Cyber Threat Pulse
#5, February 2024
UAC-0149: Розкрито нову кібератаку проти сил оборони України
CERT-UA виявив нову кібератаку, націлену на Сили оборони України. Зловмисники використовували заражені XLS-документи, які розповсюджувались через месенджер Signal. Відкривання цих документів призводило до зараження шкідливим програмним забезпеченням COOKBOX.
Рекомендації CERT-UA рекомендує впровадити політику блокування запуску таких утиліт подвійного призначення*: ● cmd.exe ● powershell.exe ● mshta.exe ● w(c)script.exe ● hh.exe
Якщо повне блокування запуску цих утиліт неможливе, рекомендується їх блокування у випадку, коли їхнім батьківським процесом є одна з програм Microsoft Office, наприклад: ● EXCEL.EXE ● WORD.EXE ● POWERPNT.EXE ● OUTLOOK.EXE
Джерело: https://cert.gov.ua/article/6277849
* Йдеться про утиліти, що можуть використовуватись для атак типу LOLBAS (Living Off the Land Binaries And Scripts). Список утиліт подвійного призначення шукайте за посиланням: https://lolbas-project.github.io/
Активна експлуатація продуктів Ivanti
19 січня 2024 року було виявлено дві вразливості в продуктах Ivanti: CVE-2023-46805 з оцінкою 8.2 (High) і CVE-2024-21887 з оцінкою 9.1 (Critical).
Вразливі продукти: ● Ivanti Connect Secure, версії 9.х, 22.х ● Ivanti Policy Secure, версії 9.х, 22.х
Через те, що багато організацій не застосували рекомендовані виправлення вразливостей, у лютому було помічено серію атак із використанням експлойтів для Ivanti. Деякі з них були спрямовані на: ● Встановлення завантажувача шкідливого ПЗ KrustyLoader ● Розгортання бекдора DSLog у більш ніж 670 інфраструктурах ● Зараження криптомайнером XMRig
Пізніше у тих самих продуктах та Ivanti ZTA версії 22.6R1.3 було виявлено ще одну вразливість — CVE-2024-22024 з оцінкою 8.3 (High).
Рекомендації:
CISA (Агентство з кібербезпеки та захисту інфраструктури США) надало список рекомендацій щодо усунення цих вразливостей:
https://www.cisa.gov/news-events/directives/supplemental-direction-v2-ed-24-01-mitigate-ivanti-connect-secure-and-ivanti-policy-secure
Принцип роботи експлойтів, а також способи перевірити безпеку своєї інфраструктури описані Picus Security у цій статті:
https://www.picussecurity.com/resource/blog/ivanti-cve-2023-46805-and-cve-2024-21887-zero-day-vulnerabilities
Російські хакери атакують поштові сервери урядів та військових організацій Європи
Хакерська група, яка, ймовірно, працює на Білорусь і Росію (Winter Vivern/TA473/UAC0114), атакувала понад 80 організацій у різних країнах, включно з Грузією, Польщею та Україною. Зловмисники використовували вразливість у поштових серверах Roundcube (CVE-2020-35730), а їхньою метою була крадіжка інформації про політичну та військову діяльність у Європі.
Winter Vivern також атакувала посольства Ірану в Росії та Нідерландах і посольство Грузії у Швеції.
Напади на посольства Ірану в Росії та Нідерландах свідчать про широкий геополітичний інтерес до оцінки дипломатичної діяльності Ірану, особливо щодо його підтримки Росії в Україні.
Аналогічним чином, шпигунство проти грузинських урядових структур відображає інтерес до моніторингу прагнення Грузії до вступу до Європейського союзу (ЄС) і НАТО.
Джерело: https://www.recordedfuture.com/russia-aligned-tag-70-targets-european-government-and-military-mail
Рубрика «Час оновитися»
Microsoft
У лютневому оновленні Patch Tuesday 2024 компанія Microsoft усунула загалом 73 вразливості. Ці виправлення стосуються різних продуктів Microsoft, включно з Office, Exchange Server, службами Azure, компонентами Windows та іншими. Рекомендується якнайшвидше застосувати оновлення, оскільки виявлені вразливості можуть призвести до атак типу «відмова в обслуговуванні», підвищення привілеїв і віддаленого виконання коду.
Дві виправлені вразливості зі списку активно експлуатуються зловмисниками: ● CVE-2024-21412 з оцінкою 8.1 (High) дає змогу обходити функцію захисту "Mark of the Web"*. ● CVE-2024-21351 з оцінкою 7.6 (High) дає змогу обійти перевірку SmartScreen для спеціально створеного шкідливого файлу
https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb
*Windows призначає позначку "Mark of the Web" (MotW) на файли, завантажені з інтернету. Далі MotW: ● Сигналізує SmartScreen про необхідність проведення більш ретельної перевірки позначених файлів ● Надає користувачам додаткове сповіщення про ризики виконання позначеного файлу, що зменшує кількість успішних фішингових атак
Apple
У нещодавніх оновленнях Apple випустила виправлення кількох вразливостей, зокрема для zero-day CVE-2024-23222, яка експлуатувалася в нещодавніх атаках.
Рекомендується оновитися до таких версій: iOS 16.7.5, iPadOS 16.7.5, macOS Monterey 12.7.3, tvOS 17.3 і вище.
https://support.apple.com/en-us/HT214061
Adobe
У новому пакеті оновлень компанія Adobe усунула 29 вразливостей в таких продуктах: ● Adobe Experience Manager ● Adobe Premiere Pro ● Adobe ColdFusion ● Adobe Bridge ● Adobe Lightroom ● Adobe Animate
Експлуатація цих вразливостей може призвести до цілого ряду наслідків, серед яких: віддалене виконання коду, розкриття інформації, Cross-Site Scripting, відмова в обслуговуванні.
Google Chrome
Компанія Google виправила zero-day вразливість CVE-2024-0519, яку експлуатували зловмисники з початку 2024 року. Іншими важливими виправленими вразливостями є CVE-2024-0517 і CVE-2024-0518.
Рекомендується оновитися до версії 120.0.6099.224/225 для Windows, 120.0.6099.234 для Mac, 120.0.6099.224 для Linux.
https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html
Mozilla Firefox
Було виправлено 16 вразливостей, 6 з яких мають серйозність "High". Рекомендується оновитися до версії Firefox 122.
https://www.mozilla.org/en-US/security/advisories/mfsa2024-01/