Анатомия Ryuk атаки (вымогатель)

Почти за сутки - от получения письма до полного захвата инфраструктуры. Детальный разбор полетов:

https://thedfirreport.com/2020/10/08/ryuks-return/

pfSense vs OPNsense
https://teklager.se/en/pfsense-vs-opnsense/

Недавно был опрос от Zyxel, розыгрыш призов они ведут прямо сейчас в реалтайме (есть запись по этой же ссылке), кто принимал участие в опросе, за призами можно идти сюда - https://youtu.be/Rlq3hD-l0Xs

что разыгрывается:
- точку доступа WiFi
- отличный рюкзак
- стильный аккумулятор для мобильной техники

Porteus Kiosk - бесплатная, легкая (образ весит ~60Mb) универсальная система на базе Linux

Можно использовать для отображения информации, баннеров, так же использовать как интернет-киоск, в общедоступных веб-терминалах, школах, кафе, отелях и тп

Позволяет использовать только браузер, предотвращает вмешательство пользователей в настройки, установку, загрузку софта. После предварительной настройки и загрузки системы киоск открывает браузер (Firefox или Chrome) с указанной страницей. Собственно суть системы - сказал, настроил "запечатал" и забыл:

https://porteus-kiosk.org/index.html

Adobe - новые патчи для Flash Player (critical)

Аффект - Windows, macOS and Linux. Произвольное выполнение кода из-под контекста пользователя:

https://helpx.adobe.com/security/products/flash-player/apsb20-58.html

Уязвимость Windows TCP/IP Remote Code Execution

Уязвимость удаленного выполнения кода возникает, когда стек Windows TCP / IP неправильно обрабатывает пакеты ICMPv6. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить возможность выполнять код на целевом сервере или клиенте.

Чтобы воспользоваться этой уязвимостью, злоумышленник должен отправить специально созданные пакеты ICMPv6 на удаленный компьютер Windows.

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-16898

Спасибо за ссылку другу канала ✌️

Проблемы Windows и драйверов

Обычное дело. Описание актуальных проблем с драйверами и возможностью их решения:

https://docs.microsoft.com/en-us/windows/release-information/resolved-issues-windows-10-2004#1492msgdesc

Шпионское ПО для Fitbit или как обойти проверки Google и Apple

В итоге собрать информацию об устройстве, местоположении, а так же - пол, возраст, вес, частота сердечных сокращений, так же можно получить доступ к данным календаря

Исследование на заданную тему от первого лица:

https://www.immersivelabs.com/resources/blog/fitbit-spyware/

Apple's T2 chip has an unfixable vulnerability that could allow root access | AppleInsider
https://appleinsider.com/articles/20/10/05/apples-mac-t2-chip-has-an-unfixable-vulnerability-that-could-allow-root-access

Lemon Duck или "злая утка-минер"

По сути это автоматически распространяющийся ботнет с целью майнинга Monero (XMR), со слов исследователей, это один из самых сложных ботнет с "несколькими интересными трюками в рукаве"

- Инфекционный Windows вектор - SMB, MSSQL, RDP, USB, EMAIL, MSHTA
- Linux вектор - Redis, Yarn, Sshcopy

География распространения почти по всему миру. Очень хороший разбор с примерами кода и workflow:

https://blog.talosintelligence.com/2020/10/lemon-duck-brings-cryptocurrency-miners.html

Уязвимость BlueZ (Zero-Click) компроментирует Linux-based устройства

BlueZ - это официальный стек протоколов Bluetooth для Linux, уязвимость позволяет повысить привилегии, раскрыть информацию. Уязвимости подвержены Linux ядра начиная с версии 2.4.6 до 5.9

https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00435.html

PoC (от Google)

https://github.com/google/security-research/security/advisories/GHSA-h637-c88j-47wq

Детали о BlueZ

http://www.bluez.org/about/

Критические уязвимости SAP

Сапёры снова патчат свои продукты. Уязвимостей две:

1. Обход механизмов аутентификации
2. Инжектирование команд

Статус критичности по 10 бальной шкале - 10

Описание уязвимостей от исследователей:

https://onapsis.com/blog/sap-security-notes-October-2020

Уязвимости SonicWall VPN

Критическая ошибка безопасности VPN-портала SonicWall может быть использована для DoS'а устройства, предотвращения подключения пользователей к корпоративным ресурсам, что также может открыть возможность для удаленного выполнения кода (RCE)

https://www.tripwire.com/state-of-security/vert/sonicwall-vpn-portal-critical-flaw-cve-2020-5135/

HiveJack или дамп кред учетных записей Windows

Позволяет дампить данные реестра - SYSTEM, SECURITY, SAM, так же может удалить дампы

Нюансы - не дампит если на диске C нет каталога temp. Антивирус не дремлет...) Проверено, работает на Windows Server 2016

https://github.com/Viralmaniar/HiveJack

Анонс HashiCorp Waypoint

Инструмент, который обеспечивает рабочий процесс разработчика в разрезе создания, развертывания и выпуска приложений на любой платформе (большое количество поддерживаемых платформ):

https://www.hashicorp.com/blog/announcing-waypoint

Твики Windows Terminal

Информация от "авторов"

https://devblogs.microsoft.com/commandline/windows-terminal-tips-and-tricks/

Announcing HashiCorp Boundary

Open Source единый менеджер удаленных подключений (ssh, vpn и тп):

https://www.hashicorp.com/blog/hashicorp-boundary

Дамп NTLM хэшей Windows с расшифровкой / дальнейшим использованием

Получаем хэши юзеров (несколько способов) и потом или использоуем или расшифровываем:

https://sys-adm.in/systadm/windows/926-kak-sdelat-damp-ntlm-kheshej-windows.html

В Visual Studio Code обнаружена уязвимость удаленного выполнения кода

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17023

Выполнение произвольного кода Juniper

Эксплуатируется, если поднят telnetd. Workaround:

# delete system services telnet
# set system services ssh
# commit

Детали в официальном бюллетене:

https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11057&cat=SIRT_1&actp=LIST

Множественные уязвимости HPE Intelligent Management Center (iMC)

Remote: Code Execution, Unauthorized Data Injection. Высокий уровень критичности.

https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=emr_na-hpesbnw04036en_us

За ссылку спасибо другу канала ✌️