みっきー申す

ITに関する興味関心のまとめ、サイバーセキュリティニュースのまとめ、Twitterで配信中の情報まとめなどを公開します。

GandCrab 終了のお知らせ

ランサムウェア サイバーセキュリティ

今朝、ちょっとニュースをざっと見ていると衝撃のニュースが！

GandCrabのオペレーションが終了するとのことです。

www.zdnet.com

実質の開発終了宣言だと思っていますが、最後まで、彼らの主導権のもと、一連のオペレーションが終わったなとの印象です。

衝撃とか言っといて、芸能人のスキャンダルほど、面白くなくてすみません。。

要旨は以下の通りです。

  • アンダーグラウンドのハッカーフォーラムを観察するセキュリティリサーチャーの報告に基づく

  • GandCrabのオペレーションが終了するとのこと

  • 活動の沈静化が、リサーチャー間では話題になっていた

  • GandCrab による収益は 20億ドル(週平均で250万ドル)

  • 個人レベルでも1億5000万ドルが現金化され引き落とされてたとのこと

  • 端的に言うと、お金稼いだからやめますとのこと

  • 彼らの対応方針は以下

    • プロモーションの終了

    • GandCrabの配布者には20日以内にGandCrab配布停止を要求

    • 加えて、6月末までの配布サイトの削除要請

    • 被害者には、月末までにお金払えば復号するけど、それ以降は鍵ごと消すから復号できないと宣言

https://www.bleepstatic.com/images/news/ransomware/g/gandcrab/shutting-down/gandcrab-message.jpg

ここで、一旦 GandCrab をおさらいしましょう。

GandCrab 概要

  • ランサムウェア(身代金要求型マルウェア)の一種

  • 2018年1月から、確認され始め、日本では、2019年より広く確認され始める

  • 開発初期は作ってもすぐに復号されるレベルだったが、5月頃に発見されたバージョン 2.1 辺りから攻撃力が高まり被害が増え始める

  • 開発のスピードが非常に早く、復号ツールが出ても、翌日には修正されるレベル

  • 2018年7月リリースのv4からは、WannaCry の感染拡大をもたらした、NSAのツール Eternal Blue を使い始め、SMB の脆弱性を使った感染拡大能力を身に着けた

  • 2018年10月、紛争に巻き込まれ家族の写真を暗号化されたとの訴えに対し、シリアの端末限定で復号できる鍵を発行

  • 上記を利用してセキュリティベンダとFBIにより、復号鍵を作るも1日でバージョンが更新される

全体として、リリース後にテストをしながら、DevOps 的に拡張と運用を回していました。

それでいて、被害者の要求に耳を向け、鍵を渡す余裕。

一定の額を稼いだら引き上げる要領のよさ。

個人の感想では、彼らの技術力に結局のところ誰も敵っていなかったんではないかと思ってます。

彼らは、リリースからクローズまで、自分等の描いたストーリーで動かして、終えられて、ある種の芸術として満足感があるのかなーなんて(笑)

うーん。なんとも。

今週のIT・サイバーニュースまとめ(20190526-20190601)

サイバーセキュリティ

今週の総括

・ MS-SQL および PHPMyAdmin を狙ったコインマイニング
・Docker の脆弱性を狙った攻撃の観測

今週は標的型攻撃の情報等が多く、特に APT10 のブログ記事が出ていたので深掘りしたかったんですが、仕事で時間がとれず。。

blog.ensilo.com

  • from フィリピンってなってるのは、検体の submitter がフィリピンだから？

  • 27.102.**.** の IP って APT10 のインフラなんだっけ？

  • PlugX とか Quasar RAT が最近はまた使われるようになったの？

みたいな辺りが気になってます(笑)

ではでは、本題の方へ進みます。

感想

MS-SQL および PHPMyAdmin を狙ったコインマイニング

50,000 以上の MS-SQL および PHPMyAdmin が中華系のハッカーに侵害されており、TurtleCoin をマイニングする攻撃キャンペーン Nansh0u に利用されているとのことです。

https://www.guardicore.com/2019/05/nansh0u-campaign-hackers-arsenal-grows-stronger/www.guardicore.com

  • 脆弱性を悪用したツールを用いたもの

  • 被害企業は医療、通信、メディア、ITなど

  • 偽造証明書の使用や権限昇格を利用する手法が APT で使われるようなての混んだもので、単なるマイニング攻撃ではないと筆者は言っている

  • 感染数はここ1ヶ月で急増している

https://www.guardicore.com/wp-content/uploads/2019/05/trtl-graph.png

記事の中では、攻撃者が利用するインフラと落ちてくるモジュール、保有する機能なども述べられているので興味ある方は読んでみると面白いと思います。

マイニングマルウェアの感染は気づきにくい一方で、感染者もリソースが使われる程度の影響。
といった印象を受けますが、 その感染の過程はがっつりシステムが侵害されている場合が多々あります。

攻撃者からしてみればマイニングマルウェアに感染させてその採掘量から逆算すれば攻撃の有効性のいいベンチマークになると思いますが。

真の狙いは別にあったり。

みたいに考えたりしてます(笑)

Docker の脆弱性を狙った攻撃の観測

Docker の脆弱性は昨年からちょこちょこ出ており 、2月には runc の脆弱性が少し話題になりましたね。

www.jpcert.or.jp

今回の未修整の脆弱性が公開されたとのことで、記事によると、既に攻撃の実証コードが公開されているとのことでした。

www.bleepingcomputer.com

今回の脆弱性は、time-to-check-time-to-use (TOCTOU) という手法を用いたものの様です。
具体的には、FollowSymlinkInScope という関数を呼び出す際、リソースの競合状態を引き起こして、悪性なリソースパスを攻撃者が埋め込めてしまうとのことです。
これにより、最終的に root 権限の奪取が可能になるとのことです。

SUSE Linux のエンジニアによると、AppArmor にて、Docker デーモンを制御していないと影響を受けると言われています。

ってことは逆を言えば、AppArmor 有効にしていたら影響受けないのかな？なんてことも思いつつ。

これだけ docker の脆弱性が話題になり始めたのも流行ってきた証拠ですかね。
今後の情報に注目です。

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

ちょっとここで、個人の趣味の話をさせてください！ 今週の水曜日、B'z の New ALBUM が発売になりました！

bz-vermillion.com

7月にライブ参戦するのですが楽しみで楽しみで！ 年取っても、稲葉さんや松本さんみたいなカッコいい大人でいたいな～なんて(笑) 皆さんもぜひ聞いてみてください！

今週のIT・サイバーニュースまとめ(20190519-20190525)

サイバーセキュリティ

今週の総括

・Microsoft タスクスケジューラのゼロデイ
・フィッシングキットに仕込まれるバックドア

先週盛りだくさんだったせいか、今週はなんだか、少なく感じちゃいますね。

そういえば、LINEpayで1000円もらえる！
みたいなキャンペーンが始まりましたね。

linepay.line.me

要は、1000円をLINEの友達誰にでもあげられるけど受けとれるのは1000円までってキャンペーンですね(笑)

PayPay は 500円もらえるのと必ず20%還元だったから、弱いですね(笑)

6月の頭には 20%還元やるみたいですが、これも上限5000円まで。

jp.techcrunch.com

多いような、少ないような。

それはさておき、LINE の URL 相変わらずフィッシング臭がすごいですね。
どうにかしないのかな(笑)

前置き長くなりました。
感想へ！

感想

Microsoft タスクスケジューラのゼロデイ

タイトルの通りなんですが、Microsoft のタスクスケジューラにゼロデイ脆弱性があることが公開されました。

kb.cert.org

内容は権限昇格で、Windows10の32ビット版の実証コードがGithubに公開されていました。(現在、404エラー) CERT/CC の記事によると、

  • XPなど、Vistaより前のジョブファイルを読み込もうとするときに、schtasks コマンドを実行するとその過程で権限昇格ができる

とのことです。

  • windows10の64ビット版でも実証コードをコンパイルし直せば動作

  • Windows Server 2016および2019でも動作

  • Windows8では、ユーザー権限でのファイル書き込みが制限されている。
    そのため、脆弱性は同様に存在するようだが、今回の実証コードの有効性はない

  • Windows7 ではそもそも動作しないとのことでした。

なお、現在有効な解決策はないとのことです。 一旦は拡張子.JOB の実行禁止をポリシーで禁じるくらいですかね。

フィッシングキットに仕込まれるバックドア

16ShopというApple IDを盗もうとするフィッシングキットがあり、日本語含む10言語に渡るフィッシングサイト作成に対応している。

Akamaiのリサーチャーによると、

  • 同ツールに埋め込まれたコードによりmain.php に含まれるユーザ情報を抽出

  • インスタントメッセージツール Telegram のチャンネル上のボットにコピーおよび送信される

  • 本方法は Telegram の API 機能を利用している

とのことです。

blogs.akamai.com

コミュニケーションツールのリアルタイム API を使った情報窃取はトレンドマイクロによってもその手法が報告されています。

blog.trendmicro.co.jp

また、同社が発行したレポートには Telegram に関する記載もあったため、今後もrealtime API を用いた情報窃取の手法は使われると思います。

https://documents.trendmicro.com/assets/wp/wp-how-cybercriminals-can-abuse-chat-platform-apis-as-cnc-infrastructures.pdf

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

今週の日経ビジネスが AI 特集だったので買って読んでみました。

business.nikkei.com

実はわが社でも AI を売ろう！
みたいな機運になっています。

それ自体は悪いことではないんですが、個人的にはまだ、他社にサービスを売れる段階には来ていないと思っています。

まずは、投資として、データを取り込んで学習させて、はじめて形になる。

そういった意味だと、数年間の学習の結果、アウトプットが出せる AI が出来上がって、はじめてサービスとして実用化だと思います。

いくつか類似企業が、AI を持ち始めたら、共通のコンポーネントを標準化して、パッケージ化させていくみたいな感じですかね。

いずれにせよ、AI 単体で売り物になるとは思っておらず、人と一緒で、企業の持ち物として活用され、アウトプットが売り物になるんじゃないかな？

まぁこんなことを会社で言おうものなら、途端逆賊扱いですからね(笑)
僕の居場所はどこでしょう。。。(笑)

今週のIT・サイバーニュースまとめ(20190512-20190518)

サイバーセキュリティ

今週の総括

・WhatsApp の脆弱性 (CVE-2019-3568) について

※トピックのボリュームが大きすぎたので、「Microsoft の CVE-2019-0708」、「PLEAD を使った攻撃手法」、「Intel の CPU 脆弱性」は別記事をご参照ください。

今週の記事まとめです。

今週はとにかくトピックが多く、主要なソフトウェアの脆弱性に関するパッチアップデートがたくさんリリースされました。

中でも、MicrosoftのRDPに関する脆弱性CVE-2019-0708はその影響度も考慮され世界中で注目され、日本でもたくさんの注意喚起がされました。

私も速報で記事を出しましたが、早くに記事を書いたのがよかったのか、多くの反響をいただきました。

micro-keyword.hatenablog.com

他にも、PLEADに関する記事を出したんですが、なんとなく薄まっちゃいましたね。。

micro-keyword.hatenablog.com

本当は、ここで感想として書こうと思ったのですが、ボリュームが出てしまったので、
Intel の CPU 脆弱性については、別途記事として切り出すようにしました。

micro-keyword.hatenablog.com

そんな一週間だったので、感想のパートは、WhatsApp だけにしました。これもボリューミーではありますが読んでもらえると嬉しいです。

感想

WhatsApp の脆弱性 (CVE-2019-3568) について

WhatsApp の脆弱性が、これもまた現地時間の5/13に公表されました。

ほんとに、この日は脆弱性パーティーすぎて大変でしたね。
だからこそ、ひとつひとつ読み流さず、しっかり理解することが大事なのですが。

この WhatsApp ですがあまり日本人には馴染みがないと思っています。

ただ、カナダに留学に行った、友達によると、
「現地では、LINE 使ってる人なんていなくて、みんな WhatsApp 使ってるよ」 だとのこと。

まさに、What's up!? ですね(笑)

冗談はさておき、それだけでも注目度が大きいとわかるかと思います。

m.facebook.com

Facebook の公式は上記ですが、簡潔にまとめると、以下の通りです。

脆弱性の概要

WhatsApp の VOIP (音声通話を IP ネットワーク上で行う技術) におけるバッファオーバーフローの脆弱性がある

脅威の概要

特別に細工された SRTCP パケットが、対象の電話番号に送られることで、遠隔から対象の端末にたいし任意のコードが実行できる

確認されている被害

  • 今回の WhatsApp の脆弱性を悪用した攻撃により、Pegasus というスパイウェアが、ダウンロードされる被害が報告されている

  • Pegasus はダークネット上で売られている NSO グループが開発したスパイウェア

  • NSO グループは、各国の諜報機関や国家へスパイウェアの販売を行っている企業

  • 不在着信の場合でも攻撃は成立する

  • 被害の数は明らかになっていないが、WhatsApp のエンジニアによると、この攻撃の対象は限定的だとのこと

Financial Times がレポートを出しているようなんですが、見ようと思ってもお金払わないと行けないみたいで。。。

上記の情報は、Hacker News などから取ってきました。
（基本的には、確かな情報を必要とする場合は、元記事をたどることをおすすめします。）

thehackernews.com

ここからは、一週間のまとめなので、ざっと流し読みしていただければと。 量が多くて僕自身もしんどいので、タイトルの流し読み→気になるところは、あとで見ることをおすすめします。

マルウェア・攻撃キャンペーン

脆弱性・アップデート関連

インシデント関連

ビジネス・政治・レポート

最後に

今回、様々な情報を探していくなかで感じたのが、日本語の情報の少なさです。

英語読むのは大変ですが、やはり一次情報に触れることはとても大事だと思います。

特に、現地に行く機会を得ることで、WhatsApp の例しかり、 今世界では何がトレンドでどういう生活スタイルなのかが分かるので。

海外行って仕事したいな～

Intel 製 CPU の脆弱性ってつまり何がまずいの？

サイバーセキュリティ 脆弱性情報

今週の火曜日、現地時間での 5/13 は様々な脆弱性情報が、リリースされてんやわんやでした。

ただ、 "Intel 製 CPU の脆弱性 Microarchitectural Data Sampling（MDS）について" だけは、少し性質が異なるものなので、別記事として、起こしてみました。

僕は、CPU の専門家ではないので、さらに踏み込んだことが知りたい場合は、レポートを読み込むか Intel の人に聞くことをおすすめします。

目次

  • Intel 製 CPU の脆弱性 ってなに？
  • 自分の端末は何を気を付ければいいの？
  • クラウドサービスにおける影響
  • パッチによる機器の性能劣化について
  • まとめ

Intel 製 CPU の脆弱性 ってなに？

今回、公表された "Intel 製 CPU の脆弱性 Microarchitectural Data Sampling（MDS）" は、CPUの投機的実行機能をサイドチャネル攻撃に関する脆弱性です。

www.intel.com

2018 年の年明けに話題になった、Meltdown/Spectre なども、これの一種です。

meltdownattack.com

blog.trendmicro.co.jp

概要としては、CPU に読み書きされる情報からパスワードや暗号化キーなどを読み取れてしまうというものです。

ただし、ソフトウェアではなく、ハードウェアの処理方法の問題なので、通常の脆弱性とは毛色が違うのがポイントです。

自分の端末は何を気を付ければいいの？

一般的に利用される PC について、パッチを充てるなら慎重に。と言わせてください。

理由は以下です。

まず、CPU の脆弱性であるということ。

PC の 情報を処理させる CPU は当然ながら自身の CPU ですよね。
まさか 読みに行かせる CPU だけ他人の端末ってことはないわけで(笑)

なんだか、AirDrop 痴漢みたい。。

ということはつまり、CPU の情報を読み取れるのはその PC 自体だけのはず。
なので、基本的には他人から読み取られることはないです。

というか、他人の PC の情報盗むなら、CPU からじゃなくて、画面盗み見た方が早いですよね？(笑)

ただし、他人の PC と CPUを物理的に共存できる特殊な環境が存在します。

クラウドサービスにおける影響

他人の PC と CPUを物理的に共存できる特殊な環境。
それは、クラウドサービスです。

クラウドサービスでは、仮想的には別々の機器のように振る舞いますが、物理的に共存された環境に複数の機器が存在します。

従って、物理的に同じ機器は CPU も共有されるため、今回の攻撃で情報が読み取れてしまいます。

本来であれば、仮想であっても読み取れては行けないんですけど。
だから脆弱性なんですけどね(笑)

そして、厄介なのがパッチで、今回の脆弱性が CPU に係るものであるため、パッチを充てた際の、性能劣化を考慮しなければ行けません。

パッチによる機器の性能劣化について

以前の Meltdown/Spectre の時には、パッチを充てたことによる性能劣化が、大きく話題になりました。

www.itmedia.co.jp

今回は、Meltdown/Spectre ほどの性能劣化はなくパッチを適応しても、3%程度の劣化だそうです。

ただし、サイドチャネル攻撃を抜本的に対策するため Intel HT(Hyper-Threading) を無効にすると、大きく性能が劣化するので注意だとのことです。 (そりゃそうだ(笑))

そして、データセンター向けの CPU に関してはパッチを充てることで、ストレージの性能(I/O)が落ちるようなので慎重な対応が求められますね。

以下に、パフォーマンス低下の参考を載せておきます。

support.apple.com

www.intel.com

まとめ

脆弱性の対策として、パッチ充てはとても重要な運用です。
ただし、それによる影響を考慮しないと2次被害を及ぼしてしまうため、慎重な検討が必要になるわけです。

今回のように、ハードウェアの場合は、どこの情報がどうなって、誰がどう出来てしまうかを考えた上での対応が重要だと思っています。 （ソフトウェアでも同じですかね(笑)）

ちょっとだけ、話題それますが、 HUAWEI の製品から中国が情報吸い上げてるってのはどうやってやってる理論なんですかね。

機器入れるだけで情報がとれるっていうことみたいですけど。 これ以上はやめときます(笑) ではでは。

【速報】Microsoft RDP 脆弱性に関するパッチアップデートに関して

サイバーセキュリティ 脆弱性情報

通勤中に、ニュース見ていたら、大量に脆弱性のアップデートが。。。
Intel、Facebook、Apple、Cisco、VMware、sambaなど、 そして、月次定例の Microsoft と Adobe がありました。
特に、本日(現地時間で昨日の昼過ぎ)に出た、Microsoft の月次アップデートについて、今回、非常に影響度の高い脆弱性のパッチを含めているとのことで、 盛り上がりを見せているので、内容軽く記載します。

当該脆弱性 CVE-2019-0708 は RDP サービスに関係するもので、悪用により、攻撃者は認証なしに標的の端末およびサーバにアクセスできてしまいます。
MS公式から 「この脆弱性は、事前認証に関するもので、ユーザの操作が不要なため、Wannacryと同様に、世界中に被害が及ぶ攻撃に使われる可能性がある」 と言及されています。

原文 This vulnerability is pre-authentication and requires no user interaction. In other words, the vulnerability is ‘wormable’, meaning that any future malware that exploits this vulnerability could propagate from vulnerable computer to vulnerable computer in a similar way as the WannaCry malware spread across the globe in 2017

影響度を考えると、おそらく昼以降に、各専門機関から注意喚起等が出ると思います。

対象は以下だと発表されており、サポート対象からすでに外れている、Windows 2003 and Windows XP には臨時のパッチが出ています。

日本語の記事だと、とりあえず、以下くらいでしょうか。

なお、脆弱性に関するアドバイザリーは以下になります。

改訂履歴
  • 2019-05-15-12:30 脆弱性の説明が曖昧だとのご指摘をいただいたので、一部修正しました。

アジアの組織をターゲットに活動する攻撃グループ BlackTech が用いるマルウェア Plead の新たな観測について

サイバーセキュリティ 標的型攻撃 マルウェア

Plead。この単語を久しぶりに目にしました(笑)

ESET がつい先ほど5/14の18時半ごろにブログ記事を出しました。

www.welivesecurity.com

本日は、号外的な感じで、私の見解とともに、記事を書いてみます。

目次

  • BlackTech と PLEAD について
  • 今回用いられた手法
  • 感染手順
  • 関連が想定される検体たち
  • 最後に

BlackTech と PLEAD について

内容は2012年ごろから、アジアをターゲットにサイバー諜報活動を行っている攻撃グループ BlackTech が使うマルウェア Plead に関するもので、同グループによる新たな感染活動について記載されています。

Plead を使った攻撃は日本も標的になっていることが確認されており、過去にはラックや JPCERT/CC からも記事が出ています。

www.lac.co.jp

blogs.jpcert.or.jp

ちなみに、今回確認されたマルウェアは、台湾を標的にして使われたマルウェアみたいですね。

今回用いられた手法

今回の手法は、セキュリティが十分でないルータ経由、もしくは、正規のクラウドストレージサービス ASUS WebStorage経由でPlead を配布する手法です。

思い起こせば、正規のクラウドストレージサービスを用いる手法はトレンドマイクロが書いているように前々から確認されているし、

blog.trendmicro.com

ESET によると、今回使われた Plead は2018年の7月にブログで言及していた、「盗んだD-Linkの証明書を使った攻撃」に使われた検体と同じものが確認できたとのことです。

www.welivesecurity.com

ASUS WebStorage 経由で、配布された Plead はAsusWSPanel.exe として実行されるようで、このプロセスネームは ASUS WebStorage の Windows クライアントと同じだとのことです。 手が込んでますねー(笑)

感染手順

今回確認された攻撃の感染手順は、以下のような流れです。

  1. Plead ダウンローダーから始まり
  2. 画像ファイル (PNG) と マルウェアに使われるデータ部が落とされ
  3. スタートアップフォルダにファイルを置き永続化を試みます
  4. その後、2次検体としてローダーを取得
  5. 最終的に、3次検体である DLL ファイル落としてきて、C2 サーバーから情報窃取のためのモジュールを落としてくる

関連が想定される検体たち

公開情報もろもろをもとに、今の自分で確認できる検体をいくつか探してみました。
すると、いくつかの関連検体が見つかったのですが、GW明けの数日で、Plead と検知される検体がいくつか上がっていました。
以下はブログに上がっていた検体のうちの一つですが、
検体のコンパイルタイムが先月、サブミッションは先週、
個人的に気になるところとしては、PE resources by language にロシアが含まれており、
あれれ～って感じです(笑)

他の検体では、フランスの言語みたいなのがあったので、
アジアがターゲットではなかったかなーみたいに思っています。

ASUSWebStorageSyncAgent2.4.3.612.exe
Compilation timestamp 2019-04-16 15:26:24
First submission 2019-05-07 08:35:13 UTC
Number of PE resources by language
ENGLISH US 330
CHINESE TRADITIONAL 66
RUSSIAN 26
NEUTRAL DEFAULT 2
https://www.virustotal.com/ja/file/9de607b1563939749faafba419ecc02e24e3af89d21ba13a147fe787522e991f/analysis/

最後に

ということで、ここまで速報として、自身の知識と今持てるツールで、詮索してみましたが。。。
弱すぎる(笑)
これじゃあ、レポートもかけないですね。
やっぱり専門機関ってすごいなーと思っているわけです。
外に出たいな～
誰かと話したいな～
なんて思いつつ、今は会社でMicrosoft Office とお友達してます。
ではでは。