SecAtor
Руки-ножницы российского инфосека. Для связи - [email protected]
Show more36 442Subscribers
-124 hours
+467 days
+39330 days
Posting time distributions
Data loading in progress...
Find out who reads your channel
This graph will show you who besides your subscribers reads your channel and learn about other sources of traffic.
Publication analysis
| Posts | Views | Shares | Views dynamics |
01 ͏Всем хорошо отдохнуть на предстоящих выходных! | 6 093 | 71 | Loading... |
02 Индийская Seqrite Labs констатирует усиление атак на правительственный сектор и оборонные предприятия, в том числе обусловленных существенной активизацией связанных с Пакистаном APT.
Одна из таких групп, констатирует уза последние несколько недель развернула широко используемую RAT AllaKore в трех отдельных кампаниях, причем в каждой кампании одновременно было развернуто по две таких RAT.
Вообще же в ее арсенал также входят Ares RAT, Action RAT, AllaKore RAT, Reverse RAT, Margulas RAT и др.
В тоже время вышестоящая над ней APT Transparent Tribe (APT36) с таким же устойчивым таргетингом продолжила задействовать Crimson RAT, но в закодированном исполнении.
В целом имеет схожий код и постоянно обновляет свой арсенал вредоносного ПО для Linux. Действуя с 2013 года, постоянно использовала в своих кампаниях такие полезные нагрузки, как Crimson RAT, Capra RAT, Eliza RAT и Oblique RAT.
Основываясь на их инфраструктуре C2, Seqrite смогли профилировать обе APT, еще раз продемонстрировав связь между ними, также подробно изложив технические тонкости новых кампаний в контексте атрибуции и корреляции с ранее задокументированными цепочками атак. | 5 848 | 9 | Loading... |
03 WPScan предупреждает о начале активной эксплуатации ошибки плагина WP-Automatic для создания подконтрольных учетных записей администратора и захвата уязвимых сайтов WordPress.
Применяемая при этом CVE-2024-27956 связана с SQL-инъекцией (SQLi) и имеет оценку CVSS 9,9 из максимальных 10, затрагивая все версии до 3.9.2.0.
Злоумышленники могут использовать ее для получения несанкционированного доступа к веб-сайтам, создания учетных записей пользователей с правами админа, загрузки вредоносных файлов и потенциально получения полного контроля над затронутыми сайтами.
Проблема кроется в механизме аутентификации пользователей плагина, который можно тривиально обойти, выполняя произвольные SQL-запросы к базе данных с помощью специально созданных запросов.
В наблюдаемых к настоящему времени атаках CVE-2024-27956 используется для реализации запросов к базе данных и создания новых админских учеток на уязвимых сайтах WordPress, которые затем можно задействовать для установки плагинов загрузки файлов или модификации кода.
После взлома сайта WordPress злоумышленники обеспечивают персистентность, создавая бэкдоры и запутывая код.
При этом чтобы избежать обнаружения, злоумышленники переименовавают уязвимый файл WP‑Automatic (с /wp‑content/plugins/wp‑automatic/inc/csv.php на wp‑content/plugins/wp‑automatic/inc/csv65f82ab408b3.php), в том числе для блокировки атак со стороны других коллег.
Недостаток был публично раскрыт Patchstack 13 марта 2024 года.
С тех пор было обнаружено более 5,5 миллионов попыток атак с целью использования этой уязвимости. | 7 511 | 47 | Loading... |
04 Используешь Brocade SANnav до 2.3.0 - ошибка, упустил последние обновления - фатальная ошибка.
По словам независимого исследователя Пьера Барре, более 18 уязвимостей затрагивают все версии приложения управления сетью хранения данных Brocade SANnav до 2.3.0 включительно.
Причем несколько из них опасности могут быть использованы для полной компрометации уязвимых устройств.
В основной массе выявленные проблемы охватывают от небезопасного root-доступа, неправильных правил брандмауэра и настроек Docker до отсутствия аутентификации и шифрования, что позволяет злоумышленнику перехватывать учетные данные, перезаписывать произвольные файлы и полностью взломать устройство.
Среди наиболее серьезных недостатков:
- CVE-2024-2859 (CVSS: 8,8): позволяет неаутентифицированному удаленному злоумышленнику войти на уязвимое устройство с использованием учетной записи root и выполнить произвольные команды.
- CVE-2024-29960 (CVSS: 7,5): обусловлена использованием жестко запрограммированных ключей SSH в образе OVA, которые могут быть использованы злоумышленником для расшифровки SSH-трафика к устройству SANnav и его компрометации.
- CVE-2024-29961 (CVSS: 8,2): позволяет неаутентифицированному удаленному злоумышленнику провести атаку на цепочку поставок, воспользовавшись тем, что служба SANnav отправляет команды ping в фоновом режиме через определенные промежутки времени в домены Gridgain[.]com и ignite.apache[.]org для проверки обновлений.
- CVE-2024-29963 (CVSS: 8,6): использование жестко закодированных ключей Docker в SANnav OVA для доступа к удаленным реестрам через TLS, что позволяет злоумышленнику выполнить AitM-атаку.
- CVE-2024-29966 (CVSS: 7,5): наличие жестко запрограммированных учетных данных для пользователей root в общедоступной документации, которые могут предоставить неаутентифицированному злоумышленнику полный доступ к устройству Brocade SANnav.
После раскрытия в августе 2022 года и мае 2023 года все проблемы были устранены с выходом версии SANnav 2.3.1 от декабря 2023 года.
Помимо этого Brocade Broadcom, которой принадлежат Symantec и VMware, опубликовала рекомендации по устранению недостатков.
В свою очередь, Hewlett Packard Enterprise также выпустила исправления для некоторых уязвимостей в HPE SANnav Management Portal версий 2.3.0a и 2.3.1. | 5 608 | 10 | Loading... |
05 🥷 Известия: Настоящая кибервойна развернулась в интернет-пространстве в последние годы. Число атак последовательно увеличивается во всем мире.
🔺За минувший год количество инцидентов в сфере информационной безопасности в России выросло более чем на 60%.
🔺Фишинговых атак и скам-ссылок стало больше в пять раз.
https://iz.ru/1687824/valentina-averianova/virtualnyi-shtorm-kak-izmenilis-kiberataki-na-rossiiskuiu-infrastrukturu
✋ @Russian_OSINT | 5 592 | 15 | Loading... |
06 ͏via MalwareHunterTeam | 6 894 | 73 | Loading... |
07 Dragos выкатила неплохой отчет по вымогателям за первый квартал 2024 года, называя ransomware самой серьезной угрозой для промышленных организаций по всему миру.
Из изменений на ландшафте отметили значительные успехи реализованных спецслужбами операций в отношении инфраструктуры ряда групп (прежде всего, Lockbit), и рокировки среди самих банд (Alphv/Blackcat), приведших к некоторой дезорганизации их операторов.
Однако произошедшие события имели обратный эффект в части ужесточения бандами своей тактики вымогательства по отношению к жертвам и концентрации на более чувствительных секторах, включая здравоохранение, дабы максимализировать ущерб/прибыль на фоне снижения выплат по выкупам.
Технические возможности групп вымогателей подчеркивают их гибкость и изощренность в использовании уязвимостей, особенно в общедоступных приложениях, как в случае с ConnectWise ScreenConnect с BlackBasta и Lockbit и Qlik Sense с CACTUS.
Замечена стратегическая нацеленность на использованию брпешей в широко используемых платформах и оперативность в эксплуатации новых проблем: 24 часа понадобилось Cactus для препарирования уязвимого Ivanti ICS VPN.
По цифрам наблюдается некоторое снижение активности программ-вымогателей, нацеленных на промышленный сектор (количество инцидентов сократилось с 204 до 169).
Зато набрали по атакам на сектор здравоохранения. Причем банды координировали операторов по части таргета для общего нацеливанная на конкретные сектора.
Положительной тенденцией отмечено отсутствие серьезных операционных сбоев, вызванных программами-вымогателями.
Но несмотря на это, Dragos прогнозируют потенциальное смещение акцента групп вымогателей на критически важные процессы и среды ОТ, чтобы значительно усилить воздействие своих атак и активнее склонять жертв к выполнению требований выкупа.
Последствия таких атак выходят за рамки потери данных и финансового ущерба, непосредственно угрожая основной операционной целостности организаций.
Статистика по отраслям, географии и актуальной конъюнктуре банд - детально отражена отчете. | 6 230 | 13 | Loading... |
08 Исследователи из Sekoia расчехлили один из серверов C2, используемый USB-червем PlugX и мониторили его активность в течение шести месяцев, обнаружив более более 2,5 миллионов обращений с уникальных IP-адресов.
Причем с сентября прошлого года сервер ежедневно получает более 90 000 запросов на наличие команд от зараженных хостов из более чем 170 стран.
На 15 из них пришлось более 80% от общего числа заражений: лидеры - Нигерия, Индия, Китай, Иран, Индонезия, Великобритания, Ирак и США.
За время наблюдения исследователям удалось проанализировать трафик, выявить заражения и предотвратить злонамеренную активность.
Для того, чтобы провернуть столь мощную операцию Sekoia была вынуждена потратиться всего на 7 долларов, которые ушли на приобретение IP-адреса 45.142.166[.]112, соответствующего серверу С2, который к тому времени уже вышел из оборота хакеров.
IP ранее в марте 2023 года упоминался в отчете Sophos в отношении новой версии PlugX. Тогда вредоносная программа уже получила возможность самораспространения через USB-устройства.
После того, как Seqoia перехватила контроль над адресом исследователи получили доступ к оболочке сервера, используя IP.
После чего настроили простой веб-сервер, имитирующий поведение исходного C2 и смогли перехватывать HTTP-запросы от зараженных хостов.
Безусловно, пришлось потрудиться и определиться со стратегиями противодействию угрозе, передав соответствующие инструкции национальным CERT во избежание юридических сложностей с отправкой команд удаленного удаления на зараженные хосты.
Как полагают в Seqoia, ботнет, созданный с использованием скрытой версии PlugX, можно считать мертвым, поскольку операторы вредоносного ПО утратили контроль над ситуацией.
Правда, это не относится к инфицированным изолированным сетям и носителям. | 5 780 | 18 | Loading... |
09 Shadowserver сообщает (об очередной атаке на цепочку мудаков), что более 1400 серверов CrushFTP остаются уязвимы для атак (из 5232 открытых в Интернете, по данным Shodan), нацеленных на ошибку внедрения шаблонов на стороне сервера (SSTI) критической серьезности, ранее использовавшуюся в качестве 0-day.
Поставщик описывает CVE-2024-4040 как выход из «песочницы» VFS в своем ПО для управляемой передачи файлов, приводящий к произвольному чтению файлов.
Но на деле же неаутентифицированные злоумышленники могут использовать ее для реализации RCE в непропатченных системах.
В пятницу компания предупредила клиентов о необходимости немедленного обновления, но воз и ныне там.
Тем временем Rapid7 подтвердила серьезность уязвимости, заявив, что она полностью не аутентифицирована и может быть проэксплутирована без особых трудностей.
Успешная эксплуатация позволяет не только читать произвольный файл от имени пользователя root, но также обходить аутентификацию для доступа к учетной записи администратора и полностью удаленно выполнять код.
В свою очередь, CrowdStrike выкатил отчет с раскрытием реальных атак на ряд организации в США с целью кибершпионажа.
Будем следить. | 8 002 | 21 | Loading... |
10 😟 Black Hat ASIA 2024.
• C 16 по 19 апреля в Сингапуре проходила одна из крупнейших #ИБ конференций в мире — Black Hat ASIA 2024. Было представлено большое количество интересных докладов и уникальной информации.
• Официальный YT-канал пока не опубликовал видео с выступлений, но за то были опубликованы презентации в одном из репозиториев:
➡ https://github.com/onhexgroup/Conferences/BlackHat
• А ещё обязательно посмотрите выступления с предыдущих ивентов, где можно подчеркнуть для себя много нового и полезного:
- Видео Black Hat Europe 2023;
- Видео Black Hat USA 2023;
- Видео Black Hat Asia 2023.
- Видео Black Hat Europe 2022;
- Видео Black Hat USA 2022;
- Видео Black Hat Asia 2022.
- Презентации Black Hat Europe 2023;
- Презентации Black Hat USA 2023;
- Презентации Black Hat Asia 2023.
- Презентации Black Hat Europe 2022;
- Презентации Black Hat USA 2022;
- Презентации Black Hat Asia 2022.
S.E. ▪️ infosec.work ▪️ VT | 5 830 | 88 | Loading... |
11 ͏Киберпанк, который мы заслужили | 7 430 | 55 | Loading... |
12 Хакерская группа Sea Lotus, также известная как APT32 или OceanLotus, продолжает наводить шороху в Азиатско-Тихоокеанском регионе.
Злоумышленники орудуют с 2012 года и преимущественно проводят таргетированные атаки в отношении госсектора, НИИ, СМИ и промпредприятий Китая и стран Юго-Восточной Азии.
Причём арсенал OceanLotus достаточно широкий и включает вредоносы собственной разработки, инструменты с открытым исходным кодом, а также коммерческие продукты для осуществления своих многочисленных атак.
Как сообщили исследователи Qi Anxin, последние атаки включали использование нового загрузчика на Rust, используемого APT для инъекции троянца Cobalt Strike в оперативную память целевых систем.
Этот загрузчик показал значительные сходства с ранее идентифицированными образцами вредоносного ПО, предположительно, разработанными той же группой.
В частности, отмечена трансформация его структуры для более эффективного сокрытия связей с серверами С2, используя облачные сервисы, такие как Cloudflare, для маскировки настоящих IP-адресов.
Подробный технический анализ этих образцов показал, что они используют многоэтапный шелл-код для расшифровки и выполнения вредоносной нагрузки, содержащей Cobalt Strike.
Qi Anxin акцентировала внимание на возрастании опасности кибератак, поскольку OceanLotus активно использует достаточно изощрённые методы, в том числе шифруя полезную нагрузку и встраивая ее в "хвост" загрузчика, а также используя законные DLL для хранения вредоносного кода в памяти, что затрудняет обнаружение.
Группа также использует водяные знаки Cobalt Strike для запутывания атрибуции атак, но, как заверяют сами исследователи, продукты Qi Anxin поддерживают их обнаружение. Не пробовали, не знаем, но поверим на слово. | 7 345 | 18 | Loading... |
13 Исследователи GReAT из Лаборатории Касперского выкатили вторую часть аналитики по резонансному инциденту с бэкдором в XZ Utils.
Основной акцент в исследовании сделан на социоинженерном аспекте атаки с подробным разбором личностей и хронологии активности участников, провернувших настоящую многолетнюю операцию по вытеснению мейнтейнера XZ Utils и троянизации пакета.
Исследователи отмечают, что высококлассные APT-группы проводят весьма продуманные кампании социнженерии для проникновения в хорошо защищенные цели, как в случае с продвижением имплантатов Green Lambert на Ближний Восток.
И, судя по всему, подход к внедрению XZ Utils, скорее всего, также имел тщательно спланированный и долгосрочный характер, правда, был несколько неуклюже реализован.
Конечная цель заключалась в том, чтобы скрытно внедрить бэкдор, нацелившись на процесс сборки XZ Utils.
После чего имплиментировать зашифрованный код в основные дистрибутивы Linux в рамках крупномасштабной атаки на цепочку поставок.
Безусловно, такой подход в социнженерии, возможно, не является чем-то новым, но обращает на себя внимание другое - потрясающе тонкая вставка вредоносного кода в процессе сборки - до этого нечто подобное было замечена в наделавшем шуму инциденте с SolarWinds.
Только на этот раз в процессе сборки участвовал человек, а продолжительный доступ к исходному коду/среде разработки был получен с помощью социнженерии и дополнен взаимодействиями с вымышленными личностями.
Все подробности, откуда нарисовались парни из Сингапура, Индии и Германии в истории с XZ Utils и как удалось провернуть аферу - в отчете на securelist. | 8 474 | 40 | Loading... |
14 Исследователи Team82 из Claroty раскрыли подробности и разработали PoC для критической уязвимости в продукте продукте SIMATIC Energy Manager (EnMPro) компании Siemens.
CVE-2022-23450 имеет максимальную оценку серьезности CVSS 10.0) и связана с проблемами десериализации.
Она позволяет злоумышленнику без аутентификации удаленно выполнить код и получить полный контроль над сервером EnMPro.
EnMPro - это система энергетического менеджмента для промышленности, функционал которой применяется для управления, планирования и визуализации энергопотребления, а также оценки и сравнения энергоэффективности.
Под капотом EnMPRO служба .NET (называемая BDataWIndowsService), включающая исполняемый файл .NET, который обрабатывает львиную долю всех основных функций сервера EnMPRO, позволяя клиентам (клиентский пользовательский интерфейс DocLiber.exe) подключаться к нему удаленно, используя собственный сетевой протокол TCP/4444.
Проведя реверс-инжиниринг двоичных файлов сервера и изучив дамп сетевых коммуникаций, исследователи заметили потенциальную уязвимость, связанную с использованием небезопасного по своей сути класса BinaryFormatter.
Все дело в том, что BinaryFormatter сериализатор не очищает типы десериализуемых классов, а вместо этого имеет возможность создавать произвольные классы, что и позволило создать вредоносный сериализованный класс, который будет приводить к выполнению произвольного кода всякий раз, когда он будет десериализован.
Учитывая серьезность уязвимости, раскрытие любых технических подробностей Team82 решили отложить до текущего времени, обеспечив временной лаг пользователям для обновления до V7.3 Update 1, включающего исправления для недостатка.
Полный перечень закрытых в обновленной версии продукта уязвимостей с их описанием - в рекомендациях по безопасности Siemens. | 6 468 | 20 | Loading... |
15 А вот Cisco, напротив, на этой неделе не порадует клиентов хорошими новостями, предупреждая о кампании кибершпионажа, нацеленной на правительственные сети по всему миру, которая получила наименование ArcaneDoor.
По данным APT-группировка UAT4356 реализует атаки как минимум с ноября 2023 года с использованием двух 0-day в межсетевых экранах Adaptive Security Appliance (ASA) и Firepower Threat Defense (FTD).
Несмотря на то, что первоначальный вектор атаки до сих пор неизвестен, исследователям удалось обнаружить и закрыть те самые нули: CVE-2024-20353 (CVSS: 8,6, DoS) и CVE-2024-20359 (CVSS: 6,0, постоянное выполнение локального кода).
Активность хакеров попала в поле зрения в январе 2024 года после обращения к PSIRT неназванного клиента в отношении проблем безопасности в продуктах ASA.
Дальнейшее расследование показало, что эксплойты для атак разрабатывались еще с июля 2023 года.
В качестве компонентов кампании задействовались два бэкдора: Line Runner и Line Dancer, которые использовались совместно для обеспечения персистентности и проведения вредоносных действий, включая изменение конфигурации, разведку, захват и эксфильтрацию сетевого трафика, а также горизонтальное перемещение.
Один из имплантатов, Line Dancer, представляет собой загрузчик шелл-кода в памяти, который помогает доставлять и выполнять произвольные полезные нагрузки для отключения ведения журналов, обеспечения удаленного доступа и фильтрации захваченных пакетов.
Второй имплант, постоянный бэкдор под названием Line Runner, оснащен множеством механизмов уклонения от защиты и обнаружения, позволяя злоумышленникам запускать произвольный код Lua на взломанных системах.
Сетевая телеметрия Cisco позволила задетектить сложную цепочку атак, которая использовалась для внедрения специального вредоносного ПО среди небольшой группы клиентов.
Тем не менее, информация партнеров Cisco указывают на то, что хакеры заинтересованы в проникновении в сетевые устройства Microsoft и других производителей.
Компания в среду выпустила обновления безопасности с исправлением двух нулей и настоятельно рекомендует всем клиентам обновить свои устройства до фиксированного ПО.
Кроме того, администраторам следует отслеживать системные журналы на предмет любых признаков незапланированных перезагрузок, несанкционированных изменений конфигурации или подозрительной активности учетных данных.
В своих рекомендациях Cisco также отразила соответствующие инструкции по проверке целостности устройств ASA или FTD. | 6 430 | 35 | Loading... |
16 Критическая уязвимость максимальной степени серьезности в решении для мониторинга производительности сети Progress Flowmon обрела общедоступный эксплойт и готова к массовой эксплуатации.
Так что полутора тысячам ее клиентам, включая SEGA, KIA, TDK, Volkswagen, Orange, Tietoevry и др., приготовиться.
Проблема отслеживается как CVE-2024-2389 и была обнаружена Rhino Security Labs.
Она позволяет посредством специального запроса API получить удаленный неаутентифицированный доступ к веб-интерфейсу Flowmon для выполнения произвольных системных команд.
Progress Software впервые предупредила об уязвимости 4 апреля, предупредив, что она затрагивает версии продукта v12.x и v11.x.
Клиентам было рекомендовано обновиться до последних версий: v12.3.4 и 11.1.14.
В свою очередь, Rhino Security Labs теперь представила технические подробности уязвимости, а также продемонстрировала, как можно с ее помощью внедрить веб-шелл и повысть привилегии до root.
При этом достичь выполнения произвольных команд им удалось, манипулируя pluginPath или параметрами файла и используя синтаксис подстановки команд, например $(...).
При это команда выполняется вслепую, поэтому невозможно увидеть вывод выполненной команды, но можно записать веб-шелл в /var/www/shtml/.
По сообщению итальянской CSIRT, эксплойт для CVE-2024-2389 стал доступен еще около двух недель назад.
Тем не менее, Progress Software заверяет своих клиентов об отсутствии опасений относительно эксплуатации CVE-2024-2389.
Но будем посмотреть. | 6 975 | 16 | Loading... |
17 ͏OMG! ИИ захватит весь мир.
В это время ИИ: | 7 811 | 35 | Loading... |
18 Avast сообщает о новой вредоносной кампании, в которой механизм обновления индийского антивирусного ПО eScan использовался для доставки бэкдоров и майнеров криптовалюты в крупные корпоративные сети с помощью вредоносного ПО GuptiMiner.
Исследователи описывают GuptiMiner как очень сложную угрозу, по некоторым признакам связанную с северокорейской Kimsuky и реализующую интересную цепочку заражения.
GuptiMiner может выполнять DNS-запросы к DNS-серверам злоумышленника, извлекать полезные данные из изображений, подписывать свои полезные данные и выполнять загрузку неопубликованных DLL.
Актор, стоящий за GuptiMiner, реализовал AitM для перехвата пакета обновлений eScan, заменяя его вредоносным с именем updll62.dlz.
Вредоносный файл помимо необходимых обновлений антивируса также включает GuptiMiner в виде DLL-файла с именем version.dll.
Программа обновления eScan обрабатывает пакет как обычно, распаковывая и выполняя его. На этом этапе DLL загружается легитимными двоичными файлами eScan, предоставляя вредоносному ПО привилегии системного уровня.
Затем DLL извлекает дополнительные полезные данные из инфраструктуры, обеспечивает постоянство на хосте с помощью запланированных задач, выполняет манипуляции DNS, внедряет шелл-код в процессы, использует виртуализацию кода, сохраняет полезные данные, зашифрованные XOR, в реестре Windows и извлекает PE из PNG-файлов.
Хакеры использовали GuptiMiner для развертывания нескольких вредоносных ПО на скомпрометированных системах, включая два отдельных бэкдора и майнер XMRig Monero.
Первый бэкдор представляет собой расширенную версию Putty Link, развернутую в корпоративных системах для сканирования локальной сети на предмет уязвимых систем и опорных точек на предмет бокового перемещения.
Второй бэкдор представляет собой сложную модульную вредоносную программу, которая сканирует хост на предмет сохраненных личных ключей и криптовалютных кошельков.
Он способен принимать команды для установки дополнительных модулей в реестр, однако Avast не предоставила дополнительных подробностей.
Злоумышленники также во многих случаях отключали XMRig, что может быть попыткой отвлечь внимание от основной линии атаки.
Avast раскрыла использованную уязвимость в eScan, а поставщик антивируса подтвердил и устранена проблему, которая оставалась незамеченной как минимум пять лет. Несмотря на это, в Avast продолжают наблюдать новые заражения GuptiMiner.
Полный список IoC GuptiMiner можно найти на GitHub. | 9 321 | 41 | Loading... |
19 Спустили методички и западный инфосек, на этот раз в лице Cyfirma, вновь демонстрирует примеры ангажированности.
Пытаясь нарисовать аналитику в части APT получилось все то же завывание про злых тоталитарных хакеров из группы РИСКа (Россия-Иран-Северная Корея-Китай).
По существу ничего нового, кому интересно - для общего развития можно полистать. | 7 079 | 10 | Loading... |
20 Бизоны рассказали о том, как новая планируемая Scaly Wolf кампания потерпела фиаско из-за загрузчика, который не смог.
Как и в прошлых атаках, Scaly Wolf полагались на фишинговые письма с прикрепленным легитимным документом якобы от имени федерального ведомства, нацеливаясь таким образом на российские промышленные, логистические и государственные компании.
Для достижения своих кибершпионских намерений APT задействует последние версии стилера White Snake.
Но в отличие от предыдущих атак, в мартовской кампании в отношении российских и белорусских компаний злоумышленники попробовали реализовать новый способ внедрения вредоносного ПО в инфраструктуру.
Раньше они просто укладывали стилер в защищенный паролем архив, теперь же они воспользовались вредоносным загрузчиком под названием in2al5d p3in4er (invalid printer).
При открытии архива printer проверял, не попал ли в виртуальную среду, и в случае успеха внедрял внедрял вредоносную нагрузку в адресное пространство процесса explorer.exe.
Проверка осуществлялась с использованием библиотеки dxgi.dll, которая сверяла идентификаторы производителей графических карт, используемых системой.
Не найдя Nvidia, AMD или Intel, вредоносный файл прекращал выполнение.
Особенностью загрузчика является то, что он не использует WinAPI‑вызовы для обращения к ядру Windows. Вместо этого функции вызываются напрямую с помощью syscall с требуемыми аргументами.
Также стоит отметить, что загрузчик во время выполнения пытается открыть множество случайных несуществующих в системе файлов и записать в них случайные данные.
Для определения процесса explorer.exe загрузчик перебирает структуры запущенных процессов и сравнивает контрольную сумму от имени процесса с сохраненным значением.
После обнаружения нужного копирует в него расшифрованную вредоносную нагрузку, после чего изменяет контекст процесса для выполнения внедренного шелл-кода.
Полезная нагрузка представляет собой шелл-код, полученный с помощью утилиты с открытым исходным кодом Donut, позволяющей выполнять в памяти исполняемые файлы (в том числе .NET).
Однако из-за ошибки в коде скопировался легитимный explorer.exe, без внедренного шелл-кода, сводя на нет всю цепочку заражения.
Обновленный перечень IOC и и детальное описание TTPs - в отчете. | 8 545 | 31 | Loading... |
21 Исследователи из Лаборатории Касперского продолжают разбор деятельности APT ToddyCat, сфокусировав внимание в своем новом отчете на инструментах сохранения доступа к скомпрометированной среде и кражи ценных данных.
ToddyCat активная как минимум с 2020 и атакует преимущественно госсектор в Азиатско-Тихоокеанском регионе, в том числе организации, имеющие отношение к оборонке, преследуя главную цель кибершпионажа.
Причем делая это в промышленных масштабах.
Чтобы пылесосить большие объемы данных с различных хостов, злоумышленники стремятся максимально автоматизировать процесс сбора и полагаться на различные альтернативные средства обеспечения постояннства в атакуемых системах.
Как именно это реализовано в ToddyCat, как раз, и выяснили исследователи, подробно описав в отчете инструменты, которые применялись APT на этапе, когда удалось обеспечить высокие привилегии, позволяющие подключаться к удаленным хостам.
Задействуемых набор включал:
- обратный SSH-туннель с использованием OpenSSH;
- SoftEther VPN (переименовывался в безобидные файлы);
- Ngrok и Krong (для шифрования и перенаправления трафика С2 на определенный порт целевой системы);
- клиент FRP (быстрый обратный прокси-сервер с открытым исходным кодом на основе Golang);
- Cuthead (скомпилированный на .NET исполняемый файл для поиска документов);
- WAExp (инструмент на .NET для сбора данных, связанных с WhatsApp);
- TomBerBil (для извлечения файлов cookie и учетных данных из веб-браузеров, таких как Google Chrome и Microsoft Edge).
Поддержание нескольких одновременных подключений на зараженных конечных точках к инфраструктуре субъекта с использованием различных инструментов рассматривается как запасной способ сохранения доступа, когда один из туннелей отвалился.
Анализ показывает, как злоумышленники активно реализуют методы обхода защиты, пытаясь замаскировать свое присутствие в системе и автоматизировать процесс сбора интересующих данных.
Для защиты инфраструктуры в ЛК рекомендуют ограничить работу облачных сервисов туннелирования трафика, а также круг инструментов для удаленного доступа к хостам. Избегать хранения паролей в своих браузерах и следить за соблюдением надежной парольной политики. | 6 873 | 32 | Loading... |
22 ͏via MalwareHunterTeam | 7 584 | 9 | Loading... |
23 Разгораются скандал, интриги и расследования вокруг утечки из базы World-Check, которая широко востребована в работе финсектора, регуляторики и правоохраны.
Виновниками инцидента стала группировка GhostR, которая победоносно объявила о краже конфиденциальной базы данных, содержащей 5,3 миллиона записей, и, по классике жанра, угрожает ее опубликовать.
Как сообщают эксперты, база может включать информацию из различных источников с профилями лиц, связанных с финансовыми махинациями, терроризмом или коррупцией, что делает ее критически важным инструментом в области борьбы с отмыванием денег (AML) и финансированием терроризма (CTF).
По заявлениям злоумышленников, база данных была украдена у некой компании в Сингапуре, имеющей доступ к этой чувствительной информации, однако потерпевшую организацию решили не раскрывать.
Дабы верифицироваться в содеянном, получить признание хакерского сообщества и нагнать жути на общественность, часть украденных данных была обнародована в качестве пруфа.
Она содержала записи о действующих и бывших госслужащих, дипломатах, политически экспонированных лицах, а также в отношении преступников и подозреваемых в терроризме.
Помимо собственно самого факта утечки, ситуация еще и усугубляется и критикой в адрес создателей World-Check из-за неверного маркирования лиц и организаций в качестве причастных к терроризму.
Так что обязательно будем следить. | 8 338 | 15 | Loading... |
24 Хитрый прием для распространения вредоносного ПО, о котором мы сообщали вчера, также успешно работает и в GitLab.
Как выяснили исследователи из BleepingComputer, GitLab подвержен уязвимости CDN, позволяющей злоумышленникам создавать очень убедительные приманки с использованием URL-адресов, связанных с репозиториями популярных проектов с открытым исходным кодом.
По факту GitLab потенциально может подвергаться аналогичным злоупотреблениям, с которыми уже столкнулся GitHub.
Как и в случае с GitHub, сгенерированные ссылки на файлы GitLab остаются активными, даже если комментарий не был опубликован злоумышленником или вообще впоследствии удален.
Но GitLab предлагает пользователям войти в систему, прежде чем они смогут загружать или скачивать эти файлы, но это никак не помешает злоумышленникам вообще загружать эти файлы.
Пока ни GitLab, ни GitHub никак комментируют открытие, однако обнаруженные вредоносные ПО с URL-адресами Microsoft на GitHub были частично удалены, но не все. | 7 905 | 45 | Loading... |
25 Siemens сообщает, что критическая уязвимость в брандмауэре Palo Alto Networks добралась и до линейки техгиганта.
Эксплуатируемая в качестве нуля уже как месяц CVE-2024-3400 затронула также и устройства Ruggedcom APE1808, оснащенные уязвимым виртуальным межсетевым экраном нового поколения Palo Alto Networks (NGFW) наряду с другими решениями от Fortinet и Nozomi Networks.
Siemens готовит обновления для затронутого продукта, предлагая тем временем обходные пути и меры по смягчению последствий.
Платформа хостинга промышленных приложений Ruggedcom APE1808 позволяет организациям развертывать коммерчески доступные приложения для периферийных вычислений и кибербезопасности в промышленных условиях.
Как стало известно, CVE-2024-3400 широко использовалась еще до того, как Palo Alto Networks выпустила какие-либо исправления или меры по смягчению последствий, но Siemens ничего не упоминает об атаках, конкретно нацеленных на ее продукт.
Но это временно, учитывая, что уязвимость позволяет неаутентифицированному злоумышленнику выполнять произвольные команды с повышенными привилегиями на скомпрометированном брандмауэре, а после выхода PoC эксплуатация резко скакнула вверх.
При том, что по данным Shadowserver Foundation, межсетевых экранов Palo Alto Networks, уязвимых для атак с использованием CVE-2024-3400 и доступных в сети, все еще достигает почти 6000.
Так что будем посмотреть. | 7 413 | 12 | Loading... |
26 Более 300 тысяч сайтов WordPress с плагином Forminator затрагивает критическая уязвимость, которая позволяет удаленному злоумышленнику загружать вредоносное ПО на сайты.
Forminator от WPMU DEV — это универсальный конструктор различных форм (контактов, отзывов, викторин, обратной связи и тп.) для сайтов WordPress с более чем 1000 интеграциями.
О проблемах сообщил японский CERT, предупреждая о критической CVE-2024-28890 с CVSS v3: 9.8 в Forminator, открывающей по сути доступ к файлам на сервере со всеми вытекающими последствиями.
Кроме того, в бюллетене JPCERT также указаны и другие ошибки, среди которых CVE-2024-31077 и CVE-2024-31857.
Первая относится к уязвимости внедрения SQL, позволяя удаленным злоумышленникам с правами администратора выполнять произвольные SQL-запросы в базе данных сайта. Влияет на Forminator 1.29.3 и более ранние версии.
Вторая относится к XSS и открывает удаленному злоумышленнику возможности выполнения произвольного HTML-кода в браузере пользователя в случае перехода по специально созданной ссылке. Затрагивает на Forminator 1.15.4 и старше.
Администраторам сайтов с плагином Forminator рекомендуется как можно скорее обновиться до версии 1.29.3, включающей исправления для трех недостатков.
Пока сообщений об эксплуатации CVE-2024-28890 не поступало, но учитывая статистику загрузок плагина, все козыри в руках киберподполья. | 7 918 | 39 | Loading... |
27 ͏Как я ворвался в инфосек. Часть 4. | 20 977 | 226 | Loading... |
28 В апрельском отчете от Protect AI об уязвимостях раскрывается тревожная картина текущего состояния безопасности в области искусственного интеллекта и машинного обучения.
Как говорится, чем глубже в лес, тем голоднее волки, и с увеличением зависимости от открытого ПО для создания сложных систем ИИ, проблем безопасности становится всё больше.
Ведущие эксперты в области исследования уязвимостей ИИ представили результаты совместной работы с энтузиастами кибербезопасности huntr и привели удручающую статистику, где было обнаружено 48 уязвимостей, используемых в цепочке поставок для построения моделей машинного обучения, что на 220% больше по сравнению с первым отчетом, опубликованным в ноябре.
Красной линией отмечены уязвимости в таких инструментах, как PyTorch Serve, BerriAI/litellm, BentoML и FastAPI, которые широко используются в индустрии.
Характер потенциальных проблем варьируется от возможности удаленного выполнения кода до инъекций шаблонов на стороне сервера и уязвимостей, связанных с десериализацией и отказом в обслуживании.
Причем, ряд инструментов используется для создания критически важных корпоративных приложений.
Специалисты ратуют за сотрудничество и проактивный подход к обеспечению безопасности в мире, где все становится более зависимым от искусственного интеллекта и машинного обучения.
Добавить ровным счетом больше и нечего. Суровая реальность такова, что, вероятно, будущее предопределено, а Джон Коннор ошибся. | 8 712 | 26 | Loading... |
29 Изобретательности киберподполья не перестаешь удивляться.
Умельцы придумали и уже несколько месяцев используют фишку GitHub для распространения вредоносного ПО с использованием URL-адресов, связанных с репозиториями Microsoft и других известных компаний.
Злоумышленники загружают вредоносный файл в качестве комментария к проблеме в официальном проекте GitHub, но не отправляют отчет.
Оставляя комментарий, пользователь GitHub может прикрепить файл, который будет загружен в CDN GitHub и связан с соответствующим проектом, используя уникальный URL-адрес в следующем формате: https://www.github[.]com/{project_user}/{repo_name}/files/{file_id}/{file_name}.
Как в случае с обнаруженной McAfee кампанией с загрузчиком LUA, распространяемом в привязи к репозиториям Microsoft GitHub с URL-адресами:
- https://github[.]com/microsoft/vcpkg/files/14125503/Cheat.Lab.2.7.2.zip;
- https://github[.]com/microsoft/STL/files/14432565/Cheater.Pro.1.6.0.zip.
При этом проблема не станет активной и будет не видна владельцу проекта, но вредоносный файл остается на серверах GitHub, а URL-адреса загрузки продолжат работать. Это позволяет злоумышленникам прикреплять свои вредоносные программы к любому хранилищу без их ведома.
Такой условно привязанный к официальному репозиторию URL-адрес способен ввести пользователя в заблуждение относительно принадлежности файла конкретному проекту, а избавиться от него также будет непросто.
Даже если компания все же узнает, что ее репозитории используются для распространения вредоносного ПО, то не сможет найти никаких настроек, позволяющих управлять прикрепленными к проектам файлами.
Более того, можете защитить учетную запись GitHub от такого злоупотребления можно будет только отключив комментарии, но это уже может существенно повлиять на развитие проекта.
Если в случае с Microsoft добиться удаления вредоносного ПО удалось, то в аналогичных случаях с httprouter и Aimmy - вредоносное ПО по-прежнему доступно. | 11 761 | 153 | Loading... |
30 Героем новой серии Ivanti Zero-Days вслед за CISA стала другая небезызвестная американская структура - MITRE, также вынужденная рапортовать о киберинцидленте.
Как оказалось, ее сеть исследований и разработок NERVE взломала еще в начале января неназванная APT благодаря тем самым нулям в Ivanti, но заметить нападение удалось только недавно.
Атакующие за это время успешно препарировали сетевую среду экспериментирования, исследований и виртуализации MITRE NERVE для совместной работы, которая используется для исследований, разработок и прототипирования.
В ходе предварительного расследования MITRE установила, что атака включала эксплуатацию двух уязвимостей в устройствах Ivanti Connect Secure VPN для первоначального доступа.
Злоумышленники провели разведку, воспользовались нулями в Ivanti и обошли его систему многофакторной аутентификации с помощью перехвата сеанса.
После чего глубоко проникли в инфраструктуру VMware сети, используя скомпрометированную учетную запись администратора. А для обеспечения устойчивости и сбора учетных данных задействовали комбинацию сложных бэкдоров и веб-шеллов.
CVE-2023-46805 и CVE-2024-21887 на момент атаки относились к категории 0-day и 10 января благодаря Volexity стало известно об их активной эксплуатации.
Тогда Ivanti выкатила бесполезные меры по смягчению, а исправления смогла представить лишь спустя три недели.
В связи с чем, заложенный Ivanti временной лаг был реализован хакерами, которые развернули широкомасштабную кампанию по эксплуатации нулей. Вероятно, в тот момент и MITRE попала под раздачу.
Расследование MITRE продолжается, но на данный момент пока не получено никаких свидетельств, что инцидент затронул основную корпоративную сеть или системы партнеров.
Но будем посмотреть. | 16 454 | 40 | Loading... |
31 CrushFTP пытается экстренно патчить свое корпоративное решение для управляемой передачи файлов посте того, как неизвестный злоумышленник приступил к эксплуатации 0-day, о чем стало известно от Airbus CERT.
Позже исследователи также CrowdStrike подтвердили целевые атаки на пользователей CrushFTP.
Сам поставщик предупредил клиентов в частном порядке об эксплуатации уязвимости с нулем, призывая немедленно обновиться до CrushFTP 10.7.1 и 11.1.0.
Сообщая, что уязвимостью может воспользоваться неаутентифицированный злоумышленник.
А публично компания отметила, что недостатком могут воспользоваться только прошедшие проверку подлинности злоумышленники, посеяв среди клиентов и ИБ-сообществе определенное недопонимание.
Уязвимость не позволяет злоумышленникам получить полный контроль над серверами CrushFTP, но ее можно использовать для кражи пользовательских данных, что открывает широкий простор для вымогательства и кибершпионажа.
Тем более, что по данным Censys, более 7600 серверов CrushFTP имеют открытые в сеть панели управления и потенциально могут быть уязвимы для атак.
При этом, как сообщает CrushFTP, серверы с включенной функцией DMZ не затронуты, что до момента исправления может быть неплохой тактикой смягчения последствий.
Идентификатор CVE для 0-day еще не присвоен, а CrushFTP присоединяется к списку из Accellion, FileZen, GoAnywhere и MOVEit, которые отметились в крупных кампаниях за последние 2-3 года. | 8 102 | 11 | Loading... |
32 Шокирующие кадры: опытный сотрудник инфосек устраняет червя из атакованной системы | 12 218 | 214 | Loading... |
33 Исследователи из Лаборатории Касперского обнаружили кампанию в отношении правительственных организаций на Ближнем Востоке, которую назвали DuneQuixote.
Злоумышленники используют новый бэкдор CR4T и активны с февраля 2024 года, но есть подозрение, что кампания началась еще год назад.
В ЛК отмечают, что злоумышленники принимают достаточно эффективные шаги для уклонения от сбора и анализа своих вредоносных программ, что уже свидетельствует о том, что за атаками стоят не афганские хакеры.
CR4T ("CR4T.pdb") - имплант, работающий только с памятью на языке C/C++.
Причем в атаках применяется несколько сценариев дроппера, который поставляется в виде исполняемого файла или DLL-файла, а также поддельного установщика Total Commander.
Основная функция дроппера - извлечение адреса C2 с использованием новой техники шифрования.
Когда дроппер устанавливает соединение с сервером управления, он загружает полезную нагрузку и выполняет команды на зараженной машине.
Более того, была найдена Golang-версия CR4T, которая использует Telegram API для коммуникаций с C2.
Специалисты считают, что наличие Golang-версии свидетельствует об активном развитии злоумышленниками кросс-платформенных вредоносных ПО.
Пока в Лаборатории Касперского обошлись без официальных обвинений. Конечно, обнаруженный DuneQuixote навряд ли имеет отношение к роману испанского писателя.
Но не смогли не отметить приличный уровень злоумышленников благодаря внедрению имплантов, работающих только с памятью, и дропперов, маскирующихся под легитимное ПО и имитирующих установщик Total Commander. | 10 010 | 28 | Loading... |
34 Microsoft сообщает об обнаружении вредоносной кампании, нацеленной на критические уязвимости удаленного выполнения кода и обхода аутентификации OpenMetadata для развертывания вредоносного ПО в средах Kubernetes для майнинга крипты.
OpenMetadata представляет собой платформа управления метаданными с открытым исходным кодом, которое позволяет каталогизировать и обнаруживать активы данных в своей организации, включая базы данных, таблицы, файлы и сервисы.
Используемые в этих атаках уязвимости (CVE-2024-28255, CVE-2024-28847, CVE-2024-28253, CVE-2024-28848 и CVE-2024-28254), были исправлены 15 марта в OpenMedata версий 1.2.4 и 1.3.1.
По данным Microsoft, злоумышленники начали эксплуатировать их с начала апреля.
Сначала идентифицируют открытые в Интернете неисправленные рабочие нагрузки OpenMetadata Kubernetes, а затем используют уязвимости для выполнения кода в контейнере, на котором запущен образ OpenMetadata.
Злоумышленники сначала запускают разведывательные команды для сбора информации о скомпрометированной среде.
Затем они загружают с удаленного сервера вредоносное ПО для майнинга.
На этом сервере хранятся различные вредоносные ПО, связанные с майнингом крипты, как для ОС Linux, так и для ОС Windows.
Злоумышленники также инициируют обратное соединение оболочки с помощью инструмента Netcat, которое они могут использовать для удаленного доступа к контейнеру, что позволяет выполнять другие действия врукопашную и получать еще больший контроль над целевой системой.
Для обеспечения постоянного доступа злоумышленники используют cronjobs для планирования задач, выполняющих вредоносный код, через заданные интервалы времени.
При этом в ходе атаки хакеры оставляют записки в скомпрометированных системах с просьбой подкинуть Monero, помочь прикупить авто и поддержать материально.
Администраторам, размещающим свои рабочие нагрузки OpenMedata в Интернете, рекомендуется поменять учетные данные по умолчанию и обеспечить оперативную установку исправлений для своих приложений. | 8 492 | 22 | Loading... |
35 Силовики из 19 стран вновь накрыли киберподполье, под удар на этот раз попал сервис LabHost, реализующий PhaaS («Фишинг как услуга»).
PhaaS-платформа была запущена в конце 2021 года и по цене от 179 долларов в месяц предоставляла клиентам возможности создавать собственные фишинговые страницы для любой службы и шаблоны.
Помимо этого LabHost обеспечивал серверный хостинг, работу инструмента LabRat для организации и отслеживания различных фишинговых кампаний, а также поддерживал омпонентом SMS-фишинга (смишинга) под названием LabSend.
По данным Trend Micro, LabHost представляла одну из самых серьезных платформ PhaaS на темном рынке.
Причем это был первый фишинговый сервис, включавший надежный механизм обхода MFA за счет поддержки методов фишинга AitM на основе прокси.
LabHost позволял злоумышленникам взаимодействовать с жертвами в режиме реального времени. Эта функция часто использовалась для запроса кодов 2FA/MFA у жертв и обхода защиты учетной записи.
В совокупности все эти фишки сделали платформу невероятно успешной и популярной среди киберпреступников.
Как сообщает Европол, на платформе было зарегистрировано более 10 000 пользователей.
В целом, как установили силовики, LabHost поддерживал более 170 онлайн-сервисов для фишинга и размещал более 40 000 фишинговых доменов.
За время работы команде LabHost удалось заработать 1 миллион фунтов стерлингов (1 173 000 долларов США) и выкрасть данные как минимум 500 000 кредитных карт.
В течение 4 дней спецслужбы провели обыски и задержания, которые привели к 37 арестам, а клиентам платформы полицаи разослали передали привет с обещанием в скором времени увидеться очно.
Кроме того, власти внимательно изучают фишинговые учетные данные и информируют жертв о мошенничестве. | 8 332 | 25 | Loading... |
36 Взаимное забрасывание на вентилятор в сфере инфосека между США и КНР в лице их ведущих ИБ-вендоров выходит на новый уровень.
Ранее в прошлом месяце SentinelOne опубликовала отчет, в котором с усмешкой писала, как Китаю не удается приписать кибератаки США и упрекая в постоянных ссылках в своих отчетах на старые инциденты.
После чего китайская Antiy отреагировала на отчет SentinelOne более глубокой с технической точки зрения оценкой враждебной киберактивности американских АРТ, достаточно плотно и основательно атрибутировав их атаки (включая Stuxnet) в ретроспективе и связи со спецслужбами.
А для того, чтобы окончательно утереть нос и «по заявкам телезрителей» из SentinelOne, китайская сторона в лице национального CERT выкатила отчет (PDF), приписав Volt Typhoon к деятельности группы под названием Dark Power.
По их мнению, США провернули хитрую пропагандистскую операцию с созданием и продвижением кластера угроз Volt Typhoon, агрессивный образ которой навязывался во многих вышедших в последнее время ИБ-отчетах Китаю.
Цель махинации - «убить сразу двух зайцев одним выстрелом», раздув «теорию глобальной китайской угрозы» для национальной и прочей КИИ и склонив Конгресс США к выделению соответствующих ассигнований.
Все началось в мае 2023 года, когда органы кибербезопасности Five Eyes выкатили сообщение об обнаружении якобы прокитайской АРТ.
Для подтверждения привлекли Microsoft, выпустившую нужный отчет, который затем растиражировали крупные западные СМИ, такие как Reuters, Wall Street Journal и New York Times.
Позже присоединилась и Lumen Technologies, также связавшая KV-ботнет с Volt Typhoon.
Все привлеченные инфосек-компании компании после этого финта получили жирные госконтракты и проектное финансирование.
Кончено же, про внятную атрибуцию позабыли.
А китайские исследователи нет, смогли разоблачить упомянутые атаки и соотнести их с киберпрестпуниками из Dark Power, о которых ранее сообщала в своем отчет ThreatMon.
По их данным, группа была активна еще задолго до событий 2023 года и причастна к инцидентам в Алжире, Египте, Чехии, Турции, Израиле, Перу, Франции и США.
Таким образом, по мнению китайской стороны «отслеживание кибератак» стало по сути инструментом в руках США для политизации вопросов ИБ и оказания международного давления на КНР, которая, в свою очередь, назвала именно штаты крупнейшим источником кибератак и набольшей угрозой общей кибербезопасности. | 11 182 | 55 | Loading... |
37 Исследователи Лаборатории Касперского расчехлили новый банковский троян для Android под названием SoumniBot, разработчики которого реализовали нетривиальный метод обфускации для обхода защиты.
Вредоносное ПО использует особенности Android и манипулирует файлом манифеста APK-файлов, что позволяет ему обходить стандартные меры безопасности и проводить манипуляции по краже информации.
Находящийся в корневом каталоге APK файл AndroidManifest.xml включает информацию о декларируемых компонентах, разрешениях и других данных приложения, а также обеспечивает ОС извлекать сведения о различных точках входа в программу.
Исследователи ЛК обнаружили, что SoumniBot задействует три разных метода, которые включают в себя манипулирование сжатием и размером файла манифеста, чтобы обойти проверки парсера.
Во-первых, SoumniBot использует недопустимое значение сжатия при распаковке файла манифеста APK, которое отличается от стандартных значений (0 или 8), ожидаемых библиотекой Android libziparchive.
Анализатор Android APK по умолчанию распознает данные как несжатые из-за ошибки, что позволяет APK обходить проверки безопасности и продолжать выполнение на устройстве.
Второй метод предполагает неправильное указание размера файла манифеста в APK, предоставление значения, превышающего фактическое значение, что вводит в заблуждение инструменты анализа кода, поскольку в процессе копирования добавляются ненужные данные.
Третий метод обхода заключается в использовании чрезвычайно длинных строк для имен XML-пространств в манифесте, что очень затрудняет их проверку инструментами автоматического анализа, которым часто не хватает памяти для их обработки.
При запуске SoumniBot запрашивает конфигурационные параметры с заранее заданного сервера, заодно отправляя ему информацию о заражённом устройстве, включая номер телефона, используемого мобильного оператора и другие данные.
Затем вредоносное ПО запускает службу, которая перезапускается каждые 16 минут и передаёт данные со смартфона с периодичностью в 15 секунд.
Похищенные данные включают IP-адреса, списки контактов, детали учётных записей, SMS-сообщения, фотографии, видео и цифровые сертификаты для онлайн-банкинга.
Управление данными осуществляется через MQTT-сервер, который также может отправлять на смартфон команды, приводящие к различным действиям по управлению контактами, SMS, громкостью, режимом отладки.
SoumniBot ориентирован, в первую очередь, на корейских пользователей мобильного банкинга. Как и многие вредоносные приложения для Android, после установки он остаётся активным в фоновом режиме, скрывая при этом свою иконку.
Лаборатория Касперского в своем отчёте предоставила необходимый перечень IOC, а также уведомила Google о недостатках официальной утилиты анализа APK Analyzer. | 9 175 | 31 | Loading... |
38 В последнее время весеннее обострение активности наблюдается не только у шизиков, но и у хакеров, которые с неподдельным энтузиазмом эксплуатируют свежеиспеченные уязвимости корпоративных сетей.
Одним из последних примеров этого стало обнаружение новой кампании, использующей недавно раскрытый баг в устройствах Fortinet FortiClient EMS для доставки вредоносных пакетов ScreenConnect и Metasploit Powerfun.
Исследователи выявили эксплуатацию критической уязвимости SQL-инъекции (CVE-2023-48788) с критическим уровнем опасности в 9.3 по CVSS, которая позволяет неаутентифицированным атакующим выполнять код или команды посредством специально созданных запросов.
Кампания получила кодовое название Connect:fun из-за использования ScreenConnect и Powerfun для постэксплуатации в атаке на неназванную медиакомпанию, чьё уязвимое устройство FortiClient EMS торчало в интернет сразу после публикации PoC уязвимости от 21 марта 2024 года.
Причем, в течение нескольких дней неизвестный злоумышленник пытался загрузить ScreenConnect, а затем установить софтину для удаленного рабочего стола с помощью утилиты msiexec, но без успешно.
Однако 25 марта был использован PoC-эксплойт для запуска кода PowerShell, который загрузил скрипт Powerfun Metasploit и инициировал обратное соединение с другим IP-адресом.
Также были обнаружены SQL-запросы, предназначенные для загрузки ScreenConnect с удаленного домена ("ursketz[.]com") с использованием certutil, который затем устанавливался через msiexec перед установлением связи с сервером управления и контроля.
Доподлинно не установлено, но у специалистов есть признаки того, что злоумышленник активен как минимум с 2022 года и специализируется на устройствах Fortinet, используя вьетнамский и немецкий языки в своей инфраструктуре.
Также исследователи отмечают, что злоумышленники действовали по старинке в рукопашную, что подтверждается всеми неудачными попытками загрузки и установки инструментов, а также относительно долгим временем между попытками, как бы намекая, что цель выбрана хакерами не случайно.
По итогу, мораль сей басни такова, что организациям, как всегда, рекомендуется устанавливать последние исправления, отслеживать подозрительный трафик и использовать брандмауэр веб-приложений для блокирования вредоносных запросов. | 9 179 | 24 | Loading... |
39 Исследователи F.A.C.C.T. обнаружили на VirusTotal вредоносный файл, связанный с кибершпионской Core Werewolf, который был загружен 15 апреля из армянского города Гюмри, в котором дислоцируется 102-ая российская военная база.
Найденное ВПО представляло собой самораспаковывающийся архив 7zSFX, предназначенный для скрытой установки и запуска легитимной программы удаленного доступа UltraVNC, которую с иконкой приложения OneDrive обычно использует Core Werewolf.
В качестве документа-приманки использовалось ходатайство о награждении военнослужащих с указанием их звания, ФИО и личного номера, отличившихся в ходе СВО, в том числе Орденами Мужества.
Как известно, Core Werewolf (PseudoGamaredon) с 2021 года активно атакует российские организации, связанные с ОПК, а также объекты КИИ. В марте они атаковали НИИ, задействованный в военных разработких, а в апреле - оборонный завод.
На этот раз судя по дате и времени последней модификации содержащихся файлов в 7zSFX-архиве, можно предположить, что новая наблюдаемая атака могла начаться раньше даты загрузки на VirusTotal.
В качестве C2 злоумышленники использовали домен mailcommunity[.]ru, который был зарегистрирован год назад одновременно с другим доменом группы Core Werewolf, который использовался в кампании в 2023 году.
За день до истечения срока жизни домена злоумышленники продлили его еще на год и в этот же день начали использовать его для проведения атак.
Стоит отметить, что разворачиваемый образец UltraVNC, его конфигурационный файл и адрес C2 такие же, как и в ранее раскрытых атаках.
Также специалисты F.A.C.C.T. нашли на VirusTotal загруженные из России в марте и апреле этого года вредоносные исполняемые файлы, которые представляют собой ранее неописанные дропперы, реализованные на языке Go.
Они имеют идентичные функциональные возможности и они предназначены для скрытой установки и запуска клиента UltraVNC.
Причем конфигурационный файл и клиент UltraVNC совпадают по хеш-суммам с описанными выше файлами, а в качестве C2 используется тот же домен: mailcommunity[.]ru:443.
Технический обзор атаки и IOC - в отчете F.A.C.C.T. | 10 106 | 74 | Loading... |
40 Cisco сообщает об исправлениях уязвимости высокой степени серьезности в Cisco IMC, для которой выпущен общедоступный PoC.
Cisco IMC — это контроллер управления основной платой на серверах UCS C-Series Rack и UCS S-Series Storage, работающий через несколько интерфейсов, включая XML API, WebUI и интерфейс командной строки (CLI).
Уязвимость в интерфейсе командной строки Cisco IMC может позволить локальному злоумышленнику, прошедшему проверку подлинности, выполнить атаки путем внедрения команд в базовую ОС и повысить привилегии до уровня root.
При этом для эксплуатации уязвимости злоумышленник должен иметь права только для чтения или более высокие права на уязвимом устройстве.
Отлеживаемая как CVE-2024-20295 проблема обусловлена недостаточной проверкой вводимых пользователем данных, ее можно использовать с помощью специально созданных команд CLI в рамках атак низкой сложности.
Уязвимость затрагивает корпоративные сетевые вычислительные системы (ENCS) серии 5000, Catalyst 8300 Series Edge uCPE, а также серверы UCS серии C и E.
Кроме того, потенциально атакам подвержен и многие другие продукты, если они настроены на предоставление доступа к уязвимому интерфейсу командной строки Cisco IMC.
Cisco PSIRT также предупредила, что PoC уже доступен, но, к счастью, злоумышленники еще не начали нацеливаться на уязвимость. Во всяком случаен пока.
Так что будем посмотреть. | 8 067 | 10 | Loading... |
Индийская Seqrite Labs констатирует усиление атак на правительственный сектор и оборонные предприятия, в том числе обусловленных существенной активизацией связанных с Пакистаном APT.
Одна из таких групп, констатирует уза последние несколько недель развернула широко используемую RAT AllaKore в трех отдельных кампаниях, причем в каждой кампании одновременно было развернуто по две таких RAT.
Вообще же в ее арсенал также входят Ares RAT, Action RAT, AllaKore RAT, Reverse RAT, Margulas RAT и др.
В тоже время вышестоящая над ней APT Transparent Tribe (APT36) с таким же устойчивым таргетингом продолжила задействовать Crimson RAT, но в закодированном исполнении.
В целом имеет схожий код и постоянно обновляет свой арсенал вредоносного ПО для Linux. Действуя с 2013 года, постоянно использовала в своих кампаниях такие полезные нагрузки, как Crimson RAT, Capra RAT, Eliza RAT и Oblique RAT.
Основываясь на их инфраструктуре C2, Seqrite смогли профилировать обе APT, еще раз продемонстрировав связь между ними, также подробно изложив технические тонкости новых кампаний в контексте атрибуции и корреляции с ранее задокументированными цепочками атак.
Pakistani APTs Escalate Attacks on Indian Gov. Seqrite Labs Unveils Threats and Connections
<p>In the recent past, cyberattacks on Indian government entities by Pakistan-linked APTs have gained significant momentum. Seqrite Labs APT team has discovered multiple such campaigns during telemetry analysis and hunting in the wild. One such threat group, SideCopy, has deployed its commonly used AllaKore RAT in three separate campaigns over the last few weeks, where […]</p>
WPScan предупреждает о начале активной эксплуатации ошибки плагина WP-Automatic для создания подконтрольных учетных записей администратора и захвата уязвимых сайтов WordPress.
Применяемая при этом CVE-2024-27956 связана с SQL-инъекцией (SQLi) и имеет оценку CVSS 9,9 из максимальных 10, затрагивая все версии до 3.9.2.0.
Злоумышленники могут использовать ее для получения несанкционированного доступа к веб-сайтам, создания учетных записей пользователей с правами админа, загрузки вредоносных файлов и потенциально получения полного контроля над затронутыми сайтами.
Проблема кроется в механизме аутентификации пользователей плагина, который можно тривиально обойти, выполняя произвольные SQL-запросы к базе данных с помощью специально созданных запросов.
В наблюдаемых к настоящему времени атаках CVE-2024-27956 используется для реализации запросов к базе данных и создания новых админских учеток на уязвимых сайтах WordPress, которые затем можно задействовать для установки плагинов загрузки файлов или модификации кода.
После взлома сайта WordPress злоумышленники обеспечивают персистентность, создавая бэкдоры и запутывая код.
При этом чтобы избежать обнаружения, злоумышленники переименовавают уязвимый файл WP‑Automatic (с /wp‑content/plugins/wp‑automatic/inc/csv.php на wp‑content/plugins/wp‑automatic/inc/csv65f82ab408b3.php), в том числе для блокировки атак со стороны других коллег.
Недостаток был публично раскрыт Patchstack 13 марта 2024 года.
С тех пор было обнаружено более 5,5 миллионов попыток атак с целью использования этой уязвимости.
New Malware Campaign Targets WP-Automatic Plugin
A few weeks ago a critical vulnerability was discovered in the plugin WP-Automatic. This vulnerability, a SQL injection (SQLi) flaw, poses a severe threat as attackers can exploit it to gain unauth…
Используешь Brocade SANnav до 2.3.0 - ошибка, упустил последние обновления - фатальная ошибка.
По словам независимого исследователя Пьера Барре, более 18 уязвимостей затрагивают все версии приложения управления сетью хранения данных Brocade SANnav до 2.3.0 включительно.
Причем несколько из них опасности могут быть использованы для полной компрометации уязвимых устройств.
В основной массе выявленные проблемы охватывают от небезопасного root-доступа, неправильных правил брандмауэра и настроек Docker до отсутствия аутентификации и шифрования, что позволяет злоумышленнику перехватывать учетные данные, перезаписывать произвольные файлы и полностью взломать устройство.
Среди наиболее серьезных недостатков:
- CVE-2024-2859 (CVSS: 8,8): позволяет неаутентифицированному удаленному злоумышленнику войти на уязвимое устройство с использованием учетной записи root и выполнить произвольные команды.
- CVE-2024-29960 (CVSS: 7,5): обусловлена использованием жестко запрограммированных ключей SSH в образе OVA, которые могут быть использованы злоумышленником для расшифровки SSH-трафика к устройству SANnav и его компрометации.
- CVE-2024-29961 (CVSS: 8,2): позволяет неаутентифицированному удаленному злоумышленнику провести атаку на цепочку поставок, воспользовавшись тем, что служба SANnav отправляет команды ping в фоновом режиме через определенные промежутки времени в домены Gridgain[.]com и ignite.apache[.]org для проверки обновлений.
- CVE-2024-29963 (CVSS: 8,6): использование жестко закодированных ключей Docker в SANnav OVA для доступа к удаленным реестрам через TLS, что позволяет злоумышленнику выполнить AitM-атаку.
- CVE-2024-29966 (CVSS: 7,5): наличие жестко запрограммированных учетных данных для пользователей root в общедоступной документации, которые могут предоставить неаутентифицированному злоумышленнику полный доступ к устройству Brocade SANnav.
После раскрытия в августе 2022 года и мае 2023 года все проблемы были устранены с выходом версии SANnav 2.3.1 от декабря 2023 года.
Помимо этого Brocade Broadcom, которой принадлежат Symantec и VMware, опубликовала рекомендации по устранению недостатков.
В свою очередь, Hewlett Packard Enterprise также выпустила исправления для некоторых уязвимостей в HPE SANnav Management Portal версий 2.3.0a и 2.3.1.
Repost from Russian OSINT
🥷 Известия: Настоящая кибервойна развернулась в интернет-пространстве в последние годы. Число атак последовательно увеличивается во всем мире.
🔺За минувший год количество инцидентов в сфере информационной безопасности в России выросло более чем на 60%.
🔺Фишинговых атак и скам-ссылок стало больше в пять раз.
https://iz.ru/1687824/valentina-averianova/virtualnyi-shtorm-kak-izmenilis-kiberataki-na-rossiiskuiu-infrastrukturu
✋ @Russian_OSINT
Виртуальный шторм: как изменились кибератаки на российскую инфраструктуру
Число инцидентов в сфере ИБ выросло на 60%
Dragos выкатила неплохой отчет по вымогателям за первый квартал 2024 года, называя ransomware самой серьезной угрозой для промышленных организаций по всему миру.
Из изменений на ландшафте отметили значительные успехи реализованных спецслужбами операций в отношении инфраструктуры ряда групп (прежде всего, Lockbit), и рокировки среди самих банд (Alphv/Blackcat), приведших к некоторой дезорганизации их операторов.
Однако произошедшие события имели обратный эффект в части ужесточения бандами своей тактики вымогательства по отношению к жертвам и концентрации на более чувствительных секторах, включая здравоохранение, дабы максимализировать ущерб/прибыль на фоне снижения выплат по выкупам.
Технические возможности групп вымогателей подчеркивают их гибкость и изощренность в использовании уязвимостей, особенно в общедоступных приложениях, как в случае с ConnectWise ScreenConnect с BlackBasta и Lockbit и Qlik Sense с CACTUS.
Замечена стратегическая нацеленность на использованию брпешей в широко используемых платформах и оперативность в эксплуатации новых проблем: 24 часа понадобилось Cactus для препарирования уязвимого Ivanti ICS VPN.
По цифрам наблюдается некоторое снижение активности программ-вымогателей, нацеленных на промышленный сектор (количество инцидентов сократилось с 204 до 169).
Зато набрали по атакам на сектор здравоохранения. Причем банды координировали операторов по части таргета для общего нацеливанная на конкретные сектора.
Положительной тенденцией отмечено отсутствие серьезных операционных сбоев, вызванных программами-вымогателями.
Но несмотря на это, Dragos прогнозируют потенциальное смещение акцента групп вымогателей на критически важные процессы и среды ОТ, чтобы значительно усилить воздействие своих атак и активнее склонять жертв к выполнению требований выкупа.
Последствия таких атак выходят за рамки потери данных и финансового ущерба, непосредственно угрожая основной операционной целостности организаций.
Статистика по отраслям, географии и актуальной конъюнктуре банд - детально отражена отчете.
Dragos Industrial Ransomware Analysis: Q1 2024 | Dragos
The Dragos Ransomware Analysis for Q1 2024 evaluated variants used against industrial organizations worldwide. Learn more about our assessments and findings.
Исследователи из Sekoia расчехлили один из серверов C2, используемый USB-червем PlugX и мониторили его активность в течение шести месяцев, обнаружив более более 2,5 миллионов обращений с уникальных IP-адресов.
Причем с сентября прошлого года сервер ежедневно получает более 90 000 запросов на наличие команд от зараженных хостов из более чем 170 стран.
На 15 из них пришлось более 80% от общего числа заражений: лидеры - Нигерия, Индия, Китай, Иран, Индонезия, Великобритания, Ирак и США.
За время наблюдения исследователям удалось проанализировать трафик, выявить заражения и предотвратить злонамеренную активность.
Для того, чтобы провернуть столь мощную операцию Sekoia была вынуждена потратиться всего на 7 долларов, которые ушли на приобретение IP-адреса 45.142.166[.]112, соответствующего серверу С2, который к тому времени уже вышел из оборота хакеров.
IP ранее в марте 2023 года упоминался в отчете Sophos в отношении новой версии PlugX. Тогда вредоносная программа уже получила возможность самораспространения через USB-устройства.
После того, как Seqoia перехватила контроль над адресом исследователи получили доступ к оболочке сервера, используя IP.
После чего настроили простой веб-сервер, имитирующий поведение исходного C2 и смогли перехватывать HTTP-запросы от зараженных хостов.
Безусловно, пришлось потрудиться и определиться со стратегиями противодействию угрозе, передав соответствующие инструкции национальным CERT во избежание юридических сложностей с отправкой команд удаленного удаления на зараженные хосты.
Как полагают в Seqoia, ботнет, созданный с использованием скрытой версии PlugX, можно считать мертвым, поскольку операторы вредоносного ПО утратили контроль над ситуацией.
Правда, это не относится к инфицированным изолированным сетям и носителям.
Unplugging PlugX: Sinkholing the PlugX USB worm botnet
Learn about our process for collecting telemetry data from PlugX worm-infected workstations, as well as how to disinfect them.
Shadowserver сообщает (об очередной атаке на цепочку мудаков), что более 1400 серверов CrushFTP остаются уязвимы для атак (из 5232 открытых в Интернете, по данным Shodan), нацеленных на ошибку внедрения шаблонов на стороне сервера (SSTI) критической серьезности, ранее использовавшуюся в качестве 0-day.
Поставщик описывает CVE-2024-4040 как выход из «песочницы» VFS в своем ПО для управляемой передачи файлов, приводящий к произвольному чтению файлов.
Но на деле же неаутентифицированные злоумышленники могут использовать ее для реализации RCE в непропатченных системах.
В пятницу компания предупредила клиентов о необходимости немедленного обновления, но воз и ныне там.
Тем временем Rapid7 подтвердила серьезность уязвимости, заявив, что она полностью не аутентифицирована и может быть проэксплутирована без особых трудностей.
Успешная эксплуатация позволяет не только читать произвольный файл от имени пользователя root, но также обходить аутентификацию для доступа к учетной записи администратора и полностью удаленно выполнять код.
В свою очередь, CrowdStrike выкатил отчет с раскрытием реальных атак на ряд организации в США с целью кибершпионажа.
Будем следить.
Shadowserver (@Shadowserver) on X
We are now sharing CrushFTP CVE-2024-4040 (CrushFTP VFS Sandbox Escape Vulnerability) vulnerable instances. At least 1400 vulnerable on 2024-04-24. CVE-2024-4040 is currently exploited in the wild & on @CISACyber KEV. Top affected: US, Germany, Canada
https://t.co/NucoywFO7YRepost from Social Engineering
😟 Black Hat ASIA 2024.
• C 16 по 19 апреля в Сингапуре проходила одна из крупнейших #ИБ конференций в мире — Black Hat ASIA 2024. Было представлено большое количество интересных докладов и уникальной информации.
• Официальный YT-канал пока не опубликовал видео с выступлений, но за то были опубликованы презентации в одном из репозиториев:
➡ https://github.com/onhexgroup/Conferences/BlackHat
• А ещё обязательно посмотрите выступления с предыдущих ивентов, где можно подчеркнуть для себя много нового и полезного:
- Видео Black Hat Europe 2023;
- Видео Black Hat USA 2023;
- Видео Black Hat Asia 2023.
- Видео Black Hat Europe 2022;
- Видео Black Hat USA 2022;
- Видео Black Hat Asia 2022.
- Презентации Black Hat Europe 2023;
- Презентации Black Hat USA 2023;
- Презентации Black Hat Asia 2023.
- Презентации Black Hat Europe 2022;
- Презентации Black Hat USA 2022;
- Презентации Black Hat Asia 2022.
S.E. ▪️ infosec.work ▪️ VT