Скучать экспертам по ИБ на прошлой неделе не пришлось – уязвимость нулевого дня в Microsoft .NET Framework, новый троян для удаленного доступа Kedi, фишинговая кампания с использованием взломанных учетных записей LinkedIn и т.д. Предлагаем ознакомиться с кратким обзором главных инцидентов безопасности за период с 11 по 17 сентября.

Начало прошлой недели ознаменовалось сообщением о восьми уязвимостях в реализациях Bluetooth для Android, iOS, Windows и Linux. Проблема, получившая название BlueBorne, затрагивает практически все Bluetooth-устройства (более 8 млрд) и позволяет злоумышленнику получить полный контроль над атакуемым гаджетом. Для эксплуатации BlueBorne не требуется ни участие пользователя, ни сопряжение с устройством. Единственное условие – включенный Bluetooth.

Во вторник, 12 сентября, компания Microsoft выпустила ежемесячные обновления безопасности для своих продуктов, исправляющие 82 уязвимости, в том числе одну уязвимость нулевого дня. CVE-2017-8759 затрагивает программную платформу .NET Framework и уже используется хакерами в атаках. По данным экспертов FireEye, с ее помощью злоумышленники распространяют шпионское ПО FINSPY, также известное как FinFisher.

В ходе плановой проверки специалисты Kromtech Security Center обнаружили на серверах ElasticSearch вредоносное ПО для PoS-терминалов. Как сообщают исследователи, более 4 тыс. серверов оказались заражены вредоносами AlinaPOS и JackPOS. Заинтересовавшись находкой, с помощью поисковой системы Shodan эксперты обнаружили еще 15 тыс. уязвимых к атакам серверов ElasticSearch, доступных в интернете без какой-либо защиты.

Эксплуатируя известную уязвимость в маршрутизаторах Netgear WNR2000, русскоговорящий хакер создал ботнет для осуществления атак Credential Stuffing (вброс регистрационных данных). Речь идет об обнаруженной в декабре прошлого года уязвимости CVE-2016-10176 в web-сервере маршрутизаторов Netgear, которая позволяет злоумышленникам выполнять различные действия с правами администратора. Хакер использовал ее для загрузки и выполнения вредоносного ПО RouteX.

Исследователи безопасности из Sophos сообщили о новом Windows-трояне для удаленного доступа Kedi. Вредонос может скрывать свое присутствие от антивирусов, связываться с C&C-сервером через Gmail и похищать данные пользователей. Троян распространяется через фишинговые письма, содержащие вредоносную полезную нагрузку, маскирующуюся под утилиту Citrix.

В свою очередь, исследователи из Check Point сообщили о новом вредоносном ПО для Android, получившем название ExpensiveWall. Вредонос способен без ведома пользователя отправлять SMS-сообщения и снимать деньги со счета для оплаты доступа к премиум-сервисам на мошеннических сайтах. ExpensiveWall распространялся через Android-приложения, загруженные порядка 4,2 млн раз. В общей сложности Google удалила из Google Play Store около 50 таких приложений.

Специалисты компании Malwarebytes рассказали о недавних атаках, в ходе которых злоумышленники использовали действительные учетные записи LinkedIn для рассылки фишинговых ссылок через личные сообщения и электронную почту. Отличительной чертой данной кампании является использование хакерами взломанных доверенных учетных записей с хорошей репутацией. Среди прочих, злоумышленники также использовали скомпрометированные премиум-аккаунты, позволяющие общаться с другими пользователями LinkedIn (даже если они не были добавлены в список контактов) по электронной почте при помощи функции InMail.

Несмотря на то, что с момента похищения Эдвардом Сноуденом секретных документов Агентства национальной безопасности США прошло уже четыре года, журналисты продолжают публиковать новые подробности. На прошлой неделе издание The Intercept представило очередной выпуск внутренней новостной рассылки АНБ – SIDtoday. В документе за 2005 год сообщается о разработке метода мониторинга P2P-трафика с целью получения важных сведений. В частности, эксперты спецслужбы смогли расшифровать трафик таких некогда популярных P2P-приложений, как eDonkey и Kazaa.

Не обошлось на прошлой неделе без сообщений об утечках данных. Известная хакерская группировка OurMine, ранее специализировавшаяся только на взломах учетных записей в соцсетях, теперь решила сыграть «по-крупному». Киберпреступники взломали музыкальный видеохостинг Vevo и опубликовали 3,12 ТБ внутренних документов компании.

Из-за некорректной конфигурации сервера CouchDB в открытом доступе оказались данные более полумиллиона американцев. База данных является частью более крупной БД, содержащей информацию свыше 191 млн зарегистрированных избирателей. БД принадлежит консалтинговой фирме TargetSmart, которая использует ее в политических кампаниях для сбора средств, исследований и пр.

По материалам:  SecurityLab