BlackX omija Secure Boot na w pełni załatanych Windowsach

BlackX infekuje załatane Windowsy przez lukę w Secure Boot

Nowy bootkit UEFI o nazwie BlackX zainfekował organizacje korzystające z w pełni załatanych systemów Windows, wykorzystując lukę w zabezpieczeniach Secure Boot firmy Microsoft. Infekcje wykryła Kaspersky. BlackX wykorzystuje „Baton Drop”, logiczną wadę menedżera rozruchu Windows oznaczoną jako CVE-2022-21894, która pozwala ominąć Secure Boot, a w pewnych warunkach wyciągnąć klucze szyfrowania BitLocker. Microsoft załatał podatność w 2022 roku, ale nie unieważnił zaufania do certyfikatu użytego do podpisania starszych, podatnych menedżerów rozruchu. Aktualizacje same nie dawały pełnej ochrony — administratorzy musieli wykonać dodatkowy ręczny krok opisany w artykule bazy wiedzy z 2023 roku. Zainfekowane organizacje miały zainstalowane wszystkie poprawki. Zdaniem Kaspersky’ego atakujący liczyli na to, że niewiele firm zrozumie wagę ręcznej aktywacji poprawki.

UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame? - Ars Technica →

Tematy: Bezpieczeństwo WindowsPodatności zero-day

CWPdoor — backdoor w trojanizowanym serwerze CWP na Linuksie

Nowe złośliwe oprogramowanie dla Linuksa o nazwie CWPdoor jest rozprowadzane przez trojanizowaną wersję cwpsrv, serwera webowego stojącego za panelem Control Web Panel (CWP). Backdoor działa pasywnie i czeka na specjalnie spreparowane żądanie. Badacze z XLab opisują go jako wyjątkowo skrytego dzięki pasywnemu wyzwalaniu i wyłączaniu logowania. Skrypt podszywający się pod aktualizator podmienia legalny plik cwpsrv w wersjach 1.15.10 i 1.24.0, przywraca znaczniki czasu plików, usuwa pliki tymczasowe i czyści historię poleceń. Aktywacja następuje przez zaszyfrowany nagłówek HTTP X-Ngx-Integrity-Data z sygnaturą RSA i znacznikiem czasu ważnym przez pięć minut. W ciągu ostatniego miesiąca w publicznym internecie wystawiono ponad 340 tysięcy instancji CWP.

Hackers backdoor Linux servers using trojanized CWP web server →

Tematy: Malware i infostealery

Discover-Tech szpiegował użytkowników Starlink przez reklamy

Izraelska firma szpiegowska Discover-Tech inwigilowała użytkowników internetu przez sieć reklam online służących do śledzenia, obserwacji i geolokalizacji — w niektórych przypadkach samo wyświetlenie reklamy z „zero click” spyware powodowało infekcję. Badacze z TrendAI, jednostki Trend Micro, uznali Discover-Tech za jedno z największych źródeł reklam cyfrowych pokazywanych użytkownikom usługi Starlink firmy SpaceX. Według Citizen Lab firma podszywała się pod legalnego dostawcę na giełdach reklam, będąc pośrednikiem dla podmiotów takich jak Candiru, objęta czarną listą rządu USA. Status „certyfikowanego” dostawcy pozwalał jej targetować ludzi złośliwym oprogramowaniem na ponad 120 tysiącach stron i 75 tysiącach aplikacji. Citizen Lab opisuje, że kod JavaScript w reklamie może ładować exploit przeglądarki i instalować spyware.

Israeli Spy Company Busted Using Malware Ads To Infect, Locate, And Spy On Starlink Users →

Tematy: Oprogramowanie szpiegująceŚledzenie w sieci

118 mln euro skradzione z kont Crédit Mutuel Arkéa

Hakerzy wdarli się do francuskiej grupy bankowej Crédit Mutuel Arkéa przez platformę zewnętrznego dostawcy usług i mieli wyprowadzić około 118 milionów euro (132,44 miliona dolarów) z kont korporacyjnych. Atakujący ominęli konta klientów, wykorzystując konta własne banku do przelewów do innych banków; skradzione środki mogły następnie zostać zamienione na kryptowaluty na wyspecjalizowanych platformach. Bank nie potwierdził dokładnej kwoty, ale uznał „rząd wielkości” doniesień medialnych o 118 milionach euro. Część środków zablokowano, a bank zapewnia, że skradzione kwoty nie zagrażają jego stabilności finansowej. Crédit Mutuel Arkéa ma ponad 5,8 miliona członków i klientów oraz bilans 211,5 miliarda euro. Bank zaprzeczył, jakoby do włamania doszło przez Fortuneo lub z winy pracownika.

Hackers Steal Estimated 118 Million Euros in Cyberattack on French Bank →

Tematy: Wycieki przez dostawców i podwykonawców

Filen wciąż wspiera przestarzałe hashe MD2 i MD4

Filen, niemiecki dostawca szyfrowanego magazynu w chmurze typu end-to-end, pięć lat po starcie jest przy trzeciej wersji protokołu kryptograficznego. Najstarsze konta nadal uwierzytelniają się przestarzałymi funkcjami skrótu, w tym MD2 i MD4, a atak downgrade mógłby zmusić nowsze konta do ich użycia, potencjalnie ujawniając wszystkie pliki dostawcy przy słabych hasłach. Filen reklamuje „zero-knowledge end-to-end encryption”. Pierwsza wersja protokołu obliczała hash hasła jako SHA512(SHA384(SHA256(SHA1(password)))) połączony z SHA512(MD5(MD4(MD2(password)))). Najnowsza wersja używa argon2, ale v1 pozostaje wspierana dla kompatybilności wstecznej, a klient przy logowaniu pyta serwer, której wersji hasha użyć. Filen zapowiada, że wiele punktów naprawi w czwartej wersji protokołu.

Filen's password onion made me cry →

Tematy: Szyfrowanie