Код ботнета BotenaGo попал на GitHub и поразил миллионы устройств.

Вредоносная программа уже подвергла риску миллионы маршрутизаторов и IoT-устройств, а теперь с ней может справиться любой новичок.

Исходный код ботнета BotenaGo попал на GitHub, подвергая риску миллионы маршрутизаторов и устройств Интернета вещей (IoT), сообщили исследователи.

В опубликованном в среду отчете AT&T Alien Labs, которая впервые обнаружила труднообнаруживаемое вредоносное ПО в ноябре, заявила, что ожидает, что доступность исходного кода для авторов вредоносного ПО расширит число атак.

Размещение исходного кода на GitHub "потенциально может привести к значительному росту числа новых вариантов вредоносного ПО, поскольку авторы вредоносных программ смогут использовать исходный код и адаптировать его для своих целей".

Ошибка Linux во всех основных дистрибутивах.

12-летний дефект в инструменте pkexec от компании Polkit, похожем на sudo, обнаруженный во всех основных дистрибутивах Linux, вероятно, будет использован в дикой природе в течение нескольких дней.

UPDATE

Каждый основной дистрибутив Linux имеет легко эксплуатируемую ошибку повреждения памяти, которая скрывалась в течение 12 лет - ошеломляющее открытие, за которым, вероятно, вскоре последуют "дикие" эксплойты, предупреждают исследователи.

Успешная эксплуатация дает полный root-доступ любому непривилегированному пользователю.

Уязвимость - отслеживаемая как CVE-2021-4034 с оценкой критичности CVSS 7.8 - обнаружена в функции pkexec в Polkit. Polkit (ранее PolicyKit) обеспечивает организованный способ взаимодействия непривилегированных процессов с привилегированными.

Microsoft отразила DDoS-атаку рекордной мощности

Microsoft сообщила о сдерживании самой мощной на сегодняшний день DDoS-атаки на пользователей облачной платформы Azure. Согласно отчету корпорации, мощность DDoS-атаки составила 3,47 терабит в секунду (Tbps). Для организации DDoS были задействованы более 10 тысяч источников из десятков стран.

Векторами атаки стали насыщение полосы пропускания UDP-пакетами на порт 80 с использованием протокола обнаружения служб (SSDP), упрощённого протокола доступа к каталогам (CLDAP), системы доменных имен (DNS) и протокола сетевого времени (NTP).

NFT могут раскрывать IP-адреса пользователей

Торговая площадка для невзаимозаменяемых токенов (NFT) OpenSea и криптовалютный кошелек Metamask зафиксировали несколько случаев утечки IP-адресов, связанных с передаваемыми NFT. Об этом сообщили специалисты организации Convex Labs и разработчики протокола OMNIA.

Исследователь Ник Бакс создал NFT-изображение с целью доказать, что при просмотре выставленного на продажу NFT загружается кастомный код, фиксирующий IP-адрес того, кто его просматривает, и отправляет поставщику.

По словам Бакса, OpenSea позволяет создателям NFT добавлять дополнительные метаданные, разрешающие разные расширения файлов для HTML-страниц. Если метаданные хранятся в виде файла json в децентрализованной сети хранения, OpenSea может загружать изображение наряду с невидимым пиксельным логгером и размещать их на собственном сервере. Поэтому, когда потенциальный покупатель просматривает NFT на OpenSea, загружается HTML-страница и извлекается невидимый пиксель, раскрывающий IP-адрес пользователя и другие данные, такие как местоположение, версия браузера и операционная система. Как отметил Бакс, он «не считает фиксацию IP-адресов в OpenSea уязвимостью», поскольку «это так работает».

Аналитик Алекс Лупаску провел собственное расследование, но в отношении мобильного приложения Metamask, и пришел к тем же выводам, что и Бакс. Он обнаружил пассив, позволяющий поставщику отправлять NFT в кошелек Metamask и получать IP-адрес пользователя. Он создал свой собственный NFT на OpenSea и передал право собственности на NFT через airdrop на свой кошелек Metamask и пришел к выводу, что обнаружил «критическую уязвимость в конфиденциальности».

По словам Лупаску, «злоумышленник может создать NFT с удаленным изображением на его сервере, а затем с помощью airdrop добавить в блокчейн-адрес и получить IP-адрес». Его беспокоит то, что, если злоумышленник соберет коллекцию NFT, направит их все на один URL-адрес и разошлет их по миллионам кошельков, это может привести к крупномасштабной DDoS-атаке.

Генеральный директор Metamask Дэн Финлей ответил Лупаску в Twitter, что «проблема известна давно», но они начинают работу по ее устранению и повышению безопасности и конфиденциальности пользователей только сейчас.

Microsoft заявляет, что устройства Windows должны быть подключены к сети не менее восьми часов, чтобы получать последние обновления и правильно устанавить через Центр обновления Windows.

https://www.bleepingcomputer.com/news/microsoft/microsoft-windows-needs-at-least-8-hours-online-to-update-reliably/

Где-то раздался смех линуксоида

​​2ФА-приложение, загруженное 10 тысяч раз, распространяло банковский троян

Приложение 2FA Authenticator появилось в Google Play Store две недели назад и предлагало работающую двухфакторную аутентификацию, но также тайно устанавливало банковский троян Vultur.

Приложение построили на базе исходного кода опенсорсного решения Aegis. Оно действительно работало и выполняло заявленные функции двухфакторной аутентификации. Но вместе с этим 2FA Authenticator собирал список всех приложений, установленных на устройстве и данные о географическом местоположении. Приложение также отключало экран блокировки Android, загружало сторонние приложения под видом «обновлений» и накладывало оверлеи на другие приложения, чтобы запутать пользователя.

Если зараженный девайс находился в нужной локации и ​​на нем были установлены нужные приложения, на втором этапе атаки происходила установка банкера Vultur, который был запрограммирован на запись всего происходящего на экране, если запускалось одно из 103 банковских, финансовых или криптовалютных приложений.

Lazarus APT использует обновление Windows для распространения вредоносного ПО.

Группа Lazarus снова предлагала инженерам фальшивые вакансии в ходе фишинговой кампании, в которой использовалось обновление Windows Update в качестве метода "жизни на земле" и GitHub в качестве C2.

Lazarus Group использует Windows Update для распространения вредоносного ПО в рамках кампании, проводимой с помощью командно-контрольного (C2) сервера GitHub, обнаружили исследователи.

В четверг команда Malwarebytes Threat Intelligence сообщила о том, что обнаружила новейший метод "жизни на земле" группы передовых постоянных угроз (APT) северокорейского государства при анализе кампании spear-phishing, которую исследователи обнаружили 10 дней назад, 18 января.

Фокус кампании, в которой APT маскировалась под американского гиганта в области глобальной безопасности и аэрокосмической промышленности Lockheed Martin, соответствует пристрастию Lazarus к проникновению в военные структуры.

Миллион WordPress-сайтов в опасности из-за бага в популярном плагине

В популярном плагине Essential Addons for Elementor для WordPress (версии 5.0.4 и старше) присутствует критическая RCE-уязвимость. Она позволяет неавторизованному пользователю выполнить инжект (file inclusion) локального файла для выполнения на сайте произвольного кода.

Баг связан с функциями ajax_load_more и ajax_eael_product_gallery. То есть необходимым для атаки условием является наличие на сайте виджетов dynamic gallery и product gallery, чтобы проверка на отсутствие токена отсутствовала.

Исправленная версия, судя по официальной статистике, была установлена около 380 000 раз. Это означает, что 600 000 сайтов по-прежнему уязвимы, а их операторы пока не установили патчи.

В обновлении KB5008353 исправлена проблема падения производительности всех типов дисков на Windows 11

В начале декабря пользователи стали обращать внимание, что в некоторых конфигурациях Windows 11 значительно снижает производительность системных твердотельных накопителей. По большей части проблема касается NVMe SSD. Причем эти же устройства хранения при установке на них Windows 10 показывают стабильные и высокие результаты в тестах. В среднем снижение работоспособности NVMe SSD в Windows 11 составляет от 11% до 19% по сравнению с Windows 10.

Обновление KB5008353 для Windows 11 содержит исправление для проблемы, которая влияет на производительность всех дисков (NVMe SSD, SSD, HDD) на Windows 11 путем удаления ранее активных и ненужных действий при каждой операции записи в журнале NTFS USN.

Многие пользователи рассказали, что только после установки KB5008353 их Windows 11 начала загружаться быстрее Windows 10, причем не с использованием NVME SSD, а с обычного SATA SSD.

​​0-day уязвимость 2 года оставалась неисправленной из-за проблем с системой вознаграждения Microsoft

Microsoft исправила опасную уязвимость повышения привилегий, PoC-эксплоит для которой доступен в Сети. Уязвимость уже эксплуатируется в атаках высококвалифицированными хакерскими группировками.

Гил Даба (Gil Dabah) опубликовал эксплойт, обнаруженный еще два года назад. Он решил не сообщать о своей находке Microsoft, поскольку получить деньги в рамках ее программы вознаграждения за обнаруженные уязвимости оказалось очень сложно.

«Я очень долго ждал, пока Microsoft заплатит мне за другую находку. Когда они наконец-то заплатили, размер вознаграждения уменьшился практически до нуля. Я уже был занят своим стартапом, и уязвимость так и осталась неисправленной», – сообщил исследователь.

С помощью уязвимости в драйвере Win32k.sys, получившей идентификатор CVE-2022-21882, локальный авторизованный злоумышленник может повысить свои привилегии на локальной системе до уровня администратора.

В качестве исследователя, обнаружившего уязвимость, Microsoft указала RyeLv. Исследователь представил свое описание уязвимости: «Злоумышленник может сказать соответствующему GUI API в режиме пользователя сделать вызов ядра наподобие xxxMenuWindowProc, xxxSBWndProc, xxxSwitchWndProc, xxxTooltipWndProc и т.д. Эти функции ядра вызовут возврат xxxClientAllocWindowClassExtraBytes. Атакующий может перехватить этот возврат с помощью захвата xxxClientAllocWindowClassExtraBytes в KernelCallbackTable и с помощью метода NtUserConsoleControl установить флаг ConsoleWindow на объекте tagWND, что приведет к модификации типа окна».

Неисправленные ошибки безопасности в медицинских носимых устройствах позволяют отслеживать пациентов и красть данные.

Растущие критические уязвимости и отсутствие шифрования оставляют данные медицинских устройств беззащитными, предупреждают исследователи.

Телемедицинское обслуживание находится на подъеме, поскольку поставщики медицинских услуг не справляются с нагрузкой, вызванной пандемией, и растущими расходами. Но спешка в распространении дистанционного здравоохранения также привела к появлению целой вселенной носимых медицинских устройств для сбора конфиденциальных данных, которые, по мнению исследователей, широко уязвимы для атак.

Аналитики "Лаборатории Касперского" сообщили об обнаружении 33 уязвимостей в наиболее широко используемом протоколе передачи данных для медицинских устройств Интернета вещей (IoT), известном как MQTT, что на 10 больше, чем в предыдущем году. Все они подвергают риску данные пациентов, предупреждает команда.

Игра в кошки-мышки "Захват аккаунта".

Атаки ATO эволюционируют. Джейсон Кент, хакер-резидент компании Cequence Security, рассказывает о том, как выглядят кибератаки нового типа в природе.

При анализе более 21 миллиарда транзакций приложений, проанализированных группой исследования угроз Cequence Security с июня по декабрь прошлого года, число транзакций входа и регистрации учетных записей на основе API увеличилось на 92 процента и превысило 850 миллионов. Подчеркивая тот факт, что злоумышленники любят API не меньше, чем разработчики, тот же набор данных показал, что число атак с захватом учетной записи (ATO) на API для входа в систему увеличилось на 62 процента.

Ошибка Samba 'Fruit' позволяет RCE, полный доступ корневого пользователя.

Уязвимость критической серьезности в платформе Samba может позволить злоумышленникам получить удаленное выполнение кода с привилегиями root на серверах.

Samba - это набор средств взаимодействия, который позволяет хостам на базе Windows и Linus/Unix работать вместе и обмениваться файлами и услугами печати с многоплатформенными устройствами в общей сети, включая совместное использование файлов SMB. Получение возможности выполнять удаленный код от имени пользователя root означает, что злоумышленник сможет читать, изменять или удалять любые файлы в системе, перечислять пользователей, устанавливать вредоносное ПО (например, криптомайнеры или программы-выкупы) и проникать дальше в корпоративную сеть.

Ошибка (CVE-2021-44142) представляет собой уязвимость чтения/записи кучи вне границ в модуле VFS под названием "vfs_fruit".

​​Создана нейросеть, которая пишет код на уровне среднего программиста

Компания DeepMind запустила нейросеть AlphaCode, способную писать программы с нуля по одному лишь описанию задачи. Возможности AlphaCode проверялись на платформе Codeforces, на которой выкладываются задачи и тесты для настоящих программистов. Для решения задач требовались навыки критического мышления, логики, алгоритмизации и кодирования. Чаще всего конкурсантов просят проложить дороги или разместить здания при определённых условиях, а также подобрать выигрышную стратегию для настольной игры.

Нейросеть выполнила 10 тестов и попала в 54% лучших участников. В DeepMind подчеркнули, что при этом система создавала новый код с нуля, а не использовала готовые шаблоны.

Сейчас навыки AlphaCode применимы только в конкурентном программировании, но в DeepMind верят, что в будущем оно станет полностью автоматизированным.

Один из арестованных хакеров группировки REvil признал вину

14 задержанным вменяется неправомерный оборот средств платежей в составе организованной группы (ч. 2 ст. 187 УК). Один из предполагаемых участников группировки REvil Николай Головачук признал вину в незаконном обороте средств, но отрицает, что делал это в составе группы людей по предварительному сговору.

​​Национальный телеканал Ирана взломан во второй раз за неделю

Во время прямой трансляции футбольного матча Иран-ОАЭ группа хактивистов Adalat Ali перехватила контроль над web-трансляцией государственного телеканала «Голос Исламской республики Иран» (ВИРИ) и показала 50-секундное видео, в котором призвала иранцев подняться на общенациональные протесты против правящего режима Хаменеи во время Десятилетия Фаджр — 11-дневное празднование революции 1979 года, которое проходит каждый год с 1 по 11 февраля.

Сообщение повторялось с различными интервалами в течение нескольких часов, прежде чем контроль над платформой был восстановлен.

Предыдущий инцидент произошел 27 января, когда группа неизвестных хакеров перехватила сигнал основного телеканала ВИРИ примерно на 10 секунд с целью показать изображения Марьям и Масуда Раджави — лидеров «Организации моджахедов иранского народа».

Выпущен публичный эксплойт для ошибки Windows 10.

Уязвимость затрагивает все непропатченные версии Windows 10 после беспорядочного январского обновления Microsoft.

Команды безопасности, возможно, пропустили январское обновление Patch Tuesday после сообщений о том, что оно ломает серверы, но оно также включало исправление для ошибки повышения привилегий в Windows 10, которая оставляет непропатченные системы открытыми для злоумышленников, ищущих административный доступ. Это ошибка, для которой в настоящее время в дикой природе существует эксплойт с доказанной концепцией.

Эксплойт был опубликован Гилом Дабахом, основателем и генеральным директором Privacy Piiano, который написал в твиттере, что решил не сообщать об ошибке два года назад после того, как ему стало трудно получить деньги за другие ошибки по программе Microsoft.

ФБР: Используйте старый телефон на Олимпийских играх.

ФБР предупредило во вторник, что если вы едете на Олимпийские игры, то пользуйтесь стационарным телефоном, чтобы не вернуться домой с неприятным случаем вредоносного ПО и/или похищенными персональными данными.

ФБР не назвало конкретных угроз, но предупредило тех, кто едет на зимние Олимпийские игры в Пекине в феврале 2022 года и Паралимпийские игры в марте 2022 года, что мы уже видели все это на Олимпийских играх, где "злоумышленники могут использовать широкий спектр кибер-активности для срыва этих мероприятий".

По словам Бюро, не только личные телефоны спортсменов и других участников могут стать мишенью для кибер-актеров, накачанных тестостероном, или ревностных государственных деятелей, заполонивших мероприятие, точно так же, как злоумышленники нацелились на летние Олимпийские игры в Токио, стремясь нарушить телевизионные трансляции Игр.

Злоумышленники атакуют пользователей Intuit, угрожая аннулировать налоговые счета.

Обычный для налогового сезона шквал активности киберпреступников уже начался: фишинговая кампания выдает себя за популярное программное обеспечение для ведения бухгалтерского учета и подачи налоговых деклараций.

Как раз в преддверии налогового сезона компания Intuit предупреждает клиентов о фишинговой кампании, которая угрожает закрыть учетные записи пользователей, если они не нажмут на вредоносную ссылку.

Атаки на специалиста по бухгалтерскому программному обеспечению, которое многие используют для заполнения форм подоходного налога в США, происходят на фоне того, что фишеры в целом наращивают количество более креативных и скрытных способов обмануть пользователей, чтобы заставить их установить вредоносное ПО или предоставить личные данные.