XZ Utilsにバックドア攻撃が行われるまでのタイムラインまとめ
2024年3月29日に、圧縮ツールの「XZ Utils」に、悪意のあるバックドアが仕込まれていたことが明らかになりました。どのようにバックドアが仕掛けられたのかについて、Googleのエンジニアであるラス・コックスさんが時系列順にまとめました。 research!rsc: Timeline of the xz open source attack https://research.swtch.com/xz-timeline XZ Utilsおよび設置されていたバックドアについては下記の記事で解説しています。 Red HatやDebianなどLinuxディストリビューションの組込み圧縮ツール「XZ Utils」に悪意のあるバックドアが仕掛けられていたことが発覚 - GIGAZINE XZ Utilsへの攻撃を行った「Jia Tan」という名前の攻撃者は2021年後半ごろから数年に渡ってXZ
4年も開いてたバックドア。ロシアのiPhone数千台を襲った史上最恐ハック
4年も開いてたバックドア。ロシアのiPhone数千台を襲った史上最恐ハック2024.01.12 07:009,003 Maxwell Zeff - Gizmodo US ［原文］ （ satomi ） モスクワのセキュリティ会社カスペルスキーもやられてたというから本物です。 何者かがロシアの外交官やカスペルスキー研究員のiPhoneにバックドア（裏口=相手のコンピューターに侵入できるように不正に開けられた入口）から侵入し、過去4年間に渡って持ち主の行動をつぶさに監視していたことが、カスペルスキーの調べでわかりました。 だれも知らないはずのゼロデイ攻撃（開発側が対策する前に行なわれるハッキング攻撃）の脆弱性を突いた攻撃で、｢こんな巧妙なハックは見たことない｣と同社も舌を巻いています。 脆弱性は修正済みですが怖いですよね。同社はさっそく｢Operation Triangulation｣と命名し
Qualcommチップ、無断でユーザー情報を収集、暗号化もせずに送信していた - iPhone Mania
QualcommのSnapdragonチップが無断でユーザーの個人情報を収集、Qualcommのサーバに送信していることが、ドイツのセキュリティ企業の調査で明らかになりました。 Qualcommのチップは多くのAndroidスマートフォン、そしてiPhoneにも搭載されています。 データ送信先の見知らぬサーバの正体とは セキュリティ企業Nitrokeyは最初、「Googleに個人データを送信しないようにするにはどうすればいいか」という実験を行う予定でした。そのためAndroidのオープンソース版をソニーのXperia XA2にインストール、Google製アプリを完全に排除しました。 ところがXperia XA2はインターネットに接続するとその数秒後、「izatcloud.net」という、Nitrokeyが知らない企業のサーバーにつながったそうです。WHOISで検索したところ、izatclo
Apple、WebKitのゼロデイ脆弱性を修正した「Safari v16.4.1」をmacOS 11 Big SurとmacOS 12 Monterey向けにリリース。
Safari v16.4.1のリリースノートは、まだSafari v16.4から変更されていませんが、Appleが公開したセキュリティコンテンツによると、Safari v16.4.1では、Google脅威分析チーム(TAG)のClément Lecigneさんと、Amnesty International’s Security LabのDonncha Ó Cearbhaillさんにより発見された、 Super proud of our team at @AmnestyTech and everyone who helped in this investigation. Today, Apple published an emergency update for all iPhones to patch an exploit chain which we, together with @_c
Apple、複数の不具合と2件のゼロデイ脆弱性を修正した「macOS 13.3.1 Ventura (22E261)」をリリース。
Appleが複数の不具合とWebKitのゼロデイ脆弱性を修正した「macOS 13.3.1 Ventura (22E261)」をリリースしています。詳細は以下から。 Appleは現地時間2023年04月07日、iPhoneやiPad向けにリリースしたHotfix「iOS/iPadOS 16.4.1」と同じ不具合とゼロデイ脆弱性を修正した「macOS 13.3.1 Ventura Build 22E261」をMac向けにリリースしています。 macOS 13.3.1 Venturaでは、03月27日にリリースした「macOS 13.3 Ventura (22E252)」で追加された「押している手 (Pushing Hand)」の絵文字で肌の色が選択できない不具合とApple Watchを利用しMacのロックが解除できない不具合が修正された他、 Appleが公開したセキュリティコンテンツによる
Apple、3月のアップデートでは未修正だったゼロデイ脆弱性を修正した「macOS Big Sur 11.6.6」と「macOS Catalinaセキュリティアップデート2022-004」をリリース。
Appleが3月のアップデートでは未修正だったゼロデイ脆弱性を修正した「macOS Big Sur 11.6.6」と「macOS Catalinaセキュリティアップデート2022-004」をリリースしています。詳細は以下から。 Appleは現地時間2022年05月16日、IntelやApple Silicon向けに「macOS 12.4 Monterey」を正式にリリースしましたが、同時に、現在もセキュリティサポートを続けているmacOS 11 Big SurとmacOS 10.15 Catalina向けに「macOS Big Sur 11.6.6」と「macOS Catalinaセキュリティアップデート2022-004」を公開しています。 このアップデートをすべてのユーザに推奨します。このアップデートを適用するとmacOSのセキュリティが向上します。 リリースノートより Appleが同時
中国製の子ども向けスマートウォッチに盗撮・盗聴が可能なバックドアが発見される
ノルウェーのXploraが販売する子ども向けスマートウォッチ「Xplora X4」にリモートからカメラを操作して写真を撮影したり、音声通話を傍受したりできるバックドアが見つかりました。Xplora X4は、中国の奇虎360グループがハードウェアやアプリケーションの開発・製造を担ったとみられています。 Exposing covert surveillance backdoors in children’s smartwatches | mnemonic https://www.mnemonic.no/blog/exposing-backdoor-consumer-products Undocumented backdoor that covertly takes snapshots found in kids’ smartwatch | Ars Technica https://arstec
銃乱射犯のiPhoneロック解除問題、Appleは対策チームで法的問題視野に
2019年12月に米フロリダ州で発生した銃乱射事件について、FBIによる犯人のiPhoneロック解除要請をAppleが拒否した件で、同社が法的問題に発展する可能性を視野に入れていることが分かりました。 専門チームは当局の動きに苛立ち 昨年末にフロリダ州ペンサコーラで発生した銃乱射事件の犯人は、2台のiPhoneを所有していました。 このうち1台についてFBIはロック解除ができず、Appleに支援要請を行いました。ところがAppleは情報提供に応じたものの、問題となった端末のロック解除は行わなかったため、ウィリアム・バー司法長官やドナルド・トランプ米大統領が相次いで苦言を呈する事態に発展しました（Apple側は反論）。 こうした一連の流れを受け、Appleのティム・クック最高経営責任者（CEO）は事態の深刻化を予測し専門チームを招集、法的な選択肢を検討に入れているようです。 事情に詳しい匿名
AppleとAmazonが全面否定する中国不正チップ疑惑、米政府が両社を支持 - ITmedia NEWS
Bloombergは、中国の工場で製造されたサーバ用のマザーボードに、中国軍がバックドアとして利用することを狙った超小型マイクロチップが密かに仕込まれ、AppleやAmazonを含む米国企業約30社に納入されたサーバに搭載されていたことが複数の関係者へのインタビューや調査の結果明らかになったと報じた。 Bloombergは、このマイクロチップはネットワークに不正侵入するための「隠し扉」を開くためのものだとし、「米国企業に対して仕掛けられた重大なサプライチェーン攻撃」と位置付けている。 この記事にはAppleとAmazonからのこの疑惑を否定する声明が掲載されており、両社は記事公開後、それぞれ改めて報道を否定する声明文を発表した。 Appleは「Bloombergが自分たちあるいは情報源が間違っている可能性があると考えていないことに深く失望した」と、Amazonは「過去数カ月にわたり、繰り返
バックドアをiPhoneに搭載は「ナンセンス」〜改めてApple副社長が強調 - iPhone Mania
人のスマートフォンをみだりに覗いてはいけない――たとえ、それが捜査の手がかりとなる犯人の端末だとしても。Appleを中心として、テクノロジー企業はこうした見方を採るところが少なくありません。しかし、政府当局はユーザーに提供する端末に対しバックドア（侵入するための裏口）を設けるよう、日に日に圧力を強めています。 バックドアはAppleにとってナンセンス Appleでソフトウェアエンジニアリング担当上級副社長を務めるクレイグ・フェデリギ氏に言わせれば、バックドアをスマートフォンに搭載するなどという要求は、まさに「ナンセンス」にほかならないそうです。 バックドアを設けることによって、デバイスのセキュリティは大幅に低下します。米メディアNew York Timesのインタビューに対し、 消費者のデバイスデータに通じるキーを、彼ら以外に明け渡せという提案は、新たな、そして危険な脆弱性を製品のセキュリ
PCデポ独自アプリ（なのかな？）「デバイスマネージャ」について、ある一般ユーザーが問合せた顛末
シーナ @sheena925 PCデポのデバイスマネージャについて問い合わせる ↓ コールセンター「知りません」 ↓ 店に問い合わせ ↓ 店員「このケースは初めてですねぇ」 ↓ 折返し電話でアンインストール用のパスワードを教えてもらう ↓ 店員「実は遠隔操作できるようにしてました。説明忘れてました。」 死ね 2017-07-04 17:27:00 シーナ @sheena925 だいたい何で勝手に入れられたソフトで、店側が勝手にアンインストール用のパスワード設定しておいて、しかもPCデポ側のコールセンターがそもそもソフトの存在すら把握してなくて、店側もすっとぼけたような対応するってどういうことなの。そもそもセキリティソフトでもないのに、意味が分からない。 2017-07-04 17:30:18 シーナ @sheena925 「アンインストール用のパスワードが勝手に設定されていた」という事実を
わずか1分でロックされたPCに挿すだけでバックドアを作るたった600円のハッキングデバイス「PoisonTap」が登場
ハッカー界で有名なサミー・カムカーさんが、自作のソフトウェアをRaspberry Pi Zeroに載せただけのハッキングデバイス「PoisonTap」を開発し、実際に使用した様子をYouTubeで公開しました。PoisonTapは、攻撃対象者のPCに接続するだけで、パスワードでロックされていたとしてもわずか1分以内にバックドアをインストールするという恐ろしいデバイスになっています。 Samy Kamkar: PoisonTap - exploiting locked computers over USB https://samy.pl/poisontap/ PoisonTapを実際に使っている様子は以下のムービーから確認できます。 PoisonTap - exploiting locked machines w/Raspberry Pi Zero - YouTube ハッカーのサミーさんが
Android端末のファームウェアに隠し機能、ユーザー情報を中国に送信
米国で販売されていたAndroid端末のファームウェアをセキュリティ企業が調べた結果、SMSの本文や連絡先、通話履歴などの情報が中国のサーバに送信されていたことが分かった。 米モバイルセキュリティ企業のKryptowireは11月15日、米国で販売されていた複数のAndroid端末のファームウェアに、ユーザーの個人情報を収集して許可なく中国のサーバに送信する機能が組み込まれていたことが分かったと発表した。 Kryptowireは米軍や捜査当局向けのモバイルセキュリティツールを手掛ける企業。同社によると、米国のAmazonなどのネット通販で販売されていたAndroid端末のファームウェアのコードやネットワークを分析した結果、BLU Products製の端末などでユーザーが送受信したSMSの本文や連絡先、通話履歴と電話番号、端末の識別番号などの情報が収集されていたことが分かった。こうした情報は
Androidのファームウェアに認証をバイパスしてroot権限を取得可能なバックドアの存在が判明
by Calvin Wray セキュリティ専門家のジョン・ソーヤー氏が、Foxconn(鴻海)製のAndroidのファームウェアにブートローダーのバックドアがあり、認証を回避して端末の機能にアクセス可能な状態であることを指摘しています。 Pork Explosion Unleashed – BBQ and 0days – Thought on BBQ from a Security Researcher or thoughts on InfoSec from a Pit Master? http://bbqand0days.com/Pork-Explosion-Unleashed/ Android Devices That Contain Foxconn Firmware May Have a Secret Backdoor http://news.softpedia.com/news/b
Foxconn製Androidスマートフォンのブートローダーにバックドア | スラド セキュリティ
Foxconnが製造したAndroidスマートフォンのブートローダーにバックドアが発見された(BBQ and 0daysの記事、 The Registerの記事、 Softpediaの記事)。 発見者のJon Sawyer氏(jcase)が「Pork Explosion」と呼ぶこのバックドアは、Foxconnが手抜きをして放置したデバッグ機能とみられている。FoxconnのブートローダーはQualcommのLK (Little Kernel)ブートローダーをカスタマイズしたもので、fastbootのコマンドにファクトリーテストモードで起動する「reboot-ftm」コマンドが用意されている。 reboot-ftmコマンドを実行するにはカスタムクライアントまたはadbからのアクセスが必要となるが、ファクトリーテストモードで起動すると認証なしにadbシェルからのrootアクセスが可能になり、S
暗号化解除をめぐる米法案、司法当局へのバックドア提供を義務付け
上院情報特別委員会のリチャード・バー上院議員（共和党・ノースカロライナ州）とダイアン・ファインスタイン上院議員（民主党・カリフォルニア州選出）が作成したこの法案（バー暗号化法案）は、企業や個人は裁判所命令があれば、情報あるいはデータを理解できる（intelligible）フォーマットで提供するよう義務付ける。それができない場合は、情報あるいはデータを当局が入手するための技術的な支援を提供する必要がある。 「データが機能、製品、サービスによって理解できない（unintelligible）ようになっている場合、そのデータを理解できるフォーマットで提供する義務がある」とある。つまり、端末のロックで読めないデータも、WhatsAppのようなサービス全体に施された暗号化も、裁判所は解読を命じられるようになる。 米Appleが捜査協力のためにiPhoneのロック解除ツールを米連邦捜査局（FBI）に提供
iPhoneは本当に安全か、米司法省がアップルの協力なしにデータ復元
米アップルと米司法省が真っ向から対立したことで話題を呼んだ、iPhoneのロック解除問題。銃乱射事件の捜査において、国家権力がどこまで個人のプライバシーに踏み込めるのか、米大手IT企業などを巻き込む議論に発展してきた。 だが2016年3月28日（現地時間、以下同様）、司法省はアップルの協力を得ることなくiPhone内のデータにアクセスできたとして、アップルを相手取る訴訟を取り下げてしまった。 これにより、アップルと司法省の対立という事態は収束すると思われる一方で、iPhoneのパスコードロックがあっさり「突破」されてしまった（少なくともそう考えられる事態になった）ことで、iPhoneのセキュリティはどこまで安全なのか、新たな疑念が生じることにもなった。 果たしてiPhoneはどの程度まで安全といえるのか。事件の経緯を追いながら分析していく。 iPhoneへのバックドア作成を拒んできたアップ
オバマ大統領、Apple対FBIについて間接的に「絶対主義は危険」と警告
バラク・オバマ米大統領は3月11日（現地時間）、米テキサス州オースティンで開催の「SXSW（サウス・バイ・サウスウエスト）」の基調講演に登壇し、地元紙Texas Tribuneのエヴァン・スミス編集長を相手にテクノロジーと政治、教育などについて語った。 最後にスミス氏が「AppleとFBIの状況について質問したい」としてプライバシーとセキュリティのバランスについてどう思うかと質問すると、オバマ氏は個別のケースについての意見は言えないと前置きし、「政府がすべての人々のiPhoneやスマートフォンの中身を強制的に捜査できないようにしたい非常に現実的な理由があると考える。（中略）テロリストやハッカーからのサイバー攻撃から金融システムや交通管制システムを守るためにも強力な暗号化が求められている。暗号化にはそうした2つの重要な価値がある。問題なのは、誰もアクセスできない完全な暗号化は可能なのか、そう
Apple、捜査当局の「要求しているのはバックドアではない」との趣意書に「卑劣」と反論
AppleがFBIへのiPhoneロック解除ツール提供を拒否している問題で、3月22日の法廷審問を前に捜査当局がAppleを批難する弁論趣意書を提出し、Appleはこれを「卑劣」と批難した。 米Appleが米連邦捜査局（FBI）の捜査のために死亡したテロリストが持っていたiPhoneのロック解除ツールの提供を拒否している件で、米連邦司法省（DoJ）は3月10日（現地時間）、22日に予定されている法廷審問に向けて、新たな弁論趣意書（PDF）を提出した。 Appleはこの問題で、ロック解除ツールを提供すれば、それが1台のiPhoneだけでなく他の事件でも流用される恐れがあると一貫して主張している。 新たな文書でDoJは「裁判所命令は穏当なものだ。Appleもよく理解しているように、この命令は他のiPhoneのロック解除を強制するものでも、汎用できる“マスターキー”あるいは“バックドア”を政府に
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に／0.5秒の遅延からたまたま発覚、数年をかけた周到なやり口が明るみに
