[Информационная безопасность] Security Week 11: уязвимости в Exchange, цензура на Github и таймлайн атаки
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
В кибербезопасности существуют «медленные» кризисы, такие как, например, потенциальные атаки на загрузочный код в смартфонах и мобильных компьютерах — все, что требует физического доступа к железу. То, что в таком доступе не нуждается, тоже не всегда представляет проблему, с которой надо разбираться «вчера»: даже критические уязвимости часто эксплуатируются со множеством оговорок и дополнительных трудностей на пути к важным данным. Атаки на почтовые серверы Microsoft Exchange, судя по всему, станут хрестоматийным примером быстро развивающейся и максимально опасной проблемы для потенциальных жертв.
Данные о четырех активно эксплуатируемых уязвимостях в Exchange были обнародованы 3 марта. Вторая неделя «почтового кризиса» была богатой на события. На Github был опубликован демонстрационный код, эксплуатирующий уязвимости. Proof-of-Concept был оперативно удален, за что Github (и Microsoft, как владелец сервиса) подвергся критике. Сразу несколько исследований сообщили об атаке на почтовые серверы со стороны не одной, а как минимум десятка различных группировок. 13 марта стало известно об использовании уже взломанных серверов для атак с шифрованием данных и вымогательством. Заодно первооткрыватели уязвимостей уточнили таймлайн расследования: судя по всему, ключевая уязвимость Exchange была обнаружена в ходе аудита еще в декабре.
Подробный таймлайн развития событий опубликован на сайте Брайана Кребса. Согласно ему, вендор был уведомлен об уязвимостях практически одновременно двумя компаниями, независимо друг от друга. При этом компания Volexity уведомила Microsoft по следам расследования реальных атак. Компания Devcore обнаружила две из четырех уязвимостей, не зная об их эксплуатации, предприняв аудит безопасности Exchange еще в октябре прошлого года. На прошлой неделе Devcore опубликовала подробную хронологию собственного взаимодействия с Microsoft: в начале декабря они нашли способ обхода аутентификации на почтовом сервере, в канун Нового года нашли уязвимость записи произвольных данных на сервер и таким образом смоделировали работающую атаку.
В конце января компания Trend Micro сообщает о случаях взлома почтовых серверов с организацией веб-шелла для последующего контроля над ними, но связывает атаки с другой, уже закрытой на тот момент уязвимостью. В середине февраля Microsoft сообщает Devcore, что планирует закрыть уязвимости в ходе планового релиза патчей, намеченного на 9 марта. Но в самом конце те, кто до этого взламывал серверы выборочно, переходят к тактике масштабного поиска и взлома уязвимых организаций. Это, в свою очередь, вынуждает Microsoft распространить патчи за шесть дней до Patch Tuesday, 3 марта. Уже на момент распространения патчей количество атакованных почтовых серверов оценивалось в десятки тысяч.
Извините, данный ресурс не поддреживается. :(
12 марта Microsoft со ссылкой на RiskIQ приводит общую оценку количества потенциально уязвимых серверов. На первое марта таких насчитывалось около 400 тысяч. К 9 марта 100 тысяч серверов были не пропатчены, к 12 марта их число снизилось до 82 тысяч. В это же время возникает отдельная драма с публикацией PoC на Github. После выпуска патча изготовление proof-of-concept путем реверс-инжиринга было вопросом времени.
Код для атаки на Exchange публикуется 10 марта, тут же банится на GitHub, за что Microsoft получает порцию критики: это что же, цензура получается? В качестве контрмеры борцы с цензурой начинают постить копии кода в своих аккаунтах. Понятно, что Интернет так не работает: то, что однажды было в нем опубликовано, распубликовать уже не получится. Но есть и контраргумент: готовый эксплойт, конечно, полезен в «исследовательских» целях и как часть набора для тестирования корпоративных сетей, но для той сотни тысяч организаций с незакрытой дырой он принесет еще больше проблем. Их теперь атакуют вообще все желающие, и скорее всего под раздачу попали компании, имеющие самый минимум ресурсов для решения любых проблем с безопасностью.
Извините, данный ресурс не поддреживается. :(
Если вам кажется, что эта история нанесла недостаточно ущерба, вот еще один момент. В исследовании компании Palo Alto приводятся некоторые детали веб-шелла, устанавливаемого на взломанные серверы. По этим деталям сотрудник Devcore, известный под ником Orange Tsai, делает предположение, что разработанный им эксплойт использовался в реальных атаках до выпуска патча. Демоэксплойтом он приватно поделился с Microsoft в начале января. Как тот оказался в руках одной (или нескольких) групп, производящих атаки? По данным СМИ, утечка произошла после того, как Microsoft поделилась информацией с партнерами. Эксплойт пустили в работу почти без изменений, и он идентифицируется по вшитой в него строке «orange», оставленной Orange Tsai.
Извините, данный ресурс не поддреживается. :(
Ну и в заключение поговорим про вымогательство. Закрытие уязвимости не поможет, если сервер уже был взломан, а его владельцы не смогли выявить наличие веб-шелла. Судя по всему, типовой бэкдор, оставленный первоначальными группами взломщиков, теперь эксплуатируется вымогателями. Доступ используется для шифрования данных, причем в тексте используется термин DearCry, отсылка к ransomware-атаке WannaCry 2017 года. Краткий промежуточный вердикт: все очень плохо. Настолько плохо, что Microsoft выпустила патч для уже давно не поддерживаемой версии Exchange Server 2010. И это мы еще не знаем о последствиях атак, которые наверняка сопровождались кражей почтовой переписки, взломом иных серверов в корпоративной сети и прочим. Уже сейчас становятся известны имена пострадавших организаций. Среди них, например, парламент Норвегии.
Что еще произошло:
BleepingComputer сообщает о новой тактике мошенников, рекламирующих «раздачу криптовалюты» в соцсетях. Вместо того чтобы мимикрировать под Илона Маска, они прямолинейно рекламируют скам через платные механизмы Twitter.
Google в исследовательских целях публикует демокод, эксплуатирующий уязвимость Spectre. В практической атаке показана кража содержимого памяти через браузер Chrome 88 со скоростью 1 килобайт в секунду.
Набор обновлений для продуктов Microsoft, выпущенный 9 марта, закрывает zero-day уязвимость в Internet Explorer. А пользователи жалуются, что другой апдейт из этого набора роняет Windows в синий экран при попытке напечатать что-нибудь на принтере.
Извините, данный ресурс не поддреживается. :(
Видео в твите выше показывает, как вызвать отказ в обслуживании в мультимедийной системе автомобиля, подключив к порту USB-клавиатуру.
Критические уязвимости в высокопроизводительных сетевых устройствах BIG-IP и BIG-IQ компании F5 Networks позволяют обойти механизм авторизации.
===========
Источник:
habr.com
===========
Похожие новости:
- [Венчурные инвестиции, Развитие стартапа, Финансы в IT, IT-компании] Новости IT и технологий: борьба Роскомнадзора с Твиттером, оплата взглядом у Сбера
- [Информационная безопасность, Программирование, Разработка под Android] Уязвимости Android 2020
- [Информационная безопасность, IT-инфраструктура] 7 критических уязвимостей в F5 BIG-IP и F5 BIG-IQ. Как обезопасить ваши сетевые устройства?
- [Информационная безопасность, Платежные системы, API, Финансы в IT] API Revolut банка
- [Информационная безопасность, Open source, Системное администрирование, GitHub, Разработка под Linux] Эксперты обнаружили критическую уязвимость в подсистеме iSCSI ядра Linux, баг в коде был с 2006 года
- [Информационная безопасность, IT-инфраструктура] Краткий Best practice построения кластерных решений F5
- [Информационная безопасность, Google Chrome, Браузеры] Вышло обновление Chrome 89.0.4389.90 с устранением 0-day уязвимости
- [Информационная безопасность, Системное администрирование, 1С] Приключения персональных данных в России. Как стоматология защитила персональные данные
- [Информационная безопасность, Лайфхаки для гиков] Взрослый разговор о пентесте и хакинге
- [Информационная безопасность, Системное администрирование, IT-компании] Microsoft подтвердила проблемы с мартовскими обновлениями для различных версий Windows 10
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_exchange, #_hafnium, [url=https://torrents-local.xyz/search.php?nm=%23_blog_kompanii_«laboratorija_kasperskogo»&to=0&allw=0&o=1&s=0&f%5B%5D=820&f%5B%5D=959&f%5B%5D=958&f%5B%5D=872&f%5B%5D=967&f%5B%5D=954&f%5B%5D=885&f%5B%5D=882&f%5B%5D=863&f%5B%5D=881&f%5B%5D=860&f%5B%5D=884&f%5B%5D=865&f%5B%5D=873&f%5B%5D=861&f%5B%5D=864&f%5B%5D=883&f%5B%5D=957&f%5B%5D=859&f%5B%5D=966&f%5B%5D=956&f%5B%5D=955]#_blog_kompanii_«laboratorija_kasperskogo» (
Блог компании «Лаборатория Касперского»
)[/url], #_informatsionnaja_bezopasnost (
Информационная безопасность
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 17:17
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
 В кибербезопасности существуют «медленные» кризисы, такие как, например, потенциальные атаки на загрузочный код в смартфонах и мобильных компьютерах — все, что требует физического доступа к железу. То, что в таком доступе не нуждается, тоже не всегда представляет проблему, с которой надо разбираться «вчера»: даже критические уязвимости часто эксплуатируются со множеством оговорок и дополнительных трудностей на пути к важным данным. Атаки на почтовые серверы Microsoft Exchange, судя по всему, станут хрестоматийным примером быстро развивающейся и максимально опасной проблемы для потенциальных жертв. Данные о четырех активно эксплуатируемых уязвимостях в Exchange были обнародованы 3 марта. Вторая неделя «почтового кризиса» была богатой на события. На Github был опубликован демонстрационный код, эксплуатирующий уязвимости. Proof-of-Concept был оперативно удален, за что Github (и Microsoft, как владелец сервиса) подвергся критике. Сразу несколько исследований сообщили об атаке на почтовые серверы со стороны не одной, а как минимум десятка различных группировок. 13 марта стало известно об использовании уже взломанных серверов для атак с шифрованием данных и вымогательством. Заодно первооткрыватели уязвимостей уточнили таймлайн расследования: судя по всему, ключевая уязвимость Exchange была обнаружена в ходе аудита еще в декабре. Подробный таймлайн развития событий опубликован на сайте Брайана Кребса. Согласно ему, вендор был уведомлен об уязвимостях практически одновременно двумя компаниями, независимо друг от друга. При этом компания Volexity уведомила Microsoft по следам расследования реальных атак. Компания Devcore обнаружила две из четырех уязвимостей, не зная об их эксплуатации, предприняв аудит безопасности Exchange еще в октябре прошлого года. На прошлой неделе Devcore опубликовала подробную хронологию собственного взаимодействия с Microsoft: в начале декабря они нашли способ обхода аутентификации на почтовом сервере, в канун Нового года нашли уязвимость записи произвольных данных на сервер и таким образом смоделировали работающую атаку. В конце января компания Trend Micro сообщает о случаях взлома почтовых серверов с организацией веб-шелла для последующего контроля над ними, но связывает атаки с другой, уже закрытой на тот момент уязвимостью. В середине февраля Microsoft сообщает Devcore, что планирует закрыть уязвимости в ходе планового релиза патчей, намеченного на 9 марта. Но в самом конце те, кто до этого взламывал серверы выборочно, переходят к тактике масштабного поиска и взлома уязвимых организаций. Это, в свою очередь, вынуждает Microsoft распространить патчи за шесть дней до Patch Tuesday, 3 марта. Уже на момент распространения патчей количество атакованных почтовых серверов оценивалось в десятки тысяч. Извините, данный ресурс не поддреживается. :( 12 марта Microsoft со ссылкой на RiskIQ приводит общую оценку количества потенциально уязвимых серверов. На первое марта таких насчитывалось около 400 тысяч. К 9 марта 100 тысяч серверов были не пропатчены, к 12 марта их число снизилось до 82 тысяч. В это же время возникает отдельная драма с публикацией PoC на Github. После выпуска патча изготовление proof-of-concept путем реверс-инжиринга было вопросом времени. Код для атаки на Exchange публикуется 10 марта, тут же банится на GitHub, за что Microsoft получает порцию критики: это что же, цензура получается? В качестве контрмеры борцы с цензурой начинают постить копии кода в своих аккаунтах. Понятно, что Интернет так не работает: то, что однажды было в нем опубликовано, распубликовать уже не получится. Но есть и контраргумент: готовый эксплойт, конечно, полезен в «исследовательских» целях и как часть набора для тестирования корпоративных сетей, но для той сотни тысяч организаций с незакрытой дырой он принесет еще больше проблем. Их теперь атакуют вообще все желающие, и скорее всего под раздачу попали компании, имеющие самый минимум ресурсов для решения любых проблем с безопасностью. Извините, данный ресурс не поддреживается. :( Если вам кажется, что эта история нанесла недостаточно ущерба, вот еще один момент. В исследовании компании Palo Alto приводятся некоторые детали веб-шелла, устанавливаемого на взломанные серверы. По этим деталям сотрудник Devcore, известный под ником Orange Tsai, делает предположение, что разработанный им эксплойт использовался в реальных атаках до выпуска патча. Демоэксплойтом он приватно поделился с Microsoft в начале января. Как тот оказался в руках одной (или нескольких) групп, производящих атаки? По данным СМИ, утечка произошла после того, как Microsoft поделилась информацией с партнерами. Эксплойт пустили в работу почти без изменений, и он идентифицируется по вшитой в него строке «orange», оставленной Orange Tsai. Извините, данный ресурс не поддреживается. :( Ну и в заключение поговорим про вымогательство. Закрытие уязвимости не поможет, если сервер уже был взломан, а его владельцы не смогли выявить наличие веб-шелла. Судя по всему, типовой бэкдор, оставленный первоначальными группами взломщиков, теперь эксплуатируется вымогателями. Доступ используется для шифрования данных, причем в тексте используется термин DearCry, отсылка к ransomware-атаке WannaCry 2017 года. Краткий промежуточный вердикт: все очень плохо. Настолько плохо, что Microsoft выпустила патч для уже давно не поддерживаемой версии Exchange Server 2010. И это мы еще не знаем о последствиях атак, которые наверняка сопровождались кражей почтовой переписки, взломом иных серверов в корпоративной сети и прочим. Уже сейчас становятся известны имена пострадавших организаций. Среди них, например, парламент Норвегии. Что еще произошло: BleepingComputer сообщает о новой тактике мошенников, рекламирующих «раздачу криптовалюты» в соцсетях. Вместо того чтобы мимикрировать под Илона Маска, они прямолинейно рекламируют скам через платные механизмы Twitter. Google в исследовательских целях публикует демокод, эксплуатирующий уязвимость Spectre. В практической атаке показана кража содержимого памяти через браузер Chrome 88 со скоростью 1 килобайт в секунду. Набор обновлений для продуктов Microsoft, выпущенный 9 марта, закрывает zero-day уязвимость в Internet Explorer. А пользователи жалуются, что другой апдейт из этого набора роняет Windows в синий экран при попытке напечатать что-нибудь на принтере. Извините, данный ресурс не поддреживается. :( Видео в твите выше показывает, как вызвать отказ в обслуживании в мультимедийной системе автомобиля, подключив к порту USB-клавиатуру. Критические уязвимости в высокопроизводительных сетевых устройствах BIG-IP и BIG-IQ компании F5 Networks позволяют обойти механизм авторизации. =========== Источник: habr.com =========== Похожие новости:
Блог компании «Лаборатория Касперского» )[/url], #_informatsionnaja_bezopasnost ( Информационная безопасность ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 17:17
Часовой пояс: UTC + 5