Hackear y modificar los reportes ADN de los pacientes con estas vulnerabilidades

Se descubrió una vulnerabilidad importante con una clasificación de 10,0 en un software de servicio de copia universal específico que se utiliza en algunos instrumentos de secuenciación del genoma de Illumina. Esta vulnerabilidad podría hacer posible que se lleven a cabo una variedad de operaciones maliciosas, incluida la carga y ejecución remota de código a nivel del sistema operativo.

La Agencia de Seguridad de Infraestructura y Ciberseguridad ( CISA ) y la Administración de Alimentos y Medicamentos (FDA) están asesorando a los defensores de la red en el sector de la salud para que evalúen sus advertencias, así como los consejos de seguridad de Illumina, para garantizar que los dispositivos en cuestión tengan la más alta nivel de protección posible contra acciones maliciosas.

Se informó una vulnerabilidad con una clasificación de 7,4 además de una falla con una puntuación de 10,0. Ambos defectos están presentes en varias iteraciones del software de control iScan, así como en los productos iSeq 100, MiniSeq, MiSeqDX, NextSeq y NovaSeq. Además de realizar otros tipos de secuenciación de próxima generación, estas tecnologías también realizan bioinformática.

La Administración de Alimentos y Medicamentos (FDA) considera que estos son dispositivos médicos que pueden usarse para investigación o en entornos de diagnóstico clínico para secuenciar el ADN de las personas con el fin de identificar trastornos genéticos. Las advertencias indican que la vulnerabilidad potencialmente catastrófica se encuentra en la función del servicio de copia universal v2.x. Esta función transfiere los archivos de salida de secuenciación desde la carpeta de ejecución del dispositivo a la carpeta de salida. Por otro lado, está vinculado a una dirección IP que no tiene restricciones, lo que significa que un ataque no autenticado podría utilizar el UCS para escuchar en todas y cada una de las direcciones IP, incluso aquellas que permiten conexiones remotas.

Mientras tanto, la vulnerabilidad de “privilegios innecesarios”, que tiene una calificación de gravedad de 7,4 sobre 10, puede detectarse en instrumentos que utilizan la plataforma v1.x o v2.x. La vulnerabilidad podría hacer posible que un actor de amenazas no autenticado cargue y ejecute código de forma remota a nivel del sistema operativo. Esto le daría al actor de amenazas la capacidad de alterar los ajustes, las configuraciones y las aplicaciones, así como también obtener acceso a datos confidenciales. La Administración de Alimentos y Medicamentos (FDA, por sus siglas en inglés) emite una advertencia de que un atacante no necesitaría obtener credenciales para implementar operaciones dañinas de forma remota, como el posible cambio de datos que se almacenan en el instrumento o en las redes de los clientes.

Vulnerabilidad crítica en dispositivos médicos de cardiología permitiría a los hackers provocar ataques cardíacos a las víctimas

Un ataque también podría tener un efecto en los resultados de los datos genéticos que se almacenan en los instrumentos, lo que haría que “los instrumentos no proporcionen resultados, resultados incorrectos, resultados alterados o una posible violación de datos”.

Según la advertencia, “En este momento, la FDA e Illumina no han recibido ningún informe que indique que se haya explotado esta vulnerabilidad”.

Illumina informó a CISA sobre la vulnerabilidad y desarrolló consejos para los usuarios del sistema basados ​​en configuraciones particulares para disminuir el efecto de estos graves problemas. La empresa ya ha producido un parche de software para protegerse contra la explotación, y la FDA ahora pide a “los proveedores y al personal de laboratorio que estén al tanto de las acciones necesarias para mitigar estos riesgos de ciberseguridad”.

Se recomienda que las credenciales para la cuenta de UCS se configuren en una gran cantidad de dispositivos que se han visto afectados, mientras que el software de otros sistemas deberá actualizarse. Además, la empresa produjo videos instructivos para sus clientes, todos los cuales están protegidos con contraseña para evitar el acceso no autorizado desde el mundo exterior.

A principios de este mes, Illumina envió notificaciones sobre las vulnerabilidades directamente a los usuarios y los instó a estar atentos a cualquier señal de que se estaba utilizando un exploit en los dispositivos afectados.

Para nuestra gran fortuna, aún no se han revelado vulnerabilidades públicas que se dirijan a esta vulnerabilidad en este momento. CISA aconseja que los defensores de la red adopten medidas defensivas para limitar el peligro de explotación. Estas medidas incluyen reducir la exposición de todos los sistemas y dispositivos de control y bloquear el acceso desde Internet. Sin embargo, dado el estado actual del entorno de amenazas, esto está sujeto a cambios bastante rápido.

Cuando el acceso a una ubicación distante es esencial, se recomienda el uso de redes privadas virtuales (VPN) o un enfoque seguro similar. Sin embargo, las redes privadas virtuales (VPN) vienen con su propio conjunto de vulnerabilidades; por lo tanto, los defensores deben asegurarse de que las herramientas que utilizan estén siempre actualizadas a la versión más reciente.

El cargo Hackear y modificar los reportes ADN de los pacientes con estas vulnerabilidades apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Solo por $1000 almes hackea laptop macos con este malware indetectable

Los investigadores descubrieron recientemente una nueva pieza de malware conocida como Atomic macOS Stealer (AMOS) cuando se ofrecía a la venta en Telegram. El actor de amenazas que lo promociona cobra $ 1,000 cada mes y actualiza continuamente el virus que vende. Atomic macOS Stealer es capaz de robar una variedad de información de la computadora de la víctima, como contraseñas guardadas en el llavero, información completa del sistema, archivos del escritorio y la carpeta de documentos de la víctima, e incluso la propia contraseña de macOS.

Una de sus muchas capacidades es la extracción de datos de navegadores web y billeteras de criptomonedas como Atomic, Binance, Coinomi, Electrum y Exodus. Esta es sólo una de sus muchas funciones. Cuando un actor de amenazas compra el ladrón de los creadores del ladrón, también recibe un panel web que está preconfigurado y listo para usar para administrar a las víctimas.

Hackers espían fácilmente a usuarios de macOS, afirman investigadores de Google

En el caso de que AMOS esté instalado, tiene el potencial de comprometer una amplia gama de datos, algunos de los cuales incluyen las contraseñas del llavero de iCloud, la contraseña del sistema macOS, cookies, contraseñas y credenciales de tarjetas de crédito de navegadores como Chrome. , Firefox, Brave, Edge y Opera, entre otros. Además, tiene la capacidad de comprometer billeteras de criptomonedas como Atomic, Binance, Exodus, Electrum, MetaMask y muchas otras.

Un panel web, un programa llamado Brute MetaMask, inicia sesión en Telegram con alertas, y la parte maliciosa que ofrece malware como servicio proporciona más funciones a los clientes.

El siguiente es el mensaje que el actor de amenazas publicó en Telegram mientras intentaba vender el malware:

Una vez que el malware ha obtenido acceso a la información de un usuario, coloca la información en un archivo ZIP, lo comprime y luego lo envía a la parte malintencionada a través de una URL de servidor de comando y control.

Es imperativo que los usuarios solo descarguen e instalen software de fuentes confiables, habiliten la autenticación de dos factores, revisen los permisos de las aplicaciones y se abstengan de abrir enlaces sospechosos recibidos por correo electrónico o mensajes SMS como resultado de este desarrollo, que es otra señal de que macOS está convirtiéndose cada vez más en un objetivo lucrativo más allá de los grupos de piratería de los estados nacionales para implementar malware ladrón. El desarrollo también es una señal de que macOS se está convirtiendo en un objetivo para que los ciberdelincuentes implementen malware ladrón.

Para protegerse contra ella:

Solo se deben descargar e instalar en su dispositivo las aplicaciones de la App Store oficial de Apple.
Instale en su computadora un paquete de software antivirus y de seguridad de Internet que tenga buena reputación.
Asegúrese de usar contraseñas seguras e implemente la autenticación de múltiples factores siempre que sea posible.
Cuando sea factible hacerlo, habilite las capacidades de seguridad biométrica del dispositivo, como la huella digital o el reconocimiento facial, para que pueda desbloquearse.
Siempre tenga cuidado antes de hacer clic en cualquier enlace que se le envíe en los correos electrónicos.
Al habilitar cualquier permiso, tenga mucho cuidado.
Asegúrese de que todo su software, incluidos los sistemas operativos y las aplicaciones, esté actualizado.

El cargo Solo por $1000 almes hackea laptop macos con este malware indetectable apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

No tienes que ser un súper hacker para hackear millones de sitios web, esta falla de CPanel lo hace fácil para cualquiera

El software conocido como cPanel se usa ampliamente en línea como panel de control para alojamiento web. En el momento en que se escribió este artículo, había exactamente 1,4 millones de instalaciones de cPanel expuestas en la Internet pública.

Los investigadores encontraron una vulnerabilidad conocida como secuencias de comandos de sitios cruzados reflejadas, que podría explotarse sin necesidad de autenticación. Además, la vulnerabilidad XSS podría explotarse incluso si los puertos de administración de cPanel (2080, 2082, 2083 y 2086) no estuvieran abiertos al mundo exterior. Este fue el caso independientemente de si estaban expuestos o no. Esto significa que si su sitio web está alojado en cPanel y se ejecuta en los puertos 80 y 443, también era susceptible a la vulnerabilidad de secuencias de comandos entre sitios.

Una identificación de llamada web no válida que puede incluir contenido XSS es el núcleo de CVE-2023-29489, la vulnerabilidad que causa. Cuando este contenido se muestra en la página de error de cpsrvd, no se escapa adecuadamente, lo que permite el ataque XSS.

At @assetnote, we discovered a reflected cross-site scripting vulnerability in cPanel that affected ~1.2M assets. You can read about our work in reverse engineering cPanel and discovering this here: https://t.co/caweyh5fsE. This has been assigned CVE-2023-29489.

— shubs (@infosec_au) April 27, 2023

Las repercusiones de ser susceptible a estos peligros son bastante preocupantes. El uso de cPanel con su configuración predeterminada permite a los actores maliciosos ejecutar una autenticación previa de JavaScript arbitraria en casi cualquier puerto de un servidor web. Esto se debe a las reglas de proxy que permiten el acceso al directorio /cpanelwebcall/ incluso en los puertos 80 y 443, que antes eran inaccesibles.

El efecto de esta vulnerabilidad es que pueden ejecutar JavaScript arbitrario, incluidos los scripts que necesitan autenticación previa, en prácticamente todos los puertos de un servidor web que utiliza cPanel con su configuración predeterminada.

Las restricciones de proxy son las culpables de esta situación. A pesar de que Apache está enviando un proxy a los puertos de administración de cPanel en los puertos 80 y 443, todavía pudieron acceder al directorio /cpanelwebcall/.

Debido a esto, un adversario puede lanzar ataques no solo contra los puertos administrativos de cPanel, sino también contra las aplicaciones que operan en los puertos 80 y 443.

Collect-MemoryDump: Una gran herramienta para el análisis forense digital para crear automáticamente instantáneas de memoria de Windows

Un adversario puede emplear este ataque de secuencias de comandos entre sitios para apoderarse de la sesión de cPanel de un usuario legítimo si los puertos de administración de cPanel estuvieron expuestos al ataque en primer lugar.

Después de autenticarse con éxito como usuario de cPanel, a menudo es bastante simple cargar un shell web para obtener privilegios de ejecución de comandos para uno mismo.

Prueba de concepto

Con el fin de demostrar la vulnerabilidad, los investigadores proporcionaron las siguientes URL de prueba de concepto:

• http://example.com/cpanelwebcall/<img%20src=x%20onerror=”prompt(1)”>aaaaaaaaaaaa
• http://example.com:2082/cpanelwebcall/<img%20src=x%20onerror=”prompt(1)”>aaaaaaaaaaaa
• http://example.com:2086/cpanelwebcall/<img%20src=x%20onerror=”prompt(1)”>aaaaaaaaaaaa
• http://example.com:2082/cpanelwebcall/<img%20src=x%20onerror=”prompt(1)”>aaaaaaaaaaaa

No se preocupe si cree que esta vulnerabilidad puede estar afectando su sitio web. Debido a que la mayoría de las instalaciones de cPanel en Internet tienen activada la capacidad de actualización automática, es posible que ya no corra el riesgo de ser explotado, incluso si no aplica un parche. Actualizar a cualquiera de las siguientes versiones de cPanel o superior eliminará el riesgo asociado con esta vulnerabilidad:

11.109.9999.116
11.108.0.13
11.106.0.18
11.102.0.31

El cargo No tienes que ser un súper hacker para hackear millones de sitios web, esta falla de CPanel lo hace fácil para cualquiera apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Trafficstealer permite que ganemos dinero a través de contenedores docker vulnerables

Los investigadores de TrendMicro han descubierto un nuevo riesgo para los contenedores Docker, una pieza de malware que han llamado “TrafficStealer”. El propósito de este programa es obtener ingresos influyendo en el tráfico web y la interacción de anuncios mediante el uso de contenedores . El peligro se reconoció por primera vez cuando se descubrió que uno de sus honeypots en contenedores alojaba la ejecución de un programa que les era ajeno.
Durante el proceso de analisis, descubrieron que uno de esos honeypots había recopilado un conjunto de datos; esto es algo poco común dado que no habían programado los honeypots para hacerlo. Sin embargo, en lugar de software de minería de criptomonedas o comandos de Linux que probablemente estaban realizando espionaje, descubrieron una aplicación desconocida que operaba en segundo plano. Este programa era un contenedor que explotaba la red del laboratorio para crear dinero enviando visitantes a sitios web particulares e interactuando con anuncios. Los atacantes habían transformado con éxito el honeypot en una máquina generadora de ingresos para ellos mismos, pero también habían dejado atrás información vital que les permitió obtener un mejor conocimiento de sus estrategias y extraer aprendizajes significativos de esta experiencia. El programa conocido como TrafficStealer funciona mediante el uso de una variedad de métodos, incluido el rastreo del sitio y la simulación de clics, entre otros. El rastreo web es el proceso de búsqueda en Internet de sitios web con un alto potencial de ingresos publicitarios, y la simulación de clics es la generación de clics falsos en los anuncios que se muestran en dichos sitios web. Este procedimiento conduce a un mayor nivel aparente de compromiso, lo que en última instancia genera más ingresos publicitarios para los atacantes. Dado que el servidor cifra todo el tráfico que se intercambia con él, las acciones son sospechosas. y la simulación de clics es la generación de clics falsos en los anuncios que se muestran en dichos sitios web. Este procedimiento conduce a un mayor nivel aparente de compromiso, lo que en última instancia genera más ingresos publicitarios para los atacantes. Dado que el servidor cifra todo el tráfico que se intercambia con él, las acciones son sospechosas. y la simulación de clics es la generación de clics falsos en los anuncios que se muestran en dichos sitios web. Este procedimiento conduce a un mayor nivel aparente de compromiso, lo que en última instancia genera más ingresos publicitarios para los atacantes. Dado que el servidor cifra todo el tráfico que se intercambia con él, las acciones son sospechosas.

La imagen del contenedor que se descubrió en el entorno fue cargada por un servicio que proporciona algo llamado “monetización del tráfico”. Sin embargo, en esta situación, el servicio ofrece pagar a los usuarios que estén dispuestos a instalar la pieza de software que acepta el tráfico de varios usuarios de aplicaciones móviles y lo envía a través de esta aplicación contenedora. La frase puede emplearse en un sentido más amplio e indicar varios tipos de servicios, pero en este caso, el servicio promete pagar a los usuarios que instalen el software. Se especula que el suscriptor será compensado monetariamente a cambio del enrutamiento del tráfico de la red del otro suscriptor a través de la propia red del suscriptor. Al registrarse en el servicio, el usuario recibe un token único en su tipo que actúa como una identificación.

No hay visibilidad sobre el tráfico que maneja el dispositivo del suscriptor mientras se usa como proxy después de que el software o el contenedor que pertenece al atacante se haya instalado o iniciado.

Siloscape: el nuevo malware para comprometer contenedores de Windows y clusters de Kubernetes

La pieza de software, que recibió el nombre de “TrafficStealer”, logra sus objetivos mediante el uso de una variedad de modos operativos. Los desarrolladores afirman que no hay nada ilegal en el tráfico, pero al mismo tiempo afirman que no son dueños del tráfico que se crea en el cliente. Esta afirmación se basa en la premisa de que las víctimas son quienes están operando el contenedor y la aplicación.

La totalidad de los datos enviados y recibidos del servidor están codificados, y la conexión se realiza a través de un puerto TCP impar, lo que genera dudas sobre las actividades. Los clientes que buscan medir el rendimiento de sus anuncios no solo tienen que pagar por el uso del tráfico de sus redes, sino que también tienen que lidiar con el tráfico desconocido que se enruta a través de sus redes.

Al utilizar el servicio oficial, el usuario debe registrar una cuenta para generar un token que se puede utilizar como parámetro. Además, se requiere que el usuario cree una identificación única para operar el servicio localmente. El actor malintencionado que hackeo el sistema tenía su token codificado y enviado a la configuración del contenedor como parámetro.

Al buscar repositorios de código que exhibieran un patrón de comportamiento similar, encontraron instancias del mismo patrón en los archivos Dockerfile y docker-compose.yaml. Incluso en los archivos YAML que se usan en las canalizaciones en la nube, es posible que se observe el mismo comportamiento en ciertas implementaciones del problema. Los archivos de configuración YAML brindan cierto grado de estructura a las aplicaciones y al software cuando se trata de la asignación de configuraciones y parámetros de software, mientras que la canalización en la nube permite automatizar la implementación, la operación y el cambio de los servicios en la nube. En este escenario particular, los desarrolladores y publicadores de estos archivos YAML facilitaron el proceso de publicación del archivo de configuración e implementación automática en la nube al automatizar el proceso. Como consecuencia, esto conduce a un despliegue más rápido de servicios maliciosos, más automatización y, lo que es más importante, mayor escala de ataque. Dados estos archivos y comportamientos, la cantidad de ingresos recibidos por el atacante aumentará proporcionalmente con la cantidad de corredores que se implementen.

Nueva herramienta de código abierto para verificación de contenedores es lanzada por Google

La imagen que se usó para infectar el honeypot se descargó 500 000 veces solo desde Docker Hub, lo que resultó en el procesamiento de 15 MB de datos en un par de segundos. El descubrimiento de esta versión en contenedor de TrafficStealer demuestra cómo los actores de amenazas modifican sus tácticas para aprovechar al máximo las plataformas emergentes y el software popular. Existe la posibilidad de que algunos de los clientes que conocen este servicio y que aparentemente se benefician de él no obtengan realmente los rendimientos que se prometieron sobre los costos de capital, como la tarifa de membresía original que pagaron por los servicios en la nube. Por otro lado, es posible que algunas personas lo estén ejecutando a ciegas y generando ingresos para los atacantes sin siquiera darse cuenta. Esto sugiere que habrá reducciones en las tarifas cobradas por los servicios en la nube. Además, los usuarios no dieron permiso para que la pieza de software operara en sus entornos individuales (en particular, como PUA) y, como resultado, es bastante probable que no tengan ningún control sobre el tráfico que utiliza la red como un apoderado. En el caso de que la red esté siendo utilizada para acciones ilegales, la dirección IP de la persona u organización que la esté utilizando sin su conocimiento es la que se registra.

El cargo Trafficstealer permite que ganemos dinero a través de contenedores docker vulnerables apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Piénselo dos veces antes de comprar el enrutador Wi-Fi TP-link Archer AX21. Se puede hackear

La renombrada red de bots Mirai, que es responsable de una multitud de ataques DDoS debilitantes, ha mejorado una vez más su arsenal. Esta vez, se está aprovechando de una vulnerabilidad recientemente reparada en los enrutadores Wi-Fi TP-Link Archer AX21. Durante la competencia Pwn2Own Toronto, numerosos equipos encontraron y revelaron de forma independiente la vulnerabilidad identificada como CVE-2023-1389, que tenía una puntuación CVSS de 8,8.

Existe una vulnerabilidad de inyección de comandos no autenticada conocida como CVE-2023-1389 en la API de localización de los enrutadores Wi-Fi TP-Link Archer AX21. Se puede acceder a esta vulnerabilidad a través de la interfaz de administración en línea. Durante el evento Pwn2Own Toronto, Team Viettel, Qrious Security y Tenable descubrieron una falla que permite a los atacantes explotar una vulnerabilidad de condición de carrera relacionada con el manejo de iptable, que a su vez les permite obtener la ejecución del código. El error fue publicado por las empresas antes mencionadas. En marzo, TP-Link publicó una actualización de firmware que abordaba esta y otras vulnerabilidades, justo antes de que se descubriera que se estaban realizando intentos de ataque en la naturaleza. La falla de la API locale, que se encarga de administrar la configuración de idioma del enrutador y no evalúa ni filtra la información que recibe, realizar el saneamiento de entrada es la causa raíz del problema. Esto brinda a los atacantes remotos la capacidad de insertar comandos en el dispositivo que deben ejecutarse.

Los piratas informáticos pueden explotar la vulnerabilidad al enviar primero una solicitud especialmente construida al enrutador que incluye una carga útil de comando como parte del parámetro del país y luego enviar una segunda solicitud que desencadena la ejecución del comando. Los piratas informáticos pueden explotar la debilidad enviando las solicitudes en el orden correcto.

El 11 de abril de 2023, los investigadores vieron los primeros síntomas del uso de una vulnerabilidad en la naturaleza y, desde entonces, han encontrado evidencia de comportamiento malévolo en todo el mundo. Según los hallazgos de ZDI , una variante lanzada recientemente de la botnet del virus Mirai ahora aprovecha la vulnerabilidad para obtener acceso al dispositivo. Después de eso, descargará la carga útil de malware que se adapta específicamente a la arquitectura del enrutador para incluirlo en su botnet.

Enrutadores de TP-Link permiten que cualquiera cambe la contraseña de su WiFi y robe sus datos

Esta versión específica de Mirai está diseñada para realizar ataques de denegación de servicio distribuido (DDoS), y sus características sugieren que su objetivo principal son los servidores de juegos. Por ejemplo, tiene la capacidad de lanzar ataques contra Valve Source Engine (VSE). Después de recopilar estas cargas útiles, se realiza una búsqueda de fuerza bruta para localizar la que sea adecuada para la arquitectura del sistema de destino. Después de la instalación, el host se infecta completamente de inmediato e inicia una conexión con el servidor Mirai C2. Se analizaron las cargas útiles y los resultados mostraron que los atacantes encriptan cadenas utilizando 0x00 y 0x22 como claves XOR. Una vez que se descifraron las cadenas, revelaron las funcionalidades de ataque y los parámetros de configuración del bot Mirai.

La rapidez con la que la botnet Mirai explotó CVE-2023-1389 destaca la reducción del ritmo de “tiempo de explotación” que se ha observado en el campo de la ciberseguridad. Para mantener su posición en las redes organizacionales, los actores de amenazas están ansiosos por aprovechar las vulnerabilidades recién descubiertas, particularmente en los dispositivos IoT. Esta reacción rápida destaca la importancia de aplicar los parches a tiempo para protegerse de peligros de este tipo.

El cargo Piénselo dos veces antes de comprar el enrutador Wi-Fi TP-link Archer AX21. Se puede hackear apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Famosa herramienta de hacking y malware entre los ciberdelincuentes: Evilextractor

EvilExtractor es una herramienta de ataque que tiene como objetivo los sistemas operativos Windows para extraer datos y archivos de dispositivos de punto final. EvilExtractor también se escribe ocasionalmente Evil Extractor. Viene con una serie de módulos, todos los cuales operan sobre un servicio FTP. Fue creado por una empresa conocida como Kodex y, según la empresa, puede usarse como una herramienta de enseñanza. Sin embargo, la investigación realizada por FortiGuard Labs demuestra que los estafadores lo utilizan activamente como medio para robar información.

De acuerdo con los datos recopilados sobre las fuentes de tráfico que van al sitio, evilextractor[. ]com en marzo de 2023, la actividad maliciosa experimentó un aumento considerable. El 30 de marzo, los expertos descubrieron malware en una campaña de correo electrónico de phishing y pudieron vincular las muestras de esto. Por lo general, parecerá ser un archivo válido, como un PDF de Adobe o un archivo de Dropbox, pero tan pronto como se cargue, comenzará a usar PowerShell para realizar operaciones maliciosas. Además de eso, tiene funciones para monitorear el entorno y prevenir máquinas virtuales. Su función principal parece ser recopilar datos e información del navegador de puntos finales que han sido pirateados, que luego envía a un servidor FTP controlado por el atacante.

California golpeada por ciberataque de ransomware LockBit

Los investigadores vieron un aumento en la cantidad de ataques que diseminaron el virus en el mes de marzo de 2023. La mayoría de las infecciones se registraron en los Estados Unidos y Europa.

Un individuo que usa el alias Kodex en línea es el que anuncia y vende la herramienta en los foros de mensajes de ciberdelincuencia. El creador del programa lo puso a disposición por primera vez en octubre de 2022 y está expandiendo continuamente sus capacidades al agregar nuevos módulos que vienen equipados con capacidades avanzadas.

El software malicioso tiene la capacidad de robar datos confidenciales del punto final infectado, como el historial del navegador, las contraseñas, las cookies y más. Además, el software malicioso puede grabar pulsaciones de teclas, activar la cámara y tomar capturas de pantalla. Los especialistas han descubierto que el malware también tiene una función de ransomware que se conoce como “Kodex Ransomware”.

Los analistas de seguridad descubrieron un esfuerzo de phishing que incluía un archivo adjunto malicioso en forma de archivo PDF disfrazado como una solicitud para confirmar una cuenta existente. El autor del ataque consigue que la víctima abra el archivo adjunto engañándolo para que haga clic en el icono del PDF.

Se ha descubierto que EvilExtractor se está utilizando como un ladrón de información completo con numerosas características dañinas, incluido el ransomware. Es posible que un script de PowerShell evite la detección cuando se ejecuta con un cargador .NET o PyArmor. En un período de tiempo relativamente corto, su creador mejoró la confiabilidad del sistema y actualizó varias de sus funcionalidades. Esta publicación de blog demuestra cómo los actores de amenazas inician un ataque utilizando el correo de phishing e identifica los archivos que se utilizan para extraer el script EvilExtracrtor PowerShell. Además de esto, repasaron las funcionalidades que están disponibles, el tipo de información que puede recopilar EvilExtractor y cómo funciona el Kodex Ransomware.

El cargo Famosa herramienta de hacking y malware entre los ciberdelincuentes: Evilextractor apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Código para hackear 100 millones de usuarios de 70,000 empresas que utilizan software de impresora publicado

El código de explotación de una falla grave en el software de la impresora se puso a disposición del público en general el lunes, como parte de un lanzamiento que tiene el potencial de aumentar el peligro que representan los ataques de malware, que ya han estado ocurriendo durante la última semana.

El software de gestión de impresión conocido como PaperCut, que según el sitio web de la firma tiene más de 100 millones de usuarios de 70.000 empresas, tiene una falla que permite el acceso no autorizado. En el momento en que se hizo público este artículo, el motor de búsqueda Shodan reveló que había alrededor de 1700 instancias del malware a las que se podía acceder a través de Internet. Los dos problemas de seguridad, que se enumeran como CVE-2023-27350 y CVE-2023-27351, hacen posible que los atacantes remotos eludan la autenticación y ejecuten código arbitrario en servidores PaperCut comprometidos con derechos SYSTEM. Estos tipos de ataques son de baja complejidad y no involucran la interacción del usuario. 

Dos días después de que PaperCut revelara los ataques, una empresa de seguridad llamada Huntress dijo que vio a los actores de amenazas aprovechar CVE-2023-27350 para instalar dos piezas de software de administración remota en sistemas sin parches. Estas piezas de software se conocen como Atera y Syncro, respectivamente. Después de eso, la evidencia demostró que el actor de amenazas había instalado el malware conocido como Truebot a través del software de administración remota que se empleó. Existe una conexión entre Truebot y una organización de amenazas llamada Silence, que a su vez tiene conexiones con una pandilla de ransomware llamada Clop. Anteriormente, Clop usó Truebot en ataques que tuvieron lugar en la naturaleza y aprovechó una falla grave en una pieza de software conocida como GoAnywhere. la evidencia demostró que el actor de amenazas había instalado el malware conocido como Truebot a través del software de administración remota que se empleó. Existe una conexión entre Truebot y una organización de amenazas llamada Silence, que a su vez tiene conexiones con una pandilla de ransomware llamada Clop. Anteriormente, Clop usó Truebot en ataques que tuvieron lugar en la naturaleza y aprovechó una falla grave en una pieza de software conocida como GoAnywhere. la evidencia demostró que el actor de amenazas había instalado el malware conocido como Truebot a través del software de administración remota que se empleó. Existe una conexión entre Truebot y una organización de amenazas llamada Silence, que a su vez tiene conexiones con una pandilla de ransomware llamada Clop. Anteriormente, Clop usó Truebot en ataques que tuvieron lugar en la naturaleza y aprovechó una falla grave en una pieza de software conocida como GoAnywhere.

Investigadores de la empresa de seguridad Horizon3 publicaron su estudio de las vulnerabilidades el lunes, junto con un código de ataque de prueba de concepto para la falla más grave. Este ataque, que es muy similar al exploit de prueba de concepto revelado por Huntress, aprovecha una debilidad en el mecanismo de omisión de autenticación para manipular la función de secuencias de comandos integrada y ejecutar el código.

Venga a tus vecinos bloqueando cualquier WiFi en una cuadra. 3 formas de crear un jammer WiFi sin hardware

Huntress reveló el viernes que hay alrededor de 1,000 computadoras con Windows con la aplicación PaperCut instalada en la configuración del cliente que protege. De ellos, había alrededor de 900 que carecían de un parche. Solo a uno de los tres macOS Mac que supervisó se le aplicó el parche. Suponiendo que las estadísticas sean indicativas de la base de instalación más amplia de PaperCut, los datos de Huntress muestran que miles de servidores aún corren el riesgo de ser atacados. Como se dijo anteriormente, es posible ubicar cerca de 1.700 servidores que son de acceso abierto a través de Internet. Las investigaciones de naturaleza más profunda pueden arrojar aún más información.

El viernes, CISA agregó la vulnerabilidad CVE-2023-27350 a su lista de vulnerabilidades explotadas activamente. Luego, la agencia emitió una orden a las agencias federales indicándoles que protegieran sus sistemas contra la explotación continua dentro de tres semanas y a más tardar el 12 de mayo de 2023.

Huntress aconseja a los administradores que no pueden reparar rápidamente sus servidores PaperCut que tomen precauciones para evitar la explotación remota.

Esto implica bloquear todo el tráfico al puerto de administración web (puerto predeterminado 9191) desde direcciones IP externas en un dispositivo perimetral. Además, esto incluye el bloqueo de todo el tráfico al mismo puerto en el firewall del servidor para confinar el acceso de administración completamente al servidor y evitar violaciones de la red.

El cargo Código para hackear 100 millones de usuarios de 70,000 empresas que utilizan software de impresora publicado apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

RBAC Buster: una nueva técnica de ataque para hackear el clúster de kubernetes

Los especialistas encontraron la primera prueba conocida de que los atacantes están utilizando el control de acceso basado en roles (RBAC) de Kubernetes (K8) en el campo para construir puertas traseras.. Los actores maliciosos también implementaron DaemonSets para tomar el control de los clústeres de K8 que atacaron y robar sus recursos. Un servidor API configurado incorrectamente que permitía consultas no autenticadas de usuarios anónimos con privilegios fue el punto de entrada que permitió adquirir el primer acceso. El atacante emitió algunas consultas HTTP para enumerar secretos y luego realizó dos llamadas API para obtener información sobre el clúster al enumerar las entidades en el espacio de nombres ‘kube-system’. Estas solicitudes permitieron al atacante descubrir información sobre el clúster. Después de eso, el adversario buscó un despliegue con el nombre ‘kube-controller’ para determinar si se había llevado a cabo un ataque previamente o no en este clúster en particular.

Además, el atacante intentó eliminar varias implementaciones ya existentes de espacios de nombres como “api-proxy”, “worker-deployment”, “kube-secure-fhgxtsjh” y “kube-secure-fhgxt”. Para maximizar la cantidad de CPU disponible y reducir la probabilidad de ser encontrado si el servidor estaba lleno, suponemos que el atacante estaba deteniendo campañas más antiguas o campañas rivales.

Cuando el atacante empleó RBAC para adquirir persistencia, ese fue el componente más fascinante de este ataque. El atacante estableció un ClusterRole adicional con poderes casi administrativos. Debido a que era un rol de clúster, no estaba restringido a ningún espacio de nombres en particular. Después de eso, el adversario estableció una ‘cuenta de servicio’ con el nombre ‘controlador kube’ en el espacio de nombres ‘sistema kube’. En el último paso de su ataque, el actor malintencionado creó un ‘ClusterRoleBinding’, que vinculó el ClusterRole a la cuenta de servicio para proporcionar un estado persistente que fuera sólido y encubierto.

LAS 8 MEJORES HERRAMIENTAS GRATUITAS PARA PRUEBAS DE SEGURIDAD Y AUDITORÍA DE SU CLUSTER DE KUBERNETES EN 2022

En esta etapa, el atacante ha generado persistencia que permite la explotación continua del clúster. Esto es así incluso en el caso de que se bloquee el acceso de usuarios anónimos. Además, adjuntar la función de “administrador de clúster” a un usuario nuevo o cuestionable puede activar alertas; sin embargo, el adversario ideó una técnica astuta para combinarse a la perfección con los registros de auditoría de la API. Esto se logró mediante la creación de un enfoque creativo para mezclarse. Al final, el atacante podría pasar desapercibido sin activar ninguna advertencia configurando el ClusterRoleBinding para acceder a “system:controller:kube-controller”. Este enlace parece ser completamente aceptable.

Después de eso, el actor malicioso construyó un DaemonSet para distribuir contenedores en todos los nodos usando una sola llamada a la API. La imagen del contenedor conocida como ‘kuberntesio/kube-controller:1.0.1’ se incluyó en el objeto de solicitud de formación DaemonSet. Esta imagen se almacenó en el registro público conocido como Docker Hub.

LAS 8 MEJORES HERRAMIENTAS GRATUITAS PARA PRUEBAS DE SEGURIDAD Y AUDITORÍA DE SU CLUSTER DE KUBERNETES EN 2022

La imagen del contenedor con el nombre “kuberntesio/kube-controller” es un ejemplo de error tipográfico que intenta suplantar la cuenta real “kubernetesio”. A pesar de que solo tiene unas pocas docenas de imágenes de contenedores, ha acumulado millones de tirones. La imagen también imita la conocida imagen de contenedor ‘kube-controller-manager’, que es una parte esencial del plano de control. Es una imagen de contenedor que opera dentro de un pod en cada nodo maestro y es responsable de determinar cuándo un nodo ha fallado y tomar las medidas adecuadas en respuesta a esa falla. Es un componente de K8s de uso frecuente que debería existir en el clúster y tiene el potencial de engañar a las personas haciéndoles creer que es una implementación válida en lugar de un criptominero. Esto se debe a que debería existir en el clúster. Porque está destinado a funcionar de manera incesante,

Este nuevo ataque de K8 se conoce como RBAC Buster. Su propósito es explotar los servidores API de K8 para construir un ClusterRoleBinding y adquirir acceso completo al clúster con persistencia después de que se solucione la configuración incorrecta.

El cargo RBAC Buster: una nueva técnica de ataque para hackear el clúster de kubernetes apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Una nueva investigación demuestra que el código generado por ChatGPT no está seguro

“¿Qué tan seguro es el código generado por ChatGPT?” es el título de un artículo de preimpresión. Los científicos informáticos Baba Mamadou Camara, Anderson Avila, Jacob Brunelle y Raphael Khoury brindan una respuesta de investigación que puede resumirse como “no muy seguro”.

Los científicos escriben en su estudio que los hallazgos fueron preocupantes. “Descubrimos que el código producido por ChatGPT a menudo no cumplía con los requisitos mínimos de seguridad que se aplican en la mayoría de las situaciones. En realidad, ChatGPT pudo determinar que el código generado no era seguro cuando se le solicitó que lo hiciera.

Después de solicitar a ChatGPT que creara 21 programas y scripts usando una variedad de lenguajes, incluidos C, C++, Python y Java, los cuatro escritores brindaron esa conclusión.

Cada uno de los desafíos de programación presentados a ChatGPT se seleccionó para resaltar una debilidad de seguridad diferente, como corrupción de memoria, denegación de servicio, fallas en la deserialización y cifrado mal implementado.

Por ejemplo, la primera aplicación fue un servidor FTP C++ para compartir archivos en un directorio público. Además, el código de ChatGPT carecía de saneamiento de entrada, lo que hacía que el programa fuera vulnerable a una falla de cruce de ruta.

En su primer intento, ChatGPT solo pudo producir cinco aplicaciones seguras de un total de 21. El enorme modelo de lenguaje finalmente produjo siete aplicaciones seguras más después de que se le pidiera que corrigiera sus errores, sin embargo, eso solo cuenta como “seguro” en términos de la vulnerabilidad particular que se está evaluando. No es una afirmación de que el código terminado esté libre de errores o sin otros defectos explotables.

California golpeada por ciberataque de ransomware LockBit

Los investigadores señalan en su artículo que ChatGPT no asume un modelo contradictorio de ejecución de código, que creen que es un factor que contribuye al problema.

Los autores señalan que, a pesar de esto, “ChatGPT parece consciente, y de hecho admite fácilmente, la presencia de vulnerabilidades críticas en el código que sugiere”. A menos que se le desafíe a evaluar la seguridad de sus propias ideas de código, simplemente permanece en silencio.

La primera recomendación hecha por ChatGPT en respuesta a problemas de seguridad fue usar solo entradas legítimas, lo cual no es un buen comienzo en el mundo real. El modelo de IA no brindó consejos útiles hasta posteriormente, cuando se le presionó para solucionar problemas. Aunque Khoury afirma que ChatGPT representa un peligro en su estado actual, esto no quiere decir que no haya aplicaciones legítimas para un asistente de IA inconsistente e ineficaz. Según él, los programadores utilizarán esto en el mundo real y los estudiantes ya lo han usado. Por lo tanto, es muy arriesgado tener una herramienta que cree código no seguro. Debemos educar a los estudiantes sobre la posibilidad de código inseguro producido por este tipo de herramienta.

El cargo Una nueva investigación demuestra que el código generado por ChatGPT no está seguro apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Cualquiera puede hackear los servidores de VMware Aria Log operations usando estas vulnerabilidades

El jueves, la empresa emitió soluciones urgentes para resolver graves fallas de seguridad en la línea de productos VMware Aria Log Operations (que originalmente se conocía como vRealize Log Insight). Además, la empresa emitió una advertencia sobre la posibilidad de ataques raíz remotos previos a la autenticación. VMware emitió una advertencia de nivel crítico que detalla dos vulnerabilidades diferentes en el paquete VMware Aria Operations (CVE-2023-20864 y CVE-2023- 20865) y brinda sugerencias para ayudar a las organizaciones a mitigar las preocupaciones.

CVE-2023-20864 (puntuación CVSS: 9,8): vulnerabilidad de deserialización
Existe una vulnerabilidad de deserialización en VMware Aria Operations for Logs y esta vulnerabilidad podría ser aprovechada por actores hostiles no autenticados. Un atacante no autenticado posiblemente podría ejecutar código arbitrario como root si tuviera acceso a la red de VMware Aria Operations for Logs. Esto comprometería la seguridad del sistema así como la integridad del mismo.

Aria Operations for Logs versión 8.12 cuenta con la solución de VMware a este problema, lo que asegura que la vulnerabilidad ha sido corregida con éxito. VMware ha lanzado esta versión. Esta vulnerabilidad no tiene soluciones conocidas en este momento.

Las 10 principales bibliotecas de Python para hackers éticos en 2023

CVE-2023-20865, también conocida como vulnerabilidad de inyección de comandos, tiene una puntuación CVSS de 7,2.
Se encontró una vulnerabilidad de inyección de comandos en VMware Aria Operations for Logs, y es posible que los actores hostiles que tienen derechos de administrador exploten este problema. Un adversario que tiene derechos administrativos tiene la capacidad de ejecutar comandos arbitrarios como root, lo que podría resultar en que el adversario obtenga acceso no autorizado a datos confidenciales o cause daños al sistema.

En la versión 8.12 de Aria Operations for Logs, VMware ha implementado un remedio para este problema, reduciendo así el riesgo que proporciona la vulnerabilidad en cuestión. Esta vulnerabilidad no tiene soluciones conocidas en este momento.

VMware ha abordado tanto CVE-2023-20864 como CVE-2023-20865 en la última versión de Aria Operations, que se emitió como reacción a estos descubrimientos y está disponible como versión 8.12 de Aria Operations. Se recomienda encarecidamente a los usuarios del programa que actualicen a esta versión lo antes posible para proteger sus sistemas informáticos y datos de la posibilidad de ser explotados.

El cargo Cualquiera puede hackear los servidores de VMware Aria Log operations usando estas vulnerabilidades apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

La técnica “traiga su propio controlador vulnerable” (BYOVD) permite evadir AV o EDR

Los actores de amenazas confían cada vez más en controladores explotables para eludir las medidas de seguridad . Los controladores son componentes del sistema de bajo nivel que brindan acceso a importantes estructuras de seguridad almacenadas en la memoria del kernel. Antes de permitir que funcionen los controladores en modo kernel, Windows utiliza una técnica de seguridad denominada Driver Signature Enforcement. Este mecanismo garantiza que los controladores hayan sido firmados digitalmente por una autoridad de firma de código legítima antes de que Windows permita que los controladores funcionen. Esta firma actúa como una marca de confianza para validar la autenticidad del programa y proteger el sistema del usuario de posibles vulnerabilidades.

Para eludir esta precaución de seguridad, los atacantes deben idear un método para adquirir un controlador malicioso certificado por un certificado confiable o participar en un ataque BYOVD, en el que explotan un controlador de software comercial legal para lograr su objetivo. Ambas opciones son muy difíciles de hacer. Por el contrario, el malware usa un controlador genuino que no está actualizado y puede ser explotado. El nombre habitual para este tipo de ataque es un ataque de tipo “traiga su propio controlador vulnerable” (BYOVD).

En este caso particular, los atacantes hicieron uso de un controlador que no solo fue desarrollado por Microsoft sino también firmado por la empresa. El equipo de Sysinternals ha desarrollado un conjunto de herramientas administrativas, una de las cuales se llama controlador Process Explorer. Este controlador tiene una serie de funciones que permiten a los usuarios interactuar con los procesos que están actualmente activos.

Sophos X-Ops ha llevado a cabo una investigación sobre muchos incidentes en el transcurso de los meses anteriores, todos los cuales incluyeron atacantes que intentaron desactivar clientes EDR mediante el uso de una nueva técnica de evasión defensiva que hemos denominado AuKill. Para desactivar los procesos EDR en la máquina de destino antes de instalar una puerta trasera o un ransomware, el programa AuKill utiliza una versión anterior del controlador que utiliza la versión 16.32 de la aplicación de Microsoft conocida como Process Explorer.

Desde principios de 2023, la herramienta se ha utilizado en al menos tres instancias de ransomware para frustrar la protección del objetivo e instalar ransomware. Estos eventos son los siguientes: en enero y febrero, los atacantes utilizaron el programa después de entregar el ransomware conocido como Medusa Locker; en febrero, un atacante usó AuKill justo antes de lanzar el malware conocido como Lockbit.

Un controlador con el nombre PROCEXP.SYS se coloca en el directorio C:\Windows\System32\drivers cuando se usa AuKill. Este controlador es de la versión de lanzamiento 16.32 de Process Explorer. El controlador oficial de Process Explorer tiene el nombre de archivo PROCEXP152.sys y, a menudo, se encuentra en el mismo directorio que el controlador falso. Ambos controladores pueden instalarse en una computadora al mismo tiempo si esa computadora ejecuta una copia de Process Explorer. Además, el instalador de AuKill colocará una versión ejecutable de sí mismo en el directorio System32 o TEMP, donde funcionará automáticamente como un servicio en segundo plano.

Por ejemplo, los programas de modo de usuario pueden enviar el código de control de E/S IOCTL_CLOSE_HANDLE al controlador, que le indica al controlador que cierre un identificador de proceso protegido, lo que finalmente da como resultado la finalización del proceso.

Para que un atacante explote con éxito este proceso, se requieren derechos de administrador en la máquina de destino. Cuando un atacante logra obtener derechos de administrador, normalmente indica que el atacante ahora tiene control total sobre la computadora.

Para ir más allá de estas medidas de seguridad, los atacantes deben ir un paso más allá e iniciar un controlador mientras está en modo kernel. En este caso, AuKill elude estas medidas de seguridad explotando un controlador válido que utiliza Process Explorer.
En la mayoría de los casos, un cliente EDR se compone de varias partes diferentes que cooperan entre sí. Un ejemplo de un componente es un proceso que se está ejecutando actualmente o un servicio ya instalado, cada uno de los cuales tiene su propio conjunto de capacidades. Por lo tanto, en el caso de que uno se congele o se apague, a menudo se reanuda lo más rápido posible.

California golpeada por ciberataque de ransomware LockBit

AuKill inicia varios hilos para garantizar que los procesos y servicios de EDR no se vuelvan a activar, lo que ayuda a evitar que estos componentes tengan que reiniciarse. Cada subproceso se enfoca en un componente particular y verifica de manera continua si los procesos o servicios a los que se dirige están activos. AuKill lo desactivará o cancelará si alguno de ellos lo es, si alguno de ellos lo es.
La práctica de deshabilitar los clientes de EDR mediante el uso de controladores, ya sean dichos controladores válidos pero mal utilizados con fines maliciosos (BYOVD) o emitidos por un certificado que fue robado o filtrado, sigue siendo común entre los adversarios que desean desactivar los sistemas de protección.

Las 10 principales bibliotecas de Python para hackers éticos en 2023

En el transcurso del año anterior, los miembros de la comunidad de seguridad documentaron muchas situaciones en las que los conductores fueron utilizados como armas por motivos nefastos. El hallazgo de tal herramienta da crédito a la teoría de que los adversarios están trabajando continuamente para armar a los conductores.

El cargo La técnica “traiga su propio controlador vulnerable” (BYOVD) permite evadir AV o EDR apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Vulnerabilidad peligrosa de día 0 en Google Chrome: CVE-2023-2136

La semana anterior, Google lanzó una solución de seguridad de emergencia para su navegador y hoy, la compañía lanzó otra actualización de seguridad de emergencia para abordar una vulnerabilidad que se está explotando en la naturaleza.
La actualización ya está disponible para las versiones de escritorio de Google Chrome , así como para la versión de Android de Chrome. Se alienta a los usuarios a instalar actualizaciones tan pronto como estén disponibles para proteger sus dispositivos contra posibles ataques que aprovechen estas vulnerabilidades.

Google ha enumerado cinco de los ocho problemas de seguridad que se abordaron en la versión más reciente de Google Chrome. Google dice que estos problemas se han manejado. El blog oficial de versiones de Chrome ha proporcionado documentación de estas mejoras recientes. Por otro lado, Google no da a conocer públicamente las fallas de seguridad que se encontraron durante las investigaciones internas de la propia empresa.

El acceso a la memoria fuera de los límites en la API de Service Worker es una vulnerabilidad de alto riesgo (CVE-2023-2133) .

El acceso a la memoria fuera de los límites en la API de Service Worker es una vulnerabilidad de alto riesgo (CVE-2023-2134).

Usar después de gratis en DevTools es una vulnerabilidad de alto riesgo (CVE-2023-2135).

Desbordamiento de enteros en Skia, una vulnerabilidad de alto riesgo (CVE-2023-2136).

Desbordamiento de búfer de almacenamiento dinámico en sqlite, clasificado como de gravedad media ( CVE-2023-2137) .

Según los hallazgos de Google, la falla de seguridad CVE-2023-2136 se está explotando activamente en la naturaleza.

Una biblioteca de gráficos 2D llamada Skia, que se usa con frecuencia en navegadores web, sistemas operativos y otras aplicaciones de software, tiene una falla conocida como CVE-2023-2136, que es una vulnerabilidad de desbordamiento de enteros. Un desbordamiento de entero ocurre cuando una operación aritmética da como resultado un número que es mayor que el límite máximo del tipo de entero. Esto hace que el valor se ajuste y se vuelva mucho más pequeño o mucho más grande de lo que estaba destinado a ser. Se puede evitar un desbordamiento de enteros asegurándose de que no se exceda el límite máximo del tipo de entero.

Vulnerabilidad en Google Chrome y navegadores basados en Chromium permite robo de información, billeteras, criptomonedas y credencias de millones de usuarios

Esto indica que los actores de amenazas ya han comenzado a explotar esta vulnerabilidad para apuntar a los sistemas y violarlos. Los resultados de una explotación exitosa pueden ser algo variables, pero casi siempre involucran al menos uno de los siguientes: acceso no autorizado a información confidencial; corrupción de datos; o incluso una adquisición total del sistema.

El canal Chrome Stable se actualizó a la versión 112.0.5615.137 para Windows y Mac, y se actualizó a la versión 112.0.5615.135 para Android; estas actualizaciones se implementarán en los próximos días o semanas.

El cargo Vulnerabilidad peligrosa de día 0 en Google Chrome: CVE-2023-2136 apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

El nuevo ley del gobierno del Reino Unido propone eliminar el cifrado de WhatsApp y Signal

WhatsApp , propiedad de Meta, ha amenazado con abandonar el Reino Unido en caso de que el gobierno adopte el Proyecto de ley de seguridad en línea, alegando que el proyecto de ley eliminaría efectivamente sus mecanismos de encriptación. La firma, junto con su empresa competidora Signal y otras cinco aplicaciones, dijo que, en caso de que el proyecto de ley se convierta en ley, los usuarios ya no estarán protegidos por el cifrado de extremo a extremo. Este tipo de cifrado asegura que nadie más que el receptor pueda leer las comunicaciones que se han entregado.

El ” Proyecto de ley de seguridad en línea ” inicialmente tenía la intención de criminalizar el material que incitaba a la autolesión que se publicaba en plataformas de redes sociales como Facebook, Instagram, TikTok y YouTube, pero luego se modificó para concentrarse de manera más general en contenido ilegal relacionado con adultos y niños. seguridad. La propuesta original era prohibir el contenido que promocionaba la autolesión publicado en plataformas de redes sociales como Facebook, Instagram, TikTok y YouTube. A pesar de que los representantes del gobierno han dicho que la medida no prohibiría el cifrado de extremo a extremo, las aplicaciones de mensajería han declarado en una carta abierta que “El proyecto de ley no brinda protección explícita para el cifrado”.

Continúa diciendo que si se implementa en su forma actual, “podría facultar a OFCOM [la Oficina de Comunicaciones] para tratar de forzar el escaneo proactivo de mensajes privados en servicios de comunicación encriptados de extremo a extremo, anulando así el propósito de encriptación de extremo a extremo y comprometiendo la privacidad de todos los usuarios”. Según WhatsApp y Signal, OFCOM es una institución aprobada por el gobierno encargada de regular los servicios postales, de telecomunicaciones y de transmisión en el Reino Unido. Sin embargo, si se aprueba el proyecto de ley, OFCOM podría hacer un mal uso de su capacidad para examinar chats individuales y espiar a los usuarios sin su conocimiento.

“En pocas palabras, el proyecto de ley plantea una amenaza sin precedentes para la privacidad, la seguridad y la protección de todos los ciudadanos del Reino Unido y las personas con las que se comunican en todo el mundo, al tiempo que alienta a los gobiernos adversarios que pueden intentar redactar proyectos de copia. leyes”, Signal ha dicho en un comunicado en Twitter que “no retrocederá en proporcionar comunicaciones privadas y seguras”, en respuesta a la carta abierta que alienta al gobierno del Reino Unido a repensar la forma en que la ley está redactada actualmente. . Ambas empresas han dicho que dejarían de admitir las aplicaciones en el Reino Unido en lugar de correr el riesgo de reducir sus estándares de cifrado actuales. Se han apegado a sus declaraciones.

Our position remains clear. We will not back down on providing private, safe communications. Today, we join with other encrypted messengers pushing back on the UK's flawed Online Safety Bill. pic.twitter.com/MwGBgcvgjk

— Signal (@signalapp) April 18, 2023

WhatsApp es considerada como la aplicación de cifrado número uno más utilizada, habiendo obtenido más de dos mil millones de usuarios activos mensuales en los años anteriores. Dado que WhatsApp se usa en todo el mundo, la empresa cree que sus temores están bien fundados. Explica en la carta que es imposible continuar brindando servicios de encriptación de extremo a extremo mientras el gobierno del Reino Unido amplía su monitoreo de las aplicaciones. En la carta, WhatsApp y Signal dijeron que no son los únicos que tienen problemas con el proyecto de ley del Reino Unido y que otros comparten estas preocupaciones. “Las Naciones Unidas han emitido una severa advertencia, afirmando que los intentos realizados por el gobierno del Reino Unido para hacer cumplir las restricciones clandestinas representan “un cambio de paradigma que presenta una variedad de dificultades importantes con implicaciones posiblemente desastrosas”.

Nueva técnica de ataques de phishing para WhatsApp sólo con una línea de código

El proyecto de ley de seguridad en línea tiene como objetivo abordar lo que los legisladores consideran una preocupación importante sobre el abuso infantil y el material de abuso sexual infantil que no está regulado en el Reino Unido. También se enfoca en falsificaciones profundas pornográficas, criminaliza el fomento de la autolesión y requiere que los sitios de redes sociales hagan cumplir más estrictamente sus términos de servicio. La ley deja claro que cualquier comunicación que viole sus criterios estaría sujeta a vigilancia por parte del gobierno. Pagar a un niño por servicios sexuales, instigar el desarrollo de material que muestre abuso sexual infantil u organizar o adquirir material que muestre abuso sexual infantil son ejemplos de este tipo de delitos.

El cargo El nuevo ley del gobierno del Reino Unido propone eliminar el cifrado de WhatsApp y Signal apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente

Si ves tráfico de hojas de cálculo y Google drive junto con este proceso en su red, significa que está hackeado

Investigadores del Threat Analysis Group (TAG) de Google presentaron sus hallazgos en el Informe Threat Horizons de la compañía. Sus hallazgos mostraron que el grupo de hackers APT41 estaba haciendo un mal uso del herramienta de equipo rojo GC2 en sus ataques. GC2, también conocido como Google Command and Control, es un proyecto de código abierto creado específicamente para operaciones de equipos rojos. Fue escrito en el lenguaje de programación Go. GC2 (Comando y Control de Google) es una aplicación de Comando y Control que permite a un adversario filtrar datos usando Google Drive y ejecutar instrucciones en el sistema de destino usando Google Sheet. Durante las operaciones de Red Teaming, este software se construyó para brindar un comando y control que no necesita ninguna configuración específica (como un dominio personalizado, VPS, CDN, etc.). Esto se hizo con el fin de hacer la aplicación más accesible.

Además, la aplicación solo se conectará con los dominios de Google (*.google.com) para que la detección sea más desafiante.

En octubre de 2022, el Grupo de Análisis de Amenazas (TAG) de Google logró interrumpir una campaña dirigida por HOODOO, un atacante respaldado por el gobierno chino también conocido como APT41. Este esfuerzo estaba dirigido a una organización de medios taiwanesa y consistía en enviar correos electrónicos de phishing que incluían enlaces a un archivo protegido con contraseña que estaba alojado en Drive. La carga útil era una pieza de software de código abierto conocida como ” Comando y control de Google”.” (GC2), que era una herramienta de red teaming. El programa está escrito en Go y recibe instrucciones de Google Sheets. Estas órdenes se utilizan para filtrar datos a Google Drive, lo que presumiblemente se hace para ocultar el comportamiento malicioso. Una vez que se ha instalado en el sistema de la víctima, el malware consultará Google Sheets para recopilar pedidos del atacante.

El atacante puede descargar más archivos de Drive a la máquina de destino usando GC2, además de filtrar datos a través de Drive. HOODOO utilizó previamente GC2 en el mes de julio de 2022 para dirigirse a un sitio web italiano de búsqueda de empleo. Estos ataques arrojan luz sobre algunos patrones críticos en el panorama de seguridad que plantean los actores de amenazas vinculados con China. En primer lugar, en lugar de crear sus propias herramientas únicas, las organizaciones chinas de amenazas persistentes avanzadas (APT) están recurriendo cada vez más a herramientas de acceso público como Cobalt Strike y otro software de “pentest” que se puede comprar o encontrar en sitios como Github. Este patrón se puede ver, por ejemplo, en la implementación de GC2 de HOODOO. En segundo lugar, la cantidad de herramientas que se crean en el lenguaje de programación Go ha aumentado constantemente durante los últimos años. Lo más probable es que esto se deba a la adaptabilidad del lenguaje Go, así como a la facilidad con la que se pueden agregar o quitar componentes del módulo. En conclusión, el ataque a los medios taiwaneses ejemplifica la continua superposición de actores de amenazas del sector público que atacan a entidades del sector privado con vínculos mínimos con el gobierno.

Como navegar en la dark web con la red anónima I2P

El Equipo de Acción de Ciberseguridad de Google (GCAT) y Mandiant realizaron una investigación sobre el uso de Google Drive por parte de los actores de amenazas para alojar malware. La investigación reveló que los actores de amenazas almacenan malware en Google Drive como archivos ZIP cifrados, muy probablemente en un intento de evitar la detección. Por ejemplo, en el cuarto trimestre de 2022, Mandiant descubrió una campaña que alojaba el binario URSNIF en Google Drive para propagar el malware URSNIF. URSNIF es una pieza de software de intrusión genérica muy conocida que tiene un historial de uso como robot bancario. Los actores de amenazas enviaron correos electrónicos de phishing en un intento de engañar a las posibles víctimas para que descargaran archivos ZIP protegidos con contraseña que incluían material dañino. Este contenido fue instalado posteriormente en las computadoras de las víctimas.
El malware DICELOADER, que es otro tipo de malware de intrusión amplio que puede usarse para una variedad de objetivos, fue empleado por los actores de amenazas a fines del cuarto trimestre de 2022 para implementar una extensión de este enfoque. Durante esta campaña, Mandiant descubrió correos electrónicos de phishing que tenían enlaces maliciosos a Google Drive. Al hacer clic en estos enlaces, la computadora del destinatario descargó un archivo ZIP que incluía un archivo LNK. El instalador Trojanized Zoom MSI se descargó e instaló más tarde como resultado del archivo LNK, que finalmente resultó en la infección causada por DICELOADER. Según los correos electrónicos de phishing que descubrió Mandiant, esta campaña dio la impresión de que estaba dirigida a la industria de servicios financieros.
Google tomó una serie de medidas para detener este comportamiento en ese momento, y la empresa también implementó nuevas habilidades de investigación para mejorar su capacidad de identificar y frustrar futuras instancias de uso malicioso similar de Google Drive.
Estas técnicas sacan a la luz el riesgo que plantean los actores de amenazas que utilizan servicios en la nube para alojar contenido malicioso y su desarrollo continuo de técnicas de evasión para evitar la detección. Por ejemplo, han pasado de usar archivos ZIP cifrados que contenían malware a archivos ZIP cifrados que se vinculaban a instaladores legítimos con troyanos. Debido a que se espera que esta tendencia continúe, las empresas deben extremar las precauciones al monitorear las descargas, especialmente de sitios web que parecen confiables.

El cargo Si ves tráfico de hojas de cálculo y Google drive junto con este proceso en su red, significa que está hackeado apareció primero en Noticias de seguridad informática, ciberseguridad y hacking.

Ver Fuente