西尾 素己

out-of-boundsでのメモリ読み取りとメモリ破損によるrce（任意コード実行）がwebkit越しに可能とのこと 激ヤバなので何も考えずアプデ googleのtagによるとすでに何らかのネーションバックチーム（政府が支援しているサイバー部隊）がこの脆弱性を突く攻撃を実施しているらしい この手のゼロデイを自力で掘れる、もしくは買ってこれる国と比べて、果たして我が国は9条解釈などを乗り越えて戦略兵器であるゼロデイを手にすることはできるのか。。。

三重脅しというにはお行儀が良すぎる SECがOFACのレギュレーションに反した身代金支払いを企業に推奨するはずがないだろ 何の意味もないただの嫌がらせにしかならんだろう むしろ絶対に相手方は支払わなくなるよ これは脅しじゃなくて吊し上げ 情報のロックと公開で二重、これを三重にカウントするのはちょっと違和感がある まぁ確かに「支払わないと情報公開に加えてsecにも報告されるのか」という脅しには一見なるように見えるけど、そんなもんはform 10kや8kでとっくに義務化されてるしリークサイトの監視くらいしてるよ bcも辺なこと始めたもんだな。。。

追記:支払ったね。。。 うーんLockbitがパンダを狙うとは思えない lb3.0のビルダーはすでにリークしてるし、それを元にリビルドしなくてもまともにアフィリエイターとしてインフラを使うことはできる おそらく本体の犯行じゃなくてlbを使った外部犯行だろう なんかa_rdbeg氏が、osintした未パッチのcitrixが露出してたんじゃないか説もあるけどこれはただのhttpdだからどう考えても違う https://x.com/a_rdbeg/status/1722720209683816568?s=46&t=la2IyO0ypLZ526BQ8xjM9g いやしかしそれにしてもDTCC/NSCCにアクセスできなくなるなんて夢にも思わないし恐怖でしかない。。。

Kevin Beaumont氏の仮説によるとCitrix Netscalerが未パッチの状態で晒されてたのではないかという話 https://cyberplace.social/@GossiTheDog/111391466200487619 一方でdouglasmun氏による仮説では、cl0pによるsysaidのゼロデイ発見と悪用と何か関係があるのではという話 https://x.com/douglasmun/status/1723334668278464767?s=46&t=la2IyO0ypLZ526BQ8xjM9g 前者はなんとなくありそうだけど後者は微妙かな cl0pらしくないよねアタックフローが リーク情報をいち早く追いたいならこの辺みとけばいいと思います https://www.redpacketsecurity.com/cl0p-ransomware-victim-dpworld-com/ まぁ3月にDPのUAE一回攻撃されてるしな 別に驚くことじゃない

いやもう身売りしてるし。。。 というかこのチーム誇張がすごい 部分ダンプをフルダンプと言ってみたり ちょうど昨日くらいにインフラ含めて手放すと言ってるけど買いなんてつかない FUDビルダーもつけるとか言ってるけど絶対FUDじゃない笑 この手の稼業は信頼が1番なんだけど、どうも若年層が運営してそうな気がしてる 誰も買わないよこんなチーム

webフォームの問い合わせ限定だからインジェクション系で特定テーブルだけダンプできたか、もしくはもっとショボくてwebロジックへの攻撃で、なんらかの方法で他の人の問い合わせ内容が取り出せたか いずれにせよ攻撃手法としてはしょぼそう よくいえばDBユーザーのaclがしっかりしてたのか、悪くいえばいわゆるクソフォームだったのか （以下当該事象関係なし） でも落ち込むことはない 日本トップの企業もゴミのようなアプリやシステムを世に送り出してインシデントを起こしてるけど、我が国はそれを善管注意義務違反として裁かない 本当にいい国 そのくせ製品選定は厳しい環境を勝ち抜いてきた外資の戦略要件を受け入れる いやはや何がしたいんだろう 別にこの一件で同社がダメージなんて被らないと思うよ 当たり前に必要だった投資を遅れてやるってだけ この国奴らは集団訴訟もやらないし

この構成はやばいだろう。。。 どんだけ性善説でやってんだよって言われても仕方がない 日本のやり方の怖いところって何かというと、具体的な対策方法まで踏み込んだ善管注意義務のハードルをルールとして設けないのに、何か国民感情が動くようなことがあると、途端に、やれ行政指導だのなんだの言い始める そもそもこういう状態で操業できるレギュレーションに問題があるわけであって、その辺にしっかり税金使わないと今後の官民連携は絶対に破綻する 個人情報が大量に詰まったシステムに、派遣社員が管理者権限を持てる状況って何事。。。 集団訴訟モノの事案だけど我が国の国民はなんというか平和ボケなので何もしないんだろうなぁ コインチェックみたいに金を取られたら発狂するのになんで個人情報ばら撒かれたときは発狂しないんだろう 面白い国民性ですよね

この前のドコモの一件とは別なのかな？ https://www3.nhk.or.jp/news/html/20230721/k10014138521000.html 最近RansomedVCにもやられてたし。。。 https://x.com/resecurity/status/1706964676591145112?s=46&t=la2IyO0ypLZ526BQ8xjM9g 今回の個別事情はさておき、運用保守業務がいかにハイリスクかを思い知らされる 多くの場合下請けや子会社がさらに派遣会社やひどい場合だとバイトとか使ってやってる例もあるわけだけど、情報の取り扱いについてはわりとお粗末だったりする。 そして今回のコールセンターというのは実は今かなり狙われてる MGMカジノのランサムウェア感染だってコールセンターへのソーシャルエンジニアリングが発端だった https://blog.morphisec.com/mgm-resorts-alphv-spider-ransomware-attack?hs_amp=true 今回のが何を目的としたどんな手法だったかはさておき、この派遣社員の年収の5倍くらいのお金を積んで、「もってこい」と言ったら多分やるよねという話 セキュリティの話として何が重要かというと、そういうモチベーションを持った人が内部にいるということを前提とした防止策を組めてるかどうかということ 今時データの持ち出しなんて対策できて当たり前という感じは正直否めない DLPの届かない位置にいたのか。。。 まだまだ謎が多いけど取り扱い情報が多い企業だけに早期に謎が解けることを期待する 追記: この元派遣社員、管理者アカウント使えたっぽい笑 流石に過失責任がありそうな運用。。。

年収5000万に値する人が1人2人入ったところで何も変わらないのでは。。。 本当に強い会社って、年収5000万の人達のチームで戦ってるわけであって。。。 ね。。。

いや、労組と物価。。。 社会保障とかも。。。 なんなんこの記事

今回はJenkins、SVN、SonarQube、Creator Cloud Developmentらへんのデータは抜かれたっぽいけど、顧客情報とかは大丈夫っぽい 今のところどこにも売りに出てない 今回の攻撃者が侵入には成功したけどランサムウェアをデプロイしなかった理由は、多分そこまで金を引っ張れるようなデータでもなかったし、止めたところでそんなに焦るような物ではなかったのではないかと邪推 どっかのIABがセッションはとったけど使い道に困って売りに出した系なのかなぁ MajorNelson氏の投稿も気にはなるけど今のところ微妙 こう言う扱いを受けるあたりソニーさんは幾度となく攻撃されてきただけあって貫禄があるよね 詳細追いたい人はこの辺みとけば良いと思う https://x.com/resecurity/status/1706964673877426441?s=46&t=la2IyO0ypLZ526BQ8xjM9g

うーん日の丸化か 産業育成の観点があるのかよくわからないけど、経済安保を出汁に使うんなら、同盟国くらいは許容して然るべき だってもうデカップリングとか言ってる時代は終わって、いまやデリスキングですからね つまり、徹底的な鎖国や締め出しは、むしろデメリットの方が大きいことがここ数年の米中冷戦ではっきりしたわけであって、これからは出来る限りリスクを低減させる方向に緩和する方向性が世界のそれなんだよね というかそもそも「じゃあtron os復活か！」みたいな話 何を言ってるかと言うと、米国政府がeo14028でnistに指定させてcritical softwareの区分は全く意識せずに、なんでセキュリティソフトだけ狙い撃ちで国産なのって話 そもそもネットワーク製品とかはどうなるの？ ゼロトラストアーキテクチャを全て国産で今後固めるつもりなのか？ それって中国の352指令とか安可目録政策に近いんだけどまぁどう考えてもなんか裏でメーカーが手引きしてるよね やっぱり判断が2、3年ずれてる まぁでも今までは10年ずれてて、最近5年になって、有事の高まりでようやっと2、3年に収束したかという感じ どうも腑に落ちない政策 そもそもベンチマークとか見たことありますかみたいな こう言う政策やるのはいいんだけど専門的な知見から、国家の防衛力が落ちてないことを確認しないとダメ 「性能を落としてでも国産にする！」だと異論ありだし、「性能落ちないから国産にする！」だとまぁなるほどなだし 色々ツッコミどころがありすぎる政策ですね ていうか政府統一基準や防衛省の特約、ismap等で米基準入れてんのになんで急に日の丸オンリーとか言い始めんの笑笑 どうやって準拠するんだよ国策フレームワークなのに こんなこと今更言われてもなんとも思わない 検討が始まった7年前に「こんなもんは来ない」とか言ってたツケが回ってきただけじゃん