Информация опасносте. Страница 37

https://gizmodo.com/someone-is-hacking-the-hackers-1846406428

Вообще 2021 год неплохо начался

Я тут несколько дней назад писал про несколько уязвимостей в сервере Microsoft Exchange, которые исправила Microsoft. И даже сопроводил все комментарием про «небольшую алярму», но, похоже, алярма как раз большая

https://t.me/alexmakus/3927

Там, по сути, если у организации был сервер Exchange, с OWA, торчащей в интернет, в период с конца февраля до первых чисел марта, то, считай, все пропало. Первые сигналы о взломах появились ещё 6 января. Сейчас оценки - о 30 тысячах организаций, часто это небольшие компании и локальные госорганизации, которые, вероятней всего, уже стали жертвами взлома серверов.

В этот раз отличились китайские хакеры, и, по некоторым комментариям, «owned the world”. При этом они как раз сильно активизировались после выхода патча, находя и взламывая ещё непропатченные серверы.

https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/

https://www.wired.com/story/china-microsoft-exchange-server-hack-victims/


Кроме информация об апдейтах, которые уже опубликовала Microsoft и они есть в предыдущем посте, компания также опубликовала рекомендации для тех, кто по какой-то причине не может пока что поставить апдейт. Это включает в себя кое-какие изменения конфигураций и отключение функциональности, и снижает риски взлома, но не настолько, как в случае с патчем

https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/

LOL, практикант, работавший в тюрьме, опубликовал в онлайне фото мастер-ключа, открывающего все замки в тюрьме. Теперь надо заменить 600 замков, поскольку по фото можно сделать копию ключа.

https://www.thelocal.de/20210305/intern-at-german-prison-faces-hefty-bill-after-sending-photo-of-master-key-to-friends/

я тут недавно писал о пиксельных трекерах в почте. там еще было обсуждение про варианты их блокировки, начиная от отключения загрузки удаленного контента до использования Pihole для отправки этих запросов в черную дыру. веб-почта тоже хороший вариант, а если вы Мак-юзер, который пользуется родным клиентом, то вам будет интересно узнать о плагине для Mail, который делает эту блокировку прямо на Маке

https://apparition47.github.io/MailTrackerBlocker/

большие отчеты Microsoft и FireEye о дополнительных вредоносных приложениях, которые были применены после взлома SolarWinds (все время хочется написать SolarWindows).

GoldMax - бэкдор, который использования для выполнения различных команд на взломанных системах (он же SUNSHUTTLE в отчете FireEye)
Sibot — VBScript, который обеспечивал сохранение заражения после перезагрузки хостов
GoldFinger - как я понял, коммуникационный модуль для передачи данных с зараженного хоста на сервер

https://www.microsoft.com/security/blog/2021/03/04/goldmax-goldfinder-sibot-analyzing-nobelium-malware/

https://www.fireeye.com/blog/threat-research/2021/03/sunshuttle-second-stage-backdoor-targeting-us-based-entity.html


Это все — в дополнение к уже ранее озвученным:

• Sunspot https://www.crowdstrike.com/blog/sunspot-malware-technical-analysis/
• Solorigate (Sunburst) https://www.microsoft.com/security/blog/2020/12/18/analyzing-solorigate-the-compromised-dll-file-that-started-a-sophisticated-cyberattack-and-how-microsoft-defender-helps-protect/
• Teardrop https://research.checkpoint.com/2020/sunburst-teardrop-and-the-netsec-new-normal/
• Raindrop https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/solarwinds-raindrop-malware

а мне вот нравится этот выбор регионов: учитывая существование California Consumer Privacy Act, видимо, эта версия продукта собирает меньше информации о пользователе? (как и европейская, потому что GDPR). Ну или что она там меньше делает, главное, чтобы не меньше вирусов ловила

=== РЕКЛАМА ===

Хотите использовать реверс-инжиниринг в работе?

9 марта на демо-занятии «Эксплуатация уязвимостей в драйвере. Часть 1» вы разберете уязвимости переполнения в драйверах. Преподаватель Артур Пакулов разберет пример классической уязвимости переполнения буфера, уязвимости переполнения целочисленного типа и особенности разработки эксплойтов в режиме ядра.

Демо-занятие — возможность попробовать онлайн-курс «Reverse-Engineering. Basic» и познакомиться с экспертом. Базовый уровень программы познакомит вас с ключевыми возможностями реверс-инжиниринга.
Для регистрации на занятие пройдите вступительный тест: https://otus.pw/jYeb/
23 марта вас ждет продолжение демо-занятия «Эксплуатация уязвимостей в драйвере. Часть 2»: https://otus.pw/FwLE/

=== РЕКЛАМА ===

неплохо для 2021 года

А печально известная авиакомпания Malaysia Airlines рассказывает о том, что её инфраструктура была взломана и подвергалась несанкционированному доступу на протяжении 9 лет. В частности, речь идёт о системе для часто летающих пассажиров Enrich, а утечка случилась для разного рода персональной информации, и данных о полетах

https://www.zdnet.com/article/malaysia-airlines-suffers-data-security-incident-spanning-nine-years/

Небольшая алярма для админов онпрем серверов Exchange: там Microsoft починила сразу 4 уязвимости нулевого дня, которые эксплуатировались предположительно китайскими группировками, поэтому надо срочно обновиться

https://blogs.microsoft.com/on-the-issues/2021/03/02/new-nation-state-cyberattacks/

https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

И про SolarWinds

Mentally ill tranny demon hackers, кажется, взломали социальную сеть Gab

На прошлой неделе бывший директор компании SolarWinds, после взлома систем которой произошли взломы большого количества компаний и государственных организаций, выступал в Конгрессе США. Там конгрессмены, собственно, пытались понять «WTF?» и «Кто виноват?».

Конечно же, лучшей защитой для себя бывший директор компании выбрал свалить всю вину на практиканта, который установил себе пароль для FTP-сервера «solarwindws123», который после этого еще и оказался на Github. Интересно, что на самом деле вина именно этого утекшего пароля пока что не доказана, но, как видите, это не мешает назначить виноватым какого-то мелкого козла отпущения, и сделать вид, что все остальное было хорошо.

https://gizmodo.com/solarwinds-officials-throw-intern-under-the-bus-for-so-1846373445

Данные пользователей сразу трех разных VPN сервисов — SuperVPN, GeckoVPN и ChatVPN - продаются в сети, общим количеством более 21 млн записей, с большим количеством персональной информации, от имейла и имени до серийных номеров устройств.
https://cybernews.com/security/one-of-the-biggest-android-vpns-hacked-data-of-21-million-users-from-3-android-vpns-put-for-sale-online/

В 2020 году этот сервис SuperVPN с более чем 100 млн установок в Google Play уже был из этого самого GP выпилен. В нем тогда были обнаружены существенные уязвимости, позволяющие организовать MiTM атаку, а также перенаправить трафик с серверов компании на другие сервера.

https://www.techradar.com/news/delete-this-vpn-now-millions-of-users-warned

Ох уж эти популярные бесплатные VPN-сервисы…

Сторонние трекеры в менеджере паролей LastPass, даже если для аналитики, все равно не айс для такого важного приложения, как менеджер паролей. Подключение чужих библиотек, функциональность которых разработчики LastPass не знают, безопасность приложения не улучшают, говорят исследователи

https://reports.exodus-privacy.eu.org/en/reports/165465/

https://www.theregister.com/2021/02/25/lastpass_android_trackers_found/

«Собственный защищённый мессенджер», разработанный какой-то небольшой компанией. Что может пойти не так?

https://www.rbc.ru/technology_and_media/25/02/2021/6036607a9a7947295d9a9188

Критикал

https://www.vmware.com/security/advisories/VMSA-2021-0002.html