MS Exchange PoC

В последние недели Microsoft отметился уязвимостями нулевого дня. ProxyLogon - это наименование уязвимости, данное CVE-2021-26855 (уязвимости Microsoft Exchange Server), которая позволяет злоумышленнику обходить аутентификацию и выдавать себя за легитимных пользователей. Эта уязвимость использовалась в атаках для доступа к локальным серверам Exchange, что позволяло в итоге получить доступ к внутренним учетным записям электронной почты, и в том числе устанавливать дополнительное вредоносное ПО для обеспечения долгосрочного доступа к внутренним средам жертв...

https://www.praetorian.com/blog/reproducing-proxylogon-exploit/

Еще по теме

Microsoft Exchange Server Vulnerabilities Mitigations – updated March 9, 2021
- https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/
Security checking powershell noscripts
- https://github.com/microsoft/CSS-Exchange/tree/main/Security

Подборка ссылок по сабжу
- https://news.1rj.ru/str/sysadm_in_channel/2840

Полный набор мартовских патчей

March 2021 Security Updates

https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar

BM QRadar SIEM is vulnerable to Server Side Request Forgery (SSRF) (CVE-2020-4786)

Уязвимость позволяет подделывать запросы на стороне сервера QRadar, что как минимум может позволить собрать данные о инраструктуре/сети где работает это ПО

Кто не знает, QRadar, решение которое включает в себя - SIEM, Log Manager (управление журналами), Risk Manager (управление рисками), Vulnerability Manager (управление уязвимостями), разные модули, ка кнапример Incident Forensics (расследование инцидентов)

https://www.ibm.com/support/pages/node/6408866

Exploits on Organizations Worldwide Doubling every Two Hours after Microsoft’s Revelation of Four Zero-days

Количество попыток эксплуатации уязвимостей Exchange увеличивается с каждым часом

Наиболее целевым отраслевым сектором являются государственный / военный сектор (17% всех попыток использования уязвимостей), за ним следуют производство (14%) и банковское дело (11%).

Отчёт:

https://blog.checkpoint.com/2021/03/11/exploits-on-organizations-worldwide/

Good old malware for the new Apple Silicon platform

M1 под угрозой..:

Некоторое время назад Apple выпустила компьютеры Mac с новым чипом под названием Apple M1.

Неожиданный выпуск стал важной вехой в индустрии оборудования Apple. Однако по мере развития технологий наблюдается растущий интерес к недавно выпущенной платформе со стороны злоумышленников.

Это неизбежно приводит к новым образцам вредоносного ПО, скомпилированным для платформы Apple Silicon. В статье рассматриваются угрозы для компьютеров Mac с чипом Apple M1 на борту:

https://securelist.com/malware-for-the-new-apple-silicon-platform/101137/

Google is aware of reports that an exploit for CVE-2021-21193 exists in the wild.

RCE
https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop_12.html

Ссылка не моя, за ссылку спасибо другу канала ✌️

Flatpak - уязвимость выхода из песочницы

https://github.com/flatpak/flatpak/security/advisories/GHSA-xgh4-387p-hqpp

Что такое Flatpak:

https://sys-adm.in/systadm/nix/816-flatpak-chto-eto-i-kak-ego-mozhno-ispolzovat-v-linux.html

Microsoft опубликовали workaround для BSOD возникающий при печати

https://docs.microsoft.com/en-us/windows/release-health/status-windows-10-2004

P.S. та самая ошибка которая возникает после установки KB5000802

Spectre JavaScript PoCs

https://github.com/google/security-research-pocs/tree/master/spectre.js

New Threat: ZHtrap botnet implements honeypot to facilitate finding more victims

ZHtrap создаёт honeypot'ы для сбора данных с других устройств...

PoC
https://blog.netlab.360.com/new_threat_zhtrap_botnet_en/

Exchange Mitigation Tools

MS выпустили mitigation инструмент для Exchange

https://github.com/microsoft/CSS-Exchange/tree/main/Security

Сам релиз powershell скрипта можно загрузить из раздела releases EOMT.ps1:

https://github.com/microsoft/CSS-Exchange/releases/

Попутно в обновленной статье от MS ( https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/ ) приводятся рекоммендации по использованию Microsoft Safety Scanner - https://docs.microsoft.com/en-us/windows/security/threat-protection/intelligence/safety-scanner-download

Так же есть еще сторонние скрипты, как например Exchange Webshell Detection

- https://github.com/cert-lv/exchange_webshell_detection

или Nmap скрипт:

- https://github.com/GossiTheDog/scanning/blob/main/http-vuln-exchange.nse

И ряд статей по выявлению проблем Exchange в отношении уязвимостей:

- https://www.pwndefend.com/2021/03/07/checking-for-hafnium-or-other-groups-impact-from-exchange-abuse/
- Examining Exchange Exploitation and its Lessons for Defenders https://www.domaintools.com/resources/blog/examining-exchange-exploitation-and-its-lessons-for-defenders

Проблемы в облачном MS - Users may be unable to access multiple Microsoft 365 services

Проблема наблюдается до сих пор, где то не работает граф, где то пропали тенант девайсы, статус:

https://status.office.com

Спасибо за эвент @aslan_im ✌️

Предупрежден, значит вооружен

Предупреждение ФБР о росте атак программ-вымогателей PYSA на образовательные учреждения в США и Великобритании..

Не ровен час и "к нам доберётся" (как это зачастую бывает)

LibreSSL 3.2.5 Released

It includes the following bug fix:

* A TLS client using session resumption may cause a use-after-free.

The LibreSSL project continues improvement of the codebase to reflect modern,
safe programming practices. We welcome feedback and improvements from the
broader community. Thanks to all of the contributors who helped make this
release possible.`

https://www.mail-archive.com/announce@openbsd.org/msg00366.html