💎 Не пропустите! Самые интересные материалы марта

🔖ИИ в реальном секторе экономики — никаких ChatGPT попугаев, только серьёзные применения в новом выпуске ОБИБЭ

🔖Топ уязвимостей в веб-приложениях по результатам реальных ИБ-аудитов

🔖Новые способы туннелирования, теперь Qemu

🔖Исследование причин и практик внедрения SD-WAN (cпойлер, ИБ — в топе)

🔖Разбор методов повышения привилегий в Windows через символические ссылки и подмену C:\

🔖Рекомендации по защите облачных инфраструктур от CISA & АНБ

🔖Что такое SIM swap, чем грозит и как бороться

🔖Интерактивное видео — симуляция ransomware-инцидента

Приятного чтения и просмотра!
#дайджест @П2Т

🚨 Бэкдор в популярных Linux-дистрибутивах

Все выходные развивалась детективная история из мира open source. В библиотеке и утилитах для компрессии XZ был обнаружен бэкдор (CVE-2024-3094), который при определённых условиях предоставляет возможность выполнить произвольный код в системе, не оставляя следов в логах sshd.

Троянизированные версии 5.6.0 и 5.6.1 успели попасть в следующие популярные сборки Linux, выпущенные в марте:
🔴 Alpine (5.6.0 — 5.6.1-r1 )
🔴 Debian (тестовые версии) 5.5.1alpha-0.1 — 5.6.1-1.
🔴 Fedora Rawhide (тестовые версии)
🔴 Kali Linux
🔴 openSUSE Tumbleweed и MicroOS

Дрянь не была включена в стабильные дистрибутивы: Debian Stable, RHEL, Suse Linux Enterprise.
Arch Linux пишут, что хотя в образах были уязвимые пакеты, из-за специфики линковки openssh и liblzma в Arch бэкдор не может работать. Примерно то же самое сказано про Fedora 40 — вредоносные пакеты были, но троян не работает.

Для сомневающихся уже написано Yara-правило.
Тем, кто успел установить затрояненную версию, рекомендовано откатиться на более старые сборки и провести полноценное реагирование на инцидент.

Детективность истории состоит в том, что операция по внедрению длилась два года и включала в себя социальную инженерию, вытеснение предыдущего мейнтейнера и фейковые аккаунты разработчиков для продавливания нужных решений как в самой библиотеке XZ, так и в дистрибутивах, куда она входит.

Надежды на то, что разработчики ПО, использующего компоненты open source, значительно ужесточат «фейс-контроль» этих компонентов, у редакции, честно говоря, нет. Поэтому будем надеяться, что ИБ в крупных организациях повсеместно наладит комплексный мониторинг и детектирования аномалий в масштабе всей ИТ-инфраструктуры. 😏

#новости @П2Т

➡️ Интересные разборы APT и важные новости ИБ за неделю:

👽 Конец марта однозначно прошёл под знаком open source.
Про бэкдор в XZ, пробравшийся в множество крупных Linux-дистрибутивов, мы уже писали.

Немного раньше вышло исследование про другую сложную спецоперацию, приведшую к компрометации многих Python-разработчиков и целого сообщества авторов Discord-ботов, top.gg. Для этого был создан вредоносный клон библиотеки colorama. Жертв заражали инфостилером.

В четверг отключал регистрацию новых пользователей и создание проектов репозиторий PyPi, потому что их захлестнула волна вредоносных регистраций. Атакующие использовали тайпсквоттинг и прилагали значительные усилия к обфускации кода и вредоносной инфраструктуры. Финальная нагрузка — тоже инфостилер.

👾 Возвращаясь к более привычной деятельности APT, отметим появление Linux-версии многоплатформенного бэкдора DinodasRAT/Xdealer, v10 в нумерации разработчиков ВПО. Имплант оптимизирован для работы в RedHat и Ubuntu. Жертвы замечены в Центральной и Юго-Восточной Азии, а также Турции. Функции ВПО в целом аналогичны ранее известной Windows-версии, которая применялась для атак на госструктуры.

🥸 Google TAG совместно с Mandiant выпустили обзор зиродеев, которые эксплуатировались в дикой природе в 2023 году. Из 97 уязвимостей, 24 были использованы производителями коммерческого шпионского ПО. 11 из этих 24 относится к Safari и iOS, а остальные 13 — к разным продуктам Google.

🍄 Пограничные устройства Cisco, Fortinet, Palo Alto и Sonicwall уже две недели подвергаются масштабным брутфорс-атакам. Автор исследования утверждает, что атаки ведёт ботнет Brutus, использующий не менее 20 тысяч адресов по всему миру и возможно опережающий по своим масштабам печально знаменитый Mirai. Среди адресов встречаются как домашние, так и корпоративные диапазоны адресов.

Кстати, о домашних IP — 28 приложений в Google Play превращали Android-смартфоны в прокси-серверы без ведома владельцев. Большинство из них позиционировались как бесплатный VPN.

😐 Детальный анализ свежей версии фишкита Tycoon 2FA, особо популярного у криминала благодаря отточенным механикам обхода 2FA в Gmail и Microsoft 365.

🤖 Взлом ИИ пришёл, откуда ждали — незакрытая уязвимость в инструменте распределённых вычислений Anyscale Ray, активно применяемом при тренировке больших моделей, эксплуатируется злоумышленниками. Пять уязвимостей в Ray были раскрыты в ноябре, но одну из разработчики них не стали устранять, потому что не баг, а фича. Они в инструкции написали, что кластеры должны быть полностью изолированы от Интернета, но почему-то на практике так не случилось 🤪

Новая серия атак на российские организации по уже знакомому рецепту: фишинг + RAR-архив + пароль + CVE-2023-38831. Жертвам устанавливают ВПО PhantomRAT.

🎁 Анализ кампании по распространению IDAT Loader, в конечном счёте в скомпрометированной сети разворачивают Brute Ratel или троянец SecTop.

#дайджест #APT @П2Т