[Информационная безопасность] Security Week 10: масштабная атака на серверы Microsoft Exchange
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
Главной новостью прошедшей недели стало раскрытие информации о четырех критических уязвимостях в почтовом сервере Microsoft Exchange, которые на момент обнаружения активно использовались для кибератак. Особенности уязвимостей (возможность полного обхода механизма авторизации, эскалации привилегий, записи произвольных файлов на скомпрометированном сервере) создали предпосылки для «идеального шторма» в области кибербезопасности. По некоторым данным, жертвами атаки уже стали десятки тысяч организаций только в США.
После выпуска обновлений, закрывающих уязвимости, атаки на уязвимые серверы только усилились. Компания Microsoft атрибутирует исходную атаку группировке Hafnium китайского происхождения, и (по состоянию на 2 марта) не зафиксировано примеров эксплуатации уязвимостей кем-то еще. Скорее всего, непропатченные серверы будут атаковаться всеми желающими еще долгое время. Отдельную проблему представляет установка бэкдора после взлома серверов: патчи способны закрыть изначальную точку входа, но уже атакованным организациям они не помогут. Все настолько плохо, что операторам серверов Microsoft Exchange рекомендуют исходить из того, что они уже взломаны.
Источники информации:
— Бюллетень Microsoft, техническое описание, рекомендации для системных администраторов, скрипт для анализа логов сервера на наличие индикаторов взлома.
— Статья Брайана Кребса с оценкой количества взломанных серверов в США.
— Статья в блоге компании Volexity, с некоторыми индикаторами взлома.
— Обзор от экспертов «Лаборатории Касперского», в частности сообщающий о массовой эксплуатации уязвимостей за пределами США.
Извините, данный ресурс не поддреживается. :(
По данным компании Volexity, первые атаки на почтовые серверы Microsoft Exchange были обнаружены еще в начале января этого года. В ходе дальнейшего расследования нашли четыре уязвимости, одной из которых (CVE-2021-26855) уже достаточно для нанесения серьезного ущерба. Данная уязвимость относится к классу Server-Side Request Forgery и позволяет обойти систему авторизации на сервере. С ее помощью злоумышленники успешно выгружали содержимое почтовых ящиков. Уязвимости подвержены версии Microsoft Exchange Server 2013, 2016 и 2019, то есть все, поддерживаемые вендором.
Еще три уязвимости позволяют разными способами закрепиться в системе. В частности, уязвимость CVE-2021-27065 дает возможность авторизованному пользователю перезаписать любой файл на сервере. В комбинации со средством обхода авторизации эта уязвимость использовалась, чтобы открыть веб-шелл для последующего управления взломанным сервером. Использование двух уязвимостей показано на этом видео от команды DEVCORE (больше информации приводится на их сайте):
Извините, данный ресурс не поддреживается. :(
Раскрытие информации об уязвимостях и активных атаках стало только началом истории: кажется, мы будем обсуждать ее весь этот год. Атака серьезно повышает стоимость защиты локальных сервисов и, скорее всего, вынудит еще больше организаций перейти на использование облачных технологий, где за безопасность отвечает поставщик. Речь идет не только о своевременной установке патчей (хотя даже с этим возникают проблемы), но и о закрытии уже установленных бэкдоров.
Очевидно, требуется использовать расширенные средства защиты. Первые атаки были обнаружены только благодаря детектированию необычно большого трафика в нестандартном направлении, а с точки зрения почтового сервера ничего необычного не происходило. Обнаружение запуска подозрительного кода доверенным процессом, защита от модификации файлов, в том числе при попытке их зашифровать, — все это требуется в случае атаки на уязвимый софт. Если предварительные оценки количества атакованных организаций верны, ситуацию можно сравнить с обнаружением прорехи в пользовательских роутерах, когда потенциальных жертв — десятки и сотни тысяч. Только потенциальный ущерб в данном случае гораздо выше.
Что еще произошло:
Новая атака по сторонним каналам, по мотивам SPECTRE: на практике показан способ кражи секретов, на этот раз с эксплуатацией шины, связывающей отдельные ядра процессоров (подвержены процессоры Intel, у AMD другая технология). Тем временем эксплойт для уязвимости SPECTRE, судя по всему, попал в руки киберпреступников.
На BleepingComputer описывается нестандартный пример вымогательства с шифрованием данных, где для связи жертв со злоумышленником предлагается использовать чат-сервер Discord.
Обнаружена утечка данных с серверов SITA Passenger Services — подрядчика многих авиакомпаний по всему миру. Вероятно, затронуты данные часто летающих пассажиров альянсов Star Alliance и OneWorld.
Извините, данный ресурс не поддреживается. :(
Интересный пример атаки на системы распознавания картинок с использованием машинного обучения. Чтобы сбить систему с толку, достаточно поставить перед объектом табличку с названием другого предмета. См. также обсуждение на Хабре.
Выпущен браузер Google Chrome 89: в очередном релизе закрыта уязвимость zero-day (подробности вендор раскрывать не стал).
Интересное описание уязвимости в системе авторизации Microsoft. Когда вы пытаетесь сменить пароль, вам на устройство отправляется код авторизации, который надо ввести на сайте. Исследователь не нашел тривиальных проблем в этом механизме, позволяющих подобрать код брутфорсом, но нашел нетривиальную: отправка множества кодов авторизации одновременно в течение очень короткого промежутка времени.
В недавнем ДТП на гонке Formula E обвинили программный баг. При выходе из строя передних тормозов система должна активировать тормоза на задних колесах. В случае с пилотом Эдоардо Мортарой этого не произошло: электрический болид не вписался в поворот и въехал в защитное ограждение.
Статья Брайна Кребса исследует черный рынок расширений для браузеров. Они приобретаются для включения пользователей в ботнет, который потом используют в качестве нелегального VPN-сервиса.
===========
Источник:
habr.com
===========
Похожие новости:
- [Информационная безопасность] Атаки китайской APT-группировки HAFNIUM c использованием 0-day в Microsoft Exchange Server: как это было в России
- [Информационная безопасность, Open source, Сетевые технологии, Mesh-сети] Криптографическое образование адреса IPv6 в Yggdrasil
- [Информационная безопасность, Системное администрирование, Софт, IT-компании] Microsoft обновила Safety Scanner для обнаружения шеллов атак на Exchange Server
- [Информационная безопасность, Google Chrome, API, Браузеры] Внедрение со стороны Google API FLoC вместо Cookie может только повысить уровень слежки за пользователям
- [Информационная безопасность, Системное администрирование, GitHub, Софт, IT-компании] Microsoft запустила информационный портал об уязвимости ProxyLogon и опубликовала скрипт для проверки серверов Exchange
- [Информационная безопасность, Администрирование доменных имен, Администрирование баз данных] За последние недели взломали 4 крупных русскоязычных хакерских форума
- [Информационная безопасность, DevOps] Защищаемся от Dependency Confusion с помощью Nexus Repo и Nexus IQ
- [Информационная безопасность, Программирование, C++] С++: безопасность для новичков
- [Информационная безопасность] ТОП-3 ИБ-событий недели по версии Jet CSIRT
- [Информационная безопасность, Администрирование доменных имен, DNS] Битсквоттинг сайта Windows.com (перевод)
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_exchange, #_hafnium, [url=https://torrents-local.xyz/search.php?nm=%23_blog_kompanii_«laboratorija_kasperskogo»&to=0&allw=0&o=1&s=0&f%5B%5D=820&f%5B%5D=959&f%5B%5D=958&f%5B%5D=872&f%5B%5D=967&f%5B%5D=954&f%5B%5D=885&f%5B%5D=882&f%5B%5D=863&f%5B%5D=881&f%5B%5D=860&f%5B%5D=884&f%5B%5D=865&f%5B%5D=873&f%5B%5D=861&f%5B%5D=864&f%5B%5D=883&f%5B%5D=957&f%5B%5D=859&f%5B%5D=966&f%5B%5D=956&f%5B%5D=955]#_blog_kompanii_«laboratorija_kasperskogo» (
Блог компании «Лаборатория Касперского»
)[/url], #_informatsionnaja_bezopasnost (
Информационная безопасность
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 15:59
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
Главной новостью прошедшей недели стало раскрытие информации о четырех критических уязвимостях в почтовом сервере Microsoft Exchange, которые на момент обнаружения активно использовались для кибератак. Особенности уязвимостей (возможность полного обхода механизма авторизации, эскалации привилегий, записи произвольных файлов на скомпрометированном сервере) создали предпосылки для «идеального шторма» в области кибербезопасности. По некоторым данным, жертвами атаки уже стали десятки тысяч организаций только в США.  После выпуска обновлений, закрывающих уязвимости, атаки на уязвимые серверы только усилились. Компания Microsoft атрибутирует исходную атаку группировке Hafnium китайского происхождения, и (по состоянию на 2 марта) не зафиксировано примеров эксплуатации уязвимостей кем-то еще. Скорее всего, непропатченные серверы будут атаковаться всеми желающими еще долгое время. Отдельную проблему представляет установка бэкдора после взлома серверов: патчи способны закрыть изначальную точку входа, но уже атакованным организациям они не помогут. Все настолько плохо, что операторам серверов Microsoft Exchange рекомендуют исходить из того, что они уже взломаны. Источники информации: — Бюллетень Microsoft, техническое описание, рекомендации для системных администраторов, скрипт для анализа логов сервера на наличие индикаторов взлома. — Статья Брайана Кребса с оценкой количества взломанных серверов в США. — Статья в блоге компании Volexity, с некоторыми индикаторами взлома. — Обзор от экспертов «Лаборатории Касперского», в частности сообщающий о массовой эксплуатации уязвимостей за пределами США. Извините, данный ресурс не поддреживается. :( По данным компании Volexity, первые атаки на почтовые серверы Microsoft Exchange были обнаружены еще в начале января этого года. В ходе дальнейшего расследования нашли четыре уязвимости, одной из которых (CVE-2021-26855) уже достаточно для нанесения серьезного ущерба. Данная уязвимость относится к классу Server-Side Request Forgery и позволяет обойти систему авторизации на сервере. С ее помощью злоумышленники успешно выгружали содержимое почтовых ящиков. Уязвимости подвержены версии Microsoft Exchange Server 2013, 2016 и 2019, то есть все, поддерживаемые вендором. Еще три уязвимости позволяют разными способами закрепиться в системе. В частности, уязвимость CVE-2021-27065 дает возможность авторизованному пользователю перезаписать любой файл на сервере. В комбинации со средством обхода авторизации эта уязвимость использовалась, чтобы открыть веб-шелл для последующего управления взломанным сервером. Использование двух уязвимостей показано на этом видео от команды DEVCORE (больше информации приводится на их сайте): Извините, данный ресурс не поддреживается. :( Раскрытие информации об уязвимостях и активных атаках стало только началом истории: кажется, мы будем обсуждать ее весь этот год. Атака серьезно повышает стоимость защиты локальных сервисов и, скорее всего, вынудит еще больше организаций перейти на использование облачных технологий, где за безопасность отвечает поставщик. Речь идет не только о своевременной установке патчей (хотя даже с этим возникают проблемы), но и о закрытии уже установленных бэкдоров. Очевидно, требуется использовать расширенные средства защиты. Первые атаки были обнаружены только благодаря детектированию необычно большого трафика в нестандартном направлении, а с точки зрения почтового сервера ничего необычного не происходило. Обнаружение запуска подозрительного кода доверенным процессом, защита от модификации файлов, в том числе при попытке их зашифровать, — все это требуется в случае атаки на уязвимый софт. Если предварительные оценки количества атакованных организаций верны, ситуацию можно сравнить с обнаружением прорехи в пользовательских роутерах, когда потенциальных жертв — десятки и сотни тысяч. Только потенциальный ущерб в данном случае гораздо выше. Что еще произошло: Новая атака по сторонним каналам, по мотивам SPECTRE: на практике показан способ кражи секретов, на этот раз с эксплуатацией шины, связывающей отдельные ядра процессоров (подвержены процессоры Intel, у AMD другая технология). Тем временем эксплойт для уязвимости SPECTRE, судя по всему, попал в руки киберпреступников. На BleepingComputer описывается нестандартный пример вымогательства с шифрованием данных, где для связи жертв со злоумышленником предлагается использовать чат-сервер Discord. Обнаружена утечка данных с серверов SITA Passenger Services — подрядчика многих авиакомпаний по всему миру. Вероятно, затронуты данные часто летающих пассажиров альянсов Star Alliance и OneWorld. Извините, данный ресурс не поддреживается. :( Интересный пример атаки на системы распознавания картинок с использованием машинного обучения. Чтобы сбить систему с толку, достаточно поставить перед объектом табличку с названием другого предмета. См. также обсуждение на Хабре. Выпущен браузер Google Chrome 89: в очередном релизе закрыта уязвимость zero-day (подробности вендор раскрывать не стал). Интересное описание уязвимости в системе авторизации Microsoft. Когда вы пытаетесь сменить пароль, вам на устройство отправляется код авторизации, который надо ввести на сайте. Исследователь не нашел тривиальных проблем в этом механизме, позволяющих подобрать код брутфорсом, но нашел нетривиальную: отправка множества кодов авторизации одновременно в течение очень короткого промежутка времени. В недавнем ДТП на гонке Formula E обвинили программный баг. При выходе из строя передних тормозов система должна активировать тормоза на задних колесах. В случае с пилотом Эдоардо Мортарой этого не произошло: электрический болид не вписался в поворот и въехал в защитное ограждение. Статья Брайна Кребса исследует черный рынок расширений для браузеров. Они приобретаются для включения пользователей в ботнет, который потом используют в качестве нелегального VPN-сервиса. =========== Источник: habr.com =========== Похожие новости:
Блог компании «Лаборатория Касперского» )[/url], #_informatsionnaja_bezopasnost ( Информационная безопасность ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 15:59
Часовой пояс: UTC + 5