Author: admin

Oblak na udaru: Hekerji izkoristili napačno konfigurirane AWS .env datoteke za obsežne napade

Napadalci so izkoristili izpostavljene okoljske spremenljivke v napačnih konfiguracijah AWS .env datotek, da so zaklenili podatke, shranjene v S3 vsebnikih. S pomočjo avtomatizacije so ciljali na več kot 100.000 domen.

Varnostni neuspehi opozarjajo na pomembnost robustne avtentikacije

Njihov uspeh je bil posledica več varnostnih neuspehov uporabnikov oblaka, vključno z uporabo dolgoročnih poverilnic in pomanjkanja arhitekture z najmanjšimi privilegiji. Ti primeri poudarjajo pomembnost robustne avtentikacije in nadzorov dostopa, šifriranja podatkov, varnega upravljanja konfiguracije ter celovitega spremljanja in beleženja v oblačnih okoljih za zmanjšanje takšnih napadov.

Sprva so napadalci pridobili dostop do okolj AWS organizacij in nato pregledali več kot 230 milijonov edinstvenih ciljev za občutljive podatke. Osredotočili so se na 110.000 domen in pridobili več kot 90.000 edinstvenih spremenljivk iz .env datotek, med katerimi je bilo 7.000 povezanih z oblačnimi storitvami in 1.500 povezanih z računi na družbenih omrežjih.

Večplastna infrastruktura omogočila učinkovitost napadov

Z uporabo večplastne infrastrukture so napadalci izkoristili VPS končne točke, omrežje Tor in VPN za izvidovanje, začetni dostop, lateralno premikanje in iztovor podatkov.

Igralci groženj izkoriščajo široko izpostavljenost .env datotek za pridobitev nepooblaščenega dostopa do občutljivih informacij. Te datoteke vsebujejo pogosto trdo kodirane poverilnice in javno gostujejo na nezavarovanih spletnih aplikacijah, zaradi česar so lahke tarče za napadalce.

Amazon Web Services in pomanjkljiva varnost

Nedavne kampanje so pokazale učinkovitost te tehnike, saj so napadalci uspešno pridobili dostopne ključe AWS IAM iz izpostavljenih .env datotek. Napadalci so izkoristili te poverilnice, da so pridobili začetni dostop do oblačnih okolij žrtev.

Na žalost niso imeli skrbniki dostopa do vseh virov, kar je napadalcem omogočilo stopnjevanje njihovih privilegijev. Z izkoriščanjem dovoljenja za ustvarjanje in spreminjanje IAM vlog in politik so ustanovili nove IAM vire z neomejenim dostopom.

Pred stopnjevanjem svojih privilegijev so napadalci uporabili GetCallerIdentity API za preverjanje identitete in dovoljenj, povezanih s kompromitiranimi poverilnicami.

Raba AWS API zahteva in Lambda funkcij

Sprva so uporabili AWS API zahteve ListUsers in ListBuckets za zbiranje informacij o ciljnem AWS računu. Nato so stopnjevali svoje privilegije z ustvarjanjem nove IAM vloge z AdministratorAccess in jo priložili vlogi.

Čeprav jim ni uspelo ustvariti infrastrukture skladov EC2, so uspešno ustvarili AWS Lambda funkcije z uporabo API klica CreateFunction20150331, ki so jih uporabili za izvajanje bash skripte, ki je iskala morebitne cilje v računu.

Ozaveščanje o tveganjih in najboljših praksah za varnost v oblaku

Kampanja za izsiljevanje v oblaku poudarja tveganja, povezana z zanemarjanjem najboljših praks za varnost v oblaku. Izpostavljene .env datoteke, ki vsebujejo občutljive informacije, kot so API ključi in poverilnice, lahko izkoristijo zlonamerni akterji.

Za zmanjšanje teh tveganj bi se organizacije morale izogibati shranjevanju .env datotek v sistem za nadzor različic, uporabljati okoljske spremenljivke, izvajati robustne nadzore dostopa, izvajati redne revizije in uporabljati orodja za upravljanje skrivnosti.

Analiza kampanje

Analiza kampanje, ki jo je izvedel Cyble je razkrila potencialne indikatorje kompromisa (IOC) v različnih kategorijah. En sam URL, povezan z lambda funkcijo, se morda zdi neškodljiv. Vendar je bilo označeno znatno število IP naslovov, med njimi Tor exit točke, VPS končne točke in VPN končne točke.

Ti IP naslovi sugerirajo, da kampanja morda izkorišča anonimne storitve in kompromitirane strežnike, da prikrije svoj izvor in dejavnost. Poleg tega je bil identificiran SHA256 hash za skripto z imenom Lambda.sh, ki se lahko uporabi za nadaljnjo preiskavo.

Vir novice: cyberpress.org

Napaka v računalniški varnosti: Kitajski hackerji izkoriščajo zero-day napake

V zadnjih dneh so kitajski hackerji odkrili in izkoriščali zero-day napake v računalniških sistemih, kar predstavlja veliko grožnjo za uporabnike. Zero-day napake so napake, ki še niso znane in niso objavljene, kar pomeni, da jih ni mogoče preprečiti z uporabo standardnih varnostnih programov.

Razkritje ranljivosti

Napake so bile odkrite v različnih programih, vključno z Microsoft Office, Adobe Reader in Chrome. To pomeni, da so hekerji lahko izkoriščali te napake za dostop do osebnih podatkov in drugih občutljivih informacij. Ranjivosti so se zgodile zaradi napak v kodi, ki so omogočile hekerjem dostop do sistemov.

Odkritje teh ranljivosti pomeni, da morajo biti uporabniki posebej pozorni na varnostne nastavitve in uporabljati najnovejše različice programov. Prav tako morajo uporabljati varnostne programe, kot so antivirusi in požarni zidovi, da bi preprečili dostop hekerjev.

Kitajska hakerska skupina

Kitajski hekerji so znani po svoji agresivni in sofisticirani metodi, kar pomeni, da morajo uporabniki biti še posebej pozorni na varnostne nastavitve in uporabljati najnovejše različice programov. Prav tako morajo uporabljati varnostne programe, kot so antivirusi in požarni zidovi, da bi preprečili dostop hekerjev.

Kitajska hakerska skupina, odgovorna za te napade, je pokazala visoko raven znanja in načrtovanja, kar je še dodatno zapletlo situacijo. Njihova zmožnost, da prepoznajo in izkoristijo napake pred objavo varnostnih popravkov, pomeni, da so zaznane grožnje veliko bolj nevarne kot običajno.

Ukrepi za zaščito

Za uporabnike to pomeni, da morajo biti še bolj pozorni na varnostne nastavitve in uporabljati najnovejše različice programov. Prav tako morajo uporabljati varnostne programe, kot so antivirusi in požarni zidovi, da bi preprečili dostop hekerjev. Redno posodabljanje programske opreme je ključnega pomena, saj proizvajalci izdajajo popravke, ki lahko zaprejo te ranljivosti.

Poleg tega je priporočljivo uporabljati dvostopenjsko avtentikacijo (2FA), ki zagotavlja dodatno raven zaščite. Tudi redno preverjanje neobičajnih aktivnosti na vaši napravi in v vaših računih lahko pomaga zgodaj zaznati potencialne vdore. Prav tako je pomembno, da ne odpirate sumljivih povezav ali prilog v elektronski pošti, saj lahko te vsebujejo zlonamerno programsko opremo.

Oglaševanje in javna obvestila

Javna obvestila od pristojnih organizacij, kot so Microsoft, Adobe in Google, prav tako igrajo pomembno vlogo pri zaščiti uporabnikov. Te organizacije so že izdale varnostne popravke, vendar nekatere ranljivosti še vedno ostajajo. Zato je pomembno, da uporabniki sledijo navodilom teh organizacij in redno posodabljajo svoje sisteme.

Učinkovitost varnostnih programov

V preteklosti smo pogosto videli, da so učinkoviti varnostni programi rešili situacijo, vendar tokrat ni dovolj. Zato je ključnega pomena, da se zavedamo pomembnosti varnostnih posodobitev in jih redno izvajamo. Delujoči požarni zidovi in posodobljeni antivirusi še vedno ostajajo prva linija obrambe, vendar je potrebno dodati še druge ukrepe za celovito zaščito.

Za boljšo zaščito pred takšnimi napadi obstaja tudi možnost uporabe VM (Virtual Machine) tehnologije, ki oddvojujeta operacijski sistem od glavnega sistema. S tem se zmanjša tveganje za posredni dostop preko ranljivosti v programski opremi. Prav tako se priporoča uporaba vrstnega reda za dostop do informacij, kar pomeni, da imajo uporabniki dostop samo do tistih virov, ki jih resnično potrebujejo.

Zaključek

Situacija, v kateri so se znašli uporabniki po svetu zaradi zero-day napak, je resna in zahteva takojšnje ukrepanje. Kitajski hekerji zmorejo izkoristiti vsakršno priložnost, zato moramo biti vsi uporabniki še posebej pazljivi. Redna posodobitev programske opreme, uporaba naprednih varnostnih rešitev in upoštevanje javnih obvestil so koraki, ki jih moramo upoštevati, da bi zagotovili varnost svojih podatkov in informacij.

V tem negotovem obdobju je ključnega pomena, da sodelujemo z organizacijami, ki skrbijo za informacijsko varnost, poslušamo njihove nasvete in ne podcenjujemo nevarnosti, ki jih prinašajo zero-day napake.

URL izvora novice: https://cybersecuritynews.com/chinese-hackers-exploiting-zero-day/

Nedavna varnostna ranljivost v okolju SuiteCommerce je izpostavila občutljive podatke strank, vključno z osebnimi podatki (PII). Napadalci imajo možnost izkoriščanja nepravilnih nastavitev nadzora dostopa na prilagojenih zapisih (CRTs) za dostop do javno dostopnih spletnih mest in krajo podatkov. To predstavlja resno grožnjo za tisoče aktivnih sistemov SuiteCommerce, ki so trenutno ranljivi zaradi nepravilno nastavljenih privzetih spletnih mest ali nezadostnih nastavitev nadzora dostopa na CRT-jih.

Oracle je priznal problem in uvedel dodatne varnostne ukrepe, vendar morajo skrbniki še vedno izvajati stroge ukrepe za nadzor dostopa in skrbno pregledati konfiguracije CRT-jev za zmanjšanje tveganja izpostavljenosti podatkov.

NetSuite uporablja arhitekturo odjemalec-strežnik, kjer UI Suiteleti, ki vključujejo obrazce in odjemalske skripte, komunicirajo s strežniškimi komponentami prek spletno dostopnih API-jev. Odjemalski skripti sprožijo te API klice za izvajanje strežniških operacij, kot so interakcije z bazo podatkov. Medtem ko oba SuiteScript 1.0 in 2.0 uporabljata ta vzorec, slednji nalaga strožje kontrole dostopa na strežniških modulih iz odjemalskih skript.

Za uporabo robustnega mehanizma za nadzor dostopa je ključnega pomena pravilno konfigurirati prilagojene vrste zapisov (CRTs), ki podobno kot tabele baz podatkov, ponujajo možnosti nadzora dostopa na ravni tabele: Zahtevaj dovoljenje za vnose prilagojenih zapisov, Uporabi seznam dovoljenj in Ni potrebnih dovoljenj. Slednje, ki omogoča odprt dostop, je običajno izogibano zaradi varnostnih posledic.

Funkcija loadRecord modula N/record pridobi podatke iz prilagojenih zapisov NetSuite, kar zahteva vrsto zapisa, notranji ID in izbirne privzete vrednosti. Uspešna izvedba vrne vrednosti dostopnih polj in vsa imena polj, ne glede na dovoljenja. Za neavtorizirane uporabnike je dostop do podatkov odvisen od tipa dostopa prilagojenega zapisa »Ni potrebnih dovoljenj« in privzetih ravni dostopa za posamezna polja.

Modul N/search v SuiteScript 2.0 ponuja fleksibilen način za poizvedovanje podatkov iz NetSuite z določanjem želenih stolpcev in filtrov. Čeprav nudi več nadzora kot API za zapise, se zanaša na nastavitev polja “Privzeta raven za iskanje/poročanje” za določitev dostopnosti podatkov, kar lahko izpostavi občutljive podatke, če ni pravilno konfigurirano. To se razlikuje od API-ja za zapise, ki zagotavlja strožji nadzor dostopa, temelječ na dovoljenjih na ravni polj.

Appomni opisuje tristočkovni dokaz koncepta (PoC) za izločanje podatkov iz NetSuite kot neavtoriziran uporabnik z izkoriščanjem prilagojene vrste zapisa (CRT) s specifičnimi nadzori dostopa. Najprej napadalec določi ID-je zapisov z uporabo klica searchRecord, nato uporabi klic loadRecord za pridobitev specifičnih polj z dostopom “Ogled”. Z uporabo imen polj, odkritih v odzivu loadRecord, napadalec še enkrat izvede klic searchRecord, ki cilja na polje z dostopom “Brez” za iskanje ali poročanje, s čimer učinkovito zaobide predvideno omejitev.

Za preprečitev izpostavljenosti podatkov je potrebno izvajati podroben nadzor dostopa z menjavanjem nastavitev dostopa za vrsto zapisa na “Zahtevaj dovoljenje za vnose prilagojenih zapisov” ali “Uporabi seznam dovoljenj”, nato prilagodite dovoljenja na ravni polj, omejujoč privzeti dostop in ravni iskanja/poročanja. V kritičnih situacijah lahko začasno izklopite vsa spletna mesta, da ustavite izločanje podatkov, pri čemer razumite, da bo to prekinilo storitev za vse uporabnike.

❕Če imate komentarje ali želite deliti svoje misli, prosimo, da jih pustite spodaj ali delite to novico na socialnih omrežjih!

💡 Namig dneva: Redno pregledujte in posodabljajte varnostne nastavitve vaših aplikacij, da bi zagotovili maksimalno zaščito vaših podatkov pred nepooblaščenimi dostopi.

Prispevek Pomanjkljivost Oracle NetSuite izpostavlja občutljive podatke hekerjem se je pojavil najprej na Cyber Security News.

Domnevna kršitev podatkov pri TOYOTA razkriva 240 GB občutljivih informacij

Raziskovalci Cyber Press so odkrili pomembno domnevno kršitev podatkov pri Toyota US, ki razkriva obsežno uhajanje podatkov, zaradi česar je bilo nepooblaščeno razkritih približno 240 GB občutljivih informacij. Alarmantno je, da so ti podatki postali prosto dostopni na spletu, kar predstavlja resna varnostna tveganja.

Znana skupina kibernetskih napadalcev, ZeroSevenGroup, je na znanem forumu za uhajanje podatkov razkrila ogromno količino podatkov podjetja Toyota.

Prizadeta področja v kršitvi

Napadalci so na forumih trdili, da so vdrli v sisteme podružnice Toyota v ZDA in izjavili: “Vdrli smo v podružnico v Združenih državah enega največjih proizvajalcev avtomobilov na svetu (TOYOTA).”

“Zelo smo veseli, da vam tukaj delimo datoteke brezplačno. Velikost podatkov: 240 GB, Vsebina: Vse, kot so Kontakti, Finance, Stranke, Sheme, Zaposleni, Fotografije, Baze podatkov, Omrežna infrastruktura, E-pošta in veliko odličnih podatkov.”

Razkriti podatki naj bi vsebovali širok spekter občutljivih informacij, ki vključujejo:

• Kontakti: Osebni in profesionalni kontaktni podatki.
• Finance: Finančni zapisi in transakcije.
• Stranke: Podatki in profili strank.
• Sheme: Poslovni načrti in strategije.
• Zaposleni: Zapisi zaposlenih in osebni podatki.
• Fotografije: Slike, povezane z različnimi operacijami.
• Podatkovne baze: Obsežni zapisi podatkovnih baz.
• Omrežna infrastruktura: Podrobnosti o notranji omrežni postavitvi.
• E-pošta: Interna in zunanja komunikacija.

Resne posledice za Toyoto

Zaradi javne dostopnosti lahko opazimo, da uporabniki foruma že večkrat dostopajo do datotek, ki vsebujejo navedene podatke.

Ta kršitev vključuje tudi orodje, znano kot AD-Recon, ki omogoča podroben pregled ciljne mreže, vključno z gesli in drugimi občutljivimi omrežnimi informacijami.

“Poleg tega vam ponujamo AD-Recon za vso ciljno mrežo z gesli,” trdijo napadalci.

Razkritje tako obsežnih podatkov predstavlja pomembna tveganja za Toyoto in njene stranke, zaposlene ter partnerje.

“Razkrito bazo podatkov smo pridobili pri nedavni kršitvi podatkov Toyota in jo preverila ekipa Cyber Press, da zagotovi točnost podatkov. Verjame se, da je do kršitve prišlo najverjetneje nedavno, čeprav natančen datum ni naveden.”

Tveganja zlorabe informacij

Razkriti podatki vključujejo širok spekter informacij, kar pomeni veliko skrb za zasebnost in varnost.

Potencialna zloraba teh informacij bi lahko vodila do kraje identitete, finančnih prevar in drugih zlonamernih dejavnosti. Poleg tega bi lahko kršitev močno vplivala na poslovanje in ugled podjetja Toyota.

Toyota še ni izdala uradne izjave glede kršitve. Vendar pa strokovnjaki za kibernetsko varnost poudarjajo pomen takojšnjih ukrepov za zmanjšanje vpliva.

Ukrepanje in preprečevanje prihodnjih incidentov

Microsoft uvaja obvezno večfaktorsko avtentikacijo za prijave v Azure kot odgovor na naraščajoče kibernetske grožnje

Microsoft je napovedal uvedbo obvezne večfaktorske avtentikacije (MFA) za vse prijave v svojo spletno storitveno platformo Azure. Odločitev prihaja v trenutku, ko so kibernetske grožnje v porastu, in je del širše strategije podjetja za izboljšanje varnosti podatkov in zaščito identitete uporabnikov.

Z uvedbo večfaktorske avtentikacije, ki zahteva dve ali več oblik preverjanja, znatno izboljšamo zaščito uporabniških podatkov in identitete. Microsoft je s tem proaktivnim ukrepom izpostavil globalni pomen zaščite digitalnih sredstev in napovedal, da se bo obvezna uporaba MFA začela oktobra 2024.

Pomembna naložba v varnost

Ukrep je usklajen z Microsoftovo naložbo v višini 20 milijard dolarjev za varnost, kar kaže na zavezanost podjetja k zaščiti svojih sistemov in uporabnikov. “Poudarjamo potrebo po uvedbi industrijsko vodilnih standardov po celotni infrastrukturi za identiteto in skrivnosti, preverjanje in avtorizacijo uporabnikov in aplikacij,” so povedali v Microsoftu.

Uvedba večfaktorske avtentikacije pomeni, da bodo uporabniki morali potrditi svojo identiteto na več načinov – na primer s kombinacijo gesla in biometričnega preverjanja ali varnostnih ključev.

Napredni ukrepi za varnost

Microsoft načrtuje uporabo varnostnih modulov za strojno opremo in zaupno računalništvo za hitro in avtomatično vrtenje infrastrukture identitete in ključev platform, ki jih bodo zaščitili z robustno strojno zaščito. Namen je uveljaviti stroge standarde identitete v vseh aplikacijah in spodbuditi široko sprejetje varnostnih ukrepov.

Uporabniki bodo kmalu morali uporabljati verificirane varnostne module in zaupno računalništvo, da bi maksimalno zaščitili svoje podatke. Podjetje je pozvalo k celoviti varnosti z zahtevo za večfaktorsko avtentikacijo odporno proti phishing-u za vse uporabniške račune ter odpravilo upravljanje poverilnic z uporabo sistemsko upravljanih rešitev, kot so Upravljana identiteta in Upravljani certifikati.

Priprave na kvantno računalništvo

V luči hitrega razvoja kvantnega računalništva se Microsoft pripravlja tudi na prihodnost. Proaktivno se modernizirajo infrastrukturo javnih ključev za uporabo algoritmov post-kvantne kriptografije. Tako bo zagotovljeno, da bodo sistemi ostali varni tudi v dobi kvantnega računalništva.

Zaveza k povečanju varnosti

Microsoftova stroge varnostne zahteve gredo še naprej, saj podjetje načrtuje izboljšanje odpornosti sistema z razdelitvijo ključev za podpisovanje identitete in platforme za podrobno kontrolo.

Microsoftova raziskava je pokazala, da lahko MFA blokira več kot 99,2 % napadov na kompromitacijo računa. S tem ciljem bo podjetje uvedlo obvezno MFA pri milijonih najemnikov Microsoft Entra ID, s čimer bo ustvarilo varnejši ekosistem za vse uporabnike Azure.

Fazna uvedba MFA

Uvajanju MFA bo sledil fazni pristop. Od oktobra 2024 bo MFA postala obvezna za Azure portal, Microsoft Entra admin center in Intune admin center. Postopno globalno uvajanje omogoča organizacijam dovolj časa za implementacijo in prilagoditev novim varnostnim standardom.

V začetku leta 2025 bo obvezna uporaba MFA razširjena na Azure CLI, PowerShell, mobilne aplikacije in orodja za Infrastrukturo kot kodo, kar bo dodatno izboljšalo varnostno držo in zagotovilo, da bodo vsi uporabniki delovali skladno z najnovejšimi varnostnimi standardi.

Obvestila uporabnikom

Microsoft bo sprožil 60-dnevno odštevanje do obvezne uporabe večfaktorske avtentikacije za vse globalne skrbnike Entra. Obvestila bodo poslana po elektronski pošti, prek Azure Service Health, Azure portala, Entra admin centra in sporočilnega centra M365. Prav tako bodo omogočili podaljšanje roka za skladnost za organizacije, ki se soočajo s kompleksnimi tehničnimi izzivi.

Prilagodljive možnosti MFA

Microsoft Entra ponuja več prilagodljivih možnosti MFA, kot so aplikacija Microsoft Authenticator s potisnimi obvestili, biometrijo ali enkratnimi gesli; FIDO2 varnostni ključi za avtentikacijo brez gesla z uporabo zunanjih naprav; avtentikacija na osnovi certifikata s certifikati PIV ali CAC; in prehodne ključavnice za avtentikacijo, odporna proti phishing-u prek aplikacije Microsoft Authenticator.

Poleg tega je podprta manj varna potrjevanje SMS ali govor, medtem ko so dovoljene tudi zunanje rešitve MFA in ponudniki federirane identitete, če so skonfigurirani za pošiljanje trditve MFA. Microsoft tako poskrbi, da imajo organizacije na voljo široko paleto možnosti za povečanje varnosti svojih sistemov.

Preberite tudi:

Prispevek Microsoft objavil obvezno večfaktorsko avtentikacijo za prijavo v Azure se je pojavil najprej na Cyber Security News.

Porast zaznav malwareja Gigabud od julija 2024 kaže na okrepljeno kampanjo, ki uporablja sofisticirane phishing taktike za širjenje prek lažnih aplikacij letalskih prevoznikov na ponaredkih Google Play Store.

S širjenjem svojega geografskega dosega, ki vključuje Bangladeš, Indonezijo, Mehiko, Južno Afriko in Etiopijo, Gigabud kaže usklajen pristop z malwarejem Golddigger, kar kaže na skupnega napadalca.

Razširjene funkcionalnosti malwareja preko več kot 30 API točk kažejo na nenehno evolucijo njegovih sposobnosti.

Gigabud, Android bančni trojanec, ki je sprva ciljal na jugovzhodno Azijo, se je razvil, deli kodo z malwarejem Golddigger in širi svoj doseg v Bangladeš, Indonezijo, Mehiko, Južno Afriko in Etiopijo.

Napadalci za Gigabud uporabljajo phishing strani, ki posnemajo zakonite entitete, kot so južnoafriške in etiopske letalske družbe, za distribucijo škodljivih aplikacij v preobleki uradnih aplikacij.

Prekrivanje kode med Gigabud in Golddigger nakazuje na skupno infrastrukturo ali razvojno ekipo, kar napadalcem omogoča hitrejši razvoj in uvajanje novih različic malwareja.

Gigabud malware je razširil ciljanje na Mehiko, pri čemer se predstavlja kot banka HeyBanco z lažno prijavno stranjo. Ti škodljivi vzorci, ki izvirajo iz Mehike in so zaznani na VirusTotal, kažejo na koncentriran napor pri ciljanju mehiških uporabnikov.

Poleg tega je bilo opaženo, da malware posnema indonezijsko davčno vladno entiteto, M-Pajak, kar kaže na širši geografski obseg za Grožnjo Gigabud.

Malware je povečal svoje taktike zavajanja, pri čemer se predstavlja kot aplikacija indonezijske davčne oblasti M-Pajak, kar je podobno kot prej opažen phishing HeyBanco shemi.

Malware uporablja različne ikone za posnemanje zakonitih entitet, kar kaže na njegovo prilagodljivost in namen socialnega inženiringa žrtev v prenos škodljivih aplikacij, kar poudarja vse večjo sofistikacijo malwareja in širšo ciljno publiko.

Distribucija malwareja se je močno povečala od junija 2024, kar kaže na nameren napor k širjenju bazena žrtev, kar kaže na strateški premik napadalcev proti širši razširitvi malwareja.

Raziskovalci pri CRIL so identificirali nove različice malwareja Gigabud, ki uporabljajo Virbox Packer, tehniko podobno Golddigger malwareju, za zameglitev kode in obhod zaznavanja, kar otežuje varnostnim orodjem analizo prave funkcionalnosti malwareja.

Similarnosti v izvorni kodi med Gigabud in knjižnico “libstrategy.so,” uporabljeno v Golddigger, nakazujejo, da je Gigabud uporabil podoben način za ciljanje specifičnih UI elementov znotraj bančnih aplikacij, verjetno za krajo finančnih informacij.

Raziskovalci so analizirali odpakirane vzorce malwareja Gigabud in našli močne dokaze, da deli funkcionalnosti in kodo z malwarejem Golddigger, vključno z identično uporabo razredov, podobno kodo za prikaz lažnih bančnih dialogov in doslednimi C&C komunikacijskimi točkami z uporabo Retrofit knjižnice.

Čeprav zadnja različica Gigabud cilja na nove bančne aplikacije kot sta Yape in Dutch-Bangla Bank Rocket, vključuje tudi knjižnico “libstrategy.so” iz Golddigger, kar ji omogoča analiziranje UI elementov za različne ciljne bančne aplikacije in zaklenjene zaslone naprav različnih blagovnih znamk.

Omogoča Gigabudu izvajanje zlonamernih dejanj, kot je odklepanje naprave in kraja gesel, kar nakazuje visoko verjetnost, da je isti

Kritična varnostna ranljivost odkrite v Kibani: Omogočena izvedba poljubne kode

Strokovnjaki za kibernetsko varnost so odkrili kritično varnostno ranljivost v Kibani, popularnem orodju za vizualizacijo in raziskovanje podatkov, ki se uporablja skupaj z Elasticsearch. Ranljivost, označena kot CVE-2024-37287, omogoča izvajanje poljubne kode prek ranljivosti onesnaženja prototipa, kar daje napadalcem potencialen dostop do prizadetih sistemov.

Ta resna pomanjkljivost je bila ocenjena kot kritična z oceno resnosti CVSSv3.1 9.1. Ker je razkrita ranljivost izredno visoko ocenjena, njena pravočasna odprava postane ključna.

Podrobnosti o ranljivosti

Ranljivost onesnaženja prototipa, ki jo lahko sproži napadalec, zahteva določene pogoje za izkoriščanje. Napadalec mora imeti:

• Pravice pisanja v skrite indekse .ml-anomalies*.
• Pravice branja funkcije strojnega učenja (Machine Learning).
• Pravice branja funkcije Actions & Connectors.

S pridobitvijo teh pravic, lahko napadalci povzročijo onesnaženje prototipa in nato izvedejo poljubno kodo v prizadetem sistemu. Čeprav so številni varnostni ukrepi, kot sta seccomp-bpf in Profili AppArmor, uspešni pri preprečevanju popolnega prevzema sistema, ranljivost še vedno predstavlja resno tveganje.

Prizadeti sistemi

Ranljivost vpliva na naslednje različice Kibana:

• Kibana 8.x: Različice pred 8.14.2
• Kibana 7.x: Različice od 7.7.0 do 7.17.23

Za uspešno izkoriščanje ranljivosti mora napadalec imeti dostop do pisanja v skrite indekse .ml-anomalies*, pravice branja funkcije strojnega učenja, in pravice branja funkcije Actions & Connectors. Ti pogoji so običajno omejeni in nadzorovani, vendar lastniki sistemov morajo vseeno upoštevati naslednje nasvete, da bi zagotovili zaščito pred ranljivostjo.

Strategije za blaženje ranljivosti

Za uporabnike, ki iz različnih razlogov ne morejo takoj nadgraditi, so na voljo številni koraki za blaženje ranljivosti:

1. Zavarujte privilegije uporabnikov Elasticsearch: Zagotovite, da uporabniki nimajo nepotrebnih privilegijev, še posebej pravic pisanja v ML indekse rezultatov (.ml-anomalies*).
2. Omejite privilegije uporabnikov Kibana: Omejite dostop do ML in konektorskih akcijskih zmožnosti z določitvijo relevantnih privilegijev Kibana na “None” za uporabnike, ki jih ne potrebujejo.
3. Onemogočite akcije konektorjev: Onemogočite akcije konektorjev za e-pošto v kibana.yml za preprečitev pošiljanja obvestil o pravilih opozarjanja prek e-pošte.
4. Onemogočite strojno učenje: Popolnoma onemogočite zmožnosti ML z nastavitvijo xpack.ml.enabled: false v elasticsearch.yml in kibana.yml.

Glede na resnost ranljivosti je lastnikom sistemov močno priporočeno takojšnje ukrepanje. Nujno je, da dovršite svoje sisteme s posodobitvijo Kibana na verzijo 8.14.2 ali 7.17.23, kar bo učinkovito omililo to nevarnost.

Poleg tega priporočamo, da organizacije natančno pregledajo in prilagodijo varnostne ukrepe ter se osredotočijo na omejitev nepotrebnih privilegijev za uporabnike. Nekatere dodatne varnostne izboljšave vključujejo uporabo seccomp-bpf in AppArmor profilov, ki so že umeščeni v večino modernih distribucij Linuxa.

Ta varnostni incident je opomnik za vse organizacije, ki uporabljajo Kibana in Elasticsearch, da redno posodabljajo svoje sisteme in spremljajo varnostne posodobitve proizvajalca.

Za popolne informacije o ranljivosti in strategijah za njeno ublažitev, obiščite uradna poročila Elastic, dosegljiva na sledeči povezavi: uradno poročilo Elastic.

Za več informacij in stalen dostop do najnovejših varnostnih novic, redno obiskujte naš kibernetski varnostni portal Cyber Security News.

Vir novice: Ranljivost v Kibani omogoča RCE in omogoča napadalcem nadzor na daljavo

Odkrita kritična ranljivost Microsoft Outlook: CVE-2024-30103

Raziskovalci so odkrili kritično ranljivost za oddaljeno izvajanje kode (RCE) brez uporabniškega klikovanja, CVE-2024-30103, v programu Microsoft Outlook, ki bi jo lahko napadalci izkoristili za obhod varnostnih ukrepov in izvajanje poljubne kode z enakimi pravicami kot uporabnik.

Ranljivost je bila ugotovljena v algoritmu za ujemanje dovoljenih seznamov, ki se uporablja za Outlookove obrazce. Z oblikovanjem e-poštnih sporočil, ki vsebujejo obrazce s podključi, ki vključujejo strateško postavljene zaključne poševnice, so lahko napadalci manipulirali, kako je algoritem obravnaval te vnose.

Ta manipulacija je obšla standardne protokole validacije, kar jim je omogočilo izvajanje poljubne kode s pravicami ciljanega uporabnika, kar bi lahko privedlo do kršitev podatkov, nepooblaščenega dostopa in popolnega prevzema nad sistemom.

Microsoft je težavo rešil s popravilom algoritma za ujemanje dovoljenih seznamov, tako da je zdaj vključeval natančno ujemanje po odstranitvi zaključnih poševnic iz podključev.

Incident poudarja pomembnost implementacije večplastnega varnostnega pristopa, ki vključuje dovoljevanje aplikacij, filtriranje e-pošte in hitro nameščanje popravkov za zmanjšanje možnosti napada in odbiranja morebitnih izrabljenih vektorjev.

Metodologija izkoriščanja: Zloraba ujemanja dovoljenih seznamov z zaključnimi poševnicami

Ranljivost izhaja iz napake znotraj algoritma za ujemanje dovoljenih seznamov, ki se uporablja za Outlookove obrazce, in določa, ali je določen obrazec varen za nalaganje in izvajanje v Outlookovem odjemalcu.

Napadalci so ugotovili, da lahko z oblikovanjem e-poštnih sporočil, ki vsebujejo obrazce s podključi, ki vključujejo strateško postavljene zaključne poševnice, manipulirajo, kako algoritem obravnava te vnose.

Po podatkih Morphisec te zaključne poševnice dejansko delujejo kot mehanizem za obhod, ki omogoča, da napadalec nadzira obrazce, da zaobidejo standardne protokole validacije.

Posledično, ko ciljani uporabnik odpre e-poštno sporočilo, ki vsebuje zlonamerni obrazec, se ranljivost izkoristi in omogoči napadalcem izvajanje poljubne kode z enakimi pravicami kot uporabnik.

Implementacija popravka: Izpopolnjevanje ujemanja dovoljenih seznamov in krepitev obrambe

Microsoftov popravek je cilj rešil z modifikacijo algoritma za ujemanje dovoljenih seznamov, da zdaj izvaja natančno ujemanje, kar vključuje odstranjevanje zaključnih poševnic iz podključev pred izvedbo postopka ujemanja.

To učinkovito preprečuje tehniko manipulacije, uporabljeno v prvotnem napadu. Za dodatno zmanjšanje tveganja podobnih RCE napadov, so povečali obstoječi seznam prepovedi, da vključujejo tehnike, ki bi jih lahko uporabili za obhod revidiranih protokolov validacije.

Dolgoročni varnostni premisleki: Povečanje budnosti v spreminjajočem se grozečem okolju

Medtem ko nameščen popravek ponuja rešitev za neposredno grožnjo, ki jo predstavlja CVE-2024-30103, je njegova dolgoročna učinkovitost odvisna od zmožnosti napadalcev, da zasnujejo nove metode za obvod revidiranih protokolov validacije.

Ohranjanje posodobitev o zadnjih varnostnih grožnjah in ranljivostih postane bistveno za organizacije, da implementirajo ustrezne strategije za ublažitev tveganj.

Večplastni varnostni pristop, ki vključuje beleženje dovoljenih aplikacij, filtriranje e-pošte in hitro nameščanje popravkov, ostaja ključnega pomena za zmanjšanje možnosti napadov in odkrivanje obstoječe ranljivosti.

Z dajanjem prednosti tem ukrepom lahko organizacije znatno povečajo svojo celotno varnostno pozicijo in bolje zaščitijo svoje sisteme pred spreminjajočimi se kibernetskimi grožnjami.

Ranljivost za zavrnitev storitve (Denial of Service – DoS) obstaja v CLFS.sys, ki jo je mogoče izkoristiti z avtoriziranimi uporabniki z nizkimi privilegiji. Uspešna izraba sproži zaslon smrti (Blue Screen of Death – BSOD) z prisilnim klicem funkcije KeBugCheckEx, kar naredi prizadet sistem neuporaben do ponovnega zagona.

Za sisteme, ki poganjajo Windows 10, 11 in Server 2016-2022, ta ranljivost, ki ji je bila dodeljena oznaka CVE-2024-6768, predstavlja srednje visoko tveganje.

Ranljivost v gonilniku CLFS.sys na Windows 10, 11 in določenih strežniških verzijah omogoča avtoriziranemu napadalcu z nizkimi privilegiji, da inducira zrušitev sistema (zaslon smrti) z zlonamernim sprožilcem funkcije KeBugCheckEx.

Ta pogoj zavrnitve storitve izrablja napako v upravljanju vhodnih podatkov gonilnika, kar napadalcu omogoča, da zaobide zaščite sistema in destabilizira operacijski sistem.

Poseben mehanizem vključuje napadalca, ki ustvari zlonameren vnos, ki povzroči, da gonilnik napačno obdela podatke, kar vodi do nepričakovanega pogoja napake, ki sproži zrušitev sistema.

Ranljivost v gonilniku CLFS.sys, identificirana kot CVE-2024-6768, omogoča napadalcu z nizkimi privilegiji, da izkoristi nepravilno preverjanje vnosa z ustvarjanjem zlonamernih podatkov v .BLF datoteki.

Napaka, kategorizirana kot CWE-1284, omogoča napadalcu, da sproži pogoj zavrnitve storitve z zrušitvijo sistema, odkrita 19. decembra 2023, prizadene vse verzije Windows 10 in 11.

S CVSS oceno 5.5, je ta srednje resna težava lahko izkoriščena z napadalcem z nizkimi privilegiji, da zmanipulira sistem v izvajanje funkcije KeBugCheckEx, kar vodi do zaslona smrti (BSOD).

20. decembra 2023, je bil Microsoftu prijavljen dokaz koncepta izrabe, ki je podrobno opisal možno ranljivost, pri čemer Microsoftovi inženirji niso mogli ponoviti težave pri preiskavi 8. januarja 2024.

Vendar pa je Fortra nato 12. januarja 2024 zagotovil konkretne dokaze, vključno s posnetkom zaslona sistema Windows, ki je poganjal najnovejši januarjski Patch Tuesday in ustreznim pomnilniškim odtisom, ki je zajel zrušitev, kar je izzvalo prvo oceno Microsofta.

Prijavili so težavo Microsoftu 21. februarja 2024, ki je ni mogel reproducirati, nato so ponovili težavo 28. februarja 2024, pri čemer so zagotovili dodatne dokaze, vključno z videoposnetkom, ki dokazuje, da so februarski Patch Tuesday posodobitve povzročile težavo.

Zaradi Microsoftove nezmožnosti reševanja težave so napovedali načrte za zasledovanje CVE in javno razkritje svojih ugotovitev 19. junija 2024, z rezervacijo CVE-2024-6768 16. julija 2024, s čimer so napovedali namero za razkritje ranljivosti.

Raziskovalci so uspešno reproducirali težavo na popolnoma posodobljenih sistemih Windows 11 in Server 2022 avgusta, pri čemer so zajeli dokaze za javno razkritje, medtem ko je bil CVE uradno objavljen 12. avgusta 2024.

Preberite tudi:

Objava Nova napaka BSOD povzroča zmedo pri posodobljenih uporabnikih Windows 10 in 11 se je pojavila najprej na Cyber Security News.

Vir novice