Новости сетевой безопасности

Корпорация подтвердила, что злоумышленники нашли серьезную уязвимость в системе безопасности веб-браузера Google Chrome. Срочное обновление 99.0.4844.84 исправляет проблему, однако в Google не сообщили каких-либо деталей, кроме того, что для взлома использовалась уязвимость нулевого дня, получившая номер CVE-2022-1096. При этом известно, что проблема связана с движком Chrome V8, на котором работает браузер.
Microsoft сообщила о наличии данной уязвимости и в своем браузере Microsoft Edge, который работает на том же движке и также получил обновление для исправления ситуации.

Помимо Google Chrome и Microsoft Edge, движок Chrome V8 используется и множеством других веб-браузеров, на которых обновления безопасности на данный момент не вышли.

inosmi.ru

В смартфонах Samsung нашли уязвимость, которая позволяла хакерам совершать атаки на девайсы пользователей. Об этом сообщает издание Android Police.

Журналисты ссылаются на исследование компании Kryptowire, специалисты которой рассказали о проблеме. По их словам, девайсы Samsung оставались незащищенными годами из-за уязвимости в ПО. Системная брешь была обнаружена в популярных смартфонах бренда, работающих на ОС, начиная с Android 9 и заканчивая актуальной Android 12.

Опасная уязвимость позволяла вредоносным приложениям получать доступ к защищенным функциям телефонов без предоставления пользователем каких-либо разрешений. Для активации вируса необходимо было лишь один раз запустить программу. Системная брешь позволяла злоумышленникам сбрасывать смартфон до заводских настроек, совершать звонки, устанавливать и удалять приложения, отключать https-соединения с сайтами.

На момент публикации расследования эксперты фирмы подтвердили факт наличия проблемы на смартфонах Samsung Galaxy S21 Ultra, S10+ и A10e. Судя по всему, более старые устройства корейского бренда не пострадали. Так, на Samsung Galaxy S8 под управлением Android 8 подобную неполадку не обнаружили.

Специалисты ранее сообщили о проблеме Samsung. Уточняется, что в компании приняли меры и уже выпустили закрывающее уязвимость обновление, которое вышло в феврале.

В середине марта Samsung признала уязвимость Dirty Pipe, которая позволяла злоумышленникам взламывать зашифрованную информацию на смартфонах Galaxy. В компании пообещали исправить проблему с обновлением.

lenta.ru

Специалисты Microsoft рассказали о способе атаки на пользователей Windows с помощью скрытых записей в реестре. Об этом сообщает издание BleepingComputer.

Инженеры компании отметили, что специалисты хакерской группы Hafnium, базирующейся в Китае, внедряли вредоносное ПО в компьютеры на базе Windows. Злоумышленники пользовались неизвестной до определенного момента ошибкой ОС, которая позволяет записывать в реестр скрытые данные. Встроенный планировщик затем можно использовать для того, чтобы угрожать безопасности пользователям операционной системы.

По словам специалистов корпорации, с помощью обнаруженного способа хакеры внедряли скрытые записи в реестр, чтобы потом их было сложнее найти. Также таким образом злоумышленники сохраняли доступ ко взломанным девайсам даже после перезагрузки компьютера и полного восстановления системы.

«Скрытые» киберпреступниками задачи можно найти только при тщательном ручном просмотре реестра Windows. «Субъекты угрозы в этой кампании использовали скрытые запланированные задачи для поддержания доступа к критически важным активам, открытым для Интернета», — отметили авторы сообщения.

По словам представителей Microsoft, члены группировки Hafnium ранее совершали атаки на оборонные предприятия США, аналитические центры и исследователей кибершпионажа.

В конце марта специалисты фирмы по безопасности Trustwave обнаружили новый способ кражи личных данных пользователей Windows. Неизвестные мошенники атаковали жертв письмами, замаскированными под сообщения от службы технической поддержки Microsoft.

lenta.ru

Специалисты ESET рассказали о трех уязвимостях, которые присутствуют в прошивках ноутбуков Lenovo. Об этом сообщает издание TechRadar.

По оценке экспертов, проблемы в защите системы были найдены на сотнях моделях компьютеров Lenovo. Таким образом, миллионы пользователей устройств могут оказаться под угрозой взлома. Описанные уязвимости имеют идентификаторы CVE-2021-3970, CVE-2021-3971 и CVE-3972.

Первые две уязвимости позволяют отключить защиту флеш-памяти SPI и функцию безопасной загрузки UEFI. С помощью третьей проблемы хакеры могут удаленно запустить вредоносный код. Оказалось, что опасные бреши в системе позволяет исполнить запуск зловредного ПО в процессе загрузки компьютера — до момента, как управление ПК передается операционной системе. «Это означает, что они могут обойти почти все меры безопасности», — отметили специалисты.

Исследователи ESET настоятельно рекомендовали пользователям компьютеров Lenovo установить все актуальные патчи безопасности. Также в компании рекомендовали посетить сайт производителя, чтобы проверить список уязвимых устройств и получить рекомендации от специалистов.

Ранее аналитики IDC заявили, что глобальные продажи компьютеров в первом квартале 2022 года снизились. Лидером рынка осталась Lenovo, которая отгрузила 18,3 миллиона устройств, заняв долю 22,7 процента.

lenta.ru

Международная группа исследователей обнаружила уязвимость в процессорах Apple, связанную с кражей данных. Об этом сообщает издание TechRadar.

Проблему нашли специалисты из Иллинойсского и Вашингтонского университета (США), а также Университета Тель-Авива (Израиль). Согласно отчету, в фирменных процессорах Apple присутствует уязвимость под названием Augury. Она основана на механизме предварительной выборки Data Memory-Dependent Prefetcher (DMP), который используют чипы Apple M1, M1 Max и A14. Теоретически проблему можно использовать для кражи конфиденциальной информации.

С помощью DMP процессоры просматривают содержимое памяти и определяют необходимость делать предварительную выработку. В ходе этого может произойти утечка данных. Специалисты назвали Augury уникальной уязвимостью, так как она была найдена только в чипах Apple.

Энтузиасты подтвердили, что проблема присутствует в процессорах M1 и M1 Max, которые установлены в компьютерах и планшетах Apple, а также в используемом в смартфонах чипе A14. Ученые предположили, что Augury также могут быть подвержены устройства на базе процессоров M1 Pro и M1 Ultra. Специалисты отметили, что уязвимость не критична, и для нее еще не разработали вредоносных программ. Однако энтузиасты уведомили о своей находке Apple.

В ноябре представители Intel рекомендовали обновить прошивку BIOS, чтобы защитить фирменные процессоры от трех новых уязвимостей. С помощью них злоумышленники могут получить высокий уровень привилегий на устройстве, что может привести к взлому оборудования.

lenta.ru

Баги были обнаружены специалистами из SentinelOne в антивирусах Avast и AVG. Софт широко рекламировался в сети и имел популярность благодаря своему бесплатному распространению. Обнаруженная уязвимость находилась в софте от Avast с версии 12.1, которая датирована 2012 годом. Оттуда она перекочевала в AVG в 2016 году, когда продукт был куплен компанией Avast. Так как драйверы защиты у обоих продуктов были общими, проблема тоже распространилась на оба антивируса.

По словам экспертов, уязвимостям был присвоен «высокий уровень опасности» и личные идентификаторы CVE-2022-26522 и CVE-2022-26523. Через них хакеры могли получить полный контроль над компьютером жертвы.

Специалисты из SentinelOne пояснили:

«Характер этих уязвимостей таков, что они могут запускаться из песочниц и использоваться в контексте, отличном от простого локального повышения привилегий. Например, уязвимости могут быть использованы на втором этапе браузерной атаки или для побега из песочницы. Среди очевидных злоупотреблений такими проблемами — обход защитных решений [...] Данные уязвимости позволяют злоумышленникам повышать привилегии, отключать продукты безопасности, перезаписывать системные компоненты, повреждать операционную систему или беспрепятственно выполнять вредоносные операции».

Была ли уязвимость использована хакерами в своих целях, SentinelOne затрудняются сказать. Однако вопросы вызывает тот факт, что проблема в Avast и AVG резко нашлась спустя семь лет. Случилось это после того как специалисты из Японии описали другую проблему с тем же драйвером, который использовала компания Avast.

На данный момент все ошибки антивирусов исправили, а дыры залатали с выходом версии 22.1 от февраля 2022 года. Однако это не исправляет тот факт, что любая защита может быть сомнительной в течение столь долгого времени.

iguides.ru

Эти антивирусы 7 лет были опасны. Их считали надежными

Специалисты по кибербезопасности обнаружили уязвимости в антивирусах Avast и AVG. Дыры в коде появились еще 2012 году.

В отчете говорится, что активность вирусного ПО ChromeLoader с начала года значительно возросла. Вредоносная программа распространяется через утилиты для взлома программ и после установки модернизирует браузер Google Chrome, установленный на компьютерах жертв.

Специалисты сообщили, что вирус адаптирован для атак как на пользователей Windows, так и macOS. В первом случае программа распространяется в виде файла с расширением iso и названием CS_Installer.exe, во втором — dmg. Также эксперты описали принцип работы программы. После запуска ChromeLoader опасное ПО декодирует команду PowerShell, извлекает архив с сервера и загружает его как расширение для браузера Google Chrome.

После активации программа удаляет следы своего присутствия, что усложняет ее обнаружение. Специалисты описали ChromeLoader как «угонщика» браузера, который умеет отображать модифицированые результаты поисковой выдачи. Показывая поддельные сайты знакомств или нежелательное стороннее программное обеспечение, злоумышленники зарабатывают комиссию в партнерских программах.

В конце мая специалисты фирмы HP Wolf Security заявили, что в сети участились случаи использования текстовых документов для взлома компьютеров. Хакеры полагаются на модернизированные pdf-документы, содержащие в себя зараженные файлы docx.

rambler.ru

Современные версии Windows, такие как 11, 10 и 7, позволяют Windows Search просматривать файлы локально и на удаленных хостах. Пользователь может установить URI с адресом удаленного хоста и отображаемым именем, которое будет отображаться в строке заголовка окна поиска. Windows может запускать окна персонализированного поиска с помощью различных методов, таких как веб-браузер или «Выполнить» (Win + R).

По мнению BleepingComputer, злоумышленник может использовать обработчик протокола для создания, например, поддельного каталога Центра обновления Windows и обманом заставить пользователя нажать на вредоносное ПО, замаскированное под законное обновление. Тем не менее, для выполнения требуется действие со стороны цели, а современные браузеры, такие как Microsoft Edge, имеют дополнительные предупреждения безопасности. Именно здесь в игру вступают другие недостатки.

Как оказалось, обработчик протокола search-ms можно совместить с новой уязвимостью в Microsoft Office OLEObject. Она позволяет обходить защищенный просмотр и запускать обработчики протокола URI без взаимодействия с пользователем. Пользователь под ником «hackerfantastic.crypto» продемонстрировал эту идею, создав документ Word, который автоматически открывает окно Windows Search и подключается к удаленному SMB. Поскольку search-ms позволяет переименовывать окна поиска, хакеры могут подготовить «персонализированный» поиск, чтобы ввести в заблуждение свои цели.



Другое доказательство показывает документ RTF, который делает то же самое. На этот раз даже не требуется запускать Word. Новое окно поиска запускается, когда проводник создает предварительный просмотр на панели предварительного просмотра.



Пользователи могут защитить свои системы, сделав то, что рекомендует Microsoft для смягчения уязвимости MSDT. Удаление обработчика протокола search-ms из реестра Windows поможет защитить систему:

1. Нажмите Win + R, введите сmd и нажмите Ctrl + Shift + Enter, чтобы запустить командную строку от имени администратора.
2. Введите HKEY_CLASSES_ROOT\search-ms search-ms.reg и нажмите Enter, чтобы создать резервную копию ключа.
3. Введите HKEY_CLASSES_ROOT\search-ms /f и нажмите Enter, чтобы удалить ключ из реестра Windows.

Microsoft работает над исправлением уязвимости в обработчике протокола и связанных с ним функциях Windows. Тем не менее, эксперты утверждают, что хакеры найдут другие обработчики для использования, и Microsoft следует сосредоточиться на том, чтобы сделать невозможным запуск обработчиков URL в приложениях Office без участия пользователя. Похожая ситуация произошла в прошлом году с PrintNightmare, когда Microsoft исправила один компонент только для того, чтобы исследователи обнаружили другие уязвимости.

msreview.net

Вредоносная «матрешка»

Операторы вредоноса Qbot начали использовать новую схему заражения конечных устройств через вызов «Калькулятора» Windows. Речь идет о приеме под названием побочная загрузка DLL. Схема относительна проста: фальшивая (вредоносная) библиотека динамических подключений DLL помещается в нужный каталог, и операционная система подгружает ее вместо легитимного файла.

На практике процедура заражения выглядит следующим образом. Злоумышленники рассылают спам-письма с вложением в виде HTML-файла, который, в свою очередь, скачивает ZIP-архив, внутри которого запрятан файл ISO. Архив запаролен, что предотвращает обнаружение вредоносных компонентов антивирусами, однако пароль содержится в первоначальном HTML-файле:

Образ ISO содержит файл .LNK, копию приложения «Калькулятор» под Windows и два DLL-файла: WindowsCodecs.dll и вредоносную библиотеку 7533.dll (число в названии может быть любым).

Если потенциальная жертва монтирует файл ISO, ей отображается только файл .LNK, который выглядит как PDF или содержит команду на открытие страницы браузере Microsoft Edge.

При этом если открыть свойства файла, то обнаружится, что он ссылается на приложение «Калькулятор» (С:\Windows\System32\cmd.exe /q /c calc.exe). Стоит отметить, что целью атак являются системы под управлением ОС Windows 7.

При запуске «Калькулятор» под Windows 7 автоматически ищет и пытается запустить легитимный файл WindowsCodecs.dll. Однако ограничений на месторасположение этого файла в программе нет, и он легко запускает любой файл с тем же названием, если тот находится в одном каталоге с исполняемым файлом Calc.exe.

Поддельный WindowsCodecs.dll загружает вторую библиотеку — DLL с численным названием, а это и есть тело вредоноса Qbot.

По данным исследователя ProxyLife, атаки с использованием «Калькулятора» начались 11 июля 2022 г.

Работает только со старыми ОС
«Калькулятор» Windows — доверенная программа, и некоторые антивирусы могут проигнорировать установку вредоноса через нее.

Побочная загрузка через «Калькулятор» в Windows 10 и 11 уже не срабатывает, так что злоумышленники таким образом могут атаковать только машины под управлением старых операционных систем.

Qbot, он же Qakbot появился в 2009 г. Изначально это был банковский троянец, который затем постепенно эволюционировал в дроппера, то есть в загрузчика, используемого для доставки других вредоносных программ в скомпрометированные системы.

Qbot активно используется шифровальными группировками на ранних стадиях атак для установки «маяков» Cobalt Strike. Среди клиентов Qbot — шифровальщики RansomExx, Maze, ProLock, and Egregor; недавно через него также распространялся шифровальщик Black Basta.

«Поговорка “старый конь борозды не испортит” справедлива и для средств доставки вредоносного ПО, — говорит Анастасия Мельникова, директор по информационной безопасности компании SEQ. — Qbot по меркам вредоносных программ — долгожитель; его эффективность однако не снижается с годами, поскольку его операторы продолжают его модифицировать и находить новые способы применения. К тому же на сегодняшний день можно сказать, что Qbot — это обычно лишь один из элементов весьма комплексных и глубоко эшелонированных инфраструктур, через которые осуществляется доставка вредоносных программ на конечные устройства. Чем более проверенными оказываются их элементы, тем охотнее ими пользуются».

cnews.ru