Предлагаем ознакомиться с Symantec Threat Landscape Bulletin, чтобы узнать подробнее о новостях из мира кибербезопасности за 27 — 28 ноября 2024.
Хакеры из России из RomCom используют уязвимости нулевого дня в Firefox и Windows
Исследователи обнаружили, как две уязвимости нулевого дня активно эксплуатируются российской киберпреступной группировкой, известной как RomCom, нацелены для атаки на пользователей Firefox и Windows в Европе и Северной Америке.
RomCom известен тем, что проводит кибератаки и другие киберпреступления для российского правительства.
Исследователи из ESET обнаружили доказательства того, что RomCom объединила две уязвимости нулевого дня для создания эксплойта zero-click. Это позволило злоумышленникам удалённо установить вредоносное ПО (RomCom RAT) на компьютер жертвы без какого-либо взаимодействия с пользователем. Для активации эксплойта достаточно было, чтобы цель посетила вредоносный веб-сайт, контролируемый злоумышленниками.
Уязвимости, используемые группировкой, включают в себя:
- CVE-2024-9680 (CVSS: 9.8) — уязвимость использования памяти после освобождения в компоненте анимации Firefox (исправлена Mozilla в октябре 2024 г.)
- CVE-2024-49039 (CVSS: 8.8) — уязвимость повышения привилегий в планировщике задач Windows (исправлена Microsoft в ноябре 2024 г.)
«Количество потенциальных атак варьируется от 1 до 250 жертв на страну, согласно телеметрии ESET», — заявили в ESET. Большинство целей находятся в Европе и Северной Америке.
Сайты WordPress подвержены риску взлома из-за уязвимого плагина CleanTalk
Пользователям плагина Anti-Span от CleanTalk для WordPress настоятельно рекомендуется проверить, что у них установлено последнее обновление, на данный момент это версия 6.45.2.
Как следует из названия, плагин часто используется администраторами сайтов для предоставления антиспамовых услуг владельцам сайтов, но он также имеет встроенный так называемый «Spam FireWall», который блокирует массовые спам-атаки и активность ботов. По заявлению разработчиков, плагин установлен более чем на 200 000 сайтов.
Недавно исследователи обнаружили и ответственно сообщили о паре критических проблем в плагине.
Первая (CVE-2024-10542- CVSS: 9.8) может допускать несанкционированную установку произвольного плагина из-за обхода авторизации через обратный DNS-спуфинг на функции checkWithoutToken. Это касается всех версий до версии 6.43.2 включительно.
Вторая (CVE-2024-10781- CVSS: 9.8) также является проблемой несанкционированной произвольной установки плагина, на этот раз из-за отсутствия проверки пустого значения для значения «api_key» в функции «perform». Эта проблема затрагивает все версии до версии 6.44 включительно.
Обе уязвимости позволяют неаутентифицированному удаленному злоумышленнику установить любой плагин на сервер, на котором запущен уязвимый плагин. Злоумышленник может использовать эти уязвимости для установки других плагинов с эксплуатируемыми уязвимостями, чтобы ещё больше скомпрометировать сервер и получить над ним контроль.
Пользователям плагина «Spam protection, Anti-Spam, FireWall by CleanTalk» рекомендуется убедиться, что у них установлена последняя версия, чтобы избежать компрометации серверов.
IBM исправляет ошибки RCE в Data Virtualization Manager, Security SOAR
IBM выпустила обновления для устранения двух уязвимостей удалённого выполнения кода (RCE) высокой степени опасности в своих продуктах Data Virtualization Manager и Security SOAR.
CVE-2024-52899 (CVSS: 8.5) — это уязвимость в Data Virtualization Manager для z/OS, которая может позволить удаленному аутентифицированному злоумышленнику внедрить вредоносные параметры URL JDBC, что может привести к выполнению произвольного кода на сервере. IBM выпустила обновления для решения проблемы для Data Virtualization Manager для z/OS версий 1.1 и 1.2 и дала инструкции по тому как их скачать в своем консультативном заключении.
CVE-2024-45801 (CVSS: 7.3) — уязвимость в IBM Security SOAR, связанная с прототипным загрязнением (prototype pollution) в процессе глубоких проверок. Эта уязвимость позволяет выполнить произвольный код или вызвать отказ в обслуживании (DoS) через компонент DOMPurify пользовательского интерфейса.
Злоумышленник может использовать эту уязвимость для захвата контроля над системой или её отключения.
Проблема устранена в версии 51.0.4.0 путём удаления уязвимого компонента из интерфейса.
Российское Агентство социального проектирования обвиняется в проведении операции «Undercut»
Предполагается, что российское правительство через свое Агентство социального проектирования (АСД) стоит за очередной масштабной кампанией по дезинформации, на этот раз направленной на аудиторию в Европе, США и Украине. Новая дезинформационная кампания под названием «Операция Undercut» направлена на распространение онлайн-контента, который поможет подорвать общественную поддержку в этих местах западной помощи украинским военным действиям.
Ее цель – производство и распространение материалов, направленных на дискредитацию украинского правительства, с рассказами и видео о коррупции и роскошном образе жизни лидеров. Контент часто создается с помощью технологий искусственного интеллекта и выглядит так, как будто его источником являются авторитетные СМИ.
Контент создается на нескольких языках и распространяется по многочисленным каналам, включая самые популярные приложения социальных сетей. Несмотря на усилия SDA, судя по сообщениям, контент пока мало привлекает целевую аудиторию.
Читайте Symantec Protection Bulletin, чтобы узнать больше о том, как продукты Symantec защищают вас от угроз.
