Trend Micro выявила следы новой кибершпионской операции

Trend Micro выявила следы новой кибершпионской операции

Антивирусная компания Trend Micro сегодня сообщила об обнаружении новой кибершпионской операции, направленной на компрометацию компьютеров в различных государственных министерствах, технологических компаниях, исследовательских организациях и неправительственных организациях в более чем сотне стран.

Trend Micro называет новую операцию SafeNet и заявляет, что в ее рамках жертвы получают мошеннические электронные сообщения, различными способами принуждаются к посещению вредоносных ресурсов и получают файлы с вредоносными кодами, направленными на кражу персональных данных. В рамках исследования деятельности кампании SafeNet, Trend Micro выявила два типа командно-контрольных серверов, указывающих на то, что как минимум две независимые группы хакеров проводят параллельные атаки и имеют разные цели, но используют один и тот же арсенал вредоносов, передает cybersecurity.ru.

Первая кампания использует арсенал мошеннических писем с содержимым, связанным с Тибетом и Монголией. Данные письма имеют приложенные .doc-файлы, эксплуатирующие уязвимость, устраненную Microsoft в Word ровно год назад. Журналы доступа от этой кампании собираются на C&C-серверах, связанных с 243 уникальными IP-адресами из 11 стран. Однако на момент исследования лишь три сервера были активными в рамках этого направления.

C&C-серверы в рамках второй атаки содержали в себе данные об атаках на 11 563 компьютера-жертвы из 116 стран. Здесь Trend Micro сообщила о том, что лишь 76 компьютеров-клиентов были связаны с коммандно-контрольными серверами на момент исследования. Наибольшее количество жертв здесь было из таких стран, как США, Китай, Пакистан, Филиппины и Россия.

Размещаемое в рамках обеих атак вредоносное программное обеспечение направлено, главным образом, на кражу персональных данных, однако оно создано по модульному принципу и может иметь дополнительные возможности. Так, в Trend Micro нашли вспомогательные модули, которые позволяют получать сохраненные пароли из Internet Explorer, Mozilla Firefox и Remote Desktop Protocol в Windows.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Критическая уязвимость в sudo позволяет запустить любую команду как root

Опубликован PoC-код для уязвимости в sudo, позволяющей с помощью опции -R (--chroot) обойти системные ограничения и выполнить вредоносный код с правами суперпользователя. Патч включен в состав обновления 1.9.17p1.

Появившаяся с выходом сборки sudo 1.9.14 функция chroot() создает изолированную среду, в которой текущий и дочерние процессы могут работать, не имея доступа к объектам и ресурсам за пределами указанного корневого каталога.

Соответствующая команда выполняется на уровне root. Ее использование определяется правилами, прописанными в файле /etc/sudoers.

Уязвимость повышения привилегий CVE-2025-32463 (9,3 балла по CVSS) возникла из-за того, что при изменении корневого каталога sudo начинает резолвить пути к файлам, не завершив проверку параметров настройки в sudoers.

В результате у злоумышленников появилась возможность с помощью этой утилиты протащить в систему стороннюю библиотеку общего пользования, создав фейковый /etc/nsswitch.conf.

Уязвимости подвержены sudo версий с 1.9.14 по 1.9.17 включительно. Патч вышел в прошлом месяце в составе сборки 1.9.17p1; он откатывает изменения, привнесенные в 1.9.14, с пометкой, что использовать chroot не рекомендуется.

По словам разработчиков, со следующим выпуском sudo от неудачно реализованной и редко используемой опции не останется и следа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru