Windows – Page 7 – IoT OT Security News

Google Chrome の偽アップデートに御用心：日韓言語圏から世界へと広がる攻撃範囲

Hacked sites caught spreading malware via fake Chrome updates

2023/04/11 BleepingComputer — いくつかの Web サイトを侵害したハッカーたちが、偽の Google Chrome 自動更新エラーを表示するスクリプトを注入し、それに気づかない訪問者にマルウェアを配布している。このキャンペーンは、2022年11月から行われている。NTT の Security Analyst である Rintaro Koike によると、2023年2月以降に活動を加速させ、日本語／韓国語／スペイン語を話すユーザーを対象にターゲット範囲を拡大している。このマルウェア配布キャンペーンにより、アダルトサイト／ブログ／ニュースサイト／オンラインストアなどの、多数のサイトがハッキングされたことを、BleepingComputer は確認している。

CISA KEV 警告 23/04/07：Veritas Backup の脆弱性 CVE-2021-27877 など５件が追加

CISA orders agencies to patch Backup Exec bugs used by ransomware gang

2023/04/07 BleepingComputer — 2023年4月7日 (金) 日に CISA は、KEV (Known Exploited Vulnerabilities) カタログに５つの脆弱性を追加した。そのうちの３つは Veritas Backup Exec の脆弱性であり、ランサムウェアを展開するために悪用されている。残りの２つは、Samsung の Web ブラウザを標的としたエクスプロイト・チェーンの一部としてゼロデイで悪用された脆弱性と、Microsoft Windows Certificate Dialog における権限昇格の脆弱性だ。

Veritas Backup の３つの脆弱性：ALPHV／BlackCat ランサムウェアの標的になっている

ALPHV/BlackCat ransomware affiliate targets Veritas Backup solution bugs

2023/04/04 SecurityAffairs — ALPHV／BlackCat ランサムウェア・ギャングのアフィリエイトである UNC4466 が、Veritas Backup の３つの脆弱性を悪用して、ターゲットのネットワークへのイニシャル・アクセスを取得していることが確認された。この UNC4466 は、他の ALPHV のアフィリエイトとは異なり、ターゲットの環境へのイニシャル・アクセスにおいて、盗み出した認証情報に依存していない。2022年10月22日に、Mandiant の研究者たちは、このアフィリエイトが Veritas の脆弱性をターゲットにしていることを初めて観測した。

WinRAR／7-Zip アーカイブに仕込まれたトリック：検出を回避して PowerShell などを実行

WinRAR SFX archives can run PowerShell without being detected

2023/04/03 BleepingComputer — 脅威アクターたちは、WinRAR 自己解凍アーカイブを無害なファイルで偽装した上で、悪意の機能を追加することで、ターゲットシステムのセキュリティ・エージェントを起動させることなく、バックドアを仕掛けるようになってきた。WinRAR や 7-Zip などの圧縮ソフトウェアで作成される、自己解凍型アーカイブ (SFX：Self-extracting archives) は、基本的に、アーカイブされたデータと内蔵の解凍スタブ (データを解凍するためのコード) で構成される実行型のファイルである。そして、SFX ファイルには、不正なアクセスを防止するためのパスワードが設定されている。

IBM の Aspera Faspex の脆弱性 CVE-2022-47986：危険性を考慮した対策が必要

Patch Now: Cybercriminals Set Sights on Critical IBM File Transfer Bug

2023/03/30 DarkReading — IBM のファイル転送スタック Aspera Faspex に存在する、任意のコード実行の脆弱性に対するパッチ適用が滞っていることで、ランサムウェア・ギャングなどのサイバー犯罪者の目に留まりはじめている。この深刻な脆弱性に対して、IBM がパッチをリリースしてから数ヶ月が経つが、脅威アクターたちにより野放し状態で悪用されていると、今週に Rapid7 の研究者たちが報告している。先日に、Rapid7 の顧客が、この脆弱性 CVE-2022-47986 により危険にさらされたことで、研究者たちは、早急な対策が必要であると述べている。

PowerMagic／CommonMagic というマルウェア：新たなバックドアと悪意のフレームワーク

Hackers use new PowerMagic and CommonMagic malware to steal data

2023/03/21 BleepingComputer — セキュリティ研究者たちが発見したのは、CommonMagic と呼ばれる “かつてない悪意のフレームワーク” と、PowerMagic と呼ばれる新しいバックドアを使用した、先進的な脅威アクターによる攻撃だ。これらのマルウェアは、2021年9月ころから現在まで続くオペレーションで使用され、行政／農業／輸送分野の組織をスパイ目的で狙っている。

.NET 開発者がターゲット：NuGet に展開された悪意のパッケージを追跡

Hackers target .NET developers with malicious NuGet packages

2023/03/20 BleepingComputer — タイポスクワッティングにより複数の正規パッケージになりすました暗号通貨ステーラーが、NuGet リポジトリを通じて配信され、.NET 開発者をターゲットに感染し続けている。この継続的なキャンペーンを発見した、JFrog のセキュリティ研究者 Natan Nehorai と Brian Moussalli によると、そのうちの３つは、この１ヶ月の間に 15万回以上もダウンロードされているとのことだ。この膨大なダウンロード数は、システムを侵害された多数の .NET 開発者を示している可能性もありるが、悪意の NuGet パッケージを正当化するために、攻撃者が人為的に操作した結果なのかもしれない。

Outlook のゼロデイ脆弱性 CVE-2023-23397：突出した危険度に要注意

Microsoft Outlook Vulnerability Could Be 2023’s ‘It’ Bug

2023/03/18 DarkReading — 先日に Microsoft は、積極的に悪用されている Outlook のゼロデイ脆弱性 CVE-2023-23397 にパッチを適用した。この脆弱性の悪用に成功した攻撃者は、権限昇格を実行し、被害者の Net-NTLMv2 チャレンジ・レスポンス認証ハッシュにアクセスし、ユーザーになりすますことが可能だ。現時点において、CVE-2023-23397 は、今年に入って発生したバグの中で、最も広範囲に影響を及ぼす危険なものだと判明し、セキュリティ研究者たちは警告を発している。わずか３日前に公開されたばかりだが、数多くの PoC エクスプロイトが登場している。悪用する際に、ユーザーの操作が必要ないという点からも、犯罪者の関心が大きく高まることは間違いない。

Microsoft Outlook のゼロデイ CVE-2023-23397 が FIX：直ちにパッチ適用を！

Microsoft fixes Outlook zero-day used by Russian hackers since April 2022

2023/03/14 BleepingComputer — ロシアの軍事情報機関 GRU に関連するハッキング・グループが、欧州の組織への攻撃に悪用した Outlook のゼロデイ脆弱性 (CVE-2023-23397) に、Microsoft はパッチを適用した。この脆弱性は、2022年4月中旬から 12月までの間に、政府／軍事／エネルギー／輸送機関などのネットワークを標的にした、15件ほどの攻撃で悪用されてきた。この攻撃を仕掛けたのは、APT28／STRONTIUM／Sednit／Sofacy／Fancy Bear などの名前で追跡されているハッキング・グループである。その手口は、悪意の Outlook のメモとタスクを送信し、NTLM ネゴシエーション・リクエストを介して NTLM ハッシュを盗み出し、攻撃者が制御する SMB 共有に対して、ターゲットのデバイスを強制的に認証させるというものだ。

Microsoft 2023-3 月例アップデートは２件のゼロデイと 83件の脆弱性に対応

Microsoft March 2023 Patch Tuesday fixes 2 zero-days, 83 flaws

2023/03/14 BleepingComputer — 今日は Microsoft の March 2023 Patch Tuesday の日であり、このセキュリティ更新プログラムにより、活発に悪用されるゼロデイ脆弱性２件と、合計で 83件の不具合が修正された。また、Critical と評価された９つの脆弱性は、リモートコード実行／サービス拒否／特権昇格攻撃などにいたる恐れのあるものだ。

MFA の限界を知ろう：Active Directory との相性の悪さについて深堀りする

When Partial Protection is Zero Protection: The MFA Blind Spots No One Talks About

2023/03/10 TheHackerNews — 多要素認証 (MFA) は、かなり以前から、標準的なセキュリティ手法になっている。アカウント乗っ取り攻撃の 99% 以上を防ぐという、MFA の性能は広く認められており、MFAの導入は必須だと、セキュリティ・アーキテクトが考えるのも不思議ではない。しかし、あまり知られていないのは、従来からの MFA ソリューションには、固有の適用範囲の制限であるという視点である。RDP 接続やローカル・デスクトップへのログインには対応しているが、たとえば PsExec や Remote PowerShell などの、リモート・コマンド・ライン・アクセス・ツールを保護する機能は備えていない。

ATM を狙う FiXS マルウェアはロシア由来：CEN XFS をサポートする全デバイスが攻撃対象

New ATM Malware ‘FiXS’ Emerges

2023/03/06 SecurityWeek — サイバーセキュリティ企業 Metabase Q は、ラテンアメリカの ATM を標的とする新しいマルウェア・ファミリーの動きを確認した。FiXS という名の、ロシアのメタデータを持つ脅威アクターは、現時点ではメキシコの銀行を標的にしている、CEN XFS をサポートする全ての ATM を標的にできることが判明している。これまでに活動してきた Ploutus ATM マルウェアと同様に、FiXS の展開には外部キーボードが必要となるため、サイバー犯罪者による ATM への物理的なアクセスが行われているようだ。

Iron Tiger ハッキング・グループは中国由来の APT27：Linux 版のカスタム・マルウェアを投入

Iron Tiger hackers create Linux version of their custom malware

2023/03/01 BleepingComputer — Iron Tiger こと APT27 ハッキング・グループは、カスタム・リモートアクセス・マルウェア SysUpdate の新しい Linux 版を用意し、企業で使用される広範なサービスを標的にしようとしている。Trend Micro の最新レポートによると、このハッカーは 2022年7月より Linux 版をテストし始めている。そして、2022年10月になると、複数のペイロードが野放し状態で活動し始めまた。

Parallax RAT の標的は暗号通貨企業：洗練されたインジェクション技術で検出を回避

Parallax RAT Targeting Cryptocurrency Firms with Sophisticated Injection Techniques

2023/03/01 TheHackerNews — Parallax RAT と呼ばれるリモート・アクセス型トロイの木馬を配信する新しいキャンペーンにおいて、暗号通貨企業が標的にされている。Uptycs の最新レポートには、「このマルウェアは、インジェクション技術を用いて正規のプロセス内に潜伏し、検出を困難にしている。その注入を成功させた攻撃者は、おそらく通信チャネルとして機能する Windows Notepad を介して、被害者に接触するようになる。

PureCrypter のキャンペーンの狙いは政府機関：AgentTesla などのマルウェアを配布

PureCrypter used to deliver AgentTesla to govt organizations

2023/02/27 SecurityAffairs — PureCrypter マルウェア・ローダーを使用し、政府機関を標的としたキャンペーンを展開する未知の脅威アクターを、Menlo Labs の研究者たちが発見した。このキャンペーンは、侵害した NPO のドメインを C2 サーバとして悪用して、Redline Stealer／AgentTesla／Eternity／Blackmoon／Philadelphia Ransomware などのマルウェアを配信し、セカンド・ステージ・ペイロードを展開しようとするものだ。専門家たちが発見したのは、アジア太平洋地域 (APAC) ／北米の複数の政府系組織に対する、複数のマルウェア配信の試みである

PlugX マルウェアは中国由来：Windows の x32dbg を装い攻撃を仕掛ける

PlugX Trojan disguised as a legitimate Windows open-source tool in recent attacks

2023/02/27 SecurityAffairs — オープンソースの Windows デバッガ・ツール x32dbg を装う、PlugX RAT (Remote Access Trojan) の配布を目的とした新たな攻撃を、Trend Micro が発見した。x32dbg は、カーネル・モードやユーザー・モードのコード／クラッシュ・ダンプ／CPU レジスタなどの解析を可能にするツールである。

Brave のユーザー保護機能が前進：open in app のブロックで pool-party 攻撃に対抗

Brave browser to block “open in app” prompts, pool-party attacks

2023/02/24 BleepingComputer — プライバシー保護に特化したブラウザ Brave の次期メジャー・バージョンでは、”open in app” のような煩わしいプロンプトがブロックされ、pool-party 攻撃に対する保護の強化が始まる予定だという。この、邪魔な “open in app” ポップアップは、ブラウザのプライバシー保護機能が適用されない空間へと、訪問者を連れて行くことを目的としており、広範なユーザー・データが、アプリの作成者により自由に収集される可能性を生じる。

ChatGPT の偽アプリ／偽ドメインに御用心：Windows／Android マルウェアが配信されている

Hackers use fake ChatGPT apps to push Windows, Android malware

2023/02/22 BleepingComputer — OpenAI のチャットボット ChatGPT の人気を利用して、Windows／Android 向けのマルウェア配布や、無防備な人々をフィッシング・ページへと誘導する、驚異アクターの活動が検知されている。2022年11月にリリースされた ChatGPT は絶大な人気を博し、2023年1月の時点で１億人以上のユーザーを持つという、最も急成長したコンシューマー向けアプリケーションである。この人気と急成長が要因となり、OpenAI はツールの使用を制限せざるを得ない状況になった。つなり、利用制限なしでチャットボットを使用する個人向けに、月額 $20 の有料サービス (ChatGPT Plus) を立ち上げることになった。

Windows の脆弱性 CVE-2023-21752 の悪用を確認：直ちにパッチ適用を！

Hackers Exploit Privilege Escalation Flaw on Windows Backup Service

2023/02/21 InfoSecurity — Windows の Backup and Restore サービスに存在する、権限昇格の脆弱性 CVE-2023-21752 が、脅威アクターたちに悪用されていることが確認された。CloudSEK の研究者たちは、「この脆弱性の悪用に成功したベーシック・ユーザーは、Windows Backup and Restore サービスから指定したストレージパスを介して、ホスト上で任意のコード実行することでファイルの削除が可能になる。このアクションは、特権を持つユーザーのみが実行できるものだ」と述べている。

CISA KEV 警告 23/02/14：Windows／Office／iOS の脆弱性を悪用リストに追加

CISA warns of Windows and iOS bugs exploited as zero-days

2023/02/16 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃において野放し状態で悪用される脆弱性４件をバグリストに追加した。そのうち２件は、Microsoft 製品に影響するものだ。パッチ未適用の Windows システム上で、Common Log File System Driver やグラフィック・コンポーネントの脆弱性の悪用に成功した攻撃者に対して、リモート実行 (CVE-2023-21823) および特権昇格 (CVE-2023-23376) を許してしまう。

Havoc という OSS C2 フレームワーク：Microsoft Defender をバイパスする能力とは？

Hackers start using Havoc post-exploitation framework in attacks

2023/02/15 BleepingComputer — Cobalt Strike や Brute Ratel などの有料オプションに代わるものとして、Havoc という新しいオープンソースの Command and Control (C2) フレームワークへと脅威アクターが乗り換えていることを、セキュリティ研究者たちは確認している。クロス・プラットフォームに対応する Havoc は、スリープの難読化／リターン・アドレス・スタックのスプーフィング／間接的なシステムコールを用いて、最新の Windows 11 と Microsoft Defender をバイパスしていく。

Microsoft 2023-2 月例アップデートは３件のゼロデイと 77件の脆弱性に対応

Microsoft February 2023 Patch Tuesday fixes 3 exploited zero-days, 77 flaws

2023/02/14 BleepingComputer — 今日の、Microsoft February 2023 Patch Tuesday により、活発に悪用されているゼロデイ脆弱性３件を含む、合計77件の脆弱性が修正された。そのうちの９件は、脆弱なデバイスでリモート・コード実行を可能にするもので、深刻度 Critical に分類されている。

CISA KEV 警告 23/02/10：Intel Ethernet Diagnostics の古い脆弱性などを追加

CISA adds Fortra MFT, TerraMaster NAS, Intel driver Flaws, to its Known Exploited Vulnerabilities Catalog

2023/02/11 SecurityAffairs — CISA は、Fortra MFT／Intel ドライバ／TerraMaster NAS などに存在し、活発に悪用されている脆弱性 CVE-2023-0669／CVE-2015-2291／CVE-2022-24990 を、KEV (Known Exploited Vulnerabilities) カタログに追加した。この CVE-2015-2291 (CVSS：7.8) は、Windows IQVW32.sys／IQVW64.sys 用の Intel イーサネット診断ドライバに存在する、サービス拒否 (DoS) の脆弱性である。

Microsoft WinGet Package Manager がダウン：CDN の SSL 期限切れが原因

Microsoft WinGet package manager failing from expired SSL certificate

2023/02/11 BleepingComputer — Microsoft WinGet Package Manager で発生した問題は、WinGet CDN の SSL／TLS 証明書の有効期限が切れた後の、パッケージのインストール／アップグレードに関するものだ。2020年5月にオープンソースとしてリリースされた Windows Package Manager (WinGet) は、コマンドラインからユーザーが、ダイレクトにアプリケーションをインストールするためのものだ。

SonicWall の Web Content FIXilteringが無効化？ Windows 11 22H2 に限定した問題

SonicWall warns web content filtering is broken on Windows 11 22H2

2023/02/08 BleepingComputer — 今日、セキュリティ・ハードウェア・メーカーである SonicWall が発した警告は、Windows 11 バージョン 22H2 システムにおける WCF (Web Content FIXiltering) 機能に制限が生じるというものだ。SonicWall の Cloud Management Console サービスと、Capture Client の組み合わせは、Endpoint Detection & Response (EDR) 機能を備えた Windows／macOS 用のセキュリティ・ソリューションである。

Sliver マルウェアによる BYOVD 攻撃：Windows にバックドアを作る手順とは？

Hackers backdoor Windows devices in Sliver and BYOVD attacks

2023/02/06 BleepingComputer — Sunlogin の脆弱性を悪用して Sliver ポスト・エクスプロイト・ツールキットを展開し、Windows Bring Your Own Vulnerable Driver (BYOVD) 攻撃を仕掛けることで、セキュリティ・ソフトウェアを無効化するという、新しいハッキング・キャンペーンが観測されている。Sliver とは、Bishop Fox が作成したポスト・エクスプロイト・ツールキットであり、Cobalt Strike の代替手段として、昨年の夏から脅威アクターたちが利用し始めているものだ。その機能としては、ネットワーク監視／コマンド実行、反射型 DLL ロード／セッション生成／プロセス操作などが提供されている。

Microsoft Visual Studio アドインを悪用するマルウェア：リモート配布を検知

Hackers weaponize Microsoft Visual Studio add-ins to push malware

2023/02/03 BleepingComputer — Microsoft Visual Studio Tools for Office (VSTO) を悪用するハッカーたちが、ターゲット・マシン上で悪意の Office アドインを用いて、持続性を維持しながらコードを実行する攻撃へと移行するだろうと、セキュリティ研究者たちが警告している。このテクニックは、Office 文書に VBA マクロを忍び込ませ、外部ソースからマルウェアを取得させる手法に代わるものだ。Microsoft が Office の VBA／XL4 マクロの実行を、デフォルトでブロックすると発表した以降において、脅威アクターたちがマルウェアを配布する手法は、アーカイブ (.ZIP、.ISO)／ショートカット (.LNK) ファイルに移行している。

GitHub から盗まれたコード署名証明書：Desktop／Atom 版が 2月2日に失効

GitHub revokes code signing certificates stolen in repo hack

2023/01/30 BleepingComputer — 未知の攻撃者が GitHub の開発とリリース計画にリポジトリにアクセスし、Desktop／Atom アプリケーションの暗号化されたコード署名証明書を盗み出したとのことだ。GitHub によると、盗み出されてしまったパスワード保護された証明書 (Apple Developer ID 証明書１枚と Windows アプリに使用される Digicert コード・サイニング証明書２枚) が、悪意の目的で使用されたという証拠は、これまでのところ発見されていない。

Black Basta ランサムウェアの新戦術：USB デバイスに PlugX の高スティルス亜種

Black Basta Deploys PlugX Malware in USB Devices With New Technique

2023/01/27 InfoSecurity — Black Basta ランサムウェアの侵害に関する調査により、接続されたリムーバブル USB メディアデバイスに自動的に感染する、新しい PlugX マルウェアの亜種が使用されていることが判明した。Palo Alto Networks の Unit 42 は、この調査結果を Infosecurity と共有し、新しい PlugX 亜種はワーム可能であり、Windows OS から自身を隠すように USB デバイスに感染すると付け加えている。

Windows CryptoAPI の脆弱性 CVE-2022-34689：PoC エクスプロイトが公開

Researchers release PoC exploit for critical Windows CryptoAPI bug (CVE-2022-34689)

2023/01/26 HelpnetSecurity — Akamai の研究者たちが、公開キー証明書を検証する Windows CryptoAPI に存在する、深刻な脆弱性 CVE-2022-34689 に対する PoC エクスプロイトを公表した。この Windows／Windows Server に影響する脆弱性は、2022年10月に修正プログラムが公開されている。その際に Microsoft は、「攻撃者は既存の公開証明書 x.509 を操作して身元を偽り、認証／コード署名などのアクションを、本物の証明書を持っているかのように実行できる」と説明していた。

Emotet が新たなバイパス手法で再登場：クレカ窃取と横移動の新モジュールを追加

Emotet Malware Makes a Comeback with New Evasion Techniques

2023/01/24 TheHackerNews — マルウェア Emotet は、Bumblebee／IcedID などの危険なマルウェアの感染経路となる一方で、その手口を改良し、レーダーを回避し続けている。2021年初頭に、捜査当局が Emotet のインフラを排除したが、同年末には活動を再開しており、フィッシング・メールを介して配布される、持続的な脅威として存在し続けている。このウイルスは、サイバー犯罪グループ TA542 (別名 Gold Crestwood／Mummy Spider) に帰属するものであり、バンキング型トロイの木馬として 2014年に登場した後に、マルウェア配布者へと進化してきた。

Microsoft OneNote ファイルに要注意：新たなマルウェア配布が始まっている

Hackers now use Microsoft OneNote attachments to spread malware

2023/01/21 BleepingComputer — OneNote の添付ファイルをフィッシング・メールに使用する攻撃者たちが、被害者のマシンにリモート・アクセスに対応するマルウェアを感染させ、さらなるマルウェアのインストールや、パスワードの窃取、暗号通貨ウォレット侵害へとエスカレートさせようとしている。長年にわたり攻撃者たちは、電子メールに添付した Word／Excel ファイルに隠したマクロを起動させ、マルウェアをダウンロード／インストールするという方式で、マルウェアを配布してきた。しかし、2022年7月に Microsoft は、Office 文書に含まれるマクロをデフォルトで無効にし、マルウェアの配布に利用できないようにした。

StrRAT／Ratty マルウェア：ポリグロット方式で検知を回避して配布される

Cybercriminals Using Polyglot Files in Malware Distribution to Fly Under the Radar

2023/01/13 TheHackerNews — StrRAT／Ratty などのリモート・アクセス型トロイの木馬は、ポリグロットと悪意の Java アーカイブ (JAR) ファイルの組み合わせで配布されており、検知を回避する新しい方法を、脅威アクターが継続的に発見していることを、改めて浮き彫りにしている。Deep Instinct のセキュリティ研究者 Simon Kenin のレポートには、「攻撃者たちは、JAR ファイル形式を適切に検証できないセキュリティ・ソリューションを混乱させるために、ポリグロット手法を使用している」と述べている。

Google Chrome 109 がリリース：全体で 17件の脆弱性に対応

Chrome 109 Patches 17 Vulnerabilities

2023/01/11 SecurityWeek — 2023年1月10日に Google は、Chrome 109 を Stable チャネルでリリースし、外部の研究者から報告された 14件のバグを含む、全体で 17件の脆弱性にパッチを適用したと発表した。外部から報告されたセキュリティ上の欠陥の大半は、深刻度が Medium と Low 脆弱性である。また、High と評価された２件は、Overview Mode における use-after-free の脆弱性 CVE-2023-0128 と、Network Service におけるヒープバッファ・オーバーフローの脆弱性 CVE-2023-0129 である。Google は、これらの脆弱性に対して、それぞれ $4,000 と $2,000 のバグバウンティを支払ったとしている。

AnyDesk に大量の偽サイト：Vidar マルウェアを配布する 1,300 以上のドメイン

Over 1,300 fake AnyDesk sites push Vidar info-stealing malware

2023/01/10 BleepingComputer — AnyDesk の公式サイトを装う 1,300以上のドメインを用いて、情報スティーラー・マルウェア Vidar を仕込んだ Dropbox フォルダーへと、すべてのターゲットをリダイレクトさせる、大規模なキャンペーンが進行中だ。AnyDesk は、Windows／Linux／mac OS向けの、リモート・デスクトップ・アプリであり、セキュアなリモート接続／システム管理のために、世界中で数百万人が使用している。この人気から、AnyDesk は、マルウェア配布キャンペーンで頻繁に悪用されている。たとえば、2022年10月に、AnyDesk のフィッシング・サイトを利用する Mitsu Stealer のオペレーターが、新しいマルウェアをプッシュしていることを Cyble が報告している。

Microsoft 2023-1 月例アップデートは１件のゼロデイと 98件の脆弱性に対応

Microsoft January 2023 Patch Tuesday fixes 98 flaws, 1 zero-day

2023/01/10 BleepingComputer — 今日の、Microsoft January 2023 Patch Tuesday により、活発に悪用されているゼロデイ脆弱性１件を含む、合計 98件の脆弱性が修正された。2023年最初の Patch Tuesday で修正された 98件の脆弱性のうち 11件は、最も深刻なタイプの脆弱性のひとつであるリモート・コード実行／セキュリティ・バイパス／権限昇格を可能にするものであり、Critical に分類されている。

BlueNoroff APT の戦術：日本への強い関心と Windows MoTW 回避

BlueNoroff APT Hackers Using New Ways to Bypass Windows MotW Protection

2022/12/27 TheHackerNews — Lazarus Group のサブクラスタである BlueNoroff だが、Windows の Mark of the Web (MoTW) 保護を回避するための、新しい技術を採用していることが確認されている。今日の Kaspersky レポートによると、光ディスクイメージ (拡張子.ISO) および仮想ハードディスク (拡張子.VHD) ファイル形式を用いる、新たな感染チェーンが追加されているとのことだ。セキュリティ研究者である Seongsu Park は、「BlueNoroff は、ベンチャー・キャピタル企業や銀行を装う、多数の偽ドメインを作成している。2022年9月のテレメトリ測定において、この新しい攻撃手順にフラグが立てられた」と述べている。

VirusTotal チートシートが登場：より具体的なデータ検索が可能に

VirusTotal cheat sheet makes it easy to search for specific results

2022/12/20 BleepingComputer — VirusTotal が公開したチートシートは、このマルウェアの情報プラットフォーム上でクエリを作成するものであり、より具体的な検索結果を、研究者たちは得られるようになる。このチートシートは、検索結果の絞り込みに役立つファイル検索修飾子を、どのように組み合わせれば、特定のデータを検出できるのかを示している。

Samba の深刻な脆弱性 CVE-2022-45141 などが FIX：複数の欠陥に対応

Samba Issues Security Updates to Patch Multiple High-Severity Vulnerabilities

2022/12/17 TheHackerNews — 12月15日に Samba は、複数の脆弱性を修正するためのソフトウェア・アップデートをリリースした。今回のアップデートでリリースされたバージョン 4.17.4／4.16.8／4.15.13 では、深刻度の高い脆弱性 CVE-2022-38023／CVE-2022-37966／CVE-2022-37967／CVE-2022-45141 に対するパッチが適用されている。Sambaは、Linux／Unix／macOS などの OS 用のオープンソースの Windows 相互運用性スイートであり、ファイルサーバ／プリンタ／Active Directory サービスを提供している。

Minecraft を狙う DDoS ボットネット：PC から IoT デバイスへと広がる感染経路

Minecraft Servers Under Attack: Microsoft Warns About Cross-Platform DDoS Botnet

2022/12/16 TheHackerNews — 12月15日 (木) に Microsoft は、主にプライベートな Minecraft サーバに対して DDoS 攻撃を行うために設計された、クロスプラットフォーム・ボットネットにフラグを立てた。このボットネットは MCCrash と呼ばれ、Windows ホスト上でダウンロードされた悪意のソフトウェアから発生するが、Linux ベースのデバイスに伝播するという、独自の拡散メカニズムが特徴となっている。

Microsoft Windows SPNEGO の脆弱性 CVE-2022-37958：IBM が唱える異論とは？

Microsoft Reclassifies SPNEGO Extended Negotiation Security Vulnerability as ‘Critical’

2022/12/15 TheHackerNews — Microsoft は、2022年9月にパッチ適用したセキュリティ脆弱性について、リモートコード実行に悪用される可能性があると判明したことで、深刻度を Critical に修正した。この脆弱性 CVE-2022-37958 (CVSS : 8.1) は、SPNEGO Extended Negotiation (NEGOEX) Security Mechanism における情報漏洩の脆弱性であると、これまでは説明されてきた。

Microsoft の深刻な２つのゼロデイ脆弱性：2022-12 月例アップデートで FIX

Two Zero-Days Fixed in December Patch Tuesday

2022/12/14 InfoSecurity — 2022年12月の Microsoft Patch Tuesday は、２つのゼロデイを含む 50件ほどの脆弱性に対処したが、そのうちの１つは野放し状態で悪用されているものだ。このうちの一握りの脆弱性は Critical と評価され、また 13件については悪用される可能性が高いと、Microsoft は説明している。したがって、年末にシステム管理者が行うべき作業が、たくさん残っていることになる。

QBot の新しい戦略：SVG ベクター画像ファイル内にマルウエアを隠し持つ

Attackers use SVG files to smuggle QBot malware onto Windows systems

2022/12/14 BleepingComputer — QBot マルウェアのフィッシング・キャンペーンは、SVG (Scalable Vector Graphics) ファイルを悪用して Windows 用の不正なインストーラーをローカルに作成する、HTML スマグリングの新たな配布方法を採用している。この攻撃は、JavaScript を含むエンベッド SVG ファイルにより行われ、Base64 エンコードされた QBot マルウェアのインストーラーを再構築し、ターゲットのブラウザを通じて自動的にダウンロードさせるものだ。

GoTrim ボットネットのブルートフォース攻撃：WordPress サイトを狙っている

New GoTrim botnet brute forces WordPress site admin accounts

2022/12/13 BleepingComputer — GoTrim という名の新たな Go_based ボットネット・マルウェアが、セルフ・ホスティングの WordPress サイトを Web 上でスキャンし、管理者のパスワードにブルートゥース攻撃を仕掛け、サイトの制御を試みている。この侵害に成功した攻撃者は、マルウェアの展開／クレジットカード窃取スクリプトの注入／フィッシングページのホスティングなどのシナリオが展開して、侵害されたサイトの人気度によっては、数百万人に影響が生じる可能性がある。

Chrome での Passkeys サポート開始：Android／iOS デバイスの生体認証を活用

Google Adds Passkey Support to Chrome for Windows, macOS and Android

2022/12/12 TheHackerNews — Google は、次世代パスワードレス・ログイン規格である Passkeys のサポートを、Chrome の Stable バージョンで正式に展開し始めた。同社の Ali Sarraf は、「Passkeys は、フィッシングによる攻撃が可能な、パスワードなどの認証要素に代わる、より安全性の高い技術である。それらの再利用は不可能であり、また、サーバー侵害で漏洩することもないため、フィッシング攻撃からユーザーを保護できる」と述べている。

サイバー侵害の手口を分析：33% の証明書アクセスや 35% の Cobalt Strike 利用など

33% of attacks in the cloud leverage credential access

2022/11/30 HelpNetSecurity — Elastic Security Labs が発表した 2022 Elastic Global Threat Report は、サイバー・セキュリティ脅威の進化と、クラウド／エンドポイントに関連する攻撃の高度化について詳述するものだ。クラウド上の攻撃の 33 %は、クレデンシャル・アクセスを利用している。言い換えるならば、クラウド環境のセキュリティを、ユーザーが過大評価していることになる。その結果として、適切な設定や保護を行われないケースが多発している。

Acer Laptop の深刻な脆弱性が FIX： UEFI Secure Boot が回避される可能性

Acer fixes UEFI bugs that can be used to disable Secure Boot

2022/11/28 BleepingComputer — Acer が修正した深刻度の高い脆弱性は、ローカルの攻撃者が標的とするシステム上で、UEFI Secure Boot が無効にされる可能性を生じ、複数のラップトップ・モデルに影響を与えるものである。Secure Boot 機能とは、TPM (Trusted Platform Module) チップと、UEFI (Unified Extensible Firmware Interface) ファームウェアを搭載したコンピュータにおいて、信頼できない OS ブートローダをブロックし、ルートキットやブートキットといった悪質なコードが、起動プロセス中にロードされないようにするものだ。

Windows Server IKE の深刻な RCE 脆弱性 CVE-2022-34721：中国からの攻撃を観測

Remote Code Execution Vulnerability Found in Windows Internet Key Exchange

2022/11/25 InfoSecurity — Windows Internet Key Exchange (IKE) Protocol Extensions を標的とした一連のエクスプロイトが、野放し状態で悪用されていることが発見された。セキュリティ企業の Cyfirma が InfoSecurity と共有した最新のアドバイザリによると、発見された脆弱性は、およそ 1000 のシステムをターゲットに悪用されている可能性があるようだ。また、同社が観測した攻撃は、中国語話者の脅威アクターによる、“bleed you” と訳されるキャンペーンの一部である可能性があるという。

Windows の MoTW ゼロデイを悪用：Qbot 投下フィッシング・キャンペーンが発覚

New attacks use Windows security bypass zero-day to drop malware

2022/11/19 BleepingComputer — 新たに発見されたフィッシング攻撃は、Windows のゼロデイ脆弱性を利用して、Mark of the Web のセキュリティ警告を表示せずに、マルウェア Qbot をドロップするものだ。Web やメールなどを介して、信頼できないリモートからのファイルがダウンロードされると、Windows は Mark of the Web (MoTW) と呼ばれる特別フラグを、それらのファイルに追加する。

Samba の深刻な脆弱性 CVE-2022-42898 が FIX：DoS／RCE による乗っ取りの可能性

Samba Patches Vulnerability That Can Lead to DoS, Remote Code Execution

2022/11/18 SecurityWeek — 今週に Samba は、任意のコード実行を揺する可能性のある、整数オーバーフローの脆弱性に対してパッチをリリースした。Samba は、Linux／Unix システム用のオープンソース・サーバ・メッセージ・ブロック (SMB) 実装であり、Active Directory ドメインコントローラ (AD DC) として使用できるものだ。複数の Samba リリースに影響を与える脆弱性 CVE-2022-42898 は、ユーザーに代わって別のサービスへのサービス・チケットを取得するサービスを提供する、Service for User to Proxy (S4U2proxy) ハンドラーに存在する。