חוקרי אבטחה מצאו נקודות תורפה במנגנון ההצפנה של תוכנת הכופר Zeppelin וניצלו אותן כדי ליצור מפענח עובד.

המוטיבציה לפצח לאחר שראו שהתוקפים פוגעים בארגוני צדקה, עמותות ואפילו מקלטים לחסרי בית.

החוקרים שמו לב ש-Zeppelin השתמש במפתח RSA-512 חולף כדי להצפין את מפתח AES שנעל גישה לנתונים מוצפנים.

מפתח AES נשמר בכותרת התחתונה של כל קובץ מוצפן, כך שאם מפתח ה-RSA-512 נפצח, ניתן היה לפענח את הקבצים מבלי לשלם לתוקף.

חברת Unit221b גילתה שהמפתח הציבורי הזה נשאר ברישום של המערכת הנגועה במשך כחמש דקות לאחר השלמת הצפנת הנתונים.

שליפת המפתח הייתה אפשרית על ידי ביצוע בדיקה על מערכת הקבצים, מהזיכרון registry.exe, וישר על ה-NTUSER.Dat בספריית
"/User/[user_account]/".

הנתונים המתקבלים עם RC4, ל-Unit221b נותרה שכבה אחת של הצפנת RSA-2048.

כדי להתגבר על מכשול אחרון, Unit221b השתמשה בסך הכל ב-800 CPUs ב-20 שרתים, כל אחד עם 40 מעבדים, שכללו חלקים קטנים יותר מהמפתח, לאחר שש שעות, המפתח פוצח, ה-AES מכותרת התחתונה של הקובץ.

https://blog.unit221b.com/dont-read-this-blog/0xdead-zeppelin

מחוז Tehama, קליפורניה, החל להודיע לעובדים, למקבלי שירותים ולשותפים הקשורים לכך שייתכן שהמידע האישי שלהם נפגע.

החקירה העלתה שלצד שלישי בלתי מורשה הייתה גישה למערכות המחוז בין ה-18 בנובמבר 2021 ל-9 באפריל 2022, וכי ניגשו לקבצים במערכות המחלקה לשירותים חברתיים במחוז.

"מחוז טהמה מציע שירותי ניטור אשראי וגניבת זהות חינם לאנשים שמספרי הביטוח הלאומי או מספרי רישיון הנהיגה שלהם היו מעורבים", אומרים במחוז.

המחוז לא שיתף פרטים על סוג התקפת הסייבר שנפל קורבן לה, אבל, עוד ביוני, מפעילי תוכנת הכופר Quantum פרסמו באתר ההדלפות שלהם בערך 32 גיגה-בייט של נתונים שנגנבו לכאורה ממערכות המחוז.

הנתונים הגנובים כוללים על פי הדיווחים פרטים פיננסיים, תעודות זהות, תעודות לידה, דוחות אירועים, מידע רפואי, מידע ביטוחי, מסמכי רישום פלילי ומסמכים סודיים אחרים.

https://oag.ca.gov/system/files/Tehama%20-%20California%20Notification.pdf

מיקרוסופט פרסמה עדכון מיוחד לאחר שנודע לו שתיקון אבטחה אחרון של Windows התחיל לגרום לבעיות אימות Kerberos.

עדכוני ה-Patch Tuesday שפורסמו ב-8 בנובמבר התייחסו ל-CVE-2022-37966, פגיעות הסלמה של הרשאות המשפיעה על Windows Server. פגיעות שיכולה לאפשר לתוקף לאסוף מידע על המערכת הממוקדת לקבל הרשאות מנהל.

"תוקף לא מאומת יכול לבצע מתקפה שיכולה למנף פגיעויות של פרוטוקול קריפטוגרפי ב-RFC 4757 (סוג הצפנה Kerberos RC4-HMAC-MD5) ו-MS-PAC (מפרט מבנה נתונים של תעודת תעודת הרשאות) כדי לעקוף תכונות אבטחה בסביבת Windows AD." לדברי מיקרוסופט

עם זאת, מספר ימים לאחר שחרורו של התיקון, משתמשים החלו להתלונן על בעיות הקשורות לאימות Kerberos.

מיקרוסופט פעלה במהירות וב-17 בנובמבר, היא הוציא עדכון מיוחד שאמור לטפל בבעיה.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37966

מפתח השאיר את השם משתמש וסיסמא לשרת פנימי של AstraZeneca באתר GitHub

ענקית התרופות AstraZeneca האשימה את "טעות המשתמש" בהשארת רשימת אישורים מקוונת במשך יותר משנה שחשפה גישה לנתוני חולים רגישים.

האישורים שנשכחו אפשרו גישה לסביבת ענן של Salesforce, אבל סביבת הבדיקות הכילה כמה נתוני מטופלים.

חלק מהנתונים קשורים ליישומי AZ&ME, המציעים הנחות למטופלים הזקוקים לתרופות.

דובר AstraZeneca, אמר : "ההגנה על נתונים אישיים חשובה לנו ביותר ואנו שואפים לסטנדרטים הגבוהים ביותר ולעמידה בכל הכללים והחוקים החלים. עקב שגיאת משתמש [sic], חלק מרשומות הנתונים היו זמינות זמנית בפלטפורמת מפתחים. הפסקנו את הגישה לנתונים האלה מיד לאחר שהודיעו לנו. אנו חוקרים את הסיבה השורשית וכן מעריכים את החובות הרגולטוריות שלנו".


https://techcrunch.com/2022/11/03/astrazeneca-passwords-exposed-patient-data/?guccounter=1

חודשים להוצאת תיקון הפגיעויות של גוגל, יצרני מכשירי אנדרואיד עדיין לא הגיבו.

"פער תיקון" (patch gap) מתאר את הזמן שלוקח לתקן פגיעות ידועה מספק התוכנה ליצרנים.

הנפגעים האחרונים הם מיליוני מותגי Pixel, Samsung, Xiaomi ושאר מותגי אנדרואיד

לפי Project Zero של גוגל, לאחר שהצוות גילה חמישה באגים נפרדים במנהל ההתקן של ARM Mali GPU, ARM הוציאה "מייד" תיקון ביולי ואוגוסט. עם זאת, Project Zero דיווח שכל מכשיר שהם בחנו השבוע נשאר פגיע.

https://googleprojectzero.blogspot.com/2022/11/mind-the-gap.html?m=1

כאיש צוות IR, שעזר לארגוני בריאות לחזור לשיגרה, אני מרגיש מחוייבות לפרסם את ההדרכה האחרונה שהFDA, בנושא אבטחת סייבר של מכשירים רפואיים עם מטופלים.

טיפים אלו מתמקדים בתקשורת עם מטופלים ומטרתם להגביר את הנוחות של הרופא בגישה לנושא זה.

https://www.youtube.com/watch?v=oxLbTPdtsLI

פייסבוק פרסמה את דו"ח האיומים לרבעון השלישי של 2022.עצרה פעולות הקשורות לתוקפים סיניים ורוסים, ושיבשה מבצע שהיה קשור לארצות הברית.

לפי Meta, המבצע שמקורו בארה"ב התמקד במדינות כמו אפגניסטן, אלג'יריה, איראן, עיראק, קזחסטן, קירגיזסטן, רוסיה, סומליה, סוריה, טג'יקיסטן, אוזבקיסטן ותימן.

הוסרו 39 חשבונות פייסבוק, 16 דפים ושתי קבוצות, וכן 26 חשבונות אינסטגרם הקשורים לפעולה זו בשל הפרת מדיניות בנושא התנהגות לא הולמת, החברה אמרה כי הקמפיין רץ למעשה על פני מספר שירותים מקוונים, כולל יוטיוב, טוויטר, טלגרם ואתרי המדיה החברתית הרוסית Odnoklassniki ו-VKontakte.

המבצע כלל פוסטים שנכתבו בעיקר בערבית, פרסית ורוסית, וסיקרו חדשות, ספורט, תרבות ואקטואליה. חלק מהפוסטים שיבחו את צבא ארה"ב בעוד שאחרים מתחו ביקורת על איראן, רוסיה וסין, כולל השפעתה של איראן במזרח התיכון, ומלחמתה של רוסיה.

נתונים שנאספו מראים שכ-22,000 חשבונות עקבו אחר דפי הפייסבוק פוגעים, ו-400 חשבונות הצטרפו לפחות לאחת מהקבוצות. כ-12,000 חשבונות אינסטגרם.

https://about.fb.com/wp-content/uploads/2022/11/Quarterly-Adversarial-Threat-Report-Q2-2022-1.pdf

ארה"ב אוסרת ייבוא ​​או מכירה של ציוד הנחשב "כסכנה בלתי מתקבלת על הדעת לביטחון הלאומי" - של הענקיות הסיניות Huawei Technologies ו-ZTE.

שתי החברות היו ברשימת חברות המהוות איום על ידי ועדת התקשורת הפדרלית (FCC), והכללים החדשים מונעים הרשאות עתידיות לציוד שלהן.

"ה-FCC מחויב להגן על הביטחון הלאומי שלנו על ידי הבטחה שציוד תקשורת לא אמין אינו מורשה לשימוש בגבולותינו", אמרה יו"ר FCC.

היא הוסיפה כי הכללים החדשים הם חלק מהעבודה השוטפת להגנה מפני איומי אבטחה.

הצו משפיע גם על חברות בנות וחברות ציוד מעקב וידאו Hangzhou Hikvision ו-Dahua Technology.

בעבר, וושינגטון אסרה על Huawei לספק מערכות ממשלתיות בארה"ב ומנעה בתוקף את השימוש בציוד שלה במגזר הפרטי, מתוך חשש שציוד Huawei עלול להיפגע על ידי המודיעין הסיני.

בשנת 2019, היא הכניסה את Huawei לרשימה שחורה של סחר ואסרה על ספקים לעשות איתה עסקים, וניתקה את החברה הסינית, ממערכת ההפעלה של גוגל לאנדרואיד.

https://www.fcc.gov/document/fcc-bans-authorizations-devices-pose-national-security-threat

טוויטר 2.0, שצפוי להיות מה שמכונה "everything app".

מנכ"ל טוויטר אילון מאסק אישר תוכניות להצפנה מקצה לקצה (E2EE) עבור הודעות ישירות בפלטפורמה.

פלטפורמות הודעות כמו Signal, Threema, WhatsApp, iMessage, Wire, Tox ו-Keybase, כבר תומכות בהצפנה להודעות.

מאסק הוסיף כי הרשמות משתמשים חדשים לפלטפורמת המדיה החברתית נמצאות ב"שיא של כל הזמנים", בממוצע של למעלה משני מיליון ביום בשבעת הימים האחרונים נכון ל-16 בנובמבר, עלייה של 66% בהשוואה לאותו שבוע ב-2021. טוויטר יש יותר מ-253.8 מיליון משתמשים פעילים יומיים (monetizable daily active users-mDAU) הניתנים לרווחים.

הצגת המנויים החדשה אמורה להיות מושקת כבר ב-2 בדצמבר 2022, עם מערכת אימות רב צבעונית שמטרתה להעניק תגי זהב לחברות, אפור לממשלות וכחול לחשבונות בודדים.

https://www.themobileindian.com/news/twitter-2-0-heres-whats-coming

כמעט 500 מיליון רשומות משתמשי WhatsApp נמכרו באינטרנט

מסד הנתונים מכיל נתוני משתמשי WhatsApp מ-84 מדינות כאשר למצרים יש את הנתח הגדול ביותר של מספרי טלפון גנובים (45 מיליון), איטליה עם 35 מיליון וארה"ב עם 32 מיליון.

התוקפים מוכנים למכור את מערך הנתונים בארה"ב ב-7000 דולר, את הבריטי ב-2500 דולר ואת הגרמני ב-2000 דולר.

https://www.ndtv.com/world-news/whatsapp-data-leaked-data-phone-numbers-of-500-million-whatsapp-users-leaked-up-for-sale-online-report-3558403

פגיעות במחשבים ניידים של Acer מאפשרת לתוקפים להשבית את האתחול המאובטח ולעקוף הגנות אבטחה כדי להתקין תוכנות זדוניות.

הפגיעות, במעקב כ-CVE-2022-4020 (ציון CVSS של 8.1), זוהתה במנהל ההתקן HQSwSmiDxe DXE, שבודק את קיומו של המשתנה 'BootOrderSecureBootDisable' NVRAM כדי להשבית את האתחול המאובטח.

חברת Acer מסבירה שהפגיעות עשויה לאפשר לתוקף להתעסק בהגדרות אתחול מאובטח פשוט על ידי יצירת משתני NVRAM. מכיוון שמנהל הקושחה המושפע רק בודק את קיומם של המשתנים, הערך האמיתי שלהם אינו חשוב.

דגמי המכשירים המושפעים, אומרת יצרנית המחשבים, כוללים את Aspire A315-22, A115-21 ו-A315-22G, ו-Extensa EX215-21 ו-EX215-21G.

מציינים בחברה "Acer עובדת על עדכון BIOS כדי לפתור בעיה זו שתפורסם באתר התמיכה של Acer. Acer ממליצה לעדכן את ה-BIOS שלך לגרסה העדכנית ביותר כדי לפתור בעיה זו. עדכון זה ייכלל כעדכון קריטי של Windows".

https://community.acer.com/en/kb/articles/15520-security-vulnerability-regarding-vulnerability-that-may-allow-changes-to-secure-boot-settings

קבוצת Meta נקנסה ב-265 מיליון אירו (275.5 מיליון דולר) על ידי DPC על הפרות GDPR בגין דליפת מידע של פייסבוק בשנת 2021 שחשפה מידע על 533 מיליון משתמשים.

הנתונים שנחשפו כללו מידע אישי, כגון מספרי סלולר, מזהי פייסבוק, שמות, מגדרים, מיקומים, סטטוסים של מערכת יחסים, עיסוקים, תאריכי לידה וכתובות דוא"ל.

פייסבוק, אמרה שהתוקפים ניצולו פגם בכלי "Contact Importer" כדי לשייך מספרי טלפון למזהה פייסבוק ואז לבנות פרופיל עבור המשתמש.

הפלטפורמה אמרה שהם תיקנו את הבאג ב-2019, והנתונים נאספו לפני כן.

החקירה של DPC הגיעה למסקנה כי Meta (אז פייסבוק) הפרה את סעיפים 25(1) ו-25(2) של ה-GDPR

ה-DPC נחשב לחוד החנית בתאימות ל-GDPR באיחוד האירופי בשל חברות טכנולוגיה רבות הפועלות מאירלנד.

https://www.dataprotection.ie/en/news-media/press-releases/data-protection-commission-announces-decision-in-facebook-data-scraping-inquiry

גוגל הודיעה על Chrome 108 עם תיקונים ל-28 פגיעויות, כמתוכם 22 שדווחו על ידי חוקרים חיצוניים.

החמור ביותר מבין הבאגים הללו, היא CVE-2022-4174, בעיה במנוע V8 JavaScript של דפדפן האינטרנט, וזיכתה את חוקר בפרס של 15,000 דולר.

העדכון Chrome יוצאת כעת כגרסה 108.0.5359.71 עבור Mac ו-Linux וכגרסה 108.0.5359.71/72 עבור Windows.

https://chromereleases.googleblog.com/2022/11/stable-channel-update-for-desktop_29.html?m=1

האקרים זורקים מידע שאספו מ- Medibank, ומכריזים 'התיק סגור'

התוקפים שפרצו למדיבנק ביקשו כופר של 9.7 מיליון דולר כדי לא לפרסם את המידע, בחשבון סנדלרים דולר לכל לקוח בחברה, בניהם ראש ממשלת אוסטרליה.

אחרי מדיבנק סירבה לשלם על פי דרישת הממשלה, פרסמו את כל הנתונים באינטרנט, במקביל ליום אבטחת המחשב הבינלאומי.

"יום אבטחת סייבר שמח", הם כתבו.

החשד שמבצעי התקיפה כנראה קשורים לקבוצה הרוסית REvil

שרי ממשלת אוסטרליה כינו את ההאקרים באופן שונה "זבל", "פושעים מלוכלכים" ו"חמולי זהב גנוב".

https://www.rfi.fr/en/business-and-tech/20221201-hackers-dump-australian-health-data-online-declare-case-closed

התוכנה הזדונית, Schoolyard Bully Trojan, מכוונת ליותר מ-300,000 קורבנות הממוקמים ב-71 מדינות.

התוכנה Schoolyard Bully מסתמכת על זריקות JavaScript כדי להציג דפי פישינג שנועדו להערים על משתמשים למסור את שם המשתמש והסיסמה שלהם בפייסבוק.

התוכנה הזדונית גם עוזרת לתוקף לאסוף מידע כגון שם פרופיל פייסבוק, מזהה פייסבוק ופרטי מכשיר.

https://www.zimperium.com/blog/schoolyard-bully-trojan-facebook-credential-stealer/

קובצי ZIP ו-RAR, הם סוגי הקבצים הנפוצים ביותר לאספקת תוכנות זדוניות. הם עלו על קבצי Office בפעם הראשונה מזה שלוש שנים.

44% מהתוכנות הזדוניות נמסרו בתוך קבצי ארכיון פופולריים, מה שמסמן עלייה של 11% מהרבעון הקודם, לאחר ניתוח מיליוני נקודות קצה. 32% מהתוכנות הזדוניות הועברו דרך קובצי Office, כגון Microsoft Word, Excel ו-PowerPoint.

מומחים צפו במספר קמפיינים שבהם פושעי סייבר מטמיעים ארכיונים זדוניים בקובצי HTML כדי לעקוף שערי דוא"ל ולהשיק התקפות.

לדוגמה, קמפיינים אחרונים של QakBot ו- IceID השתמשו בקובצי HTML כדי להפנות משתמשים לצופי מסמכים מקוונים מזויפים שהתחזו לאדובי. לאחר מכן, המשתמשים קיבלו הוראה לפתוח קובץ ZIP ולהזין סיסמה כדי לפרוק את הקבצים, ולאחר מכן פרסו תוכנות זדוניות במחשבים שלהם


https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q3-2022/

אישורי ספקי אנדרואיד כמו Samsung, LG ו-MediaTek נמצאו מנוצלים לרעה כדי לחתום על אפליקציות זדוניות.

"תעודת פלטפורמה היא אישור החתימה על האפליקציה המשמשת לחתימה על אפליקציית 'אנדרואיד' במערכת", נכתב בדו"ח שהוגש באמצעות יוזמת ה-Android Partner Vulnerability Initiative (AVPI).

"האפליקציה 'אנדרואיד' פועלת עם מזהה משתמש בעל זכויות יתר - android.uid.system - ומחזיקה בהרשאות מערכת, כולל הרשאות גישה לנתוני משתמש."

משמעות הדבר היא למעשה שיישום רע שנחתם עם אותו אישור יכול לקבל את הרמה הגבוהה ביותר של הרשאות כמו מערכת ההפעלה אנדרואיד, מה שמאפשר לה לאסוף כל מיני מידע רגיש ממכשיר שנפגע.

גוגל אמרה ש"היא הודיעה לכל הספקים המושפעים לשנות את האישורים ושאין הוכחות שהאפליקציות הללו נמסרו דרך Play Store, וממליצים למשתמשים לוודא שהם מריצים את הגרסה העדכנית ביותר של אנדרואיד."

הרשימה של חבילות אפליקציות אנדרואיד זדוניות שניצלו לרעה בקישור

https://android-developers.googleblog.com/2020/10/announcing-launch-of-android-partner.html

ה-FBI מזהירים הכופר "קובה" ממקד לתשתית קריטית

פעילי קובה מכוונים באופן פעיל למגזרי תשתית קריטיים לרבות מוסדות פיננסיים, מבני ממשלה, מגזר הבריאות, ייצור וטכנולוגיית מידע.

החבורה זוכה לשמה מהסיומת "cuba" שהיא מוסיפה לקבצים מוצפנים

ה-FBI זיהה שחקני כופר בקובה ביותר מ-100 ישויות ברחבי העולם.
בין קורבנותיה: ממשלת מונטנגרו, מהתקיפה באוגוסט
האזהרה האחרונה היא המשך להתראת ה-FBI מדצמבר 2021 שפורסמה שהיקף הסחיטה של ​​קובה עומד על 43.9 מיליון דולר.

הקבוצה שינתה את הטכניקות שלה במהלך חצי השנה האחרונה, וקיים קשר ברור בין שחקני RomCom RAT, לבין שחקני תוכנת כופר Industrial Spy.

הדו"ח של פאלו אלטו מציין כי קובה ניצלה את CVE-2022-24521 במנהל ההתקן של Windows Common Log File System כדי לגנוב אישורי מערכת ולהעלות הרשאות, השתמשה בסקריפט PowerShell לצורך סיור, פרסה כלי בשם KerberCache כדי לפצח כרטיסי Kerberos במצב לא מקוון באמצעות חולשה Kerberoasting חולשה CVE-2020-1472 כדי לקבל הרשאות ניהול.

https://unit42.paloaltonetworks.com/cuba-ransomware-tropical-scorpius/

חנות InTheBox בDarknet לתוכנות זדוניות, פעילה מ01/20 עם למעלה מ-400 הזרקות אינטרנט מותאמות אישית מקובצות לפי גיאוגרפיה, שניתן לרכוש למעוניינים לבצע התקפות.

הזרקות אינטרנט הן חבילות המשמשות בתוכנות זדוניות פיננסיות הממנפות את וקטור ההתקפה של היריב בדפדפן (AitB adversary-in-the-browser) כדי להגיש קוד HTML או JavaScript זדוני בצורה של מסך שכבת-על כאשר הקורבנות משיקים בנקאות, קריפטו, תשלומים, מסחר אלקטרוני , אימייל או אפליקציית מדיה חברתית.

דפים אלה דומים בדרך כלל לדף אינטרנט לגיטימי של התחברות בנקאי ומבקשים ממשתמשים שלא מדעתם להזין נתונים סודיים כגון אישורים, נתוני כרטיס תשלום, מספרי תעודת זהות (SSN), ערך אימות כרטיס (CVV) המשמש לאחר מכן כדי לסכן את חשבון הבנק ולבצע הונאה .

הInTheBox נגיש דרך Tor מציע מגוון תבניות להזרקת אינטרנט למכירה, כאשר הרישום נגיש רק לאחר שלקוח נבדק על ידי המנהל והחשבון מופעל.

https://resecurity.com/blog/article/in-the-box-mobile-malware-webinjects-marketplace