Boletim semanal de Cibersegurança 25 – 31 Março

GitHub expôs sua chave de host RSA SSH por engano

O GitHub anunciou na sexta-feira passada que substituiu sua chave de host RSA SSH usada para proteger as operações do Git.

De acordo com a empresa, na semana passada essa chave foi acidentalmente exposta em um repositório público do GitHub, e agiu rapidamente para conter a exposição e iniciou uma investigação para descobrir a causa e o impacto.

Embora essa chave não dê acesso à infraestrutura ou aos dados do usuário do GitHub, essa medida foi tomada para evitar possíveis falsificações. Os usuários são incentivados a excluir a chave e substituí-la pela nova chave.

Ler mais →

* * *

A Apple corrige uma 0-day explorada ativamente

A Apple lançou atualizações de segurança que corrigem uma vulnerabilidade 0-day explorada ativamente em iPhones, macOS e iPads mais antigos.

A falha, identificada como CVE-2023-23529, é um erro de confusão do tipo WebKit, que tem um CVSS de 8,8 e pode levar à execução arbitrária de código, roubo de dados, acesso a dados Bluetooth, etc.

Deve-se notar que, em termos de dispositivos, a vulnerabilidade afeta o iPhone 6s, iPhone 7, iPhone SE, iPad Air 2, iPad mini e iPod touch, além do Safari 16.3 no macOS Big Sur e Monterey, macOs Ventura, tvOS e watchOS. A empresa recomenda a atualização o mais rápido possível para evitar possíveis tentativas de exploração.

Ler mais →

* * *

Ataque à cadeia de suprimentos usando a plataforma de videoconferência 3CX

Pesquisadores de várias empresas de segurança, como SentinelOne, Sophos e CrowdStrike, alertaram para um ataque à cadeia de suprimentos por meio do programa de videoconferência 3CX. 

Enquanto a investigação do ataque ainda está em andamento, ele teria confirmado que afetam as plataformas Windows, onde o aplicativo 3CXDesktopApp comprometido baixaria arquivos ICO do GitHub, finalmente levando à instalação de um malware do tipo stealer. 

As primeiras detecções de comportamento suspeito do aplicativo em soluções de segurança teriam ocorrido em meados deste mês de março de 2023, mas os investigadores identificaram a infraestrutura usada no ataque com datas de registro em fevereiro do ano passado.

A campanha, que o SentinelOne apelidou de SmoothOperator, não teria uma atribuição clara, embora alguns pesquisadores apontem para possíveis conexões com o Labirinto Chollima, parte do grupo norte-coreano Lazarus Group. A 3CX não fez nenhuma declaração sobre a campanha.

Ler mais →

* * *

Análise de campanhas explorando 0-day no Android, iOS e Chrome

O Grupo de Análise de Ameaças do Google publicou um relatório compartilhando detalhes sobre duas campanhas que usaram explorações de 0 dias contra Android, iOS e Chrome.

Na primeira campanha, strings de exploração de 0-day direcionadas para Android e iOS foram detectadas e distribuídas por meio de links encurtados enviados via SMS para usuários localizados na Itália, Malásia e Cazaquistão.

A vulnerabilidade, já corrigida em 2022, que afetava o iOS em versões anteriores à 15.1, é identificada como CVE-2022-42856 e CVSS 8.8, que se refere a um bug de confusão de tipo no compilador JIT que pode levar à execução arbitrária de código.

Por outro lado, o identificado como CVE-2021-30900, com CVSS 7.8, também corrigido, lida com um bug de gravação e escalonamento de privilégios. Quanto à cadeia de exploração do Android, esses usuários direcionados de telefones com uma GPU ARM executando versões anteriores ao 106.

Quanto aos bugs, todos corrigidos, um deles é CVE-2022-3723 (CVSS 8.8), tipo confusão no Chrome; CVE-2022-4135 (CVSS 9.6), estouro de buffer na GPU do Chrome; e CVE-2022-38181 (CVSS 8.8), escalonamento de privilégios. Vale a pena notar que a última vulnerabilidade foi encontrada para ser explorada ativamente.

A segunda campanha, direcionada a dispositivos nos Emirados Árabes Unidos via SMS, consiste em vários 0 dias e n dias visando o navegador da Samsung. O link redireciona os usuários para uma página desenvolvida pelo fornecedor de spyware Variston e explora vulnerabilidades CVE-2022-4262, CVE-2022-3038, CVE-2022-22706 e CVE-2023-0266 .

Ler mais →