→NSPX30 の主な機能は、ファイル、スクリーンショット、キー押下、ハードウェアおよびネットワークデータ、資格情報などの情報を侵害されたシステムから収集することです。このバックドアは、Tencent QQ、WeChat、Telegram、Skype、CloudChat、RaidCall、YY、AliWangWang からチャットログや連絡先リストを盗む可能性もあります。

→Blackwood の活動の注目すべき点は、Tencent QQ、WPS Office、Sogou Pinyin などの正規のソフトウェアによって行われた更新リクエストをハイジャックして NSPX30 を配信できることです。

→情報セキュリティリスクを計量化して評価するガイド

【調査結果・ベンダーレポート】

・Monthly Threat Actor Group Intelligence Report, October 2023 (JPN) – Red Alert

→SectorB22グループの活動は、アメリカ、タイ、日本から確認された。このグループは、東南アジア諸国の政府をターゲットとして、様々なオープンソース（Open Source）ツールを悪用して攻撃活動を行い、機密文書や情報を奪取してファイルホスティングサービスであるDropboxにアップロードした。

・アカマイ、クラウドとセキュリティにおけるトレンドを予測 – SecurityInsight | セキュリティインサイト

→サードパーティ等の信頼できる接続を経由した侵害を防止するため、これまで手薄だった組織内部のセグメンテーションによるアクセス制御の強化が有望視されている。

・Splunk、セキュリテイに関する2024年の予測レポートを発表 – SecurityInsight | セキュリティインサイト

→レジリエンスの強化にはコラボレーションと統合が鍵となる

【セキュリティ対策機器、ツールの紹介記事】

・この診断ツールがいいねと顧客が言ったからこれが LAC の AI 元年～ AeyeScan がスキャンエンジンに採用されるまで | ScanNetSecurity

→検証のポイントは、大きく分けて二つの観点がありました。ひとつは脆弱性を見つけるスキャンエンジンの品質に関わる「検出精度」、もうひとつは Web サイトを利用するユーザーが、たとえばログイン画面で ID とパスワードを入れてログインボタンを押すような動作がどれだけ AI に再現できるのか、専門用語で言うと「クローリング精度」です。

→ID とパスワードを入れてログインしたり、問い合わせフォームに氏名やメールアドレスを入力する一連の操作を「シナリオ」と呼んでいますが、そのような人間の操作をちゃんと実行できるかという点で AeyeScan はすごく精度が高いです。

→ AeyeScan には、管理画面上に報告書を自動作成してくれる機能があるのですが、完成度が高く、納期短縮に役立っています。

・IIJ、「IIJ SaaSセキュリティ監査ソリューション」を提供開始〜企業が利用するSaaSのセキュリティリスクを可視化 – SecurityInsight | セキュリティインサイト

→米AppOmni社のサービスを採用し、SaaSアプリケーションのAPIを利用して脆弱な設定や不審な操作、アクセスの有無などを監視し、SaaS環境の是正を支援するとともに、世界中のセキュリティインシデント情報に基づいた脅威検出ルールを自動適用することで、システム管理者の負担なくSaaS環境における最新のセキュリティリスクの検出が可能となる。

【コラム系】

・「もしサイバー攻撃を受けたら？」を考えたことはありますか ITセキュリティの新常識「サイバーレジリエンス」を理解する（1/2 ページ） - ITmedia NEWS

→もし被害が発生しても致命傷を受けないようにしつつ、事業を継続する、素早く事業を復旧させる──これがサイバーレジリエンスの基本です。

→ソリューションを導入するだけでは、サイバーレジリエンスを手に入れることはできません。システムの設計段階からセキュリティを考えることや、組織自体のリスクや人／仕組みの脆弱性を評価すること、教育などを含めた対策が必要となります。

・【雑記】セキュリティ担当の喧嘩術 - 2LoD.sec

→本質的には勝ち負けという表現は適切ではなく「ビジネスにとって合理的な判断に至るかどうか」が全てです。決して、何が何でもセキュリティ担当の言いなりにさせることではないです。そういう勝ちにこだわっても長期的にはマイナスでしかないです。

→戦うことが目的ではないので「戦わずして勝つ」が理想だし、極力そう仕向けるべきです。

→（戦う場合）「Why」「What」の理解が重要であり、そこが腹落ちすると一気にトーンダウンすることが多いです。

→戦いながらも寄り添う考えが必要です

→セキュリティ担当側が間違っていた場合はどうするのでしょうか。

その場合は、変に意地を張って負けてませんよアピールをするよりも、相手の主張の正当性を理解したことをはっきり伝えるだけです。

特に謝罪することもなく、むしろ理解させてくれてありがとう！的に前向きに終わればよいと思います。

【その他】

・インシデント発生時に必要な「法的」対策を考える強固なセキュリティガバナンス体制を作る5ステップとは (1/3)|EnterpriseZine（エンタープライズジン）

→法務部門やCSIRT、IT部門はもちろん、ベンダーなどの外部専門家との連携が極めて重要となります。平時から関係者が円滑に連携できるチーム体制を整えておくことが、サイバーインシデントレジリエンスを高める一助となることでしょう。

・ラック、「情報リテラシー啓発のための羅針盤情報活用編」改訂版を無料公開、生成AIの注意点を追記 | IT Leaders

2024-01-20

20240120

【インシデントに関する情報】

・トヨタグループ傘下保険会社のMicrosoftアカウントが漏えい、約25GBのメールや顧客情報が閲覧可能に - GIGAZINE

→豊田通商インシュアランス・ブローカー・インディア(TTIBI)のMicrosoftアカウントのログイン情報が漏れ、同アカウントから送信されたメールが閲覧できる状態にあったことが報告されました。

→漏洩可能性のあるメールは650,000超とのこと。

【攻撃の傾向・手法】

・2023年12月度 MBSD-SOCの検知傾向トピックス | 調査研究/ブログ | 三井物産セキュアディレクション株式会社

→12月は、WordPressのバックアップ移行プラグイン「Backup Migration」の脆弱性（CVE-2023-6553）を狙った攻撃が増加しました。

・FBIがAWSやMicrosoftから認証情報を盗み出すマルウェア「AndroxGh0st」について警告 - GIGAZINE

→PHP フレームワーク・Laravelの環境ファイル(.envファイル)にアクセスしてAmazon Web Services(AWS)やMicrosoft Office 365、SendGrid、Twilioなど知名度の高いアプリケーションの認証情報を盗み出す機能を持っています。

→AndroxGh0stを使用する攻撃者が侵害されたウェブサイト上に偽ページを作成し、機密情報を含むデータベースに侵入したり悪意あるツールを仕込んだりするためのバックドアを作った事例が確認されているとのこと。

【攻撃組織の動向】

・Russian threat group COLDRIVER expands its targeting of Western officials to include the use of malware

・Russian APT Known for Phishing Attacks Is Also Developing Malware, Google Warns - SecurityWeek

→まず偽アカウントから無害のPDF文書を送信する。ユーザーが文書を開くと、暗号化されているように表示される。そのため、ユーザーが閲覧できないと返信すると、攻撃者はクラウド上にホストされている復号ユーティリティーへのリンクを送信する。この復号ユーティリティーは実際にはバックドアであり、おとりの文書を表示する一方、攻撃者がユーザーのマシンにアクセスできるようにする。

【脆弱性情報】

・Critical Vulnerabilities Found in Open Source AI/ML Platforms - SecurityWeek

→ML開発に用いるツールにリモートコードが可能になる等複数の脆弱性を発見。

→通常インターネット公開するものではないと思われるため、アクセス制御のミスによる第三者の不正アクセス→脆弱性の悪用といったシナリオか、内部犯による悪用シナリオのイメージか？対応した方が無難。

・Citrix Warns NetScaler ADC Customers of New Zero-Day Exploitation - SecurityWeek

・Citrix warns of new Netscaler zero-days exploited in attacks

・Citrix Discovers Two Vulnerabilities, Both Exploited in the Wild

→CVE-2023-6548は管理画面での任意コード実行、 CVE-2023-6549はDoS攻撃が可能となる脆弱性

【調査結果・ベンダーレポート】

・ランサムリークサイト観察記 2023年振り返り | (n)inja csirt

→3年間を通じてアメリカが群を抜いての1位となっていますが、2022年は、観察対象数が2減っているにも関わらず、リーク確認総数は20％強増加しているのですがアメリカは4件のみの増加で全体の割合で見た場合は、8.5%の減少という結果でした。

→特定業種が狙われる傾向があるとは言えない状況が2023年も継続。

【その他】

・Gmailのメール送信者のガイドライン対応に不備があったらどうなるの？ #Google - Qiita

→何か設定に不備があった場合、一部のメールで一時エラーが発生します。エラーコードは4xxと考えられます。この場合、ほとんどのメール送信システムでは自動的に一定時間後リトライされて相手に届きます。2月の時点では拒否されたり届かなくなることはないようです。もしもエラーや遅延の頻度が2月から急に増加した場合は、ガイドラインに準拠できていない箇所が残っている可能性があります。

・「生成AI」はセキュリティをどう脅かすのか？大手5社の脅威予測から探る：Weekly Memo（2/2 ページ） - ITmedia エンタープライズ

→2023年はAIの導入および活用が劇的に進んだ。その一方で、AI導入時におけるセキュリティチームの脅威モデルに対する理解度はいまだ初心者レベルだ。従業員が無断で持ち込む非承認AIツールの追跡も追い付いていない状況にある。こうした新しいテクノロジーは“死角”を産みやすく、脅威アクターに企業ネットワークへの侵入や機密データ窃取のチャンスを与えてしまう可能性がある

→安全かつ監査可能なAI利用に向けた戦略的ガイドラインを策定する年になるだろう

・Gmailに届かない神奈川県立高校入試のインターネット出願システムのメールを調べてみた | DevelopersIO

・監査人の警鐘- 2024年情報セキュリティ十大トレンド | JASA (Japan Information Security Audit Association)

→2024年のトレンドで特筆すべきは、生成AIに伴うリスクの増大です。生成AIに関しては革新的な技術である反面、重大なセキュリティ事故の発生が懸念されます。

2024-01-13

20240113

【攻撃の傾向・手法】

・Finland warns of Akira ransomware wiping NAS and tape backup devices

→フィンランドでAkira ランサムウェアによる被害が増加。攻撃の中で、オンラインバックアップも被害を受けている。

→攻撃手口として、CiscoのVPNの脆弱性を悪用され、侵入されている模様。

・YouTube Channels Hacked to Spread Lumma Stealer via Cracked Software

・YouTubeで広がるマルウェアに警戒を、ダウンロードは増加の一途 | TECH+（テックプラス）

→Youtubeのチャンネルを乗っ取り、ファイル共有サービスの紹介動画をアップし、ダウンロード先として貼った短縮URL（GithubなどのオープンソースＰＦ）にアクセスさせ、そこでマルウェア（Lumma）をダウンロードさせる手法。

→lummaは暗号資産ウォレット関連のログイン情報等の情報を盗む模様

・悪用が進む脆弱性「CitrixBleed」信用組合に関連したサプライチェーン攻撃を引き起こす：Cybersecurity Dive - ITmedia エンタープライズ

→CitrixBleedが引き続き狙われている。VPNの脆弱性は攻撃者が利用する可能性が高いものとして認識しておくべき。

・Data-theft malware exploits Windows Defender SmartScreen • The Register

→犯罪者は、Windows Defender SmartScreen バイパスの脆弱性（11月に公表・パッチが公開された脆弱性）を悪用して、Phemedrone Stealer に PC を感染させている。

→Phemedrone Stealer は、パスワード、Cookie、認証トークンなどの機密情報をスキャンして取得し、漏洩させるマルウェア。ターゲットには、Chromium ベースのブラウザーのほか、LastPass、KeePass、NordPass、Google Authenticator、Duo Mobile、Microsoft Authenticator が含まれる。

→Web サイトなどから悪意のある .url ファイルをダウンロードして開かせることで、被害者のマシンを Phemedrone に感染させる。url によって取得された .cpl は実際には .dll であるようで、Windows のコントロールパネルによってコントロールパネル項目が開かれると、これが実行を開始します。この .dll は、 GitHub から取得された攻撃の次の段階を実行するために PowerShell を呼び出すローダーとして機能する。

・増加するQRコードを悪用したフィッシング--難読化や検知回避の手法も - ZDNET Japan

→フィッシングサイトのURLをQRコードにしてメールに埋め込んだフィッシングメールの報告が増加。認証情報の窃取が目的と思われる。

・KB5034441の騒動に便乗したフィッシング詐欺が発生。@bahiamailのポストにご注意。決してURLを開かないで | ニッチなPCゲーマーの環境構築Z

→パッチの不具合に関する情報提供と見せかけて、フィッシングサイトに誘導する手口。

【脆弱性情報】

・話題の「EPSS」は「CVSS」と何が違うのか？使い分けるべきケースを紹介：セキュリティニュースアラート - ITmedia エンタープライズ

→EPSSは共通脆弱性評価システム（CVSS）やCVEなど複数の指標を基に、今後30日間で悪用される確率の日時推定値を示す。1000以上の変数と機械学習を使ってこの予測は微調整される。スコア値は脆弱性の修復に優先順位を付けるために設計されている。

→CVSSスコアは危険性の論理値を示すものであり、実際のリスクよりも高いスコアが付きがちで、企業が対処しなければならない脆弱性の数が多くなりすぎる点が課題だ。また、CVSSのスコア値が低いものであっても簡単に使用できるエクスプロイトが存在する場合は、そのリスクはスコア値以上に高いものになるという課題もある。

・CVSSに代わる脆弱性の評価手法「SSVC」とは｜迅速な脆弱性対応を目指して｜ブログ｜NRIセキュア

→こちらは、当該脆弱性を悪用した攻撃が発生する可能性を元に、パッチ適用のスピード感を決める考え方を整理した「SSVC」の紹介。

→これはやばそうだからすぐ当てろ、ではなく、本当に攻撃が発生するのか、自社におけるインパクトはどの程度か、といった点も冷静に整理してから脆弱性の対応を行う風潮になってきている。やっぱり脆弱性が多すぎてなんでも対応するのは不可能、という状況なのでしょうね。

・JVNTA#95077890: SSH接続の安全性を低下させる攻撃手法Terrapin Attackについて

→SSHの脆弱性？仕様の不備？を突いて、ハンドシェイク通信の一部を削除することで、暗号化方式のダウングレードが可能。これを悪用して中間者攻撃ができる模様。

→上記が可能となる暗号化方式は限られているが、広い範囲で実装がされている模様。回避にはクライアント、サーバ側の両方で対応が必要。

参考）

Terrapin attack について #SSH - Qiita

Terrapin Attack

SSHのセキュリティを弱体化させる新しい攻撃手法「Terrapin」に注意 | TECH+（テックプラス）

SSHプロトコルを狙う新たな攻撃手法「Terrapin攻撃」を研究者が公表：セキュリティニュースアラート - ITmedia エンタープライズ

【セキュリティ対策機器、ツールの紹介記事】

・野村総研、データ漏えいリスクに対処する「プライベートLLM」を提供へ - ZDNET Japan

→野村総合研究所（NRI）とグループ企業のNRIデジタルは1月11日、2024年春以降にデータ漏えいリスクに対処する「プライベート大規模言語モデル（LLM）」を企業ごとに提供すると発表した。

→ユーザーの機密情報や機微情報のデータを送信してしまいかねないリスクに対応するという。プライベートLLMでは、オープンソース型LLMをNRIのデータセンターのプライベートクラウドサービスや企業のオンプレミス環境で動作させる。機密性の高いデータの漏えいリスクを極少化してLLM学習に用いる。

【コラム系】

・2024年の「AI／機械学習／データ分析」はこうなる！ 7大予測：AI・機械学習の業界動向 - ＠IT

→マルチモーダルAI、AI規制派は効果的利他主義（EA：Effective Altruism）、AI推進派は効果的加速主義（e/acc：effective accelerationism）、AI／機械学習向けの「オープンソース」の定義

【その他】

・政府、研究機関などのインテリジェンスを集約 NRIセキュアがインテリジェンスセンターを設立：「変化を捉えて未来を見通す分析を活用することが重要」 - ＠IT

・NCSC

→フィッシングメールへの対応策をNCSCがまとめたもの。様々な対策を整理したPDFと実例でどのように企業が攻撃を防いだかを整理したPDFがわかりやすい。

・Gartner、日本の企業がセキュリティに関して2024年に押さえておくべき10の重要論点を発表

・2024年のセキュリティ、日本企業に向けた10の論点 - ZDNET Japan

→昨今においてセキュリティの取り組みをステークホルダー（利害関係者）に説明する必要性が今まで以上に高まっているとし、「戦略不在のままその場しのぎの対応を継続した場合、企業として責任を問われた際に説明に窮する事態に陥る可能性がある。セキュリティリスクマネジメント（SRM）のリーダーは、目前の課題や仕事のみに振り回されるのを避けるために、少なくとも年に1回は視野を広げ、自社の取り組みを見つめ直す機会を持つべき。

→SRMリーダーは、従来存在する情報セキュリティの脅威のみではなく、サイバーセキュリティおよびデジタルトレンドを踏まえた新しい脅威の変化をファクトベースで経営陣、ビジネスリーダーに伝え、理解を促すことが重要になる。

→脅威対策製品の検知や防御の能力に頼るだけでなく、問題が発生しないような構成を維持する事前対応プロセス（ぜいじゃく性への対処や設定ミスの修正など）をセキュリティオペレーションに組み込み、そのサイクルを回していくことが求められる。

→インシデントが広い範囲に影響する場合、業務停止の時間を極力短くすることが重要になるため、こうした場面ではインシデントの原因究明よりもシステムの暫定復旧が優先されるようインシデント対応プロセスを見直す必要がある。

・アジャイル開発で役立つセキュリティプラクティス / Agile Security Practice - Speaker Deck

→脆弱性テスト効率化ツールについて簡潔に整理されており、わかりやすい。

・機密情報が漏洩した、企業はどう対処すべきか | TECH+（テックプラス）

→漏洩した時には、情報の重要度の確認、漏洩範囲と潜在的な影響の確認、漏洩の根本原因を特定、漏洩した情報の関連情報の確認

→事後的対応としては、二次被害の防止、将来の漏洩の未然防止、検知・防御体制の強化

・トップガンでなくてもセキュリティエンジニアとして長く続けていくには - トリコロールな猫/セキュリティ

・「2024年も始まったしそろそろマルウェアの勉強を始めるか」と思っている人向けのマルウェア解析ツール入門話 - 切られたしっぽ

2024-01-06

20240106

【調査結果・ベンダーレポート】

・2024年のサイバーセキュリティ予測--AI、クラウド、CISOの変化など - ZDNET Japan

【その他】

・Free Decryptor Released for Black Basta Ransomware

→BlackBestaの復号ツールが開発されたとのこと。

→サイズによっては完璧に戻せない模様。

→事実と異なる動画や音声をつなぎ合わせているものや、陰謀論を流布しているもの、収益目的で本事案を悪用しているものがあった模様。

・年始に勉強したい AWS セキュリティのコンテンツまとめ - builders.flash☆ - 変化を求めるデベロッパーを応援するウェブマガジン | AWS

・セキュリティエンジニアを3年続けて分かったおすすめ勉強法

2023-12-31

2023/12/31

【インシデントに関する情報】

・板橋区職員の動画配信アプリを通じた情報流出についてまとめてみた - piyolog

→職員は出勤中に使用した動画配信アプリを起動したままにしており、当時その配信を閲覧する視聴者が5人がいた。センターのオペレーター3人が未納者とやり取りをしていた会話が配信されていたとみられ、配信の視聴者からセンター宛に連絡があり事態が発覚した。

【攻撃の傾向・手法】

・「犯罪者のExcel離れ」が止まらない理由：TechTargetジャパン特選プレミアムコンテンツ - ＠IT

・H2 2023 Threat Landscape Dominated by AI and Android Spyware - Infosecurity Magazine

→名前に文字列「chapgpt」または ChatGPT チャットボットへの明らかな参照に類似のテキストが含まれる悪意のあるドメインへのアクセス試行を 650,000 件以上ブロックしました

→Android スパイウェアの検出数が大幅に増加し、2023 年下半期に前回報告された期間と比較して 89% 増加したと報告しました。

・Ransomware Leak Site Victims Reached Record-High in November - Infosecurity Magazine

→11 月のピークは LockBit の活動の復活が一因でした。11 月の増加は CitrixBleed の脆弱性によるものである可能性があると推定しており、「伝えられるところによると、この脆弱性はグループの新たな定番となっている」とのことです。

→「ランサムウェア攻撃の背後にいる人間がしばらく休むため、1月には減少が予想される」と付け加えた。

・マルウェアを使わなくなった攻撃者たち代わりに用いられる手法とは？：Cybersecurity Dive - ITmedia エンタープライズ

→多くの場合、サイバー攻撃者はスクリプトフレームワークやリモートモニタリングマネジメント（以下、RMM）ソフトウェアなどの正規のツールを悪用して被害者のネットワークに侵入している。

→CISAは、攻撃者はRMMを悪用してマネージドサービスプロバイダーのサーバに侵入し、何千もの顧客のネットワークにアクセスしていると警告した。

・How ransomware operators try to stay under the radar | Malwarebytes

→Living-off-the-Land (LOTL) 攻撃は通常の動作を模倣して実行されるため、IT チームやセキュリティソリューションが悪意のあるアクティビティの兆候を検出することが非常に困難になります。

→ファイルレスマルウェアはメモリ常駐のみを目的としており、実行後に痕跡を残さないことが理想的です

→実際の攻撃が開始される前に常駐のセキュリティソフトウェアを無効にすることです。これを実現する 1 つの方法は、今年確認されたように、署名付きドライバーを使用することです。

【攻撃組織の動向】

・Carbanak malware returned in ransomware attacks

→サイバーセキュリティ企業 NCC グループは、11 月にバンキングマルウェアCarbanak がランサムウェア攻撃で観察されたと報告しました。Carbanak は先月新たな流通チェーンを通じて復活し、さまざまなビジネス関連ソフトウェアになりすますために侵害された Web サイトを通じて配布されました。

【当局関連の動き、法規則等】

・Zoom、政府認定クラウドサービスに | スラド IT

→登録されたZoomは、日本の政府機関向けに初期設定などを変更した「Zoom Japanese Government Preset」というバージョンになる。

・フィッシングによるインターネットバンキングへの不正送金被害が急増、「不正アクセス」「個人情報の確認」「取引の停止」等のワードに注意呼びかけ | ScanNetSecurity

→12月8日時点で、2023年11月末における被害件数は5,147件、被害額は約80.1億円と、いずれも過去最多を更新しているという。

【調査結果・ベンダーレポート】

・マカフィー、2024年のサイバーセキュリティの脅威動向予測を発表～AIの進化に伴いオンライン詐欺が横行 - SecurityInsight | セキュリティインサイト

・ノートン、2024年のサイバーセキュリティ予測5選を発表〜高度なAIにより、脅威は個人と中小企業の双方に対してさらにパーソナライズ化へ - SecurityInsight | セキュリティインサイト

・サイバーセキュリティに役立つ Talos『一年の総括』レポートの推奨事項

→「いつかは攻撃を受ける」という前提で考えることです。一刻も早く脅威を確実に根絶やしにするために、私たちにできることはあるのでしょうか。サイバーセキュリティの大部分は、バランスを考えながらリスクを低減する作業です。許容可能なリスクと、絶対に許容できないリスクを認識する必要があります。

【セキュリティ対策機器、ツールの紹介記事】

・「SBOM」は2024年のサイバーセキュリティキーワードになるか - ZDNET Japan