До Нового Года остались считанные дни... А у вас ещё есть время поучаствовать в CTF от S.E. & Codeby и выиграть призы! 🎁

В новом задании отправляемся на поиски штаб-домена Санты!

📌 Решить задание и участвовать в розыгрыше: @codeby_se_bot

Последний шанс участвовать в розыгрыше от Codeby & S.E.!

Новое задание уже доступно в нашем боте, а всё что нам известно — игрушечная машинка чип шпион попугай... 🕵‍♂

Уже завтра пройдёт розыгрыш призов среди участников CTF 🎁

А если вам понравилось решать задания — то их можно решать круглый год на платформе codeby.games!

📌 Решить задание и участвовать в розыгрыше: @codeby_se_bot

Клиентам Ivanti подъехали рождественские подарочки в виде новых активно эксплуатируемых 0-day, на распаковку позвали исследователей Mandiant из Google Cloud.

В среду Ivanti уведомила клиентов о том, что в ее VPN-устройствах Connect Secure (ICS) были исправлены две уязвимости - CVE-2025-0282 и CVE-2025-0283. 

Первая критическая связана с переполнением буфера в стеке, позволяющее неаутентифицированным удаленным злоумышленникам выполнять произвольный код.

Компания предупредила, что она была успешно реализована в отношении ограниченного числа клиентов, не раскрывая при этом подробностей об атаках.

Затем Mandiant, привлеченная Ivanti к расследованию атак, выявила, что эксплуатация была связана с китайскими злоумышленниками, а началась еще в середине декабря 2024 года.

К настоящему времени исследователям не удалось приписать эксплуатацию CVE-2025-0282 конкретному субъекту угрозы.

Но вместе с тем, было замечено, что злоумышленники развернули семейство вредоносного ПО Spawn, которое было связано ранее с китайской UNC5337.

Spawn включает в себя установщик SpawnAnt, туннелер SpawnMole и SSH-бэкдор под названием SpawnSnail.

В Mandiant со средней уверенностью полагают, что UNC5337 является частью группы угроз UNC5221, ранее замеченной в эксплуатации уязвимостей решений Ivanti (CVE-2023-46805 и CVE-2024-21887). Жертвами этих атак тогда стали MITRE и CISA.

В атаках с новым нулем Ivanti ICS Mandiant также обнаружила ранее неизвестные семейства вредоносных ПО, которые получили названия DryHook и PhaseJam, которые еще не были приписаны к какой-либо известной группе угроз.

По всей видимости, за создание и развертывание этих различных семейств кодов (например, Spawn, DryHook и PhaseJam) отвечают несколько субъектов, но на момент публикации отчета точно оценить число субъектов угроз, нацеленных на CVE-2025-0282, в Mandiant не смогли.

В наблюдаемых атаках хакеры сначала отправляли запросы на целевое устройство, пытаясь определить версию ПО, поскольку эксплуатация зависит от версии.

Затем они эксплуатировали CVE-2025-0282, отключили SELinux, внесли изменения в конфигурацию, выполнили скрипты и развернули веб-оболочки в рамках подготовки к развертыванию вредоносного ПО.

Вредоносная программа PhaseJam - это дроппер, предназначенный для изменения компонентов Ivanti Connect Secure, развертывания веб-оболочек и перезаписи исполняемых файлов для облегчения выполнения произвольных команд.

Вредоносная ПО помогает злоумышленникам создать первоначальный плацдарм, позволяет им выполнять команды, загружать файлы на устройство и извлекать данные.

DryHook использовалось злоумышленниками на этапе постэксплуатации для кражи учетных данных. 

В попытке сохраниться после обновлений системы злоумышленники использовали вредоносное ПО SpawnAnt, которое копирует себя и свои компоненты в специальный раздел обновлений.

Кроме того, вредоносное ПО PhaseJam блокирует обновления системы, но отображает поддельную шкалу прогресса обновления, не вызывая подозрений.

Mandiant предупреждает, что CVE-2025-0282, вероятно, будет использована и другими злоумышленниками после публикации PoC. 

Пока хакеры развлекаются, Ivanti вновь усердно пилит обновления, выпустив исправления лишь для Connect Secure.

Однако Policy Secure и Neurons для ZTA остаются все еще уязвимыми и получат исправления только 21 января. 

Исследователи Horizon3.ai нашли многочисленные уязвимости в программном обеспечении для удаленного доступа SimpleHelp, которые могут привести к раскрытию информации, EoP и RCE, их достаточно легко устранить и также просто поэксплуатировать.

Первая CVE-2024-57727 представляет собой уязвимость обхода пути без аутентификации, которая позволяет загружать произвольные файлы с сервера SimpleHelp, включая файл serverconfig.xml, содержащий хешированные пароли для учетной записи SimpleHelpAdmin и других локальных учетных записей.

Вторая отслеживается как CVE-2024-57728 и связана с произвольной загрузкой файлов, которая позволяет злоумышленнику с привилегиями SimpleHelpAdmin загружать произвольные файлы в любое место на хосте SimpleServer, что потенциально приводит к RCE.

Третья CVE-2024-57726 позволяет злоумышленнику, получившему доступ в качестве техспециалиста с низкими привилегиями, повысить свои привилегии до администратора, воспользовавшись отсутствием проверок авторизации на внутреннем уровне.

В гипотетическом сценарии атаки злоумышленник может связать CVE-2024-57726 и CVE-2024-57728, чтобы стать администратором и загрузить произвольные полезные данные для захвата контроля над сервером SimpleHelp.

К настоящему времени Horizon3.ai скрывает дополнительные технические подробности о трех уязвимостях, учитывая их критичность и простоту использования.

После ответственного раскрытия информации 6 января 2025 года недостатки были устранены в версиях SimpleHelp 5.3.9, 5.4.10 и 5.5.8, выпущенных 8 и 13 января.

Поскольку обычно злоумышленники достаточно часто инструменты удаленного доступа для получения постоянного удаленного доступа к целевым средам, крайне важно оперативно накатить исправления.

Кроме того, SimpleHelp рекомендует сменить пароль администратора сервера, сменить пароли для учетных записей технических специалистов и ограничить IP-адреса входа в систему для всех технических специалистов и администраторов.