SecAtor

2021-03-04 13:29:00 ​​Да! Открыть/Комментировать

2021-03-04 12:32:42 ​​Американские инфосек исследователи из компании Qualys - большие затейники. Вроде бы они умеют в хороший инфосек, в частности именно им принадлежит открытие свежей уязвимости Baron Samedit в sudo, которая позволяла получить рутовые права в системе и присутствовала с лета 2011 года.

В то же время, в конце января стало известно, что Qualys получила свою порцию бэкдора Sunburst в ходе атаки на SolarWinds. При этом компания решила прикинуться ветошью и заявила, что это исследователи сами установили зараженный SolarWinds Orion в тестовой среде для изучения. Правда при этом скомпрометированный домен почему то назывался corp .qualys .com.

На этот раз калифорнийцы решили именно в плохую свою сторону - оказалось, что Qualys стала жертвой оператора ransomware Clop, который выкинул в сеть часть украденной информации, включая бухгалтерские данные, налоговые документы и др.

Судя по всему, точкой компрометации послужил сервер Accellion FTA, который стоял в сети Qualys и 0-day уязвимость в котором вымогатели Clop эксплуатировали еще в декабре 2020 года. Сервер был размещен по адресу fts-na .qualys .com и мы было подумали, что это новая тестовая среда Qualys (шутка).

Но хорошо, что компания не стала играть в PR им. Грефа и признала, что стала жертвой взлома Accellion FTA в декабре 2020 года. Согласно заявлению Qualys, производственный сегмент сети был изолирован и хакеры в него не попали, получив доступ лишь к второстепенным данным.

И вот с одной стороны вроде как и можно приподзакрыть глаза на этот взлом, все-таки хакеры использовали 0-day. А с другой стороны это все равно зашквар, где же были все их SOCи, SIEMы и прочие DLP (судя по последней дате активности Accellion FTA 18 февраля, злоумышленники сидели в сети Qualys достаточно долго).

Теперь в расследовании инцидента им помогает FireEye Mandiant. Открыть/Комментировать

2021-03-03 21:00:17 Леденящая душу история - сатанисты поругались и... перенесли спор в суд. Мы-то думали, что там речь пойдет минимум о жертвоприношениях, а то и о призвании Вельзевула.

Американская ООО "Объединенная федерация церквей", выступающая под названием Сатанинский храм, подала в суд на своих бывших членов, которые в марте 2020 года перехватили администрирование официальной страницы Вашингтонского отделения (да, у них там и филиалы еще есть) Сатанинского храма в Facebook, Twitter и Google.

Доступы к аккаунтам Twitter и Google сатанисты вернули, а c Facebook что-то не срослось и ребята подали иск на своих бывших соратников по богонеугодным делам, обвинив их в киберсквоттинге.

Однако UDRP (или что там в Штатах по поводу доменных имен) не предусматривает никаких поблажек для диаволопоклонников, поэтому суд отклонил иск по причине того, что страница в Facebook это не домен.

Вот так вот, Интернет - это вам не козлов жертвенных резать. Открыть/Комментировать

2021-03-03 17:00:59 —Партнерский пост—

На YouTube-канале The Standoff Russia главный редактор ведущего российского инфосек издания SecurityLab Александр Антипов рассказывает и обсуждает новости кибербезопасности:

- как баги в ПО тюрем мешают досрочному освобождению заключенных;
- как полиция использует песни Beatles;
- как Silver Sparrow успел заразить более 30 тыс. устройств Mac;

а также главные киберинциденты прошедшей недели:
- как увеличилось количество атак вымогателей в 2021;
- как восстанавливается SEPA после взлома в 2020;
- как обманывают своих жертв операторы SunCrypt;
- и многое другое.

Подписывайтесь, смотрите и рекомендуйте своим знакомым - *The Standoff Russia*. Открыть/Комментировать

2021-03-03 15:36:00 Исследователь Лаксман Муфия рассказал о выявленной уязвимости в механизме сброса пароля от учетной записи Microsoft, за которую он получил 50 тыс. долларов в качестве bug bounty.

При сбросе пароля на электронную почту или телефон пользователя направляется семизначный код, после ввода которого можно заменить пароль. Таким образом общее количество возможных вариантов составляет 10 млн.

Код шифруется перед отправкой на проверку, но Муфия смог разобраться с техникой шифрования. Тем не менее, ограничение на количество неверных вводов кода оказалось на месте и после 122 попыток механизм был заблокирован.

Решение оказалось простым - запросы на проверку следовало отправлять одновременно с точностью до миллисекунды. При одновременном отправлении 1000 зашифрованных кодов, среди которых был и верный, исследователь смог успешно сбросить пароль.

Аналогичным образом он обошел и 2FA, которая требовала дополнительную отправку шестизначного кода. Уязвимость также имела место.

Из-за сложности атаки уязвимость была признана Microsoft важной, а не критичной, но вознаграждение тем не менее Муфия получил. А Microsoft закрыли ошибку в ноябре 2020 года. Открыть/Комментировать

2021-03-03 14:41:55 Найден способ заменить sudo-пароль на Touch ID

Консультант по JavaScript Дэвид Уолш рассказал, как настроить Touch ID в MacBook так, чтобы больше не вводить пароль при использовании sudo.

Причем, это можно реализовать с помощью буквально пары строк кода.

Теперь пользователям не нужно будет вводить пароль каждый раз из-за использования sudo.

Им будет достаточно просто приложить палец к сканеру отпечатка пальца своего MacBook. Открыть/Комментировать

2021-03-03 13:12:00 Лаборатория Касперского в кои-то веки решила дать материал на русском языке. А то мы уже замучались их Prompt'ом переводить.

Исследователи обнаружили новую вредоносную компанию за авторством русскоязычной APT RTM, активная фаза которой началась в декабре 2020 года.

RTM - коммерческая хакерская группа, ориентированная на пользователей дистанционного банковского обслуживания (ДБО) из России и стран СНГ, для чего применяет одноименный банковский троян. Впервые их заметили словаки из ESET, по данным которых группа функционирует как минимум с 2015 года.

Как рассказывают Касперские, в середине 2019 года RTM организовали фишинговую рассылку с приманками "Повестка в суд", "Заявка на возврат", "Закрывающие документы" и "Копии документов за прошлый месяц". В приложенном файле - банкер RTM. Далее хакеры закреплялись в сети с помощью легитимных программ удаленного доступа или нескольких авторских вредоносных утилит. Основная цель - компьютеры бухгалтеров с установленным ДБО и последующая подмена банковских реквизитов.

Однако в этот раз RTM изменили привычный сценарий своих атак. В случае неудачи в доступе к ДБО они использовали опять таки авторский вымогатель, который получил название Quoter, шифровали данные и оставляли записку о выкупе. В дальнейшем в ход шел уже стандартный для операторов ransomware шантаж с угрозами о публикации украденных данных в сети.

Касперские говорят о примерно десяти жертвах среди российских компаний из транспорта и финансов. Что дает лишний повод российским компаниям не расслаблять меры инфосека.

А теперь - шарада. Если внимательно изучить скрины по ссылке, то можно заметить цитату из Криминального чтива, которую RTM оставили в зашифрованном файле. Если погуглить, то можно найти аналогично зашифрованные файлы, которые кто-то неаккуратно слил в сеть. А если посмотреть на имя файла, то можно найти название компании-жертвы. Интересно, кто бы это мог быть... Открыть/Комментировать

2021-03-03 11:18:52 Еще одно внеочередное обновление - патч для Microsoft Exchange, исправляющий четыре 0-day уязвимости, эксплойты которых, судя по всему, являются составляющими боевого эксплойт-кита.

Как заявляет Microsoft, этот эксплойт-кит принадлежит китайской APT Hafnium. Говорят, что обсуждают эту группу впервые, но нас не оставляет ощущение, что где-то мы подобное обозначение слышали.

По данным исследователей, Hafnium нацелены в первую очередь на организации в США. С помощью своего эксплойт-кита хакеры могли осуществить полный цикл проникновения от прохождения аутентификации до RCE. Конечная цель - поиск и эксфильтрация информации.

Соответственно, рекомендуем срочно обновить свои сервера Microsoft Exchange. Открыть/Комментировать

2021-03-03 10:49:41 Вышло обновление десктопной версии Chrome 89.0.4389.72, в котором исправлена уязвимость CVE-2021-21166, используемая неустановленными злоумышленниками в дикой природе. Как всегда технических подробностей нет (обещают позже, когда большая часть пользователей обновится), известно лишь, что ошибка была найдена в феврале Эллисон Хафман из Microsoft. Предположим, что приводит к RCE.

Кроме CVE-2021-21166 устранены еще 7 критических уязвимостей и куча остальных. Тем, кто использует десктопный Chrome - просто необходимо обновиться. Открыть/Комментировать

2021-03-02 19:38:00 Открыть/Комментировать