Китайские хакеры использовали инструмент АНБ за год до его слива в Сеть

Китайские хакеры использовали инструмент АНБ за год до его слива в Сеть

Аналитики компании Symantec поделились интересными наблюдениями. Оказалось, что некая китайская киберпреступная группировка использовала в атаках инструмент Агентства национальной безопасности (АНБ) США за год до того, как хакеры Shadow Brokers слили его в Сеть.

Эта китайская группа отслеживается под следующими именами: Buckeye, APT3, UPS Team, Gothic Panda и TG-0110. Исследователи связывают ее деятельность с Министерством государственной безопасности КНР.

Buckeye отметилась кибератаками на такие крупные корпорации, как Siemens, Trimble и Moody’s Analytics. В своих кибероперациях группа использовала несколько вредоносных программ, среди которых был знаменитый бэкдор DoublePulsar.

Также исследователи отметили наличие в арсенале Buckeye эксплойта Bemstour, который отвечал за доставку бэкдора на целевой компьютер. Напомним, что DoublePulsar обрел известность в апреле 2017 года, как раз после публикации Shadow Brokers инструментов АНБ.

По словам специалистов Symantec, им удалось найти доказательства использования DoublePulsar группировкой Buckeye в марте 2016 года. Таким образом, китайские хакеры больше года пользовались инструментом АНБ до его официальной утечки.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Fortinet FortiWeb устранили уязвимость, позволяющую внедрить команды

Компания Fortinet устранила уязвимость в своем межсетевом экране FortiWeb, предназначенном для защиты веб-приложений от веб-атак, и поблагодарила эксперта Positive Technologies Андрея Медова, выявившего проблему.

Ошибка получила идентификатор CVE-2021-22123 и оценку 7,4 по шкале CVSSv3, что соответствует высокому уровню опасности.

«Уязвимость внедрения команд в интерфейсе управления FortiWeb может позволить удаленному злоумышленнику, прошедшему проверку подлинности, выполнять произвольные команды в системе через страницу конфигурации сервера SAML, — объясняет Андрей Медов. — Выполнение команд с максимальными привилегиями приведет к получению атакующим полного контроля над сервером. Если же в результате неправильной настройки интерфейс администрирования межсетевого экрана окажется доступен в интернете, а сам продукт не будет обновлен до последних версий, то комбинация CVE-2021-22123 и обнаруженной нами ранее ошибки CVE-2020-29015 может позволить атакующему проникнуть во внутреннюю сеть».

Для устранения уязвимости нужно обновить FortiWeb 6.3.7 (и ниже), 6.2.3 (и ниже), 6.1.x, 6.0.x, 5.9.x до версий 6.3.8 или 6.2.4 (в зависимости от используемой редакции продукта).

В феврале 2021 года Fortinet закрыла четыре уязвимости в FortiWeb, выявленные Андреем Медовым.

Автоматизировать обнаружение и приоритизацию подобных уязвимостей позволяют системы управления уязвимостями, такие как MaxPatrol VM. Выявить признаки проникновения (например, в случае невозможности установки обновления) помогут системы класса SIEM (в частности, MaxPatrol SIEM), которые позволяют выявить подозрительное поведение на сервере, зарегистрировать инцидент и своевременно остановить продвижение злоумышленников внутри корпоративной сети.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru