2017年11月に起こったセキュリティニュースのアレコレをまとめてみた。

 どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

もう12月になってしまいましたね。2017年も残りわずかです。

いきなりなんですけど、先月嬉しかった事を1つだけ言わせて下さい。

昨年位から、僕は『「＠ITのセキュリティクラスタ まとめのまとめ」という記事に載るようにしてみせる！』と声に出して周囲に言っていたんですよ。

ちなみに、この記事は毎月あったセキュリティの話題をセキュリティクラスタがどのようにTwitter等で反応したかを月一で公開している記事なんです。

連載一覧はコチラ→セキュリティクラスタ まとめのまとめ - ＠IT

なので、「一応」セキュリティクラスタだと自称している僕も、載る日を待ち続けていたんですが、世の中そんなに甘くないもので全く取り上げられることがなかったんです。でも、毎月この記事が出るたびに楽しみに読んではいました。

そして11月、10月のまとめということで記事が公開されたのでいつものように読んでいたんです。最後のページになった時に、『はぁ…今回も載らなかったなぁ…』なんてことをふと感じながら記事をスクロールしていたら。。。。。

見たことのある憎たらしいあのピンクの背景のアイツのツイートが。

はい、めちゃくちゃ嬉しかったです。電車の中で読んでいたんですけど多分声に出して「うお！！！」くらいは言ってたと思います。

その記事がコチラです。

www.atmarkit.co.jp

はい、なんとなくですが、やっとセキュリティクラスタの一人になれたのかなって感じました。

でも、もっともっとセキュリティについて情報発信、そして情報収集していこうと自分のなかでエンジンがかかりました。

そしてそんなにゃんたくを今後とも皆さんよろしくお願いいたします。

では、前月のまとめです。

脆弱性のアレコレ

Adobe ReaderおよびAcrobatに脆弱性

【概要】
Adobe ReaderおよびAcrobatに脆弱性が存在し、PDF ファイルを閲覧することで第三者から任意のコードが実行される可能性がある

【CVE番号】
CVE-2017-16377
(APSB17-36)

【対象】
Adobe Acrobat Reader DC Continuous (2017.012.20098) およびそれ以前
Adobe Acrobat Reader DC Classic (2015.006.30355) およびそれ以前
Adobe Acrobat DC Continuous (2017.012.20098) およびそれ以前
Adobe Acrobat DC Classic (2015.006.30355) およびそれ以前
Adobe Acrobat Reader 2017 (2017.011.30066) およびそれ以前
Adobe Acrobat 2017 (2017.011.30066) およびそれ以前
Adobe Acrobat XI (11.0.22) およびそれ以前
Adobe Reader XI (11.0.22) およびそれ以前

【対策】
○アップデートする（以下最新バージョン）
Adobe Acrobat Reader DC Continuous (2018.009.20044)
Adobe Acrobat Reader DC Classic (2015.006.30392)
Adobe Acrobat DC Continuous (2018.009.20044)
Adobe Acrobat DC Classic (2015.006.30392)
Adobe Acrobat Reader 2017 (2017.011.30068)
Adobe Acrobat 2017 (2017.011.30068)
Adobe Acrobat XI (11.0.23)
Adobe Reader XI (11.0.23)

【参考情報】

Adobe Reader および Acrobat の脆弱性 (APSB17-36) に関する注意喚起

Adobe Reader および Acrobat の脆弱性対策について(APSB17-36)(CVE-2017-16377等)：IPA 独立行政法人 情報処理推進機構

Adobe、「Acrobat DC」「Acrobat Reader DC」の定例セキュリティアップデートを公開 - 窓の杜

アドビ、「Flash Player」や「Acrobat Reader」などで多数の脆弱性を修正 - CNET Japan

OpenAM(オープンソース版)に脆弱性

【概要】
OpenAM(オープンソース版)に脆弱性が存在し、該当製品にログイン可能な第三者によって認証を回避され権限のないコンテンツにアクセスされる可能性がある

【CVE番号】
CVE-2017-10873

【対象】
OpenAM 9.5.5
→osstech-openam-9.5.5-41 以前のバージョン
OpenAM 11.0.0
→osstech-openam11-11.0.0-112 以前のバージョン
OpenAM 13.0.0
→osstech-openam13-13.0.0-73 以前のバージョン

※OpenAM (オープンソース版の全てのバージョン)を SAML 2.0 の IdP として使用しているシステムにおいて、SP から送られてくる認証コンテキスト(AuthnContext) によって認証方式を切り替えている場合に、本脆弱性の影響を受ける可能性がある

【対策】
○アップデートする（修正パッチの適用）

【参考情報】

OpenAMのセキュリティに関する脆弱性(CVE-2017-10873)と製品アップデートのお知らせ[AM20171101-1] - Open Source Solution Technology Corporation

JVN#79546124: OpenAM (オープンソース版) における認証回避の脆弱性

【セキュリティ ニュース】「OpenAM」に追加認証を回避される脆弱性（1ページ目 / 全1ページ）：Security NEXT

NTTドコモ「Wi-Fi STATION L-02F」に脆弱性

【概要】
NTTドコモ「Wi-Fi STATION L-02F」にバッファオーバーフローの脆弱性が存在し、第三者から任意のコードが実行される可能性がある

【CVE番号】
CVE-2017-10871

【対象】
Wi-Fi STATION L-02F ソフトウェアバージョン L02F-MDM9625-V10h-JUN-23-2017-DCM-JP およびそれ以前

【対策】
○アップデートする

【参考情報】

ドコモからのお知らせ : 「Wi-Fi STATION L-02F」をご利用のお客様へ、ソフトウェアアップデート実施のお願い | お知らせ | NTTドコモ

「Wi-Fi STATION L-02F」にバッファオーバーフローの脆弱性(JVN#23367475)：IPA 独立行政法人 情報処理推進機構

JVN#23367475: Wi-Fi STATION L-02F にバッファオーバーフローの脆弱性

ドコモ「Wi-Fi STATION L-02F」に意図しない通信が発生する不具合、ソフト更新を案内 - ケータイ Watch

CS-Cart日本語版に脆弱性

【概要】
有限会社フロッグマンオフィスが提供するショッピングサイト構築システムのCS-Cart日本語版にXSSの脆弱性が存在し、第三者から任意のコードを実行される可能性がある

【CVE番号】
CVE-2017-10886

【対象】
CS-Cart日本語版スタンダード版 v4.3.10 およびそれ以前 (v2系、v3系は除く)
CS-Cart日本語版マーケットプレイス版 v4.3.10 およびそれ以前 (v2系、v3系は除く)

【対策】
○アップデートする

【参考情報】
セキュリティ :: 【JVN#29602086】 2017年11月13日に公表されたXSS脆弱性への対応方法 - ブログ記事
JVN#29602086: CS-Cart日本語版におけるクロスサイトスクリプティングの脆弱性
【セキュリティ ニュース】「CS-Cart日本語版」にXSSの脆弱性 - パッチがリリース（1ページ目 / 全1ページ）：Security NEXT

ロボット掃除機「COCOROBO」に脆弱性

【概要】
シャープのロボット掃除機「COCOROBO（ココロボ）」に脆弱性が存在し、第三者が任意の捜査の実行や情報漏えい、改ざんの可能性がある

【CVE番号】
CVE-2017-10890

【対象】
RX-V200 ファームウェア バージョン 09.87.17.09 より前のバージョン
RX-V100 ファームウェア バージョン 03.29.17.09 より前のバージョン
RX-CLV1-P ファームウェア バージョン 79.17.17.09 より前のバージョン
RX-CLV2-B ファームウェア バージョン 89.07.17.09 より前のバージョン
RX-CLV3-N ファームウェア バージョン 91.09.17.10 より前のバージョン

【対策】
○アップデートする

【参考情報】
COCOROBOアップデート｜スタートガイド｜ロボット家電COCOROBO：シャープ
JVN#76382932: ロボット家電 COCOROBO におけるセッション管理不備の脆弱性
シャープのロボット掃除機「COCOROBO」に脆弱性 | マイナビニュース
シャープのロボット掃除機、第三者が遠隔操作できる恐れ - ITmedia NEWS
シャープの「COCOROBO」に脆弱性、ファームウェア更新の呼び掛けも - ZDNet Japan
ニュース - シャープのロボット掃除機「COCOROBO」に脆弱性、のぞき見の危険性も：ITpro
ロボット掃除機 COCOROBO におけるセッション管理不備の脆弱性(JVN#76382932) | セキュリティ対策のラック

QND Advance/Standardに脆弱性

【概要】
クオリティソフト株式会社が提供するQND Advance/Standardにディレクトリトラバーサルの脆弱性が存在し、第三者から管理サーバ上の任意のファイルが改ざんされたり、任意のファイルを取得されたりする可能性がある

【CVE番号】
CVE-2017-10861

【対象】
QND Advance/Standardの全バージョン

【対策】
○アップデートする

【参考情報】
QND Advance/Standardサーバーの脆弱性について | クオリティソフト株式会社
JVNVU#94198685: QND Advance/Standard におけるディレクトリトラバーサルの脆弱性
PC管理ソフト「QND」に深刻な脆弱性--ファイル改ざんなどの恐れ - ZDNet Japan

Microsoft Officeの数式エディタに脆弱性

【概要】
Microsoft Officeの数式エディタにスタックベースのバッファオーバーフローの脆弱性が存在し、第三者からユーザの権限で任意のコードが実行される可能性がある

①「payWave」サービスの規約変更通知を装ったスパムメール（ロシア語圏）
②VJA ギフトカードインターネットショップを装ったスパムメール（日本語圏）
上記2つのメールに添付されて拡散された報告あり

【CVE番号】
CVE-2017-11882

【対象】
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit edition)
Microsoft Office 2010 Service Pack 2 (64-bit edition)
Microsoft Office 2013 Service Pack 1 (32-bit edition)
Microsoft Office 2013 Service Pack 1 (64-bit edition)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)

【対策】
◯アップデートする
◯数式エディタを無効化する
◯EMET もしくは Windows Defender Exploit Guard を eqnedt32.exe に適用する

【参考情報】
Microsoft Office の脆弱性(CVE-2017-11882)について：IPA 独立行政法人 情報処理推進機構
JVNVU#90967793: Microsoft Office 数式エディタにスタックベースのバッファオーバーフローの脆弱性
ニュース - MSがサポート終了の「Office 2007」にパッチを提供：ITpro
Office数式エディタのRCE脆弱性を悪用したマルウェアが登場、IPAが注意喚起 -INTERNET Watch
「Microsoft Office」の脆弱性を悪用、PCを乗っ取る攻撃--研究者報告 - ZDNet Japan
サイバー攻撃者がメールを“誤送信”--「To」で標的一覧が発覚 - ZDNet Japan
【セキュリティ ニュース】悪用難しいと思われた「Office脆弱性」、公表2週間でマルウェアに - Visa偽装メールで拡散（1ページ目 / 全2ページ）：Security NEXT
VJAギフトカードご注文ありがとう迷惑メールでウイルス感染 手口と対策は？ ( パソコン ) - 無題な濃いログ - Yahoo!ブログ
第40回 2017年11月～利用が容易なOffice脆弱性が発見された2017年11月～PoCも出ました：インフラセキュリティの処方箋｜gihyo.jp … 技術評論社
CVE-2017-11882 - 脆弱性調査レポート | ソフトバンク・テクノロジー

Apple macOS High Sierraに脆弱性

【概要】
Apple macOS High Sierraに"root" アカウントをはじめとする、無効化されているアカウントに対する認証回避の問題があり、"root" アカウントが有効化されていると、OS が提供する "Screen Sharing" や "Remote Management" などのリモート管理機能の認証に使われる可能性がある

【CVE番号】
CVE-2017-13872

【対象】
macOS High Sierra 10.13.1
※macOS Sierra 10.12.6 およびそれ以前のバージョンは影響を受けないとのこと

【対策】
◯アップデートする
※セキュリティアップデートをMac OS 10.13.0で実行し、その後Mac OS 10.13.1にアップデートすると本問題が再発。必ず再起動が必要。
◯ワークアラウンドを実施する
※管理者権限でターミナルを開いてコマンド sudo passwd -u root を実行し、強いパスワードを設定する

【参考情報】
JVNVU#113765: Apple macOS High Sierra に無効化されているアカウントに対する認証回避の問題
macOS High Sierra の設定に関する注意喚起
macOSの「root」ログイン問題、10.13.0から10.13.1に更新すると再発の恐れ（要再起動） - ITmedia NEWS
ニュース - macOSの脆弱性修正パッチ公開、説明は「なるべく早くインストール」だけ：ITpro
macOS High Sierraに新しいバグ問題。パッチあてると今度はファイル共有できない（解決策あり） | ギズモード・ジャパン
Apple、パスワードなしで管理者ログインできる脆弱性を修正 ユーザーに謝罪 - ITmedia NEWS
macOS High Sierraにrootユーザーを悪用できる脆弱性 | マイナビニュース

Movable Type用プラグインのA-Member,A-Reserveに脆弱性

【概要】
Movable Type用プラグインのA-Member,A-ReserveにSQLインジェクションの脆弱性が存在し、第三者によりデータベース内の情報を取得されたり、改ざんされたりする可能性がある

【CVE番号】
CVE-2017-10898
CVE-2017-10899

【対象】（）内は影響を受けるCVE番号
A-Member 3.8.6 およびそれ以前 (CVE-2017-10898)
A-Member for MTクラウド 3.8.6 およびそれ以前 (CVE-2017-10898)
A-Reserve 3.8.6 およびそれ以前 (CVE-2017-10899)
A-Reserve for MTクラウド 3.8.6 およびそれ以前 (CVE-2017-10899)

【対策】
◯アップデートする

【参考情報】
Movable Typeブログ-セキュリティーアップデート：A-Member 3.8.7, A-Reserve 3.8.7をリリース：Web制作のアークウェブ(東京都中央区)
Movable Type 用プラグイン「A-Member」および「A-Reserve」における SQL インジェクションの脆弱性について(JVN#78501037)：IPA 独立行政法人 情報処理推進機構
JVN#78501037: Movable Type 用プラグイン A-Member および A-Reserve における SQL インジェクションの脆弱性
【セキュリティ ニュース】アップデート「WordPress 4.9.1」でセキュリティに関する問題4件を解決 - バグの修正も（1ページ目 / 全1ページ）：Security NEXT

デジ蔵 ShAirDiskに複数の脆弱性

【概要】
プリンストンのワイヤレスモバイルストレージの「デジ蔵 ShAirDisk」に複数の脆弱性が存在し、第三者から情報の改ざんやDos攻撃、任意のコードを実行される等の可能性がある

【CVE番号】
CVE-2017-10900
CVE-2017-10901
CVE-2017-10902
CVE-2017-10903

【対象】
PTW-WMS1 用ファームウェア バージョン 2.000.012

【対策】
◯アップデートする

【参考情報】
PTW-WMS1をルーター機能の無いモデムに接続してご使⽤されているお客様へ ファームウェアアップデートのお知らせ | 対応情報 | お知らせ一覧 | 株式会社プリンストン
ワイヤレスモバイルストレージ『「デジ蔵 ShAirDisk」PTW-WMS1』における認証不備の脆弱性について(JVN#98295787)：IPA 独立行政法人 情報処理推進機構
JVN#98295787: ワイヤレスモバイルストレージ「デジ蔵 ShAirDisk」PTW-WMS1 における複数の脆弱性
【セキュリティ ニュース】プリンストン製モバイルストレージに複数の脆弱性（1ページ目 / 全1ページ）：Security NEXT

注意喚起やニュースのアレコレ

セキュリティ会社の社員が不正指令電磁的記録（ウイルス）保管容疑で逮捕

【概要】
セキュリティ会社ディアイティの社員が、パソコン内のファイル共有ソフト「Ｓｈａｒｅ（シェア）」に、ウイルスが含まれたファイルを、第三者がダウンロードできる状態で保管したとして、不正指令電磁的記録（ウイルス）保管容疑で逮捕された

【参考情報】
ニュース - ウイルス保管容疑でセキュリティ企業ディアイティの社員逮捕、同社は反論：ITpro
ニュース解説 - セキュリティ会社の社員逮捕、ウイルス拡散が疑われるも残る疑問：ITpro
セキュリティ企業のP2P監視サービス管理者逮捕 ウイルスを「Share」に保管 会社は反論 - ITmedia NEWS
ディアイティ社員が「ウイルス保管」で逮捕 Winny、Librahack事件の再来か？ ｜ビジネス+IT

フジテレビのチケットサイトで不正ログイン

【概要】
フジテレビのチケットサイト「フジテレビダイレクト」で不正アクセスがあり、会員181件に不正ログインが行われた模様

【参考情報】
「フジテレビダイレクト」への"なりすまし"(リスト型攻撃)による不正ログインについて｜ぴあ株式会社
フジテレビのチケット販売サイトで不正ログイン - ねとらぼ
【セキュリティ ニュース】フジテレビのチケットサイトで不正ログイン - 一部で不正購入も（1ページ目 / 全1ページ）：Security NEXT
https://mainichi.jp/articles/20171111/k00/00m/040/167000c
フジテレビのチケット販売サイトに不正ログイン - 産経ニュース

経産省のサイバーセキュリティ経営ガイドライン改訂が改定

【概要】
経産省のサイバーセキュリティ経営ガイドラインが改訂され、「サイバーセキュリティ経営ガイドライン Ver2.0」が公開された
※サイバーセキュリティ経営ガイドラインとは、経営者がリーダーシップを取ってサイバーセキュリティ対策を推進するための指針となる経営ガイドライン

【参考情報】
サイバーセキュリティ経営ガイドラインを改訂しました（METI/経済産業省）
サイバーセキュリティ経営ガイドライン（METI/経済産業省）
ニュース - 経産省のサイバーセキュリティ経営ガイドライン改訂、攻撃検知と復旧への備えを追加：ITpro
経産省、セキュリティ経営ガイドラインを改訂--攻撃検知や復旧にも焦点 - ZDNet Japan
【セキュリティ ニュース】「サイバーセキュリティ経営ガイドラインVer2.0」が公開 - 「攻撃検知」「復旧」前提に（1ページ目 / 全3ページ）：Security NEXT

ランサムウェア「Bad Rabbit」配布の踏み台にされたアイカ工業のWebサイトが再開

【概要】
2017年10月にランサムウェア「Bad Rabbit」配布の踏み台にされ閉鎖していたアイカ工業のWebサイトが再開された

【参考情報】
お知らせ | アイカ工業株式会社

ランサムウェア配布の踏み台にされたアイカ工業、ウェブサイトを再開 - ZDNet Japan
ニュース - アイカ工業、サイバー攻撃の疑いで閉鎖中だったWebサイトを再開：ITpro

「著作権侵害訴訟最終通知書」という架空請求ハガキに注意

【概要】
「知的財産教育協会財団」を名乗る団体から「著作権侵害訴訟最終通知書」という架空請求ハガキが出回っており、正規の団体である「知的財産研究教育財団」も注意喚起をおこなった

【参考情報】
知的財産研究所
「知的財産教育協会財団」を名乗る架空請求ハガキにご用心 「著作権侵害訴訟」の名目で不安をあおる手口 - ねとらぼ
「著作権侵害最終通知書」架空請求ハガキ出回る - ITmedia NEWS

ウイルス付メールまとめ（2017年11月）

【概要】
JC3（日本サイバー犯罪対策センター事務局）が公開しているウイルス付メールの情報は、2017年11月は39件報告。
そのうち『楽天』を騙るメールが14件と最多。その他、NHKオンデマンド、セキュリティソフトのＰｈｉｓｈＷａｌｌプレミアム、VJAギフトカードショップ等を騙るメールも出回った

【参考情報】
注意情報｜一般財団法人日本サイバー犯罪対策センター
情報提供｜一般財団法人日本サイバー犯罪対策センター

セキュリティレポートのアレコレ

JPCERT/CC

インターネット定点観測レポート(2017年 7～9月)
インシデント調査のための攻撃ツール等の実行痕跡調査に関する報告書（第2版）公開（2017-11-09）
イベントログを可視化して不正使用されたアカウントを調査 ~LogonTracer~（2017-11-28）

Trend Micro

「Mirai」の新しい亜種の拡散を確認 | トレンドマイクロ セキュリティブログ
実例で学ぶネットの危険：スマホで突然の「ウイルスに感染」表示、開くとどうなる？ | トレンドマイクロ セキュリティブログ
IoT 機器を狙う「Reaper」、数百万台のネットワーク機器に感染 | トレンドマイクロ セキュリティブログ
Wordファイルの暗号化および自己複製機能を備えた暗号化型ランサムウェア「qkG」を確認 | トレンドマイクロ セキュリティブログ

McAfee

組織を守るために知っておきたいサイバー攻撃の種類 20選
サイバー犯罪集団「Lazarus」に関連するAndroidマルウェアを発見
サイバーセキュリティ キャロル: 2017年の「最もハッキングされやすいギフト」からわかる大切なこと

LAC

サイバー救急センターレポート 第1号 | セキュリティ対策のラック
標的型攻撃メール訓練中の混乱を防げ！【第3回】訓練編 | セキュリティ対策のラック

MBSD（三井物産セキュアディレクション）

XXE攻撃 基本編 | MBSD Blog

ソフトバンク・テクノロジー

CVE-2017-11882 - 脆弱性調査レポート | ソフトバンク・テクノロジー

Cisco Japan Blog

効率的な感染拡大手口：Google の検索結果を狙ったバンキング型トロイの木馬

個人

2017年10月、11月の国内レンタルサーバー事業者へのDoS攻撃についてまとめてみた - piyolog
デバッガを利用してWebアプリの脆弱性を分析してみた - とある診断員の備忘録
IEのクッキーモンスターバグはWindows 10で解消されていた | 徳丸浩の日記

以上です。

今回もココまで読んでいただきありがとうございました。

そうそう、この時期は忘年会やクリスマス等で呑むことが増える時期です。

特にこの時期多いのが飲み会終わりにスマホや大事な書類や会社のPCを忘れてきた、無くしたというインシデント、です。

なので、呑んだら最後に自分の持ち物を持っているかを確認してからお店などから出るようにしてみましょう。

防げるインシデントこそ、起こさないようにするのがベストだと思います。

ただ、もし起こしてしまったら早急に周囲に連絡をしましょう。

人間に、絶対はありませんからね。

というわけで、ちょっと早めのMerry Christmas!
　　 ∧ ∧
　　(*ﾟーﾟ)
☆☆"ＵＵ"ﾐ☆☆
‥‥‥▲‥*‥‥
‥*‥▲▲‥‥‥
‥‥▲▲▲‥‥*
*‥▲▲▲▲‥‥
‥‥‥■‥‥*‥

＜更新履歴＞

2017/12/04 AM 04:05 公開

NHKスペシャル『あなたの家電が狙われている ～インターネットの新たな脅威～』を見てみた。

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

本日はコチラを見てみた感想や、番組でとりあげられていた内容を自分なりにまとめてみました。

実際に番組を見ていた方、見れなかったけど内容をざっくりと内容を知りたい方はぜひ参考にしてみてください。

（※ただし！これはあくまでも僕のメモ的なものですので、放映されていた内容全てを書いているわけではありませんのでご了承ください）

www6.nhk.or.jp

【魚拓】NHKスペシャル | あなたの家電が狙われている～インターネットの新たな脅威～

番組内容をざっくり知りたい方はコチラにまとまっています。

www3.nhk.or.jp

 【魚拓】ＩｏＴ機器を狙うウイルス感染 100倍に急増 先月から | NHKニュース

ちなみに「#nhkスペシャル」と「#あなたの家電が狙われている」というハッシュタグでつぶやかれていたものをざっくりとまとめてみました。

togetter.com

そうそう、僕の認識としてはNHKでサイバー攻撃についてがっつりとりあげられていたのってコレ以降なんじゃないかなと感じております。（※間違ってたらすいません）

NHK SFリアル「サイバー戦争の世紀」を見てみた！ - にゃんたくのひとりごと

 ではいってみましょー(ΦωΦ)ﾌﾌﾌ…

乗っ取られたWebカメラの話

さて、題名として『あなたの家電が狙われている ～インターネットの新たな脅威～』とりあげられているように、番組冒頭から、家電が狙われた方のインタビュー映像からスタート。

どうやら今年8月にもTBSで取材を受けていた人のようです。ブログ記事も確認することができました。

【お詫び】中国製ネットワークカメラの記事に大きな誤りがあった話 - 僕とネットショッピング

狙われたカメラではこのような現象が起きたようです。

・Webカメラのレンズと目があった

・勝手にカメラが動いた

・カメラから女性の声が聞こえた

※声は中国語の方言

機器の設定として、長いパスワードを設定していたとのことです。

つまり、パスワードを設定していたとしても乗っ取られてしまうことがわかります。

ただし、どういうパスワードだったか、今後どう対策したか、等は番組では取り上げられてはいませんでした。

番組の流れとして、パスワード設定が弱い等のカメラ映像が、まとめて公開されているサイトがあるという内容も放映されました。

このサイト、セキュリティをやっている人間ならもしかしたら聞いたことがあるのでは、というサイトでした。サイト名は『insecam』です。

実際に現在も稼働しているサイトですのでググればこのサイトを見ることはできますが、実際に『insecam』とはどんなサイトかはコチラをご覧いただくのが良いかと思います。

japan.norton.com

番組を見ていて、気になったのはこの『insecam』の放映の仕方です。

上記のNortonのサイトでは、実際のカメラ画像に『ぼかし』が入っています。

しかしながら、今回の番組ではぼかすこともなくありのままの映像を流していました。

これはリテラシー的にどうなんだろうな、と感じました。

また、実際にWebカメラに対し乗っ取ることが出来るのか、という実験も今回行われました。

放送前からTwitterセキュリティクラスタ内では話題になっていた黒林檎（@r00tapple）さんが登場して、実際にWebカメラに対し乗っ取れるかの実証を行っていました。（黒林檎さん初見でしたがメガネイケメンでしたね…）

ご本人のブログにWebカメラの乗っ取りについてまとめてありましたので共有です。

「中華ウェブカメラ」のセキュリティについて - 黒林檎のお部屋♬

その他、Webカメラ乗っ取りについてはこちらも参考になるかと思われます。

Webカメラが乗っ取られる！ ネット機器の脆弱性、検証して専門家に聞いてみた【イニシャルB】 - INTERNET Watch

IoT機器を用いたサイバー攻撃の話

次に話題にあげられたのが、IoT機器を用いたサイバー攻撃のお話でした。

で、一番最初にとりあげられたのが、昨年10月に起きたDNSサービスを提供するアメリカのDyn（ダイン）社へのサイバー攻撃の話題です。

こちらはDyn社のDNSサーバーに対し大規模なDDoS攻撃が行われ、TwitterやAmazon、Netflix等のサービスが接続しにくくなるという内容です。

※参考はコチラ↓

米国で大規模なDDoS攻撃、TwitterやSpotifyが一時ダウン - ZDNet Japan

「ＩｏＴ乗っ取り」攻撃でツイッターなどがダウン : 科学 : 読売新聞（YOMIURI ONLINE）

米で大規模サイバー攻撃 アマゾン、ＣＮＮにも（1/2ページ） - 産経ニュース

ニュース - DNSサービスの「Dyn」に大規模DDoS攻撃、Twitterなどが影響受けダウン：ITpro

そして日本でDDoS攻撃の被害にあった企業ということで、カブドットコム証券もとりあげられていました。

こちらはカブドットコム証券のWebサイトに対し、今年6月にDDoS攻撃が行われ、約40分ほどサイトが不通になったという内容です。

※参考はコチラ↓

カブドットコム、DDoS攻撃でサイト不通に - ITmedia NEWS

ニュース - カブドットコム証券にDDoS攻撃、検知から約38分後にブロック：ITpro

【セキュリティ ニュース】カブドットコム証券にDDoS攻撃 - 一時アクセスしづらい状態に（1ページ目 / 全1ページ）：Security NEXT

上記2つに共通するもの、それは『DDoS攻撃』を受けたということです。

そして、その攻撃に使われたのが、『Mirai』と呼ばれる、IoTデバイスを標的にして感染するマルウェア（ウイルス）があるということです。

※この『Mirai』についてはこちらを参考にしてみてください。

Mirai(ミライ)とは | セキュリティ用語解説 | 日立ソリューションズの情報セキュリティブログ

JVNTA#95530271: Mirai 等のマルウェアで構築されたボットネットによる DDoS 攻撃の脅威

超速解説：IoTデバイスを狙うマルウェア「Mirai」とは何か――その正体と対策 - TechFactory

米ネットを襲う未曾有のDDoS。アンナ先輩が野に放った「Mirai」という名の魔物 | ギズモード・ジャパン

このMiraiというマルウェアについて、横浜国立大学の吉岡克成氏の研究もとりあげられていました。

とりあげられていた内容としては、脆弱なIoT機器を装ったハニーポット（囮的なもの）を仕掛け、攻撃を受けたログ等を解析するというものです。

その中で、攻撃を仕掛けた機器が日本国内にあることがわかり、実際にその場所に行ってみた所、秋田県某所のアパートの防犯カメラの録画装置から、ということが判明するところまで放映されていました。

つまり、IoT機器からIoT機器へ攻撃が行われているという事がわかりますよね。

※横浜国立大学の吉岡克成氏の報道記事はコチラ

IoT機器がマルウェアに感染する元凶は「Telnet」～横浜国大・吉岡克成准教授 -INTERNET Watch

ウイルスに感染したIoT機器からのサイバー攻撃急増を確認－－横浜国立大など - WirelessWire News（ワイヤレスワイヤーニュース）

そしてその次に話題にあがったのが、こういったサイバー攻撃には『代行サービス』があるという話題です。

僕はこの時点で『またダークウェブくるか…くるか…（ため息まじり）』と感じていましたがやっぱり来ました『ダークウェブ』。

ダークウェブとはなんぞや、というとざっくり言うと「違法なモノをやりとりできるアンダーグラウンドなインターネット」です。

ただし、普通のWeb検索ではたどり着くことはできませんのでご安心を。

ちなみに今回の放映でダークウェブについて話していた方のこんな記事も確認できましたので共通しておきます。

恐怖！ダークWeb - 正しく怖がるダークWeb、Facebookも存在する：ITpro

そうそう、番組ではMiraiの亜種を使ってサイバー攻撃を行った「ダニエル・ケイ」についてもとりあげられていましたね。

「改造版Mirai」を作った男の意外な正体!?（後編） - THE ZERO/ONE

もうこのあたりから僕は「この番組結局何が言いたいんだろう」と感じてきてました。

その後、薬剤点滴装置や車に対してハッキングが行われてしまい危ない。という話題がとりあげられていました。（このあたりからちょっと集中しなくなってきていた…）

全体的な感想

番組が終わった瞬間にこうつぶやいてしまいました。

NHKの番組ってどうしてここまで視聴者を怖がらせる感じを残して終わるんでしょうかね。
せっかくなんだから対策とか対応方法とかも一緒に報道すべきだと感じましたよよよ。

#nhk
#nhkスペシャル

— にゃん☆たく (@taku888infinity) 2017年11月26日

番組冒頭でNICTの井上 大介さんとかNIRVANAの動画がチラッと映ったり、予告ではDEFCONやBLACKHATの映像が出ていたのに全くとりあげられなかったのはちょっと残念でした。

ただ、今回の番組を見て、セキュリティについて考えてくれたり、対策をしよう、実際にセキュリティについて調べてみようと感じた方々は少なからずもいると思います。

僕はまだセキュリティ業界で仕事をしだしてまだ3年ほどですが、セキュリティって結局、一人ひとりがセキュリティに対して意識をもつことが、実は一番のセキュリティ対策なのでは、と感じています。

ですので、今回の番組をきっかけにセキュリティに対して知ろうとしてくれる人が一人でも増えてくれたらうれしいです。

MiraiマルウェアがIoT機器対してログイン試行するIDとパスワード一覧

さて最後に、今回話題になったMiraiと呼ばれるIoTデバイスを標的にして感染するマルウェアが、感染させたい機器に対してログイン試行する際に利用するIDとパスワードの一覧を載せておきます。

※Miraiのソースコードには62組のIDとパスワードが記載されています

下記のIDとパスワードの設定にはしないことをオススメします。

参考にしていだければ幸いです。

☆IDまとめ

root
admin
support
user
Administrator
service
supervisor
guest
admin1
666666
888888
ubnt
tech
mother

☆パスワード

xc3511
vizxv
admin
888888
xmhdipc
default
juantech
123456
54321
support
(none)
password
root
12345
user
pass
admin1234
1111
smcadmin
666666
1234
klv123
service
supervisor
guest
ubnt
klv1234
Zte521
hi3518
jvbzd
anko
zlxx.
7ujMko0vizxv
7ujMko0admin
system
ikwb
dreambox
realtek
0
1111111
meinsm
tech
fucker

以上です。

ココまで読んでいただきありがとうございました。

ではでは( ˘ω˘)

＜更新履歴＞

2017/11/27 AM 04:40 公開

2017年10月に起こったセキュリティニュースのアレコレをまとめてみた。

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

……(´；ω；｀)

はい、私事ながら、11月のはじめから食中毒の腸炎が原因で発熱と腹痛で10日間ほどぶっ倒れておりました。

仕事関係の皆様には本当にご迷惑をおかけ致しました。申し訳ございませんでした。

また、多くの皆様から体調について励ましのメッセージやコメント等も頂きました。

ありがとうございました。おかげで元気になりました。

今までは食中毒関連のニュースを見ても他人事のように感じていましたが、まさか自分が食中毒になるとは思ってもいませんでした。

この時期はインフルエンザ等も流行っているため、皆さんも体調管理には十分お気をつけください。

本ブログも全て先月中にまとめてはいたのですが公開しようと思ったタイミングで体調が悪くなってしまい公開が遅れてしまいました。

大分時間が経ってしまいましたが、先月のまとめです。

脆弱性のアレコレ

Dnsmasqに複数の脆弱性

【概要】
Dnsmasqに複数の脆弱性が存在し、第三者によって任意のコード実行や、情報の漏えい、サービス運用妨害 (DoS) 攻撃が行われる可能性がある。
※Dnsmasqは、DNSやDHCPなどのサービスを提供するオープンソースソフトウェア

【CVE番号】
CVE-2017-14491（ヒープベースのバッファオーバーフロー (CWE-122)）

CVE-2017-14492（ヒープベースのバッファオーバーフロー (CWE-122)）

CVE-2017-14493（スタックベースのバッファオーバーフロー (CWE-121)）

CVE-2017-14494（情報漏えい (CWE-200)）

CVE-2017-14495（無制限なリソースの消費（リソース枯渇） (CWE-400)）

CVE-2017-14496, CVE-2017-13704（整数アンダーフロー (CWE-191)）

【対象】
Dnsmasq バージョン 2.77 およびそれ以前

【対策】
○アップデートする（以下脆弱性修正済みバージョン）

Dnsmasq バージョン 2.78

【参考情報】

Vulnerability Note VU#973527 - Dnsmasq contains multiple vulnerabilities

JVNVU#93453933: Dnsmasq に複数の脆弱性

Dnsmasqに複数の脆弱性 - Google指摘 | マイナビニュース

オープンソースのDNSソフトウェア「Dnsmasq」、3件のRCE脆弱性など7件の脆弱性 -INTERNET Watch

Dnsmasqに7件の脆弱性、AndroidやLinuxなど広範に影響の恐れ パッチ適用を - ITmedia エンタープライズ

DNS ソフトウェア「Dnsmasq」に複数の脆弱性、攻撃可能な条件と対策を解説 | トレンドマイクロ セキュリティブログ

 
Adobe Flash Playerに脆弱性

【概要】
Adobe Flash Player に型の混同 (Type Confusion) の脆弱性が存在し、第三者によって任意のコードを実行される可能性がある
※型の混同 (Type Confusion)：同じメモリ領域を2つの異なる型で通信した際にデータの処理に問題が発生すること

【CVE番号】

CVE-2017-11292
※Adobe識別ID：APSB17-32

【対象】
・Adobe Flash Player Desktop Runtime 27.0.0.159 およびそれ以前 (Windows 版、Macintosh 版、Linux 版)
・Adobe Flash Player for Google Chrome 27.0.0.159 およびそれ以前 (Windows 版、Macintosh 版、Linux 版、Chrome OS 版)
・Adobe Flash Player for Microsoft Edge and Internet Explorer 11 27.0.0.130 およびそれ以前 (Windows 10、Windows 8.1)

【対策】
○アップデートする（以下脆弱性修正済みバージョン）
バージョン 27.0.0.170

【参考情報】

https://helpx.adobe.com/jp/security/products/flash-player/apsb17-32.html

JVNVU#92489697: Adobe Flash Player に型の混同 (Type Confusion) の脆弱性

Adobe Flash Player の脆弱性対策について(APSB17-32)(CVE-2017-11292)：IPA 独立行政法人 情報処理推進機構

Adobe Flash Player の脆弱性 (APSB17-32) に関する注意喚起

アドビ、「Flash Player」の脆弱性を修正--ゼロディ攻撃が発生 - ZDNet Japan

「Flash Player」にゼロデイ脆弱性、セキュリティアップデートを緊急公開 -INTERNET Watch

WPA2 (Wi-Fi Protected Access II) に脆弱性（KRACKs）

【概要】
無線 LAN (Wi-Fi) の通信規格である、WPA2 (Wi-Fi Protected Access II) に脆弱性が存在し、無線LANの通信範囲に存在する第三者により、通信の盗聴が行われる可能性がある
脆弱性名は『KRACKs』

【CVE番号】

CVE-2017-13077（4-way ハンドシェイクにおける Pairwise Key の再利用）

CVE-2017-13078（4-way ハンドシェイクにおける Group Key の再利用）

CVE-2017-13079（4-way ハンドシェイクにおける Integrity Group Key の再利用）

CVE-2017-13080（Group-key ハンドシェイクにおける Group Key の再利用）

CVE-2017-13081（Group-key ハンドシェイクにおける Integrity Group Key の再利用）

CVE-2017-13082（Fast BSS Transition 再接続リクエストの再送許可とその処理における Pairwise Key の再利用）

CVE-2017-13084（PeerKey ハンドシェイクにおける STK Key の再利用）

CVE-2017-13086（Tunneled Direct-Link Setup (TDLS) ハンドシェイクにおける TDLS PeerKey (TPK) Key の再利用）

CVE-2017-13087（Wireless Network Management (WNM) Sleep Mode レスポンスフレーム処理時の Group Key (GTK) の再利用）

CVE-2017-13088（Wireless Network Management (WNM) Sleep Mode レスポンスフレーム処理時の Integrity Ggroup Key (IGTK) の再利用）

【対象】
WPA2 プロトコルを実装している製品
攻撃の前提条件として、『利用者の使用している無線LANの通信範囲内にいる』必要がある

【対策】
○アップデートする
各ベンダーが提供する情報を元にアップデートする
各ベンダー情報は以下を参照
http://jvn.jp/vu/JVNVU90609033/
http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=228519&SearchOrder=4

【参考情報】

KRACK Attacks: Breaking WPA2

WPA2 における複数の脆弱性について：IPA 独立行政法人 情報処理推進機構

JVNVU#90609033: Wi-Fi Protected Access II (WPA2) ハンドシェイクにおいて Nonce およびセッション鍵が再利用される問題

WPA2の脆弱性 KRACKsについてまとめてみた - piyolog

WPA2の脆弱性は“大げさ”だった？ 「初報だけ盛り上がる問題」を考える (1/3) - ITmedia NEWS

WPA2の脆弱性対策が本格化--週末にユーザーがすべきこと - ZDNet Japan

Wi-FiのWPA2脆弱性「KRACKs」 - 各社の対応は? | マイナビニュース

WPA2の脆弱性「KRACKs」公開、多数のWi-Fi機器に影響の恐れ - CNET Japan

WPA2脆弱性、Androidの対策パッチは11月6日提供予定、iOSの対策済みベータ配布が開始 -INTERNET Watch

Ｗｉ－Ｆｉ通信内容が盗み見される？「ＷＰＡ２に弱点」情報まとめ : 科学 : 読売新聞（YOMIURI ONLINE）

WPA2の脆弱性「KRACKs」、ほぼすべてのWi-Fi通信可能な端末機器に影響 | トレンドマイクロ セキュリティブログ

Oracle Javaに複数の脆弱性

【概要】
Oracle Java SE JDKやJREに複数の脆弱性が存在し、第三者によってJavaを不正終了されたり任意のコードが実行される可能性がある
※四半期に1度のCritical Patch Update

【CVE番号】
複数のため割愛
参考はコチラ→http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html#AppendixJAVA

【対象】
Oracle Java SE 9
Oracle Java SE 8 Update 144
Oracle Java SE 7 Update 151
Oracle Java SE 6 Update 161
Oracle Java SE Embedded 8 Update 144

【対策】
○アップデートする
Oracle 社から提供されている最新版にアップデートする

【参考情報】

Oracle Java の脆弱性対策について(CVE-2017-10346等)：IPA 独立行政法人 情報処理推進機構

2017年 10月 Oracle Java SE のクリティカルパッチアップデートに関する注意喚起

Oracle Critical Patch Update - October 2017

米Oracleの四半期パッチ公開、Javaなどの脆弱性に対処 - ITmedia エンタープライズ

Java SEやMySQLなどのセキュリティアップデート公開、計252件の脆弱性を修正、Oracleが四半期ごとの定期パッチ配布 -INTERNET Watch

Oracle Java SEに複数の脆弱性、アップデート推奨 | マイナビニュース

Oracleの「Identity Manager」に脆弱性

【概要】
Oracleが提供する「Identity Manager」に脆弱性が存在し、第三者に認証無しでデフォルトアカウントを利用してHTTP経由でログインされ、Oracle Identity Managerにアクセスされてしまう可能性がある

【CVE番号】
CVE-2017-10151

【対象】
Oracle Identity Manager（Versionは以下の通り）
11.1.1.7
11.1.1.9
11.1.2.1.0
11.1.2.2.0
11.1.2.3.0
12.2.1.3.0

【対策】
◯アップデートする

【参考情報】

Oracle Security Alert CVE-2017-10151

Oracleの「Identity Manager」に重大な脆弱性、緊急パッチ公開 すぐに適用を - ITmedia NEWS

オラクルのID管理製品に深刻な脆弱性、修正パッチを臨時公開 - ZDNet Japan

マイクロソフト、10月のセキュリティ更新プログラムに「早期適用」のものあり

【概要】
マイクロソフト、10月のセキュリティ更新プログラムに「早期適用」のものがあり、脆弱性を悪用された場合、リモートから任意のコードを実行される可能性がある

【CVE番号】
複数のため割愛
参考はコチラ→https://blogs.technet.microsoft.com/jpsecurity/2017/10/11/201710-security-bulletin/
※CVE-2017-11826ついては脆弱性の悪用を確認済み

【対象】
Microsoft 製品

【対策】
セキュリティ更新プログラムの適用

【参考情報】

2017 年 10 月のセキュリティ更新プログラム (月例) – 日本のセキュリティチーム

Microsoft 製品の脆弱性対策について(2017年10月)：IPA 独立行政法人 情報処理推進機構

2017年 10月マイクロソフトセキュリティ更新プログラムに関する注意喚起

米Microsoft、10月の月例セキュリティ更新プログラム公開 IEやWindowsなど62件の脆弱性を修正 - ITmedia エンタープライズ

MSの10月更新プログラムは「緊急」「早期の適用を」 JPCERT/CCが呼び掛け - ITmedia NEWS

マイクロソフト、10月のセキュリティ更新プログラム - Office 2007は最後 | マイナビニュース

GNU Wgetに脆弱性

【概要】
GNU Wget に複数のバッファオーバーフローの脆弱性が存在し、第三者から任意のコードを実行される可能性がある

【CVE番号】
CVE-2017-13089
CVE-2017-13090

【対象】
GNU Wget 1.19.2 より前のバージョン

【対策】
○アップデートする

【参考情報】

JVNVU#99266133: GNU Wget における複数のバッファオーバーフローの脆弱性

「GNU Wget」にリモートから任意のコードを実行される複数の脆弱性（JVN） | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]

【セキュリティ ニュース】「Wget」に深刻な脆弱性 - チャンクエンコードの処理に問題（1ページ目 / 全1ページ）：Security NEXT

「楽々はがき」および「楽々はがき セレクト for 一太郎」に脆弱性

【概要】
「楽々はがき」および「 楽々はがき セレクト for 一太郎」にメモリ破壊の脆弱性が存在し、第三者から任意のコードが実行される可能性がある

【CVE番号】
CVE-2017-10870

【対象】
▼個人ユーザ向け製品
一太郎2017
一太郎2016
一太郎2015
楽々はがき2018
楽々はがき2017
楽々はがき2016

▼法人ユーザ向け製品
一太郎Pro3
一太郎Pro2
一太郎Pro
一太郎2011
一太郎Government 8
一太郎Government 7
一太郎Government 6

▼体験版製品
一太郎2017 体験版

【対策】
○アップデートする

【参考情報】

楽々はがき および 楽々はがき セレクト for 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について

JVNVU#93703434: 「楽々はがき」および「楽々はがき セレクト for 一太郎」にメモリ破壊の脆弱性

「楽々はがき」にメモリ破壊の脆弱性、「一太郎」シリーズにも影響 - 窓の杜

 注意喚起やニュースのアレコレ

米ヤフー、2013年の情報流出で30億人分の情報が流出したと発表

【概要】
米ヤフーで2013年8月に発生した情報流出では、30億人分の情報が流出したと発表した

【参考情報】

Yahoo provides notice to additional users affected by previously disclosed 2013 data theft

ニュース - 米Yahoo!が起こした2013年の情報流出、全30億ユーザー分漏洩との調査結果：ITpro

米ヤフーへのハッキング、30億件の全アカウントに影響の可能性 - CNET Japan

TOKYO MXに不正アクセスがあり、最大37万件の個人情報流出

【概要】
TOKYO MXの公式サイトサーバが不正アクセスを受け、最大37万件の個人情報が流出した

【参考情報】
東京メトロポリタンテレビジョン（TOKYO MX）のプレスリリース（下記PDF2件）
http://s.mxtv.jp/company/press/pdf/press2017_510001.pdf
http://s.mxtv.jp/company/press/pdf/press2017_520001.pdf

「TOKYO MX」公式サイトに不正アクセス 視聴者のメアド最大37万件流出か - ITmedia NEWS

TOKYO MXに不正アクセス 30万人以上の個人情報流出の可能性 - ねとらぼ

Kaspersky（カスペルスキー）が同社製品について内部調査結果を発表

【概要】
米国家安全保障局（NSA）の極秘情報が盗まれた方法として、Kaspersky（カスペルスキー）のウイルス対策ソフトウェアが用いられたという疑惑に対し、Kaspersky（カスペルスキー）が同社製品について内部調査結果を発表した。

【参考情報】

Kaspersky Lab、ソースコードを第三者機関提供など透明性への取り組み強化 | マイナビニュース

Kaspersky、独立機関によるソースコードの検証を発表 - ITmedia エンタープライズ

「ロシアがKaspersky経由でNSAの情報盗んだ」、米紙報道 - ITmedia エンタープライズ

渦中のカスペルスキーが調査報告--NSA職員のPCはすでにマルウェア感染していた - CNET Japan

カスペルスキーはいかにして米政府の機嫌を損ねたか - CNET Japan

ＮＳＡのハッキングコード、米パソコンから取得＝カスペルスキー | ロイター

カスペルスキー、信用回復に向けソースコードなど外部監査へ - ZDNet Japan

 
新種のランサムウェア「Bad Rabbit」の感染が拡大

【概要】
新種のランサムウェア「Bad Rabbit」の感染が拡大。感染経路は改ざんされた正規ウェブサイトから、偽のFlashアップデートなどをインストールすると感染する。

【参考情報】

感染が拡大中のランサムウェア「Bad Rabbit」の対策について：IPA 独立行政法人 情報処理推進機構

新たなランサムウエア「Bad Rabbit」について

Bad Rabbit：新たな大規模ランサムウェア攻撃の兆し – カスペルスキー公式ブログ

新しい暗号化型ランサムウェア「Bad Rabbit」、ネットワーク経由で拡散、ウクライナとロシアなどで確認される | トレンドマイクロ セキュリティブログ

ランサムウェア「Bad Rabbit」の内部構造を紐解く | MBSD Blog

ロシアとウクライナに潜む ランサムウェア「BadRabbit」

注目の脅威：Bad Rabbitを追いかけろ

「Bad Rabbit」ランサムウェアの感染拡大、ロシアなどで報告--「Petya」亜種か - CNET Japan

新種のランサムウェア「Bad Rabbit」--知っておくべき10のこと - ZDNet Japan

ランサムウェア「Bad Rabbit」配布目的で、国内企業サイトが改ざん被害 -INTERNET Watch

ニュース - アイカ工業がファイル改ざんの痕跡を確認、Bad Rabbit拡散の可能性強まる：ITpro

ランサムウェアBadRabbitに関する情報についてまとめてみた - piyolog

GMOインターネットの「サイトM＆A」から顧客情報1万4612件が流出

【概要】
GMOインターネットが運営する、サイトを売買する仲介サービス「サイトM&A」が不正アクセスを受け、登録されている顧客情報1万4612件が流出した

【参考情報】

サイトM&A（サイト売買仲介サービス）ご登録会員様情報流出のお詫びとお知らせ（2017年10月30日） - GMOインターネット株式会社

ニュース - GMOインターネットの「サイトM＆A」、顧客情報1万4612件が流出：ITpro

GMO、1万4612件の顧客情報が流出--サイト売買サービスに不正アクセス - CNET Japan

GMO、1万4612件の顧客情報が流出--サイト売買サービスに不正アクセス - ZDNet Japan

サイトM&Aの情報漏えいについてまとめてみた - piyolog

「Google Chrome 62」の最新安定版が公開

【概要】
GoogleのWebブラウザ「Google Chrome 62」の最新安定版が公開され、複数の脆弱性に対処されたものとなった

 
【参考情報】

ブラウザに『保護されていません』の表示が出ても慌てずに（Chrome新バージョンでのセキュリティ警告の条件が変更）

https://www.ipa.go.jp/security/anshin/mgdayori20171031.html

「Google Chrome 62」が正式版に ～HTTP接続のフォームはすべて“非セキュア”扱いへ - 窓の杜

「Google Chrome 62」に脆弱性、修正を施したv62.0.3202.75が公開 - 窓の杜

「Google Chrome 62」が安定版に、35件の脆弱性を修正 - ITmedia エンタープライズ

Google、「Chrome 62」の脆弱性を修正 DoS誘発の恐れ - ITmedia NEWS

『楽天カード』を騙るウイルス付きメールが増加

【概要】
『楽天カード』を騙るウイルス付きメールが増加しており、注意が必要。
日本サイバー犯罪対策センター（JC3）で、2017年10月にウイルス付きメールとして報告されたメールの件名は以下の通り。

口座振替日のご案内【楽天カード株式会社】(楽天カード)
【楽天カード】ご請求予定金額のご案内
【重要】カスタマセンターからのご案内【楽天カード株式会社】

【参考情報】

情報提供｜一般財団法人日本サイバー犯罪対策センター

注意情報｜一般財団法人日本サイバー犯罪対策センター

 セキュリティレポートのアレコレ

Webサイトの改ざんに伴う仮想通貨マイニングスクリプトの埋め込み事例 – wizSafe Security Signal -安心・安全への道標- IIJ

【発信元】
wizSafe Security Signal(IIJ)

暗号化しないランサムウェア「ShinigamiLocker」と、スクリーンロッカー／偽ランサムウェアの脅威 | MBSD Blog

【発信元】

三井物産セキュアディレクション株式会社

AWSの侵入テスト申請フォームが変更された件 - とある診断員の備忘録

【発信元】

とある診断員さん（https://twitter.com/tigerszk）

10月のpiyologまとめ

WPA2の脆弱性 KRACKsについてまとめてみた - piyolog

ランサムウェアBadRabbitに関する情報についてまとめてみた - piyolog

サイトM&Aの情報漏えいについてまとめてみた - piyolog

【発信元】

piyokangoさん（https://twitter.com/piyokango）

以上です。

ではでは( ˘ω˘)

ランサムウェア『Bad Rabbit』について超絶簡単にまとめてみた。 #BadRabbit

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

新しいランサムウェア『Bad Rabbit（バッドラビット）』について話題になっているため、現時点（2017/10/25 AM09:30時点ですが都度更新予定）で、僕が収集できた情報をまとめておきます。

※とりいそぎ、ですので悪しからずm(_ _)m

今回の感染ですが、

・Webサイトに悪意のあるjavascriptが埋め込まれてしまい、サイトにアクセスした利用者はドライブバイダウンロードで感染する

・悪意のあるjavascriptが埋め込まれたサイトでは偽のFlash Player用のアップデートをダウンロードするよう求めるポップアップが表示される

・上記のアップデートを『インストール』するとランサムウェアに感染してしまう

という流れで感染してしまうようです。

偽のFlash Player用のアップデートでインストールされる『install_flash_player.exe』情報

▼ファイル名

install_flash_player.exe

▼Hash値

・SHA-256

630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da

・MD5

fbbdc39af1139aebba4da004475e8839

・SHA-1

de5c8d858e6e41da715dca1c019df0bfb92d32c0

▼Virustotal結果

https://www.virustotal.com/#/file/630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da/details

▼install_flash_player.exeのインストール先のドメイン

1dnscontrol [.] com

※Virustotal結果→https://www.virustotal.com/#/domain/1dnscontrol.com

※URLは、hxxp://1dnscontrol[.]com/flash_install[.]php

『install_flash_player.exe』をインストールしたあとにコンピュータ上で作成されるファイル一覧

C:\Windows\infpub.dat

C:\Windows\cscc.dat

C:\Windows\dispci.exe

C:\Windows\System32\Tasks\drogon

C:\Windows\System32\Tasks\rhaegal

▼infpub.dat

Hash値：579fd8a0385482fb4c789561a30b09f25671e86422f40ef5cca2036b28f99648

※Virustotal結果

https://www.virustotal.com/#/file/579fd8a0385482fb4c789561a30b09f25671e86422f40ef5cca2036b28f99648/detection

※SMB経由で他のコンピュータに広がる機能も含む

▼cscc.dat

Hash値：0b2f863f4119dc88a22cc97c0a136c88a0127cb026751303b045f7322a8972f6

※Virustotal結果

https://www.virustotal.com/#/file/0b2f863f4119dc88a22cc97c0a136c88a0127cb026751303b045f7322a8972f6/detection

▼dispci.exe

Hash値：8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93

※Virustotal結果

https://www.virustotal.com/#/file/8ebc97e05c8e1073bda2efb6f4d00ad7e789260afa2c276f0c72740b838a0a93/detection

▼drogonやvise rionについて

これらは、

・ログイン時に他のプログラムを実行

・Windowsが起動する前にブートロック画面を表示

・コンピュータをシャットダウンして再起動

の機能を含んでいる

感染後の通信先

hxxp://caforssztxqzf2nm[.]onion

※Virustotal結果

https://www.virustotal.com/#/url/215c51377722653ecdc9f422c5c88525922524170f8ec1df9d81c828d043fce0/detection

暗号化される拡張子まとめ

.3ds .7z .accdb .ai .asm .asp .aspx .avhd .back .bak .bmp .brw .c .cab .cc .cer .cfg .conf .cpp .crt .cs .ctl .cxx .dbf .der .dib .disk .djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .hpp .hxx .iso .java .jfif .jpe .jpeg .jpg .js .kdbx .key .mail .mdb .msg .nrg .odc .odf .odg .odi .odm .odp .ods .odt .ora .ost .ova .ovf .p12 .p7b .p7c .pdf .pem .pfx .php .pmf .png .ppt .pptx .ps1 .pst .pvi .py .pyc .pyw .qcow .qcow2 .rar .rb .rtf .scm .sln .sql .tar .tib .tif .tiff .vb .vbox .vbs .vcb .vdi .vfd .vhd .vhdx .vmc .vmdk .vmsd .vmtm .vmx .vsdx .vsv .work .xls .xlsx .xml .xvd .zip

参考情報

www.bleepingcomputer.com

www.welivesecurity.com

d.hatena.ne.jp

Bad Rabbit ransomware - Securelist

Bad Rabbit ransomware: A new variant of Petya is spreading, warn researchers | ZDNet

https://gizmodo.com/bad-rabbit-ransomware-strikes-russia-and-ukraine-1819814538

ランサムウェア「BadRabbit」が猛威、交通機関やメディアに被害 - ITmedia エンタープライズ

Return of Not Petya as Bad Rabbit Diskcoder, yes those two are the same! – Mjolnir Security

データを暗号化して身代金を要求するマルウェア「Bad Rabbit」の感染被害が急拡大 - GIGAZINE

「Bad Rabbit」ランサムウェアの感染拡大、ロシアなどで報告--「Petya」亜種か - ZDNet Japan

https://otx.alienvault.com/pulse/59effcdc7b645929152518a9/

https://securingtomorrow.mcafee.com/mcafee-labs/badrabbit-ransomware-burrows-russia-ukraine/

新たなランサムウエア「Bad Rabbit」について

新しい暗号化型ランサムウェア「Bad Rabbit」、ネットワーク経由で拡散、ウクライナとロシアなどで確認される | トレンドマイクロ セキュリティブログ

ランサムウエア「Bad Rabbit」、ファイルや変数の名前に「ゲーム・オブ・スローンズ」のキャラクターを使用 -INTERNET Watch

ランサムウェア「Bad Rabbit」、日本の被害情報は“錯綜” - ZDNet Japan

新種ランサムウェア「Bad Rabbit」、国内でも感染か - JPCERT/CC | マイナビニュース

【セキュリティ ニュース】「Petya」類似の新種ランサム「Bad Rabbit」 - ニュースサイト経由で感染誘導（1ページ目 / 全1ページ）：Security NEXT

【セキュリティ ニュース】国内でも「Bad Rabbit」を観測 - 2月には誘導スクリプトが稼働か（1ページ目 / 全2ページ）：Security NEXT

【セキュリティ ニュース】ランサム「Bad Rabbit」拡散、国内サイトも踏み台に - 3.8％を日本で検出（1ページ目 / 全2ページ）：Security NEXT 

感染が拡大中のランサムウェア「Bad Rabbit」の対策について：IPA 独立行政法人 情報処理推進機構

以上です。何かの参考にしていただけたら幸いです。

＜更新履歴＞

2017/10/25 10:20 公開

2017/10/25 11:50 参考情報追記、暗号化される拡張子まとめの項目追加

2017/10/25 20:00 参考情報追記

仮想通貨をマイニングするコードが埋め込まれているChromeの拡張機能（エクステンション）を見つけた話。

どもどもにゃんたくです(｢・ω・)｢ｶﾞｵｰ

いきなりですが、最近こんな報道が増えていますよね。

news.mynavi.jp

japan.cnet.com

今回はそんな悪意のある（まぁ見方によっては、ですけど）Chromeの拡張機能（エクステンション）を見つけたって話をします。

まずは見つけたChromeの拡張機能（エクステンション）情報を載せておきます。

なにかの参考にしてみて下さい。

見つけたChromeの拡張機能（エクステンション）情報

①Google URL Shortener

hxxps://chrome.google.com/webstore/detail/google-url-shortener/bmnjjjinhhbgfapfngmpekkbhefjfblj

※直接Chrome ウェブストアにアクセス出来ないようにhttpsの箇所をhxxpsと改変しています

▼内容

現在公開されているVersion1.7に含まれる「bg.min.js」のコード内にマイニングコードが記載されている。
※Version1.6以前の「bg.min.js」にはマイニングコード無し

▼Version1.7に含まれる「bg.min.js」のVirustotal結果

Hash値（SHA-256）：f2be9a3a279d5d11ee3a50a084c4b4c9a5bddf2ec9a293c5a594c322eb09a056
File size：105.63 KB
検知率：16 / 57

https://www.virustotal.com/#/file/f2be9a3a279d5d11ee3a50a084c4b4c9a5bddf2ec9a293c5a594c322eb09a056/detection

▼Chrome Extensions Archive（Google URL Shortener）

Google URL Shortener - Chrome Extensions Archive

※Version1.7のZipをダウンロードしようとするとWindows defenderによってダウンロードできないことを確認（Windows8.1）

※Chrome Extensions Archiveとは、Chromeの拡張機能（エクステンション）のソースコードがアーカイブされているサイト

②クイックダウンロード

hxxps://chrome.google.com/webstore/detail/quick-downloads/hakhgnibnkpibkhlccbkhdgikiockaib?hl=ja

※直接Chrome ウェブストアにアクセス出来ないようにhttpsの箇所をhxxpsと改変しています 

▼内容

現在公開されているVersion1.14の「bg.min.js」にはマイニングするコードの記載無し
※Version1.11の「bg.min.js」にはマイニングコードあり

▼Version1.11に含まれる「bg.min.js」のVirustotal結果
Hash値（SHA-256）：a4fdd07528dad620c50d267c6ca5187b57f2bccd04aeb56d25e324a9f7887bd8
File size 105.16 KB
検知率：17 / 58

https://www.virustotal.com/#/file/a4fdd07528dad620c50d267c6ca5187b57f2bccd04aeb56d25e324a9f7887bd8/detection

▼Chrome Extensions Archive（Quick Downloads）

Quick Downloads - Chrome Extensions Archive

※Version1.11のZipをダウンロードしようとするとWindows defenderによってダウンロードできないことを確認（Windows8.1）

※Chrome Extensions Archiveとは、Chromeの拡張機能（エクステンション）のソースコードがアーカイブされているサイト

見つけた経緯とかその他もろもろ

冒頭に書いた最近Chromeの拡張機能（エクステンション）を装った悪性のエクステンションが増えてるのかー、そんなんあるのかーくらいしか思ってなかったんですよね。

そんなある日のこと、セキュリティ情報を収集していて、リンク集みたいのを作っていた時に、「あーリンク先のURLを短縮したいなぁ。そんなツールないかなぁ」とググってたんですよ。

そしたらGoogleが提供している短縮URLを作成するためのツール『Google URL Shortener』というのを見つけてラッキー！と思っていたんです。

この時ふと、検索結果一覧の上位に『Google URL Shortener』のChrome拡張機能がChrome ウェブストアで配信されていることを見つけたんです。（上記画像の上から4つ目）

…もしや(； ･`ω･´)

そしたらインストールページのユーザーコメント欄に明らかアカンよ的なコメントがあることを確認したんですよね↓

ちょうど2つ目のコメントにVirustotalのURLが貼ってあったので実際にアクセスしてみたところ、「bg.min.js」というjsファイルのレピュテーションが悪いという結果が書いてありました。

そこで実際にChrome Extensions Archiveという、Chromeの拡張機能（エクステンション）のソースコードがアーカイブされているサイトから、このGoogle URL Shortenerのページを探して、かつ「bg.min.js」というファイルの中身を見てみたんです。

ソースコードとかほとんど読めない（プログラミングもほぼできない）にゃんたくさん。

あまりにもコードの行が多くて読むの諦めていた時に、コードの下の方にどこかで見たことのある文字列を見つけました。

そう、「Coinhive」。

この記事で読んだなぁということをふと思い出したんですよね。

www.itmedia.co.jp

ちなみにCoinhiveとは、『サイトの運営者が、閲覧者に仮想通貨を採掘させ、その収益を受け取るサービスだ。専用のJavaScriptコードをサイトに埋め込むと、そのサイトを閲覧した人のPCのCPUパワーを使い、仮想通貨「Monero」を採掘。』

（参照:http://www.itmedia.co.jp/news/articles/1710/11/news084.html）

というわけで、実際に「Coinhive」をマイニングするためのコードを調べてみました。

どうやら以下のコードをサイトに埋め込む必要があるようです。

<script src="https://coin-hive.com/lib/coinhive.min.js"></script>
<script>
var miner = new CoinHive.User('<site-key>', 'john-doe');
miner.start();
</script>

※色の付いた箇所は改変出来る場所のようです

で、実際に「bg.min.js」のコード内を見てみると…

 ※ちょっと画像見にくくてすみません(； ･`ω･´)

はい、マイニングするためのコードが存在しましたね。

&なんだか「気味の悪い」プロキシのURLなんかも書いてありました。

この時点で怪しさMAXだと感じたので、この『Google URL Shortener』というChromeの拡張機能の作成者が他にもChromeの拡張機能を作成していないかを調べてみたところ、『Quick Downloads』という拡張機能も作成しており、『Google URL Shortener』の「bg.min.js」の中身を調べた方法と同じように『Quick Downloads』の「bg.min.js」の中身をの調べたら、ほぼ同じコードが記載されたVersionも見つけることができました。

さてさてさて、今回見つけたような仮想通貨をマイニングするようなモノは一体マルウェアと言えるのだろうか、という話ですが。。。。答えは正直グレーだと僕は思っています。

ただ、勝手に自分のCPUのリソースを使われるのは釈然としないですよね。

どちらかというと、不審なChrome拡張機能がChrome ウェブストア上でまだまだインストールできる可能性がある、ということの方を気にしなくてはいけないではと思います。

ただ、なかなかChrome ウェブストア上で不審な拡張機能を見つけるということ自体難しい気もします。

ですので、拡張機能を利用する際は、その機能をインストールしたユーザーのコメントを見てみたり、その拡張機能についてインターネット検索してみて、不審ではないか調べてみることをオススメします。

また、仕事などでChromeを使っている方は、会社等のポリシーなどでChromeの拡張機能について定められていると思いますので、確認してみて下さい。

今回もここまで読んでいただきありがとうございました。

何かの参考にしていただけら幸いです。

今回このブログを書くにあたり参考にしたページもまとめておきます。

参考情報

http://news.mynavi.jp/news/2017/10/17/066/

https://japan.cnet.com/article/35105920/

http://www.itmedia.co.jp/news/articles/1710/11/news084.html

https://japan.cnet.com/article/35108804/

http://tetsuyaimagawa.hatenablog.com/entry/2017/09/21/coinhive

http://nmi.jp/2017-10-10-About-coinhive

https://www.nasnem.xyz/entry/coinhive-mining-apologize

https://the01.jp/p0005920/

http://gigazine.net/news/20170920-pirate-bay-mining/

https://bitcoin-matome.info/altcoin/whats-monero/

https://bitflyer.jp/ja/bitcoinmining

ではでは～。

　 ∠ ＼
　　｜　＼
　 ∠ニニﾆ＞
　　( ･∀･)
　　/~~ハヽつ┓_ ／
　 /　ＯＯ|(･∀･) ―
　 `～ｕｕ′￣￣ ＼