20140419-20 セキュリティ情報まとめ

Heartbleed関連

• F5ネットワークス、OpenSSLの脆弱性「ハートブリード」のガイダンスを発表 | マイナビニュース
• OpenBSD has started a massive strip-down and cleanup of OpenSSL
• バンドルされたOpenSSLライブラリ、モバイルアプリおよびAndroid4.1.1に脆弱性「Heartbleed」の影響を与えることを確認 | トレンドマイクロ セキュリティ ブログ （ウイルス解析担当者による Trend Micro Security Blog）
• Chrome users oblivious to Heartbleed revocation tsunami | Netcraft
• More than 20,000 major sites remain vulnerable to Heartbleed | VentureBeat | Security | by Jordan Novet
• Healthcare.gov users told to change passwords following Heartbleed flaw | World news | theguardian.com
• 小龍茶館 : AppleのデバイスはなぜHeartbleedの被害を免れたのか？
• TidBITS 日本語版 #1219/14-Apr-2014

三菱UFJニコス不正アクセス

• 三菱UFJニコスがOpenSSLの脆弱性を突かれて不正アクセスを受けた件をまとめてみた - piyolog
• OpenSSLの脆弱性攻撃で国内に被害 三菱UFJニコスで情報の不正閲覧 - ITmedia エンタープライズ

Hijack VPN session

• Hacker exploits Heartbleed bug to Hijack VPN Sessions
• Attackers Exploit the Heartbleed OpenSSL Vulnerability to Circumvent Multi-factor Authentication on VPNs | M-unition

AppleID＆パスワードを盗み取るウイルス「Unflod.dylib」

• iOS Malware Campaign "Unflod Baby Panda" | SektionEins GmbH
• 【脱獄犯は注意】AppleID＆パスワードを盗み取るウイルス「Unflod.dylib」が見つかる [iOS]
• 【注意】脱獄したiPhoneやiPadからApple IDとPassを中国に送信するマルウェアが発見される | Will feel Tips
• Reddit users discover iOS malware threat • The Register
• Warning: Malware Campaign targeting Jailbroken Apple iOS Devices

国立感染症研究所フィッシング被害

• 国立感染症研究所のメールアカウントの不正利用と迷惑メール送出について
• 国立感染症研究所が被害を受けたActive!mailのフィッシングについてまとめてみた - piyolog

Feedly JavaScript Code Injection Vulnerability

• Break To Protect: Feedly Android Application Zero-day Vulnerability - JavaScript Code Injection

I suspect the vulnerable codes are of the backend servers and not the android app itself. As such, bothvulnerable version and fixed version fields are not applicable.

• Feedly Android App Javascript Injection vulnerability exposes Millions of Users to Hackers

不正アクセス・情報漏洩事件

• NEXCO中日本、顧客メアド流出 プレゼント当選者を「宛先」に列挙 - ITmedia ニュース
• Michaels confirms security breach affecting 2.6 Million cards - E Hacker News
• Official website of Bangalore City Police hacked by Pakistani hacker | HackRead – Latest Cyber Crime – Information Security – Hacking News
• Bihar BJP website hacked and defaced by Pakistani Hackers - E Hacker News

a hacker named Muhammad Bilal from Pak Cyber Experts group breached the official Bihar Bjp website(www.biharbjp.org) and defaced the home page. The defacement contains a picture of person standing on Narendra Modi's photo and posted some comments. The hacker also called India as Stupid.

単発記事

Official Android Blog: Expanding Google’s security services for Android

Building on Verify apps, which already protects people when they’re installing apps outside of Google Play at the time of installation, we’re rolling out a new enhancement which will now continually check devices to make sure that all apps are behaving in a safe manner, even after installation.

Androidアプリの脆弱性の学習・点検ツール AnCoLe：IPA 独立行政法人 情報処理推進機構

Androidアプリの脆弱性の学習・点検ツール「AnCoLe(アンコール)」（以降、本ツール）は、Androidアプリの開発者を対象とした、脆弱性が作り込まれてしまう原因や対策について実習形式で学べるツールです。

あとで読むかも

• 覚えやすいけど強固なパスワード文字列を考えるコツ - tarのブログるっ by @tarVolcano
• How to Create a Super Strong Password (Infographic) | Entrepreneur.com
• マルウェアの視点で見るサンドボックス：合法マルウェアで実感「リアルとサンドボックスの違い」 (1/3) - ＠IT
• Understanding risk is a top security concern
• Phishing pages trick Steam users to Upload SSFN file - E Hacker News
• Google Chromebook passwords could soon just be the wave of an Android
• The Next Strategic Advantage: True Privacy Protections | Inc.com
• Hacking predictions gone wild from the ‘internet of things’
• 緊急警告！ ネットバンキング被害急増とその対策 : サイバー護身術 : セキュリティー : ＩＴ＆メディア : 読売新聞（YOMIURI ONLINE）
• Federal watchdog says SEC security issues put financial data at risk - SC Magazine
• Don’t share your location with your friends on WhatsApp | Naked Security
• Passwords are Obsolete — Cyber Security — Medium
• Dutch Court Accepts to Extradite Russian Hacker involved in Biggest US Hacking Case
• Cyber Security Breach: Phishing Site Steals Apple IDs
• DSploit Android Toolkit for Security Testing | SecTechno