今週、数千人ものハッカー、研究者、そしてセキュリティ専門家がラスベガスで開催されたセキュリティカンファレンス「Black Hat」と「Def Con」に集結しました。これらはセキュリティコミュニティ全体で最新の研究、ハッキング、そして知識を共有することを目的とした毎年恒例のイベントです。TechCrunchは、この2つの連続イベントの模様を現地で取材し、最新の研究成果の一部を取り上げました。
CrowdStrikeは注目を集め、望んでいなかった「大失敗」賞を獲得した。しかし、同社はバグのあるソフトウェアアップデートをリリースし、世界的なIT障害を引き起こしてから数週間後に、このスキャンダルへの対応を誤ったことを認めた。ハッカーやセキュリティ研究者は、簡単には忘れられないかもしれないが、概ね許す姿勢を見せているようだ。
Black Hat および Def Con カンファレンスの新たなラウンドが終了するにあたり、見逃したかもしれないショーのハイライトと優れた研究の一部を振り返ります。
Ecovacロボットをハッキングしてインターネット経由で所有者をスパイする
セキュリティ研究者は、Def Conでの講演で、Ecovacsの家庭用掃除機および芝刈りロボットを、脆弱性のあるロボットに悪意のあるBluetooth信号を送信することで乗っ取ることが可能であることを明らかにしました。これにより、搭載されているマイクとカメラをインターネット経由で遠隔操作でき、攻撃者はロボットの音声とカメラの視界内にいる人物を監視できるようになります。
残念なことに、Ecovacsは研究者やTechCrunchのコメント要請に一切返答しておらず、バグが修正されたという証拠もありません。朗報なのは、ハッキングされたEcovacsロボットの搭載カメラで撮影された犬の素晴らしいスクリーンショットがまだ入手できることです。
LockBitランサムウェアに侵入し、首謀者の個人情報を暴露する長期戦
セキュリティ研究者のジョン・ディマジオ氏と、LockBit ランサムウェアおよび恐喝組織の首謀者 (通称 LockBitSupp) との激しい追いかけっこにより、ディマジオ氏はオープンソース情報収集の迷宮に迷い込み、悪名高いハッカーの正体を特定した。
ディマジオは、LockBitSuppが使用していたとされるメールアドレスに関する匿名の情報と、ギャングの被害者のために正義を実現したいという根深い願いに突き動かされ、自身の詳細な日記シリーズの中で、ついにその男の身元を特定した。しかも、連邦捜査官がハッカーをロシア国籍のドミトリー・ホロシェフと公表するよりも前に、その身元を特定したのだ。Def Conで、ディマジオは初めて満員の聴衆を前に、自身の視点から自身の体験を語った。
ハッカーがキーボードの打鍵音を聞き取れるレーザーマイクを開発
著名なハッカー、サミー・カムカー氏は、近くの窓から目に見えないレーザーを照射することで、ノートパソコンのキーボードのタップ操作を密かに特定する新技術を開発した。Def Conで実演され、Wired誌の説明によると、この技術は「コンピューター上の様々なキーをタップすることで生じる微妙な音響効果を利用する」もので、ハッカーがレーザーから標的のノートパソコンまで視線を通すことができる限り有効だという。
プロンプトインジェクションはMicrosoft Copilotを簡単に騙すことができる
Zenityが開発した新たなプロンプトインジェクション技術は、MicrosoftのAI搭載チャットボット「Copilot」から機密情報を抽出できる可能性を示している。Zenityの最高技術責任者であるマイケル・バーグリー氏は、Black Hatカンファレンスでこのエクスプロイトの実演を行い、Copilot AIのプロンプトを操作して出力を改変する方法を示した。
バーグリー氏がツイートしたある例では、悪意のある攻撃者が管理する銀行口座番号を含むHTMLコードを入力することで、Copilotを騙し、一般ユーザーへのレスポンスにその銀行口座番号を返させることが可能だと示した。これは、疑いを持たない人々を騙して誤った場所に送金させるのに利用でき、よくあるビジネス詐欺の手口となっている。
— MBG@defcon (@mbrg0) 2024年8月8日M365 Copilotにメールを送信してRCEが発生しました
RCE とは、
そのアクションに対する完全なリモート制御を意味します。つまり、機密コンテンツ (SharePoint、メール、カレンダー、チーム) の検索、プラグイン
と出力の実行、DLP 制御のバイパス、参照の操作、ユーザーに対するソーシャル エンジニアリングなどです。pic.twitter.com/r1yMRLXKAG
ランサムウェア漏洩サイトのランサムウェアの欠陥のおかげで、6社が高額な身代金から救われた
セキュリティ研究者のヴァンゲリス・スティカス氏は、数十のランサムウェア集団を調査し、恐喝情報漏洩サイトなど、彼らの公開インフラに潜む潜在的な脆弱性を特定することに着手しました。Black Hatでの講演で、スティカス氏は、Mallox、BlackCat、Everestという3つのランサムウェア集団のWebインフラに脆弱性を発見した経緯を説明しました。これにより、2社から復号鍵を入手し、他の4社にもランサムウェアが展開される前に通知することで、合計6社を巨額の身代金から救いました。
ランサムウェアは改善されていませんが、被害者を暗号化して脅迫するギャングに対して法執行機関が使用する戦術は、より斬新で興味深いものになってきており、これは今後ギャングに対して検討すべきアプローチとなる可能性があります。
ザック・ウィテカーはTechCrunchのセキュリティエディターです。彼はまた、毎週のサイバーセキュリティニュースレター「今週のセキュリティ」の執筆者でもあります。
Signalのzackwhittaker.1337宛ての暗号化メッセージで連絡を取ることができます。また、メールで連絡を取るか、確認したい場合は[email protected]までご連絡ください。
バイオを見る
