Продолжаем следить за исследованиями в отношении уязвимостей и связанных с ними угроз.

1. Исследователи AppOmni обнаружили более 1000 серверов ServiceNow, которые раскрывают базы знаний клиентов (KB).

2. Tenable обнаружила уязвимость, которая могла позволить злоумышленникам запускать вредоносный код на серверах Google Cloud, позволяя перехватить внутреннюю зависимость ПО, которую Google предварительно устанавливает на серверах Google Cloud.

Она повлияла на Google Composer. Google устранила проблему и заявила, что не нашла никаких доказательств активной эксплуатации.

3. Varonis опубликовала подробности об атаке с внедрением SOQL (Salesforce Object Query Language), которая позволяла извлечь данные и сведения о клиентах Salesforce через API Aura компании. Выявлена в январе и оперативно исправлена месяц спустя.

4. Исследователи AmberWolf обнаружили Skeleton Cookie (CVE-2024-45488), обход аутентификации в устройстве PAM Safeguard for Privileged Passwords компании One Identity.

Уязвимость может быть использована для получения полного административного доступа к приложению и извлечения паролей и резервных копий.

Поставщик заявляет, что исправит проблему в предстоящей версии приложения 8.0.

5. Исследователи Horizon3 опубликовали технический анализ CVE-2024-8190, активно эксплуатируемой 0-day в Ivanti Cloud Service Appliance (CSA).

Правда, в предыдущий раз Horizon3 некосячила и исправила прошлонедельное сообщение в блоге с предполагаемыми подробностями по недавней ошибке Ivanti (CVE-2024-29847).

На самом деле в отчете фигурировала CVE-2023-28324, которая была исправлена в июне прошлого года.

Исследователи из Summoning Team утверждают, что Horizon3 в спешке пыталась присвоить себе раскрытие одной из ошибок, о которой они сообщали у себя в блоге.

6. Бизоны представили подробный технический анализ уязвимости CVE‑2024‑7965 (некорректная имплементация в V8), которая позволяет исполнять произвольный код в рендерере Google Chrome, показав как ее можно проэксплутатировать (PoC).

Специалисты F.A.C.C.T. раскрыли новый необычный способ доставки майнера Xmrig при помощи настроенных автоматических ответов почтового адреса.

Рассылка autoreply-писем велась с скомпрометированных почтовых адресов.

Начиная с конца мая схема использовалась для атак на ведущие российские интернет-компании, ритейл и маркетплейсы, страховые и финансовые компании.

Зафиксировано около 150 подобных писем.

При этом в самих письмах находилась ссылка на облако, куда был сохранен файл, содержащий вредоносное ПО Xmrig.

Xmrig – это кросплатформенный майнер криптовалют, который работает с видеокартами обоих производителей (AMD/Nvidia), поддерживает популярные алгоритмы майнинга и, в основном, используется для добычи Monero.

Анализ почтовых адресов, на которых был установлен «вредоносный» автоответ показал, что раньше они использовались в легитимных целях и свидетельствовал о потенциальной массовой компрометации этих почтовых адресов, после чего ими и воспользовались злоумышленники.

В процессе изучения используемых адресов было выяснено, что все они фигурировали в утечках как в открытом виде, так и в виде хэшей.

Также многие пользователи взломанных почт, судя по данным из утечек, использовали одинаковые пароли в разных сервисах.

Среди пользователей, чьи почтовые ящики были скомпрометированы, были замечены, в основном, физлица, однако также почты арбитражных управляющих, торговых и строительных компаний, мебельной фабрики и КФХ.

Для маскировки атакующие также использовали скан реального счета на оплату оборудования, не совпадающего с тематикой писем.

Таким образом жертвой может стать не только компания, но и обычные пользователи, которые будут взаимодействовать со взломанной почтой.

Данный способ доставки ВПО опасен тем, что потенциальная жертва первая инициирует коммуникацию — вступает в переписку и ждет ответное письмо.

В этом состоит главное отличие от традиционных рассылок, где получатель часто получает нерелевантное для него письмо и игнорирует.

В данном случае, хотя письмо не выглядит убедительным, коммуникация уже установлена и сам факт распространения файла может не вызывать особого подозрения, а лишь пробудить интерес у жертвы.

Украл, выпил и в тюрьму! - именно так сложилась судьба хакеров, которым сначала удалось виртуозно заполучить 243 млн. долл. и хорошенько оттянуться, а потом присесть на скамью подсудимых.

Вообще же, юным мошенникам стоило глянуть давнишний сериал про полицейских из Майами и быть может что-то в их судьбе сложилось иначе.

Однако вместо этого, они решили нехило затариться и ни в чем себе не отказывать.

Во время успешной атаки 18 августа двум обвиняемым 20-летнему Мэлоуну Лэму (aka Greavys, Anne Hathaway, $$$) и 21-летнему Жандиэль Серрано (aka Box, VersaceGod, SkidStar) в составе группы с другими участниками удалось развести на 4100 биткоинов жертву из Вашингтона.

Согласно судебным документам, банда получила несанкционированный доступ к счетам клиента криптобиржи Genesis, переведя средства на контролируемые ими криптокошельки, после чего успешно отмыли украденные активы.

Выдавая себя за поддержку Gemini, под легендой взлома учетной записи они обманом заставили жертву сбросить 2FA и предоставить доступ к экрану через AnyDesk, что позволило получить доступ к закрытым ключам Bitcoin Core и украсть средства.

Куш был оперативно поделен между каждым из участников, после чего средства разошлись по более чем 15 биржам и криптомиксерам с использованием VPN и цепочек транзакций.

Привлеченный к расследованию ресерчер ZachXBT смог выследить одного из грабителей под псевдонимом Wiz, который наварился на схеме на $41 млн., но спалился на OpSec.

Помимо этого косвенными признаками причастности лица стали покупки люксовых автомобилей, дизайнеских сумок часов и ювелирных изделий.

Его подельники также допустили критические ошибки, связав отмытые средства с изначально украденными траншами.

При этом парни вообще не стеснялись и постили в свои соцсети все атрибуты роскошной жизни, по которым оперативники установили их местоположение.

После чего на этой неделе в Майами их арестовали по обвинению в сговоре с целью хищения и отмывания более 230 миллионов долларов в криптовалюте.

Позитивы делятся секретными приемами фаззинга, который может быть адаптирован под задачи поиска уязвимостей.

В публичном пространстве огромное количество материалов о том, как находить дефекты ПО, но при этом почти нет материалов о том, как искать уязвимости с помощью фаззинга.

В исследовании автор приводит достаточно дельные мысли и практические рекомендации по части того, как искать уязвимости в ядре Linux с помощью фаззинга, в том числе с использованием ядерного фаззера syzkaller.

В общем еще один годный материал в копилку, особенно будет полезен тем, кто специализируется на данном направлении.

Лаборатория Касперского решила преподать мастер-класс своим коллегам, задав высокую планку по исследованиям, теперь не только по части содержания, но и в количественном выражении.

Вышел новый отчет, на этот раз в отношении банды вымогателей Key Group (или keygroup777), которая в основном нацелена на российских пользователей, ведет переговоры с жертвами в Telegram и использует билдер шифровальщика Chaos.

Первый публичный отчет об активности Key Group в 2023 году выпустили BI.ZONE. Тогда злоумышленники привлекли к себе внимание, когда после атаке на российского пользователя оставили записку идеологического характера без требования выкупа.

Однако, по данным телеметрии ЛК, группа действовала и в 2022 году. При этом и до и после атаки, замеченной BI.ZONE, злоумышленники требовали перевести деньги на Bitcoin-кошелек.

Исследователи Лаборатории отследили активность Key Group с первых атак, обнаружив не только Chaos, но и использование других утекших билдеров ransomware.

Проанализировав образцы, ЛК смогли отыскать на GitHub загрузчики и вредоносные URL, которые показали связь группы с ранее неизвестными злоумышленниками.

Первые варианты шифровальщиков в арсенале Key Group были обнаружены в апреле 2022 года: группа использовала исходный код Xorist.

Уже в августе банда добавила в свой инструментарий билдер Chaos сразу после запуска ее RaaS. Для обратной связи - Telegram.

Следующие образцы Key Group на основе Chaos были обнаружены в январе 2023 года. На протяжении всего года группа использовала этот шифровальщик, меняя в основном только содержимое записки.

С апреля 2023 года злоумышленники были активны на DarkStore.

Они атаковали Telegram-каналы спам-рейдами и тестировали общедоступный троянец NjRat с функционалом кейлоггера, стилера, реверс-шелла и распространения через USB.

Летом 2023-го был обнаружен новый образец под названием warnep.exe.

Содержимое записки сильно отличалось от предыдущих и носило идеологический характер. Key Group больше не указывала контактную информацию, но объявляла о своих мотивах.

В августе 2023-го замечено использование шифровальщика Annabelle.

Образец, замеченный в атаках, шифрует файлы и содержит блокировщик MBR и различные встроенные техники обхода средств защиты.

Примерно в тот же период в атаках Key Group был обнаружен образец шифровальщика Slam, его билдер стал общедоступным еще в 2021 году.

Slam использует алгоритм шифрования AES-CBC. Также он использует сервис IP Logger для отслеживания зараженных жертв.

В сентябре 2023 года был обнаружен вайпер на основе билдера RuRansom.

Примерно в то же время, что и экземпляры RuRansom, брендированные под Key Group, в атаках злоумышленников был замечен образец еще одного вымогателя - UX-cryptor.

В феврале 2024 года группа Key Group переключилась с Chaos на шифровальщик Hakuna Matata с AES-CBC шифрованием, а в марте - уже на Judge/NoCry.

Судя по обнаруженным атрефактам, исследователи предполагают, что Key Group - это дочерний проект русскоговорящей группы huis, известной в теневом сообществе.

Таким образом, Key Group, как и многие хактивисты, не разрабатывает собственное вредоносное ПО, а активно использует слитые билдеры ransomware, а в качестве C2 выступает репозитории GitHub.

При этом стоит отметить, что исходники ransomware все чаще оказываются в паблике, увеличивая число групп, использующих утекшие билдеры или код.

По всей видимости, таких групп будет становиться еще больше.

Киберподполье нацелилось на уязвимости в компоненте печати CUPS, массово сканируя Интернет на предмет наличия в нем систем UNIX с раскрытыми портами печати.

Уязвимости были обнаружены исследователем Симоне Маргарителли еще в начале этого года и раскрыты в конце прошлой недели.

Они отслеживаются как CVE-2024-47176, CVE-2024-47076, CVE-2024-47175 и CVE-2024-47177.

Проблемы затрагивают CUPS, общую систему печати UNIX, компонент с открытым исходным кодом, позволяющий системам UNIX функционировать в качестве серверов печати.

Все они выступают частью цепочки эксплойтов, которая может позволить злоумышленнику развернуть вредоносный принтер, индексировать принтер на сервере CUPS жертвы, внедрить вредоносный код внутри файла PPD и выполнить его из файла PPD, когда пользователь запускает задание печати через (вредоносный) принтер злоумышленника.

К настоящему времени уязвимости нашли отражение в отчетах Akamai, Rapid7, Elastic, Tenable, Qualys, DataDog и AquaSec, но привлекли пристальное внимание после публикации Маргарителли сообщения в X до выпуска исправлений.

Но не так все плохо, ведь ошибкам подвержены не все дистрибутивы Linux (только некоторые), а эксплуатировать их можно лишь в очень ограниченных сценариях, так что степень критичности (CVSS 9,9), по мнению многих исследователей, завышена.

Тем не менее, помимо раскрытия подробностей, в конце прошлой недели Маргарителли и другие опубликовали PoC, что и вызвало сканирования на предмет поиска UDP-порта 631, на котором сервер CUPS прослушивает новые принтеры, сообщающие о своем присутствии.

Несмотря на то, что CUPS отключен по умолчанию в большинстве дистрибутивов, по данным Shodan, в настоящее время более 75 000 систем, работающих под управлением CUPS, доступны через Интернет.

При этом другие показывают более 107 000, но может быть и больше.

Смягчение уязвимости довольно простое. Просто следует отключить, удалить или обновить CUPS.

Но в любом случае без этого не следует его запускать.