Подкатили подробности серьезных уязвимостей, затрагивающих MeshCentral, Cisco и Zyxel, некоторые из которых еще не обзавелись ни CVE, ни исправлениями.
Исследователи Praetorian обнаружили уязвимость CVE-2024-26135 с CVSS 8,3 в MeshCentral, популярном решении для удаленного мониторинга и управления конечными точками.
Уязвимость межсайтового перехвата веб-сокетов CSWSH затрагивает компонент control.ashx и влияет на все версии до 1.1.20 включительно, исправлена в 1.1.21. Сложность атаки высокая, но доступен PoC.
Уязвимость можно использовать, если злоумышленнику удается убедить жертву щелкнуть вредоносную ссылку на подконтрольный сайт, что позволяет создать межсайтовое соединение через веб-сокет, используя код JavaScript на стороне клиента, чтобы подключиться к control.ashx в качестве пользователя-жертвы.
Cisco выпустила полугодовой пакет рекомендаций по безопасности FXOS и NX-OS, в том числе с исправлениями двух уязвимостей высокой степени серьезности.
Первая из серьезных ошибок, CVE-2024-20321, позволяет неаутентифицированному удаленному злоумышленнику вызвать состояние DoS, посылая большие объемы трафика.
Она затрагивает коммутаторы серии Nexus 3600 и линейные карты Nexus 9500 серии R.
Вторая серьезная CVE-2024-20267 позволяет удаленному злоумышленнику, не прошедшему проверку подлинности, инкапсулировать созданный пакет IPv6 в кадр MPLS и отправить его на уязвимое устройство, чтобы вызвать DoS-условие.
Проблема затрагивает коммутаторы серий Nexus 3000, Nexus 5500, Nexus 5600, Nexus 6000, Nexus 7000 и Nexus 9000, на которых настроен MPLS.
Исследователи Eclypsium предупреждают о множестве уязвимостей в линейке межсетевых экранов и VPN-устройств Zyxel USG с прошивкой версии 5.36 и ниже.
Злоумышленник, не прошедший проверку подлинности, может воспользоваться ими для полной компрометации необновленных устройств.
Несмотря на уведомления о уязвимостях, Zyxel отказалась давать рекомендации, поскольку уязвимости отсутствуют в последней версии прошивки.
В связи с тем, что уязвимостям не присвоены CVE, пользователи могут не знать об использовании уязвимых версий, в связи с чем следует обновить прошивку.
Исследователи Praetorian обнаружили уязвимость CVE-2024-26135 с CVSS 8,3 в MeshCentral, популярном решении для удаленного мониторинга и управления конечными точками.
Уязвимость межсайтового перехвата веб-сокетов CSWSH затрагивает компонент control.ashx и влияет на все версии до 1.1.20 включительно, исправлена в 1.1.21. Сложность атаки высокая, но доступен PoC.
Уязвимость можно использовать, если злоумышленнику удается убедить жертву щелкнуть вредоносную ссылку на подконтрольный сайт, что позволяет создать межсайтовое соединение через веб-сокет, используя код JavaScript на стороне клиента, чтобы подключиться к control.ashx в качестве пользователя-жертвы.
Cisco выпустила полугодовой пакет рекомендаций по безопасности FXOS и NX-OS, в том числе с исправлениями двух уязвимостей высокой степени серьезности.
Первая из серьезных ошибок, CVE-2024-20321, позволяет неаутентифицированному удаленному злоумышленнику вызвать состояние DoS, посылая большие объемы трафика.
Она затрагивает коммутаторы серии Nexus 3600 и линейные карты Nexus 9500 серии R.
Вторая серьезная CVE-2024-20267 позволяет удаленному злоумышленнику, не прошедшему проверку подлинности, инкапсулировать созданный пакет IPv6 в кадр MPLS и отправить его на уязвимое устройство, чтобы вызвать DoS-условие.
Проблема затрагивает коммутаторы серий Nexus 3000, Nexus 5500, Nexus 5600, Nexus 6000, Nexus 7000 и Nexus 9000, на которых настроен MPLS.
Исследователи Eclypsium предупреждают о множестве уязвимостей в линейке межсетевых экранов и VPN-устройств Zyxel USG с прошивкой версии 5.36 и ниже.
Злоумышленник, не прошедший проверку подлинности, может воспользоваться ими для полной компрометации необновленных устройств.
Несмотря на уведомления о уязвимостях, Zyxel отказалась давать рекомендации, поскольку уязвимости отсутствуют в последней версии прошивки.
В связи с тем, что уязвимостям не присвоены CVE, пользователи могут не знать об использовании уязвимых версий, в связи с чем следует обновить прошивку.
Praetorian
MeshCentral Cross-Site Websocket Hijacking Vulnerability (CVE-2024-26135)
Overview In this article we discuss a recent cross-site websocket hijacking (CSWSH) vulnerability that we identified in MeshCentral, a web-based remote monitoring and endpoint management solution. MITRE assigned the CVE identifier CVE-2024-26135. End users…
Исследователи Apiiro раскрыли новую волну скоординированной кампании, в результате которой на GitHub было загружено более 100 000 вредоносных репозиториев (на самом деле, предположительно, - миллионы).
Акторы используют опечатки в именах и автоматизированное разветвление, имитируя популярные репозитории и нацеливаясь таким образом на разработчиков, побуждая загрузить вредоносную версию вместо реальной.
В случае успеха - скрытая полезная нагрузка раскрывает семь уровней обфускации, включая извлечение модифицированной версии BlackCap-Grabber.
Инфокрад собирает учетные данные для входа из различных приложений, пароли браузера и файлы cookie, а также другие конфиденциальные данные, после чего выполняется длинный ряд дополнительных вредоносных действий.
Ориентированная на широкий охват кампания имеет своего рода сетевой эффект социнженерии второго порядка, когда время от времени наивные пользователи разветвляют вредоносные репозитории, не осознавая, что они распространяют вредоносное ПО.
Большинство разветвленных репозиториев быстро удаляются GitHub, который оперативно идентифицирует автоматизацию, что затрудняет документирование.
Тем не менее, небольшой процент остается и составляет тысячи вредоносных репозиториев. С учетом удаленных количество таких репозиториев достигает миллионных значений.
Исследователи Apiiro полагают, что вредоносная кампания началась еще в мае 2023 года, когда в PyPI было загружено несколько вредоносных пакетов, содержащих ранние части текущей полезной нагрузки.
Затем в июле того же года на GitHub было загружено еще несколько вредоносных репозиториев, на полезная нагрузка уже доставлялась напрямую, а не через импорт пакетов PyPI.
Тогда по этому поводу Trend Micro опубликовала подробный технический анализ.
А в ноябре 2023 Apiiro обнаружила более 100 000 репозиториев, содержащих аналогичные вредоносные полезные нагрузки, и их число продолжает расти.
Новая кампания достаточно эффективна, что обусловлено переходом от вредоносных пакетов в PyPI к репозиториям GitHub (с простотой автоматизации), а целевые репозитории занимают небольшую нишу и имеют низкую популярность.
А это позволяет ничего не подозревающим разработчикам совершить ошибку и клонировать своих злонамеренных подражателей.
Акторы используют опечатки в именах и автоматизированное разветвление, имитируя популярные репозитории и нацеливаясь таким образом на разработчиков, побуждая загрузить вредоносную версию вместо реальной.
В случае успеха - скрытая полезная нагрузка раскрывает семь уровней обфускации, включая извлечение модифицированной версии BlackCap-Grabber.
Инфокрад собирает учетные данные для входа из различных приложений, пароли браузера и файлы cookie, а также другие конфиденциальные данные, после чего выполняется длинный ряд дополнительных вредоносных действий.
Ориентированная на широкий охват кампания имеет своего рода сетевой эффект социнженерии второго порядка, когда время от времени наивные пользователи разветвляют вредоносные репозитории, не осознавая, что они распространяют вредоносное ПО.
Большинство разветвленных репозиториев быстро удаляются GitHub, который оперативно идентифицирует автоматизацию, что затрудняет документирование.
Тем не менее, небольшой процент остается и составляет тысячи вредоносных репозиториев. С учетом удаленных количество таких репозиториев достигает миллионных значений.
Исследователи Apiiro полагают, что вредоносная кампания началась еще в мае 2023 года, когда в PyPI было загружено несколько вредоносных пакетов, содержащих ранние части текущей полезной нагрузки.
Затем в июле того же года на GitHub было загружено еще несколько вредоносных репозиториев, на полезная нагрузка уже доставлялась напрямую, а не через импорт пакетов PyPI.
Тогда по этому поводу Trend Micro опубликовала подробный технический анализ.
А в ноябре 2023 Apiiro обнаружила более 100 000 репозиториев, содержащих аналогичные вредоносные полезные нагрузки, и их число продолжает расти.
Новая кампания достаточно эффективна, что обусловлено переходом от вредоносных пакетов в PyPI к репозиториям GitHub (с простотой автоматизации), а целевые репозитории занимают небольшую нишу и имеют низкую популярность.
А это позволяет ничего не подозревающим разработчикам совершить ошибку и клонировать своих злонамеренных подражателей.
Apiiro | Deep Application Security Posture Management (ASPM)
Over 100,000 Infected Repos Found on GitHub
The Apiiro research team has detected a repo confusion campaign that has evolved and expanded, impacting over 100k GitHub repos with malicious code.
Исследователи из Semperis раскрыли новую технику атаки Silver SAML, которая представляет угрозу для организаций, использующих SAML для аутентификации в приложениях, например, в Salesforce.
Эта метода является альтернативой ранее известной атаке Golden SAML, которая позволяет атакующим подделывать идентификационные данные без доступа к Active Directory Federation Services (AD FS).
Golden SAML был впервые задокументирован CyberArk в 2017 году.
Вкратце, вектор атаки влечет за собой злоупотребление совместимым стандартом аутентификации для выдачи себя за практически любую личность в организации.
Реальные атаки с использованием Golden SAML достаточно редкое явление, а первое зарегистрированное использование было связано со взломом SolarWinds путем подделки токенов SAML с использованием скомпрометированных сертификатов подписи токенов.
В Silver SAML эксплуатируется возможность использования внешне сгенерированных сертификатов для подписи ответов SAML в системах идентификации, таких как Microsoft Entra ID.
Соответственно, если злоумышленник получит доступ к закрытому ключу такого сертификата, он сможет создавать поддельные ответы SAML, позволяющие ему выдавать себя за любого пользователя.
Microsoft после уведомления об этой уязвимости сообщила, что не считает её критической и заявила о намерении предпринимать меры по защите клиентов по мере необходимости.
Хотя нет доказательств, что Silver SAML был использован в дикой природе все же рекомендуется использовать самоподписанные сертификаты Entra ID для подписи SAML и мониторить журналы аудита на предмет подозрительной активности.
Эта метода является альтернативой ранее известной атаке Golden SAML, которая позволяет атакующим подделывать идентификационные данные без доступа к Active Directory Federation Services (AD FS).
Golden SAML был впервые задокументирован CyberArk в 2017 году.
Вкратце, вектор атаки влечет за собой злоупотребление совместимым стандартом аутентификации для выдачи себя за практически любую личность в организации.
Реальные атаки с использованием Golden SAML достаточно редкое явление, а первое зарегистрированное использование было связано со взломом SolarWinds путем подделки токенов SAML с использованием скомпрометированных сертификатов подписи токенов.
В Silver SAML эксплуатируется возможность использования внешне сгенерированных сертификатов для подписи ответов SAML в системах идентификации, таких как Microsoft Entra ID.
Соответственно, если злоумышленник получит доступ к закрытому ключу такого сертификата, он сможет создавать поддельные ответы SAML, позволяющие ему выдавать себя за любого пользователя.
Microsoft после уведомления об этой уязвимости сообщила, что не считает её критической и заявила о намерении предпринимать меры по защите клиентов по мере необходимости.
Хотя нет доказательств, что Silver SAML был использован в дикой природе все же рекомендуется использовать самоподписанные сертификаты Entra ID для подписи SAML и мониторить журналы аудита на предмет подозрительной активности.
Semperis
Meet Silver SAML: Golden SAML in the Cloud | Semperis
Semperis researchers have discovered Silver SAML: a new application of Golden SAML that can be exploited in Entra ID and without AD FS.
This media is not supported in your browser
VIEW IN TELEGRAM
Когда в полпятого вечера пятницы тебе падает срочная задача
Исследователи из BI.ZONE сообщают об обнаружении ранее неизвестного злоумышленника, который активен как минимум с 2022 года и теперь отслеживается как Fluffy Wolf.
Группировка Fluffy Wolf действует просто, но достаточно эффективно: как минимум 5% сотрудников организаций скачивают и открывают вредоносные вложения.
Первоначальный доступ реализуется с помощью фишинговой рассылки с вложенными архивами, защищенными паролем.
Архивы содержат исполняемые файлы, замаскированные под акты сверки расчетов. Основная цель — доставить в скомпрометированную систему набор инструментов, который мог включать легитимное средство Remote Utilities, стилер Meta Stealer, WarZone RAT или майнер XMRig.
С их помощью атакующие получают удаленный доступ, крадут учетные данные или используют ресурсы взломанной инфраструктуры для майнинга.
В одной из последних кампаний злоумышленники рассылали фишинговые электронные письма с темой «Акты на подпись» от имени одной из строительных компаний с архивом, пароль для которого был в названии файла.
Архив включал Akt_Sverka_1C_Doc_28112023_PDF.com, который загружал и инсталлировал средство удаленного доступа Remote Utilities, а также запускал коммерческое ВПО Meta Stealer.
Арендовать клон популярного стилера RedLine на месяц можно за 150 долларов, купить пожизненную лицензию - за 1000 долларов, а главное у него отсутствуют ограничения для атак по России и СНГ.
Исследователи также отследили предыдущие кампании Fluffy Wolf и выявили варианты атак с различными комбинациями загрузчиков и полезной нагрузки.
Таким образом злоумышленники продолжают экспериментировать с легитимным ПО для удаленного доступа, добавляя в свой арсенал всё новые варианты.
При этом коммерческое ВПО и его «взломанные» варианты способствуют расширению ландшафта угроз, позволяя реализовывать успешные атаки даже злоумышленникам с низким уровнем технической подготовки.
Группировка Fluffy Wolf действует просто, но достаточно эффективно: как минимум 5% сотрудников организаций скачивают и открывают вредоносные вложения.
Первоначальный доступ реализуется с помощью фишинговой рассылки с вложенными архивами, защищенными паролем.
Архивы содержат исполняемые файлы, замаскированные под акты сверки расчетов. Основная цель — доставить в скомпрометированную систему набор инструментов, который мог включать легитимное средство Remote Utilities, стилер Meta Stealer, WarZone RAT или майнер XMRig.
С их помощью атакующие получают удаленный доступ, крадут учетные данные или используют ресурсы взломанной инфраструктуры для майнинга.
В одной из последних кампаний злоумышленники рассылали фишинговые электронные письма с темой «Акты на подпись» от имени одной из строительных компаний с архивом, пароль для которого был в названии файла.
Архив включал Akt_Sverka_1C_Doc_28112023_PDF.com, который загружал и инсталлировал средство удаленного доступа Remote Utilities, а также запускал коммерческое ВПО Meta Stealer.
Арендовать клон популярного стилера RedLine на месяц можно за 150 долларов, купить пожизненную лицензию - за 1000 долларов, а главное у него отсутствуют ограничения для атак по России и СНГ.
Исследователи также отследили предыдущие кампании Fluffy Wolf и выявили варианты атак с различными комбинациями загрузчиков и полезной нагрузки.
Таким образом злоумышленники продолжают экспериментировать с легитимным ПО для удаленного доступа, добавляя в свой арсенал всё новые варианты.
При этом коммерческое ВПО и его «взломанные» варианты способствуют расширению ландшафта угроз, позволяя реализовывать успешные атаки даже злоумышленникам с низким уровнем технической подготовки.
BI.ZONE
«Давайте сверимся»: как Fluffy Wolf использует акты сверки в атаках
Группировка действует просто, но эффективно: фишинговая рассылка для первоначального доступа, а в ней — исполняемый файл. Так Fluffy Wolf получает удаленный доступ, крадет учетные данные или использует ресурсы взломанной инфраструктуры для майнинга
Группа ученых из университетов Вашингтона и Чикаго раскрыла подробности новой атаки, получившей название ArtPrompt, которая позволяет обойти проверки безопасности пяти популярных на сегодняшний день программ LLM с помощью символов ASCII.
ArtPrompt успешно апробирована на таких LLM, как GPT OpenAI, Google Gemini и Llama2 от Meta.
Так, с помощью нее исследователи получили от ChatGPT инструкцию по изготовлению фальшивых денег, их сбыту, а также узнали, как изготовить бомбу.
Секрет в том, что если зашифровать стоп-слова с помощью символов в ASCII-арт (форма текстового изображения), то нейросеть ответит на запрещённые вопросы.
Исследователи утверждают, что основные виды защиты языковых моделей основаны на семантике.
Это значит, что нейросеть может выполнить запрос, но фильтрация контента этого не позволяет, а для своеобразного джейлбрейка нужно лишь обмануть систему фильтрации.
На первом этапе атаки исследователи замаскировали все запрещённые слова в запросе под слово «mask».
После этого они сгенерировали ASCII-изображение запрещённого слова и отправили его в чат LLM.
Далее модель попросили заменить mask в запросе на слово из изображения и ответить на вопрос.
В этом случае нейросеть проигнорировала все запреты и выдала пошаговую инструкцию.
По результатам экспериментов ArtPrompt оказался более эффективным, чем все ныне известные способы обхода фильтров.
ArtPrompt успешно апробирована на таких LLM, как GPT OpenAI, Google Gemini и Llama2 от Meta.
Так, с помощью нее исследователи получили от ChatGPT инструкцию по изготовлению фальшивых денег, их сбыту, а также узнали, как изготовить бомбу.
Секрет в том, что если зашифровать стоп-слова с помощью символов в ASCII-арт (форма текстового изображения), то нейросеть ответит на запрещённые вопросы.
Исследователи утверждают, что основные виды защиты языковых моделей основаны на семантике.
Это значит, что нейросеть может выполнить запрос, но фильтрация контента этого не позволяет, а для своеобразного джейлбрейка нужно лишь обмануть систему фильтрации.
На первом этапе атаки исследователи замаскировали все запрещённые слова в запросе под слово «mask».
После этого они сгенерировали ASCII-изображение запрещённого слова и отправили его в чат LLM.
Далее модель попросили заменить mask в запросе на слово из изображения и ответить на вопрос.
В этом случае нейросеть проигнорировала все запреты и выдала пошаговую инструкцию.
По результатам экспериментов ArtPrompt оказался более эффективным, чем все ныне известные способы обхода фильтров.
arXiv.org
ArtPrompt: ASCII Art-based Jailbreak Attacks against Aligned LLMs
Safety is critical to the usage of large language models (LLMs). Multiple techniques such as data filtering and supervised fine-tuning have been developed to strengthen LLM safety. However,...
Forwarded from Пакет Безопасности
Попался
Пока все массово обсуждают и пытаются понять, как это за пару месяцев в 2024 году утекло уже более 510 000 000 данных граждан нашей страны (что уже побило рекорд за весь прошлый год), предлагаю обсудить один достаточно интересный тип инструментов, который из профессиональной сферы начинает перетекать в бытовую, а имя ему – Honey Tokens. Да, это пост не только для кибербезопасников, а для всех, кто интересуется кибергигиеной.
Мы с вами уже как-то разбирались в том, что такое HoneyPot, так вот, это его родственник. Если коротко, то эта штука позволяет обнаружить признаки и факт взлома любого вашего устройства или сервиса. Происходит это благодаря специальным меткам, маркерам или триггерам, которые умеют расставлять инструменты класса Honey Tokens. Более того, в некоторых случаях, можно даже вычислить источник взлома.
Как же это работает. На самом деле, всё очень просто. Вы выбираете нужную приманку – например, текстовый файл с названием "Пароли" или папку с названием "Документы" (только не надо класть туда реальные пароли или сканы настоящих документов), а затем буквально устанавливаете на них сигнализацию. То есть, как только кто-то попробуем открыть этот файл или зайти в конкретную папку, вам отправится уведомление о том, что это произошло.
Ну а теперь переходим от теории к практике – вы сами можете попробовать, как это работает, например, с Сanary Tokens. Через него вы сможете настроить ту самую сигнализацию на любой файл, ссылку, айпишник, электронную почту, папку и еще много чего. Уведомления именно в этом сервисе можно настроить на вашу почту. И да, всё это бесплатно и с понятным интерфейсом. Так что пользуйтесь на здоровье и делитесь с близкими.
#Полезное
Твой Пакет Безопасности
Пока все массово обсуждают и пытаются понять, как это за пару месяцев в 2024 году утекло уже более 510 000 000 данных граждан нашей страны (что уже побило рекорд за весь прошлый год), предлагаю обсудить один достаточно интересный тип инструментов, который из профессиональной сферы начинает перетекать в бытовую, а имя ему – Honey Tokens. Да, это пост не только для кибербезопасников, а для всех, кто интересуется кибергигиеной.
Мы с вами уже как-то разбирались в том, что такое HoneyPot, так вот, это его родственник. Если коротко, то эта штука позволяет обнаружить признаки и факт взлома любого вашего устройства или сервиса. Происходит это благодаря специальным меткам, маркерам или триггерам, которые умеют расставлять инструменты класса Honey Tokens. Более того, в некоторых случаях, можно даже вычислить источник взлома.
Как же это работает. На самом деле, всё очень просто. Вы выбираете нужную приманку – например, текстовый файл с названием "Пароли" или папку с названием "Документы" (только не надо класть туда реальные пароли или сканы настоящих документов), а затем буквально устанавливаете на них сигнализацию. То есть, как только кто-то попробуем открыть этот файл или зайти в конкретную папку, вам отправится уведомление о том, что это произошло.
Ну а теперь переходим от теории к практике – вы сами можете попробовать, как это работает, например, с Сanary Tokens. Через него вы сможете настроить ту самую сигнализацию на любой файл, ссылку, айпишник, электронную почту, папку и еще много чего. Уведомления именно в этом сервисе можно настроить на вашу почту. И да, всё это бесплатно и с понятным интерфейсом. Так что пользуйтесь на здоровье и делитесь с близкими.
#Полезное
Твой Пакет Безопасности
Очередной Дамоклов меч повис над инфраструктурой мобильных операторов, поскольку исследователями была обнаружена новая угроза: неизвестный ранее бэкдор для Linux под названием GTPDOOR, который использует уникальный метод для скрытого проникновения в сети телекоммуникационных компаний.
Малварь разработана для выполнения операций в сетях мобильных операторов, используя протокол GTP (GPRS Tunnelling Protocol) для связи с C2, а отличительной особенностью является его способность атаковать системы GRX (GPRS roaming eXchange), включая SGSN (Serving GPRS Support Node), GGSN (Gateway GPRS Support Node) и P-GW (Packet Data Network Gateway для 4G LTE).
Как говорят эксперты, эти элементы сетевой инфраструктуры играют ключевую роль в работе операторов, обеспечивая роуминг данных между различными географическими зонами и сетями.
Атака на такие системы может представлять злоумышленникам прямой доступ к основной сети оператора связи, что ставит под угрозу безопасность пользовательских данных, целостность сетевой инфраструктуры и не только.
Первым обнаружил эту угрозу спец под псевдонимом HaxRob и он же предположил, что за GTPDOOR стоит хакерская группа LightBasin (UNC1945), ранее замеченная в кибершпионских операциях против телекоммуникационных компаний.
Фишкой GTPDOOR является, то, что он использует протокол GTP-C для скрытой связи со своим управляющим сервером, что, в свою очередь, позволяет маскироваться под обычный трафик и использовать уже разрешенные порты, которые на практике редко контролируются системами защиты, что делает обнаружение и блокировку малвари особенно сложной задачей.
Если учесть, что бэкдор предназначен для развертывания в Linux-системах, связанных с GRX, то можно представить весь масштаб новой угрозы для мобильных сетей.
Для защиты сетевой инфраструктуры специалисты разработали YARA-правила, позволяющие обнаруживать GTPDOOR, а также набор рекомендаций.
Малварь разработана для выполнения операций в сетях мобильных операторов, используя протокол GTP (GPRS Tunnelling Protocol) для связи с C2, а отличительной особенностью является его способность атаковать системы GRX (GPRS roaming eXchange), включая SGSN (Serving GPRS Support Node), GGSN (Gateway GPRS Support Node) и P-GW (Packet Data Network Gateway для 4G LTE).
Как говорят эксперты, эти элементы сетевой инфраструктуры играют ключевую роль в работе операторов, обеспечивая роуминг данных между различными географическими зонами и сетями.
Атака на такие системы может представлять злоумышленникам прямой доступ к основной сети оператора связи, что ставит под угрозу безопасность пользовательских данных, целостность сетевой инфраструктуры и не только.
Первым обнаружил эту угрозу спец под псевдонимом HaxRob и он же предположил, что за GTPDOOR стоит хакерская группа LightBasin (UNC1945), ранее замеченная в кибершпионских операциях против телекоммуникационных компаний.
Фишкой GTPDOOR является, то, что он использует протокол GTP-C для скрытой связи со своим управляющим сервером, что, в свою очередь, позволяет маскироваться под обычный трафик и использовать уже разрешенные порты, которые на практике редко контролируются системами защиты, что делает обнаружение и блокировку малвари особенно сложной задачей.
Если учесть, что бэкдор предназначен для развертывания в Linux-системах, связанных с GRX, то можно представить весь масштаб новой угрозы для мобильных сетей.
Для защиты сетевой инфраструктуры специалисты разработали YARA-правила, позволяющие обнаруживать GTPDOOR, а также набор рекомендаций.
BNN
GTPDOOR Malware Threatens Global Telecom via GPRS Exploitation, Targets Linux Servers
Discover GTPDOOR, a new malware exploiting Linux servers in telecom networks for stealthy attacks, posing serious threats to data security.
͏Исследователи связывают очередное таинственное исчезновение ALPHV/BlackCat с кидаловом в отношении одного из партнеров.
Как было замечено, DLS перестал работать с пятницы, сайты для переговоров проработали выходные и также ушли в оффлайн.
Подозрение на скам возникло после того, как якобы от одного из операторов просочилась информация о выводе бандой 22 млн. зеленых, которые причитались партнеру банды в качестве выкупа за атаку на Optum (оператора платформы Change Healthcare).
В свою очередь, сами BlackCat отстучались в Tox, сообщив, что все отключили и занимаются решением вопроса.
Позже статус был заменен на «GG» («хорошая игра»). Но контекст этого сообщения непонятен.
Конфискация актива якобы последовала после нарушения оператором ограничений, установленных бандой.
Как бы то ни было, 1 марта криптовыкуп поступил на кошель за удаление данных, украденных с платформы Change Healthcare, и расшифровщик.
Однако положенного распределения наживы не последовало, а вместо этого, по слухам, партнера кинули, а его аккаунт заблокировали.
В поисках справедливости notchy (предполагаемый оператор ALPHV), выдал все в эфир и заявил о наличии у него 4 ТБ критических данных Optum - производственные данные, которые повлияют на всех клиентов Change Healthcare и Optum.
Помимо этого, со слов notchy, в его распоряжении данные «десятков страховых компаний» и других поставщиков широкого спектра услуг — от здравоохранения до расчетно-кассового обслуживания и аптек.
В качестве пруфа notchy поделился данными по движениям крипты на своей кошельке (с входящим переводом на 350 биткойнов или чуть более 23 миллионов долларов).
Optum UnitedHealth Group от комментариев относительно выкупа отказались.
Так что ситуация пока до конца неясная.
Тут и версия о новом финте со стороны вымогателей (чтобы развести клиента по второму кругу), тут и спецслужбы могут продолжать свою операцию (чтобы напрочь подпортить репутацию банды, а может и сама банда, решившая уйти красиво.
Будем посмотреть.
Как было замечено, DLS перестал работать с пятницы, сайты для переговоров проработали выходные и также ушли в оффлайн.
Подозрение на скам возникло после того, как якобы от одного из операторов просочилась информация о выводе бандой 22 млн. зеленых, которые причитались партнеру банды в качестве выкупа за атаку на Optum (оператора платформы Change Healthcare).
В свою очередь, сами BlackCat отстучались в Tox, сообщив, что все отключили и занимаются решением вопроса.
Позже статус был заменен на «GG» («хорошая игра»). Но контекст этого сообщения непонятен.
Конфискация актива якобы последовала после нарушения оператором ограничений, установленных бандой.
Как бы то ни было, 1 марта криптовыкуп поступил на кошель за удаление данных, украденных с платформы Change Healthcare, и расшифровщик.
Однако положенного распределения наживы не последовало, а вместо этого, по слухам, партнера кинули, а его аккаунт заблокировали.
В поисках справедливости notchy (предполагаемый оператор ALPHV), выдал все в эфир и заявил о наличии у него 4 ТБ критических данных Optum - производственные данные, которые повлияют на всех клиентов Change Healthcare и Optum.
Помимо этого, со слов notchy, в его распоряжении данные «десятков страховых компаний» и других поставщиков широкого спектра услуг — от здравоохранения до расчетно-кассового обслуживания и аптек.
В качестве пруфа notchy поделился данными по движениям крипты на своей кошельке (с входящим переводом на 350 биткойнов или чуть более 23 миллионов долларов).
Optum UnitedHealth Group от комментариев относительно выкупа отказались.
Так что ситуация пока до конца неясная.
Тут и версия о новом финте со стороны вымогателей (чтобы развести клиента по второму кругу), тут и спецслужбы могут продолжать свою операцию (чтобы напрочь подпортить репутацию банды, а может и сама банда, решившая уйти красиво.
Будем посмотреть.
Бурю негодований и критики получила JetBrains от инфосек-сообщества за попытку нескоординированного раскрытия и исправления двух серьезных уязвимостей в TeamCity, о которых им сообщили исследователи Rapid7 в конце февраля.
Обе проблемы связаны с веб-компонентом TeamCity On-Premises CI/CD и влияют на все версии локальных установок до 2023.11.3.
Самая критичная из них - CVE-2024-27198 (CVSS 9,8), обход аутентификации, обусловлена проблемой альтернативного пути и позволяет удаленному злоумышленнику, не прошедшему аутентификацию, получить контроль над сервером с административными разрешениями.
Компрометация сервера TeamCity позволяет злоумышленнику получить полный контроль над всеми проектами, сборками, агентами и артефактами и является подходящим вектором для проведения атаки на цепочку поставок.
Другая CVE-2024-27199 (CVSS 7.3), хотя и менее серьезная, - это уязвимость обхода пути в веб-компоненте TeamCity, позволяющая обойти аутентификацию и изменять ограниченное количество системных настроек, но злоумышленнику уже необходимо находиться в сети жертвы.
Злоумышленник может использовать ее для атак типа DoS или для прослушивания клиентских подключений посредством MiTM.
JetBrains выпустила новую версию TeamCity 2023.11.4, которая устраняет две уязвимости, не предоставив при этом никаких подробностей об исправленных проблемах безопасности.
Позже во втором сообщении у себя в блоге компания все же раскрыла серьезность проблем и последствия их использования.
В свою очередь, Rapid7 продемонстрировали серьезность основной уязвимости, создав PoC, который генерировал аутентификацию и позволял получить доступ к оболочке (сеанс Meterpreter) на целевом сервере TeamCity.
Кроме того, Rapid7 представила полное техническое пояснение относительно причин уязвимости, описав, как ее можно активировать для создания новой учетной записи администратора или создания нового токена доступа администратора для получения контроля над сервером.
Администраторам настоятельно рекомендуется обновить свой сервер до версии 2023.11.4.
Если это невозможно, доступен плагин исправления безопасности для TeamCity 2018.2 и новее, а также для TeamCity 2018.1 и старше.
Пока же никаких признаков эксплуатации не наблюдается, но это лишь дело времени. Безусловно, хакеры не упустят из виду такую возможность для атак на цепочку поставок (мудаков).
Обе проблемы связаны с веб-компонентом TeamCity On-Premises CI/CD и влияют на все версии локальных установок до 2023.11.3.
Самая критичная из них - CVE-2024-27198 (CVSS 9,8), обход аутентификации, обусловлена проблемой альтернативного пути и позволяет удаленному злоумышленнику, не прошедшему аутентификацию, получить контроль над сервером с административными разрешениями.
Компрометация сервера TeamCity позволяет злоумышленнику получить полный контроль над всеми проектами, сборками, агентами и артефактами и является подходящим вектором для проведения атаки на цепочку поставок.
Другая CVE-2024-27199 (CVSS 7.3), хотя и менее серьезная, - это уязвимость обхода пути в веб-компоненте TeamCity, позволяющая обойти аутентификацию и изменять ограниченное количество системных настроек, но злоумышленнику уже необходимо находиться в сети жертвы.
Злоумышленник может использовать ее для атак типа DoS или для прослушивания клиентских подключений посредством MiTM.
JetBrains выпустила новую версию TeamCity 2023.11.4, которая устраняет две уязвимости, не предоставив при этом никаких подробностей об исправленных проблемах безопасности.
Позже во втором сообщении у себя в блоге компания все же раскрыла серьезность проблем и последствия их использования.
В свою очередь, Rapid7 продемонстрировали серьезность основной уязвимости, создав PoC, который генерировал аутентификацию и позволял получить доступ к оболочке (сеанс Meterpreter) на целевом сервере TeamCity.
Кроме того, Rapid7 представила полное техническое пояснение относительно причин уязвимости, описав, как ее можно активировать для создания новой учетной записи администратора или создания нового токена доступа администратора для получения контроля над сервером.
Администраторам настоятельно рекомендуется обновить свой сервер до версии 2023.11.4.
Если это невозможно, доступен плагин исправления безопасности для TeamCity 2018.2 и новее, а также для TeamCity 2018.1 и старше.
Пока же никаких признаков эксплуатации не наблюдается, но это лишь дело времени. Безусловно, хакеры не упустят из виду такую возможность для атак на цепочку поставок
Rapid7
JetBrains TeamCity Multiple Authentication Bypass Vulnerabilities | Rapid7 Blog
͏Про слив Симоньян переговоров немецких высокопоставленных офицеров наверняка многие уже слышали. Если кто не в курсе - там боши обсуждали как бы можно было крылатыми ракетами Таурус распетрушить Крымский мост.
Однако тут The Stack подвез подробности этого инцидента. Если пересказывать сюжет драмы в двух словах - у Бундесвера с информационной безопасностью "все хорошо".
Немцы просто вели сверхсекретные переговоры в Cisco WebEx, а кто-то скоммуниздил ссылку для захода в конференцию и невозбранно ею воспользовался. И фрицы такие: "Ой, а кто это с нами в конференции сидит, наверное так надо".
Журналисты The Stack задаются вопросом - а почему военные не воспользовались защищенным BwMessenger, созданным IT-подрядчиком специально для Бундесвера? Отвечает господин Друзь - "А потому что мудакам пофигу на какие правила информационной безопасности забивать, на порядок обновления или на запрет ведения конфиденциальных переговоров по открытой связи. Мудакам так хочется!"
Этот киберинцидент лишний раз доказывает, что мудаки - явление интернациональное и трансграничное, всепроникающее как межгалактический эфир. Перефразируя военкома из винрарного фильма ДМБ, можно сказать - Мудак это не профессия, это половая ориентация!
Однако тут The Stack подвез подробности этого инцидента. Если пересказывать сюжет драмы в двух словах - у Бундесвера с информационной безопасностью "все хорошо".
Немцы просто вели сверхсекретные переговоры в Cisco WebEx, а кто-то скоммуниздил ссылку для захода в конференцию и невозбранно ею воспользовался. И фрицы такие: "Ой, а кто это с нами в конференции сидит, наверное так надо".
Журналисты The Stack задаются вопросом - а почему военные не воспользовались защищенным BwMessenger, созданным IT-подрядчиком специально для Бундесвера? Отвечает господин Друзь - "А потому что мудакам пофигу на какие правила информационной безопасности забивать, на порядок обновления или на запрет ведения конфиденциальных переговоров по открытой связи. Мудакам так хочется!"
Этот киберинцидент лишний раз доказывает, что мудаки - явление интернациональное и трансграничное, всепроникающее как межгалактический эфир. Перефразируя военкома из винрарного фильма ДМБ, можно сказать - Мудак это не профессия, это половая ориентация!
На фоне громогласных обвинений в адрес КНР в тотальном кибершпионаже и попыток навязать образ кибердиверсантов ученые Georgia Tech из США не стесняются заявлять о разработке аналога Stuxnet.
Новое условно названное веб-вредоносное ПО PLC способно фактически реализовать сценарии разрушительных удаленных кибератак в отношении основных сред ICS, включая Siemens, Emerson, Schneider Electric, Mitsubishi Electric и Allen Bradley.
В случае современных ПЛК многие включают в себя веб-сервер, и их можно дистанционно настраивать, управлять и контролировать с помощью выделенных API и обычного веб-браузера, который служит в качестве HMI.
Несмотря на эти преимущества для организаций, исследователи Georgia Tech предупреждают, что они также могут значительно расширить поверхность атаки ICS.
Условно названное веб-вредоносное ПО PLC находится в памяти контроллера, но выполняется на стороне клиента устройствами, оснащенными браузером, присутствующими в среде ICS.
Первоначальная инфекция может быть выполнена через физический или сетевой доступ к целевому веб-HMI, но вредоносное ПО также может быть развернуто непосредственно через Интернет
Попадая в кэш браузера, вредоносное ПО может пережить обновления прошивки, новые веб-HMI и даже замену оборудования.
После развертывания возможности вредоносного ПО зависят от функционала задействованных веб-API и могут быть использованы для широкого спектра вредоносных действий.
Исследователи заявили также, что вредоносное ПО может реализовать соединение С2, даже если целевой ПЛК находится в изолированной сети. А при необходимости затем - самоуничтожиться и затереть все следы.
Прототип ПО получил наименование IronSpider и был успешно протестирован на ПЛК Wago. Смоделированная атака включала в себя использование ранее неизвестных уязвимостей для развертывания вредоносного ПО после того, как целевой оператор просмотрел на специально созданный рекламный баннер.
По итогу IronSpider смог саботировать промышленный двигатель, вызвав повреждение, при этом отображая экран HMI с нормальными значениями и избегая каких-либо подозрений.
В отличие от Stuxnet прототип веб-ВПО смог осуществить принципиально похожую атаку, используя совершенно иной подход, злоупотребляя законными веб-интерфейсами PLC.
Если Stuxnet атаковал ПЛК с помощью вредоносной ПО логики управления, которую он развернул через скомпрометированные инженерные рабочие станции, то в атаке IronSpider использовалось веб-вредоносное ПО, которое было развернуто с вредоносного веб-сайта без необходимости компрометировать какие-либо периферийные системы.
Все подробности с техническим описанием этого проекта безопасности ICS исследователи из Технологического института Джорджии представили в документе.
Так что заезженная пластинка под названием I-SOON и рядом не стоит.
Новое условно названное веб-вредоносное ПО PLC способно фактически реализовать сценарии разрушительных удаленных кибератак в отношении основных сред ICS, включая Siemens, Emerson, Schneider Electric, Mitsubishi Electric и Allen Bradley.
В случае современных ПЛК многие включают в себя веб-сервер, и их можно дистанционно настраивать, управлять и контролировать с помощью выделенных API и обычного веб-браузера, который служит в качестве HMI.
Несмотря на эти преимущества для организаций, исследователи Georgia Tech предупреждают, что они также могут значительно расширить поверхность атаки ICS.
Условно названное веб-вредоносное ПО PLC находится в памяти контроллера, но выполняется на стороне клиента устройствами, оснащенными браузером, присутствующими в среде ICS.
Первоначальная инфекция может быть выполнена через физический или сетевой доступ к целевому веб-HMI, но вредоносное ПО также может быть развернуто непосредственно через Интернет
Попадая в кэш браузера, вредоносное ПО может пережить обновления прошивки, новые веб-HMI и даже замену оборудования.
После развертывания возможности вредоносного ПО зависят от функционала задействованных веб-API и могут быть использованы для широкого спектра вредоносных действий.
Исследователи заявили также, что вредоносное ПО может реализовать соединение С2, даже если целевой ПЛК находится в изолированной сети. А при необходимости затем - самоуничтожиться и затереть все следы.
Прототип ПО получил наименование IronSpider и был успешно протестирован на ПЛК Wago. Смоделированная атака включала в себя использование ранее неизвестных уязвимостей для развертывания вредоносного ПО после того, как целевой оператор просмотрел на специально созданный рекламный баннер.
По итогу IronSpider смог саботировать промышленный двигатель, вызвав повреждение, при этом отображая экран HMI с нормальными значениями и избегая каких-либо подозрений.
В отличие от Stuxnet прототип веб-ВПО смог осуществить принципиально похожую атаку, используя совершенно иной подход, злоупотребляя законными веб-интерфейсами PLC.
Если Stuxnet атаковал ПЛК с помощью вредоносной ПО логики управления, которую он развернул через скомпрометированные инженерные рабочие станции, то в атаке IronSpider использовалось веб-вредоносное ПО, которое было развернуто с вредоносного веб-сайта без необходимости компрометировать какие-либо периферийные системы.
Все подробности с техническим описанием этого проекта безопасности ICS исследователи из Технологического института Джорджии представили в документе.
Так что заезженная пластинка под названием I-SOON и рядом не стоит.
Задействование легитимного ПО для выполнения необходимых задач в ходе атаки далеко уже не новость особенно для тех, кто занимается реагированием на инциденты.
Такой подход позволяет избежать детектирования и минимизирует затраты на разработку ПО.
Сканирование сети, получение слепков памяти системных процессов, выгрузка данных, удаленный запуск файлов и даже шифрование дисков — все это может быть сделано с использованием доверенных программ.
Однако, как сообщают исследователи из Лаборатории Касперского, иногда атакующие находят весьма оригинальные способы применения не самых очевидных программ, как это было в случае с QEMU.
Обычно для подключения к атакованной инфраструктуре с целью развития атаки злоумышленники могут использовать заранее установленное вредоносное ПО или подключаться через доступные RDP-серверы или корпоративный VPN.
Кроме того, могут применяться и утилиты для сетевых туннелей (или «проброса» сетевых портов) между внутренними системами в корпоративной сети и серверами злоумышленников, что обеспечивает доступ к системам внутри, минуя NAT и межсетевые экраны.
Чаще всего, согласно статистике ЛК, злоумышленники использовали ngrok и FRP (наряду с Stowaway, ligolo, 3proxy, dog-tunnel, chisel, gs-netcat, plink, iox и nps), всего же подобные утилиты встречались в 10% от общего количества атак.
Но в ходе работы над инцидентом в одной крупной компании специалисты с толкнулись с нетипичой активностью.
Если с Angry IP Scanner и mimikatz все было очевидно, то использование QEMU (ПО для эмуляции аппаратного обеспечения различных платформ) вызвало вопросы.
Выяснилось, что запуск происходил без образа жесткого диска или LiveCD, с указанием в параметрах внешнего IP-адреса, что очень нетипично для этой ПО.
Причем сам адрес никак не был связанн с атакованной компанией, что привлекло еще больше внимания.
Изучая документацию, выяснилось, что QEMU позволяет создать сетевое соединение между виртуальными машинами: опция -netdev используется для создания сетевых устройств (backend), которые затем могут быть подключены к виртуальным машинам.
Злоумышленники запускали на скомпрометированной системе «клиент», который подключался к их серверу и предоставлял доступ к корпоративной сети, внутри которой «клиент» работал.
Так что это еще один аргумент в пользу концепции многоуровневой (эшелонированной) защиты, которая включает в себя мониторинг активности в сети (NDR, NGFW) и на конечных устройствах (EDR, EPP).
Такой подход позволяет избежать детектирования и минимизирует затраты на разработку ПО.
Сканирование сети, получение слепков памяти системных процессов, выгрузка данных, удаленный запуск файлов и даже шифрование дисков — все это может быть сделано с использованием доверенных программ.
Однако, как сообщают исследователи из Лаборатории Касперского, иногда атакующие находят весьма оригинальные способы применения не самых очевидных программ, как это было в случае с QEMU.
Обычно для подключения к атакованной инфраструктуре с целью развития атаки злоумышленники могут использовать заранее установленное вредоносное ПО или подключаться через доступные RDP-серверы или корпоративный VPN.
Кроме того, могут применяться и утилиты для сетевых туннелей (или «проброса» сетевых портов) между внутренними системами в корпоративной сети и серверами злоумышленников, что обеспечивает доступ к системам внутри, минуя NAT и межсетевые экраны.
Чаще всего, согласно статистике ЛК, злоумышленники использовали ngrok и FRP (наряду с Stowaway, ligolo, 3proxy, dog-tunnel, chisel, gs-netcat, plink, iox и nps), всего же подобные утилиты встречались в 10% от общего количества атак.
Но в ходе работы над инцидентом в одной крупной компании специалисты с толкнулись с нетипичой активностью.
Если с Angry IP Scanner и mimikatz все было очевидно, то использование QEMU (ПО для эмуляции аппаратного обеспечения различных платформ) вызвало вопросы.
Выяснилось, что запуск происходил без образа жесткого диска или LiveCD, с указанием в параметрах внешнего IP-адреса, что очень нетипично для этой ПО.
Причем сам адрес никак не был связанн с атакованной компанией, что привлекло еще больше внимания.
Изучая документацию, выяснилось, что QEMU позволяет создать сетевое соединение между виртуальными машинами: опция -netdev используется для создания сетевых устройств (backend), которые затем могут быть подключены к виртуальным машинам.
Злоумышленники запускали на скомпрометированной системе «клиент», который подключался к их серверу и предоставлял доступ к корпоративной сети, внутри которой «клиент» работал.
Так что это еще один аргумент в пользу концепции многоуровневой (эшелонированной) защиты, которая включает в себя мониторинг активности в сети (NDR, NGFW) и на конечных устройствах (EDR, EPP).
Securelist
Сетевой туннель с помощью… QEMU?
Во время работы над инцидентом мы обнаружили нетипичную активность злоумышленников. Анализ артефактов показал, что в ходе атаки они разместили в системе программу для эмуляции аппаратного обеспечения различных платформ QEMU.
С развитием генеративных систем искусственного интеллекта, таких как ChatGPT от OpenAI и Gemini от Google приходится сталкиваться и с новым витком угроз в области кибербезопасности.
Исследователи из Cornell Tech создали одного из первых в мире генеративного ИИ-червя, способного распространяться с одной системы на другую, попутно воруя данные или развертывая вредоносное ПО.
Этого ИИ-червя, прозвали Morris II, в честь оригинального компьютерного червя Morris, который вызвал хаос в Интернете в далеком 1988 году.
Специалисты показали, как червь может атаковать генеративного ИИ-помощника по электронной почте, красть данные из писем и отправлять спам, нарушая при этом некоторые меры безопасности в ChatGPT и Gemini.
Как в фильмах с животными в конце часто говорят, что во время съемок зверушки не пострадали, так и в инфосеке специалисты уверяют, что эксперименты проводились в тестовых условиях и не затрагивали публично доступных помощников по электронной почте.
Генеративные ИИ-системы работают, получая подсказки (промпты) - текстовые инструкции, которые говорят инструментам отвечать на вопросы или создавать изображения, поэтому в качестве вектора атаки использовались два типа писем: текстовые и в виде файла изображений.
Так вот суть эксперимента заключалась в том, чтобы заставить генеративную ИИ-модель в своем ответе выводить другой промпт, что, по сути, схоже с традиционными атаками SQL-инъекции и переполнения буфера.
Таким образом, исходное сообщение заставляет модель генерировать ответ, содержащий враждебный самовоспроизводящийся запрос, и отправлять чувствительную информацию о пользователе.
Мы долго думали, что же нам напоминает Morris II, пока наконец не вспомнили - объект SCP-571 Самораспространяющийся заразный узор.
Человек, который увидел SCP-571, начинает его копировать любым подручным способом чтобы силой заставить посмотреть на него другого человека. А потом сходит с ума.
Согласитесь, есть некое сходство.
Исследователи из Cornell Tech создали одного из первых в мире генеративного ИИ-червя, способного распространяться с одной системы на другую, попутно воруя данные или развертывая вредоносное ПО.
Этого ИИ-червя, прозвали Morris II, в честь оригинального компьютерного червя Morris, который вызвал хаос в Интернете в далеком 1988 году.
Специалисты показали, как червь может атаковать генеративного ИИ-помощника по электронной почте, красть данные из писем и отправлять спам, нарушая при этом некоторые меры безопасности в ChatGPT и Gemini.
Как в фильмах с животными в конце часто говорят, что во время съемок зверушки не пострадали, так и в инфосеке специалисты уверяют, что эксперименты проводились в тестовых условиях и не затрагивали публично доступных помощников по электронной почте.
Генеративные ИИ-системы работают, получая подсказки (промпты) - текстовые инструкции, которые говорят инструментам отвечать на вопросы или создавать изображения, поэтому в качестве вектора атаки использовались два типа писем: текстовые и в виде файла изображений.
Так вот суть эксперимента заключалась в том, чтобы заставить генеративную ИИ-модель в своем ответе выводить другой промпт, что, по сути, схоже с традиционными атаками SQL-инъекции и переполнения буфера.
Таким образом, исходное сообщение заставляет модель генерировать ответ, содержащий враждебный самовоспроизводящийся запрос, и отправлять чувствительную информацию о пользователе.
Мы долго думали, что же нам напоминает Morris II, пока наконец не вспомнили - объект SCP-571 Самораспространяющийся заразный узор.
Человек, который увидел SCP-571, начинает его копировать любым подручным способом чтобы силой заставить посмотреть на него другого человека. А потом сходит с ума.
Согласитесь, есть некое сходство.
WIRED
Here Come the AI Worms
Security researchers created an AI worm in a test environment that can automatically spread between generative AI agents—potentially stealing data and sending spam emails along the way.
Forwarded from Social Engineering
• Вчера у нас освещалась очень интересная и актуальная тема, которую мы сегодня продолжим. Дело в том, что совсем недавно на хакерских форумах продавался весьма функциональный UEFI-буткит BlackLotus. Продавали его за каких-то 5000 баксов, но вскоре его исходники утекли и были опубликованы на GitHub.
• Учитывайте, что информация в этом посте предоставлена исключительно в рамках ознакомления и изучения проблем безопасности! Настоятельно рекомендую не нарушать законы и уважать права других людей.
• Переходим к описанию и необходимым ссылкам: буткит имеет встроенный обход Secure Boot, встроенную защиту от удаления на уровне Ring0/Ядра, а также запускается в режиме восстановления и в безопасном режиме. Помимо этого BlackLotus способен отключать защитные механизмы на целевых машинах, включая Hypervisor-Protected Code Integrity (HVCI) и Windows Defender, а также обходить User Account Control (UAC). BlackLotus имеет размер 80 килобайт, написан на ассемблере и C, и умеет определять геозону жертвы, чтобы избегать заражения машин в странах СНГ.
• Изучить исходный код и найти более детальное описание можно на github: https://github.com/ldpreload/BlackLotus
• Поскольку теперь исходный код буткита стал доступен для всех желающих, не исключено, что с его помощью хакеры смогут создать более мощные вредоносы, способные обойти существующие и будущие меры противодействия таким угрозам.
• Подробный принцип работы:
- BlackLotus UEFI bootkit: Myth confirmed;
- The Untold Story of the BlackLotus UEFI Bootkit;
- BlackLotus Becomes First UEFI Bootkit Malware to Bypass Secure Boot on Windows 11.
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
Подкатило экстренное обновление от Apple для iOS с исправлениями двух 0-day, которые использовались в целевых атаках на iPhone, связанных, по всей видимости, со spyware.
Число нулей в послужном списке за текущий год у Apple начинает пополняться, пока, конечно, до прошлогоднего рекорда в 20 еще далеко, но темп задан.
Новые ошибки были обнаружены в ядре iOS (CVE-2024-23225) и RTKit (CVE-2024-23296) и позволяют злоумышленникам с произвольными возможностями чтения и записи ядра обойти защиту памяти ядра.
Компания заявляет, что устранила недостатки безопасности на устройствах под управлением iOS 17.4, iPadOS 17.4, iOS 16.76 и iPad 16.7.6 с помощью улучшенной проверки ввода.
Список затронутых устройств Apple довольно таки обширен и включает в себя все линейки iPhone XS, iPhone 8, iPhone X, iPad 5-го поколения, iPad Pro 9,7 дюйма и iPad Pro 12,9 дюйма 1-го и 2-го поколений, iPad Pro 10,5 дюйма, iPad Pro 11 дюймов 1-го поколения, iPad Air 3-го поколения, iPad 6-го поколения, iPad mini 5-го поколения (и новее).
Apple в свойственной манере не сообщила, кто стоит за раскрытием и не обнародовала информацию о характере и обстоятельствах атак с использованием 0-day.
Но несмотря на это настоятельно рекомендуется как можно скорее установить обновления.
Число нулей в послужном списке за текущий год у Apple начинает пополняться, пока, конечно, до прошлогоднего рекорда в 20 еще далеко, но темп задан.
Новые ошибки были обнаружены в ядре iOS (CVE-2024-23225) и RTKit (CVE-2024-23296) и позволяют злоумышленникам с произвольными возможностями чтения и записи ядра обойти защиту памяти ядра.
Компания заявляет, что устранила недостатки безопасности на устройствах под управлением iOS 17.4, iPadOS 17.4, iOS 16.76 и iPad 16.7.6 с помощью улучшенной проверки ввода.
Список затронутых устройств Apple довольно таки обширен и включает в себя все линейки iPhone XS, iPhone 8, iPhone X, iPad 5-го поколения, iPad Pro 9,7 дюйма и iPad Pro 12,9 дюйма 1-го и 2-го поколений, iPad Pro 10,5 дюйма, iPad Pro 11 дюймов 1-го поколения, iPad Air 3-го поколения, iPad 6-го поколения, iPad mini 5-го поколения (и новее).
Apple в свойственной манере не сообщила, кто стоит за раскрытием и не обнародовала информацию о характере и обстоятельствах атак с использованием 0-day.
Но несмотря на это настоятельно рекомендуется как можно скорее установить обновления.
Apple Support
About the security content of iOS 17.4 and iPadOS 17.4
This document describes the security content of iOS 17.4 and iPadOS 17.4.
VMware выпустила исправления для четырех уязвимостей, затрагивающих ESXi, Workstation и Fusion, включая две критические уязвимости, которые могут привести к RCE.
CVE-2024-22252 и CVE-2024-22253 представляют собой ошибки использования после освобождения в USB-контроллере XHCI с оценкой CVSS 9,3 (для Workstation и Fusion) и 8,4 (для систем ESXi).
Злоумышленник с правами локального администратора на виртуальной машине может воспользоваться проблемой для выполнения кода в качестве процесса VMX виртуальной машины, запущенного на хосте.
Проблемы обнаружили и раскрыли исследователи Ant Group Light-Year и QiAnXin.
Помимо названных VMware устранила две уязвимости с СVSS: 7,9: CVE-2024-22254 и CVE-2024-22255.
Первая уязвимость записи за пределами границ в ESXi может позволить злоумышленнику с привилегиями в процессе VMX осуществить выход из песочницы.
Другая уязвимость раскрытия информации в USB-контроллере UHCI может быть использована злоумышленником с административным доступом к виртуальной машине для утечки памяти из процесса vmx.
Проблемы устранены в следующих версиях, включая те, срок эксплуатации которых истек (EoL): ESXi 6.5 - 6.5U3в; ESXi 6.7 - 6.7U3u; ESXi 7.0 - ESXi70U3p-23307199; ESXi 8.0 - ESXi80U2sb-23305545 и ESXi80U1d-23299997; VMware Cloud Foundation (VCF) 3.x; Workstation 17.x - 17.5.1 и Fusion 13.x (macOS) - 13.5.1.
В качестве временного решения, пока не будет развернуто исправление, клиентам было предложено удалить все USB-контроллеры из виртуальной машины.
CVE-2024-22252 и CVE-2024-22253 представляют собой ошибки использования после освобождения в USB-контроллере XHCI с оценкой CVSS 9,3 (для Workstation и Fusion) и 8,4 (для систем ESXi).
Злоумышленник с правами локального администратора на виртуальной машине может воспользоваться проблемой для выполнения кода в качестве процесса VMX виртуальной машины, запущенного на хосте.
Проблемы обнаружили и раскрыли исследователи Ant Group Light-Year и QiAnXin.
Помимо названных VMware устранила две уязвимости с СVSS: 7,9: CVE-2024-22254 и CVE-2024-22255.
Первая уязвимость записи за пределами границ в ESXi может позволить злоумышленнику с привилегиями в процессе VMX осуществить выход из песочницы.
Другая уязвимость раскрытия информации в USB-контроллере UHCI может быть использована злоумышленником с административным доступом к виртуальной машине для утечки памяти из процесса vmx.
Проблемы устранены в следующих версиях, включая те, срок эксплуатации которых истек (EoL): ESXi 6.5 - 6.5U3в; ESXi 6.7 - 6.7U3u; ESXi 7.0 - ESXi70U3p-23307199; ESXi 8.0 - ESXi80U2sb-23305545 и ESXi80U1d-23299997; VMware Cloud Foundation (VCF) 3.x; Workstation 17.x - 17.5.1 и Fusion 13.x (macOS) - 13.5.1.
В качестве временного решения, пока не будет развернуто исправление, клиентам было предложено удалить все USB-контроллеры из виртуальной машины.
Быль про джина из бутылки стала реальностью для владельцев мини-ПК китайского производителя ACEMAGIC. Но есть нюансы.
Как оказалось, почти все модели устройств с завода поставлялись с Redline infostealer и бэкдором Bladabindi в разделе восстановления системы ОС Windows, а в некоторых случаях вредоносное ПО также обнаруживалось в драйвере RGB-подсветки мини-ПК.
До джина добрались исследователи The Net Guy Reviews, позже их находку подтвердили The Gadgeteer и клиенты компании.
Судя по отзывам, вредоносное ПО, судя по всему, проникло на модели мини-ПК ACEMAGIC, такие как S1, AD08 и AD15, но исследователи полагают, что проблемы могли возникнуть у всех моделей.
The Net Guy Reviews сообщают, что вредоносное ПО было обнаружено в разделе установщика мини-ПК, который позволял клиентам устанавливать Windows 11 с локальной учетной записью и без профиля Microsoft.
Все указывают на то, что инженеры ACEMAGIC позаимствовали некоторый код из Интернета и присовокупили его к своему установщику, не проверяя и не сканируя на наличие вредоносного ПО.
К нашему и не только нашему удивлению, китайская ACEMAGIC подтвердила, что ранние партии некоторых ее новых моделей мини-ПК поставлялись с предустановленным вредоносным ПО.
И, что является редкостью среди современных технологических компаний, взяла на себя всю вину за инцидент, подтвердив, что ее инженеры-программисты конкретно облажались и добавили непроверенный код поверх ОС Windows, который к настоящему времени удален.
Компания заявила, что инцидент затронул только ограниченную партию мини-ПК, большая часть которых была реализована в Европе и США.
Как оказалось, почти все модели устройств с завода поставлялись с Redline infostealer и бэкдором Bladabindi в разделе восстановления системы ОС Windows, а в некоторых случаях вредоносное ПО также обнаруживалось в драйвере RGB-подсветки мини-ПК.
До джина добрались исследователи The Net Guy Reviews, позже их находку подтвердили The Gadgeteer и клиенты компании.
Судя по отзывам, вредоносное ПО, судя по всему, проникло на модели мини-ПК ACEMAGIC, такие как S1, AD08 и AD15, но исследователи полагают, что проблемы могли возникнуть у всех моделей.
The Net Guy Reviews сообщают, что вредоносное ПО было обнаружено в разделе установщика мини-ПК, который позволял клиентам устанавливать Windows 11 с локальной учетной записью и без профиля Microsoft.
Все указывают на то, что инженеры ACEMAGIC позаимствовали некоторый код из Интернета и присовокупили его к своему установщику, не проверяя и не сканируя на наличие вредоносного ПО.
К нашему и не только нашему удивлению, китайская ACEMAGIC подтвердила, что ранние партии некоторых ее новых моделей мини-ПК поставлялись с предустановленным вредоносным ПО.
И, что является редкостью среди современных технологических компаний, взяла на себя всю вину за инцидент, подтвердив, что ее инженеры-программисты конкретно облажались и добавили непроверенный код поверх ОС Windows, который к настоящему времени удален.
Компания заявила, что инцидент затронул только ограниченную партию мини-ПК, большая часть которых была реализована в Европе и США.
YouTube
This MINI PC ships with SPYWARE! 🦠 ⚠️ Acemagic AD08, AD15, S1
I love bringing you great new tech every week and sharing my love of savings and deals where I can. This is the video I didn’t want to make. This mini PC was one of the nicest value Mini PCs I’ve come across, though the review took a turn for the worse…
Новая APT Lotus Bane заявила о себе резонансной атакой на финансовую организацию во Вьетнаме.
Хакерская группировка активна по меньшей мере, с 2022 года и была обнаружена в марте прошлого года товарищами из Group-IB.
Примечательно, что группа использует методы, частично совпадающие с TTPs другого известного вьетнамского злоумышленника - OceanLotus (APT32), что указывает на возможные связи между этими группами, несмотря на различие в целевых отраслях.
Lotus Bane активно атакует банковский сектор в Азиатско-Тихоокеанском регионе, используя обильный арсенал разнообразных вредоносных ПО для заражения и последующего контроля над системами.
Среди популярных методов - неопубликованная загрузка DLL и обмен данными через именованные каналы (один из методов межпроцессного взаимодействия), что позволяет злоумышленникам запускать вредоносные исполняемые файлы, а также создавать удаленные запланированные задачи для горизонтального перемещения внутри сети.
Одним из инструментов, используемых Lotus Bane, - вредоносное ПО PIPEDANCE, позволяющее осуществлять связь, как раз таки по именованным каналам.
Этот инструмент был впервые задокументирован специалистами Elastic Security Labs в феврале 2023 года в связи с атакой на неназванную вьетнамскую организацию.
Несмотря на то, что атака произошла во Вьетнаме, эксперты утверждают, что сложность методов используемых Lotus Bane указывает на ее потенциал для более широких горизонтов и операций в пределах всего региона.
Хакерская группировка активна по меньшей мере, с 2022 года и была обнаружена в марте прошлого года товарищами из Group-IB.
Примечательно, что группа использует методы, частично совпадающие с TTPs другого известного вьетнамского злоумышленника - OceanLotus (APT32), что указывает на возможные связи между этими группами, несмотря на различие в целевых отраслях.
Lotus Bane активно атакует банковский сектор в Азиатско-Тихоокеанском регионе, используя обильный арсенал разнообразных вредоносных ПО для заражения и последующего контроля над системами.
Среди популярных методов - неопубликованная загрузка DLL и обмен данными через именованные каналы (один из методов межпроцессного взаимодействия), что позволяет злоумышленникам запускать вредоносные исполняемые файлы, а также создавать удаленные запланированные задачи для горизонтального перемещения внутри сети.
Одним из инструментов, используемых Lotus Bane, - вредоносное ПО PIPEDANCE, позволяющее осуществлять связь, как раз таки по именованным каналам.
Этот инструмент был впервые задокументирован специалистами Elastic Security Labs в феврале 2023 года в связи с атакой на неназванную вьетнамскую организацию.
Несмотря на то, что атака произошла во Вьетнаме, эксперты утверждают, что сложность методов используемых Lotus Bane указывает на ее потенциал для более широких горизонтов и операций в пределах всего региона.
https://buaq.net
New APT Group 'Lotus Bane' Behind Recent Attacks on Vietnam's Financial Entities
В кейсе с исчезновением BlackCat наметилась развязка после того, как в очередной раз инфраструктура банды ушла в оффлайн.
Успев неплохо потрудиться и напоследок хорошенько нагнуть систему здравоохранения в США в лице Change Healthcare UnitedHealth Group, сайты BlackCat по второму разу прикрыты баннером о конфискации от ФБР.
Исследователи уже заприметили, что новый баннер - прикрышка, которую извлекли из архива со старого сайта утечки и прилепили сами хакеры.
Возможно, что так и есть, этим отчасти объясняются жалобы кинутых на 23 млн. дол. операторов, кошельки которых обчистили владельцы RaaS перед уходом, распределив биткойны по различным кошелькам равными транзакциями на сумму около 3,3 миллиона долларов.
Помимо проделанных финтов, ALPHV разместили объявление о продаже исходников своего вредоносного ПО по цене в 5 миллионов долларов и статус в Tox на «GG» («хорошая игра»).
В недоумении находятся также спецслужбы, некоторые из которых прямо указали на свою непричастность к последним событиям вокруг ALPHV, а другие, в частности, ФБР вовсе отказалось как-то это комментировать.
Но, если верить Смилянцу из Recorded Future, админы сами заявили, что «решили полностью закрыть проект» и «официально заявить, что федералы их обманули». Журналистам из BleepingComputer ALPHV сообщили, что их инфраструктура все же была конфискована.
Но в сухом остатке, если проследить путь банды от DarkSide в 2020 и BlackMatter в 2021 к современному бренду BlackCat или ALPHV, то все события следует понимать началом новой истории, которая по всей видимости будет сопровождаться переформатированием кода и команды.
Что касается бабла, то следует заметить, что BlackCat не являются первопроходцами в использовании такого трюка, скоро как 20 лет назад один находчивый молодой человек, известный в сети под псевдонимом как Redeye, точно также схлопнул свою платежку Fethard, обвинив в этом милицейских милиционеров.
Как говорится, новое - это хорошо забытое старое.
Успев неплохо потрудиться и напоследок хорошенько нагнуть систему здравоохранения в США в лице Change Healthcare UnitedHealth Group, сайты BlackCat по второму разу прикрыты баннером о конфискации от ФБР.
Исследователи уже заприметили, что новый баннер - прикрышка, которую извлекли из архива со старого сайта утечки и прилепили сами хакеры.
Возможно, что так и есть, этим отчасти объясняются жалобы кинутых на 23 млн. дол. операторов, кошельки которых обчистили владельцы RaaS перед уходом, распределив биткойны по различным кошелькам равными транзакциями на сумму около 3,3 миллиона долларов.
Помимо проделанных финтов, ALPHV разместили объявление о продаже исходников своего вредоносного ПО по цене в 5 миллионов долларов и статус в Tox на «GG» («хорошая игра»).
В недоумении находятся также спецслужбы, некоторые из которых прямо указали на свою непричастность к последним событиям вокруг ALPHV, а другие, в частности, ФБР вовсе отказалось как-то это комментировать.
Но, если верить Смилянцу из Recorded Future, админы сами заявили, что «решили полностью закрыть проект» и «официально заявить, что федералы их обманули». Журналистам из BleepingComputer ALPHV сообщили, что их инфраструктура все же была конфискована.
Но в сухом остатке, если проследить путь банды от DarkSide в 2020 и BlackMatter в 2021 к современному бренду BlackCat или ALPHV, то все события следует понимать началом новой истории, которая по всей видимости будет сопровождаться переформатированием кода и команды.
Что касается бабла, то следует заметить, что BlackCat не являются первопроходцами в использовании такого трюка, скоро как 20 лет назад один находчивый молодой человек, известный в сети под псевдонимом как Redeye, точно также схлопнул свою платежку Fethard, обвинив в этом милицейских милиционеров.
Как говорится, новое - это хорошо забытое старое.
Telegram
SecAtor
͏Исследователи связывают очередное таинственное исчезновение ALPHV/BlackCat с кидаловом в отношении одного из партнеров.
Как было замечено, DLS перестал работать с пятницы, сайты для переговоров проработали выходные и также ушли в оффлайн.
Подозрение на…
Как было замечено, DLS перестал работать с пятницы, сайты для переговоров проработали выходные и также ушли в оффлайн.
Подозрение на…
Исследователи бьют тревогу, предупреждая о начавшейся массовой эксплуатации критической уязвимости обхода аутентификации в TeamCity On-Premises от JetBrains.
CVE-2024-27198 с CVSS 9,8 из 10 затрагивает все выпуски локальной версии TeamCity до 2023.11.4 и была устранена поставщиком в понедельник, но пользователи не спешат с обновлением.
Согласно статистике, приведенной LeakIX, более 1700 серверов TeamCity остаются непропатченными.
Причем большинство уязвимых хостов располагаются в Германии, США и России, за ними следуют Китай, Нидерланды и Франция.
При этом, что важно, из них LeakIX выделяет более 1440 экземпляров, которые уже взломаны хакерами. На них создано от 3 до 300 сотен пользователей, а шаблон наименований включает 8 буквенно-цифровых символов.
Выводы LeakIX подтверждают и в GreyNoise, которая также зафиксировала 5 марта резкое увеличение попыток эксплуатации CVE-2024-27198.
По их данным, большинство попыток исходит из хостинговой инфраструктуры DigitalOcean в США.
Как отмечают специалисты LeakIX, задетектированные серверы TeamCity представляют собой производственные машины, используемые для создания и развертывания ПО, что знаменует начала масштабной атаки на цепочку поставок.
Свою озабоченность выразила и Rapid7, подробно изучившая уязвимость и способы ее использования в атаках.
Компрометация сервера TeamCity позволяет злоумышленнику получить полный контроль над всеми проектами, сборками, агентами и артефактами и является подходящим вектором для атаки на цепочку поставок.
Поскольку массовая эксплуатация, о которой мы также предупреждали, уже в активной стадии, администраторам локальных экземпляров TeamCity следует принять срочные меры по защите своих экземпляров.
CVE-2024-27198 с CVSS 9,8 из 10 затрагивает все выпуски локальной версии TeamCity до 2023.11.4 и была устранена поставщиком в понедельник, но пользователи не спешат с обновлением.
Согласно статистике, приведенной LeakIX, более 1700 серверов TeamCity остаются непропатченными.
Причем большинство уязвимых хостов располагаются в Германии, США и России, за ними следуют Китай, Нидерланды и Франция.
При этом, что важно, из них LeakIX выделяет более 1440 экземпляров, которые уже взломаны хакерами. На них создано от 3 до 300 сотен пользователей, а шаблон наименований включает 8 буквенно-цифровых символов.
Выводы LeakIX подтверждают и в GreyNoise, которая также зафиксировала 5 марта резкое увеличение попыток эксплуатации CVE-2024-27198.
По их данным, большинство попыток исходит из хостинговой инфраструктуры DigitalOcean в США.
Как отмечают специалисты LeakIX, задетектированные серверы TeamCity представляют собой производственные машины, используемые для создания и развертывания ПО, что знаменует начала масштабной атаки на цепочку поставок.
Свою озабоченность выразила и Rapid7, подробно изучившая уязвимость и способы ее использования в атаках.
Компрометация сервера TeamCity позволяет злоумышленнику получить полный контроль над всеми проектами, сборками, агентами и артефактами и является подходящим вектором для атаки на цепочку поставок.
Поскольку массовая эксплуатация, о которой мы также предупреждали, уже в активной стадии, администраторам локальных экземпляров TeamCity следует принять срочные меры по защите своих экземпляров.
X (formerly Twitter)
LeakIX (@leak_ix) on X
⚠️⚠️⚠️ We are seeing massive exploitation of TeamCity CVE-2024-27198.
Hundreds of users are created for later use across the Internet.
Hundreds of users are created for later use across the Internet.