WinRAR 7.10がリリースされ、パフォーマンス向上のためのより大きなメモリページ、待望のダークモード、そして再設計された設定インターフェースなど、多くの改良が加えられました。際立った機能は、強化されたプライバシー制御です。ユーザーは、Mark-of-the-Web（MoTW）からの情報の伝播方法を細かく調整できるようになりました。デフォルト設定では、セキュリティゾーンの値のみが保持され、抽出されたファイルから、情報を明らかにする可能性のあるURLやIPアドレスが削除されます。これはデジタルフォレンジックに影響を与える可能性がありますが、プライバシーを重視するユーザーにとって、歓迎すべき追加機能です。
続きを読む
Braveブラウザバージョン1.75は、デスクトップユーザー向けに「カスタムスクリプトレット」機能を導入し、高度なユーザーは独自のJavaScriptをウェブサイトに挿入して、ブラウジング体験を深くカスタマイズできるようになりました。これはTampermonkeyやGreasemonkey拡張機能と同様で、ユーザーは特定のウェブサイトの機能を変更するユーザースクリプトを作成できます。Braveは当初、ブラウザの広告ブロッカーのデバッグのためにこの機能を開発しましたが、その価値からユーザーと共有することにしました。カスタムスクリプトレットは、トラッカーのブロック、外観のカスタマイズ、アクセシビリティの向上などによって、プライバシー、セキュリティ、使いやすさを向上させます。ただし、信頼できないスクリプトを実行するとリスクがあるため注意が必要です。この機能は`brave://settings/shields/filters`にあり、「開発者モード」を有効にする必要があります。
続きを読む
Appleは、標的型で高度な攻撃に使用されたゼロデイ脆弱性（CVE-2025-24200）に対処するため、緊急セキュリティアップデートをリリースしました。この脆弱性により、ロックされたデバイスのUSB制限モードをバイパスし、データの抽出が可能になる可能性があります。このモードは、法執行機関で使用されるフォレンジックソフトウェアによるデータアクセスを防ぐために設計されています。Appleは、潜在的な攻撃を軽減するために、ユーザーに直ちにアップデートすることを強く推奨しています。この出来事は、定期的なソフトウェアアップデートとモバイルデバイスセキュリティの重要性を強調しています。
続きを読む
医療機関向け請求サービスプロバイダーであるMedusindは、36万人以上の個人情報が漏洩したデータ侵害を発表しました。2023年12月の侵害により、健康保険の情報、支払い情報、医療記録、政府発行の身分証明書、個人データなど、機密情報が公開されました。Medusindは、被害を受けた個人に対し、2年間の無料ID監視サービスを提供しており、不正行為がないかアカウントを監視するよう促しています。この事件は、近年の大規模なデータ漏洩の増加に対応して、医療機関のサイバーセキュリティ強化を目的としたHHSによるHIPAA改訂案を受けて発生しました。
続きを読む
研究者らは、AppleのMシリーズとAシリーズプロセッサにおける新しいサイドチャネル脆弱性、FLOPとSLAPを発見しました。これらの脆弱性により、リモートの攻撃者が悪意のあるウェブサイトを通じてWebブラウザから機密データを盗み、ブラウザのサンドボックスを回避することが可能です。脆弱性は、欠陥のある投機的実行に起因し、CPUの誤予測を利用して、メール、位置情報履歴などの情報を漏洩させます。Appleはこの問題を認識しており、解決策を計画していますが、パッチはまだ提供されていません。JavaScriptを無効にすることは一時的な軽減策ですが、ウェブサイトの機能に影響します。
続きを読む
Pwn2Own Automotive 2025ハッキングコンテストで、セキュリティ研究者たちは49個のゼロデイ脆弱性を発見し、合計88万6250ドルを獲得しました。ターゲットはEV充電器、車載OS（Android Automotive OS、Automotive Grade Linux、BlackBerry QNXなど）、車載インフォテインメントシステムなどでした。Summoning TeamのSina Kheirkhahが22万2250ドルと30.5 Master of Pwnポイントを獲得し、優勝しました。このイベントは、自動車ソフトウェアのセキュリティにおける深刻な欠陥を浮き彫りにし、業界におけるセキュリティ向上への継続的な必要性を強調しました。
続きを読む
「スクリプトキディ」として知られる低スキルのハッカーを標的に、データ窃取とコンピューター乗っ取りのためのバックドアを密かにインストールする偽のマルウェアビルダーを使用した脅威行為者がいました。CloudSEKのセキュリティ研究者によると、このマルウェアは世界中で18,459台のデバイスに感染し、そのほとんどはロシア、米国、インド、ウクライナ、トルコに集中していました。このトロイの木馬化されたXWorm RATビルダーであるマルウェアは、GitHub、ファイルホスティングプラットフォーム、Telegram、YouTube、ウェブサイトなど、さまざまなチャネルを通じて配布されました。キルスイッチによって多くの感染がクリーンアップされましたが、一部は依然として侵害されたままです。このマルウェアは、Discordトークン、システム情報、位置情報データなどを盗み、感染したマシンのリモートコントロールを可能にしました。
続きを読む
FBIは、北朝鮮のITワーカーが米国企業に潜入し、ソースコードを窃取して身代金を要求する警告を発した。これらのハッカーは、AIを使った顔交換技術など様々な手段で身元を隠す。アクセス権を取得すると、コードを個人アカウントにコピーし、情報を漏洩すると脅して企業を恐喝する。FBIは、企業に対し、採用プロセスの強化、権限の制限、ネットワークトラフィックの監視などの対策を推奨している。米国、韓国、日本は共同声明で、北朝鮮政府支援のハッカー集団が2024年に6億5900万ドル以上の暗号資産を盗んだことを明らかにした。
続きを読む
Pwn2Own Automotive 2025の初日、セキュリティ研究者たちは16個のユニークなゼロデイ脆弱性を成功裏に悪用し、総額382,750ドルの賞金を獲得しました。Fuzzware.ioチームは、Autel MaxiChargerとPhoenix Contact CHARX SEC-3150の電気自動車充電器をハッキングし、トップに立ちました。このコンテストは、電気自動車充電器、車載インフォテインメントシステム、自動車OSにおける重大な脆弱性を浮き彫りにし、自動車業界におけるサイバーセキュリティの重要性を強調しました。
続きを読む
米国財務省は、最近の財務省への侵入と米国通信事業者への攻撃に関与したとして、上海在住のハッカーYin Kecheng氏と四川巨信和網絡科技有限公司に制裁を科しました。中国国家安全省（MSS）と関連があるとされるYin Kecheng氏は、ゼロデイ脆弱性を悪用して財務省への侵入に関与しました。四川巨信和は、侵害された通信事業者を通じて高官をスパイしたSalt Typhoonハッキンググループと関連しています。制裁により、米国における資産が凍結され、米国企業との取引が禁止されます。この措置は、中国のサイバースパイ活動への米国の取り組みを強調しています。
続きを読む
ワシントン州パスコの教会の牧師が、2021年から2023年にかけて、少なくとも590万ドルの投資家をだました仮想通貨詐欺に関与したとして、26件の詐欺罪で起訴されました。51歳のフランシアー・オバンド・ピニロ牧師は、自分の地位を利用して、「ソラノ・ファイ」という詐欺的な仮想通貨事業に投資家を誘い込みました。彼は、この事業が夢の中で思いついたもので、確実に利益が得られると主張しました。FacebookとTelegramグループを利用して、1500人を超える被害者を獲得しました。起訴状によると、ピニロ牧師は資金を横領し、ウェブアプリに偽の残高を表示し、詐欺を続けるために恐喝などの手段を用いたとされています。彼は現在、最長20年の懲役刑に直面しています。
続きを読む
最近の研究で、GitHub上で310万個を超える偽の「スター」が発見されました。これは、詐欺やマルウェアのリポジトリの人気を人工的に高めるために使用されていました。研究者たちはStarScoutというツールを使って大量のデータを分析し、15,835のリポジトリでこれらの偽のスターに関与した27万8000個のアカウントを特定しました。特に2024年に急増したこの欺瞞的な行為により、悪意のあるプロジェクトが正当なもののように見え、うかつなユーザーに到達することが可能になります。GitHubは多くの関連アカウントとリポジトリを削除しましたが、問題は依然として残っています。ユーザーはプロジェクトの品質を慎重に評価し、GitHubからソフトウェアをダウンロードする際には注意を払うように促されています。
続きを読む
サイバーセキュリティ企業は、北朝鮮の脅威行為者が「Contagious Interview」キャンペーンで使用している新しいマルウェア「OtterCookie」を発見しました。このキャンペーンは、BeaverTailなどの既存のマルウェアに加え、OtterCookieを含むマルウェアを仕込んだ偽の求人広告でソフトウェア開発者を誘い込みます。OtterCookieはNode.jsプロジェクトやnpmパッケージを通じて配布され、Socket.IOを使用してコマンドアンドコントロールサーバーと通信します。暗号通貨ウォレットキー、ドキュメント、画像などの機密データを窃取し、感染したシステム上で偵察活動を行います。専門家は、開発者に対し、求人広告を慎重に確認し、信頼できないコードを実行しないよう警告しています。
続きを読む