Știrile săptămânii din cybersecurity (28.03.2024)

Foto: vecstock

Alertă: Un nou atac de tip phishing livrează un program keylogger sub forma unei notificări de plată bancară

O nouă campanie de phishing a fost descoperită, folosind un program malițios de tip novel loader pentru a livra un keylogger, denumit Agent Tesla, dedicat exfiltrării de informații.

Trustwave SpiderLabs a declarat că a identificat un email de phishing din cadrul acestui lanț de atacuri pe data de 8 martie 2024. Mesajul are forma unei notificări de plată bancară, cerând utilizatorului să deschidă urgent un fișier arhivat atașat email-ului.

Arhiva ("Bank Handlowy w Warszawie - dowód wpłaty_pdf.tar.gz") conține un loader malițios care activează procedura de livrare a programului Agent Tesla pe computerul utilizatorului.

CISA: A doua vulnerabilitate SharePoint divulgată în cadrul Pwn2Own, exploatată de atacatori

Agenția de securitate cibernetică a Statelor Unite ale Americii (CISA), a adăugat marți, 26 martie 2024, o nouă vulnerabilitate din cadrul programului SharePoint la lista sa de Vulnerabilități Exploatate Cunoscute (KEV). Vulnerabilitatea în cauză a fost divulgată anul trecut, în cadrul competiției de hacking Pwn2Own.

Vulnerabilitatea, documentată ca CVE-2023-24955, a fost demonstrată de către echipa Star Labs în martie 2023, la competiția Pwn2Own organizată în Vancouver, alături de CVE-2023-29357. Acest lanț de exploatare bazat pe două bug-uri permite executarea neautentificată de cod de la distanță pe serverele SharePoint, cu privilegii elevate. Descoperirea a adus echipei Star Labs un premiu de $100.000 în cadrul competiției.

CVE-2023-24955 și CVE-2023-29357 au fost soluționate în cadrul unui patch lansat de Microsoft în mai, respectiv iunie 2023, prin actualizările de securitate aduse programului SharePoint.

Apple lansează patch-uri pentru iOS și macOS pentru a soluționa o vulnerabilitate ce permite executarea de cod

Apple a lansat un nou set de actualizări de securitate pentru dispozitivele iOS și macOS pentru a soluționa o vulnerabilitate ce permite executarea de cod arbitrar.

Vulnerabilitatea, documentată ca CVE-2024-1580 impactează componentele CoreMedia și WebRTC, atât pe sistemul de operare iOS, cât și pe macOS, și poate fi activată în timpul procesării imaginilor.

Apple a avertizat că vulnerabilitatea poate să fie exploatată pentru obținerea execuției de cod arbitrar în timpul procesării imaginilor. Totodată, compania declară că problema a fost soluționată prin o mai bună validare a input-urilor utilizatorilor.

Autoritatea cibernetică a Germaniei lansează avertizări cu privire la 17.000 de servere Microsoft Exchange vulnerabile, expuse online

Autoritatea națională de securitate cibernetică a Germaniei a lansat marți, 26 martie 2024, avertizări cu privire la descoperirea a cel puțin 17.000 de servere Microsoft Exchange din Germania, expuse online ca având multiple vulnerabilități critice de securitate.

Oficialii Biroului Federal German pentru Securitatea Informațiilor (BSI) au declarat că în jur de 45.000 de servere Microsoft Exchange din Germania au activă opțiunea de Outlook Web Access (OWA), fiind accesibile de pe Internet.

“Per total, cel puțin 37% din serverele Exchange din Germania (și, în multe cazuri, chiar și rețelele din spatele acestora), au vulnerabilități severe. Acest procent corespunde unui număr de aproximativ 17.000 de sisteme informatice. În mod particular, sunt afectate mai multe școli și facultăți, clinici, cabinete medicale, servicii de asistență medicală și alte astfel de instituții, precum și avocați, consultanți fiscali, instituții publice locale, și întreprinderi mari și mici”, a avertizat BSI.

DNSC la Euronews: Atenție la apelurile false prin care se cer date sensibile telefonic

Proiectul Facebook Ghostbusters divulga supravegherea în secret a utilizatorilor Snapchat

Documentele recent dezvăluite de instanțe arată că Facebook a orchestrat în secret în 2016 o operațiune numită „Project Ghostbusters”. Scopul acestui proiect era să intercepteze și să decripteze traficul criptat între utilizatorii aplicației Snapchat și serverele acesteia, în încercarea de a obține avantaje competitive împotriva Snapchat.

Meta, compania mamă a Facebook, a întreprins eforturi concertate pentru a obține un avantaj strategic asupra rivalilor săi, inclusiv Snapchat, Amazon și YouTube, analizând tiparele de trafic de rețea ale utilizatorilor.

Într-un e-mail din 9 iunie 2016, CEO-ul Meta, Mark Zuckerberg, a subliniat importanța obținerii unor analize fiabile a datelor din traficul criptat al Snapchat. Facebook a utilizat serviciul Onavo pentru a accesa întreaga activitate web a utilizatorilor, iar ulterior a dezvoltat kituri pentru a intercepta traficul și a analiza utilizarea în aplicații, în ciuda criptării Snapchat.

Un nou kit de phishing care evită autentificarea multifactor vizează conturile de Microsoft 365 și Gmail

Infractorii cibernetici au început să folosească din ce în ce mai des o nouă platformă de tip Phishing ca Serviciu (Phaas), numită 'Tycoon 2FA', pentru a lansa atacuri asupra conturilor de Microsoft 365 și Gmail, evitând protecția prin autentificare multifactorială pe care acestea le au.

Tycoon 2FA a fost descoperită de către analiștii Sekoia în octombrie 2023, în timpul unei cercetări de rutină a noilor amenințări cibernetice, dar a fost activă începând cu luna august 2023, când grupul Saad Tycoon a început să ofere serviciul prin intermediul unor canale private de Telegram.

În 2024, Tycoon 2FA a lansat o nouă versiune mai eficientă a platformei, indicând că există un efort continuu de a îmbunătății kit-ul. În momentul de față, serviciul se folosește de peste 1100 de domenii web și a fost observat ca activ în peste o mie de atacuri de tip phishing.

Vans avertizează clienții cu privire la o scurgere de date

Brandul Vans a transmis clienților săi un email săptămâna trecută, informându-i cu privire la un ‘incident de date’ produs recent.

Pe 13 decembrie, 2023, Vans a dezvăluit public detectarea unor activități neautorizate în sistemele lor IT, atribuite unor atacatori externi. O investigație ulterioară a arătat că atacul a vizat informațiile personale ale clienților Vans, incluzând adrese de email, numele și prenumele clienților, numerele lor de telefon și adresele de facturare și de livrare ale acestora.

În anumite cazuri, datele afectate au inclus, de asemenea, istoric de comenzi, valoarea totală a comenzilor efectuate și informații cu privire la modalitatea de plată folosită de clienți. Vans a declarat că acestea din urmă nu conțineau detalii precum numerele de cont, ci doar metoda de plată, descrisă ca fiind “card de credit”, “Paypal” sau “virament bancar”.

Cum să nu pierzi bani din cauza fraudelor în 2024: plan de măsuri practice

În contextul creșterii fenomenului de fraudă în Regatul Unit și SUA, este esențial să fii proactiv și să te pregătești pentru a evita să devii victimă.

Recomandările cheie includ:

1. Verificarea întotdeauna a legitimității: Înainte de a răspunde la e-mailuri, mesaje sau apeluri telefonice care solicită informații personale sau financiare, verifică întotdeauna legitimitatea expeditorului. Folosește instrumente precum Bitdefender Scamio sau investighează și contactează direct compania sau persoana respectivă.
2. Tratarea cu scepticism a e-mailurilor după expunerea datelor: Fiind expus într-o breșă de securitate, fii prudent în privința ofertelor nesolicitate și e-mailurilor pe care le primești. Evită răspunsurile la acestea, în special la cele care par prea bune pentru a fi adevărate.
3. Securizarea dispozitivelor: Actualizează software-ul de securitate, schimbă parolele în unele puternice și activează autentificarea în doi pași pentru dispozitivele tale pentru a preveni breșele de securitate.
4. Monitorizarea conturilor: Verifică regulat extrasele bancare și tranzacțiile de pe carduri pentru a identifica activități neautorizate. Setează alerte pentru conturi pentru a fi avertizat rapid în cazul unor activități neobișnuite.
5. Ținerea pasului cu ultimele noutăți: Cunoașterea trucurilor folosite în fraude reduce șansele de a deveni victimă. Citește articolele de blog despre fraude pentru a fi la curent cu cele mai noi informații.
6. Raportarea fraudelor: Nu ezita să raportezi fraudele. Raportându-le, vei contribui la împiedicarea activității infractorilor și protejarea altor utilizatori.

Păstrându-te informat și luând măsuri proactiv, poți naviga în mediul online cu mai multă încredere și te poți proteja împotriva fraudelor financiare în anul 2024.

Hackerii infectează codul sursă de la cea mai mare platformă de boți de pe Discord

Comunitatea de boți Top.gg de pe Discord, cu peste 170,000 de membri, a fost afectată de un atac la nivelul lanțului de aprovizionare cu scopul de a infecta dezvoltatorii cu programe malware care fură informații sensibile.

Infractorii au folosit mai multe tactici, tehnici și proceduri (TTP) de-a lungul anilor, inclusiv deturnarea conturilor GitHub, distribuirea de pachete Python rău intenționate, folosind o infrastructură Python falsă și inginerie socială.

Una dintre cele mai recente victime ale atacatorilor este Top.gg, o platformă populară de căutare și descoperire pentru servere Discord, boți și alte instrumente sociale pentru gaming, creșterea engagement-ului și îmbunătățirea funcționalității.

Potrivit cercetătorilor, activitatea atacatorilor a început în noiembrie 2022, când aceștia au încărcat pentru prima dată pachetele malware în Indexul Pachetului Python (PyPI).

La începutul anului 2024, atacatorii au creat o oglindă falsă a pachetului Python la „fișiere[.]pypihosted[.]org”, care este o încercare de a imita a originalului „fișier.pythonhosted.org”, unde sunt stocate fișierele artefacte ale pachetelor PyPI.

Atacatorii au folosit contul pentru a efectua atacuri rău intenționate în depozitul python-sdk al Top.gg, cum ar fi adăugarea unei acțiuni malițioase repetitive și stocarea altor depozite rău intenționate, pentru a le spori vizibilitatea și credibilitatea.

Odată ce codul Python malițios  este executat, acesta activează următoarea etapă a atacului, prin descărcarea de pe un server la distanță a unui script care preia sarcina utilă finală în formă criptată.

Malware-ul stabilește persistența pe computerul compromis între reporniri prin modificarea registrului Windows.

Breșă de securitate AT&T - Ce trebuie să știi

Datele a peste 70 de milioane de persoane au fost postate spre vânzare pe un forum online de criminalitate informatică. Persoana care vinde datele susține că acestea provin dintr-o scurgere de date din 2021 de la compania AT&T.

În 2021, un hacker pe nume Shiny Hunters a revendicat un atac asupra companiei americane de telecomunicații și a pus la vânzare presupusele date furate pentru un milion de dolari. Un alt hacker pe nume MajorNelson a dezvăluit ceea ce ei spun că sunt aceleași date.

Cu toate acestea, AT&T neagă (atât în 2021, cât și, acum, în 2024) că datele provin din sistemele sale, declarând pentru BleepingComputer că nu a văzut nicio dovadă a unei înfiltrări. Nu s-a primit niciun răspuns la o întrebare ulterioară privind posibilitatea ca datele să provină de la un furnizor terț.

Datele publicate online includ nume, adrese, numere de telefon mobil, date de naștere, numere de securitate socială și alte informații interne. Aproape același set de date a fost oferit spre vânzare în 2021, dar data criptată a nașterii și numerele de securitate socială au fost decriptate și adăugate la set ca fișiere suplimentare pentru majoritatea înregistrărilor.