Злоумышленники крадут идентификационные данные, используя Cisco WebVPN

Злоумышленники крадут идентификационные данные, используя Cisco WebVPN

Специалисты компании Volexity обнаружили атаку, нацеленную на Cisco Clientless SSL VPN (WebVPN). Данный продукт позволяет клиентам Cisco ASA устанавливать удаленный доступ к корпоративной сети, через веб-портал.

С помощью Cisco WebVPN пользователи получают доступ к внутренним файлам и ресурсам в сети компании, используя VPN, что, по идее, должно защищать их от хакеров. На деле хакеры нашли способы компрометации Cisco WebVPN.

Volexity рассказали, что в зафиксированных ими случаях, под атакой оказывается страница ввода логина и пароля. Первый метод, используемый злоумышленниками – эксплуатация уязвимости CVE-2014-3393, обнаруженной еще в октябре 2014 года. Ошибка возникает вследствие бага в механизме авторизации фреймворка Scanbox. Эксплуатируя брешь, хакеры способны изменять содержимое WebVPN-портала на произвольное, более того, внесенные ими изменения «выживают» даже после перезагрузки устройства и апгрейда ASA.

Хотя компания Cisco оперативно выпустила исправление для данного бага (еще в прошлом году), исследователь, обнаруживший уязвимость, тоже не сидел сложа руки. Он не только опубликовал детали бага, но и представил соответственный модуль для Metasploit. Не удивительно, что в феврале 2015 года были зафиксированы первые атаки с использованием данной уязвимости, а Cisco пришлось выпустить подробные инструкции о том, как обнаружить и обезвредить вредоносный код, внедренный таким образом.

Теперь специалисты Volexity сообщают, что наблюдали атаку, в ходе которой злоумышленники, эксплуатируя CVE-2014-3393, внедрили вредоносный JavaScript в код страницы авторизации крупной фирмы. Он воровал учетные данные сотрудников из аутентификационной формы, притом осторожно — используя HTTPS. В ходе другой атаки, замеченной Volexity, атакующие вообще хостили малварь на взломанной сайте легитимной общественной организации, что тоже, до поры до времени, не вызывало подозрений.

Однако атакующие не всегда применяли эксплоит для компрометации Cisco WebVPN. Специалисты Volexity заметили, что в ряде случаев хакеры каким-то образом сначала получали административный доступ к системе, и уже после этого изменяли страницу ввода логина и пароля.

От рук неизвестных хакеров пострадали медицинские и некоммерческие организации, НИИ, общеобразовательные учреждения, а также различные компании-производители электроники.

Представители Cisco сообщили, что знают об отчете, опубликованном Volexity, напомнили, что патч для CVE-2014-3393был выпущен еще в прошлом году и посоветовали пользователям внимательнее конфигурировать свои системы.

Роскачество предупреждает о новой схеме обмана школьников перед ЕГЭ

Роскачество предупредило о новой двухэтапной схеме обмана школьников, сдающих единый госэкзамен (ЕГЭ). Сначала выпускникам за деньги обещают подобрать персональные задания, а за несколько дней до экзамена сообщают, что сделать это не удалось, и предлагают пройти экспресс-подготовку — тоже платно.

В итоге мошенники получают деньги дважды, а школьники рискуют остаться неподготовленными за считаные дни до экзамена. О новой схеме, связанной с обещаниями успешной сдачи ЕГЭ, сообщило РИА Новости со ссылкой на Центр цифровой экспертизы Роскачества.

Главная опасность заключается в том, что выпускники, надеясь «купить» баллы, перестают готовиться и могут прийти на экзамен без необходимых знаний.

На первом этапе злоумышленники предлагают выпускнику «пакет гарантированной страховки». Он якобы включает персонализированный вариант контрольно-измерительных материалов (КИМ), а ответы обещают прислать на телефон, который нужно будет пронести на экзамен. Стоимость такого пакета составляет около 1,5–2 тыс. рублей.

Однако за сутки до экзамена жертва получает видеоинструкцию, в которой сообщается, что Рособрнадзор ужесточил контроль, поэтому передавать настоящие ответы сейчас слишком рискованно. Вместо этого выпускнику предлагают пройти экспресс-курсы уже за 5 тыс. рублей. Там якобы дают методики быстрого запоминания и навыки решения типовых задач. При согласии мошенники отправляют «пустышку» или решения заданий прошлых лет.

«Злоумышленники не просто продают фальшивые ответы, а используют психологию, чтобы заработать при этом дважды. В преддверии экзаменов в Сети активизировались группы, предлагающие не просто "сливы", а "персональный подбор ключей" к вариантам КИМ», — отмечают эксперты Роскачества.

Во время досрочного этапа ЕГЭ, который проходил с 20 марта по 20 апреля, было выявлено четыре нарушителя из 2200 сдававших. Один из них пытался списывать, и его обнаружили с помощью средств видеоаналитики.

RSS: Новости на портале Anti-Malware.ru