topao

information security control office manager, CISSP, RISS

[徳丸 浩 @ockeghem]

Claude Mythosのセキュリティ脅威に対して会社のトップが会議をやっているニュースを見て、人間が報告した脆弱性の修正に何ヶ月も掛かる方を早くなんとかした方がよいと思いました

[nekono_nanomotoni @nekono_naha]

最近のAnthropic Mythosを震源とするAIを用いたサイバー攻撃リスクが騒がれすぎて、偉い人からの”これ大丈夫なのか”に苦慮されている方も多そうなので、個人的見解をまとめました。

AIはいずれ深刻な脅威となり今のAPT系攻撃グループとも遜色ないレベルにも到達すると思いますが、まだまだその水準では無いと思います。

Mythosの性能は英国AISI、Mozilla、Anthropic社自身の情報が参考になりますが、その報告から得た評論家的な感想です。特にAISIは非常に詳細な情報を開示しており、その情報中心に共有します。

AISIは3つのテストを行っています。

1：脆弱性発見/CTF
隠された脆弱性を特定する能力を測るCTFテストですが、これは性能が大きく向上し2025年4月以前はどのモデルも成功できなかった専門家レベル（4段階中最上位）のテストを73%の確率で成功し、発見から悪用までできたそう。

Anthropic社による類似の脆弱性発見試験でも、主要OS、ブラウザ全てからゼロデイ脆弱性を発見しExploit化に成功。OSSの既知脆弱性の概要情報だけを伝え既存ソフトから脆弱性部分を見つけ再現するテストで1500超の課題の83%で成功とのこと ※ただ以前のモデルでもOpus 4.6 が67%、Sonnet 4.6 が65%成功済み

更にMozillaのテストではFirefoxを対象にした検査で271件の脆弱性を新たに発見。この種の問題は以前なら1件でも緊急警戒級だったと述べており、271件という規模を強い危機感をもって受け止めていることと、人間の研究者が見つけられる種類/複雑さの脆弱性でMythosが見つけられないものはない、一方、人間トップ研究者でも見つけられない種類のバグ特定はまだとのこと。

Mythosの性能では脆弱性発見力向上が最大のハイライトのようです。まずい状況にも思えますが、脆弱性自体はどんなソフトにも未だ多く内在してますし、脆弱性1つあってもそれだけで企業のセキュリティ全体を脅かすようなことにはならないので、ここだけで大きな脅威と捉えるのは尚早に感じますし、この能力は攻撃だけではなく防御側でも十分活用できていくと思います。

ただ人間と違いほぼ無尽蔵の検査リソースを持つAIにより、数年間内は脆弱性（CVE）の件数とクリティカルなものの数が急増していくと思うのでその管理や優先度付の進化が必要です。

2：模擬企業環境への攻撃/TLO
TLO/The Last OnesというAISIのテストでは随所に脆弱なポイントを撒いた企業を模したテスト環境へ、外部からの侵入と情報持ち出しをMythosに行わせ、初めて攻撃を完遂できたモデルだったそうで、10回中3回の成功だったとのこと。テスト詳細は添付画像の通り。

攻撃が完遂できたと聞くとぎょっとしますが、重要なのが模擬企業環境とは言っても、防御系製品による行動阻止や介入は一切なく、どれだけ派手に行動してもペナルティはない等、現実にはありえない構成になってることです。

対策も監視も何もない企業環境であれば攻撃を完遂できても、現実の多くの企業環境では攻撃が早期に止まるか気づかれる結果となりそうです。なお、純粋な攻撃力は現AIで十分なため、今後は防御を備えた環境での評価設計が必要になると示唆しています。

3：OT・ICS環境への攻撃/Cooling Tower
これは模擬発電所の冷却塔制御システムへの攻撃を試みるテストで独自プロトコル・暗号解析や制御装置攻略も必要な主にOT領域を想定した高難度のテストです。

このテストでは前段階のIT系システム攻略パートで詰まってしまいOTシステム関係の性能を測るに至らなかったそうです。

なおTLO、Cooling Tower相当の模擬攻撃評価はAISI以外の組織からの公表は見当たりません。

大騒ぎするには少し早い印象ではありますが、Cooling Towerもいずれ攻略されるのでしょうから、それに備えていまから大騒ぎして対策を促しておくという面もあるのかもしれませんが、Mythosの現状を冷静にみると上記の通りになるかなと思います。

一緒に騒いで会社からセキュリティへの投資を引き出す材料にするのもありだし、過剰反応してる人には落ち着いて、とお伝えする参考になればと思います。

ソース：
https://t.co/n2mWQARMEk https://t.co/kSJSFHOCRD https://t.co/y2s0kxFno1 https://t.co/5gg3W7jyQ2

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

OSを初期化しても消えないRAT「CrySome RAT」が報告されています。リカバリパーティション（C:\Recovery\OEM\）にペイロードを置き、回復環境側のレジストリを書き換えることで初期化後にも再起動する設計とされており、通常のOS初期化では除去しきれないおそれがあります。

HVNC（ユーザーに見えない隠しデスクトップでの遠隔操作）やキーロガー、ブラウザの認証情報窃取など機能面は他の[.]NET製RATと共通する部分が多いものの、セキュリティソフトの無力化が多層的に組まれていることが指摘。

Microsoft Defenderのリアルタイム監視やクラウド保護を含む11項目を個別に止め、hostsファイルの書き換えでウイルス対策の更新サーバーとの通信を遮断し、IFEO（セキュリティツールの起動時に偽のデバッガを割り当てて動作を妨害する手法）まで使うとのこと。

さらに自身をOSのクリティカルプロセスに昇格させ、強制終了を試みるとブルースクリーンが発生する自己保護も備えている模様です。

低価格のサブスクリプション形式で販売されており、すでにクラック版がアンダーグラウンドフォーラムやTelegramなどで出回っています。

ディスク全体のワイプではなくWindowsのリセット機能で復旧を済ませた場合、リカバリパーティション経由で再感染するリスクがあります。感染端末の修復は全体抹消とクリーンインストールが基本であり、やむを得ずリセットで対処する場合はリカバリ領域とオフラインレジストリハイブまで検査範囲に含める必要があります。

【要点】

・CrySome RATはC#/[.]NET製のRATで、Costura[.]Fodyで依存ライブラリを1ファイルにまとめた状態で配布。初観測は2026年3月20日

・永続化はスケジュールタスク（5分間隔で再起動）、RunOnceレジストリ、Windowsサービス（WindowsHealthMonitor名義、自動再起動設定付き）、ウォッチドッグプロセスによる自己復旧など多層構成。AppDataとLocalAppData配下にバックアップコピーも配置

・ファクトリーリセット耐性の注目点は、稼働中のレジストリではなく回復環境用のオフラインレジストリハイブを改変する点。通常のレジストリ監視やEDRの検知対象外になりやすい

・AVKillerモジュールはセキュリティプロセスの継続的なスキャンと終了に加え、セキュリティソフトのインストーラー自体も監視して起動を阻止。サービスの永続的な無効化、hostsファイルへの0[.]0[.]0[.]0マッピングによる更新通信の遮断、IFEOへの偽デバッガ登録によるツール起動妨害も実施

・自己保護としてファイルロック（共有アクセス制限で削除を阻止）、ファイル属性の隠しファイル/システムファイル化、プロセスハンドルへのセキュリティ記述子適用による外部アクセス拒否、クリティカルプロセス昇格（終了時にブルースクリーン発生）を併用

・HVNCでユーザーが気づかないまま隠しデスクトップから端末を遠隔操作可能。リモートデスクトップのストリーミングとマウス/キーボード入力の注入にも対応

・C2サーバーはTCPベースの常時接続で、設定フラグにより各モジュールの有効/無効を制御する構成

・複数のサブスクリプション価格帯で販売。2026年3月にアップデートが行われるなど活発に開発が続いている模様。クラック版がアンダーグラウンドフォーラムやTelegramで流通しているとの記載もあり

https://t.co/RiyNaf297l

[池田伸太郎 @sikeda23]

【メモ】年末年始に読みたいまとめ系資料
※著作権の関係で資料のスクショを貼ることができないものが多いのでURLを羅列します
＝＝＝
＜民間＞
■三井住友銀行（12月）
2025年の回顧と2026年の展望
https://t.co/zUvKr6L15j
ーーー
■みずほリサーチ＆テクノロジーズ（12/25）
2026年 新春経済見通し ～かりそめの安定の中で新たな均衡を模索する世界経済～
https://t.co/x50gCb38wk
ーーー
■三菱UFJリサーチ＆コンサルティング（12/19）
経済調査　地政学リスクの展望（2025年12月）
https://t.co/vPjmQZ1Hag
ーーー
■みずほ銀行（11/28）
日本産業の中期見通しー向こう5年（2026ー2030年）の需給動向と求められる事業戦略ー
https://t.co/8wek8YtXgw
＝＝＝
＜政府＞
■経済産業省 GX実行会議（12/26）
GX実現に向けた投資促進策を具体化する「分野別投資戦略」
https://t.co/qWbkNjgt2C
ーーー
■内閣官房 日本成長戦略会議 第2回（12/24）
成長戦略の検討体制
https://t.co/IbAxb3y1zo
分野横断的課題への対応の方向性
https://t.co/rxPjATfOKD
ーーー
■経済産業省 第14回 半導体・デジタル産業戦略検討会議（12/23）
半導体・デジタル産業戦略の今後の方向性
https://t.co/IZZJ6mbBE1
ーーー
■経済産業省 第29回 産業構造審議会 経済産業政策新機軸部会（12/22）
「経済産業政策の新機軸」の今後の方向性について
https://t.co/zwGPX40FNX

[SANS Japan @SANS_JAPAN]

🎅SANS Holiday Hack Challenge 2025がついにオープン🎄
今年は、最新の学習体験に進化✨
⚡ 速攻マイクロチャレンジ
🧩 奥深いキャップストーンパズル
🏆 CTFモードで集中プレイ
🏡 そして2015年版の8ビット街並みが復活！

世界中のサイバー好きと一緒に挑戦しよう👉
https://t.co/8Zx5UhCs8o

[ニキヌス @nikinusu]

ユーザ企業のセキュリティ担当に向いてない人とは？
って色々あるけど、社内外に成果を認められて社長表彰とかされたい！みたいなキラキラパワーでモチベ高める人はやめといたほうがいいね。そういうものではない。

[REP# @you592142193]

「歳だから…」諦めてない？
自転車で見た目も体力も劇的変化！
アンチエイジングに嬉しい
3つのメリットを徹底解説！https://t.co/MIDJP7MhRd

[Ami @Informationlaw1]

アプリ・ウェブブラウザにおける利用者情報の取扱いの比較（総務省MRI調査から）
https://t.co/pmErXqp2hG

今日の利用者情報WGの資料がわかりやすかったので、noteとAI Podcastしました♪

外部送信対応の時に出してほしかった...（小声）

[シンジ☁Shinji @sudachikawaii]

ゼロトラストの脆弱性だとのことで。CVE-2025-40775はISC BIND 9の脆弱性。
ゼロトラスト・セキュリティモデルの基本前提は、「誰も信用しない」ことを出発点に、あらゆるアクセス要求に対して常に認証・検証を行う。
今回の脆弱性ではDNSという信頼のトランスポートがシングルポイント障害となり、

[田中ザック (Zach Mathis) @yamatosecurity]

マルウェア解析者になるための勉強方法 https://t.co/KoTbGuRG44 #yamasec

[piyokango @piyokango]

オーストラリアの新法により、ランサムウェアによる支払いの報告義務化が決定
https://t.co/S2PlEnHFTZ

[Ken @TomookaKenji]

CISOは事業推進の要となれ：日本経済新聞 https://t.co/LowNqOvPNm

[IPA（情報処理推進機構） @IPAjp]

＼突いてみますか？脆弱性／
「#脆弱性体験学習ツールAppGoat 利用の手引き」を公開！AppGoatは、ウェブアプリの脆弱性や対処方法を体験しながら学ぶツールです。本動画は、その利用方法や学習の進め方について説明しています。実際の操作感を知りたい方もぜひご覧ください！https://t.co/zHQzYKDVyY

[Kazunori ANDO @ando_Tw]

SPFもDKIMも効かないフィッシングメール送信。
「EchoSpoofing」と名前が付いている。
https://t.co/B25bFODlEC

[IPA（情報セキュリティ安心相談窓口） @IPA_anshin]

【10 Major Security Threats 2024】
英語版の「情報セキュリティ10大脅威2024」簡易説明資料 [組織編]が公開されました。 情報セキュリティに関する社員研修等にご活用ください！
下記ページの「情報セキュリティ10大脅威2024簡易説明資料」からPDFファイルが入手可能です。 https://t.co/B0pfmzkdln

[徳丸 浩 @ockeghem]

CrowdStrikeの不具合の件で一部で話題になっている「セキュリティソフトは複数導入しろ」はどういう意味なのかな。パソコンをA系とB系に分けてそれぞれ別のセキュリティソフトいれるということかな。僕のパソコンは死んだけど、隣の高橋くんのは無事だったとか? 🤔

[けーにー @ke_ni_]

AWSのセキュリティを日本語で学習していくためのコンテンツをまとめたページを公開しました #AWSSummit
mini Security-JAWSでは定期的にAWSセキュリティ初心者を中心とした勉強会を開催していますのでこちらにもご参加ください！ #secjaws #minisecjaws #jawsug
https://t.co/ZjD5xHyXSM

[JNSA @jnsa]

標準化部会デジタルアイデンティティWGが
「特権ID管理ガイドライン「実践編」」を公開🎉

実際に特権IDを行うための仕組みや運用方法について解説。インシデント💥事例が紹介されている「解説編」と併せてご利用下さい。

デジタルアイデンティティの成果物はこちら⬇️
https://t.co/moFisBP6Rm

[明和電機 @MaywaDenki]

AppleのCMを逆再生したら、めっちゃ明和電機のCMになった。

[piyokango @piyokango]

太陽光発電 監視機器約800台へのサイバー攻撃について調べてみた - piyolog
https://t.co/xmYjbG33SD