ブログパーツのコンテンツを改ざんするトロイの木馬、9月はWordPress以外のサイトでの検出が8割以上に～IIJ調査 
Excelの奇妙なパスワードとマクロウイルス - Cybozu Inside Out | サイボウズエンジニアのブログ
サイボウズ・ラボの光成です。 今回はMicrosoft Excelに存在する特別なパスワードの仕様を紹介します。 後半はそれがマクロウイルスと関わるとどうなるか、ちょっとした実験をしたのでその紹介をします。 そもそものきっかけ それは海外の人からのメールでした。 私はCODE BLUE 2015で「MS Officeファイル暗号化のマスター鍵を利用したバックドアとその対策」を発表した際、 Windows/LinuxでMicrosoft Officeファイルの暗号化・復号をコマンドラインでできるツールmsofficeを公開しました。 そのメールはツールについての質問で、「知人からもらったファイルをこのツールで確認すると暗号化されているのにファイルを開くときにパスワードを聞かれない。なぜ?」というものでした。 最初質問の意味がわからなかったのですが、確認すると確かにファイルを開くときにパスワー
BuffaloやNetgearなどのルータに脆弱性、CERT/CCが情報公開
米カーネギーメロン大学のCERT/CCは12月10日、BuffaloやNetgearなど大手の製品を含むルータの脆弱性に関する情報を公開した。 CERT/CCによると、BuffaloとNetgeaのルータにはDNS偽装の脆弱性が見つかった。Buffaloのルータは「AirStation Extreme N600 Router WZR-600DHP2」（ファームウェアバージョン2.09, 2.13, 2.16）、Netgearは「G54/N150 Wireless Router WNR1000v3」（ファームウェアバージョン1.0.2.68）で、それぞれ脆弱性が確認された。他のモデルやバージョンも影響を受ける可能性がある。 脆弱性は、LANからの全DNSクエリについて静的なソースポートが使われていることに起因する。悪用された場合、DNSレスポンスが偽装され、LANクライアントが攻撃者の制御す
iPhoneの音声アシスタントSiriに電磁波を送って乗っ取る方法とは？
By Vincent Brown iOSのSiriやAndroidのGoogle Nowには音声コマンド機能があり、声をかけることで操作可能です。しかし、この音声コマンド機能の性質を悪用してスマートフォンを外部から乗っ取る手法が考案されており、音声コマンド機能の持つ思わぬリスクが明らかになっています。 Hackers Can Silently Control Siri From 16 Feet Away | WIRED http://www.wired.com/2015/10/this-radio-trick-silently-hacks-siri-from-16-feet-away/ ANSSIでセキュリティを研究するフランスの研究者ホセ・ロペス・エステベス氏とシャウキ・カスミ氏は、iPhoneのSiriの持つ音声コマンド入力機能を悪用することで、外部からハッキングする手法を公開しました
Lenovo、今度はThinkPadにユーザーデータ収集ソフトを潜ませていた - iPhone Mania
今年2月、中国メーカーのLenovoが、販売しているノートパソコンへ密かに凶悪なアドウェアを混入していることが発覚しましたが、今回新たに、ユーザーデータを収集するソフトウェアを埋め込んでいることが明らかとなりました。しかも今回は、Lenovoの主力モデルであるThinkPadを始めとする「Think～」の全シリーズが対象です。 前回あれほどThinkシリーズは無関係と主張したのに 2015年2月にも、Superfishなる悪質なアドウェアを埋め込んでいることが明らかとなり、大スキャンダルに見舞われたLenovoですが、この時同社の見解は、「Thinkシリーズには埋め込んでいない」というものでした。しかし今回は、全てのThinkシリーズが対象となっています。 Computer Worldが明らかにしたところによれば、LenovoはThinkPadやThinkCentre、ThinkStati
LinkedIn製AndroidセキュリティチェックTool、QARKを使ってみた
LinkedIn製のAndroidセキュリティチェックTool「QARK」がオープンソースとして、Githubで公開されました。 QARKとは QARK(=Quick Android Review Kit)はAndroidアプリケーションの脆弱性を検知するセキュリティチェックToolです。ソースコードまたはAPKファイルからチェックが可能です。テスト端末のroot取得は不要で、ユーザーが通常利用する環境下の脆弱性に焦点を当てています。 動作環境 python 2.7.6 JRE 1.6+ (preferably 1.7+) OSX or Ubuntu Linux (Others may work, but not fully tested) 検知項目 次のような項目を検知します。 export可能なコンンポーネント(Activity,Serviceなど) 不適切なexportコンポーネント
Mozillaの報奨金制度で200万円ほど稼いだ話
Find Blue Oceans - Through the Competitive World of Bug Bounty This document discusses tips for finding uncontested bug bounty targets from a bug hunter's experience with Mozilla Firefox. Some key tips include searching for bugs in web platforms, unstable features in development builds, and sub-products like Firefox for Android and Firefox for iOS in order to find less competitive targets. Example
Windows標準の機能を使用した標的型攻撃の対策 #ssmjp /ssmjp1507
2015年7月31日 #ssmjp での資料です。
パスワード一元管理のLastPassにハッキング、情報流出も
一方、LastPassの保管庫に保存された他のサイトのパスワードを変更する必要はないとしている。ただ、安易なパスワードを使っている場合や、マスターパスワードと同じパスワードを他のWebサイトでも使い回している場合は直ちに変更するよう呼び掛けている。 関連記事 Googleの二段階認証を3400円のUSBキーで試す Amazon.co.jpでFIDO 1.0仕様のUSBキーを購入しました。ようやく二段階認証が一般的になるのではないかと期待しています。 米連邦政府、400万人分の個人情報流出の可能性を発表 中国ハッカーの犯行との報道も 米連邦人事管理局が、同局のシステムに何者かが不正侵入し、約400万人の職員および元職員の個人情報が流出した可能性があると発表した。複数の米メディアが、当局がこれを中国ハッカーの犯行とみていると報じた。 年金情報125万件流出 年金機構に不正アクセス ウイルス入り
「あなた既に転出されてますが」 私の住民票、誰がなぜ：朝日新聞デジタル
ある日突然、知らない土地に、自分の住民票が異動させられていたとしたら。そんな奇怪な出来事が静岡県富士市に住む男性の身に起こった。誰が、何のために――。なぞを追った。 端緒、あのバイトか 「既に市外に転出されているのですが……」 富士市内に住む派遣社員の男性（４７）は、国民健康保険への加入を申請しようと富士市役所の窓口を訪れた際、職員にこう告げられた。知らないうちに転出手続きがとられ、「市民」でなくなっていた。昨秋のことだ。 「転出先」は名古屋市千種区のアパートの一室。千種区役所によると昨年７月１５日、何者かによって男性の転入届が出され、併せてアパートの住所で男性名義の住民票の写し１通が交付されていた。窓口に来た何者かが書いた申請書類と男性名義の委任状が保管されていたが、「窓口には一日約２００人が訪れるため、どんな人物だったか記憶するのは困難」（区担当者）という。 一方、アパートの大家の男性
SSL/TLS実装に新たな脆弱性
2015年3月、一部のSSL/TLS実装に存在する脆弱性を悪用する「FREAK」という新たな攻撃手法の情報が公開された。同攻撃は、データの盗聴や改ざんを可能にする中間者攻撃の一種。FREAKが悪用する脆弱性は、iOSやAndroidにも存在するため注意が必要だ。対策は、iOS 8.2/AppleTV 7.1以降へのアップグレードや、Chrome 41以降の利用である。 フランス国立情報学自動制御研究所（INRIA）とマイクロソフトリサーチの合同チーム「miTLS」は2015年3月、一部のSSL/TLS実装に含まれる脆弱性を悪用する中間者攻撃手法「FREAK」の情報を公開した。 FREAKは、SSL/TLS通信に介入して弱い暗号を強制的に使用させることで、データの盗聴や改ざんを可能にする攻撃手法である。攻撃を成立させる条件を比較的整えやすく、攻撃対象となり得るクライアントの種類や数が多いこと
「Googleが脆弱性を放置」と、セキュリティ企業が批判
他社に即時対応を要求しながら自社の対応に甘いと、Security Explorationsが指摘する。 米Googleの「Google App Engine（GAE）for Java」に見つかった複数の脆弱性が未解決のままになっているとして、ポーランドのセキュリティ企業Security Explorationsが5月15日、詳しい情報とコンセプト実証コードを公開した。Googleは他社に対しては即座に対応を要求しておきながら、自分たちの製品に報告された脆弱性は放置したり黙って修正したりしていると批判している。 Security Explorationsによると、同社は2014年12月以来、GAEに多数の脆弱性を発見してGoogleに報告し、Googleも修正などの対応を講じてきた。しかしまだ未解決の脆弱性が複数残っていて、悪用された場合、攻撃者がサンドボックスを抜け出して任意のコードを実行
サーバーのSSL/TLS設定のツボ - Internet Week 2014 セッションS14
Internet Week 2014 セッションS14 サーバーのSSL/TLS設定のツボ (配布資料) 2014年11月20日(木) 13:45-14:15 於：富士ソフトアキバプラザ 漆嶌 賢二 本文中の登録商標および商標はそれぞれの所有者に帰属します。 富士ゼロックス株式会社 SkyDeskサービスセンター 漆嶌賢二 © 2014 Fuji Xerox Co., Ltd. All rights reserved. © 2014 Fuji Xerox Co., Ltd. All rights reserved. 1 時期 問題・事件 対策 2005.11 OpenSSL SSLv2バージョンロールバック アップデート 2009.01 RapidSSL MD5衝突偽造中間CA アップデートやPinning 2009.07 NULL終端による証明書ホスト名一致不備 アップデートやPinni
国民監視用マルウェア詰め合わせキット「FinFisher/FinSpy」の内部文書やソースコード40GB分がリークされて誰でもダウンロード可能に
日本を含む36の国家で政府が「FinFisher/FinSpy」と呼ばれる国民監視用マルウェアキットを使っていることが確認されていますが、あるハッカーが提供元のGamma Internationalをハッキング、40GBにおよぶFinFisher/FinSpyに関する内部文書とソースコードが公開されています。 Gamma FinFisher hacked: 40 GB of internal documents and source code of government malware published | netzpolitik.org https://netzpolitik.org/2014/gamma-finfisher-hacked-40-gb-of-internal-documents-and-source-code-of-government-malware-publishe
【Twitter】4時間で3000RTされて知ったSNS共有のリスク | よしぱんblog
公開日：2014-08-06 最終更新日：2018-06-13 こんにちは、FacebookよりもGoogle＋よりもTwitter派の@よしぱんです。 先週、何気なく呟いたことが予想外に集中的にRTされました。これが練りに練ったオリジナルな文章や、自分で撮った素敵なお空の写真、渾身のイラストなんかだったらエッヘン出来たのですが、ただのTV番組のキャプチャなので何の感慨もありません。 めざましテレビさんごめんなさい、毎朝見ています！！ ライブ好きのフォロアーさんなら共感してくれると思ったので… ▼件のツイートはこちら。 私の知ってる夏フェスと違うらしい。 pic.twitter.com/H2ZOEuQF7O — よしぱん (@yoshipan) 2014, 7月 24 朝の7時という忙しい時間だったけど、思わずツッコみたくなる内容だったので写メ撮って一言添えてUPしました。その後はお仕事開
大規模すぎる個人情報の漏洩がもたらす深刻な影響
さとう・いちろう／国立情報学研究所・情報社会相関研究系教授。1991年慶応義塾大学理工学部電気工学科卒業。1996年同大学大学院理工学研究科計算機科学専攻後期博士課程修了。博士（工学）。1996年お茶の水女子大学理学部情報学科助手、1998年同大助教授、2001年国立情報学研究所助教授を経て、2006年から現職。また、総合研究大学院大学・複合科学研究科情報学専攻教授を兼任。 専門はミドルウェアやOSなどのシステムソフトウェア。 佐藤一郎のパースペクティブ 分散システムの研究を核としつつ、ユビキタス、ID、クラウド、ビッグデータといった進行形のテーマに対しても、国内外で精力的に発言を行っている気鋭のコンピュータ・サイエンス研究者が、社会、経済、テクノロジーの気になる動向について、日々の思索を綴る。 バックナンバー一覧 通信教育大手「ベネッセホールディングス」の子会社「ベネッセコーポレーション
「Android」の初期化機能、個人情報の消去が不完全--セキュリティ企業が指摘
セキュリティソフトウェアを提供するAVAST Softwareは、新たな調査の結果から、「Android」の設定でデータを初期化して出荷時の状態に戻すリセット操作の有効性に疑問を提起している。このリセットは、多くの人が古いスマートフォンを転売したり慈善目的で寄付したりする前に、デバイスから個人データを消去するのに頼っているものだ。 「Windows」「Mac OS」およびAndroidのセキュリティソフトウェアで知られるAVASTは、eBayでAndroidスマートフォン20台を購入した（eBayでは常に8万台前後の中古スマートフォンが売りに出されている）。AVASTの従業員がこれらのスマートフォンのデータを復旧したところ、写真4万件以上、電子メールとテキストメッセージ750件以上、連絡先250件以上、4台分の前所有者らの身元、記入済みのローン申請1件などが見つかったという。 AVASTの
SSDのせいで現代の犯罪捜査が極めて困難になっている状況が判明、その原因をSSDの仕組みから解説
By Jung-nam Nam 高速なデータ処理が可能なソリッドステートドライブ(SSD)の高性能化・低価格化・大容量化の勢いはとどまるところを知らず、2014年中にもIntelは2TBの高速SSDをリリースする予定です。身近なストレージとして普及しつつあるSSDですが、犯罪捜査におけるデータ解析を困難にさせる存在であると指摘されています。 Belkasoft: Digital Evidence Extraction Software for Computer Forensic Investigations http://forensic.belkasoft.com/en/why-ssd-destroy-court-evidence Modern SSDs self-destroy court evidence http://www.ssdfreaks.com/content/612/mo
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
テレビなどの映像・音声処理ソフトに脆弱性 乗っ取りの恐れ - 日本経済新聞
