Cisco Japan Blog
Share
tweet

Cisco Japan Blog > 脅威リサーチ

脅威リサーチ

あらゆるスキルレベルの方に役立つセキュリティ対策をご紹介


2023年10月30日

今週も脅威情報ニュースレターをお届けします。

現在も続いているイスラエルとガザの衝突には心を痛めています。残念ながらすぐには平和的な解決は期待できそうにないため、「通常」のニュースレターは来週お届けすることにします。 

今週もこの場をお借りして、サイバーセキュリティ啓発月間に目を通しておきたい情報をまとめてご紹介します。インターネットバンキングにログインする際の多要素認証を有効にするだけでも、怪しげな電子メールをスパムに分類するだけでもかまわないのですが、何らかの「セキュリティ対策」を講じることでセキュリティレジリエンスの向上に大きな役割を果たすことができ、自分のためにも所属する組織のためにもなります。

重要な情報

シスコは、Cisco IOS XE ソフトウェアの Web ユーザーインターフェイス（Web UI）機能の脆弱性（CVE-2023-20198）が実際に悪用されている事例を確認しました。これまで知られていなかったゼロデイ脆弱性popup_iconであり、Cisco IOS XE ソフトウェアを搭載したシステムがインターネットや信頼できないネットワークに公開されている場合にエクスプロイトが可能になります。HTTP または HTTPS サーバー機能が有効化された Cisco IOS XE ソフトウェアを実行する物理デバイスや仮想デバイスが影響を受けます。この脆弱性のエクスプロイトに成功すると、攻撃者は影響を受けたデバイス上に特権レベル 15 のアクセス権を持つアカウントを作成できます。その結果、侵害されたデバイスをほぼ完全に制御できるようになり、以降は不正な活動が可能になります。

注意すべき理由

攻撃者がこの脆弱性をエクスプロイトして、標的のデバイスにインプラントをインストールしたことをセキュリティ研究者が確認しています。ある推計によると、最大 1 万台のデバイスがすでに影響を受けている可能性がありますpopup_icon。最悪の場合、標的のデバイスで任意のコードを実行される恐れがあります。

必要な対策

シスコは、インターネットに接続しているすべてのシステムの HTTP サーバー機能を無効にするようセキュリティアドバイザリで勧告を提示しています。これはベストプラクティスであるだけでなく、米政府が過去に提示したガイダンス（インターネットに公開された管理インターフェイスに起因するリスクの軽減に関するガイダンス）とも一致しています。この脆弱性は「緊急」と評価されているので、影響を受ける場合はシスコの PSIRT のアドバイザリpopup_iconで概説している手順を直ちに実施することを強く推奨します。パッチがリリースされ次第 Talos とシスコからご案内しますので、できるだけ早く適用するようにしてください。

今週のセキュリティ関連のトップニュース

ウクライナ侵攻初期のロシアによるサイバー攻撃の実態について、ウクライナ政府関係者が情報公開を開始。ウクライナ諜報機関のサイバー部門責任者が最近の Recorded Future のインタビューで、ロシアによるウクライナへの地上侵攻が始まった 2022 年 2 月に、ウクライナが米国と協力して国内の重要インフラを麻痺させる複数の試みを阻止したと語りました。Mandiant 社の Sandra Joyce 氏（グローバルインテリジェンス部門エグゼクティブ バイスプレジデント）も今週別のインタビューに応じ、侵攻当初数週間から数か月間のロシアからの防衛は「白兵戦」のようだったと述べています。同社は侵攻の 8 年前からウクライナ政府と提携していますが、侵攻開始後の数週間にウクライナを標的に展開されたワイパーマルウェアの数は、8 年間に確認された数を上回ったとも Joyce 氏は語りました。前述とは別のウクライナ政府サイバーセキュリティ高官はこれらのサイバー攻撃について、「戦争犯罪以外の何ものでもない」と弾劾しています（情報源：The Recordpopup_icon、Yahoo! Newspopup_icon）。

インターネット大手 Amazon、ユーザーのログインに使用されるパスキーに徐々に対応。Amazon のユーザーアカウント管理ポータルに機能がひっそりと追加され、パスキーの設定が可能になりました。ユーザーは指紋認証や顔認証などの生体認証を使用してデバイスにログインできるようになります。パスキーを設定すればユーザー本人が物理的にデバイスにアクセスする必要があるので、ユーザーの知らぬ間にサイバー犯罪者がアカウントにアクセスするのは難しくなると考えられます。ただしこのログイン方法は、モバイルデバイスにインストールされている Amazon のネイティブアプリ（Prime Video や Amazon ショッピングアプリなど）ではまだ機能しません。また、パスキーによるログインでも多要素認証コードの入力が必要なので、パスキーを使用すると無駄な手順が増えるかもしれません。Amazon の広報担当者は報道機関の TechCrunch に、「お客様に別の安全な方法でアカウントにアクセスしていただくために Amazon.com にパスキー対応を追加していますが、初期段階にあります。詳細は追ってお知らせします」と伝えています（情報源：TechCrunchpopup_icon、Dark Readingpopup_icon）。

今年初めベトナムの攻撃者が米政府関係者のデバイスにスパイウェアを送り込もうとしたとの新たな報道。CNN の人気キャスターのデバイスも標的になったとのことです。問題のスパイウェアはソーシャルメディア プラットフォーム（旧 Twitter）のメッセージ内のリンクに仕込まれていました。試みは失敗に終わったようですが、Talos が以前の記事で紹介した Predator などのスパイウェアがもたらす脅威が収まっていない状況が浮き彫りになったと言えます。イタリアのサイバーセキュリティ研究グループも先ごろ、攻撃者が偽の全国緊急警報を通じてイタリア国内でスパイウェアの拡散を試みたことを突き止めました。攻撃者は、イタリアでリリースされたばかりの自然災害用 IT アラートプログラムを装った偽サイトを作り、重要なアラートを受け取れるようにアプリをダウンロードするよう促していました（情報源：Washington Postpopup_icon、Cyber Security Hubpopup_icon）。

Talos が発信している情報

Talos が参加予定のイベント

ATT&CKcon 4.0 popup_icon（10 月 24 日～ 25 日）

バージニア州マクリーン

Nicole Hoffman と James Nutland が「1 つの拠り所：ATT&CK を活用した攻撃者追跡の実践」と題したプレゼンテーションで、MITRE ATT&CK フレームワークについて解説します。MITRE ATT&CK はサイバー脅威インテリジェンス報告の業界標準となっていますが、その手法が何のコンテキストもなくレポートやブログの末尾に付記されていることが多々あります。レポートやブログが配布された後に ATT&CK の手法が再び目にされることはなく、インテリジェンスの作成者にとっても利用者にとっても有益ではありません。このプレゼンテーションでは Nicole と James が、ATT&CK をガイドラインとして使用してコンテキストに基づいたナレッジベースを構築し、攻撃者を追跡する方法をアナリストに紹介します。

misecCON popup_icon（11 月 17 日）

ミシガン州ランシング

Talos インシデント対応チームの Terryn Valikodath が講演を行い、長年の経験（と災難）から学んだ最良の分析方法についてアドバイスします。適切に分析を行うために Talos インシデント対応チームのメンバーと自身がやり通さなければならない日常の業務を紹介する予定です。計画の立て方、悪事の見つけ方、調査結果の記録、相関関係、自分独自のタイムラインの作成方法などについて取り上げます。

Talos のテレメトリで先週最も多く確認されたマルウェアファイル

SHA 256：744c5a6489370567fd8290f5ece7f2bff018f10d04ccf5b37b070e8ab99b3241popup_icon
MD5： a5e26a50bf48f2426b15b38e5894b189
一般的なファイル名： a5e26a50bf48f2426b15b38e5894b189.vir
偽装名：なし
検出名： Win.Dropper.Generic::1201

SHA 256：85b936960fbe5100c170b777e1647ce9f0f01e3ab9742dfc23f37cb0825b30b5popup_icon
MD5： 8c80dd97c37525927c1e549cb59bcbf3
一般的なファイル名： Eternalblue-2.2.0.exe
偽装名：なし
検出名： Win.Exploit.Shadowbrokers::5A5226262.auto.talos

SHA 256：4c3c7be970a08dd59e87de24590b938045f14e693a43a83b81ce8531127eb440popup_icon
MD5： ef6ff172bf3e480f1d633a6c53f7a35e
一般的なファイル名： iizbpyilb.bat
偽装名：なし
検出名： Trojan.Agent.DDOH

SHA 256：975517668a3fe020f1dbb1caafde7180fd9216dcbf0ea147675ec287287f86aa
MD5： 9403425a34e0c78a919681a09e5c16da
一般的なファイル名： vincpsarzh.exe
偽装名：なし
検出名：Win.Dropper.Scar::tpd

SHA 256：2ebfc0b6ae3e80ca4e5a3ebfa4d9d7e99818be183d57ce6fbb9705104639bf95popup_icon
MD5： 2371212b783f959809647de4f476928b
一般的なファイル名： wzncntdmgkm.bat
偽装名：なし
検出名： Win.Dropper.Scar::tpd

 

本稿は 2023 年 10 月 19 日に Talos Grouppopup_icon のブログに投稿された「More helpful resources for users of all skill levels to help you Take a Security Actionpopup_icon」の抄訳です。

Tags:
コメントを書く