В продолжение вчерашней истории про взлом китайской APT Mustang Panda сайта офиса Президента Мьянмы и внедрение загрузчика Cobalt Strike.
Check Point опубликовали отчет о кибершпионской кампании другой китайской APT - Sharp Panda, которая проводилась против правительственных учреждений одной из стран Юго-Восточной Азии.
Заражение машин начиналось с целевой фишинговой рассылки, содержащей вредоносные DOCX файлы (судя по тексту приманок - речь идет о Вьетнаме). В некоторых случаях фишинговые письма были подделаны под легитимную переписку от другого ведомства.
Приманка загружала 8.t Dropper (он же RoyalRoad), доставляемый в документе RTF, который обычно используется китайскими APT для дальнейшего подтягивания полезной нагрузки в виде различного рода троянов удаленного доступа (RAT).
Загрузчик, названный в данном случае 5.t Dropper, собирал информацию в отношении системы, шифровал ее в RC4 и отправлял на управляющий центр. Если атакованная машина представляла интерес для хакеров, то С2 направлял полезную нагрузку.
В качестве полезной нагрузки поставлялся уникальный авторский бэкдор с внутренним наименованием VictoryDll, который представляет по функционалу полноценный RAT и может искать и эксфильтрировать информацию, делать скриншоты, запускать команды и пр.
Проведя ретроспективное исследование, сотрудники Check Point обнаружили загруженные на VirusTotal в 2018 году ранние тестовые версии VictoryDll, временные метки которых указывают на период разработки с июля 2017 по июнь 2018 года.
Управляющие центры первого этапа кампании были размещены в двух облачных сервисах, расположенных в Гонконге и Малайзии. С2 бэкдора VictoryDll был размещен у американского провайдера.
Проведя атрибуцию израильские исследователи с большой долей вероятности отнесли автора атаки к китайским APT. На это указывает использование 8.t Dropper, временной график активности управляющих центров, а также пересечения с Китаем обнаруженных на VirusTotal тестовых версий бэкдора.
В то же время Check Point не смогли соотнести атаку с профилем какой-либо из известных китайских хакерских групп, а потому решили обозначить актора как новую APT под названием Sharp Panda.
#APT #SharpPanda
Check Point опубликовали отчет о кибершпионской кампании другой китайской APT - Sharp Panda, которая проводилась против правительственных учреждений одной из стран Юго-Восточной Азии.
Заражение машин начиналось с целевой фишинговой рассылки, содержащей вредоносные DOCX файлы (судя по тексту приманок - речь идет о Вьетнаме). В некоторых случаях фишинговые письма были подделаны под легитимную переписку от другого ведомства.
Приманка загружала 8.t Dropper (он же RoyalRoad), доставляемый в документе RTF, который обычно используется китайскими APT для дальнейшего подтягивания полезной нагрузки в виде различного рода троянов удаленного доступа (RAT).
Загрузчик, названный в данном случае 5.t Dropper, собирал информацию в отношении системы, шифровал ее в RC4 и отправлял на управляющий центр. Если атакованная машина представляла интерес для хакеров, то С2 направлял полезную нагрузку.
В качестве полезной нагрузки поставлялся уникальный авторский бэкдор с внутренним наименованием VictoryDll, который представляет по функционалу полноценный RAT и может искать и эксфильтрировать информацию, делать скриншоты, запускать команды и пр.
Проведя ретроспективное исследование, сотрудники Check Point обнаружили загруженные на VirusTotal в 2018 году ранние тестовые версии VictoryDll, временные метки которых указывают на период разработки с июля 2017 по июнь 2018 года.
Управляющие центры первого этапа кампании были размещены в двух облачных сервисах, расположенных в Гонконге и Малайзии. С2 бэкдора VictoryDll был размещен у американского провайдера.
Проведя атрибуцию израильские исследователи с большой долей вероятности отнесли автора атаки к китайским APT. На это указывает использование 8.t Dropper, временной график активности управляющих центров, а также пересечения с Китаем обнаруженных на VirusTotal тестовых версий бэкдора.
В то же время Check Point не смогли соотнести атаку с профилем какой-либо из известных китайских хакерских групп, а потому решили обозначить актора как новую APT под названием Sharp Panda.
#APT #SharpPanda
Check Point Research
SharpPanda: Chinese APT Group Targets Southeast Asian Government With Previously Unknown Backdoor - Check Point Research
Introduction Check Point Research identified an ongoing surveillance operation targeting a Southeast Asian government. The attackers use spear-phishing to gain initial access and leverage old Microsoft Office vulnerabilities together with the chain of in…
Мы вчера сами так испугались своего поста про мрачные перспективы появления новой антирансомной инквизиции (идеологом туда точно взяли бы Сачкова - он грозный, у него своя форма сразу, плюс обладает богатым опытом acts of violence), что всю ночь плохо спали. Причем всем снились одинаковые кошмары про то, как Илья Константинович стал следующим Президентом России и решил превратить ее в сингапурскую компанию, для того чтобы вывести из под санкций.
К счастью, борьба с ransomware все-таки пойдет, похоже, по первому варианту - при активном участии властей. Вчера Белый Дом опубликовал открытое письмо за авторством Анны Нойбергер, заместителя помощника Президента и советника по национальной безопасности по вопросам кибербезопасности.
Во-первых, Нойбергер называет атаки вымогателей ведущим приоритетом для Байдена.
Во-вторых, сообщает, что Правительство США совместно со своими международными партнерами приступило к разрушению инфраструктур владельцев ransomware, планирует привлекать к ответственности страны, которые укрывают членов вымогательских группировок (посмотрим, о чем договорятся с Путиным в Женеве), а также будет принимать меры по оперативному отслеживанию и пресечению криптовалютных выплат в адрес вымогателей.
В-третьих, порекомендовали частному бизнесу более ответственно относиться к вопросам защиты от атак ransomware, для чего руководители компаний должны немедленно обсудить на уровне топ-менеджмента состояние корпоративной безопасности и наличие соответствующих планов обеспечения непрерывности бизнеса (мы про это говорили почти год назад, но кто мы такие...).
Скрипя и содрогаясь cart of revenge сдвинулась с места.
К счастью, борьба с ransomware все-таки пойдет, похоже, по первому варианту - при активном участии властей. Вчера Белый Дом опубликовал открытое письмо за авторством Анны Нойбергер, заместителя помощника Президента и советника по национальной безопасности по вопросам кибербезопасности.
Во-первых, Нойбергер называет атаки вымогателей ведущим приоритетом для Байдена.
Во-вторых, сообщает, что Правительство США совместно со своими международными партнерами приступило к разрушению инфраструктур владельцев ransomware, планирует привлекать к ответственности страны, которые укрывают членов вымогательских группировок (посмотрим, о чем договорятся с Путиным в Женеве), а также будет принимать меры по оперативному отслеживанию и пресечению криптовалютных выплат в адрес вымогателей.
В-третьих, порекомендовали частному бизнесу более ответственно относиться к вопросам защиты от атак ransomware, для чего руководители компаний должны немедленно обсудить на уровне топ-менеджмента состояние корпоративной безопасности и наличие соответствующих планов обеспечения непрерывности бизнеса (мы про это говорили почти год назад, но кто мы такие...).
Скрипя и содрогаясь cart of revenge сдвинулась с места.
Ransomware уже надоели хуже горькой редьки. Так что коротко.
Прямые теле- и радиотрансляции американского медиахолдинга Cox Media Group (57 теле- и радиостанций) вчера были прерваны, судя по всему, по причине атаки вымогателей.
Все.
Прямые теле- и радиотрансляции американского медиахолдинга Cox Media Group (57 теле- и радиостанций) вчера были прерваны, судя по всему, по причине атаки вымогателей.
Все.
The New York Times опубликовали статью, в которой сообщили о произошедшей в апреле это года кибершпионской атаке на ресурсы Городского транспортного управления Нью-Йорка (MTA) со стороны китайских APT.
Попавший в руки журналистов внутренний документ MTA свидетельствует, что хакеры оставались в сети в течение нескольких дней и скомпрометировали 3 из 18 основных IT-систем Управления прежде чем инцидент был выявлен. Какие-либо конфиденциальные данные по заявлению представителей MTA не пострадали.
В качестве возможных акторов названы две китайские APT, которые использовали критическую 0-day уязвимость CVE-2021-22893 в Pulse Secure VPN. Именно об этих группах в апреле сообщали исследователи из FireEye. Одна из них с большой долей вероятности была атрибутирована как APT 5 aka Keyhole Panda, ранее уже использовавшая ошибки в VPN сервисах Fortinet и Pulse Secure для проведения своих атак.
Смысл нападения китайских хакеров на MTA остается непонятным. Вряд ли транспортное управление содержит какую-либо сильно секретную информацию, представляющую интерес для разведки КНР. Хотя американские эксперды сразу родили версию о "конкурентной борьбе за мировой рынок железнодорожных вагонов". Такое себе.
Более правдоподобное объяснение гласит, что китайские APT атаковали американскую государственную сеть через 0-day уязвимость до кучи, но, обнаружив, что там нети ничего интересного, просто на нее забили.
В любом случае, американские следователи и представители MTA признают, что хакеры не имели цели вывести из строя изолированную инфраструктуру, управляющую движением транспорта в Нью-Йорке и его окрестностях.
Попавший в руки журналистов внутренний документ MTA свидетельствует, что хакеры оставались в сети в течение нескольких дней и скомпрометировали 3 из 18 основных IT-систем Управления прежде чем инцидент был выявлен. Какие-либо конфиденциальные данные по заявлению представителей MTA не пострадали.
В качестве возможных акторов названы две китайские APT, которые использовали критическую 0-day уязвимость CVE-2021-22893 в Pulse Secure VPN. Именно об этих группах в апреле сообщали исследователи из FireEye. Одна из них с большой долей вероятности была атрибутирована как APT 5 aka Keyhole Panda, ранее уже использовавшая ошибки в VPN сервисах Fortinet и Pulse Secure для проведения своих атак.
Смысл нападения китайских хакеров на MTA остается непонятным. Вряд ли транспортное управление содержит какую-либо сильно секретную информацию, представляющую интерес для разведки КНР. Хотя американские эксперды сразу родили версию о "конкурентной борьбе за мировой рынок железнодорожных вагонов". Такое себе.
Более правдоподобное объяснение гласит, что китайские APT атаковали американскую государственную сеть через 0-day уязвимость до кучи, но, обнаружив, что там нети ничего интересного, просто на нее забили.
В любом случае, американские следователи и представители MTA признают, что хакеры не имели цели вывести из строя изолированную инфраструктуру, управляющую движением транспорта в Нью-Йорке и его окрестностях.
NY Times
The M.T.A. Is Breached by Hackers as Cyberattacks Surge
Hackers with suspected ties to China penetrated the New York transit agency’s computer systems in April, an M.T.A. document shows. Transit officials say the intrusion did not pose a risk to riders.
Неделя начинается для владельцев и операторов ransomware нервно.
Для начала в пятничном интервью изданию The Wall Street Journal занимающий пост директора ФБР Кристофер Рэй сравнил атаки ransomware с нападением террористов 9/11. Отсюда недалеко и до прямого признания атак вымогателей террористической деятельностью, а что это означает на языке спецслужб США, мы все прекрасно понимаем - внесудебные задержания, Гуантанамо, имитация утопления и все вот это.
Параллельно с этим Reuter сообщили, что подразделения американской прокуратуры по всей стране получили циркулярку, в соответствии с которой расследование атак ransomware теперь должно осуществляться аналогично расследованию террористических актов. Опять же - секретные тюрьмы ЦРУ, игра в "звонок другу", et cetera.
Ким Зеттер пишет, что заместитель Генпрокурора США дала указание подавать срочные отчеты по каждому выявленному факту атаки вымогателей.
Резюмируя - если долго дергать спящего тигра за хвост, то он может и проснуться. Тiкайте з городу, хлопцi.
Для начала в пятничном интервью изданию The Wall Street Journal занимающий пост директора ФБР Кристофер Рэй сравнил атаки ransomware с нападением террористов 9/11. Отсюда недалеко и до прямого признания атак вымогателей террористической деятельностью, а что это означает на языке спецслужб США, мы все прекрасно понимаем - внесудебные задержания, Гуантанамо, имитация утопления и все вот это.
Параллельно с этим Reuter сообщили, что подразделения американской прокуратуры по всей стране получили циркулярку, в соответствии с которой расследование атак ransomware теперь должно осуществляться аналогично расследованию террористических актов. Опять же - секретные тюрьмы ЦРУ, игра в "звонок другу", et cetera.
Ким Зеттер пишет, что заместитель Генпрокурора США дала указание подавать срочные отчеты по каждому выявленному факту атаки вымогателей.
Резюмируя - если долго дергать спящего тигра за хвост, то он может и проснуться. Тiкайте з городу, хлопцi.
WSJ
WSJ News Exclusive | FBI Director Compares Ransomware Challenge to 9/11
In an interview, Christopher Wray calls the disruption and prevention of cyberattacks “a shared responsibility, not just across government agencies but across the private sector and even the average American.”
У Signal выявили неприятную уязвимость.
Группа исследователей выяснила, что в ряде случаев при переносе клиента на другое устройство код безопасности мессенджера не меняется и контакты пользователя не уведомляются о том, что код безопасности изменился.
Таким образом, если злоумышленник сможет воспроизвести эту ситуацию , то он сможет подменить мессенджер жертвы на свой и продолжить общаться с ее контактами под ее маской.
Проблемы на данный момент ровно две - во-первых, исследователи не смогли установить от чего зависит воспроизведение ошибки, во-вторых - Signal отморозился и после непродолжительной переписки ушел в тину.
Единственное, что администрация мессенджера сделала, - изменила пользовательскую документацию, внеся в нее своеобразный дисклеймер, а именно указав, что "перенос Signal на новый телефон или его переустановка не всегда приводят к изменению номера безопасности" (тогда нахрена вообще он нужен?).
Не баг, а фича же.
Группа исследователей выяснила, что в ряде случаев при переносе клиента на другое устройство код безопасности мессенджера не меняется и контакты пользователя не уведомляются о том, что код безопасности изменился.
Таким образом, если злоумышленник сможет воспроизвести эту ситуацию , то он сможет подменить мессенджер жертвы на свой и продолжить общаться с ее контактами под ее маской.
Проблемы на данный момент ровно две - во-первых, исследователи не смогли установить от чего зависит воспроизведение ошибки, во-вторых - Signal отморозился и после непродолжительной переписки ушел в тину.
Единственное, что администрация мессенджера сделала, - изменила пользовательскую документацию, внеся в нее своеобразный дисклеймер, а именно указав, что "перенос Signal на новый телефон или его переустановка не всегда приводят к изменению номера безопасности" (тогда нахрена вообще он нужен?).
Не баг, а фича же.
Blogspot
Signal safety number privacy issues
kelly kaoudis: application security, hacking, software engineering blog
Вероятно, кто-то эту новость уже слышал и тем не менее.
Bloomberg в пятницу выкинул материал, согласно которому первичная компрометация сети трубопровода Colonial Pipeline, ставшего в мае жертвой атаки ransomware, произошла через утекшие credentials для VPN.
Со слов старшего вице-президента FireEye Mandiat (или с учетом продажи корпоративного бизнеса FireEye возможно уже просто Mandiat?) Чарльза Кармайкла, взломанная хакерами учетная запись не использовалась, но была при этом активна. По всей видимости, сотрудник поработал-поработал и уволился, а его учетку для VPN никто и не подумал удалить. Действительно, а зачем? Разве может произойти что-то плохое (сарказм)?
Пароль от скомпрометированной учетки был в ходе расследования обнаружен в одной из утечек в даркнете. Похоже сотрудник использовал его одновременно для входа в различные сервисы.
Ну и да, в лучших традициях информационной безопасности за мелкий прайс - никакой многофакторной аутентификации. Не по канону. Деды не использовали и мы не будем.
Bloomberg в пятницу выкинул материал, согласно которому первичная компрометация сети трубопровода Colonial Pipeline, ставшего в мае жертвой атаки ransomware, произошла через утекшие credentials для VPN.
Со слов старшего вице-президента FireEye Mandiat (или с учетом продажи корпоративного бизнеса FireEye возможно уже просто Mandiat?) Чарльза Кармайкла, взломанная хакерами учетная запись не использовалась, но была при этом активна. По всей видимости, сотрудник поработал-поработал и уволился, а его учетку для VPN никто и не подумал удалить. Действительно, а зачем? Разве может произойти что-то плохое (сарказм)?
Пароль от скомпрометированной учетки был в ходе расследования обнаружен в одной из утечек в даркнете. Похоже сотрудник использовал его одновременно для входа в различные сервисы.
Ну и да, в лучших традициях информационной безопасности за мелкий прайс - никакой многофакторной аутентификации. Не по канону. Деды не использовали и мы не будем.
Bloomberg.com
Hackers Breached Colonial Pipeline Using Compromised Password
The hack that took down the largest fuel pipeline in the U.S. and led to shortages across the East Coast was the result of a single compromised password, according to a cybersecurity consultant who responded to the attack.
Исследователи из Trend Micro обнародовали новую уязвимость в macOS и iOS (соответственно и в iPadOS), эксплуатация которой может привести к повышению привилегий.
CVE-2021-30724 находится в обработчике запросов XPC (низкоуровневый механизм взаимодействия между процессами) службы CVMServer, которая присутствует и в деcктопной, и в мобильных операционках от Apple. Ошибка в обработчике приводит к тому, что с помощью специальным образом сформированного запроса XPC хакер может добиться целочисленного переполнения и потенциально повысить свои привилегии.
Уязвимость достаточно сложна в эксплуатации, но это не повод не установить вышедшие 2 недели назад апдейты, в которых Apple ее исправила в числе других дырок.
CVE-2021-30724 находится в обработчике запросов XPC (низкоуровневый механизм взаимодействия между процессами) службы CVMServer, которая присутствует и в деcктопной, и в мобильных операционках от Apple. Ошибка в обработчике приводит к тому, что с помощью специальным образом сформированного запроса XPC хакер может добиться целочисленного переполнения и потенциально повысить свои привилегии.
Уязвимость достаточно сложна в эксплуатации, но это не повод не установить вышедшие 2 недели назад апдейты, в которых Apple ее исправила в числе других дырок.
Trend Micro
CVE-2021-30724: CVMServer Vulnerability in macOS and iOS
We analyze the patched CVE-2021-30724 vulnerability, affecting macOS, iOS, and iPadOS. If exploited, this flaw can allow privilege escalation.
ФБР вместе с Федеральной полицией Австралии (AFP) провернули, пожалуй, самую громкую спецоперацию по контролю каналов шифрованной связи в этом году (в прошлом году на первом месте безусловно была швейцарская Crypto AG, поставлявшая под контролем ЦРУ криптопродукты по всему миру в течение 50 лет).
Три года назад американцы и австралийцы хлопнули руководство Phantom Secure, проекта, который предоставлял возможность шифрованной связи представителям криминалитета. После этого они решили сами войти на этот рынок, для чего создали новую платформу под названием An0m - сервис защищенных смартфонов и шифрованной связи.
На самом деле в An0m был встроен мастер-ключ, который позволял ФБР и AFP влет читать всю переписку. ФБР даже создали цепочку серверов, на которые зеркалировались текстовые и голосовые сообщения пользователей An0m. Операцию назвали Trojan Shield. Платформу рекламировали с помощью сарафанного радио (через внедренных в криминалитет агентов) и через сайт anom. io.
Дополнительными факторами повышения популярности An0m послужило закрытие правоохранителями других приватных коммуникационных платформ EncroChat и Sky ECC, также активно использовавшихся представителями организованной преступности.
ФБР, AFP и привлеченные правоохранительные органы других стран в течение 3 лет отработали переписку почти с 12 тыс. устройств, которая составила более 20 млн. сообщений. А вчера разом хлопнули кучу народа в рамках Operation Ironside - от байкеров и наркокартелей до торговцев людьми.
Причиной завершения Trojan Shield послужили появившееся в криминальной среде подозрения, что с An0M не все в порядке с точки зрения конфиденциальности информации. Hacker Fantastic пишет, что еще в конце марта появился блог Anomexposed (ныне удаленный, но доступный в кэше), в котором автор canyouguess67 утверждал, что мессенджер осуществляет подозрительный обмен трафиком с американскими серверами, а также критиковал инфраструктуру платформы, заявив, что в текущем состоянии она запросто может контролироваться правоохранительными органами (как в воду глядел).
Что можно сказать по итогу. Американцы с австралийцами молодцы.
Три года назад американцы и австралийцы хлопнули руководство Phantom Secure, проекта, который предоставлял возможность шифрованной связи представителям криминалитета. После этого они решили сами войти на этот рынок, для чего создали новую платформу под названием An0m - сервис защищенных смартфонов и шифрованной связи.
На самом деле в An0m был встроен мастер-ключ, который позволял ФБР и AFP влет читать всю переписку. ФБР даже создали цепочку серверов, на которые зеркалировались текстовые и голосовые сообщения пользователей An0m. Операцию назвали Trojan Shield. Платформу рекламировали с помощью сарафанного радио (через внедренных в криминалитет агентов) и через сайт anom. io.
Дополнительными факторами повышения популярности An0m послужило закрытие правоохранителями других приватных коммуникационных платформ EncroChat и Sky ECC, также активно использовавшихся представителями организованной преступности.
ФБР, AFP и привлеченные правоохранительные органы других стран в течение 3 лет отработали переписку почти с 12 тыс. устройств, которая составила более 20 млн. сообщений. А вчера разом хлопнули кучу народа в рамках Operation Ironside - от байкеров и наркокартелей до торговцев людьми.
Причиной завершения Trojan Shield послужили появившееся в криминальной среде подозрения, что с An0M не все в порядке с точки зрения конфиденциальности информации. Hacker Fantastic пишет, что еще в конце марта появился блог Anomexposed (ныне удаленный, но доступный в кэше), в котором автор canyouguess67 утверждал, что мессенджер осуществляет подозрительный обмен трафиком с американскими серверами, а также критиковал инфраструктуру платформы, заявив, что в текущем состоянии она запросто может контролироваться правоохранительными органами (как в воду глядел).
Что можно сказать по итогу. Американцы с австралийцами молодцы.
Twitter
Hacker Fantastic
On 21st March 2021, a (now deleted) blog post correctly identified that Anøm @anomsecure was in fact sending all the user messages to US-based LE. Criminals had caught onto the game as the arrests began. It can be viewed here in Google's cache. webcache.…
По поводу свежезадержанного и выдворенного на 25 лет Алексея Семеняки можем сказать следующее.
Еще в 2015 году, уже будучи в Qrator, Семеняка, выступая на профильных мероприятиях, активно топил за послемайданную Украину, рисовал в своих презентациях украинский Крым и прочее. Вполне себе открыто и никого не стесняясь.
ФСБ потребовалось всего лишь 6 лет, чтобы сделать простой логический вывод.
"На третий день Орлиный Глаз заметил, что у сарая нет одной стены".
Еще в 2015 году, уже будучи в Qrator, Семеняка, выступая на профильных мероприятиях, активно топил за послемайданную Украину, рисовал в своих презентациях украинский Крым и прочее. Вполне себе открыто и никого не стесняясь.
ФСБ потребовалось всего лишь 6 лет, чтобы сделать простой логический вывод.
"На третий день Орлиный Глаз заметил, что у сарая нет одной стены".
ТАСС
Из России выдворили агента украинских спецслужб
В ФСБ отметили, что Алексей Семеняка не успел нанести ущерб внешней безопасности Российской Федерации
Чот все как-то наебну...
Большое количество мировых ресурсов либо совсем недоступны, либо загружаются через неизвестно что. Среди них Amazon, AWS, gov .uk, GitHub, Reddit, Shopify, Twitch, PayPal и куча других. Недоступны ресурсы крупнейших западных СМИ - The New York Times, CNN, Bloomberg, The Guardian и т.д. и т.п.
В Twitter предполагают, что это может быть связано со сбоем в работе сервиса Fastly, защищающего сайты от атак - типа того, что их WAF все режет.
Правда нам больше нравится версия, что это таки рождение SkyNet.
Господь, жги! После Дани Милохина на ПМЭФ эту планету уже не спасти...
Большое количество мировых ресурсов либо совсем недоступны, либо загружаются через неизвестно что. Среди них Amazon, AWS, gov .uk, GitHub, Reddit, Shopify, Twitch, PayPal и куча других. Недоступны ресурсы крупнейших западных СМИ - The New York Times, CNN, Bloomberg, The Guardian и т.д. и т.п.
В Twitter предполагают, что это может быть связано со сбоем в работе сервиса Fastly, защищающего сайты от атак - типа того, что их WAF все режет.
Правда нам больше нравится версия, что это таки рождение SkyNet.
Господь, жги! После Дани Милохина на ПМЭФ эту планету уже не спасти...
Twitter
StephenTicman2021 🇮🇹
IT'S HAPPENING !! #CyberAttack
Уже четвертый месяц Microsoft исправляют уязвимости безопасности, обнаруженные в пакете Microsoft Office, включая Excel и Office Online, которые могут быть использованы злоумышленниками для проведения атак с использованием документов: Word, Excel и Outlook.
11 мая разработчик исправил CVE-2021-31174, CVE-2021-31178, CVE-2021-31179, и сегодня выпускает итоговый патч для CVE-2021-31939.
Проблемы были вызваны уязвимой функцией внутри компонента MSGraph, за неделю фаззинга которого спецам Check Point удалось его грамотно расчехлить и обнаружить 4 ошибки.
В ходе дальнейшего исследования оказалось, что ошибки фактически затрагивают всю линейку продуктов Microsoft Office. Устаревший код продолжает оставаться слабым звеном в цепи безопасности Microsoft Office.
Для успешной эксплуатации уязвимости достаточно открытия вредоносного файла Excel (.XLS), который может быть загружен по ссылке или отправлен электронным письмом. Реализованный через редактор формул вектор атаки применялся злоумышленникам еще с конца 2018 года.
Несмотря на сокрытие технических подробностей последней CVE-2021-31939, не стоит рассчитывать на то, что пытливый хакерский ум не мог не поддаться искушению и не создать нужный эксплойт: настоятельно рекомендуем поскорее применить исправления.
11 мая разработчик исправил CVE-2021-31174, CVE-2021-31178, CVE-2021-31179, и сегодня выпускает итоговый патч для CVE-2021-31939.
Проблемы были вызваны уязвимой функцией внутри компонента MSGraph, за неделю фаззинга которого спецам Check Point удалось его грамотно расчехлить и обнаружить 4 ошибки.
В ходе дальнейшего исследования оказалось, что ошибки фактически затрагивают всю линейку продуктов Microsoft Office. Устаревший код продолжает оставаться слабым звеном в цепи безопасности Microsoft Office.
Для успешной эксплуатации уязвимости достаточно открытия вредоносного файла Excel (.XLS), который может быть загружен по ссылке или отправлен электронным письмом. Реализованный через редактор формул вектор атаки применялся злоумышленникам еще с конца 2018 года.
Несмотря на сокрытие технических подробностей последней CVE-2021-31939, не стоит рассчитывать на то, что пытливый хакерский ум не мог не поддаться искушению и не создать нужный эксплойт: настоятельно рекомендуем поскорее применить исправления.
Check Point Research
Fuzzing the Office Ecosystem - Check Point Research
Research By: Netanel Ben-Simon and Sagi Tzadik Introduction Microsoft Office is a very commonly used software that can be found on almost any standard computer. It is also integrated inside many products of the Microsoft / Windows ecosystem such as Office…
Алярм! Вышел очередной ежемесячный вторничный патч безопасности от Microsoft и он исправляет 50 уязвимостей, включая целых шесть 0-day, которые активно используются в дикой природе!
Перечислять уязвимости мы не будем, но отметим, что эксплуатация одной из них приводит к удаленному выполнению кода (RCE), одна связана с раскрытием информации, а оставшиеся четыре приводят к повышению привилегий.
Microsoft как всегда не делится техническими подробностями. Вместе с тем, Google TAG заявили, что CVE-2021-33742, приводящая к RCE, судя по всему, используется некой государственной APT для атак против целей в Восточной Европе и на Ближнем Востоке.
Касперские же сообщили, что две ошибки связанные с повышением привилегий были частью сложной цепочки эксплойтов, которая использовалась в апреле новым актором PuzzleMaker для атак на ряд компаний (при этом эксплойт RCE найти не удалось).
Всем пользователям Windows рекомендуем срочно обновиться!
Перечислять уязвимости мы не будем, но отметим, что эксплуатация одной из них приводит к удаленному выполнению кода (RCE), одна связана с раскрытием информации, а оставшиеся четыре приводят к повышению привилегий.
Microsoft как всегда не делится техническими подробностями. Вместе с тем, Google TAG заявили, что CVE-2021-33742, приводящая к RCE, судя по всему, используется некой государственной APT для атак против целей в Восточной Европе и на Ближнем Востоке.
Касперские же сообщили, что две ошибки связанные с повышением привилегий были частью сложной цепочки эксплойтов, которая использовалась в апреле новым актором PuzzleMaker для атак на ряд компаний (при этом эксплойт RCE найти не удалось).
Всем пользователям Windows рекомендуем срочно обновиться!
Twitter
Shane Huntley
More details will be on CVE-2021-33742 will come from the team, but for context this seem to be a commercial exploit company providing capability for limited nation state Eastern Europe / Middle East targeting.
Forwarded from SecurityLab.ru (Pipiggi)
Чем страшны "Алхимик", "Евангелие" и "Глубина мудрости”? И нет, мы не о книгах.
⠀
Израиль использует технологию искусственного интеллекта в борьбе с исламистами в секторе Газа. На основе данных, собранных с помощью сигнального, визуального, человеческого, географического и других интеллектов были разработаны рекомендации для войск Армии обороны Израиля.
⠀
Подробнее об этом и других новостях кибербезопасности в новом выпуске Security-новостей с Александром Антиповым, главным редактором SecurityLab.
▪️как военный дрон нарушил первый закон робототехники;
▪️как Интерпол перехватил похищенные $83 млн;
▪️как жители Австралии и США стали веганами из-за кибератаки на JBS.
⠀
+ самый жаркий 🔥конкурс - на кону набор авторских соусов от Napalmfarm.
⠀
Подробнее в выпуске - https://youtu.be/atKG765ZjMw
⠀
Израиль использует технологию искусственного интеллекта в борьбе с исламистами в секторе Газа. На основе данных, собранных с помощью сигнального, визуального, человеческого, географического и других интеллектов были разработаны рекомендации для войск Армии обороны Израиля.
⠀
Подробнее об этом и других новостях кибербезопасности в новом выпуске Security-новостей с Александром Антиповым, главным редактором SecurityLab.
▪️как военный дрон нарушил первый закон робототехники;
▪️как Интерпол перехватил похищенные $83 млн;
▪️как жители Австралии и США стали веганами из-за кибератаки на JBS.
⠀
+ самый жаркий 🔥конкурс - на кону набор авторских соусов от Napalmfarm.
⠀
Подробнее в выпуске - https://youtu.be/atKG765ZjMw
YouTube
Боевой ИИ в деле, Интерпол перехватил $83 млн, США остались без мяса. Security-новости, #20
0:00 Здравствуйте с вами Александр Антипов, ваш бессменный ведущий самых жарких новостей по информационной безопасности
0:40 Искусственный интеллект впервые использовали в военных действиях - https://www.securitylab.ru/news/520673.php
2:36 Боевой ИИ впервые…
0:40 Искусственный интеллект впервые использовали в военных действиях - https://www.securitylab.ru/news/520673.php
2:36 Боевой ИИ впервые…
Операторы ransomware словно "шпионки с крепким телом" из песни Высоцкого: ты их в дверь - они в окно!
Пока руководство США разрабатывает чрезвычайные меры по борьбе с вымогателями и планирует относиться к ним как к террористам, под ответным ударом оказалась платформа iConstituent, которая поставляет услуги для Конгресса США и ряда американских штатов.
Клиентами iConstituent являются офисы почти 60 членов Палаты представителей, а также штаты Джорджия, Гавайи и Невада, города Лос-Анджелес и Пало-Альто, ассамблея штата Нью-Йорк.
В результате атаки пострадала система электронной рассылки iConstituent. По поводу возможной утечки конфиденциальных данных пока ничего не сообщается. Но если информация членов американского Конгресса всплывет в паблике - это будет тот еще акробатический номер.
Продолжаем наблюдать.
Пока руководство США разрабатывает чрезвычайные меры по борьбе с вымогателями и планирует относиться к ним как к террористам, под ответным ударом оказалась платформа iConstituent, которая поставляет услуги для Конгресса США и ряда американских штатов.
Клиентами iConstituent являются офисы почти 60 членов Палаты представителей, а также штаты Джорджия, Гавайи и Невада, города Лос-Анджелес и Пало-Альто, ассамблея штата Нью-Йорк.
В результате атаки пострадала система электронной рассылки iConstituent. По поводу возможной утечки конфиденциальных данных пока ничего не сообщается. Но если информация членов американского Конгресса всплывет в паблике - это будет тот еще акробатический номер.
Продолжаем наблюдать.
Telegram
SecAtor
Неделя начинается для владельцев и операторов ransomware нервно.
Для начала в пятничном интервью изданию The Wall Street Journal занимающий пост директора ФБР Кристофер Рэй сравнил атаки ransomware с нападением террористов 9/11. Отсюда недалеко и до прямого…
Для начала в пятничном интервью изданию The Wall Street Journal занимающий пост директора ФБР Кристофер Рэй сравнил атаки ransomware с нападением террористов 9/11. Отсюда недалеко и до прямого…
А вот и еще жертв ransomware подвезли.
Сегодня вымогатели уронили испанское Министерство труда и социальной экономики (MITES), о чем само министерство сообщило в Twitter.
Сайт ведомства пока на плаву, но все сервисы связи, включая колл-центр, не функционируют.
При этом отдельное сообщение выпустило Государственное агентство по трудоустройству (SEPE), входящее в MITES. В нем оно ставит граждан в известность о том, что его ресурсы атакой вымогателей затронуты не были. И такой кунштюк выглядит странным, если не знать о том, что ровно 3 месяца назад SEPE само пострадало от атаки ransomware Ryuk.
Прямо как в старом-старом анекдоте - "Мужик, не забудь, меня только трахнуть надо"...
Сегодня вымогатели уронили испанское Министерство труда и социальной экономики (MITES), о чем само министерство сообщило в Twitter.
Сайт ведомства пока на плаву, но все сервисы связи, включая колл-центр, не функционируют.
При этом отдельное сообщение выпустило Государственное агентство по трудоустройству (SEPE), входящее в MITES. В нем оно ставит граждан в известность о том, что его ресурсы атакой вымогателей затронуты не были. И такой кунштюк выглядит странным, если не знать о том, что ровно 3 месяца назад SEPE само пострадало от атаки ransomware Ryuk.
Прямо как в старом-старом анекдоте - "Мужик, не забудь, меня только трахнуть надо"...
Twitter
Ministerio Trabajo y Economía Social
⚠️ El Ministerio de Trabajo y Economía Social se ha visto afectado por un ataque informático. Los responsables técnicos del Ministerio y del Centro Criptológico Nacional están trabajando de manera conjunta para determinar el origen y restablecer la normalidad…
—Партнерский пост—
Десятая конференция ZeroNights пройдет 30 июня в летнем Санкт-Петербурге!
В 2021 году в десятый раз пройдет ZeroNights – ежегодная международная конференция, посвященная практическим аспектам информационной безопасности.
Ничто не заменит нам энергию живого общения! Поэтому приглашаем отметить свое десятилетие в неформальной обстановке 30 июня в пространстве "Севкабель Порт". Вас ждет насыщенный день и мощная программа с тематическими активностями.
Для кого?
Для технических специалистов, администраторов, руководителей и сотрудников служб ИБ, пентестеров, программистов и всех, кто интересуется прикладными аспектами отрасли.
Что будет?
– Доклады ключевых спикеров и выступления основной программы (клуб "МОРЗЕ").
– Выступления секций Defensive Track, Web Village и Hardware Zone (в формате open-air на просторной набережной, крытые трибуны обеспечат слушателям комфорт в любую погоду).
Подробности, программа и билеты на сайте — https://zeronights.ru/
Десятая конференция ZeroNights пройдет 30 июня в летнем Санкт-Петербурге!
В 2021 году в десятый раз пройдет ZeroNights – ежегодная международная конференция, посвященная практическим аспектам информационной безопасности.
Ничто не заменит нам энергию живого общения! Поэтому приглашаем отметить свое десятилетие в неформальной обстановке 30 июня в пространстве "Севкабель Порт". Вас ждет насыщенный день и мощная программа с тематическими активностями.
Для кого?
Для технических специалистов, администраторов, руководителей и сотрудников служб ИБ, пентестеров, программистов и всех, кто интересуется прикладными аспектами отрасли.
Что будет?
– Доклады ключевых спикеров и выступления основной программы (клуб "МОРЗЕ").
– Выступления секций Defensive Track, Web Village и Hardware Zone (в формате open-air на просторной набережной, крытые трибуны обеспечат слушателям комфорт в любую погоду).
Подробности, программа и билеты на сайте — https://zeronights.ru/
ZeroNights
На ZeroNights представлены тщательно отобранные доклады по самым разным темам информационной безопасности.
Одна из благодатных инфосек компаний - японская Trend Micro - выпустила статью из разряда "все что Вы хотели знать о ransomware, но боялись спросить".
Исследователи рассматривают эволюцию ransomware, а на примере банды вымогателей Nefilim подробно описывают работу подобных хакерских групп.
Nefilim, напомним, тоже русскоязычная бригада. По крайней мере, как говорили еще год назад эксперты из голландской Tesorion, они являются родственной группой вымогателям из Nemty, а уж последние свое происхождение засветили чуть более чем полностью, когда оставляли в коде ransomware приветы Кремезу в виде строчек из песен Скриптонита.
Конечно на звание всеобъемлющего гайда по ransomware статья японцев не претендует, но в качестве одного из базовых материалов про вымогателей зайдет очень даже. Мы, по крайней мере, с интересом прочитали.
Исследователи рассматривают эволюцию ransomware, а на примере банды вымогателей Nefilim подробно описывают работу подобных хакерских групп.
Nefilim, напомним, тоже русскоязычная бригада. По крайней мере, как говорили еще год назад эксперты из голландской Tesorion, они являются родственной группой вымогателям из Nemty, а уж последние свое происхождение засветили чуть более чем полностью, когда оставляли в коде ransomware приветы Кремезу в виде строчек из песен Скриптонита.
Конечно на звание всеобъемлющего гайда по ransomware статья японцев не претендует, но в качестве одного из базовых материалов про вымогателей зайдет очень даже. Мы, по крайней мере, с интересом прочитали.
Trendmicro
Modern Ransomware's Double Extortion Tactics and How to Protect Enterprises Against Them
Modern ransomware like Nefilim present new challenges and security concerns for enterprises across the world. How do these new families differ from traditional ransomware? And what can organizations do to mitigate risks?