בשבוע שעבר, VMware הכריזה על ניצול חולשה CVE-2021-39144 (ציון CVSS של 9.8), פגם RCE באמצעות ספריית הקוד הפתוח XStream.

חברת VMware עדכנה את הייעוץ שלה ב-CVE-2021-39144 כדי להזהיר כי כבר קיים ניצול המכוון לפגיעות זו.

בשאלות נפוצות נלוויות, VMware מזהירה כי ניצול מוצלח של פגיעות זו עלול לאפשר לתוקף שיש לו גישה לרשת ל-NSX-V Manager להשתלט על המכשיר.

לטענת החברה, כל תצורות ה-NSX-V מושפעות ואין פתרונות מעקפים בתוך המוצר.

חברת VMware טיפלה בפגיעות עם שחרורו של NSX-V גרסה 6.4.14. החברה קוראת לכל הלקוחות לשדרג את ההתקנות שלהם לאיטרציה של מוצר זה.

"תיקון האבטחה חל על NSX Manager בלבד, אולם שדרוג ל-6.4.14 כרוך בשדרוג מלא, מכיוון שהמהדורה מכילה תיקוני רכיבים אחרים", מציינת VMware.

https://www.vmware.com/security/advisories/VMSA-2022-0027.html

בזמן שהמחאות אנטי-ממשלתיות זועמות שטפו את איראן, השלטונות השתמשו בכוח גס ובדיכוי דיגיטלי כאחד.

משתמשי סלולר ואינטרנט איראנים דיווחו על הפסקות רשת מתמשכות, הגבלות על אפליקציות לנייד ושיבושים נוספים.

חלק מצמצום המחאות באיראן עשוי להיות מוסבר באמצעות שימוש במערכת הנקראת "SIAM". זאת מערכת מחשבים הפועלת מאחורי הקלעים של רשתות סלולריות איראניות, ומספקת למפעיליה תפריט רחב של פקודות מרחוק לשינוי, לשבש ולפקח על אופן השימוש של הלקוחות בטלפונים שלהם.

הכלים יכולים להאט את חיבורי הנתונים שלהם לסריקה, לשבור את ההצפנה של שיחות טלפון, לעקוב אחר תנועותיהם של אנשים או קבוצות גדולות, ולהפיק סיכומי מטא נתונים מפורטים של מי דיבר עם מי, מתי ואיפה. מערכת כזו יכולה לעזור לממשלה לבטל באופן בלתי נראה את המחאות המתמשכות - וגם את אלה של מחר.

https://theintercept.com/2022/10/28/iran-protests-phone-surveillance/

יצירה ותחזוקה של סביבה מאובטחת זה פרויקט מתמשך, ועם כל טכנולוגיה או מוצר שמתווספים לסביבה זה נעשה מסובך יותר.

סביבת ענן Microsoft Azure אינה יוצאת דופן לכלל זה ועם השירותים והפיצ'רים הרבים שמתווספים מדי שנה זה פשוט נהיה יותר מסובך גם אם לא שונה דבר.

מכיוון ששמירה על אבטחת סייבר חשובה כשעוברים לענן, חשוב לדעת מאילו שיטות עבודה גרועות להימנע ואילו תרחישי תקיפה קיימים בחוץ.

מאמר זה מראה נתיבי התקפה בסביבת Azure, ומסתמך על מחקר ציבורי מאנשי אבטחת ענן.

כדי להראות כיצד שירותים והרשאות שונים יכולים להוביל לסביבה פגיעה, כל המידע הזה במקום אחד. (כדי לקבל מידע יותר מעמיק והסברים כדאי לקרוא את המאמרים המקוריים)

https://cloudbrothers.info/azure-attack-paths/

אנשי Malwarebytes גילו ארבע אפליקציות אנדרואיד זדוניות עם יותר ממיליון התקנות זמינות נמצאות ב-Google Play

החנות הרשמית של אנדרואיד, מפרסמת אתרים של משתמשים שגונבים מידע רגיש או מייצרים הכנסות 'תשלום לפי קליק' עבור המפעילים.

חלק מהאתרים הללו מציעים לקורבנות להוריד כלי אבטחה מזויפים או עדכונים, כדי להערים על משתמשים להתקין את הקבצים הזדוניים באופן ידני.
על פי דיווח של Malwarebytes, אותו מפתח נחשף פעמיים בעבר להפצת תוכנות פרסום ב-Google Play אך הוא הורשה להמשיך ולפרסם אפליקציות לאחר הגשת גרסאות נקיות.

ארבעת האפליקציות הזדוניות שנחשפו הפעם הן:
אפל' Bluetooth Auto Connect עם מעל 1,000,000
אפל' Bluetooth App Sender עם מעל 50,000 התקנות
אפל' Driver: Bluetooth, Wi-Fi, USB, עם מעל 10,000 התקנות
אפל' Mobile transfer: smart switch עם מעל 1000 התקנות

https://www.malwarebytes.com/blog/news/2022/11/malware-on-the-google-play-store-leads-to-harmful-phishing-sites

פגם אבטחה ב-Galaxy Store מאפשר לתוקפים להפעיל ביצוע קוד מרחוק בסמארטפונים שנפגעו.

הפגיעות המתוקנת כעת, המשפיעה על Galaxy Store גרסה 4.5.32.4, מתייחסת לבאג של סקריפטים חוצה אתרים (XSS) המתרחשת בעת טיפול בקישורים מסוימים.

התוקף מסוגל להריץ קוד JS עם תצוגת האינטרנט של אפליקציית Galaxy Store, עבור שירות השיווק והתוכן של סמסונג (MCS).

https://ssd-disclosure.com/ssd-advisory-galaxy-store-applications-installation-launching-without-user-interaction/

אפל הכריזה השבוע על עדכון אבטחה עבור סביבת הפיתוח Xcode macOS, כדי לפתור שלוש פגיעויות Git, כולל אחת המובילה לביצוע קוד שרירותי.

הראשונה מהבעיות, CVE-2022-29187, היא גרסה של CVE-2022-24765, באג המשפיע על משתמשים במכונות מרובות משתמשים, שבו "תוקף עלול ליצור ספריית ‎.git במיקום משותף בספריית העבודה הנוכחית."

תוקף יכול לנצל את הפגם כדי ליצור קובצי תצורה בספריית .git הזדונית, ועל ידי שימוש במשתנים ספציפיים, יכול להשיג ביצוע פקודה שרירותית במחשב המשותף.

"משתמש לא חושד עדיין יכול להיות מושפע מהבעיה שדווחה ב-CVE-2022-24765, למשל בעת ניווט כשורש לתוך ספריית tmp משותפת שבבעלותם, אבל שם תוקף יכול ליצור מאגר git".

הבאג משפיע על כל גרסאות Git לפני 2.37.1, 2.36.2, 2.35.4, 2.34.4, 2.33.4, 2.32.3, 2.31.4 ו-2.30.5. עם האחרון

משפיע מדיה חברתית שהשתמש בפופולריות שלו לגנוב כ-8 מיליון דולר, כולל תשלומים בביטקוין, כך הודיע ​​משרד המשפטים האמריקני (DoJ).

ג'בארה איגברה, המוכר יותר בכינוי ג'יי מאזיני, עם יותר ממיליון עוקבים לפני נפילתו, צפוי ל 20 שנות מאסר.

איגברה שמר על חשבון האינסטגרם שלו עד מרץ - אז הואשם בהונאה בנקאית והלבנת הון - באמצעותו פרסום סרטונים שנראו כאילו הם מחלקים מתנות גדולות במזומן.

למעשה, הקליפים האלה היו פשוט פיתיון כדי לשכנע משקיעים פוטנציאליים 'למכור' לו את כספי הביטקוין שלהם בהונאה.

איגברה טען במרמה שהוא ישלם עד 5% מעל שער השוק עבור הקריפטו, בשקר שהבורסות מגבילות את הסכום שהוא יכול לרכוש. זה נעשה כדי לפתות קורבנות להיפרד מהחסכונות הדיגיטליים שלהם - תמורת כסף מסורתי שמעולם לא הגיע.

ה-IRS, שסייע ל-FBI להביא את איגברה לדין "לכל הקורבנות בתיק הזה הובטח משהו שהוא טוב מכדי להיות אמיתי", נכתב. "לכולם בתכנית פונזי הובטח שיעור תשואה גבוה תוך פרק זמן קצר, בעוד שלקורבנות תכנית עמלת הביטקוין הובטח מעל שווי השוק הנוכחי עבור הביטקוין שלהם".

https://cybernews.com/news/instagram-scammer-pleads-guilty/

הסנקציות על הפלישה לאוקראינה מתחילות לנגוס כאשר ממשלת רוסיה מתחילה לחפש חלופות למערכת ההפעלה Windows (OS).

המשרד לפיתוח דיגיטלי של רוסיה סקר את מפתחי התוכנה במדינה על איזו מערכת הפעלה תהיה הטובה ביותר להפעיל תוכנות מחשב שפותחו עבור הממשלה. המהלך עשוי להיות איתות שמוסקבה מחפשת חלופות מקוריות למערכת ההפעלה של Windows, טוען עיתון העסקים הרוסי "קומרסנט".

מיקרוסופט וחברות טכנולוגיה רבות אחרות השעו את הפעילות ברוסיה לאחר שהטנקים של מוסקבה חצו לאוקראינה, והניעו את המלחמה הגדולה ביותר ביבשת זה שבעה עשורים. ביוני הודיעה מיקרוסופט כי מאות עובדים מרוסיה יפוטרו כתוצאה מכך.

מכיוון שמיקרוסופט גם השעתה את כל המכירות החדשות של מוצרים ושירותים ברוסיה, הדבר עלול להשאיר את ממשלת המדינה משוללת מתוכנה ועדכוני אבטחה חיוניים בטווח הארוך. לפי קומרסנט, ממשלת רוסיה נחושה לאלץ מפתחים להתאים את התוכנה שלהם למערכת הפעלה מקומית שאינה מסתמכת על עדכוני תוכנה מהמערב.

https://cybernews.com/news/russian-looking-windows-replacement/

מיקרוסופט נתבעה על פיראטיות בקוד פתוח באמצעות GitHub Copilot

המתכנת ועורך הדין מתיו באטריק תבע את מיקרוסופט, GitHub ו-OpenAI בטענה שה-Copilot של GitHub מפר את תנאי רישיונות הקוד הפתוח ומפר את זכויות.

אפליקציית GitHub Copilot, שיצא ביוני 2022, הוא תכנות בינה מלאכותית המשתמש ב-OpenAI Codex כדי ליצור קוד מקור והמלצות פונקציות בזמן אמת ב-Visual Studio.

הכלי הוכשר עם למידת מכונה תוך שימוש במיליארדי שורות קוד ממאגרים ציבוריים ויכול להפוך שפה טבעית לקטעי קוד על פני עשרות שפות תכנות.

רישיונות קוד פתוח, כמו GPL, Apache ו-MIT, דורשים ייחוס של שם המחבר והגדרת זכויות יוצרים מסוימות.
עם זאת, Copilot מסיר את הרכיב הזה, וגם כאשר הקטעים הם יותר מ-150 תווים ונלקחים ישירות מהסט, לא ניתן ייחוס.

מלבד הפרות הרישיון, חוק הפרטיות, ניהול זכויות יוצרים וחוקים אחרים הגורמים לתביעות המשפטיות, הדרישה לאשר פיצויים בסך 9 מיליארד דולר.

התגובה של מיקרוסופט
"אנחנו מחויבים לחדש באחריות עם Copilot מההתחלה, ונמשיך לפתח את המוצר כדי לשרת בצורה הטובה ביותר מפתחים ברחבי העולם." - GitHub.

https://githubcopilotinvestigation.com/

תכונת הקהילות החדשה של WhatsApp, שהוכרזה מוקדם יותר השנה, סוף סוף עושה את דרכה למשתמשים.

קהילות הושקו רשמית ביום חמישי, והכלי החדש מאפשר למשתמשים לארגן מספר צ'אטים קבוצתיים תחת נושא כללי אחד.

"קהילות כמו שכונות, הורים בבית ספר ומקומות עבודה יכולים כעת לחבר מספר קבוצות יחד תחת מטריה אחת כדי לארגן שיחות קבוצתיות בוואטסאפ"

יחד עם כמה מאפיינים חדשים נוספים - שיחות קוליות ווידאו של 32 אנשים, שיתוף קבצים גדול יותר וסקרים.

גם הגודל המרבי של קבוצה יהיה כעת 1,024 משתמשים, אם כי טלגרם המתחרה מאפשרת קבוצות של עד 200,000 אנשים.

למעשה, קהילות עשויות להיראות בהתחלה מאוד כמו קבוצות פייסבוק - אבל למעשה הן שונות לגמרי.

בניגוד לפייסבוק, WhatsApp מבוססת על מספרי טלפון, כלומר אנשים בקהילות לא יכולים להיות זרים מוחלטים שפשוט חולקים עניין משותף - הרעיון הוא לחבר חברים שאולי כבר מחוברים בעולם האמיתי.

חוץ מזה, בעוד שניתן לגלות קבוצות פייסבוק ברשת החברתית, קהילות מוסתרות, ומחייבות הזמנה להצטרף. יתר על כן, לתוכן בקהילות יש הצפנה מקצה לקצה ובטיחות משופרת.

https://blog.whatsapp.com/

חברת ביטוח הבריאות האוסטרלית Medibank אישרה היום כי הנתונים של 9.7 מיליון לקוחות נפגעו במתקפת סייבר שבוצעה לאחרונה.

התקרית זוהתה ב-12 באוקטובר, לפני שהתוקפים יכלו לפרוס תוכנות כופר מצפינות קבצים, אך לא לפני שגנבו נתונים ממערכות החברה.

מדיבנק, שיזמה מיד תגובה לאירוע ופתחה בחקירת המתקפה, לא יכלה לקבוע אם נתוני הלקוחות נפגעו עד שהתוקפים יצרו קשר.

התוקפים ניגשו לנתונים של "כ-9.7 מיליון לקוחות בהווה ובעבר וחלק מהנציגים המורשים שלהם. נתון זה מייצג כ-5.1 מיליון לקוחות מדיבנק, כ-2.8 מיליון לקוחות ahm וכ-1.8 מיליון לקוחות בינלאומיים", אמרה החברה מוקדם יותר היום.

מידע אישי שנפגע במהלך המתקפה כולל שמות, כתובות, תאריכי לידה, מספרי טלפון וכתובות דואר אלקטרוני, הודיעה מדיבנק. גם מספרי Medicare, מספרי דרכונים ופרטי ויזה לסטודנטים בינלאומיים נפגעו.

נתוני תביעות בריאות עבור חלק מלקוחות Medibank, ahm ובינלאומיים נפגעו גם הם, כולל השם והמיקום של ספק השירות, המיקום שבו ניתנו השירותים הרפואיים וקודי אבחון ונהלים.

https://cybernews.com/news/medibank-refuses-to-pay-ransom/

תודה רבה לעינת

דוח בלימת מתקפת סייבר צפון קוריאנית.pdf

[ Photo ]
מתקפת סייבר גורמת לשיבושים במזונות, ענקית הבשר הקנדית Maple Leaf Foods אישרה כי היא קורבן למתקפת סייבר.

ל-Maple Leaf Foods יש יותר מ-14,000 עובדים, במהלך סוף השבוע נפלה החברה קורבן למתקפת סייבר שגרמה לשיבושים במערכת, כך הודיעה החברה.

"עם היוודע התקרית, מייפל ליף פודס נקטה פעולה מיידית והעסיקה מומחי אבטחת סייבר והתאוששות. צוות מומחי מערכות המידע ומומחי צד שלישי שלה פועל בחריצות עם כל המשאבים הזמינים כדי לחקור את ההפסקה ולפתור את המצב", נמסר מהחברה.

מייפל ליף פודס אמרה שהיא ביצעה תוכניות המשכיות עסקית וכי מתבצעת עבודה לשחזור המערכות המושפעות. עם זאת, החברה מצפה לשיבושים תפעוליים ושירותים נוספים, ואומרת שמאמצי השיקום לוקחים זמן.

"החברה תמשיך לעבוד עם כל לקוחותיה וספקיה כדי למזער את ההפרעות הללו על מנת להמשיך לספק את המזון המזין שאנשים זקוקים להם", אמר מייפל ליף פודס.

https://o.canada.com/technology/maple-leaf-foods-suffers-it-outage-after-cybersecurity-incident

גוגל מתקנת פגיעויות בדרגת חומרה גבוהה באנדרואיד

עדכוני האבטחה של אנדרואיד מנובמבר 2022, שיושקו השבוע, מתקינים למעלה מ-40 נקודות תורפה, כולל מספר רב של פגיעויות בדרגת חומרה גבוהה של באגי הרשאות.

כל אלה הם פגיעויות בדרגת חומרה גבוהה המשפיעות על אנדרואיד 10 וגרסאות חדשות יותר. מלבד באג אחד, כולם משפיעים גם על אנדרואיד 13.

"הנושאים החמורים ביותר הם פגיעות אבטחה גבוהה ברכיב ה-Framework שעלולה להוביל להסלמה מקומית של הרשאות ללא צורך בהרשאות הפעלה נוספות", מציינת גוגל בייעוץ שלה.

ענקית האינטרנט מזכירה גם שתי נקודות תורפה נוספות המטופלות במסגרת עדכוני מערכת Google Play, כלומר CVE-2022-2209 (המשפיעות על רכיבי Media Framework) ו-CVE-2022-20463 (המשפיעה על Wi-Fi).

קבוצה נוספת של חמש בעיות נפתרה עם עדכוני האבטחה של נובמבר 2022 של Pixel. אלה כוללים שני באגים בחומרה גבוהה בשבב Titan M ושלושה פגמים בדרגת חומרה בינונית ברכיבי קוד סגור של Qualcomm.

https://source.android.com/docs/security/bulletin/2022-11-01

תוכנת הכופר של Azov ממשיכה להיות מופצת בכבדות ברחבי העולם, המטרה היא המשמדה בכוונה של הנתוני הקורבנות ומדביק תוכניות אחרות.

עם זאת, במקום לספק מידע ליצירת קשר כדי לנהל משא ומתן על כופר, פתק הכופר אמר לקורבנות ליצור קשר עם חוקרי אבטחה ועיתונאים כדי לקבל פרסום.

הסבר מלא על הכופרה ואיך היא מתנהגת ניתן לראות :

https://www.bleepingcomputer.com/news/security/azov-ransomware-is-a-wiper-destroying-data-666-bytes-at-a-time/

הפעל את Windows Update בהקדם האפשרי!

עדכוני האבטחה החודשיים של מיקרוסופט שוחרר עם תיקונים ל-68 פגיעויות המשתרעות על סל התוכנה שלה, כולל תיקונים לשישה Zero-day מנוצלים באופן פעיל.

12 מהנושאים מדורגים קריטיים, שניים מדורגים גבוה ו-55 מדורגים חשובים בחומרתם. זה כולל גם את החולשות שנסגרו על ידי OpenSSL בשבוע הקודם.

כמו כן, טופל בנפרד בתחילת החודש פגם מנוצל באופן פעיל בדפדפנים מבוססי Chromium (CVE-2022-3723) שחוסם על ידי גוגל כחלק מעדכון מחוץ לפס בסוף החודש שעבר.

"החדשות הגדולות הן ששני CVEs ישנים יותר של יום אפס המשפיעים על Exchange Server, שפורסמו לציבור בסוף ספטמבר, תוקנו סוף סוף", מנהל מוצר ב-Rapid7.

"מומלץ ללקוחות לעדכן את מערכות ה-Exchange Server שלהם באופן מיידי, ללא קשר לשאלה אם בוצעו צעדים שהומלצו בעבר. כללי ההפחתה אינם מומלצים עוד לאחר תיקון המערכות".

רשימת הפגיעויות המנוצלות באופן פעיל, המאפשרות העלאת הרשאות וביצוע קוד מרחוק, היא כדלקמן -

CVE-2022-41040 (ציון CVSS: 8.8) - פגיעות העלאת הרשאות של Microsoft Exchange Server (המכונה ProxyNotShell)
CVE-2022-41082 (ציון CVSS: 8.8) - פגיעות העלאת הרשאות של Microsoft Exchange Server (המכונה ProxyNotShell)
CVE-2022-41128 (ציון CVSS: 8.8) - פגיעות של ביצוע קוד מרחוק של שפות סקריפטים של Windows
CVE-2022-41125 (ציון CVSS: 7.8) - פגיעות של שירות בידוד מפתחות CNG של Windows CNG על העלאת הרשאות
CVE-2022-41073 (ציון CVSS: 7.8) - פגיעות של העלאת הרשאות של Windows Print Spooler
CVE-2022-41091 (ציון CVSS: 5.4) - Windows Mark of the Web Security Feature עוקף פגיעות

בנוסף CVE-2022-41091 הוא אחד משני פגמי עקיפת האבטחה ב-Windows Mark of the Web (MoTW) שהתגלו במהלך החודשים האחרונים. זה התגלה לאחרונה כנשק לקבוצת Magniber כדי למקד למשתמשים עדכוני תוכנה מזויפים.

"תוקף יכול ליצור קובץ זדוני שיחמוק מהגנת Mark of the Web (MotW), וכתוצאה מכך לאובדן מוגבל של שלמות וזמינות של תכונות אבטחה כגון Protected View ב-Microsoft Office, המסתמכות על תיוג MotW", אמרה מיקרוסופט.

פגם ה-MotW השני שיש לפתור הוא CVE-2022-41049 (המכונה ZippyReads), הוא מתייחס לכישלון בהגדרת דגל סימן האינטרנט לקובצי ארכיון שחולצו.

בנוסף לבעיות אלו, עדכון Patch Tuesday פותר גם מספר פגמים בביצוע קוד מרחוק ב-Microsoft Excel, Word, ODBC Driver, Office Graphics, SharePoint Server ו-Visual Studio, כמו גם מספר באגים להסלמה של הרשאות ב-Win32k, מסנן שכבת-על ומדיניות קבוצתית.

תוכנה זדונית חדשה לגניבת מידע בשם 'StrelaStealer' גונבת באופן פעיל חשבונות מ-Outlook ו-Thunderbird.

התנהגות זו חורגת מרוב גנבי המידע, המנסים לגנוב נתונים ממקורות שונים, כולל דפדפנים, אפליקציות לארנק קריפטוגרפי, אפליקציות משחקי ענן, הלוח וכו'.

התוכנה StrelaStealer מגיע לקורבן באמצעות קבצים מצורפים למייל, כיום קבצי ISO עם תוכן משתנה.

בדוגמה אחת, ה-ISO מכיל קובץ הפעלה ('msinfo32.exe') הטוען בצד את התוכנה הזדונית המצורפת באמצעות חטיפת פקודות DLL.

במקרה מעניין יותר שראו האנליסטים, ה-ISO מכיל קובץ LNK בשם ('Factura.lnk') וקובץ HTML בשם ('x.html'). קובץ x.html הוא בעל עניין מיוחד מכיוון שהוא קובץ polyglot, שהוא קובץ שניתן להתייחס אליו כאל פורמטים שונים של קובץ בהתאם לאפליקציה שפותחת אותו.

המשך המחקר :

https://medium.com/@DCSO_CyTec/shortandmalicious-strelastealer-aims-for-mail-credentials-a4c3e78c8abc