20140429-30 セキュリティ情報まとめ

0-day連発ですね。

[続報] Internet Explorer 0-day exploit

• JVNVU#92280347: Internet Explorer に解放済みメモリ使用 (use-after-free) の脆弱性
• IE Zero Day and VGX.dll
• IEのゼロデイ問題、Windows XPの危険性を白日下に晒す | TechCrunch Japan
• 深刻な脆弱性が見つかったInternet Explorer（IE6～11）を巡り全国各地の社内がコントでカオス : 市況かぶ全力２階建

「IEに脆弱性が見つかったのでIEを使用してはいけない」から「ブラウザをIEではない違うものにすれば問題なくインターネットの閲覧ができる」という結論を導き出せる人は世の中にそう多くないんやな…（遠い目

— 伯爵北条久奈 (@Hisana_) 2014, 4月 30

「アメリカ政府が使っちゃダメって言った」っていうのがテレビで流れていたので情シスの皆さまは大変なことになってるんだろうなと思いました。

回避策

• [回避策まとめ] セキュリティ アドバイザリ 2963983 – Internet Explorer の脆弱性により、リモートでコードが実行される - 日本のセキュリティチーム - Site Home - TechNet Blogs
• Enhanced Mitigation Experience Toolkit

[続報] Apache Struts脆弱性

• ニュース - 警察庁、「Struts 2」の脆弱性を狙ったアクセスを検知：ITpro

脆弱性の影響でITパスポート試験が中止に

• プレス発表 システムメンテナンスに伴うITパスポート試験の中止について：IPA 独立行政法人 情報処理推進機構
• 技術者試験の一部中止に ウェブ構築ソフトに欠陥 ：日本経済新聞

[続報] AOLスパムメール送信

• AOL Security Update
• AOL breach confirmed, bigger than initially thought
• AOL Accounts Hacked: Email Addresses, Passwords, Home Addresses Swiped | HackRead – Latest Cyber Crime – Information Security – Hacking News
• 「AOL Mail」が不正利用の被害、乗っ取られたEメールアドレスがスパムメール送信に悪用される | トレンドマイクロ セキュリティ ブログ （ウイルス解析担当者による Trend Micro Security Blog）

Flash Player 0-day exploit

• Adobe Security Bulletin
• New Flash Player 0-day (CVE-2014-0515) used in watering-hole attacks - Securelist
• Flash Zero Day Used to Target Victims in Syria | Threatpost | The first stop for security news
• Adobe Flash Player の脆弱性 (APSB14-13) に関する注意喚起
• Adobe Flash Player の脆弱性対策について(APSB14-13)(CVE-2014-0515)：IPA 独立行政法人 情報処理推進機構
• Adobe、Flash Playerに存在するゼロデイ脆弱性へのセキュリティ情報を公開 | トレンドマイクロ セキュリティ ブログ （ウイルス解析担当者による Trend Micro Security Blog）
• 水飲み場攻撃に悪用されたFlash Playerのゼロデイ(CVE-2014-0515)をまとめてみた - piyolog

TCP reassembly vulnerability

• http://www.freebsd.org/security/advisories/FreeBSD-SA-14:08.tcp.asc

An attacker who can send a series of specifically crafted packets with a connection could cause a denial of service situation by causing the kernel to crash.

FreeBSDのみ？
DoS攻撃の他、（非常に困難ではあるけど）ログイン情報などを奪取される可能性がある。

中国の有名サイトでXSSバグ、DDoS攻撃に利用される可能性が

• One of World’s Largest Websites Hacked: Turns Visitors into “DDoS Zombies”
• XSS bug in popular Chinese site exploited to launch DDoS attack

ランサムウェア「LINKUP」、DNSをブロックしビットコイン採掘に利用

• Emsisoft | Ransomware “Linkup” Blocks DNS and Mines Bitcoins | Emsisoft Blog
• LINKUP - First Ransomware trojan that modifies DNS settings to mine Bitcoin forcefully

米ホワイトハウス、脆弱性の開示についての見解をブログで公開

• Heartbleed: Understanding When We Disclose Cyber Vulnerabilities | The White House

• White House explains why it might keep internet security flaws a secret | The Verge
• http://www.nytimes.com/2014/04/29/us/white-house-details-thinking-on-cybersecurity-gaps.html

Disclosing a vulnerability can mean that we forego an opportunity to collect crucial intelligence that could thwart a terrorist attack stop the theft of our nation’s intellectual property, or even discover more dangerous vulnerabilities that are being used by hackers or other adversaries to exploit our networks.

「ウイルスに感染しています」のようなポップアップを表示して商品を買わせようとする広告に注意

• 突然現れるパソコンの警告表示をすぐにクリックしないこと！−その表示は、有料ソフトウエアの広告かもしれません−(発表情報)_国民生活センター
• 「性能が低下しています」「スパイウェアを探知しました」「クラッシュ寸前です」「エラー 直ちに削除」警告表示広告に要注意・国民生活センターが注意喚起 - ガベージニュース(PN)

The FireEye Advanced Threat Report 2013

• The FireEye Advanced Threat Report 2013: UK & Ireland Edition | FireEye Blog
• The FireEye Advanced Threat Report 2013: European Edition | FireEye Blog
• UK and Ireland cyber attacks up 300% in 2013, says FireEye

MOBILE THREAT REPORT Q1 2014

• http://www.f-secure.com/static/doc/labs_global/Research/Mobile_Threat_Report_Q1_2014.pdf
• Android Targeted by 99% of New Mobile Malware - The State of Security
• 99 percent of Q1 mobile threats targeted Android

Cyber Europe 2014

• Biggest EU cyber security exercise taking place today

プライバシー

• Wearable technology privacy and security issues
• 徘徊者をGPSにつないだら | ワールド | 最新記事 | ニューズウィーク日本版 オフィシャルサイト

「母親としての本能が、『政府は市民を監視しているのでは』という政治的な懸念に勝った」と、バザードは語る。「私は娘を見つける手段が欲しい」

その他

• Fraudsters modify eBay listings with JavaScript redirects and proxies | Netcraft
• Spike in DDoS attack size driven by NTP misuse
• Skype leaves Sensitive User Data Unencrypted Locally On Computers
• 三井住友VISAカードのフィッシングサイト | 徳丸浩の日記
• ロシア、ブロガー登録制度でブログ規制へ | ScanNetSecurity (国際、海外情報のニュース)
• 脅威の根本解決に向けたトレンドマイクロの取り組み：法執行機関との協力事例 | トレンドマイクロ セキュリティ ブログ （ウイルス解析担当者による Trend Micro Security Blog）
• セキュリティ・キャンプ実施協議会

ミニキャンプ in つくば・・はやらないっすよねｗ