はてなブックマーク

This post is also available in: English (英語) 概要 本稿は、DNS (ドメイン ネーム システム) トンネリングの野生 (in the wild) での新たな応用に関するケース スタディを紹介します。こうした技術の応用範囲は、単なるコマンド & コントロール (C2) や仮想プライベート ネットワーク (VPN) が目的の DNS トンネリングを超えて広がっています。 ときに悪質なアクターは DNS トンネリングを秘密の通信チャンネルとして使うことがあります。これなら従来型のネットワーク ファイアウォールを回避でき、従来の検出手法から C2 トラフィックや漏出データを秘匿できるからです。 ところが私たちは最近、従来の C2 や VPN 以外の用途で DNS トンネリングが使われているキャンペーンを 3 つ検出しました。その用途とはスキャンと追跡で

This post is also available in: English (英語) 概要 この脅威概要は日次でモニタリングされ、共有すべき新たなインテリジェンスを入手しだい更新されています。全更新履歴は本稿末に記載されています。この更新履歴では、行われたすべての変更の詳細な説明を提供しています。 パロアルトネットワークスと Unit 42 は、CVE-2024-3400 に関連するアクティビティを追跡しており、外部のリサーチャー、パートナー、お客さまと協力しあい、情報を透明性と迅速性をもって共有いたします。 パロアルトネットワークスの PAN-OS ソフトウェアには、深刻度が「重大 (critical)」のコマンド インジェクションの脆弱性が存在します。この脆弱性により、認証されていない攻撃者が、同ファイアウォール上で、root 権限で任意のコードを実行できるようになります。同脆弱性

This post is also available in: English (英語) 概要 2024 年 2 月 16 日、中国の IT セキュリティ サービス会社 i-Soon (別名 Anxun Information Technology) に属する可能性のある社内通信、セールス関連資料、製品マニュアルを含むデータが何者かによって GitHub にアップロードされました。漏えいした資料は、ある営利団体が、中国とつながりのある脅威アクターを支援するサイバー スパイ ツールをどのように開発・サポートしたかを示すもののようです。漏えいデータの初期調査の一環として、Unit 42 は、データ漏えい内の情報と以前の中国とつながりのある持続的標的型攻撃 (APT) キャンペーンとのリンクを発見しました。Unit 42 は、この漏えいが本物であることを高い確度で評価しています。 たとえば、この

APT28, UAC-0001, Fancy Bear, Strontium / Forest Blizzard, Pawn Storm, Sofacy, Sednit CVE-2023-23397: 概要 Fighting Ursa は、ウクライナでの紛争に先立ち、ロシアの情報戦オペレーションを支援するハッキングによってその定評を確立していました。こうした支援には以下の取り組みが含まれています。 オリンピックの反ドーピング調査報道への対抗 英国における GRU による暗殺未遂事件で、化学物質の使用に関する捜査を妨害 米国、フランス、ドイツの民主的選挙プロセスへの影響行使 国際的にはあまり知られていないのが、ロシアのウクライナ侵攻に先立ち今日に至るまで行われている Fighting Ursa の一連のハッキング キャンペーンです。 2022 年 2 月 24 日、ロシアはウクライナへの本格

This post is also available in: English (英語) 概要 Unit 42 のリサーチャーは、Google Workspace (旧 G Suite) のドメイン全体の委任機能にセキュリティ リスクがあることを発見しました。私たちは、Google Cloud Platform (GCP) から Google Workspace ドメイン データにアクセスする、予期せぬ方法を明らかにしました。 必要な権限を持つ GCP の ID があれば、委任されたユーザーに対するアクセス トークンを生成できることがわかりました。クレデンシャル (認証情報) を盗んだ悪意のある内部関係者や外部にいる攻撃者は、このアクセス トークンを使って Google Workspace ユーザーになりすまし、これらのユーザーのデータに対する不正アクセスを許可したり、これらのユーザーに代

By Unit 42 November 21, 2023 at 6:00 AM Category: Malware Tags: advanced persistent threat, Advanced Threat Prevention, Advanced URL Filtering, Advanced WildFire, APTs, BeaverTail, CL-STA-0420, CL-STA-0421, Cloud-Delivered Security Services, Cortex XDR, DPRK, next-generation firewall, North Korea, Wagemole This post is also available in: English (英語) 概要 Unit 42 のリサーチャーは最近、北朝鮮 (朝鮮民主主義人民共和国 DPRK) に紐

By Ruian Duan and Daiping Liu October 16, 2023 at 1:38 AM Category: Malware Tags: Advanced URL Filtering, Cobalt Strike, Cortex XDR, Decoy Dog malware, DNS security, dns tunneling, DNSTT, FinCounter, next-generation firewall, VPN This post is also available in: English (英語) 概要 本稿は、DNS (ドメイン ネーム システム) のトンネリング技術が野生で (in the wild) どのような理由と方法で利用されているのかに関する研究をご紹介します。またこの研究結果に基づいて、トンネリング ドメインをツールやキャンペーン

This post is also available in: English (英語) 概要 リサーチャーは、脅威アクターが古い概念実証 (PoC) コードを再利用して、新たにリリースされた脆弱性用の偽 PoC をすばやく作成してしまうことを意識しておく必要があります。2023 年 8 月 17 日に Zero Day Initiative は WinRAR のリモート コード実行 (RCE) の脆弱性 (CVE-2023-40477) を公開しました。同団体は、2023 年 6 月 8 日にベンダーへの開示を行っていました。CVE-2023-40477 の公開から 4 日後、ある攻撃者が whalersplonk というエイリアスを使い、偽の PoC スクリプトを GitHub リポジトリにコミットしました。 WinRAR の脆弱性のエクスプロイト用とされたこの偽 PoC は、GeoS

By Unit 42 February 14, 2024 at 2:30 PM Category: Threat Briefs and Assessments Tags: BRONZE SILHOUETTE, China, Cloud-Delivered Security Services, Cortex XDR, Cortex XSIAM, Cortex XSOAR, Dev-0391, Insidious Taurus, next-generation firewall, Prisma Access, Prisma Cloud, threat prevention, UNC3236, Vanguard Panda, Volt Typhoon This post is also available in: English (英語) 概要 Insidious Taurus (別名 Volt

This post is also available in: English (英語) 概要 Playful Taurusは日常的にサイバースパイ活動を行う中国の持続的標的型攻撃グループです。APT15、BackdoorDiplomacy、Vixen Panda、KeChang、NICKELの名前でも知られています。このグループは少なくとも2010年には活動を開始しており、歴史的に北南米、アフリカ、中東の政府機関や外交機関を標的にしてきました。 2021年6月、ESETは同グループがツールキットを更新し、Turianと呼ばれる新たなバックドアを搭載したと報告しました。このバックドアの開発は現在も活発に行われています。私たちはこのツールはもっぱらPlayful Taurusのアクターだけが使用していると評価しています。このケイパビリティの進化につづき、最近私たちは同バックドアの新たな亜種と

2019年1月30日 PST 本脆弱性の悪用シナリオの前提条件に関するコミュニティからのフィードバックを受け、私たちはAuth0と協力してCVE-2022-23529を撤回することを決定しました。 本稿で解説したセキュリティの問題はJsonWebTokenライブラリが安全でない方法で使用された場合には依然として懸念されるものです。そのシナリオでは、すべての前提条件を満たせばこの問題を悪用できる可能性があります。私たちは、その場合のリスクの大元はライブラリ側でなく呼び出し側のコードにあることに同意します。 この問題に対処するためJsonWebTokenのコードには重要なセキュリティチェックが追加されました。 jsonwebtoken 8.5.1以前のバージョンをお使いの場合は最新版の9.0.0にアップデートすることをお勧めします。最新版では同セキュリティ問題を含む問題を修正済みで、より安全な

表1 Kerberosチケット Enc-partにはさまざまなフィールドがありますが、ここでは以下について説明します。 cname: クライアントのプリンシパル識別子の名前部分 認証データ: プリンシパルからの認証データをアプリケーションサービスに渡すために使用。プリンシパルではチケットが代理発行される。この部分には特権属性証明(PAC)が含まれる Kerberos特権属性証明(PAC)とは? Microsoftのドキュメントによると、PACは、認証関連情報を示す構造体であり、認証関連情報はDCで渡されます。PACを認証プロトコルで使用してIDを検証し、認証情報を転送してリソースへのアクセスを制御します。 PAC内のセキュリティ識別子(SID)、相対識別子(RID)といった認証データが、DCに含まれます。 Kerberos委任 Kerberos委任の一般的な使用例は、Webサーバーでデータ

This post is also available in: English (英語) 概要 本稿ではUnit 42のリサーチャーがCobalt Strikeコンポーネントを組み込んだ複数のマルウェアサンプルを検証します。実行上の重要ポイントにおけるプロセスメモリ内の差分から得られたアーティファクトを分析し、これらサンプルを捕捉する方法を解説します。またこれらの脅威が使う回避戦術など、解析上問題となるポイントについても説明します。 Cobalt Strikeはレッドチーム演習用の敵対的シミュレーションフレームワークの1つですが、長年にわたり検出エンジンを悩ませてきた回避型マルウェアの典型的特徴を備えていることから、その人気はレッドチームにとどまらず、脅威アクターの多くが悪意のある目的に利用しています。 ツールキットそのものは実践的セキュリティテストを行いたい信頼すべき団体だけに販売されて

By Rebekah Houser and Daiping Liu October 24, 2022 at 6:20 PM Category: Malware, Unit 42 Tags: Cloud-Delivered Security Services, CNAME Cloaking, DNS, DNS security, next-generation firewall, privacy, URL filtering This post is also available in: English (英語) 概要 皆さんはWebサイトを見ているときに、自分が見られているような気がすることはないでしょうか。だとしたら誰が、そのWebサイト、さらにはインターネット全般を通じ、私たちの振る舞いを観察しているのでしょうか。そうした情報の流れを制限したり、せめてその流れを把握しておくことは可能で

By Janos Szurdi, Rebekah Houser and Daiping Liu September 21, 2022 at 6:00 AM Category: Malware Tags: Cloud-Delivered Security Services, Cortex, Cortex XDR, Credential Harvesting, Cybercrime, DNS, DNS Hijacking, DNS security, network security, next-generation firewall, Phishing, threat intelligence, URL filtering This post is also available in: English (英語) 概要 サイバー犯罪者はドメイン名を侵害することで、そのドメインの所有者や利用者を

By Janos Szurdi August 29, 2022 at 6:00 AM Category: Tutorial Tags: anonymity, onion routing, privacy, Tor, traffic classification This post is also available in: English (英語) 概要 Torプロジェクトは、インターネット上で匿名性を保ちたいユーザーが利用できる、もっとも有名なツールの1つを提供しています。Torは善悪さまざまな用途に利用されていますが、企業ネットワークでのTorトラフィックの許可は、さまざまな悪用やセキュリティリスクの懸念をもたらします。 政治活動家はTorで政府の目を逃れ、意思表明をします。サイバー犯罪者はTorで防御をかいくぐり、法執行機関から身を隠します。TorはSilk Roadのようなダークウ

By Unit 42 July 25, 2022 at 10:59 PM Category: Reports, Threat Prevention, Vulnerability Tags: Apache Log4j, CVE-2017-5638, CVE-2017-9841, CVE-2018-19986, CVE-2019-02320, CVE-2019-19597, CVE-2019-9082, CVE-2020-14882, CVE-2020-14883, CVE-2020-15505, CVE-2020-15506, CVE-2020-25078, CVE-2020-5902, CVE-2021-21315, CVE-2021-22986, CVE-2021-26855, CVE-2021-31805, CVE-2021-34473, CVE-2021-35464, CVE-202

By Chris Navarrete, Durgesh Sangvikar, Yu Fu, Yanhui Jia and Siddhart Shibiraj July 13, 2022 at 7:40 PM Category: Tutorial Tags: C2, Cobalt Strike, Cobalt Strike Series, evasion, post-exploitation This post is also available in: English (英語) 概要 Cobalt Strikeは商用の脅威エミュレーションソフトウェアで、ネットワークに長期的にひそむアクターをエミュレートします。Beaconと呼ばれるこのアクターは外部TeamServerと通信してコマンド＆コントロール(C2)トラフィックを模倣します。汎用性が高く、レッドチームの正規ツールとしてよく利用され

By Mike Harbison and Peter Renals July 5, 2022 at 7:08 PM Category: Threat Advisory/Analysis Tags: APT 29, brute ratel c4, pentest tool, red teaming tool This post is also available in: English (英語) 概要 Unit 42は、既知のAPT攻撃グループ(Advanced Persistent Threat 持続的標的型攻撃)のパターンや戦術に合致する新たな独自マルウェアサンプルを継続的にハントしています。5月19日、こうしたサンプルの1つがVirusTotalにアップロードされ、評価した56のベンダすべてから良性という判定を受けました。検出にまつわる懸念は明らかですが、このサンプルは悪性ペイロード、

By Shawn Westfall May 31, 2022 at 7:10 PM Category: Threat Brief, Vulnerability Tags: CVE-2022-30190, Follina, Microsoft Office, remote code execution, zero-click This post is also available in: English (英語) 概要 2022年5月27日、リモートテンプレートを利用する悪意のあるWord文書がms-msdt Office URIプロトコルによりPowerShellを実行する手口の詳細が明らかになってきました。このテクニックを使用すると、攻撃者はローカルのOfficeマクロポリシーをバイパスし、Wordのコンテキスト内でコードを実行することができるようです。その後、Microsoftは保護の

By Brad Duncan May 17, 2022 at 6:00 AM Category: Malware Tags: Emotet, Macros, mealybug, Mummy Spider, Phishing, TA542 Emotetは現在の脅威概況でもっともメール配信数の多いマルウェアのファミリの1つです。法執行機関の連携により2021年1月にテイクダウンされたものの、2021年11月にはオペレーションを再開し、それ以来突出した脅威に返り咲いています。 本稿では、Emotetの背景と2021年11月の復活以降の活動を振り返り、復活から2022年1月末までのEmotetオペレーションで観測された変化に関する情報を提供します。本稿で取り上げたサンプルで全体像をつかみつつ、Emotetがいま世界中でどのような脅威となっているのかの理解につながればと思います。 パロアルトネットワ

目次 影響を受けるソフトウェアとバージョン Spring Frameworkの背景 CVE-2022-22965の根本原因分析 クラスローダー悪用の背景 侵害されたサーバー上でのリモートサーバーへのリバースシェル接続確立 SpringShellのエクスプロイト 実際に観測された事例 結論 追加リソース IoC 影響を受けるソフトウェアとバージョン 既存のエクスプロイトの概念実証(PoC)は、以下の条件で動作します。 JDK 9以上 ServletコンテナとしてのApache Tomcat (Spring Bootの実行可能jarとは異なる)従来のWARとしてのパッケージ化 spring-webmvc または spring-webflux との依存関係 Spring Framework バージョン 5.3.0 から 5.3.17, 5.2.0 から 5.2.19, およびそれ以前のバージョン

By Yuval Avrahami March 3, 2022 at 5:09 PM Category: Cloud Tags: containers, CVE-2022-0492, Linux, vulnerabilities This post is also available in: English (英語) 概要 2022年2月4日、Linuxはカーネルにおける新たな特権昇格脆弱性CVE-2022-0492を公表しました。CVE-2022-0492はコンテナの基本構成要素であるLinuxの機能、コントロールグループ(cgroup)における論理バグです。この問題は最近発見されたLinuxの権限昇格脆弱性のなかでもとりわけその単純さできわだつもので、「Linuxカーネルが誤って特権的オペレーションを非特権ユーザーに公開してしまった」という内容になっています。 さいわい、ほとんどのコン

目次 DDoS攻撃によるウクライナ政府機関および銀行機関への影響 HermeticWiperマルウェア Webサイトの改ざん フィッシング・詐欺攻撃の増加 サイバースクワッティングの増加傾向 偽の寄付サイト ウクライナのニュースサイトに対するDoS攻撃 アプリの配布 皆様の安全にむけた弊社の取り組み 増加するサイバー脅威に伴うワイパー、DDoS、Webサイト改ざんなどのサイバー攻撃への対策 脅威インテリジェンス、セキュリティコンサルティングによるUnit 42のサポート 追加のサイバーセキュリティリソース IoC 付録A: Cortex Xpanse: CISAによる悪用が確認されている脆弱性に基づき影響を受けた可能性のある資産を特定する DDoS攻撃によるウクライナ政府機関および銀行機関への影響 2月15日、ウクライナのサイバー警察は、住民が偽のSMSメッセージを多数受信していると報告し

By Tyler Halfpop, Micah Yates, Brad Duncan and Saqib Khanzada February 15, 2022 at 6:00 AM Category: Malware, Unit 42 Tags: Emotet, Macros, Phishing, Windows This post is also available in: English (英語) 概要 Unit 42は感染の広がっているマルウェアファミリEmotetの新たな感染手法を観測しました。この手法は早くも2021年12月21日時点では確認されています。Emotetは攻撃手法を頻繁に変更するばらまき型マルウェアで、今回の手法変更もその例にもれません。 新たな攻撃ではメールでExcelファイルが配信され、その文書に難読化されたExcel4.0マクロが含まれています。マクロが有効化

[2022-12-01更新] ウクライナを標的に活動を強めるロシアGamaredon (別名Primitive Bear)APTグループ This post is also available in: English (英語) 概要 11月以降、ロシアとウクライナの地政学的緊張が急激に高まっています。ロシアは現在ウクライナの東側国境に10万人以上の兵力を集結させていると言われており、これが次は侵攻が来るのではないかという推測につながっています。2022年1月14日、この紛争はサイバー領域にまで波及しており、ウクライナ政府は破壊的マルウェア(WhisperGate)の標的となり、OctoberCMSという別の脆弱性が悪用されて、複数のウクライナ政府のウェブサイトが改ざんされました。これらの事象のアトリビューション(帰属確認)は現在進行中で、ウクライナを標的とした最も活発な既存のAPT(持続的

表2 Log4jのエクスプロイト試行のコールバックURLで見られた上位ドメインとIPアドレス 脆弱なサーバーの発見 私たちが観測したインバウンドのエクスプロイト試行の多くは、エクスプロイト成功を送信者に通知するアウトバウンドリクエストを送信するだけのものでした。これらの試みのすべてがスキャンを目的としていたのか、悪意のあるアクターの偵察活動の一環であったのかは確認できていません。そのなかにはコールバックURLとの最初のやりとりが脆弱なサーバーであることを示すというだけのエクスプロイト試行もあり、その多くは、以下のコールバックURLに見られるような「カナリアトークン」を使用していました。 x[hostname].l4j.2sk9753uabgse6xz75tooe5ix.canarytokens[.]com ただし、アクターがコールバックURLからJavaクラスをロードして実行することにより

By Robert Falcone and Peter Renals December 2, 2021 at 6:00 AM Category: Unit 42 Tags: APT, Godzilla webshell, ServiceDesk Plus, TiltedTemple, Zoho ManageEngine This post is also available in: English (英語) 概要 この2ヶ月間で、持続的に手堅く攻撃を行うあるAPT攻撃グループが、複数の攻撃キャンペーンを展開し、少なくとも13の組織が侵害を受けていました。2021年9月16日、米Cybersecurity and Infrastructure Security Agency(CISA)は、ManageEngine ADSelfService Plusとして知られるセルフサービス型のパスワード