Поиск

14 августа компания Microsoft выпустила плановые ежемесячные обновления безопасности для своих продуктов. Августовские патчи исправляют 60 уязвимостей, в том числе две уязвимости нулевого дня, активно использующиеся в реальных атаках. Согласно бюллетеню Microsoft, одна из уязвимостей нулевого дня ( CVE-2018-8414 ) затрагивает оболочку Windows Shell. Однако в действительности проблема связана с использованием файлов SettingContent-ms для распространения вредоносного ПО. Первым атаку с использованием данной уязвимости продемонстрировал исследователь компании SpecterOps Мэтт Нельсон в июне текущего года. Хакеры начали экспериментировать с уязвимостью спустя месяц. Вторая уязвимость ( CVE-2018-8373 ) была исправлена в Internet Explorer. Проблема связана с тем, как скриптовый движок обрабатывает объекты в памяти, и позволяет злоумышленнику удаленно выполнить код с привилегиями пользователя. Если владелец ПК использует учетную запись администратора, как делает большинство пользователей Windows, эксплуатация данной уязвимости может привести к серьезным последствиям. Проэксплуатировать уязвимость можно, либо заманив жертву на вредоносный сайт через Internet Explorer, либо заставив ее открыть присланный в электронном письме вредоносный документ с помощью приложения, использующего движок IE. CVE-2018-8373 была обнаружена исследователем Эллиотом Цао. По данным Microsoft, до выхода обновлений уязвимость уже эксплуатировалась в атаках.

Исследователи кибербезопасности из компаний FireEye и Cisco Talos проанализировали атаки, в которых эксплуатировалась недавно выявленная уязвимость нулевого дня в Adobe Flash Player и связали их с группой, известной своими атаками на цели в Южной Корее. Ранее компьютерная группа реагирования на чрезвычайные инциденты (CERT) Южной Кореи сообщила о новой уязвимости нулевого дня в Adobe Flash Player, эксплуатируемой хакерами в реальных атаках. Проблема (CVE-2018-4878) позволяет удаленному злоумышленнику выполнить произвольный код и затрагивает текущую версию продукта 28.0.0.137 и более ранние. По словам исследователей безопасности, уязвимость эксплуатируется по меньшей мере с середины ноября 2017 года. Adobe подтвердила наличие проблемы и заявила о выходе патча в ближайшее время. Исследователи из FireEye провели расследование, в ходе которого им удалось связать атаки с хакерской группировкой, которую они назвали TEMP.Reaper. Считается, что данная группировка действует из Северной Кореи, поскольку IP-адреса, с которых они связывались с C&C-серверами, принадлежат интернет-провайдеру Star JV - совместному предприятию Северной Кореи и Таиланда. «Большая часть атак была сосредоточена на южнокорейской правительственной, военной и оборонной промышленной базе, однако в прошлом году они расширили географию своих атак и начали атаковать цели в других странах. Они проявили интерес к вопросам, имеющим большое значение для Корейской Народно-Демократической Республики (КНДР), таким как попытки объединения Кореи и прием северокорейских перебежчиков», - отметили исследователи. Как выяснили эксперты, хакеры эксплуатировали уязвимость в Flash Player с помощью вредоносных документов Microsoft Office, содержащих специально сформированный SWF-файл. В случае успешной эксплуатации уязвимое устройство заражается вредоносным ПО DOGCALL (по класификации FireEye). Специалисты Cisco Talos также сообщили об атаках с использованием данного вредоносного ПО, которое они назвали Rokrat. Исследователи связали атаки с той же хакерской группировкой, которая фигурирует в отчетах Cisco Talos под названием Group 123. В прошлом месяце специалисты из Talos подробно описали несколько кампаний, проведенных данной группировкой против южнокорейских чиновников и правозащитных организаций.

Компьютерная группа реагирования на чрезвычайные инциденты (CERT) Южной Кореи сообщила о новой уязвимости нулевого дня в Adobe Flash Player, уже эксплуатируемой хакерами в реальных атаках. Проблема (CVE-2018-4878) затрагивает текущую версию продукта 28.0.0.137 и более ранние. По словам экспертов, с целью проэксплуатировать уязвимость злоумышленники могут заставить жертву открыть документ Microsoft Office, web-страницу или фишинговое письмо, содержащие файл Flash SWF с вредоносным кодом. Как отметил исследователь компании Hauri Саймон Чой, уязвимость эксплуатируется с середины ноября 2017 года. Ее используют северокорейские хакеры для атак на южнокорейских специалистов, занимающихся вопросом КНДР. Производителю известно о проблеме, и патч для уязвимости будет выпущен 5 февраля. Как пояснил производитель, начиная с версии 27, администраторы могут настраивать Flash Player таким образом, чтобы перед воспроизведением SWF-контента пользователи Internet Explorer на Windows 7 и более ранних версиях ОС получали соответствующие уведомления. SWF (ранее Shockwave Flash, теперь Small Web Format) – проприетарный формат для флеш-анимации, векторной графики в интернете.

Спустя более полутора месяца после того, как Cisco предупредила своих пользователей об уязвимости нулевого дня (CVE-2017-3881) в своих коммутаторах, компания наконец-то нашла способ ее устранить. Напомним, в марте текущего года портал WikiLeaks приступил к публикации секретных документов Центрального разведывательного управления США, проливающих свет на его хакерский арсенал. Как показал анализ утекших файлов, ЦРУ эксплуатировало уязвимость нулевого дня, затрагивающую 318 моделей коммутаторов Cisco. Проблема связана с Cisco Cluster Management Protocol (CMP), использующим протокол Telnet для передачи сигналов и команд по внутренним сетям. Уязвимость существует из-за отсутствия ограничения использования CMP-специфических Telnet опций только для внутренних коммуникаций между участниками кластера и некорректной обработки специально сформированных опций. Согласно системе оценки уязвимостей CVSS, проблема получила оценку 9.8 из максимальных 10. Сказать, что уязвимость представляет большую опасность – это ничего не сказать. Как бы то ни было, производитель выпустил обновления, исправляющие проблему. Релиз патча занял у Cisco много времени, поскольку компания хотела убедиться в отсутствии какой-либо возможности обойти его.

Во вторник, 9 мая, Microsoft выпустила плановые ежемесячные обновления безопасности для своих продуктов. В общей сложности патчи исправляют 55 уязвимостей в продуктах компании, три из которых уже эксплуатируются кибершпионскими группировками. Две из трех исправленных уязвимостей нулевого дня (CVE-2017-0261 и CVE-2017-0262) затрагивают Microsoft Office и позволяют удаленно выполнить код. Проблема связана с тем, как Microsoft Office обрабатывает графические файлы в формате Encapsulated PostScript (EPS). По данным FireEye, CVE-2017-0261 эксплуатируется с конца марта текущего года хакерами из группировки Turla, предположительно имеющей российское происхождение. Эксплоит для уязвимости распространяется посредством электронных писем, содержащих вредоносный документ Word со встроенным вредоносным EPS-контентом. Turla, также известная как Snake и Uroburos, активна с 2007 года и связывается исследователями с самой продолжительной за всю историю кибершпионской кампанией. По данным экспертов Fox-IT и Palo Alto Networks, группировка является разработчиком недавно обнаруженного совершенно нового поколения троянов Kazuar, обладающего инновационными функциями. Уязвимость CVE-2017-0262 также связана с обработкой Microsoft Office EPS-файлов. Проблема эксплуатируется группировкой APT 28 (другие названия Fancy Bear и Pawn Storm). APT 28 часто связывается ИБ-экспертами с российскими спецслужбами и обвиняется правительством США во взломе летом прошлого года Национального комитета Демократической партии. Эксплоит для уязвимости распространялся в электронных письмах со вложенным документом, посвященным решению Дональда Трампа в прошлом месяце атаковать Сирию. Сама уязвимость связана с CVE-2017-0263, позволяющей повысить привилегии и также исправленной 9 мая. CVE-2017-0262 технически была исправлена вчера, однако пользователи, установившие обновления в прошлом месяце, уже защищены от ее эксплуатации. Дело в том, что апрельские патчи в целях безопасности отключают в Microsoft Office фильтр EPS. Напомним, до выхода плановых обновлений Microsoft выпустила экстренный патч для критической уязвимости в Microsoft Malware Protection Engine (CVE-2017-0290).

Эксплуатируемая хакерами уязвимость нулевого дня (CVE-2017-7269) затрагивает порядка 600 тыс. компьютеров под управлением Windows по всему миру, однако Microsoft не намерена ее исправлять. Производитель объясняет отсутствие патча тем, что данная версия ОС больше не поддерживается. Исследователи Южно-китайского технологического университета обнаружили уязвимость в Windows Server 2003 и опубликовали PoC-код эксплоита на GitHub. Проблема эксплуатируется с середины 2016 года, однако о ней стало широко известно только на прошлой неделе, когда все больше хакеров стали работать над своими эксплоитами. Уязвимость присутствует в компоненте IIS WebDAV и может быть проэксплуатирована с помощью специально сконфигурированного запроса с использованием команды PROPFIND. С ее помощью злоумышленник может вызвать отказ в обслуживании или выполнить произвольный код. Проблема ставит под угрозу сотни тысяч компьютеров по всему миру, однако Microsoft остается непреклонной и не будет выпускать обновление. Компания не поддерживает Windows Server 2003 с 2015 года с целью подстегнуть пользователей к установке более новых версий ОС. Данная уязвимость является ярким примером угрозы безопасности информации предприятий, использующих устаревши версии ПО. В случае невозможности отказаться от Windows Server 2003 рекомендуется отключить WebDAV.

Без лишнего шума компания Microsoft исправила еще одну эксплуатируемую хакерами уязвимость. CVE-2017-0005 присутствует в компоненте Windows Win32k в Windows GDI и затрагивает все версии ОС. С ее помощью злоумышленник может вызвать повреждение памяти, тем самым повысить свои привилегии и выполнить код с привилегиями системы. Уязвимость эксплуатировалась группировкой Zirconium, специализирующейся на кибершпионаже. Проблема с безопасностью затрагивает все версии Windows, однако хакеры позаботились о том, чтобы их эксплоит работал только на версиях от Windows 2000 до Windows 8. Злоумышленники хотели обойти реализованные в Windows 8.1 и Windows 10 механизмы безопасности, которые заблокировали бы атаку и только привлекли бы нежелательное внимание к уязвимости. Как пояснили эксперты Microsoft, используемые эксплоитом техники также применялись вредоносным ПО Duqu. Microsoft узнала об уязвимости от «доверенного партнера» и исправила ее 14 марта 2017 года с выходом плановых обновлений безопасности. На момент исправления уязвимости производитель не сообщил о ее эксплуатации хакерами. Напомним, мартовские патчи исправляют еще одну уязвимость нулевого дня CVE-2017-0022, эксплуатируемую в ходе вредоносной кампании AdGholas.