За атакой на Красный Крест стоит APT-группа, использовавшая баг Zoho

За атакой на Красный Крест стоит APT-группа, использовавшая баг Zoho

За атакой на Красный Крест стоит APT-группа, использовавшая баг Zoho

Представители международного гуманитарного движения Красного Креста рассказали детали кибератаки, которая в прошлом месяце поразила подрядчика. Оказалось, что за кампанией может стоять правительственная кибергруппировка, а причиной взлома сервера стал баг корпоративного менеджера паролей Zoho ManageEngine ADSelfService Plus.

Напомним, что киберинцидент произошёл в конце января 2022 года и затронул программу «Restoring Family Links», помогающую семьям воссоединиться после войн, катастроф и миграции. Злоумышленники взломали серверы и украли персональные данные 515 тысяч человек.

Жёсткая обфускация и серьёзные инструменты для взлома указывают на деятельность APT-группировки (advanced persistent threat). Также на работу хорошо подготовленных хакеров намекает использование кода, специально разработанного для атакуемых ICRC-серверов.

«Большинство вредоносных файлов, обнаруженных на целевых машинах, специально созданы для обхода наших защитных решений. Нам удалось обнаружить факт взлома только после установки EDR-системы», — гласит заявление Красного Креста.

Также в ходе расследования выяснилось, что атака началась 9 ноября 2021 года, преступники имели доступ к серверам в течение 70 дней. Для проникновения в сеть атакующие использовали уязвимость под идентификатором CVE-2021-40539 в  Zoho ManageEngine ADSelfService Plus — корпоративном менеджере паролей.

Поскольку администраторы не пропатчили брешь, она помогла злоумышленникам выполнить код удалённо. Исследователи из Palo Alto Networks приписывают эксплуатацию этой уязвимости китайской киберпреступной группировке APT27.

В Windows 11 усилили защиту CMD-скриптов и batch-файлов

Microsoft начала выкатывать новые сборки Windows 11 Insider Preview, в этот раз апдейт больше порадует администраторов и тех, кто активно работает со скриптами. Главное изменение касается обработки batch-файлов и CMD-скриптов. Теперь сисадмины могут включить более защищённый режим, который запрещает изменять batch-файл во время его выполнения.

Для этого нужно добавить параметр LockBatchFilesInUse в реестре по пути HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor. Также включить режим можно через манифест приложения с помощью настройки LockBatchFilesWhenInUse.

По сути, речь идёт о дополнительном контроле над тем, как обрабатываются скрипты в корпоративной среде. Если включена проверка целостности кода, подпись теперь проверяется один раз при запуске файла, а не на каждом шаге выполнения. Это одновременно повышает и безопасность, и производительность, особенно там, где активно используются автоматизированные сценарии.

Но не только админам достались новинки. Microsoft также доработала функцию Shared Audio, появившуюся в октябре. Она позволяет делиться звуком между двумя устройствами: наушниками, колонками или слуховыми аппаратами.

 

Раньше при совместном прослушивании громкость регулировалась сразу для всех. Теперь у каждого пользователя появился отдельный ползунок. Плюс в панели задач отображается индикатор активной сессии с быстрым переходом в настройки.

Расширился и список совместимых устройств с поддержкой Bluetooth LE Audio. Теперь функция работает, в том числе, с Samsung Galaxy Buds 4 и Buds 4 Pro, Sony WF-1000XM6 и Xbox Wireless Headset.

Обновления уже доступны участникам программы Windows Insider в каналах Beta и Dev для сборок 26220.7934 (KB5077242) и 26300.7939 (KB5077243) соответственно.

RSS: Новости на портале Anti-Malware.ru