脆弱性
Illustrations by Vecteezy.com WPA/WPA2を対象とした、最新のWiFiハッキング技術が明らかになりました。 ハッカーが最新のルーターのWiFiパスワードを簡単に解読できるようにするものです。 この記事では、新たに発見されたWiFiハッキング手法に関して、簡…
Free Vectors by www.vecteezy.com ２週間ほど前、MDMプラットフォームを悪用して標的型攻撃を行った事例に関して紹介しました。 CiscoのセキュリティチームであるTalosが更に追求した所、先日のiOSのMDMツールを悪用した標的型攻撃は氷山の一角に過ぎないこ…
Illustrations by Vecteezy! researchcenter.paloaltonetworks.com IoTボットネットによる攻撃の第二波が来ているようです。 Miraiとは、これまでの歴史を見ても最大級のDDoS攻撃を引き起こしたボットネットのこと。 Miraiが拡散した要因となったのは、2016…
Illustration credit: www.vecteezy.com medium.com 10年以上も前から存在するDNS Rebindingという攻撃をご存知でしょうか？ 最初は2007年に公表され、日本でもBlack Hat Japan 2007で金床(かなとこ）氏により「DNS PinningとソケットAPIについて」というタ…
Fortniteというゲームはご存知だろうか。 サードパーソン・シューティングゲームで、世界中にいるプレイヤーとネット対戦を楽しむ事が出来る。 100人参加して1人生き残るまで対戦が続くバトルロイヤル形式のモードも用意されており、2018年3月時点で同じく人…
Design Credits: Vecteezy! thehackernews.com LTEネットワークプロトコルに対する新たな攻撃が発見されました。 この攻撃手法を利用することで、携帯電話のネットワーク通信を盗聴したり、通信内容の改変、悪意のあるWebサイトへのリダイレクトが可能になる…
シカゴの18歳のバグハンターは、LinkedInのソーシャルボタンに脆弱性があることを報告した。 この脆弱性は「LinkedIn AutoFill」に存在した。 LinkedInプラットフォームの機能で、一部の公的求人ポータルまたは私的な求人アプリケーションページにある「Link…
2週間前に、Drupalのセキュリティチームは、悪用すると攻撃者が脆弱なWebサイトを乗っ取る脆弱性を発見した。 その名も、Drupalgeddon2である。 Drupalgeddon2をエクスプロイトするPoCコードも公開されており、影響を受ける人はDrupalから公開されているパッ…
www.sirenjack.com ボストンに本社を置くATI Systems社が製造した警告サイレン深刻な脆弱性が存在する事が明らかになった。 この脆弱性は、バスティーユ警備会社の研究者が発見した。 脆弱性を悪用すると、無線周波数を介してリモートから悪用され、すべての…
CyberArk Enterprise Password Vaultで、”Critical”に分類されるリモートコード実行脆弱性が発見された。 ドイツのサイバーセキュリティ会社であるRedTeam Pentesting GmbHが発見した。(画像のリンクは同社のブログ記事) 脆弱性が見つかったEPVとは そもそ…
thehackernews.com セキュリティ研究チームは、同じ部屋に置かれた2つ（またはそれ以上）の「エアギャップPC」が秘密裏に超音波でデータを交換する’MOSQUITO’という手法を公開した。 このチームは、イスラエルのベン・グリオン大学の研究者で構成されるチー…
www.bleepingcomputer.com セキュリティ研究者のAmir Khashayar Mohammadi氏は、Memcachedサーバー経由でDDoS攻撃を受ける犠牲者を支援する新しいツール「Memfixed」を発表した。 Pythonで書かれたこのツールは、開発者がMemcachedプロジェクトに提出した緩…
www.bleepingcomputer.com Memcachedサーバー経由でDDoS攻撃を緩和する仕組みが用意されつつある。 flush_allコマンドで緩和 DoS攻撃の被害者が、攻撃側のサーバに「flush_all」コマンドを打つだけの単純な緩和方法である。 Memcachedのサーバー開発者の1人…
www.bleepingcomputer.com Ethereumのスマートコントラクトを対象に実施したスキャンで、34,200ものスマートコントラクトに脆弱性が存在している事が明らかになった。 それらのスマートコントラクトには、Etherを盗み出す事が出来る。 スマートコントラクト…
https://www.jpcert.or.jp/at/2018/at180009.html ここ数日間でMemcachedを悪用したDDoS攻撃が急増している。 個人的にMemcachedについては存在すら知らなかったので、ゼロから調べた際にメモを作成し、ニュースに絡めて紹介する事にした。 その為、この記事…
www.darkreading.com オンラインショッピングを利用する機会が増えてきた事で、クレジットカード情報の盗み取りを狙うクラッカーも増えている。 ダークウェブでは盗み取られたクレジットカード番号が、持ち主の名前とPINコードと共に販売されている事態だ。 …
standa-note.blogspot.jp Windows 10に標準搭載されているAMSIという機能にバグがあり、NULL文字を先頭に含んだコマンドを実行すると、セキュリティソフトによる検知をバイパスして任意のコマンドを実行してしまう。 このバグは、カナダ・バンクーバーで活動…
www.bleepingcomputer.com こんにちは。Ichi(@0x31_nose)です。 12月8日(金)のニュース「HPのドライバーにキーロガーコードが含まれていた事からドライバーアップデートを提供」についての翻訳&まとめです。 レジストリ内にバグコードが存在 HPは、自社ハー…
スマホが普及したことで、膨大な数のユーザーデータを収集する事が可能になった。 その中でも、GPSを使ってユーザーの位置情報を収集出来るようになった事で、Uber等の企業が台頭したことは言うまでもないだろう。 だが最近になって、アメリカのプリンストン…
米・AmazonがAmazonKeyというサービスをローンチしてから一ヶ月。 Rhino Security Labsのセキュリティ研究者、Rhino Security Labs氏は既にAmazonKeyのバグをエクスプロイトする方法を発見したようだ。 この手法を使えば、悪意を持った配達員がAmazonの顧客…
今年の秋に公開されたAppleのフラッグシップモデル”iPhoneX”に、新たにFaceID(顔認証)が搭載された事は記憶に新しい。 Appleは、iPhoneXの発表時に、他人がiPhoneをアンロックする確率が「5万分の1まで下がった」と豪語している。 ですが、そのFaceIDが、ベ…
暗号通貨イーサリアムのマイニング機器が狙われれている。 ある攻撃者は、初期設定のまま運用されているイーサリアムマイニングOSのを標的にスキャニングを行っているようだ。 そして、スキャニングによって検知された端末に対して、SSH認証情報を使ってマイ…
お疲れ様です。いちです。 今回は号外として、WPA2に見つかった脆弱性Krack関連のニュースについてです。 WPA2にプロトコルレベルで脆弱性が発見された 脆弱性を発見した人とソースとなるページについて Vanhoef氏はツイートでなんて言ってる？ 論文のソー…
