VMware выпустила патчи для двух 0-day, показанных на Pwn2Own

VMware выпустила патчи для двух 0-day, показанных на Pwn2Own

VMware выпустила патчи для двух 0-day, показанных на Pwn2Own

VMware выпустила важные обновления, устраняющие уязвимости нулевого дня (0-day), которые можно использовать в связке для выполнения вредоносного кода удалённо. Известно, что проблема затрагивает гипервизоры Workstation и Fusion.

Две бреши стали частью одного эксплойта, работу которого исследователи из STAR Labs продемонстрировали на мероприятии Pwn2Own 2023 в Ванкувере.

По традиции у вендора были 90 дней на патчинг показанных на Pwn2Own дыр. Если в этот срок не будут выпущены соответствующие обновления, эксперты Trend Micro Zero Day опубликуют технические детали уязвимостей.

Первый баг — CVE-2023-20869 — представляет собой возможность переполнения буфера и затрагивает функциональность обмена информацией по Bluetooth между устройствами. Эта брешь позволяет условным атакующим удалённо выполнить код от лица процесса виртуальной машины VMX.

Вторая уязвимость — CVE-2023-20870 — открывает возможность для раскрытия информации. В случае её эксплуатации злоумышленник может прочитать конфиденциальные данные, содержащиеся в памяти гипервизора.

VMware также опубликовала обходной путь защиты от эксплуатации багов для тех админов, которые по каким-то причинам не хотят или не могут устанавливать патчи:

«Вы можете выключить поддержку Bluetooth на виртуальной машине».

Через Minecraft детей заманивают в Telegram и втягивают в мошенничество

Мошенники добрались до детей и через Minecraft. Столичный департамент образования и науки предупредил, что злоумышленники начали использовать игровые чаты, чтобы выходить на российских подростков и втягивать их в опасные мошеннические схемы.

По данным ведомства, последовательность выглядит так: школьников находят прямо в чатах Minecraft, завязывают разговор, а затем предлагают перейти в Telegram — якобы чтобы удобнее обсудить игровые вопросы.

Дальше сценарий усложняется. После перехода в мессенджер мошенники представляются «сотрудниками кибербезопасности» и начинают запугивать ребёнка.

Они могут обвинять его в передаче координат спецслужбам, угрожать задержанием и давить психологически. Цель, как и во многих подобных схемах, одна — заставить подростка украсть деньги у родителей и передать их курьерам.

То есть игра в этой истории становится просто точкой входа. Сначала обычный контакт в знакомой для ребёнка среде, потом — перевод общения в Telegram, а дальше уже классическая схема давления, построенная на страхе, срочности и авторитетном тоне.

На фоне таких случаев уполномоченный по правам ребёнка в Москве Ольга Ярославская ранее отмечала, что нужно отдельно изучать психологические факторы, из-за которых подростки оказываются уязвимы для подобных манипуляций.

И это, пожалуй, ключевой момент: мошенники всё чаще работают не только с технологиями, но и с эмоциями, хорошо понимая, как именно давить на ребёнка.

RSS: Новости на портале Anti-Malware.ru