گوگل به تازگی یک نقص اندرویدی با شناسه‌ی CVE-2019-2114 را وصله کرده است که به هکرها اجازه‌ می‌داد از طریق ویژگی اندوریدی به نام #NFC_beaming به گوشی‌های اطراف، بدافزار منتشر سازند.
NFC beaming از طریق یک سرویس اندرویدی داخلی به نام Android Beam کار می‌کند. این سرویس، به یک دستگاه اندرویدی اجازه می‌دهد داده‌های بزرگ همچون تصاویر، فیلم‌ها، ویدیو‌ها یا حتی برنامه‌های کاربردی را به دستگاه دیگری در همان نزدیکی از طریق امواج رادیویی NFC (Near-Field Communication، ارتباط در محدوده نزدیک) به جای استفاده از WiFi یا بلوتوث، ارسال کند.
زمانی که فایل‌های APK از طریق NFC Beaming منتقل می‌شوند، بر روی دیسک ذخیره و اعلانی بر روی صفحه، نمایش داده می‌شود. این اعلان از صاحب دستگاه سؤال می‌کند که آیا می‌خواهد به سرویس NFC اجازه دهد یک برنامه را از یک منبع ناشناس نصب کند یا خیر. اما در ماه ژانویه‌ی سال جاری، یک محقق امنیتی دریافت که این اعلان در اندروید 8 (Oreo) و نسخه‌های پس از آن، نمایش داده نمی‌شود. در عوض، این اعلان به کاربر اجازه می‌دهد برنامه‌ی کاربردی را با یک ضربه و بدون هیچ‌گونه اخطار امنیتی، نصب کند. اگرچه نبود اعلان خطر بی‌اهمیت به‌نظر می‌رسد؛ اما مسئله‌ی مهمی در مدل امنیتی اندروید است. دستگاه‌های اندرویدی اجازه ندارند برنامه های کاربردی را از منابع ناشناس نصب کنند (هر برنامه‌‌ای که از فروشگاه رسمی Play Store نصب نشود، غیرقابل اعتماد در نظر گرفته می‌شود). اگر کاربران بخواهند برنامه‌ای را از منبعی خارج از Paly Store نصب کنند، باید به بخش “Install apps from unknown sources” سیستم‌عامل اندروید خود بروند و این ویژگی را فعال سازند. گزینه‌ی “Install apps from unknown sources” تا Android 8.0 یک تنظیم سیستمی بود و برای تمامی برنامه‌ها یکسان بود. از Android 8.0، گوگل این مکانیزم را تغییر داد و تنظیمات را مبتنی بر برنامه‌ی کاربردی ساخت.
در نسخه‌های اندرویدی جدید، کاربران می‌توانند به بخش “Install unknown app” در تنظیمات امنیتی اندروید بروند و به برنامه‌های خاصی اجازه دهند برنامه‌ی دیگری نصب کنند. به نظر می‌رسد هر برنامه‌ی سیستمی که مورد تأیید گوگل باشد به‌طور اتوماتیک در لیست سفید قرار می‌گیرد و از کاربر برای نصب برنامه اجازه گرفته نمی‌شود. Android Beam نیز در لیست سفید برنامه‌های قابل اعتماد قرار دارد و به همان میزان Paly Store قابل اعتماد است؛ لذا مجاز به نصب هر برنامه‌ای از منبع ناشناس است. این بدان معنی نیست که این نقص به راحتی قابل سوءاستفاده است. اگرچه ناشناخته‌بودن برنامه هشدار داده نمی‌شود؛ اما هنوز سیستم‌عامل اندروید از کاربر برای نصب برنامه اجازه می‌گیرد.
وصله‌های اندرویدی ماه اکتبر سال 2019 گوگل، سرویس Android Beam را از لیست سفید منابع قابل اعتماد سیستم‌عامل اندروید حذف کرده است. با این وجود، میلیون‌ها کاربر در معرض خطر قرار دارند. اگر کاربران سرویس NFC و سرویس Android Beam را فعال کرده باشند، یک مهاجم در آن نزدیکی می‌تواند بدافزار را در گوشی‌های تلفن همراه آن‌ها قرار دهد. از آنجاییکه برای نصب از منابع ناشناس سؤالی پرسیده نمی‌شود، با ضربه بر روی اعلان، نصب برنامه‌ی مخرب آغاز می‌شود. این خطر وجود دارد که بسیاری از کاربران به اشتباه تصور کنند این پیام از Play Store است و با تصور اینکه به‌روزرسانی یک برنامه است، آن را نصب کنند.
متأسفانه ویژگی NFC در بسیاری از گوش‌های تلفن همراه که به تازگی به فروش رسیده‌اند، فعال است؛ اما از آنجاییکه اتصالات NFC تنها زمانی آغاز می‌شود که دو گوشی به فاصله‌ی نزدیک 4 سانتی‌متر (1.5 اینچ) یا کمتر از هم قرار داشته باشند، لازم است مهاجم گوشی خود را در نزدیکی قربانی قرار دهد که چنین چیزی همیشه ممکن نیست.
جهت حفظ ایمنی می‌توان اقدامات زیر را انجام داد:

• خاموش‌کردن مجوز NFC جهت نصب برنامه‌های ناشناس (این امر مانع از نصب APK توسط NFC می‌شود).
• غیرفعال‌ ساختن هر دوی ویژگی NFC و سرویس Android Beam.. اگر کاربری از گوشی اندرویدی خود به عنوان کارت دسترسی یا پرداخت‌های بی‌مخاطب استفاده می‌کند، می‌تواند NFC را فعال بگذارد و سرویس Android Beam را غیرفعال سازد.
• در نهایت می‌توان به‌روزرسانی امنیتی ماه اکتبر سال 2019 گوگل را دریافت کرد و به استفاده از هر دوی NFC و Beam ادامه داد.

#‫رمزگشای جدیدی برای باج‌افزار Nemty توسط پژوهشگران شرکت امنیتی Tesorionهلند ارائه شد.

در تاریخ 21 اوت سال 2019 میلادی، برای نخستین بار خبرهایی از انتشار باج‌افزار Nemtyمنتشر گردید. بر اساس مشاهدات صورت گرفته، این باج‌افزار از طریق سرویس دسترسی از راه دور مبتنی بر پروتکل RDP منتشر می‌گردد. گزارش‌هایی نیز مبنی بر سوءاستفاده این باج‌افزار از اکسپلویت کیت RIG، برای نفوذ به سیستم قربانیان منتشر گردیده است. باج‌افزار Nemty از الگوریتم AES برای رمزگذاری فایل‌های موردنظر خود در سیستم قربانیان استفاده می‌کند.
 

در صورتی که فایل‌های رمز شده شما توسط این باج‌افزار دارای پسوند با الگوهای

• _Nemty_<7 کاراکتر تصادفی>_

می‌باشند، می‌توانید به وسیله این رمزگشا فایل‌های خود را رمزگشایی کنید.
این رمزگشا در پایگاه پروژه NoMoreRansom قرار گرفته است. برای دانلود رمزگشا و راهنمایی رمزگشایی به آدرس زیر رفته و نام باج‌افزار را در لیست جستجو کنید:

https://www.nomoreransom.org/en/decryption-tools.html

همچنین شما می‌توانید به صورت مستقیم رمزگشا را از لینک زیر دانلود کنید:

https://mdsassets.blob.core.windows.net/downloads/NemtyDecryptor.exe

طی هفته جاری بدافزار جدیدی در حوزه #‫فیشینگ با نام «ضد فیشینگ» شناسایی شده است که ادعا می‌کند برنامه‌ای جهت تشخیص لینکهای فیشینگ بوده و اینگونه لینکها را از سایر لینکها تشخیص میدهد. اما با بررسی کد برنامه مشخص شد که پس از عضوگیری، روند برنامه تغییر پیدا کرده و کاربران را به صفحات فیشینگ هدایت میکند. کارگزار کنترل و فرمان این بدافزار در آدرس panell.website/antipish قرار دارد و از این طریق، هر زمان که مهاجم بخواهد، رفتار برنامه تغییر میکند. براساس اطلاعات موجود در سرور برنامه، تاکنون بیش از 472 نصب داشته است.

دانلود گزارش کامل

پیرو هشدار قبلی در خصوص افزایش حملات به سرویس دهنده‌های #SQL_Server بر روی #‫پورت_۱۴۳۳، نتایج رصد حسگرهای این مرکز نشان‌ دهنده گسترش آلودگی احتمالی سرورها در داخل کشور و فعالیت آنها به عنوان مهاجمین جدید در این حملات است.
 

با بررسی نمودارهای روند مشخص می‌شود که در دو ماه اخیر دو پیک حمله بر روی این پورت توسط سنسورهای مرکز ماهر ثبت شده است. اولین پیک حمله در اوایل شهریور ماه ثبت شده که در نمودار(1) در نقطه A قابل مشاهده است، حملات این نقطه حجم کمتری نسبت به حملات نقطه B در اواخر مهر و اوایل آبان ماه دارد. همچنین با بررسی نمودار(2) دو پیک C و D در نقاط زمانی مشابه نمودار قبل قابل مشاهده است. با بررسی این نمودار مشخص می‌شود که تعداد حملات در نقطه D به طرز چشمگیری نسبت به نقطه C افزایش پیدا کرده است. این موضوع نشاندهنده ایجاد آلودگی بیشتر بر روی سیستمهای داخل کشور است.
 

در این حمله مهاجم، شبکه هدف را برای یافتن سرورهای SQL Server با گذرواژه ضعیف اسکن کرده و با بکارگیری حمله Brute-force اقدام به ورود به سیستم می‌کند. در ادامه مهاجم با ایجاد برخی ‌ Jobها در SQL Server، فرامین مختلفی را اجرا کرده و یا بدافزارهایی را به سیستم منتقل کند. بدافزارهای منتقل شده در این روش می‌توانند هر نوع بدافزاری باشند.
 

مهاجم با این حمله گسترده در پی یافتن سیستم‌های آسیب‌پذیر در شبکه‌های مختلف همچون سرورهای دارای گذرواژه ضعیف است. برای جلوگیری نفوذ مهاجمین از طریق این حملات بر روی سرور SQL Server در سازمان توصیه می‌شود :

• از قرارگیری این سرورهای بصورت نامحدود بر بستر اینترنت اکیدا خودداری کنید
• از گذرواژه مطمئن و مقاوم در برابر حمله brute-force برای اکانت SQL Server استفاده کنید

در صورتی که SQL Server شما در معرض اینترنت قراد داشته است علاوه بر اطلاعات فوق لازم است:

• فهرست SQL Server Agent Job ها را جهت شناسایی موارد ایجاد شده‌ی احتمالی توسط مهاجمین بررسی کنید
• با توجه به احتمال آلودگی،‌ بررسی دقیقی بر روی سیستم عامل از نظر وجود ردپای نفوذ مهاجمین و آلودگی احتمالی انجام دهید.

شرکت Cisco یکی از بزرگترین تولیدکنندگان تجهیزات نرم‌افزاری و سخت‌افزاری شبکه می باشد که با توجه به پیشرفت روز افزون حوزه فناوری اطلاعات و به موازات آن افزایش چشم‌گیر تهدیدات سایبری در سطح جهان و آسیب‌پذیری‌های موجود در این تجهیزات می‌تواند موجب به خطر افتادن اطلاعات کاربران شود. از این رو بخش‌های مختلف Cisco به صورت مداوم و چندین مرتبه در ماه اقدام به ارائه آسیب‌پذیری‌های کشف شده در سرویس‌ها و تجهیزات این شرکت کرده و راه‌حل‌هایی برای رفع این آسیب‌پذیری‌ها ارائه می‌کنند. در این گزارش محصولاتی که دارای آسیب‌پذیری‌ با سطح (Critical) هستند و می‌توان با مراجعه به لینک مشخص شده اطلاعات جامع در مورد آسیب‌پذیری و نحوه رفع آن را کسب کرد.
 

بررسی نتایج رصد حسگرهای مرکز ماهر نشانده افزایش تلاش مهاجمین در شناسایی سرورهای SQL Server آسیب‌پذیر در شبکه کشور و نفوذ به آنها از اوایل ماه جاری است. این حملات بر روی پورت ۱۴۳۳ صورت گرفته و عمدتا از طریق brute-force و نفوذ به سرورهای دارای رمز عبور ضعیف صورت می‌گیرد. پس از نفوذ موفق، مهاجم از طریق ایجاد SQL Server Agent job های مختلف نسبت به تثبیت دسترسی خود و دریافت بدافزارهای مختلف بر روی سرور اقدام می‌کند.
این حملات از IP های داخل و خارج کشور در جریانند:
 

در صورتی که SQL Server شما در معرض اینترنت قراد داشته است لازم است:

• نسبت به محدودسازی دسترسی در سطح اینترنت اقدام کنید
• رمز عبود مناسب جهت پیشگیری از موفقیت حملات brute-force اننخاب کنید
• فهرست SQL Server Agent Job ها را جهت شناسایی موارد ایجاد شده‌ی احتمالی توسط مهاجمین بررسی کنید.

یک آسیب‌پذیری حیاتی در ابزار #kibana شناسایی و گزارش شده است. kibana یک داشبورد تحت وب جهت مدیریت و تصویرسازی و تحلیل های آماری است که معمولا در کنار پایگاه داده‌ی elasticsearch استفاده می شود.

این آسیب پذیری خطرناک با شناسه‌ی CVE-2019-7609 با درجه CVSS 10 امکان اخذ دسترسی از راه دور را برروی سروری فراهم می کند. ضعف امنیتی مربوطه در سرویس Timelion visualizer بوده و از نوع command Injection است (CWE-77).

نسخه های آسیب پذیر این ابزار شامل همه نسخه های قبل از 5.6.15 و همچنین نسخه های 6.0.0 تا قبل از 6.6.1 می باشد.

با توجه به انتشار exploit سواستفاده از این آسیب پذیری درفضای اینترنت و امکان اخذ دسترسی از راه دور توسط مهاجمین، هرچه سریعتر درخصوص بروز رسانی این ابزار اقدام کنید.

منبع :

https://www.tenable.com/blog/cve-2019-7609-exploit-script-available-for-kibana-remote-code-executio…

#‫رمزگشا ی #‫باج‌افزار Paradiseتوسط پژوهشگران شرکت امنیتی Emsisoft ارائه شد.

این باج‌افزار در ابتدای سپتامبر ۲۰۱۷ ظهور پیدا کرد و تا کنون به پسوندهای متعدد منتشر شده است. باج‌افزار Paradise از الگوریتم Salsa20 و RSA-1024 برای عملیات رمزگذاری استفاده می‌کند.

شایان ذکر است که این باج‌افزار از نوع Ransomware-as-a-service و از خانواده باج‌افزار Dharma می‌باشد.
 

در صورتی که فایل‌های رمز شده شما توسط این باج‌افزار دارای پسوند

• .paradise
• .2ksys19
• .p3rf0rm4
• .FC

می‌باشند، می‌توانید به وسیله این رمزگشا فایل‌های خود را رمزگشایی کنید.

لینک صفحه رسمی دانلود رمزگشا در سایت Emsisoft:

https://www.emsisoft.com/ransomware-decryption-tools/paradise

#‫رمزگشای جدیدی برای #‫باج‌افزار Ouroboros توسط پژوهشگران شرکت امنیتی BitDefender ارائه شد.

این باج‌افزار در ابتدای آوریل ۲۰۱۹ ظهور پیدا کرد و تا کنون به پسوندهای متعدد منتشر شده و تعداد قربانیان قابل توجهی در سراسر جهان را آلوده کرده است. باج‌افزار Ouroboros از الگوریتم AES-256 و بر اساس دستورات aesencو aesenclast برای عملیات رمزگذاری استفاده می‌کند که این موضوع باعث می‌شود تا این باج‌افزار بر روی سیستم‌های با پردازنده قدیمی (پیش از سال ۲۰۱۰) کار نکند.

پیغام باج خواهی باج‌افزار برای قربانیان پسوند Lazarus:
 

پیغام باج خواهی باج‌افزار برای قربانیان پسوند Lazarus+:
 

در صورتی که فایل‌های رمز شده شما توسط این باج‌افزار دارای پسوند با الگوهای

• [ID=XXXXXXXXXX][Mail= * ].Lazarus
• [ID=XXXXXXXXXX][Mail= * ].Lazarus+

می‌باشند، می‌توانید به وسیله این رمزگشا فایل‌های خود را رمزگشایی کنید.

لینک صفحه رسمی دانلود رمزگشا در سایت BitDefender:

https://labs.bitdefender.com/2019/10/ouroboros-ransomware-decryption-tool

در آوریل 2019، #‫بدافزار جدیدی کشف شد که ارتباطات وب رمزگذاری شده را به روشی چشمگیر به خطر می‌اندازد. تجزیه و تحلیل این بدافزار این اجازه را داد تا تأیید کنند که اپراتورها یک سری کنترل خاص روی کانال شبکه‌ی هدف دارند و می‌توانند نصب کننده‌های قانونی را با موارد آلوده در حال اجرا جایگزین کنند.

اسم این نسل جدید از بدافزار را که کشف کرده‌اند Reductor است که اجازه می‌دهد مهاجم ترافیک پروتکل HTTPرا توسط آسیب پذیری موجود در فرآیند تولید اعداد تصادفی یک مرورگر که برای اطمینان از اتصال خصوصی بین مشتری و سرور استفاده می‌شود دستکاری کند. Reductor پس از یک مسیر .pdb در برخی از نمونه‌ها به جا مانده است. علاوه بر کارکردهای معمول تابع RAT، مانند: بارگذاری، بارگیری و اجرای فایل ها ، نویسندگان Reductorتلاش زیادی را برای دستکاری در صدور گواهینامه‌های دیجیتال و علامت گذاری برون مرزی ترافیک TLSبا شناسه‌های مرتبط با میزبان انجام می‌دهند.

تیم جهانی تحقیقاتی و تجزیه و تحلیل (GReATGReAT) در کاسپرسکی، این بدافزار را کشف کرده‌اند. طبق گفته‌ی آن ها هنگامی‌که کسی از طریق این بدافزارآلوده شود، از Reductor برای جاسوسی از فعالیت مرورگر قربانی استفاده می‌شود. محققان گفتند که از Reductor برای جاسوسی سایبری از اشخاص دیپلماتیک که عضوی از جمهوری های پس از اتحاد جمایر شوروی هستند و به عنوان کشورهای مستقل مشترک المنافع شناخته می‌شوند، استفاده می‌شود. این محققان گفتند Reductor ارتباط نزدیکی با تروجان COMpfun دارد.

برای مطالعه کامل کلیک نمایید.