Windows zero‑day CVE‑2019‑1132 exploited in targeted attacks | WeLiveSecurity
ESET research discovers a zero-day exploit that takes advantage of a local privilege escalation vulnerability in Windows In June 2019, ESET researchers identified a zero-day exploit being used in a highly targeted attack in Eastern Europe. The exploit abuses a local privilege escalation vulnerability in Microsoft Windows, specifically a NULL pointer dereference in the win32k.sys component. Once th
US-CERTの「Publicly Available Tools Seen in Cyber Incidents Worldwide」を翻訳してみた！！ - セキュリティコンサルタントの日誌から
先日、US-CERTからサイバー犯罪に利用される公開ツールに関するアナウンスが出されました。 Publicly Available Tools Seen in Cyber Incidents Worldwide | US-CERT ITMediaにも取り上げられていますが、比較的面白い記事だったので勝手に翻訳してみました。（アメリカ合衆国政府機関の著作物はパブリックドメインとして扱われるので翻訳して公開しても問題ないと判断しています。間違っていたら教えてください。） www.itmedia.co.jp 利用に際する注意事項は以下の通りです。 翻訳上の誤りは多々あると思いますが、自己責任でご活用ください。 記事の意図を反映するため、意訳をしているケースが多々ありますし、省略したり追加で言葉を添えている場合があります。 いまいち意図がわからない文章もあったので、その場合は推測で訳をしている場合
中国の「APT10」が最新のTTP（戦術、技術、および手順）を用い、日本企業を標的に
ファイア・アイは今年7月、「APT10」（別名：MenuPass）と思われるグループによる、日本のメディア業界を標的にしたアクティビティを検知・阻止しました。APT10は、ファイア・アイが2009年より追跡している中国のサイバー・スパイ・グループで、これまでも日本の企業・組織を標的としてきました。今回の攻撃キャンペーンでは、UPPERCUTバックドアをインストールする、悪意ある文書を添付したスピアフィッシング・メールが、日本のメディア業界におけるさまざまな企業・団体に送付されました。このバックドアは、コミュニティではANEL の名で知られており、最新バージョンが発表されるまでは、ベータ版またはRC（リリース候補版）の形で提供されていました。本ブログでは、バージョン間の更新内容や差異について分析しています。 攻撃の概要 最初の攻撃ベクトルでは、悪意あるVBAマクロを格納したMicrosoft
Cobalt Strike Beaconを検知するVolatility Plugin(2018-07-31) - JPCERT/CC Eyes
JPCERT/CCでは、2017年7月頃から国内の組織に対して、Cobalt Strikeを悪用した攻撃が行われていることを確認しています。Cobalt Strikeは、標的型攻撃を模倣することができる商用製品[1]であり、インシデント対応演習などで利用されますが、攻撃者に悪用されるケースもあります。Cobalt Strikeを悪用する攻撃グループや、Cobalt Strikeの詳細については、株式会社ラック[2]やFireEye[3]、Cybereason[4]が公開している情報に詳しく記載されていますので、そちらをご覧ください。 Cobalt Strikeは、ダウンローダーとなるWord文書などを用いて、本体となるペイロード(Cobalt Strike Beacon)をダウンロードさせることで、メモリ上で実行されます。 Cobalt Strike Beaconはディスク上には保存されな
Advanced Mobile Malware Campaign in India uses Malicious MDM
Summary Cisco Talos has identified a highly targeted campaign against 13 iPhones which appears to be focused on India. The attacker deployed an open-source mobile device management (MDM) system to control enrolled devices. At this time, we don't know how the attacker managed to enroll the targeted devices. Enrollment could be done through physical access to the devices, or most likely by using soc
攻撃グループBlackTechが使うマルウエアPLEADダウンローダ (2018-05-28) - JPCERTコーディネーションセンター（JPCERT/CC）
前回の分析センターだより では攻撃グループBlackTech[1]が使用していると考えられるマルウエアTSCookie について紹介しました。この攻撃グループはその他にもPLEADと呼ばれるマルウエアを使用することが分かっています。（PLEADは複数のマルウエア種別名（TSCookieを含む）とそのマルウエアを使用した攻撃キャンペーン名として使用されています[2]。ここではPLEADをTSCookieとは異なるマルウエア種別名として使用します。）PLEADにはRATタイプと、ダウンローダタイプ（以降、PLEADダウンローダと記載する）が存在します。RATタイプは複数のコマンドを持ち、命令を受信することによって動作します。（詳しくは、LAC社が公開しているブログ[3]の「攻撃手口3」をご覧ください。）PLEADダウンローダは、TSCookieと同じくモジュールをダウンロードし、メモリ上で実行
Certificates stolen from Taiwanese tech‑companies misused in Plead malware campaign | WeLiveSecurity
D-Link and Changing Information Technologies code-signing certificates stolen and abused by highly skilled cyberespionage group focused on East Asia, particularly Taiwan ESET researchers have discovered a new malware campaign misusing stolen digital certificates. We spotted this malware campaign when our systems marked several files as suspicious. Interestingly, the flagged files were digitally si
防衛装備に関連した調査報告書を偽装した攻撃 | セキュリティ研究センターブログ
先週弊社では、防衛装備に関連した調査報告を偽装したドキュメントを使った攻撃を観測しました。皆様に注意喚起を促す目的で、調査の一部を共有したいと思います。 防衛装備に関連した調査報告を偽装したドキュメントは、図1のように、WORDやPDFを偽装した二重拡張子のファイルで、おそらくメールに添付されたかたちで標的企業に配送されたと見られます。 図1、WORDやPDFで防衛関連の調査報告書を偽装したEXEファイル SHA256 (PDF偽装ファイル) : dc7521c00ec2534cf494c0263ddf67ea4ba9915eb17bdc0b3ebe9e840ec63643 SHA256 (DOC偽装ファイル) : 42da51b69bd6625244921a4eef9a2a10153e012a3213e8e9877cf831aea3eced [動作概要] ファイルを実行した場合、WORD
「BlackTech」によるサイバー諜報活動の足跡を追う | トレンドマイクロ セキュリティブログ
サイバー攻撃者集団「BlackTech（ブラックテック）」は、台湾を中心とした東アジア地域でサイバー諜報活動する攻撃者集団で、日本や香港での活動も確認されています。彼らが利用するコマンド&コントロール（C&C）サーバの Mutex やドメイン名から、BlackTech の目的は標的者が所有する技術の窃取にあると推測されています。 BlackTech が利用する手法などの変化を追跡したところ、別々のサイバー諜報活動だと思われていた、「PLEAD（プリード）」、「Shrouded Crossbow（シュラウディッド・クロスボウ）」、「Waterbear（ウォーターベア）」の間に、ある共通点が浮かび上がってきました。 本記事では、各攻撃キャンペーンの手口を比較し、利用されたツールを解析した結果判明した3つの攻撃キャンペーンが同一の攻撃集団によって実行されたことを示す共通点について解説します。 ■
「ChChes」を操る標的型サイバー攻撃キャンペーン「ChessMaster」による諜報活動の手口 | トレンドマイクロ セキュリティブログ
ホーム » サイバー犯罪 » フィッシング » 「ChChes」を操る標的型サイバー攻撃キャンペーン「ChessMaster」による諜報活動の手口 標的型サイバー攻撃では、巧妙なソーシャルエンジニアリングの利用、情報収集、脆弱性の利用、ネットワーク内での情報探索のように、目的に応じてさまざまな手法が利用されます。チェスのプレイヤーが持ち駒を駆使して戦術を組み立てるように、攻撃者はそれらの手法を組み合わせて自身の攻撃に利用します。 こうした攻撃の一例が、標的型サイバー攻撃キャンペーン「ChessMaster（チェスマスター）」です。この攻撃キャンペーンでは、日本の学術界、テクノロジー系企業、報道関連企業、「Managed Services Provider（マネージド・サービス・プロバイダ、MSP）」、政府機関などが標的となっており、標的型メールに添付されたマルウェア
OilRig Uses ISMDoor Variant; Possibly Linked to Greenbug Threat Group
OilRig Uses ISMDoor Variant; Possibly Linked to Greenbug Threat Group Unit 42 has discovered activity involving threat actors responsible for the OilRig campaign with a potential link to a threat group known as GreenBug. Symantec first reported on this group back in January 2017, detailing their operations and using a custom information stealing Trojan called ISMDoor. In July 2017, we observed an
“Tick” Group Continues Attacks
By Kaoru Hayashi July 24, 2017 at 6:00 PM Category: Unit 42 Tags: 9002, Daserf, Datper, Gh0st, HomamDownloader, JAPAN KOREA, Minzen, NamelessHdoor, Tick This post is also available in: 日本語 (Japanese) The “Tick” group has conducted cyber espionage attacks against organizations in the Republic of Korea and Japan for several years. The group focuses on companies that have intellectual property or sen
APT10 (MenuPass Group): New Tools, Global Campaign Latest Manifestation of Longstanding Threat « Threat Research Blog | FireEye Inc
APT10 (MenuPass Group): New Tools, Global Campaign Latest Manifestation of Longstanding Threat Written by: FireEye iSIGHT Intelligence APT10 Background APT10 (MenuPass Group) is a Chinese cyber espionage group that FireEye has tracked since 2009. They have historically targeted construction and engineering, aerospace, and telecom firms, and governments in the United States, Europe, and Japan. We b
Dissecting One of APT29’s Fileless WMI and PowerShell Backdoors (POSHSPY) « Threat Research Blog | FireEye Inc
Dissecting One of APT29's Fileless WMI and PowerShell Backdoors (POSHSPY) Written by: Matthew Dunwoody Mandiant has observed APT29 using a stealthy backdoor that we call POSHSPY. POSHSPY leverages two of the tools the group frequently uses: PowerShell and Windows Management Instrumentation (WMI). In the investigations Mandiant has conducted, it appeared that APT29 deployed POSHSPY as a secondary b
Chinese Actors Use ‘3102’ Malware in Attacks on US Government and EU Media
We did not observe the threat actors using this method in this attack; however, it is possible that the threat actors could use the “DownFileS.dll” or “FileManagerS.dll” plugins obtained from the C2 to install plugins that use this loading method. Connection to Watering Hole Attack and Chinese Threat Actors As previously mentioned, the malware author signed the 3102 sample delivered in the attacks
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://www.lac.co.jp/lacwatch/pdf/20180614_cecreport_vol3.pdf
JPCERT/CCインシデント報告対応レポート［2018年4月1日 ～ 2018年6月30日］
Malware Analysis – PlugX
ProtectWise™
[PDF] 北朝鮮関連サイトを踏み台とした水飲み場型攻撃解析レポート - NTTセキュリティ・ジャパン株式会社