Googleによれば、攻撃者に乗っ取られたGoogle Cloud インスタンスの大半が暗号通貨採掘に使われることになるそうだ (Google - Threat Horizons November 2021 Issue 1、 Neowin の記事、 The Guardian の記事)。

Google の 2021 年 11 月版 Threat Horizons によると、乗っ取り被害にあった直近の 50 インスタンスのうち、86 % が暗号通貨採掘に使われていたという。また、10 % がインターネット上の他のターゲットするポートスキャンを、8 % が攻撃を実行していたそうだ。このほか、6 % がマルウェア、4 % が不正コンテンツをホストし、DDoS ボットの実行やスパムの送信に使われるものもそれぞれ 2 % あったとのことだ。

ローマカトリックの女性修道会 Congregation of the Sisters of St. Joseph of Peace (CSJP) が Microsoft のポリシーに関し、2 件の株主提案を行っているそうだ (The Next Web の記事、 Protocol の記事、 CSJP Sisters のツイート、 動画)。

CSJP は平和のための社会活動を行うほか、株主として企業の意思決定に関与する活動を数十年にわたって行っているという。今回 CSJP は Microsoft に対し、1) Microsoft が主張する人権や環境の取り組みに反するロビー活動を行わないこと (PDF)、2) すべての政府機関に対する顔認識技術の提供を取りやめること (PDF)、の 2 件を株主提案しており、11 月 30 日の株主総会で採決が行われるとのことだ。

Twitter は 22 日、商品を紹介するライブストリーミングを視聴しながらショッピングができる Live Shopping を発表した (Twitter のブログ記事、 Walmart のツイート、 Mashable の記事)。

Live Shopping のテストは Walmart とのコラボレーションによって行われており、日本時間 11 月 29 日 9 時には実際に商品を購入可能な初の Live Shopping ショーが ＠Walmart で行われる。ジェイソン・デルーロが出演する 30 分間のショーはデスクトップおよび iOS で視聴可能で、デルーロが電気製品などさまざまな製品を紹介するほか、サプライズゲストの出演もあるとのことだ。

Microsoft の脆弱性報告報奨金プログラムに不満を感じていたセキュリティリサーチャーの Abdelhamid Naceri 氏が Windows のゼロデイ脆弱性の PoC を公開したのだが、翌日にはこれを使用したマルウェアサンプルが検出され始めたそうだ (BleepingComputer の記事 [1]、 [2]、 Cisco Talos Intelligence Group の記事、 Neowin の記事)。

Naceri 氏は Trend Micro の Zero Day Initiative でいくつもの脆弱性を報告しており、11 月の月例更新で Microsoft が修正した脆弱性 CVE-2021-41379 もその一つだ。この脆弱性は Windows Installer サービスに存在し、攻撃者はジャンクションを作成することでサービスにファイルやディレクトリを削除させることができる。脆弱性を利用して SYSTEM のコンテキストで任意コードを実行することも可能だという。

Naceri 氏が 11 月の月例更新での修正を調査したところ、バグは完全に修正されておらず、修正のバイパスが可能であることに加えてゼロデイとなる脆弱性のバリアントも発見する。そこで Naceri 氏はバイパスではなくバリアントの PoC を公開することにしたそうだ。脆弱性は CVE-2021-41379 と同様、最新のパッチをすべて適用した Windows 11 / Server 2022 を含めてサポートされる Windows 全バージョンに影響する。

PoC は Microsoft Edge Elevation Service の DACL を上書きし、それ自身をサービスの場所にコピーして実行することで昇格した権限を取得する。このサービスがない Windows Server 2016 / 2019 などでも任意のファイルを指定して権限の昇格が可能なようにしてあるとのこと。

脆弱性はその複雑さからバイナリに直接パッチを当てると Windows Installer が機能しなくなる可能性も高く、Naceri 氏は Microsoft の修正を待つのが最も安全な対策だと述べている。ゼロデイ脆弱性を公表した理由について、Naceri 氏は Microsoft の報奨金プログラムが 2020 年 4 月に大幅劣化したと述べ、それがなければゼロデイを公表することもなかったと BleepingComputer に説明したそうだ。

Cisco Talos によれば、マルウェアサンプル数の少なさから見て現時点では本格的な攻撃キャンペーンに向けた準備を行っている段階とみられるが、攻撃者が入手可能になったエクスプロイトの悪用を始めるまでに要する時間がわずかであることを示すものとのことだ。

イタリアの競争・市場保護委員会 (AGCM) は 11 月 26 日、Google と Apple によるユーザーデータの取得と利用が消費者保護法に違反するとして、それぞれ 1 千万ユーロの制裁金を科すと発表した (プレスリリース)。

違反内容は収集するユーザーデータの商用利用に関する十分な情報を提供していないことと、強引なユーザーデータ取得を行っていることだ。制裁金 1 千万ユーロはこれらの違反に対する上限額だという。

Googleはアカウント作成時とサービス利用時に収集したユーザーデータを商用利用することについて、ユーザーが意識して許可するのに必要な情報を提供しておらず、アカウント作成時にはユーザーデータの商用利用を許可するオプションがデフォルトで選択されているとのこと。

一方、Apple は Apple ID 作成時やオンラインストア利用時に収集したユーザーデータがエクスペリエンスとサービス改善に必要だと述べるのみで商用利用に関する情報を提示せず、ユーザーデータの商用利用時にはユーザーの承認を求めるものの、選択肢はサービスを利用するかデータの商用利用を許可するかのいずれかに限られるとのことだ。

先日 Microsoft Store から一時削除され、その後復活した「WSATools」の削除理由の一つは、やはり名称が問題視されたことだったようだ (Simone Franco 氏のブログ記事、 Neowin の記事)。

WSATools は Windows Subsystem for Android でアプリのサイドローディングを容易にするアプリ。開発者の Simone Franco 氏は削除に正当な理由があったと述べていたが、具体的な内容は説明していなかった。

Franco 氏によれば WSATools には Microsoft Store からの削除理由となったルール違反が 2 点あり、その 2 つ目が名称なのだという。「WSATools」の「WSA」は Windows Subsystem for Android (WSA) を示し、Microsoft は商標登録していないにしてもサードパーティアプリでの名称使用は好ましく思っていないとのこと。

1 つ目のルール違反は明確に説明されていないが、そもそも WSATools は一般公開されない代わりに認定条件の緩いプライベート対象のアプリとして Microsoft Store に登録されており、一般公開しようとしたが却下されていたそうだ。プライベート対象アプリは指定したユーザーアカウントのみ Microsoft Store アプリに表示されるが、リンクを知っていれば誰でもインストールできる。

そこで Franco 氏はプライベートのままで多くの人にダウンロードしてもらうべく、自らリンクをリークした。この作戦は成功したが、2 日後には追加の認定プロセスが走り、アプリは削除されることになる。しかし、Franco 氏が受け取った認定プロセスの報告書には何も書かれておらず混乱を呼んだが、のちに手違いであったと Microsoft から説明されたとのこと。

現在では再びプライベート対象アプリとして Microsoft Store で公開されているが、ルール違反はプライベート対象なら問題なかったのに追加の認定プロセスが誤って削除してしまったということなのだろうか。いずれにしても 2 つのルール違反を修正しさえすれば WSATools を一般公開できると Franco 氏は述べている。

Appleが23日、イスラエルのNSO Groupに対し、Appleユーザーを監視・標的にした責任を問う訴訟を起こした。この件に関しては過去記事でも何度か取り上げられているが、同グループは個人データ、写真、メッセージ、正確な位置情報などを把握できるスパイウェア「Pegasus」を開発し、人権抑圧国家に売却していた（関連その1、その2）。ジャーナリスト、活動家、反体制派、学者、政府関係者といった反体制派の言論抑制などに用いられたとされる（Appleリリース、Reuters、TechCrunch、Engadget、日経新聞、GIGAZINE、ITmedia）。

今回の訴訟でAppleはユーザーへのさらなる悪用と被害を防止するため、同グループがAppleのソフトウェアやサービス、デバイスの使用を禁止する恒久的な差止命令や賠償金支払い命令を求めている。訴状では、NSO Groupが被害者の機器にスパイウェア「Pegasus」を感染させる方法に関する情報なども記載されているという。Appleはリリースの中で、NSO Groupのような国家に支援されている組織が、説明責任を果たさず高度な監視技術に何百万ドルも費やしているとし、この状況を変える必要があるとしている。

headless 曰く、

世界知的所有権機関 (WIPO) が 9 月、ドメイン名「jrrtoken.com」が商標「J R R TOLKIEN」を侵害しているとして、商標を保有する J.R.R. トールキンの遺産管理団体への移転を命じていたようだ (WIPO の裁定、 The Verge の記事、 Ars Technica の記事)。

このドメイン名を使用していた暗号通貨「JRR Token」は「すべてを支配する一つのトークン (The One Token That Rules Them All)」をキャッチフレーズとし、トールキン作品のさまざまな要素をテーマに用いていた。そのため、トークンの提供が開始された直後の 8 月 7 日、トールキンの遺産管理団体が WIPO の調停仲裁センターに申立てを行っていたという。このドメインはセンターが裁定を行った時点で「thetokenofpower.com」にリダイレクトされており、トールキン作品「ホビット」に登場するガンダルフに似た人物を含む複数の魔法使いの画像や、トールキン作品に関連するそのほかの画像が使われていたそうだ。

訴えられたドメイン保有者 (被告) は「jrrtoken.com」が商標の「L」と「I」を含まず、混乱するほど似ていないと主張したほか、トールキン作品のイメージを使用したのはパロディであり、不誠実さをもって使用したのではないなどと主張した。しかし、被告は著名な商標の 1 ～ 2 文字を置き換えたドメイン名が必ずしも商標を侵害しないという WIPO の過去の裁定を依拠としていたが、現在は当時と異なる認知可能性テストにより判定が行われるようになっている。そのため、審査委員は現在の基準で混乱するほど似ていると判断した。また、被告がパロディだと主張した点も商標の想起を認識していたことを裏付けるものとされた。

このほか、ドメイン名に対する正当な権利が被告にないこと、ドメイン名が不誠実に登録・使用されたことも認定され、ドメイン名移転の申立要件がすべて満たされたとのことだ。

電子決済大手PayPalの日本法人は23日、日本国内の一部の利用者の残高が0円になるというシステムトラブルが発生したと発表した（PayPal、NHK、ITmedia）。

ITmediaの記事によれば、Twitterでは同日から「PayPal残高が0になっていた」との声が出ていたという。報道などによれば銀行口座への引出し処理が誤って行われ、残高の全額を登録されている利用者本人の銀行口座に送金しようとしていたそうだ。同社はシステムエラーが原因で、不正アクセスによるものではいとしている。現在は大部分の日本円残高に関しては回復したものの、日本円以外の通貨を含む一部のアカウント残高に影響が残ってる模様。同社は早急な回復に努めているとしている。

ドコモは24日からメッセージサービス「+メッセージ」をドコモ回線を利用したMVNOでも利用可能になるよう拡大した。+メッセージはLINE対抗色の強いサービスで、長文のメッセージや画像、動画、スタンプなどが、携帯電話番号だけでやりとりできる。NTTドコモ、KDDI、ソフトバンクの3大キャリアが、SMSに替わるリッチなメッセージサービスとして2018年にリリースした。これまで大手キャリアでしか使えなかったが、今年8月に+メッセージをMVNOやサブブランドでも利用可能にする方針を示していた（ドコモリリース、ITmedia）。

nagazou 曰く、

厚生労働省は25日、COVID-19接触確認アプリ「COCOA」の最新版「1.4.0」の提供をApp StoreとGoogle Playで開始した。しかしこのアップグレードにより、iPhoneおよびAndroidともにCOCOAが強制終了する報告が相次いでいるようだ。ITmediaが25日午後7時段階で編集部内で試したところ、iOS 15.1.1を導入したiPhoneでは起動できなかったとしている。厚生労働省も状況を把握はしているようで、COCOAの配布ページ上で「原因を調査の上、別途案内させていただきます」と告知している（COCOA公式、ITmedia）。

19日午後4時ごろに富山駅南口周辺で、若者数百人が集まるという騒ぎがあったそうだ。原因は「チョコパイ」。Twitterやインスタなどで「富山駅前でチョコパイを無料で配る」との情報が流れたことから高校生ら数百人が集まり、富山中央署員や富山市職員らが警戒に当たるまでの事態となったそうだ（富山新聞）。同駅周辺にでは2018年11月にも同様の騒ぎが起きていたとのこと。

AI技術による文章の作成技術が進歩し、単語などを並べることで自動的に小説を作成してくれるツールなどの品質が向上している。Togetterのまとめによると、べっくみんさんが『にほんご文章・小説AI「AIのべりすとα2.0」』で適当に銃器関係の名前を羅列したものを登録したところ、名前が鉄砲のものであることを認識してくれただけでなく、銃の名前と生産地を繋げ、なおかつ面白そうな書き出しを作り出してしまったという（べっくみんさんのツイート、Togetter）。

そんな中、ダ・ダ・恐山さんがこのAIジェネレーターに現実には存在しない「飛騨カブトムシ早食いオリンピック」という存在しない言葉を書き込んで「出典: フリー百科事典『ウィキペディア（Wikipedia）』」と書いたところ、その言葉を元にしたWikipediaの記事を作り出してしまったそうだ。こうしたことから、Twitterの一部では実在しない映画タイトルなどをいれた架空のWikipediaを作るのが流行っているようだ（Togetterその2、Togetterその3）。

headless 曰く、

ロシア連邦通信・情報技術・マスコミ分野監督庁 (Roskomnadzor) は 22 日、2022 年 1 月 1 日までにロシア国内での事務所設置を義務付ける国外テクノロジー企業 13 社のリストを発表した (ニュースリリース、 リスト、 Reuters の記事、 Neowin の記事)。

国内事務所設置義務付けは 6 月に下院で可決し、7 月 1 日に施行されたロシア国内でのインターネットにおける外国人の活動に関する法律によるものだ。同法は国外企業がインターネットを通じて提供するロシア国内向けサービスでロシア国内法を順守させるため、ロシア国内での活動について完全な代表権を持った部署の設置を義務付ける。

1 月 1 日までに国内事務所設置が求められる 13 社は以下の通り。対象はロシアにおけるユーザー数が 50 万人を超えるインターネットを通じたサービスとされているが、具体的なリストが公表されるのは今回が初めてだ。しかし、今年も残すところ 1 か月余りという時点での発表にもかかわらず、あまり具体性のない内容となっている。

• Google LLC
• Apple Distribution International Ltd.
• Meta Platforms, Inc.
• Twitter, Inc.
• TikTok Pte. Ltd.
• Telegram Messenger, Inc.
• Zoom Video Communications, Inc.
• Likeme Pte.ltd.
• Viber Media S.à r.l.
• Discord, Inc.
• Pinterest, Inc.
• Spotify AB
• Twitch Interactive, Inc.

headless 曰く、

Alphabet の X が開発する普段使いのロボット「Everyday Robot」がラボ環境を離れ、Google のキャンパスに進出しているそうだ (The X Blog の記事、 9to5Google の記事、 The Verge の記事)。

車輪で移動し、1本の長いアームで作業する Everyday Robot はゴミの分別やテーブルのふきん掛け、会議室の椅子の片付けといった日常的に必要な作業をこなし、生活を楽にする汎用ロボットを目指す。現在では 100 体ほどのプロトタイプが Google のオフィスで仕事をしているという。2 年前に X が初めて紹介した Everyday Robot はゴミの分別をしていたが、同じ型のロボットが現在はアームにスクイージーを装備してテーブルを拭き、カップをつかむのと同じグリッパーでドアを開けることを学習できるそうだ。

現在は多くのロボットが専用に設計された環境でプログラムされたとおりに作業しているが、現実的な環境で役立つロボットにするには自ら学習可能なロボットが必要だ。2016 年に X がラボ環境で産業用ロボットに小さな日用品をつかむことを学習させようとした際、1 台のロボットが 75 % の成功率に到達するのに 4 か月相当の時間がかかったという。現在はドアを開けたり椅子をまっすぐに並べるといったより複雑な作業でも 1 日以内で 90 % の成功率に到達できるそうだ。汎用ロボットの開発は壮大な計画であるが、Everyday Robot の現状はそれが不可能ではないことを示すものとのことだ。