Хакеры активно эксплуатируют незакрытую 0-day в Atlassian Confluence

Хакеры активно эксплуатируют незакрытую 0-day в Atlassian Confluence

Хакеры активно эксплуатируют незакрытую 0-day в Atlassian Confluence

Разбор атаки на одного из клиентов Volexity показал, что злоумышленники проникли на два хоста с помощью ранее неизвестной уязвимости в Confluence Server. Вендор (Atlassian) уже поставлен в известность и готовит патч, пользователям рекомендуется отключить такие серверы от интернета.

Детали уязвимости нулевого дня CVE-2022-26134 пока не разглашаются. В Volexity ее классифицируют как инъекцию команд, в бюллетене Atlassian она охарактеризована как возможность удаленно и без аутентификации выполнить код. Степень опасности проблемы разработчик оценил как критическую.

Расследование, проведенное экспертами, показало, что авторы атаки использовали CVE-2022-26134 для установки веб-шеллов. После отработки эксплойта в систему загружался BEHINDER — скрипт JSP, работающий как бэкдор. Этот выполняемый в памяти зловред, поддерживающий Meterpreter и Cobalt Strike, был ранее неоднократно замечен в атаках китайских хакеров.

Поскольку такой бэкдор может слететь при перезагрузке системы или перезапуске службы, злоумышленники для верности установили на серверах еще два веб-шелла: JSP-вариант China Chopper и простейший загрузчик файлов — на сей раз с записью на диск.

Также в ходе атаки на взломанных узлах была проведена проверка содержимого папок /etc/passwd и /etc/shadow, выгружены пользовательские таблицы из локальной базы данных Confluence, изменены записи в журнале доступа (чтобы скрыть свидетельства эксплойта).

Проведенный в Atlassian аудит показал, что CVE-2022-26134 актуальна для всех поддерживаемых версий Confluence Server (в том числе только что вышедшей 7.18.0) и Data Center. Пользователям Atlassian Cloud эта угроза не страшна.

Обновления с патчем разработчик рассчитывает выпустить сегодня вечером (к утру 4 июня по Москве), а пока советует пользователям ограничить интернет-доступ к Confluence Server и Data Center или совсем их отключить. Те, для кого это неприемлемо, могут снизить риск, введя блокировку URL с подстановками ${...} на уровне WAF — эту меру защиты уже приняла Cloudflare для всех своих клиентов.

Аналитики из Volexity полагают, что CVE-2022-26134, позволяющий захватить контроль над системой, уже взяли на вооружение многие китайские хакеры. Специалисты ИБ-компании создали YARA-правила для выявления на серверах Confluence активности, связанной с веб-шеллами, и опубликовали список IP-адресов, которые авторы атаки использовали для взаимодействия с зараженными машинами.

Федеральное агентство кибербезопасности США (CISA) добавило CVE-2022-26134 в свой список известных уязвимостей под атакой и предписало госорганам к 3 июня заблокировать весь входящий интернет-трафик на серверах Confluence. Уязвимости в продуктах Atlassian популярны у хакеров, которые охотно используют их для развертывания криптомайнеров или шифровальщиков — таких как Cerber и AtomSilo.

VK распродаёт активы и перестраивается под санкциями

VK резко перестраивает работу после новых ограничений Евросоюза. За несколько дней холдинг продал RuStore, объявил окончательный переезд с домена .com на .ru и лишился приложений сразу в двух крупнейших западных магазинах.

С 15 июля владельцем разработчика RuStore — компании «Много приложений» — стал её гендиректор Дмитрий Панкрушев.

Ранее бизнес целиком принадлежал VK. Сумма сделки не раскрывается, но эксперты оценивают актив примерно в 2 млрд рублей и связывают продажу с попыткой вывести магазин приложений из-под санкционного зонта холдинга.

Следом VK сообщил об исчезновении своих сервисов из Google Play. Вместе с VK и Max из каталога пропали «Одноклассники», Mail.ru, «Дзен» и «Юла». Ранее часть приложений холдинга уже удаляли из App Store.

Компания заверяет, что установленные версии продолжают работать, пуши и звонки не отключатся, а скачать приложения можно через RuStore и магазины производителей смартфонов.

Параллельно VK завершает переезд с vk.com на vk.ru. Для обычного пользователя это выглядит как смена нескольких букв, но внутри завязаны API, авторизация и партнёрские интеграции.

Эксперты, которых цитирует «КоммерсантЪ», считают, что переход в российскую доменную зону позволит снизить зависимость от зарубежной инфраструктуры. Некоторые участники рынка, впрочем, называют переезд срочным и вынужденным.

Инвесторы энтузиазма не проявили: 16 июля акции VK падали более чем на 7%.

Получается полноценная цифровая эвакуация: RuStore — за периметр холдинга, приложения — в альтернативные каталоги, домен .com — на выход. VK не просто меняет адрес, а срочно собирает инфраструктуру там, где до неё сложнее дотянуться санкциям.

RSS: Новости на портале Anti-Malware.ru