウェア配布者へと進化してきた。

Microsoft OneNote ファイルに要注意：新たなマルウェア配布が始まっている

Hackers now use Microsoft OneNote attachments to spread malware

2023/01/21 BleepingComputer — OneNote の添付ファイルをフィッシング・メールに使用する攻撃者たちが、被害者のマシンにリモート・アクセスに対応するマルウェアを感染させ、さらなるマルウェアのインストールや、パスワードの窃取、暗号通貨ウォレット侵害へとエスカレートさせようとしている。長年にわたり攻撃者たちは、電子メールに添付した Word／Excel ファイルに隠したマクロを起動させ、マルウェアをダウンロード／インストールするという方式で、マルウェアを配布してきた。しかし、2022年7月に Microsoft は、Office 文書に含まれるマクロをデフォルトで無効にし、マルウェアの配布に利用できないようにした。

StrRAT／Ratty マルウェア：ポリグロット方式で検知を回避して配布される

Cybercriminals Using Polyglot Files in Malware Distribution to Fly Under the Radar

2023/01/13 TheHackerNews — StrRAT／Ratty などのリモート・アクセス型トロイの木馬は、ポリグロットと悪意の Java アーカイブ (JAR) ファイルの組み合わせで配布されており、検知を回避する新しい方法を、脅威アクターが継続的に発見していることを、改めて浮き彫りにしている。Deep Instinct のセキュリティ研究者 Simon Kenin のレポートには、「攻撃者たちは、JAR ファイル形式を適切に検証できないセキュリティ・ソリューションを混乱させるために、ポリグロット手法を使用している」と述べている。

Google Chrome 109 がリリース：全体で 17件の脆弱性に対応

Chrome 109 Patches 17 Vulnerabilities

2023/01/11 SecurityWeek — 2023年1月10日に Google は、Chrome 109 を Stable チャネルでリリースし、外部の研究者から報告された 14件のバグを含む、全体で 17件の脆弱性にパッチを適用したと発表した。外部から報告されたセキュリティ上の欠陥の大半は、深刻度が Medium と Low 脆弱性である。また、High と評価された２件は、Overview Mode における use-after-free の脆弱性 CVE-2023-0128 と、Network Service におけるヒープバッファ・オーバーフローの脆弱性 CVE-2023-0129 である。Google は、これらの脆弱性に対して、それぞれ $4,000 と $2,000 のバグバウンティを支払ったとしている。

AnyDesk に大量の偽サイト：Vidar マルウェアを配布する 1,300 以上のドメイン

Over 1,300 fake AnyDesk sites push Vidar info-stealing malware

2023/01/10 BleepingComputer — AnyDesk の公式サイトを装う 1,300以上のドメインを用いて、情報スティーラー・マルウェア Vidar を仕込んだ Dropbox フォルダーへと、すべてのターゲットをリダイレクトさせる、大規模なキャンペーンが進行中だ。AnyDesk は、Windows／Linux／mac OS向けの、リモート・デスクトップ・アプリであり、セキュアなリモート接続／システム管理のために、世界中で数百万人が使用している。この人気から、AnyDesk は、マルウェア配布キャンペーンで頻繁に悪用されている。たとえば、2022年10月に、AnyDesk のフィッシング・サイトを利用する Mitsu Stealer のオペレーターが、新しいマルウェアをプッシュしていることを Cyble が報告している。

Microsoft 2023-1 月例アップデートは１件のゼロデイと 98件の脆弱性に対応

Microsoft January 2023 Patch Tuesday fixes 98 flaws, 1 zero-day

2023/01/10 BleepingComputer — 今日の、Microsoft January 2023 Patch Tuesday により、活発に悪用されているゼロデイ脆弱性１件を含む、合計 98件の脆弱性が修正された。2023年最初の Patch Tuesday で修正された 98件の脆弱性のうち 11件は、最も深刻なタイプの脆弱性のひとつであるリモート・コード実行／セキュリティ・バイパス／権限昇格を可能にするものであり、Critical に分類されている。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

VirusTotal チートシートが登場：より具体的なデータ検索が可能に

VirusTotal cheat sheet makes it easy to search for specific results

2022/12/20 BleepingComputer — VirusTotal が公開したチートシートは、このマルウェアの情報プラットフォーム上でクエリを作成するものであり、より具体的な検索結果を、研究者たちは得られるようになる。このチートシートは、検索結果の絞り込みに役立つファイル検索修飾子を、どのように組み合わせれば、特定のデータを検出できるのかを示している。

Samba の深刻な脆弱性 CVE-2022-45141 などが FIX：複数の欠陥に対応

Samba Issues Security Updates to Patch Multiple High-Severity Vulnerabilities

2022/12/17 TheHackerNews — 12月15日に Samba は、複数の脆弱性を修正するためのソフトウェア・アップデートをリリースした。今回のアップデートでリリースされたバージョン 4.17.4／4.16.8／4.15.13 では、深刻度の高い脆弱性 CVE-2022-38023／CVE-2022-37966／CVE-2022-37967／CVE-2022-45141 に対するパッチが適用されている。Sambaは、Linux／Unix／macOS などの OS 用のオープンソースの Windows 相互運用性スイートであり、ファイルサーバ／プリンタ／Active Directory サービスを提供している。

Minecraft を狙う DDoS ボットネット：PC から IoT デバイスへと広がる感染経路

Minecraft Servers Under Attack: Microsoft Warns About Cross-Platform DDoS Botnet

2022/12/16 TheHackerNews — 12月15日 (木) に Microsoft は、主にプライベートな Minecraft サーバに対して DDoS 攻撃を行うために設計された、クロスプラットフォーム・ボットネットにフラグを立てた。このボットネットは MCCrash と呼ばれ、Windows ホスト上でダウンロードされた悪意のソフトウェアから発生するが、Linux ベースのデバイスに伝播するという、独自の拡散メカニズムが特徴となっている。

Microsoft Windows SPNEGO の脆弱性 CVE-2022-37958：IBM が唱える異論とは？

Microsoft Reclassifies SPNEGO Extended Negotiation Security Vulnerability as ‘Critical’

2022/12/15 TheHackerNews — Microsoft は、2022年9月にパッチ適用したセキュリティ脆弱性について、リモートコード実行に悪用される可能性があると判明したことで、深刻度を Critical に修正した。この脆弱性 CVE-2022-37958 (CVSS : 8.1) は、SPNEGO Extended Negotiation (NEGOEX) Security Mechanism における情報漏洩の脆弱性であると、これまでは説明されてきた。

Microsoft の深刻な２つのゼロデイ脆弱性：2022-12 月例アップデートで FIX

Two Zero-Days Fixed in December Patch Tuesday

2022/12/14 InfoSecurity — 2022年12月の Microsoft Patch Tuesday は、２つのゼロデイを含む 50件ほどの脆弱性に対処したが、そのうちの１つは野放し状態で悪用されているものだ。このうちの一握りの脆弱性は Critical と評価され、また 13件については悪用される可能性が高いと、Microsoft は説明している。したがって、年末にシステム管理者が行うべき作業が、たくさん残っていることになる。

QBot の新しい戦略：SVG ベクター画像ファイル内にマルウエアを隠し持つ

Attackers use SVG files to smuggle QBot malware onto Windows systems

2022/12/14 BleepingComputer — QBot マルウェアのフィッシング・キャンペーンは、SVG (Scalable Vector Graphics) ファイルを悪用して Windows 用の不正なインストーラーをローカルに作成する、HTML スマグリングの新たな配布方法を採用している。この攻撃は、JavaScript を含むエンベッド SVG ファイルにより行われ、Base64 エンコードされた QBot マルウェアのインストーラーを再構築し、ターゲットのブラウザを通じて自動的にダウンロードさせるものだ。

GoTrim ボットネットのブルートフォース攻撃：WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開／クレジットカード窃取スクリプトの注入／フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Chrome での Passkeys サポート開始：Android／iOS デバイスの生体認証を活用

Google Adds Passkey Support to Chrome for Windows, macOS and Android

2022/12/12 TheHackerNews — Google は、次世代パスワードレス・ログイン規格である Passkeys のサポートを、Chrome の Stable バージョンで正式に展開し始めた。同社の Ali Sarraf は、「Passkeys は、フィッシングによる攻撃が可能な、パスワードなどの認証要素に代わる、より安全性の高い技術である。それらの再利用は不可能であり、また、サーバー侵害で漏洩することもないため、フィッシング攻撃からユーザーを保護できる」と述べている。

サイバー侵害の手口を分析：33% の証明書アクセスや 35% の Cobalt Strike 利用など

33% of attacks in the cloud leverage credential access

2022/11/30 HelpNetSecurity — Elastic Security Labs が発表した 2022 Elastic Global Threat Report は、サイバー・セキュリティ脅威の進化と、クラウド／エンドポイントに関連する攻撃の高度化について詳述するものだ。クラウド上の攻撃の 33 %は、クレデンシャル・アクセスを利用している。言い換えるならば、クラウド環境のセキュリティを、ユーザーが過大評価していることになる。その結果として、適切な設定や保護を行われないケースが多発している。

Acer Laptop の深刻な脆弱性が FIX： UEFI Secure Boot が回避される可能性

Acer fixes UEFI bugs that can be used to disable Secure Boot

2022/11/28 BleepingComputer — Acer が修正した深刻度の高い脆弱性は、ローカルの攻撃者が標的とするシステム上で、UEFI Secure Boot が無効にされる可能性を生じ、複数のラップトップ・モデルに影響を与えるものである。Secure Boot 機能とは、TPM (Trusted Platform Module) チップと、UEFI (Unified Extensible Firmware Interface) ファームウェアを搭載したコンピュータにおいて、信頼できない OS ブートローダをブロックし、ルートキットやブートキットといった悪質なコードが、起動プロセス中にロードされないようにするものだ。

Windows Server IKE の深刻な RCE 脆弱性 CVE-2022-34721：中国からの攻撃を観測

Remote Code Execution Vulnerability Found in Windows Internet Key Exchange

2022/11/25 InfoSecurity — Windows Internet Key Exchange (IKE) Protocol Extensions を標的とした一連のエクスプロイトが、野放し状態で悪用されていることが発見された。セキュリティ企業の Cyfirma が InfoSecurity と共有した最新のアドバイザリによると、発見された脆弱性は、およそ 1000 のシステムをターゲットに悪用されている可能性があるようだ。また、同社が観測した攻撃は、中国語話者の脅威アクターによる、“bleed you” と訳されるキャンペーンの一部である可能性があるという。

Windows の MoTW ゼロデイを悪用：Qbot 投下フィッシング・キャンペーンが発覚

New attacks use Windows security bypass zero-day to drop malware

2022/11/19 BleepingComputer — 新たに発見されたフィッシング攻撃は、Windows のゼロデイ脆弱性を利用して、Mark of the Web のセキュリティ警告を表示せずに、マルウェア Qbot をドロップするものだ。Web やメールなどを介して、信頼できないリモートからのファイルがダウンロードされると、Windows は Mark of the Web (MoTW) と呼ばれる特別フラグを、それらのファイルに追加する。

Samba の深刻な脆弱性 CVE-2022-42898 が FIX：DoS／RCE による乗っ取りの可能性

Samba Patches Vulnerability That Can Lead to DoS, Remote Code Execution

2022/11/18 SecurityWeek — 今週に Samba は、任意のコード実行を揺する可能性のある、整数オーバーフローの脆弱性に対してパッチをリリースした。Samba は、Linux／Unix システム用のオープンソース・サーバ・メッセージ・ブロック (SMB) 実装であり、Active Directory ドメインコントローラ (AD DC) として使用できるものだ。複数の Samba リリースに影響を与える脆弱性 CVE-2022-42898 は、ユーザーに代わって別のサービスへのサービス・チケットを取得するサービスを提供する、Service for User to Proxy (S4U2proxy) ハンドラーに存在する。

IceXLoader マルウェアの感染が増大：Windows Defender を巧みに回避

Phishing drops IceXLoader malware on thousands of home, corporate devices

2022/11/10 BleepingComputer — 現在進行中のフィッシング・キャンペーンにより、数千のホーム／コーポレート・ユーザーが、マルウェア IceXLoader の新バージョンに感染していることが判明している。この夏に、マルウェア・ローダー IceXLoader の野放し状態での悪用が発見されたが、その後にツールの機能が強化され、多段階の配信チェーンを導入されるという、バージョン 3.3.3 がリリースされている。2022年6月に Fortinet が、この Nim ベースのマルウェアを発見したときのバージョンは 3.0 であり、また、ローダーとしての重要な機能が欠けており、開発中というような印象だったという。

Microsoft の MoTW ゼロデイ脆弱性：VBA Macro ブロックに関連する重要機能

Microsoft Patches MotW Zero-Day Exploited for Malware Delivery

2022/11/09 SecurityWeek — Microsoft の最新 Patch Tuesday では、サイバー犯罪者がマルウェアを送り込むために悪用している、Mark-of-The-Web (MoTW) セキュリティ機能の欠陥などを含む、６つのゼロデイ脆弱性が対処された。Windows では、ブラウザからのダウンロード・ファイルや電子メールの添付ファイルといった、信頼できない場所から送られてくるファイルに、MoTW フラグが追加される。そして、MoTW が設定されたファイルを開こうとすると、潜在的なリスクについて警告が表示され、それが Office ファイルの場合には、悪質なコードの実行を防ぐために VBA マクロがブロックされる。

Microsoft 2022-11 月例アップデートは６件のゼロデイと 68件の脆弱性に対応

Microsoft November 2022 Patch Tuesday fixes 6 exploited zero-days, 68 flaws

2022/11/08 BleepingComputer — 今日の、Microsoft November 2022 Patch Tuesday により、Windows 上で活発に悪用されている６件の脆弱性を含む、合計 68件の脆弱性が修正された。今日のアップデートでは、68件の脆弱性が修正されたが、そのうち 11件は、最も深刻なタイプの脆弱性のひとつである権限昇格／成りすまし／リモート・コード実行を可能にするもので、Critical に分類されている。

Windows の MoTW ゼロデイ脆弱性：Magniber ランサムウェアを 0Patch が阻止する？

Actively exploited Windows MoTW zero-day gets unofficial patch

2022/10/30 BleepingComputer — Windows 10／11 の積極的に悪用されているゼロデイに対して、無料の非公式パッチがリリースされた。この脆弱性は、不正に署名されたファイルが、Mark-of-the-Web セキュリティ警告を回避するというものだ。先週末に BleepingComputer は、スタンドアロンの JavaScript ファイルを悪用する脅威アクターが、被害者のデバイスに Magniber ランサムウェアをインストールしていることを報告した。

大規模タイポスクワット・キャンペーン：Android／Windows ユーザーを狙う 600+ のドメインを列挙

Typosquat Campaign Targeting Android, Windows Users Now Counts 600+ Domains

2022/10/26 InfoSecurity — この週末に Cyble と BleepingComputer が発見した大規模なタイポスクワット・キャンペーンだが、それに関連する大規模なドメイン群を示唆する、いくつかの兆候がセキュリティ研究者たちにより明らかにされた。一連の攻撃では、Windows／Android ユーザーが標的とされ、200種類以上のタイポスクワット・ドメインにおいて、27件のブランドが模倣されていた。現時点において DomainTools は、さらに疑わしいインフラを発見したと説明しており、InfoSecurity と共有するブログ投稿で、その詳細を説明している。

SQLite Database Library で 22年前のバグが発覚：Chrome 64 Bit などに生じる影響とは？

22-Year-Old Vulnerability Reported in Widely Used SQLite Database Library

2022/20/25 TheHackerNews — 2000年10月に行われたコード変更がもたらした、SQLite データベース・ライブラリの深刻な脆弱性により、プログラムのクラッシュや乗っ取りが生じる可能性が判明した。この 22 年前の脆弱性 CVE-2022-35737 (CVSS : 7.5) は、SQLite バージョン 1.0.12〜3.39.1 に影響するものであり、2022 年 7 月 21 日にリリースされたバージョン 3.39.2 で対処されている。

PowerShell バックドアの新種：Windows Update プロセスに偽装して検出を回避

New PowerShell Backdoor Poses as Part of Windows Update Process

2022/10/19 SecurityWeek — サイバーセキュリティ企業である SafeBreach は、Windows のアップデート・プロセスの一部として自身を偽装し、検出を回避する新たな PowerShell バックドアについて警告を発表した。このバックドアは、洗練された未知の脅威者により操作され、リンクされた Word 文書を通じて配布される。