کانال تخصصی امنیت سایبری «کتاس»
1.74K subscribers
1.3K photos
302 videos
109 files
3.07K links
تماس با ادمين📧:
ict.sec@outlook.com

این کانال به جهت آگاهی رساني، مخاطرات امنیتی درحوزه هایICTوICSرابارویکردامن سازی دربرابرخطرات،منتشر و وابسته به هیچ نهاد،گروه،دسته،تشکّل ویاسازمانی نيست ومسئولیت هرگونه استفاده ازمطالب فقط برعهده کاربرش است
Download Telegram
امام على (ع):

اى مردم! خود به ادب [و تربيت] كردن نفْس‌هايتان بپردازيد و آنها را از وَلَع عادت‌هايشان بازداريد.
👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
Forwarded from IACS (Pedram Kiani)
🚨 کشف آسیب پذیری در تجهیزات Johnson Controls Facility Explorer

1. خلاصه

توجه: از راه دور قابل استفاده است
فروشنده: جانسون کنترل
تجهیزات: Facility Explorer
آسیب پذیری: مسیر عبور، اعتبار نامناسب

2. ارزیابی خطر

بهره برداری موفق از این آسیب پذیری ها می تواند مهاجم را مجاز به خواندن، نوشتن و حذف فایل های حساس برای به دست آوردن امتیازات مدیر در سیستم Facility Explorer کند.

3. مشخصات فنی
3.1 محصولات آسیب دیده

تسهیلات اکسپلورر فن آوری Tridium Niagara را تحت تاثیر قرار می دهد که این آسیب پذیری ها را تحت تاثیر قرار می دهد. نسخه های زیر از Facility Explorer تحت تاثیر قرار می گیرند:

نسخه های 14.x قبل از 14.4u1، و
نسخه 6.x قبل از 6.6

3.2 مرور کلی

3.2.1 محدودیت قابل ملاحظه ای از یک PATHNAME به یک کتابخانه محدود شده ('TRAVERSAL PATH') CWE-22

یک آسیب پذیری مسیریابی مسیر وجود دارد که مهاجم می تواند در شرایط خاصی از اعتبار پلت فرم معتبر (سرپرست) برای دسترسی به یک فایل یا دایرکتوری خارج از محل محدود استفاده کند.

3.2.2 گواهینامه IMPROPER CWE-287

در شرایط خاص، مهاجم می تواند به پلت فرم محلی Facility Explorer با استفاده از یک نام حساب کاربری غیر فعال و یک کلمه عبور خالی وارد شود و دسترسی مدیر به سیستم Facility Explorer را به دست آورد.

3.3 نقاط آسیب پذیر:

⚠️ بخش های بحرانی INFASTRUCTURE : کارخانجات حیاتی و حساس
⚠️ کشور / منطقه مورد تخریب : در سراسر جهان
⚠️ محل شرکت کشف : ایرلند

3.4 پژوهشگر

Tridium
4. نحوه رفع مشکل

شرکت Johnson Controls این آسیب پذیری ها را در نسخه های زیر کاهش داده است. کاربران باید به یکی از این نسخه های محصول ارتقاء دهند (FX14.6 توصیه می شود):

Facility Explorer 14.6 (منتشر شده در سپتامبر 2018)
Facility Explorer 14.4u1 (منتشر شد اوت 2018)
Facility Explorer 6.6 (منتشر شد اوت 2018)

برای کسب اطلاعات بیشتر، لطفا به امنیت جهانی محصولات امنیتی Johnson Control در https://www.johnsoncontrols.com/buildings/specialty-pages/product-security مراجعه کنید یا یک ایمیل به productsecurity@jci.com ارسال کنید

خدمات و پشتیبانی جانسون کنترل: https://www.johnsoncontrols.com/buildings/hvac-controls

کانال @ics_cert توصیه می کند که کاربران اقدامات دفاعی را برای به حداقل رساندن خطر بهره برداری از این آسیب پذیری توصیه کنند. به طور خاص، کاربران باید:

1️⃣ به حداقل رساندن قرار گرفتن در معرض شبکه برای تمام دستگاه های سیستم کنترل و / یا سیستم ها و اطمینان از قطع دسترسی آنها از اینترنت.
2️⃣ شبکه های کنترل سیستم و دستگاه های راه دور را در فایروال قرار دهید و آنها را از شبکه کسب و کار جدا کنید.
3️⃣ هنگامی که دسترسی از راه دور مورد نیاز است، از روش های امن مانند شبکه های مجازی خصوصی (VPNs) استفاده کنید، شناسایی کنید که VPN ها ممکن است آسیب پذیری داشته باشند و باید به آخرین نسخه موجود به روز شوند.
کانال @ics_cert به سازمانها توصیه می کند تا قبل از اعمال تدابیر دفاعی، تجزیه و تحلیل مناسب و ارزیابی خطر را انجام دهند.

کانال @ics_cert همچنین یک قسمت از توصیه های امنیتی سیستم های کنترل را در صفحه وب ICS_CERT فراهم می کند. چندین توصیه ارایه شده برای خواندن و دانلود، از جمله ارتقاء سیستم های کنترل صنعتی امنیت سایبری با استراتژی های دفاع در عمق موجود است.
دستورالعمل های اضافی و شیوه های توصیه شده به طور عمومی در کانال @ics_cert در مقاله فنی راهکارهای تشخیص و مداخله در مورد کاهش نفوذ Cyber ​​به طور قابل توجهی در دسترس است.

🛑سازمانهایی که هرگونه فعالیت مخرب مظنون را مشاهده می کنند باید از روش های داخلی خود پیروی کنند و یافته های خود را به کانال @ics_cert برای ردیابی و همبستگی با سایر حوادث گزارش دهند.

🔅هیچ سوء استفاده عمومی شناخته شده به طور خاص این آسیب پذیری ها را هدف قرار نمی دهد. این آسیب پذیری ها از راه دور قابل بهره برداری نیستند.

👮‍♀️👮‍♀️ بازنشر مطالب این کانال صرفا با ذکر منبع و آدرس کامل کانال مجاز میباشد.

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert
Forwarded from IACS (Pedram Kiani)
🚨 کشف آسیب پذیری در تجهیزات مانیتوریگ پزشکی Dräger Infinity Delta

1. خلاصه :
توجه: سطح مهارت پایین برای بهره برداری
فروشنده: Dräger
تجهیزات: Dräger Infinity Delta
آسیب پذیری: معتبر بودن ورودی نامناسب، افشای اطلاعات از طریق فایل های ورودی، مدیریت مجاز نامناسب

2. ارزیابی خطر

بهره برداری موفق از این آسیب پذیری ها می تواند منجر به افشای اطلاعات از logs دستگاه، انکار سرویس از طریق راه اندازی مجدد دستگاه از مانیتور بیمار و افزایش امتیاز شود.

3. مشخصات فنی

3.1 محصولات آسیب پذیر

نسخه های زیر دستگاه های مراقبت از بیماران Dräger دستگاه های پزشکی تحت تاثیر قرار می گیرند:

الف- Dräger Infinity Delta، تمام نسخه ها
ب- Delta XL، تمام نسخه ها
پ- Kappa، تمام نسخه، و
ت- Infinity Explorer C700، تمام نسخه ها.

3.2 مرور کلی

3.2.1 تایید ورودی IMPROPER CWE-20

یک بسته شبکه ی ناقص ممکن است مانیتور را مجددا راه اندازی کند. با ارسال مکرر بسته ی شبکه ی ناقص، مهاجم ممکن است بتواند مانع از نظارت بر بیمار شود، چرا که مانیتور را به طور مکرر راه اندازی مجدد می کند تا زمانی که به تنظیمات پیش فرض بازگردد و اتصال شبکه را قطع کند.

3.2.2 محدوده اطلاعات از طریق پرونده های ورود به سیستم CWE-532

فایل های ورودی بر روی یک اتصال شبکه نامعتبر قابل دسترسی هستند. با دسترسی به فایل های log، مهاجم می تواند بینش های مربوط به درون مانیتور بیمار، محل مانیتور و پیکربندی شبکه سیمی را بدست آورد.

3.2.3 مديريت مجاز مقتضي CWE-269

از طریق یک دیالوگ خاص می توان از حالت کیوسک خارج شد و به سیستم عامل پایه رسید. با شکستن از حالت کیوسک، مهاجم قادر به کنترل سیستم عامل است.

3.3 نقاط آسیب پذیر:

⚠️ بخش های بحرانی INFASTRUCTURE: بهداشت و درمان و بهداشت عمومی
⚠️ کشور / منطقه مورد تخریب: در سراسر جهان
⚠️ محل شرکت کشف: آلمان

3.4 پژوهشگر

مارک روف و روکو گالیاری، از scip AG، این آسیب پذیری ها را گزارش کردند.

4. نحوه رفع مشکل:
شرکت Dräger رفع این آسیب پذیری ها را در دسامبر 2018 منتشر کرد. کاربران می توانند نسخه های نرم افزاری Delta / Infinity Explorer VF10.1 را از طریق Dräger ServiceConnect برای اجزای آسیب دیده پیدا کنند.

شرکت Dräger بیشتر توصیه می کند:

1️⃣ به کاربران بررسی پیکربندی تقسیم بندی شبکه توصیه می شود. شبکه Dräger Infinity به صورت منطقی یا دستگاهی جدا از شبکه بیمارستان است.
2️⃣ به کاربران توصیه می شود سطح وصله ویندوز خود را از Infinity Explorer بررسی کنند. نرم افزار Infinity Delta توسط Dräger به صورت ماهانه تأیید شده است که سازگار با تمامی آخرین وصله های سیستم عامل مایکروسافت است. کاربران می توانند گزارش تست را از طریق نمایندگی فروش محلی خود دریافت کنند.

برای گزارش حوادث و آسیب پذیری های بالقوه در دستگاه های Dräger، لطفا به https://static.draeger.com/security مراجعه کنید تا به طور مستقیم با تیم امنیت محصولات ارتباط برقرار کنید.

برای کسب اطلاعات بیشتر در مورد این آسیب پذیری ها و به روز رسانی نرم افزار مربوطه، لطفا مشاوره امنیتی محصول Dräger 201802 را در لینک زیر مشاهده نمایید:

https://static.draeger.com/security

کانال @ics_cert توصیه می کند که کاربران اقدامات دفاعی را برای به حداقل رساندن خطر بهره برداری از این آسیب پذیری توصیه کنند. به طور خاص، کاربران باید:

1️⃣ به حداقل رساندن قرار گرفتن در معرض شبکه برای تمام دستگاه های سیستم کنترل و / یا سیستم ها و اطمینان از قطع دسترسی آنها از اینترنت.
2️⃣ شبکه های کنترل سیستم و دستگاه های راه دور را در فایروال قرار دهید و آنها را از شبکه کسب و کار جدا کنید.
3️⃣ هنگامی که دسترسی از راه دور مورد نیاز است، از روش های امن مانند شبکه های مجازی خصوصی (VPNs) استفاده کنید، شناسایی کنید که VPN ها ممکن است آسیب پذیری داشته باشند و باید به آخرین نسخه موجود به روز شوند.
کانال @ics_cert به سازمانها توصیه می کند تا قبل از اعمال تدابیر دفاعی، تجزیه و تحلیل مناسب و ارزیابی خطر را انجام دهند.

🔅هیچ سوء استفاده عمومی شناخته شده به طور خاص این آسیب پذیری ها را هدف قرار نمی دهد. این آسیب پذیری ها از راه دور قابل بهره برداری نیستند.

👮‍♀️👮‍♀️ بازنشر مطالب این کانال صرفا با ذکر منبع و آدرس کامل کانال مجاز میباشد.

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert
نفوذ یک آهو به دیتاسنتر
👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
ببینید:
اینها دانش‌آموزان نیوزلندی هستند که در مراسم بازنشستگی معلمشون، دارند ازش خداحافظی می‌کنند
https://www.youtube.com/watch?v=MFGort3K9W8

‏رقص هاكا مال بومي هاي نيوزلنده (مائويي ها)
‏يه سنت قديمي كه پيش از شكار براي افزايش هيجان استفاده ميشده الانم گاهي تو مسابقات ورزشي استفاده ميكنن

👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
مارک زاکربرگ: واتس آپ، فیسبوک و اینتساگرام ادغام می شوند
فیسبوک قصد دارد تا خدمات پیام رسان را در واتس‌اپ، اینستاگرام و مسنجر فیسبوک را در هم ادغام کند.
به گزارش روزنامه نیویورک تایمز، بر اساس این گزارش در حالیکه اپلیکیشین‌های هر کدام جدا خواهد بود، اما پیام‌ها در واتس اپ، اینستاگرام و فیسبوک مسنجر می‌تواند در سرویس‌های مختلف رد و بدل شود.

به گفته منابع با برنامه های مدیریت شرکت، خدمات پیام رسانی از سه زیرساخت شبکه های اجتماعی تشکیل خواهد شد تا به عنوان برنامه های جداگانه نصب گردند. روند ادغام خدمات پیام رسانی تا پایان سال جاری یا اوایل 2020 به پایان می رسد. این روش، علاوه بر افزایش مخاطبان، به شرکت اجازه می دهد تا کسب و کار تبلیغاتی را توسعه دهد.
در این سرویس جدید، اگر کسی واتس اپ ندارد، پیام را از طریق اینستاگرام یا مسنجر فیسبوک خود دریافت خواهد کرد. این طرح بوسیله شخص مارک زاکربرگ، مدیرعامل و بنیانگذار فیس‌بوک دنبال می‌شود.

👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
Forwarded from IACS (Pedram Kiani)
✔️ تی‌شرت #استاکس‌نت، با عنوان «تور وداع» توسط نمایندگان شرکت اسرائیلی Cybereason وابسته به ارتش اسرائیل در دفکان امسال پوشیده شده بود.
به نام شهرها و تاریخ‌ها توجه کنید

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert
🔴 استینیس : عدم نگرانی بانک ها نسبت به ارزهای دیجیتال

به گفته هو ون استینیس مشاور ارشد بانک انگلستان، بانک‌ها هیچ نگرانی نسبت به ارزهای رمزنگاری‌شده ندارند چون این ارزها هیچ ارزشی ندارند و در اساسی‌ترین آزمایشات مربوط به سرویس‌های مالی هم شکست خوردند. به عبارتی او هیچ نگرانی نسبت به بیت‌کوین ندارد.

استینیس گفت: «این ارزها، واحدهای مناسبی برای تبادل به حساب نمی‌آیند. آنها هیچ ارزشی ذخیره نمی‌کنند و بسیار کند هستند.»

می‌توان گفت که نگرش تحقیرآمیز استینیس نسبت به بیت‌کوین درواقع بازتابی از نظرات ضدرمزنگاری‌شده تحلیلگر مالی، گری شیلینگ است. به گزارشی از CCN، شرکت سرمایه‌گذاری شیلینگ هم بیت‌کوین را یک طرح پونزی می‌داند.

به عقیده شیلینگ، از آنجایی که بیت‌کوین ابزار ذخیره ارزش و انجام مبادله نیست به همین دلیل نمی‌توان به آن به چشم ارز نگاه کرد.

وقتی این سوال پرسیده شد که آیا بیت‌کوین قدرت ماندن دارد یا نه، هو ون استینیس تایید کرد که موسسات مالی همیشه درباره حفظ مزایای رقابتی و سهم بازارشان هشیار هستند. اما در حال حاضر او اعتقادی ندارد که بیت‌کوین یا دیگر ارزهای رمزنگاری‌شده چالش اساسی برای حکمرانی و سلطنت بانک‌های بزرگ ایجاد کنند.

ون استینیس با اشاره به این موضوع که بانک‌های سنتی در تلاش‌اند تا تهدیدهای موجود از سمت پلتفرم‌های جدید فناوری یا همان فین‌تک‌ها را رد کنند می‌گوید: «ارزهای رمزنگاری‌شده در صدر مواردی که موجب نگرانی من است قرار ندارند.»

دغدغه اصلی ون استینیس اطمینان حاصل کردن از این موضوع است که انگلستان طی پنج تا ۱۰ سال آینده به مرکز پرچنب‌وجوشی برای فین‌تک بدل شود.

در این بین، مارک گارنی، مدیر بانک انگلستان ماه مارس ۲۰۱۸ در بیانیه‌ای اعلام کرد که صنعت ارزهای رمزنگاری‌شده تهدیدی برای ثبات و پایداری اقتصاد جهانی محسوب نمی‌شود و بیانیه‌اش را به وزرای دارایی G20 و مدیران بانک‌های مرکزی نیز ارسال کرد.

بلومبرگ فارسی✔️

https://www.bloomberg.com/news/articles/2019-01-21/cryptocurrencies-fail-fundamental-tests-boe-s-van-steenis-says
👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
درآمد میلیون دلاری فیس‌بوک از طریق کودکان
فیس‌بوک در طی حدود 6 سال بیش از 28 میلیون دلار از طریق فروش بازی کسب درآمد نموده است.
به گزارش Variety، از 23 فوریه 2008 تا 25 ژوئن 2014 ، فیس‌بوک بیش از 28 میلیون دلار را از طریق 13 میلیون انتقال پولی که کودکان با استفاده از کارت های بانکی والدین خود انجام داده‌اند، دریافت کرده است.
والدین در سال 2012 از این شبکه اجتماعی شکایت کردند و خواستار ایجاد محدودیت در خرید بازی ها شدند. با این حال، فیس‌بوک، به منظور از دست ندادن سود خود، چندین سال بعد اقدام به ایجاد روشی برای کنترل در خرید توسط کاربران کرد.
با این حال، پس از محاکمه‌ای که در سال 2016 به پایان رسید، فیس‌بوک ملزم بازگرداندن وجوه دریافت شده به کودکان شاکی شد.
👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
پیش‌بینی پست‌های آینده از طریق دوستان کاربر
دانشمندان سایبری می‌گویند حتی در صورت آنلاین نبودن هم فهمیدن اینکه کاربر قصد انتشار چه پستی را روی شبکه اجتماعی دارد از طریق پست‌های ارسالی دوستان وی کار دشواری نیست.

محققان حتی اگر آف باشید هم می‌توانند بفهمند شما چه پستی را روی شبکه اجتماعی منتشر خواهیدکرد.

این پیش‌گویی ۹۵ درصد درست از آب درمی‌آید حتی اگر کاربر موردنظر اکانتی هم نداشته‌باشد.

از روی اکانت دوست شما و آنالیز مطالبی که دوست شما روی شبکه اجتماعی پست کرده، می‌توان عقاید و ایده‌های شما را حدس زد. درواقع حریم خصوصی شما روی شبکه‌های اجتماعی از روی پست‌های دوست شما نقض می‌شود و این کاری است پیچیده که شبکه‌های اجتماعی مانند توئیتر می‌توانند آن را انجام دهند.

محققان دانشگاه ورمونت و دانشگاه آدلاید می‌گویند روی شبکه‌های اجتماعی می‌توان از روی دوستان پیش‌بینی کرد چه مطلبی پست خواهدشد و پست مذکور تا ۹۵ درصد هم درست از آب درمی‌آید.

تمام اطلاعات موردنیاز از روی اکانت یک دوست استخراج‌شده و پست‌ها به‌صورت آینه تصویری کاربر به ۱۰ دوست نزدیک به کاربر تعمیم داده‌می‌شود.

نتیجه تحقیق مذکور در مجله Nature Human Behavior منتشرشده که از روی آنالیز ۳۰.۸ میلیون توئیت از ۱۳۹۰۵ هزار اکانت استخراج و با استفاده از یادگیری ماشین آنالیز شده‌است.

جیم باگرو از دانشگاه ورمونت می‌گوید: حتی اگر سعی کنید حریم خصوصی خود را نگه‌داشته و از شبکه‌های اجتماعی به دور باشید، دوستان‌تان این حریم را به‌طور غیرمستقیم نقض کرده و از روی فهرست دوستان نزدیک می‌توان فهمید چه کسی چه ایده و عقیده‌ای دارد.
مرجع : خبرآنلاین
👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
Forwarded from IACS (Pedram Kiani)
🚨 کشف آسیب پذیری در تجهیزات PHOENIX CONTACT FL SWITCH

1. خلاصه
☣️ توجه: بهره وری از راه دور / سطح مهارت پایین برای بهره برداری
☣️ فروشنده: PHOENIX CONTACT
☣️ تجهیزات: FL SWITCH
☣️ آسیب پذیری: جعل تقاضای Cross-site، محدودیت نامناسب تلاش های احراز هویت بیش از حد، انتقال Cleartext از اطلاعات حساس، Resource Exhaustion، مقصد غلط تعیین شده در یک کانال ارتباطی، ذخیره سازی نامناسب اطلاعات حساس و Corruption حافظه

2. ارزیابی خطر

بهره برداری موفق از این آسیب پذیری ها ممکن است اجازه دهد که مهاجمان دارای امتیازات کاربر، دسترسی به سوئیچ، دسترسی به اعتبار کاربر، دسترسی به سوئیچ یا انجام حملات میان محور در میان باشند.

3. مشخصات فنی
3.1 محصولات آسیب دیده

گزارش های Phoenix Contact گزارش می دهد که آسیب پذیری ها بر محصولات زیر تاثیر می گذارد:

FL SWITCH 3xxx, 4xxx and 48xx versions prior to Version 1.35.
3.2 مرور کلی

3.2.1 تقاضای تقاضای CROSS-SITE

این آسیب پذیری ممکن است به یک مهاجم به فریب مرورگر وب در ارسال دستورات ناخواسته اجازه دهد.

3.2.2 محدودیت نامناسب تلاش های احراز هویت بیش از حد

این سوئیچ دارای یک زمان ورود به سیستم برای جلوگیری از حدس زدن خودکار نام کاربری و رمز عبور خودکار با سرعت بالا است. یک مهاجم ممکن است با استفاده از روش brute forcing به نام کاربری و کلمه عبور دست یابد.

3.2.3 انتقال CLEARTEXT اطلاعات حساس CWE-319

تنظیمات پیش فرض UI وب (HTTP) اجازه می دهد که اعتبار کاربر رمزگذاری نشده باشد.

3.2.4 مصرف منابع منحصربفرد (خروج منابع) CWE-400

مهاجم می تواند یک حمله انکار سرویس وب را با تولید تعداد زیادی از اتصالات UI وب انجام دهد.

3.2.5 ذخیره سازی INSECURE اطلاعات حساس CWE-922

مهاجم ممکن است کلید خصوصی پیش فرض سوئیچ از تصویر سیستم عامل خود را استخراج کند.

3.2.6 محدودیت قابل ملاحظه عملیات در محدوده BUFFER MEMORY (CORRUPTION MEMORY) CWE-119

اشتباهات بافر در کتابخانه امنیتی موجود سوئیچ ممکن است شرایط منع سرویس را اجازه دهد.

3.3 نقاط آسیب پذیر:

⚠️ بخش های بحرانی INFRASTRUCTURE: ارتباطات، کارخانجات حیاتی و حساس، فناوری اطلاعات
⚠️ کشور / منطقه مورد تخریب: در سراسر جهان
⚠️ محل شرکت کشف: آلمان

4. نحوه رفع مشکل:
شرکت Phoenix Contact توصیه می کند که کاربران دستگاه های FL SWITCH با نسخه های سیستم عامل دارای آسیب پذیری سیستم عامل را به نسخه 1.35 و بالاتر ارتقاء دهند. نرم افزار به روزرسانی شده میتواند از صفحه سوئیچ مدیریت شده در وب سایت Phoenix Contact دانلود شود. لطفا CERT VDE مشاوره برای این آسیب پذیری ها را برای محل دانلود نرم افزار جدید برای هر محصول خاص مشاهده کنید : https://cert.vde.com/de-de/advisories/vde-2019-001

شرکت Phoenix Contact همچنین توصیه می کند که کاربران با استفاده از اتصالات Phoenix Contact کنترل شده FL SWITCH امنیت HTTP را فعال کنند.
کانال @ics_cert توصیه می کند که کاربران اقدامات دفاعی را برای به حداقل رساندن خطر بهره برداری از این آسیب پذیری توصیه کنند. به طور خاص، کاربران باید:

1️⃣ به حداقل رساندن قرار گرفتن در معرض شبکه برای تمام دستگاه های سیستم کنترل و / یا سیستم ها و اطمینان از قطع دسترسی آنها از اینترنت.
2️⃣ شبکه های کنترل سیستم و دستگاه های راه دور را در فایروال قرار دهید و آنها را از شبکه کسب و کار جدا کنید.
3️⃣ هنگامی که دسترسی از راه دور مورد نیاز است، از روش های امن مانند شبکه های مجازی خصوصی (VPNs) استفاده کنید، شناسایی کنید که VPN ها ممکن است آسیب پذیری داشته باشند و باید به آخرین نسخه موجود به روز شوند.
کانال @ics_cert به سازمانها توصیه می کند تا قبل از اعمال تدابیر دفاعی، تجزیه و تحلیل مناسب و ارزیابی خطر را انجام دهند.

🛑سازمانهایی که هرگونه فعالیت مخرب مظنون را مشاهده می کنند باید از روش های داخلی خود پیروی کنند و یافته های خود را به کانال @ics_cert برای ردیابی و همبستگی با سایر حوادث گزارش دهند.

🔅هیچ سوء استفاده عمومی شناخته شده به طور خاص این آسیب پذیری ها را هدف قرار نمی دهد. این آسیب پذیری ها از راه دور قابل بهره برداری نیستند.

👮‍♀️👮‍♀️ بازنشر مطالب این کانال صرفا با ذکر منبع و آدرس کامل کانال مجاز میباشد.
🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert
Forwarded from IACS (Pedram Kiani)
🚨 کشف آسیب پذیری در تجهیزات Advantech WebAccess / SCADA

1. خلاصه

☣️ توجه: بهره وری از راه دور / سطح مهارت پایین برای بهره برداری
☣️ فروشنده: Advantech
☣️ تجهیزات: WebAccess / SCADA
☣️ آسیب پذیری: احراز هویت نامناسب، دور زدن احراز هویت، تزریق SQL

2. ارزیابی خطر

استفاده موفقیت آمیز از این آسیب پذیری ها ممکن است به مهاجم اجازه داده شود تا اطلاعات حساس دسترسی پیدا کند و دستکاری کند.

3. مشخصات فنی

3.1 محصولات آسیب دیده

نسخه های زیر از WebAccess / SCADA، یک پلت فرم نرم افزاری SCADA، تحت تاثیر قرار می گیرند:

WebAccess / SCADA نسخه 8.3

3.2 مرور کلی
3.2.1 گواهینامه IMPROPER CWE-287

یک آسیب پذیری احراز هویت نامناسب وجود دارد که می تواند اجازه عبور از طریق احراز هویت ممکن را برای مهاجم فراهم کند تا اطلاعات مخرب را بارگذاری کند.

3.2.2 ردیابی مجوز با استفاده از مسیر یا کانال جایگزین CWE-288

درخواست های ویژه ساخته شده می تواند اجازه عبور از طریق احراز هویت را فراهم کند که می تواند به مهاجم اجازه داده شود اطلاعات حساس را دستکاری کند.

3.2.3 ناکارآمدی مؤثر عناصر خاصی که در یک دستور SQL («تزریق SQL») استفاده شده است CWE-89

این نرم افزار ورودی های خود را برای دستورات SQL درست نمی کند.

3.3 نقاط آسیب پذیر:

⚠️ بخش های بحرانی : کارخانجات حیاتی و حساس، انرژی، آب و فاضلاب
⚠️ کشور / منطقه مورد تخریب: شرق آسیا، ایالات متحده، اروپا
⚠️ محل شرکت کشف: تایوان

3.4 پژوهشگر

آقای Devesh Logendran از Attila Cybertech Pte. Ltd. این آسیب پذیری ها را به گزارش کرد.

4. نحوه رفع مشکل:

شرکت Advantech نسخه 8.3.5 از WebAccess / SCADA را برای رفع آسیب پذیری های گزارش شده منتشر کرده است. کاربران می توانند آخرین نسخه WebAccess / SCADA را در محل زیر دانلود کنید (ثبت نام لازم است):

https://support.advantech.com/support/DownloadSRDetail_New.aspx؟SR_ID=1-MS9MJV&Doc_Source=Download


کانال @ics_cert توصیه می کند که کاربران اقدامات دفاعی را برای به حداقل رساندن خطر بهره برداری از این آسیب پذیری توصیه کنند. به طور خاص، کاربران باید:

1️⃣ به حداقل رساندن قرار گرفتن در معرض شبکه برای تمام دستگاه های سیستم کنترل و / یا سیستم ها و اطمینان از قطع دسترسی آنها از اینترنت.
2️⃣ شبکه های کنترل سیستم و دستگاه های راه دور را در فایروال قرار دهید و آنها را از شبکه کسب و کار جدا کنید.
3️⃣ هنگامی که دسترسی از راه دور مورد نیاز است، از روش های امن مانند شبکه های مجازی خصوصی (VPNs) استفاده کنید، شناسایی کنید که VPN ها ممکن است آسیب پذیری داشته باشند و باید به آخرین نسخه موجود به روز شوند.
کانال @ics_cert به سازمانها توصیه می کند تا قبل از اعمال تدابیر دفاعی، تجزیه و تحلیل مناسب و ارزیابی خطر را انجام دهند.

🔅هیچ سوء استفاده عمومی شناخته شده به طور خاص این آسیب پذیری ها را هدف قرار نمی دهد. این آسیب پذیری ها از راه دور قابل بهره برداری نیستند.

👮‍♀️👮‍♀️ بازنشر مطالب این کانال صرفا با ذکر منبع و آدرس کامل کانال مجاز میباشد.

🏭کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
https://t.me/ics_cert
#سرقت تلفن همراه از طریق سایت #دیوار

🔸 معاون مبارزه با سرقت های خاص پلیس آگاهی تهران بزرگ، از دستگیری سارقی خبر داد که به عنوان خریدار با کسانی که گوشی های تلفن همراه گران قیمت خود را برای فروش در سایت دیوار آگهی می کردند، قرار گذاشت.

🔸 در بررسی اظهارات شکات و مالباختگان مشخص شد که سارق، مالباختگان را از طریق سایت دیوار شناسایی و انتخاب کرده و در ادامه با آنها به بهانه خرید گوشی تلفن همره قرار ملاقات می گذاشت و پس از حاضر شدن در محل، به بهانه اینکه پول را از طریق گوشی همراه واریز کرده، از فروشنده درخواست می کرد تا موجودی حساب خود را چک کند و یا اگر گوشی مورد معامله دارای کارتن نبود فروشنده را به دنبال آوردن کارتن می فرستاد و به محض دور شدن مالباختگان، با خودرو از محل متواری می شد.
👨🏻‍🎓👩🏻‍🎓کتاس آمادگی‌نشر نظرات و دیدگاه‌های شما را دارد
🦁«کتاس»
http://t.me/ict_security
باج افزار جدید و وحشتناک در ژاپن
ارسال نامه های تهدید آمیز حاوی سیانور به 9 شرکت ژاپنی

یک مقام پلیس ژاپن اعلام کرده است که این نامه‌ها تحت نام امضای "آئوم شینریکیو"، یک فرقه تبهکارانه که پشت حمله مرگبار با گاز سارین در سال 1995 در متروی توکیو بود، فرستاده شده‌اند.

این مقام بدون نام بردن از شرکت‌ها گفت: شرکت‌های بزرگ داروسازی و دیگر کمپانی‌ها نامه‌هایی با سخنان تهدید آمیز و ماده‌ای پودر مانند که مشکوک است سیانور باشد، دریافت کرده‌اند و از آنها خواسته شده تا 35 میلیون ون (31 هزار دلار) به صورت بیتکوین پرداخت کنند.

در این نامه‌ها نوشته شده است: "من داروهای تقلبی حاوی پتاسیم سیانور خواهم ساخت و آنها را پخش می‌کنم." بر طبق گفته این مقام پلیس اگر پول تا تاریخ 22 فوریه به آنها انتقال داده نشود "یک تراژدی" به وقوع می‌پوندد.
بر طبق گزارش رسانه‌های ژاپن نامه‌های دریافت شده شامل نام "شوکو آساهارا" رهبر فرقه مربوطه می‌شود که همراه 12 همراه خود سال گذشته اعدام شدند.
بنابر گزارش روزنامه "آساهی شیمبون" پودر سفید نامه‌ها سیانور تشخیص داده شده است و نامه مشابهی نیز به دفتر مرکزی روزنامه ماینیچی شیمبون فرستاده شده است.
براساس گزارش جیجی پرس نامه‌های مشابهی ژانویه سال گذشته به کمپانی‌های داروسازی در اوساکا فرستاده شده بود.
🦁«کتاس»
http://t.me/ict_security
مقامات بریتانیا تهدید کرده اند که شبکه های اجتماعی را مسدود کنند

مت هانکاک، وزیر بهداشت بریتانیا اعلام کرد: پارلمان انگلیس می تواند شبکه های اجتماعی را در صورتی که آنها مشکل محتوای مضر را حل نکنند،مسدود کند.

مت هانکاک، وزیر بهداشت بریتانیا اعلام کرد که در شبکه های اجتماعی محبوب، تعداد زیادی فیلم و عکس هایی با محتوی خودکشی توزیع می شود، در حالی که سازمان خدمات دهنده شبکه اجتماعی نمی تواند به سرعت چنین محتواهایی را پاک کند.

وزیر افزود که اگر شبکه های اجتماعی همچنان دستورات مقامات را نادیده بگیرند، او هیچ گزینهای نخواهد داشت، مگر اینکه مشکل را در سطح قانونی حل کند.

وی گفت:"در آخر سر باید بگویم که مجلس چنین اختیاری را دارد، بله"و تاکید کرد: "دوست ندارم که کار به اینجا کشیده شود"

اظهارات هانکاک بعد از اینکه ایان راسل، شبکه های اجتماعی را در خودکشی دختر 14 ساله خود را در سال 2017 مقصر شناخت و متهم کرد، بیان شد. به گفته این وی، فرزندش محتواهای خودکشی و افسردگی را نگاه می کرد.
🦁«کتاس»
http://t.me/ict_security
خطر جدید گوشی های هوشمند مشخص شد
تیم بین المللی متشکل از دانشمندان متوجه خطرهای گوشی های هوشمند برای افراد شدند.

به گزارش مدیکال اکسپرس، تیم بین المللی متشکل از دانشمندان متوجه شدند کودکانی که گوشی های هوشمند دارند و از آنها قبل از خوابیدن استفاده می کنند این رفتار آنها باعث کمبود خواب در آنها شده و چاقی و اضطراب را در آنها افزایش می دهد.

کارشناسان داده های حاصل از مطالعه 6616 نوجوان 11-12 ساله را تجزیه و تحلیل کردند. بیش از 70 درصد کودکان گزارش دادند که آنها حداقل یک ساعت قبل از اینکه بخوابند از یک گوشی هوشمند یا دستگاه دیگری که صفحه نمایش دارد استفاده می کنند. در طی این نظرسنجی، آنها همچنین شرایط نور اتاقشان را در زمان استفاده و همچنین ساعتهای خواب و بیداری و اینکه آیا از مشکلات خواب رنج می برند را ذکر کردند.

معلوم شد که کسانی که از گوشی هوشمند استفاده کردند یا تلویزیون تماشا کرده اند در یک اتاق با چراغ روشن، 31 درصد دچار اختلال خواب بودند. کودکانی که در تاریکی همین کار را انجام داد، احتمال اختلالات خواب در آنها 147 درصد افزایش یافت. همچنین نشان داده شده است که کمبود خواب با کاهش ایمنی، افسردگی، اضطراب و چاقی همراه است.
#بهداشت_سایبری
🦁«کتاس»
http://t.me/ict_security
🔺پیش‌نویس سیاست‌نامه بانک مرکزی درباره #رمزارزهای جهانی و ملی منتشر شد

بانک مرکزی پس از ماه‌ها سکوت در خصوص رمزارزها، بالاخره یک پیش‌نویس از سیاست‌نامه خود درباره رمزارزها تحت عنوان «الزامات و ضوابط فعالیت در حوزه رمزارزها در کشور» را منتشر کرد.

سیاست‌نامه بانک مرکزی در بسیاری از موارد از جمله استخراج، توسعه کیف‌پول، فروش رمزارز از طریق صرافی‌ها دیدگاه‌های متعادلی داشته و در برخی از این موارد اساساً تلاش کرده تا خود را وارد حیطه سیاست‌ و قانون‌گذاری نکند. برای مثال در بخش اول این پیش‌نویس که مربوط به حوزه «رمزارزهای جهان‌روا» است، بانک مرکزی می‌گوید صدور و انتشار این نوع رمزارزها در اختیار وسعه دهندگان آنهاست و بانک مرکزی نیز نقش و مسئولیتی در این میان ندارد. یا در بخش دیگری اساساً بانک مرکزی به شکلی هوشمندانه می‌گوید مقررات‌گذاری در رابطه با استخراج رمزارزهای جهانی در حیطه وظایفش نیست، چون این کار تبدیل به یک صنعت شده است.

در بخش الزامات عرضه اولیه توکن (ICO)، بانک مرکزی توان قانون‌گذاری‌اش را به نمایش می‌کشد. از نظر بانک مرکزی توکن دارای پشتوانه به چهار دسته تقسیم می‌شود:

🔸توکن با پشتوانه ریال
🔸توکن با پشتوانه طلا و سایر فلزهای گران‌بها
🔸توکن با پشتوانه ارز
🔸توکن با پشتوانه سایر دارایی‌های مشهود و غیرمشهود

توکن با پشتوانه ریال که بیشترین تمرکز روی آن قرار داشته تنها در اختیار بانک مرکزی است و تنها در بانک‌های مجاز قابلیت تبادل دارد. از سوی دیگر بانک مرکزی می‌گوید که این توکن می‌تواند به عنوان ابزار پرداخت در کشور استفاده شود اما قابلیت استخراج ندارد.

بانک مرکزی همچنین می‌گوید ایجاد مقررات درباره انتشار توکن‌های بدون پشتوانه از حیطه وظایفش خارج بوده و تابع قوانین بورس کشور خواهد بود. در هر صورت اما استفاده از توکن با یا بدون پشتوانه به عنوان ابزار پرداخت در کشور ممنوع است.

در بخش دیگر این سیاست‌نامه در مورد «الزامات حوزه رمز ارز بانک مرکزی (ملی)» می‌خوانیم که انتشار این پول دیجیتالی تنها توسط بانک مرکزی مجاز بوده و تنها در بانک‌های مجاز قابل تبادل است. در حالی که توکن با یا بدون پشتوانه، اجازه استفاده به عنوان ابزار پرداخت ندارد، رمزارز ملی می‌تواند به عنوان ابزار پرداخت در کشور استفاده شود.

بانک مرکزی در بخش دیگری از این سیاست‌نامه که در خصوص عملکرد صرافی‌ها است، اعلام می‌کند که این بانک هیچ تضمینی در خصوص تایید اصالت رمزارزها ارائه نمی‌دهد. از سوی دیگر بانک مرکزی یادآور می‌شود که مدیریت و ثبات قیمت رمزارزها را نیز برعهده ندارد و هیچ مکانیزمی در این زمینه نخواهد داشت.

بانک مرکزی با ذکر این نکته که تمام ریسک‌ها در این رابطه بر عهده سرمایه‌گذاران است، خبر می‌دهد که صرافی‌های مجاز دارای مجوز از بانک مرکزی پس از احراز شرایطی که در آینده مشخص خواهد شد، مجاز به ارائه خدمات صرافی رمز ارزی خواهند شد. همچنین سقف تبادل رمزارزها در صرافی‌ها تابع مقررات عمومی ارزی کشور خواهد بود. صرافی‌ها ملزم به رعایت قوانین مبارزه با پولشویی و شناسایی مشتریان (KYC) شده‌اند.

بانک مرکزی همچنین در خصوص کیف پول رمز ارز در سیاست‌نامه‌اش می‌نویسد که کارکرد کیف پول رمزارزی تنها محدود به ذخیره و انتقال رمزارز خواهد بود و تعبیه راهکارهای خرید کالا یا خدمات و ارائه خدمات ارزش افزوده در داخل کشور با استفاده از رمزارزها در کیف‌پول‌های رمزارزی ممنوع است.

بانک مرکزی در این سیاست‌نامه اعلام می‌کند که مسئولیتی در خصوص قانون‌گذاری درباره استخراج (Mining) رمزارزهای جهانی ندارد: «با توجه به رصد انجام شده در حوزه استخراج رمزارزها و تاثیرات فعلی آن در نظام پولی و بانکی کشور، در حال حاضر استخراج رمزارزها در کشور به عنوان یک صنعت در نظر گرفته شده است، لذا مقررات‌گذاری در این حوزه از حیطه وظایف و نظارت بانک مرکزی خارج است.»

🔹دانلود پیش نویس سیاست‌نامه بانک مرکزی در خصوص رمز ارزها 👇🏻

https://cbi.ir/page/18799.aspx
🦁«کتاس»
http://t.me/ict_security
شتاب اپل برای رفع حفره 'استراق سمع' آیفون

🔻شرکت اپل به وجود ایرادی در نرم افزار "فیس تایم" اذعان کرده که اجازه استراق سمع مختصر، حتی در صورتی که دریافت کننده تماس به آن جواب نداده باشد را می دهد.

🔻در برخی موارد دوربین تلفنی که با آن تماس گرفته شده بدون آگاهی صاحب گوشی روشن می شود.

🔻این شرکت گفت که وصله لازم برای پر کردن این حفره امنیتی را آماده کرده است که به زودی در طول هفته جاری در دسترس قرار خواهد گرفت.

https://bbc.in/2DHaQGh
🦁«کتاس»
http://t.me/ict_security