🧩 Множество полезных скриптов для Mikrotik.

• Introduction;
• Create a file;
• Check if IP on the interface has changed;
• Strip netmask;
• Resolve host-name;
• Write simple queue stats in multiple files;
• Generate backup and send it by e-mail;
• Check bandwidth and add limitations;
• Block access to specific websites;
• Parse file to add ppp secrets;
• Detect new log entry;
• Allow use of ntp.org pool service for NTP;
• Other scripts.

#Mikrotik

Новый год для клиентов Citrix, VMware и Atlassian начинается с новых критических проблем.

Citrix предупреждает о двух 0-day в NetScaler ADC (ранее Citrix ADC) и NetScaler Gateway (ранее Citrix Gateway), которые активно используются в реальных условиях.

Первая CVE-2023-6548 (CVSS: 5,5) связана с удаленным выполнением кода с проверкой подлинности (низкие привилегии) на интерфейсе управления (требуется доступ к NSIP, CLIP или SNIP с доступом к интерфейсу управления).

Другая CVE-2023-6549 (оценка CVSS: 8,2) вызывает отказ в обслуживании, но требуется, чтобы устройство было настроено как шлюз или виртуальный сервер авторизации и учета или AAA.

Поставщик сообщает об эксплуатации этих CVE на незащищенных устройствах, не раскрывая никаких дополнительных подробностей.

Пользователям NetScaler ADC и NetScaler Gateway версии 12.1 рекомендуется срочно обновить свои устройства, а также органичить доступ к интерфейу управления из Интернет.

VMware исправляет критическую ошибку автоматизации в Aria Automation (ранее vRealize Automation), которая позволяет злоумышленнику, прошедшему проверку подлинности, получить несанкционированный доступ.

CVE-2023-34063 имеет оценку CVSS: 9,9, была обнаружена исследователями CSIRO.

Она затрагивает VMware Aria Automation (8.11.x, 8.12.x, 8.13.x и 8.14.x) и VMware Cloud Foundation (4.x и 5.x).

Как отмечает VMware, единственный способ устранения недостатка - обновление до 8.16.

Atlassian выпустила исправления для более чем двух десятков уязвимостей, включая критический RCE-недостаток внедрения шаблона, затрагивающий устаревшие версии Confluence Data Center and Server.

Уязвимости CVE-2023-22527 присвоен максимальный рейтинг CVSS 10,0, поскольку для ее эксплуатации не требуется аутентификация.

Она затрагивает версии 8.0.x, 8.1.x, 8.2.x, 8.3.x, 8.4.x и 8.5.0–8.5.3, но при этом не влияет на версии 7.19.x LTS.

Проблема решена в 8.5.4, 8.5.5 (Confluence Data Center and Server), 8.6.0, 8.7.1 и 8.7.2 (Confluence Data Center).

Пользователям рекомендуется обновиться до последней доступной версии.

Исследователи F.A.C.C.T. сообщают о пополнении в полку "ратников" новым трояном удаленного доступа RADX, который был использован в недавних атаках на российские маркетплейсы, торговые сети, банки и IT-компании.

Чуть раньше стоящая за атаками группа использовала другой троян - DarkCrystal RAT.

С его помощью атакующие пытались получить доступ к финансовым документам, базам данных, учетным записям.

DarkCrystal RAT появился в продаже в 2019 году.

Ратник умеет делать скриншоты, перехватывать нажатия клавиш и красть различные типы данных из системы, включая данные банковских карт, файлы куки, пароли, историю браузера, содержимое буфера обмена и учетные записи Telegram, Steam, Discord, FileZilla.

Само ВПО написано на C# и имеет модульную структуру.

В случае успеха злоумышленники получали доступ к внутренним финансовым и юридическим документам компаний, клиентским базам данных, учетным записям от почтовых сервисов и мессенджеров.

В конце 2023 года F.A.C.C.T. наблюдали несколько фишинговых рассылок с задействованием DarkCrystal RAT для атак на российские компании.

Злоумышленники рассылали с почты sergkovalev@b7s[.]ru фишинговые письма с темой «Оплата сервера» с двумя вложениями: «скрин оплаты за сервер.zip» или «скрин оплаты за сервер.pdf.zip».

В первом архиве содержался файл «скрин оплаты за сервер.scr», который установливал на компьютер жертвы DarkCrystal RAT.

В данном случае C2 DarkCrystal RAT выступал IP-адрес 195.20.16[.]116. 

Во втором архиве содержался лоадер «скрин оплаты за сервер.pdf.exe», который устанавливал ранее неизвестное ВПО, которому дали название RADX RAT.

Новое семейство ВПО специалисты нашли не только в рассылках, но и в продаже с октября 2023 года на андеграундном форуме, где он рекламируется как «самый лучший софт для работы с удаленным доступом и сбором секретной информации».

Злоумышленники позиционируют RADX еще и как самый дешевый RAT и предлагали его по новогодним скидкам с программой-стилером в придачу.

Так, недельная аренда RADX со скидками обходится всего 175 рублей рублей в месяц, а трехмесячная — 475 рублей. 

Технический разбор трояна RADX, включая индикаторы компрометации и полный расклад по MITRE ATT&CK — в отчете.

͏Экосистема ransomware (by blackorbird)