Бизоны рассказали о том, как новая планируемая Scaly Wolf кампания потерпела фиаско из-за загрузчика, который не смог.

Как и в прошлых атаках, Scaly Wolf полагались на фишинговые письма с прикрепленным легитимным документом якобы от имени федерального ведомства, нацеливаясь таким образом на российские промышленные, логистические и государственные компании.

Для достижения своих кибершпионских намерений APT задействует последние версии стилера White Snake.

Но в отличие от предыдущих атак, в мартовской кампании в отношении российских и белорусских компаний злоумышленники попробовали реализовать новый способ внедрения вредоносного ПО в инфраструктуру.

Раньше они просто укладывали стилер в защищенный паролем архив, теперь же они воспользовались вредоносным загрузчиком под названием in2al5d p3in4er (invalid printer).

При открытии архива printer проверял, не попал ли в виртуальную среду, и в случае успеха внедрял внедрял вредоносную нагрузку в адресное пространство процесса explorer.exe.

Проверка осуществлялась с использованием библиотеки dxgi.dll, которая сверяла идентификаторы производителей графических карт, используемых системой.

Не найдя Nvidia, AMD или Intel, вредоносный файл прекращал выполнение.

Особенностью загрузчика является то, что он не использует WinAPI‑вызовы для обращения к ядру Windows. Вместо этого функции вызываются напрямую с помощью syscall с требуемыми аргументами.

Также стоит отметить, что загрузчик во время выполнения пытается открыть множество случайных несуществующих в системе файлов и записать в них случайные данные.

Для определения процесса explorer.exe загрузчик перебирает структуры запущенных процессов и сравнивает контрольную сумму от имени процесса с сохраненным значением.

После обнаружения нужного копирует в него расшифрованную вредоносную нагрузку, после чего изменяет контекст процесса для выполнения внедренного шелл-кода.

Полезная нагрузка представляет собой шелл-код, полученный с помощью утилиты с открытым исходным кодом Donut, позволяющей выполнять в памяти исполняемые файлы (в том числе .NET).

Однако из-за ошибки в коде скопировался легитимный explorer.exe, без внедренного шелл-кода, сводя на нет всю цепочку заражения.

Обновленный перечень IOC и и детальное описание TTPs - в отчете.

Исследователи GReAT из Лаборатории Касперского выкатили вторую часть аналитики по резонансному инциденту с бэкдором в XZ Utils.

Основной акцент в исследовании сделан на социоинженерном аспекте атаки с подробным разбором личностей и хронологии активности участников, провернувших настоящую многолетнюю операцию по вытеснению мейнтейнера XZ Utils и троянизации пакета.

Исследователи отмечают, что высококлассные APT-группы проводят весьма продуманные кампании социнженерии для проникновения в хорошо защищенные цели, как в случае с продвижением имплантатов Green Lambert на Ближний Восток.

И, судя по всему, подход к внедрению XZ Utils, скорее всего, также имел тщательно спланированный и долгосрочный характер, правда, был несколько неуклюже реализован.

Конечная цель заключалась в том, чтобы скрытно внедрить бэкдор, нацелившись на процесс сборки XZ Utils.

После чего имплиментировать зашифрованный код в основные дистрибутивы Linux в рамках крупномасштабной атаки на цепочку поставок.

Безусловно, такой подход в социнженерии, возможно, не является чем-то новым, но обращает на себя внимание другое - потрясающе тонкая вставка вредоносного кода в процессе сборки - до этого нечто подобное было замечена в наделавшем шуму инциденте с SolarWinds.

Только на этот раз в процессе сборки участвовал человек, а продолжительный доступ к исходному коду/среде разработки был получен с помощью социнженерии и дополнен взаимодействиями с вымышленными личностями.

Все подробности, откуда нарисовались парни из Сингапура, Индии и Германии в истории с XZ Utils и как удалось провернуть аферу - в отчете на securelist.

Shadowserver сообщает (об очередной атаке на цепочку мудаков), что более 1400 серверов CrushFTP остаются уязвимы для атак (из 5232 открытых в Интернете, по данным Shodan), нацеленных на ошибку внедрения шаблонов на стороне сервера (SSTI) критической серьезности, ранее использовавшуюся в качестве 0-day.

Поставщик описывает CVE-2024-4040 как выход из «песочницы» VFS в своем ПО для управляемой передачи файлов, приводящий к произвольному чтению файлов.

Но на деле же неаутентифицированные злоумышленники могут использовать ее для реализации RCE в непропатченных системах.

В пятницу компания предупредила клиентов о необходимости немедленного обновления, но воз и ныне там.

Тем временем Rapid7 подтвердила серьезность уязвимости, заявив, что она полностью не аутентифицирована и может быть проэксплутирована без особых трудностей.

Успешная эксплуатация позволяет не только читать произвольный файл от имени пользователя root, но также обходить аутентификацию для доступа к учетной записи администратора и полностью удаленно выполнять код.

В свою очередь, CrowdStrike выкатил отчет с раскрытием реальных атак на ряд организации в США с целью кибершпионажа.

Будем следить.

WPScan предупреждает о начале активной эксплуатации ошибки плагина WP-Automatic для создания подконтрольных учетных записей администратора и захвата уязвимых сайтов WordPress.

Применяемая при этом CVE-2024-27956 связана с SQL-инъекцией (SQLi) и имеет оценку CVSS 9,9 из максимальных 10, затрагивая все версии до 3.9.2.0.

Злоумышленники могут использовать ее для получения несанкционированного доступа к веб-сайтам, создания учетных записей пользователей с правами админа, загрузки вредоносных файлов и потенциально получения полного контроля над затронутыми сайтами.

Проблема кроется в механизме аутентификации пользователей плагина, который можно тривиально обойти, выполняя произвольные SQL-запросы к базе данных с помощью специально созданных запросов.

В наблюдаемых к настоящему времени атаках CVE-2024-27956 используется для реализации запросов к базе данных и создания новых админских учеток на уязвимых сайтах WordPress, которые затем можно задействовать для установки плагинов загрузки файлов или модификации кода.

После взлома сайта WordPress злоумышленники обеспечивают персистентность, создавая бэкдоры и запутывая код.

При этом чтобы избежать обнаружения, злоумышленники переименовавают уязвимый файл WP‑Automatic (с /wp‑content/plugins/wp‑automatic/inc/csv.php на wp‑content/plugins/wp‑automatic/inc/csv65f82ab408b3.php), в том числе для блокировки атак со стороны других коллег.

Недостаток был публично раскрыт Patchstack 13 марта 2024 года.

С тех пор было обнаружено более 5,5 миллионов попыток атак с целью использования этой уязвимости.

HPE Aruba Networking исправила четыре критических RCE-уязвимости в ОС ArubaOS с оценкой CVSS v3.1: 9.8.

Все они затрагивают HPE Aruba Networking Mobility Conductor, мобильные контроллеры, шлюзы WLAN и шлюзы SD-WAN, управляемые Aruba Central, ArubaOS 10.5.1.0 и ниже, 10.4.1.0 и старше, 8.11.2.1 и ниже, 8.10.0.10 и старше, а также все версии ArubaOS и SD-WAN, достигшие EoL.

Первая, CVE-2024-26305 в демоне утилиты ArubaOS позволяет неаутентифицированному злоумышленнику удаленно выполнять произвольный код, отправляя специально созданные пакеты на UDP-порт PAPI.

Две другие CVE-2024-26304 и CVE-2024-33511 затрагивают службы управления L2/L3 и автоматических отчетов, их можно использовать путем отправки специально созданных пакетов на порт протокола PAPI, позволяя не прошедшим проверку подлинности злоумышленникам удаленно выполнять произвольный код.

И, наконец, последняя CVE-2024-33512, - это ошибка, позволяющая удаленным злоумышленникам, не прошедшим проверку подлинности, выполнить код, используя переполнение буфера в службе базы данных проверки подлинности локальных пользователей, доступ к которой осуществляется через протокол PAPI.

Наряду с ними поставщик также закрыл еще шесть уязвимостей средней степени серьезности, которые обеспечивают неаутентифицированным злоумышленникам вызов DoS на уязвимых устройствах.

Несмотря на то, что к настоящему времени HPE Aruba Networking не известно о фактах эксплуатации или выпуске PoC, системным администраторам рекомендуется включить Enhanced PAPI Security и как можно скорее установить доступные обновления.

͏Несмотря на предпринятую в начале года спецслужбами 11 стран Operation Cronos в отношении северной инфраструктутуры LockBit, банда смогла перегруппироваться и возобновить работу своей RaaS.

Но, по всей видимости, ненадолго, ведь инициаторы операции предпринимают все новые шаги, пытаясь задушить ставшую уже легендой в сфере ransomware банду.

Силовики вновь активировали захваченный в ходе Operation Cronos Tor-сайт, разместив на нем ряд анонсов, в том числе обещая к 7 мая раскрыть личность LockBitSupps и других членов банды.

Изучив награбленное с 34 серверов в Нидерландах, Германии, Финляндии, Франции, Швейцарии, Австралии, США и Великобритании, спецслужбы, как ожидалось, вышли и на некоторых из операторов LockBit, чьи личности также будут опубличены.

Однако, по сообщению исследователей из VX-underground, киберподполье с заявлениями своих обидчиков не согласны, не понимая зачем устраивается все это шоу.

Кстати, в свое время Микки Бресман, гендиректор AD Semperis, уже предлагал Netflix снять сериал по мотивам событий вокруг LockBit. И, возможно, он имел бы неплохой успех, как в случае с Narcos.

Но, пока что история LockBit продолжается и вряд ли закончится после анонсированных спецслужбами утечек, скорее станет более динамичной и резонансной.

Во всяком случае, по заявлениям LockBit, банда намерена продолжать работу, вопреки любому давлению.

Будем следить.