И про SolarWinds

Небольшая алярма для админов онпрем серверов Exchange: там Microsoft починила сразу 4 уязвимости нулевого дня, которые эксплуатировались предположительно китайскими группировками, поэтому надо срочно обновиться

https://blogs.microsoft.com/on-the-issues/2021/03/02/new-nation-state-cyberattacks/

https://msrc-blog.microsoft.com/2021/03/02/multiple-security-updates-released-for-exchange-server/

https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/

А печально известная авиакомпания Malaysia Airlines рассказывает о том, что её инфраструктура была взломана и подвергалась несанкционированному доступу на протяжении 9 лет. В частности, речь идёт о системе для часто летающих пассажиров Enrich, а утечка случилась для разного рода персональной информации, и данных о полетах

https://www.zdnet.com/article/malaysia-airlines-suffers-data-security-incident-spanning-nine-years/

неплохо для 2021 года

=== РЕКЛАМА ===

Хотите использовать реверс-инжиниринг в работе?

9 марта на демо-занятии «Эксплуатация уязвимостей в драйвере. Часть 1» вы разберете уязвимости переполнения в драйверах. Преподаватель Артур Пакулов разберет пример классической уязвимости переполнения буфера, уязвимости переполнения целочисленного типа и особенности разработки эксплойтов в режиме ядра.

Демо-занятие — возможность попробовать онлайн-курс «Reverse-Engineering. Basic» и познакомиться с экспертом. Базовый уровень программы познакомит вас с ключевыми возможностями реверс-инжиниринга.
Для регистрации на занятие пройдите вступительный тест: https://otus.pw/jYeb/
23 марта вас ждет продолжение демо-занятия «Эксплуатация уязвимостей в драйвере. Часть 2»: https://otus.pw/FwLE/

=== РЕКЛАМА ===

а мне вот нравится этот выбор регионов: учитывая существование California Consumer Privacy Act, видимо, эта версия продукта собирает меньше информации о пользователе? (как и европейская, потому что GDPR). Ну или что она там меньше делает, главное, чтобы не меньше вирусов ловила

большие отчеты Microsoft и FireEye о дополнительных вредоносных приложениях, которые были применены после взлома SolarWinds (все время хочется написать SolarWindows).

GoldMax - бэкдор, который использования для выполнения различных команд на взломанных системах (он же SUNSHUTTLE в отчете FireEye)
Sibot — VBScript, который обеспечивал сохранение заражения после перезагрузки хостов
GoldFinger - как я понял, коммуникационный модуль для передачи данных с зараженного хоста на сервер

https://www.microsoft.com/security/blog/2021/03/04/goldmax-goldfinder-sibot-analyzing-nobelium-malware/

https://www.fireeye.com/blog/threat-research/2021/03/sunshuttle-second-stage-backdoor-targeting-us-based-entity.html


Это все — в дополнение к уже ранее озвученным:

• Sunspot https://www.crowdstrike.com/blog/sunspot-malware-technical-analysis/
• Solorigate (Sunburst) https://www.microsoft.com/security/blog/2020/12/18/analyzing-solorigate-the-compromised-dll-file-that-started-a-sophisticated-cyberattack-and-how-microsoft-defender-helps-protect/
• Teardrop https://research.checkpoint.com/2020/sunburst-teardrop-and-the-netsec-new-normal/
• Raindrop https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/solarwinds-raindrop-malware

я тут недавно писал о пиксельных трекерах в почте. там еще было обсуждение про варианты их блокировки, начиная от отключения загрузки удаленного контента до использования Pihole для отправки этих запросов в черную дыру. веб-почта тоже хороший вариант, а если вы Мак-юзер, который пользуется родным клиентом, то вам будет интересно узнать о плагине для Mail, который делает эту блокировку прямо на Маке

https://apparition47.github.io/MailTrackerBlocker/

LOL, практикант, работавший в тюрьме, опубликовал в онлайне фото мастер-ключа, открывающего все замки в тюрьме. Теперь надо заменить 600 замков, поскольку по фото можно сделать копию ключа.

https://www.thelocal.de/20210305/intern-at-german-prison-faces-hefty-bill-after-sending-photo-of-master-key-to-friends/

Я тут несколько дней назад писал про несколько уязвимостей в сервере Microsoft Exchange, которые исправила Microsoft. И даже сопроводил все комментарием про «небольшую алярму», но, похоже, алярма как раз большая

https://t.me/alexmakus/3927

Там, по сути, если у организации был сервер Exchange, с OWA, торчащей в интернет, в период с конца февраля до первых чисел марта, то, считай, все пропало. Первые сигналы о взломах появились ещё 6 января. Сейчас оценки - о 30 тысячах организаций, часто это небольшие компании и локальные госорганизации, которые, вероятней всего, уже стали жертвами взлома серверов.

В этот раз отличились китайские хакеры, и, по некоторым комментариям, «owned the world”. При этом они как раз сильно активизировались после выхода патча, находя и взламывая ещё непропатченные серверы.

https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/

https://www.wired.com/story/china-microsoft-exchange-server-hack-victims/


Кроме информация об апдейтах, которые уже опубликовала Microsoft и они есть в предыдущем посте, компания также опубликовала рекомендации для тех, кто по какой-то причине не может пока что поставить апдейт. Это включает в себя кое-какие изменения конфигураций и отключение функциональности, и снижает риски взлома, но не настолько, как в случае с патчем

https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/

Вообще 2021 год неплохо начался

ох лол, социальная сеть Gab опять…
https://twitter.com/th3j35t3r/status/1369058137152585730

Там вчера Apple внезапно для всех своих операционных систем (iOS/iPadOS/watchOS/macOS 11/macOS 10.14-10.15) выпустила обновление, которое исправляет одну уязвимость (CVE-2021-1844) в WebKit — движке браузера Safari. Скорость и массовость этого апдейта как бы намекает, что есть смысл не задерживаться с обновлением своих устройств.

Подробный анализ того, что еще есть в этом апдейте, кроме официальных релизнот
https://eclecticlight.co/2021/03/08/apple-has-released-big-sur-11-2-3/

Раз уж мы про Apple, очень интересная статья в MIT Technology Review с обзором подхода Apple к безопасности своих устройств. Статья хороша тем, что там озвучиваются не только преимущества, но и недостатки такого подхода — то, как излишняя закрытость осложняет жизнь исследователям безопасности, в том числе и в случае, когда надо обнаружить вредоносное проникновение. То есть вирусам прорваться сложнее, но если уж прорвался, то остаться необнаруженным закрытость системы тоже помогает

https://www.technologyreview.com/2021/03/01/1020089/apple-walled-garden-hackers-protected/

Там в статье для подтверждения этой теории приводится пример с Citizen Lab и журналистом Al Jazeera, вредоносное ПО на iPhone которого смогли обнаружить только по второстепенным признакам.
https://t.me/alexmakus/3253

ну и чтобы не только про Apple, по ссылке от читателя информация о пяти уязвимостях в Linux, которые нашел и исправил Александр Попов из компании Positive Technologies. Молодец какой Александр!

https://www.zdnet.com/google-amp/article/linux-network-security-holes-found-fixed/

PS Пытаюсь придумать, могла ли бы зайти на рынке компания с названием Negative Technologies?

=== РЕКЛАМА ===

Не знаете, как работают базы данных в облачной среде?

На тренинге 22 и 23 марта «Основы работы с данными в Azure» вы познакомитесь с основными концепциями работы в облачной среде Azure. На курсе среди прочего будут рассмотрены реляционные и нереляционные подходы к работе с данными, а главное — вы сможете сдать экзамен DP-900 и получить сертификат.

Отмечайте в календаре

=== РЕКЛАМА ===

А пока вы спали, появилась информация о взломе компании Verkada Inc., которая занимается продажей камер наблюдения для компаний и организаций. Их камеры также обладают системой распознавания лиц. Компания была основана в 2016 году, и пока что оперирует благодаря вливаниям инвесторов. Группировка хакеров под названием Advanced Persistent Threat 69420 получила доступ к аккаунту суперадмина Verkada, который обеспечил возможность подключения ко всем!!! камерам клиентов компании. Не знаю, насколько можно этому верить, но представитель группировки утверждает, что нашел логин и пароль к этому аккаунту где-то в сети, где он был публично доступен.

Взлом произошел в понедельник утром, а хакеры получили доступ к более чем 150 тысячам камер и потокам видео с этих камер. Среди клиентов Verkada — компании Tesla и Cloudflare, многочисленные больницы, тюрьмы, полицейские участки, спортзалы, и тд. На видео, говорят хакеры, они могли видеть пациентов больниц в палатах, заключенных в тюрьмах, наблюдали за допросом кого-то в полиции. Verkada узнали о взломе только после того, как к ним обратились журналисты Bloomberg за комментариями

В принципе, можно много чего рассказывать о доступе к камерам, но некоторые пивоты их взлома — это CloudFlare и Okta, и к сети этих компаний хакеры получили рутовый доступ. могло же быть вообще весело. Но цель этого взлома была не в том, чтобы навредить как можно больше, а в том, чтобы призвать внимание к тому, насколько сильно в стране развито видеонаблюдение, и как мало внимания уделяется безопасности этих платформ по наблюдению, с единой целью — прибыль». Кроме доступа к камерам, хакеры также получили полный список всех клиентов компании, а также бухгалтерский баланс компании.

Короче, на фоне взломов Microsoft Exchange вроде бы и не мегановость (хотя на фоне истории с Exchange меркнет многое), а вообще, конечно, весело. или грустно.

основная новость по этому поводу
https://www.bloomberg.com/news/articles/2021-03-09/hackers-expose-tesla-jails-in-breach-of-150-000-security-cams

твиттер группировки
https://twitter.com/nyancrimew/status/1369437256193343496

дополнительная информация
https://www.vice.com/en/article/wx83bz/verkada-hacked-facial-recognition-customers

(за некоторые ссылки спасибо читателям)

Твиттер опасносте

С целью защиты российских граждан и принуждения интернет-сервиса к исполнению законодательства на территории Российской Федерации в отношении Twitter с 10 марта 2021 года приняты меры централизованного реагирования, а именно первичное замедление скорости работы сервиса «согласно регламенту». Замедление будет реализовано на 100% мобильных устройств и на 50% стационарных устройств.

ну блин, это же невозможно уже
https://tjournal.ru/news/351416-roskomnadzor-vmeste-s-tvitterom-zamedlil-vse-sayty-s-t-co-v-domene-vklyuchaya-rt-microsoft-i-github