SecAtor

2023-04-04 18:30:02 С того момента, как стало известно об атаке на цепочку поставок посредством 3CX VoIP половина инфосек общественности бегает с душераздирающими криками по кругу, а вендоры наперебой дают советы по снижению возможных негативных последствий, хотя в основном рекламят свои решения, - Cyble, Group-IB, Zscaler, Rapid 7 (с празднованием Месяца женской истории наперевес), Sophos, Trend Micro, Cisco Talos, Palo Alto Networks и прочие. И только в лыжи обутые словаки из ESET рассказывают про основы приватности на OnlyFans.

Ну а Лаборатория Касперского дает отчет о дополнительной атрибуции стоящей за атакой APT, чем нас немало радует.

Сразу сделаем оговорку. В последнее время нас стали обвинять в том, что мы слишком много даем Касперских. А все очень просто - Касперские по количеству публикуемых отчетов лидеры не только в России, но и, зачастую, в мире. Давали бы так материалы Дсеки, Позитивы, Бизоны, да те же ГрИБы, - с удовольствием делали бы обзор (что изредка и происходит). Но не дают, шельмецы. Хотя мы все равно их всех любим.

И что же, нам из-за мнения комментаторов специально пропускать интересные отчеты? Ага, щаз. Да и в атрибуцию Касперские любят. А атрибуция - наш фетиш, как известно.

Возвращаясь к сути поста. Дружелюбные привидения обнаружили, что помимо инфостилера в качестве полезной нагрузки в ходе атаки была подтянута некая библиотека guard64.dll, которая в 2020 году была замечена на атакованной машине вместе с бэкдором AppleJeus. принадлежащем Lasarus, пожалуй самой нашей любимой APT ("Ким Чен Ин шагает впереди ") Guard64.dll представляла собой один из модулей бэкдора Gopuram, полноценного трояна удаленного доступа.

Таким образом получены весомые дополнительные, хоть и косвенные, аргументы в пользу того, что за атакой на 3CX стоят северокорейские APT.

А сама атака, конечно, красивая. Прямо произведение искусства. Как скрипка Страдивари. Ну или как маузер Дзержинского... Открыть/Комментировать

2023-04-04 17:00:03 Пока пользователи Twitter обсуждают Доге, сменившей привычную голубую птичку, исследователи выясняют подробности новой баги, которая была обнаружена в алгоритме рекомендации платформы на третий день раскрытия исходного кода.

Теперь исходники для многих компонентов Twitter доступны в двух основных репозиториях на GitHub (main repo и ml repo), включая и алгоритм рекомендаций.

Это один из наиболее важных компонентов работы соцсети, который отвечает за то, что персонализацию выдачи уведомлений, результатов поиска и формирования рекомендательной шкалы твитов.

Не успел Илон Маск запилить обещанный сервис для обработки предложений и уведомлений о проблемах, как исследователи уже выкатили первую уязвимость в алгоритме, которая теперь отслеживается как CVE-2023-29218.

Ошибка позволяет злоумышленникам через ec83d01 вызывать отказ в обслуживании (снижение оценки репутации), организуя с нескольких учетных записей Twitter координацию негативных действий в отношении целевой учетной записи, таких как отписка, отключение звука, блокировка и жалобы.

Подробностей нет, а эксплойт в открытом доступе не представлен. Но однозначно известно, что бага используется в дикой природе и прошла успешную апробацию ботоводами.

В свою очередь, раздосадованный владелец Twitter оперативно отреагировал и предложил свои меры по смягчению последствий, назначив вознаграждение в 1 миллион долларов за админов ботсетей.

Насколько эффективными окажутся - будем посмотреть. Открыть/Комментировать

2023-04-04 15:25:00 Британская аутсорсинговая фирма Capita подверглась кибератаке.

И все бы ничего, если не одно важное обстоятельство: среди клиентов - в основном критически важные инфраструктурные организации, в том числе Национальная служба здравоохранения (NHS) и Министерство обороны, а также ряд известных компаний таких, как O2, Vodafone, Королевский банк Шотландии и др.

Причем с прошлого года компания получила подряд на управление инженерной и технической поддержкой учебных тренажеров для атомных подводных лодок с баллистическими ракетами Королевского флота.

Компания работает с силовиками и ИБ-специалистами для расследования инцидента. Подробности атаки или объем утечки не раскрываются. Безусловно, предпринимаются все «немедленные шаги» для защиты систем и данных клиентов.

Киберинцидент, в первую очередь, повлиял на доступ к внутренним приложениям Microsoft Office 365. Кроме того, атака привела к сбоям в работе сервисов ограниченного числа клиентов. Кто из них корректно пострадал Capita не уточняет.

Пока из реального подтвержденного ущерба можно лишь рассматривать падение акций на 3%.

С другой стороны, учитывая наличие всех признаков пребывания в сети жертвы операторов ransomware и особый уровень клиентов, основной ущерб будет измеряться даже не деньгами.

Но самое замечательное в этой истории, что Capita наступает на одни и те же грабли не в первый раз. В прошлом ее уже выхлапывали хакеры в 2019 году и тогда обстоятельства инцидента замяли.

Несмотря на это, компания смогла порешать все вопросы и даже заполучить господряды по линии обороны. Видимо и бюджет на ИБ распилился на этом этапе. Открыть/Комментировать

2023-04-03 21:05:01 Пока президент США отстаивает демократию и борется за конфиденциальность, пытаясь навязать правила игры для поставщиков шпионского ПО, другая - задняя часть его госаппарата продолжает исправно проплачивать счета за эти же технологии через подставные компании.

Если верить The New York Times, американский филиал теперь уже широко разрекламированной израильской хакерской NSO Group по соглашению от 8 ноября 2021 года предоставила американским структурам доступ к сервису Landmark, который позволяет тайно отслеживать местоположение мобильного телефона по всему миру в режиме онлайн.

Заключение сделки происходило за дней до того, как администрация Байдена объявила о принятии санкции против NSO, а со стороны заказчика документ был подписан руководителем Cleopatra Holding с вымышленными данными.

Это тот же господрядчик из Нью-Джерси под реальным названием Riva Networks, которую ФБР использовало в 2019 году для покупки Pegasus.

Контракт и по сей день продолжает действовать, по запросам спецслужбы получают геолокации целей.

Рассекреченный журналистами секретный контракт свидетельствует о продолжающейся борьбе за контроль над мощным кибероружием как между правительствами, так и внутри правительств, включая Соединенные Штаты.

Причем, все инсинуации вокруг той же NSO больше походят на попытку рейдерства технологий со стороны штатов, попутно извлекая от поставщика нужные разведданные как по линии разведки, так и для внутриполитических вопросов.

Для этого использовалась схема с привлечением лондонского фонда прямых инвестиций Novalpina Capital и создания на территории штатов холдинговой компании Gideon Cyber Systems, через которую NSO планировалось вывести на крупных заказчиков в США и его союзников.

Позже был период сложных переговоров с высокими чинами из спецслужб США и Израиля. Итогом стало соглашение о приобретении американским оборонным гигантом L3Harris активов NSO, которое в конце концов ничем не закончилось.

Тем временем, NSO уже была поймана на крючок скандала из-за разоблачения злоупотреблений Pegasus, что привело к жесткому прессингу и началу более глобального передела.

NSO не спасло даже сближение с другой американской фирмы Boldend, имеющей тесные связи с ЦРУ и АНБ.

Но это не помешало Cleopatra Holdings по-прежнему ежемесячно платить Gideon Cyber Solutions за доступ к Landmark.

А значит, что передел продолжится, затрагивая более обширный арсенал шпионских технологий и игроков рынка. Открыть/Комментировать

2023-04-03 19:30:02 Western Digital взломан, а услуги облачного хранения данных не доступны.

Более нелепую реплику от ИТ-гиганта не ожидали услышать даже заядлые фанаты, так как Western Digital заявили в своем Twitter, что «лучшее время для резервного копирования было вчера, а второе лучшее время - прямо сейчас».

Что тут добавить, красавчики. Мотаем на ус, что для сохранности действительно важных данных резервироваться нужно в нескольких местах.

Что известно не данный момент, как всегда, - немного. В компании пока пытаются оправиться от удара и понять откуда прилетело. Точно понятно, что ее сеть была взломана и неавторизованная сторона получила доступ к нескольким системам компании.

Инцидент с сетевой безопасностью был выявлен в прошлое воскресенье. Как полагают в Western Digital, хакеры смогли получить определённые данные из корпоративных систем.

Эксперты по ИБ уже выясняют объём утечки и масштаб массовой истерии, если не дай боже выясниться, что утекло эдакое личное, щепетильное и чужое.

Как сообщил калифорнийский производитель, расследование находится на ранней стадии и компания координирует усилия с правоохранительными органами. Ну, а пока не работает вся экосистема My Cloud, включая My Cloud Home, My Cloud Home Duo, My Cloud OS5, а также недоступны сервисы SanDisk ibi, SanDisk Ixpand Wireless Charger.

Учитывая, что компания позиционирует себя, как поставщик простой, эффективной и безопасной платформы хранения данных с многочисленными наградами в области резервного копирования и защиты от ransomware на основе ИИ, Western Digital попадет в весьма печальный неудобняк, когда на какой-то из DLS появятся пруфы с утечкой и письмецо с N нулями.

Интерес со стороны злоумышленников очевиден. Для справки WD продает устройства хранения клиентам по всему миру, включая облачные гиперскейлеры, доходы которой составили 18,7 миллиарда долларов в 2022 году, причем доходы от облачных хранилищ составляют 42% от ее общей выручки.

Но будем посмотреть. Открыть/Комментировать

2023-04-03 17:47:04 Серьезная уязвимость в плагине Elementor Pro для WordPress с 11 миллионами установок эксплуатируется в дикой природе и открывает хакерам возможности полного захвата сайта.

Обнаруживший 18 марта 2023 года ошибку исследователь NinTechNet Джером Брюанде на днях поделился техническими подробностями эксплуатации.

Проблема обусловлена возможностью подмены параметров WordPress в базе данных без надлежащей проверки благодаря нарушению контроля доступа к модулю WooCommerce через AJAX.

Несмотря на то, что с момента обнаружения прошло меньше двух недель, хакеры предпринимают попытки активной эксплуатации ошибки в реальных атаках, о чем сообщают исследователи PatchStack.

Замеченная вредоносная активность реализует перенаправление посетителей на вредоносные домены (away[.]trackersline[.]com) или загрузку бэкдоров на скомпрометированные ресурсы, в числе которых: wp-resortpark.zip, wp-rate.php или lll.zip.

Содержащийся PHP-скрипт позволяет удаленному злоумышленнику получить полный доступ к сайту WordPress и загружать дополнительный вредоносный код.

Пока же большая часть из всех наблюдаемых атак фиксируется со следующих IP-адресов: 193.169.194.63, 193.169.195.64 и 194.135.30.6.

В ближайшей перспективе число попыток эксплуатации кратно возрастет, в связи с чем администраторам следует как можно скорее обновиться до версии 3.11.7 или более поздней (последняя — 3.12.0). Открыть/Комментировать

2023-04-03 15:37:01 Когда-то давным-давно, когда деревья были большими, а канал SecAtor маленьким и не мог похвастать даже тысячей подписчиков, известный инфосек вендор Avast накосячил.

Широкой общественности стало известно, что дочерняя Avast компания Jumpshot активно расторговывает данными пользователей, полученными в ходе работы Avast'овского антивируса на компьютерах этих самых пользователей. Кто покупал - Google, Microsoft, McKinsey и другие поборники прав человека. Что продавали - поисковые запросы, геолокацию, историю серфинга, просмотры видеохостингов. Покусились даже на святое - историю поиска и просмотров на Pornhub! Бесы натуральные! (так сказать, Jumpshot покусился на cumshot, хе-хе)

Закончилось все для Avast не очень. Скандал разразился большой, Jumpshot пришлось прикрыть и сделать три раза ку с цаком. Что не очень помогло - акции вендора в моменте упали почти на 10%. Да еще и выявленная вскоре дырка в их антивирусном движке JavaScript...

Но нет предела совершенству! Испанское Агентство по защите данных вспомнило таки про проступок вендора и на днях оштрафовало Avast на 13,7 млн евро за нарушение требований GDPR (General Data Protection Regulation). И, если нам не изменяет склероз, это самый крупный штраф в инфосеке на данный момент.

А потому что нечего в нашу порнуху лазать Открыть/Комментировать

2023-03-31 20:44:06 Microsoft решила устроить настоящий gang для пользователей решений Azure.

Вслед за Function Apps и Active Directory дырявым оказался популярный инструмент Azure Service Fabric Explorer, как выясняется - дважды.

Ещ в октябре прошлого года исследователи из Orca Security представили руководство по исправлению XSS-уязвимости (CVE-2022-35829, оценка CVSS: 6,2), позволяющей внедрять вредоносный код на безопасные веб-сайты, которая получила название FabriXss.

А недавно появились технические подробности новой критической проблемы CVE-2023-23383 (с оценкой CVSS: 8,2), которую, не особо заморачиваясь, решили назвать Super FabriXss (с).

Super FabriXss позволяет удаленным злоумышленникам использовать межсайтовый скриптинг для удалённого неавторизованного выполнения кода в контейнере, размещенном на узле Service Fabric.

Атака реализует преимущества параметров переключения типа кластера на вкладке «события» на платформе Service Fabric, и связана с возможностью перезаписи развертывания Compose с инициированием обновления посредством специально созданного URL-адреса из XSS-уязвимости.

В отличие от предыдущей уязвимости, SuperFabriXxs существует только в кластере Windows, однако имеет более серьезные последствия, поскольку его можно использовать для получения полного контроля над уязвимыми системами.

Проблема затрагивает Azure Service Fabric Explorer 9.1.1436.9590 (и более ранние версии) и была решена мартовским обновлением.

Однако учитывая, что исследователи достаточно подробно и пошагово описали, как использовать уязвимость, клиентам Azure стоит обратить особое внимание исправлению недостатка, так как очевидно, что мануал уже изучают не только админы. Открыть/Комментировать

2023-03-31 18:00:03 Иисследователь Хиллай Бен-Сассон из Wiz сообщил, что ему удалось взломать Bing и изменить результаты поиска, благодаря уязвимости BingBang, что подкрепил пруфами на Youtube.

Правда, с учетом не очень хорошей репутации Microsoft с точки зрения ИБ и всех обстоятельств раскрытия багу следовало бы назвать GangBang.

Уязвимость позволяла помимо манипуляции поисковой системой Bing позволяла получать доступ к миллионам учетных записей пользователей Office365.

Как выяснили ресерчеры, она была связана с неправильной конфигурацией в облачной службе управления идентификацией и доступом Azure Active Directory, используемой множеством организаций по всему миру.

При этом, по данным Wiz, не менее 35% просканированных приложений оказались уязвимыми для обхода аутентификации Azure.

Углубившись в проблему, исследователи Wiz смогли не только менять результаты для поисковых запросов, но и провести XSS-атаку, скомпрометировав учётные данные абсолютно любого пользователя Bing, который использует Microsoft Office365.

Учитывая, что Bing является 27-м по посещаемости веб-сайтом в мире, а также экстраполируя вредоносный потенциал на другие уязвимые сервисы Mag News, MSN, PoliCheck, Power Automate Blog и т.д., BingBang открывает широкий горизонт для потенциальных атак.

Microsoft оперативно устранила проблему, добавив дополнительные авторизационные проверки, и выпустила отдельное руководство по безопасности.

За обнаружение проблемы исследователи Wiz получили вознаграждение от Microsoft в размере 40 000 долларов, а также овации почти миллиона пользователей.

Если верить разработчику, воспользоваться описанной уязвимостью в дикой природе никому из злоумышленников не удалось. В противном случае - очень пригодилось бы предложенное нами наименование. Открыть/Комментировать

2023-03-31 15:52:42 Популярный во всем мире ударный контроллер водяного насоса Osprey остается уязвимым для удаленных хакерских атак.

Контроллер широкого спектра применения реализует управление водяными насосами в том числе и на критических объектах, включая: водоснабжение, канализацию, газоснабжение, сельское хозяйство и промышленность.

Дело в том, что производитель систем - американская компания ProPump and Controls игнорирует множественные уязвимости, которые обнаружил Джоко Крстич, основатель македонской инфосек-компании Zero Science Lab, в ходе оценки защищенности одного из клиентских объектов ICS.

После безуспешных попыток достучаться до поставщика, Крстич сообщил о своих выводах в CISA, которая 23 марта опубликовала бюллетень с описанием уязвимостей. Кроме того, десять отдельных бюллетеней с описанием каждой ошибки также были опубликованы на веб-сайте Zero Science Lab.

Злоумышленник может использовать уязвимости для удаленного взлома систем и получения полного контроля над устройством со всеми вытекающими последствиями, связанными с возможностью вмешательством в работу оборудования.

При этом многие из этих недостатков можно использовать без аутентификации. И это при том, что на практике десятки таких контроллеров торчат наружу в сеть почти на каждом объекте.

Если позицию поставщика хоть как-то объяснима, то чем руководствуется CISA при назначении рейтинга с базовым (незначительным) уровнем выявленным уязвимостям, среди которых RCE, CSRF, XSS, обход аутентификации, перехват сеансов, - за границами всякого понимания.

Все стрелки CISA переводит на ProPump and Controls, рекомендуя клиентам по всем вопросам обращаться в поставщику.

Вероятно, в перспективе горячая линия понадобится, ведь хакеры уже не раз пытались атаковать системы SCADA на объектах водоснабжения, как это было, например, во Флориде в 2021 году. Открыть/Комментировать