最近のサイバー攻撃

サイバー攻撃が猛威を振るっていますが、金融資産を狙ったバイナンス、毎日のように報道される個人情報漏洩、GMO事案はそれぞれ目的も、攻撃手法も異なります。

バイナンスは金融資産を窃取するためにイーサリウムの仕組みを熟知しその送金サーバをのっとるという明確な目的があって、そのサーバ管理者を標的にしたものです。ターゲットになる人物を特定するために、偽装したツールインストーラをインストールさせ、バックドア的なものを仕込んで中を探索した形跡があるようです。その後LinkedInのようなSNSで、その人物に狙いを定め、人材スカウト会社を装った人たちが接触。簡単な実力判定テストをやらせ、結果が出ましたといってマルウェア入りPDFを送付し、開かせて感染させる　ということのようです。

大量の個人情報漏洩の多くは、俗にinfo stealerと言われるブラウザ等のクッキー情報をごっそり抜き取ってゆくマルウェアだと思います。20年くらい前から出回っているものですが、年々高度化し、セキュリティツール等の検知を回避し、多要素認証していてもその認証後のセッション情報を窃取するためMFAも回避でき、一度感染すると常駐し、IDやPWを入力する場合の情報を裏で抜き取る　という仕組み。

闇サイトでこういうツールと操作マニュアルなども売られているのですが、ボット感染したルータやIPカメラ等の機器も売られているそうで、そういう機器をメルカリなんかで安く販売しているかもしれない。

米国政府は今年になって、TP-Linkはじめとするルータなどの使用ならびに輸入自体を禁止するという措置も出しています。

電子機器を開発した人なら知っていると思いますが、市場に売る電子機器には隠しコマンドのようなものがあり、主として出荷前の検査等に使用し、出荷前には無効化して出します。また半導体チップも同様で、私もゲートアレイ設計の時に特殊なデータを特殊なアドレスにアクセスするとバイパスして中にアクセスできるような細工をしたことがある。（もちろん大昔の話で攻撃目的ではなく、故障解析のためです）

もし、こういう開発者しかしらない情報を、あとで当局などの機関が攻撃の踏み台に使用する目的で、意図的に放置して出荷していたらどうなるか。

国ぐるみでこういうことをやっている　そういう時代を私たちは生きている　という認識を持たないといけないのでしょう。

侵入技術入門

今年出版された書籍ですが、結構新しい技術、情報に基づいて書かれていてかなりよいと思います。Kali Linuxがあれば全部動きますが、バージョンが2020だったため、あちこちエラーになるので、Kali 2025に丸ごと入れ替えたらすんなり動きました。

なお、書籍はbash 前提で書かれてますがKaliのデフォルトシェルはzshだというところと、dirsearchインストールが若干てこずった程度でした。

Mythos Preview

今年Anthropicを中心に多くの参加企業の協力のもと行われ発表されたMythos Preview というレポートの内容が衝撃的だったため、レポート自体が非公開になり、代わりにProject Glasswing というものが結成されました。MS、Cisco、Googleなど多くのテック企業からなる有志連合で、1億ドル分のClaude利用クレジットも提供されるという。

　Mythosの詳細は公開されていないものの、解説記事などによるとOpenBSD、FreeBSD等Linux系の脆弱性が多数報告されているようです。これらは20年近く前から存在していたバグを悪用したものも多いようで、全部のケースではないが、悪用できるPoCも自動生成しているらしい。

　Linux系がなぜ多いのかですが、自分の推測では市場に出回っているインストール数の多さがまず挙げられると思います。全世界で稼働している業務サーバの70%はLinuxで動いており、米国市場だけで見てもほぼ同じです。また、Windows Serverと異なりお金がかからないFreeBSDやCentOSのようなものが広く出回ったことも関係があるでしょう。

　FreeBSDは少し前まではPlayStationの中の定番でしたし、安いWiFiルータ、VPN装置にもかなり使われてきました。近年VPNがやられているのはVPN-SSLの根深い問題だけでなく、OS自体の脆弱性に原因があります。
　個人情報が大量に漏洩しているのは、物販サイトのインフラで使用されているフレームワーク自体の脆弱性も関係があるでしょう。

　生成AIがビジネスの中で当たり前に使われるようになってきましたが、ローカルLLMの使用においては注意も必要だと言われています。Agentic Codingや自動ペネトレのツールで、無料のローカルLLMを利用できますが、どれを選択するかの際には世の中で危険と言われているのもはあえて選択しないのが賢明と思います。