Сценарий проведения атаки через PoS терминалы (давненько такого не встречал). Чувствуется системный, целенаправленный, профессиональный и я бы даже сказал процессный подход.
Многим современным компаниям стоит поучиться манерам подхода к реализации поставленной задачи :)
Расследование с описанием методологической части новой вредоносной компании под названием Anchor:
https://www.cybereason.com/blog/dropping-anchor-from-a-trickbot-infection-to-the-discovery-of-the-anchor-malware
Многим современным компаниям стоит поучиться манерам подхода к реализации поставленной задачи :)
Расследование с описанием методологической части новой вредоносной компании под названием Anchor:
https://www.cybereason.com/blog/dropping-anchor-from-a-trickbot-infection-to-the-discovery-of-the-anchor-malware
Cybereason
Dropping Anchor: From a TrickBot Infection to the Discovery of the Anchor Malware
Cybereason Nocturnus detected a series of attacks that started with a TrickBot infection and progressed into a hacking operation targeting sensitive financial systems using a new variant of Anchor_DNS and a new malware dubbed Anchor.
Waterbear, раскрытие еще одного подхода. Модульный, использует API, прячется от антивирусов.
Пошаговый разбор полетов:
https://blog.trendmicro.com/trendlabs-security-intelligence/waterbear-is-back-uses-api-hooking-to-evade-security-product-detection/
Пошаговый разбор полетов:
https://blog.trendmicro.com/trendlabs-security-intelligence/waterbear-is-back-uses-api-hooking-to-evade-security-product-detection/
Trend Micro
Waterbear Returns, Uses API Hooking to Evade Security
We discovered a piece of Waterbear payload hiding its network behaviors from a specific security product by API hooking techniques. In our analysis, we found the security vendor is APAC-based, consistent with BlackTech’s targeted countries.
Собственно комментарий от первого лица:
http://www.sysoev.ru
Даёшь NGINX!
О ситуации в общем:
https://www.ixbt.com/news/2019/12/12/rambler-reshil-prisvoit-vebserver-nginx.html
За ссылку спасибо BORODA(C)
http://www.sysoev.ru
Даёшь NGINX!
О ситуации в общем:
https://www.ixbt.com/news/2019/12/12/rambler-reshil-prisvoit-vebserver-nginx.html
За ссылку спасибо BORODA(C)
iXBT.com
Рамблер решил присвоить веб-сервер nginx
Источники подтверждают, что в московском офисе разработчиков nginx проводят обыски в рамках возбужденного 4 декабря уголовного дела по статье 146 УК РФ «Нарушение авторских и смежных прав».
Чтение, создание файлов через уязвимости менеджеров Node пакетов npm, yarn, pnpm.
Стек приложений на Node растёт, равно как растёт и популярность Node среди разработчиков, но о безопасности данного стека кто и когда из пользователей оного задумывался?
PoC с предысторией по сабжу:
https://blog.daniel-ruf.de/critical-design-flaw-npm-pnpm-yarn/
За ссылку спасибо @ldviolet
Стек приложений на Node растёт, равно как растёт и популярность Node среди разработчиков, но о безопасности данного стека кто и когда из пользователей оного задумывался?
PoC с предысторией по сабжу:
https://blog.daniel-ruf.de/critical-design-flaw-npm-pnpm-yarn/
За ссылку спасибо @ldviolet
Blog of Daniel Ruf
binary planting and arbitrary file (over)write vulnerabilities in npm, pnpm and yarn - Blog of Daniel Ruf
npm, pnpm and yarn were vulnerable to binary planting and arbitrary file (over)write through the bin field in package.json.
Можно пощупать предварительную версию MTP (пользователям о365 посвящается).. ясно что он потом станет наверняка платным, как и все остальные вещи в о365.
Здесь интерес скорее к реализации, чем к самому продукту, кому интересно информация о данном анонсе:
https://docs.microsoft.com/en-us/microsoft-365/security/mtp/microsoft-threat-protection
Здесь интерес скорее к реализации, чем к самому продукту, кому интересно информация о данном анонсе:
https://docs.microsoft.com/en-us/microsoft-365/security/mtp/microsoft-threat-protection
Docs
What is Microsoft Defender XDR? - Microsoft Defender XDR
Microsoft Defender XDR is a coordinated threat protection solution designed to protect devices, identity, data, and applications.
Уязвимость нулевого дня в TP-Link маршрутизаторах. Позволяет удалённому злоумышленнику взять под полный контроль маршрутизатор в обход механизмов аутентификации. Уровень критический. Владельцам девайсов - проверьте фиксы для своих устройств / наличие уязвимости.
PoC:
https://securityintelligence.com/posts/tp-link-archer-router-vulnerability-voids-admin-password-can-allow-remote-takeover/
PoC:
https://securityintelligence.com/posts/tp-link-archer-router-vulnerability-voids-admin-password-can-allow-remote-takeover/
Security Intelligence
TP-Link Archer Router Vulnerability Voids Admin Password, Can Allow Remote Takeover
If exploited, this router vulnerability can allow a remote attacker to take control of the router's configuration without authentication, putting personal and business data at risk.
Баги WatsApp под конец года набирают обороты) В мессенджере обнаружен баг, который может привести к краху мессенджера у всех участников группы, если в группу отправить сообщение с измененным номером телефона любого из участников.
В статье рассказывается как можно расшифровать соединение, просмотреть переписку и подложить “битый” номер в поле “participant to”
https://research.checkpoint.com/2019/breakingapp-whatsapp-crash-data-loss-bug/
В статье рассказывается как можно расшифровать соединение, просмотреть переписку и подложить “битый” номер в поле “participant to”
https://research.checkpoint.com/2019/breakingapp-whatsapp-crash-data-loss-bug/
Анонс Windows 10 Insider Preview Build 19536. Какие фичи в свежей сборке Windows:
- Доп драйвера для устройств
- Среда восстановления не требует пароль администратора для восстановления
- Настройки семейной группы
- Множество мелких исправлений
https://blogs.windows.com/windowsexperience/2019/12/16/announcing-windows-10-insider-preview-build-19536/#xogQVtqesTSXajtB.97
- Доп драйвера для устройств
- Среда восстановления не требует пароль администратора для восстановления
- Настройки семейной группы
- Множество мелких исправлений
https://blogs.windows.com/windowsexperience/2019/12/16/announcing-windows-10-insider-preview-build-19536/#xogQVtqesTSXajtB.97
Windows Experience Blog
Announcing Windows 10 Insider Preview Build 19536
Hello Windows Insiders, today we’re releasing Windows 10 Insider Preview Build 19536 to Windows Insiders in the Fast ring. The Fast ring going forward Back in early November, we announced that Windows Insiders who had opted into Skip Ahead would be migrated…
В Intel rapid найдена уязвимость позволяющая запускать привилегированные процессы, а также потенциально обходить черные списки антивирусов.
Intel rapid технология обеспечивающая повышенную производительность жёстких дисков SATA. Работает под Windows и поставляется, как правило уже в предустановленном виде с ноутбуками оснащёнными ОС Windows. Так что желательно этот момент проверить и обновить это ПО.
PoC:
https://safebreach.com/Post/Intel-Rapid-Storage-Technology-Service-DLL-Preloading-and-Potential-Abuses-CVE-2019-14568
Intel rapid технология обеспечивающая повышенную производительность жёстких дисков SATA. Работает под Windows и поставляется, как правило уже в предустановленном виде с ноутбуками оснащёнными ОС Windows. Так что желательно этот момент проверить и обновить это ПО.
PoC:
https://safebreach.com/Post/Intel-Rapid-Storage-Technology-Service-DLL-Preloading-and-Potential-Abuses-CVE-2019-14568
Новый RAT под названием Dacls от Lazarus нацелен на Linux и Windows системы.
Модульный, кроссплатформенный, пока обнаружен на серверах где установлен продукт Atlassian Confluence, известно точно, что используется уязвимость этого продукта для внедрения Dacls на конечные системы.
Детальный PoC, как и что (правда на китайском) от первого лица:
https://blog.netlab.360.com/dacls-the-dual-platform-rat/
Atlassian CVE:
https://nvd.nist.gov/vuln/detail/CVE-2019-3396
Модульный, кроссплатформенный, пока обнаружен на серверах где установлен продукт Atlassian Confluence, известно точно, что используется уязвимость этого продукта для внедрения Dacls на конечные системы.
Детальный PoC, как и что (правда на китайском) от первого лица:
https://blog.netlab.360.com/dacls-the-dual-platform-rat/
Atlassian CVE:
https://nvd.nist.gov/vuln/detail/CVE-2019-3396
360 Netlab Blog - Network Security Research Lab at 360
Lazarus Group使用Dacls RAT攻击Linux平台
背景介绍
2019年10月25号，360Netlab未知威胁检测系统发现一个可疑的ELF文件(80c0efb9e129f7f9b05a783df6959812)。一开始，我们以为这是在我们发现的Unknown Botnet中比较平凡的一个，并且在那时候VirusTotal上有2款杀毒引擎能够识别。当我们关联分析它的相关样本特征和IoC时，我们发现这个案例跟Lazarus Group有关，并决定深入分析它。
目前，业界也从未公开过关于Lazarus Group针对Linux平台的攻击样本和案例。通…
2019年10月25号，360Netlab未知威胁检测系统发现一个可疑的ELF文件(80c0efb9e129f7f9b05a783df6959812)。一开始，我们以为这是在我们发现的Unknown Botnet中比较平凡的一个，并且在那时候VirusTotal上有2款杀毒引擎能够识别。当我们关联分析它的相关样本特征和IoC时，我们发现这个案例跟Lazarus Group有关，并决定深入分析它。
目前，业界也从未公开过关于Lazarus Group针对Linux平台的攻击样本和案例。通…
Гангнам индастриал стайл или как промышленный шпионаж формирует новое лицо через почтовый фишинг :)
https://cyberx-labs.com/blog/gangnam-industrial-style-apt-campaign-targets-korean-industrial-companies/
https://cyberx-labs.com/blog/gangnam-industrial-style-apt-campaign-targets-korean-industrial-companies/
Не успел Intel rapid остыть и тут подоспели...
Aser / Asus снабжают ноутбуки уязвимым ПО. Непонятно то ли это ошибки программеров, то ли закладки от вендоров :)
Собственно Acer Quick Access и Asus ATK содержат уязвимости позволяющие поднять привилегии в системе по максимуму... Так то:
https://safebreach.com/Post/Acer-Quick-Access-DLL-Search-Order-Hijacking-and-Potential-Abuses-CVE-2019-18670
Aser / Asus снабжают ноутбуки уязвимым ПО. Непонятно то ли это ошибки программеров, то ли закладки от вендоров :)
Собственно Acer Quick Access и Asus ATK содержат уязвимости позволяющие поднять привилегии в системе по максимуму... Так то:
https://safebreach.com/Post/Acer-Quick-Access-DLL-Search-Order-Hijacking-and-Potential-Abuses-CVE-2019-18670
Имя, адрес, электронная почта, логин, пароль, дата рождения, номер медицинской карты и результаты лабораторных тестов - доступ к таким данным получили злоумышленники в одной из Канадских компаний занимающейся лабораторными исследованиями.
15 миллионов клиентов! Именно по такому количеству людей были украдены данные.
Компания провела переговоры с преступниками и ВЫКУПИЛА ДАННЫЕ У ПРЕСТУПНИКОВ!
Эпично и честно. Официальное письмо от LifeLabs:
https://customernotice.lifelabs.com/
15 миллионов клиентов! Именно по такому количеству людей были украдены данные.
Компания провела переговоры с преступниками и ВЫКУПИЛА ДАННЫЕ У ПРЕСТУПНИКОВ!
Эпично и честно. Официальное письмо от LifeLabs:
https://customernotice.lifelabs.com/
MS рассказывает что такое фишинг, какова его эволюция, что такое “человек по середине” и тп…
Но между нами говоря, фишинговые письма людям приходят при этом даже как бы от внутренних пользователей компании или как бы от официальный тех поддержки…
Как бы там ни было, от знатоков фишинга из MS статья на тему эволюции фишинга в природе:
https://www.microsoft.com/security/blog/2019/12/11/the-quiet-evolution-of-phishing/
Но между нами говоря, фишинговые письма людям приходят при этом даже как бы от внутренних пользователей компании или как бы от официальный тех поддержки…
Как бы там ни было, от знатоков фишинга из MS статья на тему эволюции фишинга в природе:
https://www.microsoft.com/security/blog/2019/12/11/the-quiet-evolution-of-phishing/
Microsoft News
The quiet evolution of phishing
In 2019, we saw phishing attacks reach new levels of creativity and sophistication. Read about the most notable phishing techniques we spotted in the past year.
Концепция целенаправленных атак вымогателей проста:
‣ получить доступ к корпоративной сети ‣ получить доступ ко всему, что можно ‣ зашифровать данные (чем больше, тем лучше) ‣ запросить единовременную выплату, для восстановления доступа к зашифрованным данным ‣ получить прибыль
До "сегодняшнего дня", теперь к этой парадигме прибавилось:
‣ удержание в заложниках с угрозами публикации данные жертвы, если оплата за расшифровку не будет получена
Что интересно, теперь злоумышленники или их ПО прежде чем донести до жертвы сей мессадж, проводят какое-то время в инфраструктуре, собирают данные и тп..
Собственно рассказ о нескольких подобных инцидентах (имеющих место) от Cisco ресечеров:
https://blog.talosintelligence.com/2019/12/IR-Lessons-Maze.html
‣ получить доступ к корпоративной сети ‣ получить доступ ко всему, что можно ‣ зашифровать данные (чем больше, тем лучше) ‣ запросить единовременную выплату, для восстановления доступа к зашифрованным данным ‣ получить прибыль
До "сегодняшнего дня", теперь к этой парадигме прибавилось:
‣ удержание в заложниках с угрозами публикации данные жертвы, если оплата за расшифровку не будет получена
Что интересно, теперь злоумышленники или их ПО прежде чем донести до жертвы сей мессадж, проводят какое-то время в инфраструктуре, собирают данные и тп..
Собственно рассказ о нескольких подобных инцидентах (имеющих место) от Cisco ресечеров:
https://blog.talosintelligence.com/2019/12/IR-Lessons-Maze.html
Cisco Talos Blog
Incident Response lessons from recent Maze ransomware attacks
By JJ Cummings and Dave Liebenberg
This year, we have been flooded with reports of targeted ransomware attacks. Whether it's a city, hospital, large- or medium-sized enterprise — they are all being targeted. These attacks can result in significant damage…
This year, we have been flooded with reports of targeted ransomware attacks. Whether it's a city, hospital, large- or medium-sized enterprise — they are all being targeted. These attacks can result in significant damage…
Много кто переходит на Matrix (децентрализованный сервер коммуникаций):
https://matrix.org/
В начале года это был проект KDE, теперь Mozilla:
https://www.opennet.ru/opennews/art.shtml?num=52056
https://matrix.org/
В начале года это был проект KDE, теперь Mozilla:
https://www.opennet.ru/opennews/art.shtml?num=52056
www.opennet.ru
Mozilla перейдёт с IRC на Matrix и добавит в Firefox второго провайдера DNS-over-HTTPS
Компания Mozilla приняла решение перейти на использование децентрализованного сервиса для общения разработчиков, построенного с использованием открытой платформы Matrix. Matrix-сервер решено запустить с использованием хостинг-сервиса Modular.im.
Овер 260 миллионов пользователей. Facebook. Снова.
https://www.comparitech.com/blog/information-security/267-million-phone-numbers-exposed-online/
https://www.comparitech.com/blog/information-security/267-million-phone-numbers-exposed-online/
Минимальная выплата за найденные уязвимости 100к долларов. Apple и их баунти программа:
https://developer.apple.com/security-bounty/
https://developer.apple.com/security-bounty/
Bounty - Apple Security Research
Your security research may be eligible for a reward through the Apple Security Bounty. We welcome reports from anyone.
Критическая уязвимость Cisco ASA до сих пор эксплуатируется.
Атакующий может либо перезагрузить устройство, либо получить доступ к информации устройства в обход аутентификации:
https://blog.talosintelligence.com/2019/12/ASA-Bug-Attacked-In-The-Wild.html
Информация об уязвимости:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180606-asaftd
Атакующий может либо перезагрузить устройство, либо получить доступ к информации устройства в обход аутентификации:
https://blog.talosintelligence.com/2019/12/ASA-Bug-Attacked-In-The-Wild.html
Информация об уязвимости:
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180606-asaftd
Cisco Talos Blog
Cisco ASA DoS bug attacked in wild
By Nick Biasini.
Cisco Talos has recently noticed a sudden spike in exploitation attempts against a specific vulnerability in our Cisco Adaptive Security Appliance (ASA) and Firepower Appliance. The vulnerability, CVE-2018-0296, is a denial-of-service and…
Cisco Talos has recently noticed a sudden spike in exploitation attempts against a specific vulnerability in our Cisco Adaptive Security Appliance (ASA) and Firepower Appliance. The vulnerability, CVE-2018-0296, is a denial-of-service and…
Повышение привилегий до уровня SYSTEM в ОС Windows при помощи механизма самообновления DropBox клиента. Все оказалось очень просто. Есть ли на данный момент патч, ещё под вопросом.
PoC:
https://decoder.cloud/2019/12/18/from-dropboxupdater-to-nt-authoritysystem/
PoC:
https://decoder.cloud/2019/12/18/from-dropboxupdater-to-nt-authoritysystem/
Decoder's Blog
From dropbox(updater) to NT AUTHORITY\SYSTEM
Hardlinks again! Yes, there are plenty of opportunities to raise your privileges due to incorrect permissions settings when combined with hardlinks in many softwares (MS included) ;-) In this post…