Cyber Threat Pulse
#5, February 2024
UAC-0149: Разоблачена новая кибератака против сил обороны Украины
CERT-UA обнаружил новую кибератаку, нацеленную на Силы обороны Украины. Злоумышленники использовали зараженные XLS-документы, которые распространялись через мессенджер Signal. Открытие этих документов приводило к заражению вредоносным программным обеспечением COOKBOX.
Рекомендации CERT-UA рекомендует внедрить политику блокировки запуска следующих утилит двойного назначения* ● cmd.exe ● powershell.exe ● mshta.exe ● w(c)script.exe ● hh.exe
Если полная блокировка запуска этих утилит невозможна, рекомендуется их блокировка в случае, когда их родительским процессом является одна из программ Microsoft Office, например: ● EXCEL.EXE ● WORD.EXE ● POWERPNT.EXE ● OUTLOOK.EXE
Источник: https://cert.gov.ua/article/6277849* Имеются в виду утилиты, которые могут использоваться для атак типа LOLBAS (Living Off the Land Binaries And Scripts). Список утилит двойного назначения ищите по ссылке: https://lolbas-project.github.io/
Активная эксплуатация продуктов Ivanti
19 января 2024 года были обнаружены две уязвимости в продуктах Ivanti: CVE-2023-46805 с оценкой 8.2 (High) и CVE-2024-21887 с оценкой 9.1 (Critical).
Уязвимые продукты:● Ivanti Connect Secure, версии 9.х, 22.х ● Ivanti Policy Secure, версии 9.х, 22.х
Из-за того, что многие организации не применили рекомендуемые исправления уязвимостей, в феврале была замечена серия атак с использованием эксплоитов для Ivanti. Некоторые из них были направлены на: ● Установку загрузчика вредоносного ПО KrustyLoader ● Развертывание бекдора DSLog в более чем 670 инфраструктурах ● Заражение криптомайнером XMRig
Позже, в тех же продуктах и Ivanti ZTA версии 22.6R1.3 была обнаружена еще одна уязвимость — CVE-2024-22024 с оценкой 8.3 (High).
Рекомендации
CISA (Агентство по кибербезопасности и защите инфраструктуры США) предоставило список рекомендаций по устранению данных уязвимостей:
https://www.cisa.gov/news-events/directives/supplemental-direction-v2-ed-24-01-mitigate-ivanti-connect-secure-and-ivanti-policy-secure
Принцип работы эксплоитов, а также способы проверить безопасность своей инфраструктуры описаны Picus Security в следующей статье:
https://www.picussecurity.com/resource/blog/ivanti-cve-2023-46805-and-cve-2024-21887-zero-day-vulnerabilities
Российские хакеры атакуют почтовые серверы правительств и военных организаций Европы
Хакерская группа, вероятно, работающая на Беларусь и Россию (Winter Vivern/TA473/UAC0114), атаковала более 80 организаций в разных странах, включая Грузию, Польшу и Украину. Злоумышленники использовали бреши в почтовых серверах Roundcube (CVE-2020-35730), а их целью была кража информации о политической и военной деятельности в Европе.
Winter Vivern также атаковала посольства Ирана в России и Нидерландах и посольство Грузии в Швеции.
Нападения на посольства Ирана в России и Нидерландах свидетельствуют о широком геополитическом интересе к оценке дипломатической деятельности Ирана, особенно в отношении его поддержки России в Украине.
Аналогичным образом, шпионаж против грузинских правительственных структур отражает интерес к мониторингу стремления Грузии к вступлению в Европейский союз (ЕС) и НАТО.
Источник: https://www.recordedfuture.com/russia-aligned-tag-70-targets-european-government-and-military-mail
Рубрика «Время обновиться»
Microsoft
В февральском обновлении Patch Tuesday 2024 компания Microsoft устранила в общей сложности 73 уязвимости. Эти исправления затрагивают различные продукты Microsoft, включая Office, Exchange Server, службы Azure, компоненты Windows и другие. Рекомендуется скорейшее применение обновлений, так как обнаруженные уязвимости могут привести к атакам типа «отказ в обслуживании», повышению привилегий и удаленному выполнению кода.
Две исправленные уязвимости из списка являются активно эксплуатируемыми злоумышленниками: ● CVE-2024-21412 с оценкой 8.1 (High) позволяет обходить функцию защиты “Mark of the Web”* ● CVE-2024-21351 с оценкой 7.6 (High) позволяет обойти проверку SmartScreen для специально созданного вредоносного файла
https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb
*Windows назначает метку «Mark of the Web» (MotW) на файлы, скачанные из интернета. Далее MotW:
● Сигнализирует SmartScreen о необходимости проведения более тщательной проверки помеченных файлов ● Предоставляет пользователям дополнительное оповещение о рисках выполнения помеченного файла, что уменьшает количество успешных фишинговых атак
Apple
В недавних обновлениях Apple выпустила исправления нескольких уязвимостей, в том числе для zero-day CVE-2024-23222, которая эксплуатировалась в недавних атаках.
Рекомендуется обновиться до следующих версий: iOS 16.7.5, iPadOS 16.7.5, macOS Monterey 12.7.3, tvOS 17.3 и выше.
https://support.apple.com/en-us/HT214061
Adobe
В новом пакете обновлений компания Adobe устранила 29 уязвимостей в следующих продуктах: ● Adobe Experience Manager ● Adobe Premiere Pro ● Adobe ColdFusion ● Adobe Bridge ● Adobe Lightroom ● Adobe Animate
Эксплуатация данных уязвимостей может привести к целому набору последствий, среди которых: удаленное выполнение кода, раскрытие информации, Cross-Site Scripting, отказ в обслуживании.
Google Chrome
Компания Google исправила zero-day уязвимость CVE-2024-0519, которая эксплуатировалась злоумышленниками с начала 2024 года. Другими важными исправленными уязвимостями являются CVE-2024-0517 и CVE-2024-0518.
Рекомендуется обновиться до версии 120.0.6099.224/225 для Windows, 120.0.6099.234 для Mac, 120.0.6099.224 для Linux
https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html
Mozilla Firefox
Было исправлено 16 уязвимостей, 6 из которых имеют серьезность "High". Рекомендуется обновиться до версии Firefox 122.
https://www.mozilla.org/en-US/security/advisories/mfsa2024-01/