syasara

写真とかクルマとかお金がかかる趣味ばかりのダメな大人です。

[sat @satoru_takeuchi]

IT技術者がAIで失業危機という話の中で一番の脅威は「開発はAIが爆速でできるから」ではなく「できる範囲を誤解している経営陣が人を切ったり採用を抑えたりするから」だと思っております

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

多要素認証（MFA）を済ませた正規のセッションが、その21分後に攻撃者のIPアドレスから操作されていた事例が報告されました。NetScaler（Citrixのゲートウェイ機器）で認証前にメモリ内容が漏れる脆弱性CitrixBleed-2（CVE-2025-5777）を突いたもので、攻撃者側の認証成功はログに一切なく、漏れたメモリからセッショントークンを盗んで再利用したとみられ、MFAは破られたのではなく、すでに済んだ認証にただ相乗りされた形だとしています。侵入後は、あまり知られていないWindowsのレジストリ機能（シンボリックリンク）を悪用してSYSTEM権限を奪う一方、攻撃者が使い回すPC名がCitrixのプリンター自動割り当てからログに漏れ、“同一犯の指紋”として組織をまたいで追跡できた点も明らかにされています。こうした一連の手口がほぼ同じ形で2026年上半期の互いに無関係な6組織で確認され、最も進んだ1件は1時間未満でDragonForceランサムウェアの展開まで至ったとされます。

【要点の整理】

・CitrixBleed-2（CVE-2025-5777）は、NetScalerをGatewayまたはAAA仮想サーバーとして構成した環境の認証前の欠陥。空のログイン変数を含むPOSTを繰り返すと、隣接するメモリが1回あたり約127バイトずつ応答に紛れ込み、ログイン中の利用者のセッショントークンを拾える。大量のログイン失敗は総当たりに見えて実体は漏れ出たメモリで、ユーザー名欄の印字不能なバイナリと、対応する正常ログインのないセッションが侵害の決め手との説明。

・手口が酷似する6組織を同一犯と結び付けた手掛かりの一つが、プリンター関連のログ。Citrixのリモートデスクトップには、接続してきた端末のプリンター（多くは「PDFに出力」）を遠隔セッションへ自動で割り当てる「プリンターリダイレクト」機能があり、その割り当て名に接続元の端末名（コンピューター名）が入ってサーバーのイベントログに残る。攻撃者が接続元PCの名前をほぼ変えず使い回していたため、同じ端末名が組織をまたいで毎回現れ、同一犯の指紋になったとの分析。

・権限昇格に使われたのは、レジストリの「シンボリックリンク」（REG_LINK。あるキーへの読み書きを別のキーへ透過的に転送する、あまり知られていないWindowsの機能）の悪用。RdpBusというデバイス用のキーにこのリンクを仕込んで転送先をグループポリシーの保護領域へ向け、ポリシー更新（gpupdate）を走らせると、SYSTEM権限で動く処理がリンクをたどり、本来は書き込めない保護キーへ攻撃者の設定が書き込まれる。そこで普段は停止しているAppMgmt（ソフト配布用の常駐サービス）を起動すると、サービス制御マネージャー（SCM）が仕込まれた設定をSYSTEM権限で実行し、持ち込みツールがSYSTEMとして偽の管理者を作成。最後にレジストリを元へ戻して痕跡を消す、との報告。

・偽の管理者を足がかりにScreenConnectやZoho Assistなどの正規の遠隔管理ツールを常駐させ、RDPでの再ログイン、PsExec、Impacket、Mimikatzで横展開と認証情報の取得へ進行。最も進んだ1件はDragonForceの実行・暗号化に到達したが、迅速な隔離で暗号化は1台に限定。特定のランサム運用者か、複数勢力へアクセスを売る初期アクセスブローカー（IAB）かは断定せず、後者を有力視。

・対策は、修正の適用に加え、取得済みトークンが更新後も有効な点を踏まえた既存セッションの終了と、ローテーションの速いNetScalerログの外部保存。侵入からランサム展開まで1時間未満の例もあり、外部公開された機器のパッチは急務。

・（既報）CitrixBleed-2がランサムの侵入口に使われる状況は先に紹介済みで、今回新しいのは、MFA済みセッションの再利用を時系列で裏づけた点と、レジストリ悪用の権限昇格からDragonForce展開までの一連の手口。

MFAを入れていても、認証後のセッションごと乗っ取られれば止められないため、修正の適用と同時に既存セッションを切ることが要になります。大量のログイン失敗を単なる総当たりと片づけず、外部に公開されたNetScalerは早めに手を打っておきたいところです。

詳細は以下を参照：
https://t.co/t4J5DX57M5

(※可能な範囲でファクトチェックは実施済なからも、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[みるぷさん type-Variant @mirupu_typVar]

絶対に近寄ってはいけない車No.1
初めて見たわ
ウマ娘何十人分かな…

[Daniel Ku 顧仲文 🇹🇼🇨🇦 @danzwku]

This will never get old lol

[望月紅葉さんと幸せな家庭を築きたい @momiji_fullmoon]

今日も一日

[しが @mahjong_shiga]

これ見てなんか分からんけど涙出てきた。
俺もこんな老後を過ごしたい

[家篭ぜくす @zex0529]

マンダロリアン(ドラマ)あらすじ
・激強ヘルメットおじさんは様々な面倒に巻き込まれ、酷い目にあうことに

ボバ・フェット(ドラマ)あらすじ
・激強ヘルメットおじさんは様々な面倒に巻き込まれ、酷い目にあうことに

スターウォーズ(EP4〜6)あらすじ
・激強ヘルメットおじさんのせいで様々な面倒に巻き込まれ、酷い目にあうことに

スターウォーズ(EP1〜3)あらすじ
・様々な面倒に巻き込まれ、激強ヘルメットおじさんになることに

スターウォーズ(EP7〜9)あらすじ
・そんなに強くないヘルメット兄ちゃんはそんなに強くないので酷い目にあうことに

[syasara @syasara]

さすがというか、話が面白い上にキャラが立ちすぎている。
https://t.co/Ofibm0oSV2

[さるとー @oES9j7Ejna69707]

諏訪湖花火臨で来た見慣れないﾃﾞﾝｼｬをガン見する長野県民まだおもろい

[裏ちゃん @tamika47488]

沖縄の台風対策が本気すぎる

[syasara @syasara]

@crapon9821 🍆

[武田紘樹 @tomatoha831]

「MBTI大好き！めっちゃ当たる！」という女友達に「『外交的ですか？』という質問に『はい』と答えた人を"E"と呼んで、『Eの人は外交的です』と言われてめっちゃ当たるのは当たり前じゃない？」と言ったらしばらく話してくれなくなった

[(๑╹◡╹๑) @tsuchie88]

本当にドコモは、みずほか郵貯くらいがお似合いなのに、なんでわざわざ住信SBI買収して考えられる限りの最悪を上回るダサいデザインにするんだ。んな金あったら基地局に投資しろよ。

[『朧村正怪奇譚』公式 @oboro_pr]

🎵お気に入りのBGMは何ですか？🎵

旅路を彩る数々の楽曲――

#ベイシスケイプ が手掛ける
『朧村正』『元禄怪奇譚』の楽曲は
Apple MusicやSpotifyにて配信中です。

心に残る一曲を
ぜひリプ欄でお聞かせください🎶

#朧村正怪奇譚

[richard @richard_normal]

powerful moments in bar chart technology

[さとうあまみ👾 @PentaPROgram]

iOSのChromeの中身がWebKit（Safari）なのと同じぐらい知られていない気がします。

[ハワンヌ ザグレート @furykaicho]

私「焼きポンデリングおいしい、フライパンいっぱいに焼いて食べたい」

私「…その願い叶えてしんぜよう」

私「やったーー！！」

[実家が全焼したサノ🏠 @sano_sano_sano_]

ラスベガス初日。行きの飛行機では、何度「ウォーター」と頼んでもコーラが来ました。裏を突いてコーラを頼んでみたら、やっぱりコーラが来ました。

アメリカに来てはじめに驚いたのが、物価の高さでした。レッドブルを買ったら1600円でした。翼をむしり取られたような気持ちになりました。

次に驚いたのが、室内があまりにも寒いことです。誰一人地球温暖化を信じていない室温です。

あとは、見ず知らずの人が、服装を褒めてくれることにも驚きました。全身にタトゥーの入ったお兄さんが肩をトントンとしてきた時は、最悪の事態を覚悟しましたが、「君の靴、最高だね」と声をかけてくれただけでした。

またステラおばさんそっくりの女性からも「君の靴、愛してる」みたいなことを言われました。他にも道行く人からたくさん声をかけられました。

見ず知らずの人の服装をこんなにも褒める文化があるのは大阪だけだと思っていたので、素敵な文化だなと思いました。大阪との違いは、アメリカ人は「なんぼ？」と聞いてこないことでした。

#WSOP
#ラスベガス紀行

[Road & Track @RoadandTrack]

Aston Martin Vantage stalls out after driving onto flooded road, driver dubbed 'James Pond'. https://t.co/7awYdwrH83

[Arimura @Arimura_arm]

8ヶ月越しに、ネギ窃盗犯の証拠を押さえました！

絶対コイツです😡