Sophosは10月24日(現地時間)、SSHサーバが動作しているホストを標的としたDoSボットネットの活動が激しくなっている兆候を把握したとし、注意喚起を発表した。

今回発表された注意喚起によると、該当するボットネットは「Chalubo」「ChaCha-Lua-bot」と呼ばれるもの。主にLinuxを標的とし、SSHサーバに対して攻撃を仕掛け、ボットネットを構築するという。SSHサーバの設定が弱い場合に標的となりやすく、ブルートフォースアタックによって、パスワードが簡単なものである場合などに攻撃を受け悪用される危険がある。また、IoTで活用されているLinuxも標的になるとしている。

今回の記事では、可能であればパスワード認証ではなく公開鍵認証にすること、不可能であればパスワードを強いものにすることを推奨している。

（川原 龍人/びぎねっと）

［関連リンク］
プレスリリース

JPCERT/CCは10月18日(米国時間)、「インターネット定点観測レポート(2018年 7～9月)」を発表した。

JPCERT/CCは、このレポートの中で、2018年8月12日以降にTCPの445番ポート（microsoft-ds）へのアクセス増加が観測されたとしている。この現象は、日本だけでなく世界的に観測された現象であり、2017年5月以降に活動が確認されたWannaCryなどの探索活動とは異なる特徴のパケットが見られるという。

送信元IPアドレスは中国が1位で、2位がロシア、3位が米国となっている。ウクライナからのアクセスも増加傾向にあるという。

この活動は、マルウェアに感染したWindows 2003やWindows 2008R2などが行っていることが確認されたとされており、ユーザには脆弱性対策が施された最新版を利用するよう推奨している。

(川原 龍人/びぎねっと)

[関連リンク]
JPCERTによる発表

情報処理推進機構（IPA）は8月24日、Webアプリケーション作成ツール「Apache Struts2」に存在する脆弱性について注意喚起を発表した。

今回の脆弱性は、
・alwaysSelectFullNamespace を true に設定している
・Struts設定ファイルに、オプションのnamespace属性を指定しないか、ワイルドカードネームスペースを指定する “action”タグまたは “url”タグが含まれている
以上の両者を満たす場合に、リモートで任意のコードが実行される危険がある。

なお、本脆弱性を悪用する攻撃コードが公開されており、実際にLinuxマシンに影響するクリプトジャッキング攻撃に悪用されている事例もあるという。対象となるのは、Apache Struts 2.3 系列 2.3.35 より前のバージョン、および2.5 系列 2.5.17 より前のバージョン（Apache Struts1にも同様の脆弱性が存在するがサポートが打ち切りとなっており利用は推奨されない）。ユーザは直ちに最新版にアップグレードすることが強く推奨される。

（川原 龍人/びぎねっと）

［関連リンク］
注意喚起本文

Microsoftは8月15日（日本時間）、同社製品をの2018年8月度の月例セキュリティ更新プログラムを公開・配信した。

今回対象となっているソフトウェアは、Microsoft Windows/Microsoft Edge/Internet Explorer/Microsoft Office and Microsoft Office Services and Web Apps/ChakraCore/Adobe Flash Player/.NET Framework/Microsoft Exchange Server/Microsoft SQL Server/Visual Studio。なお、７月のセキュリティ更新で不具合が発見され、配信が中止された「.NET Framowork」の更新プログラムも含まれている。

今回修正された不具合の中には深刻度「緊急」のものもあり、ユーザは早急に更新プログラムを適用することが推奨される。なお、更新プログラムは「Windows Update」および「Microsoft Update Catalog」から入手できる。

（川原 龍人/びぎねっと）

［関連リンク］
アナウンス

JPCERT/CCは 8月9日、LinuxカーネルおよびFreeBSDにDoS攻撃を受ける危険のある脆弱性が存在するとして注意喚起を発表した。

この脆弱性は、IPフラグメント再構築を行う機能に不具合があり、特定の条件で高負荷状態になってしまうというもの。この脆弱性を悪用されると、細工されたパケットによってDoS攻撃を受ける危険がある。

対象となるバージョンは以下の通り。
〇 Linux 4.9 およびそれ以降のバージョン
〇 FreeBSD 11/11.1/11.2、10および10.4

この脆弱性は、Linuxカーネル開発者およびFreeBSDのベンダが提供する修正済みのバージョンに更新するか、パッチを適用することで解消される。ユーザは、アップグレードを施すなどの対応を迅速に行うことが強く推奨される。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス

情報処理推進機構は8月15日、Microsoft社の製品に関する脆弱性について注意喚起を発表した。

今回の注意喚起で対象となっている脆弱性は複数存在し、悪用された場合、アプリケーションプログラムが異常終了したり、攻撃者によってパソコンの制御権を不正に奪取されるなど、深刻な被害が発生する危険がある。なお、Microsoftは今回の脆弱性を悪用した攻撃が確認されていると発表しており、今後被害が拡大する危険があるため、至急、修正プログラムを適用するよう強く推奨している。

対策としては、Windows Updateを利用してアップデートを適用することで脆弱性を解消する手法が挙げられている。夏季休暇明けなどで一定期間利用していなかったWindows PCなどを利用する場合は特に注意が必要。

(川原 龍人/びぎねっと)

[関連リンク]
注意喚起本文

　情報処理推進機構（IPA）は8月8日、「佐川急便を騙るショートメッセージサービス（以下SMS）」について注意喚起した。

　このSMSは、佐川急便を騙るだけでなく、受信者を偽のWebサイトに誘導し、スマートフォンに不正なアプリをインストールするよう仕向ける内容になっているという。同様の手口のSMSは今年1月から観測されていたものの、7月中旬から急増し、それまでは一か月に数件の相談件数にとどまっていたものが、7月の1か月間で110件を数えたという。なお、この不正なアプリはAndroidにのみインストールされ、iOSにはインストールされない。このアプリケーションをインストールした場合、自分のスマートフォンからも「佐川急便を騙るSMSが不特定多数（自分のアドレス帳に無いあて先）」に向けて送信されてしまうという。

　現在、佐川急便では、SMSによる不在通知の案内は行っていないため、佐川急便と称して送られてくるSMSは偽物であると判断ができるため、佐川急便を名乗るSMSを受信しても、記載されているURLをタップしないようにすることが重要。また、Androidのセキュリティ設定で、「提供元不明のアプリのインストールを許可する」をオフにすることも対策となる。

(川原 龍人/びぎねっと)

[関連リンク]
注意喚起本文

Malwarebytesは7月23日(現地時間)、マルウェア「MobiDash」がステルス機能を獲得したことを観測したと発表した。

「MobiDash」は、Androidを標的にするマルウェア。「MobiDash」は、ステルス機能を獲得し、アイコンとアプリ名が表示されないようになっただけでなく、ウィルス対策ソフトウェアを利用して削除しようとしても、管理者権限が与えられているため削除ができないようになっている。削除するには管理者権限を手動で無効化する必要があるが、これもわかりにくい表示となっておりユーザが明示的に権限を無効化することが難しくなっている。感染しやすいようになっている上に削除も困難になっており、Malwarebytesはユーザに注意を呼び掛けている。

(川原 龍人/びぎねっと)

[関連リンク]
Blogによる記事

CERTは7月23日(現地時間）、無線通信規格Bluetoothの実装に関する脆弱性について注意喚起を発表した。

　この脆弱性は、Bluetoothを利用してデバイスをペアリングする際の通信暗号化で利用される「楕円曲線ディフィーヘルマン（ECDH）鍵交換」の実装において、ファームウェアやドライバに検証が不完全な問題が存在するという。この脆弱性を悪用されると、中間者攻撃によって暗号鍵を不正に奪取され、デバイスメッセージの傍受、改ざんなどが行われる危険があるという。

　今回の脆弱性の影響は、Apple、Broadcom、Intel、Qualcommの製品に影響のあるものが確認されているという。Appleは「MacOS High Sierra 10.13.6」においてこの問題への対処が行われている。AndroidやLinuxへの影響は不明で、MicrosoftはWindowsへの影響はないとしている。また、ファームウェアについては、メーカー各社から数週間程度でアップデートが提供されることが見込まれる。

(川原 龍人/びぎねっと)

[関連リンク]
アナウンス

トレンドマイクロは7月13日（現地時間）、仮想通貨をマイニングする「コインマイナー」を強制的にインストールするBot攻撃を観測したと発表した。

このBot攻撃は、IoTデバイスを標的にしたものが多いという。IoTデバイスは計算能力が低いため、本来マイニングには向かないが、今回の攻撃ではIoTデバイスが標的になっているとみられるものが多い。

トレンドマイクロは、「SSH」、「Telnet」、および「FTP」をエミュレートするように設計したハニーポットを通して、IP アドレス「192[.]158[.]228[.]46」から送信されたボットによる攻撃を確認した。この攻撃は、22 番、2222番、そして502番を含め、SSH や IoT デバイスに関連したポートを検索していたという。このことから、SSHサービスを実行しているすべてのサーバおよびIoTデバイスが今回の攻撃の対象になり得るという。

このような被害への対策としては、デバイスのファームウェアアップデートのこまめな適用、強力なパスワード、Webサイトや電子メールなど既知の攻撃経路への注意などが重要であるとしている。

(川原 龍人/びぎねっと)

[関連リンク]
Blogによる記事