Результаты поиска по запросу "любить значит быть уязвимым"

Dark SoulsфэндомыDark Souls 3cheatsуязвимостьRCE

https://stopgame.ru/newsdata/51738/v_setevom_rezhime_dark_souls_3_obnaruzhen_eksployt_pozvolyayuschiy_poluchit_dostup_k_chuzhomu_kompyuteru

https://www.reddit.com/r/Eldenring/comments/s9wai2/it_is_now_possible_for_dark_souls_3_invaders_to/

блядь я так и знала когда у меня перехватили ввод с геймпада что это хуйня неспроста! но я полагала что это одноразовый чит. а не просто удаленное выполнение произвольного кода. блядь.

причем судя по новостям на стопгейме и реддите вторгалася тот кто обнаружил эксплоит. и я так понимаю это было недавно. но я с этйо хуйней столкнулась недели две назад. а значит этот эксплоит утек в широкие массы читеров и как не прискорбно - хакеров.

но вроде бандаи намко отписались что передали эту хреню в работу нужным людям.

Gate heute um 19:59 Uhr
To @everyone that still plays Dark Souls III online on PC, and for those that haven’t already been told:
The worst kind of game security vulnerability has finally been announced as real for Dark Souls III, "Remote Code Execution" or RCE for short. Whilst this means

Kasyan666

политикаРоссияслежкаФСБтелеграминформационная безопасностькибербезопасностьуязвимостьпесочница политоты

За пользователями "Telegram" можно следить с помощью самого мессенджера, а российские спецслужбы, похоже, научились читать даже зашифрованные чаты

Главное из материала "Wired" о уязвимостях в проекте Павла Дурова.

,политика,политические новости, шутки и мемы,Россия,слежка,ФСБ,телеграм,информационная безопасность,кибербезопасность,уязвимость,песочница политоты

Слежку за пользователями "Telegram" можно организовать с помощью обычных API-инструментов мессенджера. Обычно их используют сторонние разработчики для создания ботов, сбора данных или проведения исследований. Однако API "Telegram" позволяет архивировать «почти весь» мессенджер – включая небольшие каналы и публичные группы. После этого, зная телефон пользователя, можно будет получить все сообщения, которые он отправлял в любую публичную группу. OSINT-специалисты ("open-source intelligence") могут создавать "армию ботов", чтобы отслеживать пользователей "Telegram" по имени, подпискам и публичным группам. Всё это позволяет получить подробный портрет того или иного человека.

Не всё прозрачно и с "секретными чатами". Возможно, даже их могут читать спецслужбы. Так, оппозиционная активистка Анна Курбатова рассказала изданию, что в начале мая все отправляемые ею сообщения, включая зашифрованные, помечались "Telegram" как прочитанные – хотя она точно знала, что получатель их не читал. Та же проблема возникла у активиста Ивана Асташина. В апреле похожей историей поделилась петербургская кандидатка в депутаты Рина Мацапулина. Она рассказала, что силовики прямо перед обыском читали все её сообщения друзьям в реальном времени. Об этом, со слов девушки, ей рассказал сам следователь. Стоит отметить, что о взломах секретных чатов известно только со слов пользователей. Как это возможно сделать технически – пока неизвестно.

Представитель "Telegram" заявил, что компания никогда не передавала данные пользователей ФСБ или Кремлю. Сам Павел Дуров отказался разговаривать с "Wired". Его давний соратник Георгий Лобушкин объяснил журналистам, что российский рынок «очень важен» для предпринимателя. Создатель мессенджера, по его словам, «никогда не будет сотрудничать с российскими властями» и скорее покинет местный рынок, чем пойдёт на подобное.

Metaluka

решетоуязвимостьgeekgsmsim

В SIM-картах выявлена ошибка, позволяющая взломать телефон отправкой SMS

Специалисты по кибербезопасности обнаружили существование новой, ранее не выявленной, критической уязвимости в SIM-картах, которая позволяет злоумышленникам удалённо взламывать целевые мобильные телефоны и шпионить за жертвами, просто отправив SMS-сообщение. Эта уязвимость, получившая название SimJacker, находится в программном обеспечении S@T Browser (динамический инструментарий для SIM-карт), встроенном в большинство SIM-карт и широко используемом операторами мобильной связи как минимум в 30 странах.S@T Browser содержит ряд инструкций STK — таких как отправка короткого сообщения, настройка вызова, запуск браузера, предоставление локальных данных, запуск по команде и отправка данных — все они могут быть вызваны простым отправлением сообщения SMS на устройство. ПО предлагает среду выполнения и автоматически запускает вредоносные команды на мобильных телефонах.

Simjacker
Attacker
Device
SMS to SIM
y Phone location?
010
100 Cell-10
010
m Send ^ SMS
Victims
Device
Accomplice
Device,решето,уязвимость,geek,Прикольные гаджеты. Научный, инженерный и айтишный юмор,gsm,sim

Более того, по словам исследователей, SimJacker активно пользовалась некая связанная с правительством частная компания для слежения за людьми в течение как минимум двух лет в нескольких странах. Причём люди проверялись массово по нескольку раз в день.

Обнародованная исследователями из AdaptiveMobile Security в опубликованном недавно докладе уязвимость может быть использована с помощью простого GSM-модема за $10. С него можно отправить на телефон жертвы сообщение SMS, включающее определённой вид вредоносного кода. Благодаря этому злоумышленник может:

получить местоположение целевого устройства и информацию IMEI;распространить неверную информацию путём отправки поддельных сообщений от имени жертв;совершать звонки на платные номера от имени абонента;шпионить за окружением жертв, приказав устройству звонить на номер телефона злоумышленника;распространять вредоносный код путём открытия браузером жертвы вредоносных веб-страниц;исполнять атаку, отключающую SIM-карту;получать другую информацию вроде языка, типа радио, уровня заряда батареи и так далее.

ACCOMPLICE
DEVICE
-31,решето,уязвимость,geek,Прикольные гаджеты. Научный, инженерный и айтишный юмор,gsm,sim

При этом во время работы SimJacker пользователь не знает, что он подвергся атаке, а информация была извлечена. Данные о местонахождении тысяч устройств были получены с помощью этой атаки без ведома или согласия пользователей мобильных телефонов, однако SimJacker была расширена для выполнения дополнительных видов атак.

Хотя технические подробности и подробный документ с описанием атаки планируется опубликовать в октябре этого года, исследователи заявили, что выявили реальные атаки на пользователей телефонов практически всех производителей, включая Apple, ZTE, Motorola, Samsung, Google, Huawei и даже различной электроники с поддержкой SIM-карт. Одна из выявленных жертв подверглась за неделю 250 атакам. Потенциально риску могут быть подвержены более миллиарда человек.

Number of Simjackor Mossagos “
Simjacker Attacks per Target Number - Distr
ibution Over One Week
'Long Tail': 47% of Targets only Attacked once in week,решето,уязвимость,geek,Прикольные гаджеты. Научный, инженерный и айтишный юмор,gsm,sim

«Simjacker представляет собой явную опасность для мобильных операторов и абонентов. Это потенциально самая изощрённая атака, касающаяся основ мобильных сетей, из когда-либо существовавших, — сказал технический директор AdaptiveMobile Security Кэтал МакДейд (Cathal McDaid). — Это очень тревожный сигнал, который показывает, что злоумышленники вкладывают значительные средства во всё более сложные и изощрённые способы подрыва сетевой безопасности. Он ставит под угрозу приватность и доверие клиентов к операторам мобильной связи и влияет на национальную безопасность целых стран».

Более того, теперь, когда эта уязвимость была публично раскрыта, исследователи ожидают, что хакеры и другие злоумышленники попытаются развить эти атаки. Исследователи уже предоставили полную информацию об уязвимости Ассоциации GSM и Альянсу SIM. Последний признал проблему и выпустил рекомендации для производителей SIM-карт по обеспечению безопасности push-сообщений S@T. Мобильные операторы также могут немедленно устранить угрозу, настроив процесс анализа и блокировки подозрительных сообщений, содержащих команды браузера S@T. Пользователь мобильного устройства, похоже, ничего не может сделать, если использует SIM-карту с S@T Browser — разве что обратиться к оператору для замены SIM-карты на более безопасную.

https://3dnews.ru/994186

https://thehackernews.com/2019/09/simjacker-mobile-hacking.html

Отличный комментарий!

чисто случайно оказалась уязвимость, чисто случайно уязвимость дает доступ ко всем параметрам, необходимым для слежки, чисто случайно о ней знали тока частные спецслужбы, чисто случайно следили за людьми. Конечно же это уязвимость, а не преднамеренная дырень.

illizar

21.09.2019, 05:23

ссылка

+47,0

Good_Man

РЖДдырауязвимостьновостиhabrahabrhabrдлинопостинформационная безопасностьitполитика...

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

$11! i 1 * \Æ ■ 1 1 У ■ |L m A Ш ■ 1 Ши/ I * 1 / ■V,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность$

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

:erOS Win Box
^ admin@192. 5.1 (MikroTik) - WinBox (64bit) v6.47 on hAP ac lite (mipsbe) Session Settings Dashboard
•O
O
Safe Mode
f Quick Set x CAPsMAN ^ Interfaces X Wireless Bridge
1= PPP
^ Switch *n Mesh
H IP f
Q MPLS Routing
$2’ System f
^ Queues ^ Rles Log
it RADIUS ^ Tools E5l

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

О А Не защищено | 192/
.40/1одт.а5р
☆ е :
ве^лгсо
Просмотр
Настройки
Выход
ИзоОражение
2 0 2 1 -0
з в
1РС355803,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

Ещё камеры

X А Не защищено 10. 12/1одт.азр
Просмотр
Настройки
Выход
вешлво
Изображение
Информация
Могпжюп,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

$4r G A HG3ammuGHO | 10 134/viGw/viGWGr_indGx.shtml?id = 11 * e AX\Sa AXIS P1346 Network Camera View size (f>© Stream profile | Motion JPEG V,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой$

(r O A He3ainmuGHO | 10. 80
GË ☆ -i 0
vfe S5120FD-DN IP Camera HD
POWERING ACTIONABLE INTELLIGENCE*
Video stream [i______vj
> Manual trigger: Digital output 1 on ¡off |
Zoom and Focus
1 — I Zoom l +J

I — | Focus 1+J
Zoom speed lov
Focus speed lo v
0 Clientsettings >_ Configuration

☆ Е5Г
О А Не защищено | 10
О асИуесат
224/сп/у1еУ7емпс1ех.а5р
О Просмотр
Ф Настройки
Конфигурация видеопотока : [ Приоритет по каналу у|
Канал : Осн.1,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой

ittp ://' S fdoc/page/preview.asp - Ç rioncK...
X|L*I
ON Live View Playback Picture Application Configuration,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

Даже офисы внутри

192.
60/view/index.shtml
AX IS- AXIS 216FD Network Camera Live View I Set

Video format
| Motion JPEG v,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

защищено | 10. 1/servlet?m = mod_data&p=account-register&q=load
Yealink Выход из системы Используется пароль по умолчанию, его необходимо изменить!
easy / IPmatika powered by Yealink Статус Аккаунт Сеть DSS Функции Настройки Контакты Безопасность
Статус регистрации Активная линия Лейбл

4r O A HG3ammuGHo | 10.
3/index.html
•••
IRMATIKA
onfiguration Settings
Network Print Log Settings
retwcrk Applications
'hone Settings
IP NAT Settings
>ial Plan Settings
peed Dial Settings
rovisionmg Settings
IP Accounts
Account 1
Account 2
'all Settings
Account 1
Account 2
Ludio

3. IPMI серверов:

Asus

4r O A HG3ammuGHO 192
51/indGx.html
ASMB8,kvm
6 American Megatrends Ina
Dashboard FRU Information Server Health Configuration Remc
Dashboard
Dashboard gives the overall information about the status of the device and remote serve
Device Information
Firmware Revision: 1.13
Firmware Build

Dell (их подавляющее большинство)

A He 3aiMHLUGH0 | 10. 5/indGx.html?ST1 =
Integrated Dell Remote
Access Controller 8 Enterprise
/ Thermal Console
Attached Media vFlash Service Module Job Queue
Properties
Summary Details System Inventory
System Summary
Server Health
Virtual Console Preview
y Batteries
y Temperatures

root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin root: calvin

Supermicro

G A Hg 3amnmeHO | 10 i/url_rGdirGct.cgi?url_namG=mainmenu
System Server Health Configuration Remote Control Virtual Media Maintenance
© System
© FRU Reading
© Hardware Information
© System
Firmware Revision: 03.65 Firmware Build Time : 12/16/2017 BIOS Version: 3.1 BIOS Build Time: 06/06/2018

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

4r G A He3amnmeH0 | 10 4/cgi/url_redirect.cgi?url_name=mainmenu
© System © Summary
[J»l Java iKVM Viewer v1.69.26 [1 .4] - Resolution 1024 X 768 - FPS 9 Virtual Media Record Macro Options User List Capture Power Control Exit
© FRU Reading
© Hardware Informatioi
Vttuare ESXi 6.0.0

4r G A He samnLLiGHO | oktsrv.rzd.dpo/ovirt-engine/
Welcome to
oVirt OPEN VIRTUALIZATION MANAGER Version 4.3.7.2-1 .el7
Portals
Administration Portal VM Portal
U.S. English v
Downloads
Console Client Resources CA Certificate moVirt for Android
Not Logged In
oVirt
Technical Reference
REST

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

4r O A He3aiiii/iuieHO | 10 131 M0X3
j Main Menu Cl Overview Cl Basic Settings Cl Network Settings l'C3 Serial Settings LCl Port 1 1Operating Settings LCl Port 1 Cl Accessible IP Settings 1-^3 Auto warning Settings l-Q E-mail and SNMP Trap ;-Q Event Type ] Digital 10 |-Q DIO Settings 1 Cl DIO

10
128
Firmware Version: V4016
USR
-IOT Experts-
Be Honest, Do Best!
Current Status
Local IP Config
Expand Function
Mise Config
Module Name Current IP Address MAC Address Remote IP/TX/RX-1 -2 -3 -4 -5
TX Count/RX Count
parameter
USR-TCP23 2-304
10 .228 d8-b0-4c-e9-3c-09 10CH -31 / 0

5. Системы управления ИБП

$О А Не защищено 10. 11 F:T*I\I Powering Business Worldwide Powerware 9130 2000 - Savelovskiy ИБП Свойства ИБП 5 Управление ИБП Еженедельный график Параметры отключения Журналы и уведомления Измерения Журнал событий Системный журнал Уведомление по электронной почте Настройки Сеть$

4r O A HG3ammuGHo | 10.
>0/lsi.html
RICHCOMM
Login Usenadmin Operation
Authorization:Manag
UPS Information
:’9|H
c> Current Status c
Remote Control
System Setting Network Settings SNMP Setting User Setting IPPOWER Setting
Para Setting
c c c c c
In Voltage:234.0V Frequency:49.9HZ
Out

6. Внутренние сервисы

192.
15
Дирекция пассажирских обустройств
Логин
Пароль
АВТОРИЗАЦИЯ
☆ е :
Перейти на АСУУВ: Выберите из списка ^,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

4г О А Не защищено | 10.
:88/tractionsubstract¡on?¡ds=651 &archivetime=08¿sessionid=0041000001080864
12.29 05:03:46
Москва-Пассажирская-Октябрьская
дд.мм.
☆ 5Г 0
« |_Т_||_Г_| ' Москва-1оварная-Октяорьская - Mocki
_ I__J I__J _ Пассажирская-Октябрьская
••••••••••••
S

Активация Windows

Что-то похожее на мониторинг состояния систем обеспечения здания.

О А Не защищено | 10 10
Осн. здание ББЦ ГРЩ ИБП ИТП Вентиляция Настройки Аварии История
Основное здание 1 этаж
Вентиляция
П1 Работа Авария 13.9°С
П2 Работа Авария 18.5°С
П4 Работа Авария 0°С
П5 Работа Авария 26.7°С
П6 Работа Авария 19°С
П6* Работа Авария 20.6°С
У1 Работа Авария 11.2°С

Система управления кондиционированием и вентиляцией

4r О A Не защищено | 10. 0.2
Д CPK-M2
• Состояние
о Состояние системы о Состояние СРК-М2-У о Состояние подключения о Состояние ОКВ о Сост входов выходов о Просмотр журнала
• Настройки общие СРК-М2
о Лата, время, периоды, ротация
• Настройки связи
о Сеть IP Ethernet о RS4S5 MODBUS мониторинг

Различные системы управления табло на перронах :-)

Эта самая красивая

4г О А Не защищено 10
:3/агтсГ|р?5е55ютс1=0
^РМ Мониторинг Систем Информирования Пассажиров
С* Остановочные пункты:
Спб - Москва 59 /39
Волхов Мост 0
Волхово 0
О Вышний Волочек 5
Гряды 0
Дубцы 0
Ф Завидово 2 /2
фКлин 2
ф Колпино 2 /2
Ф Крюково 8/8
О Лихоборы 2
Москва-Пассажирская- 0

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

(г О А Не защищено | 10.
QJdaMasK Кассир Адмиш Регистратор Мминистрато Управлениесервер

Пароль <8>
login as: root
$ root@ 5 password:
Linux damask 4.9.0-8-amd64 #1 SMP Debian 4.9.110-3+deb9u6 (2018-10-08) x86_64
Last login: Mon Feb 4 21:13:51 2019 from root@damask:~# cat /etc/*release*

Кстати, аптайм у него почти год:

16:33:40 up 333 days, 27 min, 2 users, load average: 0,42, 0,35, 0,33 USER TTY FROM LOGIN© IDLE JCPU PCPU WHAT
kiosk ttyl - ll$eB20 333days lldays 0.02s /bin/sh /usr/bin/startx
root pts/0 10. E I1t22 2.00s 0.08s 0.00s w
rootQdamask:~# |,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост

6. Сетевое оборудование

4r О A Не защищено | 10 03
T Fortis
► Main
▼ Basic Settings
▼ Ports
Main
Device name
▼ Events
Device location
PSW1.3
Ufa
Port FE#1 FE#2 FE#3 FE*4 GE#1 GE*2
Link Up Up | Up | Up Up Up
PoE On On Off Off
dg
=
The main;
• Device
• Device
• C’ontai
orgamzatn,РЖД,дыра,уязвимость

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Mikrotik HttpProxy (proxy server) Mikrotik HttpProxy (proxy server) Mikrotik HttpProxy (proxy server) Mikrotik HttpProxy (proxy server) Mikrotik HttpProxy (proxy server) < HttpProxy (proxy server) Jotik HttpProxy (proxy server) □Proxy (proxy server) Ikrotik НщЯ^^ргоху server) Mikrotik

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

$А Не защищено | 10.. 3/сп/у1е\уег_тс1ех.а5р О Просмотр Ф Настройки Конфигурация видеопотока : [ Приоритет по каналу у| Канал : |,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная$

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

$1С 100:8080 тасгоБсор \УеЬ-Клиент Масгозсор Название конфигурации: Анапа. Текущее состояние: Сервер активен.. Время запуска: 04.11.2020 12:36:25. Версия сервера: 2.0.94,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и$

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

$Möv \ л/ V V/\v hk Л- Iw kîT4 vi lr>-—^>jC,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность$

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

СЫН МАМИНОЙ ПОДРУГИ,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

$Ве\л/агс1 В2710РМР Производитель: BEWARD Макс, разрешение видеокамеры: 1920x1080 ИК-подсветка: Да 12 900 Р Бесплатная доставка, 1 -3 дня Есть самовывоз Оплата наличными курьеру Арсенал-СБ ★★★★★ 408отзывов В магазин,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная$

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

14.12.2020 14:20:00 ЖД Транспорт / Новости
Заместителем генерального директора РЖД стал Евгений Чаркин
Решением совета директоров Евгений Чаркин, ранее занимавший должность директора по информационным технологиям ОАО «РЖД», назначен заместителем генерального директора компании. Об этом сегодня

Источник

А ВОТ И Я
«notivat on.mi,РЖД,дыра,уязвимость,новости,habrahabr,habr,длинопост,информационная безопасность,it,политика,политические новости, шутки и мемы,мопед не мой,информационная небезопасность

Отличный комментарий!

Сама статья: https://habr.com/ru/post/536750/

Good_Man

13.01.2021, 13:54

ссылка

+7,8

https://habr.com/ru/users/LMonoceros/ - UPD: связались со мной специалисты РЖД и совместно закрыли уязвимости.

Good_Man

13.01.2021, 14:18

ссылка

+8,5

Премию дадут?

SasnyiSosok

13.01.2021, 14:19

ссылка

+1,4

Аванс: его жизнь.
Оплата: его не посадят.

Хермоус Мора

13.01.2021, 14:19

ссылка

+48,3

Metaluka

geekMeltdownSpectreintelAMDARM64уязвимостьLinuxlorпесочница...

Meltdown и Spectre - названия двух атак на процессоры Intel/AMD/ARM64

https://www.linux.org.ru/news/security/13934697

https://www.opennet.ru/opennews/art.shtml?num=47856

Разработчики из Google Project Zero опубликовали детали уязвимостей, которые затрагивают не только процессоры Intel и ARM64, но и AMD тоже (есть сообщения, что только при включении BPF JIT в ядре, что по умолчанию выключено). Названия им дали: Meltdown и Spectre (расплавление ядерного реактора и призрак).Meltdown позволяет приложению читать любую память компьютера, включая память ядра и других пользователей. Этой атаке подвержены процессоры Intel (по неподтвержденным данным все модели с 1995 года, кроме Itanium и Atom) и ARM64.

Уязвимостям назначены следующие CVE: CVE-2017-5753, CVE-2017-5715 и CVE-2017-5754. Есть PoC (п.4.3) , демонстрирующий атаку с этой уязвимостью через JavaScript. Разработчики ARM приводят подробности атаки для ARM, заявляют о том, что уязвимы лишь некоторые процессоры ARM, дают их список и меры по повышению безопасности.

Уязвимость Meltdown (CVE-2017-5754) позволяет приложению прочитать содержимое любой области память компьютера, включая память ядра и других пользователей. Проблема также позволяет получить доступ к чужой памяти в системах виртуализации и контейнерной изоляции, например, пользователь одной виртуальной машины может получить содержимое памяти хост-системы и других виртуальных машин. Уязвимости подвержены процессоры Intel (фактически все процессоры, выпускаемые с 1995 года, за исключением Intel Itanium и Intel Atom, выпущенных до 2013 года) и ARM64 (Cortex-A15/A57/A72/A75). Подготовленный прототип эксплойта позволяет читать память ядра со скоростью 2000 байт в секунду на процессоре Intel Xeon архитектуры Haswell.

Уязвимость Spectre (CVE-2017-5753, CVE-2017-5715) создаёт брешь в механизме изоляции памяти приложений и позволяет атакующему обманным способом получить данные чужого приложения (только приложения, но не памяти ядра). Этой атаке подвержены процессоры Intel, AMD (только при включенном eBPF в ядре) и ARM64 (Cortex-R7/R8, Cortex-A8/A9/A15/A17/A57/A72/A73/A75). По сравнению с Meltdown уязвимость существенно труднее в эксплуатации, но её и значительно труднее исправить.

Применение патча обязательно так как пользователи ежедневно запускают чужой код на своих компьютерах, посещая веб сайты с JavaScript (>99%) и одним из инструментов совершения атаки может стать web-браузер. Разработчики Google Chrome работают над интеграцией защиты от совершения атаки через JavaScript прямо в браузер. Исправление будет доступно в релизе Chrome, назначенном на 23 января. Сложности также создаёт то, что атаку можно провести незаметно, без оседания следов в логах.

Обновление для блокирования Meltdown уже выпущено для RHEL и Fedora. Проследить за появлением обновлений в других дистрибутивах можно на следующих страницах: Debian, Ubuntu, SUSE(частично исправлена), openSUSE, FreeBSD, OpenBSD, NetBSD. Исправления для Windows и macOS ожидаются в ближайшее время. Для платформы Android исправления были доставлены в последнем обновлении. Проблема также устранена в Chrome OS 63.

Технические подробности про spectre (есть пример кода в конце файла)

Технические подробности про meltdown

Технические детали для ARM-процессоров

,geek,Прикольные гаджеты. Научный, инженерный и айтишный юмор,Meltdown,Spectre,intel,AMD,ARM64,уязвимость,Linux,lor,песочница,решето

Metaluka

wpa2wi-fiуязвимостьрешетоандроид-дноgeek

Раскрыты детали новой техники атаки KRACK (Key Reinstallation Attacks), позволяющей вклиниться в беспроводное соединение на базе технологии WPA2 и организовать перехват или подстановку трафика без подключения к беспроводной сети и без определения пароля доступа. Новая техники атаки сводит на нет уровень защиты WPA2, делая работу через WPA2 не более защищённой чем, работа в публичной WiFi-сети. Всем пользователям рекомендуется обязательно использовать дополнительные уровни защиты при работе с конфиденциальными данными при соединении через WPA2, такие как VPN или обращение к ресурсам только по HTTPS.

Атака затрагивает концептуальную недоработку в стандарте WPA2, что делает уязвимыми все корректные реализации стандарта, независимо от применяемых шифров (WPA-TKIP, AES-CCMP, GCMP). В том числе наличие проблемы подтверждено в Android, Linux, macOS, iOS, Windows, OpenBSD, MediaTek и Linksys. Наибольшую опасность представляет уязвимость в пакете wpa_supplicant, для которого проведение атаки существенно упрощается, так как в версиях wpa_supplicant 2.4+ дополнительно найдена уязвимость, при помощи которой атакующие могут перевести соединение на работу с пустым ключом шифрования и полностью контролировать трафик. Уязвимость связана с тем, что после установки ключ очищается из памяти, поэтому операция переустановки приводит к использованию пустого ключа. Wpa_supplicant используется в платформе Android 6+ и дистрибутивах Linux, что делает данные системы наиболее уязвимыми при доступе в сеть через WPA2. Для других реализаций возможна выборочная расшифровка кадров.

Атака сводится к инициированию процесса перенастройки сессионных ключей шифрования WPA/WPA2/RSN (TK, GTK или IGTK), путём отправки клиенту или точке доступа специально оформленного кадра. Подобная перенастройка может быть использована злоумышленником для отключения защиты от повторного воспроизведения и существенного снижения стойкости шифрования до уровня, позволяющего, в зависимости от применяемого шифра, выполнить расшифровку содержимого передаваемых кадров или определить части ключей шифрования.

В частности, так как атакующий добивается переустановки уже используемого ключа в процессе согласования соединения, то осуществляется сброс привязанного к соединению номера передаваемых пакетов (nonce) и сбрасывается счётчик полученных ответов. Таким образом появляется возможность повторного использования одноразового значения "nonce". В зависимости от настроек беспроводной сети атакующий может организовать прослушивание трафика или манипуляцию данными, например, осуществить подстановку вредоносного кода на страницы сайтов, получаемые без HTTPS.

Опасность проблемы сглаживает то, что уязвимость может быть устранена без нарушения обратной совместимости, путём наложения патча на стороне клиента. Проблема будет устранена в hostapd/wpa_supplicant 2.7, но уже доступны патчи и пакеты с исправлением сформированы для Debian и Fedora, а в ближайшие часы ожидаются для Ubuntu, RHEL и SUSE. Из производителей оборудование обновление прошивки пока выпустил только Mikrotik. В OpenBSD проблема была устранена ещё конце августа, так как разработчики данной системы отказались откладывать исправление до окончания эмбарго, но согласились не афишировать связь исправления с уязвимостью до общего анонса.

https://xakep.ru/2017/10/16/wpa2-krack/

https://www.opennet.ru/opennews/art.shtml?num=47392

После сегодняшнего раскрытия информации, WPA2 более нельзя будет считать надежным, как это некогда произошло с WEP. Под ударом, вероятнее всего, окажутся миллионы сетевых устройств и их владельцы, а использования Wi-Fi придется избегать до выхода патчей. И если роутеры, скорее всего, получат обновления для этих потенциальных проблем, что произойдет с сонмом IoT-устройств, можно только догадываться.

Мало кто знает, что буква S в аббревиатуре IoT означает Security

,wpa2,wi-fi,уязвимость,решето,андроид-дно,geek,Прикольные гаджеты. Научный, инженерный и айтишный юмор

Отличный комментарий!

Более простым языком

Атака состоит в том, что можно сбросить IV (или nonce, в терминологии wifi) на клиенте. Таким образом можно заставить клиента использовать тот же самый keystream ещё раз. А потом ещё раз. И ещё. Дальше мы ксорим два потока данных с одинаковым keystream между собой и таким образом снимаем шифрование. Остаются просто расшифрованные данные, поксоренные между собой.
Если используется AES — то прослушка всего трафика, если TKIP или GCMP — то еще и подмена.

Номера уязвимостей:
CVE-2017-13077: Reinstallation of the pairwise encryption key (PTK-TK) in the 4-way handshake.
CVE-2017-13078: Reinstallation of the group key (GTK) in the 4-way handshake.
CVE-2017-13079: Reinstallation of the integrity group key (IGTK) in the 4-way handshake.
CVE-2017-13080: Reinstallation of the group key (GTK) in the group key handshake.
CVE-2017-13081: Reinstallation of the integrity group key (IGTK) in the group key handshake.
CVE-2017-13082: Accepting a retransmitted Fast BSS Transition (FT) Reassociation Request and reinstalling the pairwise encryption key (PTK-TK) while processing it.
CVE-2017-13084: Reinstallation of the STK key in the PeerKey handshake.
CVE-2017-13086: reinstallation of the Tunneled Direct-Link Setup (TDLS) PeerKey (TPK) key in the TDLS handshake.
CVE-2017-13087: reinstallation of the group key (GTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.
CVE-2017-13088: reinstallation of the integrity group key (IGTK) when processing a Wireless Network Management (WNM) Sleep Mode Response frame.

Ubiquiti выпустили обновление
We've prepared firmware 3.9.3.7537. Please see below for the changelog and links to the firmware binaries.
Firmware changes from 3.9.2:
[ACIWPro] Enable DFS support.
[UAP] Add more security details to scan info.
[UAP] Security patch for the WPA2 vulnerability called KRACK (details HERE).*
[UAP] Various backend fixes and/or improvements.
[USXG] Fix fastpath tools.
[HW] Improve error codes returned on firmware upgrade fail.

В LEDE бекпортировали исправления. Пока только в транке, обновлений к стабильному выпуску не выходило.

Кинетики пропатчены в 2.11.A.4.0-1 и в официальной beta тоже поправлено.

Metaluka

16.10.2017, 13:28

ссылка

+5,8

Давай ещё более простым языком, ладно?

Скажите честно нам лиздец?,wpa2,wi-fi,уязвимость,решето,андроид-дно,geek,Прикольные гаджеты. Научный, инженерный и айтишный юмор

16.10.2017, 13:53

+34,2

Обнаружена критическая уязвимость в USB интерфейсе.

Устройства, совместимые с USB-интерфейсом, используются нами повсеместно, и наверняка почти у всех есть самый простой USB-накопитель, названый в простонародье «флешкой». Так вот, знайте, что отныне ни одно USB-устройство не может стопроцентно гарантировать безопасность и сохранность данных на USB-гаджетах.

Два специалиста по безопасности из компьютерной компании Карстен Нол и Джейкоб Лелл хотят выложить в открытый доступ результаты своей исследовательской работы, которые показывают критическую уязвимость в USB-интерфейсе. И довольно странно, что ее никто еще не обнаружил до настоящего времени. Или все-таки обнаружил, но не стал публиковать эту ценную информацию, дабы использовать ее в своих целях? Это довольно серьезный вопрос.

Специалисты по безопасности специально для демонстрации написали вирус, который может внедриться в любой USB-гаджет. После подключения устройства к компьютеру вирус берет под контроль все важные системы, включая фоновую передачу файлов, редирект интернет-трафика и многое-многое другое.

Вирус BadUSB разработан таким образом, что он хранится не в самой flash-памяти, поэтому увидеть и удалить его пользователь не сможет. Вирус располагается в прошивке USB-гаджета и берет под контроль все его функции. В общем, простого способа убрать вирус с устройства не существует. Чтобы удалить вредоносный программный код из прошивки гаджета нужны познания в реверс-инжиниринге и программировании микроконтроллеров.

«Данную уязвимость нужно исправить как можно быстрее, ведь мы смогли использовать с помощью вируса лишь базовые возможности USB-интерфейса, — сообщает Карстен Нол в одном из интервью, — если эта уязвимость не будет устранена, то USB-накопители придётся выбрасывать каждый раз после подключения к любому неизвестному компьютеру».

Самое страшное в этой проблеме то, что вирус может заразить почти все устройства, подключаемые по USB. Мишенью вируса может стать ваша мышь, клавиатура, флешка, смартфон, настольные гаджеты и многое другое. Стоит отметить, что в прошивках USB-устройств нет цифровых подписей, и вирус может незаметно получить доступ ко всем файлам. Специалисты считают, что эта уязвимость уже давно используется в своих целях сотрудниками государственных агентств.

Стоит ли доверять USB-устройствам после такой неприятной информации – решать вам. Но одно можно точно сказать: в информационном мире никто и нигде не может гарантировать вам полной безопасности.

paylys

безопасность хакеры уязвимостьпесочница

7 апреля компания Codenomicon обнаружила уязвимость в программном обеспечении для шифрования данных в интернете — OpenSSL. Heart Bleed, как назвали эту уязвимость специалисты Codenomicon, позволяет хакерам получить доступ к оперативной памяти серверов, использующих в работе эту версию OpenSSL. С помощью такого доступа злоумышленники могут узнать ключи для шифрования данных при передаче их между серверами и любую другую информацию, которой обмениваются сервер и его клиенты (например, логины, пароли, cookies, сообщения пользователя и т. п.).

Heart Bleed не была бы столь опасной, если бы не отягощающие обстоятельства: OpenSSL — самое популярное решение для шифрования данных, использующееся на данный момент в интернете. Это значит, что уязвимости были подвержены почти все популярные ресурсы, включая сервисы интернет-банкинга, почтовые ящики и интернет-мессенджеры.

Специалисты рекомендуют сменить все пароли. Проверить устранены ли уязвимость на вашей почте/интернет-банке и т.д. можно тут https://www.ssllabs.com/ssltest/

Bazerald

WindowsMicrosoftAMD

Корпорация Microsoft приостановила распространение обновления безопасности для Windows, которое закрывает уязвимости Meltdown и Spectre. Патч стал причиной полного отключения компьютеров с процессорами AMD. Об этом во вторник, 9 января, сообщает The Verge.«Microsoft получила жалобы от обладателей чипов AMD о том, что их компьютеры перестают включаться после обновления безопасности операционной системы Windows», — сказал представитель компании.Корпорация уже работает над решением проблемы. В ее появлении она обвиняет AMD. В случае если компьютер перестал запускаться после установки обновления, Microsoft предлагает посетить сайт поддержки.Meltdown позволяет приложению читать любую память компьютера, включая память ядра. В то же время Spectre с помощью бреши в изоляции программ дает хакеру возможность получить информацию из других приложений. Данные уязвимости способны атаковать процессоры Intel, ARM64 и AMD. Обе они были обнаружены еще в середине 2017 года, однако патчи для их исправления начали выпускать лишь в начале 2018-го.

https://roem.ru/09-01-2018/266163/ms-amd-no-rocks/

https://lenta.ru/news/2018/01/09/microsoft/

Отличный комментарий!

> если компьютер перестал запускаться после установки обновления, Microsoft предлагает посетить сайт поддержки
Не работает Интернет? Поищи ответ в нашей онлайн-справке!

Culexus

09.01.2018, 17:40

ссылка

+33,9

Meffol

информационная безопасностькибератакаmicrosoft office0dayвзлом

Злоумышленники уже эксплуатируют свежий 0-day баг в Microsoft Office

Эксперты предупредили, что китайские хакеры уже активно эксплуатируют уязвимость нулевого дня в Microsoft Office, известную под названием Follina, для удаленного выполнения вредоносного кода в уязвимых системах.

Напомню, что об обнаружении Follina стало известно на прошлой неделе, хотя первые исследователи обнаружили баг еще в апреле 2022 года, но тогда в Microsoft отказались признать проблему. Теперь уязвимость отслеживается под идентификатором CVE-2022-30190, и известно, что ее можно эксплуатировать через обычное открытие документа Word или предварительный просмотр в «Проводнике», применяя для выполнения вредоносных команд PowerShell через Microsoft Diagnostic Tool (MSDT).

Баг затрагивает все версии Windows, которые получают обновления безопасности, то есть Windows 7 и новее, а также Server 2008 и новее.

Ранее эксперты уже сообщали, что обнаружение Follina является весьма тревожным сигналом, так как уязвимость открывает новый вектор атак с использованием Microsoft Office. Дело в том, что баг работает без повышенных привилегий, позволяет обойти Windows Defender и не требует активации макросов для выполнения бинарников или скриптов.

Как теперь рассказывают специалисты компании Proofpoint, проблему Follina уже взяли на вооружение китайские «правительственные» хакеры из группы TA413, нацелив свои атаки на международное тибетское сообщество.

лоумышленники распространяют среди жертв ZIP-архивы, содержащие вредоносные документы Word, предназначенные для атак на CVE-2022-30190. Приманки замаскированы под послания Центральной тибетской администрации и используют домен tibet-gov.web[.]app.

Известный ИБ-исследователь MalwareHunterTeam тоже пишет, что обнаружил документы DOCX с именами файлов на китайском языке, которые используются для доставки вредоносных полезных нагрузок через домен http://coolrat[.]xyz, в том числе малвари для кражи паролей.

Так как патча для Follina пока нет, администраторы и пользователи могут блокировать атаки на CVE-2022-30190, отключив протокол MSDT URI, который злоумышленники используют для запуска дебагеров и выполнения кода в уязвимых системах. Также рекомендуется отключить предварительный просмотр файлов в «Проводнике» Windows, потому что атака возможна и таким способом.

Источник:

xakep.ru

Отличный комментарий!

Когда твой софт пишут низкооплачиваемые индусы, там и не такое можно найти.

Voise From

02.06.2022, 05:40

ссылка

+11,2

Когда ты отказываешься признавать ошибку, то это уже первый шаг к провалу. Если по чесноку, то крупные компании начинают шевелиться только если кто-то из крупных клиентов несёт убытки, если убытки несёт сама компания или если небольшая группа людей начинает активно привлекать к проблеме внимание. К сожалению чаще всего это именно так и работает

veelzevul

02.06.2022, 05:46

ссылка

+31,1

Здесь мы собираем самые интересные картинки, арты, комиксы, мемасики по теме любить значит быть уязвимым (+1000 постов - любить значит быть уязвимым)