HTB Format. Проксируем запросы в Redis через мисконфиг Nginx #статьи #подписчикам

В этом райтапе я покажу, как производить запись данных в Redis благодаря ошибке в настройках Nginx. Также мы проанализируем исходники веб‑приложений, чтобы найти ряд векторов для атаки: LFI, повышение роли пользователя и RCE. Для повышения привилегий будем эксплуатировать уязвимость f-строки в Python и получим скрытые данные приложения.

https://xakep.ru/2023/10/02/htb-format/

DDoS-защиту Cloudflare можно обойти с помощью самой Cloudflare

Исследователи из компании Certitude обнаружили, что брандмауэр Cloudflare, а также защиту от DDoS-атак можно обойти, атаковав других пользователей изнутри самой платформы. Проблема возникает из-за общей инфраструктуры, к которой имеют доступ все арендаторы (tenant), что позволяет злоумышленникам атаковать клиентов Cloudflare через Cloudflare.

https://xakep.ru/2023/10/02/cloudflare-bugs/

Cisco предупредила о 0-day уязвимости в IOS и IOS XE

На прошлой неделе компания Cisco предупредила клиентов об уязвимости нулевого дня в IOS и IOS XE, которую уже пытаются эксплуатировать злоумышленники.

https://xakep.ru/2023/10/02/ios-iosx-0day/

Китайские хакеры похитили 60 000 писем у Госдепартамента США

Стало известно, что в мае текущего года китайская группировка Storm-0558 похитила по меньшей мере 60 000 писем из учетных записей Outlook, принадлежащих чиновникам Госдепартамента США, находящимся в Восточной Азии, Тихоокеанском регионе и странах Европы. Напомним, что эта атака стала возможной из-за компрометации учетной записи инженера Microsoft.

https://xakep.ru/2023/10/02/us-state-dept-leak/

Microsoft запретит активировать новые установки Windows старыми ключами

СМИ обнаружили, что компания Microsoft прикрыла одну из излюбленных «лазеек» пользователей и запретила активировать Windows 10 или Windows 11 старыми ключами от Windows 7 и Windows 8.

https://xakep.ru/2023/10/02/old-windows-keys/

Lazarus атаковала аэрокосмическую компанию в Испании, прикинувшись рекрутером

Северокорейскую хак-группу Lazarus связали с кибершпионской атакой на неназванную аэрокосмическую компанию в Испании. Злоумышленники вышли на связь с сотрудником компании-жертвы, выдавая себя за рекрутера из Meta (признана экстремистской организацией, деятельность запрещена в РФ), и вынудили его установить новый бэкдор LightlessCan.

https://xakep.ru/2023/10/03/lazarus-lightlesscan/

Cтилер Lumma атакует российских пользователей

Эксперты «Лаборатории Касперского» рассказали о новых версиях банковского трояна для Android Zanubis, крипторе ASMCrypt и стилере Lumma, который атакует в том числе российских пользователей.

https://xakep.ru/2023/10/03/zanubis-asmcrypt-lumma/

LPE на казенном макбуке. Злоупотребляем установкой VS Code для локального повышения привилегий #статьи #подписчикам

Когда тебе нужно заставить сотрудников техподдержки выдать креды и привилегии в macOS, но так, чтобы они при этом ничего не заподозрили, можно смело предлагать завершить установку легитимного ПО, которое ты предварительно кастомизировал. Для примера разберем, как это сделать с любимым всеми Visual Studio Code.

https://xakep.ru/2023/10/03/macos-lpe/

ИИ Bing Chat обманом вынудили решить CAPTCHA

Исследователь вынудил чат-бота Microsoft решить CAPTCHA, использовав для этого «визуальный джейлбрейк» — надпись на медальоне его воображаемой умершей бабушки, которую нужно было прочитать.

https://xakep.ru/2023/10/03/bing-chat-captcha/

СМИ: Роскомнадзор может заблокировать все VPN-сервисы в магазинах приложений

Зампред Совета по развитию цифровой экономики при Совете Федерации, сенатор Артем Шейкин сообщил, что с 1 марта 2024 года Роскомнадзор сможет заблокировать в магазинах приложений все VPN-сервисы, предоставляющие доступ к запрещенным сайтам.

https://xakep.ru/2023/10/03/stores-vpn/

Arm предупредила об уязвимостях в драйверах графических процессоров Mali

Компания Arm выпустила патчи, среди прочего, устраняющие уязвимость в драйвере ядра графического процессора Mali, которая уже активно использовалась хакерами. Уязвимые Mali GPU работают на множестве устройств, включая Google Pixel и другие телефоны на Android, Chromebook и различные девайсы под управлением Linux.

https://xakep.ru/2023/10/03/arm-mali-bugs/

Для критической уязвимости в WS_FTP Server уже появился эксплоит

На прошлой неделе компания Progress Software, разработчик платформы для обмена файлами MOVEit Transfer, которая недавно использовалась в массовых атаках, предупредила клиентов о новой опасной уязвимости в своем продукте WS_FTP Server. Так как для этого бага уже появился PoC-эксплоит, разработчики говорят, что «разочарованы» действиями исследователей, которые его создали.

https://xakep.ru/2023/10/04/dlya-kriticheskoj-uyazvimosti-v-ws_ftp-server-uzhe-poyavilsya-eksploit/

Qualcomm исправила три уязвимости нулевого дня в драйверах GPU и DSP

На этой неделе компания Qualcomm устранила 17 проблем в различных компонентах, включая три 0-day уязвимости в драйверах Adreno GPU и Compute DSP, которые хакеры уже активно использовали в своих атаках.

https://xakep.ru/2023/10/04/qualcomm-0days/

ChatGPT на рыбалке. Выманиваем пароль при помощи QR-кода и чат-бота #статьи #подписчикам

ChatGPT сейчас разве что в котлеты не кладут. В этой статье мы расскажем, как в проекте по социальной инженерии с помощью форка библиотеки для Gophish рассылать QR-коды вместо обычных ссылок, чтобы вытащить сотрудников из защищенного рабочего окружения на личные девайсы. В качестве catchy-сценария рассылки мы рассмотрим «Telegram-бот IT-поддержки с ChatGPT» и на самом деле используем эту нейросеть для генерации кода бота, а также подключим интеграцию с API OpenAI для общения с пользователями.

https://xakep.ru/2023/10/04/phishing-with-chatgpt/

Microsoft выпустила срочные патчи для Microsoft Edge и Teams

Не дожидаясь «вторника обновлений», компания Microsoft опубликовала экстренные патчи для Edge, Teams и Skype. Эти исправления устраняют две уязвимости нулевого дня в опенсорсных библиотеках, которые входят в состав всех трех перечисленных продуктов.

https://xakep.ru/2023/10/04/microsoft-libvpx-libwebp-patches/

Google и Yahoo заявили, что будут бороться со спамом по-новому

Два крупнейших в мире провайдера электронной почты заявили, что скоро предпримут ряд шагов, направленных на борьбу со спамом, фишингом и массовыми рассылками.

https://xakep.ru/2023/10/04/google-yahoo-mail/

Актер Том Хэнкс предупредил, что его образ используется в дипфейк-рекламе стоматологии

На этой неделе актер Том Хэнкс, ведущая ток-шоу CBS Mornings и известный ютубер MsBeast предупредили, что мошенники используют их образы в рекламе, которая создается при помощи ИИ.

https://xakep.ru/2023/10/04/ai-deepfakes/

Проблема Looney Tunables позволяет получить root-права в дистрибутивах Linux

Новая Linux-уязвимость, получившая название Looney Tunables (CVE-2023-4911), позволяет локальному злоумышленнику получить root-привилегии, используя переполнение буфера в динамическом загрузчике ld.so библиотеки GNU C. Проблема представляет угрозу практически для всех основных дистрибутивов Linux, включая Fedora, Ubuntu, Debian и так далее.

https://xakep.ru/2023/10/05/looney-tunables/

Письмо с сюрпризом. Изучаем уловки и хитрости для доставки писем с малварью #статьи #подписчикам

По статистике значительная часть заражений малварью происходит из‑за того, что пользователь сам запустил на своей машине вредоносный файл. Именно в этом и заключается основная задача злоумышленников, использующих социальную инженерию. Давай посмотрим, какие технические уловки и хитрости они применяют.

https://xakep.ru/2023/10/05/surprise-malware/

Компания Sony подтвердила утечку данных тысяч сотрудников

Компания Sony уведомила нынешних и бывших сотрудников (а также членов их семей) о кибератаке, в результате которой была раскрыта их личная информация. Также в компании подтвердили, что утечка произошла в результате атаки на 0-day уязвимость в MOVEit Transfer.

https://xakep.ru/2023/10/05/sony-moveit-leak/

Apple экстренно исправила еще один 0-day в своих продуктах

Компания Apple выпустила экстренные патчи для очередной уязвимости нулевого дня, которая уже использовалась в атаках на пользователей iPhone и iPad. Проблема CVE-2023-42824 могла использоваться локальным злоумышленником для повышения привилегий.

https://xakep.ru/2023/10/05/apple-xnu-0day/