2011年2月版 セキュリティベンダのクラックがTwitter上の話題に － ＠IT
山本洋介山 bogus.jp 2011/3/8 はじめまして。Twitterのセキュリティ関連のタイムラインを日々眺めながら、忙しくてTLを追えない人のために「twitterセキュリティネタまとめ」というブログを書いている山本洋介山です。 今月からここで、「Twitterセキュリティネタまとめ」のまとめを書かせていただくことになりました。よろしくお願いします。 AnonymousによるHBGary社のクラック事件 日本ではそれほど話題になっていないようですが、「Anonymous」という名のハッカー集団がこのところ活発に活動を繰り広げています。WikiLeaksを支援したりAmazonを攻撃したり、エジプト政府への攻撃により革命に影響を及ぼしたともいわれてます。 さて、そのAnonymousですが、中でもセキュリティベンダのHBGary社がクラックされた事件がTwitterでは話題となりま
Twitterで広がるJavaScriptの「onMouseOver」を使った攻撃
世界のセキュリティ関連ブログで最近公開された記事のうち、ちょっと気になる話題を取り上げる。 まずは米Twitterのクロスサイトスクリプティング（XSS）問題。米ウェブセンスが、その内容を「Twitter、JavaScriptの『onMouseOver』を使った攻撃が広まる」（Twitter OnMouseOver Flaw In The Wild）として、同社ブログで解説している。 それによると、twitter.comは2010年9月21日（米国時間）、XSS関連のセキュリティホールを悪用された。同サイトにアクセスして、細工された入りツィートにマウスポインターを重ねると、勝手にポップアップメッセージが表示されてしまうのだという。 このツィートにはイベントハンドラー「onMouseOver」を使ったJavaScriptコードが記述されていて、ユーザーがクリックしなくても何らかの動作を実行す
Twitterさん、OAuthのアクセス権限の細分化を！ : akiyan.com
Twitterさん、OAuthのアクセス権限の細分化を！ 2010-09-07 TwitterのOAuth認証を利用するサービスを作ってみたが... 一昨日の日曜日(9/5)に、クックパッドさんのオフィス提供による 『TFJ CodeCamp #2』 という1日開発合宿に行きまして、TwitterのOAuth認証を使ったサービスを初めて作ったんです。ユーザーのタイムラインを読んでいろいろやってくれるタイプのサービスを。で、実際OAuth認証するサービスを公開することを考えてみたんですが、どーにも無視できないリスクがありまして。 まず、TwitterのOAuth認証のアクセス権限レベルって、「全部のデータが読める」or「何でもできる」しかありません。今回のサービスはタイムラインさえ読めればいいのですが、OAuth認証としては全部のデータを読める要求しかできなくて、その認証をしてもらったならば
Twitter用APIを悪用したJavaScriptの多重難読化
現在のIT部門にとって最大の脅威は、マルウエアに感染したWebページではないだろうか。マルウエアに感染したHTML文書は大抵の場合、活動内容を隠しておくために、JavaScriptで攻撃用コンテンツを動的に生成するようになっている。セキュリティ検査で発見されないようにするため、こうした攻撃の手口はどんどん複雑化している。今回分析するのは、自動解読エンジンをごまかす細工と5段階の難読化が施されたサンプルだ。 分析対象はWebページに感染した6Kバイトの難読化JavaScriptであり、解読していくと最後に攻撃用サイトを指す一つのiframeタグが現れる。攻撃者は暗号表やXOR演算、代入暗号に加え、古典的な文字入れ替えといった手法を組み合わせることで、最終的なコンテンツを隠そうとしている。当ブログでも以前こうした難読化手法をいくつか紹介した。 解読するには、ペイロードとなっているこのJavaS
「Twitterウイルス」の作成ツール出現、ツイートで感染PCを操作
ロシアのセキュリティ企業カスペルスキーラブスなどは2010年5月17日、ボット（パソコンを乗っ取るウイルス）を作成するための新しいツールが出回っているとして注意を呼びかけた。「Twitter」のツイート（書き込み）で操作できるボットを、1分もかからずに作成できる。 作成ツールの名称は「TwitterNet Builder」。操作は極めて簡単。同ツールを起動して、ボットを操作するTwitterのアカウント名（ユーザー名）を入力し、「Build」ボタンを押すだけ（図1）。これで、実行形式（拡張子がEXE）のボットプログラムが作成される。 このツールが作成するボットには、自分で感染を広げる機能はない。ボットを有用なプログラムに見せかけて実行させたり、ソフトウエアの脆弱（ぜいじゃく）性を突いて感染させたりする必要がある。 実行されたボットは、そのパソコンを乗っ取る。そして、作成時に登録されたTwi
Twitterクラッキングによるアカウント乗っ取りを図にした
今日の15:00頃にtwitter.comがクラッキングされて、全く異なるトップページが表示されていたようです。 Twitter Blog: DNS Disruption Twitter がクラッキングを受けてダウンしている模様 – Yaks Twitterがクラックされている件 – 西尾泰和のはてなダイアリー 私が見た時は単に接続ができない状態だったのですが、DNSを不正に書き換えられてtwitter.comが別サーバに向くようになっていました。 すでに各サイトで技術的な解説はされているので、タイムラインで懸念されているアカウント乗っ取りについて図を書いてみました。 通常時 OAuthを使っていない多くのTwitterクライアントは、Basic認証を使ってアカウントの認証を行っています。つまりTLを取得するなり、postするなり、twitter.comへのリクエスト毎にアカウントIDとパ
TechCrunch | Startup and Technology News
On Friday, Pal Kovacs was listening to the long-awaited new album from rock and metal giants Bring Me The Horizon when he noticed a strange sound at the end of…
ログインしてください：日経クロステック（xTECH）
会員限定サービスです 有料会員（月額プラン）は初月無料！ お申し込み 会員の方はこちら ログイン 日経クロステック TOPページ
SSLの脆弱性でTwitterのパスワード入手に成功
研究者がSSLの中間者攻撃の脆弱性を悪用し、他人のTwitterパスワードを入手することに成功したと発表した。 SANS Internet Storm Centerや米IBM傘下のセキュリティ企業Internet Security Systems（ISS）のブログによると、TLS／SSLプロトコルに中間者攻撃の脆弱性が見つかった問題で、研究者がこの脆弱性を悪用してTwitterのログイン情報を盗み出すことに成功したと発表した。 脆弱性はTLS／SSLのリネゴシエーションの過程に存在し、理論的には中間者攻撃によってHTTPSセッションにデータを挿入することが可能になるとされていたが、当初の情報では実際に悪用するのは難しいと見られていた。 しかしISSなどによれば、研究者はこの脆弱性を突いて被害者がTwitterサーバに送ったHTTPパケットにアクセスし、パスワードなどのログイン情報を取得する
狙われるTwitter：スパム・ボットが「つぶやき」を自動送信
「名声の代償は高くつく」とよく言われるが，マイクロブログ・サイト「Twitter」はまさに，その高い代償を払っている。人気急上昇中のTwitterに目をつけるサイバー犯罪者が増加し，Twitterの運営者は対応に追われているのだ。 Twitter人気の代償 Twitter人気は，一般ユーザーだけでなくサイバー犯罪者の間でも高まっているようだ。実際，過去数カ月の間，Twitterはスパム・ボットに苦戦し続けた。Twitterのサイト運営者は，最近の連続攻撃を受けて，関連するシステムの復元，更新を続けているものの，サイバー犯罪者も，より新しく，より巧妙な攻撃を，休むことなく仕掛けている。 最近，「HKTL_FAKEBOT」として検出されるスパム・ボット「Bot Lite」の存在が確認された。このスパム・ボットにより，自動的に作成される「つぶやき」（Tweet）が急増している。Bot Liteの
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブログ
最新セキュリティ情報をTwitterで トレンドマイクロが開始