💸 S.E. Заметка. Продавцы воздуха в онлайн-магазинах.

🖖🏻 Приветствую тебя user_name.

• В блоге Касперского описана интересная, но относительно "старая" схема обмана пользователей различных маркетплейсов с помощью поддельных страниц оплаты товара.

• Суть в том, что фишеры публикуют товар в различных маркетплейсах. Это может быть все, что угодно: от бассейна до смартфона. Страницы товаров не вызывают подозрения, так как в них присутствует правдоподобная информация: артикул, логотип производителя, фото товара, сроки доставки и возврата. В описании товара фишеры указывают номер телефона и просят перед оформлением заказа обязательно написать менеджеру.

• Если потенциальный покупатель пишет по номеру в описании на сайте, ему предлагают прислать полное имя покупателя, адрес ближайшего пункта выдачи заказов, номер телефона и другую информацию. Финалом переписки становится ссылка на «страницу оформления заказа». Кликнув по ссылке, жертва якобы возвращается на сайт маркетплейса для оформления покупки, но на самом деле это мошеннический ресурс, созданных злоумышленниками. Если жертва оплатит товар через поддельный сайт, мошенники получат деньги и личные данные жертвы.

🧷 Более подробная информация описана тут: https://www.kaspersky.ru/blog/marketplace-scam-russia/33931/

Твой S.E. #СИ #Фишинг

Министерство финансов США в пятницу объявило о санкциях против Министерства разведки и безопасности Ирана (MOIS) и министра Эсмаила Хатиба.

Поводом послужили выводы Microsoft, которые в результате расследования состоявшейся 15 июля 2022 года атаки на государственные онлайн-сервисы и правительственные веб-сайты Албании заявили о причастности к киберинциденту четырех иранских АРТ.

По данным Microsoft, атака состояла из четырех этапов, за каждый из которых отвечали разные группы. Проанализировав сообщения, время и выбор целей, эксперты сделали вывод, что все группировки действовали под эгидой иранского правительства.

Так, DEV-0133 (также известный как Lyceum или Siamese Kitten) исследовал инфраструктуру жертвы, DEV-0842 развернул программу-вымогатель и вредоносное ПО для очистки данных. В то время как DEV-0861 получил первоначальный доступ и удалил данные, а DEV-0166 (ака IntrudingDivisor) эксфильтровал данные.

Сообщается, что первоначальный доступ к сети жертвы албанского правительства произошел еще в мае 2021 года благодаря успешному использованию уязвимости удаленного выполнения кода SharePoint (CVE-2019-0604) с последующей утечкой электронной почты из скомпрометированной сети в октябре 2021 и январе 2022 г.

Ресерчеры полагают, что участвующие в получении первоначального доступа и краже данных были связаны с Europium (ака APT34, Cobalt Gypsy, Helix Kitten или OilRig).

Вторая параллельная волна наблюдалась в период с ноября 2021 года по май 2022 года, вероятно, с помощью инструмента под названием Jason.

Кроме того, вторжения повлекли за собой развертывание ransomware под названием ROADSWEEP и распространение вредоносного ПО для удаления данных, называемого ZeroCleare.

Злоумышленники, ответственные за вторжение и кражу данных, использовали инструменты, ранее использовавшиеся другими известными иранскими злоумышленниками. Причастные к эксфильтарции акторы были нацелены и на другие секторы и страны, которые соответствуют интересам Ирана.

Microsoft полагают, что атаки последовали после серии кибератак на Иран, в том числе организованных иранской группой хактивистов, связанной с «Муджахедин-э-Халк» (MEK), в первую неделю июля 2022 года.

MEK, также известная как Народная организация моджахедов Ирана (PMOI), представляет собой иранскую диссидентскую группу, базирующуюся в Албании.

Министерство иностранных дел Ирана отвергло обвинения в причастности к атакам на Албанию, назвав их безосновательными, а также осудило санкции, обвинив США в поддержке «террористической секты» МЕК.

И не зря, ведь ангажированная атрибуция Microsoft, как известно, обусловлена скорее сотрудничеством с спецслужбами и конвейером подрядов со стороны Минобороны США, нежели результатом объективных наблюдений и глубокого анализа.

͏Пожалуй, вечная проблема информационной безопасности😂

Прослеживается отрицательная динамика в безопасности продуктов гиганта из Купертино.

В этом году Apple устранила уже восьмой 0-Day, который активно используется в атаках на iPhone и Mac.

Ошибка тслеживается как CVE-2022-32917 и может позволить злоумышленникам использовать ошибку, создавая вредоносные приложения для выполнения RCE с привилегиями ядра.

Об этом недостатке сообщил анонимный исследователь и самое интересное Apple подтвердила, что ей было известно об ошибке и она могла активно использоваться. Странное заявление, но такое уже не впервые.

В понедельник было выпущено экстренное обновление для линейки продуктов Apple.

Бага затрагивает iPhone 6s и новее, iPad Pro (все модели), iPad Air 2 и новее, iPad 5-го поколения и новее, iPad mini 4 и новее, а также iPod touch (7-го поколения и Mac под управлением macOS Big Sur 11.7 и macOS Monterey 12.6).

Apple решила проблему, выпустив версии iOS 15.7 и iPadOS 15.7, macOS Monterey 12.6 и macOS Big Sur 11.7 .

По классике жанра Apple не раскрывает технических подробностей атак, которые использовали эту уязвимость в дикой природе, дабы клиенты смогли установить исправления безопасности.

Apple настоятельно рекомендует владельцам затронутых устройств загрузить исправление как можно скорее.

Отдельно ИТ-гигант напомнил пользователям, что после того, как они установили обновления для tvOS, watchOS, iPadOS и iOS, откатиться до более ранней версии будет нельзя и это относится ко всем ее операционным системам.

͏Ресерчеры китайской Qihoo 360 провели мощный анализ и представили диаграмму APT  в зависимости от сложности их тактик и уровня активности.

Наименования APT соответствуют их собственной атрибуции, соответствие общеизвестным обозначениям групп раскрыто в отдельном перечне.

В целом, выводы Qihoo 360 соответствуют нашим наблюдениям: по части Equation вполне закономерно, учитывая изощренность атак и более чем 20-летнюю историю активностей.

Ресерчеры Arctic Wolf Labs выяснили, что вымогатели Lorenz приступили к активной эксплуатации критической уязвимости CVE-2022-29499 в устройствах Mitel MiVoice VOIP для получения первоначального доступа к корпоративным сетям предприятий.

Новая тактика была замечена после совпадения TTP исследованных атак Lorenz, с результатами июньского отчета Crowdstrike в отношении потенциальных угроз Mitel MiVoice VOIP, о которых мы также ранее сообщали.

Согласно отчету Arctic Wolf Labs, первоначальная вредоносная активность исходила от устройства, расположенного на сетевом периметре и была связана с использованием RCE-баги в компоненте Mitel Service Appliance MiVoice Connect.

После внедрения обратной оболочки, злоумышленник использовал Chisel в качестве инструмента туннелирования для перехода в среду.

Lorenz нацелена на корпоративные организации по всему миру с декабря 2020 года, требуя выкуп в сотни тысяч долларов от каждой жертвы и применяя тот шифратор, что и предыдущей операции ThunderCrypt.

Группа также известна тем, что продает данные, украденные до шифрования своим коллегам вместе с доступом к внутренним сетям своих жертв. В случае отказа жертвы от выкупа организуется утечка краденных данных в виде защищенных паролем архивов RAR и публикацией к ним пароля.

Послужной список впечатляет и включает, к примеру немецкого военного подрядчика Hensoldt и главного канадского оператора Canada Post.

Впрочем, удивляться не стоит. Даже несмотря на то, что Mitel устранил уязвимость, выпустив исправления в начале июня 2022 года для всех уязвимых версий MiVoice Connect, до настоящего времени более 19 000 устройств остаются уязвимыми.

Кроме того, как известно, злоумышленники продолжают использовать и более старые ошибки (CVE-2022-26143) Mitel для проведения DDoS-атак с усилением.

Отношения между ЕС и Грецией продолжают накаляться в связи с недавним скандалом, когда в адрес правительства Афин поступили обвинения в использовании шпионского ПО для наблюдения за политическим соперником и членом парламента ЕС.

В конце июля депутат Европарламента и президент второй по величине оппозиционной партии Греции (ПАСОК) Никос Андрулакис подал жалобу  в прокуратуру Верховного суда страны, утверждая, что его устройство было заражено шпионским ПО Predator, разработанным северомакедонской Cytrox.

Позже выяснилось также, что киберслежка проводилась и в отношении финансового журналиста Танасиса Кукакиса, которого об этом уведомили ресерчеры CitizenLab.

С тех пор, скандал в Греции не утихает обороты, несмотря на попытки премьер-министра Кириакоса Мицотакиса замять инцидент, а на днях и вовсе получил новое продолжение после обнаружения нового эпизода.

Греческие репортеры из DocumentNews заявили, что обнаружили третью жертву ПО Predator, которой стал Христос Спиртзис, член греческого парламента от имени СИРИЗА, крупнейшей оппозиционной партии Греции.

Похоже, что греческий кейс плавно сменяет израильскую NSO Group, которая уже фактически перешла в американскую юрисдикцию и руки ее спецслужб. Вероятно, Cytrox ожидает та же дорога, как и весь рынок коммерческого шпионажа.

Но в любом случае, будем посмотреть.

Команда хактивистов GhostSec заявили о взломе 55 ПЛК Berghof, используемых израильскими организациями в рамках кампании «Свободная Палестина».

Подробности компрометации впервые стали известны 4 сентября после того, как GhostSec поделились видео на своем канале в Telegram с демонстрацией успешной авторизации в панели администратора ПЛК, а также скриншотами экрана HMI, показывающими некоторые этапы атаки, включая блокировку ПЛК.

При этом дампы системы и скриншоты были экспортированы непосредственно из панели администратора после несанкционированного доступа к контроллерам через их общедоступные IP-адреса.

GhostSec (ака Ghost Security) впервые идентифицирована в 2015 году и известна как группа линчевателей, которая изначально была сформирована для борьбы с ИГИЛ. С конца июня хакеры принимают участие в кампании OpIsrael, направленной против израильских организаций и предприятий, после непрерывных атак Израиля на палестинцев.

Они осуществили ряд атак, в том числе направленных на открытые в Интернете интерфейсы Bezeq International и ELNet, расположенные в научно-промышленном центре Matam.

Как позже отметили в Cyberint, группа начала атаковать несколько израильских компаний, предположительно получив доступ к различным интерфейсам IoT и системам ICS/SCADA, что привело к сбоям.

Инцидент с ПЛК Berghof изучили и подтвердили ресерчеры OTORIO, которые пришли к выводу о том, что компрометация стала возможной благодаря доступности ПЛК через Интернет и легко угадываемым учетным данным.

Отметив, что доступ к панели администратора обеспечивает полный контроль над некоторыми функциями ПЛК, однако не позволяет операторам напрямую контролировать производственный процесс.

В свою очередь, GhostSec представили дополнительные скрины с отображением доступа к другой панели управления, которую можно использовать для изменения уровня хлора и pH в воде.

Однако активисты GhostSec не стали развивать атаку и более глубоко погружаться в домен OT, а использовали демонстрацию потенциальных возможностей для популяризации своей деятельности.

И им это определенно удалось.

Подкатил сентябрьский PatchTuesday от Microsoft, в котором исправлены 2 активно эксплуатируемый 0-day, а также еще 63 уязвимости в широком спектре компонентов Windows, включая Dynamics CRM, SharePoint, Office и Office, Защитнике Windows и Microsoft Edge.

Среди них: 18 - повышения привилегий, 1 - обход уязвимостей безопасности, 30 - RCE, 7 - раскрытие информации, 7 - DoS и 16 в Edge (уязвимости Chromium). 5 из 63 классифицируются как «критические» и допускают RCE.

Одна из 0-day отслеживается как CVE-2022-37969, имеет оценку CVSS 7,8 из 10 и связана с уязвимостью драйвера Common Log File System (CLFS). Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить системные привилегии.

Об уязвимости сообщили практически одновременно ресерчеры DBAPPSecurity, Mandiant, CrowdStrike и Zscaler, предполагая, что она использовалась в цепочке эксплойтов, связанных с ограниченными целевыми атаками.

При этом Mandiant обнаружил ошибку в ходе поиска эксплойтов Offensive Task Force. Эксплойт для CLFS является автономным, а не частью цепочки (например, браузер + EOP).

В свою очередь, Microsoft не стала публиковать никаких технических подробностей об ошибке или каких-либо индикаторов компрометации (IOC).

Другая публично раскрытая уязвимость Cache Speculation Restriction Vulnerable отслеживается как CVE-2022-23960.

Полный список исправленных уязвимостей представлен в отчете (здесь).

͏Trend Micro объявила об исправлении нескольких уязвимостей, включая 0-day, в своем решении для защиты конечных точек Apex One.

Эксплуатируемая уязвимость отслеживается как CVE-2022-40139 и связана с неправильной проверкой функции отката продукта. Ошибка может быть использована злоумышленником, авторизованным в в консоле администратора.

Согласно бюллетеню Trend Micro, злоумышленник может добиться RCE в случае загрузки клиентами непроверенного пакета отката.

В дополнение к 0-day исправления Apex One также закрыли и три другие проблемы с высокой степенью серьезности и две проблемы со средней степенью серьезности.

Самая проблемная из них — CVE-2022-40144, которая может позволить злоумышленнику обойти аутентификацию с помощью специально созданных запросов. 

Теоретически ее можно связать с вышеупомянутым 0-day для преодоления аутентификации, но об этом Trend Micro не распространяется, равно как и упоминает об использовании CVE-2022-40144 в реальных атаках.

Другие уязвимости, исправленные Trend Micro, могут использоваться для повышения привилегий, DoS-атак и получения информации о целевом сервере.

Информация об атаках с использованием CVE-2022-40139 Trend Micro также не представлена. Но как мы знаем, злоумышленники нередко нацеливаются на уязвимости в продуктах компании.

За последние несколько лет хакерами эксплуатировались восемь таких недостатков, большинство из них как раз затрагивали продукты Apex. Баги в основном применялись в целенаправленных атаках.

Siemens и Schneider Electric в рамках Patch Tuesday проинформировали клиентов о десятках уязвимостей, затрагивающих их промышленные продукты.

Siemens выпустила пять бюллетеней, описывающих в общей сложности 37 исправленных уязвимостей.

В одном из бюллетеней представлены недостатки сторонних компонентов в веб-приложении Sinec INS (Infrastructure Network Services) для управления сетевыми службами.

В других компонентах, BIND, ISC DHCP, OpenSSL, Lodash и Axios, было обнаружено в общей сложности 14 уязвимостей высокой и средней степени серьезности.

Siemens предупреждает, что баги могут позволить злоумышленнику вызвать состояние DoS, получить конфиденциальные данные или нарушить целостность системы.

Siemens также устранила множество уязвимостей в продуктах Simcenter Femap и Parasolid, связанных с анализом файлов. Злоумышленник может использовать ошибки для RCE, заставив жертву открыть специально созданные файлы уязвимыми приложениями.

В ПО CoreShield One-Way Gateway (OWG) для Windows также была устранена серьезная уязвимость, которую можно использовать для локального повышения привилегий.

Другая серьезная проблема, которую можно использовать для обхода аутентификации, была закрыта в модуле Mendix SAML.

Наконец, компания Siemens исправила DoS-уязвимость средней степени серьезности в промышленных сетевых устройствах Ruggedcom.

Schneider Electric опубликовала лишь один новый бюллетень, но компания обновила более дюжины существующих бюллетеней.

В нем описываются многочисленные серьезные проблемы десериализации в продуктах EcoStruxure Machine SCADA Expert и Pro-face Blue Open Studio, которые могут привести к RCE, раскрытию информации или отказу в обслуживании.

Не густо, но и пусто.

Пользователям премиального плагина WPGateway стоит обеспокоиться, ибо специалистам из Wordfence стало известно, что злоумышленники в очередной раз утюжат WordPress, используя 0-day.

Плагин WPGateway позволяет пользователям облачного сервиса настраивать сайты WordPress и управлять ими с единой панели управления, а обнаруженная бага позволяет повысить привилегии.

Для этой проблемы уже зарезервировали идентификатор уязвимости CVE-2022-3180. Как сообщают исследователи, это активно используемая уязвимость и злоумышленники уже знают о механизме, необходимом для ее эксплуатации.

Суть ошибки в том, что злоумышленник, не прошедший проверку подлинности, используя уязвимость может добавить пользователя с правами администратора и полностью захватить ресурсы, на которых запущен уязвимый плагин WordPress.

По классике жанра с багами в WordPress масштаб угроз впечатляющий. Только за последние 30 дней брандмауэр Wordfence успешно заблокировал более 4,6 миллиона атак, нацеленных на эту уязвимость в более чем 280 000 сайтов.

Компания не поделилась техническими подробностями об атаках, дабы хоть как-то предотвратить дальнейшее использование и эскалацию атак в дикой природе.

Однако компания поделилась индикаторами компрометации (IoC), чтобы позволить администраторам WordPress определить, что их сайт был скомпрометирован.

Если вы видите, что пользователь был добавлен на вашу панель инструментов, то это означает, что ваш сайт был взломан.

Кроме того, вы можете проверить журналы доступа вашего сайта на наличие запросов на //wp-content/plugins/wpgateway/wpgateway-webservice-new.php?wp_new_credentials=1. Если эти запросы присутствуют в ваших журналах, они указывают на то, что ваш сайт был атакован с использованием эксплойта.

Если же вы пытаетесь определить, был ли ваш сайт скомпрометирован с помощью этой уязвимости, то наиболее распространенным индикатором компрометации является злонамеренный администратор с именем пользователя rangex.

Лекарства от проблемы пока нет и поэтому если у вас установлен плагин WPGateway, то настоятельно рекомендуется его удалить до тех пор, пока не будет выпущено исправление, а также проверить наличие злонамеренных пользователей-администраторов на панели управления WordPress.

͏Все, что нужно знать об ИБ, в двух словах😂

͏Вслед за недавней утечкой персональных данных граждан Индонезии, в даркнет на реализацию выставлена другая база, якобы утекшая из Министерства социальных дел Индонезии с данными о гражданстве.

85 ГБ содержат 102 млн. строк, а в качестве доказательств подлинности селлером представлены десятки фотографий национальных удостоверений личности.

Засветилась также не менее интересная, правда пока, не подтвержденная утечка 240 млн записей о пересечении границы КНР за период с 2020 по июль 2022 года, которая торгуется в сети за 100 тыс. долларов.

Достоверность все же вызывает сомнения, но поглядим.