Преступная группа Chafer расширяет поле деятельности

Преступная группа Chafer расширяет поле деятельности

Иранская преступная группа Chafer расширила свою деятельность и теперь использует новые инструменты, включая эксплойт EternalBlue в Windows-реализации протокола SMB, для организации таргетированных атак на фирмы на Среднем Востоке в целях шпионажа и сбора данных.

Как правило, жертвами преступников становятся телекоммуникационные и транспортные компании, а также ряд их поставщиков и партнеров, занимающихся программным обеспечением, платежными ведомостями, авиаперевозками. По данным исследователей компании Symantec, с момента своего появления в 2015 году группа значительно расширила свою деятельность. 

В арсенале Chafer появилось несколько новых инструментов, в том числе эксплойт EternalBlue, который сделал возможными вспышки WannaCry и NotPetya в прошлом году. Это позволяет злоумышленникам более легко проникать в целевые сети.

В общей сложности Chafer внедрили семь новых инструментов, с помощью которых атаковали девять новых целей в ближневосточном регионе, включая организации в Израиле, Иордании, Объединенных Арабских Эмиратах, Саудовской Аравии и Турции. Исследователи обнаружили, что Chafer напали на африканскую авиакомпанию и попытались взломать международную фирму по бронированию путешествий, однако эта атака не увенчалась успехом. Другая атакованная организация занималась поставками телекоммуникационных услуг на Ближнем Востоке. Исследователи говорят, что финальной целью этой атаки могло быть установление наблюдения за конечными пользователями компании.

Все эти случаи, по словам Symantec, указывают на “рост амбиций” атакующих. До этого подобные акции представляли собой атаки на веб-серверы с целью внедрения вредоносных программ. Однако на протяжении 2017 года Chafer использовали новые тактики, например, рассылку фишинговых сообщений на почту конкретным сотрудникам компаний. К ним прикреплялась таблица Excel, которая при открытии загружала вредоносный файл VBS. Он в свою очередь запускал скрипт PowerShell, что в конечном итоге приводило к установке дроппера на компьютер. Это давало злоумышленникам возможность красть содержимое буфера обмена, делать скриншоты, записывать последовательности нажатия клавиш, похищать файлы и учетные данные пользователя с компьютера. В большинстве случаев PowerShell также использовался для установки дополнительных инструментов, позволяющих перемещаться по сети. И многие их этих новинок — готовые продукты, находящиеся в открытом доступе. Все эти средства используются в сочетании с инструментами, использующими протокол SMB, такими как эксплойт EternalBlue, что помогает злоумышленникам расширить возможности шпионажа. 

Сотрудники Symantec говорят, что хакерская группа Chafer остается очень активной, продолжает оттачивать новые тактики кибератак, а также становится более смелой в выборе целей. Хотя подавляющее большинство операций Chafer ограничено Ближним Востоком, группа следит за глобальными тенденциями, полагаясь на свободно доступное программное обеспечение.

Группа также атакует системы поставок организаций. Хотя здесь для достижения конечной цели требуется больше ресурсов, при успешности кампании злоумышленники получают гораздо больше выгоды.

 

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Drupal устранили CSRF-уязвимости и обход ограничений на доступ

Разработчики Drupal выпустили обновления безопасности для веток 8.9, 9.1 и 9.2. В модулях ядра CMS-системы объявились пять уязвимостей; три из них грозят обходом ограничений по контенту на сайте, две — атакой CSRF (cross-site request forgery, подделка межсайтовых запросов).

Все новые проблемы признаны умеренно критичными; они получили от 10 до 14 баллов из 25 возможных по шкале CMSS. (На проекте используется система оценки, рекомендованная американским институтом стандартов и технологий — NIST).

Наиболее опасна CSRF-уязвимость CVE-2020-13674 (14 баллов по CMSS), связанная с работой модуля QuickEdit. Причиной ее появления является неадекватная проверка прав на изменение пути к файлу. Эксплойт в данном случае может привести к нарушению целостности данных.

Другая возможность CSRF (CVE-2020-13673) менее опасна, ее оценили в 10 баллов из 25. Она возникла из-за некорректной работы модуля Media, позволяющего встраивать внутренний и внешний медиаконтент в поля текущей страницы. Как оказалось, с помощью этого инструмента можно внедрить на страницу сторонний HTML-код от имени пользователя, обладающего правом доступа к фильтрам Media.

Уязвимость CVE-2020-13677 вызвана неспособностью модуля JSON:API строго ограничить доступ к некоторым видам контента. Проблема CVE-2020-13675 грозит загрузкой на сайт вредоносного файла при включенном модуле REST/File или JSON:API. В появлении CVE-2020-13676 повинен QuickEdit, который невнимательно проверяет разрешения на доступ к полям при редактировании контента.

Патчи включены в состав обновлений 9.2.6, 9.1.13 и 8.9.19. Седьмую версию Drupal эти проблемы не затрагивают; для Drupal 8 сборок ниже 8.9.x и Drupal 9 ниже 9.1.x заплаток не будет: срок поддержки таких версий истек.

Хотя эту CMS-систему используют лишь 1,4% сайтов в интернете, массовые атаки на сайты с использованием ее уязвимостей нередки. Пользователям настоятельно рекомендуется обновить свои установки.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru