Комментарий РБК Алексея Лукацкого по FIRST.

#SOC #FIRST #суверинетет

Сегодняшний эфир РБК про временное приостановление работы 8 российских команд по реагированию на инциденты в FIRST, в котором я участвовал - https://tv.rbc.ru/archive/den/624176472ae5962c14ea9150 (смотреть с 10:38 - до этого там новости). Жалко, что их выпилили с Youtube - теперь не дашь ссылку на видео с нужного момента времени и вообще...

Уязвимости CVE-2022-1015 и CVE-2022-1016 ядра Linux вызывают повышение привилегий и утечку информации

CVE-2022-1015 связана с out of bound access при оценке выражения в nf_tables, компоненте netfilter, из-за проверки индексов пользовательских регистров. Это приводит к локальному повышению привилегий. Злоумышленники могут эксплуатировать CVE-2022-1015, начиная с коммита 345023b0db3, v5.12. Уязвимость была исправлена в коммите 6e1acfa387b9.

CVE-2022-1016 относится к неинициализированным данным стека в подпрограмме nft_do_chain. Уязвимость можно использовать, начиная с коммита, v3.13-rc1, а исправлена она в коммите 4c905f6740a3.

Источник: https://lwn.net/ml/oss-security/1b176761-5462-4f25-db12-1b988c81c34a@gmail.com/

#уязвимость #Linux

Хакеры снова атакуют сельхозпредприятия России

На этот раз жертвой злоумышленников стала компания «ТАВР», входящая в холдинг «АГРОКОМ ГРУППА». Предприятие производит колбасы и мясные деликатесы.

Согласно информационному сообщению, опубликованному холдингом, «посредством установки вредоносного ПО были атакованы серверы, рабочие станции и информационные системы предприятия».

«Работа компании была временно парализована, нанесен значительный экономический ущерб [...] Сразу после инцидента на предприятии было установлено специальное защитное оборудование, которое регистрирует новые попытки взлома информационных систем».

Напомним, неделю назад мы писали, как от действий вируса-шифровальщика пострадала другая сельскохозяйственная компания – «Мираторг».

НКЦКИ, в свою очередь, 2 марта 2022 года выпустил рекомендации по мерам повышения уровня защищенности информационных ресурсов Российской Федерации от целенаправленных компьютерных атак Следование этим правилам позволит бизнесу избежать разрушительных последствий от действий злоумышленников.

http://agrocomgroup.ru/ru/news/kompaniya-tavr-podverglas-hakerskoy-atake

#инцидент #АгрокомГруппа

Хакерская атака на Росавиацию

«Коммерсант» опубликовал появившиеся ранее в сети сведения о мощнейшей хакерской атаке в отношении Росавиации. Предположительно, в результате действий злоумышленников федеральное агентство потеряло 65 Тб данных и, более того, было вынуждено перейти на бумажную почту. Сообщается, что у ведомства «стерт весь документообороот, файлы на серверах, удалена система «Госуслуг» и потеряны все письма за полтора года; сейчас идет поиск реестра воздушных судов и авиационного персонала».

Эксперты предполагают, что атака произошла по схеме man in the middle, то есть злоумышленники взломали корпоративную почту одного из партнеров и общались с агентством от его лица.

Источники «Коммерсанта» в Росавиации сообщают, что специалисты агентства пытаются восстановить доступ к серверам и рассчитывают, что это удастся сделать уже в ближайшее время.

Источник: https://www.kommersant.ru/doc/5281896

#Росавиация #инцидент

НКЦКИ подготовил перечень рекомендаций, направленных на минимизацию возможных угроз информационной безопасности

Бюллетень довольно объёмный и адресован российским компаниям и организациям. Очевидно, это связано с участившимися случаями целенаправленных хакерских атак, которым подвергаются не только государственные структуры, но и бизнес. Рекомендации касаются инвентаризации, парольной политики, мер по защите веб-приложений, электронной почты, доменных имён, информационных ресурсов, доступных из сети Интернет, а также контроля информационной безопасности в корпоративных сетях.

https://safe-surf.ru/specialists/news/677262/

#НКЦКИ

Выпуск ATT&CK v11 запланирован на 25 апреля

Об этом стало известно в ходе стартовавшей сегодня конференции ATT&CKcon 3.0, которая продлится с 29 по 30 марта. Как и планировалось, одновременно будет выпущена и бета-версия sub-techniques для ATT&CK for Mobile.

Матрица ATT&CK, основанная на наблюдениях реальных кибератак и содержащая описание тактик и приемов, используемых злоумышленниками, стала эталоном для классификации действий атакующих. Кроме того, ATT&CK дала совершенно новый подход к обеспечению информационной безопасности, позволив специалистам взглянуть на защиту с позиции атакующих.

#новость #ATT&CK #MITRE #TTP

Международная электротехническая комиссия (IEC) полагает, что наиболее эффективным способом противодействия DDoS-атакам является сертификация бизнес-процессов организации по обновленным ISO/IEC 27001/27002.
https://www.iec.ch/blog/preventing-ddos-and-other-cyber-attacks

#DDoS #IEC #27001

Европейская Комиссия предложила новые правила для установления общих мер кибербезопасности и информационной безопасности в учреждениях, органах, офисах и агентствах ЕС.
Новые правила включают Регламент о кибербезопасности (Cybersecurity Regulation) и Регламент по информационной безопасности (Security Regulation) и др.

https://ec.europa.eu/commission/presscorner/detail/en/ip_22_1866

#EC #cybersecurity

Под патронажем BCI опубликован Отчет о рисках и угрозах Horizon Scan Report за 2021 и на 2022 годы.
Один из выводов: пандемия оказала существенное воздействие на психическое здоровье респондентов, а удаленная работа остается в числе основных рисков для ИТ на 2022 год.

https://www.bsigroup.com/globalassets/localfiles/en-gb/final-horizon-scan-report-2022.pdf
https://www.bsigroup.com/en-GB/iso-22301-business-continuity/BCI-Horizon-Scan-Report/

#BCI #report

DOI в России и Беларуси уже неактуален!

Официальное агентство регистрации DOI - Crossref (ведущее библиографические ссылки всех научных публикаций) беспардонно заявило о временном приостановлении присвоения уникальных идентификаторов (digital object identifier) всем публикациям и иным материалам авторов из России и Беларуси, а также аффилированных с ними, в том числе из других стран.

Более того, заявлено о инициировании некой юридической проверки всех организаци и лиц из России и Белорусии на предмет нахождения под пресловутыми санкциями США и их друзей из ЕС и Великобритании.

Напомним, что DOI де-факто является обязательным элементом и стандартом современных научных публикаций, обеспечивая постоянный доступ к научной информации и учёт взаимных цитирований, и принят в научной среде для обмена данными между учёными. DOI является, по сути, обязательным элементом для индексации журнальных статей в международных базах библиографических данных.
В нашей стране действует переводной стандарт ГОСТ Р ИСО 26324.

Обнаружена уязвимость CVE-2022-27881 slaacd daemon

Фоновой процесс slaacd отвечает в OpenBSD за автоконфигурацию адресов IPv6. CVE-2022-27881 способна привести к переполнению буфера при получении объявлений маршрутизатора IPv6 в версиях OpenBSD 6.9 и 7.0. Уже доступен как PoC эксплойта для данной уязвимости, так и исправления безопасности.

Источники:

https://man.openbsd.org/slaacd.8

https://ftp.openbsd.org/pub/OpenBSD/patches/6.9/common/033_slaacd.patch.sig

https://ftp.openbsd.org/pub/OpenBSD/patches/7.0/common/017_slaacd.patch.sig

#уязвимость #OpenBSD

Вводится запрет на закупку иностранного ПО для критической инфраструктуры

Опубликован соответствующий указ, подписанный президентом России. В документе сообщается, что с 31 марта госзаказчики не смогут закупать иностранный софт, в том числе в составе программно-аппаратных комплексов, для критической инфраструктуры без согласования с профильным ведомством.

Кроме того, этот же указ с 1 января 2025 года запретит органам государственной власти использовать иностранное программное обеспечение на принадлежащих им значимых объектах критической информационной инфраструктуры.

http://publication.pravo.gov.ru/Document/View/0001202203300001?index=2&rangeSize=1

#указ #импоротозамещение #кии

Уязвимость CVE-2022-27946 маршрутизатора NETGEAR R8500 позволяет выполнить произвольные команды

Устройства NETGEAR R8500 1.0.2.158 позволяют злоумышленникам, прошедшим аутентификацию, удаленно выполнять произвольные команды с помощью созданного запроса. Уязвимость позволяет внедрить команды в поля sysNewPasswd и sysConfirmPasswd в admin_account.cgi.

PoC эксплойта на данную уязвимость размещен на площадке GitHub.

Источники:

https://nvd.nist.gov/vuln/detail/CVE-2022-27946

https://github.com/donothingme/VUL/blob/main/vul3/3.md

#уязвимость #NETGEAR

Указом Президента также инициировано создание в стране некого научно-технического объединения, специализирующегося на создании (разработке, производству, техподдержке, сервисном обслуживании) доверенных программно-аппаратных комплексов для КИИ.

Выявлено несколько уязвимостей в ядре Linux – все могут привести к повышению уровня привилегий

Уязвимостям назначены идентификаторы CVE-2022-27666 и CVE-2022-0995.

CVE-2022-0995 позволяет реализовать heap out-of-bounds write в компоненте watch_queue ядра Linux, эксплойт для данной уязвимости опубликован на площадке Github. CVE-2022-27666 связана с heap buffer overflow.

Для обеих уязвимостей имеются обновления безопасности.

Источники:

https://security-tracker.debian.org/tracker/CVE-2022-0995
https://github.com/Bonfee/CVE-2022-0995
https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-27666

#уязвимость #Linux

Meta (признана Минюстом экстремисткой организацией и запрещена в РФ) и Apple предоставляли данные пользователей хакерам по поддельным запросам

Агентство Bloomberg выпустило аналитический материал о приемах социальной инженерии и о том, как на них повелись две крупнейшие корпорации.

Злоумышленники взламывали электронные почты правоохранительных органов и рассылали с них «экстренные запросы» Meta* и Apple. Полученные таким путем конфиденциальные данные затем использовались для харрасмента и мошенничества.

Информация о подписчиках, которую предоставляли хакерам Apple и Meta*, включала адрес клиента, номер телефона и IP-адрес. Обычно такие запросы сопровождаются ордером на обыск или повесткой в суд, подписанной судьей. Однако экстренные запросы не требуют постановления суда. Сколько раз таким образом компании предоставили данные киберпреступникам, до сих пор неясно.

Специалисты в сфере информационной безопасности предполагают, что за мошенничеством стоят несовершеннолетние подростки из США и Великобритании. Считается, что один из них причастен к группе LAPSUS$. За некоторыми из поддельных юридических запросов, которые были отправлены в течение 2021 года, могут стоять хакеры из «Recursion Team». И хотя «Recursion Team» больше неактивна, собеседники Bloomberg уверены, что многие из ее членов продолжают взломы под разными именами, в том числе в составе LAPSUS$.

Комментируя произошедшее, представитель Apple не ответил ничего конкретного. В Meta* заявили, что обратились в правоохранительные органы. А также добавили, что проверяют каждый запрос на предмет юридической достаточности и выявление злоупотреблений.

По словам двух человек, мошеннические юридические запросы являются частью многомесячной кампании, стартовавшей еще в январе 2021 года и направленной против многих технологических компаний. Шаблоны для создания фейковых запросов злоумышленники могли находить в переписке скомпрометированных адресов электронной почты. В некоторых случаях мошеннические документы содержали поддельные подписи настоящих или вымышленных сотрудников правоохранительных органов.

Известно, что таким же способом хакеры выманивали данные пользователей у Snap Inc., Discord.

Согласно отчетам, с июля по декабрь 2020 года Apple получила 1162 запроса на экстренную помощь из 29 стран. При этом компания предоставила данные в ответ на 93% этих запросов. Meta* заявила, что с января по июнь 2021 года получила 21 700 экстренных запросов по всему миру и предоставила некоторые данные в ответ на 77% запросов.

«В зависимости от обстоятельств мы можем добровольно раскрыть информацию правоохранительным органам, если у нас есть основания полагать, что дело связано с неизбежным риском серьезных телесных повреждений или смерти», - сообщает Meta*.

Главный научный сотрудник компании Unit 221B Алиссон Никсон, комментируя инцидент, замечает, что в мире существуют десятки тысяч различных правоохранительных органов, от небольших полицейских управлений до федеральных агентств. «В разных юрисдикциях действуют разные законы, касающиеся запросов и раскрытия пользовательских данных. Поэтому нет единой и централизованной системы рассмотрения таких запросов. Компрометация адресов электронной почты относительно проста, поскольку данные для входа в эти учетные записи продаются в даркнете. Ситуация очень сложная. Исправить это гораздо сложнее, нежели просто перекрыть поток данных», - говорит Никсон.

* - признана Минюстом экстремистской организацией и запрещена в РФ

https://www.bloomberg.com/news/articles/2022-03-30/apple-meta-gave-user-data-to-hackers-who-forged-legal-requests

#социальнаяинженерия #Meta #Apple

НКЦКИ рассказал, как нейтрализовать уязвимость «нулевого дня» в Spring Framework

Обнаруженной уязвимости «нулевого дня» во фреймворке для разработки Java-приложений Spring Framework еще не присвоен идентификатор, однако в среде специалистов по ИБ она уже получила название Spring4Shell, по аналогии с Log4Shell в виду схожести механизма внедрения исполняемого кода.

Эксплуатируя данную уязвимость, злоумышленник может получить удаленный доступ к объекту AccessLogValve, отвечающему за создание журнала доступа к веб-серверу, переопределить параметры логирования и в последующем направить вредоносный запрос на создание JSP-файла, представляющего собой удаленный исполняемый файл.

В открытом доступе на Github уже выложен PoC эксплойта для данной уязвимости.

https://safe-surf.ru/upload/ALRT/ALRT-20220331.1.pdf

#уязвимость #НКЦКИ

ФСТЭК России определила особенности сертификации средств защиты информации до 31 декабря 2022 г.

Основной указанных временных правил является вектор на сокращение сроков сертификации и отдельных формальных моментов сертификационных испытаний СЗИ.
В частности, испытательная лаборатория с момента отбора образца должна сформировать программу и методику сертификационных испытаний за 20 календарных дней, также введен лимит в 30 дней на исправление выявленных недостатков и уязвимостей, а федеральный орган будет проводить экспертизу материалов и принимать решение в интервале до 15 дней, и пр.
Кроме того, имеются послабления по предоставлению формальной модели безопасности и формальной спецификации, а также некоторых отдельных документов по аппаратным платформам.

#фстэк #сертификация #сзи

Презентация с третьего вебинара по поиску уязвимостей.

Сегодня вышел первый пакет экспертиз для KOMRAD Enterprise SIEM: https://npo-echelon.ru/news/11823/

#Эшелон #КОМРАД