Adobe экстренно пропатчили критическую уязвимость в Adobe  Commerce и  Magento Open Source

Речь идет об одной из самых популярных открытых E-commerce-систем; на базе платформы создано более 100 000 интернет-магазинов, для нее есть более 2 000 расширений, а сообщество проекта насчитывает около 375 000 участников. В данном софте обнаружился 0day, которую и исправили во вчерашнем апдейте.

Деталей уязвимости пока не разглашают, однако известно, что она получила 9.8 из 10 по шкале оценки уязвимостей CVSS и активно эксплуатируется злоумышленниками. Не ясно, насколько сложно эксплуатировать данный баг, но в случае успеха атакующий получит RCE без аутентификации. Уязвимы версии 2.4.3-p1/2.3.7-p2 и ниже, за исключением Adobe Commerce 2.3.3 и ниже.

Всем традиционно рекомендуют обновиться или установить соответствующие патчи.
@NeKaspersky

Разработчик модов для игры «Cities: Skylines» забанен за внедрение малвари в свои работы

Моддер, известный под именами Chaos и Holy Water использовал в своих модах автоапдейтер, который позволил ему удаленно ставить вредоносное ПО на девайсы более чем 35к игроков. После обнаружения такого поведения модов часть (но не все) из них были удалены из Steam Workshop, а аккаунты моддера улетели в бан.

Chaos изначально запостил мод «Harmony redesigned» - свою измененную версию другого популярного мода, используемого в качестве базы другими популярными модификациями. После так же были изменены некоторые другие популярные моды, при этом в зависимостях указывался не оригинальный, но модифицированный Harmony. Такие вредоносные моды в дальнейшем рекомендовались в качестве решения в ветках игрового форума, где обсуждались баги в их оригиналах.

В числе распространяемой малвари были в основном трояны, но также обнаружили вредоносный код, который намеренно бил по производительности других модов, побуждая пользователей качать версии за авторством Chaos.
@NeKaspersky

Поздравляем Google с первым 0day, пропатченным в этом году

Корпорация выпустила Chrome 98.0.4758.102 для Windows, Mac и Linux. Помимо прочего, апдейт включает 11 фиксов по части безопасности. Среди них и уязвимость, отслеживаемая как CVE-2022-0609.

Детальной информации по CVE-2022-0609 пока не раскрывают (стандартная для 0day практика), но она описывается как уязвимость типа «use after free» в рисовалке анимации, которая в случае успешной эксплуатации может привести к повреждению данных и RCE в затронутых системах. Баг получил высокую степень опасности. По словам Google, есть информация, что эксплойт для CVE-2022-0609 существует и используется злоумышленниками. Проблему обнаружил и зарепортил Clément Lecigne из гугловской Threat Analysis Group.

Из других фиксов: исправления для еще четырех «use after free» в файловом менеджере, Webstore API, ANGLE, и GPU (за первый — CVE-2022-0603 -- исследователь, обнаруживший его, получил $15000) и двух переполнений - буфера кучи и целочисленной переменной. Все перечисленные уязвимости высокой степени опасности.
@NeKaspersky

Скрипт-кидди с 2017-го атакует авиакомпании

Злоумышленник или группа отслеживается Proofpoint как TA2541. Как считают исследователи, хакеры базируются в Нигерии.

В качестве целей выступают компании, связанные с авиацией, транспортом и авиакосмической отраслью. Методы атаки не то чтобы меняются с годами: для доставки малвари используются фишинговые письма (в основном на английском), отправляемые различным компаниям в огромных количествах – от сотен до тысяч экземпляров.

Во вложениях традиционно лежали документы Microsoft office с вредоносными макросами, но в последнее время также начали хостить пейлоды в облаках – например, на Google drive – в таких случаях жертве предлагается скачать и запустить обфусцированный файл Visual Basic Script (VBS).

Что касается непосредственно вредоносов, они представляют из себя доступные для свободной покупки на специализированных форумах RAT. Чаще всего – AsyncRAT, за ним – NetWire, WSH, Parallax и другие.

По словам Proofpoint, вся используемая малварь может помочь в сборе конфиденциальной информации, но доподлинно неизвестно, чем именно интересуются злоумышленники.
@NeKaspersky

BlackCat атаковали авиакомпанию Swissport.

4 февраля системы швейцарской компании Swissport, отвечающей за обслуживание аэропортов во многих странах мира, пострадали от атаки шифровальщика. На момент атаки название шифровальщика еще не было известно. Однако позже группировка, отвечающая за ALPHV/BlackCat заявили, что ответственность за нападение лежит на их плечах

Шифровальщик ALPHV, получивший кодовое имя BlackCat – необычная, написанная на Rust вымогательская малварь, которая была обнаружена еще в конце прошлого года. Еще тогда было отмечено, что создатель данного вредоноса являлся участником нашумевшей хакерской группировки REvil. Также было известно и то, что ALPHV — это лишь ребрендинг малвари BlackMatter/ DarkSide, который способен работать на смешанных средах Windows / Linux / VMWare ESXi. Перед запуском шифровальщика хакеры воруют данные для последующей угрозы публикации. А своё громкое имя BlackCat получил за счет того, что на сайтах для приема платежей стоит картинка черной кошки.

Как только атака была замечена, в компании сразу приняли меры для минимизации ущерба. Но, к сожалению, несколько серверов все равно пострадали, а некоторые системы стали временно недоступны. А поскольку хендлинг-услугами Swissport пользуются 310 аэропортов в 50 странах мира, работа была приостановлена, и несколько рейсов, в том числе рейс Москва-Цюрих, были отложены.

Хоть Swissport и быстро среагировали, хакеры оказались быстрее. При рассмотрении всего ущерба оказалось, что был заблокирован доступ к большому количеству важных файлов, а также украдено около 1,6 Тбайт данных. В подтверждение своей причастности, BlackCat разместили в сети Tor, на сайтах для слива краденых данных с изображением окровавленного ножа, информацию. Были выложены изображения паспортов, служебных записок и таблиц с данными претендентов на трудоустройство: полное имя, номер паспорта, национальность, вероисповедание (мусульманство / иное), номер телефона, вакансия, результат интервью в баллах и прочая информация о кандидате на должность. Согласно сообщению компании в Twitter, распространение вымогательского ПО удалось сдержать. Работа сервисов уже восстановлена.
@NeKaspersky

Как оказалось, 90% жителей России не знают, что виртуальный мир, который позволит создавать свою цифровую копию для участия в переговорах, играх, путешествиях и концертах, называется метавселенной.

Какая выборка была у ВЦИОМа не совсем ясно, но даже несмотря на это, цифра удивительная.

Из тех, кто в теме — больше мужчин и людей от 18 до 24 и 25-34 лет. 37% считают, что метавселенные вредны.

В последний месяц о метавселенных пишут все сми и телеграм-каналы, тема стала трендом информационной повестки. Но, видимо, 90% опрошенных ВЦИОМ не читают и не смотрят новости.
@NeKaspersky

Здравый смысл восторжествовал: журналиста не будут судить по «делу F12»

В октябре 2021 года была опубликована статья об ошибке на веб-сайте Департамента начального и среднего образования штата Миссури (DESE), где прямо в коде веб-страницы были указаны номера социального страхования (SSN) администраторов, консультантов и школьных учителей по всему штату, причем о столь интересном методе хранения конфиденциальной информации было известно более двенадцати (!) лет. Соответственно, любой желающий мог получить к ним доступ просто нажав «F12» на клавиатуре.

Предполагалось, что статья наконец-то обратит внимание на проблему, но умники в DESE не придумали ничего лучше, чем обвинить журналиста во «взломе» веб-сайта, краже информации и других смертных грехах, параллельно заявляя о своей невиновности в проблеме. По словам комиссара по образованию Марджи Вандевен, журналист похитил данные по крайней мере трех преподавателей: «расшифровал исходный код веб-страницы и просмотрел номер социального страхования (SSN) этих конкретных преподавателей». На деле же шифрованием там и не пахло: данные банально лежали в base64, а «украденные» SSN использовались для проверки их же валидности на собственном сайте DESE.

И вот, дело таки разрешилось: сегодня Malwarebytes в своей статье рассказали о том, что Локк Томпсон, прокурор округа Коул, отклонил уголовные обвинения губернатора Миссури. Он также заметил, что дело было решено неправовыми средствами. Более того, использовать значительные ресурсы и деньги налогоплательщиков, что были бы затрачены на предъявление обвинений, далеко не в интересах граждан округа.
@NeKaspersky

В «войне» Центробанка и Минфина нашёлся самый адекватный человек. Им оказался Силуанов.

«ЦБ хочет взять и запретить криптоактивы, криптовалюту, мотивируя тем, что это создает риски, в первую очередь у граждан, может „заразить“ финансовые институты, банки и создать непрозрачный рынок расчетов. Это то же самое, что запрещать интернет, что невозможно», — сказал министр финансов.

Силуанов высказал четкую позицию по вопросу криптовалют в России. По его мнению запрет — гораздо хуже регулирования. Однако регулирование сферы крипты он предлагает жесткое. На фоне предложения центробанка его позиция звучит более приемлемой, но на практике регулирование может быть излишним и сравнимым по влиянию на рынок с полным запретом.
@NeKaspersky

EDPS призвал запретить использование Pegasus на территории ЕС

Наверное, нужно жить совсем без доступа к интернету, чтобы в новостную ленту ни разу не просочилась информация о pegasus (здесь и далее капитализация отсутствует намеренно) — шпионском софте от израильской nso group, что был замешан в слежке (и не только) за журналистами, правозащитниками и политическими диссидентами, так что перейдем к EDPS. За этим акронимом скрывается Европейская Инспекция по Защите Данных (European Data Protection Supervisor) — независимый надзорный орган ЕС, который занимается, как ни парадоксально, всем, что связано с защитой/обработкой персональных данных, а также вопросами приватности.

Так вот, по словам EDPS, использование pegasus может привести к беспрецедентному уровню вмешательства в личную жизнь граждан, права на которую немного гарантированы законодательством. Они считают, что нельзя рассматривать этот вредонос просто как «очередную» государственную тулзу для перехвата данных. Более того, использование этого бэкдора не совсем законно: статья 52(1) Хартии основных прав ЕС требует, чтобы любые ограничения на осуществление основных прав и свобод личности были соразмерными, необходимыми и законодательно признанными. Использование pegasus, при этом, признается EDPS допустимым лишь в исключительных случаях, причем даже в них нет гарантии, что информация, собранная с его помощью, будет признана в суде.

Идея такого запрета вполне логична, но не стоит рассчитывать на то, что она (в случае одобрения) окончательно и бесповоротно прекратит атаки на перечисленные группы людей: такие вредоносы достаточно трудно обнаружить на зараженных устройствах, и — в случае обнаружения — выяснить, кто стоит за заражением, так что определенно найдутся люди и организации, готовые рискнуть, используя их.
@NeKaspersky

Linux исправили новую-старую уязвимость, связанную с DOS.

В модуле ядра Linux, который отвечает за работу сетевого протокола TIPC (Transparent Inter-process Communication), выявили уязвимость. Ей присвоили идентификационный номер CVE-2022-0435. Потенциально, с ее помощью злоумышленник может выполнять свой код на уровне ядра, через отправку специально оформленного сетевого пакета.

Данная проблема была обнаружена экспертом Appgate Сэмьюэлом Пейдж (Samuel Page) и затрагивала она только системы с загруженным модулем ядра tipc.ko и настроенным стеком TIPC, который обычно используется в кластерах и по умолчанию не активирован в неспециализированных дистрибутивах Linux.

Сам протокол TIPC был разработан компанией Ericsson и предназначен для организации межпроцессного взаимодействия в кластере, а активируется главным образом на узлах кластеров. TIPC может работать как поверх Ethernet, так и поверх UDP (сетевой порт 6118).

Уязвимость связана с переполнением стека, в котором, при обработке пакетов, значение поля с числом узлов участников домена превышает 64. Если разбирать подробнее, то изначально для хранения параметров узлов в модуле tipc.ko используется фиксированный массив "u32 members[64]". Однако при обработке указанного номера пакета узла не происходит проверка значения "member_cnt". Из-за этого могут использоваться значения больше, чем 64 для контролируемой перезаписи данных в области памяти, следующей в стеке после структуры "dom_bef". Как итог, злоумышленник может отправить на целевой хост TIPC-пакет с вредоносным контентом, указав значение member_cnt выше 64, а потом просто создать ресурсную запись. При получении обновления прежние данные кешируются — для сравнения; в результате возникает ошибка, позволяющая перезаписать содержимое стека за границей буфера. Данную уязвимость можно использовать локально или удаленно, но только при работающем TIPC.

Виновником уязвимости является фреймворк для мониторинга узлов в кластере. Приводящая к уязвимости ошибка была внесена 15 июня 2016 года и вошла в состав ядра Linux 4.8. Уязвимость устранена в выпусках ядра Linux 5.16.9, 5.15.23, 5.10.100, 5.4.179, 4.19.229, 4.14.266 и 4.9.301. В ядрах большинства дистрибутивов проблема пока остаётся. Выявившие проблему исследователи заявляют, что техника эксплуатации тривиальна и будет раскрыта после повсеместного устранения уязвимости в дистрибутивах.
@NeKaspersky

Появилась информация о недавнем взломе Красного Креста: для атаки использовался баг в Zoho

Вчера Международный комитет Красного Креста сообщил, что взлом его серверов был таргетированной атакой, которая, вероятно, была осуществлена государственными хакерами. По их словам, о том, что атака была направлена на конкретные сервера, свидетельствует использование узкоспециализированных инструментов и mac-адресов целевых серверов. Кроме того, используемая малварь была создана для обхода конкретных антивирусных решений, используемых именно на этих серверах.

В ходе расследования Красный Крест обнаружил, что изначально взлом был осуществлен 9 ноября 2021 года, после этого злоумышленники находились в системе около 70 дней. Для проникновения использовалась критическая RCE-уязвимость (CVE-2021-40539) в менеджере паролей ManageEngine ADSelfService Plus от Zoho. Оказавшись в сети, хакеры замаскировались под легитимных пользователей и получили доступ к данным с серверов МККК и в дальнейшем произвели их кражу.

Красный Крест не высказывался, кто по их мнению ответственен за атаку, но призвал хакеров не сливать и не продавать чрезвычайно конфиденциальные данные. Несмотря на это, известно, что по крайней мере одна группировка государственных хакеров использовала уязвимость CVE-2021-40539 в атаках: исследователи из Palo Alto Networks связали кампанию, использующую эту уязвимость, с группой, известной как APT27 и спонсируемой Китаем.
@NeKaspersky

Создаем себе трудности и героически их преодолеваем: новый билд Windows 11 возвращают поддержку drag&drop в панель задач

«Новая» фича добавлена в Windows 11 Insider Preview Build 22557, уже доступном для разработчиков, и позволяет прокидывать файлы в приложения при переносе их на соответствующие иконки в таскбаре. Например, можно перенести файл на иконку Outlook и отпустить, чтобы приложить его как вложение к письму. Еще аналогичным образом можно поступить с ярлыком приложения, чтобы закрепить его на панели задач.

Немного о более интересных и менее забавных изменениях этого билда:
• Теперь Win11 Pro требует обязательной регистрации аккаунта Microsoft (и подключения к интернету);
• Добавили 5 жестов для облегчения жизни пользователям с тачскрином (в основном возможности открывать различные менюшки свайпами);
• Добавили новый способ расположить окна в сетку;
• Изменили дизайн диспетчера задач и добавили Efficiency mode — возможность ограничить потребление ресурсов приложением;
• Добавили возможность создать шорткат для быстрой смены цветовой палитры;
• Увеличили производительность и точность поиска по приложениям;
• Добавили возможность генерировать субтитры для видео или собеседника (через микрофон) в реальном времени.
@NeKaspersky

В Татарстанском Иннополисе создали аналог робопса от Boston Dynamics. Теперь не нужно будет показывать на ПМЭФ китайских робопсов с наклейкой Эр-телеком.

Оказывается, в США регуляторы сильнее кошмарят технологические компании и бизнес, чем в России.