2024年5月31日、暗号資産交換業者のDMM Bitcoinは同社の暗号資産を管理するウォレットからビットコインが不正に流出する事態が発生したと公表しました。その後、警察庁などは当該事案に北朝鮮背景のサイバー攻撃グループが関与したとして注意喚起などを発出しています。ここでは関連する情報をまとめます。 １．482億円相当のビットコイン不正流出 DMM Bitcoinでビットコインの不正流出が発生したのは2024年5月31日13時26分頃。同社より流出したビットコインは4,502.9BTCで、これは当時の日本円レートで約482億円に相当、2018年のCoincheckに続く流出規模となった。 同社は顧客の預かりビットコイン全量について、DMMグループより支援を受ける形で調達を進め全量保証を行うと説明。調達金額は総額550億円（内訳は借入50億円、増資480億円、劣後特約付借入20億円）で20

2. 徳丸浩の自己紹介 • 経歴 – 1985年 京セラ株式会社入社 – 1995年 京セラコミュニケーションシステム株式会社(KCCS)に出向・転籍 – 2008年 KCCS退職、HASHコンサルティング株式会社設立 • 経験したこと – 京セラ入社当時はCAD、計算幾何学、数値シミュレーションなどを担当 – その後、企業向けパッケージソフトの企画・開発・事業化を担当 – 1999年から、携帯電話向けインフラ、プラットフォームの企画・開発を担当 Webアプリケーションのセキュリティ問題に直面、研究、社内展開、寄稿などを開始 – 2004年にKCCS社内ベンチャーとしてWebアプリケーションセキュリティ事業を立ち上げ • 現在 – HASHコンサルティング株式会社 代表 http://www.hash-c.co.jp/ – 独立行政法人情報処理推進機構 非常勤研究員 http://www.

疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog

外部から簡単にHTTP_PROXYという環境変数がセットでき、サーバ間通信や外部サイトと連携している場合に影響があるかもしれない脆弱性です。(HTTPoxy. CVE-2016-5385) PHPの場合はphp-fpm, mod_php, Guzzle4以上やいくつかのライブラリで影響あります。 対応方法は簡単です。 Apache側で対応する場合は、mod_headerを使える状況であれば、confファイルに下記の1行を追加。 RequestHeader unset Proxy FastCGIの場合は下記の1行を追加。 fastcgi_param HTTP_PROXY ""; Guzzleは6.2.1で対応されたようです。 Release 6.2.1 release · guzzle/guzzle · GitHub コミットログを見ると、CLIの時のみ、getenv('HTTP_PROXY

HTTP リクエストに任意の値をセットすることで、Web アプリケーションからの HTTP 通信を傍受したり、中間者攻撃（Man-in-the-Middle）を可能にする脆弱性が見つかっています。 専用サイト httpoxyという名前が付けられ、専用サイトが立ち上がっています。詳細は、このサイトが詳しいです。 httpoxy.org 攻撃内容 アプリケーションからHTTP通信を行う際に、環境変数HTTP_PROXYの値を、HTTPプロキシとして見るライブラリがある。 HTTPリクエストにProxyヘッダを付けられると、環境変数HTTP_PROXYにその値がセットされる。（これは、CGIの仕様） つまり、任意のプロキシを外部から指定できてしまうので、通信内容の傍受や偽装ができてしまう。 対象となる PHP アプリケーション HTTP リクエストを受けて動作する PHP アプリケーション アプ

This webpage was generated by the domain owner using Sedo Domain Parking. Disclaimer: Sedo maintains no relationship with third party advertisers. Reference to any specific service or trade mark is not controlled by Sedo nor does it constitute or imply its association, endorsement or recommendation.

※ご注意 他社および他組織のWebサイトなどへのポートスキャンおよびデータの取得などの行為で得た情報を侵入などに悪用するか、または同じ目的を持つ第三者に提供した時点で違法となります。ご注意ください。 本稿の内容を検証する場合は、必ず影響を及ぼさない限られた環境下で行って下さい。 また、本稿を利用した行為による問題に関しましては、筆者および株式会社アットマーク・アイティは一切責任を負いかねます。ご了承ください。 「第2回 顧客データがすべて盗まれる」は、クロスサイトスクリプティング（XSS）と同様に実際のプログラミングを行うプログラマの責任であるという対策で、最も危険と思われるSQL InjectionとOS Command Injectionについて紹介した。今回は、プログラミング以前の設計段階で潜り込むセキュリティホール――見落としがちなセッション管理の脆弱性について説明していく。 We

By Automobile Italia GmailやHotmail、Yahoo!、そしてロシアで広く使われている「Mail.ru」などのウェブメールサービスから、合計2億2700万件というとてつもない数のメールアドレスとパスワードがセットになって流出していたことが判明しました。詳細は各サービスとも調査中とのことですが、気になった人は念のためパスワードを変更しておいたほうが良さそうです。 Hold Security Recovers 272 Million Stolen Credentials From A Collector – Hold Security http://holdsecurity.com/news/the_collector_breach/ Exclusive: Big data breaches found at major email services - exper

徳丸さんにご推薦を頂いて光栄です。立命館大学の上原です。 私からも補足を。 セキュリティの分野で今、最先端で活躍しておられる方の中には、少なからず「大学でも専門学校でもセキュリティのことを学ばなかった」方がおられます。中には、そもそも高校を出てすぐこの世界に入ってこられ、全くの独学で大変高い技術を身につけられた方もいらっしゃいます。なので、「セキュリティエンジニアは技術さえあれば学歴は関係ない」と言われるのだと思います。 ですが、こういう先達の方々はご自分で大変努力されていること、また、セキュリティの問題がそれほど複雑でなかった時代から、複雑化した現代までの経過をずっとリアルタイムで追ってこられたという、言わば「産まれた時代が良かった」という点は見逃せないと思います。これからセキュリティエンジニアを目指す方がその境地追いつくのは大変です。そのためには、基礎からきっちりと体系立てて学ばれるこ

■ 治外法権のeLTAX、マルウェア幇助を繰り返す無能業者は責任追及されて廃業に追い込まれよ ここ数年、不正送金の被害がインターネットバンキングの法人口座で急増しているという*1。その原因は今更言うまでもなく、Java実行環境（JRE）やAdobe製品の古いバージョンの脆弱性を突いてくるマルウェアである。しかしそれにしても、法人口座を扱うパソコンがなぜ、Java実行環境やAdobe製品をインストールしているのだろうか。インストールしなければ被害も起きないのに……。 その謎を解く鍵が、eLTAX（地方税ポータルシステム）にあるようだ。eLTAXでは、インターネットバンキングの口座を用いた納税ができることから、インターネットバンキング用のパソコンでeLTAXの利用環境も整えるということが普通になっていると思われる。そのeLTAXが、昨日までは、Java実行環境のインストールを強要していた。eL

どんなに重厚な対策を施しても、完全に防ぐことは難しいと言われるサイバー攻撃。昨今のセキュリティ担当者は、攻撃を防ぐ方法だけでなく、万が一、攻撃を受けた場合の事後対応(インシデント・レスポンス)についても日頃から検討しておかなければならない状況に置かれています。 そうした背景を踏まえ、マイナビニュースでは、不幸にもセキュリティ事故あるいは攻撃に遭ってしまったものの、その後の対応が素晴らしかった企業・団体を表彰する『セキュリティ事故対応アワード』を企画しました。 国内セキュリティ業界で影響力のある有識者5人を審査員に迎え、100を超えるインシデントを調査。主に説明責任/情報開示に焦点を当て、対応の素晴らしかった企業3社を選定いたしました。 続きを読む

今週の 2月16日、カリフォルニア州の連邦裁判所から Apple社に対してある命令が出された。内容は昨年12月に起きたサンバーナーディーノ銃乱射事件の犯人の1人が所持していた iPhoneを FBIが調査するのを手助けするようにというもの。それだけなら特別なことはないのだが、要求している方法がやや特殊だった。iPhoneをロックしているパスコードを FBIが解読できるようにするために、Appleに対して解読の妨げとなるセキュリティ機能を無効にした特別なソフトウェアを開発し、これを対象の iPhoneにロードせよ、というのだ。これに対して Appleの CEOである Tim Cookは顧客への Open Letterという形で声明を発表し、命令を受け入れることはできないと拒否する姿勢を示した。 ここ数日米国を中心に大きな話題となっているこの事件について、現時点でわかっていること、さまざまなニ

各位 JPCERT-AT-2016-0009 JPCERT/CC 2016-02-17(新規) 2016-02-19(更新) <<< JPCERT/CC Alert 2016-02-17 >>> glibc ライブラリの脆弱性 (CVE-2015-7547) に関する注意喚起 https://www.jpcert.or.jp/at/2016/at160009.html I. 概要 glibc ライブラリにはバッファオーバーフローの脆弱性 (CVE-2015-7547) があります。本脆弱性を使用された場合、遠隔の第三者によって、任意のコー ドを実行されたり、サービス運用妨害 (DoS) 攻撃が行われたりするなどの可 能性があります。 本脆弱性やその影響については以下を参照してください。 Japan Vulnerability Notes JVNVU#97236594 glibc にバッファ

新しいJavaのバージョン表記体系がJEP 223で提案されています． 概要 Javaのバージョン表記をメジャー，マイナーバージョンに加えてセキュリティアップデートにも対応できるような体系を作るJEPです． また，今まで混在していたバージョン表記を統一して一つの体系として再構築していきます． 今後使われるバージョン表記は新しいバージョン表記体系で記述されます． すでに使用されている過去のバージョン表記については変更しないようです． バージョン表記のセキュリティアップデート対応 今までのJavaのバージョン表記はマイナーアップデートしてuXXやUpdate XXという風に記述していました． ここではJDK7のXXというupdateには「JDK 7 Update XX」と表記していきます． さて，JDK 7 Update 60とJDK 7 Update 55とを比較してみましょう． この時に一

Pythonは情報セキュリティの世界では他よりも先んじているプログラミング言語です。本書ではPythonを使った情報セキュリティにおける攻撃手法について解説します。前半ではrawソケットやScapyライブラリなどネットワーク関連の内容を扱います。後半ではCOMをPythonから扱う方法やVolatilityフレームワークなどシステム関連のトピックを扱います。読者はコーディングを通じてサンプルPythonツールの拡張、外部ツールとの連携や自動化について学習することができます。攻撃者の意図や実践手法から防御方法を導き出すというアプローチは、今後すべての情報セキュリティ技術者にとって必須のテクニックになるでしょう。 サポートページ（サンプルコードや正誤表） 訳者まえがき 序文 まえがき 1章　Python環境のセットアップ 1.1　Kali Linuxのインストール 1.2　Wing IDE 2

PCはもちろんiPhoneやAndroidなどスマートフォンでも手軽に強固なパスワードを作りだし、使い回しなど煩雑になりがちなログイン情報の管理もラクになる大人気のパスワード管理アプリ「1Password」ですが、旧形式のAgile Keychainを利用していると問題があるとのことでセキュリティ界隈が賑わっているようです。 というわけで、1Passwordの保管庫を旧形式のAgile Keychainから新形式のOPVaultに変更する方法を書いておきます。 旧形式のAgile Keychainでは平文で一部の情報を閲覧できてしまうとの指摘 「Agile Keychain」と「OPVault」とは？ 1Passwordではパスワード以外にもキャッシュカードや自宅の住所、Wi-FiのSSIDやパスワードなど様々な個人情報を「保管庫」に保存しています。 この保管庫には2種類の形式があって、「

印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 情報を盗むトロイの木馬が含まれたバージョンのオープンソフトウェア「Putty」のクライアントが出回っていることが明らかになった。 Symantecの研究者によれば、開発者のプライバシーや安全性を侵害する可能性のある、オープンソースSSHクライアントPuTTYの非公式バージョンが配布される事例が見つかっている。 Simon Tatham氏が開発したPuTTYは、世界中のウェブ開発者、管理者、ITスタッフに利用されている。このクライアントは協調作業やITプロジェクトの作業で使われており、暗号化された接続を通じてリモートサーバに接続するのに使用される。 しかし、今回はPuTTYのオープンソースであるという性質が悪用された。 トロイの木馬バージ