2020年4月に起こったセキュリティニュースのアレコレをまとめてみた。

TeamsにGIFファイルを送って他人のアカウントを乗っ取れる脆弱性があったとのこと。
前提としてサブドメインハイジャックが必要だが、それが可能な誤ったDNS登録があったようでMSが対処済みとのこと。

Microsoft Teams patched against image-based account takeoverhttps://t.co/S9oZLvKkXZ
— Autumn Good (@autumn_good_35) 2020年4月27日

OpenSSLに脆弱性

【概要】
OpenSSLに脆弱性が存在し、サービス運用妨害（DoS攻撃）を受ける可能性がある。

【CVE番号】
CVE-2020-1967

【対象】
OpenSSL 1.1.1d
OpenSSL 1.1.1e
OpenSSL 1.1.1f

【対策】
アップデートする
▼本脆弱性修正バージョン
OpenSSL 1.1.1g

【参考情報】
OpenSSL の脆弱性対策について(CVE-2020-1967) ：IPA 独立行政法人情報処理推進機構
 OpenSSL の脆弱性 (CVE-2020-1967) に関する注意喚起
 JVNVU#97087254: OpenSSL における NULL ポインタ参照の脆弱性
 【セキュリティニュース】OpenSSLにリモートよりDoS攻撃受けるおそれ（1ページ目 / 全1ページ）：Security NEXT
「OpenSSL 1.1.1g」公開、深刻度“High”の脆弱性を修正 - INTERNET Watch
「OpenSSL」にセグメンテーション違反の脆弱性～修正版のv1.1.1gがリリース - 窓の杜

【参考Tweet】

あと数時間後にOpenSSLで重大度高めの脆弱性が公表されますね... https://t.co/ayCGPGX6hj
— Autumn Good (@autumn_good_35) 2020年4月21日

iOSのメールアプリに脆弱性

【概要】
iPhoneやiPadなどで使用されているiOSのメールアプリに脆弱性が存在し、メールの中身が漏洩したり、端末が乗っ取られる可能性がある。

【CVE番号】
なし

【対象】
iOS 6～iOS 13.4.1
※iOS 6以前は不明

【対策】
現時点（2020年05月06日）ではゼロデイ。ただしapple側からは問題なしと報告されている。
13.4.5で修正が見込まれるとのことなので都度アップデートを推奨

【参考情報】
You’ve Got (0-click) Mail! - ZecOps Blog
iOSのメール機能に深刻な脆弱性。ゼロクリックでリモートコード実行可能～すでにゼロディ攻撃に使われた形跡あり - PC Watch
iOSのメールにゼロデイ脆弱性の指摘メールを受け取るだけで被害か（Appleからのコメントあり） - ITmedia NEWS
iOSにメールを受信しただけで悪用される脆弱性、日本企業を標的にした攻撃を確認 - ITmedia エンタープライズ
 iOSのゼロデイ脆弱性、「差し迫った危険はない」とApple - ITmedia NEWS
iPhoneの標準メールアプリに脆弱性、ラックが注意喚起 | マイナビニュース
 iPhoneのメールアプリの脆弱性を狙うゼロクリック攻撃についてまとめてみた - piyolog

【参考Tweet】

iOSのメールにゼロデイ脆弱性の件で、「0 click」だと言ってるのに「メールが来たら開かずに削除」とか寝言を言う記事に怒れるねこさん。利用停止か諦めるかの二択しかありません。利用停止は、[設定]>[パスワードとアカウント]で、純正メールが受信しているアカウントを選択し「メール」をオフです。 https://t.co/wDcClRgHPk
— Naomi Suzuki (@NaomiSuzuki_) 2020年4月25日

gitに脆弱性

【概要】
gitに脆弱性が存在し、gitの認証情報が任意のホストに送信されてしまう可能性がある。

【CVE番号】
CVE-2020-5260

【対象】
▼以下バージョンを含む、以前のバージョンにも影響あり
git 2.17.3
git 2.18.2
git 2.19.3
git 2.20.2
git 2.21.1
git 2.22.2
git 2.23.1
git 2.24.1
git 2.25.2
git 2.26.0

【対策】
アップデートする
▼本脆弱性修正バージョン
git 2.17.4
git 2.18.3
git 2.19.4
git 2.20.3
git 2.21.2
git 2.22.3
git 2.23.2
git 2.24.2
git 2.25.3
git 2.26.1

【参考情報】
malicious URLs may cause Git to present stored credentials to the wrong server · Advisory · git/git · GitHub
JVNDB-2020-003553 - JVN iPedia - 脆弱性対策情報データベース
 Gitに認証データ窃取の脆弱性、アップデートを | マイナビニュース
 【セキュリティニュース】Gitに深刻な脆弱性、認証情報など取得されるおそれ（1ページ目 / 全1ページ）：Security NEXT
Gitの認証情報を奪い取れるGit 2.26.0以下にある脆弱性について · GitHub
Gitの脆弱性( CVE-2020-5260 )を調べたメモ｜株式会社レピダム
 Gitに危険な脆弱性が見つかった - orangeitems’s diary

【参考Tweet】

“Gitの認証情報を奪い取れるGit 2.26.0以下にある脆弱性について · GitHub” https://t.co/Kw0KP7WwqU
— 徳丸浩 (@ockeghem) 2020年4月19日

不審なメールや偽サイトのアレコレ

不審なメール情報

2020年4月に出回った不審なメールの件名は以下のとおり

【件名一覧】
アカウントがユーザー利用規約に違反しています。
Apple IDについての重要なお知らせ
【重要】楽天カードについての重要なお知らせ
【緊急】楽天カードから緊急のご連絡
アカウント情報を更新、確認してください。
Amazonアカウントの異常な状態と解決手順について。
アカウントの異常な状態と解決手順について。
【参考情報】
注意情報｜一般財団法人日本サイバー犯罪対策センター
 情報提供｜一般財団法人日本サイバー犯罪対策センター
 ばらまき型メールカレンダー - Google スライド
 外部公開用_ウイルス付メール(ばらまきメール)まとめ/External disclosure _ virus mail summary - Google スプレッドシート

不審な偽サイト（フィッシングサイト）情報

2020年4月にフィッシングサイト対策協議会で報告された情報は以下のとおり
※（）は報告日時

NTT ドコモをかたるフィッシング (2020/04/30)
千葉銀行をかたるフィッシング (2020/04/27)
au をかたるフィッシング (2020/04/22)
ヨドバシカメラをかたるフィッシング (2020/04/21)
住信 SBI ネット銀行をかたるフィッシング (2020/04/21)
Amazon をかたるフィッシング (2020/04/14)
MyJCB をかたるフィッシング (2020/04/10)
LINE をかたるフィッシング (2020/04/08)
アメリカン･エキスプレス･カードをかたるフィッシング (2020/04/07)

【参考情報】
フィッシング対策協議会 Council of Anti-Phishing Japan
フィッシング対策協議会 Council of Anti-Phishing Japan | ニュース | 緊急情報

注意喚起やニュースのアレコレ

Zoom爆撃（Zoombombing）が多発

【概要】
Web会議ツールのZoomを悪用したZoom爆撃（Zoombombing）と呼ばれる迷惑行為が多発しており注意が必要。

【参考情報】
「めっちゃ画面赤くね？」突然のZoom爆撃、会議無残：朝日新聞デジタル
 突然、性的画像が画面に…Zoom爆撃、香川大でも被害 [新型コロナウイルス]：朝日新聞デジタル
 Zoom爆撃と予防策についてまとめてみた - piyolog
Zoom爆撃を回避してWeb会議を始める7つのステップ | マイナビニュース

【参考Tweet】

香川大のZoombombing，NHKの記事にも「アカウントを削除するとともに、新たなアカウントを作成」と書いてあるぞ？それに「システムに問題があったことを認め、謝罪」ではZoomのシステムから情報が漏れたような印象に。実際は学生が漏らしたんだろう
— Haruhiko Okumura (@h_okumura) 2020年4月30日

昨日の講義でもいきなり２名の「Zoomあらし」入ってきた．パスワードが漏れたのかな？　わりとすぐにミュート＆強制退出できたので，むしろちょっとした眠気覚ましになったと思う．

「めっちゃ画面赤くね？」突然のZoom爆撃、会議無残：朝日新聞デジタル https://t.co/m4RKzRdY7n
— はかせ Mk-II (@hshimodaira) 2020年4月9日

Zoomのアカウント情報がダークウェブ上で販売

【概要】
Zoomのアカウント情報約50万件がダークウェブ上で販売されているとセキュリティ企業が報告。ただし販売されている約50万件のアカウント情報は別のサービスから漏えいしたIDとパスワードを使って他のウェブサービスへのログインを自動的に試みる攻撃手法「クレデンシャルスタッフィング」によって取得されたものであり、『Zoomから漏れたもの』ではない。

【参考情報】
50万人分以上の「Zoom」アカウントが闇市場で売買されたと判明、価格は1アカウント1円未満で無料配布されるケースも - GIGAZINE
50万超えるZoomアカウント、ダークWebで販売 - 漏洩の確認を | マイナビニュース
 50万人分の「Zoom」アカウントがダークウェブとハッカーコミュニティで販売 - iPhone Mania
【参考Tweet】

たしかに『売買されているZoomアカウントのIDとパスワードは、別のサービスから漏えいしたIDとパスワードを使って他のウェブサービスへのログインを自動的に試みる攻撃手法「クレデンシャルスタッフィング」によって取得されたもの』なので、Zoom「から」漏れたわけではないですね。 https://t.co/HVCidxow0X
— にゃん☆たく (@taku888infinity) 2020年4月14日

怪しいZoomに注意

【概要】
Web会議ツールのZoomではない同名の別ツールをインストールしてしまうケースがあり注意が必要。

【参考情報】
安心相談窓口だより：IPA 独立行政法人情報処理推進機構
 “怪しいZoom”に注意使うとサポート料金を請求 IPAが注意喚起 - ITmedia NEWS
偽物ではなかった？ “怪しいZoom”の意外な正体 (1/2) - ITmedia NEWS
Zoomと同名、偽ソフトか広告を表示され料金請求：朝日新聞デジタル
 正規ではないZoomをダウンロードしてしまう件について調べてみた。 - にゃんたくのひとりごと
 これはZoomだけどZoomじゃない！（意味不明） - wakatonoの戯れメモ
 「Zoom」のその後 - wakatonoの戯れメモ

【参考Tweet】

ああこりゃひどいわ、Bingで「ダウンロード Zoom」って入れると一番上にuptodownが出てくる……
「Zoom ダウンロード」でも、1番目は英語説明だから2番目のuptodownクリックする人がいるんだろうな…… pic.twitter.com/vQA1Y71tv9
— おーじぇい (@920OJ) 2020年4月23日

偽Zoomをサンドボックス環境下で実行してみた。
3枚目から分かるように、アンインストーラにてアンインストールすることで、駆除が可能。
4枚目は、インストールファイル内のHTMLファイル。
内容的に、昔に作られた感じ？
それが、Zoomブームで再燃って感じかな？#Zoom pic.twitter.com/ymtCBZt1Om
— 1983_tama_get (@1983Get) 2020年4月24日

4月から継続的に『偽のZoomをダウンロードしてしまった事で、パソコン上でポップアップ画面が消えない』という相談や報告がされている感じがします。
Zoomをダウンロードする際は公式サイトからダウンロードするようにしてください。

ってこういう偽Zoomってどこからダウンロードするんだろう。。。 https://t.co/C68Kro2QmI pic.twitter.com/89aOb1OsPs
— にゃん☆たく (@taku888infinity) 2020年4月23日

「ニンテンドーアカウント」に不正ログインされる事案が発生

【概要】
任天堂公式のオンラインストア等で利用する「ニンテンドーアカウント」に対して不正ログインが発生しており注意が必要。
なお、「ニンテンドーネットワークID（NNID）」では約16万アカウントが不正ログインされた可能性があるとして任天堂が注意喚起を行った。

【参考情報】
「ニンテンドーネットワークID」に対する不正ログイン発生のご報告と「ニンテンドーアカウント」を安全にご利用いただくためのお願い｜サポート情報｜Nintendo
不正ログインを防ぐために｜ニンテンドーアカウントサポート｜Nintendo
Nintendo Switchに必須の「ニンテンドーアカウント」で不正ログイン被害が続発、任天堂は二段階認証を有効にすることを公式に推奨 - GIGAZINE
任天堂が約16万件の「ニンテンドーネットワークID」が不正ログイン被害にあったと発表、Wii U/ニンテンドー 3DS時代からオンラインサービスを利用しているユーザーは注意 - GIGAZINE
任天堂、個人情報16万件が流出不正ログインで購入も：朝日新聞デジタル
 ニンテンドーネットワークID最大16万件に不正ログインの恐れ二段階認証の設定を呼び掛け - ITmedia NEWS
ニンテンドーアカウントを狙った不正ログインについてまとめてみた - piyolog

【参考Tweet】

要約:
①他のサイトからIDとパスワードを使い回してNNIDとパスを登録してた人、不正ログインの被害が16万人。使い回しやめてね
②NNIDとマイニンテンドーアカウントのパスワードは別のものにしてね
③念のため2段階認証の設定よろしくね
④クレカ情報の流出は無いよ
パスワードの使い回し、ダメ絶対！
— てげ (@hyou_ge) 2020年4月24日

まるで任天堂が個人情報16万件を流出した、みたいな書き方をしてるけど

・任天堂が流出した訳では無い
・流出したのは外部サービスであり任天堂とは関係ない
・16万件のアカウントが被害を受けた "可能性" がある
・不正ログインを受けたのは一部

流石に書き方に悪意を感じた https://t.co/JF0uPPoezt
— ゆきねこ🐱 (@hideki_0403) 2020年4月24日

「Classi」に不正アクセス

【概要】
オンライン学習サービスの「Classi」に不正アクセスがあり約122万人分のIDや暗号化されたパスワードが閲覧された可能性がある。

【参考情報】
【4月16日10時更新】サービス一時停止の調査報告とパスワード変更のお願い | Classi（クラッシー） - 新しい学びが広がる未来の教育プラットフォームを創る
 教育機関向けSaaS「Classi」に不正アクセス約122万人のユーザーIDなど流出の恐れ - ITmedia NEWS
【セキュリティニュース】教育クラウドサービス「Classi」に不正アクセス - 全利用者のIDなど流出（1ページ目 / 全1ページ）：Security NEXT
教育プラットフォーム「Classi」で不正アクセス、122万人のユーザーIDなどが閲覧された可能性 - INTERNET Watch
国内高校の半数が利用するClassiの不正アクセスについてまとめてみた - piyolog

【参考Tweet】

【不正アクセス】「Classi」、高校生ら約122万人のIDが流出https://t.co/vaHpOXZZvL

クラッシーは13日、学校教育支援アプリのシステムがサイバー攻撃を受け、約122万人分のIDなどが流出したと発表した。
— ライブドアニュース (@livedoornews) 2020年4月13日

高校生ら約122万人分のIDや、暗号化されたパスワードの文字列などが閲覧された疑い。ベネッセHDとソフトバンクが共同出資する教育機関向けサービス「Classi（クラッシー）」が外部から不正アクセスを受けました。https://t.co/0LgzlBIF5k
— 日本経済新聞電子版 (@nikkei) 2020年4月13日

特別定額給付金を狙う詐欺メールやSMSに注意

【概要】
政府が全国民に10万円を支給する特別定額給付金を狙った詐欺メールやSMSが出回っているため注意が必要。
※携帯会社を騙ってくる場合が多いため、各通信事業者では注意喚起が公開されている

【参考情報】
10万円一律給付手続き装う不審メールに注意コロナウイルス | NHKニュース
 「給付金10万円」詐欺電話やメール相次ぐ警視庁が注意喚起 - 毎日新聞
 携帯キャリア各社、新型コロナ関連の不審なメール・SMSに注意呼びかけ - iPhone Mania
10万円給付で携帯電話会社を名乗る詐欺メールコロナ禍、手口を変え｜【西日本新聞ニュース】
10万円給付金に関する詐欺メールに注意タイトルは「お客様の所在確認」警視庁などが注意喚起 - ITmedia NEWS
携帯会社を装う詐欺メールに注意！対策や『10万円給付』など偽メールの事例を紹介｜TIME＆SPACE by KDDI

【参考Tweet】

【注意喚起】
特別定額給付金の申請手続きを代行するという団体から電話が来ていませんか？
「早くもらえる」からと言われてもちょっと待って！詳細はこちらhttps://t.co/H5k7PGoL7H pic.twitter.com/4yiyO5I62b
— 国民生活センター (@kokusen_ncac) 2020年4月24日

「給付金１０万配布につき、お客様の所在確認」という見出しのメールが出回っています。
これはサギのメールです❗️給付金に関して自治体や総務省が銀行口座や個人情報などをメールでお問合せすることはありません。メール添付のＵＲＬにアクセスしないでください。
実際のサギメール画像がこれだ‼️⬇️ pic.twitter.com/ZNT0F0MwaF
— 警視庁犯罪抑止対策本部 (@MPD_yokushi) 2020年4月21日

セキュリティレポートのアレコレ

IPA（独立行政法人 情報処理推進機構）

セキュリティ製品の有効性検証の試行について：IPA 独立行政法人情報処理推進機構
 情報セキュリティ安心相談窓口の相談状況［2020年第1四半期（1月～3月）］：IPA 独立行政法人情報処理推進機構
 ゴールデンウィークにおける情報セキュリティに関する注意喚起：IPA 独立行政法人情報処理推進機構
 テレワークを行う際のセキュリティ上の注意事項：IPA 独立行政法人情報処理推進機構
 安心相談窓口だより：IPA 独立行政法人情報処理推進機構

サイバー情報共有イニシアティブ（J-CSIP）運用状況[2020年1月～3月]（PDF）
https://www.ipa.go.jp/files/000081877.pdf

JPCERT コーディネーションセンター

IEの脆弱性 (CVE-2020-0674) とFirefoxの脆弱性 (CVE-2019-17026) を悪用する攻撃 - JPCERT/CC Eyes | JPCERTコーディネーションセンター公式ブログ
 長期休暇に備えて 2020/04(情報更新)
Pulse Connect Secure の脆弱性への対策や侵害有無などの確認を
 OpenSSL の脆弱性 (CVE-2020-1967) に関する注意喚起

JPCERT/CC 活動概要 [2020年1月1日～2020年3月31日]（PDF）
https://www.jpcert.or.jp/pr/2020/PR_20200414.pdf
JPCERT/CC インシデント報告対応レポート [2020年1月1日～2020年3月31日]（PDF）
https://www.jpcert.or.jp/pr/2020/IR_Report20200414.pdf

NISC（内閣サイバーセキュリティセンター）

テレワークを実施する際にセキュリティ上留意すべき点について（PDF）
https://www.nisc.go.jp/active/general/pdf/telework20200414.pdf

↓Ver 4.10公開
https://www.nisc.go.jp/security-site/handbook/index.html

↓Ver 1.10公開
https://www.nisc.go.jp/security-site/blue_handbook/index.html

Trend Micro

今回もココまで読んでいただきありがとうございました。

ではでは！

　 (ﾟдﾟ) ｹﾞｯﾎ･･･
＿(_つ/￣￣￣/＿
　＼/＿＿＿/

　(ﾟдﾟ)　ｶﾞﾀｯ
　/　　ヾ
＿L|＿/￣￣￣/＿
　＼/＿＿＿/

＜更新履歴＞

2020/05/07 AM 公開

にゃん☆たくのひとりごと

ひとりごとです。感じたことだけをただ気ままに書きます。

2020年4月に起こったセキュリティニュースのアレコレをまとめてみた。

脆弱性のアレコレ

Zoomに複数の脆弱性

Microsoft Teamsに脆弱性

OpenSSLに脆弱性

iOSのメールアプリに脆弱性

gitに脆弱性

不審なメールや偽サイトのアレコレ

不審なメール情報

不審な偽サイト（フィッシングサイト）情報

注意喚起やニュースのアレコレ

Zoom爆撃（Zoombombing）が多発

Zoomのアカウント情報がダークウェブ上で販売

怪しいZoomに注意

「ニンテンドーアカウント」に不正ログインされる事案が発生

「Classi」に不正アクセス

特別定額給付金を狙う詐欺メールやSMSに注意

セキュリティレポートのアレコレ

IPA（独立行政法人 情報処理推進機構）

JPCERT コーディネーションセンター

NISC（内閣サイバーセキュリティセンター）

Trend Micro

McAfee

Kaspersky

LAC

IIJ

piyolog

みっきー申す

トリコロールな猫/セキュリティ

午前７時のしなもんぶろぐ