Boletim semanal de Cibersegurança 15 – 21 Abril

Google corrige duas novas vulnerabilidades de 0-day exploradas ativamente

O Google emitiu novos avisos de segurança sobre a identificação de vulnerabilidades de 0-day que afeta o navegador Chrome que está sendo exploradas ativamente.

Por um lado, a falha de segurança foi relatada como CVE-2023-2033. Esta vulnerabilidade deve-se a uma falha no motor JavaScript do Chrome V8 que pode permitir que um agente malicioso explore remotamente a vulnerabilidade através de uma página HTML especialmente concebida para o efeito.

Por outro lado, a falha de segurança, CVE-2023-2136, está na biblioteca de gráficos 2D multiplataforma, Skia, e, se explorada, pode levar a renderização incorreta de gráficos, corrupção de memória ou execução remota de código que resulta em acesso não autorizado ao sistema.

Ler mais →

Amostras de LockBit encontradas visando sistemas macOS

O MalwareHunterTeam encontrou uma amostra de um arquivo LockBit que contém a capacidade de infectar vários sistemas operacionais, incluindo, pela primeira vez, o macOS da Apple.

MalwareHunterTeam destaca que este é um marco notável, porque também é a primeira vez que há conhecimento de um dos grandes grupos de ransomware criando malware voltado especificamente para o macOS.

O arquivo encontrado inclui um criptografador chamado ‘locker_Apple_M1_64’, para dispositivos Apple mais recentes e outro para CPUs PowerPC, usado pelo macOS mais antigo.

Uma análise aprofundada do arquivo mostra que, no momento, é uma versão inicial dessa cepa do LockBit e que não poderia ser usada em um ataque real, mas mostra o interesse desse ransomware em atacar dispositivos macOS em breve.

Ler mais →

Nova campanha QBot identificada

Pesquisadores de segurança publicaram uma análise dos TTPs usados em uma nova campanha do conhecido malware Qbot , que agora infectaria suas vítimas através do uso de arquivos PDF e Windows Script Files (WSF).

Essa campanha de phishing é distribuída usando e-mails que usam threads de e-mail legítimos e contêm um anexo PDF que, quando aberto, baixará um arquivo ZIP contendo um arquivo WSF. Esse arquivo tem como objetivo final executar um script no PowerShell, com o qual se trata de baixar uma DLL QBot.

Notavelmente, vários players como BlackBasta, REvil, PwndLocker, Egregor, ProLock e MegaCortex usaram o Qbot para acesso inicial a redes corporativas. Esse acesso inicial é feito implantando payloads adicionais como Cobalt Strike, Brute Ratel e outros malwares que permitem o acesso ao dispositivo comprometido.

Ler mais →

Nova PoC permite bypassar VM2 sandbox

Pesquisadores de segurança publicaram uma nova PoC capaz de bypassar VM2 sandbox, amplamente utilizado no mundo do desenvolvimento e segurança para executar e testar código não confiável em um ambiente isolado.

Esse desvio permitiria que o malware fosse executado fora das limitações do ambiente de área restrita. A primeira vulnerabilidade foi identificada como CVE-2023-29017 há duas semanas e as duas últimas identificadas como CVE-2023-29199 e CVE-2023-30547.

Esta última vulnerabilidade, com um CVSS de 9.8, pode ser explorada por agentes mal-intencionados devido a uma falha de limpeza que permite ao invasor lançar uma exceção de host dentro de «handleException()».

Os usuários são aconselhados a corrigir a vulnerabilidade para atualizar para a versão 3.9.17 o mais rápido possível para evitar um possível incidente de segurança.

Ler mais →

Vulnerabilidades críticas nos bancos de dados PostgreSQL do Alibaba Cloud

Pesquisadores de segurança da Wiz publicaram um artigo revelando duas vulnerabilidades críticas nos bancos de dados PostgreSQL do Alibaba Cloud.

De acordo com os pesquisadores, essas falhas permitiram o acesso não autorizado aos bancos de dados PostgreSQL dos clientes do Alibaba Cloud, o que poderia levar a um ataque à cadeia de suprimentos e à execução remota de código.

Deve-se notar que as vulnerabilidades, que foram chamadas de BrokenSesame, foram relatadas ao Alibaba Cloud em dezembro de 2022, que implantou mitigações em 12 de abril, embora não haja evidências de exploração.

Em conclusão, essa é uma falha que permitiria o escalonamento de privilégios no AnalyticDB e outra para a execução remota de código no ApsaraDB RDS.

Ler mais →