マルウェアEmotetのテイクダウンと感染端末に対する通知 - JPCERT/CC Eyes
（更新日時 2021年11月19日） 本記事は2021年5月時点の記事のため、古い内容が含まれます。 2021年1月のテイクダウン作戦により当時のEmotetは全て停止しましたが、2021年11月14日よりEmotetが活動を再開したことを確認しています。 2019年10月以降、日本国内にてEmotetの感染事例が急増し、JPCERT/CCではこれまで注意喚起の発行や感染が疑われる場合の調査手順を公開し注意を呼び掛けていました。 2021年1月にEuropolは欧米各国の共同作戦によるEmotetのテイクダウンを発表しましたが、以後、各国CERTのネットワークを介して被害者への通知を行うことが示されています。日本国内では引き続きEmotetの感染端末が存在しており、JPCERT/CCでは国内外の各国機関等と連携し、利用者へ通知をしています。 本ブログ記事では、2章、3章でEmotetのテイ
Adobe Acrobat および Reader の脆弱性 (APSB20-75) に関する注意喚起
JPCERT-AT-2020-0049 JPCERT/CC 2020-12-10 I. 概要アドビから PDF ファイル作成・変換ソフトウェア Adobe Acrobat および PDFファイル閲覧ソフトウェア Adobe Acrobat Reader に関する脆弱性 (APSB20-75)が公開されました。脆弱性を悪用したコンテンツをユーザーが開いた場合、情報が窃取される可能性があります。脆弱性の詳細については、アドビの情報を確認してください。 アドビ Security update available for Adobe Acrobat and Reader | APSB20-75 https://helpx.adobe.com/security/products/acrobat/apsb20-75.html II. 対象対象となる製品とバージョンは次のとおりです。 - Adobe A
Microsoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起
HOME緊急情報を確認するMicrosoft Internet Explorer の未修正の脆弱性 (CVE-2020-0674) に関する注意喚起 JPCERT-AT-2020-0004 JPCERT/CC 2020-01-19(新規) 2020-02-12(更新) I. 概要2020年1月17日 (米国時間)、マイクロソフトから Microsoft Internet Explorerの脆弱性 (CVE-2020-0674) に関する情報が公開されました。脆弱性を悪用された場合、リモートからの攻撃によって任意のコードが実行される恐れがあります。マイクロソフトによると、本脆弱性の悪用を確認しているとのことです。 Microsoft ADV200001 | Microsoft Guidance on Scripting Engine Memory Corruption Vulnerabili
攻撃グループBlackTechが使うダウンローダIconDown - JPCERT/CC Eyes
以前のJPCERT/CC Eyesで、攻撃グループBlackTechが使用するマルウエアTSCookieやPLEADについて説明しました。この攻撃グループは、その他にもIconDownというマルウエアを使用していることを確認しています。IconDownがどのような手段によって設置・実行されるかは確認できていませんが、ESET社が公開しているブログ[1]によると、ASUS WebStorageのアップデート機能を悪用して侵入することを確認しているとのことです。 今回は日本の組織で確認されたIconDownの詳細について紹介します。 IconDownの挙動 IconDownは、特定のサイトからファイルをダウンロードします。以下は、IconDownが送信するHTTP GETリクエストの例です。 GET /logo.png HTTP/1.1 Host: update.panasocin.com C
Sysmonログを可視化して端末の不審な挙動を調査~SysmonSearch~(2018-09-06) - JPCERTコーディネーションセンター（JPCERT/CC）
JPCERT/CCではマルウエアに感染した端末を起点として、他の端末への感染拡大やサーバーへの侵入など内部のネットワーク内に侵害が拡大する事例を多く確認しています。侵害を受けた端末の調査には、動作したアプリケーションや通信などの詳細なログを日頃から取得しておくことが望まれます。このような用途に使用できるツールとしてマイクロソフト社が提供しているSysmon[1]というツールがあります。Sysmonは、端末上で動作したアプリケーションの情報やレジストリエントリの作成、通信などWindows OSの様々な動作をイベントログに記録するツールです。このSysmonのログを調査する最も一般的な方法は、イベントログをテキストなどの形式に変換し検索する方法ですが、この方法では多数の端末を同時に調査することは困難です。 そこでJPCERT/CCではSysmonのログを一元管理し、ログ分析を迅速かつより正確
2017年版CSIRT/情報セキュリティ担当者が読んでおいたほうがいい資料・スライド - Qiita
2017年に公開された資料・スライドで、CSIRT/情報セキュリティ担当者が読んでおいたほうがいいのでは?というものを独断と偏見でまとめてみました。 これが足りないじゃないか！という意見がある方はPRください。🙏🙏🙏 Note: この投稿は個人ブログ上の記事のQiitaへのクロスポストです。 技術関連資料 JPCERT/CC: インシデント調査のための攻撃ツール等の実行痕跡調査に関する報告書 (2017/12/05) JPCERT/CC: ログを活用したActive Directoryに対する攻撃の検知と対策 (2017/07/28) FIRST: FIRST Publications 2017 人材・組織関連資料 NCA: CSIRT人材の定義と確保(Ver.1.5) (2017/03/13) CSIRT に求められる役割と実現に必要な人材のスキル、育成についてまとめた資料 補足文
Mirai 亜種の感染活動に関する注意喚起 | JPCERTコーディネーションセンター（JPCERT/CC）
JPCERT-AT-2017-0049 JPCERT/CC 2017-12-19(新規) 2018-03-12(更新) I. 概要2017年11月ごろより、国内において Mirai の亜種による感染活動が確認されています。Mirai やその亜種などのマルウエアに感染した機器は、ボットネットに取り込まれ、攻撃者により遠隔から命令をうけて、DDoS 攻撃などに悪用される可能性があります。 図1: 定点観測システム TSUBAME における Mirai 亜種とみられる感染活動に関するスキャン観測状況 (2017年10月から2017年12月)更新: 2018年 3月12日追記 JPCERT/CC、情報通信研究機構 (NICT) 、警察庁等の調査により、感染の拡大のメカニズムに、既知の脆弱性 (CVE-2014-8361) が悪用されていることが確認されています。また、調査の結果、感染に至っている機
長期休暇に備えて 2017/12
冬の長期休暇期間におけるコンピュータセキュリティインシデント発生の予防および緊急時の対応に関して、要点をまとめましたので、以下を参考に対策をご検討ください。 年末年始の休暇期間中は、インシデント発生に気づきにくく、発見が遅れる可能性があります。休暇期間中にインシデントが発覚した場合に備えて、対応体制や関係者への連絡方法などを事前に調整し、休暇明けには、不審なアクセスや侵入の痕跡がないか、ネットワーク機器のログを確認することをおすすめします。 また、インシデントの発生を未然に防ぐためにも、休暇期間に入る前に自組織で管理するネットワーク機器のセキュリティ対策が十分か、今一度ご確認ください。 I. 情報窃取を目的とした不審なメールへの注意 JPCERT/CCでは、実際の組織の業務メールや広告メールなどを装い、情報窃取型マルウエアへの感染を誘導するばらまき型メール攻撃を引き続き確認しています。メー
イベントログを可視化して不正使用されたアカウントを調査 ~LogonTracer~（2017-11-28）| JPCERTコーディネーションセンター（JPCERT/CC）
セキュリティインシデントの調査においてイベントログの分析は欠かせない作業です。Active Directory（以下、「AD」という。）で管理されたネットワークでは、ADのイベントログを分析することで不正使用されたアカウントや侵入されたホストを知ることができます。イベントログを分析する際、イベントビューアーでは詳細な分析をすることが難しいため、テキスト形式にエクスポートして分析したり、SIEMやログ管理システムにログをインポートして分析したりするのが一般的です。しかし、イベントログは環境によっては膨大になるためどこから分析を始めたらよいか、どこに注目して分析したらよいか分からないという問題があります。 JPCERT/CC では、そのようなイベントログの分析をサポートするツール「LogonTracer」を作成し、公開しました。今回は、この「LogonTracer」の機能や導入方法について紹介
impfuzzyとネットワーク分析を用いたマルウエアのクラスタリング ~impfuzzy for Neo4j～(2017-03-10) - JPCERT/CC Eyes
Top > “マルウェア”の一覧 > impfuzzyとネットワーク分析を用いたマルウエアのクラスタリング ~impfuzzy for Neo4j～(2017-03-10) impfuzzyとネットワーク分析を用いたマルウエアのクラスタリング ~impfuzzy for Neo4j~ 今回は、マルウエアを分類するためにJPCERT/CCで作成したツール「impfuzzy for Neo4j」について紹介します。 impfuzzy for Neo4jの概要 impfuzzy for Neo4jは、マルウエアをクラスタリングした結果を可視化するツールです。可視化はグラフデータベースの Neo4j を使って行います。グラフデータベースとは、レコード（ノード）とレコード間の関係（リレーション）から構成されるデータ構造を扱うためのデータベースのことで、Neo4j は登録されたノードとリレーションをグ
JPCERT コーディネーションセンター jpcert.or.jp に類似するドメインに関するお知らせ
お知らせ：「jpcert.org」は、JPCERT/CCが管理するドメインとなりました。（2017年5月9日） 一般社団法人JPCERTコーディネーションセンターは、弊センターのドメイン「jpcert.or.jp」に類似するドメイン「jpcert[.]org」*1が、第三者に2017年2月9日に取得されていることを確認しました。 ユーザのみなさまの誤認混同につながることが懸念されるため、お知らせいたします。 この「jpcert[.]org」は弊センターとは関係ございません。 弊センターから発信される情報につきましては、今一度、正当なドメインであるかのご確認をお願いいたします。 なお、今後の状況により適切な対応を行ってまいります。 *1：ドメインの安全性が確認できていないため、ドメインの一部を[.]に置き換えています。 本件についてのお問合せ： 一般社団法人JPCERTコーディネーションセン
攻撃者の行動によって残る痕跡を調査(2016-06-28) - JPCERT/CC Eyes
近年の標的型攻撃では、ネットワーク内のマシンをマルウエアに感染させ、そのマシンを足掛かりに、ネットワーク内の様々なマシンへ侵入あるいはマルウエア感染を拡大して、不正をはたらく事例を多数確認しています。攻撃者は、ネットワーク内の様々なマシンへ侵入あるいはマルウエア感染を拡大させるために、攻撃の一環として送り込んだツールや、Windows OSに標準で準備されているコマンドを使用します。 一方、インシデント調査では、攻撃者が使用した鍵となるツールやコマンドが実行された形跡をログ情報の中から探し出しながら、推測される攻撃の経緯を可能な限り詳細に再構築します。その際に、主なツールやコマンドの実行時に、どのようなログが出力され、どのようなファイルが作成されるかをまとめた資料があれば、インシデント調査を効率的に進めることができます。 そうした効果を期待して、JPCERT/CCでは、攻撃者がネットワーク
Webプロキシ自動発見（WPAD）の脆弱性に関する注意喚起と予約ドメイン名の追加指定について | JPドメイン名についてのお知らせ | 新着情報一覧 | JPRS
マイクロソフト社が、Internet Explorerに実装しているWebプロキシ自動発見（WPAD）についての脆弱性を発表した（*1）ことを受け、JPRSでは、一般ユーザーおよびサービスプロバイダ等を対象とする注意喚起および対策のためのWebページ（*2）を公開いたしました。 ホスティングサービス等においてサブドメイン名に利用者が任意の文字列を設定可能なサービスが提供されている場合、この脆弱性の影響を受ける可能性があります。このようなサービスを提供または利用している方は、下記の文書をご一読いただき、対策を行うことをお勧めいたします。 なお、JPRSでは、この脆弱性への対策の一環として、下記の対象文字列を当面の間予約ドメイン名として指定し、この文字列を第3レベルまたは第4レベル（属性型・地域型JPドメイン名の<組織ラベル>）に使用したドメイン名の登録ができないようにしました。この予約ドメイ
JVNTA#91048063: WPAD と名前衝突の問題
Web Proxy Auto-Discovery (WPAD) に関する DNS クエリが社内ネットワークで解決されずに、インターネット上のネームサーバに送られる状況が観測されています。新 gTLD プログラムが開始され新たな gTLD が新設されていることから、WPAD に関する DNS クエリが外部に漏れることで名前衝突の問題が発生する可能性があります。 第三者が、関連するドメイン名の登録と WPAD に関する応答を行う環境を用意することにより、中間者攻撃 (Man-In-The-Middle attack) が行われる可能性があります。 WPAD は、社内ネットワーク上のシステムにプロキシ設定を配布するためのプロトコルです。ネットワークに接続するデバイスを個別に設定しなくても、WPAD が有効になっていれば、一定の規則に従って自動的にネットワーク上のプロキシ設定ファイルにアクセスしま
QuickTime for Windows の脆弱性対策について：IPA 独立行政法人 情報処理推進機構
2016 年 4 月 15 日、動画再生ソフトウェア「QuickTime for Windows」に、2 件の未解決の脆弱性が JVN に掲載されました。「QuickTime for Windows」がインストールされたパソコンで、細工されたウェブサイトに意図せずアクセスしたり、細工されたファイルを再生することにより、プログラムが異常終了したり、場合によっては攻撃者によってパソコンを制御されるなどの可能性があります。 本脆弱性を悪用した攻撃情報は確認されていませんが、製品開発者による当該製品のサポートは既に終了しており、修正パッチは提供されていません。そのため、当該製品の利用者は速やかにアンインストールを行い、代替製品の使用を検討してください。 図：脆弱性を悪用した攻撃のイメージ これと併せて、長期休暇明けの基本的な情報セキュリティ対策として、使用中のソフトウェア全般について、修正プログラ
高度サイバー攻撃(APT)への備えと対応ガイド～企業や組織に薦める一連のプロセスについて
高度サイバー攻撃(APT)への備えと対応ガイド～企業や組織に薦める一連のプロセスについて JPCERT/CCが2010年に行った高度サイバー攻撃(APT)に関する実態調査では、長期間にわたって社内で攻撃者による活動が行われていても、その兆候を検出できなかった事例が多くみられました。また、企業や組織が高度サイバー攻撃(APT)活動下にあると気付いたものの、ログの保持や保全状況に問題があり、いつ頃攻撃が始まったのか、侵入経路や攻撃手口はどのようなものだったのかの特定が難しい状況にあることがわかりました。 高度サイバー攻撃(APT)にあった企業や組織は、情報セキュリティ対策を何も実施していなかったわけではなく、むしろ、ベースラインとなる基本的な対策（アンチウイルスソフトの導入、パッチマネジメントの実施等）を行っている企業や組織が多いことが明らかになりました。 本ガイドは、企業や組織が高度サイバー
攻撃者が悪用するWindowsコマンド(2015-12-02) - JPCERT/CC Eyes
Windows OSには標準で多数のコマンド(以下「Windowsコマンド」といいます。)がインストールされています。しかし、ユーザが実際に利用するのは多くの場合そのうちのごく一部です。一方、侵入した攻撃者も情報を収集し、あるいはネットワーク内で感染を拡大させるためにWindowsコマンドを使っていることをJPCERT/CCの調査で確認しています。ここで注目されるのは、普通の利用者が使うWindowsコマンドの集合と攻撃者が使うWindowsコマンドの集合のずれです。両者が大きく違っていれば、Windowsコマンドの実行状況を監視または管理することで、攻撃者の動きを検知あるいは抑制できることになります。 今回は、攻撃者が侵入したWindows OS上で使用するWindowsコマンドを明らかにし、攻撃者は使うが各ユーザにとっては不要なWindowsコマンドの実行を制限することで、攻撃による影
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
jpcert.org ドメインに関するお知らせ
初めてのAPT攻撃にあわてないための秘伝の書、JPCERT/CCが一般にも公開 
JPCERT/CC、連絡のとれない開発者の製品に関する脆弱性情報の公表を開始
