💻 Maltrail — cистема обнаружения вредоносного трафика

sudo apt-get install git python3 python3-dev python3-pip python-is-python3 libpcap-dev build-essential procps schedtool
sudo pip3 install pcapy-ng
git clone --depth 1 https://github.com/stamparm/maltrail.git
cd maltrail
sudo python3 sensor.py

Maltrail — это система обнаружения вредоносного трафика, использующая общедоступные (черные) списки, содержащие вредоносные и/или подозрительные паттерны активности, а также паттерны, собранные из различных отчетов антивирусных программ; может учитывать пользовательские списки.
Кроме того, Maltrail использует (опционально) расширенные эвристические механизмы, которые могут помочь в обнаружении неизвестных угроз (например, новых вредоносных программ).

🖥 GitHub

@linuxkalii

💻 Хак-группу RansomHub связали с шифровальщиком Knight

Исследователи Symantec изучили новый RaaS-проект (ransomware-as-a-service RansomHub и полагают, что это ответвление от уже несуществующего вымогательского проекта Knight.

Группировка RansomHub привлекла к себе внимание экспертов в середине апреля текущего года, когда в результате атаки шифровальщика BlackCat (ALPHV) у дочерней компании United Healthcare — Change Healthcare произошла утечка данных. Так как данные слили в сеть участники RansomHub, исследователи предположили, что между группировками существует какая-то связь.

Напомним, что на прошлой неделе RansomHub атаковала аукционный дом Christie's и пригрозила опубликовать похищенную у организации информацию в открытом доступе.

Как теперь рассказывают эксперты Symantec, вымогатель Knight появился в конце июля 2023 года и представлял собой ребрендинг малвари Cyclops. Он взламывал машины под управлением Windows, macOS, Linux/ESXi, похищая данные и требуя выкуп. Одной из отличительных особенностей Knight было то, что операторам шифровальщика также предлагался инфостилер, который мог сделать их атаки более эффективными.

В феврале 2024 года исходный код вымогателя Knight был выставлен на продажу на хакерских форумах, сайт вымогателей ушел в офлайн и RaaS-активность затихла.

Но теперь аналитики обнаружили многочисленные сходства между Knight и появившимся недавно RansomHub, которые указывают на то, что у вредоносов общее происхождение:
— оба семейства малвари написаны на Go и используют Gobfuscate для обфускации;
— код вредоносов во многом совпадает;
— в обоих случаях используется уникальная техника обфускации, при которой важные строки кодируются уникальными ключами;
— послания с требованием выкупа тоже похожи, но в версию текста для RansomHub добавлены незначительные изменения;
— оба семейства малвари перезапускают эндпоинты в Safe Mode перед шифрованием;
— меню помощи в командной строке идентичны, с единственным отличием в команде sleep у RansomHub;
— последовательность и способ выполнения команд одинаковы, хотя RansomHub выполняет их через cmd.exe.

@linuxkalii

💻 Internet Archive столкнулся с мощными DDoS-атаками

Проект Internet Archive («Архив Интернета», некоммерческий проект, представляющий собой цифровую библиотеку с бесплатным доступом к оцифрованным данным, в числе которых архивные веб‑страницы) заявил о начавшихся 26 мая целенаправленных DDoS-атаках на ресурс.

В рамках атак на сайт поступали десятки тысяч запросов в секунду. Как указывают сотрудники проекта, данные в безопасности, но из-за атак доступ к Internet Archive Wayback Machine ограничен. Атаки называют длительными, целенаправленными и результативными, что отличает их от предыдущих нападений.

Источник атаки не удалось установить, но основатель проекта Брюстер Кейл упомянул судебные разбирательства с американскими книжными издательствами и звукозаписывающими организациями по обвинению в нарушении авторских прав. По словам Кейла, инициаторы судебных процессов пытаются нарушить работу и уничтожить Internet Archive.

🗄 Подробнее

@linuxkalii

💻 CVE-2024-4577 — сайты на PHP в эпицентре опасности

Эксплойт доступен каждому, поэтому для защиты нужно срочно обновить PHP до последней версии.

Исследователи безопасности из тайваньской компании DEVCORE обнаружили серьёзную уязвимость, затрагивающую установки PHP на Windows в режиме CGI. Получившая идентификатор CVE-2024-4577 (рейтинг CVSS пока не определён), проблема позволяет злоумышленникам производить подстановку аргументов командной строки, что способно привести к удалённому выполнению кода (RCE).

Как сообщают специалисты DEVCORE, проблема «растёт» из другой уязвимости — CVE-2012-1823, так как свежевыявленный баг позволяет обойти внедрённую от неё защиту с помощью определённых последовательностей символов.

CVE-2024-4577 затрагивает все версии PHP, установленные в операционной системе Windows, а именно:
— с версии PHP 8.3 по 8.3.8;
— с версии PHP 8.2 по 8.2.20;
— с версии PHP 8.1 по 8.1.29.

Из-за повсеместного использования PHP в веб-экосистеме, а также простоты использования уязвимости, специалисты классифицировали её как критическую и незамедлительно сообщили о ней официальной команде PHP. Отчёт об уязвимости был опубликован уже после выхода исправленной версии PHP, доступного для скачивания на официальном сайте.

🗄 Подробнее

@linuxkalii

💻 flawz — терминальный пользовательский интерфейс для просмотра уязвимостей (CVE)

По умолчанию flawz использует базу данных уязвимостей (NVD) от NIST и предоставляет функции поиска и составления списков уязвимостей.

Например, для просмотра уязвимостей за 2024 год, связанных с xz достаточно написать:
🗄flawz --feeds 2024 --query xz

🖥 GitHub

@linuxkalii

💻 CVE-2024-37051: хакеры похищают GitHub-токены через IntelliJ IDEA

Компания JetBrains призывает пользователей обновить свои IntelliJ IDEA для устранения критической уязвимости, связанной с доступом к токенам GitHub.

Уязвимость CVE-2024-37051 затрагивает все IDE на базе IntelliJ, начиная с версии 2023.1, если включён и используется плагин JetBrains GitHub. 29 мая 2024 года была получена внешняя информация о потенциальной угрозе, влияющей на Pull Request в IDE.

Илья Плескунин, руководитель группы поддержки безопасности JetBrains, сообщил: «Злонамеренное содержание в Pull Request к проекту GitHub, обрабатываемое IDE на базе IntelliJ, может привести к утечке токенов доступа на сторонний хост».

JetBrains выпустила обновления безопасности для всех затронутых версий IDE (2023.1 и новее). Также обновлён и удалён из официального магазина уязвимый плагин JetBrains GitHub.

@linuxkalii

💻 Два британца построили «самодельную мобильную антенну» для рассылки мошеннических SMS

В Великобритании арестованы двое подозреваемых, которые использовали «самодельную мобильную антенну» для рассылки тысяч фишинговых SMS. Правоохранители считают, что в сообщениях подозреваемые выдавали себя за банки «и другие официальные организации».

Лондонская полиция сообщает, что 32-летний Huayong Xu и второй подозреваемый, чье имя не раскрывается, использовали самодельное устройство для массовой рассылки текстовых сообщений, при этом каким-то образом обходя защиту операторов от смишинга (фишинга с помощью SMS) и пытаясь обманом вынудить получателей раскрыть личные данные. Подчеркивается, что это первый подобный случай в Великобритании.

Подобные атаки возможны благодаря давно известным уязвимостям в стандартах мобильной связи, в частности, существует требование для мобильных устройств, которые обязаны аутентифицировать себя в сетях посредством IMSI, но при этом сети не обязаны аутентифицировать себя в ответ.

В итоге устройства, подключившиеся к фальшивой базовой станции, почти сразу могут получить фишинговое сообщение. Хотя полиция описывает созданное подозреваемыми устройство как «самодельное», не так сложно построить так называемый IMSI-перехватчик (IMSI-catcher) с помощью свободно доступного в продаже радиооборудования.

Эмуляторы базовых станций, через которые обычно осуществляется перехват соединений, называют Stingray или IMSI-перехватчик. По сути, это устройство, которое маскируется под вышку сотовой связи, заставляя устройства в зоне досягаемости подключаться именно к нему. IMSI-перехватчики нередко используются и самими правоохранительными органами для триангуляции целевых устройств, а иногда и для перехвата их коммуникаций.

🗄 Подробнее

@linuxkalii

💻 0day в Pixel: Google выпускает экстренный патч для своих смартфонов

Вслед за уже привычным Patch Tuesday от Microsoft, компания Google также выпустила обновления для устранения 50 уязвимостей безопасности в своих устройствах Pixel и предупредила, что одна из них, отслеживаемая как CVE-2024-32896, представляет собой ошибку повышения привилегий (EoP) и уже использовалась в реальных атаках в качестве Zero-day уязвимости.

«Есть признаки того, что CVE-2024-32896 уже могла быть использована ранее в ограниченных целевых атаках», — предупредила компания. «Все поддерживаемые устройства Google получат обновление до уровня патча 2024-06-05. Мы призываем всех пользователей Pixel незамедлительно установить эти обновления на свои устройства».

Google также отметила 44 других ошибки безопасности, непосредственно касающиеся устройств Pixel. Семь из них представляют собой уязвимости повышения привилегий и считаются критическими.

Устройства Pixel, хотя и работают на Android, получают отдельные обновления безопасности и исправления ошибок, отличные от стандартных ежемесячных патчей, распространяемых для всех производителей Android-устройств. Это связано с их эксклюзивными функциями и возможностями, а также уникальной аппаратной платформой, контролируемой лично Google.

Более подробную информацию об июньских обновлениях для Pixel можно найти в бюллетене безопасности, посвящённом смартфонам Google. А чтобы применить обновление, пользователям Pixel необходимо перейти в «Настройки» > «Безопасность и конфиденциальность» > «Система и обновления» > «Обновление безопасности», нажать «Установить» и перезагрузить устройство для завершения процесса обновления.

@linuxkalii

💻 Arm предупреждает об опасной 0-day уязвимости в драйверах Mali GPU

Компания Arm выпустила бюллетень безопасности и предупредила об уязвимости в драйверах ядра графических процессоров Bifrost и Valhall. При этом сообщается, что уязвимость уже используется хакерами.

GPU Mali на базе Bifrost применяются в смартфонах, планшетах (G31, G51, G52, G71 и G76), одноплатных компьютерах, Chromebook и различных встраиваемых системах. В свою очередь, GPU Valhall представлены в смартфонах и планшетах более высокого класса с такими чипами, как Mali G57 и G77, автомобильных информационно-развлекательных системах и умных телевизорах.

Проблема, о которой сообщает компания, получила идентификатор CVE-2024-4610 и представляет собой уязвимость типа use-after-free, затрагивающую все версии драйверов Bifrost и Valhall с версии r34p0 до версии r40p0.

Так как компании уже известно о случаях эксплуатации этой проблемы злоумышленниками, в Arm призывают пользователей как можно скорее установить обновления: производитель устранил уязвимость в версии драйвера r41p0, которая была выпущена еще 24 ноября 2022 года. На данный момент последней версией драйверов является r49p0, выпущенная в апреле 2024 года.

🗄 Подробнее

@linuxkalii

💻 В драйвере Wi-Fi для Windows нашли уязвимость, позволяющую удалённый запуск кода без участия пользователя

В реализации Wi-Fi в Windows обнаружена уязвимость с рейтингом опасности 8,8 из 10 (высокая), подтвердила Microsoft. Для эксплуатации уязвимости под номером CVE-2024-30078 потенциальному злоумышленнику не нужен непосредственный доступ к компьютеру жертвы или какие-либо действия с её стороны — достаточно находиться неподалёку.

Эксплуатация уязвимости позволяет злоумышленнику без аутентификации удалённо запускать код на машине жертвы — связанная с безопасностью ошибка драйвера Wi-Fi затрагивает все поддерживаемые версии Windows. Даже без особых условий доступа потенциальный хакер может добиваться «повторяющегося успеха против уязвимого компонента», сообщили в Microsoft. Перед осуществлением атаки не требуются ни аутентификация, ни доступ к настройкам и файлам на компьютере жертвы. От пользователя целевого устройства никаких действий тоже не требуется: не нужно нажимать на какие-либо ссылки, открывать картинки или запускать исполняемые файлы.

Особую угрозу уязвимость создаёт в окружениях с высокой плотностью клиентских устройств, в том числе отели, торговые выставки или другие места с многочисленными подключениями к сетям Wi-Fi — в подобных условиях киберпреступник может с лёгкостью атаковать пользователей, не поднимая лишнего шума, говорят эксперты. Для защиты рекомендуется установить последние обновления Windows; пользователям неподдерживаемых версий системы в отсутствие возможности её смены следует рассмотреть возможность использовать дополнительные средства безопасности на уровне сети — брандмауэры и системы обнаружения вторжений. Эксперты также сходятся во мнении, что в ближайшее время появится общедоступный эксплойт уязвимости.

🗄 Подробнее

@linuxkalii

💻 CVE-2024-4577 в PHP: вымогательское ПО TellYouThePass захватывает серверы по всему миру

Многие заражённые серверы перестают отвечать на запросы, что затрудняет обнаружение заражений.

В сети обнаружена новая угроза безопасности, связанная с уязвимостью в языке программирования PHP, которая позволяет злоумышленникам выполнять вредоносный код на веб-серверах. Исследователи в области кибербезопасности сообщают о стремительном распространении этой уязвимости и её использовании для установки вымогательского ПО TellYouThePass.

По данным компании Censys, к 13 июня было обнаружено около 1000 серверов, зараженных шифровальщиком TellYouThePass, что свидетельствует о некотором сокращении по сравнению с примерно 1800 инфицированными серверами, зафиксированными 10 июня. Большинство из них расположены в Китае. Вместо привычного содержимого сайты отображают список файлов, расширения которых дополнены символами «.locked», что указывает на шифрование. Сопутствующая записка с требованием выкупа предлагает вернуть доступ к файлам за примерно 6500 долларов США.

Уязвимость, зарегистрированная как CVE-2024-4577 и имеющая рейтинг опасности 9,8 из 10, возникает из-за ошибок в преобразовании символов Unicode в ASCII в PHP. Встроенная функция Windows под названием Best Fit позволяет злоумышленникам использовать технику инъекции аргументов для передачи вредоносных команд основному приложению PHP. Эта уязвимость позволяет обходить CVE-2012-1823, критическую уязвимость, устранённую в PHP в 2012 году.

CVE-2024-4577 затрагивает PHP только в режиме CGI, когда веб-сервер обрабатывает HTTP-запросы и передаёт их PHP-скрипту. Однако уязвимость может быть эксплуатирована и в том случае, если исполняемые файлы PHP, такие как php.exe и php-cgi.exe, находятся в директориях, доступных веб-серверу.

🗄 Подробнее

@linuxkalii

⭐️ The Information Laundromat

Новый инструмент для поиска владельцев веб-сайтов и анализа кампаний с использованием различных технических индикаторов и поиска похожего контента.

👉 https://informationlaundromat.com

@linuxkalii

🔐 Phat Crack

Phat Crack — это мощный инструмент для распределенного взлома хешей, предназначенное для хакеров и специалистов по информационной безопасности.

Созданный на базе Hashcat, Phat Crack поддерживает самые распространенные атаки Hashcat и почти все типы хэшей.

Сервер развертывается с использованием Docker.

Агенты можно зарегистрировать через графический веб-интерфейс, который поддерживает многопользовательский режим и контроль доступа на основе проектов.

В комплекте предоставляются инструкции по настройке агентов.

▪ Github

@linuxkalii

💻 CVE-2024-6045: в миллионах роутеров D-Link обнаружен встроенный бэкдор

В нескольких моделях беспроводных роутеров D-Link обнаружена критическая уязвимость, позволяющая злоумышленникам без аутентификации получить административный доступ к устройствам. Уязвимость CVE-2024-6045 имеет высокий уровень опасности с оценкой 8.8 по шкале CVSS.

По данным представителей TWCERT, проблема вызвана нераскрытым встроенным тестовым бэкдором в конкретных моделях роутеров D-Link. Злоумышленники могут активировать Telnet-сервис, используя определённый URL, а также получить учётные данные администратора, анализируя прошивку роутера. Успешная атака даёт полный контроль над скомпрометированным устройством.

Перечень уязвимых моделей роутеров включает: E15, E30, G403, G415, G416, M15, M18, M30, M32, M60, R03, R04, R12, R15, R18, R32.

Компания D-Link выпустила обновления прошивки для устранения этой уязвимости. Пользователям данных моделей рекомендуется срочно обновить прошивку до последней версии для защиты от потенциальной эксплуатации уязвимости.

Актуальная безопасная версия прошивки для каждой затронутой модели указана ниже:

🗄 Модели G403, G415, G416, M18, R03, R04, R12, R18: версия 1.10.01 и более свежая;

🗄 Модели E30, M30, M32, M60, R32: версия 1.10.02 и более свежая;

🗄 Модели E15, R15: версия 1.20.01 и более свежая.

Пользователи должны немедленно применить эти обновления прошивки для защиты своих устройств от атак. Регулярная проверка и обновление прошивки роутеров является важной мерой для обеспечения безопасности сетевых устройств.

@linuxkalii

💻 Секреты AMD слиты: исходники, базы сотрудников и финансы – всё в открытом доступе

Компания AMD начала расследование возможного кибернападения после того, как данные, якобы украденные у компании, были выставлены на продажу на хакерском форуме BreachForums. Преступники заявляют, что информация включает данные сотрудников, финансовые документы и конфиденциальные сведения.

Представитель AMD сообщил: «Мы осведомлены о киберпреступной организации, утверждающей, что у неё есть украденные данные AMD. Мы активно сотрудничаем с правоохранительными органами и сторонними партнёрами для расследования этого инцидента и оценки значимости утечки».

Хакер, известный как IntelBroker, опубликовал скриншоты некоторых предполагаемых учётных данных AMD.
Согласно сообщению IntelBroker, скомпрометированная информация была добыта в этом месяце и включает будущие продукты AMD, технические спецификации, базы данных сотрудников и клиентов, файлы собственности, разнообразные ROM-ы, исходный код, прошивки и финансовые данные.

По данным DarkWebInformer, в утекших данных содержатся базы данных сотрудников, включающие идентификаторы пользователей, имена и фамилии, должностные обязанности, рабочие телефоны, адреса электронной почты и статус занятости.

@linuxkalii