Всем добра! Хочется рассказать об эксплуатации одной старой известной уязвимости CVE-2005-3330, которую обнаружили в 2016 году на довольно популярном веб-сайте, который ведет свою историю с 2006 года. Могу лишь предположить что фреймворк с уязвимостью просто забыли удалить с сайта, хотя чем черт не шутит может быть и используют.
Статья может быть полезна новичкам, которые осваивают информационную безопасность.
Читать полностью »
Сервис OneLogin Secure Notes, который предоставляет пользователям возможность безопасного создания заметок с использованием надежного шифрования, оказался скомпрометирован. В сервисе присутствовала уязвимость, которая позволяла сотрудникам OneLogin получать данные заметок пользователей в открытом виде. Уязвимостью воспользовался злоумышленник, которому удалось добыть данные учетной записи одного из сотрудников и успешно аутентифицироваться в системе. Злоумышленник мог просмотреть заметки, подвергавшиеся обновлению со стороны пользователей в промежутке времени, как минимум, от 25 июля по 25 августа 2016 г. OneLogin начала процесс уведомления пользователей, чьи заметки потенциально могли подвергнуться компрометации.
Не так давно мы писали об успешной серии атак на пользователей Telegram в Иране. Используя технику перехвата SMS-сообщений с кодом активации нового устройства, атакующие смогли не только деанонимизировать пользователей сервиса, но и, в некоторых случаях, получить доступ к их переписке. На сей раз повторилась аналогичная ситуация, но с пользователями Telegram в Германии. Речь идет о расследовании правоохранительными органами деятельности преступной группировки, которую смогли отследить благодаря вышеупомянутому методу деанонимизации Telegram.
Opera выпустила уведомление безопасности, в котором призывает пользователей своего сервиса Opera sync как можно скорее сменить свои пароли аккаунтов. Сообщается, что один из серверов компании оказался скомпрометированным и злоумышленники получили доступ к информации аккаунтов, включая, логины и пароли пользователей (в зашифрованном виде). Для сброса пароля от аккаунта следует воспользоваться этой ссылкой
Сервис kubelet, с которым тесно общается apiserver, слушает порт 10250. Этот порт хоть и использует сертификаты, но лишь для шифрования канала, никакой авторизации на нём нет.
Об этой проблеме известно давно, но почему-то никто не считает её серьезной. Ссылки на обсуждения:
Что с этим можно сделать? Правтически всё. Без регистрации и sms.
Получить список всех pod'ов:
Читать полностью »
Apple выпустила экстренное обновление для iOS (iOS 9.3.5), исправив три критические 0day уязвимости с идентификаторами CVE-2016-4655, CVE-2016-4656, CVE-2016-4657. Особенность этих уязвимостей заключается в том, что они используются атакующими в направленных атаках для удаленного получения доступа к устройству с максимальными правами. Сам по себе случай использования трех 0day уязвимостей для iOS является действительно беспрецедентным. Кибератака была обнаружена специалистами двух компаний: Lookout и Citizen Lab. Связка трех эксплойтов получила название Trident, а вредоносная программа, устанавливаемая с помощью них Pegasus. Подобная связка гарантирует компрометацию устройства с iOS ниже версии 9.3.5 вне зависимости от того установлен на нем jailbreak или нет. Одна из уязвимостей позволяет отключать проверку легитимности запускаемого в iOS кода и выполнять удаленный jailbreak.
В одном из наших постов, который был посвящен скомпрометированным данным кибергруппировки Equation Group, указывалось, что достоверность этих данных смог подтвердить один из ex-сотрудников NSA TAO. Другим индикатором достоверности послужил факт присутствия в архиве с данными 0day эксплойта EXTRABACON для сетевых устройств Cisco и схема именования директорий в каталоге эксплойтов. Однако, журналисты издания The Intercept, которые ранее публиковали разоблачающие NSA документы Сноудена, приводят серию других неопровержимых доказательств того, что архив Shadow Brokers действительно содержит данные кибергруппировки, которая имеет прямое отношение к NSA и известна под названием Equation Group.
В прошлом посте мы более подробно остановились на содержимом утекшего в сеть архива с данными кибергруппировки Equation Group. Мы также указали, что названия эксплойтов и имплантов (компонентов) вредоносных программ соответствуют названиям из архива NSA ANT. В ряде упоминавшихся вендоров, на устройства которых были нацелены эксплойты, указывались Cisco и Fortinet (Fortigate Firewall). В случае с Cisco речь идет о двух эксплойтах для устройств Cisco ASA, PIX и Firewall Services Module с названиями ANT EXTRABACON (EXBA) и EPICBANANA (EPBA). Первый эксплойт относится к типу 0day и использует ранее неизвестную уязвимость с идентификатором CVE-2016-6366 (Cisco ASA RCE vulnerability). Второй использует исправленную 1day уязвимость с идентификатором CVE-2016-6367 (Cisco ASA CLI RCE).
Недавно мы писали о возможной утечке конфиденциальных данных известной кибергруппы Equation Group (Five Eyes/Tilded Team). Опубликованная информация готовилась по горячим следам, а сам инцидент с публикацией данных рассматривался как вызывающий сомнения. Однако, за прошедшие несколько дней, нам удалось изучить опубликованный в свободном доступе архив, а также собрать доверенные источники, подтверждающие достоверность информации группы хакеров Shadow Brokers. Размер самого архива с доступными для доступа данными составляет около 300МБ, в нем насчитывается более 3,5 тыс. файлов. Расшифрованная публичная часть архива, которая уже упоминалась нами ранее, содержит в себе различные скрипты установки, файлы конфигурации, информацию о работе с управляющими C&C-серверами, работающие эксплойты для популярных роутеров и брандмауэров.
Читать полностью »
Неделю назад специалисты ФСБ опубликовали интригующий пресс-релиз о вредоносном ПО, которое было обнаружено на компьютерах государственных, а также научных и военных учреждений. Описанные специалистами ФСБ признаки указывали на хорошо подготовленную т. н. state-sponsored кибератаку, в которой использовались жестко направленные (highly targeted), уникальные для каждой жертвы компоненты. Наша антивирусная лаборатория также получила образцы этого вредоносного ПО и AV-продукты ESET обнаруживают их как Win32/Cremes и Win64/Cremes.
Выводы наших специалистов совпали с выводами компании Symantec, которые опубликовали свой отчет, посвященный исследованию Cremes (Remsec). По своей сложности новое вредоносное ПО напоминает уже известное ранее кибероружие, такое как Flame, Regin и EvilBunny. С Flame и EvilBunny, Cremes роднит использование скриптов на языке Lua. Новая кибергруппировка получила название Strider и использовала Cremes для кражи ценной информации у своих жертв.