Boletim semanal de Cibersegurança 29 Abril – 5 Maio

Telefónica Tech    5 mayo, 2023

Vulnerabilidade crítica nos firewalls Zyxel

O fabricante de equipamentos de rede Zyxel lançou patches de segurança para uma vulnerabilidade crítica que afeta seus firewalls. A vulnerabilidade, que foi descoberta e relatada pela equipe do TRAPA Security, foi classificada como CVE-2023-28771 e com CVSS de 9,8.

Ele permite que um invasor não autenticado execute alguns comandos do sistema operacional remotamente enviando pacotes manipulados para um dispositivo afetado.

A falha de segurança afeta as versões de firmware do ATP (ZLD V4.60 a V5.35, corrigido no ZLD V5.36); USG FLEX (ZLD V4.60 a V5.35, corrigido para ZLD V5.36) VPN (ZLD V4.60 a V5.35, corrigido para ZLD V5.36), ZyWALL/USG (ZLD V4.60 a V4.73, corrigido para ZLD V4.73).

Até agora, não se sabe se a vulnerabilidade foi explorada; no entanto, a Zyxel recomenda que os firewalls sejam atualizados para a versão mais recente disponível.

Ler mais →

Google lança Chrome 113 com 15 atualizações de segurança

O Google liberou para o canal estável a versão 113 do Google Chrome para Windows, macOS e Linux, na qual até 15 vulnerabilidades são resolvidas, 10 delas relatadas ao Google por meio de seu programa de bug bounty.

Nenhuma das vulnerabilidades agora resolvidas é de alta criticidade, sendo a mais relevante a catalogada como CVE-2023-2459, ainda sem CVSS, mas pela qual o Google pagou US$ 7.500 ao pesquisador Rong Jian. Esse é um problema de implementação inadequado em Prompts, sua gravidade é considerada média e permitiria que um invasor remoto ignorasse as restrições de permissão por meio de uma página HTML manipulada.

Esta última iteração do navegador agora é implementada como Chrome versão 113.0.5672.63 para Linux e macOS, e como Chrome para Windows versões 113.0.5672.63/.64.

Ler mais →

Vulnerabilidades no protocolo BGP permitem que invasores executem ataques DoS

Pesquisadores do Forescout Vedere Labs publicaram um relatório detalhando novas vulnerabilidades no protocolo BGP.

As vulnerabilidades, já corrigidas e com um CVSS de 6,5, foram classificadas como CVE-2022-40302, CVE-2022-40318 e CVE-2022-43681. As falhas estariam relacionadas à análise sintática de mensagens BGP encontradas na implementação FRRouting que poderiam ser exploradas para alcançar uma negação de serviço em pares BGP vulneráveis.

A condição DoS pode ser prolongada indefinidamente enviando repetidamente pacotes maliciosos. Observe que dois desses problemas (CVE-2022-40302 e CVE-2022-43681) podem ser acionados antes que o FRRouting valide os campos Identificador BGP e ASN.

Ler mais →

Vulnerabilidade crítica nos adaptadores de telefone Cisco

A Cisco emitiu um aviso de segurança alertando sobre uma vulnerabilidade crítica nos adaptadores de telefone de duas portas Cisco SPA112. A falha de segurança, em particular, foi registrada como CVE-2023-20126, CVSSv3 de 9.8 e é devido a uma falha no processo de autenticação dentro do recurso de atualização de firmware.

A exploração dessa vulnerabilidade pode permitir que um invasor execute código arbitrário no dispositivo afetado com privilégios totais e, consequentemente, pode ajudar um agente de ameaça a se mover lateralmente em uma rede. No entanto, estima-se que a maioria deles não esteja exposta à Internet, tornando essas falhas suscetíveis à exploração da rede local.

Deve-se notar que a Cisco indicou que o modelo afetado chegou ao fim de sua vida útil, portanto, não receberá nenhuma atualização de segurança e recomenda a substituição do adaptador pelo modelo da série ATA 190.

Ler mais →

Fleckpe: novo malware para Android que inscreve as vítimas em serviços premium

O Securelist encontrou um novo malware para Android chamado Fleckpe espalhado por pelo menos 11 aplicativos disponíveis no Google Play que, juntos, acumulam mais de 620.000 downloads.

A Fleckpe, em particular, inscreve as vítimas, sem sua permissão, de diferentes serviços premium com preços especiais, que entregam parte dos lucros aos agentes da ameaça. De acordo com o Securelist, o Fleckpe está ativo desde 2022 e se espalhou por 11 aplicativos (já retirados do mercado por Google), a maioria deles editores de imagem.

O Fleckpe funciona recebendo do C2 a URL onde deve cadastrar a vítima, abre no modo invisível e copia o código de confirmação das notificações. Uma vez concluído o processo, o aplicativo funciona normalmente, evitando levantar suspeitas por parte da vítima.

Ler mais → 

Boletim semanal de Cibersegurança 15 – 21 Abril

Telefónica Tech    21 abril, 2023

Google corrige duas novas vulnerabilidades de 0-day exploradas ativamente

O Google emitiu novos avisos de segurança sobre a identificação de vulnerabilidades de 0-day que afeta o navegador Chrome que está sendo exploradas ativamente.

Por um lado, a falha de segurança foi relatada como CVE-2023-2033. Esta vulnerabilidade deve-se a uma falha no motor JavaScript do Chrome V8 que pode permitir que um agente malicioso explore remotamente a vulnerabilidade através de uma página HTML especialmente concebida para o efeito.

Por outro lado, a falha de segurança, CVE-2023-2136, está na biblioteca de gráficos 2D multiplataforma, Skia, e, se explorada, pode levar a renderização incorreta de gráficos, corrupção de memória ou execução remota de código que resulta em acesso não autorizado ao sistema.

Ler mais →

Amostras de LockBit encontradas visando sistemas macOS

O MalwareHunterTeam encontrou uma amostra de um arquivo LockBit que contém a capacidade de infectar vários sistemas operacionais, incluindo, pela primeira vez, o macOS da Apple.

MalwareHunterTeam destaca que este é um marco notável, porque também é a primeira vez que há conhecimento de um dos grandes grupos de ransomware criando malware voltado especificamente para o macOS.

O arquivo encontrado inclui um criptografador chamado ‘locker_Apple_M1_64’, para dispositivos Apple mais recentes e outro para CPUs PowerPC, usado pelo macOS mais antigo.

Uma análise aprofundada do arquivo mostra que, no momento, é uma versão inicial dessa cepa do LockBit e que não poderia ser usada em um ataque real, mas mostra o interesse desse ransomware em atacar dispositivos macOS em breve.

Ler mais →

Nova campanha QBot identificada

Pesquisadores de segurança publicaram uma análise dos TTPs usados em uma nova campanha do conhecido malware Qbot , que agora infectaria suas vítimas através do uso de arquivos PDF e Windows Script Files (WSF).

Essa campanha de phishing é distribuída usando e-mails que usam threads de e-mail legítimos e contêm um anexo PDF que, quando aberto, baixará um arquivo ZIP contendo um arquivo WSF. Esse arquivo tem como objetivo final executar um script no PowerShell, com o qual se trata de baixar uma DLL QBot.

Notavelmente, vários players como BlackBasta, REvil, PwndLocker, Egregor, ProLock e MegaCortex usaram o Qbot para acesso inicial a redes corporativas. Esse acesso inicial é feito implantando payloads adicionais como Cobalt Strike, Brute Ratel e outros malwares que permitem o acesso ao dispositivo comprometido.

Ler mais →

Nova PoC permite bypassar VM2 sandbox

Pesquisadores de segurança publicaram uma nova PoC capaz de bypassar VM2 sandbox, amplamente utilizado no mundo do desenvolvimento e segurança para executar e testar código não confiável em um ambiente isolado.

Esse desvio permitiria que o malware fosse executado fora das limitações do ambiente de área restrita. A primeira vulnerabilidade foi identificada como CVE-2023-29017 há duas semanas e as duas últimas identificadas como CVE-2023-29199 e CVE-2023-30547.

Esta última vulnerabilidade, com um CVSS de 9.8, pode ser explorada por agentes mal-intencionados devido a uma falha de limpeza que permite ao invasor lançar uma exceção de host dentro de «handleException()».

Os usuários são aconselhados a corrigir a vulnerabilidade para atualizar para a versão 3.9.17 o mais rápido possível para evitar um possível incidente de segurança.

Ler mais →

Vulnerabilidades críticas nos bancos de dados PostgreSQL do Alibaba Cloud

Pesquisadores de segurança da Wiz publicaram um artigo revelando duas vulnerabilidades críticas nos bancos de dados PostgreSQL do Alibaba Cloud.

De acordo com os pesquisadores, essas falhas permitiram o acesso não autorizado aos bancos de dados PostgreSQL dos clientes do Alibaba Cloud, o que poderia levar a um ataque à cadeia de suprimentos e à execução remota de código.

Deve-se notar que as vulnerabilidades, que foram chamadas de BrokenSesame, foram relatadas ao Alibaba Cloud em dezembro de 2022, que implantou mitigações em 12 de abril, embora não haja evidências de exploração.

Em conclusão, essa é uma falha que permitiria o escalonamento de privilégios no AnalyticDB e outra para a execução remota de código no ApsaraDB RDS.

Ler mais →

Boletim semanal de Cibersegurança 8 – 14 Abril

Telefónica Tech    17 abril, 2023

Apple corrige duas novas vulnerabilidades de 0-day exploradas ativamente

A Apple lançou novos avisos de segurança sobre duas novas vulnerabilidades de 0-day exploradas ativamente que afetam iPhones, Macs e iPads.

  • Primeiro, há a falha de segurança registrada como CVE-2023-28206, que é uma gravação fora dos limites no IOSurfaceAccelerator que pode desencadear corrupção de dados, uma falha ou execução de código.
  • Em segundo lugar, a vulnerabilidade atribuída como CVE-2023-28205 é um uso do WebKit que pode permitir corrupção de dados ou execução arbitrária de código reutilizando a memória liberada para criar páginas da Web maliciosas especialmente criadas controladas por agentes de ameaças.

A Apple recomenda atualizar o software nos dispositivos afetados para corrigir as duas vulnerabilidades de 0-day nas versões iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 e Safari 16.4.1.

Ler mais →

* * *

Patch Tuesday da Microsoft inclui um 0-day explorado ativamente

Em sua última atualização de segurança, a Microsoft corrigiu um total de 98 vulnerabilidades que afetam vários de seus produtos, incluindo Microsoft Windows, Office e Edge.

Isso inclui uma vulnerabilidade de 0-day  explorada ativamente que foi registrada como CVE-2023-28252, CVSSv3 de 7.8 de acordo com o fabricante. É uma falha do CLFS que pode ser explorada localmente por agentes mal-intencionados com o objetivo de obter privilégios do SYSTEM.

O restante das falhas críticas de segurança, que foram registradas como CVE-2023-28311, CVE-2023-21554 e CVE-2023-28231, CVE-2023-28219, CVE-2023-28220, CVE-2023-28250,     CVE-2023-28291 também devem ser mencionadas.

As últimas vulnerabilidades CVE-2023-28285, CVE-2023-28295, CVE-2023-28287 e CVE-2023-28311, embora menos críticas do que as demais, merecem destaque e, embora não estejam sendo exploradas ativamente, podem ser facilmente exploradas abrindo documentos maliciosos enviados em possíveis campanhas de phishing futuras.

Ler mais →

* * *

Quadreams acusado de usar spyware contra figuras políticas e jornalistas

Pesquisadores do CitizenLab e a equipe de Threat Intelligence da Microsoft publicaram uma investigação sobre a empresa israelense QuaDreams, que eles acusam de usar spyware contra jornalistas e figuras políticas.

A atividade da empresa seria baseada na venda e distribuição de uma plataforma chamada Reign para entidades governamentais, que a Microsoft descreve como um conjunto de exploits, malware e infraestrutura projetados para extrair informações de dispositivos móveis.

Das técnicas usadas para sua operação, destaca-se o que os pesquisadores suspeitam ser um exploit zero-click para dispositivos iOS, que eles chamaram de ENDOFDAYS, que faria uso de convites invisíveis do iCloud.

A análise teria identificado pelo menos cinco vítimas, que por enquanto permanecem anônimas, na América do Norte, Ásia Central, Sudeste Asiático, Europa e Oriente Médio.

Ler mais →

* * *

Boletim de segurança do Android

O Android lançou seu boletim de segurança para o mês de abril, onde corrige um total de 68 vulnerabilidades.

Entre as vulnerabilidades, as mais importantes são duas detectadas no componente Sistema, que foram catalogadas como CVE-2023-21085 e CVE-2023-21096, ambas com gravidade crítica e que poderiam permitir que um possível invasor executasse uma execução remota de código (RCE) sem a necessidade de privilégios de execução adicionais.

Quatro vulnerabilidades no componente de código fechado da Qualcomm também foram listadas como críticas: CVE-2022-33231, CVE-2022-33288, CVE-2022-33289 e CVE-2022-33302.

Finalmente, uma vulnerabilidade no driver do kernel da GPU Arm Mali, CVE-2022-38181 CVSSv3 8.8, também foi corrigida, que é relatada como tendo sido explorada ativamente .  

Ler mais →

* * *

Falha de design do Azure permite a aquisição de contas

Uma investigação do Orca expôs uma falha de design na Chave Compartilhada do Microsoft Azure que permitiria que um invasor obtivesse acesso a contas do Microsoft Storage.

Embora a Orca tenha publicado uma prova de conceito demonstrando como roubar tokens de acesso de identidades privilegiadas superiores, mover-se lateralmente, acessar ativos críticos de negócios e executar RCE (execução remota de código), o Centro de Resposta de Segurança da Microsoft considerou o problema uma falha de design e não uma vulnerabilidade, por isso não pode fornecer uma atualização de segurança e terá que esperar por um redesign do Azure.

Enquanto isso, é recomendável remover a autorização de chave compartilhada do Azure e, em vez disso, adotar a autenticação do Azure Active Directory como uma estratégia de mitigação.

Ler mais →

Boletim semanal de Cibersegurança 25 – 31 Março

Telefónica Tech    3 abril, 2023

GitHub expôs sua chave de host RSA SSH por engano

O GitHub anunciou na sexta-feira passada que substituiu sua chave de host RSA SSH usada para proteger as operações do Git.

De acordo com a empresa, na semana passada essa chave foi acidentalmente exposta em um repositório público do GitHub, e agiu rapidamente para conter a exposição e iniciou uma investigação para descobrir a causa e o impacto.

Embora essa chave não dê acesso à infraestrutura ou aos dados do usuário do GitHub, essa medida foi tomada para evitar possíveis falsificações. Os usuários são incentivados a excluir a chave e substituí-la pela nova chave.

Ler mais →

* * *

A Apple corrige uma 0-day explorada ativamente

A Apple lançou atualizações de segurança que corrigem uma vulnerabilidade 0-day explorada ativamente em iPhones, macOS e iPads mais antigos.

A falha, identificada como CVE-2023-23529, é um erro de confusão do tipo WebKit, que tem um CVSS de 8,8 e pode levar à execução arbitrária de código, roubo de dados, acesso a dados Bluetooth, etc.

Deve-se notar que, em termos de dispositivos, a vulnerabilidade afeta o iPhone 6s, iPhone 7, iPhone SE, iPad Air 2, iPad mini e iPod touch, além do Safari 16.3 no macOS Big Sur e Monterey, macOs Ventura, tvOS e watchOS. A empresa recomenda a atualização o mais rápido possível para evitar possíveis tentativas de exploração.

Ler mais →

* * *

Ataque à cadeia de suprimentos usando a plataforma de videoconferência 3CX

Pesquisadores de várias empresas de segurança, como SentinelOne, Sophos e CrowdStrike, alertaram para um ataque à cadeia de suprimentos por meio do programa de videoconferência 3CX. 

Enquanto a investigação do ataque ainda está em andamento, ele teria confirmado que afetam as plataformas Windows, onde o aplicativo 3CXDesktopApp comprometido baixaria arquivos ICO do GitHub, finalmente levando à instalação de um malware do tipo stealer. 

As primeiras detecções de comportamento suspeito do aplicativo em soluções de segurança teriam ocorrido em meados deste mês de março de 2023, mas os investigadores identificaram a infraestrutura usada no ataque com datas de registro em fevereiro do ano passado.

A campanha, que o SentinelOne apelidou de SmoothOperator, não teria uma atribuição clara, embora alguns pesquisadores apontem para possíveis conexões com o Labirinto Chollima, parte do grupo norte-coreano Lazarus Group. A 3CX não fez nenhuma declaração sobre a campanha.

Ler mais →

* * *

Análise de campanhas explorando 0-day no Android, iOS e Chrome

O Grupo de Análise de Ameaças do Google publicou um relatório compartilhando detalhes sobre duas campanhas que usaram explorações de 0 dias contra Android, iOS e Chrome.

Na primeira campanha, strings de exploração de 0-day direcionadas para Android e iOS foram detectadas e distribuídas por meio de links encurtados enviados via SMS para usuários localizados na Itália, Malásia e Cazaquistão.

A vulnerabilidade, já corrigida em 2022, que afetava o iOS em versões anteriores à 15.1, é identificada como CVE-2022-42856 e CVSS 8.8, que se refere a um bug de confusão de tipo no compilador JIT que pode levar à execução arbitrária de código.

Por outro lado, o identificado como CVE-2021-30900, com CVSS 7.8, também corrigido, lida com um bug de gravação e escalonamento de privilégios. Quanto à cadeia de exploração do Android, esses usuários direcionados de telefones com uma GPU ARM executando versões anteriores ao 106.

Quanto aos bugs, todos corrigidos, um deles é CVE-2022-3723 (CVSS 8.8), tipo confusão no Chrome; CVE-2022-4135 (CVSS 9.6), estouro de buffer na GPU do Chrome; e CVE-2022-38181 (CVSS 8.8), escalonamento de privilégios. Vale a pena notar que a última vulnerabilidade foi encontrada para ser explorada ativamente.

A segunda campanha, direcionada a dispositivos nos Emirados Árabes Unidos via SMS, consiste em vários 0 dias e n dias visando o navegador da Samsung. O link redireciona os usuários para uma página desenvolvida pelo fornecedor de spyware Variston e explora vulnerabilidades CVE-2022-4262, CVE-2022-3038, CVE-2022-22706 e CVE-2023-0266 .

Ler mais →

Boletim semanal de Cibersegurança 17 – 24 Março

Telefónica Tech    24 marzo, 2023

HinataBot: nova botnet dedicada a ataques DDoS

A equipe de pesquisadores da Akamai publicou um relatório no qual eles identificaram uma nova botnet chamada HinataBot que teria a capacidade de realizar ataques DDoS de mais de 3,3 TB/s.

Especialistas indicaram que esse software malicioso foi descoberto em meados de janeiro, enquanto era distribuído nos honeypots HTTP e SSH da empresa. Especificamente, o HinataBot usa credenciais roubadas de usuário para infectar suas vítimas e explora vulnerabilidades legadas de dispositivos Realtek SDK, CVE-2014-8361, Huawei HG532,  CVE-2017-17215 routers e/ou servidores Hadoop YARN expostos. Posteriormente, uma vez que os dispositivos estão infectados, o malware é executado e será mantido esperando que o servidor de Comando e Controle encaminhe os pedidos.

 O HinataBot ainda está em desenvolvimento e poderia implementar mais exploits e, portanto, expandir seu vetor de entrada para mais vítimas, além de aumentar suas capacidades de realizar ataques com maior impacto.

Ler mais →

* * *

CISA emite oito avisos de segurança sobre sistemas de controle industrial

Recentemente, a CISA publicou oito avisos de segurança alertando sobre vulnerabilidades críticas em sistemas de controle industrial. Em relação a essas novas vulnerabilidades, deve-se notar que elas afetam vários produtos de diferentes empresas, como Siemens, Rockwell Automation, Delta Electronics, VISAM,  Hitachi Energy e Keysight Technologies.

Entre todos eles, destacam-se os que afetam a marca Siemens pelo seu volume, dos quais foram recolhidos três avisos que afetam os seus ativos SCALANCE W-700, dispositivos RADIUS client of SIPROTEC 5  e a família de produtos RUGGEDCOM APE1808  com um total de 25 vulnerabilidades cujo CVSSv3 varia entre 4.1 e  8.2  pontos.

Consequentemente, devido ao seu impacto, destacam-se os avisos do equipamento ThinManager ThinServer da Rockwell Automation, cuja criticidade de uma de suas três falhas atinge um CVSSv3 de 9.8, bem como o ativo InfraSuite Device Master da Delta Electronics, do qual um total de 13 vulnerabilidades foram coletadas.

Ler mais →

* * *

Mispadu: Trojan bancário focado na América Latina

Pesquisadores doMetabase Q Team publicaram um relatório sobre a atual campanha que está sendo desenvolvida em países da América Latina contra usuários de bancos e que usa o Trojan Mispdu. De acordo com o Metabase Q Team, o Trojan se espalhou através de e-mails de phishing carregados com faturas falsas em formato HTML ou PDF com uma senha.

 Outra estratégia envolve comprometer sites legítimos em busca de versões vulneráveis do WordPress para transformá-los em seu servidor C2 e espalhar malware a partir daí. De acordo com a investigação, a campanha começou em agosto de 2022 e continua ativa, afetando usuários de bancos no Chile, México e Peru, principalmente.

Em novembro de 2019, a ESET documentou pela primeira vez a existência do Mispadu (também conhecido como URSA), um malware capaz de roubar dinheiro e credenciais, além de atuar como um backdoor,  tirar capturas de tela e registrar pressionamentos de teclas. 

Ler mais →

* * *

Novas vulnerabilidades de 0-day contra diferentes fabricantes durante o concurso Pwn2Own

O concurso de hackers Pwn2Own está ocorrendo esta semana na cidade canadense de Vancouver até sexta-feira, 24 de março. Após o primeiro dia, os participantes conseguiram mostrar como invadir vários produtos, incluindo o sistema operacional Windows 11, juntamente com o Microsoft Sharepoint, Ubuntu, Virtual Box, Tesla – Gateway e Adobe Reader.

Vale ressaltar que, de acordo com a programação do evento, os pesquisadores de segurança revelarão hoje e amanhã outros 0-day que afetam esses ativos, além de outros como o Microsoft Teams e o VMWare Workstation.

Por último, mas não menos importante, é importante ressaltar que, depois que essas novas vulnerabilidades de 0-day forem demonstradas e divulgadas durante o Pwn2Own, os fornecedores têm 90 dias para lançar patches de segurança para essas falhas de segurança antes que a Zero Day Initiative divulgue as informações publicamente.

Ler mais →

* * *

Vulnerabilidade crítica no WooCommerce Payments corrigida

O pesquisador Michael Mazzolini, da GoldNetwork, relatou uma vulnerabilidade no WooCommerce Payments nesta semana, o que resultou em uma atualização de segurança sendo forçada a ser instalada.

A vulnerabilidade ainda não tem um identificador CVE, embora tenha sido atribuída uma criticidade CVSSv3 de 9.8, sendo uma vulnerabilidade de escalonamento de privilégios e desvio de autenticação, que pode permitir que um invasor não autenticado se passe por um administrador e assuma o controle do site do varejista online. 

Deve-se notar que nenhuma exploração ativa foi detectada até agora, embora o Patchstack tenha alertado que, uma vez que nenhuma autenticação é necessária para a exploração, é provável que seja detectada em um futuro próximo. As versões afetadas variam de 4.8.0 a 5.6.1, e a vulnerabilidade foi corrigida na versão 5.6.2.

Ler mais →

Boletim semanal de Cibersegurança 4 – 10 Março

Telefónica Tech    17 marzo, 2023

Nova versão do Trojan bancário Xenomorph

Pesquisadores do ThreatFabric detectaram uma nova variante do Trojan bancário para Android Xenomorph. Essa família de malware foi detectada pela primeira vez em fevereiro de 2022 e sua criação é atribuída ao Hadoken Security Group.

Xenomorph V3 ou Xenomorph.C, que é como esta nova variante foi classificada, estaria sendo distribuído através da plataforma Zombinder, na loja Google Play, aparecendo como um suposto conversor de moeda, que baixa uma atualização de um aplicativo que finge ser o Google Protect.

Uma das principais novidades desta versão é a introdução de uma estrutura ATS (Automated Transfer Systems) usada para extrair automaticamente credenciais, saldo de conta, iniciar transações, obter tokens MFA e finalizar transferências de fundos.

Ele também adicionou recursos de roubo de cookies. Xenomorph V3 é capaz de atacar mais de 400 instituições bancárias e financeiras, incluindo carteiras de criptomoedas, isso representa um aumento muito significativo no volume de vítimas, já que em sua primeira versão visava apenas 56 bancos europeus.

Deve-se notar também que são instituições bancárias espanholas contra as quais é principalmente dirigido, seguidas pela Turquia, Polônia e Estados Unidos. Finalmente, os pesquisadores apontam que é um dos Trojans mais avançados e perigosos em circulação, e que poderia ser mais ainda, uma vez que provavelmente começará a ser enviado como MaaS

Ler mais →

* * *

Patch Tuesday da Microsoft inclui dois 0-days ativamente explorados

Em sua última atualização de segurança, a Microsoft corrigiu um total de 83 vulnerabilidades que afetam vários de seus produtos, entre os quais o Microsoft Windows, Office, Exchange ou Azure são afetados. Especificamente, nove dessas vulnerabilidades teriam recebido uma pontuação crítica de gravidade, e outras 69 teriam sido classificadas como «importantes».

Dois desses bugs de segurança seriam 0-days ativamente explorados, CVE-2023-23397, uma vulnerabilidade de escalonamento de privilégios no Outlook com uma pontuação CVSSv3 de 9,8, e CVE-2023-24880, uma vulnerabilidade de desvio de recurso de segurança no Windows SmartScreen com uma pontuação CVSSv3 de 5,4.

Ler mais →

* * *

YoroTrooper: novo ator de ameaças focado em ciberespionagem

Pesquisadores do Cisco Talos detectaram um novo agente de ameaças focado na execução de campanhas de ciberespionagem.

O YoroTrooper, que é como os pesquisadores o chamaram, estaria ativo desde pelo menos junho de 2022, embora não tenha sido muito citado até fevereiro de 2023, quando ganhou maior popularidade. Até agora, campanhas da YoroTrooper visando organizações governamentais e de energia foram detectadas em países da Comunidade de Estados Independentes (CEI), além da Organização Mundial da Propriedade Intelectual (OMPI) e de uma agência de saúde da União Europeia.

O vetor de entrada de ataques é através de e-mails de phishing com um anexo malicioso. O YoroTrooper usa vários Trojans de acesso remoto, como AveMaria/Warzone RAT, LodaRAT e um implante Python personalizado. Ele também usa stealers como o Stink Stealer e os frameworks Nuitka ou PyInstaller. Da mesma forma, o Telegram é usado como C2 para comunicações entre operadoras e malware instalado.

Ler mais →

* * *

CISA alerta para a exploração de uma vulnerabilidade 0-day na Adobe e pede a aplicação do patch

A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) alertou para a exploração como 0-day da vulnerabilidade CVE-2023-26360 no Adobe ColdFusion e deu um período de três semanas para todas as agências governamentais aplicarem o patch publicado na quarta-feira pela Adobe.

Embora no Patch Tuesday da Adobe ele tenha afirmado que a vulnerabilidade havia sido explorada de maneira muito limitada, a CISA elevou o nível de alerta descrevendo como urgente e obrigatória a necessidade de aplicar os patches, confirmando assim as palavras de Charlie Arehart, descobridor da vulnerabilidade e que criticou a Adobe pela pouca importância dada à vulnerabilidade, que permite a execução arbitrária de códigos.

Ler mais →

* * *

Vulnerabilidades de 0-day nos chipsets Exynos da Samsung

A equipe de segurança do Google, Project Zero, divulgou em uma publicação a existência de 18 vulnerabilidades de 0-day nos chipsets Exynos da Samsung, usados em dispositivos móveis, laptops e carros.

Quatro dessas falhas são as mais graves; este seria o caso da vulnerabilidade identificada como CVE-2023-24033 e de outras três que ainda não receberam um CVE, cuja exploração permitiria a execução remota de código da Internet para a banda base e para a qual o invasor não precisaria da interação da vítima, apenas seu número de telefone.

Por outro lado, o restante das vulnerabilidades, algumas delas identificadas como CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076, não foram pontuadas como graves , pois exigem que uma operadora de rede móvel maliciosa ou o invasor tenha acesso local ao dispositivo.

Quanto aos dispositivos afetados, a Samsung emitiu uma atualização de segurança indicando quais dispositivos são afetados. Finalmente, em termos de patches, os dispositivos Pixel receberam uma correção para uma das vulnerabilidades, enquanto outros usuários afetados são aconselhados a desativar as chamadas Wi-Fi e Voice-over-LTE.

Ler mais →

Boletim semanal de Cibersegurança 4 – 10 Março

Telefónica Tech    13 marzo, 2023

FBI e CISA Lançam Aviso para Combater o Royal Ransomware

Em 2 de março, o FBI e a CISA lançaram o Cyber Security Advisory #StopRansomware: Royal Ransomware para ajudar a combater este tipo de ransomware, espalhando TTPs e IOCs.

Desde setembro de 2022, muitas empresas de diferentes Setores de Infraestrutura Crítica como indústria, telecomunicações, saúde, educação, entre outros, foram violados com esta variante de ransomware.

O FBI e a CISA acreditam que a Royal usa seu próprio programa de criptografia de arquivos e desativa o antivírus ao obter acesso a um sistema e vaza dados antes de finalmente implementar o ransomware.

Posteriormente, eles solicitam resgates entre um e onze milhões de dólares em Bitcoin e na nota que deixam para as vítimas indicaram um site .onion para estabelecer contato. As organizações são incentivadas a implementar recomendações e atenuações de consultoria para evitar esses ataques.

Ler mais ⇾

* * *

Hiatus: Campanha global contra roteadores corporativos

A equipe da Lumen Black Lotus Labs identificou uma campanha ativa direcionada a routers no nível corporativo. A campanha, que tem sido chamada de «Hiatus», estaria ativa desde julho de 2022 sendo seus alvos roteadores DrayTek Vigor nos modelos 2960 e 3900 com uma arquitetura i386, e que estão no final de sua vida útil.

No momento, o vetor de entrada é desconhecido, embora, uma vez que o roteador é violado, os agentes de ameaças implementam um script bash que baixa e executa dois binários maliciosos: por um lado, HiatusRAT e, por outro, uma variante de tcpdump para captura de pacotes.

De acordo com os pesquisadores, pelo menos 100 vítimas teriam sido detectadas, que teriam se tornado parte da botnet dos atores mal-intencionados, estando localizadas principalmente na Europa, América do Norte e América do Sul.

A Lumen Black Lotus Labs estima que os atores ameaçadores teriam mantido a campanha em baixos níveis de infecção, a fim de evitar a detecção, não atraindo tanta atenção.

Ler mais ⇾

* * *

SYS01stealer: novo infostealer dirigido contra infraestruturas críticas

A equipe de pesquisadores da Morphisec publicou um relatório sobre um novo infostealer visando infraestruturas governamentais críticas que eles apelidaram de SYS01stealer.

Especificamente, os agentes mal-intencionados por trás dessa ameaça tentam atingir contas corporativas do Facebook usando anúncios falsos do Google e perfis do Facebook que fornecem links de download promovendo jogos, conteúdo adulto, software, mas na verdade são maliciosos.

Deve-se notar que, uma vez que a vítima baixa o arquivo .zip e ele é executado, o arquivo continuará a executar um sideload DLL dentro do sistema da vítima. Especialistas observam que o objetivo do SYS01stealer é roubar cookies do navegador e aproveitar sessões autenticadas do Facebook para extrair informações da conta do Facebook da vítima.

O malware também pode carregar arquivos do sistema infectado para o servidor de Comando e Controle e executar comandos enviados por ele.

Ler mais ⇾

* * *

PoC de malware polimórfico usando Inteligência Artificial

Pesquisadores da Hyas construíram uma prova de conceito para a geração de malware polimórfico usando um modelo de linguagem de Inteligência Artificial.

O software criado, que eles chamaram de BlackMamba, é um keylogger polimórfico com a capacidade de modificar seu código durante a execução e sem o uso de infraestruturas de Comando e Controle (C2). O BlackMamba usa um executável benigno para se comunicar com a API OpenAI durante a execução, que fornece o código malicioso necessário para coletar as teclas digitadas do usuário. Sempre que o malware é executado, esse recurso é sintetizado novamente, permitindo que ele evite soluções de segurança.

De acordo com os pesquisadores, sua análise com uma solução EDR bem conhecida não produziu detecção do malware. A exfiltração dos dados coletados pelo malware neste teste é feita via Microsoft Teams, que ele acessa com as credenciais roubadas.

Ler mais ⇾

Boletim semanal de Cibersegurança 25 Fevereiro – 3 Março

Telefónica Tech    3 marzo, 2023

Vulnerabilidades no WordPress Houzez

Um pesquisador de segurança da Patchstack descobriu recentemente duas vulnerabilidades críticas no Houzez, um tema e seu plugin WordPress que permite gerenciar listas de forma fácil e transparente para o cliente.

  • A primeira vulnerabilidade, identificada como CVE-2023-26540 e CVSS 9.8, refere-se a um bug de configuração que afeta a versão 2.7.1 e anterior e pode ser explorada remotamente sem autenticação para escalar privilégios.
  • Por outro lado, o bug identificado como CVE-2023-26009 e CVSS 9.8, afeta o login do Houzez nas versões 2.6.3 e anteriores.

Nos ataques observados pelo Patchstack, os agentes de ameaças distribuíram um backdoor capaz de executar comandos, injetar anúncios no site e redirecionar para sites maliciosos, por isso os pesquisadores recomendam a atualização o mais rápido possível.

Ler mais →

* * *

Digital Smoke: Fraude de Investimento Mundial

A equipe da Resecurity identificou uma rede de fraude de investimento, que teria operado de 2015 até o início de 2023.

Os atores maliciosos por trás dessa rede, que tem sido chamada de «Digital Smoke», operavam se passando por corporações mundialmente famosas, como Verizon, BackRock, Ferrari, Shell ou Barclays, entre outras, para que as vítimas, localizadas em todo o mundo, fizessem investimentos em produtos de investimento falsos. A Digital Smoke desenvolveu uma grande rede de recursos da web e aplicativos móveis hospedados em diferentes provedores de hospedagem e jurisdições.

O modus operandi consistia em registrar domínios semelhantes aos legítimos das empresas personificadas, colocando os links para o registro de novas vítimas em aplicativos de mensagens como WhatsApp e outras redes sociais.

Uma vez que as vítimas se registraram no site ou aplicativo criado pelos agentes mal-intencionados, elas foram solicitadas a fazer um pagamento pelo suposto investimento.

Deve-se notar que os investigadores compartilharam todas as informações disponíveis com o Centro de Coordenação de Crimes Cibernéticos da Índia e as autoridades dos EUA no final de 2022, com a operação sendo descontinuada no início de 2023.

Ler mais →

* * *

Aruba corrige seis vulnerabilidades críticas

A Aruba emitiu um comunicado de segurança informando sobre seis vulnerabilidades críticas que afetam várias versões do ArubaOS.

Os produtos afetados são Aruba Mobility Conductor, Aruba Mobility Controllers e WLAN Gateways e SD-WAN Gateways.

Essas vulnerabilidades podem ser exploradas por um invasor não autenticado para enviar pacotes para o Aruba Access Point Management Protocol (PAPI) pela porta UDP 8211, permitindo que códigos arbitrários sejam executados como usuários privilegiados no ArubaOS.

Ler mais →

* * *

APT-C-36: nova campanha maliciosa contra o Equador e a Colômbia

A equipe de pesquisadores da BlackBerry publicou uma investigação na qual revela a existência de uma nova campanha do APT-C-36, um grupo também conhecido como BlindEagle, contra alvos geolocalizados no Equador e na Colômbia.

Especificamente, nesta campanha, atores mal-intencionados se passaram pela Direção Nacional de Impostos e Alfândegas da Colômbia e pela Receita Federal do Equador com o objetivo de lançar campanhas de phishing direcionadas a indústrias-chave em ambos os países, incluindo saúde, finanças e governo.

Esta informação surge na sequência de outra descoberta feita em janeiro pela empresa Check Point que alertou para uma campanha levada a cabo pelo referido ator e da qual indicou estar interessada em obter ganhos monetários.

No entanto, a BlackBerry indicou que, durante os incidentes mais recentes, os objetivos eram o roubo de informações e a espionagem de suas vítimas.

Ler mais →

* * *

Campanha de cryptojacking contra bancos de dados Redis

Pesquisadores do Cado Labs descobriram uma campanha de cryptojacking que tem como alvo servidores de banco de dados Redis mal configurados. 

A campanha é realizada por meio do transfer.sh, um serviço de transferência de arquivos de código aberto que vem sendo violado desde 2014. O vetor de acesso ocorre explorando uma implementação insegura do Redis, salvando o banco de dados em um diretório cron que leva à execução de comandos arbitrários.

Como o principal objetivo do malware é minerar criptomoedas com o XMRig, ele realiza uma série de medidas para garantir sua eficácia. 

Entre estes, ele libera memória no sistema, remove todos os criptomineradores que possam existir e instala um scanner de rede para encontrar outros servidores Redis vulneráveis e espalhar a infecção.

Ler mais →

Boletim semanal de Cibersegurança 18 – 24 Fevereiro

Telefónica Tech    24 febrero, 2023

Fortinet corrige vulnerabilidades críticas no FortiNAC e FortiWeb

A Fortinet emitiu um comunicado de segurança abordando duas vulnerabilidades críticas que afetam seus produtos FortiNAC e FortiWeb.

Especificamente, essas falhas de segurança foram registradas como CVE-2022-39952, com um CVSSv3 de 9.8, que afeta o FortiNAC e pode permitir que um invasor não autenticado execute código ou comandos não autorizados por meio de uma solicitação HTTP especialmente criada.

Além disso, a outra vulnerabilidade identificada como CVE-2021-42756, com um CVSSv3 de 9.3, afeta o FortiWeb e sua exploração pode permitir que um invasor remoto não autenticado execute código arbitrário por meio de solicitações HTTP projetadas para tais fins.

Deve-se notar que a Fortinet recomenda que os usuários afetados atualizem, por um lado, o FortiNAC para as versões 9.4.1, 9.2.6, 9.1.8 e 7.2.0. e, por outro lado, no que diz respeito à FortiWeb, atualize para 7.0.0, 6.3.17, 6.2.7, 6.1.3 e 6.0.8 ou posterior.

Ler mais →

* * *

Credenciais de acesso expostas de dois grandes operadores de data center

A equipe de Resecurity publicou uma investigação sobre a venda de credenciais de acesso de duas operadoras de data center na Ásia, a saber, GDS Holdings Ltd. (China) e ST Telemedia Global Data Centers (Cingapura).

Os incidentes de segurança, dos quais ainda não foi esclarecido como ocorreram, ocorreram em 2021, no entanto, eles não foram conhecidos publicamente até agora, quando em 20 de fevereiro os dados roubados foram publicados em um fórum subterrâneo.

Entre os dados exfiltrados estariam credenciais, e-mails, números de telefone ou referências de carteira de identidade, estimando um comprometimento de mais de 3.000 registros no total. Indiretamente, além disso, grandes corporações globais que utilizavam esses data centers foram comprometidas, expondo logins de empresas como Apple, BMW, Amazon, Walmart, Alibaba, Microsoft ou Ford Motor, entre outras.

Deve-se notar que ambos os data centers forçaram seus clientes em janeiro passado a alterar senhas, embora a Resecurity tenha confirmado várias tentativas de acessar diferentes portais de clientes.

Finalmente, deve-se notar que os investigadores também não foram capazes de atribuir esses ataques a nenhum grupo específico.

Ler mais →

* * *

Aplicativos falsos do ChatGPT usados para distribuir malware

Os pesquisadores da Kaspersky alertam para a existência de uma versão falsa do ChatGPT para desktop do Windows usada para distribuição de malware.

Aproveitando a crescente popularidade do chatbot OpenAI, os autores desta campanha estariam usando contas nas redes sociais anunciando a plataforma e incluindo um link para o suposto site de download. 

Alguns dos perfis identificados pela Kaspersky também ofereceram contas de teste para aumentar o interesse de suas potenciais vítimas. Uma vez que o download é feito, uma mensagem de erro é exibida avisando de um problema na instalação, enquanto, na realidade, um Trojan com recursos de infostealer que eles chamaram de «Fobo» teria sido baixado. 

A equipe de inteligência da Cyble também investigou essa mesma campanha distribuindo outras famílias de malware, como os stealers Lumma e Aurora. O pesquisador de segurança Dominic Alvieri também publicou sobre outros casos de campanhas que distribuem o stealer RedLine.

Ler mais →

* * *

Vulnerabilidades nos produtos VMware

A VMware emitiu dois avisos de segurança alertando sobre duas vulnerabilidades críticas que afetam vários produtos VMware:

  1. A falha de segurança mais crítica foi registrada como CVE-2023-20858, com um CVSSv3 de 9,1 de acordo com o fabricante, o que afeta o Carbon Black App Control.
    • A exploração desta vulnerabilidade pode permitir que um agente mal-intencionado use uma entrada especialmente criada no console de administração do Controle de Aplicativos que permita o acesso ao sistema operacional do servidor.
  2. Outra vulnerabilidade registrada como CVE-2023-20855 foi publicada, com um CVSSv3 de 8.8 de acordo com o fabricante, o que afeta os produtos vRealize Orchestrator, vRealize Automation e Cloud Foundation.
    • Nesse caso, um agente mal-intencionado pode usar entradas especialmente criadas para ignorar restrições de análise XML que encerram o acesso a informações confidenciais ou permitem o escalonamento de privilégios nos sistemas afetados.

Ler mais →

* * *

Campanha de phishing via PayPal

Pesquisadores da Avanan relataram uma nova campanha de phishing enviada da plataforma PayPal.

Os agentes mal-intencionados estão aproveitando a facilidade de criar contas PayPal gratuitas, que oferecem a capacidade de criar e enviar faturas para vários destinatários de uma só vez.

Dessa forma, as mensagens recebidas pelas vítimas vêm diretamente do domínio PayPal, contornando possíveis detecções de segurança.

Na campanha detectada, foram observadas várias mensagens em que as vítimas são informadas de que a sua conta foi debitada e que, caso não tenha sido autorizada, devem ligar para um número de telefone. Esse número de telefone não está associado a PayPal e, ao ligar para ele, os invasores obtêm o número de telefone das vítimas e outros detalhes pessoais, que podem ser usados em futuros ataques.

Devido à dificuldade de implementar medidas de segurança para bloquear esses e-mails, os pesquisadores recomendam pesquisar o número de telefone na Internet para ver se ele está ou não relacionado a PayPal.

Ler mais →

Boletim semanal de Cibersegurança 11 – 17 Fevereiro

Telefónica Tech    17 febrero, 2023

Apple corrige 0-day explorado ativamente

A Apple emitiu vários avisos de segurança para corrigir uma vulnerabilidade de 0-day explorada ativamente. A falha de segurança, listada como CVE-2023-23529, é uma confusão de tipo no WebKit do navegador que pode ser usada por um possível invasor para executar código arbitrário em dispositivos vulneráveis depois de abrir uma página da Web maliciosa criada para tais fins.

Essa falha afeta dispositivos mais antigos e mais recentes, sendo corrigida no iOS 16.3.1 e iPadOS 16.3.1, macOS Ventura 13.2.1 e Safari 16.3.1. Por outro lado, a Apple também corrigiu uma vulnerabilidade no kernel que permite a execução remota de código, registrada como CVE-2023-23514, que afetou dispositivos macOS Ventura e vários modelos de iPhone e iPad.

Por fim, uma vulnerabilidade que pode permitir o acesso a dados de usuário desprotegidos que afetam o macOS Ventura foi identificada como CVE-2023-23522.

Ler mais →

* * *

Microsoft corrige 75 vulnerabilidades em seu Patch Tuesday, incluindo 3 0-days

A Microsoft corrigiu 75 vulnerabilidades em vários produtos, incluindo Microsoft Windows, Office, Exchange e Azure em sua última atualização de segurança.

Nove dessas vulnerabilidades receberam uma pontuação crítica de gravidade e outras 66 foram classificadas como «importantes».

Três desses bugs de segurança seriam explorados ativamente por 0-day: CVE-2023-21823, uma vulnerabilidade de execução remota de código no Windows Graphics Component com uma pontuação CVSSv3 de 7,8; CVE-2023-21715, uma vulnerabilidade de desvio de recurso de segurança no Microsoft Publisher com uma pontuação CVSSv3 de 7,3 e CVE-2023-23376, uma vulnerabilidade de escalonamento de privilégios no Driver do Sistema de Arquivos de Log Comum do Windows com uma pontuação CVSSv3 de 7,8.

Ler mais →

* * *

Ciberataque contra vários sites da OTAN

Um funcionário da OTAN confirmou à agência de notícias DPA que a organização estava investigando um ataque cibernético em vários sites da OTAN. O ataque ocorreu na noite de domingo e desativou vários sites da OTAN, incluindo o do Quartel-General de Operações Especiais da OTAN.

O ataque foi supostamente uma ação hacktivista politicamente motivada em favor de uma das partes no conflito atual, já que um canal do Telegram de um grupo hacktivista postou uma mensagem pedindo ajuda de colegas hackers para atacar todas as unidades da OTAN.

Outros canais hacktivistas também publicaram evidências de ativos inoperantes da OTAN, como o site do Comando Militar e o site do Centro Militar Conjunto, entre outros.

Ler mais →

* * *

Mozilla emite atualizações de segurança para Firefox 110 e Firefox ESR

A Mozilla emitiu dois alertas de segurança sobre correções de vulnerabilidades no Firefox110 e FirefoxESR.

A maioria dessas vulnerabilidades, ainda pendentes de classificação CVSS, foram categorizadas pelo fornecedor como de alto impacto.  Sua exploração pode levar um invasor a realizar ataques de falsificação; acessar informações confidenciais, incluindo credenciais NTLM; evadir mecanismos de segurança ou executar código arbitrário, entre outros comportamentos.

O fornecedor recomenda a atualização para a versão mais recente do Firefox 110 e Firefox ESR 102.8. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu uma notificação informando sobre essas atualizações e solicitando aos usuários e administradores que implementem as medidas necessárias. 

Ler mais →

* * *

Vulnerabilidades nos modelos PLC da Schneider Electric

A equipe de pesquisadores da Vedere Labs da Forescout publicou uma análise de duas vulnerabilidades críticas que afetam vários modelos de CLP da Schneider Electric.

Essas falhas de segurança são as registradas como CVE-2022-45789, com um CVSSv3 9.8, que permite um bypass de autenticação que pode causar a execução de funções Modbus não autorizadas no controlador sequestrando uma sessão Modbus autenticada.

Além disso, a vulnerabilidade registrada como CVE-2022-45788, que também recebeu um CVSSv3 de 9.8, pode ser explorada para execução remota de código, causar um ataque de negação de serviço e resultar em perda de confidencialidade e integridade de dados ao executar comandos Modbus UMAS CSA não documentados.

Os pesquisadores indicam que os agentes maliciosos podem explorá-los em cadeia para alcançar o movimento lateral na rede da vítima. As versões afetadas incluem todas as versões do EcoStruxure Control Expert e do Modicon Unity PLC, bem como a versão do EcoStruxure Process Expert V2020.

Ler mais →