Vážení obchodní přátelé, zasíláme Vám aktuální novinky ze světa IT bezpečnosti.

McAfee MPOWER Digital 2020 (McAfee)
Sophos EVOLVE – Cybersecurity Summit (SOPHOS)

Sophos & AWS Marketplace Live​​​​​​​ (SOPHOS)

Penetrační testy s Metasploit Pro (COMGUARD)
Série webinářů - Sophos SOS Security week (SOPHOS)

ThreatGuard 3.0 je tady! (COMGUARD)

Závažná chyba v prohlížeči Firefox pro Android
Byla objevena chyba v prohlížeči Mozilla Firefox pro systémy Android, která útočníkovi umožňuje spouštět vzdáleně příkazy na napadených mobilních zařízeních, jestliže jsou připojena ke stejné Wi-Fi síti jako útočník. Zranitelnost existuje v SSDP enginu (Simple Service Discovery Protocol). SSDP engine napadených zařízení s nainstalovaným prohlížečem Firefox může být oklamán, aby odeslal zprávu Android intent tím, že nahradí umístění XML souboru v paketech odpovědi speciálně upravenou zprávou ukazující URI dané zprávy. Za tímto účelem může útočník připojený k cílené Wi-Fi síti spustit škodlivý SSDP server na svém zařízení a dále spustit příkazy na základě intentů na blízkých zařízeních se systémem Android přes Firefox, bez nutnosti jakékoliv interakce s jejich uživateli.

Objavená zero-day zraniteľnosť v Cisco IOS XR
Cisco IOS XR obsahuje zraniteľnosť, ktorej zneužitie vedie k vyčerpanie pamäte na zariadení. Cisco objavilo závažnú zraniteľnosť v spravovacom nástroji Internetwork Operating System (IOS) XR Software, ktorá umožňuje vzdialenému autentizovanému útočníkovi zahltiť pamäť na zasiahnutom zariadení. Zahltenie pamäte môže následne viesť k sérií ďalších bezpečnostných incidentov, najčastejšie k zamedzeniu dostupnosti služby (DoS útok). Zraniteľnosť je vyvolaná poslaním špeciálne upraveného IGMP (Internet Group Management Protocol) paketu, pomocou chyby v DVMPR (Distance Vector Multicast Routing Protocol). IGMP protokol je používaný pre efektívne využívanie zdrojov pri multicastovom prenose - najčastejšie streaming a gaming.
Cisco uviedlo, že zachytilo pokusy o zneužitie zraniteľnosti.
Návrh řešení týmu viz ThreatGuard-ID: 1319

Thunderbolt Zraniteľnosť Microsoft Windows Netlogon Remote Protocol
Microsoft Windows Netlogon Remote Protocol (MS-NRPC) používa nezabezpečený inicializačný vektor AES-CFB8, ktorý môže útočník zneužiť. Microsoft Windows Netlogon Remote Protocol (MS-NRPC) je základnou autentifikačnou súčasťou služby Active Directory, ktorá poskytuje autentifikáciu užívateľských a počítačových účtov. MS-NRPC používa pri autentifikácii počítačových účtov inicializačný vektor (IV) 0 (nula) v režime AES-CFB8. Výberom client challenge a ClientCredential zložených z núl má útočník šancu 1 z 256 na úspešnú autentizáciu ako akýkoľvek počítač pripojený k doméne. Vydaním sa za radič domény môže útočník podniknúť ďalšie kroky na zmenu hesla k počítaču v adresári Active Directory a potenciálne získanie oprávnení správcu domény. Neautentizovaný útočník so sieťovým prístupom k radiču domény sa môže vydávať za akýkoľvek počítač pripojený k doméne vrátane radiča domény. Medzi inými akciami môže útočník nastaviť prázdne heslo pre účet počítača v doméne Active Directory, čo spôsobí odmietnutie služby a potenciálne umožní útočníkovi získať oprávnenie správcu domény. Ohrozenie infraštruktúry služby Active Directory je pravdepodobne významný a nákladný dopad.
Návrh řešení týmu viz ThreatGuard-ID: 1344

TIP: Přejete-li si znát i návrh řešení, tak vyzkoušejte ThreatGuard ZDARMA na 14 dní www.threatguard.cz nebo napište na sales@comguard.cz o cenovou nabídku.

Únik zdrojových kódů k Windows XP a Windows 2003 server
Zdrojové kódy jsou ke stažení přes torrent, obsahující zdrojové kódy i starších verzí operačních systémů od Microsoftu, jako MS DOS 3.30, MS DOS 6.0, Windows 2000, Windows CE 3, Windows CE 4, Windows CE 5, Windows Embedded 7, Windows Embedded CE, Windows NT 3.5 a Windows NT 4. Autentičnost těchto kódů nebyla oficiálně potvrzena, tvrdí se ovšem, že k úniku došlo již před delší dobou, k jejich nasdílení ovšem došlo až v těchto dnech. Tento únik dat není první, který se Microsoftu stal. V roce 2017 unikly interní data o Windows 10 a byla zveřejněna na GitHubu.

Zdroj: https://www.bleepingcomputer.com/news/microsoft/the-windows-xp-source-code-was-allegedly-leaked-online/

Phishingová kampaň na Forpsi a Active24
Probíhá sofistikovaná phishingová kampaň na majitele domén. Zprvu byli cílem zákazníci Forpsi a následně o tomtéž informovala i společnost Active24. Falešný e-mail obsahuje v poli „od” název hostingu a pak doménu, aby útočníci zvýšili důvěryhodnost. Zpráva je psána dobrou češtinou a na první pohled nerozeznatelná od pravé zprávy. I platební odkaz vede zdánlivě na oficiální stránky poskytovatele, až při najetí myší si bystrý uživatel musí všimnout, že odkaz vede jinam. Na stránkách Forpsi je dostupný článek, ukazující na konkrétních případech drobné rozdíly mezi jejich oficiálními emaily a těmi podvodnými.

Zdroj: https://blog.forpsi.com/rybarska-sezona-vrcholi-aneb-phishing-je-stale-s-nami/

Nezabezpečená data aplikace Moje EZdravie
Slovenská mobilní aplikace Moje EZdravie zajištuje uživatelům nejnovější informace o lokální situaci ohledně šířícího se Corona viru a umožnuje jim například také objednat se na testování. Dlouhou dobu ovšem umožnovala vzdáleným útočníkům stažení veškerých informací o uživatelích této aplikace. Útočníci mohli získat například jména a příjmení, rodná čísla, adresy a další. To vše díky tomu, že data byla ukládána v čitelné podobě, s přístupem bez jakékoliv autentizace. K získání všech dat najednou tedy stačil velice jednoduchý script. Po odhalení tohoto nebezpečí došlo k zabezpečení dat. K reálnému úniky prý ovšem nedošlo. 

Zdroj: https://nethemba.com/sk/kriticka-zranitelnost-v-aplikacii-moje-ezdravie-unik-databazy-pacientov-testovanych-na-covid-19/

Nový Malware – KryptoCibule
Bezpečnostní výzkumníci společnosti ESET odhalili doposud neregistrovanou rodinu malwarů, která byla pojmenována jako KryptoCibule. Tento malware představuje ve vztahu ke kryptoměnám hned trojí hrozbu. Využívá zdroje oběti k těžbě mincí, pokouší se ukrást transakce nahrazením adres v peněžence a exfiltruje soubory související s kryptoměnami. A to vše při zavádění několika technik, aby se zabránilo detekci, jako je využívaní Tor sítě nebo samotné přenášení protokolem BitTorrent. Většina obětí KryptoCibule pochází z České republiky (47 %) nebo Slovenska (41 %). Téměř všechny škodlivé torrenty obsahující KryptoCibuli byly k dispozici na Uloz.to; jeden z největších portálů pro sdílení souborů v Česku a na Slovensku. 

Zdroj: https://www.welivesecurity.com/2020/09/02/kryptocibule-multitasking-multicurrency-cryptostealer/

První úmrtí pacienta v souvislosti s útokem ransomware
V Německu zaznamenali první případ úmrtí pacienta, které je dáváno do přímé souvislosti s útokem ransomwaru. Obětí je žena, která potřebovala urgentní péči, ale kvůli útoku ransomwaru musela být převezena do jiného města. Celá věc je o to nešťastnější, že nemocnice byla zasažena omylem. Útočníci, kteří zneužili při útoku chybu Citrix ADC CVE-2019–19781 ve skutečnosti útočili na univerzitu Heinricha Heineho. Poté, co vyšetřovatelé informovali útočníky, že omylem napadli nemocnici, útočníci stáhli požadavek na výkupné a poskytli klíč k dešifrování dat. Případ je momentálně vyšetřován jako vražda.

Zdroj: https://thehackernews.com/2020/09/a-patient-dies-after-ransomware-attack.html