Cyber Threat Pulse
#8, June 2024
Нова шахрайська схема: хакери крадуть облікові записи в Telegram та WhatsApp
CERT-UA фіксує зростання кількості кібератак, спрямованих на викрадення акаунтів у месенджерах, з використанням технік обходу двофакторної автентифікації.
Зловмисники розповсюджують фейкові повідомлення через SMS та Telegram/WhatsApp, де пропонують проголосувати на вигаданому мистецькому конкурсі.
При переході на фішинговий сайт конкурсу, користувачу пропонується авторизуватися за допомогою QR-коду або номера телефону та одноразового коду.
Після «авторизації» зловмисник отримує повний контроль над обліковим записом жертви, прив’язуючи свій пристрій до її облікового запису.
Далі хакери використовують викрадений обліковий запис для реалізації різних шахрайських схем з метою отримання вигоди, в тому числі розповсюджують нові фішингові повідомлення серед контактів жертви.
Як запобігти інциденту: ● Не переходити за підозрілими посиланнями та не вводити дані, навіть якщо повідомлення надійшло від знайомих ● У випадку отримання підозрілого повідомлення, припустити, що обліковий запис відправника скомпрометовано, і звʼязатися з ним через інший канал для уточнення ● Якщо виявлено компрометацію: перевірити налаштування підключених пристроїв та завершити невідомі сесії
Деталі за посиланням: https://cert.gov.ua/article/6279491
Підвищення активності хакерів з росії та Китаю – новий звіт Trellix
Компанія Trellix опублікувала звіт "The Cyber Threat Report: June 2024", у якому зібрана глибока аналітика ландшафту кіберзагроз за останні пів року.
Ось трохи цікавої інформації зі звіту:
● Кібератаки з Китаю та росії: Групи, пов'язані з Китаєм, як-от Volt Typhoon, генерують 68,3% усіх зафіксованих загроз, причому 23% їхньої активності спрямовано на глобальний урядовий сектор. Російська група Sandworm збільшила свою активність на 40% порівняно з попереднім періодом. ● Зміни в екосистемі програм-вимагачів: Атаки вимагачів найчастіше спрямовані на транспортний і фінансовий сектори. Спостерігається поява наслідувачів групи LockBit після дій правоохоронних органів проти неї. ● Ухилення від виявлення EDR: Інструмент ухилення під назвою "Terminator" використовували в січні 2024 року, націлюючись переважно на телекомунікаційний сектор України в контексті російського вторгнення в Україну. ● Використання штучного інтелекту: У даркнеті було виявлено інструмент ChatGPT 4.0 Jabber, що дає змогу зловмисникам використовувати генеративний ШІ у своїх операціях і навчатися в інших кіберзлочинців.
Читати повний звіт: https://www.trellix.com/advanced-research-center/threat-reports/june-2024/
Вразливості в роутерах ASUS: мільйони пристроїв під загрозою
Компанія ASUS випустила оновлення прошивки для усунення критичних вразливостей безпеки в декількох моделях маршрутизаторів, найсерйознішою з яких є обхід аутентифікації, що відстежується як CVE-2024-3080 (оцінка CVSS 9.8). Ця вразливість дозволяє віддаленим зловмисникам увійти до пристрою без автентифікації.
Моделі, які знаходяться під загрозою, та виправлення:
● ZenWiFi XT8 (виправлено у 3.0.0.4.388_24621) ● ZenWiFi XT8 V2 (виправлено у 3.0.0.4.388_24621) ● RT-AX88U (виправлено у 3.0.0.4.388_24209) ● RT-AX58U (виправлено у 3.0.0.4.388_24762) ● RT-AX57 (виправлено у 3.0.0.4.386_52303) ● RT-AC86U (виправлено у 3.0.0.4.386_51925) ● RT-AC68U (виправлено у 3.0.0.4.386_51685)
Крім того, було виправлено ще одну вразливість високого рівня серйозності, пов'язану з переповненням буфера, CVE-2024-3079 (оцінка CVSS 7.2), для використання якої потрібен адміністративний доступ.
На початку цього року ASUS також усунули критичну вразливість (CVE-2024-3912, оцінка CVSS 9.8), яка дозволяла віддаленим зловмисникам завантажувати довільні файли та виконувати системні команди на уражених пристроях.
Рекомендації:
● Оновлення прошивки: Користувачам рекомендується негайно оновити свої маршрутизатори до найновіших версій прошивок, щоб усунути ці вразливості. ● Практика безпеки: Тим, хто не може оновити прошивку негайно, рекомендується використовувати надійні паролі та вимкнути функції віддаленого доступу, такі як доступ до адмінпанелі з глобальної мережі, переадресація портів, DDNS, VPN-сервер, DMZ та перемикання портів.
https://www.asus.com/content/asus-product-security-advisory/
Рубрика «Час оновитися»
Microsoft
● Загальна кількість вразливостей: 51 (зменшення порівняно з минулим місяцем) ● Критичних вразливостей: 1 (CVE-2024-30080) ● Суттєві вразливості: - CVE-2024-30080 (MSMQ): Використовує вразливість After Free, що дозволяє віддалене виконання коду з оцінкою CVSS 9.8. Впливає, якщо увімкнена служба Windows Message Queuing Service. - CVE-2024-30101 (Microsoft Office 2016): Використовує вразливість After Free, CVSS 7.5, яку можна експлуатувати через шкідливий електронний лист. - CVE-2024-30104 (Microsoft Office): Недолік неправильної роздільної здатності посилань, CVSS 7.8, вимагає втручання користувача. - CVE-2024-30102 (Microsoft 365): Використовує вразливість After Free, CVSS 7.3, яку можна експлуатувати за допомогою соціальної інженерії. - CVE-2024-30103 (Microsoft Outlook): Неповний список заборонених вхідних даних, CVSS 8.8, який можна використати через шкідливі DLL-файли - CVE-2024-30072 (Event Trace Log File Parsing): Цілочисельне переповнення, CVSS 7.8, експлуатується через шкідливий файл.
Google Chrome
● Версія: 125 ● Критичні вразливості: - CVE-2024-4947: Тип плутанини в JavaScript-двигуні V8, який активно використовується. - CVE-2024-4948: Використання після звільнення пам'яті в Dawn (реалізація WebGPU). - CVE-2024-5274: Тип плутанини в JavaScript-двигуні V8, ще одна вразливість нульового дня, яка активно використовується.
Mozilla Firefox
● Версія: 126 ● Загальна кількість вразливостей: 21 ● Критичні вразливості:: - CVE-2024-4764: Використання після звільнення пам'яті в потоках WebRTC. - CVE-2024-4367: Виконання JavaScript-коду через власні шрифти в переглядачі PDF.
PHP
● Вразливість: CVE-2024-4577 ● Вплив: Віддалене виконання коду через PHP CGI, обходить патч CVE-2012-1823. ● Виправлені версії: 8.3.8, 8.2.20, 8.1.29
Azure
● Вразливість: Висока строгість у службових тегах (подібно до SSRF). ● Вплив: Потенційне розголошення особистої інформації. ● Сервіси під загрозою: Includes Application Insights, DevOps, Machine Learning, Logic Apps, та інші. ● Рекомендації: Впровадити додаткові рівні автентифікації та авторизації.
GitHub
● Вразливість: CVE-2024-4985 ● Вплив: Дозволяє неавторизованому зловмиснику отримати адміністративні привілеї на сервері Enterprise Server. ● Версії під загрозою: До 3.13.0 з використанням SAML SSO з зашифрованими твердженнями. ● Виправлені версії: 3.9.15, 3.10.12, 3.11.10, 3.12.4