תוכנת הכופר של Azov ממשיכה להיות מופצת בכבדות ברחבי העולם, המטרה היא המשמדה בכוונה של הנתוני הקורבנות ומדביק תוכניות אחרות.

עם זאת, במקום לספק מידע ליצירת קשר כדי לנהל משא ומתן על כופר, פתק הכופר אמר לקורבנות ליצור קשר עם חוקרי אבטחה ועיתונאים כדי לקבל פרסום.

הסבר מלא על הכופרה ואיך היא מתנהגת ניתן לראות :

https://www.bleepingcomputer.com/news/security/azov-ransomware-is-a-wiper-destroying-data-666-bytes-at-a-time/

הפעל את Windows Update בהקדם האפשרי!

עדכוני האבטחה החודשיים של מיקרוסופט שוחרר עם תיקונים ל-68 פגיעויות המשתרעות על סל התוכנה שלה, כולל תיקונים לשישה Zero-day מנוצלים באופן פעיל.

12 מהנושאים מדורגים קריטיים, שניים מדורגים גבוה ו-55 מדורגים חשובים בחומרתם. זה כולל גם את החולשות שנסגרו על ידי OpenSSL בשבוע הקודם.

כמו כן, טופל בנפרד בתחילת החודש פגם מנוצל באופן פעיל בדפדפנים מבוססי Chromium (CVE-2022-3723) שחוסם על ידי גוגל כחלק מעדכון מחוץ לפס בסוף החודש שעבר.

"החדשות הגדולות הן ששני CVEs ישנים יותר של יום אפס המשפיעים על Exchange Server, שפורסמו לציבור בסוף ספטמבר, תוקנו סוף סוף", מנהל מוצר ב-Rapid7.

"מומלץ ללקוחות לעדכן את מערכות ה-Exchange Server שלהם באופן מיידי, ללא קשר לשאלה אם בוצעו צעדים שהומלצו בעבר. כללי ההפחתה אינם מומלצים עוד לאחר תיקון המערכות".

רשימת הפגיעויות המנוצלות באופן פעיל, המאפשרות העלאת הרשאות וביצוע קוד מרחוק, היא כדלקמן -

CVE-2022-41040 (ציון CVSS: 8.8) - פגיעות העלאת הרשאות של Microsoft Exchange Server (המכונה ProxyNotShell)
CVE-2022-41082 (ציון CVSS: 8.8) - פגיעות העלאת הרשאות של Microsoft Exchange Server (המכונה ProxyNotShell)
CVE-2022-41128 (ציון CVSS: 8.8) - פגיעות של ביצוע קוד מרחוק של שפות סקריפטים של Windows
CVE-2022-41125 (ציון CVSS: 7.8) - פגיעות של שירות בידוד מפתחות CNG של Windows CNG על העלאת הרשאות
CVE-2022-41073 (ציון CVSS: 7.8) - פגיעות של העלאת הרשאות של Windows Print Spooler
CVE-2022-41091 (ציון CVSS: 5.4) - Windows Mark of the Web Security Feature עוקף פגיעות

בנוסף CVE-2022-41091 הוא אחד משני פגמי עקיפת האבטחה ב-Windows Mark of the Web (MoTW) שהתגלו במהלך החודשים האחרונים. זה התגלה לאחרונה כנשק לקבוצת Magniber כדי למקד למשתמשים עדכוני תוכנה מזויפים.

"תוקף יכול ליצור קובץ זדוני שיחמוק מהגנת Mark of the Web (MotW), וכתוצאה מכך לאובדן מוגבל של שלמות וזמינות של תכונות אבטחה כגון Protected View ב-Microsoft Office, המסתמכות על תיוג MotW", אמרה מיקרוסופט.

פגם ה-MotW השני שיש לפתור הוא CVE-2022-41049 (המכונה ZippyReads), הוא מתייחס לכישלון בהגדרת דגל סימן האינטרנט לקובצי ארכיון שחולצו.

בנוסף לבעיות אלו, עדכון Patch Tuesday פותר גם מספר פגמים בביצוע קוד מרחוק ב-Microsoft Excel, Word, ODBC Driver, Office Graphics, SharePoint Server ו-Visual Studio, כמו גם מספר באגים להסלמה של הרשאות ב-Win32k, מסנן שכבת-על ומדיניות קבוצתית.

תוכנה זדונית חדשה לגניבת מידע בשם 'StrelaStealer' גונבת באופן פעיל חשבונות מ-Outlook ו-Thunderbird.

התנהגות זו חורגת מרוב גנבי המידע, המנסים לגנוב נתונים ממקורות שונים, כולל דפדפנים, אפליקציות לארנק קריפטוגרפי, אפליקציות משחקי ענן, הלוח וכו'.

התוכנה StrelaStealer מגיע לקורבן באמצעות קבצים מצורפים למייל, כיום קבצי ISO עם תוכן משתנה.

בדוגמה אחת, ה-ISO מכיל קובץ הפעלה ('msinfo32.exe') הטוען בצד את התוכנה הזדונית המצורפת באמצעות חטיפת פקודות DLL.

במקרה מעניין יותר שראו האנליסטים, ה-ISO מכיל קובץ LNK בשם ('Factura.lnk') וקובץ HTML בשם ('x.html'). קובץ x.html הוא בעל עניין מיוחד מכיוון שהוא קובץ polyglot, שהוא קובץ שניתן להתייחס אליו כאל פורמטים שונים של קובץ בהתאם לאפליקציה שפותחת אותו.

המשך המחקר :

https://medium.com/@DCSO_CyTec/shortandmalicious-strelastealer-aims-for-mail-credentials-a4c3e78c8abc

זוכרים את המתקפה הגדולה ביותר על תשתית נפט

הפגיעות, CVE-2022-0902 (ציון CVSS: 8.1), היא פגיעות של מעבר נתיב במחשבי ABB Totalflow ובבקרים מרוחקים.

"התוקפים נצלו את הפגם הזה כדי לקבל גישה לשורש במחשב תזרים ABB, לקרוא ולכתוב קבצים ולהפעיל קוד מרחוק".

מחשבי זרימה הם מכשירים אלקטרוניים למטרות מיוחדות המשמשות יצרניות פטרוכימיות כדי לפרש נתונים ממדי זרימה ולחשב ולתעד את נפח החומרים כגון גז טבעי, שמנים גולמיים ונוזלי פחמימנים אחרים בנקודת זמן.

מדידות גז אלו הן קריטיות לא רק בכל הנוגע לבטיחות תהליכים, אלא משמשות גם כתשומות כאשר נוזלים או מוצרי גז בתפזורת מחליפים ידיים בין הצדדים, מה מצריך שמדידות הזרימה ייקלטו במדויק.

בקצרה, פגם במעבר נתיב שקיים ביישום של ABB של פרוטוקול Totalflow TCP הקנייני שלה, המשמש כדי להגדיר מרחוק את המחשבים.

הבעיה, נוגעת לתכונה המאפשרת ייבוא ​​וייצוא קובצי התצורה ומאפשרת לתוקף לנצל בעיית עקיפת אימות כדי לעבור את מחסום קוד הסיסמה ולהעלות קבצים שרירותיים, ולבלום את יכולתם לתעד כראוי את קצבי זרימת הנפט והגז.

https://claroty.com/team82/research/an-oil-and-gas-weak-spot-flow-computers

חברת Royal Mail, שירות משלוח הדואר המוביל בבריטניה, חווה הפסקות מתמשכות.

שירותי המעקב המקוונים שלה כבר יותר מ-24 שעות גם אתר Track & Trace של רויאל מייל במצב לא מקוון ותושבי בריטניה אינם יכולים לעקוב אחר החבילות, המכתבים ומשלוחי הדואר שלהם.

https://www.bleepingcomputer.com/news/security/royal-mail-down-tracking-unavailable-as-outage-exceeds-24-hours/

איך תרומה קטנה לקוד פתוח הזניקה לי את הקריירה | גיקטיים
https://www.geektime.co.il/me-and-open-source-contributions/

חברת Medibank הודיעה בפומבי כי לא תשלם כופר.
ממדיבנק נמסר שההפרה משפיעה על 9.7 מיליון לקוחות בהווה ובעבר. הנתונים כוללים מידע הקשור לתביעות, כולל קודים לאבחונים רפואיים כגון האם אדם מעשן או עשוי להשתמש בסמים לא חוקיים.

ביום חמישי, כנופיית תוכנת הכופר אמרה שהיא רוצה 10 מיליון דולר - 15 מיליון דולר אוסטרלי - כדי לא לפרסם את הנתונים, אך אמרה שזה יירד ל-9.7 מיליון דולר, השווים ל-1 דולר עבור כל לקוח. הוא גם פרסם קובץ רגיש מאוד של רישומים של מבוטחים שהכיל קודים רפואיים הקשורים להפלה.

זה הוביל לכמה שאלות האם אולי היה שווה לשלם את הכופר והאם לא היה צריך להשתמש בתקרית מדיבנק כדי להצביע על עולם פושעי הסייבר. התשלום, לעומת זאת, יסתור את עצות ממשלת אוסטרליה.

הרתעה נבנית לאורך זמן ולא הולכת להיווצר כתוצאה מתגובה לאירוע אחד. בהתחשב באופי הנתונים, זה בולט. והבחירה לא לשלם עושה גם כן. זה אמנם שולח מסר, אבל כזה שמשפיע בכאב על 9.7 מיליון אנשים.

השרה לענייני פנים ואבטחת סייבר באוסטרליה, אמרה ביום רביעי לפרלמנט: "אני לא יכולה לבטא את הגועל שיש לי מהחללים שנמצאים בלב המעשה הפלילי הזה. אנשים זכאים לשמור על פרטיותם הבריאותית".

"אפילו בקרב תוקפי תוכנות כופר, הרעיון של שחרור מידע רפואי אישי של אנשים אחרים נחשב מעבר לחיוורון. אז אל תטעו בעניין: זו לא סתם קבוצה רגילה של פושעים מלוכלכים. זה הנמוך מבין הנמוכים".

https://www.databreachtoday.com/medibank-says-no-to-paying-hackers-extortion-demand-a-20424

בחודש שעבר נכנס לתוקף חוק ה"דיסאינפורמציה" של טורקיה שהוצע על ידי מפלגת השלטון של הנשיא ארדואן, AK.

החוק, שזכה לביקורת חריפה, מעניש את משתמשי המדיה החברתית ועיתונאים על הפצת "חדשות מזויפות". מי שיימצא אשם בהפצת מידע כוזב כדי "ליצור פחד ולהפר את הסדר הציבורי" בטורקיה צפוי לעד שלוש שנות מאסר.

"עם החוק החדש הזה... המטרה היא לשלוט במדיה החברתית מכיוון שהמדיה הקונבנציונלית כבר נמצאת בשליטה של ​​ארדואן", אמר העיתונאי הטורקי

בעקבות הפיצוץ הקטלני אתמול בשדרת איסטיקל באיסטנבול, הרשויות בטורקיה החלו להגביל את הגישה לפלטפורמות מדיה חברתית כולל אינסטגרם, פייסבוק, טוויטר, יוטיוב וטלגרם, כאשר איסור שידור כלל ארצי נכנס לתוקף.עם זאת, לא דווח על הפרעה משמעותית על ידי משתמשי WhatsApp.

"מדדי NetBlocks בזמן אמת מראים שפלטפורמות המדיה החברתית ותקשורת טוויטר, אינסטגרם, פייסבוק, יוטיוב וכמה שרתי טלגרם היו מוגבלים מיום ראשון אחר הצהריים", קבע NetBlocks.

https://netblocks.org/reports/social-media-restricted-in-turkey-after-blast-in-taksim-istanbul-7yNnr0yq

קורא מסמכי PDF הפופולרי Foxit Reader עודכן כדי לתת מענה למספר באגי אבטחה לאחר שניתן לנצל לביצוע קוד שרירותי.

קורא ה-PDF העשיר בתכונות מספק פונקציונליות רחבה למשתמשים, כולל תמיכה במסמכי מולטימדיה ובטפסים דינמיים באמצעות תמיכה ב-JavaScript, מה שמרחיב גם את משטח ההתקפה של האפליקציה.

תוקף המבקש לנצל את הפגיעויות הללו יצטרך להערים על משתמש לפתוח קובץ זדוני. לפי סיסקו, אם התוסף לדפדפן Foxit מופעל, הבאגים יכולים להיות מופעלים כאשר המשתמש מנווט לאתר זדוני.

הבעיות, במעקב כ-CVE-2022-32774, CVE-2022-38097, CVE-2022-37332 ו-CVE-2022-40129, הן בעלות ציון CVSS של 8.8 ומתוארות כנקודות תורפה ללא שימוש.

https://blog.talosintelligence.com/vulnerability-spotlight-use-after-free-vulnerabilities-in-foxit-reader-could-lead-to-arbitrary-code-execution/

גוגל הסכימה להסדר של 391.5 מיליון דולר עם 40 מדינות כדי לפתור חקירה לגבי האופן שבו החברה עקבה אחר מיקומי המשתמשים, כך הודיע ​​אתמול התובע הכללי של ארה"ב.

החקירה של המדינות נוצרה בעקבות סיפור של Associated Press משנת 2018, שמצא שגוגל המשיכה לעקוב אחר נתוני המיקום של אנשים גם לאחר שהם ביטלו את הסכמתם למעקב כזה על ידי השבתת תכונת "היסטוריית מיקום".

זה מגיע בתקופה של אי נוחות גוברת על פרטיות ומעקב של חברות טכנולוגיה, שגררה זעם הולך וגובר מצד פוליטיקאים וביקורת של הרגולטורים. פסיקת בית המשפט העליון.

https://techcrunch.com/2022/11/14/google-pay-391-5-million-location-tracking-settlement/

כורי קריפטו בעלייה: מומחי קספרסקי מדווחים על צמיחה של יותר מ-230% במספר תוכניות הכרייה הזדוניות

ברבעון השלישי של 2022, חוקרי קספרסקי ראו עלייה חדה בווריאציות של כורי קריפטו - צמיחה כוללת של למעלה מ-230% בהשוואה לתקופה המקבילה אשתקד. המספר גדול פי שלושה מאשר ברבעון השלישי של 2021 ועולה כעת על 150,000. בעודם מוסתרים במשך חודשים, פושעי סייבר משתמשים בכוח העיבוד של המחשב של הקורבן כדי לכרות מטבעות קריפטוגרפיים, עם הכנסה שמגיעה עד $40.500 (2 BTC) לחודש.

המטבע הקריפטוגרפי Monero בכינוי (XMR) הפופולרי ביותר לכרייה זדונית.

https://www.kaspersky.com/about/press-releases/2022_crypto-miners-on-the-rise-kaspersky-experts-report-more-than-230-growth-in-the-number-of-malicious-mining-programs

גביע העולם בקטאר מתחיל בעוד פחות משבוע, שמחה לחובבי כדורגל, סיוט לאבטחת הנתונים שלהם.

על כל אוהד להוריד שתי אפליקציות רשמיות כדי להשתתף בחגיגות המונדיאל.

הראשונה, Ehteraz, היא מערכת מעקב COVID-19, ואילו השניה Hayya אפליקציה שמאפשרת - או לא - לאוהדים כניסה לאצטדיונים, צפייה בלוח זמנים ותחבורה ציבורית בחינם.

מרצה ברווארד וחבר מועצת המנהלים של עמותת Electronic Frontier Foundation, כתב לאחרונה ש"כל מי שמבקר בקטאר למונדיאל צריך להתקין תוכנות ריגול בטלפון שלו".

כיצד ייתכן? ובכן, Ehteraz, שנמצא בשימוש כבר בקטאר, מבקש מהמשתמשים לאפשר גישה מרחוק לתמונות וסרטונים, לבצע שיחות ללא הנחיה ולקרוא או לשנות את נתוני המכשיר.

בנוסף, ההרשאות של Hayya כוללות גישה מלאה לרשת וגישה בלתי מוגבלת לנתונים אישיים. זה גם מונע מהמכשיר להיכנס למצב שינה ומציג את חיבורי הרשת של הטלפון.

שניהם עוקבים אחר מיקומי המשתמשים

[הצעה שלנו להגיע עם מכשיר חלופי]

https://www.nrk.no/sport/everyone-going-to-the-world-cup-must-have-this-app---experts-are-now-sounding-the-alarm-1.16139267

פרויקט חדש בבריטניה שמבצע מיפויי לכתובות ip של הממלכה ומדווח להם על פגיעויות, כאשר נחשפת פגיעות תוכנה, לעתים קרובות קל יותר למצוא קוד שמונע לנצל אותה, מאשר למצוא כלים שיעזרו להגן עליה.

https://www.ncsc.gov.uk/information/ncsc-scanning-information

'צבא ה-IT' של אוקראינה עצר 1,300 מתקפות סייבר ב-8 חודשי מלחמה

נשיא אוקראינה דיבר השבוע בפאנל "טרנספורמציה דיגיטלית" של פסגת ה-G20, והציע את היתרונות של חוויית הגנת הסייבר של ארצו למדינות בעלות הברית של ה-G20.

זלנסקי ציין כי "צבא ה-IT" של אוקראינה, המורכב מכישרונות שנאספו מחברות ברחבי המדינה.

הניסיון הזה, לדבריו, מעניק לקחים להגנה על אוכלוסיות אזרחיות מפני סוגי התקפות סייבר אכזריות שהופעלו נגד ארצו כחלק מהפלישה של רוסיה.

לדוגמה, לאחר שרוסיה הרסה מרכז נתונים מרכזי במדינה, אוקראינה עברה לענן, מה שאיפשר לה לבנות רישומים ציבוריים ולשלם תשלומים לאזרחים שנגרמו כתוצאה מהמלחמה. אתר המדינה פועל ומסוגל לספק 100 שירותים ציבוריים ללא מגע, כולל מתן דרכונים דיגיטליים, קבלת תשלומי מס ועוד, אמר זלנסקי במהלך נאומו בפני ה-G20.

https://odessa-journal.com/volodymyr-zelensky-take-the-ukrainian-defense-experience-to-guarantee-the-security-of-your-people/

מוזילה הכריזה על Firefox 107.
הגרסה העדכנית ביותר של הדפדפן מתקנת מספר לא מבוטל של נקודות תורפה.

כמות של 19 מזהי CVE הוקצו לפרקי האבטחה שתוקנו על ידי Firefox 107, ו-9 מהם קיבלו דירוג 'השפעה גבוהה'.

הפגעויות בעלי ההשפעה הגבוהה כוללים בעיות שעלולות להוביל לחשיפת מידע, עקיפת הודעות במסך מלא שיכולים לשמש עבור התקפות זיוף, וקריסות או ביצוע קוד שרירותי כתוצאה מבאגים.

בעיות בעלות השפעה מתונה שתוקנו עם שחרורו של Firefox 107 עלולות להוביל לעקיפת אבטחה, מעקב בין אתרים, ביצוע קוד, פשרה באמצעות הורדות קבצים, דליפת הקשות והתקפות זיוף.

בעיות בעלות השפעה נמוכה שתוקנו בFirefox קשורות לחריגות אבטחה ולזיוף.

דפדפן Firefox אינו ממוקד על ידי תוקפים כמו כרום, אך הפופולריות שלו עדיין הופכת אותו למטרה מפתה.

https://www.mozilla.org/en-US/security/advisories/mfsa2022-47/

פגם Backstage של Spotify הותיר שרתים פתוחים להתקפות RCE

צוות המחקר של Oxeye הצליח להשיג ביצוע קוד מרחוק בפרויקט הקוד הפתוח של Spotify, Backstage, על ידי ניצול של ארגז חול VM דרך ספריית הצד השלישי vm2. דיווחנו על פגיעות RCE זו דרך תוכנית הבאגים של Spotify, וצוות Backstage הגיב במהירות על ידי תיקון שלה בגרסה 1.5.1, ודירוג הפגיעות עם ציון CVSS של 9.8.

השפעה פוטנציאלית על פגיעות - תוקף לא מאומת יכול לבצע פקודות מערכת ביישום Backstage על ידי ניצול escape vm2 של ארגז חול בתוסף הליבה Scaffolder.

https://www.oxeye.io/blog/remote-code-execution-in-spotifys-backstage

הסוכנות לאבטחת סייבר ותשתיות (CISA), הסוכנות לביטחון לאומי (NSA) ומשרד מנהל המודיעין הלאומי (ODNI) של ארה"ב, פרסמו השבוע הדרכה משותפת לאבטחת שרשרת אספקת התוכנה.

ההדרכה מספקת המלצות על שיטות עבודה מומלצות לאבטחת שרשרת אספקת התוכנה למפתחים, ספקים וארגונים.

המסמך (מצורף בלינק) מפרט שיטות עבודה מומלצות שלקוחות צריכים ליישם בעת רכישה, פריסה ושימוש בתוכנה, ומספק דוגמאות לתרחישי תקיפה והפחתות.

לגבי רכש תוכנה, שלושת הסוכנויות ממליצות לשים לב לדרישות הארגון, לרבות פעילויות אבטחה וניהול סיכונים בשרשרת אספקה ​​(SCRM - supply chain risk management), ביצוע הערכת מוצרים, לרבות הערכת רשימות חומרי תוכנה (SBOM-software bill of materials), והערכת ספקים לפני חתימת חוזים.

זה אמור להפחית סיכונים הקשורים לרכישת מוצרים שאינם עומדים בדרישות או שסובלים מפגיעות או שטופלו בהם, כמו גם התקשרות עם ספקים בשליטה זרה או שיש להם היגיינת אבטחה לקויה.

בכל הנוגע לפריסת תוכנה, מומלץ ללקוחות לבחון היטב מוצרים עם קבלתם, לבצע בדיקות פונקציונליות ולאמת את המוצר מנקודת מבט אבטחה, להקים לוח בקרת תצורה ( CCB - configuration control board ) האחראי על מחזור חיי המוצר, לוודא שהמוצר משתלב עם הסביבה הקיימת, ולקבל ניטור למערכת SIEM.

בקרות הפריסה הללו מבטלות סיכונים כגון מוצרים מוחלפים או לא שלמים, שינויים בלתי צפויים בפונקציונליות, שימוש ברכיבים לא מאומתים, נוכחות של תוכנות זדוניות רדומות או פונקציונליות זדונית, דליפות נתונים, פגיעה בתשתית, דוחות מוצרים לא שלמים, בעיות תמיכה, הערכות אינטגרציה לא שלמות או שגויות. ועדכונים שעלולים להיות זדוניים או שנפגעו.

כמו כן, מומלץ לארגונים לטפל כראוי במוצרים שהגיעו לסוף החיים (EoL) או אשר נמצאים בביטול, ולוודא כי מיושמת תוכנית הכשרה יעילה עבור מוצרים חדשים.

יתרה מזאת, ללקוחות תוכנה מומלץ לשים לב לאופן הפעלת המוצר, על מנת להבטיח זיהוי נקודות תורפה ושינויי פונקציונליות, כי העדכונים מיושמים בזמן, וכי תוכנות זדוניות מסולקות לפני פגיעה בארגון.