Перейти к содержанию

Уязвимость нулевого дня в CLFS | Блог Касперского


Рекомендуемые сообщения

Благодаря срабатыванию поведенческого движка (Behavioral Detection Engine) и компонента для предотвращения эксплуатации уязвимостей (Exploit Prevention) наши решения обнаружили попытку эксплуатации ранее неизвестной уязвимости в Common Log File System (CLFS), подсистеме операционных систем Windows, служащей для логирования. Тщательно исследовав эксплойт, эксперты нашего Глобального центра исследований и анализа угроз (GREAT) связались с Microsoft и предоставили всю необходимую информацию. Разработчики присвоили уязвимости номер CVE-2023-28252 и 11.04.2023 года закрыли уязвимость с выпуском апрельского вторничного обновления. Мы рекомендуем как можно скорее установить свежие патчи, поскольку уязвимость не просто активно эксплуатируется злоумышленниками — она применяется в атаках с использованием шифровальщиков-вымогателей.

Что за уязвимость CVE-2023-28252

CVE-2023-28252 относится к классу уязвимостей эскалации привилегий. Для ее эксплуатации злоумышленникам необходима возможность манипуляций с файлом типа .blf (иными словами, требуется иметь доступ к системе с правами пользователя). В результате они смогут повысить свои привилегии для продолжения атаки.

Как обычно, технические подробности, наряду с индикаторами компрометации, можно найти в посте на сайте Securelist. В данный момент раскрывать детали эксплуатации уязвимости CVE-2023-28252 не представляется возможным, поскольку они могут быть использованы другими злоумышленниками для организации новых атак. Однако наши эксперты обещают поделиться ими 20 апреля (или около того), после того как большинство пользователей успешно установит патчи.

 

View the full article

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Экспертами нашей компании была обнаружена крайне сложная, профессиональная целевая кибератака с использованием мобильных устройств производства Apple. Целью атаки было незаметное внедрение шпионского модуля в iPhone сотрудников компании — как топ-менеджмента, так и руководителей среднего звена.
      Атака проводится при помощи невидимого iMessage-сообщения с вредоносным вложением, которое, используя ряд уязвимостей в операционной системе iOS, исполняется на устройстве и устанавливает шпионскую программу. Внедрение программы происходит абсолютно скрытно от пользователя и без какого-либо его участия. Далее шпионская программа так же незаметно передает на удаленные серверы приватную информацию: записи с микрофона, фотографии из мессенджеров, местоположение и сведения о ряде других активностей владельца зараженного устройства.
      Атака проводится максимально скрытно, однако факт заражения был обнаружен нашей системой мониторинга и анализа сетевых событий KUMA. Система выявила в нашей сети аномалию, исходящую с Apple устройств. Дальнейшее расследование показало, что несколько десятков iPhone наших сотрудников оказались заражены новой, чрезвычайно технологически сложной шпионской программой, получившей название Triangulation («Триангуляция»).
      По причине закрытости в iOS не существует (и не может существовать) каких-либо стандартных средств операционной системы для выявления и удаления этой шпионской программы на зараженных смартфонах. Для этого необходимо прибегать к внешним инструментам.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Распознавание отпечатков пальцев считается достаточно безопасным вариантом аутентификации. Конечно, периодически публикуются работы, рассказывающие о тех или иных способах обмануть датчик отпечатка пальца. Но до сих пор все эти методы так или иначе сводились к физической имитации настоящего пальца владельца смартфона — будь то силиконовая накладка или отпечаток, изготовленный с помощью специальных токопроводящих чернил. И конечно, для этого надо еще раздобыть качественную фотографию пальца, да не любого, а именно того, который зарегистрирован в системе.
      В общем, все эти методы предполагали кучу возни в реальном мире. Но нельзя ли сделать это как-то более изящно, по возможности не выходя из прекрасного мира чистой цифры и пользуясь всеми его благами? Оказывается, это реально: недавно китайские исследователи Ю Чен и Йилинь Хэ опубликовали работу, в которой описали, как с помощью брутфорса можно взломать практически любой Android-смартфон, защищенный отпечатком пальца. Эту атаку они назвали BrutePrint.
      Насколько уникальны отпечатки пальцев
      Перед тем как перейти к сути исследования китайских товарищей, сделаем небольшое отступление, чтобы разобраться с матчастью. Начнем с того, что отпечатки пальцев действительно уникальны и не меняются с возрастом.
      В далеком 1892 году английский исследователь сэр Фрэнсис Гальтон выпустил работу с лаконичным названием «Отпечатки пальцев» (в оригинале «Finger Prints»). В ней он обобщил известные ученым его времени данные об отпечатках пальцев. Работа Гальтона послужила теоретической основой для их дальнейшего практического использования в криминалистике.
      Помимо прочего, сэр Фрэнсис Гальтон также подсчитал, что вероятность совпадения отпечатков пальцев составляет менее чем 1 к 64 миллиардам (в оригинале — «менее чем 236, или примерно 1 к 64 тысячам миллионов»). Этим значением криминалисты продолжают оперировать до сих пор.
      Кстати, если вы любите хардкорную анатомию и вам интересны биологические предпосылки уникальности отпечатков пальцев, то есть свежая научная работа, в которой они рассматриваются.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Что может быть хуже успешной атаки шифровальщика-вымогателя на вашу компанию? Только инцидент, в котором страдают клиенты организации. Именно это произошло с крупным тайваньским производителем ноутбуков, видеокарт и материнских плат, компанией MSI. В начале апреля стало известно, что компанию атаковала новая ransomware-группировка Money Message, чуть позже вымогатели опубликовали в даркнете часть украденной информации, а уже в мае исследователи обнаружили внутри утечки самую неприятную ее часть — приватные ключи для подписи прошивок и ключи Intel Boot Guard. Сама MSI утечку признала, но информацией делилась крайне скупо и ключи не упомянула вообще. Мы постараемся дать чуть больше контекста.
      Что такое ключи Boot Guard и как они защищают компьютер
      Еще до того, как на компьютере загружается операционная система, он выполняет много подготовительных операций по инструкциям из чипа на материнской плате. Раньше этот механизм назывался BIOS, но затем ему на смену пришла расширяемая архитектура UEFI. Код UEFI является частью прошивки устройства, но дополнительные модули также могут загружаться со специального раздела жесткого диска. Дальше UEFI загружает непосредственно операционную систему. Если злоумышленники модифицируют UEFI, то операционная система, пользовательские приложения и все системы защиты будут загружаться после вредоносного кода, под его контролем. Атакующие смогут обходить все последующие слои защиты, такие как шифрование дисков (Bitlocker), контролируемая загрузка (Secure boot) и системы защиты уровня ОС, например антивирусы и EDR.
      Такие угрозы называются имплантами уровня BIOS (иногда еще «аппаратными буткитами«), и их крайне сложно обнаружить, а избавиться от них — еще сложнее. Даже замена жесткого диска на абсолютно новый не избавит от вредоносного ПО.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Если у вас есть аккаунты в каких-нибудь социальных сетях или интернет-сервисах, то вы почти наверняка сталкивались с двухфакторной аутентификацией. Иногда ее еще называют двухэтапной аутентификацией или даже двухэтапной верификацией, но суть от этого не меняется.
      Возможно, вам интересно знать, что же это такое и как работает. И самое главное: зачем вообще нужна двухфакторная аутентификация? Попробуем ответить на эти вопросы в нашем посте.
      Двухфакторная аутентификация: что же это такое
      Для начала дадим простое определение. В том случае, когда для подтверждения прав доступа — то есть, собственно, для аутентификации — используется несколько разных методов одновременно, это называется многофакторной аутентификацией (или мультифакторной).
      Чаще всего цифровые сервисы работают с двухфакторной аутентификацией. В принципе, ничто не мешает использовать и больше факторов, но чтобы зря не раздражать пользователей, они обычно ограничиваются двумя методами подтверждения права входа.
      Иными словами, двухфакторная аутентификация обеспечивает оптимальный баланс между надежностью защиты аккаунта и удобством входа в него. Какими вообще могут быть факторы, подтверждающие право пользователя на вход? Вот наиболее популярные варианты:
      Знание. Аутентификация возможна, если вы знаете пароль, секретную фразу, цифровой код, графический паттерн, ответ на секретный вопрос и так далее. Обладание. Если у вас есть некий предмет — например, ключ, USB-токен, телефон, банковская карта, — то он является подтверждением вашего права доступа. Сюда же относится обладание доступом к какому-то другому аккаунту — скажем, электронной почте или номеру телефона, — которое вы можете продемонстрировать, например, получив на этот аккаунт одноразовый код. Неотъемлемое свойство. Также часто есть возможность аутентифицироваться по какому-то неотъемлемому и достаточно уникальному свойству самого пользователя — отпечатку пальца, голосу, лицу, ДНК, рисунку радужной оболочки, характерной манере печати на клавиатуре и так далее. Местоположение. В этом варианте подтверждением права на доступ является факт нахождения пользователя в каком-то определенном месте — например, если речь идет о корпоративных ресурсах, внутри офиса компании.  
      View the full article
    • KL FC Bot
      От KL FC Bot
      Недавно владельцы Android-смартфонов в России столкнулись с крайне неприятным сюрпризом: получив — чаще всего от кого-то из знакомых — СМС со ссылкой на интересное приложение, скачав и запустив его, вместо обещанного сервиса знакомств, радар-детектора или мода они обнаруживали на экране очень убедительное предложение заплатить выкуп, чтобы предотвратить рассылку по списку контактов и публикацию в Интернете их персональных данных.
      Злоумышленники сообщали, что получили контроль над устройством и перехватили все данные на нем — контакты, СМС, переписки в мессенджерах и социальных сетях, фотографии и иные файлы — и ровно через неделю разошлют их семье, друзьям и просто незнакомым людям, а также сольют в Сеть. Но всего за пять тысяч рублей они удалят украденную информацию и забудут о неудачливом владельце смартфона навсегда.
      Сообщение, густо напичканное приемами социальной инженерии, сопровождалось наглядным доказательством — полным списком контактов из записной книжки смартфона жертвы — и заканчивалось ехидным предложением «не утруждать себя удалением переписок и файлов», потому что они уже утекли в Сеть.
      Как-то непохоже на чат знакомств или радар-детектор
      Насколько правдивыми были эти утверждения? Увы, наш анализ подтвердил истинность большинства этих заявлений: злоумышленники действительно получали доступ к фотографиям, видео и документам, а также к СМС и контактам жертвы. Единственное, про что они врали, чтобы запугать посильнее, — это про слитые переписки в мессенджерах и соцсетях. Доступа к ним троян получить не смог, но, согласитесь, это довольно слабое утешение для тех, чьи данные были украдены.
       
      View the full article
×
×
  • Создать...