Най-интересното

  • Microsoft отстранява 96 нови уязвимости – приложете ъпдейтите

    Microsoft стартира 2022 година с необичайно голям за месец януари ъпдейт: отстранени са 96 нови уязвимости в Microsoft Window, Microsoft Edge (Chromium-based), Exchange Server, Microsoft Office, SharePoint Server, .NET Framework, Microsoft Dynamics, Open-Source Software, Windows Hyper-V, Windows Defender и Windows Remote Desktop Protocol (RDP).

    Препоръчително е да приложите ъпдейтите възможно най-скоро.

    Девет от уязвимостите са класифицирани като Critical:

    • CVE-2022-21907 (HTTP Protocol Stack Remote Code Execution Vulnerability), засягаща HTTP Protocol Stack (http.sys). Уязвимостта предполага, че може да бъде ескалирана в заплаха тип worm malware (червей).

    За момента няма PoC (Proof of Concept) и не са засечени реални атаки (in-the-wild), но е желателно да се приоритизира прилагането на пачовете, особено върху сървъри с публично достъпни Web услуги (IIS и други web сървъри).

    Клиентите (Windows Desktop) също са потенциално уязвими.

    За по-детайлна информация препоръчваме този ресурс.

    • CVE-2022-21846(Microsoft Exchange Server Remote Code Execution Vulnerability)

    С последните няколко ъпдейта са отстранени три RCE уязвимости, но тази е класифицирана с най-голяма тежест. Засега е ясно, че  може да бъде експлоатирана само от съседна мрежа (частна мрежа), т.е. не би трябвало да е възможно да бъде осъществена атака от интернет.

    • CVE-2022-21840(Microsoft Office Remote Code Execution Vulnerability): RCE в Office пакета с критична важност, понеже експлоатацията би мога да бъде осъществена без съдействието (кликане) и знанието (warning) на потребителя, използващ софтуера.
    • CVE-2022-21857(Active Directory Domain Services Elevation of Privilege Vulnerability): позволява ескалиране на права (privilege escalation) в AD инфраструктура. Обикновено такива уязвимости се категоризират като Important, но този е Critical.
    • Няколко сериозни CVE-та относно code execution в RDP клиента/протокола: изискването за успешна експлоатация е клиентът да се свърже със злонамерен RDP сървър. Повече инфо – https://www.cyberark.com/resources/threat-research-blog/attacking-rdp-from-inside

    Извън контекста на сигурността, Microsoft наскоро пусна out of band patch, относно RDP проблеми в сървърните дистрибуции. За инструкции как да инсталирате тази актуализация за вашата операционна система, вижте KB, изброени по-долу:

    Още ъпдейти от вендори

  • След ъпдейт до Firefox 96 браузърът не работи коректно – как да отстраните проблема

    Ъпдейтът от 13 януари 2022 г. на Mozilla Firefox до версия 96 дойде с бъг. Проблемът е свързан с HTTP3 и не позволява успешното зареждане на нито един уеб сайт.

    Какво е HTTP3

    Да тръгнем по-отдалече: Hyper Text Transfer Protocol (HTTP) е основна градивна част на интернет пространството. Той диктува как комуникационните платформи и устройства да обменят информация и да извличат ресурси. Накратко, чрез него зареждатe уеб страници.

    HTTP/3 е нов стандарт, все още в разработка, който ще подобри значително комуникацията между потребителските браузъри и сървърите, с които те комуникират, по отношение на производителност, надеждност и сигурност.

    Съществената разлика спрямо предходните варианти е, че HTTP/3 работи с QUIC, който е проектиран за използване в интернет комуникацията: главно е свързан с мобилните устройства, които често се превключват от една мрежа в друга. HTTP/3 използва UDP, а не TCP, което позволява по-бърза комуникация и по-интензивно потребителско изживяване при сърфиране онлайн.

    Отстранете проблема в браузъра, следвайки тези лесни стъпки:

    1. Отворете нов таб в Mozila FireFox:

    Отворете нов таб в Mozila FireFox

    2. В URL полето, напишете “about:config”, натиснете бутона “Enter” и след това бутона “Accept the Risk and Continue”:

    about:config

    3. Ще се отвори нов прозорец, с нова търсачка:

    нова търсачка

    4. В полето за търсене напишете “network.http.http3.enabled”, за да се появи настройката, която трябва да промените:

    network.http.http3.enabled

    5 Кликнете два пъти върху полето “true” за да го промените на “false”. Запазете настройките и рестартирайте FireFox, за да се приложат промените.

    6. Проблемът с неуспешното зареждане на страници във Firefox е елиминиран!

    Повече информация относно HTTP/3 (QUIC) можете да намерите на следния линк:  https://www.cloudflare.com/learning/performance/what-is-http3/

  • Проблемът с Log4j ескалира – следете за актуализации

    Разкрита е критична уязвимост в библиотеката Java Log4j (CVE-2021-44228 или „Log4shell“), последиците от която са сериозни и трудни за митигиране.

    Log4j е много популярна система за регистриране, широко използвана от разработчиците на уеб и сървърни приложения, базирани на Java и други езици за програмиране. Уязвимостта засяга голям спектър от услуги и приложения на сървърите, което я прави изключително опасна. Тя предоставя на хакерите сравнително лесен начин за дистанционен достъп до сървър на съответната организация, а оттам – до цялата мрежа.

    Вече са засечени стотици хиляди опити от 9 декември 2021 г. (когато разкритието беше оповестено) насам за дистанционно изпълнение на код, използвайки тази уязвимост. Предполага се, че тя е била експлоатирана седмици преди публичното й оповестяване. Засегнати са услуги/продукти на вендори като Cisco, VMware,  Apple, Cloudflare, Minecraft и много други.

    Какво да направите

    1. Консултирайте се с разработчиците на вашите системи, за да установите дали приложенията, които използва организацията ви са написани на Java и/или част от тях разчитат на код написан на Java.
    2. Ако това е така, проверeте дали приложенията включват уязвима версия на библиотеката Log4j – актуализирайте я до версия 2.15.0 или по-нова.
    3. Уязвимостта може да бъде смекчена и в предишни версии (2.10 и по-нови) чрез задаване на стойност „true“ на „log4j2.formatMsgNoLookups“ или премахване на класа JndiLookup от указания път.
    4. Ако използвате засегнато приложение на трета страна, уверете се, че поддържате продукта актуализиран до най-новата версия.

    Подробна информация и насоки по темата можете да откриете ТУК.

  • 5 често срещани измами с подаръчни карти – как да се предпазите

    Подаръчните карти (Gift Cards) се утвърждават като предпочитан коледен подарък. В глобален мащаб се очаква стойността им да достигне зашеметяващите 2 трилиона USD до 2027 г.

    Защо подаръчните карти са популярни сред измамниците

    • Лесно е да бъдат закупени – онлайн или на място в магазина
    • Повечето търговци на дребно и известни марки вече предлагат някаква форма на карта за подарък
    • Имат по-малко защити отколкото банковите разплащателни карти
    • Няма ангажименти, след като салдото по картата е нулирано
    • Не са обвързани с банкова разплащателна сметка

    Петте най-често срещани измами, за които да внимавате:

    1. Заплашително „напомняме“ за неплатени сметки

    Тактиката използва класическо социално инженерство, предназначено да ви принуди бързо да вземете решение. Може да получите фишинг под формата на имейл или обаждане (вишинг), като измамникът обикновено посочва типа карта, която иска да бъде използвана за плащането. Тук трябва да ви светне червената лампа: никой уважаван бизнес или комунална услуга няма да изиска плащане чрез подаръчна карта.

    1. Ботове – крадци

    Измамниците настройват автоматизирани ботове, които идентифицират цифровия запис на картата, след което я използват директно, все едно че са неин собственик.

    1. Подправяне на карти в магазина

    Понякога измамниците крадат номерата и ПИН-кодовете на картите директно от магазина, който ги предлага. След това изчакват да регистрирате получения подарък и издават дубликат, който бързо изпразват.

    1. Спечелихте награда!

    Популярна тактика: поканват ви да платите малка сума с подаръчната карта, за да получите голямата награда, която… никога не идва.

    1. Фишинг с цел кражба на данни

    След като активирате картата си, получавате имейл, който ви приканва да предоставите лични данни и финансова информация – търсена стока на черния пазар.

    Как да се предпазите

    • Купувайте подаръчни карти директно от търговеца, който ги предоставя, а не от сайтове за намаления
    • Купувайте само карти с ПИН-код и посъветвайте получателя на подаръка незабавно да промени кода по подразбиране
    • Бъдете скептични към покани да платите текущи смети с подаръчна карта
    • Проверете баланса на картата, веднага щом я получите
    • Използвайте подаръчната карта възможно най-скоро
    • Никога не въвеждайте лична и финансова информация при активирането на подаръчна карта
  • Използвате ли някой от тези девет рутера – може да сте уязвими

    Идентифицирани са 226 потенциални уязвимости в девет популярни WiFi рутера, дори при работа с най-новия фърмуер. Изследването е проведено от IoT Inspector.

    Начело на списъка е TP-Link Archer AX6000 (с 32 уязвимости), следва Synology RT-2600ac (с 30 грешки в сигурността). Тествани са още рутери, произведени от Asus, AVM, D-Link, Netgear, Edimax и Linksys – всички те се използват от милиони хора.

    Използвате ли някой от тези 9 рутера – може да сте уязвими
    Източник: CHIP

    Специалистите са открили и някои общи проблеми, които се отнасят до повечето тествани модели:

    • Остаряло Linux ядро във фърмуера
    • Остарели мултимедийни и VPN функции
    • Използване на по-стари версии на BusyBox
    • Използване на слаби пароли по подразбиране (напр. „admin“)
    • Кодирани идентификационни данни под формата на текст

    Всички засегнати производители пуснаха пачове на фърмуера, които елиминират голяма част от откритите уязвимости, но не всички.

    Препоръка:

    Ако използвате някой от споменатите модели, препоръчваме:

    • Да приложите наличните актуализации на защитата
    • Да активирате „автоматичните актуализации“
    • Да промените фабричната парола по подразбиране с уникална и силна парола

    Внимание! Прилагайте тези правила при първо стартиране на всяко IoT устройство – у дома или в корпоративната мрежа.

  • Как да не станеш жертва на Deepfake-атака

    Представи си, че в разгара на работния ден шефът ти звъни с молба спешно да купиш онлайн абонамент за нуждите на фирмата – разходите ще ти бъдат възстановени служебно. Веднага се сещаш, че преди седмица в офиса ви предупредиха за фишинг, свързан с онлайн абонаменти… Но обучението се отнасяше за подозрителни имейли или обаждания от непознати, а ти получаваш инструкции от шефа, освен това лично отговаряш за абонаментите във фирмата… Затова бързо се заемаш и изпълняваш задачата.

    За съжаление се оказва, че полученото обаждане е фалшиво. И е звучало толкова автентично, защото е създадено от алгоритъм за машинно обучение (Machine Learning Algorithm – MLA). Шефът ти със сигурност не е доволен!

    Какво е „Deepfake“

    Това е фалшифициран (въпреки че изглежда легитимен) видеоклип, аудио или снимка, създаден, за да заблуди получателя му, че е автентичен (за постигане на желания ефект дори може да се използва съществуващо съдържание). Deepfake технологията манипулира желаната форма на медия чрез MLA (терминът всъщност идва от „deep learning“– методът на машинно самообучение на изкуствен интелект с помощта на изкуствени невронни мрежи).

    С други думи, киберпрестъпниците са намерили още един начин за атака на човешкия елемент – най-слабото звено във всяка организация.

    Фишингът се развива

    Има една известна фраза на американския писател Едгар Алън По: „Вярвай само на половината от това, което виждаш и на нищо от това, което чуваш“.

    Deepfake атаките разчитат на доверието, което имаш на хората около теб – колеги, приятели, семейство. И така си гарантират успех – обществото ни до голяма степен се основава на способността ни да се доверяваме на други хора да изпълнят определени задачи.

    Очакванията на киберспециалистите са за разрастване на Phishing as a Service и използването на Deepfake фалшификати със сигурност ще има дял в това „развитие“.

    Как да предпазим работната среда

    1. Обучение, обучение, обучение. Щом нападателите се възползват от човешката природа, то и тренингите трябва да включват активно участие на служителите и социално инженерство.
    2. Възможност за прилагане на наученото на практика. Deepfake, представящ се за шеф, може да отправи заплаха за наказание, ако задачата не бъде изпълнена. Важно е служителите да имат право да поставят под въпрос искане, което изглежда необичайно, дори ако идва от главния изпълнителен директор.
    3. Стриктна документация и канали на комуникация. Създаването на процедури за работа и ясно дефинирани процеси ще помогнат по-лесно да се забележи необичайно или злонамерено поведение.
  • Хакерите са готови за черния петък – бъдете внимателни!

    Черният петък се утвърди и у нас като своеобразен старт на празничното пазаруване.

    Изследователи по сигурността разкриват как се подготвят хакерите:

    1. Инжектират скимер за кредитни карти в уебсайтовете на онлайн магазини. Това е скрипт, маскират го като *.jpg файл, който краде и ексфилтрира плащанията и личната информация на клиентите.
    2. Използват скрипта, за да изтеглят и фалшифицират платежни документи, които да изпратят на клиентите – по този начин пренасочват плащанията им към собствените си сметки.
    3. Освен това, веднъж компрометирали сървърите на търговците, хакерите допълнително внедряват Linux бекдор, който остава скрит за популярните софтуери за сигурност

    Малуерът е засечен от киберспециалистите като изпълним linux_avp файл. Веднъж стартиран, той незабавно се премахва от диска и се маскира като „ps -ef“ процес, който се използва за получаване на списък с текущо работещи процеси.

    Препоръки:

    • За администратори: Използвайте утвърдена защитна стена (firewall), предназначена за предпазване на уеб сайтове и уеб приложения
    • За потребители: Уверете се, че сайтовете, от които пазаруване са защитени (HTTPS, SSL); проверявайте защитата на плащанията, която онлайн магазина прилага; пазете всички документи, свързани с онлайн покупката ви
  • Какви киберзаплахи да очакваме през 2022 г: Прогнозите на Microsoft и Sophos

    Два интересни доклада на тема киберсигурност привлякоха вниманието ни през изминалите дни:

    Microsoft Digital Defense Report (October 2021 edition) прави подробна дисекция на своята телеметрия и наблюдения, докато Sophos 2022 Threat Report обобщава  киберзаплахите към момента и прави прогнози за наближаващата 2022 г.

    Киберпрестъпленията като бизнес

    Общото в двата доклада е, че те разглеждат киберпрестъпления като услуга в престъпният свят (criminal-to-criminal market),  включваща:

    Специално внимание се обръща на развитието на престъпните картели, занимаваща се с ransomware и extortion – Conti, REvil и  др.

    Не всичко е такова, каквото изглежда

    Обща тема в двата доклада е и използването на dual-use инструменти, като CobaltStrike, Metasploit и mimikatz. Особено внимание се обръща на популярността на CobaltStrike сред престъпниците и на това, че лицензите за този инструмент в повечето случаи са откраднати от легитимни клиенти, използващи продукта.

    Интересен аспект е увеличението на броя инцидентите с инсталиран / инжектиран  web shell. И двете компании са единодушни, че това се дължи основно на откритите слабости и атаки към MS Exchange сървъри през изминалите 6-9 месеца – ProxyLogon, ProxyShell и т.н.

    Заплахите насочени към IoT и мобилни устройства/технологии също намират своето място в докладите, като прогнозите са за увеличено използване на artificial intelligence (AI) и machine learning (ML) от двете страни на барикадата.

    Бъдещи тенденции

    Единодушно е мнението, че Zero-Trust модел/архитектура и ZTNA  решенията са бъдещето при вече наложилият се хибриден модел на работа.

    Набляга се и на факта, че човекът си остава един от най-рисковите, но и най-важни за защитата от киберзаплахи фактори.

    Следването на правила помага

    От изтеклата информация за това как работи една престъпна организация (Recently leaked Conti ransomware playbook)  става ясно, че киберпрестъпниците не са някакви гениални същества, които трудно могат да бъдат спрени, а дори напротив! Оказва се, че те използват изключително прости и добре известни похвати, методи и инструменти (TTPs) !

    Именно това е и заключението в доклада на Microsoft – базова „хигиена“ и спазване на добри практики в  областта на сигурността биха ви защитили от 98% процента от атаките.

    Какви киберзаплахи да очакваме през 2022 г: Прогнозите на Microsoft и Sophos

    Същото мнение споделя и Sumedh Thakar (CEO и президент на Qualys) в интервю в Smashing Security podcast, което е и покана за годишната Qualys Security Conference на 15  -18 ноември 2021 г. (регистрацията за онлайн присъствие и обучение е напълно безплатна!)

    Допълнителни ресурси

    • Интервю на Kevin Magee (CSO в Microsoft Канада) относно Digital Defense доклада на Microsoft
    • Video: Decrypting Cobalt Strike Traffic With Keys Extracted From Process Memory
  • TianFu Cup 2021 – впечатляващи резултати от топ хакерското състезание на Китай

    Китайските хакери се изфукаха със своите zero-day exploits по време на тазгодишното издание на TianFu Cup (天府杯), като успяха да демонстрират успешни атаки срещу напълно пачнати и up-to-date продукти и ситеми на Adobe, Apple, ASUS, Docker, Google, Microsoft , Parallels Desktop, QEMU VM, Ubuntu / CentOS и VMware!

    Престижното състезание се проведе на 16 и 17 октомври, за четвърта поредна година, като участниците прибраха близо 2 млн. USD:

    Ако се чудите как се определя възнаграждението, през юли организаторите публикуваха ценова листа във всяка категория:

    1. Демонстриране на уязвимостите и експлойтите
    2. Състезание за кракване / хакване на устройства
    3. Състезание за кракване / хакване на операционни системи

    Отборите са успели да демонстрират успешни експлойти към 13 от 16-те възможни цели:

    • Windows 10 – хакнат 5 пъти
    • Adobe PDF Reader – 4 пъти
    • Ubuntu 20 – 4 пъти
    • Parallels VM – 3 пъти
    • iOS 15 – 3 пъти
    • Apple Safari – 2 пъти
    • Google Chrome – 2 пъти
    • ASUS AX56U router – 2 пъти
    • Docker CE – 1 пъти
    • VMWare ESXi – 1 пъти
    • VMWare Workstation – 1 пъти
    • qemu VM – 1 пъти
    • Microsoft Exchange – 1 пъти

    История на TianFu Cup

    TianFu Cup се оформя като идея през 2017, когато Zhou Hongyi, CEO на гиганта в сферата на информационната сигурност –Qihoo 360, излезе с остра критика към китайските граждани участващи в западни състезания и най-вече в Pwn2Own. В последствие управата в Пекин забрани участието на китайски отбори и на практика сложи край на китайската хегемония в чуждите (западни) състезания. Причина естествено не е да дадат шанс на останалите участници да блеснат със своите знания и възможности, а да запазят откритията на своите граждани в полза на китайската нация.

    TianFu Cup е моделирана и заимства идеите от Pwn2Own, но затваряйки кръга – каквото се открие в Китай, остава в Китай.

    Китай използва експлойти от Tianfu Cup за собствените си кибер кампании

    По време на Tianfu 2018 г. , изследователи по сигурността от 360 ESG Research Institute, собственост на Qihoo 360, демонстрираха 0-day експлоатация с прякор „Chaos“, като надеждно успяха да поемат контрол над най-новия iPhone чрез посетен линк в Safari.

    Въпреки, че Apple отстраняват уязвимостите и пускат обновена и по-сигурна версия на iOS, Google’s Threat Analysis Group (TAG) публикуват откритията си за засечени атаки именно с „Chaos“.

    Атаките са насочени към iPhone устройства собственост на уйгурското малцинство (Uyghur) в страната – мюсюлманска етническа група, живееща предимно в китайската провинция Синдзян. „Chaos“ позволява на китайското правителство да чете съобщения, пароли на жертвите и да проследява местоположението им в почти реално време; Съобщава се, че кибер наблюдението от Пекин над малцинството продължава и по време пандемията COVID-19.

    Както винаги завършвам материала с препратка към допълнителен материал по темата – DARKNET DIARIES EP 82: MASTER OF PWN

  • Мащабно изтичане на данни от Twitch разкрива колко печелят създателите му

    Онлайн стрийминг гигантът Twitch e претърпял сериозно нарушение на данните. Kомпрометирани са основния му изходен код (source code) и са станали известни подробности за доходите на създателите му.

    Сред изтеклите данни има много чувствителни и засегнатите потребители трябва да действат бързо, за да защитят своята информация и самоличност. Това е съобщил пред  The ​​Independent Джейк Мур, специалист по сигурността в компанията за киберсигурност ESET.

    Препоръка:

    Призоваваме потребителите на Twitch да променят паролите си в платформата, както и във всяка друга услуга, за която използват подобна парола.

    Тъй като информацията вече е изтекла, през следващите месеци бъдете нащрек за измами, свързани с нарушението на данните ви.

Back to top button