Захват узлов Tor и перехват трафика

Уже как с начала года осуществляется некоими лицами:

https://medium.com/@nusenu/how-malicious-tor-relays-are-exploiting-users-in-2020-part-i-1097575c0cac

Детали на русском:

https://www.anti-malware.ru/news/2020-08-11-111332/33375

Дайджест новостей

Adobe Reader (Windows, macOS) Произвольное выполнение кода, обход механизмов безопасности, всего порядка ~25-ти уязвимостей из которых 11 критические - Security Updates Available for Adobe Acrobat and Reader

Citrix Endpoint Management (CEM), XenMobile Server - Множественные уязвимости

Windows - Несколько 0-day, критических уязвимостей, включая:
• CVE-2020-1472 | Netlogon Elevation of Privilege
• CVE-2020-1046 | .NET Framework Remote Code Execution
• CVE-2020-1525 | Media Foundation Memory Corruption
• CVE-2020-1477 | Media Foundation Memory Corruption
• CVE-2020-1379 | Media Foundation Memory Corruption
• CVE-2020-1492 | Media Foundation Memory Corruption
• CVE-2020-1554 | Media Foundation Memory Corruption
• CVE-2020-1464 | Windows Spoofing
• CVE-2020-1380 | Scripting Engine Memory Corruption

Попутно MS выпустил наборы патчей для разных релизов Windows, как пример:
• August 11, 2020—KB4566782 (OS Build 19041.450)
• August 11, 2020—KB4565351 (OS Builds 18362.1016 and 18363.1016)

Intel - множественные уязвимости в серверных компонентах, компонентах драйверов, устройствах:
• Intel® Server Boards, Server Systems and Compute Modules Advisory
• Intel® Graphics Drivers Advisory
• Intel® RAID Web Console 3 for Windows* Advisory
• Intel® Server Board M10JNP2SB Advisory
• Intel® NUC Firmware Advisory
• Intel® SSD DCT Advisory
• Intel® Thunderbolt™ Controller Advisory
• Intel® Distribution of OpenVINO™ Toolkit Advisory
• Intel® RealSense™ D400 Series UWP Advisory

PCI DSS 4.0 не за горами - Feedback from the PCI DSS v4.0 RFC
⁠
⁠

Одногодичные сертификаты от Digicert

Уже не за горами - https://www.digicert.com/blog/position-on-1-year-certificates/

Скиммер кредитных карт нацелен на ASP.NET сайты

PoC:

https://blog.malwarebytes.com/threat-analysis/2020/07/credit-card-skimmer-targets-asp-net-sites/

Malware as a Service MaaS

Новые возможности, админ-панель, хищение данных, включая данные из браузеров и VPN подключений.

Доступ по подписке :) Обзор от исследователя информационной безопасности (скрины, описание возможностей и тп):

https://labs.sentinelone.com/agent-tesla-old-rat-uses-new-tricks-to-stay-on-top/

Ransomware as a Service - RaaS

Вымогатели, как сервис. Довольно старый вымогатель Dharma (приходилось сталкиваться / расследовать результаты деятельности этого вымогателя) со своей экономикой, сервисной моделью...

Детальный обзор сервиса, его работоспособности, детальный разбор, полезно будет как с точки зрения бизнес-модели, так и обзора сценария внедрения в информационную среду "жертвы":

https://news.sophos.com/en-us/2020/08/12/color-by-numbers-inside-a-dharma-ransomware-as-a-service-attack/

Сканер (python скрипт) доступных публично (через интернет) веб-камер

Использует shodan api, находит публичный IP адрес и порт, на котором “висит” камера. В репозитории есть демо-видео работы:

https://github.com/JettChenT/scan-for-webcams

Wifi hotspot на Raspberry Pi

Иногда ну очень бывает нужно:

https://fedoramagazine.org/create-a-wifi-hotspot-with-raspberry-pi-3-and-fedora/

TiinyMCE - уязвимость, степень риска high

Очень люблю и частенько где использую, это WYSIWYG редактор который много где используется на веб-платформах, во многих известных CMS является текстовым редактором по умолчанию, например в WordPress, PrestaShop, MODX Evolution и тп

Эксплуатируемость и воздействие найденной (XSS) уязвимости специфичны для каждого приложения, но потенциально могут привести к раскрытию конфиденциальной информации, эскалации привилегий, захвату учетной записи:

https://labs.bishopfox.com/advisories/tinymce-version-5.2.1

Дроворуб заражает Linux

В состав "Дроворуба" входят руткит в виде модуля ядра Linux, инструмент для пересылки файлов, перенаправления сетевых портов и управляющий сервер.

Информация исходит от АНБ.

Клиентская часть может скачивать и выгружать файлы, выполнять произвольные команды от имени пользователя root и перенаправлять сетевые порты на другие узлы сети:

https://www.opennet.ru/opennews/art.shtml?num=53545

CactusPete - бэкдор нацеленный на финансовые, военные организации восточной Европы

https://securelist.com/cactuspete-apt-groups-updated-bisonal-backdoor/97962

ReVoLTE атаки позволяют использовать повторно один и тот же keystream по уязвимых базовых станций, что позволяет злоумышленникам расшифровывать / перехватывать содержимое VoLTE (voice over LTE)

Технический документ от исследователей уязвимости в сетях 4G/5G

Подборка полезных, часто-используемых Linux команд

https://haydenjames.io/linux-commands-frequently-used-by-linux-sysadmins-part-1/

Уязвимости Amazon Alexa

- Тихая установка / удаление навыков Alexa
- Доступ к голосовым / личным данным, командам "жертвы"

Amazon Alexa, широко известный как Alexa - это виртуальный помощник на основе искусственного интеллекта, разработанный Amazon, способный к голосовому взаимодействию, воспроизведению музыки, установке будильников и другим задачам, включая управление интеллектуальными устройствами как частью системы домашней автоматизации.

Это тот момент, когда футуристическое будущее уже наступило, но безопасность остаётся на уровне недалёкого прошлого :)

PoC:

https://research.checkpoint.com/2020/amazons-alexa-hacked/

Уязвимость спуфинга Windows

Подписанные файлы, считаются операционной системой, иногда антивирусами, как доверенные и могут исполняться в различных контекстах ОС

В чем суть уязвимости - Windows неправильно проверяет подписи файлов. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может обойти функции безопасности, загрузить неправильно подписанные файлы

Описание от производителя + патчи

CVE-2020-1464 | Windows Spoofing Vulnerability

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1464

Описание уязвимости от исследователя. Что характерно, подобная уязвимость уже присутствовала в Windows

GlueBall: The story of CVE-2020–1464

https://medium.com/@TalBeerySec/glueball-the-story-of-cve-2020-1464-50091a1f98bd

TLSv1.3 для уклонения от цензуры, обхода защиты сети

Домен-фронтинг, методы обхода интернет-цензуры и мониторинга путем обфускации домена в HTTPS-соединении, был "убит" крупными облачными провайдерами еще в прошлом году

Однако с появлением TLSv1.3 технологии позволяют "скрывать" соединения

Ниже представлено несколько утилит, доклад и описание как "это" работает:

Репозиторий:
https://github.com/SixGenInc/Noctilucent

Видео-доклад, демонстрация:
https://youtu.be/TDg092qe50g

Аналог:
https://github.com/iyouport-org/relaybaton

FestIN the powered S3 bucket finder and content discover

Куча опций, фич, очень внятный ридми:

https://github.com/cr0hn/festin

⁠
Известны точные даты следующего OFFZONE (22 и 23 апреля, 2021г.)

В этом году к сожалению конференция была отменена из-за COVID-19, но все у кого сохранились билеты:

- может посетить мероприятие в 21 году
- сдать билет и получить 100% от его стоимости (сдать до 21 марта 2021г.)
- кто покупал билет до 12 марта 2020г. получает футболку 🙂

Отсчет пошел. 22 и 23 апреля следующего года OFFZONE 2021 в Москве (можно не проверять, это четверг и пятница), если все сложится там и свидимся 😉

Сайт конференции - https://offzone.moscow/
⁠

Шаблоны, методы и детали создания сценариев и инструментов PowerShell от двух экспертов в этой области

Спасибо за наводку @zenkyo

⁠
Релиз Kali Linux 2020.3
⁠
GUI новшества, bash заменен на zsh, Windows + Kali Desktop EXperience (Win-KeX) с поддержкой WSL2

Детали релиза, скриншоты интерфейсов:

https://www.kali.org/news/kali-2020-3-release/
⁠

Крипто-майнинговый червь крадет креды от AWS аккаунтов

Червь также крадет локальные учетные данные и сканирует интернет / сеть, при помощи masscan на предмет неправильно настроенных платформ Docker, после чего устанваливает свой экземпляр в докер контейнеры

Червь TeamTNT содержит код, скопированный с другого червя по имени Kinsing, который предназначен в том числе для остановки инструментария Alibaba Cloud Security

Добывает Monero, из пулов видно, что для добычи используются целые Kubernetes кластера и сервера сборки Jenkins

Рекомендации:

- Определите, какие системы хранят файлы учетных данных AWS, и удалите / защитите их должным образом
- Используйте правила брандмауэра, чтобы ограничить любой доступ к Docker API
- Проверяйте сетевой трафик на наличие подключений к пулам для майнинга или с использованием протокола майнинга Stratum

Детальный PoC:

https://www.cadosecurity.com/2020/08/17/teamtnt-the-first-crypto-mining-worm-to-steal-aws-credentials/