Bleeping Computer ニュースまとめ (2024年11月27日)

New NachoVPN attack uses rogue VPN servers to install malicious updates

NachoVPNと呼ばれる一連の脆弱性が、修正されていないPalo AltoとSonicWall SSL-VPNクライアントが攻撃者が制御するVPNサーバーに接続すると、悪意のあるアップデートをインストールできる可能性があることが明らかになりました。脅威アクターは、SonicWall NetExtenderやPalo Alto Networks GlobalProtect VPNクライアントを攻撃者が制御するVPNサーバーに接続させる方法を見つけ、犠牲者のログイン資格情報を盗んだり、悪意のあるソフトウェアをインストールしたり、中間者攻撃を行ったりする可能性があります。SonicWallとPalo Alto Networksはそれぞれ脆弱性に対処するパッチをリリースしました。AmberWolfは、これらの脆弱性を悪用できるVPNサーバーをシミュレートするオープンソースツール「NachoVPN」を公開しました。 https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/

NordVPN Black Friday Deal: Save up to 74% on yearly subscriptions

NordVPNのブラックフライデーセールが72%オフで開催中。$2.99/月で2年契約でき、さらに3か月無料。NordVPNは速度が速く、100以上の国で多様なサーバーロケーションを提供し、地域ブロックや検閲を回避できる。Netflixの視聴や公共Wi-Fiの利用を安全にしたり、ISPによる監視を防げる。ブラックフライデー＆サイバーマンデーセールは12月10日まで。VPN PlusとUltimateプランも72%オフ。Panamaに拠点を置くNordVPNはプライバシー保護が強化されており、Windows、Mac、iOS、Android、Linux、Firestickに対応。最大10台のデバイスで使用可能。ユーザープライバシー、セキュリティ、透明性に専念し、3つの独立監査を完了。全てのNordVPNサブスクリプションは30日間の返金保証付き。【日本語訳要約】 https://www.bleepingcomputer.com/news/security/nordvpn-black-friday-deal/

Over 1,000 arrested in massive ‘Serengeti’ anti-cybercrime operation

アフリカの法執行機関が「Operation Serengeti」の一環として、世界中で約1億9300万ドルの財務損失を引き起こした主要なサイバー犯罪に関与した疑わしい1000人以上を逮捕しました。インターポールとアフリポールによる協力のもと、19のアフリカ諸国で合計1006人が逮捕され、134,089もの悪質なインフラストラクチャとネットワークが取り壊されました。捜査官によると、逮捕者やインフラは約35,224人の被害者に関連しており、Operation Serengetiは約4400万ドルを回収しました。操作のハイライトには、アルジェリア、ベナン、コートジボワール、ガボン、ガーナ、モーリシャス、モザンビーク、ルワンダ、南アフリカ、タンザニア、チュニジア、ザンビア、ジンバブエなどが含まれます。 https://www.bleepingcomputer.com/news/security/over-1-000-arrested-in-massive-serengeti-anti-cybercrime-operation/

Get 50% off Malwarebytes during Black Friday 2024
Malwarebytesのブラックフライデー2024のセールが開始され、個人、ファミリー、ビジネス向けのサブスクリプションに対し、1年または2年の50%割引が提供されています。プレミアムバージョン5.2には、リアルタイムのマルウェア保護、悪用保護、悪質なウェブサイトのブロック、ランサムウェア攻撃の動作検知などの数多くの機能が含まれています。さらに、MalwarebytesはVPN、Identity Protection、およびPersonal Data Removerサービスなどの新しいオファリングを導入しています。これらのセールは12月8日まで有効で、続いています。 https://www.bleepingcomputer.com/news/security/get-50-percent-off-malwarebytes-during-black-friday-2024/

Why Cybersecurity Leaders Trust the MITRE ATT&CK Evaluations

セキュリティリーダーは常に組織を守るための解決策や戦略を選択する際に情報に基づいた選択を迫られています。MITREのATT&CK評価は、サイバーセキュリティの意思決定者がこの課題を乗り越えるための重要なリソースとして際立っています。この評価は、他の独立した評価とは異なり、競合するサイバーセキュリティベンダーが実世界の脅威にどのように対応するかを評価するために実世界の脅威をシミュレートしています。2024年のMITRE ATT&CK評価結果が公開されると、Cynetのウェビナーでは主要な結果がサイバーセキュリティリーダーに提供される予定です。MITRE ATT&CK評価はセキュリティ製品が攻撃技術を検出、対応、報告する方法をテストする厳格で独立した評価です。MITRE ATT&CK評価は他の独立したアナリスト評価とは異なる点が複数あり、セキュリティリーダーにとって特に価値があります。 https://www.bleepingcomputer.com/news/security/why-cybersecurity-leaders-trust-the-mitre-attack-evaluations/

Hackers exploit critical bug in Array Networks SSL VPN products

アメリカのサイバー防衛機関は、SSL VPN製品Array Networks AGとvxAG ArrayOSにリモートコード実行の脆弱性が悪用されている証拠を受け取った。脆弱性はCVE-2023-28461として追跡され、致命的な9.8の深刻度が割り当てられ、既知の悪用された脆弱性のカタログに含まれている。このバグは脆弱なURLを介して悪用可能で、Array AGシリーズとvxAGバージョン9.4.0.481以前での遠隔コード実行を可能にする認証の問題だ。この欠陥は昨年3月9日に開示され、Array Networksは約1週間後にArray AGリリース9.4.0.484をリリースして修正した。Array Networks AGシリーズ（ハードウェア製品）とvxAGシリーズ（仮想アプライアンス）はセキュアなリモートおよびモバイルアクセスを提供し、5,000を超える企業、サービスプロバイダ、政府機関が利用。CISAは悪用されている脆弱性と対象組織に関する詳細を提供していないが、12月16日までにすべての連邦機関と重要なインフラ組織はセキュリティ更新と利用可能な緩和措置を適用するか、製品の使用を中止すべきと勧告している。影響を受ける製品のセキュリティ更新情報はArrayサポートポータルを通じて利用可能で、更新が即座にインストールできない場合は脆弱性を緩和するコマンドセットを提供している。ただし、組織は最初にこれらのコマンドの効果をテストすべきであり、それらがクライアントセキュリティの機能、VPNクライアントの自動アップグレード能力、およびポータルユーザーリソース機能に悪影響を及ぼす可能性がある。 https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-bug-in-array-networks-ssl-vpn-products/

Firefox and Windows zero-days exploited by Russian RomCom hackers

RomComサイバー犯罪グループが、欧州と北米を標的とする最近の攻撃でFirefoxとTor Browserユーザーを狙った。RomComは2つのゼロデイ脆弱性を利用し、ユーザーが悪意のあるウェブサイトを訪れただけで遠隔コード実行が可能となるバックドアを使用した。ESETの分析によると、Tor Browserユーザーも攻撃の標的にされた。RomComは以前にもゼロデイを悪用しており、今回の攻撃は広範囲に及ぶと見られている。RomComは金銭を動機とした攻撃やランサムウェア攻撃を行っており、最近はスパイ活動を支援するために認証情報の盗難も行っている。ESETによると、RomComはウクライナ、欧州、北米の様々な業界に対してスパイ行為を行っている。 https://www.bleepingcomputer.com/news/security/firefox-and-windows-zero-days-exploited-by-russian-romcom-hackers/

QNAP addresses critical flaws across NAS, router software
QNAPは週末にセキュリティ情報を公開し、複数の脆弱性を解消しました。3つの重大な脆弱性が含まれており、ユーザーは速やかに対処すべきです。Notes Station 3に対する2つの影響があり、これらの問題はNotes Station 3バージョン3.9.7で解決されました。また、QuRouter 2.4.x製品に影響するCVE-2024-48860も重要な脆弱性です。他の重要な修正がある製品についても、CVSS v4の評価が7.7から8.7（高）の範囲で記載されました。QNAPは攻撃から保護されるために、アップデートをできるだけ早くインストールするよう顧客に強く勧めています。 https://www.bleepingcomputer.com/news/security/qnap-addresses-critical-flaws-across-nas-router-software/

New Windows 10 0x80073CFA fix requires installing WinAppSDK 3 times
マイクロソフトは、Windows 10上の一部のユーザーがアプリのアンインストールやアップデートに問題があることを解消する新しい方法を共有しました。問題は、WinAppSDK 1.6.2パッケージを受け取った後、Microsoft Teamsなどのパッケージ化されたアプリケーションやサードパーティーのアプリのアップデートやアンインストールができなくなることです。この問題を解決するためのKB5046714プレビューアップデートがリリースされましたが、オプションの累積更新プログラムをインストールしたくないユーザーのために代替手段も共有されています。 https://www.bleepingcomputer.com/news/microsoft/new-windows-10-0x80073cfa-fix-requires-installing-winappsdk-3-times/

Blue Yonder ransomware attack disrupts grocery store supply chain

サプライチェーンマネジメント企業Blue Yonderがランサムウェア攻撃による重大なサービス停止を警告しています。英国の食料品店チェーンにも影響を与えています。Blue Yonderは年間収益10億ドル以上と6,000人の従業員を擁するパナソニックの傘下としてAIを活用した小売業者、製造業者、物流事業者向けのサプライチェーンソリューションを提供しています。リストされる3,000以上の顧客には、DHL、Renault、Bayer、Morrisons、Nestle、3M、Tesco、Starbucks、Ace Hardware、Procter＆Gamble、Sainsbury、および7-Elevenが含まれます。影響を受けたサービスの復旧が続いていますが、具体的な完全な復旧のタイムラインはまだ共有されていません。 https://www.bleepingcomputer.com/news/security/blue-yonder-ransomware-attack-disrupts-grocery-store-supply-chain/

DOJ: Man hacked networks to pitch cybersecurity services

カンザスシティの男性が、コンピューターネットワークへのハッキングをして、そのアクセスを使用してサイバーセキュリティサービスを宣伝したとして起訴されました。31歳のNicholas Michael Klosterが、Missouri州のカンザスシティ出身であり、健康クラブおよび非営利団体の2つのコンピューターネットワークに侵入したとされています。FBIによる調査では、彼は少なくとも3つの事件に関与しており、そのうちの1つは2024年4月26日の深夜に起こったものです。Klosterは、健康クラブのシステムにアクセスし、オーナーにハッキングしたことを主張してセキュリティコンサルティングサービスの雇用を求めました。非営利団体への不正アクセスと金銭上の被害が発生し、Klosterは最大で15年の懲役刑、罰金、被害者への賠償が課される可能性があります。 https://www.bleepingcomputer.com/news/security/doj-man-hacked-networks-to-pitch-cybersecurity-services/

Microsoft blocks Windows 11 24H2 on some PCs with USB scanners
マイクロソフトは、Windows 11 24H2アップデートをUSBスキャナーでeSCLプロトコルをサポートするコンピューターでブロックしています。問題が報告され、会社はUSB接続のeSCLスキャナーを持つシステムに対して更新を一時停止することを勧告しています。同様に、Ubisoftゲームを持つシステムも更新を一時停止されました。 https://www.bleepingcomputer.com/news/microsoft/microsoft-blocks-windows-11-24h2-on-some-pcs-with-usb-scanners/

Bleeping Computer ニュースまとめ (2024年11月22日)

Windows 11 KB5046740 update released with 14 changes and fixes

Microsoftは、2024年11月のWindows 11 24H2のプレビュー累積アップデートをリリースしました。このアップデートには、14の改善と修正が含まれており、File ExplorerやClipboard履歴、セカンダリディスプレイに影響を与える問題が修正されています。KB5046740アップデートは、毎月第4週にMicrosoftによって推進されるセキュリティ以外のプレビューアップデートスケジュールの一部であり、Windows管理者がバグ修正、新機能、改良をテストできるようになっています。また、月次プレビューアップデートにはセキュリティアップデートは含まれていません。このプレビューアップデートでは、File ExplorerとデスクトップコンテキストメニューからAndroidデバイスにコンテンツを共有する新しい方法が追加され、また、Windowsのテキスト読み上げと音声テキスト変換機能が改善されています。KB5046740には、セカンダリディスプレイでのラグや画面のちぎれの問題が修正されるほか、クリップボード履歴が空になる問題や複数のモニターを持つシステムでデバイスがスリープ状態になった後、アプリウィンドウがディスプレイの角に移動する問題も解決されています。更新は設定にアクセスし、Windows Updateをクリックして「更新を確認する」をクリックすることでインストールできます。 https://www.bleepingcomputer.com/news/microsoft/windows-11-kb5046740-update-released-with-14-changes-and-fixes/

Chinese hackers target Linux with new WolfsBane malware

新たなLinuxのバックドアである「WolfsBane」が中国の「Gelsemium」ハッキンググループが使用するWindowsマルウェアのポートとして発見されました。ESETのセキュリティ研究者がWolfsBaneを分析した結果、WolfsBaneはドロッパー、ランチャー、バックドアを備えた完全なマルウェアツールであり、変更されたオープンソースのルートキットを使用して検出を回避しています。もう1つのLinuxマルウェア「FireWood」も発見され、こちらは「Project Wood」Windowsマルウェアに関連しているようです。しかし、FireWoodはGelsemiumによって作成された独自のツールではなく、複数の中国のAPTグループが共有している可能性が高いです。このようなLinuxへの攻撃は、Windowsのセキュリティが強化される中で、APTグループが新たな攻撃手法を模索しているためだと考えられています。 https://www.bleepingcomputer.com/news/security/chinese-gelsemium-hackers-use-new-wolfsbane-linux-malware/

Over 2,000 Palo Alto firewalls hacked using recently patched bugs

ハッカーによって、Palo Alto Networksのファイアウォールに対して、最近パッチされた2つのゼロデイ脆弱性を悪用した攻撃がすでに数千回行われていることが明らかになった。これらの2つの脆弱性は、PAN-OS管理ウェブインターフェースの認証バイパス（CVE-2024-0012）とPAN-OS特権昇格（CVE-2024-9474）であり、ハッカーはこれらを利用して管理者権限を取得したり、ファイアウォールでコマンドを実行したりすることができる。攻撃は現在も続いており、CISAはこれらの脆弱性をその既知の攻撃された脆弱性カタログに追加し、連邦機関にファイアウォールのパッチを3週間以内に適用するよう要請している。Palo Alto Networksは、顧客にファイアウォールの管理インターフェースへのアクセスを制限することを強く勧めている。 https://www.bleepingcomputer.com/news/security/over-2-000-palo-alto-firewalls-hacked-using-recently-patched-bugs/

Microsoft pulls WinAppSDK update breaking Windows 10 app uninstalls

Microsoftは、Windows 10ユーザーの一部が11月12日以降、Microsoft Teamsなどのパッケージ化されたアプリのアップデートやアンインストールができないと確認しています。この問題は、WinAppSDK 1.6.2パッケージに起因し、Win App SDKを使用して開発されたアプリをインストールした後に影響を受けたユーザーのシステムに自動的に配信されました。影響を受けたWindows 10 22H2デバイスでは、Microsoft Storeの「ダウンロード」パネルで「Something happened on our end（弊社側で問題が発生しました）」というエラーメッセージが表示されます。Microsoftは問題に取り組んでおり、近日中にWindowsアップデートを介して解決策を提供する予定です。 https://www.bleepingcomputer.com/news/microsoft/microsoft-pulls-winappsdk-update-breaking-windows-10-app-uninstalls/

CISA says BianLian ransomware now focuses only on data theft

ビアンリアンランサムウェアの運営は、主にデータ窃盗脅迫グループに移行したと、米国サイバーセキュリティ・インフラストラクチャセキュリティエージェンシー、FBI、オーストラリアサイバーセキュリティセンターが更新した注意事項によると。新しい情報によると、ビアンリアンは2023年の終わりに暗号化攻撃を行ったことが知られていましたが、2024年1月以降、脅威グループは完全にデータ脅迫に移行したとのことです。CISAは、RDPの使用を厳格に制限し、WindowsシステムでのPowerShellの使用を制限することを推奨しています。ビアンリアンランサムウェアは2022年から活動しており、ダークウェブの脅迫ポータルには154人の被害者がリストされています。最近の被害の中には、エアカナダ、ノーザンミネラルズ、ボストンチルドレンズヘルスファイジシャンズが含まれています。 https://www.bleepingcomputer.com/news/security/cisa-says-bianlian-ransomware-now-focuses-only-on-data-theft/

Microsoft disrupts ONNX phishing-as-a-service infrastructure

Microsoftは、2017年以降、世界中の企業や個人を狙うフィッシングウェブサイト「ONNX」の顧客が使用する240のドメインを押収しました。ONNXは2024年のMicrosoftのDigital Defense Reportによると、第一半期においてフィッシングメッセージの量が最も多かった攻撃者でした。ONNXはGoogle、DropBox、Rackspace、Microsoftなど技術企業をターゲットにするフィッシングキットを提供し、Telegramで売り、月額150ドルから550ドルまでの数種類のサブスクリプションモデルを使用していました。Dark Atlasセキュリティ研究者によってオーナーのAbanoub Nady（オンラインではMRxC0DERとしても知られている）が明らかにされたことを受けて、ONNXの運営は6月に突然停止しました。Microsoftは240のドメインを押収し、今後のフィッシング攻撃に使用されることを阻止しました。 https://www.bleepingcomputer.com/news/security/microsoft-disrupts-onnx-phishing-as-a-service-infrastructure/

US seizes PopeyeTools cybercrime marketplace, charges administrators

米国はサイバー犯罪ウェブサイト「PopeyeTools」を押収し、その管理者3人、Abdul Ghaffar、Abdul Sami、Javed Mirzaに対して盗まれたデータの販売で訴追を開始した。当局は、サイバー犯罪プラットフォームに関連する複数のドメインを押収した他、不正な運営に関連する暗号通貨である$283,000相当も没収した。PopeyeToolsは2016年に立ち上げられ、盗まれた金融情報や個人情報の売買、詐欺やサイバー攻撃のためのツールを提供するクリアネットのマーケットプレイスでした。当局によると、PopeyeToolsは少なくとも22万7,000人の個人の情報を売買することで$1,700,000の収益を上げました。サービスには返金ポリシーや故障したデータの代替品も提供され、利用者を維持するために高水準の顧客サービスが提供されました。3人の疑わしい管理者は販売者として告発され、各々の罪状が最大で10年の刑務所に直面していますが、現在逮捕は行われておらず、犯罪嫌疑者の居住地と引き渡しの可否は不明です。しかしながら、Abdul Samiに関連する$283,000相当の暗号通貨が押収されています。 https://www.bleepingcomputer.com/news/legal/us-seizes-popeyetools-cybercrime-marketplace-charges-administrators/

Fortinet VPN design flaw hides successful brute-force attacks

フォーティネットVPNサーバーのデザイン上の欠陥により、認証情報の総当たり攻撃中の成功確認を隠蔽することができることが判明した。新技術により、失敗した試行のみを記録し、成功した試行は記録せず、セキュリティ上の虚偽の安心感を生む方法が登場した。研究者たちは、認証と認可の段階からなる2段階プロセスを使用してログインアクティビティを保存するフォーティクライアントVPNサーバーで、成功したログインが記録されるのは認証と認可の両段階を通過する場合のみであり、それ以外の場合は失敗した認証が記録されることを発見した。フォーティネットにこの問題を共有したPentera社は、このデザイン上の欠陥を悪用してフォーティネットVPN認証を確認するスクリプトを公開した。 https://www.bleepingcomputer.com/news/security/fortinet-vpn-design-flaw-hides-successful-brute-force-attacks/

Now BlueSky hit with crypto scams as it crosses 20 million users

BlueSkyは20億ユーザーを突破し、脅威の存在も増加してきている。過去数年間、X/Twitterは詐欺師たちの温床となっており、BlueSkyにもその影響が及んでいるようだ。BlueSkyの投稿には、マーク・ザッカーバーグのAI生成画像が登場し、「MetaChain」と「MetaCoin」といった仮想通貨が宣伝されている。これらの投稿は、Metaの概念「Metaverse」と関連付けられるようにメッセージやグラフィックスが工夫されている。プラットフォームは急速に拡大しており、スパム、詐欺、トロール活動も増加している。BlueSkyは中央集権的な制約を持たず、ユーザーは自由にコンテンツを制御できるが、その一方で操作上の注意が必要だ。 https://www.bleepingcomputer.com/news/security/now-bluesky-hit-with-crypto-scams-as-it-crosses-20-million-users/

Cyberattack at French hospital exposes health data of 750,000 patients

名前の明かされていないフランスの病院でデータ侵害が発生し、脅威の行為者が電子患者記録システムにアクセスして75万人の患者の医療記録が流出した。脅威の行為者は、フランスの複数の医療施設に侵入し、150万人以上の患者記録にアクセスしていると主張している。Softway Medical Groupは、MediBoardアカウントが侵害されたことを認めたが、これは彼らのソフトウェアの脆弱性や構成ミスに起因するのではなく、病院が使用していた盗まれた資格情報によるものであると述べている。販売リストには3人のユーザー向けにデータが提供されたが、現在まだ購入者はいない。  https://www.bleepingcomputer.com/news/security/cyberattack-at-french-hospital-exposes-health-data-of-750-000-patients/

Fintech giant Finastra investigates data breach after SFTP hack

Finastraは、脅威アクターがハッキングフォーラムで盗まれたデータを販売し始めた後、顧客にサイバーセキュリティインシデントについて警告したことを確認しました。同社は、世界のトップ50銀行および信用組合のうち45社を含む130カ国にまたがる8,000機関にサービスを提供する金融ソフトウェア企業です。2024年11月7日に発生したセキュリティインシデントでは、侵入者が不正に認証情報を使用して、FinastraのSecure File Transfer Platform (SFTP)システムの1つにアクセスしました。同社は、侵害がSFTPプラットフォームを超えて広がった証拠はないと述べています。影響を受ける人に送信されたデータ侵害通知から、Finastraがセキュリティ侵害を受けた事実を最初に報告したのはBrian Krebs氏でした。要注意な点は、過去にFinastraがランサムウェア攻撃を受けた際に、Pulse Secure VPNとCitrixサーバーの古いバージョンを使用していたことが指摘されたことです。 https://www.bleepingcomputer.com/news/security/fintech-giant-finastra-investigates-data-breach-after-sftp-hack/

MITRE shares 2024's top 25 most dangerous software weaknesses

MITREが2023年6月から2024年6月に開示された3万1,000以上の脆弱性の背後にある最も一般的で危険なソフトウェアの弱点のトップ25リストを共有しました。ソフトウェアの弱点は、コード、アーキテクチャ、実装、または設計に見られる欠陥、バグ、脆弱性、エラーを指します。これらは攻撃者がシステムを侵害し、影響を受けたデバイスを完全にコントロールしたり、機密データにアクセスしたり、サービスの遮断を引き起こすことを可能にします。MITREは、これらの脆弱性の根本原因を突き止めることが、これらの脆弱性が最初に発生しないようにするための投資、政策、実践の強力なガイドとなると述べました。CISAは、組織がソフトウェアセキュリティ戦略を策定する際にこのリストを活用するよう強く勧めています。彼らはまた、様々な脆弱性を排除するために使用可能な有効な緩和策があるにも関わらず、まだソフトウェアから排除されていないよく知られた脆弱性の広範な存在を強調する「Secure by Design」アラートを定期的に発表しています。 https://www.bleepingcomputer.com/news/security/mitre-shares-2024s-top-25-most-dangerous-software-weaknesses/

US charges five linked to Scattered Spider cybercrime gang

米司法省は、経済的動機を持つScattered Spiderサイバー犯罪グループの一部と信じられる5人の容疑者を電信詐欺共謀の罪で起訴した。マルウェア被害者の認証情報を盗んだSMSフィッシング攻撃で数十の個人や企業を標的とし、2021年9月から2023年4月まで、彼らは仮想通貨ウォレットから数百万を盗むことに成功した。Scattered Spiderは、ソーシャルエンジニアリング攻撃に特化し、ヘルプデスク技術者をなりすってフィッシング攻撃を行い、標的となる企業の従業員から認証情報を盗む。これにより、彼らの被害者の電子メールアカウントを乗っ取り、SIMスワップ攻撃で数百万を自身の支配下にあるウォレットに転送することができた。組織構造の柔軟性から、法執行機関はScattered Spiderの活動を監視し、特定の攻撃を特定するのが難しい。FBIは、Scattered Spiderが企業ネットワークを侵害するためにさまざまな戦術を使っていることを警告している。また、2023年からScattered Spiderはいくつかのロシアのランサムウェア集団と提携している。高いプロファイルを持つ攻撃に関わっていることが明らかになっている。 https://www.bleepingcomputer.com/news/security/us-charges-five-linked-to-scattered-spider-cybercrime-gang/

Bleeping Computer ニュースまとめ (2024年11月19日)

Brave on iOS adds new "Shred" button to wipe site-specific data

Brave BrowserのiOS版1.71では、新機能「Shred」が導入された。この機能により、ユーザーは特定のウェブサイトに関するモバイル閲覧データを簡単に削除でき、プライバシーが向上する。「Shred」はサイトごとに機能し、特定のウェブサイトのデータのみを削除して、他のサイトには影響を与えない。この機能は手動または自動で有効化でき、クッキー、ローカルストレージ、ネットワーク関連のキャッシュを削除する。Appleの制約によりいくつかの制限はあるが、この機能はプライバシー向上への一歩になる。Braveチームは、将来的にこの機能をAndroid版やデスクトップ版のBraveにも導入する計画。 https://www.bleepingcomputer.com/news/security/brave-on-ios-adds-new-shred-button-to-wipe-site-specific-data/

Chinese hackers exploit Fortinet VPN zero-day to steal credentials

Volexityリサーチャーの報告によると、中国の脅威行為者は、FortinetのFortiClient Windows VPNクライアントのゼロデイ脆弱性を悪用し、'DeepData'というカスタムのポストエクスプロイテーションツールを使用して資格情報を盗みます。この脆弱性により、脅威行為者はVPNデバイスに認証された後、メモリから資格情報をダンプすることができます。その後、BrazenBambooとして知られる中国のハッカーが、Windows、macOS、iOS、Androidシステムを標的にする高度なマルウェアファミリーを開発・展開し、監視作戦を実施しています。VolexityはFortinetに提供した脆弱性に関する情報が7月18日に報告されたが、未解決のままであることを確認しました。VPNアカウントを乗っ取ることでBrazenBambooは企業ネットワークへの初期アクセスを獲得し、その後横断的に拡大し、特定のシステムにアクセスできる可能性があります。Fortinetが問題を確認し、修正パッチをリリースするまで、VPNアクセスを制限し、異常なログインアクティビティを監視することを推奨します。 https://www.bleepingcomputer.com/news/security/chinese-hackers-exploit-fortinet-vpn-zero-day-to-steal-credentials/

US space tech giant Maxar discloses employee data breach

米国の衛星メーカーであるMaxar Space Systemsがハッカーに侵入され、社員の個人データがアクセスされたことを関係者に通知した。侵入は発見の1週間前にハッカーが企業ネットワークを侵害した。発見後、企業は即座に対策を講じ、ハッカーの進入を防いだ。Maxar Space Systemsは米国航空宇宙産業の主要企業であり、通信衛星や地球観測衛星の構築において専門家と見なされる。会社によると、侵入者は従業員情報にアクセスした可能性があり、個人データが露出したが、銀行口座情報は漏洩しなかった。従業員にはIDShield身元保護とクレジットモニタリングが提供され、元従業員は2025年2月中旬までIDXの身元盗難保護サービスに登録できる。GeoHIVEのユーザーベースがスクレイピングされた報告もあり、Maxar Technologiesに機密技術データの露出とスクレイピング事件の可能性について問い合わせたが、コメントは得られなかった。 https://www.bleepingcomputer.com/news/security/us-space-tech-giant-maxar-discloses-employee-data-breach/

Palo Alto Networks patches two firewall zero-days used in attacks

Palo Alto Networksは、次世代ファイアウォール（NGFW）の2つの積極的に悪用されていたゼロデイ脆弱性に対するセキュリティアップデートをついにリリースしました。1つ目の脆弱性（CVE-2024-0012）は、PAN-OS管理ウェブインターフェースに存在する認証バイパスで、遠隔攻撃者が認証やユーザーの操作なしに管理者権限を取得できるものです。2つ目の脆弱性（CVE-2024-9474）は、悪意のある管理者がファイアウォールでルート権限でアクションを実行できるPAN-OS権限昇格セキュリティ脆弱性です。米国サイバーセキュリティ機関は、これらの脆弱性を既知の悪用された脆弱性カタログに追加し、12月9日までに3週間以内にシステムをパッチするよう連邦機関に指示した。 https://www.bleepingcomputer.com/news/security/palo-alto-networks-patches-two-firewall-zero-days-used-in-attacks/

US charges Phobos ransomware admin after South Korea extradition

ロシア人エフゲニー・プティツィン容疑者は、Phobosランサムウェア運営の管理者として疑われ、韓国からアメリカに引き渡され、サイバー犯罪容疑で起訴されている。Phobosは長期にわたるランサムウェアサービスで、多くのパートナーを通じて広く拡散している。2024年5月から11月までの間、ID Ransomwareサービスに提出されたものの約11%を占めていた。司法省はPhobosランサムウェアグループをアメリカと世界中で1,000以上の公共・民間機関への侵害と、総額1,600万ドル以上のランサム支払いに関連付けている。プティツィンは13件の起訴状で訴追されており、有罪判決を受けると、ワイヤー詐欺の件について最大20年、ハッキングの件については各10年、陪審裁判の件については5年の刑に直面する。 https://www.bleepingcomputer.com/news/security/us-charges-phobos-ransomware-admin-after-south-korea-extradition/

Critical RCE bug in VMware vCenter Server now exploited in attacks

Broadcomは、VMware vCenter Serverの2つの脆弱性が攻撃者によって悪用されていると警告しました。そのうちの1つは、重要なリモートコード実行の欠陥です。TZLセキュリティ研究者によると、このRCE脆弱性（CVE-2024-38812）は、中国の2024年Matrix Cupハッキングコンテスト中に報告されました。これは、vCenterのDCE/RPCプロトコル実装に存在するヒープオーバーフローの弱点に起因し、VMware vSphereやVMware Cloud Foundationを含む製品に影響します。もう1つのvCenter Serverの脆弱性（CVE-2024-38813）は特別に作成されたネットワークパケットを使用して特権を上昇させる特権昇格欠陥です。Broadcomは、セキュリティ更新プログラムを提供していますが、原初のCVE-2024-38812パッチが欠陥を十分に修正していないことを警告し、「新しいパッチを適用することを強く」推奨しています。これらの脆弱性に対するワークアラウンドはないため、影響を受ける顧客にはすぐに最新の更新プログラムを適用するようにアドバイスしています。Broadcomは、脆弱なシステムにセキュリティ更新プログラムを展開する方法や、アップグレード済みのユーザーに影響を与える可能性のある既知の問題に関する追加情報を含む補足アドバイザリもリリースしました。 https://www.bleepingcomputer.com/news/security/critical-rce-bug-in-vmware-vcenter-server-now-exploited-in-attacks/

Fake Bitwarden ads on Facebook push info-stealing Chrome extension

フェイスブック上で偽のBitwardenパスワードマネージャー広告が現れ、悪意あるGoogle Chrome拡張機能を推進していることが判明。この偽物の拡張機能は、ユーザーの機密データを収集・盗み出す。Bitwardenは人気のパスワードマネージャーアプリで、無料版には暗号化、クロスプラットフォームサポート、MFA統合、使いやすいインターフェースがあり、セキュリティ侵害が続いた競合他社からの乗り換えでユーザーが増加。Bitdefender Labsが発見した新しい悪質広告は、2024年11月3日に始まり、不正なリンクを踏ませて拡張機能をインストールさせる手口。安全を確保するためには、公式の拡張機能更新プロンプトには気を付け、Chrome拡張機能はベンダーが新しいバージョンをリリースすると自動的に更新される。 https://www.bleepingcomputer.com/news/security/fake-bitwarden-ads-on-facebook-push-info-stealing-chrome-extension/

Microsoft 365 Admin portal abused to send sextortion emails

マイクロソフト365管理ポータルがセクストーションメールを送信するのに悪用され、メッセージは信頼できるように見え、メールセキュリティプラットフォームをバイパスしています。セクストーションメールは、あなたのコンピュータやモバイルデバイスがハッキングされ、性行為をしている写真やビデオが盗まれたと主張する詐欺で、身内や友人との妥協的な写真を共有しないために500ドルから5,000ドルの支払いを要求します。 これらの詐欺に騙されると思うかもしれませんが、2018年に初めて現れたときに非常に利益を上げ、週に5万ドル以上を生み出していました。 今日までに、BleepingComputerは懸念を抱いてこれらのメッセージを受け取った人からのメッセージを続けて受け取っています。 それ以来、詐欺師は、誠実を装うために配偶者が浮気したと主張するもの、または自宅の写真を含むものなど、多数のバリアントの脅迫メール詐欺を作成しています。 しかし、メールセキュリティプラットフォームはこれらの詐欺メールを検出するのに成功し、通常はそれらをスパムフォルダに隔離します。 ここ1週間で、LinkedIn、X、マイクロソフトアンサーズフォーラムの人々が、スパムフィルターをバイパスして受信トレイに着地するようになるマイクロソフト365メッセージセンターを通じてセクストーションメールを受け取ったと報告しました。 https://www.bleepingcomputer.com/news/security/microsoft-365-admin-portal-abused-to-send-sextortion-emails/

Bleeping Computer ニュースまとめ (2024年11月18日)

Phishing emails increasingly use SVG attachments to evade detection

脅威行為者は、検知を回避しながらフィッシングフォームを表示したりマルウェアを展開するためにScalable Vector Graphics（SVG）添付ファイルを利用することが増えています。SVGは、像を形成する際にピクセルではなく、コード内の数学的な数式で記述された線、形、テキストを使用しています。これらのSVG添付ファイルは、画像だけでなくHTMLを表示したりJavaScriptを実行したりすることが可能で、クレデンシャルを盗むためのフィッシングフォームを作成することもできます。このため、開発者でない限り、信頼できないメールにSVG添付ファイルが含まれている場合はすぐに削除することが安全です。 https://www.bleepingcomputer.com/news/security/phishing-emails-increasingly-use-svg-attachments-to-evade-detection/

Security plugin flaw in millions of WordPress sites gives admin access

WordPressプラグイン「Really Simple Security」の深刻な認証バイパス脆弱性が発見されました。このプラグインはSSL構成、ログイン保護、2要素認証、脆弱性検出などを提供するWordPress向けのセキュリティプラグインであり、無料版だけで400万以上のウェブサイトで利用されています。Wordfenceによると、この脆弱性はその12年の歴史の中で最も深刻なものの1つであり、遠隔攻撃者が影響を受けたサイトへの管理者権限を取得できる可能性があります。プラグインの脆弱性はCVE-2024-10924であり、2要素認証が有効な場合に悪用される可能性があります。最新版9.1.2には修正が適用されており、WordPress.orgはプラグインのユーザーにセキュリティ更新を強制することを提案しています。 https://www.bleepingcomputer.com/news/security/security-plugin-flaw-in-millions-of-wordpress-sites-gives-admin-access/

Fake AI video generators infect Windows, macOS with infostealers

Fake AI画像と動画生成プログラムはWindowsとmacOSにLumma StealerとAMOS情報窃取マルウェアを感染させ、被害デバイスから資格情報や仮想通貨ウォレットを盗むことが確認されました。これらのマルウェアはChromiumブラウザからクッキーや資格情報、パスワード、クレジットカードなどを盗み、攻撃者に送られます。これにより、攻撃者は情報を利用したりサイバー犯罪のマーケットで販売したりします。ウイルスはEditProAIアプリの偽サイト経由でインストールされ、ウイルス対策ソフトに検出されることもあります。情報窃取マルウェアの脅威は増大しており、マルウェアが不正行為に使用されている可能性がありますので、パスワードや認証情報を変更し、セキュリティ対策を強化することが重要です。 https://www.bleepingcomputer.com/news/security/fake-ai-video-generators-infect-windows-macos-with-infostealers/

T-Mobile confirms it was hacked in recent wave of telecom breaches
中国の脅威グループがマルウェアによる通信業界の侵害を実行し、T-Mobileも影響を受けたことが確認されました。T-Mobileは、現時点で困難な影響や顧客情報の影響を確認しておらず、他社が経験したような情報漏洩はないと述べました。中国脅威グループは、AT&T、Verizon、およびLumenを含む複数の米国通信会社を侵犯してきました。CISAとFBIの共同声明では、国家安全保障や政策関係者の通話ログやテキストメッセージが盗まれたことが明らかになり、攻撃はCiscoルーターの脆弱性を介して行われたと報告されました。 https://www.bleepingcomputer.com/news/security/t-mobile-confirms-it-was-hacked-in-recent-wave-of-telecom-breaches/

GitHub projects targeted with malicious commits to frame researcher

GitHubプロジェクトが悪意のあるコミットとプルリクエストの標的となり、これらのプロジェクトにバックドアを注入しようとする試みが発生。最近、AIおよび機械学習スタートアップであるExo LabsのGitHubリポジトリが攻撃を受け、攻撃者の真の意図について疑問が生じている。火曜日、EXO Labsの共同設立者であるAlex Cheemaは、EXOのGitHubリポジトリに提出された「無害に見える」コード変更に注意を喚起。ユーザーが提出したコード変更によって、平文のPythonコードが数値に変換される手法が使用され、バックドアが埋め込まれる可能性があったが、これは不正行為が発覚し防がれた。他のプロジェクトにも同様の攻撃が確認されており、オープンソースプロジェクトの管理者達は警戒を強化する必要がある。 https://www.bleepingcomputer.com/news/security/github-projects-targeted-with-malicious-commits-to-frame-researcher/

NSO Group used another WhatsApp zero-day after being sued, court docs say

イスラエルの監視企業NSO Groupが、WhatsAppの脆弱性を悪用してペガサススパイウェアを展開するために、複数のゼロデイ脆弱性、"Erised"を含む未知のものを使用したことが報告された。NSOのスパイウェアプラットフォームであるペガサスは、顧客に延長された監視能力を提供する多くのソフトウェアコンポーネントを持っている。WhatsAppとの法廷資料によると、NSOは2018年4月以前に"Heaven"と呼ばれる攻撃を開発し、その後に"Eden"を開発してWhatsAppの保護を迂回し、約1400台のデバイスで攻撃を行った。WhatsAppはこれらの攻撃に対処し、NSOのアカウントを無効化したが、NSOはその後も"Erised"という新たなインストールベクトルを開発した。NSOは顧客にWhatsAppベースのスパイウェアをインストールするための技術を提供し、数千台の標的デバイスに対して使用されたことを認めている。Israel略称は不正確ですので、正確な要約には含まれていません。 https://www.bleepingcomputer.com/news/security/nso-group-used-another-whatsapp-zero-day-after-being-sued-court-docs-say/

Botnet exploits GeoVision zero-day to install Mirai malware
セキュリティの脆弱性を悪用して、GeoVision機器にマルウェアボットネットが侵入し、DDoSや暗号鉱山攻撃のために利用される可能性があることが判明した。脆弱性(CVE-2024-11120)はOSコマンドインジェクション問題であり、攻撃者は認証を受けずに機器上で任意のシステムコマンドを実行できる。未サポートの機種に影響があり、17,000台が脆弱性を持つ。感染した機器は過熱、遅延、設定の不具合などがあり、対策としてデバイスリセット、強固なパスワード設定、遠隔アクセスの無効化、ファイアウォール設置を推奨。 https://www.bleepingcomputer.com/news/security/botnet-exploits-geovision-zero-day-to-install-mirai-malware/

FTC reports 50% drop in unwanted call complaints since 2021

FTCが報告したところによると、アメリカの消費者からの不要なテレマーケティング電話に関する苦情は、2021年以降50%以上減少しており、3年前から続く傾向であることが分かりました。今年FTCは、ロボコールに関する110万件の報告を受け取ったが、前年の120万件および2021年の340万件から減少しています。最も多い苦情は、医療や処方に関する電話で、殆どがロボコールで報告されており、2024年9月30日までに17万件以上の報告がありました。FTCは、不要なテレマーケティング電話に対する取り締まりの結果だと述べており、電話番号を登録した消費者は電話番号を追加して通報できると説明しています。 https://www.bleepingcomputer.com/news/security/ftc-reports-50-percent-drop-in-unwanted-call-complaints-since-2021/

Bitfinex hacker gets 5 years in prison for 120,000 bitcoin heist

2016年にBitfinex暗号通貨取引所で119,754ビットコインを盗んだハッカー、Ilya Lichtensteinが米国当局によって5年の実刑判決を受けた。Lichtensteinは2022年2月に逮捕され、IRS、HSI、FBIによる長期の捜査の結果、盗まれた仮想通貨の80%（94,000ビットコイン）が回収された。盗まれた時点では7,800万ドルだったビットコインは押収時に36億ドルに相当。Lichtensteinは複数のオンラインアカウントを架空の身元情報で設定し、闇市場に盗まれた資金を広く分散させ、"チェーンホッピング"を行った。妻のHeather Morganも資金洗浄に加担し、11月18日から5年の刑を受ける。 https://www.bleepingcomputer.com/news/security/bitfinex-hacker-gets-5-years-in-prison-for-120-000-bitcoin-heist/

Microsoft pulls Exchange security updates over mail delivery issues

Microsoftは11月のPatch Tuesdayでリリースした2024年11月のExchangeセキュリティ更新プログラムを取り下げました。カスタムメールフロー規則を使用しているサーバーでのメール配信の問題が原因で、管理者からの報告が相次いでいたためです。メールフロールールやDLPルールを使用する顧客に影響があり、これらの規則は更新プログラムをインストールした後に一時的に停止する可能性があります。Microsoftは修正作業を進めており、問題を解決したらリリースするとしています。また、他の問題がない場合は、アップデートされたExchangeサーバーを引き続き使用できるとアドバイスしています。Microsoftは11月のパッチで4つのゼロデイを修正し、中には攻撃中のものや公開されたものも含まれています。 https://www.bleepingcomputer.com/news/microsoft/microsoft-pulls-exchange-security-updates-over-mail-delivery-issues/

Palo Alto Networks warns of critical RCE zero-day exploited in attacks

Palo Alto Networksが、Next-Generation Firewalls（NGFW）管理インタフェースに深刻なゼロデイ脆弱性が発見され、現在は「PAN-SA-2024-0015」として追跡され、攻撃で活用されていると警告しています。脆弱性は2024年11月8日に最初に開示され、リモートコード実行（RCE）の脅威に対処するために顧客にアクセス制限を訴えていましたが、1週間後に脆弱性が攻撃対象になっている状況が変わりました。セキュリティ更新がまだ出ていないため、管理インタフェースへのアクセスの保護が最善とされています。脅威状況を調査しながら、早急に修正プログラムと脅威予防署名をリリースする準備を進めています。 https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-critical-rce-zero-day-exploited-in-attacks/

Bleeping Computer ニュースまとめ (2024年11月15日)

Microsoft just killed the Windows 10 Beta Channel again

マイクロソフトは、Windows 10 Beta Channelを終了し、すべての登録済みWindows InsiderをRelease Preview Channelに移行することを発表しました。これは、2021年にWindows 10 Insiderに最後のBetaビルドがリリースされてから3年後の先月にBeta Channelが再開された後の措置です。Windows Insiderチームは、新機能と改善を提供するためにアクティブな機能開発を行う場所が必要であるとコメントしました。これにより、Windows 10バージョン22H2の新機能がWindows Insiderと先行して試用されます。最後のWindows 10バージョンであるWindows 10 22H2は、2025年10月14日まで月次のセキュリティアップデートを受け取りますが、その後のサポートが終了します。Windows 10ホームユーザーは、Extended Security Updates（ESU）を購入することで、2025年までWindows 11への切り替えを1年遅らせることができます。 https://www.bleepingcomputer.com/news/microsoft/microsoft-just-killed-the-windows-10-beta-channel-again/

Fraud network uses 4,700 fake shopping sites to steal credit cards

自称「SilkSpecter」と呼ばれる中国の経済的動機を持つ脅威行為者が、偽のオンラインストアを利用して、アメリカとヨーロッパのオンラインショッパーから支払いカード情報を盗んでいる。2024年10月から始まった詐欺キャンペーンは、通常購買活動が活発化するブラックフライデーショッピング期間に向けて大幅な割引を提供している。発見者であるEclecticIQの脅威研究者Arda Buyukkayaによれば、SilkSpecterは4,695の詐欺ドメインを運営しており、北欧、リドル、バス＆ボディワークス、L.L.ビーン、ウェイフェア、マキタ、IKEA、ゲルデナなどの有名ブランドをもじってサイトを運営。詐欺サイトはStripeなどの信頼できる支払いプロセッサーを組み込んでいるが、クレジットカード情報を盗む一方、グーグル翻訳を利用して被害者の場所に応じて言語を自動調整。SilkSpecterは、訪問者の行動を監視し、効果を高めるために戦術を調整するためにトラッキングツールを使用。BlackFridayのショッパーは、公式ブランドのウェブサイトのみを訪れ、広告やソーシャルメディアのリンク、Google検索の結果を避けるよう勧告。また、カード保持者は、複数の認証要素を含む利用可能な保護措置をすべてアクティブ化し、定期的に明細を監視することが推奨されている。 https://www.bleepingcomputer.com/news/security/fraud-network-uses-4-700-fake-shopping-sites-to-steal-credit-cards/

CISA warns of more Palo Alto Networks bugs exploited in attacks

CISAが、Palo Alto NetworksのExpedition移行ツールにおける2つの深刻なセキュリティ脆弱性（認証されていないコマンドインジェクションとSQLインジェクション）が悪用されていると警告しました。この脆弱性を利用する攻撃者は、パッチが当てられていないExpeditionシステムに侵入し、PAN-OSファイアウォールのユーザー名、クリアテキストパスワード、デバイス構成、デバイスAPIキーなどを暴露できます。Palo Alto Networksは、これらの問題に対処したセキュリティ更新プログラムを出荷し、Expedition 1.2.96以降を使用するよう勧告しています。CISAは、これらの脆弱性を扱うため、12月5日までにPalo Alto Networks Expeditionサーバーのパッチ適用を指示しています。 https://www.bleepingcomputer.com/news/security/cisa-warns-of-more-palo-alto-networks-bugs-exploited-in-attacks/

New Glove infostealer malware bypasses Chrome’s cookie encryption

新しいマルウェア「Glove Stealer」はGoogle ChromeのApplication-Bound（App-Bound）暗号化をバイパスし、ブラウザのクッキーを盗むことができます。Gen Digitalのセキュリティ研究者によると、この情報窃取型マルウェアは最近のフィッシングキャンペーンを調査している時に初めて発見されました。攻撃者は、偽のエラーウィンドウを使用して悪意のあるファイルをインストールさせるように潜在的な被害者をだますClickFix感染チェーンと同様のソーシャルエンジニアリング手法を使用しました。Glove StealerはFirefoxやChromiumベースのブラウザからクッキーや暗号通貨ウォレット、2FAセッショントークン、パスワードデータなどを窃取する能力があります。また、Google ChromeのApp-Bound暗号化をバイパスする方法も持っており、既に多くの他の情報窃取型マルウェアがこの手法を凌駕している可能性があります。 https://www.bleepingcomputer.com/news/security/new-glove-infostealer-malware-bypasses-google-chromes-cookie-encryption/

Hacker gets 10 years in prison for extorting US healthcare provider

アイダホ州出身のロバート・パーベック（45歳）が、合衆国内の少なくとも19の組織にハッキングして個人情報を盗み、13万2,000人を超える人々のデータを奪うなどの行為で10年の懲役刑を言い渡されました。ペアベックは「ライフロック」や「スタッドマスター」としても知られ、複数のデータ窃盗や恐喝事件に関与していたことが証拠として示されました。彼は2017年にジョージアの医療クリニックのコンピューターサーバーへのネットワークアクセスをダークネットで購入し、個人識別情報（PII）などを盗んだとされます。2018年2月にはジョージアの警察本部のサーバーにアクセスし、14,000人分の情報を盗み、同年7月にはフロリダの歯科医から身代金を要求しました。FBIは2019年にペアベックの自宅を捜索し、13万2,000人以上のデータを押収、様々なデータ侵害に使用された可能性が高いとしています。ペアベックは2つの罪で有罪を認め、懲役10年とさらに3年の監視付き仮釈放を受け、被害者に100万4,8700ドルを支払うことになりました。 https://www.bleepingcomputer.com/news/legal/hacker-gets-10-years-in-prison-for-extorting-us-healthcare-provider/

ChatGPT allows access to underlying sandbox OS, “playbook” data

OpenAIのChatGPTプラットフォームはLLMのサンドボックスに広範なアクセスを提供し、プログラムやファイルをアップロードし、コマンドを実行し、サンドボックスのファイル構造を閲覧できます。ChatGPTサンドボックスは他のユーザーやホストサーバーから隔てられた環境で、安全に対話できる環境です。Mozillaの0DINのMarco Figueroaが報告した5つの脆弱性により、サンドボックスへの広範なアクセスが可能であることが判明。OpenAIは脆弱性を１つしか修正せず、アクセス制限の計画を提供していないことが報告された。ChatGPTの環境は適切に閉じられており、ホストシステムへの脱出はできない。ただし、この可能性はOpenAIの設計上の選択肢によるものかもしれず、意図的ではないと考えられる。 https://www.bleepingcomputer.com/news/artificial-intelligence/chatgpt-allows-access-to-underlying-sandbox-os-playbook-data/

The true (and surprising) cost of forgotten passwords
ログイン画面でパスワードを思い出そうとする瞬間、特定のサイトでどのパスワードを使うべきか悩むことがあります。ITヘルプデスクに電話すると迅速に解決できますが、組織全体でこのような「迅速な修復」を繰り返すと、コストや頭痛が増大します。パスワードリセットコストを抑える方法は？自己サービスパスワードリセットソリューションの導入が効果的であり、この解決策により時間とお金を節約できるとされています。パスワードリセットはコストが高いため、自己サービスパスワードリセットソリューションの導入が推奨されています。 https://www.bleepingcomputer.com/news/security/the-true-and-surprising-cost-of-forgotten-passwords/

Hackers use macOS extended file attributes to hide malicious code

セキュリティ企業のGroup-IBの研究者が、macOSファイルの拡張属性を悪用する新しいトロイの木馬RustyAttrを配信するための新技術がハッカーによって使用されていることを報告しました。悪意のあるコードは、カスタムファイルメタデータに隠され、検出を回避するために偽のPDF文書も使用されています。この手法は、2020年のBundlore adwareがmacOSのリソースフォークにペイロードを隠す方法に類似しており、Lazarusと呼ばれる北朝鮮の脅威アクターの活動である可能性が高いと推測されています。ハッカーは新たなマルウェア配信ソリューションの実験をしている可能性があります。 Group-IBによるこのケースは、最近のSentinelLabsの報告と非常に類似しており、それぞれ異なる技術を使用してmacOSの回避を試みるNorth Korean threat actor BlueNoroffも検出されています。 https://www.bleepingcomputer.com/news/security/hackers-use-macos-extended-file-attributes-to-hide-malicious-code/

Bleeping Computer ニュースまとめ (2024年11月14日)

US govt officials’ communications compromised in recent telecom hack

CISAとFBIは、中国のハッカーが複数の米国ブロードバンドプロバイダーを侵入し、政府関係者の「個人間通信」を侵害したことを確認した。「特定の中国系関係者が、複数の電気通信会社のネットワークを侵害して、顧客の通話記録データを盗むために利用した」と連名で声明を発表。ハッカーは「政府や政治活動に主に関わる一部個人の個人通信」も侵害し、米法執行機関の要求に基づいた「一定の情報」を盗んだ。米連邦政府のシステムにもアクセスし、中国バックの脅威が広範囲の組織を標的にしたことが明らかになっている。Salt Typhoonなどのハッカーグループによるサイバー攻撃は、東南アジアの政府機関と通信会社を狙っており、他のグループもインドと米国のISPとMSPを標的にしている。 https://www.bleepingcomputer.com/news/security/chinese-hackers-compromised-us-government-officials-private-communications-in-recent-telecom-breach/

Leaked info of 122 million linked to B2B data aggregator breach

2024年2月以降、122百万人の企業連絡先情報がB2B需要創出プラットフォームから盗まれたことが確認された。このデータは、データを収集して編成するB2B需要創出会社であるDemandScienceから来ている。DemandScienceは公開情報や第三者からビジネスデータを収集しており、氏名、住所、メールアドレス、電話番号、役職や機能、ソーシャルメディアリンクなどを含んでいた。2024年8月15日、脅威の分子である'KryptonZambie'がデータセットをいくつかのドルでリークしたことが分かり、Troy Huntはそのデータが本物であることを確認した。122百万の独自のメールアドレスがHave I Been Pwnedに追加され、侵害したサブスクライバーに通知が送られる。 https://www.bleepingcomputer.com/news/security/leaked-info-of-122-million-linked-to-b2b-data-aggregator-breach/

Microsoft patches Windows zero-day exploited in attacks on Ukraine
2024年11月、ウクライナを標的にした攻撃で、NTLMハッシュ暴露の脆弱性(CVE-2024-43451)を悪用したロシアのハッカーが検出されました。攻撃はウクライナの機関に対する進行中の攻撃であり、ClearSkyセキュリティ研究者によって報告されました。攻撃は、ハッシュ情報を盗み出してリモートの攻撃者が制御できるサーバーに強制的に接続することで発生します。ClearSkyは、この攻撃を発見し、Microsoftも脆弱性を修正しました。CISAは、この脆弱性を「既知の悪用された脆弱性カタログ」に追加し、12月3日までに対策を取るよう命令しました。 https://www.bleepingcomputer.com/news/security/microsoft-patches-windows-zero-day-exploited-in-attacks-on-ukraine/

US indicts Snowflake hackers who extorted $2.5 million from 3 victims

アメリカ司法省は、Snowflakeクラウドストレージ企業のサービスを利用して165以上の組織に侵入したとされる2人の疑わしいハッカーに対する起訴状を公開しました。コナー・ライリー・モウカとジョン・エリン・ビンズは、情報窃取マルウェアを使って取得した資格情報を利用し、多要素認証で保護されていないSnowflakeアカウントを乗っ取っています。彼らは様々な企業からテラバイト単位のデータを持ち出し、盗まれた情報を削除する代わりに身代金を要求していました。彼らはAT&Tなどの大手通信会社から約500億件の顧客通話やテキスト記録を盗み、暗号通貨で身代金を受け取りました。彼らは複数の企業に二重身代金を要求し、少なくとも36ビットコイン相当の250万ドルを要求しています。モウカはカナダで逮捕され、ビンズはトルコで逮捕され、有罪判決が下れば最大60年の刑期が科される見込みです。 https://www.bleepingcomputer.com/news/security/us-indicts-snowflake-hackers-who-extorted-25-million-from-3-victims/

Critical bug in EoL D-Link NAS devices now exploited in attacks

D-Linkの一部製品に影響を与える重大な脆弱性が攻撃者に狙われています。脆弱性CVE-2024-10914は、セキュリティ研究者Netsecfishによって発見され、影響を受けるNASモデルには複数のエンドオブライフ製品が含まれます。攻撃者は、この脆弱性を悪用し、任意のシェルコマンドを挿入できます。D-Linkはセキュリティの更新を停止している製品を改善しない旨を発表し、影響を受けるデバイスを新しい製品に置き換えるよう顧客に警告しています。脅威モニタリングサービスのShadowserverによると、脅威アクターはすでにこの脆弱性を狙って攻撃を開始していることが確認されています。 https://www.bleepingcomputer.com/news/security/critical-bug-in-eol-d-link-nas-devices-now-exploited-in-attacks/

New Google Pixel AI feature analyzes phone conversations for scams

Googleは、Google Pixelデバイスの通話会話を監視し、コールが詐欺師かもしれないと警告するパターンを検出する新しいAI搭載の詐欺保護機能を追加しています。また、Google Play Protectにリアルタイム保護機能を追加し、Google Playで危険なアプリが見つかると警告します。これらの機能は、Google Pixel 6デバイスおよびその後継モデルで利用可能になっていますが、他のOEMからのさらなるAndroidデバイスにも近く提供される予定です。これらのリアルタイム保護機能は、Androidの使用をより安全にするために設計されており、既知の危険を回避・ブロックします。 https://www.bleepingcomputer.com/news/google/new-google-pixel-ai-feature-analyzes-phone-conversations-for-scams/

New ShrinkLocker ransomware decryptor recovers BitLocker password

Bitdefenderが、WindowsのBitLockerドライブ暗号化ツールを使用して被害者のファイルをロックする'ShrinkLocker'ランサムウェアの複合ツールをリリースしました。ShrinkLockerは、他のランサムウェアファミリーの洗練度に欠けますが、攻撃のダメージを最大化する機能を統合しています。Bitdefenderの分析によると、このマルウェアはVBScriptを使用し、一般的に時代遅れのテクニックを利用していることが明らかになっています。ShrinkLockerの運営者は低いスキルを持っており、冗長なコードやタイプミスを使用し、容易に入手可能なツールに頼っています。しかし、その脅威は企業にも成功した攻撃をしています。Bitdefenderは、ShrinkLocker被害者がファイルを回復できる無料の復号ツールをリリースしています。 https://www.bleepingcomputer.com/news/security/new-shrinklocker-ransomware-decryptor-recovers-bitlocker-password/

Microsoft fixes bugs causing Windows Server 2025 blue screens, install issues

Microsoftは、Windows Server 2025デバイスでの高いコア数に起因するインストール、アップグレード、ブルースクリーンオブデス（BSOD）の問題を修正しました。影響を受けるユーザーは、Windows Server 2025のインストールやアップグレードが失敗または中断することや、サーバーの起動や再起動に最大で3時間（場合によってはそれ以上）かかること、アプリを起動、再起動、実行しようとしたときにブルースクリーンが表示される可能性があります。影響を受けるデバイスでは、Windowsタスクマネージャーでパフォーマンスタブが256個以上の論理プロセッサを表すかどうかを確認できます。この問題は2024年11月12日にリリースされたWindowsアップデート（KB5046617）で解決されました。 https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-bugs-causing-windows-server-2025-blue-screens-install-issues/

Microsoft Exchange adds warning to emails abusing spoofing flaw

Microsoftは、Exchange Server 2016と2019に影響を与える重大な脆弱性（CVE-2024-49040）を公開しました。この脆弱性により、不正な差出人を装ってメールを送り込み、悪意のあるメッセージを効果的にすることが可能です。さらに、この問題により、電子メールのスプーフィングが可能になります。Microsoftは警告を出し、11月のアップデートで悪用検知と警告バナーを追加しました。これにより、Exchangeサーバーは不正なメールを検知し、警告を表示します。CVE-2024-49040の悪用検知とメール警告は、セキュアなデフォルト設定を有効にしたシステム全体で自動的に有効になります。 https://www.bleepingcomputer.com/news/security/unpatched-microsoft-exchange-server-flaw-enables-spoofing-attacks/

D-Link won’t fix critical bug in 60,000 exposed EoL modems

D-Linkのエンドオブライフ製品は深刻なセキュリティ問題に脆弱で、無認証の遠隔攻撃者がユーザーのパスワードを変更し、デバイスを完全に制御できることが明らかになった。D-Link DSL6740Cモデムで発見された脆弱性は、セキュリティ研究者Chaio-Lin Yu（Steven Meow）によって報告され、台湾のコンピューター対応センター（TWCERTCC）に報告された。現在、米国で利用できず、年初にサービス終了（EoS）フェーズに入った。D-Linkは問題を修正せず、「EOL/EOSに達したD-Linkデバイスは置き換えることをお勧めする」との勧告を発表した。Yuは他にもOSコマンドインジェクションとパストラバーサルの脆弱性を報告しており、問題点が概説されている。 https://www.bleepingcomputer.com/news/security/d-link-wont-fix-critical-bug-in-60-000-exposed-eol-modems/

Windows 10 KB5046613 update released with fixes for printer bugs

MicrosoftはWindows 10 22H2およびWindows 10 21H2向けのKB5046613累積アップデートをリリースしました。このアップデートには新しいMicrosoftアカウントマネージャーが追加され、多機能プリンターの問題を修正するなど、10件の変更と修正が含まれています。このアップデートはMicrosoftの2024年11月のセキュリティ更新プログラムを含むため、必須です。Windowsユーザーは設定に進み、Windowsアップデートをクリックして手動で「アップデートをチェック」することでインストールできます。このアップデートは必須であり、手動でチェックすると自動でインストールが始まります。アップデート後、Windows 10 22H2はビルド19045.5131に更新され、Windows 10 21H2もビルド19044.5131になります。 https://www.bleepingcomputer.com/news/microsoft/windows-10-kb5046613-update-released-with-fixes-for-printer-bugs/

Microsoft November 2024 Patch Tuesday fixes 4 zero-days, 89 flaws

2024年11月のMicrosoftのパッチTuesdayでは、89件の脆弱性のセキュリティ更新が含まれており、そのうち4つはゼロデイ脆弱性で、2つは現在悪用されている。今回の更新で4つの深刻な脆弱性が修正され、そのうち2つはリモートコード実行、2つは特権昇格の脆弱性だった。今回のアップデートは、2つのゼロデイ脆弱性が悪用され、3つが公開されていた。主要な脆弱性の1つであるCVE-2024-43451は公開され、MicrosoftはNTLM Hash暴露スプーフィング脆弱性を修正した。もう1つのCVE-2024-49039は、Windows Task Schedulerの特権昇格脆弱性で、Googleの脅威分析グループのVlad StolyarovとBahare Sabouriが発見した。アップデートの他の脆弱性についてもあるが、攻撃されていない。 https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2024-patch-tuesday-fixes-4-zero-days-89-flaws/

【AWSワークショップ】「AWS 環境における脅威検知と対応」をやってみた (検知・調査・対応編)

本記事は前回の続きです。
ワークショップ環境で発生した攻撃に対する調査と対応を行っていきます。
なお、調査の流れや対処法についてはワークショップページや書籍で詳細に解説されていますので、本記事では詳細は割愛いたします。

akkietech.hatenablog.jp

1. IAMの侵害

1-1. IAM侵害 - 調査の流れ

    ・メール通知で受け取ったGuradDytuアラートから、"Access Key ID"をコピーし、GuardDutyの検知状況ページからAccess Key IDでフィルタして検索する
    ・該当するAccess Key IDが標的のEC2マシンに紐づいており、一時認証情報(一時的なセキュリティ認証情報)が外部IPから悪用されていることがわかる

1-2. IAM侵害 - GuardDutyの検出結果例 (不審なIPからのAPI呼び出しの検知)

※必要な情報のみ抜粋

検知名：UnauthorizedAccess:IAMUser/MaliciousIPCaller.Custom
アクセスキー：[標的マシンで使われるアクセスキー]
Principal ID：[標的マシンのIAM ロールのID]:[標的マシンのインスタンスID]
User Name：[標的マシンにアタッチされたIAMロール名]
インスタンスID：[標的マシンのインスタンスID]
Network interfaces：
　プライベートIP：[標的マシンのプライベートIP]
　パブリックIP：[標的マシンの外部IP]
IAM instance profile：
　ARN：[侵害されたIAMロールのAmazonリソース名]
　ID：[IAMロールのIAM識別子]
アクション：
　API：DeleteAccountPasswordPolicy
Actor：
　Caller type：Remote IP
　IP address V4：[攻撃マシンの外部IP]

・検知内容としては、標的マシンにアタッチされたIAMロールの一時認証情報を用いて不審な外部IPアドレスからAPI(DeleteAccountPasswordPolicy)の呼び出しが行われた、という内容である。
・この場合User Nameでは、悪用された一時認証情報に紐づくIAMロール名が表示される。
・ActorにあるRemote IPがGuardDutyの脅威リストにあるIPアドレスであることから、攻撃者がEC2のIAMロールの一時認証情報を使用していることが明確になる。

1-3. IAM侵害 - 対処法

・標的IAMロールのセッション無効化
・アクセスキーのローテート

2. EC2の侵害

2-1. EC2侵害 - 調査の流れ

    ・Security HubからGuardDutyで検知しているインスタンス、リソースIDでフィルタし、特定のインスタンスで攻撃が発生していないか調査する
    ・調査の結果、不審なIPと通信をしていること、SSHブルートフォース攻撃が行われたことがわかる
    ・SSHに調査を絞る。SSHのログイン成否を以下2つの観点で調査を進める
    　1. 標的マシン上でSSHのパスワード認証が有効になっているか (password authentication over SSH, Security HubのInspectorに絞って確認)
    　2. SSHログインが成功しているか(CloudWatchログから確認)
    　　失敗ログのフィルタ：[Mon, day, timestamp, ip, id, msg1= Invalid, msg2 = user, ...]
    　　成功ログのフィルタ：[Mon, day, timestamp, ip, id, msg1= Accepted, msg2 = password, ...]
   

2-2. EC2侵害 - GuardDytuの検出結果例 (SSHブルートフォース攻撃の検知)

※必要な情報のみ抜粋

検知名：UnauthorizedAccess:EC2/SSHBruteForce
インスタンスID：[標的マシンのインスタンスID]
ターゲットのポート：22
Network interfaces：
　プライベートIP：[標的マシンのプライベートIP]
　パブリックIP：[標的マシンの外部IP]
IAM instance profile：
　ARN：[侵害されたIAMロールのAmazonリソース名]
　ID：[IAMロールのIAM識別子]
Actor：
　IP address V4：[攻撃マシンの内部IP]
　Port：[攻撃マシンの送信元ポート]

・上記は、標的マシンをキーにしたSSHブルートフォース攻撃のアラートであり、深刻度はLow。
・もう一つ、GuardDutyにはSSHブルートフォースに関するアラートが上がっていた。それは"攻撃マシン"をキーにしたアラートである。つまり、攻撃マシンも自組織内のマシンだとみなした場合、自組織のマシンが他のマシンにSSHブルートフォースを試みている、というアラートである。この場合、自組織のマシンが侵害されているリスクが高くなるためか、こちらのアラートの深刻度はHighになっていた。

2-3. EC2侵害 - 対処法

・標的マシンでのセキュリティグループの変更 (SSHの削除)
　※：AWS Systems Manager使うのでSSHは不要になるらしい。

3. S3バケットの侵害

3-1. S3バケット侵害 - 調査の流れ

    ・AWS Configによるアラート (外部公開禁止ルールの非準拠)
    ・Security Hub インサイトの検出結果数別の上位 S3 バケット
    (・Amazon Macieでの調査、機密データがあるか、バケットが暗号化されているかどうか)

3-2. S3バケット侵害 - GuardDutyの検出結果 (S3 パブリックアクセスブロックの無効化)

※必要な情報のみ抜粋

検知名：Policy:S3/BucketBlockPublicAccessDisabled
アクセスキー：[標的マシンで使われるアクセスキー]
Principal ID：[標的マシンのIAM ロールのID]:[標的マシンのインスタンスID]
User Name：[標的マシンにアタッチされたロール名]
インスタンスID：[標的マシンのインスタンスID]
Network interfaces
　プライベートIP：[標的マシンのプライベートIP]
　パブリックIP：[標的マシンの外部IP]
IAM instance profile：
　ARN：[侵害されたIAMロールのAmazonリソース名]
　ID：[IAMロールのIAM識別子]
アクション：
　API：PutBucketPublicAccessBlock
Actor：
　Caller type：Remote IP
　IP address V4：[攻撃マシンの外部IP]

・S3バケット関連のGuardDutyのアラートとして、"Policy:S3/BucketAnonymousAccessGranted"もあり、こちらはパブリックアクセスブロック無効化のアラートよりも、深刻度は高い。なぜならこちらの場合は、インターネットから全てのユーザがアクセスできるように設定したため、よりリスクが高いと判断される。

3-3. S3バケット侵害 - 対処法

・パブリックアクセスのブロック（ACLで全ユーザの読み取り権限削除、パブリックアクセスブロックの有効化）
・S3バケットの暗号化

4. おまけ - ローカルマシンからのアクセス

KaliのローカルマシンからS3バケットにアクセスした場合、以下のようなアラートが発生した。特定のEC2インスタンスで使っているIAMロールの一時認証情報をKaliに読み込ませることで、S3バケットへのアクセスが可能になる。

このアラートも深刻度はHigh。

UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS