この記事は、 NTT Communications Advent Calendar 2024 17日目の記事です。 みなさんこんにちは、イノベーションセンターの平木です。 Network Analytics for Security1 (以下、NA4Sec)プロジェクトのメンバーとして活動しています。 この記事では、利用終了ドメイン名観測の環境構築の知見を共有していきます。 明日の記事では観測されたログの分析結果を紹介したいと思います。 利用終了ドメイン名観測分析施策の背景と目的 工夫した点 DNSクエリのみならずWebアクセスログも取得する パブリッククラウドとマネージドサービスを利用する 構成 大量アクセスを捌くコツ コスト まとめ 利用終了ドメイン名観測分析施策の背景と目的 昨今、廃止したドメイン名がドロップキャッチ2され被害にあうケースが多発しています。 NTTドコモグループでも、

コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕

Androidマルウェアを動的分析する場合、Windowsマルウェアのようにデバッカーを使ってコードを追いかけることは難しいのが現状です。Frida[1]によって動的にメソッドをフックする方法[2]がありますが、メソッドの途中の状態を取得することは難しく、また、FridaはAndroid専用のツールではないため、取得できる情報に限りがあります。今回は、Androidマルウェアをより柔軟に動的分析する方法として、smaliガジェット挿入手法を紹介します。 smaliガジェット挿入手法は、APKファイル内に分析用ガジェットを作成・挿入し、リパッケージしたAPKファイルを作成することで、動的分析を可能にする方法です。 逆コンパイル結果の確認 まず初めに、Androidマルウェアのどの部分を動的分析したいかを特定するために、Androidマルウェアのコードを確認します。APKファイルは、JADXや

図5：TikTok-Advance[.]comのショッピングデータ投稿ページ ※これはソーシャルネットワークTikTokとは関係ありません。 ユーザー  が「支払い」を受けるためにクリックしなければならない回数は、「ハンドラー」からの指示に基づいて、ジョブセッション ごとに30～50回 と変動します。  少しクリックした後（通常は半分以上）、ユーザーはエラーに遭遇し、続行できなくなります。偽の手数料口座の残高はマイナスを示しています。ハンドラーは、ユーザーが「ラッキー」な出来事に遭遇したと説明し、とても喜びます。 図 4:ラッキーな出来事 担当者は、口座残高がゼロになった理由について明確な説明はしないが、被害者にとっては良いことだと主張している。詐欺師は、利用者が の口座をマイナス から戻せば、収入に倍率がかかると説明します。トレーニングのため、今回はハンドラーが支払うが、ユーザーは自分の

WindowsとiPhoneでファイル共有。できるようになりました2024.12.15 08:0048,543 ヤマダユウス型 え、神機能じゃん？ Microsoftは、Windows Insider Program向けのアップデートとして、Windows PCとiPhoneのあいだでワイヤレスにファイルのやり取りができる機能を導入し始めました。 条件付きのWindows版AirDropこれはWindows 11またはWindows 10、およびiOS 16以降で利用できる機能。Windowsアプリ｢スマートフォン連携（Phone Link）｣と、iOS向けの無料アプリ｢Windows にリンク（Link to Windows）｣を使います。WindowsとiPhoneを連携させておくのが下準備ですね。 アプリ内のガイダンスに沿って連携が済んだら、WIndows→iPhoneへの送信はファ

TL;DR はじめに 偽PoC 偽PoCのリポジトリを見る 偽PoCリポジトリに付与されたスター数を見る 偽PoCにスターを付与したアカウントを見る 詐欺アカウントを通報 まとめ TL;DR 詐欺師はGitHubアカウントを複数用意して、偽PoCのリポジトリにスターを付与する自演行為をしている。 ➡︎ スターがついているからといって、PoCを無闇に信用しないようにしてください。 はじめに 日々、PoC in GitHub の RSS を眺めていますが、最近になって"偽PoCのリポジトリが増えてきている"気がしたので、原因を調べてみました。 ここで言う「偽PoC」の特徴は以下のようなものです。 PoCと見せかけたマルウェア PoCはビットコインで販売（実際にPoCが提供されるかは不明） 偽PoCについては以下をご参照ください。 Microsoft Exchange のゼロデイ脆弱性：Prox

ソニー・インタラクティブエンタテインメント（SIE）は9月4日、「CONCORD（コンコード）」のサービスを9月6日（北米時間）に中止すると発表した。CONCORDは8月23日にPlayStation 5とPC（Steam）向けに発売したばかり。わずか2週間という異例の早さで終了することになった。 CONCORDは、SIEが2023年4月に買収したゲームスタジオ・米Firewalk Studiosが手がけたFPS（一人称視点のシューティングゲーム）。しかし、ゲームの販売は既に中止され、購入者には全額返金する予定だという。 9月3日付の米国版「PlayStation.Blog」には、Firewalk Studiosのディレクター、Ryan Ellisさんのメッセージが掲載された。「ゲーム体験の多くはプレイヤーの共感を呼びましたが、他の側面と最初のリリースが意図した通りにならなかったことも認識

概要 AWS とかで踏み台ホスト経由（ここでは AWS っぽく bastion と呼ぶ）で ssh する必要があるなら ~/.ssh/config は↓みたいにしとくのが良いんじゃないかな？ Host bastion Hostname bastionのIPアドレス User bastionのユーザ名 # ↓は規定のファイルだったり ssh-agent 使ってれば不要 IdentityFile bastion接続用の秘密鍵ファイル名 # ↓の3つはWindowsでは使えないので諦めて ControlMaster auto ControlPath ~/.ssh/cp-%r@%h:%p ControlPersist 10m Host 好きな接続先名 Hostname 接続先のIPアドレス User 接続先のユーザ名 # ↓は規定のファイルだったり ssh-agent 使ってれば不要 Identi

DDoS攻撃は複数のマシンから膨大な量のデータをターゲットに送信し、ウェブサイトやサーバーを処理不能な状態に追い込むサイバー攻撃手法です。そんなDDoS攻撃の多くは、使用可能な帯域幅を枯渇させる「帯域幅消費型」に分類されますが、近年は「パケットレート攻撃」と呼ばれる手法も増えているとして、クラウドコンピューティングサービスを展開するOVHCloudでコンピューターセキュリティインシデント対応チーム長を務めるセバスチャン・メリオ氏が、その手法について解説しています。 The Rise of Packet Rate Attacks: When Core Routers Turn Evil - OVHcloud Blog https://blog.ovhcloud.com/the-rise-of-packet-rate-attacks-when-core-routers-turn-evil/ D

高度診断部アプリケーションセキュリティ課の山崎です。 弊社エンジニアの名古屋と山崎がRuby on RailsのActive Storageの脆弱性CVE-2024-26144を報告しました。 本脆弱性はRailsの5.2.0から7.1.0のバージョンに影響するもので、お使いのRailsのバージョンが最新でない場合にはアップデートを推奨します。 本記事では本脆弱性の注意点と、関連してCookieのキャッシュに関する調査内容を紹介します。 TL;DR ・ Set-Cookieヘッダがキャッシュされると別人ログイン問題が発生する ・ RailsのActive StorageでSet-Cookieヘッダがキャッシュ可能な設定であった(CVE-2024-26144) ・ Nginx(+ Passenger), Apache(+ mod_cache)等のキャッシュ機構と合わせて利用すると実際に事故が

TOPコラムITエンジニアの自己発信ストラテジーアウトプットのお題に選ぶ、奥深い自作「TODOアプリ」。mattn氏が教える、さらなる技術力の向上を目指すためのノウハウとは アウトプットのお題に選ぶ、奥深い自作「TODOアプリ」。mattn氏が教える、さらなる技術力の向上を目指すためのノウハウとは 2024年7月8日 mattn 大学卒業後、ソフトウェアハウスやSIerなどでソフトウェア開発に携わる。vi派生のテキストエディタVimの日本語化やプラグイン、Go言語などでOSS（オープンソースソフトウェア）の開発・コミュニティ運営に参加し、2019年からGoogle Developers Expert。2021〜2023年 GitHub Stars。著書に『みんなのGo言語』（2016年、2019年に改訂2版、技術評論社、共著）、『Go 言語プログラミングエッセンス』（2023年、技術評論社

個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお

はじめにTIG真野です。 バックエンドのアプリケーションの上で、メール送信するコードがある場合の単体テストをどう実現するか悩みました。 メールには、タイトル・本文・From・TO・CC・BCCなど複数の設定値がありますし、SMTPサーバの接続情報もあります。これらを表現する構造体のモデルだけに絞った検証に留めることは、気が進みませんでした。時代はインフラレベルでダミーサーバを動かしモックする方向で動いています。SMTPでメール送信し、その送信結果をテストコード上で取得＆検証する一連の流れを行って動作を確かめたいと思いました。 方法として、澁川さんのMailSlurperを使って6桁のコードの送信コードのテストをするで紹介されたMailSlurperを使うか迷いましたが、以下の点で牛刀だなと感じました。 メール送信するのはごく一部の機能（私の場合は1機能。今後増える見込みは現時点で見えなかっ

はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。今回はブラウザの開発者ツールのネットワークタブから隠れて、Webサイト内の情報を送信する手法をまとめます。所謂Exfiltrationというやつです。中にはCSPの制限をBypassするために用いられるテクニックもあります。CTFなどで安全に使ってください。 前提 発端はWeb上でテキストの文字数をカウントできるサイトが閉鎖する際の話です。カウント対象のテキストデータがサイト運営 (やサイトを改竄した攻撃者) に盗み取られていないかという議論が巻き起こっていました。「盗み取られていない」側の主張は、ブラウザの開発者ツールのネットワークタブにリクエストを送信した形跡がないというものでした。ここで ブラウザの開発者ツールのネットワークタブに表示がなければ外部へデータを送信していないのか？ といった疑問が

❗❗問題発生❗❗ 作った機能のバグの発見報告が上がってきました。 この時点で何となく 「ヤバさ」 と 「あたり」 を自分の中でつけます 売上に響くやばい？ 条件がある？全員？ ボタンが押せないならクライアントだし、API飛んで成功してないならサーバ？届いてないならネットワークもあるか。 モバイル、Webどっち？両方？ そもそもどこの環境？開発中のもの？ 購入ボタンってどこのこと？特定のアイテム？それとも全部？ 購入できてないってどういうこと？DBはどうなってる？ まずは 👀 をつける これは 「見ていますよ」 という表現です。 もしくはリプライで 「見ます！」 と宣言するのも良いですね。 これにより投稿者は 「対応してくれるな」 と安心できます。 必要な情報をもらう 発生している環境 発生時間 アカウント名＋ログイン情報 スクリーンショット・録画 この時点で試せることは色々試してもらいま