イスラエルに拠点を置くソフトウェア企業のNSOグループは、Metaのメッセージングアプリ「WhatsApp」を利用してスパイウェアを配布していたとしてMetaに裁判を起こされています。新たな調査により、イスラエル政府がWhatsAppの訴訟を妨害していた可能性があることがわかりました。 Leak Reveals Israeli Government Interfered With WhatsApp's Lawsuit Against Spyware Company - FindLaw https://www.findlaw.com/legalblogs/courtside/leak-reveals-israeli-government-interfered-with-whatsapps-lawsuit-against-spyware-company/ NSOグループはスパイウェアの「Peg

AppleシリコンのMシリーズに備わった「データメモリ依存プリフェッチャー(DMP)」の脆弱(ぜいじゃく)性を利用し、メモリコンテンツとデータアドレスの混同を悪用してデータを盗み出すサイドチャネル攻撃「GoFetch」を研究チームが発見しました。この攻撃により、暗号化操作時にMacから秘密鍵を抽出することが可能だとのこと。脆弱性はチップのマイクロアーキテクチャ設計そのものに由来するため、パッチを適用する方法はないそうです。 GoFetch https://gofetch.fail/ Unpatchable vulnerability in Apple chip leaks secret encryption keys | Ars Technica https://arstechnica.com/security/2024/03/hackers-can-extract-secret-encr

OpenSSLに重大度「CRITICAL(致命的)」の脆弱(ぜいじゃく)性が発見されました。脆弱性への対応は迅速に行われており、日本時間の2022年11月1日22時～2022年11月2日4時の間に修正版の「OpenSSL 3.0.7」が公開予定です。OpenSSLに重大度「CRITICAL」の脆弱性が発見されたのは、2014年に報告されて世界中を騒がせた「Heartbleed」に続いて史上2回目。修正版のリリース後には、速やかにアップデートを適用する必要があります。【2022年11月2日追記】その後の分析の結果、OpenSSL 3.0.7で修正された脆弱性の重大度は「HIGH(CRITICALの1段階下)」に修正されました。 Forthcoming OpenSSL Releases https://mta.openssl.org/pipermail/openssl-announce/202

2016年以来、中国人ハッカーは一部のマザーボードのファームウェアイメージ上では検出されないマルウェアを使用しています。このマルウェアはOSとプラットフォームファームウェアとの間に存在するソフトウェアであるUEFIと、コンピューターに不正アクセスして遠隔操作するマルウェアをまとめたパッケージツールのルートキットを合わせて、「UEFIルートキット」と表現されています。サイバーセキュリティ企業のKasperskyは、「CosmicStrand」と呼ばれるUEFIルートキットの存在を発見・報告しています。 CosmicStrand rootkit hides in the UEFI firmware | Kaspersky official blog https://www.kaspersky.com/blog/cosmicstrand-uefi-rootkit/45017/ CosmicStr

Googleがネットショップなどの決済時に自分の所持するクレジットカード番号とは別の番号を生成するサービス「Virtual Cards」を発表しました。Virtual Cardsを用いることで、ユーザーはクレジットカード番号の流出を心配することなくネットショッピングを楽しめるようになります。 How we make every day safer with Google https://blog.google/technology/safety-security/how-we-make-every-day-safer-with-google/ ネットショップで買い物をする際はクレジットカードを利用すればスムーズな決済が可能ですが、クレジットカード番号がネットショップから流出してしまうリスクに不安を感じることもあります。Google PayやApple Payといった決済手段を使えばクレジッ

2022年2月に開催される北京オリンピックで、参加者全員に対してインストールが義務づけられている健康管理アプリ「MY2022」に、機密情報へのハッキングが容易に可能になるようなセキュリティー上の欠陥があることが、カナダのセキュリティ研究者の分析により判明しました。MY2022には、暗号化の不具合だけでなく政治的なキーワードの検閲に関連するデータも搭載されていたとのことです。 Cross-country Exposure: Analysis of the MY2022 Olympics app - The Citizen Lab https://citizenlab.ca/2022/01/cross-country-exposure-analysis-my2022-olympics-app/ China's app for Olympic athletes has security flaw

Googleが、2021年にリリースしたAndroid 12に第2世代移動通信システム(2G)を無効化できる新機能を追加していたことについて、電子フロンティア財団(EFF)が歓迎する声明を発表しました。2Gには、通信内容の傍受を可能にする脆弱(ぜいじゃく)性があるとされています。 VICTORY: Google Releases “disable 2g” Feature for New Android Smartphones | Electronic Frontier Foundation https://www.eff.org/deeplinks/2022/01/victory-google-releases-disable-2g-feature-new-android-smartphones EFFは2022年1月12日に、公式サイトを更新し「GoogleはAndroidに、ユーザーが

2018年にもNintendo Switchのルートキーを取得したことがあるというハッカーのplutoo氏が、アップデートによりセキュリティ機能が強化された最新のNintendo Switchのルートキーを取得する方法を公開しました。 Full key extraction of NVIDIA™ TSEC https://gist.githubusercontent.com/plutooo/733318dbb57166d203c10d12f6c24e06/raw/15c5b2612ab62998243ce5e7877496466cabb77f/tsec.txt リリース当初のNintendo Switchは「JoyConのレールにアルミホイルをねじ込んでショートさせてデバッグモードに無理矢理入る」という手法も存在するほどハッキングが容易でした。今回ルートキーを取得する方法を発表したplut

経済紙大手のフォーブスから「マルウェアで広告を不正に挿入して利益を得ている」と名指しで非難された企業がCyber​​Ghost、Zenmate、Private Internet Access VPN、ExpressVPNなどVPNサービス大手を続々買収しています。この渦中の元マルウェア開発企業「Kape Technologies」について、セキュリティ企業のRestorePrivacyが解説しています。 Former Malware Distributor Kape Technologies Now Owns ExpressVPN, CyberGhost, Private Internet Access, Zenmate, and a Collection of VPN “Review” Websites https://restoreprivacy.com/kape-technologi

by poungsaed_eco 無料で使用可能な「Avast Antivirus」は、全世界で4億人の利用者を抱えるアンチウイルスソフトの定番です。そんなAvast Antivirusを提供しているセキュリティ企業Avast Softwareが、ユーザーの個人情報を収集して20社を超える企業に販売していたことが判明しました。 The Cost of Avast's Free Antivirus: Companies Can Spy on Your Clicks | PCMag https://www.pcmag.com/news/the-cost-of-avasts-free-antivirus-companies-can-spy-on-your-clicks Leaked Documents Expose the Secretive Market for Your Web Browsi

By Vladdeep 自己のコードの暗号化と鍵データのランダムな再配置を1秒あたり20回行うという新しいマイクロアーキテクチャ「Morpheus(モーフィアス)」のプロトタイプ版が完成し、世界最高レベルのコンピューターに関する国際学会ACMで発表されました。ハッキング不可能なコンピューターの実現に向けて一歩前進しています。 Morpheus https://dl.acm.org/citation.cfm?doid=3297858.3304037 Unhackable: New chip stops attacks before they start | University of Michigan News https://news.umich.edu/unhackable-new-chip-stops-attacks-before-they-start/ 「Morpheus」は自己のコ

インターネット上で暗躍する「ボット」による攻撃は多様になっており、ボットを防ぐツールとボットとの間でいたちごっこが続いています。そんな中、Googleがボット対策ツール「reCAPTCHA」の新バージョン「reCAPTCHA v3」を公開しました。reCAPTCHA v3では、サイト閲覧者は「私はロボットではありません」というチェックをつける必要さえなくなっています。 Official Google Webmaster Central Blog: Introducing reCAPTCHA v3: the new way to stop bots https://webmasters.googleblog.com/2018/10/introducing-recaptcha-v3-new-way-to.html 「reCAPTCHA v3」の機能については、以下のムービーで説明されています。

by Luca Bravo 近年猛烈な勢いで拡大を続ける仮想通貨を、ウェブサイトを訪問するユーザーの使用するコンピューターのマシンパワーで採掘(マイニング)するスクリプトが存在します。そんなスクリプトをさらに凶悪化させ、ウェブブラウザを閉じても秘密裏にユーザーのPCリソースを使って仮想通貨をマイニングし続ける手法が発見されています。 Persistent drive-by cryptomining coming to a browser near you - Malwarebytes Labs | Malwarebytes Labs https://blog.malwarebytes.com/cybercrime/2017/11/persistent-drive-by-cryptomining-coming-to-a-browser-near-you/ Cryptocurrency Min

中国のVoIP製品にバックドアがあることが発見されました。あらゆる物がインターネットにつながるIoT(モノのインターネット)時代の到来を前に、この種のバックドアが悪意ある者に悪用される危険性が指摘されています。 Dangerous backdoor exploit found on popular IoT devices | TechRadar http://www.techradar.com/news/dangerous-backdoor-exploit-found-on-popular-iot-devices Undocumented Backdoor Account in DBLTek GoIP https://www.trustwave.com/Resources/SpiderLabs-Blog/Undocumented-Backdoor-Account-in-DBLTek-GoI

By Panda Security France ウェブ上で公開されているムービーや音楽の中には地域制限がかけられているものがありますが、地域制限を解除して閲覧可能になるサービスが存在します。そんな地域制限をアンロックするFirefoxとChrome向けの拡張機能「Hola」が、所有する別サービスでユーザーの帯域を販売していたことが明らかになりました。 Hola http://8ch.net/hola.html Hola VPN Sells Users' Bandwidth, Founder Confirms | TorrentFreak http://torrentfreak.com/hola-vpn-sells-users-bandwidth-150528/ Holaというサービスは、P2P技術を利用してVPN(仮想プライベートネットワーク)を構築しており、それぞれのユーザーがVPNの

ドローンはAmazonが配達での利用を計画していたり、人の手の及ばない災害区域でも活動できたりと、今後ますますの活躍が期待されています。そんなドローンの技術が発展を続けると、搭載しているカメラによるプライバシーの侵害や、果ては「キラードローン」といったスパイや殺傷目的での使用も考えられています。そこでドローンの悪用対策として、高速飛行してドローンを追跡し、対象を飛行不能にしてしまうドローン「Rapere Intercept Drone」が開発中です。 Rapere Intercept Drone http://rapere.io/ Rapere Intercept Droneの動きは以下のような感じ。まずはターゲットとなるドローンを発見します。 充電ドックについている「捕獲」ボタンをポチッと押すと…… 高速で移動したRapereがターゲットの上空を位置取ります。Rapere本体に搭載してい

By World Bank Photo Collection スマートフォンや携帯電話は「使わない日はない」というほど使用頻度の高い機器ですが、2014年12月にハンブルクで行われたハッカーカンファレンスで、世界中の携帯電話キャリアで通話・テキストの送受信などに使用されているグローバルネットワーク「共通線信号No.7(SS7)」に重大な脆弱性があると報告されました。この脆弱性をハッカーが利用することで、世界中の何十億人という携帯電話ユーザーの電話やテキストの内容が盗聴される危険性が指摘されています。 German researchers discover a flaw that could let anyone listen to your cell calls. - The Washington Post http://www.washingtonpost.com/blogs/the-s

2014年11月28日未明、シリアのハッシャール・アサド大統領の支持を打ち出すハッカー集団「Syrian Electronic Army(シリア電子軍)」によって日本を含む世界中の大手サイトにシリア電子軍のロゴマークが表示されるというハッキング被害が発生しました。 Global websites hacked by Syrian Electronic Army http://www.cnbc.com/id/102222249 Syrian Electronic Army ‘Hack’ Affects Boston.Com, Dozens of Other Sites - Massachusetts news - Boston.com http://www.boston.com/news/local/massachusetts/2014/11/27/syrian-electronic-arm

日本を含む36の国家で政府が「FinFisher/FinSpy」と呼ばれる国民監視用マルウェアキットを使っていることが確認されていますが、あるハッカーが提供元のGamma Internationalをハッキング、40GBにおよぶFinFisher/FinSpyに関する内部文書とソースコードが公開されています。 Gamma FinFisher hacked: 40 GB of internal documents and source code of government malware published | netzpolitik.org https://netzpolitik.org/2014/gamma-finfisher-hacked-40-gb-of-internal-documents-and-source-code-of-government-malware-publishe

駅の構内や商業施設に貼られているポスターには、公式サイトへの誘導のためにQRコードが用いられていることがありますが、このQRコードの上に悪意ある異なるQRコードを貼り付けてコードを読み取った人をフィッシングサイトへと誘導するという悪質な手法が広がっており、専門家が注意を喚起しています。 That square QR barcode on the poster? Check it's not a sticker • The Register http://www.theregister.co.uk/2012/12/10/qr_code_sticker_scam/ Malicious QR codes pop up on traffic-heavy locations http://www.net-security.org/secworld.php?id=14099 シマンテックのWarren