SecAtor

2023-04-03 15:37:01 Когда-то давным-давно, когда деревья были большими, а канал SecAtor маленьким и не мог похвастать даже тысячей подписчиков, известный инфосек вендор Avast накосячил.

Широкой общественности стало известно, что дочерняя Avast компания Jumpshot активно расторговывает данными пользователей, полученными в ходе работы Avast'овского антивируса на компьютерах этих самых пользователей. Кто покупал - Google, Microsoft, McKinsey и другие поборники прав человека. Что продавали - поисковые запросы, геолокацию, историю серфинга, просмотры видеохостингов. Покусились даже на святое - историю поиска и просмотров на Pornhub! Бесы натуральные! (так сказать, Jumpshot покусился на cumshot, хе-хе)

Закончилось все для Avast не очень. Скандал разразился большой, Jumpshot пришлось прикрыть и сделать три раза ку с цаком. Что не очень помогло - акции вендора в моменте упали почти на 10%. Да еще и выявленная вскоре дырка в их антивирусном движке JavaScript...

Но нет предела совершенству! Испанское Агентство по защите данных вспомнило таки про проступок вендора и на днях оштрафовало Avast на 13,7 млн евро за нарушение требований GDPR (General Data Protection Regulation). И, если нам не изменяет склероз, это самый крупный штраф в инфосеке на данный момент.

А потому что нечего в нашу порнуху лазать Открыть/Комментировать

2023-03-31 20:44:06 Microsoft решила устроить настоящий gang для пользователей решений Azure.

Вслед за Function Apps и Active Directory дырявым оказался популярный инструмент Azure Service Fabric Explorer, как выясняется - дважды.

Ещ в октябре прошлого года исследователи из Orca Security представили руководство по исправлению XSS-уязвимости (CVE-2022-35829, оценка CVSS: 6,2), позволяющей внедрять вредоносный код на безопасные веб-сайты, которая получила название FabriXss.

А недавно появились технические подробности новой критической проблемы CVE-2023-23383 (с оценкой CVSS: 8,2), которую, не особо заморачиваясь, решили назвать Super FabriXss (с).

Super FabriXss позволяет удаленным злоумышленникам использовать межсайтовый скриптинг для удалённого неавторизованного выполнения кода в контейнере, размещенном на узле Service Fabric.

Атака реализует преимущества параметров переключения типа кластера на вкладке «события» на платформе Service Fabric, и связана с возможностью перезаписи развертывания Compose с инициированием обновления посредством специально созданного URL-адреса из XSS-уязвимости.

В отличие от предыдущей уязвимости, SuperFabriXxs существует только в кластере Windows, однако имеет более серьезные последствия, поскольку его можно использовать для получения полного контроля над уязвимыми системами.

Проблема затрагивает Azure Service Fabric Explorer 9.1.1436.9590 (и более ранние версии) и была решена мартовским обновлением.

Однако учитывая, что исследователи достаточно подробно и пошагово описали, как использовать уязвимость, клиентам Azure стоит обратить особое внимание исправлению недостатка, так как очевидно, что мануал уже изучают не только админы. Открыть/Комментировать

2023-03-31 18:00:03 Иисследователь Хиллай Бен-Сассон из Wiz сообщил, что ему удалось взломать Bing и изменить результаты поиска, благодаря уязвимости BingBang, что подкрепил пруфами на Youtube.

Правда, с учетом не очень хорошей репутации Microsoft с точки зрения ИБ и всех обстоятельств раскрытия багу следовало бы назвать GangBang.

Уязвимость позволяла помимо манипуляции поисковой системой Bing позволяла получать доступ к миллионам учетных записей пользователей Office365.

Как выяснили ресерчеры, она была связана с неправильной конфигурацией в облачной службе управления идентификацией и доступом Azure Active Directory, используемой множеством организаций по всему миру.

При этом, по данным Wiz, не менее 35% просканированных приложений оказались уязвимыми для обхода аутентификации Azure.

Углубившись в проблему, исследователи Wiz смогли не только менять результаты для поисковых запросов, но и провести XSS-атаку, скомпрометировав учётные данные абсолютно любого пользователя Bing, который использует Microsoft Office365.

Учитывая, что Bing является 27-м по посещаемости веб-сайтом в мире, а также экстраполируя вредоносный потенциал на другие уязвимые сервисы Mag News, MSN, PoliCheck, Power Automate Blog и т.д., BingBang открывает широкий горизонт для потенциальных атак.

Microsoft оперативно устранила проблему, добавив дополнительные авторизационные проверки, и выпустила отдельное руководство по безопасности.

За обнаружение проблемы исследователи Wiz получили вознаграждение от Microsoft в размере 40 000 долларов, а также овации почти миллиона пользователей.

Если верить разработчику, воспользоваться описанной уязвимостью в дикой природе никому из злоумышленников не удалось. В противном случае - очень пригодилось бы предложенное нами наименование. Открыть/Комментировать

2023-03-31 15:52:42 Популярный во всем мире ударный контроллер водяного насоса Osprey остается уязвимым для удаленных хакерских атак.

Контроллер широкого спектра применения реализует управление водяными насосами в том числе и на критических объектах, включая: водоснабжение, канализацию, газоснабжение, сельское хозяйство и промышленность.

Дело в том, что производитель систем - американская компания ProPump and Controls игнорирует множественные уязвимости, которые обнаружил Джоко Крстич, основатель македонской инфосек-компании Zero Science Lab, в ходе оценки защищенности одного из клиентских объектов ICS.

После безуспешных попыток достучаться до поставщика, Крстич сообщил о своих выводах в CISA, которая 23 марта опубликовала бюллетень с описанием уязвимостей. Кроме того, десять отдельных бюллетеней с описанием каждой ошибки также были опубликованы на веб-сайте Zero Science Lab.

Злоумышленник может использовать уязвимости для удаленного взлома систем и получения полного контроля над устройством со всеми вытекающими последствиями, связанными с возможностью вмешательством в работу оборудования.

При этом многие из этих недостатков можно использовать без аутентификации. И это при том, что на практике десятки таких контроллеров торчат наружу в сеть почти на каждом объекте.

Если позицию поставщика хоть как-то объяснима, то чем руководствуется CISA при назначении рейтинга с базовым (незначительным) уровнем выявленным уязвимостям, среди которых RCE, CSRF, XSS, обход аутентификации, перехват сеансов, - за границами всякого понимания.

Все стрелки CISA переводит на ProPump and Controls, рекомендуя клиентам по всем вопросам обращаться в поставщику.

Вероятно, в перспективе горячая линия понадобится, ведь хакеры уже не раз пытались атаковать системы SCADA на объектах водоснабжения, как это было, например, во Флориде в 2021 году. Открыть/Комментировать

2023-03-31 09:21:31 Уязвимости online. Полезные ресурсы и базы данных для поиска уязвимостей.

• Хакеры начинают искать уязвимые эндпоинты уже через 15 минут, после раскрытия данных о CVE. Дело в том, что они постоянно мониторят сообщения от поставщиков и производителей ПО в поисках объявлений о новых уязвимостях, которые можно было бы использовать для начального доступа к корпоративной сети или удаленного выполнения кода.

Приветствую тебя user_name.

• Часто нужно узнать всю информацию о какой-нибудь уязвимости: насколько найденный баг критичен, есть ли готовые сплоиты, какие вендоры уже выпустили патчи, каким сканером проверить наличие бага в системе и т.д. Для этих потребностей есть не мало инструментов и *ресурсов, о которых ты сегодня узнаешь:

• MITRE CVE — база данных, поисковик и классификатор уязвимостей.
• opencve.io — поисковик CVE с функционалом оповещений о новых угрозах.
• Vulnerability Database — ресурс для поиска информации об актуальных угрозах.
• sploitus — поисковик по эксплойтам и необходимым инструментам инструментам.
• CVE Trends — ресурс, который отслеживает популярность CVE в реальном времени.
• GitHub Advisory Database — БД уязвимостей, включающая CVE и рекомендации по безопасности.
• Exploit DB — CVE-совместимый архив общедоступных эксплойтов и уязвимого программного обеспечения.
• Cloudvulndb — проект, который аккумулирует уязвимости и проблемы безопасности поставщиков облачных услуг.
• CVEDetails, osv.dev, VulDB, maltiverse — источники данных об уязвимостях и индикаторах компрометации.
• security.snyk.io и Mend Vulnerability Database, Vulncode-DB — БД уязвимостей с открытым исходным кодом.
• Rapid7 - DB — база данных, которая содержит детали более чем 180 тыс. уязвимостей и 4 тыс. эксплойтов. Все эксплойты включены в Metasploit.

*Список ресурсов не претендует на полноту.

S.E. S.E.Relax infosec.work Открыть/Комментировать

2023-03-30 21:03:08 Исследователи Trend Micro обнаружили малварь под названием Opcjacker, которая распространялась в дикой природе, по крайней мере, с середины 2022 года, используя рекламные кампании, замаскированные под криптовалютные приложения и другие легитимные ПО на поддельных веб-сайтах.

В своей последней кампании в феврале 2023 года, вредоносное ПО распространялось среди пользователей Ирана с помощью таргетированной рекламы якобы VPN-приложения.

Как считают эксперты, OpcJacker достаточно интересная вредоносная программа, поскольку ее конфигурационный файл использует пользовательский формат файла для определения поведения злоумышленника.

В частности, формат напоминает пользовательский код виртуальной машины, где числовые шестнадцатеричные идентификаторы, присутствующие в файле конфигурации, заставляют похитителя запускать нужные функции. Вероятно, это сделано для того, чтобы запутать исследователей, работающих над анализом вредоносного ПО.

Основные функции OpcJacker включают в себя кейлоггер, создание скриншотов, кражу конфиденциальных данных из браузеров, загрузку дополнительных модулей и замену криптовалютных адресов в буфере обмена.

Малварь загружается путем исправления легитимной библиотеки DLL внутри установленной программы, которая затем загружает другую вредоносную библиотеку DLL, посредством которой запускается шелл-код, содержащий загрузчик и инсталятор другого вредоносного приложения в дополнение к Opcjacker.

Причем этот вредонос собирается из фрагментов данных, хранящихся в нескольких файлах разных форматов, таких как WAV и CHM.

Загрузчик используется уже более года и называется Babadeda crypter, но злоумышленник, стоящий за Opcjacker, внес некоторые некоторые изменения в cryptor и добавил совершенно новой пейлоад.

Специалисты отметили, что OpcJacker в основном запускает дополнительные модули, такие как NetSupport RAT или скрытый вариант VNC. В некоторых случаях другой загрузчик под названием Phobos Cryptor, который используется для доставки ransomware Phobos.

Основная цель вредоносного ПО пока неизвестна, но его возможности по краже криптовалют указывают на то, что за ним стоит финансово мотивированный злоумышленник.

Тем не менее, дополнительные функции вредоносного ПО позволяют использовать его в качестве средства для кражи информации и загрузки других вредоносных ПО.

В Trend Micro отметили, что Opcjacker все еще находится в стадии активной разработки и в скором времени планируется более широкое распространение в других вредоносных кампаниях. Открыть/Комментировать

2023-03-30 19:17:28 Продолжаем следить за тектоническими изменениями на рынке коммерческого шпионского ПО.

На днях, как сообщают наши коллеги, президент США подписал указ, направленный на ограничение использования spyware. И речь вовсе не идет о локальной истории.

Стоит отметить, что регулирование в силу экстерриторальной юрисдикций американских законов будут распространяться фактически на всех участников отрасли.

Что собственно, Белый дом официально подтвердил, заявив о том, что указ послужит основой для международного сотрудничества в рамках стимулирования реформы отрасли.

Дабы поддержать дедулю и общую продвигаемую западным разведсообществом стратегию, исследователи Google TAG выкатили очередной отчет по spyware, связав львиную долю 0-day за 2022 год для iOS и Android с поставщиками шпионского ПО, замеченными в двух разных целенаправленных кампаниях.

В одной из двух кампаний атака началась с отправки ссылки целевому пользователю через SMS. При переходе по ссылке жертва попадала на вредоносные веб-сайты с эксплойтами для Android или iOS.

Цепочка эксплойтов iOS включала CVE-2022-42856, уязвимость WebKit, которую Apple исправила в iPhone в декабре 2022 года. Атаки также включали метод обхода проверки подлинности указателя (PAC) и эксплойт для CVE-2021-30900 (уязвимость выхода из песочницы и повышения привилегий), которую Apple исправила в iOS в 2021 году. 

Цепочка эксплойтов Android была нацелена на CVE-2022-3723 — 0-day для Chrome, исправленную Google в октябре 2022 года, а также на CVE-2022-4135, которую Google исправила в ноябре 2022 года (обход песочницы Chrome GPU, который влияет только на устройства Android).

Цепочка Android также включала использование CVE-2022-38181, уязвимости графического процессора Arm Mali, приводящей к произвольному выполнению кода ядра. Патч был выпущен Arm в августе 2022 года, но на устройства Pixel он был выпущен только в январе 2023 года.

Однако несколько поставщиков, включая Pixel, Samsung, Xiaomi, Oppo и другие, не включили исправление, в результате чего злоумышленники могли свободно использовать ошибку в течение нескольких месяцев.

Кампания была нацелена на пользователей в Италии, Малайзии и Казахстане с помощью ПО от RCS Lab и Cytrox.

Во второй кампании, обнаруженной в декабре 2022 года, злоумышленники нацелились на на браузер Samsung, объединив различные 0 и n-day. Эксплойты также доставлялись в виде ссылок через SMS.

Атаки были нацелены на пользователей в ОАЭ с целью доставки шпионского ПО для Android. Google считает, что атака была осуществлена испанской Variston.

Список эксплойтов включал CVE-2022-4262 (0-day в Chrome), исправленную Google в декабре 2022 года, и CVE-2022-3038 (побег из песочницы Chrome).

Кампания также нацелена на CVE-2022-22706 (проблема в драйвере ядра Mali), исправленную Arm в январе 2022 года, и CVE-2023-0266 (уязвимость звуковой подсистемы ядра Linux). Обе эти уязвимости активно эксплуатировались на устройствах Android до того, как были выпущены исправления.

За раскрытие подробностей атак респект, но что-то никак в отчетах не видим ничего про американских поставщиков spyware. Открыть/Комментировать

2023-03-30 18:02:33 Поставщик оборудования QNAP предупреждает о необходимости защиты устройств NAS на базе Linux от уязвимости повышения привилегий Sudo.

CVE-2023-22809 имеет высокую степень серьезности и была обнаружена исследователями Synacktiv.

Ошибка связана с обходом политики sudoers в Sudo при использовании sudoedit. Успешная эксплуатация на непропатченных устройствах с использованием версий Sudo с 1.8.0 по 1.9.12p1 может позволить злоумышленникам повысить привилегии путем редактирования неавторизованных файлов после добавления произвольных записей в список обрабатываемых файлов.

Уязвимость также влияет на операционные системы NAS QTS, QuTS hero, QuTScloud и QVP (QVR Pro appliances), о чем QNAP сообщил в опубликованных рекомендациях.

Разработчики устранили ошибку в платформах QTS и QuTS hero, однако они все еще работают над обновлением безопасности QuTScloud и QVP.

В рекомендациях QNAP уязвимость CVE-2023-22809 не фигурирует как активно используемая в дикой природе, но в виду ее серьезности клиентам настоятельно рекомендуется как можно скорее применить доступные обновления.

Не стоит пренебрегать рекомендациям, так как ни для кого не секрет, что злоумышленники проявляют активный интерес к недостаткам безопасности QNAP NAS, о чем свидетельствуют многочисленные недавние атаки вымогателей DeadBolt и eCh0raix, которые использовали уязвимости для шифрования данных на устройствах, подключенных к Интернету. Открыть/Комментировать

2023-03-30 14:59:26 Майкрософт не был бы Майкрософтом, если бы у них что-нибудь да не отваливалось или не глючило.

На этот раз Microsoft Defender ошибочно помечал URL-адреса как вредоносные, а некоторые клиенты получали десятки предупреждений по электронной почте в интервале пяти часов.

Компания официально подтвердила в Twitter, что ее инженеры расследуют этот сервисный инцидент как ложное срабатывание.

Компания также подтвердила сообщения  о проблемах с доступом к сведениям об оповещениях при нажатии на ссылку «просмотреть оповещения» в электронных письмах.

В обновлении на портале центра администрирования Microsoft 365 Редмонд подтвердил, что администраторы получат большое количество предупреждений с высокой степенью серьезности с указанием, что «обнаружен потенциально вредоносный клик по URL-адресу».

Ранее Редмонд выпустил еще одно уведомление о снижении качества обслуживания через портал центра администрирования, отметив, что страницы предупреждений и инцидентов могут быть недоступны.

Как обычно, после создания проблемы на ровном месте разработчики Microsoft ее успешно решают, в данном случае - путем отмены последних обновлений функции SafeLinks. Открыть/Комментировать

2023-03-30 13:14:52 Ресерчеры призывают удалять десктопное приложение 3CX Voice Over Internet Protocol (VOIP), которое активно используется для компрометации пользователей в ходе масштабной атаки на цепочку поставок.

3CX — разработчик ПО VoIP IPBX, чья система насчитывает более 12 миллионов пользователей и используется более чем 600 000 компании по всему миру, включая таких известных, как American Express, Coca-Cola, McDonald's, BMW, Honda, AirFrance, NHS, Toyota, Mercedes-Benz, IKEA и HollidayInn.

Вредоносная активность замечена исследователями CrowdStrike и Sophos, которые сообщают о нацеливании на пользователей скомпрометированного 3CX как для Windows, так и для macOS.

Клиенты начали получать предупреждения безопасности неделю назад, после установки версий 3CXDesktopApp 18.12.407 и 18.12.416 для Windows или 18.11.1213 и последней версии на Mac.

Она включает в себя отправку маяка в инфраструктуру, контролируемую субъектом, развертывание полезной нагрузки второго этапа и, в небольшом числе случаев, действия на клавиатуре.

При этом самая распространенная активность после эксплуатации, наблюдаемая на сегодняшний день, это создание интерактивной командной оболочки.

Не разобравшись в вопросе, ресерчеры CrowdStrike уже заподозрили в атаке северокорейскую Labyrinth Collima, в то время как Sophos не могут гарантировать атрибуцию с высокой степенью достоверности. SentinelOne также увидела очевидных связей с существующими кластерами угроз.

SentinelOne назвали новую атаку на цепочку поставок SmoothOperator и отметили ее начало с момента загрузки установщика MSI с веб-сайта 3CX или обновления уже установленного ПО.

Один из троянских образцов клиента софтфона 3CX, которым поделился CrowdStrike, был подписан цифровой подписью более трех недель назад, 3 марта 2023 года, с легитимным сертификатом 3CX Ltd, выданным DigiCert. Причем этот же сертификат использовался в более старых версиях ПО.

При установке MSI или обновления извлекаются вредоносные DLL-файлы ffmpeg.dll (VirusTotal) и d3dcompiler_47.dll (VirusTotal), которые используются для выполнения следующего этапа атаки.

Исследователи Sophos считают, что исполняемый файл 3CXDesktopApp.exe не является вредоносным, вредоносная DLL ffmpeg.dll будет загружена и использована для извлечения зашифрованной полезной нагрузки из d3dcompiler_47.dll и ее выполнения.

SentinelOne объясняет, что вредоносная ПО теперь будет загружать файлы значков, размещенные на GitHub, которые содержат строки в кодировке Base64, добавленные к концу изображений. Репозиторий GitHub со значками показывает, что первый был загружен еще 7 декабря 2022 года.

Вредоносное ПО первой стадии использует эти строки Base64 для загрузки окончательной полезной нагрузки на скомпрометированные устройства — ранее неизвестное вредоносное ПО для кражи информации, загружаемое в виде DLL.

Вредоносная ПО способна собирать системную информацию, красть данные и сохраненные учетные данные из профилей пользователей Chrome, Edge, Brave и Firefox.

Несмотря на многочисленные жалобы клиентов и доводы исследователей, разработчики из 3CX списывали все это как потенциальное ложное срабатывание и не признавали проблемы публично. Сегодня гендир компании Ник Галеа все же признал epic fail и посоветовал удалить приложение, пообещав в ближайшее время выпустить исправления.

Тем временем исследователи выяснили, что к атаке на цепочку поставок привела атака на цепочку поставок, благодаря которой была заражена основная библиотека, которую использовали 3CX. Кроме того, опубликовали расширенные YARA и Sigma для 3CX, а также бесплатный THOR Lite для сканирования файлов. Открыть/Комментировать