2020年5月に起こったセキュリティニュースのアレコレをまとめてみた。

現状のCVE-2020-2883のPOCについては当該脆弱性を突くためのペイロードを脆弱性が存在するWebLogicサーバーに置くのだけど、そのためのExploitとしてCVE-2020-2555/2546/2551なりを使うと理解。その際、T3のプロトコルを使うので7001/TCPなりを使っている、んだね。https://t.co/yvUA5qGXyK
— hiro_ (@papa_anniekey) 2020年5月11日

構成管理ツールSaltに複数の脆弱性

【概要】
SaltStackが提供する構成管理ツールSaltに複数の脆弱性が存在し、第三者により外部から任意のコマンドを実行される可能性がある。

(下記2020/06/02AM追記)

本脆弱性についてCisco製品も影響を受け、本脆弱性を悪用され不正アクセスが実行された模様。

【CVE番号】
CVE-2020-11651
CVE-2020-11652

【対象】
Salt versions 2019.2.3 およびそれ以前
Salt versions 3000.1 およびそれ以前

(下記2020/06/02AM追記)

▼影響を受けるCisco製品

Cisco Modeling Labs Corporate Edition (CML)
Cisco Virtual Internet Routing Lab Personal Edition (VIRL-PE)

実際に影響を受けたサーバ

us-1.virl.info
us-2.virl.info
us-3.virl.info
us-4.virl.info
vsm-us-1.virl.info
vsm-us-2.virl.info

【対策】
アップデートする（下記本脆弱性修正済バージョン）
Salt versions 2019.2.4
Salt versions 3000.2

(下記2020/06/02AM追記)

▼Cisco製品については下記バージョンにアップデートする

Cisco Modeling Labs Corporate Edition (CML)

→Cisco CML Release 1.6.65 もしくは Release 2.0

Cisco Virtual Internet Routing Lab Personal Edition (VIRL-PE)

→Cisco VIRL-PE Release 2.0 もしくは Release 1.6.66

→1.5 もしくは1.6を使用する場合はソルトマスターサービスの仕様有無をチェックし、無効になっていることを確認する

【参考情報】

SaltStack Salt の複数の脆弱性 (CVE-2020-11651, CVE-2020-11652) に関する注意喚起
 構成管理ツール「SaltStack Salt」に複数の脆弱性（JPCERT/CC） | ScanNetSecurity
【セキュリティニュース】インフラ構成管理ツール「SaltStack」に深刻な脆弱性 - 悪用コード公開、早急に対処を（1ページ目 / 全2ページ）：Security NEXT

(下記2020/06/02AM追記)

Cisco製品に「SaltStack」関連の脆弱性、Ciscoのサーバに不正アクセス - ITmedia エンタープライズ
 SaltStack FrameWork Vulnerabilities Affecting Cisco Products

【参考Tweet】

CT2 Log Compromised via Salt Vulnerability https://t.co/dnxi7iskPd SaltStack: Salt masterをインターネットに公開しており、そのSalt masterに対してCVE-2020-11651, CVE-2020-11652の脆弱性でexploitされた模様
— かいと（kaito834） (@kaito834) 2020年5月6日

構成管理ツールSalt、国内で使っている話を聞いたことないけど事例あるでしょうか。昔試したときはansibleと違って定義がarrayではなくhashで同じものを２回定義できずツラミが多かった記憶。 / “SaltStack Salt の複数の脆弱性 (CVE-2020-11651, CVE-2020-11652) に関する…” https://t.co/ukNCkMEv00
— matsuu (@matsuu) 2020年5月9日

先日話題になったSaltStackの脆弱性に起因してシスコ社側設備の一部サーバが侵害されていたとのこと。
そして同様の脆弱性はユーザ側製品にも影響しているのでアップデートが出ています。

SaltStack FrameWork Vulnerabilities Affecting Cisco Productshttps://t.co/o4AeOdTDqn pic.twitter.com/mA8ZPHJ1G0
— Autumn Good (@autumn_good_35) 2020年5月29日

BIND9に複数の脆弱性

【概要】
ISC BIND 9に複数の脆弱性が存在し、外部からフルリゾルバをDNSリフレクション攻撃に利用されたり、パフォーマンスを低下させられる可能性があります。

【CVE番号】
CVE-2020-8616
CVE-2020-8617

【対象】
BIND 9.16系 9.16.0 から 9.16.2 まで
BIND 9.14系 9.14.0 から 9.14.11 まで
BIND 9.11系 9.11.0 から 9.11.18 まで
BIND Supported Preview Edition 9.9.3-S1 から 9.11.18-S1 まで
※既にサポートが終了している BIND 9.10系以前や 9.12系、9.13系、9.15系および開発版の 9.17系についても本脆弱性の影響を受けるとのこと

【対策】
アップデートする

【参考情報】
ISC BIND 9 の脆弱性 (CVE-2020-8616, CVE-2020-8617) に関する注意喚起
 DNS サーバ BIND の脆弱性対策について(CVE-2020-8616)(CVE-2020-8617) ：IPA 独立行政法人情報処理推進機構
 （緊急）BIND 9.xの脆弱性（DNSサービスの停止・異常な動作）について（CVE-2020-8617）
（緊急）BIND 9.xの脆弱性（パフォーマンスの低下・リフレクション攻撃の踏み台化）について（CVE-2020-8616）
BIND 9の複数の脆弱性情報(High: CVE-2020-8616, CVE-2020-8617)と新バージョン(9.11.19, 9.14.12, 9.16.3) - OSS脆弱性ブログ
 CVE-2020-8617のPoCについての解説 - knqyf263's blog

【参考Tweet】

CVE-2020-8617のPoCを書いたので忘れないうちに解説だけ先に書いておきましたhttps://t.co/ivWHPBgUU9
— イスラエルいくべぇ (@knqyf263) 2020年5月20日

Apache Tomcatに脆弱性

【概要】
Apache Tomcatに脆弱性が存在し、外部から任意のコードが実行される可能性がある。

【CVE番号】

【対象】
Apache Tomcat 10.0.0-M1 から 10.0.0-M4
Apache Tomcat 9.0.0.M1 から 9.0.34
Apache Tomcat 8.5.0 から 8.5.54
Apache Tomcat 7.0.0 から 7.0.103

【対策】
修正済みのバージョンを適用する
Apache Tomcat 10.0.0-M5
Apache Tomcat 9.0.35
Apache Tomcat 8.5.55
Apache Tomcat 7.0.104

【参考情報】
Apache Tomcat の脆弱性 (CVE-2020-9484) に関する注意喚起
 「Apache Tomcat」にコード実行の脆弱性、アップデート公開（JVN） | ScanNetSecurity
Apache Tomcatの脆弱性情報(High: CVE-2020-9484) - OSS脆弱性ブログ
 【PoCあり】Tomcat脆弱性CVE-2020-9484を対策しなければならない条件とは？脆弱性の原因も含め解説 – Self branding
【セキュリティニュース】「Apache Tomcat」にRCE脆弱性 - 5月公開の最新版で修正済み（1ページ目 / 全1ページ）：Security NEXT

【参考Tweet】

JPCERTから注意喚起が出たTomcatのRCE脆弱性、CVE-2020-9484についての解説を書きました。https://t.co/tWbjMSY2U9
— Kanatoko (@kinyuka) 2020年5月21日

不審なメールや偽サイトのアレコレ

不審なメール情報

2020年5月に出回った不審なメールの件名は以下のとおり

【件名一覧】
Amazonアカウントの異常な状態と解決手順について。
【緊急】楽天カードから緊急のご連絡
アカウントの異常な状態と解決手順について。
Apple IDについての重要なお知らせ
Amazonセキュリティ警告
Amazon異常は検出されました。
アカウント情報を更新、確認してください。
【重要】楽天株式会社から緊急のご連絡

【参考情報】
注意情報｜一般財団法人日本サイバー犯罪対策センター
 情報提供｜一般財団法人日本サイバー犯罪対策センター
 ばらまき型メールカレンダー - Google スライド
 外部公開用_ウイルス付メール(ばらまきメール)まとめ/External disclosure _ virus mail summary - Google スプレッドシート

不審な偽サイト（フィッシングサイト）情報

2020年5月にフィッシングサイト対策協議会で報告された情報は以下のとおり

※（）は報告日時
Amazon をかたるフィッシング (2020/05/29)
Amazon をかたるフィッシング (2020/05/26)

【参考情報】
フィッシング対策協議会 Council of Anti-Phishing Japan
フィッシング対策協議会 Council of Anti-Phishing Japan | ニュース | 緊急情報

注意喚起やニュースのアレコレ

三井住友銀行の顧資資産が紛失

【概要】
三井住友銀行の顧客情報の入ったHDD2個を保守委託していたOKIクロステックが紛失した。

【参考情報】
子会社における顧客資産（ハードディスク）の紛失について｜プレスリリース｜OKI
三井住友銀行の顧客情報、保守委託のOKI系が紛失 :日本経済新聞
 三井住友銀の顧客情報7万件、委託先が紛失初期化せず：朝日新聞デジタル
 三井住友銀行の保守委託企業がハードディスク紛失、葛西支店の顧客情報10年分 | ScanNetSecurity
三井住友銀の顧客情報、保守委託先のOKIが紛失最大7万件 - ITmedia NEWS

【参考Tweet】

他紙は暗号化と表記してるんだけど朝日は「データは英数字や記号に変換されており」。用語として変換と暗号化は使い分けられてるので語弊が。変換って普通Base64みたいな可逆変換のことを言うよね。
三井住友銀の顧客情報7万件、委託先が紛失　初期化せず：朝日新聞デジタル https://t.co/3MvqPuJ77y
— 上原哲太郎/Tetsu. Uehara (@tetsutalow) 2020年5月1日

暗号化されてたとのことだけど、こんな大事なものどうやって紛失するのだろうか。故意の可能性を疑ってしまう。

口座番号など、顧客情報７万件紛失　三井住友銀：時事ドットコム https://t.co/1UYzdm7WzF
— 米村歩@日本一残業の少ないIT企業社長 (@yonemura2006) 2020年5月1日

日本経済新聞社のグループ会社にサイバー攻撃があり情報流出

【概要】
日本経済新聞社のグループ会社にサイバー攻撃があり、日経の社員等の個人情報約1万件が流出した

【参考情報】
サイバー攻撃による社員等の個人情報流出について（PDF）
https://www.nikkei.co.jp/nikkeiinfo/news/release_20200512_01.pdf
日経にサイバー攻撃社員ら1万2514人分の個人情報流出 :日本経済新聞
 日経新聞にサイバー攻撃、社員情報など1万件以上流出メール経由で新型ウイルス侵入 - ITmedia NEWS
日経にサイバー攻撃、1万人超の情報流出新種ウイルス：朝日新聞デジタル
 日経新聞社員ら１万2000人余の情報流出サイバー攻撃か | NHKニュース
 マルウェア感染による日経新聞社員らの情報流出についてまとめてみた - piyolog

【参考Tweet】

リサーチャーさんもメディアさんも、こんな時は「どのようにやられたのかを公開の上、他での被害を最小限にできるようにするべき」という人がいるので、ここは日経さんに率先垂範いただければと。 / 日経にサイバー攻撃　社員ら1万2514人分の個人情報流出：日本経済新聞 https://t.co/sCa0KX6g7M
— wakatono(JK) (@wakatono) 2020年5月12日

マウスコンピューターの社員から顧客にフィッシングメールが送信

【概要】
マウスコンピューターの社員のアカウントがフィッシングサイトにアクセスし情報を入力してしまった事により、アカウントが不正アクセスされ乗っ取られ、顧客にフィッシングメールが送信されてしまった。

【参考情報】
【重要】標的型攻撃メールによる個人情報流出に関するお詫びとお知らせ｜BTOパソコン・PC通販ショップのマウス【公式】
マウスコンピューター、不正アクセス被害でフィッシングメール1220件送信偽サイトでメール情報盗まれ - ITmedia NEWS
【セキュリティニュース】アカウントが乗っ取り被害、フィッシング踏み台に - マウスコンピューター（1ページ目 / 全1ページ）：Security NEXT

【参考Tweet】

初報のページのまま内容が更新されていました。
1,220件のバラマキに使うのは標的型攻撃なのだろうか...

2020.05.15
【重要】標的型攻撃メールによる個人情報流出に関するお詫びとお知らせ（第2報） pic.twitter.com/cSYsYvAnhx
— Autumn Good (@autumn_good_35) 2020年5月15日

NTTコミュニケーションズに不正アクセス、621社の企業情報が流出した可能性

【概要】
NTTコミュニケーションズに不正アクセスがあり、621社の企業情報が流出した可能性がある。自衛隊に関する情報が漏洩した恐れがあると一部報道されているが調査中とのこと。

【参考情報】
ニュース 2020年5月29日:当社への不正アクセスに関する一部報道について | NTTコミュニケーションズ企業情報
 ニュース 2020年5月28日:当社への不正アクセスによる情報流出の可能性について | NTTコミュニケーションズ企業情報
 NTTコムに不正アクセス法人の工事情報が漏えいした疑い - ITmedia NEWS
NTT Comで「水平移動」型の不正アクセス、621社の情報流出の恐れ - ZDNet Japan
NTTコムにサイバー攻撃自衛隊の通信情報流出か :日本経済新聞
 防衛省の情報、流出の可能性 NTTコム不正アクセス：朝日新聞デジタル

【参考Tweet】

NTT Comで不正アクセス被害顧客621社にも影響🔥
①海外拠点やクラウド管理セグメント経由し社内NWまで侵害
②AD不正操作試行で発覚、社内サーバー群は調査中
③クラウドは新サービス移行中で撤去を控えていたサーバー等が利用https://t.co/h3ribFq4Kp pic.twitter.com/lrtY7O0yk4
— piyokango (@piyokango) 2020年5月28日

経団連関連法人が不正アクセス、個人情報流出の可能性

【概要】
日本経済団体連合会の関連法人の経団連事業サービスが不正アクセスされ個人情報が流出した可能性

【参考情報】
当法人ホームページへの不正アクセスによる情報漏洩可能性について（PDF）
https://www.keidanren-jigyoservice.or.jp/200528.pdf
経団連の関連団体、約500件の個人情報流出か Webサイトに不正アクセス - ITmedia NEWS
【セキュリティニュース】不正アクセスで個人情報流出か - 経団連事業サービス（1ページ目 / 全1ページ）：Security NEXT

【参考Tweet】

『・攻撃者がプログラムを改ざんし、セミナーや書籍などの申込者情報を攻撃者が指定したファイルに書き込む様に変更』

2020年5月28日
当法人ホームページへの不正アクセスによる情報漏洩可能性について（経団連事業サービス）
[PDF] https://t.co/6Le0ea4Yqt pic.twitter.com/St8hNAwbmS
— Autumn Good (@autumn_good_35) 2020年5月28日

偽サイトが大量に出現

【概要】
正規サイトをコピーした偽サイトが大量に確認された。偽サイトが作成された目的等は不明である。

【参考情報】
官邸も新聞社も…偽サイトが大量に出現誰が何のために：朝日新聞デジタル
 公的機関まねた偽サイト多数「ドメイン名確認を」国が注意喚起 | NHKニュース
 【注意喚起】自治体や政府、企業の正規サイトを複製した偽サイトを複数確認 | トレンドマイクロ is702

【参考Tweet】

【注意喚起】首相官邸や日本の省庁、自治体、企業などを模倣した海外ドメイン名の偽サイトにご注意ください。

・リンクからホームページに行く際は、URLを必ず確認
・URLに普段見慣れない末尾文字がある場合、検索等の別の方法で本物のサイトのURLを確認
・不審な場合には、アクセスをすぐに中断 pic.twitter.com/447OhA6Ihd
— 首相官邸(災害・危機管理情報) (@Kantei_Saigai) 2020年5月14日

【注意喚起】（1/3）
海外のドメイン名で、日本の公的機関や企業等を模倣した多数のWebサイトが存在するという情報があり、存在が確認されています。これらの模倣サイトは、本物のサイトとURL以外見分けがつかないものがあり、サイバー犯罪等に用いられる可能性があります。

（続く）
— 内閣サイバー(注意・警戒情報) (@nisc_forecast) 2020年5月13日

一連の偽サイトのドメインはfreenomで取得されているので、TLDは .gq .cf .tk .ga .ml のいずれか。サーバはCloudflareでホスティングされてる。 pic.twitter.com/TL5WrhrzXi
— Tamperer (@anemone_fish) 2020年5月13日

4月に投稿された海外の #偽サイト関連のツイート（実際海外でも同様の偽サイトが複数存在）
5.61.57[.]17にホストされているという話もあります。AdSenseから別ドメインへ広告掲載されていると連絡を受けて把握したそうです。https://t.co/zBZBOc511G
— piyokango (@piyokango) 2020年5月14日

サイバー防御演習「CYDER」の教材が期間限定で一般公開

【概要】
NICTが推進する実践的サイバー防御演習「CYDER」の教材が期間限定で一般公開されている。

【参考情報】
実践的サイバー防御演習「CYDER」の教材を期間限定で一般公開 | NICT-情報通信研究機構
 サイバー防御演習「CYDER」の教材を期間限定で無償提供 NICT：サイバー攻撃への理解を深められる - ＠IT

【参考Tweet】

【プレスリリース】 #NICT ナショナルサイバートレーニングセンターは、当センターが推進する実践的サイバー防御演習「 #CYDER 」の周知啓発の取組の一環として、期間限定で過去の演習教材の一部の一般公開を開始しました。https://t.co/m5DzWcqYEo pic.twitter.com/U3BGbmrm5H
— 情報通信研究機構 (@NICT_Publicity) 2020年5月12日

NICTの実践的サイバー防衛演習「CYDER」の教材の一部が期間限定で一般公開されています（要申込み）。自組織で演習を予定しておられる方の参考になるのではないかと。 / “実践的サイバー防御演習「CYDER」の教材を期間限定で一般公開 | NICT-情報通信研究機構” https://t.co/LHwTLo82dM
— 上原哲太郎/Tetsu. Uehara (@tetsutalow) 2020年5月12日

三菱電機へのサイバー攻撃の詳細が明らかに

【概要】
今年1月に発生した三菱電機に対しサイバー攻撃がおこなわれ、情報が漏えいした事件についての詳細が明らかになった。

【参考情報】
中国ハッカーに握られた社内PC 特命チーム暗闘の全貌：朝日新聞デジタル
 最新鋭ミサイルの性能情報漏洩か三菱電機サイバー攻撃：朝日新聞デジタル

【参考Tweet】

三菱電機不正アクセス事案🔥
社内CSIRTによる対処の様子を朝日が詳報

①Trend Microへ不審ファイル解析依頼も異常無しと報告
②社内CSIRTは①を受け独自調査実施決定
③ウイルスバスターCorp被害例を取り上げたLACレポートは別事案
④国内侵害起点のVPNの脆弱性も当時未修整https://t.co/6iJJpgdoyk
— piyokango (@piyokango) 2020年5月8日