Cyber Threat Pulse
#8, June 2024
Новая мошенническая схема: хакеры воруют учетные записи в Telegram и WhatsApp
CERT-UA фиксирует рост количества кибератак, направленных на кражу аккаунтов в мессенджерах, с использованием техник обхода двухфакторной аутентификации.
Злоумышленники распространяют фейковые сообщения по SMS и Telegram/WhatsApp, где предлагают проголосовать на вымышленном художественном конкурсе.
При переходе на фишинговый сайт конкурса, пользователю предлагается авторизоваться с помощью QR-кода или номера телефона и одноразового кода.
После «авторизации» злоумышленник получает полный контроль над учетной записью жертвы, привязывая устройство к ее учетной записи.
Далее хакеры используют украденную учетную запись для реализации различных мошеннических схем с целью получения выгоды, в том числе распространяют новые фишинговые сообщения среди контактов жертвы.
Как предупредить инцидент:
● Не переходить по подозрительным ссылкам и не вводить данные, даже если сообщение поступило от знакомых ● В случае получения подозрительного сообщения, предположить, что аккаунт отправителя скомпрометирован, и связаться с ним через другой канал для уточнения ● При обнаружении компрометации: проверить настройки подключенных устройств и завершить неизвестные сессии
Детали по ссылке: https://cert.gov.ua/article/6279491
Повышение активности хакеров из России и Китая – новый отчет Trellix
Компания Trellix опубликовала отчёт "The CyberThreat Report: June 2024", в котором собрана глубокая аналитика ландшафта киберугроз за последние полгода.
Вот некоторая интересная информация из отчёта:
● Кибератаки из Китая и России: Группы, связанные с Китаем, такие как Volt Typhoon, генерируют 68,3% всех зафиксированных угроз, причем 23% их активности направлено на глобальный правительственный сектор. Российская группа Sandworm увеличила свою активность на 40% по сравнению с предыдущим периодом. ● Изменения в экосистеме программ-вымогателей: Атаки вымогателей чаще всего направлены на транспортный и финансовый секторы. Наблюдается появление подражателей группы LockBit после действий правоохранительных органов против неё. ● Уклонение от обнаружения EDR: Инструмент уклонения под названием "Terminator" использовали в январе 2024 года, нацеливаясь в основном на телекоммуникационный сектор Украины в контексте российского вторжения в Украину. ● Использование искусственного интеллекта: в даркнете был обнаружен инструмент ChatGPT 4.0 Jabber, позволяющий злоумышленникам использовать генеративный ИИ в своих операциях и обучаться у других киберпреступников.
Читать полный отчет: https://www.trellix.com/advanced-research-center/threat-reports/june-2024/
Уязвимости в роутерах ASUS: миллионы устройств под угрозой
Компания ASUS выпустила обновление прошивки для устранения критических уязвимостей безопасности в нескольких моделях маршрутизаторов, наиболее серьезной из которых является обход аутентификации, который отслеживается как CVE-2024-3080 (оценка CVSS 9.8). Эта уязвимость позволяет удаленным злоумышленникам войти в устройство без аутентификации.
Находящиеся под угрозой модели и исправления:
● ZenWiFi XT8 (исправлено в 3.0.0.4.388_24621) ● ZenWiFi XT8 V2 (исправлено в 3.0.0.4.388_24621) ● RT-AX88U (исправлено в 3.0.0.4.388_24209) ● RT-AX58U (исправлено в 3.0.0.4.388_24762) ● RT-AX57 (исправлено в 3.0.0.4.386_52303) ● RT-AC86U (исправлено в 3.0.0.4.386_51925) ● RT-AC68U (исправлено в 3.0.0.4.386_51685)
Кроме того, была исправлена еще одна уязвимость высокого уровня серьезности, связанная с переполнением буфера, CVE-2024-3079 (оценка CVSS 7.2), для использования которой требуется административный доступ.
В начале этого года ASUS также устранили критическую уязвимость (CVE-2024-3912, оценка CVSS 9.8), позволяющую удаленным злоумышленникам загружать произвольные файлы и выполнять системные команды на пораженных устройствах.
Рекомендации:
● Обновление прошивки: Пользователям рекомендуется немедленно обновить свои маршрутизаторы до новейших версий прошивок, чтобы устранить эти уязвимости. ● Практика безопасности: Тем, кто не может обновить прошивку немедленно, рекомендуется использовать надежные пароли и отключить функции удаленного доступа, такие как доступ к админпанели из глобальной сети, переадресация портов, DDNS, VPN-сервер, DMZ и переключение портов.
https://www.asus.com/content/asus-product-security-advisory/
Рубрика «Пора обновиться»
Microsoft
● Общее количество уязвимостей: 51 (меньше по сравнению с прошлым месяцем) ● Критических уязвимостей: 1 (CVE-2024-30080) ● Существенные уязвимости: - CVE-2024-30080 (MSMQ): Использует уязвимость After Free, что делает возможным удаленное выполнение кода с оценкой CVSS 9.8. Влияет, если включена служба Windows Message Queuing Service. - CVE-2024-30101 (Microsoft Office 2016): Использует уязвимость After Free, CVSS 7.5, которую можно эксплуатировать через вредоносное электронное письмо. - CVE-2024-30104 (Microsoft Office): Недостаток неправильного разрешения ссылок, CVSS 7.8, требует вмешательства пользователя. - CVE-2024-30102 (Microsoft 365): Использует уязвимость After Free, CVSS 7.3, которую можно эксплуатировать с помощью социальной инженерии. - CVE-2024-30103 (Microsoft Outlook): Неполный список запрещенных входных данных, CVSS 8.8, который можно использовать через вредоносные DLL-файлы. - CVE-2024-30072 (Event Trace Log File Parsing): Целочисленное переполнение, CVSS 7.8, эксплуатируется через вредоносный файл.
Google Chrome
● Версия: 125 ● Критические уязвимости: - CVE-2024-4947: Тип путаницы в активно используемом JavaScript-двигателе V8. - CVE-2024-4948: Использование после освобождения памяти в Dawn (реализация WebGPU). - CVE-2024-5274: Тип путаницы в JavaScript-двигателе V8, еще одна активно используемая уязвимость нулевого дня.
Mozilla FireFox
● Версия: 126 ● Общее количество уязвимостей: 21 ● Критические уязвимости: - CVE-2024-4764: Использование после освобождения памяти в потоках WebRTC. - CVE-2024-4367: Выполнение JavaScript-кода через собственные шрифты в браузере PDF.
PHP
Уязвимость: CVE-2024-4577
Воздействие: Удаленное выполнение кода через PHP CGI, обходит патч CVE-2012-1823.
Исправлены версии: 8.3.8, 8.2.20, 8.1.29
Azure
● Уязвимость: Высокая строгость в служебных тегах (подобно SSRF). ● Воздействие: Потенциальное разглашение личной информации. ● Сервисы под угрозой: Includes Application Insights, DevOps, Machine Learning, Logic Apps и другие. ● Рекомендации: Внедрить дополнительные уровни аутентификации и авторизации.
GitHub
● Уязвимость: CVE-2024-4985 ● Влияние: Позволяет неавторизованному злоумышленнику получить административные привилегии на сервере Enterprise Server. ● Версии под угрозой: До 3.13.0 с использованием SAML SSO с зашифрованными утверждениями. ● Исправлены версии: 3.9.15, 3.10.12, 3.11.10, 3.12.4