Для «червеподобной» уязвимости в Windows разработаны эксплоиты

Уязвимость можно проэксплуатировать для удаленного выполнения кода.

На минувшей неделе компания Microsoft выпустила патч, устраняющий уязвимость CVE-2019-0708 (получила название BlueKeep), предоставляющую возможность осуществить атаки наподобие эпидемии WannaCry, от которой в 2017 году пострадали сотни тысяч компьютеров по всему миру. Баг затрагивает службы удаленного рабочего стола (Remote Desktop Services), ранее известные как службы терминалов (Terminal Services). Хотя в компании не зафиксировали атак с использованием данной уязвимости, ряд ИБ-экспертов уже подтвердили, что ее можно проэксплуатировать для удаленного выполнения кода, и разработали соответствующие PoC-эксплоиты.

В частности, данный факт подтвердил основатель специализирующейся на купле-продаже эксплоитов компании Zerodium Чауки Бекрар (Chaouki Bekrar). По его словам, уязвимость работает удаленно без авторизации и позволяет повысить привилегии на уязвимых платформах Windows Server 2008, Window 7, Windows 2003 и XP.

О создании рабочего PoC-кода заявил исследователь безопасности под псевдонимом Valthek, хотя он не предоставил подробностей о своем эксплоите. Работоспособность кода подтвердил специалист McAfee Кристиаан Бек (Christiaan Beek). Не вдаваясь в технические нюансы, Бек отметил, что PoC позволил добиться удаленного выполнения кода на Windows XP. По его словам, уязвимость связана с протоколом удаленного рабочего стола (RDP), поэтому пользователям рекомендуется отключить протокол, если он не нужен, и установить патч.

Как подчеркнули специалисты Microsoft, существует высокая вероятность, что злоумышленники разработают рабочий эксплоит для данной уязвимости и добавят его в свое вредоносное ПО. В этой связи пользователям настоятельно рекомендуется установить патч.

Источник: https://www.securitylab.ru/news/499161.php

Вышла новая версия ПО для подбора паролей John the Ripper

Релиз новой версии 1.9.0-jumbo-1 состоялся спустя более четырех лет с момента выхода предыдущей 1.8.0-jumbo-1.

На прошлой неделе вышла новая версия бесплатного ПО для подбора паролей John the Ripper 1.9.0-jumbo-1 с открытым исходным кодом. Релиз новой версии состоялся спустя более четырех лет с момента выхода предыдущей (1.8.0-jumbo-1). За это время порядка 80 разработчиков внесли в код John the Ripper свыше 6 тыс. изменений или так называемых git commits.

Одним из главных нововведений стала реализация поддержки программируемой пользователем вентильной матрицы (FPGA). Для плат ZTEX 1.15y с четырьмя чипами FPGA были реализованы 7 типов криптографических хеш-функций: bcrypt, descrypt (в том числе расширение bigcrypt), sha512crypt, sha256crypt, md5crypt (в том числе Apache apr1 и AIX smd5), Drupal7 и phpass.

Благодаря реализации режима "--mask" и функции сравнения вычисленных хешей с загруженными на стороне FPGA работа программы была существенно ускорена.

В новой версии John the Ripper разработчики отказались от архитектуры CUDA из-за снижения интереса к ней и сосредоточились на более портативном фреймворке OpenCL, отлично работающем на видеокартах NVIDIA. В отличие от 1.8.0-jumbo-1, где используется 47 форматов OpenCL, в новой версии используется 88 форматов. В общей сложности в 1.9.0-jumbo-1 было добавлено 47 новых форматов OpenCL и удалено 6 старых.

В новой версии также появилось 80 новых форматов ЦП и было удалено 12 старых. Теперь в ней насчитывается 407 форматов. Для сравнения – в 1.8.0-jumbo-1 их было только 194.

В 1.9.0-jumbo-1 были реализованы многочисленные оптимизации для ЦП и OpenCL, в том числе с целью повышения эффективности одновременной работы с большим количеством хешей и скорости их вычисления. Некоторые оптимизации являются универсальными, а некоторые касаются различных или только некоторых форматов.

Источник: https://www.securitylab.ru/news/499175.php

Опубликована очередная порция эксплоитов для уязвимостей в Windows и IE

SandboxEscaper пообещала в ближайшем будущем опубликовать еще два эксплоита.

Всего спустя день после публикации PoC-кода для эксплуатации бага в планировщике задач Windows специалист по безопасности, использующая псевдоним SandboxEscaper, обнародовала еще два полностью рабочих эксплоита: первый для уязвимости в Службе регистрации ошибок Windows, второй - для бага в браузере Internet Explorer 11.

Уязвимость в Службе регистрации ошибок Windows, получившая название AngryPolarBearBug2, может быть проэксплуатирована через DACL (Discretionary Access Control List, список избирательного управления доступом). Данный баг достаточно сложно использовать, но при удачной атаке он позволяет получить возможность редактировать файлы, которые обычно пользователь с низкими правами не может изменять.

Вторая уязвимость содержится в браузере Internet Explorer 11. Согласно описанию, злоумышленник может воспользоваться этим багом для внедрения вредоносного кода в IE. Эксплоит не предоставляет возможность удаленной эксплуатации, однако может использоваться для блокировки функций защиты браузера.

SandboxEscaper пообещала в ближайшем будущем опубликовать еще два эксплоита, но не пояснила, о каких продуктах Microsoft идет речь.

Источник: https://www.securitylab.ru/news/499189.php

«Цитаты Михаила Тарасова. Vol.1.0»

«Мои мысли в чистом виде.»

В данном сборнике представлены цитаты, которые были придуманы мной, в результате мыслительной деятельности, опыта и логических выводов.

Они содержат смысл в самых разных тематиках, таких как бизнес, жизнь, медитации, программирование, хакинг. Эти темы актуальны для меня, и я формирую свою точку зрения, касательно их.
Мне приходят в голову разные мысли, и я их фиксирую в короткое
логическое выражение, чтобы было понятно обычному человеку. Как
правило это происходит во второй половине дня.

Они постоянно пополняются, так как я развиваюсь и приобретаю опыт,
узнаю что-то новое и открываю для себя что-то неизведанное.
Всего в этом сборнике представлена 51 цитата, по состоянию на 25 мая
2019 года.

Вы можете соглашаться со мной, а можете нет. Это лишь моя точка зрения, жизненные наблюдения и опыт в тех или иных сферах.

Надеюсь этим коротким изданием, я поменяю Ваше мышление,
мировоззрение, относительно некоторых вопросов.
Искренне Ваш, Михаил Тарасов

ИБ-эксперт опубликовала обещанные эксплоиты для уязвимостей в Windows

За последние три дня SandboxEscaper уже обнародовала три эксплоита.

Независимая ИБ-исследовательница, известная в Сети под псевдонимом SandboxEscaper, продолжает публиковать эксплоиты для еще неисправленных уязвимостей в Windows. За последние три дня SandboxEscaper уже обнародовала три эксплоита и сейчас раскрыла информацию о еще двух багах.

Первая проблема предоставляет возможность обхода патчей для уязвимости CVE-2019-0841, исправленной Microsoft в апреле 2019 года. Баг связан со службой развертывания Windows AppX Deployment Service (AppXSVC) и позволяет повысить привилегии на системе.

Вторая проблема затрагивает службу Windows Installer (C:\Windows\Installer). Согласно краткому описанию, в короткий отрезок времени из-за состояния гонки можно перехватить процесс установки приложения Windows и поместить файлы в недозволенные области ОС. Уязвимость связана с функцией msiexec /fa (используется для устранения ошибок установки) и позволяет злоумышленнику внедрить вредоносное ПО и перехватить контроль над компьютером. Данная уязвимость также связана с локальным повышением привилегий.

Microsoft уже проинформирована о проблемах, но пока никак не прокомментировала ситуацию. Когда будут доступны патчи для указанных уязвимостей, пока неизвестно, вполне вероятно, они появятся в следующем плановом пакете обновлений.

Источник: https://www.securitylab.ru/news/499219.php

Обзор инцидентов безопасности за период с 20 по 26 мая 2019 года

Коротко о главных событиях минувшей недели.

Популярный форум Ogusers[.]com, на котором предлагаются взломанные учетные записи в различных сервисах, в том числе Instagram, Twitter, Snapchat, Minecraft, Fortnite, Skype и Steam сам стал жертвой взлома . Злоумышленникам удалось скомпрометировать сервер через кастомный плагин и получить доступ к резервной базе данных форума за декабрь 2018 года. В руках атакующих оказалась информация о более 113 тыс. пользователей форума, включая адреса электронной почты, хэши паролей, IP-адреса, частные сообщения и данные о дате регистрации на форуме. Спустя несколько дней украденная база данных была опубликована на сайте конкурента Ogusers - RaidForums.

Специалисты Cisco Talos обнародовали некоторые подробности о недавней вредоносной кампании хакерской группировки MuddyWater. В частности, группировка включила в свой арсенал несколько новых техник, помогающих избежать обнаружения. Методы предполагают использование обфусцированного VBA макроса и команд PowerShell.

ИБ-эксперты выявили взломанную версию ПО 16Shop для фишинговых атак, содержавшую бэкдор, через который сторонние лица получали собранные программой данные.

Компания Google признала , что случайно хранила пароли пользователей G Suite в нехэшированной форме. Как пояснили в компании, проблема связана с багом в старом инструменте G Suite, разработанном еще в 2000-х годах. Сотрудники компании не выявили признаков утечки или злонамеренного использования паролей.

Сотрудники компании Snap, владеющей крупной социальной сетью Snapchat, использовали свой доступ к внутренним инструментам, в частности к программе SnapLion, для слежки за пользователями. Работники компании использовали инструмент в своих целях и получали доступ к различной информации, в том числе сохраненным фотографиям и видео, данным о местоположении, телефонным номерам и электронным адресам.

На минувшей неделе ИБ-эксперт, известная в Сети как SandboxEscaper, опубликовала сразу несколько PoC-кодов для ранее неизвестных уязвимостей в продуктах Microsoft. Четыре уязвимости затрагивают операционную систему Windows, одна - браузер Internet Explorer.

Источник: https://www.securitylab.ru/news/499238.php

Интернет-мошенники нацелились на мальчиков-подростков

Ребенок заводит «подругу» в соцсети, а затем с его счета начинают пропадать деньги.

Интернет-мошенники взяли на вооружение новый способ «развода» на деньги. Как сообщают «Известия», новая схема направлена на подростков, знакомящихся в социальных сетях. У ребенка появляется «друг», с которым завязывается тесное общение, а через некоторое время с его телефона и банковской карточки начинают пропадать деньги.

Среди прочих, от действий мошенников пострадал 14-летний сын сотрудника одного из российских банков. Злоумышленники перевели средства с мобильного счета МТС подростка на номер другого оператора. Затем они активировали услугу автоплатежа, и деньги списывались уже с банковской карты. Таким образом мошенникам удалось похитить 1,5 тыс. руб.

7 тыс. руб. лишился 17-летний сын читательницы «Известий». Поскольку списания средств осуществлялось небольшими «порциями», поначалу подросток даже не замечал хищений.

В описанных выше случаях фигурировала карта Альфа-банка. По словам представителей финорганизации, подростки, похоже, стали жертвами социальной инженерии. Как сообщили в Альфа-банке, в последнее время подобные случаи не редкость. Под видом другого лица (например, девочки-подростка) мошенник знакомится с ребенком и начинается общение. Через некоторое время «девочка» сообщает, что хочет зарегистрироваться на игровом ресурсе, но у нее сломался телефон. В связи с этим она просит жертву сообщить ей номер телефона и код, который придет в SMS-сообщении.

Ребенок получает SMS-сообщение с кодом подтверждения и сообщает его мошеннику. При этом злоумышленник заходит в личный кабинет в сервисе переводов и переводит все находящиеся на балансе средства на свой номер. В случае если на номере жертвы включена функция автоплатежа, баланс автоматически пополняется с банковской карты. Небольшими траншами преступники выуживают деньги, пока счет не опустеет или не будет заблокирован.

Источник: https://www.securitylab.ru/news/499257.php

В контроллерах Emerson Ovation выявлены опасные уязвимости

Проблемы затрагивают контроллеры Emerson Ovation OCR400 (версия 3.3.1 и ниже).

В оборудовании для АСУ ТП производства компании Emerson обнаружены уязвимости переполнения буфера, предоставляющие потенциальную возможность повысить привилегии, удаленно выполнить код или нарушить работу устройства.

Проблемы затрагивают контроллеры Emerson Ovation OCR400 (версия 3.3.1 и ниже). Как уточняется в предупреждении ICS-CERT, баги содержатся в стороннем FTP-сервере, реализованном в продукте. Данная версия ПО не поддерживается производителем с 2015 года.

Первая проблема (CVE-2019-10965) представляет собой уязвимость переполнения буфера стека. Баг существует из-за некорректной обработки LIST команд, что может привести к перезаписи буфера и, как результат, возможности удаленно выполнить код или повысить права.

Вторая проблема (CVE-2019-10967) - уязвимость переполнения буфера в области данных кучи, которая связана с некорректной обработкой команд, отправленных FTP-серверу. Это может привести к повреждению памяти, что позволит нарушить работу контроллера либо удаленно выполнить код или повысить привилегии.

Опасность уязвимостей оценена в 6,3 и 6,8 балла соответственно по шкале CVSS v3. Для их эксплуатации не требуются особые навыки. Пользователям уязвимых продуктов рекомендуется обновиться до более новых версий ПО.

Источник: https://www.securitylab.ru/news/499279.php

Ловите достаточно свежую обоину на рабочий стол Parrot Security OS.
Но у меня от этого колоритного фона глаза устают, привык к своей птичке темно-зеленой, с более мягким цветом :).

Но выглядит оригинально.

Злоумышленники атакуют серверы Windows MS-SQL и PHPMyAdmin по всему миру

Более 50 тыс. серверов Windows MS-SQL и PHPMyAdmin оказались заражены вредоносным ПО для майнинга криптовалюты.

Специалисты компании Guardicore Labs опубликовали подробный отчет о масштабной вредоносной кампании по добыче криптовалюты, в рамках которой китайская APT-группировка внедряет криптомайнеры и руткиты в серверы Windows MS-SQL и PHPMyAdmin по всему миру. По данным исследователей, злоумышленникам уже удалось скомпрометировать более 50 тыс. серверов, принадлежащих организациям в области здравоохранения, телекоммуникационной и IT-сферах.

Вредоносная кампания, получившая название Nansh0u, проводилась с конца февраля нынешнего года, однако эксперты заметили ее только в начале апреля. Злоумышленники находили доступные в интернете серверы Windows MS-SQL и PHPMyAdmin, взламывали их с помощью брутфорса, а затем заражали вредоносным ПО. Специалисты обнаружили 20 различных версий вредоносных модулей.

После успешной авторизации с правами администратора атакующие выполняли серию команд MS-SQL на скомпрометированной системе и загружали с удаленного сервера вредоносную полезную нагрузку, которая запускалась с привилегиями SYSTEM (для этого эксплуатировалась известная уязвимость CVE-2014-4113 в драйвере win32k.sys). Далее вредоносный модуль загружал программу для добычи криптовалюты TurtleCoin, а чтобы предотвратить завершение процесса, использовался просроченный цифровой сертификат, выданный удостоверяющим центром Verisign. В сертификате было указано название фиктивной китайской компании Hangzhou Hootian Network Technology.

В основном под угрозой находятся серверы с ненадежными учетными данными, в этой связи всем администраторам рекомендуется установить более сложные комбинации логинов и паролей. Эксперты также предоставили бесплатный скрипт, позволяющий проверить системы на предмет наличия вредоносного ПО.

Источник: https://www.securitylab.ru/news/499293.php