Category: IT security novice

Orodje Excel s .NET Snake snemalnikom ključev cilja na računalnike s sistemom Windows

Orodje Excel s .NET Snake snemalnikom ključev cilja na računalnike s sistemom Windows

admin Leave a comment

Nedavna phishing kampanja cilja na uporabnike Windows z zlonamerno Excel datoteko

Nedavna phishing kampanja, usmerjena proti uporabnikom operacijskega sistema Windows, vključuje zlonamerno Excelovo datoteko, ki prenaša novo različico Snake Keyloggerja. Gre za programsko opremo na osnovi .NET-a, ki se prodaja na hekerskih forumih in je zasnovana za krajo občutljivih podatkov z okuženih računalnikov.

Ko se izvrši, lahko Snake Keylogger zajame pritiske tipk, posname zaslonske posnetke, pridobi shranjena gesla iz spletnih brskalnikov in druge programske opreme, dostopa do sistemskega odložišča in zbira osnovne informacije o napravi. To predstavlja veliko tveganje za zasebnost in varnost uporabnikov sistema Windows.

Postopek delovanja phishing kampanje

Phishing sporočilo zvabi prejemnika k odprtju zlonamerne datoteke Excel, ki izkorišča ranljivost CVE-2017-0199 za prenos zlonamerne HTA datoteke. Ta vsebuje zakrito JavaScript kodo, ki se samodejno izvrši ob nalaganju. To lahko vodi do nadaljnjih zlonamernih dejavnosti, kot je prenos dodatne škodljive programske opreme ali kraja občutljivih informacij.

Zlonamerna VBScript koda, zakrita znotraj JavaScript kode, ustvari skriptne objekte, medtem ko Shell objekti izvedejo PowerShell kodo, pridobljeno iz base64 kodiranega niza. PowerShell koda prenese zlonamerno izvršljivo datoteko (sahost.exe) s pomočjo URLDownloadToFile API in jo zažene.

Neprebojna zlonamerna programska oprema

Sahost.exe je nalagalni modul, ki izvleče in dešifrira več modulov (dlls) iz svojih virov. Ti delujejo skupaj za izvlečenje in dešifriranje jedra modula Snake Keylogger (Tyrone.dll), skrit v Bitmap viru. Nalagalni modul se začne s preimenovanjem in zagotavljanjem persistentnosti Snake Keyloggerja s pomočjo ustvarjanja načrtovanih opravil. Nato ekstrahira in dešifrira vir, ki vsebuje jedro modula Snake Keylogger.

Z uporabo tehnike “process hollowing,” modul ustvari suspendiran proces z enakim imenom kot nalagalni modul ter vbrizga dešifrirani modul v njegov pomnilniški prostor. Po spremembi konteksta procesa, nadaljuje z izvajanjem, učinkovito skrivajoč prvotni proces in omogočoč zlonamerne dejavnosti modula Snake Keylogger.

Namera napadalcev

Jedro modula Snake Keylogger, zakrito za izogib analizi, je zasnovano za zbiranje občutljivih informacij iz naprave žrtve. To vključuje osnovne podatke o napravi, shranjena gesla, pritiske tipk, zaslonske posnetke in podatke iz sistemskega odložišča.

Snake Keylogger pridobiva informacije o napravi in preverja trdo kodirane IP naslove za izogibanje zaznavi avtomatiziranih analiznih sistemov. Če se IP žrtve ujema s trdo kodiranim naslovom, nadaljuje s pridobivanjem gesel, vendar podatkov ne pošlje napadalcu.

Zbrana gesla se nato pošiljajo napadalcu prek SMTP. Telo e-poštnega sporočila vsebuje informacije o računalniku žrtve in ukradena gesla iz različnih programov, vključno s priljubljenimi spletnimi brskalniki, kot so Chrome, Firefox in Opera, ter druge aplikacije, kot so Thunderbird, FileZilla in Pidgin.

Po podatkih Fortinet se kampanja Snake Keylogger začne s phishing e-pošto, ki vsebuje zlonamerno Excelovo datoteko. Po odprtju dokument izkorišča ranljivost za prenos HTA datoteke, ki nato uporabi več skriptov za prenos nalagalnega modula.

Ekstrahira različne module iz odseka z viri datoteke in vzpostavi persistentnost na računalniku žrtve s pomočjo procesa hollowing, nato pa jedro modula krade občutljive informacije in jih pošilja napadalcu prek SMTP.

Haktivisti na Telegramu zahtevajo izpustitev Pavla

Haktivisti na Telegramu zahtevajo izpustitev Pavla

admin Leave a comment

Aretacija Pavla Durova, ustanovitelja Telegrama, sprožila mednarodno polemiko

Aretacija Pavla Durova, ustanovitelja priljubljene aplikacije za šifrirano sporočanje Telegram, 24. avgusta 2024, je sprožila močno reakcijo mednarodne skupnosti in povzročila veliko ogorčenje med hacktivističnimi skupinami.

Durov je ustanovil dve pomembni platformi za spletno komuniciranje in deljenje informacij znotraj hacktivističnih skupnosti: Vkontakte (VK) in Telegram. Vkontakte je bil nekoč znan po svojem blažjem pristopu do avtorskih pravic in obsežni zbirki nezakonitih vsebin. Bil je središče za oblikovanje skupin, izmenjavo informacij in dostopanje do piratskih vsebin.

Ta aretacija je sprožila pomembne razprave glede svobode govora in odgovornosti platform družbenih medijev, hkrati pa je spodbudila hacktiviste k obranitvi Durova in njegovih platform. Telegram se je pojavil kot priljubljena platforma za proruskih hacktivistov zaradi minimalnega moderiranja in Durovovega libertarnega pristopa k zasebnosti in svobodi govora. Te skupine so platformo uporabljale za organiziranje, ustvarjanje skupnosti in trgovanje z nezakonitimi storitvami in programsko opremo.

Reakcije na Durovovo aretacijo

Durovovo pridržanje v Franciji je povzročilo presenetljivo enotnost med rusko vlado, proruskimi aktivisti in celo izgnanimi ruskimi opozicijskimi člani, ki so vsi izrazili nezadovoljstvo z odločitvijo francoskih oblasti. Medtem ko so vlada in opozicija izdajali uradne izjave, so proruski hacktivisti začeli spletne kampanje v podporo Durovu in Telegramu, poudarjajoč pomen platforme za njihove dejavnosti.

Po novicah o aretaciji Pavla Durova v Franciji so se ruske hacktivistične skupine, vključno z UserSec, CyberDragon in EvilWeb, hitro organizirale na Telegramu, da bi začele kampanjo kibernetskih napadov proti Franciji.

Kibernetski napadi proti Franciji

Zveze, kot sta High Society in Holy League, so okrepile poziv, mobilizirale svoje člane, da se pridružijo prizadevanju. Kolektiv, združen pod oznako #OpDurov, si je prizadeval izkoristiti svoje tehnično znanje in digitalno infrastrukturo za ciljanje na francoske vladne in zasebne sektorje.

Koordinirani kibernetski napadi, ki sta jih začela UserSec in Ljudska kibernetska vojska proti francoskim institucijam, vključno s kasacijskim sodiščem, upravnim sodiščem v Parizu in skupino AXA, so se močno zaostrili.

Dodatne proruske hacktivistične skupine, kot so Cyber Dragon, ReconSploit, Evilweb, Rootspolit, CGPlnet in RipperSec, so se pridružile koaliciji, razširile obseg in intenzivnost napadov. Te skupine so začele distribuirani napad za zavrnitev storitve (DDoS napade) in druge tehnike za motenje ključnih spletnih storitev in infrastrukture znotraj Francije.

Hacktivisti so začeli večnamenski kibernetski napad, ciljno usmerjen na kritično infrastrukturo, kot so letališča, trajektne storitve in vladne spletne strani. Medtem ko je bil predviden obsežen napad na dan obravnave na sodišču, je bila aktivnost razmeroma umirjena.

Ljudska kibernetska vojska je trdila, da je kompromitirala industrijske nadzorne sisteme francoskega jezu in zagotovila video dokaze o njihovem vdoru v nadzorno ploščo za prenos moči, izdelano od ELEC-ENR.

Uhajajoča baza podatkov in dodatni dokazi

Po poročanju Cyble je uhajana baza podatkov Mejne službe FSB, “Kordon 2023”, razkrila pogosta potovanja Pavla Durova v Rusijo med letoma 2014 in 2023, kar nasprotuje njegovim trditvam o pretrganih vezeh.

Baza podatkov je vsebovala občutljive informacije, kot so njegovo polno ime, datumi potovanj, lokacije, načini prevoza in cilji, medtem ko je njegova prisotnost v Rusiji na dan, ko je Roskomnadzor dvignil Telegram prepoved,

Corona Mirai Botnet izkorišča Zero-Day za rekrutiranje novih botov

Corona Mirai Botnet izkorišča Zero-Day za rekrutiranje novih botov

admin Leave a comment

Ranljivost RCE CVE-2024-7029 v napravah AVTECH IP kamer omogoča napadalcem daljinsko izvajanje ukazov z višjimi privilegiji, kar se lahko uporabi za širjenje različice Mirai v cilj sistem. CISA je zaradi nizke kompleksnosti napadov in znane javne izkoriščenosti izdala ICS svetovalno obvestilo za to ranljivost.

Kampanja botnet izkorišča različne ranljivosti, vključno z AVTECH ranljivostmi, Hadoop YARN RCE in starejšimi ranljivostmi, kot sta CVE-2014-8361 in CVE-2017-17215, kar poudarja napadalčevo težnjo po izkoriščanju nepopravljenih ranljivosti, tudi če se štejejo za nizko prioriteto, za dosego svojih zlonamernih ciljev.

Pomanjkanje dodelitev CVE za številne nedavne ranljivosti z elementi RCE otežuje sledenje in odpravljanje le-teh, kar predstavlja pomembno varnostno tveganje, še posebej ob upoštevanju potenciala za daljinsko izvajanje kode.

CVE-2024-7029 je kritična ranljivost v AVTECH IP kamerah, ki omogoča napadalcem izvajanje poljubnih ukazov na napravi z manipulacijo parametra “svetlost” v URL parametru “action=”, ki so ga izkoriščali napadalci za širjenje različice Mirai, zlonamernega IoT botneta z imeni, povezanimi z virusom COVID-19.

Izkoristek za CVE-2024-7029 je javno dostopen vsaj od leta 2019, vendar mu ni bil dodeljen CVE do avgusta 2024. Aktivne kampanje, ki uporabljajo ta izkoristek, so bile opažene od decembra 2023, pri čemer se je prva večja kampanja začela marca 2024.

Lahko potencialno ogrozi varnost ključnih infrastrukturnih entitet po vsem svetu, saj se te naprave še vedno uporabljajo kljub ukinitvi. Prizadete naprave so specifično tiste, ki uporabljajo firmware AVM1203 različice FullImg-1023-1007-1011-1009.

Izkoristek izkorišča ranljivost v funkciji svetlosti v datoteki /cgi-bin/supervisor/Factory.cgi. Z manipulacijo parametra svetlost v URL-ju lahko napadalci izvajajo poljubne ukaze na ranljivem sistemu, kar zaradi nepravilnega preverjanja in čiščenja vhodnih podatkov v funkciji svetlost omogoča napadalcem vnos zlonamerne kode in pridobivanje nepooblaščenega dostopa.

Napadalec je izkoristil ranljivost za izvajanje daljinske kode na cilj sistemu in nato prenesel ter zagnal JavaScript datoteko, ki je pridobila in naložila različico Mirai zlonamerne programske opreme, posebej različico Corona Mirai.

Ta zlonamerna programska oprema se je povezovala z več gostitelji prek Telnet na določenih vratih in prikazovala niz “Corona” na okuženem gostitelju.

Zlonamerna programska oprema cilja na naprave Huawei z uporabo izkoristka CVE-2017-17215, pošiljajoč POST zahtevo na /ctrlt/DeviceUpgrade_1, ki vbrizga zlonamerne ukaze z uporabo XML za prenos in izvajanje skripta iz ukazno-nadzornega strežnika.

Akamai SIRT je identificiral nov trend napadov, ki vključuje izkoriščanje nepopravljenih ranljivosti brez formalnih dodelitev CVE, kar zaradi pomanjkanja CVE pogosto spregledajo, vendar predstavljajo pomembna varnostna tveganja.

Zlonamerni akterji izkoriščajo te ranljivosti za širjenje zlonamerne programske opreme in kompromitiranje sistemov. Za zmanjšanje tveganj se organizacijam priporoča, da prioritizirajo odpravljanje znanih ranljivosti, ukinjanje zastarele strojne in programske opreme ter ohranjajo informiranost o novih grožnjah.

Prav tako preberite:

Iranski hekerji izkoriščajo ponujene lažne zaposlitve v drzni novi kibernetski shemi

Novo zlonamerno programsko orodje Copybara zdaj oddaljeno prevzame nadzor nad vašo napravo Android

Novo zlonamerno programsko orodje Copybara zdaj oddaljeno prevzame nadzor nad vašo napravo Android

admin Leave a comment

“`html

Copybara, vztrajni Android trojan od leta 2021, se je nedavno razvil z novembrsko posodobitvijo leta 2023. Njegove obsežne zmogljivosti vključujejo beleženje tipkanja, snemanje medijev, prevzem SMS sporočil, zajemanje zaslona, krajo poverilnic in daljinski nadzor naprave.

Pogosto se predstavlja kot priljubljena finančna aplikacija, Copybara cilja na uporabnike v Italiji in Španiji ter jih mami s phishing stranmi, ki posnemajo menjalnice kriptovalut in globalne institucije.

Nova funkcija v zadnji različici je uvedba protokola MQTT za varno komunikacijo s svojim ukazno-nadzornim strežnikom.

Zadnja različica Copybare uporablja MQTT protokol za komunikacijo s C2 strežnikom, kar je lahek protokol, zasnovan za naprave z omejenimi viri in okolja z omejeno pasovno širino, kot so konteksti IoT.

Razvita z uporabo B4A, zakonitega Android okvira za razvoj aplikacij, Copybara pogosto posnema znane finančne institucije v Italiji in Španiji, kot je razvidno iz logotipov, ki jih uporablja, ter različice, zamaskirane kot Google Chrome in IPTV aplikacija, kar še dodatno poudarja njeno sposobnost posnemanja zakonite programske opreme.

Logotipi finančnih institucij, ki jih posnema Copybara.

Copybara malware je sofisticiran Android bančni trojanec, ki cilja na uporabnike prek lažnih (phishing) strani in izkorišča storitev dostopnosti za pridobitev obsežnega nadzora nad napravami žrtev.

Po namestitvi Copybara agresivno poziva uporabnike, da omogočijo storitev dostopnosti, kar malware-ju omogoča manipulacijo z različnimi funkcijami in nastavitvami naprave, vključno s prestrezanjem SMS sporočil, zajemanjem zaslonskih slik in celo zaklepanjem naprave.

Ko je storitev omogočena, Copybara prenese lažne (phishing) strani s C2 strežnika, zasnovane tako, da posnemajo zakonite finančne institucije in menjalnice kriptovalut, s čimer mami žrtve, da vnesejo svoje občutljive podatke, ki se nato prenesejo na C2 strežnik.

Primer zaslonske slike Copybare po omogočeni funkciji storitve dostopnosti.

Njen nabor zmožnosti se razširja preko phishinga in kraje podatkov; lahko tudi prejme ukaze od C2 strežnika, kar ji omogoča izvajanje akcij, kot so zaklepanje naprave, zajemanje zaslonskih slik in prestrezanje SMS sporočil.

Dodatno lahko prenese in namesti druge zlonamerne aplikacije, kar še dodatno širi njene zmožnosti in otežuje njeno odstranitev.

Odprti imenik živega C2 strežnika Copybare, ki gosti lažne (phishing) strani.

Copybara predstavlja pomembno grožnjo za uporabnike Androida, sposobna kraje osebnih in finančnih informacij ter povzroča znatne finančne izgube. Pomembno je, da uporabniki Androida poznajo tveganja, povezana z zlonamernimi aplikacijami, in sprejmejo previdnostne ukrepe za zaščito svojih naprav pred takšnimi grožnjami.

Hudobni akterji za Copybaro uporabljajo phishing povezave (npr. app-link.cc/agricole.apk), da pretentajo žrtve k prenosu lažnih aplikacij z imeni, podobnimi zakonitim bančnim aplikacijam (npr. BBVACodigo.apk, CaixaBankSignNueva.apk). Ko je nameščena, Copybara zlorabi storitve dostopnosti za pridobivanje nadzora nad napravo in krajo prijavnih podatkov.

Po poročanju Zscaler ThreatLabz malware uporablja tudi različne tehnike, kot so beleženje tipkanja, snemanje zvoka in videa ter prestrezanje SMS sporočil za nadaljnji kompromis.

💡 Namig dneva: Izogibajte se nalaganju aplikacij iz nepreverjenih virov in vedno preverite dovoljenja, ki jih aplikacija zahteva ob namestitvi.

Priporočeno branje:

Raziskovalci odkrivajo skrito grožnjo: ‘PEAKLIGHT’ pomnilniški zlonamerni program razkrit

Objava SolarWinds Web Help Desk napaka omogoča oddaljeno izvedbo kode se je pojavila prvič na Cyber Security News.

❕Če imate komentarje ali želite deliti svoje misli, prosimo, da jih pustite spodaj ali delite to novico na socialnih omrežjih!

URL izvora novice: https://cyberpress.org/solarwinds-web-help-desk-flaw/