Știrile săptămânii din cybersecurity (10.08.2023)
Vulnerabilitatea Downfall poate afecta miliarde de procesoare Intel
Un cercetător de la Universitatea din California, San Diego, a descoperit că mai multe generații ale procesoarelor Intel x86 includ o tehnică pentru îmbunătățirea performanței, bazată pe un un registru buffer pentru a stoca date și că mai multe aplicații împărtășesc acest registru. În cazul în care procesorul execută o comandă numită „gather”, acesta poate citi datele lasate în registru și le poate transmite unui atacator.
Această vulnerabilitate, numită Downfall, există în miliarde de procesoare Intel cel puțin începând cu 2014. Downfall permite unui atacator ce rulează o aplicație să fure parole, chei de criptare sau alte date sensibile de la altă aplicație. Astfel, în teorie, un tab malițios din browser ar putea exploata vulnerabilitatea pentru a fura date bancare din alt tab.
Cercetătorul a descoperit problema în 2022 și a raportat-o companiei Intel, care a validat vulnerabilitatea. Intel lansează un microcode fix, ce necesită o actualizare a sistemului de operare și ar putea conduce la performanțe mai scăzute în anumite situații. Intel a publicat și o listă completă a procesoarelor afectate.
Actualizare pentru Microsoft Office pentru un lanț de atac RCE exploatat activ
Pe 8 august 2023, Microsoft a lansat o actualizare Microsoft Office pentru a îmbunătăți securitatea ca măsură defense-in-depth, având rolul de a opri lanțul de atac ce conduce la exploatarea vulnerabilității CVE-2023-36884, de tip remote code execution (RCE).
Vulnerabilitatea a fost exploatată activ de atacatori precum grupul rus de criminalitate cibernetică RomCom (Storm-0978), care a utilizat documente Microsoft Office malițioase în scopuri financiar și de spionaj, vizând inclusiv organizații ce au participat la Summit-ul NATO de la Vilnius, Lituania.
Team Europe ne-a oferit o veste minunată de peste ocean în acest weekend. La San Diego (SUA), unde a avut loc cea de-a doua ediție a Campionatului Mondial de Securitate Cibernetică (International Cyber Security Challenge 2023), reprezentativa Europei, cu Dragos Albastroiu în componență, a câștigat din nou trofeul mondial!
O campanie globală de phishing impersonează aproximativ 340 de companii
Cercetătorii de la Imperva au analizat o campanie de phishing desfășurată la nivel global începând cu 2022. Campania implică peste 800 de domenii de escrocherie și impersonează aproximativ 340 de companii bancare, de livrări, eCommerce, sau social media și alte site-uri populare, exemple fiind Facebook, Booking, DHL sau Olx.
Actorii care au orchestrat campania sunt de origine rusă și pretind că sunt ucraineni. Aceștia au utilizat o platformă modulară de phishing ce permite atacatorilor să modifice site-urile de escrocherie în 48 de limbi, acceptând plăți prin cel puțin 320 de bănci.
Cercetătorii au descoperit că, în cazul unui site compromis ce folosea imaginea unei platforme pentru vânzări de obiecte second-hand, victima a primit un mesaj pe WhatsApp de la un potențial cumpărător, care a direcționat victima către un serviciu de plată aparent legitimă și care a solicitat victimei datele cardului bancar. În urma introducerii datelor cardului bancar, victima a primit un mesaj SMS de la compania bancară, cu o solicitare de plată de la MONODirect, un serviciu ucrainean.
Rețele militare clasificate ale Japoniei, compromise de un hackeri chinezi în 2020
În toamna anului 2020, US National Security Agency a descoperit un incident de securitate „masiv”, în cadrul căruia un grup chinez de spionaj cibernetic a compromis rețele de apărare clasificate ale Japoniei, obținând acces persistent la planuri, capabilități sau evaluări ale deficiențelor militare ale Japoniei.
În plus, la 5 august 2023, a fost dezvăluit că grupul chinez de spionaj cibernetic UNC4841 a compromis sistemele Centrului de Securitate Cibernetică din cadrul Secretariatului Cabinetului Japonez, devenind una dintre victimele campaniei Barracuda ESG.
Atacatori nord-coreeni au compromis o organizație rusească din industria apărării
Cercetătorii de la SentinelLabs au observat o intruziune în infrastructura IT a NPO Mashinostroyeniya, o organizație rusească producătoare de rachete și sancționată la nivel internațional. Cercetătorii au asociat intruziunea cu două grupări ce desfășoară activități pentru Coreea de Nord.
În urma analizei unui set de e-mailuri scurse pe internet, cercetătorii au descoperit că membrii echipei de IT de la organizației victimă au detectat activități suspicioase în mai 2022, cu o săptămână înainte ca Rusia să se opună unei rezoluții ONU pentru impunerea unor noi sancțiuni împotriva Coreei de Nord pentru lansările de rachete balistice intercontinentale.
Parte a activității suspicioase a constat într-un fișier DLL descoperit în diferite sisteme interne ale NPO Mashinostroyeniya. Cercetătorii SentinelLabs au determinat că acesta este o versiune a backdoor-ului OpenCarrot Windows OS, specific activităților grupării Lazarus și având funcții ce includ compromiterea dispozitivelor infectate și coordonarea mai multor infecții într-o rețea locală.
În plus, fost observat un trafic de rețea suspicios, reprezentând compromiterea serverului Linux de e-mail al organizației, acesta comunicând cu o infrastructură externă aparținând grupării ScarCruft.
DNSC la I Like IT despre tenativele de frauda raspandite prin Facebook
Am început săptămâna în studio-ul StirileProTV, acolo colegul Mihai Rotariu a fost invitat la iLike IT să vorbească despre tentativele de fraudă propagate în ultimele săptămâni pe social media, cu precădere pe Facebook.
Atacatorii compromit conturi de social media și se folosesc de paginile anexate contului respectiv, precum și de accesul la zona de business (de unde se pot genera anunțuri sponsorizate) pentru a lansa reclame care promovează link-uri care redirecționează utilizatorii către site-uri de phishing.
❌ Anunțuri cu investiții false care promit profituri consistente într-un timp extrem de scurt
❌ Postări care anunță promoții sau concursuri false
❌ Postări cu un conținut alarmist, care etichetează alte profile pentru a determina deținătorii acelor conturi să dea clic pe un link și să furnizeze date sensibile
Campanie de atacuri DDoS împotriva unor site-uri din Spania
În perioada 19 - 30 iulie 2023, grupul de hacktiviști ruși NoName057 a lansat atacuri tip distributed denial of service (DDoS) împotriva a cel puțin 72 de site-uri aparținând unor organizații private sau guvernamentale din Spania, din sectoare precum cel bancar, de telecomunicații, media, sau turism.
În cadrul atacurilor, nu ar fi fost compromise date sensibile și, în cele mai multe cazuri, site-urile au redevenit operaționale la cate ore de la atac.
Atacurile sunt motivate politic, venind în urma unei vizite a Prim Ministrului Spaniol Pedro Sanchez în Ucraina, cu prilejul căreia acesta a menționat sprijinul guvernului său pentru Ucraina.
Un nou atacator utilizează o variantă modificată a Yashma ransomware ce folosește imaginea WannaCry
Cisco Talos a descoperit un actor neidentificat anterior, aparent de origine vietnameză, ce desfășoară o operație de ransomware lansată cel puțin începând cu 4 iunie 2023. Atacatorul vizează ținte din Bulgaria, China, Vietnam și țări în care se vorbește limba engleză.
Malware-ul utilizat de atacator este o variantă modificată a Yashma ransomware și folosește caracteristici similare cu cele ale WannaCry ransomware, fiind incluse nota de răscumpărare sau wallpaper-ul setat în urma infectării dispozitivului victimei. Conform analizei Cisco Talos, asemănările dintre Yashma și WannaCry ar putea fi folosite pentru a ascunde identitatea atacatorului.
O nouă funcție a versiunii Yashma modificate are rolul de evitare a soluțiilor pentru anti-virus, prin executarea unui fișier batch embedded, având comenzi pentru a descărca nota de răscumpărare de pe un depozit GitHub controlat de atacator.
Atacatorul a păstrat funcția de anti-recuperare a fișierelor, astfel că, în urma criptării unui fișier, conținutul original este înlocuit cu caracterul „?” și apoi fișierul este șters. Această funcție îngreunează recuperarea fișierelor șterse de pe hard drive-ul victimei.
În calitate de autoritate națională în domeniul securității cibernetice, DNSC porne;te într-o misiune importantă de dezvoltare a cadrului național de reglementare în domeniul cibernetic, în contextul necesității transpunerii Directivei NIS 2. Pentru a atinge acest obiectiv, căutăm experții și contribuțiile specialiștilor dedicați precum dumneavoastră. Prin acest anunț, vă invităm să deveniți o parte vitală în modelarea viitorului securității cibernetice în țara noastră!
Invităm toți specialiștii interesați în domeniul cybersecurity să trimită exprimarea interesului, împreună cu calificările lor profesionale și experiența relevantă. Vă rugăm să trimiteți aplicația dumneavoastră la adresa [email protected] înainte de 24 august 2023 (vor fi evaluate și aplicații transmise după această dată, în vederea completării componenței grupului, în funcție de nevoile identificate). Aplicația va consta într-un mesaj email conținând o scurtă descriere a profilului profesional al aplicantului și prezentarea motivației pentru participarea la grupului de lucru, însoțit de CV. Specialiștii selectați vor fi notificați în consecință.
Algoritm de deep learning cu acuratețe de 95% în atacuri acustice
O echipă de cercetători de la univeristăți britanice a antrenat un model de deep learning pentru a fura date prin înregistrarea audio a apăsărilor de taste, având o acuratețe de 95%. În cazul utilizării aplicației Zoom ca mediu de antrenament pentru algoritm, acuratețea de predicție a fost de 93%, iar pentru Skype, 91.7%.
Comparativ cu alte atacuri de tip side-channel, ce necesită condiții speciale și pot fi supuse unor limitări precum distanța sau cantitatea de date transmise, atacurile acustice sunt mai simple având în vedere abundența de dispozitive cu microfoane care pot realiza înregistrări de calitate înaltă.
Primul pas al atacului constă în culegerea de date pentru antrenarea algoritmului de predicție prin înregistrarea apăsărilor de taste realizate pe tastatura țintei, existând posibilități de realizare a înregistrărilor prin intermediul unui meeting Zoom sau printr-un telefon infectat cu malware din apropiere.
Apoi, cercetătorii au produs forme de undă și spectograme pentru a vizualiza diferențele dintre fiecare apăsare de tastă și le-au folosit pentru a antrena un clasficator vizual până au fost obținute cele mai bune rezultate de predicție.
DNSC scoate la concurs alte 5 posturi în cadrul Direcției Generale Operațiuni Tehnice
Directoratul Național de Securitate Cibernetică (DNSC) organizează un concurs pentru angajarea a 5 noi colegi, ca personal contractual, pe o perioadă nedeterminată.
Posturile scoase la concurs
Direcția Generală Operațiuni Tehnice - Direcția Infrastructură Tehnică
- 5 posturi de Expert dezvoltare, implementare și administrare infrastructuri securitate cibernetică - grad Principal, studii superioare, poziție de execuție
