Исследователи Deep Instinct обнаружили злоумышленника, нацеленного на азербайджанские цели, использующего приманки, связанные с военным конфликтом в Нагорном Карабахе, с целью заражения их систем новым вредоносным ПО на основе Rust.
Кампания получила наименование Rusty Flag и имела как минимум два разных вектора начального доступа, а в качестве одной из приманок был модифицированный документ, который использовала группа Storm-0978.
Но, как полагают исследователи, это больше указывает на атаку под чужим флагом.
Изначально Deep Instinct обнаружила вредоносный файл LNK с низким уровнем обнаружения под названием 1.KARABAKH.jpg.lnk и демонстрирующий изображение, связанное с военным инцидентом в Нагорном Карабахе.
LNK загружает и запускает установщик MSI, размещенный в DropBox, в котором уложен имплант на Rust, XML-файл запланированной задачи и файл изображения-приманки.
Затем нашелся еще один MSI-файл, который уже содержал другой вариант того же имплантата Rust, однако определить первоначальный вектор доступа для этой кампании было сложнее.
URL-адрес DropBox был замаскирован с помощью средства сокращения URL-адресов (hxxps://t[.]]ly/8CYQW).
Удалось выйти на файл Overview_of_UWCs_UkraineInNATO_campaign.docx, который отправлял запрос на этот URL.
Причем это имя файла и его содержимое, были с связаны с кампанией Storm-0978, использующей CVE-2023-36884, о чем даже имелся соответствующий комментарий на VirusTotal.
В ходе дальнейшего расследования все же выяснилось, что это другой файл. При это встроенный afchunk.rtf заменен, а упомянутая CVE не использовалась.
Вместо этого для загрузки и установки файла MSI эксплуатировалась CVE-2017-11882. Все это выглядит, по мнению исследователей, как преднамеренная попытка связать атаку с Storm-0978.
Несмотря на то, что первоначальная приманка представляла собой офисный файл, доставленный MSI также открывал файл-приманку в формате PDF. Каждая атака имела свои уникальные имена файлов и метаданные.
Хотя исходные векторы различались, выполнение в обоих вариантах осуществлялось одинаково. После выполнения файла он переходил в режим сна на 12 минут. Это известный метод, позволяющий избежать исследования безопасности и простого анализа в песочнице.
Затем начинал сбор информации о зараженной машине. Информация затем шифруется и отправляется на сервер злоумышленника, используя необычный, жестко запрограммированный порт 35667.
Исследователи Deep Instinct так и не смогли приписать эти атаки какому-либо известному злоумышленнику, а оба имплантата Rust имели 0 обнаружений при первой загрузке в VirusTotal.
Так что, чья-то реализуемая попытка имитации кибератак на Азербайджан со стороны приписываемых к России групп может и имела бы в моменте шансы на успех, если бы не Deep Instinct со своим отчетом.
Но, как показывает практика, иногда они имеют свойство превращаться в 404, ну а пока - IOC и MITRE на месте в отчете.
Кампания получила наименование Rusty Flag и имела как минимум два разных вектора начального доступа, а в качестве одной из приманок был модифицированный документ, который использовала группа Storm-0978.
Но, как полагают исследователи, это больше указывает на атаку под чужим флагом.
Изначально Deep Instinct обнаружила вредоносный файл LNK с низким уровнем обнаружения под названием 1.KARABAKH.jpg.lnk и демонстрирующий изображение, связанное с военным инцидентом в Нагорном Карабахе.
LNK загружает и запускает установщик MSI, размещенный в DropBox, в котором уложен имплант на Rust, XML-файл запланированной задачи и файл изображения-приманки.
Затем нашелся еще один MSI-файл, который уже содержал другой вариант того же имплантата Rust, однако определить первоначальный вектор доступа для этой кампании было сложнее.
URL-адрес DropBox был замаскирован с помощью средства сокращения URL-адресов (hxxps://t[.]]ly/8CYQW).
Удалось выйти на файл Overview_of_UWCs_UkraineInNATO_campaign.docx, который отправлял запрос на этот URL.
Причем это имя файла и его содержимое, были с связаны с кампанией Storm-0978, использующей CVE-2023-36884, о чем даже имелся соответствующий комментарий на VirusTotal.
В ходе дальнейшего расследования все же выяснилось, что это другой файл. При это встроенный afchunk.rtf заменен, а упомянутая CVE не использовалась.
Вместо этого для загрузки и установки файла MSI эксплуатировалась CVE-2017-11882. Все это выглядит, по мнению исследователей, как преднамеренная попытка связать атаку с Storm-0978.
Несмотря на то, что первоначальная приманка представляла собой офисный файл, доставленный MSI также открывал файл-приманку в формате PDF. Каждая атака имела свои уникальные имена файлов и метаданные.
Хотя исходные векторы различались, выполнение в обоих вариантах осуществлялось одинаково. После выполнения файла он переходил в режим сна на 12 минут. Это известный метод, позволяющий избежать исследования безопасности и простого анализа в песочнице.
Затем начинал сбор информации о зараженной машине. Информация затем шифруется и отправляется на сервер злоумышленника, используя необычный, жестко запрограммированный порт 35667.
Исследователи Deep Instinct так и не смогли приписать эти атаки какому-либо известному злоумышленнику, а оба имплантата Rust имели 0 обнаружений при первой загрузке в VirusTotal.
Так что, чья-то реализуемая попытка имитации кибератак на Азербайджан со стороны приписываемых к России групп может и имела бы в моменте шансы на успех, если бы не Deep Instinct со своим отчетом.
Но, как показывает практика, иногда они имеют свойство превращаться в 404, ну а пока - IOC и MITRE на месте в отчете.
Deep Instinct
Operation Rusty Flag – A Malicious Campaign Against Azerbaijanian Targets | Deep Instinct
The Deep Instinct Threat Lab has discovered a new operation against Azerbaijanian targets. The operation is not associated with a known threat actor, and the operation was instead named because of their novel malware written in the Rust programming language.
͏Хакерская группа GhostSec заявляет о получении неправомерного доступа к FTP-серверу, предположительно, принадлежащего Московской бирже, Moex.
Полученные благодаря этому 2,8 ГБ конфиденциальной информации теперь доступы для широкой публики.
Злоумышленники отметили, что им удалось получить доступ благодаря халатности сотрудника, который, с их слов, «оставил свои креды практически открытыми».
К настоящему времени инцидент официально не подтвержден, как и легитимность представленных данных. Но будем посмотреть.
Полученные благодаря этому 2,8 ГБ конфиденциальной информации теперь доступы для широкой публики.
Злоумышленники отметили, что им удалось получить доступ благодаря халатности сотрудника, который, с их слов, «оставил свои креды практически открытыми».
К настоящему времени инцидент официально не подтвержден, как и легитимность представленных данных. Но будем посмотреть.
Хост vx-underground пока в отключке и пытается оправиться от DDoS-атаки банды Lockbit.
Наблюдаем за противостоянием. Собственно, сами с усами, поскольку попросили протестировать ботнет Lockbit на себе и попытаться вывести свою инфру из сети.
Просили - получите 2,73 миллиона веб-запросов и примерно 300 ГБ веб-трафика, а пока спите и ждите пока хостер раздуплится.
Наблюдаем за противостоянием. Собственно, сами с усами, поскольку попросили протестировать ботнет Lockbit на себе и попытаться вывести свою инфру из сети.
Просили - получите 2,73 миллиона веб-запросов и примерно 300 ГБ веб-трафика, а пока спите и ждите пока хостер раздуплится.
X (formerly Twitter)
vx-underground (@vxunderground) on X
Thank you for the lovely image, Lockbit ransomware group.
Дмитрий Волков, который с недавних пор релоцировался в Сингапур в роли генерального директора сингапурской уже Group-IB, появился со своего рода программным выступлением 10 причин купить услуги Group-IB Реагирование на киберинциденты через призму возможностей.
Понятно, что материал в виде ответов на задаваемые вопросы ориентирован, в первую очередь, на первых лиц бизнеса, принимающих стратегические решения. Да и в целом это действительно реклама компании.
Но нам вот это понравилось: Обнаружение инцидентов и реагирование на них требуют совместных усилий команд безопасности и руководства организации. Это не исключительная ответственность одного человека или подразделения. Общая ответственность топ-менеджмента заключается в управлении рисками и создании эффективной антикризисной стратегии.
Это ровно то, о чем мы твердим уже давно, в частности в посте про атаку на цепочку мудаков.
Приятно послушать умного человека.
Понятно, что материал в виде ответов на задаваемые вопросы ориентирован, в первую очередь, на первых лиц бизнеса, принимающих стратегические решения. Да и в целом это действительно реклама компании.
Но нам вот это понравилось: Обнаружение инцидентов и реагирование на них требуют совместных усилий команд безопасности и руководства организации. Это не исключительная ответственность одного человека или подразделения. Общая ответственность топ-менеджмента заключается в управлении рисками и создании эффективной антикризисной стратегии.
Это ровно то, о чем мы твердим уже давно, в частности в посте про атаку на цепочку мудаков.
Приятно послушать умного человека.
Group-IB
Incident Response through an opportunity lens: In conversation with Dmitry Volkov (CEO, Group-IB)
Gather valuable insights on how incident response can be a make-or-break factor in securing your business from the conversation with Dmitry Volkov (CEO, Group-IB)
͏Google согласилась выплатить 93 миллиона долларов для урегулирования иска штата Калифорния по поводу обвинений в том, что компания вводила пользователей в заблуждение в отношении конфиденциальности их местоположения и нарушила таким образом законы о защите прав потребителей.
FTC стала инициатором крупнейшей, пожалуй, игровой утечки, которая включает конфиденциальные документы от Microsoft и Bethesda, представленные на одном из судебных заседаний, связанного с приобретением Activision.
Пролистывая раскрытые материалы, теперь каждый геймер сможет примерить на себя роль Купера, буквально за несколько минут узнав, что оказывается:
⁃ The Elder Scrolls 6 не выйдет на PS5 и не выйдет как минимум до 2026 года.
⁃ Планируется Red Dead Redemption 2 следующего поколения.
⁃ Xbox Series X будет иметь бездисковый дизайн в рамках обновления, а новый контроллер получит тактильную связь (кодовое название SEBILE выйдет в мае 2024 г.).
⁃ Слиты полные сроки реализации плана Xbox на период до 2030 года.
⁃ Xbox пытается купить Nintendo (возможно, Warner Bros., Valve и др).
⁃ Известны даты релиза Xbox среднего и следующего поколения (2025 и 2028 гг.) с изображениями.
⁃ Ремейки Fallout 3 и Oblivion в разработке.
⁃ К 2024 году будет анонсирована новый Doom Zero Year, продолжение Ghostwire Tokyo, расширение Starfield (Shattered Space).
⁃ Ведется работа над неизвестными проектами Project Platinum и Project Kestrel.
⁃ И многое другое.
В общем, как отмечают в X, кто-то из FTC, кто прицепил к одному файлу массу конфиденциальных и неотредактированных документов Microsoft в рамках судебного дела и не защитил документы должным образом во время загрузки, и таким образом выложил их в открытый доступ, должен быть уволен.
Пролистывая раскрытые материалы, теперь каждый геймер сможет примерить на себя роль Купера, буквально за несколько минут узнав, что оказывается:
⁃ The Elder Scrolls 6 не выйдет на PS5 и не выйдет как минимум до 2026 года.
⁃ Планируется Red Dead Redemption 2 следующего поколения.
⁃ Xbox Series X будет иметь бездисковый дизайн в рамках обновления, а новый контроллер получит тактильную связь (кодовое название SEBILE выйдет в мае 2024 г.).
⁃ Слиты полные сроки реализации плана Xbox на период до 2030 года.
⁃ Xbox пытается купить Nintendo (возможно, Warner Bros., Valve и др).
⁃ Известны даты релиза Xbox среднего и следующего поколения (2025 и 2028 гг.) с изображениями.
⁃ Ремейки Fallout 3 и Oblivion в разработке.
⁃ К 2024 году будет анонсирована новый Doom Zero Year, продолжение Ghostwire Tokyo, расширение Starfield (Shattered Space).
⁃ Ведется работа над неизвестными проектами Project Platinum и Project Kestrel.
⁃ И многое другое.
В общем, как отмечают в X, кто-то из FTC, кто прицепил к одному файлу массу конфиденциальных и неотредактированных документов Microsoft в рамках судебного дела и не защитил документы должным образом во время загрузки, и таким образом выложил их в открытый доступ, должен быть уволен.
ResetEra
Bethesda title release schedule leaked (Fallout 3 Remaster, DOOM...
Source:
https://files.cand.uscourts.gov/files/23-cv-02880_FTC_v_Microsoft/PX7011%20(Redacted).pdf
Attachment inside PDF: EX PX1050 Phil Spencer 101122.pdf
https://files.cand.uscourts.gov/files/23-cv-02880_FTC_v_Microsoft/PX7011%20(Redacted).pdf
Attachment inside PDF: EX PX1050 Phil Spencer 101122.pdf
Исследователи VulnCheck сообщают, что около 12 000 брандмауэров Juniper SRX и коммутаторов EX подвержены RCE-уязвимости, которой злоумышленники могут воспользоваться без аутентификации.
Еще в августе Juniper обнаружила многочисленные проблемы, связанные с манипулированием переменными среды PHP (CVE-2023-36844/CVE-2023-36845) и отсутствующей аутентификацией для критической функции (CVE-2023-36846/CVE-2023-36847), которые сами по себе имели оценку 5,3. Но в совокупности эти уязвимости стали критическим недостатком удаленного выполнения кода с рейтингом 9,8.
В более позднем техническом отчете watchTowr Labs опубликовала PoC, который объединил недостатки CVE-2023-36845 и CVE-2023-36846, позволяя исследователям удаленно выполнять код, загружая два файла на уязвимое устройство.
На этот раз VulnCheck представили еще один PoC-эксплойт, который использует только CVE-2023-36845, минуя необходимость загрузки файлов и сохраняя при этом удаленное выполнение кода без аутентификации.
Исследователи смогли модифицировать многоэтапный эксплойт в простой, который можно написать с помощью одной команды curl и который затрагивает большее количество именно старых систем.
Поэтому влияние выявленной проблемы безопасности обширнее и гораздо серьезнее, чем предполагает присвоенный средний рейтинг CVSS, в связи с чем администраторы должны предпринять немедленные меры по обновлению своих систем.
Исследователи также поделились на GitHub сканером для идентификации уязвимых развертываний в Интернете, благодаря которому нашли 14 951 Juniper с доступными из Интернета веб-интерфейсами.
Из них 79% уязвимы и остаются идеальным начальным вектором для реализации атаки на «цепочку мудаков», которая зачастую и приводит к получению хакерами доступа в корпоративную сеть.
При этом поставщик выпустил обновления безопасности, устраняющие уязвимость, еще 17 августа 2023 года, а Shadowserver и GreyNoise уже наблюдают, как злоумышленники приступили к эксплуатации CVE-2023-36845 в «атаках на мудака».
Еще в августе Juniper обнаружила многочисленные проблемы, связанные с манипулированием переменными среды PHP (CVE-2023-36844/CVE-2023-36845) и отсутствующей аутентификацией для критической функции (CVE-2023-36846/CVE-2023-36847), которые сами по себе имели оценку 5,3. Но в совокупности эти уязвимости стали критическим недостатком удаленного выполнения кода с рейтингом 9,8.
В более позднем техническом отчете watchTowr Labs опубликовала PoC, который объединил недостатки CVE-2023-36845 и CVE-2023-36846, позволяя исследователям удаленно выполнять код, загружая два файла на уязвимое устройство.
На этот раз VulnCheck представили еще один PoC-эксплойт, который использует только CVE-2023-36845, минуя необходимость загрузки файлов и сохраняя при этом удаленное выполнение кода без аутентификации.
Исследователи смогли модифицировать многоэтапный эксплойт в простой, который можно написать с помощью одной команды curl и который затрагивает большее количество именно старых систем.
Поэтому влияние выявленной проблемы безопасности обширнее и гораздо серьезнее, чем предполагает присвоенный средний рейтинг CVSS, в связи с чем администраторы должны предпринять немедленные меры по обновлению своих систем.
Исследователи также поделились на GitHub сканером для идентификации уязвимых развертываний в Интернете, благодаря которому нашли 14 951 Juniper с доступными из Интернета веб-интерфейсами.
Из них 79% уязвимы и остаются идеальным начальным вектором для реализации атаки на «цепочку мудаков», которая зачастую и приводит к получению хакерами доступа в корпоративную сеть.
При этом поставщик выпустил обновления безопасности, устраняющие уязвимость, еще 17 августа 2023 года, а Shadowserver и GreyNoise уже наблюдают, как злоумышленники приступили к эксплуатации CVE-2023-36845 в «атаках на мудака».
Исследователи Microsoft в области искусственного интеллекта не учли серьезную ошибку в безопасности и случайно раскрыли 38 ТБ данных, включая копии рабочих станций сотрудников, креды, корпоративные секреты и более 30 000 приватных сообщений Microsoft Teams.
Утечку раскрыли исследователи из Wiz, которые обнаружили проблему во время рутинного сканирования сети на предмет неправильно настроенных контейнеров.
Утечка была обнаружена в репозитории AI GitHub исследовательского подразделения Microsoft в области искусственного интеллекта под названием Robust-Models-Transfer и, как сообщается, была случайно обнародована при публикации набора обучающих данных с открытым исходным кодом.
Для совместного использования файлов Microsoft использовала функцию Azure с токенами SAS, которая позволяет совместно использовать данные из учетных записей хранения.
Wiz обнаружили, что URL-адрес на совместное использование всей учетной записи хранения был настроен таким образом, что включала еще 38 ТБ.
Помимо этого Wiz заметили, что токен также был неправильно настроен, предоставляя разрешения полного контроля вместо режима «только для чтения», что давало потенциальным злоумышленникам возможность удалять и перезаписывать файлы.
Злоумышленник мог внедрить вредоносный код во все модели искусственного интеллекта в этой учетной записи хранения, и каждый пользователь, доверяющий репозиторию Microsoft GitHub, был бы заражен.
Причем чертежи, предназначенные для моделей обучения ИИ, были представлены в формате ckpt, созданном на основе широко используемого TensorFlow и средства форматирования Pickle Python. Сам формат в таком случае мог стать шлюзом для RCE.
По данным Wiz, группа реагирования Microsoft аннулировала токен SAS в течение двух дней с момента первоначального раскрытия информации в июне этого года, еще через месяц токен был заменен на GitHub.
Microsoft прокомментировала инцидент, заявляя о том, что никакие данные клиентов не были раскрыты, никакие другие внутренние службы не подверглись риску из-за этой проблемы.
Компания заявила, что также обнаружила ошибку в своей системе сканирования, которая помечала конкретный URL-адрес SAS в репозитории как ложное срабатывание.
Как отметили исследователи, из-за отсутствия безопасности и управления токенами SAS учетной записи их следует считать такими же конфиденциальными, как и сам ключ учетной записи.
Поэтому настоятельно рекомендуется избегать использования учетной записи SAS для внешнего обмена. Ошибки при создании токена могут легко остаться незамеченными и раскрыть конфиденциальные данные.
Утечку раскрыли исследователи из Wiz, которые обнаружили проблему во время рутинного сканирования сети на предмет неправильно настроенных контейнеров.
Утечка была обнаружена в репозитории AI GitHub исследовательского подразделения Microsoft в области искусственного интеллекта под названием Robust-Models-Transfer и, как сообщается, была случайно обнародована при публикации набора обучающих данных с открытым исходным кодом.
Для совместного использования файлов Microsoft использовала функцию Azure с токенами SAS, которая позволяет совместно использовать данные из учетных записей хранения.
Wiz обнаружили, что URL-адрес на совместное использование всей учетной записи хранения был настроен таким образом, что включала еще 38 ТБ.
Помимо этого Wiz заметили, что токен также был неправильно настроен, предоставляя разрешения полного контроля вместо режима «только для чтения», что давало потенциальным злоумышленникам возможность удалять и перезаписывать файлы.
Злоумышленник мог внедрить вредоносный код во все модели искусственного интеллекта в этой учетной записи хранения, и каждый пользователь, доверяющий репозиторию Microsoft GitHub, был бы заражен.
Причем чертежи, предназначенные для моделей обучения ИИ, были представлены в формате ckpt, созданном на основе широко используемого TensorFlow и средства форматирования Pickle Python. Сам формат в таком случае мог стать шлюзом для RCE.
По данным Wiz, группа реагирования Microsoft аннулировала токен SAS в течение двух дней с момента первоначального раскрытия информации в июне этого года, еще через месяц токен был заменен на GitHub.
Microsoft прокомментировала инцидент, заявляя о том, что никакие данные клиентов не были раскрыты, никакие другие внутренние службы не подверглись риску из-за этой проблемы.
Компания заявила, что также обнаружила ошибку в своей системе сканирования, которая помечала конкретный URL-адрес SAS в репозитории как ложное срабатывание.
Как отметили исследователи, из-за отсутствия безопасности и управления токенами SAS учетной записи их следует считать такими же конфиденциальными, как и сам ключ учетной записи.
Поэтому настоятельно рекомендуется избегать использования учетной записи SAS для внешнего обмена. Ошибки при создании токена могут легко остаться незамеченными и раскрыть конфиденциальные данные.
wiz.io
38TB of data accidentally exposed by Microsoft AI researchers | Wiz Blog
Wiz Research found a data exposure incident on Microsoft’s AI GitHub repository, including over 30,000 internal Microsoft Teams messages – all caused by one misconfigured SAS token
Starlink неожиданно потеряла 212 спутников за последние два месяца.
Видимо, летом в небе также жарко, то ли от вспышек на солнце, или еще каких, ведь у SpaceX наблюдался резкий рост числа сгоревших спутников в период с 18 июля по 18 сентября, о чем говорят данные, собранные satellitemap.space.
В целом, тенденция неутешительная для компании, а число сгоревших спутников стабильно увеличивается в течение последних трех лет, но значительный всплеск наблюдается, начиная с июля.
Пока SpaceX не дает комментариев по этому поводу и доподлинно неясно, было ли это запланированным выводом из орбиты или исчезновение является результатом сбоя, а возможно иных причин или внешних воздействий.
Активные запуски SpaceX инциировала в 2019 году и с тех пор на орбиту было отправлено более 5 000 спутников, из которых около 4 500 активны. Starlink разработаны так, чтобы сгорать в атмосфере в конце жизненного цикла, который составляет пять лет.
Однако космические спутники могут быть уязвимы для электромагнитных бурь и сильные солнечные вспышки могут выводить девайсы из строя. Так, в феврале прошлого года SpaceX заявляла, что потеряла 40 новых спутников вскоре после запуска из-за электромагнитной бури.
Учитывая стоимость ракетного пуска, потенциальный ущерб для компании мог составить до 100 млн. долл., а пока же ждем комментариев Илона Маска.
Видимо, летом в небе также жарко, то ли от вспышек на солнце, или еще каких, ведь у SpaceX наблюдался резкий рост числа сгоревших спутников в период с 18 июля по 18 сентября, о чем говорят данные, собранные satellitemap.space.
В целом, тенденция неутешительная для компании, а число сгоревших спутников стабильно увеличивается в течение последних трех лет, но значительный всплеск наблюдается, начиная с июля.
Пока SpaceX не дает комментариев по этому поводу и доподлинно неясно, было ли это запланированным выводом из орбиты или исчезновение является результатом сбоя, а возможно иных причин или внешних воздействий.
Активные запуски SpaceX инциировала в 2019 году и с тех пор на орбиту было отправлено более 5 000 спутников, из которых около 4 500 активны. Starlink разработаны так, чтобы сгорать в атмосфере в конце жизненного цикла, который составляет пять лет.
Однако космические спутники могут быть уязвимы для электромагнитных бурь и сильные солнечные вспышки могут выводить девайсы из строя. Так, в феврале прошлого года SpaceX заявляла, что потеряла 40 новых спутников вскоре после запуска из-за электромагнитной бури.
Учитывая стоимость ракетного пуска, потенциальный ущерб для компании мог составить до 100 млн. долл., а пока же ждем комментариев Илона Маска.
Исследователи SentinelOne обнаружили новые версии трояна CapraRAT, которые имитируют YouTube и используются пакистанской Transparent Tribe для шпионажа за устройствами Android.
Отслеживаемая как APT36 или Mythic Leopard действует как минимум с 2016 года и использует вредоносные или встроенные приложения для Android для атак на индийские оборонные и правительственные учреждения, связанные с Кашмиром цели, а также на правозащитников в Пакистане.
CapraRAT - это высокоинвазивный инструмент, который дает злоумышленнику контроль над большей частью данных на заражаемых устройствах Android. На вооружении у АРТ с 2018 года, являясь важнейшим компонентом в составе арсенала инструментов, позволяющих в целом проникать в системы Windows, Linux и Android.
RAT распространяется в виде троянизированных приложений знакомств под брендами MeetsApp и MeetUp через вредоносные сайты с использованием социальной инженерии.
По словам SentinelOne, три последних образца CapraRAT, похоже, используют одну и ту же схему распространения. APK-файлы были загружены на VirusTotal в апреле, июле и августе 2023 года, два из них назывались YouTube и один Piya Sharma.
во процессе установки запрашивают множество разрешений, к некоторым из которых жертва может относиться без подозрений
Образцы заимствуют значок YouTube и во процессе установки запрашивают множество разрешений, к которым жертва, как правило, относиться без каких-либо подозрений.
При запуске вредоносная ПО запускает объект WebView для загрузки сайта YouTube, чтобы не вызывать подозрений. Интерфейс таким образом имитирует настоящее приложение. Правда, в нем отсутствуют некоторые функции, доступные на реальной платформе.
После установки на устройство жертвы вредоносное ПО может делать записи с микрофона и камер, собирать сообщения и журналы вызовов, отправлять и блокировать сообщения, совершать телефонные звонки, делать снимки экрана, менять настройки GPS и сети, а также модифицировать файлы.
Transparent Tribe на протяжении длительного времени сохраняет постоянство TTPs, а относительно низкий уровень OpSec позволяет быстро атрибутировать его инструменты.
Так, адреса C2, с которыми взаимодействует CapraRAT, жестко запрограммированы в файле конфигурации приложения и непосрелственно связаны с прошлыми кампаниями Transparent Tribe.
Имитация YouTube является новым дополнением к уже устойчивой тенденции использования Android-приложений в качестве шпионского ПО и распространения их среди целей через социальные сети.
SentinelLabs отмечает при этом, что варианты CapraRAT, обнаруженные в ходе недавней кампании, имеют улучшенные характеристики по сравнению с более ранними, что демонстрирует эволюцию и адаптивность, а внедрение новых приложений дает АРТ бесспорное преимущество, позволяя охватывать все новых потенциальных жертв.
Отслеживаемая как APT36 или Mythic Leopard действует как минимум с 2016 года и использует вредоносные или встроенные приложения для Android для атак на индийские оборонные и правительственные учреждения, связанные с Кашмиром цели, а также на правозащитников в Пакистане.
CapraRAT - это высокоинвазивный инструмент, который дает злоумышленнику контроль над большей частью данных на заражаемых устройствах Android. На вооружении у АРТ с 2018 года, являясь важнейшим компонентом в составе арсенала инструментов, позволяющих в целом проникать в системы Windows, Linux и Android.
RAT распространяется в виде троянизированных приложений знакомств под брендами MeetsApp и MeetUp через вредоносные сайты с использованием социальной инженерии.
По словам SentinelOne, три последних образца CapraRAT, похоже, используют одну и ту же схему распространения. APK-файлы были загружены на VirusTotal в апреле, июле и августе 2023 года, два из них назывались YouTube и один Piya Sharma.
во процессе установки запрашивают множество разрешений, к некоторым из которых жертва может относиться без подозрений
Образцы заимствуют значок YouTube и во процессе установки запрашивают множество разрешений, к которым жертва, как правило, относиться без каких-либо подозрений.
При запуске вредоносная ПО запускает объект WebView для загрузки сайта YouTube, чтобы не вызывать подозрений. Интерфейс таким образом имитирует настоящее приложение. Правда, в нем отсутствуют некоторые функции, доступные на реальной платформе.
После установки на устройство жертвы вредоносное ПО может делать записи с микрофона и камер, собирать сообщения и журналы вызовов, отправлять и блокировать сообщения, совершать телефонные звонки, делать снимки экрана, менять настройки GPS и сети, а также модифицировать файлы.
Transparent Tribe на протяжении длительного времени сохраняет постоянство TTPs, а относительно низкий уровень OpSec позволяет быстро атрибутировать его инструменты.
Так, адреса C2, с которыми взаимодействует CapraRAT, жестко запрограммированы в файле конфигурации приложения и непосрелственно связаны с прошлыми кампаниями Transparent Tribe.
Имитация YouTube является новым дополнением к уже устойчивой тенденции использования Android-приложений в качестве шпионского ПО и распространения их среди целей через социальные сети.
SentinelLabs отмечает при этом, что варианты CapraRAT, обнаруженные в ходе недавней кампании, имеют улучшенные характеристики по сравнению с более ранними, что демонстрирует эволюцию и адаптивность, а внедрение новых приложений дает АРТ бесспорное преимущество, позволяя охватывать все новых потенциальных жертв.
SentinelOne
CapraTube | Transparent Tribe’s CapraRAT Mimics YouTube to Hijack Android Phones
Pakistan-aligned threat actor weaponizes fake YouTube apps on the Android platform to deliver mobile remote access trojan spyware.
Trend Micro исправила 0-day в своем решении для защиты конечных точек Apex One, которая активно использовалась в атаках.
RCE-ошибка отслеживается как CVE-2023-41179 и получила оценку 9,1 согласно CVSS v3, что классифицирует ее как «критическую».
Недостаток затрагивает Trend Micro Apex One 2019, SaaS 2019, Worry-Free Business Security (WFBS) 10.0 SP1 и Worry-Free Business Security Services (WFBSS) 10.0 SP1.
Исправления доступны в пакете обновления 1 для Apex One 2019 — исправление 1 (сборка 12380), Apex One SaaS 14.0.12637, патчах WFBS 2495 и WFBSS от 31 июля.
Смягчающим фактором является то, что для эксплуатации CVE-2023-41179 злоумышленник должен предварительно заполучить учетные данные для консоли управления и использовать их для входа в систему. Уязвимость требует от злоумышленника физического или удаленного доступа к целевой машине.
Японский CERT также выпустил предупреждение об активном использовании уязвимости, призывая пользователей ПО как можно скорее обновить его до безопасной версии.
В качестве эффективного обходного решения может стать ограничение доступа к консоли администрирования продукта только доверенным сетям, блокируя мошенников, которые пытаются получить доступ к конечной точке из извне.
Тем не менее администраторам необходимо установить обновления безопасности, чтобы предотвратить возможное использование уязвимости уже взломавшими сеть злоумышленниками для перемещения на другие устройства.
Несмотря на то, что Trend Micro традиционно не разглашает информацию об атаках, мы то помним, как одна из предыдущих 0-day была использована в атаке на Mitsubishi Electric.
RCE-ошибка отслеживается как CVE-2023-41179 и получила оценку 9,1 согласно CVSS v3, что классифицирует ее как «критическую».
Недостаток затрагивает Trend Micro Apex One 2019, SaaS 2019, Worry-Free Business Security (WFBS) 10.0 SP1 и Worry-Free Business Security Services (WFBSS) 10.0 SP1.
Исправления доступны в пакете обновления 1 для Apex One 2019 — исправление 1 (сборка 12380), Apex One SaaS 14.0.12637, патчах WFBS 2495 и WFBSS от 31 июля.
Смягчающим фактором является то, что для эксплуатации CVE-2023-41179 злоумышленник должен предварительно заполучить учетные данные для консоли управления и использовать их для входа в систему. Уязвимость требует от злоумышленника физического или удаленного доступа к целевой машине.
Японский CERT также выпустил предупреждение об активном использовании уязвимости, призывая пользователей ПО как можно скорее обновить его до безопасной версии.
В качестве эффективного обходного решения может стать ограничение доступа к консоли администрирования продукта только доверенным сетям, блокируя мошенников, которые пытаются получить доступ к конечной точке из извне.
Тем не менее администраторам необходимо установить обновления безопасности, чтобы предотвратить возможное использование уязвимости уже взломавшими сеть злоумышленниками для перемещения на другие устройства.
Несмотря на то, что Trend Micro традиционно не разглашает информацию об атаках, мы то помним, как одна из предыдущих 0-day была использована в атаке на Mitsubishi Electric.
JPCERT/CC
Alert Regarding Vulnerability in Trend Micro Multiple Endpoint Security Products for Enterprises
Исследователи Unit42 из Palo Alto раскрыли кампанию по распространению VenomRAT с использованием поддельного PoC для недавней RCE-уязвимости в WinRAR, отслеживаемой как CVE-2023-40477.
21 августа, буквально спустя 4 дня после публичного сообщения о ошибке. злоумышленник под псевдонимом whalersplonk разместил фейковый PoC-скрипт в своем репозитории на GitHub.
В основе указанного PoC был использован общедоступном сценарии, который был нацелен на другую SQL-уязвимость в приложении под названием GeoServer, отслеживаемую как CVE-2023-25157.
Как полагают исследователи, злоумышленник вряд ли создавал фальшивый Python-скрипт под исследователей, скорее всего был нацелен на других злоумышленников, пытаясь внедрить новые уязвимости в свои операции.
Воссозданная ими хронология событий также указывает на то, что инфраструктура и полезная нагрузка создавались заранее, независимо от выпуска поддельного PoC. Просто актор решил оперативно воспользоваться ситуацией, учитывая наличие у WinRAR более 500 млн. пользователей по всему миру.
Кроме того, для ввода в заблуждение потенциальных жертв злоумышленники снабдили размещенный ZIP-архив файлом README.md с кратким описанием уязвимости CVE-2023-40477 и инструкцией по использованию сценария poc.py, указав в ней ссылку на демонстрационный ролик на стороннем ресурсе.
Поддельный сценарий poc.py был основан на PoC CVE-2023-25157, но с некоторыми изменениями: были удалены комментарии, изменены некоторые строки кода и был добавлен дополнительный код, выполняющий пакетный скрипт с комментарием «проверить зависимость».
Обращаясь к выделенному URL-адресу (checkblacklistwords[.]eu), запускается закодированный сценарий PowerShell, который загружает загружает другой сценарий PowerShell из checkblacklistwords[.]eu/c.txt.
Загруженный сценарий PowerShell доставляет исполняемый файл и создает запланированную задачу, которая запускает его каждые три минуты для постоянного выполнения полезной нагрузки.
Исполняемый файл Windows.Gaming.Preview.exe - это и есть VenomRAT, который имеет определенную конфигурацию.
Образец был скомпилирован 8 февраля 2023 года в 22:10:28 UTC одновременно еще с 700 другими, что указывает на задействование стандартного компоновщика и модификации базового файла его с помощью обновленных настроек конфигурации.
Установить точное число компрометаций и оценить влияние кампании не представилось возможным, но смонтированное актором имело 121 просмотр. Полный список SHA и IoC представлен на GitHub.
21 августа, буквально спустя 4 дня после публичного сообщения о ошибке. злоумышленник под псевдонимом whalersplonk разместил фейковый PoC-скрипт в своем репозитории на GitHub.
В основе указанного PoC был использован общедоступном сценарии, который был нацелен на другую SQL-уязвимость в приложении под названием GeoServer, отслеживаемую как CVE-2023-25157.
Как полагают исследователи, злоумышленник вряд ли создавал фальшивый Python-скрипт под исследователей, скорее всего был нацелен на других злоумышленников, пытаясь внедрить новые уязвимости в свои операции.
Воссозданная ими хронология событий также указывает на то, что инфраструктура и полезная нагрузка создавались заранее, независимо от выпуска поддельного PoC. Просто актор решил оперативно воспользоваться ситуацией, учитывая наличие у WinRAR более 500 млн. пользователей по всему миру.
Кроме того, для ввода в заблуждение потенциальных жертв злоумышленники снабдили размещенный ZIP-архив файлом README.md с кратким описанием уязвимости CVE-2023-40477 и инструкцией по использованию сценария poc.py, указав в ней ссылку на демонстрационный ролик на стороннем ресурсе.
Поддельный сценарий poc.py был основан на PoC CVE-2023-25157, но с некоторыми изменениями: были удалены комментарии, изменены некоторые строки кода и был добавлен дополнительный код, выполняющий пакетный скрипт с комментарием «проверить зависимость».
Обращаясь к выделенному URL-адресу (checkblacklistwords[.]eu), запускается закодированный сценарий PowerShell, который загружает загружает другой сценарий PowerShell из checkblacklistwords[.]eu/c.txt.
Загруженный сценарий PowerShell доставляет исполняемый файл и создает запланированную задачу, которая запускает его каждые три минуты для постоянного выполнения полезной нагрузки.
Исполняемый файл Windows.Gaming.Preview.exe - это и есть VenomRAT, который имеет определенную конфигурацию.
Образец был скомпилирован 8 февраля 2023 года в 22:10:28 UTC одновременно еще с 700 другими, что указывает на задействование стандартного компоновщика и модификации базового файла его с помощью обновленных настроек конфигурации.
Установить точное число компрометаций и оценить влияние кампании не представилось возможным, но смонтированное актором имело 121 просмотр. Полный список SHA и IoC представлен на GitHub.
Unit 42
Fake CVE-2023-40477 Proof of Concept Leads to VenomRAT
A phony proof-of-concept (PoC) code for CVE-2023-40477 delivered a payload of VenomRAT. We detail our findings, including an analysis of the malicious code.
͏Самый «справедливый и гуманный» суд в мире подвергся кибератаке.
Пресловутый Международный Уголовный Суд (МУС) в Гааге заявил о киберинциденте в своей сети, где была обнаружена аномальная активность, влияющая на ее информационные системы.
Как сообщает МУС, были приняты немедленные меры по реагированию на нарушение и приняты меры по смягчению его влияния. К расследованию уже подключились ведущие инфосек-специалисты из Нидерландов.
Характер инцидента до сих пор пока остается неясным, и еще неизвестно, был ли получен доступ к каким-либо данным, хранящимся в системах МУС, или же они были выведены из строя.
Официальный представитель МУС Фади Эль-Адбаллах категорически отказался отвечать на вопросы журналистов и заявил, что организация не будет комментировать ситуацию вне рамок своего заявления. Кто стоял за кибератакой, конечно же, не сообщается.
Пресловутый Международный Уголовный Суд (МУС) в Гааге заявил о киберинциденте в своей сети, где была обнаружена аномальная активность, влияющая на ее информационные системы.
Как сообщает МУС, были приняты немедленные меры по реагированию на нарушение и приняты меры по смягчению его влияния. К расследованию уже подключились ведущие инфосек-специалисты из Нидерландов.
Характер инцидента до сих пор пока остается неясным, и еще неизвестно, был ли получен доступ к каким-либо данным, хранящимся в системах МУС, или же они были выведены из строя.
Официальный представитель МУС Фади Эль-Адбаллах категорически отказался отвечать на вопросы журналистов и заявил, что организация не будет комментировать ситуацию вне рамок своего заявления. Кто стоял за кибератакой, конечно же, не сообщается.
Forwarded from Russian OSINT
В Signal добавлена поддержка квантовой стойкости Post-Quantum Extended Diffie-Hellman (PQXDH).
В некоторых солидных учреждениях для рабочей переписки его рекомендуют 🤔в качестве альтернативы WhatsApp (входит в признанную экстремистской корпорацию Meta), Skype, Viber.
"...В качестве альтернативы им предложено применять смартфоны китайского или российского производства с операционной системой «Аврора» или Android, мессенджеры Telegram с функцией «секретный чат», «Тамтам», Signal, «VK Мессенджер» и eXpress", - пишут Ведомости.
👆Сразу вспоминается пост от коллег
Please open Telegram to view this post
VIEW IN TELEGRAM
После отчета ( пинка ) от Лаборатории Касперского разработчики Free Download Manager (FDM) вдруг зашевелились, представив нелепые объяснения почему на протяжении трех лет сайт использовался для распространения зараженного трояном установщика FDM для Linux.
FDM провела расследование и вдруг обнаружила, что отчеты ЛК и других исследователей о взломе их сайта были проигнорированы, как оказалось, из-за ошибки в их контактной системе, а Рафик сувсем невиновуен.
Причем в течение этого времени многие пользователи сообщали о необычном поведении после установки вредоносного установщика не только поставщику, но и оставляли различные посты на форуме поддержки и других площадках. Вероятно, те же ошибки также не давали разработчикам их увидеть.
Тем не менее, свой косяк признали и даже поспешили выпустить скрипт, позволяющий проверить, не было ли устройство Linux заражено в результате недавно зарегистрированной атаки на цепочку поставок.
Но стоит отдать должное, помимо извинений, поставщик постарался атрибутировать угрозу. В результате расследования они пришли к выводу, что сайт был скомпрометирован украинской хакерской группой, которая использовала его для распространения вредоносного ПО.
Потенциально пострадала лишь небольшая группа пользователей, особенно те, кто пытался загрузить FDM для Linux в период с 2020 по 2022 год. Вероятно, именно из-за ограниченного масштаба проблема до сих пор оставалась незамеченной, а уязвимость была случайно устранена во время планового обновления сайта в 2022 году.
Проанализировав резервные копии проекта, начиная с 2020 года, и разработчики измененную страницу, которая содержала алгоритм, который выбирал, давать ли пользователям правильную ссылку для скачивания или ссылку, ведущую на поддельный домен deb.fdmpkg[.]org с вредоносным файлом.
Как выяснилось, у него был «список исключений» для IP-адресов из различных подсетей, в том числе связанных с Bing и Google. Посетителям с них всегда предоставлялась правильная ссылка для загрузки.
Разработчики выразили сожаление по поводу случившегося и рекомендовали пользователей, скачавших FDM для Linux в течение 2020-2022 годов, проверить свои компьютеры на наличие вредоносного ПО, заверив, что пользователи Windows и Mac не пострадали.
Сценарии bash для проверки доступен здесь. Стоит учитывать, что скрипт только определяет наличие на вашем компьютере упомянутых потенциальных угроз, но не удаляет их. При обнаружении вредоносного ПО настоятельно рекомендуется переустановить систему.
FDM провела расследование и вдруг обнаружила, что отчеты ЛК и других исследователей о взломе их сайта были проигнорированы, как оказалось, из-за ошибки в их контактной системе, а Рафик сувсем невиновуен.
Причем в течение этого времени многие пользователи сообщали о необычном поведении после установки вредоносного установщика не только поставщику, но и оставляли различные посты на форуме поддержки и других площадках. Вероятно, те же ошибки также не давали разработчикам их увидеть.
Тем не менее, свой косяк признали и даже поспешили выпустить скрипт, позволяющий проверить, не было ли устройство Linux заражено в результате недавно зарегистрированной атаки на цепочку поставок.
Но стоит отдать должное, помимо извинений, поставщик постарался атрибутировать угрозу. В результате расследования они пришли к выводу, что сайт был скомпрометирован украинской хакерской группой, которая использовала его для распространения вредоносного ПО.
Потенциально пострадала лишь небольшая группа пользователей, особенно те, кто пытался загрузить FDM для Linux в период с 2020 по 2022 год. Вероятно, именно из-за ограниченного масштаба проблема до сих пор оставалась незамеченной, а уязвимость была случайно устранена во время планового обновления сайта в 2022 году.
Проанализировав резервные копии проекта, начиная с 2020 года, и разработчики измененную страницу, которая содержала алгоритм, который выбирал, давать ли пользователям правильную ссылку для скачивания или ссылку, ведущую на поддельный домен deb.fdmpkg[.]org с вредоносным файлом.
Как выяснилось, у него был «список исключений» для IP-адресов из различных подсетей, в том числе связанных с Bing и Google. Посетителям с них всегда предоставлялась правильная ссылка для загрузки.
Разработчики выразили сожаление по поводу случившегося и рекомендовали пользователей, скачавших FDM для Linux в течение 2020-2022 годов, проверить свои компьютеры на наличие вредоносного ПО, заверив, что пользователи Windows и Mac не пострадали.
Сценарии bash для проверки доступен здесь. Стоит учитывать, что скрипт только определяет наличие на вашем компьютере упомянутых потенциальных угроз, но не удаляет их. При обнаружении вредоносного ПО настоятельно рекомендуется переустановить систему.
Telegram
SecAtor
Ресерчеры из Лаборатории Касперского раскрыли атаку на цепочку поставок в рамках кампании, которая продолжается более 3 лет.
В течение этого периода сайт Free Download Manager перенаправлял пользователей Linux в репозиторий пакетов Debian с вредоносным ПО…
В течение этого периода сайт Free Download Manager перенаправлял пользователей Linux в репозиторий пакетов Debian с вредоносным ПО…
В ПО для мониторинга сети Nagios XI было обнаружено множество проблем безопасности, которые могут привести к повышению привилегий и раскрытию информации.
Четыре уязвимости безопасности, CVE-2023-40931 - CVE-2023-40934, затрагивают Nagios XI 5.11.1 (и ниже), были раскрыты 4 августа, а 11 сентября получили исправления с выпуском версии 5.11.2.
Как сообщают исследователи Outpost24, три из них (CVE-2023-40931, CVE-2023-40933 и CVE-2023-40934) позволяют пользователям с различными уровнями привилегий получать доступ к полям базы данных посредством SQL-инъекций.
Эксплуатация этих уязвимостей позволяет в дальнейшем повышать привилегий в продукте и получать конфиденциальные пользовательские данные, включая хэши паролей и токены API.
CVE-2023-40932, с другой стороны, относится к XSS-уязвимости и затрагивает компонент «пользовательский логотип», который можно использовать для чтения конфиденциальных данных, включая пароли в открытом виде со страницы входа.
Успешная эксплуатация трех уязвимостей SQL-инъекций может позволить злоумышленнику, прошедшему проверку подлинности, выполнить произвольные команды SQL, а ошибка XSS может быть использована для внедрения произвольного кода JavaScript, а также чтения и изменения данных страницы.
Новые проблемы в Nagios XI, конечно не те, что были найдены в 2021 году исследователями Skylight Cyber и Claroty, которыми можно было воспользоваться для взлома инфраструктуры и удаленного выполнения кода, но тем не менее критичны и требуют скорейшего обновления продукта.
Четыре уязвимости безопасности, CVE-2023-40931 - CVE-2023-40934, затрагивают Nagios XI 5.11.1 (и ниже), были раскрыты 4 августа, а 11 сентября получили исправления с выпуском версии 5.11.2.
Как сообщают исследователи Outpost24, три из них (CVE-2023-40931, CVE-2023-40933 и CVE-2023-40934) позволяют пользователям с различными уровнями привилегий получать доступ к полям базы данных посредством SQL-инъекций.
Эксплуатация этих уязвимостей позволяет в дальнейшем повышать привилегий в продукте и получать конфиденциальные пользовательские данные, включая хэши паролей и токены API.
CVE-2023-40932, с другой стороны, относится к XSS-уязвимости и затрагивает компонент «пользовательский логотип», который можно использовать для чтения конфиденциальных данных, включая пароли в открытом виде со страницы входа.
Успешная эксплуатация трех уязвимостей SQL-инъекций может позволить злоумышленнику, прошедшему проверку подлинности, выполнить произвольные команды SQL, а ошибка XSS может быть использована для внедрения произвольного кода JavaScript, а также чтения и изменения данных страницы.
Новые проблемы в Nagios XI, конечно не те, что были найдены в 2021 году исследователями Skylight Cyber и Claroty, которыми можно было воспользоваться для взлома инфраструктуры и удаленного выполнения кода, но тем не менее критичны и требуют скорейшего обновления продукта.
Outpost24
Nagios XI vulnerabilities resulting in privilege escalation (& more)
Outpost24 has identified four vulnerabilities in Nagios XI, three of which result in privilege escalation.
Две обнаруженные уязвимости в Atos Unify могут вызвать сбои в работе и привести к взлому системы.
Проблемы были найдены исследователями SEC Consult, являющейся частью бизнеса Eviden группы Atos, и затрагивают Atos Unify Session Border Controller (обеспечивает безопасность унифицированных коммуникаций), Unify OpenScape Branch для удаленных офисов и функцию пограничного контроля BCF, предназначенную для экстренных служб.
SEC Consult отмечает, что веб-интерфейс этих продуктов подвержен уязвимости CVE-2023-36618, которая может быть использована аутентифицированным злоумышленником с низкими привилегиями для выполнения произвольных функций PHP и последующих команд ОС с привилегиями root.
Другая, CVE-2023-36619, может быть использована злоумышленником, не прошедшим проверку подлинности, для доступа и выполнения определенных сценариев.
Злоумышленник может использовать эти сценарии, чтобы вызвать состояние DoS или изменить конфигурацию системы.
SEC Consult характеризует их как критические, даже несмотря на то, что присвоил им рейтинг высокой степени серьезности по CVSS.
По факту злоумышленники могут получить root-доступ над устройством, если известны какие-либо учетные данные пользователя с низким уровнем привилегий, и могут переконфигурировать или реализовать бэкдор в системе.
SEC Consult опубликовала рекомендации с техническими подробностями подробностями, но PoC раскрывать не стала.
В свою очередь, Atos выпустила обновления для исправления обеих уязвимостей Unify, а также предложила ряд обходных путей для снижения риска взлома.
Проблемы были найдены исследователями SEC Consult, являющейся частью бизнеса Eviden группы Atos, и затрагивают Atos Unify Session Border Controller (обеспечивает безопасность унифицированных коммуникаций), Unify OpenScape Branch для удаленных офисов и функцию пограничного контроля BCF, предназначенную для экстренных служб.
SEC Consult отмечает, что веб-интерфейс этих продуктов подвержен уязвимости CVE-2023-36618, которая может быть использована аутентифицированным злоумышленником с низкими привилегиями для выполнения произвольных функций PHP и последующих команд ОС с привилегиями root.
Другая, CVE-2023-36619, может быть использована злоумышленником, не прошедшим проверку подлинности, для доступа и выполнения определенных сценариев.
Злоумышленник может использовать эти сценарии, чтобы вызвать состояние DoS или изменить конфигурацию системы.
SEC Consult характеризует их как критические, даже несмотря на то, что присвоил им рейтинг высокой степени серьезности по CVSS.
По факту злоумышленники могут получить root-доступ над устройством, если известны какие-либо учетные данные пользователя с низким уровнем привилегий, и могут переконфигурировать или реализовать бэкдор в системе.
SEC Consult опубликовала рекомендации с техническими подробностями подробностями, но PoC раскрывать не стала.
В свою очередь, Atos выпустила обновления для исправления обеих уязвимостей Unify, а также предложила ряд обходных путей для снижения риска взлома.
SEC Consult
Authenticated Remote Code Execution and Missing Authentication in Atos Unify OpenScape
Two vulnerabilities have been identified in the Atos Unify OpenScape products Session Border Controller, Branch, and BCF. The first one allows a low-privileged attacker to execute arbitrary operating systems commands as root user. The second allows an unauthenticated…
Как и ожидалось, Китай приступил к реализации масштабного пендослива, обвиняя США в проведении за последнее десятилетие ряда крупных кампании кибершпионажа по всему миру.
На фоне растущей геополитической напряженности между двумя странами с резким заявлением на этот раз выступило МГБ КНР, указавшее на взлом серверов Huawei, кибератаку на Северо-Западный политехнический университет, кражу чувствительных данных и внедрение бэкдоров, начиная с 2009 года.
Не раскрывая деталей, в своем сообщении китайские спецслужбы прямо указали на Управление компьютерных сетевых операций АНБ США как инициатора систематических и платформенных атак на многие страны мира в рамках операций «Операция Телескрин (Bvp47)», «Квант», «FOXACID», «Улей» и др., которые осуществлялись с использованием серьезного киберарсенала, включая и тот самый Second Date.
В числе атакованных американцами с использованием шпионского ПО, по данным китайской спецслужбы, более 45 стран, включая Германия, Япония, Южная Корея, Индия и Тайвань, где основными целями стали телекоммуникации, научные исследования, экономика, энергетика и военный сектор.
Кроме того, MSS сообщает о принуждении властями США национальных технологических компаний к внедрению в свою продукцию бэкдоров для проведения кибершпионажа и кражи данных. В числе таких поставщиков китайцы назвали X-Mode Social и Anomaly Six, которые обеспечивали наблюдение за мобильными телефонами пользователей.
Как особо отмечают китайцы, при этом при всем, США разными способами фабрикуют различные версии «отчетов о безопасности», выставляя себя жертвой атак, призывая другие страны присоединиться к так называемой программе «чистой сети» в попытке устранить китайские компании с международного IT-рынка.
На фоне растущей геополитической напряженности между двумя странами с резким заявлением на этот раз выступило МГБ КНР, указавшее на взлом серверов Huawei, кибератаку на Северо-Западный политехнический университет, кражу чувствительных данных и внедрение бэкдоров, начиная с 2009 года.
Не раскрывая деталей, в своем сообщении китайские спецслужбы прямо указали на Управление компьютерных сетевых операций АНБ США как инициатора систематических и платформенных атак на многие страны мира в рамках операций «Операция Телескрин (Bvp47)», «Квант», «FOXACID», «Улей» и др., которые осуществлялись с использованием серьезного киберарсенала, включая и тот самый Second Date.
В числе атакованных американцами с использованием шпионского ПО, по данным китайской спецслужбы, более 45 стран, включая Германия, Япония, Южная Корея, Индия и Тайвань, где основными целями стали телекоммуникации, научные исследования, экономика, энергетика и военный сектор.
Кроме того, MSS сообщает о принуждении властями США национальных технологических компаний к внедрению в свою продукцию бэкдоров для проведения кибершпионажа и кражи данных. В числе таких поставщиков китайцы назвали X-Mode Social и Anomaly Six, которые обеспечивали наблюдение за мобильными телефонами пользователей.
Как особо отмечают китайцы, при этом при всем, США разными способами фабрикуют различные версии «отчетов о безопасности», выставляя себя жертвой атак, призывая другие страны присоединиться к так называемой программе «чистой сети» в попытке устранить китайские компании с международного IT-рынка.
Впервые обнаруженный специалистами Unit 42 ботнет P2PInfect в июле 2023 года, значительно увеличил свою активность с конца августа и утюжит сеть по сей день.
Только за неделю с 12 по 19 сентября 2023 года активность ботнета возросла в 600 раз, о чем сообщают исследователи из Cado Security, причем большинство нарушений затрагивают системы в Китае, США, Германии, Сингапуре, Гонконге, Великобритании и Японии.
Вредоносное ПО, распространяемое через peer-to-peer, нарушает работу Redis, используя уязвимость удаленного выполнения кода на системах Windows и Linux, подключенных к интернету.
По мнению специалистов Cado, активность P2PInfect сопряжена с тем, что вредоносное ПО стало более адаптированным и стабильным, что позволяет увеличивать ландшафт распространения.
Последние образцы содержат ряд дополнений и улучшений, включающих новые функции механизма постоянства на основе cron, использование ключа SSH для перезаписи любых авторизованных ключей SSH на нарушенном конечном узле и смену пароля для любых других пользователей в системе, если у вредоносного ПО есть доступ к root.
Несмотря на то, что недавно обнаруженные варианты P2PInfect пытались инсталлировать майнер, фактически деятельность криптодобычи не наблюдалась, но в совокупности это может указывать на то, что операторы вредоносного ПО продолжают экспериментировать с последним этапом атаки.
Учитывая текущий размер ботнета, его активное распространение, функции самообновления и быстрое расширение за последний месяц, P2PInfect представляет собой значительную угрозу, которую следует учитывать.
Только за неделю с 12 по 19 сентября 2023 года активность ботнета возросла в 600 раз, о чем сообщают исследователи из Cado Security, причем большинство нарушений затрагивают системы в Китае, США, Германии, Сингапуре, Гонконге, Великобритании и Японии.
Вредоносное ПО, распространяемое через peer-to-peer, нарушает работу Redis, используя уязвимость удаленного выполнения кода на системах Windows и Linux, подключенных к интернету.
По мнению специалистов Cado, активность P2PInfect сопряжена с тем, что вредоносное ПО стало более адаптированным и стабильным, что позволяет увеличивать ландшафт распространения.
Последние образцы содержат ряд дополнений и улучшений, включающих новые функции механизма постоянства на основе cron, использование ключа SSH для перезаписи любых авторизованных ключей SSH на нарушенном конечном узле и смену пароля для любых других пользователей в системе, если у вредоносного ПО есть доступ к root.
Несмотря на то, что недавно обнаруженные варианты P2PInfect пытались инсталлировать майнер, фактически деятельность криптодобычи не наблюдалась, но в совокупности это может указывать на то, что операторы вредоносного ПО продолжают экспериментировать с последним этапом атаки.
Учитывая текущий размер ботнета, его активное распространение, функции самообновления и быстрое расширение за последний месяц, P2PInfect представляет собой значительную угрозу, которую следует учитывать.
Cadosecurity
Cado Security Labs Researchers Witness a 600X Increase in P2Pinfect Traffic
Cado Security Labs have been tracking P2Pinfect since August 2023. This blog summarizes the latest updates.