در سپتامبر ۲۰۲۳، یک آسیب‌پذیری بحرانی در Microsoft SharePoint Server  با شدت 9.8 و شناسه CVE-2023-29357  گزارش شد. این آسیب‌پذیری در ماه ژوئن ۲۰۲۳ توسط مایکروسافت وصله شده بود. این آسیب‌پذیری به مهاجم اجازه می‌داد که بدون نیاز به احراز هویت، سطح دسترسی ادمین را بدست آورند. برای بهره‌برداری از این آسیب‌پذیری، مهاجم می‌تواند از توکن‌های احراز هویت JWT (JSON Web Token) دیگران استفاده غیرمجاز کند. این کار به وی اجازه می‌داد تا حملات شبکه را اجرا کرده، مکانیزم‌های احراز هویت را دور زده و به امتیازات یک کاربر احراز هویت شده دسترسی پیدا کند. شایان ذکر است که این حملات به هیچ گونه تعاملی از سوی کاربر نیاز نداشت.
یک پژوهشگر مرکز تحقیقات StarLabs به نام نگوین تیان گیانگ، در رویداد Pwn2Own Vancouver  2023 تجزیه و تحلیل دقیقی از یک زنجیره بهره‌برداری ترکیبی ارائه داد. این زنجیره دارای دو آسیب‌پذیری اساسی است:
1. دسترسی بدون احراز هویت: حمله‌کننده می‌تواند با تولید JWTهای معتبر و استفاده از الگوریتم امضا "none" به عنوان الگوی امضا، خود را عنوان به هر کاربری در SharePoint جا بزند. این تاکتیک به طور مؤثر از اعتبارسنجی امضا در هنگام تایید توکن‌های JWT در روند احراز هویت OAuth گذر می‌کند.
2. تزریق کد: کاربران SharePoint با مجوزهای "Owners" می‌توانند کد دلخواهی را تزریق کنند. به طور خاص، آن‌ها می‌توانند فایل /BusinessDataMetadataCatalog/BDCMetadata.bdcm را جایگزین کنند، که می‌تواند باعث می‌شود کد تزریق شده به صورت یک مجموعه کامپایل شده توسط SharePoint  اجرا شود.
چالش اصلی آن است که چگونه از آسیب‌پذیری دسترسی بدون احراز هویت برای دسترسی به API SharePoint استفاده شود، سپس یک زنجیره بهره‌برداری پس از احراز هویت (RCE) از این طریق شناسایی شود.
 

شکل 1: آسیب‌پذیری برای CVE-2023-29357 در پلتفرم SOCRadar

یک اسکریپت بهره‌برداری عمومی برای این آسیب‌پذیری SharePoint به تازگی در GitHub منتشر شده است که به مهاجمان اجازه می‌دهد تا سطح دسترسی را در نصب‌ نسخه‌های تحت تأثیر SharePoint Server بالا ببرند. علاوه بر این، عوامل مخرب می‌توانند این آسیب‌پذیری را با یک آسیب‌پذیری RCE دیگر ادغام کرده و سرور مورد هدف را به شدت در زمینه محرمانگی، اصالت، و دسترسی تحت تاثیر قرار دهند.
اسکریپت بهره‌برداری GitHub امکانات زیر را فراهم خواهد کرد:
1. تظاهر به کاربر: این امکان را به مهاجمان می‌دهد تا کد دلخواهی را به عنوان برنامه SharePoint اجرا کنند و منجر به حمله (DoS) انکارسرویس شود.
2. خروجی‌های دقیق: این اسکریپت جزئیات کاربران مدیر با امتیازات بالا را فاش می‌کند و می‌تواند در حالت‌های بهره‌برداری تکی و گروهی عمل کند.
با این حال، باید تأکید شود که این اسکریپت تنها برای مقاصد آموزشی، تست قانونی و استفاده اخلاقی طراحی شده است.

محصولات تحت تأثیر
این آسیب‌پذیری به طور مستقیم بر روی SharePoint Server 2019 نسخه 16.0.10396.20000 تأثیر می‌گذارند. علاوه بر این، تست‌ها شامل پچ‌های مارس 2023 KB5002358 و KB5002357 شده است.

توصیه‌های امنیتی
اعمال تدابیر دفاعی برای سازمان‌هایی که SharePoint Server را اجرا می‌کنند، به ویژه نسخه 2019، ضرور است. مایکروسافت توصیه می‌کند که کاربران در اسرع وقت نرم‌افزار خود را به نسخه  16.0.10399.20005 ارتقاء دهند، همچنین این شرکت اعلام کرده است که مشتریانی که ویژگی یکپارچگی AMSI رابط اسکن ضد بدافزار را فعال کرده و از Microsoft Defender در فارم‌های SharePoint Server خود استفاده می‌کنند، در برابر این آسیب‌پذیری محافظت می‌شوند. این لایه امنیتی سطح دیگری از حفاظت ارائه می‌دهد. برای کسانی که می‌خواهند AMSI را با SharePoint Server خود پیاده‌سازی کنند، راهنمای مرحله به مرحله را می‌توانید در مستندات رسمی مایکروسافت پیدا کنند:

https://learn.microsoft.com/en-us/sharepoint/security-for-sharepoint-server/configure-amsi-integrat…

اکنون که بهره‌برداری به صورت عمومی در دسترس است، احتمال استفاده از آن توسط موجودیت‌های مخرب به طرز قابل توجهی افزایش یافته است. پیاده‌سازی به موقع پچ‌ها و تدابیر توصیه شده جهت مهار احتمال تخلفات امنیتی و نفوذ به داده‌ها بسیار حیاتی است.

روش‌های دریافت و نصب به‌روزرسانی
1. از طریق Microsoft Update: این به‌روزرسانی از طریق Microsoft Update در دسترس است. هنگامی که به‌روزرسانی خودکار را فعال کنید، این به‌روزرسانی به‌طور خودکار دانلود و نصب می‌شود. برای اطلاعات بیشتر در مورد دریافت خودکار به‌روزرسانی‌های امنیتی، به Windows Update: سوالات متداول مراجعه کنید.
2. از طریق Microsoft Update Catalog: برای دریافت بسته مستقل این به‌روزرسانی، به وب‌سایت Microsoft Update Catalog مراجعه کنید.
3. از طریق Microsoft Download Center: می‌توانید بسته به‌روزرسانی مستقل را از طریق Microsoft Download Center دریافت کنید. دستورالعمل‌های نصب را در صفحه دانلود دنبال کنید تا به‌روزرسانی نصب شود.

منابع خبر:

[1] https://socradar.io/microsoft-sharepoint-server-elevation-of-privilege-vulnerability-exploit-cve-20…
[2] https://github.com/Chocapikk/CVE-2023-29357/tree/main
[3] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357

یک مهاجم درحال گسترش اکسپلویت جعلی اثبات نامفهوم (PoC)  برای آسیب‌پذیری WinRAR است که اخیرا در GitHub رفع شده است.
این مهاجم، کاربران را با اکسپلویت جعلی WinRAR PoC، در GitHub فریب می‌دهد تا سیستم آنها را با بدافزار VenomRAT آلوده کند. این PoC جعلی، آسیب‌پذیری WinRAR را اکسپلویت نمی‌کند، به‌نظر می-رسد مهاجم از یک RCE با جستجوی بالا در WinRAR، برای به خطر انداختن دیگران استفاده می‌کند.

جزئیات آسیب‌پذیری
PoC جعلی برای آسیب‌پذیری CVE-2023-40477 ایجاد شده است. یک آسیب‌پذیری اجرای کد که می‌تواند زمانی که فایل‌های RAR ساخته شده در WinRAR قبل از 6.23 باز می‌شوند، فعال شود.
CVE-2023-40477  به یک آسیب‌پذیری اعتبار سنجی نامناسب، در ابزار WinRAR مربوط می‌شود که می-تواند برای دستیابی به اجرای کد از راه دور (RCE) در سیستم‌های ویندوز اکسپلویت شود. این آسیب‌پذیری، ماه گذشته  در نسخه WinRAR 6.23 همراه با آسیب¬پذیری دیگری با عنوان CVE-2023-38831  که اکسپلویت شده بود، ردیابی شد.
عامل مخرب شامل یک فایلREADME  و یک ویدیوی Streamable بود که نحوه استفاده از PoC را نشان می‌داد. اسکریپت جعلی Python PoC در واقع اصلاح یک اکسپلویت در دسترس عموم برای یک آسیب‌پذیری دیگر است، CVE-2023-25157، یک آسیب‌پذیری بحرانی تزریق  SQLاست که GeoServer را تحت تاثیر قرار می‌دهد.
این عامل مخرب هنگامی که اجرا می‌شود، به جای اجرای اکسپلویت، یک اسکریپت دسته‌ای ایجاد می¬کند که یک اسکریپت کدگذاری شده PowerShell را دانلود کرده و روی host اجرا می¬کند.
این اسکریپت، بدافزارVenomRAT  را دانلود می‌کند و یک کار برنامه‌ریزی شده برای اجرای آن ایجاد می‌کند. مهاجم ممکن است در آینده از توجه بیشتر جامعه امنیتی به آسیب‌پذیری‌های جدید، برای انتشارسایر PoC های گمراه کننده برای آسیب‌پذیری‌های مختلف استفاده کند.
PoC های جعلی درGitHub یک حمله کاملا مستند است که در آن، عوامل تهدید سایر مجرمان و محققان امنیتی را هدف قرار می‌دهد.

منابع خبر:

[1] https://thehackernews.com/2023/09/beware-fake-exploit-for-winrar.html
[2] https://www.bleepingcomputer.com/news/security/fake-winrar-proof-of-concept-exploit-drops-venomrat-…

گروه هک APT36، با نام Transparent Tribe، با استفاده از حداقل سه برنامه اندرویدی که از YouTube تقلید می‌کنند، دستگاه‌ها را با تروجان دسترسی از راه دور امضا شده خود (RAT)  وCapraRAT آلوده می‌کنند.
 CapraRAT یک RAT تهاجمی است که به مهاجمان، امکان کنترل بسیاری از داده‌های دستگاه های آلوده را ایجاد می‌کند. مهاجمان از برنامه‌های جعلی YouTube Android که در وب‌سایت‌های قربانی میزبانی شده اند، برای توزیع CapraRAT استفاده می‌کنند.

جزئیات آسیب‌پذیری
محققان امنیت سایبری، در Sentinel Labs اخیرا گزارش کرده‌اند که عوامل تهدید، از بدافزار اندروید CapraRAT برای ربودن دستگاه‌های اندرویدی با تقلید از برنامه YouTube اکسپلویت می‌کنند.
 CapraRATابزاری تهاجمی است که به مهاجم این امکان را ایجاد می‌کند که با آلوده کردن دستگاه‌های اندرویدی، به کنترل بسیاری از داده‌های آن دست یابد و در طول مراحل نصب برنامه‌ها، مجوزهای خطرناکی را درخواست می‌کند.
 این بدافزار می‌تواند داده‌ها را استخراج کند، صدا/تصویر ضبط کند، به‌عنوان نرم‌افزار جاسوسی قوی عمل کند و به داده‌های ارتباطی حساس دسترسی پیدا کند. همچنین می‌تواند تماس برقرار کند، پیام‌های SMS را رهگیری/مسدود کند، و تنظیمات GPS و شبکه را لغو کند و اطلاعات استخراج شده، در سرور کنترل شده توسط مهاجم آپلود شود.
بدافزارCapraRAT، به‌عنوان برنامه‌های پیام‌رسان/تماس امن تروجانیزه‌شده با نام‌های MeetsApp و MeetUp تبلیغ می‌شود و از طریق فریب‌های مهندسی اجتماعی توزیع می‌شود.
هدف مهاجم، جمع‌آوری اطلاعات و استفاده از ابزارها برای نفوذ به سیستم‌های ویندوز، لینوکس و اندروید است. این برنامه‌ها با عنوان YouTube برای اندروید ظاهر می شوند، اما نسخه های جعلی هستند که با اهداف مخرب راه اندازی شده اند. مهاجم این برنامه‌ها را برای تقلید از برنامه واقعی  YouTube طراحی کرده است. به عنوان مثال، برنامه‌ها به دلیل استفاده از WebView برای بارگیری سرویس و فاقد بسیاری از ویژگی‌های امضای پلت فرم اصلی، شبیه مرورگرهای وب به نظر می‌رسند.

توصیه‌های امنیتی
هیچ برنامه‌ای حاوی این بدافزار در Google Play یافت نشده است. Google Play Protect، از کاربران در برابر برنامه‌های شناخته شده، حاوی این بدافزار در دستگاه‌های Android با سرویس‌های Google  Play محافظت می‌کند. از این رو، به کاربران توصیه می‌شود حتماً از Google Play برای دانلود برنامه‌های ایمن اندروید استفاده کنند.
کاربران باید مراقب کلیک کردن روی لینک‌های موجود در ایمیل‌ها یا پست‌های رسانه‌های اجتماعی از فرستندگان ناشناس باشند. همچنین، باید دستگاه¬ها و برنامه‌های خود را با آخرین وصله‌های امنیتی به روز رسانی کنند. سازمان¬ها باید بهترین شیوه‌های امنیتی مانند تایید هویت چند عاملی و آموزش آگاهی از امنیت کارکنان را اجرا کنند.

منابع خبر:

[1]https://www.bleepingcomputer.com/news/security/apt36-state-hackers-infect-android-devices-using-you…
[2] https://cybersecuritynews.com/caprarat-hijack-android-phones
[3] https://www.hackread.com/fake-youtube-android-apps-caprarat

شرکت امنیت سایبری Trend Micro برای رفع یک آسیب‌پذیری امنیتی مهم، در Apex One و راهکارهای امنیت کسب و کار بدون نگرانی برای ویندوز که اکسپلویت شده است، وصله‌های لازم را منتشر کرده است.

جزئیات آسیب‌پذیری
 Apex One یک راه‌حل امنیتی نقطه پایانی است که برای مشاغل ارائه می¬شود و مجموعه امنیت کسب و کار بدون نگرانی، برای شرکت¬های کوچک تا متوسط طراحی شده است.
این آسیب‌پذیری با عنوان CVE-2023-41179 و امتیاز 9,1 ارزیابی شده است و می‌تواند به مهاجم اجازه دهد تا با دستکاری ماژول، دستورات خود را روی یک آسیب‌‌پذیر اجرا کند.
مهاجم برای اکسپلویت این آسیب‌پذیری، باید به کنسول مدیریتی روی سیستم هدف دسترسی داشته باشد و از آنها برای ورود به سیستم استفاده کرده باشد.
در حالت کلی، بهره‌برداری از این نوع آسیب‌پذیری‌ها، مستلزم آن است که یک مهاجم (فیزیکی یا از راه دور) به یک ماشین آسیب‌پذیر دسترسی داشته باشد.
در صورت اکسپلویت موفقیت‌آمیز این آسیب‌پذیری، مهاجمی که می‌تواند به کنسول مدیریت محصول وارد شود، ممکن است کد خود را با دسترسی سیستم، در رایانه شخصی که عامل امنیتی در آن نصب شده است، اجرا کند.

محصولات تحت تأثیر
این آسیب‌پذیری بر محصولات Trend Micro Apex One 2019، Trend Micro Apex One SaaS 2019، امنیت کسب و کار بدون نگرانی  (WFBS) 10.0 SP1و خدمات امنیت کسب و کار بدون نگرانی (WFBSS) 10.0 SP1 تاثیرگذار بوده است.

توصیه‌های امنیتی
یک راه‌حل مؤثر، محدود کردن دسترسی به شبکه‌های قابل اعتماد و مهاجمانی است که سعی می‌کنند از مکان‌های خارجی به نقطه پایانی دسترسی پیدا کنند. مدیران باید با نصب به‌روزرسانی‌های امنیتی مانع از استفاده مهاجمان، از این آسیب‌پذیری برای انتشار به دستگاه‌های دیگر شوند.

منابع خبر:

[1] https://nvd.nist.gov/vuln/detail/CVE-2023-41179
[2]https://www.bleepingcomputer.com/news/security/trend-micro-fixes-endpoint-protection-zero-day-used-…
[3] https://thehackernews.com/2023/09/trend-micro-releases-urgent-fix-for.html
[4] https://vuldb.com/de/?id.239948

شرکت Apple، وصله‌هایی برای 3 آسیب‌پذیری بحرانی جدید روز صفر منتشر کرده است که بر iPadOS، iOS، watchOS، macOS و Safari  تاثیرگذار است.

جزئیات آسیب‌پذیری
آسیب‌پذیری CVE-2023-41991، یک آسیب‌پذیری اعتبارسنجی در چارچوب امنیتی است که به مهاجم اجازه می‌دهد، تایید اعتبار امضا را با استفاده از برنامه‌های مخرب دور بزند یا از طریق صفحات وب که به طور مخرب ساخته شده‌اند، کدهای خود را اجرا کند.
CVE-2023-41992، عنوان آسیب‌پذیری دیگری است که در Kernel Framework کشف شده است که API ها و پشتیبانی از برنامه‌های افزودنی Kernel و درایورهای دستگاه Kernel را فراهم می¬کند. مهاجمان محلی، با اکسپلویت این آسیب‌پذیری می‌توانند دسترسی خود را افزایش دهند.
آسیب‌پذیری CVE-2023-41993، یک آسیب‌پذیری WebKit است که می‌تواند منجر به اجرای کد، هنگام پردازش محتوای وب ساخته شده شود.
این شرکت، جزئیات بیشتری در مورد آسیب¬پذیری منتشر نکرد و در گزارشی اعلام کرد، این  آسیب‌پذیری ممکن است در نسخه‌های  iOS قبل از iOS 16.7 اکسپلویت شده باشد.
دستگاه‌های آسیب‌پذیر شامل iPhone 8 و بعدتر، iPad mini 5th generation و جدیدتر، Macs running macOS Monterey و جدیدتر،  Apple Watch Series 4 و بعدتر هستند.

محصولات تحت تأثیر
سه آسیب‌پذیری روز صفر درmacOS 12.7/13.6 ، iOS 16.7/17.0.1، iPadOS 16.7/17.0.1 و watchOS 9.6.3/10.0.1 با رفع مشکل اعتبار سنجی، برطرف شده است.

منابع خبر:

[1] https://thehackernews.com/2023/09/apple-rushes-to-patch-3-new-zero-day.html
[2] https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-3-new-zero-days-exploited-i…
[3] https://nvd.nist.gov/vuln/detail/CVE-2023-41991
[4] https://vuldb.com/?id.240162

به‌روزرسانی‌های امنیتی GitLab، برای رسیدگی به یک آسیب‌پذیری بحرانی منتشر شده است که به مهاجمان اجازه می‌دهد خطوط لوله را مانند سایر کاربران از طریق سیاست‌های اسکن امنیتی برنامه‌ریزی شده اجرا کنند.

جزئیات آسیب‌پذیری
GitLab یک پلت‌فرم مدیریت پروژه و ردیابی نرم‌افزار منبع باز مبتنی بر وب است که نسخه رایگان و تجاری آن را ارائه می‌دهد.
این آسیب‌پذیری با عنوان CVE-2023-4998 و امتیاز 9.6 ارزیابی شده است.
جعل هویت کاربران بدون مجوز آنها، برای اجرای وظایف خط لوله، می‌تواند منجر به دسترسی مهاجمان به اطلاعات حساس یا بهره‌برداری از مجوزهای کاربران جعل شده برای اجرای کد، تغییر داده‌ها یا راه‌اندازی رویدادهای خاص در سیستم GitLab شود.
با توجه به اینکه GitLab برای مدیریت کد استفاده می شود، این آسیب‌پذیری می‌تواند منجر به آسیب رساندن به نشت داده‌ها، حملات زنجیره تامین و سایر سناریوهای پرخطر شود.
اکسپلویت موفقیت‌آمیز از آسیب‌پذیری CVE-2023-5009 می‌تواند به یک مهاجم اجازه دهد به اطلاعات حساس دسترسی داشته باشد یا از مجوزهای بالاتر کاربر جعل شده برای تغییر کد منبع یا اجرای کد بر روی سیستم استفاده کند.

محصولات تحت تأثیر
این آسیب‌پذیری در GitLab نسخه‌های  13,12تا 16,2,7 و 16,3 تا 16,3,4 تاثیرگذار بوده است.

توصیه‌های امنیتی
به کاربران توصیه شده است، برای محافظت در برابر خطرات احتمالی، به‌روزرسانی‌های امنیتی  را اعمال کنند. نسخه‌های 16,3,4  و 16,2,7 آسیب‌پذیریCVE-2023-5009 را برطرف کرده‌اند.
از کاربران نسخه‌های قبل از 16,2 که رفع مشکل امنیتی را دریافت نکرده‌اند، خواسته شده است انتقال مستقیم و سیاست‌های امنیتی را فعال نکنند. انتقال مستقیم، قابلیتی است که امکان مهاجرت گروه ها و پروژه ها را با انتقال مستقیم فراهم می کند. در حالی که سیاست‌های امنیتی، از اسکن‌هایی که بر اساس زمان‌بندی یا در خط لوله پروژه اجرا می‌شوند، پشتیبانی می‌کنند.
در صورت فعال بودن هر دو ویژگی، نمونه آسیب‌پذیر خواهد بود.

منابع خبر:

[1]https://www.bleepingcomputer.com/news/security/gitlab-urges-users-to-install-security-updates-for-c…
[2] https://thehackernews.com/2023/09/gitlab-releases-urgent-security-patches.html
[3] https://nvd.nist.gov/vuln/detail/CVE-2023-5009
[4]https://www.itnews.com.au/news/gitlab-patches-critical-vulnerability-600436?utm_source=feed&utm_med…

نرم‌افزار مانیتورینگ شبکه Nagios Xl، چهار آسیب¬پذیری امنیتی مهم را اصلاح کرده است که در برابر افزایش دسترسی و افشای اطلاعات محافظت می‌کند.

جزئیات آسیب‌پذیری
چندین آسیب‌پذیری امنیتی در نرم‌افزار نظارت بر شبکه  Nagios XI افشاء شده است که می‌تواند منجر به افزایش دسترسی و افشای اطلاعات شود.
آسیب‌پذیری با شناسه CVE-2023-40931،  CVE-2023-40933 و  CVE-2023-40934، به کاربران با سطوح مختلف دسترسی اجازه می‌دهد، از طریق SQL Injections به فیلدهای پایگاه داده، دسترسی داشته باشند.
مهاجم می‌تواند دستورات SQL خود را از طریق پارامتر ID، با درخواست به nagionsxi/admin/banner_message-ajaxhelper.php اجرا کند.
داده‌های بدست آمده از این آسیب‌پذیری‌ها، ممکن است برای افزایش دسترسی در محصول و بدست آوردن داده‌های حساس کاربر، مانند هش رمز عبور و توکن¬های API استفاده شود.
آسیب‌پذیری CVE-2023-40932، به یک آسیب‌پذیری برنامه‌نویسی XSS مربوط می‌شود که می‌تواند برای خواندن داده‌های حساس، از جمله رمزهای عبور متن شفاف از صفحه ورود استفاده شود.
اکسپلویت موفقیت‌آمیز سه آسیب‌پذیری تزریق SQL می‌تواند به یک مهاجم تایید هویت نشده اجازه دهد تا دستورات SQL خود را اجرا کند، در صورتی که آسیب‌پذیری XSS می‌تواند برای تزریق جاوا اسکریپت و خواندن و اصلاح داده‌های صفحه اکسپلویت شود.

محصولات تحت تأثیر
چهار آسیب‌پذیری امنیتی که ازCVE-2023-40931  تا CVE-2023-40934  ردیابی شده‌اند، نسخه‌های 5.11.1  و پایین‌تر Nagios Xl را تحت تاثیر قرار می‌دهند.

توصیه‌های امنیتی
ارتقاء به نسخه 5.11.2 این آسیب¬پذیری را برطرف کرده است.

منابع خبر:

[1] https://thehackernews.com/2023/09/critical-security-flaws-exposed-in.html
[2] https://vuldb.com/?id.239985
[3] https://nvd.nist.gov/vuln/detail/CVE-2023-40931

بدافزار جدید لینوکس با نام SprySOCKS در حملات جاسوسی سایبری استفاده می‌شود. در اوایل سال 2021، مقاله‌ای تحقیقی منتشر شد که در آن به بررسی عملکرد یک عامل تهدید به نام "Earth Lusca" پرداخته شد. از زمان انتشار تحقیق اولیه، این گروه فعالیت خود را ادامه داده و حتی در نیمه اول سال 2023 عملیات‌های خود را گسترش داده و به کشورهای مختلف در سراسر جهان حمله کرده است.
یک گروه محقق در حین نظارت بر این گروه، موفق به به‌دست آوردن یک فایل رمزگذاری شده جالب از سرور تهدیدکننده شد و توانست بارگذار اصلی این فایل را در VirusTotal پیدا کرده و با موفقیت آن را رمزگشایی کنند. جالب اینجاست که پس از رمزگشایی، این گروه متوجه شدند که این بارگذار یک درب پشتی جدید برای سیستم‌های لینوکس است که تا آن زمان دیده نشده بود. این درب پشتی جدید به نام "SprySOCKS" نامگذاری شده است، که به سرعت و توانایی اجرایی Trochilusو پیاده‌سازی جدید امنیتی SOCKS اشاره دارد.
تحلیل درب پشتی SprySOCKS نشان می‌دهد که این درب پشتی دارای ویژگی‌های جالبی است. این درب پشتی حاوی نشانگری است که به شماره نسخه آن اشاره دارد. دو نسخه مختلف از درب پشتی SprySOCKS با دو شماره نسخه متفاوت شناسایی شده، که نشان می‌دهد که این درب پشتی همچنان در دست توسعه است. علاوه بر این، پروتکل (C&C) SprySOCKS شبیه به پروتکلی است که توسط درب پشتی RedLeaves که یک تروجان دسترسی از راه دور (RAT) برای سیستم‌های ویندوز است، استفاده می‌شود. این پروتکل شامل دو مؤلفه، بارگذار و بارگذاری کردن بسته‌های اصلی رمزگذاری شده است. بارگذار مسئولیت خواندن، رمزگشایی و اجرای بسته‌های اصلی را دارد.
در نیمه اول سال 2023، Earth Lusca فعالیت خود را ادامه داد و حملات آن به‌طور اساسی بر روی کشورهای جنوب شرق آسیا، آسیای مرکزی و کشورهای بالکان تمرکز داشت (با چندین حمله گسترده به کشورهای لاتین و آفریقایی). اهداف اصلی این گروه ادارات دولتی هستند که در امور خارجی، فناوری و ارتباطات فعالیت دارند.
Earth Lusca در حال حاضر به‌طور فزاینده‌ای به سرورهای عمومی حمله می‌کند. علاوه بر این، ما دیده‌ایم که آنها به‌طور مکرر آسیب‌پذیری‌های N-day مبتنی بر سرور را بهره‌بری می‌کنند، از جمله (اما نه محدود به) آسیب‌پذیری‌های زیر:
•    CVE-2022-40684: یک آسیب‌پذیری دور زدن احراز هویت در Fortinet FortiOS، FortiProxy و FortiSwitchManager
•    CVE-2022-39952: یک آسیب‌پذیری اجرای کد از راه دور بدون نیاز به احراز هویت (RCE) در Fortinet FortiNAC
•    CVE-2021-22205: یک آسیب‌پذیری اجرای کد از راه دور بدون احراز هویت (RCE) در GitLab CE/EE
•    CVE-2019-18935: یک آسیب‌پذیری اجرای کد از راه دور بدون احراز هویت در Progress Telerik UI for ASP.NET AJAX
•    CVE-2019-9670 / CVE-2019-9621: یک دسته از دو آسیب‌پذیری برای اجرای کد از راه دور بدون احراز هویت در Zimbra Collaboration Suite
•    ProxyShell (CVE-2021-34473، CVE-2021-34523v، CVE-2021-31207): یک مجموعه از سه آسیب‌پذیری متصل که اجرای کد از راه دور بدون احراز هویت در Microsoft Exchange را انجام می‌دهند.
Earth Lusca از آسیب‌پذیری‌های سرور برای نفوذ به شبکه‌های قربانیان خود بهره می‌گیرد، پس از آن یک پوسته وب (web shell) را نصب کرده و Cobalt Strike را برای جابجایی جانبی استفاده می‌کند. اسناد و اطلاعات از حساب‌های ایمیل را جابجا می‌کند، همچنین به نصب داده‌های پشتیبان پیشرفته مانند ShadowPad و نسخه لینوکسی Winnti برای انجام فعالیت‌های جاسوسی بلندمدت علیه اهداف خود می‌پردازد.

توصیه‌های امنیتی
1.  به‌روزرسانی سیستم‌ها و نرم‌افزارها:  اطمینان حاصل کنید که تمام سیستم‌ها، نرم‌افزارها و ابزارهای خود به‌روزرسانی شده و با آخرین تصحیحات امنیتی مجهز باشند. به‌خصوص، توجه داشته باشید که به روزرسانی‌های امنیتی مهمی را که توسط تأمین کنندگان نرم‌افزار ارائه می‌شوند، اعمال کنید.
2.  مدیریت آسیب‌پذیری‌ها:  اسکن دوره‌ای آسیب‌پذیری‌های سیستم‌ها و شبکه‌ها را انجام دهید و آسیب‌پذیری‌های شناخته شده را به‌سرعت رفع کنید. SprySOCKS از آسیب‌پذیری‌ها برای حملات خود استفاده می‌کند.
3.  پشتیبانی از داده‌ها:  ایجاد نسخه‌پشتیبان منظم از داده‌های مهم و اطلاعات حیاتی در مواجهه با احتمال حملات و بهره‌برداری‌های ناخواسته به کمک می‌آید.

تحلیل بدافزار
یک فایل با نام libmonitor.so.2 در سرور تحویل Earth Lusca مشاهده شده که ابتدا، به نظر می‌رسید یک فایل باینری است که فقط بایت‌های تصادفی دارد، که شبیه به یک فایل رمزنگاری شده است. نام منحصر به فرد فایل برای جستجو در VirusTotal استفاده شد که امکان شناسایی یک فایل ELF مرتبط با نام "mkmon" را فراهم نماید.
 (SHA256: 65b27e84d9f22b41949e42e8c0b1e4b88c75211cbf94d5fd66edc4ebe21b7359) این فایل ELF برای رمزگشایی فایل libmonitor.so.2 مورد استفاده قرار گرفت و پیامدهای اصلی آن را بازیابی کرد، که نشان می‌دهد "mkmon" لودری است که با libmonitor.so.2 همراه است.
این لودر از ابتدا توسعه داده نشده بود - توسعه‌دهنده آن از یک ابزار نهایی Linux ELF عمومی به نام "mandibule" استفاده کرده بود. پروژه اصلی این ELF ابزاری خط فرمانی است که توانایی تزریق یک بارگیری را به خودش (self-injection) یا به یک پروژه دیگر دارد. به‌عنوان یک ابزار معمولی خط فرمانی، متن استفاده از آن که پارامترهای پشتیبانی شده را فهرست می‌کند، چاپ می‌کند. این درزنده اصلی همچنین پیام‌های اشکال‌زدایی متنوعی را برای آگاهی کاربر از پیشرفت درزنده چاپ می‌کند.
 

شکل 1. لودر با اطلاعات اشکال زدایی توزیع شده است. توجه داشته باشید که بخش ".debug_*" وجود دارد

تهدید کننده از پروژه mandibule به‌عنوان پایه برای لودر بدافزار خود استفاده کرد. خالق پروژه متن استفاده از اسکرین استفاده و قابلیت تزریق به پروسه‌های دیگر را حذف کرده و سپس یک تابع برای بارگیری و رمزگشایی مرحله دوم اضافه کرده بود.

 شکل 2. پیام های اشکال زدایی که هنگام اجرای لودر نمایش داده می شوند

پیام‌های اشکال‌زدایی نمایش داده شده در شکل 2 دارای دو نشان‌گر متمایز هستند. نشان‌گر ">" از پروژه اصلی mandibule استفاده شده است، در حالی که نشان‌گرهای "[+]" یا "[-]" پیام‌های اشکال‌زدایی اضافه شده به لودر توسط تهدید کننده می‌باشند.
نام فرآیند لودر توسط دستور prctl به "kworker/0:22" تنظیم شده است. به‌طور معمول، kworker یک فرآیند نمادگذاری‌شده برای رشته‌های کارگر هستند. اما در این حالت، نام "kworker" هیچ ارتباطی با رشته‌های worker هسته ندارد. به جای این، لودر از این نام سوءاستفاده می‌کند تا از شناسایی جلوگیری کند، وقتی کاربر تمام وظایف در حال اجرا را از طریق دستورهایی مانند ps یا top فهرست می‌کند.

شکل 3. نام فرآیند روی "kworker/0:22" تنظیم شده است

لودر دو پارامتر خط فرمان را قبول می‌کند: مسیر فایل مرحله دوم رمزنگاری شده و پرچم خودپاک‌شونده (self-delete). مرحله دوم با یک رمزگذاری AES-ECB رمزنگاری شده است و رمز عبور به‌صورت ثابت در لودر وارد شده است.
 

شکل 4. فهرست فرآیندهای "kworker*" در یک ماشین آلوده. فرآیند برجسته شده لودر تحلیل شده است

لودر دو پارامتر خط فرمان را قبول می‌کند: مسیر به فایل مرحله دوم رمزنگاری شده و پرچم خودپاک‌شونده (self-delete). مرحله دوم با یک رمزگذاری AES-ECB رمزنگاری شده است و رمز عبور به‌صورت ثابت در لودر وارد شده است.
لودر نیز مسئولیت تنظیم بقایا (persistence) را بر عهده دارد. ابتدا خود را و مرحله دوم رمزنگاری شده را به دایرکتوری /usr/sbin/ کپی می‌کند (لطفاً یادداشت‌های اشکال‌زدایی "[+] rename loader ok" و "[+] rename server ok" را مشاهده کنید). سپس از chkconfig یا systemd برای شروع لودر به‌عنوان یک سرویس استفاده می‌کند. اگر پرچم خودپاک‌شونده به "1" تنظیم شده باشد، آنگاه لودر اصلی اجرا شده و فایل‌های مرحله رمزنگاری شده همچنین حذف می‌شوند.
 

شکل 5. تابع رمزگشایی مرحله دوم

اجزای SprySOCKS
در هنگام بررسی مرحله دوم رمزنگاری شده، رشته‌های قابل مشاهده نشان می‌دهند که این ماژول به‌صورت استاتیک با پروژه HP-Socket که یک چارچوب شبکه با عملکرد بالا و منشأ چینی است، کامپایل شده است.
 

 شکل 6. مراجع به HP-Socket در میان رشته‌های قابل مشاهده

مراحل مقدماتی نشان می‌دهد که یک رمز عبور AES-ECB به‌صورت ثابت برای رمزنگاری ارتباط با سرور C&C (کنترل و کنترل) استفاده شده است.
 

شکل 7. رمز عبور AES برای ارتباط با C&C

آدرس و پورت C&C نیز در ماژول به‌صورت ثابت وارد شده است، اما رمزنگاری نشده و به‌صورت متن ساده قابل مشاهده است.
 

شکل 8. تنظیمات سرور و پورت C&C

ارتباط C&C شامل بسته‌هایی است که از طریق پروتکل TCP (پروتکل کنترل انتقال) ارسال می‌شوند. هر بسته دارای سربرگی با طول 0x12 بایت است، که پس از آن پیامی رمزنگاری شده با AES-ECB و کدگذاری پایه 64 دنبال می‌شود. مشابه جدول B-2 در تجزیه و تحلیل قبلی بدافزار RedLeaves، سربرگ شامل برخی از مقادیر تصادفی و ثابت است، به علاوه طول بسته (در شکل 9 به رنگ آبی مشخص شده است).
 

شکل 9. نمونه‌ای از بسته‌ای که از ماشین قربانی به سرور C&C ارسال می‌شود

مقدار ثابت مورد استفاده در نسخه اصلی Trochilus 0xAFAFBFBF است، در حالی که در نسخه RedLeaves مقدار آن 0xBFD9CBAE است.

شکل 10. مقدار ثابت 0xACACBCBC; در بسته های ارسالی در افست 4 تا 7 رخ می دهد

پس از رمزگشایی و رمزگذاری پیام، کلمات کلیدی مانند "__handler"، "__msgid"، "__serial" و "clientid" آشکار می‌شوند. برخی از این کلمات کلیدی در Trochilus قابل یافتن هستند، اما بیشتر از همه، این پیام‌ها به‌طور نزدیک به پروتکل ارتباطی RedLeaves شباهت دارند.
 

شکل 11. پیام رمزگشایی و رمزگذاری شده AES-ECB

این RAT چندین دستور پشت‌در را اجرا می‌کند، از جمله جمع‌آوری اطلاعات سیستم، شروع یک شل تعاملی، لیست اتصالات شبکه، ایجاد پروکسی SOCKS، بارگذاری و دانلود فایل‌ها، و دیگر عملیات پایه فایل (لیست‌کردن، حذف، تغییرنامه‌دهی و ایجاد دایرکتوری). جدول 1 شناسه‌های پیام و توضیحات تقریبی مربوط به توابع پیام را نشان می‌دهد.

جدول 1. فهرست پیام های مدیریت شده و توضیح عملکرد آنها

منبع خبر:

https://www.trendmicro.com/en_us/research/23/i/earth-lusca-employs-new-linux-backdoor.html

انتشار بدافزار 'Bumblebee' پس از دو ماه تعطیلی، با یک کمپین جدید آغاز شده است که از تکنیک‌های توزیع جدیدی استفاده می‌کند که از خدمات 4shared WebDAV سوءاستفاده می‌کند.
WebDAV (Web Distributed Authoring and Versioning) یک توسعه از پروتکل HTTP است که به کلاینت‌ها امکان انجام عملیات نویسندگی از راه دور مانند ایجاد، دسترسی، به‌روزرسانی و حذف محتوای سرور وب را می‌دهد.
محققان گزارش می‌دهند که کمپین جدید Bumblebee که از اواسط سپتامبر 2023 آغاز شده است، از خدمات 4shared WebDAV برای توزیع بارگذاری، اجرای زنجیره حمله و انجام چندین عملیات پس از آلودگی بهره می‌برد.
سوءاستفاده از پلتفرم 4shared که یک سرویس معتبر و شناخته‌شده ارائه دهنده خدمات میزبانی فایل، به اپراتورهای Bumblebee کمک می‌کند تا از لیست‌های مسدودکننده فرار کنند و از تجهیزات زیرساختی سوء استفاده کنند.
استفاده از پروتکل WebDAV به هکرها چندین راه برای دور زدن سیستم‌های تشخیص رفتاری و از مزیت توزیع بهینه، تغییر آسان بار و غیره را امکان پذیر می‌کند.
استفاده از ایمیل‌های اسپم:
کمپین فعلی Bumblebee بر اساس ایمیل‌های اسپم کار می‌کند که تظاهر به اسکن، صورتحساب و اعلامیه‌ها می‌کنند تا گیرندگان را به دانلود پیوست‌های مخرب مجبور کنند.
بیشتر پیوست‌ها فایل‌های میانبر LNK ویندوز هستند، اما برخی فایل‌های ZIP حاوی فایل‌های LNK نیز وجود دارند. باز کردن فایل LNK دستوراتی را روی ماشین قربانی اجرا می‌کند، شامل یک دستور برای متصل کردن یک پوشه WebDAV به یک درایو شبکه با استفاده از اطلاعات ورود ثابت برای یک حساب ذخیره‌سازی 4shared.
 

شکل 1. فایل‌های ضمیمه مشاهده شده در کمپین

4Shared یک وب‌سایت اشتراک گذاری فایل است که به کاربران اجازه می‌دهد فایل‌ها را در ابر ذخیره کرده و به آن‌ها از طریق WebDAV، FTP و SFTP دسترسی داشته باشند. این سرویس قبلاً در گزارش بازارهای بدنام دولت آمریکا در سال 2016 برای میزبانی محتوای حق تکثیر درج شده بود.
 

شکل 2. برنامه‌های مخرب میزبانی شده در 4shared

تحلیل‌گران همچنین نسخه به‌روز شده از بارگذاری بدافزار Bumblebee را کشف کرده‌اند که در این کمپین استفاده می‌شود و از پروتکل WebSocket به TCP برای ارتباط با سرور کنترل و کنترل (C2) استفاده می‌کند.
به‌علاوه، بارگذاری جدید از استفاده از آدرس‌های C2 به صورت ثابت منصرف شده است. اکنون از الگوریتم تولید دامنه (DGA) برای تولید 100 دامنه در فضای دامنه سطح بالا ".life" هنگام اجرا استفاده می‌کند.
دامنه‌ها با استفاده از مقدار بذر ثابت 64 بیتی تولید می‌شوند و Bumblebee با تکرار لیست ایجاد شده از طریق آن‌ها متصل می‌شود تا یکی را پیدا کند که به یک آدرس IP سرور C2 فعال ترجمه می‌شود.
قبلاً Bumblebee با توزیع بار محتوای رمزنگاری شده ارتباط داشته و با توزیع ویژگی‌هایی نظیر Conti و Akira ارتباط داشته است، بنابراین انتخاب یک کانال توزیع کارآمدتر و مخفیانه نگران‌کننده است.
همچنین، استفاده از DGA سخت‌تر می‌کند تا زیرساخت‌های Bumblebee نقشه برداری شود، دامنه‌های آن مسدود شوند و به طور قابل توجهی عملیات آن را مختل کند، که پیچیدگی اضافی در پیاده‌سازی اقدامات پیشگیری در مقابل بارگذاری بدافزار اضافه می‌کند.

توصیه های امنیتی
1.  آموزش کارکنان: افرادی که با ایمیل‌ها و پیوست‌ها سروکار دارند، باید به طور منظم آموزش داده شوند تا اسپم ایمیل‌ها و پیام‌های مشکوک را تشخیص دهند و از دانلود فایل‌های ناشناخته خودداری کنند.
2.  به‌روزرسانی سیستم: مطمئن شوید که سیستم‌عامل و نرم‌افزارهای شما به‌روز هستند و تمامی به‌روزرسانی‌های امنیتی نصب شده‌اند.
3.  استفاده از یک راهکار امنیتی: از راهکارهای امنیتی نظیر آنتی‌ویروس استفاده کنید و آن‌ها را به‌روز نگه دارید.
4.  فیلترهای ایمیل: از فیلترهای ایمیل برای تشخیص و مسدود کردن ایمیل‌های اسپم و مشکوک استفاده کنید.
5.  به‌روزرسانی مرورگر: مرورگرهای وب خود را به‌روز کنید و از افزونه‌ها یا پلاگین‌های امنیتی استفاده کنید.
6.  استفاده از فایروال: یک فایروال سخت‌افزاری یا نرم‌افزاری را برای محافظت از شبکه خود در برابر تهدیدهای خارجی اجرا کنید.
7.  پشتیبان‌گیری منظم: اطلاعات مهم خود را به طور منظم پشتیبان‌گیری کنید تا در صورت حمله بدافزار، بتوانید به اطلاعات خود دسترسی داشته باشید.
8.  بررسی لینک‌ها و پیوست‌ها: هنگام دریافت ایمیل‌ها، لینک‌ها و پیوست‌ها را با دقت بررسی کنید و اگر مشکوک به نظر می‌آیند، از دانلود آن‌ها خودداری کنید.

منبع خبر:

https://www.bleepingcomputer.com/news/security/bumblebee-malware-returns-in-new-attacks-abusing-web…

سرویس‌دهندگان ارتباطات تلفنی در منطقه خاورمیانه هدف یک مجموعه حمله جدید به‌نام ShroudedSnooper هستند که از یک درب پشتی پنهان به نام HTTPSnoop استفاده می‌کند.
Cisco Talos در یک گزارش اعلام کرده است: HTTPSnoop یک بک‌دور ساده ولی موثر است که از تکنیک‌های نوآورانه برای تعامل با درایورها و دستگاه‌های هسته است که از HTTP استفاده می‌کند تا درخواست‌های ورودی برای URLهای خاص HTTP(S) را گوش کند و محتوای مرتبط را در دستگاه آلوده اجرا کند.
بخشی از ابزارکار تهاجمی این گروه نیز با نام PipeSnoop نامگذاری شده است که می‌تواند شل‌کد خودساخته‌ای از طریق یک لوله نام‌گذاری شده دریافت کرده و آن را در دستگاه آلوده اجرا کند.
ShroudedSnooper از سرورهای قابل دسترسی اینترنتی استفاده می‌کند و HTTPSnoop را برای به‌دست آوردن دسترسی اولیه به محیط‌های هدف مستقر می‌کند. هر دو نوع ابزار مخرب به‌عنوان اجزایی از برنامه Cortex XDR شبکه‌های Palo Alto Networks (CyveraConsole.exe) جلوه می‌کنند تا از تشخیص متخصصان امنیتی فرار کنند.
تا کنون سه نسخه مختلف از HTTPSnoop شناسایی شده است. این درب پشتی از APIهای ویندوز سطح پایینی برای گوش دادن به درخواست‌های ورودی با الگوهای URL تعریف شده استفاده می‌کند. این الگوها سپس برای استخراج شل‌کد جهت اجرا در میزبان استفاده می‌شوند. این URLهای HTTP به شبیه‌سازی URLهای مربوط به خدمات تبادل اطلاعات وب مایکروسافت، OfficeTrack و خدمات تخصیص مرتبط با یک شرکت ارتباطات شبیه‌سازی شده‌اند تا درخواست‌های مخرب به نظر درخواست‌های بی‌خطری بیایند.
تحقیقات می‌گویند: URLهای HTTP مورد استفاده توسط HTTPSnoop به همراه اتصال به وب سرور معمولی ویندوز نشان می‌دهد که احتمالاً برای کار روی سرورهای اینترنتی و وب و همچنین سرورهای خدمات تبادل اطلاعات (EWS) طراحی شده است. اما PipeSnoop با توجه به نامش احتمالاً برای عمل در داخل یک شرکت مورد تخریب استفاده می‌شود و به‌نظر می‌رسد برای دستگاه‌های مخرب با اولویت‌ها یا ارزش‌های بالاتر طراحی شده باشد.
PipeSnoop نمی‌تواند به‌عنوان یک ابزار مخرب مستقل کار کند و به یک جزء کمکی نیاز دارد که به‌عنوان یک سرور عمل کرده و شل‌کد را از طریق روش‌های دیگر دریافت کند و از طریق لوله نام‌گذاری شده آن را به درب پشتی منتقل کند.
حمله به بخش مخابرات، به‌ویژه در منطقه خاورمیانه، در سال‌های اخیر به یک الگو تبدیل شده است. در ژانویه 2021، ClearSky یک سری حملاتی را کشف کرد که توسط Lebanese Cedar اجرا شده بود و به اپراتورهای مخابراتی در ایالات متحده، انگلستان و منطقه خاورمیانه هدف می‌گرفت.
تحقیق‌گران Talos می‌گویند: سازمان‌های مخابراتی دید کاملی از ترافیک اینترنتی را دارند، هم در بخش خدمات خرده‌فروشی و هم در بخش‌های مرتبط با شرکت‌ها. علاوه بر این، بیشتر زیرساخت‌های مخابراتی از شبکه‌های مهمی تشکیل شده‌اند که برای برقراری اتصالات داخلی و خارجی اساسی هستند و به همین دلیل ارزش بسیاری برای گروه‌های حمایتی دولتی دارند.

منبع خبر:

https://thehackernews.com/2023/09/shroudedsnoopers-httpsnoop-backdoor.html