Vulnerabilidade crítica no Servidor Bitbucket Atlassian e data center

A Atlassian alertou recentemente seus usuários sobre uma nova vulnerabilidade crítica que afeta o software do Servidor Bitbucket Server e Data Center, que deve ser corrigido de forma imediata. A falha, CVE-2022-36804, tem um CVSS v3 de 9.9 de acordo com a Atlassian, e permite a injeção de comando através de solicitações http especialmente trabalhadas, que abrem caminho para execução remota de código.

A exploração da vulnerabilidade não é complexa e não requer privilégios elevados. O invasor só precisaria de direitos de leitura em repositórios públicos ou privados e nunca precisaria interagir com o usuário. As versões do Bitbucket Server e data centers afetadas pela falha são todas de 6.10.17 para 8.3.0, e patches já foram publicados para as versões 7.6.17, 7.17.10, 7.21.4, 8.0.3, 8.1.3, 8.2.2 e 8.3.1. As versões 6.X não serão corrigidas.

Para todos os usuários que não podem corrigir esse problema no momento, a Atlassian recomenda fechar temporariamente os repositórios públicos. Enquanto isso, Max Garret, o pesquisador que encontrou essa vulnerabilidade e relatou à Atlassian, prometeu entregar um PoC em 30 dias , e alegou que o patch da Atlassian não deve ser muito difícil de contornar.

Ler mais →

* * *

Intellexa oferece uma exploração de 0-day para iOS e Android

Um documento da empresa israelense Intellexa foi recentemente vazado, enviado no Twitter pelo perfil da VX-underground, mostra uma oferta comercial de um spyware por um preço de 8 milhões de euros.

O spyware funciona na versão 15.4.1 do iOS e na versão 12 do Android e, por se trata de um 0-day, é improvável que seja corrigido e não funcione em nenhuma das novas versões desses sistemas operacionais. Essa exploração permite acesso remoto aos dados dos dispositivos impactados. O vetor de ataque de infecção, de acordo com o documento, seria um link que precisa ser clicado para injetar a carga no dispositivo.

Além disso, a oferta inclui uma garantia de um ano, uma plataforma para analisar os dados extraídos, bem como dez tipos de infecções simultâneas e um catálogo de centenas de outras infecções bem-sucedidas como exemplos.

Ler mais →

* * *

Uso de vulnerabilidades log4j contra alvos em Israel

A Microsoft publicou detalhes de uma investigação recente realizada em seu Centro de Inteligência de Ameaças (MSTIC), que informa sobre uma onda de ataques do MuddyWater (apelidado de Mercury pela Microsoft) ator de ameaças contra alvos em Israel.

De acordo com os pesquisadores, este ator tem usado a popular vulnerabilidade Log4shell para comprometer o software sem retch. Desta vez, os ataques foram direcionados principalmente ao SysAid, um programa de gerenciamento de TI, em vez de atacar o software WMware, como tem sido tradicionalmente usado nesses ataques.

MuddyWater explorou as vulnerabilidades como ponto inicial de entrada no sistema da vítima, no qual eles então executariam web shells para executar diferentes comandos maliciosos, criar usuários com privilégios administrativos, roubar credenciais via Mimikatz e mover-se lateralmente através de ferramentas como RemCom ou Windows Management Instrumentation.

Para evitar esses ataques, a Microsoft recomenda a aplicação dos patches para este conjunto de vulnerabilidades, já disponíveis desde janeiro de 2022.

Ler mais →

* * *

Mais de 1.000 aplicativos para iOS encontrados expondo credenciais AWS criptografadas

Pesquisadores da equipe de Threat Hunting da Symantec detectaram cerca de 2.000 aplicativos móveis contendo credenciais AWS (Amazon Web Services) criptografadas. A maioria dos aplicativos (1.856) corresponde ao sistema iOS, enquanto apenas 37 pertencem ao Android. 77% dos aplicativos foram confirmados para incluir tokens de acesso AWS válidos que poderiam ser usados para acessar diretamente serviços privados em nuvem.

Além disso, esses tokens AWS válidos podem ser usados por um invasor para acessar instâncias de nuvem onde bancos de dados de serviços ativos contendo milhões de registros, incluindo detalhes de contas de usuário, comunicações internas e outros dados confidenciais, estão localizados, dependendo do tipo de aplicativo.

A pesquisa da Symantec tem o objetivo de alertar os desenvolvedores de aplicativos móveis sobre os perigos de excesso de confiança ou práticas inseguras que expõem as credenciais da AWS, o que poderia tornar a cadeia de fornecimento de aplicativos móveis vulnerável, bem como abrir a porta para atores mal-intencionados para bancos de dados privados, levando a possíveis violações de dados e exposição de dados pessoais dos usuários finais

Ler mais →

* * *

Google corrige 24 vulnerabilidades no Chrome

O último boletim de segurança do Google corrigiu 24 vulnerabilidades, incluindo uma falha crítica (CVE-2022-3038), e adicionou o sistema de desinfetante para proteger os usuários de ataques de injeção XSS. A maioria das vulnerabilidades corrigidas foi devido a problemas de gerenciamento de memória, com falhas de estouro de buffer sem uso e buffer que impactaram complementos como WebUI e Captura de tela.

O Google também corrigiu várias políticas de segurança e vulnerabilidades de implementação incorretas. Vale ressaltar que, embora não haja evidências de que essas vulnerabilidades estão sendo ativamente exploradas, há uma grave vulnerabilidade não recorrida que afeta a área de transferência do sistema operacional através de navegadores baseados em Chromium, e que ela pode ser explorada sem autorização ou interação do usuário.

O Google também recomenda a instalação da versão mais recente do navegador para corrigir essas falhas.

 Ler mais →

Lightning Framework: novo malware direcionado a ambientes Linux

A equipe de pesquisadores da Intezer publicou informações sobre um novo tipo de malware que afeta ambientes Linux e que eles chamaram de Lightning Framework. Embora os pesquisadores não tenham localizado uma amostra completa e alguns detalhes do malware ainda sejam desconhecidos, algumas de suas características foram analisadas.

É um malware avançado que é instalado no sistema da vítima através de um download que baixará todos os seus módulos e plugins. A partir daí, o malware se passa pelo gerenciador de senhas do GNOME para se conectar a um servidor polimórfico de Comando & Controle e baixar mais componentes.

Outras funcionalidades são a manipulação de timestamps e IDs de processos, a criação de um script com o nome «elastisearch» para criar persistência e implantação de um backdoor criando seu próprio servidor SSH. Como apontado pelo Bleeping Computer, o Lightning Framework é o mais recente de uma onda crescente de variantes de malware que atacam sistemas Linux, após detecções recentes de outros casos como OrBit, Symbiote, BPFDoor ou Syslogk.

Ler mais →

* * *

Cisco corrige várias vulnerabilidades

A Cisco liberou patches de segurança para corrigir 45 vulnerabilidades (três críticas, uma categorizada como alta e 41 de média gravidade) que afetaram vários produtos.

Dos bugs corrigidos, três se destacam, catalogados como CVE-2022-20857 CVSS 9.8, CVE-2022-20858 CVSS 9.8 e CVE-2022-20861 CVSS 9.8, que afetou a solução de gerenciamento de data center Cisco Nexus Dashboard e poderia permitir que um invasor remoto não autenticado executasse comandos arbitrários e executasse ações com privilégios raiz ou administrador. 

Ele também destaca outra falha de alta gravidade, catalogada como CVE-2022-20860 CVSS 7.4, na implementação SSL/TLS do Cisco Nexus Dashboard que poderia permitir que um invasor remoto não autenticado alterasse as comunicações interceptando o tráfego em ataques man-in-the-middle.

Embora essas falhas não sejam conhecidas por serem exploradas ativamente, a Cisco insta os usuários de dispositivos afetados a aplicar patches o mais rápido possível.

Ler mais →

* * *

Luna: Novo ransomware voltado para Windows, Linux e ESXi

Pesquisadores de segurança da Kaspersky descobriram em um fórum de ransomware na dark web uma nova família de ransomware baseada na linguagem de programação Rust, apelidada de Luna.

Este novo ransomware parece ter recursos para criptografar dispositivos usando vários sistemas operacionais, incluindo sistemas Windows, Linux e ESXi. De acordo com os especialistas da Kaspersky, a Luna atualmente parece ser um simples ransomware em desenvolvimento e, por enquanto, limitado apenas às opções de linha de comando.  

No entanto, seu esquema de criptografia é incomum, combinando a troca de chaves X25519 segura da curva elíptica Diffie-Hellman, usando o Curve25519 com o algoritmo de criptografia simétrica Advanced Encryption Standard (AES).

Da mesma forma, a tendência de usar uma linguagem multiplataforma como rust, denota a corrente usada pelas bandas de cibercriminosos que desenvolvem ransomware capaz de atingir múltiplos sistemas operacionais, sem fazer grandes esforços e adaptações para cada objetivo.

De acordo com a pesquisa, não se sabe dados sobre possíveis vítimas dessa família ransomware, uma vez que seus operadores acabaram de ser descobertos e sua atividade ainda está sendo monitorada.

Ler mais →

* * *

Atlassian corrige falha crítica em credenciais codificadas de Confluence

A Atlassian lançou uma atualização de segurança na qual corrigiu uma vulnerabilidade crítica em Credenciais Criptografadas no Servidor de Confluence e no Data Center que poderia permitir que invasores remotos não autenticados façam logon em servidores vulneráveis.

Especificamente, a senha criptografada é adicionada após a instalação do aplicativo Perguntas para Confluence (versões 2.7.34, 2.7.35 e 3.0.2) para uma conta com o nome de usuário do sistema desativado, projetado para ajudar os administradores com a migração de dados de aplicativos para a nuvem Confluence.

A conta desativada do sistema é criada com uma senha criptografada e adicionada ao grupo de usuários de confluência, que permite visualizar e editar todas as páginas irrestritas dentro da Confluence por padrão. Portanto, explorar essa vulnerabilidade, classificada como CVE-2022-26138, permitiria que um invasor faça login e acesse qualquer página a que o grupo de usuários de confluência tenha acesso.

No momento, a exploração ativa dessa falha não foi observada e, a partir da Atlassian, afirmam que esse aplicativo, que ajuda a melhorar as comunicações internas, seria instalado em mais de 8.000 servidores de Confluence. Para corrigir este bug, recomenda-se atualizar para as versões corrigidas (2.7.38 ou superior a 3.0.5), ou desativar ou excluir a conta desativada do sistema, uma vez que a desinstalação do aplicativo Perguntas para Confluence não seria suficiente.

Ler mais →

* * *

CloudMensis: Novo malware direcionado ao macOS

Um grupo de pesquisadores da ESET descobriu um novo malware que seria usado para implementar backdoors e extrair informações em dispositivos macOS. Este software malicioso foi inicialmente detectado em abril de 2022 pela equipe da ESET e tem sido referido como CloudMensis.

Um de seus recursos a destacar é o uso de serviços de armazenamento em nuvem, como DropBox, Yandex Disk ou pCloud para comunicação com seus servidores de comando e controle (C2). O CloudMensis também consegue executar código no sistema de destino e obter privilégios de administrador para executar uma segunda fase mais funcional que coleta informações como anexos de e-mail, capturas de tela, extração de documentos, digitações e outros dados confidenciais.

Da mesma forma, no momento não se sabe como ele é distribuído e qual é o vetor de infecção, bem como quem seriam os alvos finais deste malware e do ator de ameaças a que atribuir essa atividade.

Ler mais → 

Rozena: backdoor distribuído explorando a vulnerabilidade follina

A equipe de pesquisadores da Fortinet publicou a análise de uma campanha maliciosa na qual eles detectaram a distribuição de um novo backdoor aproveitando a vulnerabilidade conhecida chamada Follina (CVE-2022-30190).  

Especificamente, este novo software malicioso recebeu o nome de Rozena e sua principal função é injetar um shell reverso no host do invasor, permitindo que atores mal-intencionados assumam o controle do sistema da vítima, bem como permitir o monitoramento e captura de informações, e/ou manter um backdoor para o sistema comprometido.

Em relação à metodologia utilizada para executar a infecção, isso consiste na distribuição de documentos de escritório maliciosos, que, quando executados, eles se conectam a uma URL do Discord que recupera um arquivo HTML que, por sua vez, invoca a vulnerável ferramenta de diagnóstico de suporte do Microsoft Windows (MSDT), resultando no download da carga útil,  em que Rozena está incluído.

Ler mais →

* * *

Microsoft corrige um 0-day  ativamente explorado

A Microsoft divulgou recentemente seu boletim de segurança para o mês de julho, onde corrige um total de 84 vulnerabilidades, incluindo 0-day ativamente explorado.

Do total de falhas detectadas, 5 corresponderiam a vulnerabilidades de negação de serviço, 11 vulnerabilidades de divulgação de informações, 4 vulnerabilidades de desvio de recursos de segurança, 52 elevação de vulnerabilidades de privilégios e 12 vulnerabilidades de execução remota de código. Dentro deste último tipo é onde as quatro vulnerabilidades classificadas como críticas (CVE-2022-30221, CVE-2022-22029, CVE-2022-22039, CVE-2022-22038) estão localizados, sendo que o resto das vulnerabilidades é de alta gravidade.

Notavelmente, o 0-day, catalogado como CVE-2022-22047 com um CVSSv3 7.8, descoberto pelo Microsoft Threat Intelligence Center (MSTIC) e pelo Microsoft Security Response Center (MSRC), envolve uma elevação do Windows CSRSS de vulnerabilidade de privilégio, o que poderia permitir que um invasor obtenha privilégios do SISTEMA.

De acordo com a Microsoft, a exploração ativa dessa falha teria sido detectada embora no momento não tenham sido fornecidos mais detalhes a esse respeito, por isso é recomendável aplicar os patches o mais rápido possível. A CISA [7] também adicionou essa vulnerabilidade ao seu catálogo de vulnerabilidades ativamente exploradas.

Ler mais →

* * *

Vulnerabilidade na autenticação de um componente AWS Kubernetes

O pesquisador de segurança Gafnit Amiga descobriu várias falhas de segurança no processo de autenticação do AWS IAM Authenticator, um componente para Kubernetes usado pelo Amazon Elastic Kubernetes Service (EKS)

 A falha está na validação incorreta dos parâmetros de consulta dentro do plugin autenticador ao configurar o uso do parâmetro «AccessKeyID» do modelo dentro das sequências de consulta. Explorá-lo poderia permitir que um invasor escapasse da proteção existente contra ataques repetidos ou obtenha as mais altas permissões no cluster, posando como outras identidades; ou seja, escalar privilégios dentro do cluster Kubernetes.

Segundo o pesquisador, duas das falhas identificadas existem desde o primeiro lançamento de 2017, enquanto a terceira, que permite o roubo de identidade, é explorável a partir de setembro de 2020. As decisões como um todo foram identificadas como CVE-2022-2385 e receberam alta criticidade. Por sua vez, a AWS confirmou que desde 28 de junho todos os clusters EKS foram atualizados com uma nova versão do IAM Authenticator onde o problema é resolvido. Os clientes que gerenciam seus próprios clusters e que usam o parâmetro «AccessKeyID» do plug-in autenticador devem atualizar para a AWS IAM Authenticator para a versão 0.5.0 da Kubernetes.

Ler mais →

* * *

VMware corrige vulnerabilidade em vCenter Server

A VMware lançou recentemente uma nova versão do vCenter Server 7.0 3f no qual corrige, oito meses depois, uma vulnerabilidade no mecanismo de autenticação integrada com o Windows descoberto pelo Crowdstrike e com o CVE-2021-22048.

Essa falha só pode ser explorada a partir da mesma rede física ou lógica na qual o servidor afetado está, e embora seja um ataque complexo, requer poucos privilégios e não precisa de interação do usuário. No entanto, o NIST sugere que ele poderia ser explorado remotamente.

As versões do vCenter Server afetadas pela vulnerabilidade são 6.5, 6.7 e 7.0. Para aqueles que não podem atualizar para a versão mais recente já corrigida, a empresa forneceu medidas de mitigação que incluem a mudança para um modelo de autenticação do Active Directory sobre LDAP. O CVE-2021-22048 também afeta as versões 3 e 4 da WMware Cloud Foundation, que não foram corrigidas por enquanto.

Ler mais →

* * *

Campanha de phishing através Anubis Network

A mídia portuguesa IT Security publicou detalhes sobre uma nova onda da persistente campanha de phishing, que faz uso do portal da Rede Anubis para configurar seus ataques e que estaria ativo desde março de 2022.

Os usuários afetados, principalmente de Portugal e do Brasil, recebem mensagens de smishing ou phishing de serviços financeiros onde os usuários são forçados a indicar seu número de telefone e número PIN, a serem redirecionados para páginas bancárias onde suas credenciais de acesso são solicitadas.

Segundo os pesquisadores, o servidor de Comando & Controle, hospedado na Rede Anubis, é controlado por cerca de 80 operadoras. Da mesma forma, a análise mostra como a Anubis oferece facilidades para rastrear dados do usuário, domínios falsos criados para se passar por bancos e endereços de e-mail temporários que as operadoras podem configurar para cada caso.

Ler mais →