競技回線調整中&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>競技回線調整中</div><div><small>2018年11月21日～2018年11月21日</small></div>

競技回線調整中

競技開始&nbsp;<small>(2018年11月21日)</small>

競技開始

サーバ２ダウンの模様&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>サーバ２ダウンの模様</div><div><small>2018年11月21日～2018年11月21日</small></div>

サーバ２ダウンの模様

インタビュー(社長)&nbsp;<small>(2018年11月21日)</small>

<div>インタビュー(社長)</div><div><small>2018年11月21日</small></div>

インタビュー(社長)

マーケットプレイス資産管理機能をオフ&nbsp;<small>(2018年11月21日)</small>

<div>マーケットプレイス資産管理機能をオフ</div><div><small>2018年11月21日</small></div>

マーケットプレイス資産管理機能をオフ

人事異動票の活用・提出のお知らせ&nbsp;<small>(2018年11月21日)</small>

<div>人事異動票の活用・提出のお知らせ</div><div><small>2018年11月21日</small></div>

人事異動票の活用・提出のお知らせ

勤怠管理ツールについてのシェア&nbsp;<small>(2018年11月21日)</small>

<div>勤怠管理ツールについてのシェア</div><div><small>2018年11月21日</small></div>

勤怠管理ツールについてのシェア

スコアボードに負債額を表示するようなった&nbsp;<small>(2018年11月21日)</small>

<div>スコアボードに負債額を表示するようなった</div><div><small>2018年11月21日</small></div>

スコアボードに負債額を表示するようなった

クローラー数増加のアナウンス&nbsp;<small>(2018年11月21日)</small>

<div>クローラー数増加のアナウンス</div><div><small>2018年11月21日</small></div>

クローラー数増加のアナウンス

ビッグエンターキーによるサイバー攻撃&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>ビッグエンターキーによるサイバー攻撃</div><div><small>2018年11月21日～2018年11月21日</small></div>

ビッグエンターキーによるサイバー攻撃

インタビュー#2(JPCERT/CC)&nbsp;<small>(2018年11月21日)</small>

<div>インタビュー#2(JPCERT/CC)</div><div><small>2018年11月21日</small></div>

インタビュー#2(JPCERT/CC)

上位ルータの機器交換・復旧作業&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>上位ルータの機器交換・復旧作業</div><div><small>2018年11月21日～2018年11月21日</small></div>

上位ルータの機器交換・復旧作業

購入量UP・在庫半額sale開始&nbsp;<small>(2018年11月21日)</small>

<div>購入量UP・在庫半額sale開始</div><div><small>2018年11月21日</small></div>

購入量UP・在庫半額sale開始

DNSが浸透してない？&nbsp;<small>(2018年11月21日)</small>

<div>DNSが浸透してない？</div><div><small>2018年11月21日</small></div>

DNSが浸透してない？

ゾーン転送可能なサーバを通知された？&nbsp;<small>(2018年11月21日)</small>

<div>ゾーン転送可能なサーバを通知された？</div><div><small>2018年11月21日</small></div>

ゾーン転送可能なサーバを通知された？

サーバの名前解決ができない&nbsp;<small>(2018年11月21日)</small>

<div>サーバの名前解決ができない</div><div><small>2018年11月21日</small></div>

サーバの名前解決ができない

記者会見実施(Team08)&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>記者会見実施(Team08)</div><div><small>2018年11月21日～2018年11月21日</small></div>

記者会見実施(Team08)

インタビュー#3(社長)&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>インタビュー#3(社長)</div><div><small>2018年11月21日～2018年11月21日</small></div>

インタビュー#3(社長)

MPの在庫調整の注意喚起&nbsp;<small>(2018年11月21日)</small>

<div>MPの在庫調整の注意喚起</div><div><small>2018年11月21日</small></div>

MPの在庫調整の注意喚起

フリースロー対決(お客様5倍)&nbsp;<small>(2018年11月21日)</small>

<div>フリースロー対決(お客様5倍)</div><div><small>2018年11月21日</small></div><hr><div>team12とteam3が今回の対決者</div>

フリースロー対決(お客様5倍)

会社のTOPページ改ざん注意喚起&nbsp;<small>(2018年11月21日)</small>

<div>会社のTOPページ改ざん注意喚起</div><div><small>2018年11月21日</small></div>

会社のTOPページ改ざん注意喚起

ランサムウェア改ざん復旧のススメ&nbsp;<small>(2018年11月21日)</small>

<div>ランサムウェア改ざん復旧のススメ</div><div><small>2018年11月21日</small></div>

ランサムウェア改ざん復旧のススメ

商品販売数と在庫数チェックのススメ&nbsp;<small>(2018年11月21日)</small>

<div>商品販売数と在庫数チェックのススメ</div><div><small>2018年11月21日</small></div>

商品販売数と在庫数チェックのススメ

作業報告とSRチームへの評価出してー！&nbsp;<small>(2018年11月21日)</small>

<div>作業報告とSRチームへの評価出してー！</div><div><small>2018年11月21日</small></div>

作業報告とSRチームへの評価出してー！

競技終了&nbsp;<small>(2018年11月21日)</small>

競技終了

改ざん注意(1)&nbsp;<small>(2018年11月21日)</small>

<div>改ざん注意(1)</div><div><small>2018年11月21日</small></div>

改ざん注意(1)

パストラバーサル攻撃&nbsp;<small>(2018年11月21日)</small>

<div>パストラバーサル攻撃</div><div><small>2018年11月21日</small></div><hr><div>[攻撃に関する情報]
Hardening 参加組織に対して行われた攻撃に関する情報を
入手いたしましたので、参考までにお伝えします。
以下の攻撃に関する情報を参考のうえ、自システム等の確認をお勧めします。


  1) 攻撃が行われた期間
     2018年11月21日12:30以降

  2) 確認された事象
     IP: 10.2.250.25 ・ポート80番よりフロントウェブサーバーを狙ったパストラバーサル攻撃(http://X.X.X.X/../../../..)
admin.cgiなどへのアクセス

(確認事項)
　　ウェブサーバーのアドミン権限が奪取され、外部より接続されていないかセッションをご確認ください</div>

パストラバーサル攻撃

不正ファイル検知①&nbsp;<small>(2018年11月21日)</small>

<div>不正ファイル検知①</div><div><small>2018年11月21日</small></div><hr><div>Secureworksからの情報提供
弊社のMPをご購入いただいた他のチームの環境にて、以下の不正と疑われるファイルが確認されています。

ファイルパス： C:¥Windows¥AppPatch¥windy.dll
ファイルパス： C:¥Windows¥AppPatch¥windy86.dll
自動起動設定（レジストリ）：　HKEY_LOCAL_MACHINE¥Software¥Wow6432Node¥Microsoft¥Windows¥CurrentVersion¥RunAppPatch 
= rundll32.exe C:¥Windows¥AppPatch¥windy.dll,VoidFunc

自動起動設定が特殊であること、ファイル自体が弊社の監視データベース上で
固有のファイル（同一のファイルが他の組織で確認されていない）であることから不正の可能性が高いと考えています。

現在検体の提供をお願いしておりますので、入手できましたら提供予定。</div>

不正ファイル検知①

不正ファイル検知①（通信先判明）&nbsp;<small>(2018年11月21日)</small>

<div>不正ファイル検知①（通信先判明）</div><div><small>2018年11月21日</small></div><hr><div>windy.starbed.local</div>

不正ファイル検知①（通信先判明）

不正ファイル検知②（certutilコマンドで不正作成）&nbsp;<small>(2018年11月21日)</small>

<div>不正ファイル検知②（certutilコマンドで不正作成）</div><div><small>2018年11月21日</small></div><hr><div>他チームの監視から、追加で不正と思われるファイルが確認できました。
他チームの監視から、攻撃者がcertutilコマンドを使って競技中に不正に作成されたファイルと思われます。
C:¥Windows¥TEMP¥click.exe

こちらも現在検体の提供をお願いしておりますので、入手できましたら提供させていただきます。</div>

不正ファイル検知②（certutilコマンドで不正作成）

Drupalの脆弱性を突く攻撃を検知&nbsp;<small>(2018年11月21日)</small>

<div>Drupalの脆弱性を突く攻撃を検知</div><div><small>2018年11月21日</small></div><hr><div>Hardening 参加組織に対して行われた攻撃に関する情報を
入手いたしましたので、参考までにお伝えします。
以下の攻撃に関する情報を参考のうえ、自システム等の確認をお勧めします。


  1) 攻撃が行われた期間
     2018年11月21日13:10以降

  2) 確認された事象
     IP: 10.2.250.35 ・ポート80番よりフロントウェブサーバー(10.2.x.1)を狙ったDrupalの脆弱性を突く攻撃を検知しました</div>

Drupalの脆弱性を突く攻撃を検知

不正ファイル検知③（勤怠モニターを停止させるPGM）&nbsp;<small>(2018年11月21日)</small>

<div>不正ファイル検知③（勤怠モニターを停止させるPGM）</div><div><small>2018年11月21日</small></div><hr><div>Secureworksより。
・不正ファイル一覧
C:¥Windows¥AppPatch¥windy.dll
C:¥Windows¥AppPatch¥windy86.dll
C:¥Windows¥TEMP¥click.exe
C:¥Program Files¥Common Files¥Cortana.exe

・自動起動設定（レジストリ）一覧（不正ファイルの起動設定）
HKEY_LOCAL_MACHINE¥Software¥Wow6432Node¥Microsoft¥Windows¥CurrentVersion¥Run
Key : AppPatch
Value:  rundll32.exe C:¥Windows¥AppPatch¥windy.dll,VoidFunc

HKEY_CURRENT_USER¥Software¥Classes¥ActivatableClasses¥Package¥Microsoft.Windows.Cortana_1.10.7.17134_neutral_neutral_cw5n1h2txyewy 
Key : DebugPath
Value: C:¥Program Files ¥Common Files¥Cortana.exe

・不正通信先
windy.starbed.local
peace.starbed.local

・その他
・不正ファイルが動作した際に、勤怠モニター（OCS Inventory）を停止させるような動きをしています。
各システムにて、当該アプリケーションの稼働状況をご確認ください。
・不正ファイルの動作により、WindowsのCredential保存を有効化するレジストリキーが追加されています。
以下のレジストリを確認し、該当するキーを削除してください。
HKLM¥SYSTEM¥CurrentControlSet¥Control¥SecurityProviders¥Wdigest 内の、UseLogonCredential
・Windows Defenderを無効化するレジストリの変更が行われています。以下のレジストリを確認し、該当するキーを削除してください。
HKLM¥SOFTWARE¥Policies¥Microsoft¥Windows Defender 内の、DisableAntiSpyware</div>

不正ファイル検知③（勤怠モニターを停止させるPGM）

ランサム警告&nbsp;<small>(2018年11月21日)</small>

<div>ランサム警告</div><div><small>2018年11月21日</small></div>

ランサム警告

SQLインジェクション警告&nbsp;<small>(2018年11月21日)</small>

<div>SQLインジェクション警告</div><div><small>2018年11月21日</small></div>

SQLインジェクション警告

WAFにてPOSTメソッドでPython PHP攻撃を検知&nbsp;<small>(2018年11月21日)</small>

<div>WAFにてPOSTメソッドでPython PHP攻撃を検知</div><div><small>2018年11月21日</small></div><hr><div>攻撃：
パラメータ内のPython PHP攻撃

攻撃カテゴリ：
インジェクション攻撃

詳細：
type="python-php-attacks-medium" pattern="python-cfm-command-substrings" token=".exec(" Parameter="object" value="..tring(@java.lang.Runtime@getRuntime().exec(#parameters.command¥[0¥]).getInputStream"</div>

WAFにてPOSTメソッドでPython PHP攻撃を検知

WAFにてPOSTメソッドでパラメータ内のOSコマンドインジェクションを検知&nbsp;<small>(2018年11月21日)</small>

<div>WAFにてPOSTメソッドでパラメータ内のOSコマンドインジェクションを検知</div><div><small>2018年11月21日</small></div><hr><div>ソースIP：
10.2.250.41

攻撃：
パラメータ内のOSコマンドインジェクション

攻撃カテゴリ：
インジェクション攻撃

詳細：

type="os-command-injection" pattern="unix-shell-command-substrings" token=".exec(#parameters.command¥[0¥]).getInputStream..))" Parameter="object" value="(#_memberAccess=@ognl.OgnlContext@DEFAULT_MEMB"</div>

WAFにてPOSTメソッドでパラメータ内のOSコマンドインジェクションを検知

WAFにてPOSTメソッドでパラメータ内のOSコマンドインジェクションを検知
WAFにてPOSTメソッドでPython PHP攻撃を検知
についてアナウンス&nbsp;<small>(2018年11月21日)</small>

<div>WAFにてPOSTメソッドでパラメータ内のOSコマンドインジェクションを検知
WAFにてPOSTメソッドでPython PHP攻撃を検知
についてアナウンス</div><div><small>2018年11月21日</small></div>

WAFにてPOSTメソッドでパラメータ内のOSコマンドインジェクションを検知
WAFにてPOSTメソッドでPython PHP攻撃を検知
についてアナウンス

JPCERTより不正IPアドレスをアナウンス&nbsp;<small>(2018年11月21日)</small>

<div>JPCERTより不正IPアドレスをアナウンス</div><div><small>2018年11月21日</small></div>

JPCERTより不正IPアドレスをアナウンス

不正ファイル検知③（勤怠モニターを停止させるPGM）について情報更新連絡&nbsp;<small>(2018年11月21日)</small>

<div>不正ファイル検知③（勤怠モニターを停止させるPGM）について情報更新連絡</div><div><small>2018年11月21日</small></div>

不正ファイル検知③（勤怠モニターを停止させるPGM）について情報更新連絡

作業開始&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

作業開始

点数:12994000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:12994000

点数:16073000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:16073000

情報漏洩による記者会見告知&nbsp;<small>(2018年11月21日)</small>

<div>情報漏洩による記者会見告知</div><div><small>2018年11月21日</small></div>

情報漏洩による記者会見告知

点数:20922000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:20922000

点数:17530000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:17530000

点数:19888000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:19888000

点数:25714000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:25714000

点数:30958000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>点数:30958000</div><div><small>2018年11月21日～2018年11月21日</small></div><hr><div>※16:43時点のデータを便宜的に表示</div>

点数:30958000

Wel-CartのDBバックアップファイルが流出していたことが判明&nbsp;<small>(2018年11月21日)</small>

<div>Wel-CartのDBバックアップファイルが流出していたことが判明</div><div><small>2018年11月21日</small></div><hr><div>影響範囲調査中</div>

Wel-CartのDBバックアップファイルが流出していたことが判明

点数：13021000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数：13021000

点数：5692000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数：5692000

サーバ３、ApacheとTomcatが定期的に落とされてしまう&nbsp;<small>(2018年11月21日)</small>

<div>サーバ３、ApacheとTomcatが定期的に落とされてしまう</div><div><small>2018年11月21日</small></div>

サーバ３、ApacheとTomcatが定期的に落とされてしまう

点数:0&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:0

点数:-16207000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:-16207000

点数:-14569000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:-14569000

サーバ7のフォトギャラリーでXSSと表示される&nbsp;<small>(2018年11月21日)</small>

<div>サーバ7のフォトギャラリーでXSSと表示される</div><div><small>2018年11月21日</small></div>

サーバ7のフォトギャラリーでXSSと表示される

点数:-10468000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:-10468000

点数:-7153000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

<div>点数:-7153000</div><div><small>2018年11月21日～2018年11月21日</small></div><hr><div>※16:43時点のデータを便宜的に表示</div>

点数:-7153000

点数：13018000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数：13018000

点数：16174000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数：16174000

点数:15407000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:15407000

点数:14434000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:14434000

情報漏洩発覚により役員会実施予告&nbsp;<small>(2018年11月21日)</small>

<div>情報漏洩発覚により役員会実施予告</div><div><small>2018年11月21日</small></div>

情報漏洩発覚により役員会実施予告

点数:14662000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

点数:14662000

ランサムウェアに感染　拡張子mp4に改ざん&nbsp;<small>(2018年11月21日)</small>

<div>ランサムウェアに感染　拡張子mp4に改ざん</div><div><small>2018年11月21日</small></div>

ランサムウェアに感染　拡張子mp4に改ざん

bashとディレクトリトラバーサルの攻撃をWAFで検知&nbsp;<small>(2018年11月21日)</small>

<div>bashとディレクトリトラバーサルの攻撃をWAFで検知</div><div><small>2018年11月21日</small></div>

bashとディレクトリトラバーサルの攻撃をWAFで検知

点数:-5290000&nbsp;<small>(2018年11月21日～2018年11月21日)</small>

Hardening-NCA-HCA-タイムライン-20181122

共有URL

SNSシェア

埋め込み用コード