febr 21, 2024 | Blog
Kiberbiztonság új kihívása: Az MMS ujjlenyomat módszer
A digitális kor hajnalán, ahol az adatbányászat a modern aranyláz, a kiberbiztonsági fenyegetések és a kémkedési módszerek dinamikusan fejlődnek. Az NSO Csoport, egy elismert kiberbiztonsági vállalat, az „MMS Ujjlenyomat” technológiával rukkolt elő, amely új távlatokat nyit a digitális megfigyelés területén. Ez a technológia egy ghánai telekommunikációs szervezettel kötött szerződés keretében került bemutatásra, ami a használatának kiterjedt lehetőségeire utal.
Az „MMS ujjlenyomat” technológia magyarázata
A technológia lényege, hogy képes felismerni a célzott eszközök és operációs rendszerek típusát minden felhasználói interakció nélkül. Ez a bináris SMS-eken, azaz a WSP Push technológián alapul, amely előzetesen értesíti a felhasználókat az érkező MMS üzenetekről. A felhasználó eszközének a szerverrel való kapcsolatba lépésekor, az MMS letöltése során, bizonyos eszközinformációkat osztanak meg, amelyek később támadások során felhasználhatók.
Rizikók és védekezési módszerek
Az NSO Csoport által fejlesztett és az Enea által tesztelt „MMS Ujjlenyomat” módszer titokban gyűjti a felhasználói információkat, ami aggodalmakat vet fel az adatvédelem és a magánélet védelme kapcsán. Jelenleg nincs bizonyíték arra, hogy ezt a technológiát széles körben alkalmaznák, de a lehetséges következmények és a visszaélések jelentette kockázatok komoly kihívást jelentenek a kiberbiztonsági szakma számára.
A telekommunikációs szolgáltatók képesek lehetnek arra, hogy megakadályozzák ezeket a típusú támadásokat, míg a felhasználók is tehetnek lépéseket azáltal, hogy letiltják az MMS üzenetek automatikus letöltését készülékeiken. Ez az esemény rávilágít a proaktív magatartás és az információk folyamatos követésének jelentőségére a digitális védekezésben.
Az „MMS Ujjlenyomat” technológia bemutatása és annak kockázatai felhívják a figyelmet a kiberbiztonsági veszélyek folyamatos változására, kiemelve, hogy a felhasználóknak, vállalatoknak és kormányzati intézményeknek mindig ébernek és előrelátónak kell lenniük. Az NSO Csoport és más hasonló szervezetek által fejlesztett technológiák új kihívásokat jelentenek a védelmi rendszerek számára, hangsúlyozva a technológiai fejlődés nyomon követésének és a digitális védelmi stratégiák erősítésének fontosságát.
Forrás: www.securityweek.com
febr 12, 2024 | Blog
Ahogy a digitális világ rohamos fejlődésen megy keresztül, úgy válnak a kiberbűnözők módszerei is egyre rafináltabbá, különösen a zsarolóvírusok felhasználásával, amelyekkel váltságdíj fejében szereznek hozzáférést az áldozataik adatához. Az utóbbi évek trendjei egyértelműen jelzik, hogy ezek a támadók nem csak megőrzik, hanem fokozzák is műveleteik agresszivitását, ami komoly kihívást jelent a kiberbiztonsági védekezési taktikáknak.
Az elmúlt időszakban gyűjtött adatok konzisztensen azt mutatják, hogy a zsarolóvírus támadások gyakorisága és ezáltal generált illegális bevételük meredeken emelkedett. Ez aggodalomra ad okot, mivel a kiberbiztonsági közösség által bevezetett ellenintézkedések kezdetben úgy tűnt, hogy lassítják ezt a növekedést. Viszont a Chainanalysis legújabb elemzése szerint a 2022-es évben a támadások intenzitása újra növekedésnek indult, és a zsarolóvírusok által erőltetett váltságdíjak összege is jelentősen megugrott, az előző évi 567 millió dollárról 1,1 milliárd dollárra emelkedve, ezzel új mérföldkövet állítva fel.
A zsarolóvírusokat alkalmazó bűnözők nem különböztetnek meg a potenciális célpontokat, így nagyvállalatok, egészségügyi intézmények és oktatási intézmények egyaránt az áldozatok között lehetnek. A Recorded Future és más elemző cégek jelentései alapján az új zsarolóvírus variánsok száma és ezek alkalmazásának gyakorisága folyamatosan nő, ami arra utal, hogy a jelenleg alkalmazott kiberbiztonsági védekezési módszerek nem nyújtanak kielégítő védelmet.
A 2022-es ideiglenes visszaesés után, különösen az orosz és ukrán csoportok esetében, a zsarolóvírus műveletek ismét intenzívebbé váltak. A geopolitikai helyzetek átmeneti változásai nem akadályozták meg, hogy a kiberbűnözők fokozzák támadásaikat mind szám, mind erősség tekintetében.
Ez az elemzés kiemeli, hogy bár vannak előrelépések a zsarolóvírusok elleni küzdelemben, a kiberbiztonsági szakértők továbbra is jelentős kihívásokkal néznek szembe. A dinamikusan változó kiberfenyegetések elleni védekezéshez szükség van átfogó és folyamatosan fejlődő védelmi stratégiákra, amelyek képesek alkalmazkodni az új kihívásokhoz.
Forrás:
febr 1, 2024 | Blog
A Cluster25, egy fenyegetéseket elemző cég nemrég felfedte a „Medve és a Shell” nevű spear-phishing kampányt. Ez a kampány elsősorban az orosz kormányt bíráló szervezetekre és az ellenzéki mozgalmakhoz köthető csoportokra irányul. A támadás során a társadalmi mérnökség módszereit alkalmazva látszólag hitelesnek tűnő csalétekkel csapják be az áldozatokat.
Példaként említhető egy NASA-témájú e-mail, amely állítólag egy állásajánlatot rejtő ZIP fájlt tartalmaz. Ennek a fájlnak a megnyitásakor egy több platformon működő reverse shell, az HTTP-Shell aktiválódik, amely lehetővé teszi a támadók számára, hogy távolról hozzáférjenek az áldozat rendszeréhez.
Ez a shell, habár nyílt forráskódú, rosszindulatú célokra is felhasználható, így lehetővé téve a fájlok átvitelét, a könyvtárak böngészését és a kapcsolódást egy parancs- és vezérlő (C&C) szerverhez. Ebben az esetben a C&C szerver egy PDF-szerkesztő oldalnak álcázta magát, hogy elkerülje a felderítést.
Túl a NASA-n: Egy szélesebb csalási háló
A Cluster25 nyomozása többet tárt fel, mint csak egyetlen támadást. További hasonló kampányokat is felfedeztek. Ezek a kampányok ugyanazt a módszertant követték, hasonló parancsikonokat használtak, és néhány csalétek témája is megegyezett. Ezek az adatok egy összehangolt támadási kísérletre utalnak, amely különböző egyének és szervezetek ellen irányul.
A kampány a NASA-témájú csaléteken túl terjeszkedett, különféle témákat felölelve a különböző célpontok megtévesztésére. Egyik taktika az USAID-témájú támadás volt, amely az Egyesült Államok Nemzetközi Fejlesztési Ügynökségének jó hírnevét használta ki. Egy másik cél a hollandiai székhelyű nyomozó újságírói csoport, a Bellingcat volt, ami a kampány nemzetközi jellegét hangsúlyozza.
Független orosz médiumok, mint a The Bell és a Verstka, cikkeit használták csalétekként is, bemutatva a támadók törekvését, hogy behatoljanak azokba a közösségekbe, amelyek kritikusak az orosz kormánnyal szemben.
Attribúció: Nyomok, amelyek a Medvére mutatnak
Bár a pontos elkövetők azonosítása még mindig várat magára, a bizonyítékok egy orosz állami támogatású fenyegető szereplő irányába mutatnak.
A célpontok jellege, valamint a korábbi Sliver beacon aktivitásokhoz kapcsolódó infrastruktúra használata arra utal, hogy az orosz kormány nevében tevékenykedő szereplők állhatnak a háttérben.
Ez aggodalmakat kelt a célzott kibertámadásokkal kapcsolatban, amelyek célja az ellenzéki hangok elnyomása és a kritikus vélemények elhallgattatása.
Forrás: cybersecuritynews.com
jan 31, 2024 | Blog
Hackerek megbízható platformok átirányítási hibáit kihasználva hajtanak végre phishing támadásokat
A támadók megbízható platformokat használnak fel átirányítási célokra, ami azt jelenti, hogy legitim weboldalak segítségével irányítják a felhasználókat kártékony URL-címekre.
Az egyre fejlődő kiberfenyegetések világában a phishing kísérletek gyakorisága növekszik, az e-mail pedig az egyik legfőbb célpont. A szakértők jelentős növekedést tapasztaltak azokban a phishing kísérletekben, amelyek kihasználják a nyílt átirányítási sebezhetőségeket.
A fő cél az észlelési mechanizmusok elkerülése és a felhasználók bizalmának kiaknázása, kihasználva a megbízható platformok hírnevét és az ellen-phishing elemzési technikákat, mint például az összetett átirányítási láncok.
Mi az a nyílt URL-átirányítási sebezhetőség?
Egy webalkalmazás olyan felhasználó által irányított adatot kap, amely egy külső oldalra mutató linket tartalmaz, amit aztán átirányításra használnak fel. Ez megkönnyíti a phishing kísérleteket.
A Trustwave SpiderLabs csapata szerint ez a webalkalmazás-sebezhetőség akkor keletkezik, amikor a felhasználók ellenőrizetlen adatok használatával irányíthatók át nem megbízható weboldalakra, ami támadók által üzemeltetett weboldalakra, például phishing oldalakra vezethet.
„A támadók egyre gyakrabban vizsgálják és tesztelik a nyílt átirányításra sebezhető linkeket a megbízható platformokon. Az URL-paramétereket manipulálják, hogy a felhasználókat rosszindulatú oldalakra irányítsák, és ezen linkeket phishing e-mailekbe ágyazzák be. Ez lehetővé teszi számukra a phishing támadások indítását és a felhasználói hitelesítő adatok ellopását”, osztotta meg a SpiderLabs csapat a Cyber Security News-szal.
Email phishing kísérletek
Egy esetben a támadók az IntelliClick tulajdonában lévő alap URL-t használják fel: „hxxps[://]www[.]intelliclicktracking[.]net/”. Az IntelliClick egy megbízható e-mail és weboldal marketing szolgáltató, amelynek domainjét a fenyegető szereplők nyílt átirányításokkal indított phishing támadásokhoz használják fel, noha ez egy legális szolgáltatás.
Van egy URL-paraméter, ami egy rosszindulatú IPFS oldalra mutat, egy e-mail cím részletével. Az InterPlanetary File System, vagy IPFS, egy elosztott, peer-to-peer fájlmegosztó rendszer, amit egyre gyakrabban használnak phishing támadásokhoz.
Az átirányítási lánc bemutatja, hogyan vezet az IPFS URL-re, amely egy hamis bejelentkezési űrlapot tartalmaz, amely a Webmailt utánozza.
A nyílt átirányítási stratégiákat használó phishing kampányok egyre gyakoribbak, az olyan képalapú támadások növekedése miatt, amelyek a Microsoftot és az e-aláírás szolgáltatásokat, mint az Adobe Sign és a DocuSign utánozzák.
A fenyegető szereplők kihasználják a Google szolgáltatásokkal kapcsolatos széles körű bizalmat, a Google domainek rosszindulatú felhasználásával és azok beépítésével a phishing erőfeszítésekbe, hogy elkerüljék az észlelést.
Ez hangsúlyozza a folyamatos éberség szükségességét a kiberfenyegetésekkel szemben, mivel azok továbbra is fejlődnek és új kihívásokat jelentenek.
Forrás: www.cybersecuritynews.com
jan 30, 2024 | Blog
A brazil rendvédelmi hatóságok sikeresen letartóztattak több, a Grandoreiro malware mögött álló brazil operatívot.
A Brazil Szövetségi Rendőrség közölte, hogy öt ideiglenes letartóztatási parancsot és tizenhárom házkutatási és lefoglalási parancsot hajtottak végre São Paulo, Santa Catarina, Pará, Goiás és Mato Grosso államokban.
A szlovák kiberbiztonsági cég, az ESET, amely további segítséget nyújtott az akcióban, azt állítja, hogy felfedezett egy tervezési hibát a Grandoreiro hálózati protokolljában, ami segített azonosítani a támadások mintázatait.
A Grandoreiro egyike azon latin-amerikai banki trójai vírusoknak, mint a Javali, Melcoz, Casabeniero, Mekotio és Vadokrist, amelyek elsősorban Spanyolországot, Mexikót, Brazíliát és Argentínát célozzák meg. 2017 óta aktívnak ismert. 2023 októberében a Proofpoint részleteket közölt egy olyan phishing kampányról, amely frissített változatát terjesztette a malware-nek Mexikóban és Spanyolországban.
Ez a banki trójai vírus képes adatokat lopni billentyűzetfigyelők és képernyőmentések segítségével, valamint bankszámla bejelentkezési információkat ellopni, amikor egy fertőzött áldozat a fenyegetők által meghatározott banki webhelyekre látogat. Hamis felugró ablakokat is megjeleníthet, és blokkolhatja az áldozat képernyőjét.
A támadási láncok tipikusan phishing csalikat használnak, amelyek ál-dokumentumokat vagy rosszindulatú URL-eket tartalmaznak, amelyek megnyitásakor vagy kattintásakor a malware telepítéséhez vezetnek, ami ezután kapcsolatot létesít egy parancs- és vezérlő (C&C) szerverrel, hogy távolról manuálisan irányítsa a gépet.
„A Grandoreiro rendszeresen figyeli az előtérben lévő ablakot, hogy megtaláljon egyet, amely egy webböngésző folyamathoz tartozik,” mondta az ESET. „Amikor egy ilyen ablakot talál, és annak neve egyezik bármelyik, a bankkal kapcsolatos szavakból álló, előre meghatározott listán szereplő szóval, akkor és csak akkor kezdi meg a kommunikációt a C&C szerverrel, legalább másodpercenként küldve kéréseket, amíg azok be nem fejeződnek.”
A malware mögött álló fenyegetők egy domain generáló algoritmust (DGA) is alkalmaznak 2020 októbere óta a C&C forgalom cél-domainjének dinamikus azonosítására, ami megnehezíti a hálózat blokkolását, nyomon követését vagy átvételét.
A C&C IP-címek túlnyomó többségét elsősorban az Amazon Web Services (AWS) és a Microsoft Azure szolgáltatja, az IP-címek élettartama 1 naptól 425 napig terjed. Átlagosan naponta 13 aktív és három új C&C IP-cím található.
Az ESET azt is elmondta, hogy a Grandoreiro hibás RealThinClient (RTC) hálózati protokoll implementációja a C&C-n lehetővé tette az információgyűjtést a C&C szerverhez csatlakozó áldozatok számáról, ami átlagosan naponta 551 egyedi áldozatot jelent, főként Brazíliából, Mexikóból és Spanyolországból.
További vizsgálatok szerint naponta átlagosan 114 új egyedi áldozat csatlakozik a C&C szerverekhez.
„A Brazil Szövetségi Rendőrség vezette felszámoló művelet azokra az egyénekre irányult, akiket a Grandoreiro művelet hierarchiájának magas rangú tagjainak tartanak,” tette hozzá az ESET.
Forrás: www.thehackernews.com
