עדכון שבועי 01.06.2023

חולשה חדשה בתוסף Better Notifications ל Wordpress

התגלתה חולשה חדשה בתוסף Better Notifications ל Wordpress, החולשה מסוג Cross Site Request Forgery (CSRF) התגלה על ידי חוקר בשם Nguyen Xuan Chien ויכולה לאפשר לתוקף בניצול מוצלח שלה ״להכריח״ משתמשים עם הרשאות גבוהות במערכת לבצע פעולות לא רצויות תחת האימות הפעיל הנוכחי שלהם במערכת. חולשה זו תוקנה בגרסה 1.9.3 של התוסף, צוות קונפידס ממליץ למשתמשי תוסף זה לבצע עידכון לגרסה זו על מנת לסגור פגיעות לחולשה זו.

​

חברת Zyxel מזהירה מפני פגיעויות קריטיות בחומת האש ומכשירי VPN

Firewall פרסמה עדכוני אבטחה עבור חומות האש Zyxel
(buffer overflow) המושפעות מחולשות מרובות של הצפת מאגר

CVE-2023-33009

פגיעות של הצפת מאגר בפונקציית ההתראה בחלק ממוצרי החברה
המאפשרת לתוקף לא מאומת את האפשרות הרצת קוד מרחוק ואף לגרום למניעת שירות (Dos) 

ציון חומרה קריטית של 9.8
CVE-2023-33010

פגיעות של הצפת מאגר בפונקציית עיבוד הזיהוי בחלק ממוצרי החברה

המאפשרת לתוקף לא מאומת את האפשרות הרצת קוד מרחוק ואף לגרום למניעת שירות (Dos) 

ציון חומרה קריטית של 9.8

​

עדכון אבטחה ל-Google Chrome הנותן מענה לחולשות ברמת חומרה גבוהה

Google Chrome פרסמו את העדכון Chrome 114 עבור מערכות ההפעלה Windows, Mac ו-Linux. עדכון זה יושק בהדרגה במהלך הימים או השבועות הקרובים. גרסה 114.0.5735.90 של Chrome זמינה עבור לינוקס ו-Mac, בעוד שגרסה 114.0.5735.90/91 מיועדת למשתמשי Windows. גרסאות אלו מתוקנות ומעודכנות ומקבלות ציון CVSS 8.8. בסך הכל פורסמו 16 תיקוני אבטחה כדי לשפר את הגנת הדפדפן כמו כתיבה מעבר לגבול ב(Swiftshader (CVE-2023-2929, פגיעויות ב-Extensions החינמיים (CVE-2023-2930) , פגיעויות מרובות (CVE-2023-2932 ,CVE-2023-2931 ,CVE-2023-2933) בPDF ועוד .ניצול מוצלח של חולשות אלו מאפשר לתוקף לגרום לקריסת היישום בעזרת שכנוע של המשתמשים דרך Phishing emails ומודעות פישינג להיכנס לאתר זדוני .

צוות קונפידס ממליץ לעדכן לגרסה העדכנית ביותר (114.0.5735.90, 114.0.5735.91 ומעלה) של Chrome.

​

חולשה חדשה ב Cloud SQL של Google Cloud Platform יכולה לגרום לדלף מידע

נחשפה חולשה חדשה בשירות ה Cloud SQL של Google Cloud Platform שהוא שירות הענן של חברת גוגל. Cloud SQL הינו פתרון לבניית דאטה בייסים מסוג MySQL, PostgreSQL, ו SQL Server לאפליקציות ותוכנות מבוססות ענן (Cloud). החולשה התגלתה על ידי חוקרים מחברת האבטחה הישראלית Dig שחשפו כי תוקפים יכולים באמצעות שימוש בחולשה זו לבצע העלאת הרשאות ממשתמש בסיסי של שירות ה Cloud SQL עד לרמת אדמין מערכת מלא של container ובכך להגיע למידע רגיש של GCP כמו קבצים רגישים וסיסמאות. בנוסף על פי הפרסום ניצול חולשה זו כולל מתקפה מרובת שלבים שמנצלת בשלב ראשון פער בהגדרות של שכבת האבטחה של GCP המקושרת לשרתי ה SQL ובכך תוקף יכול להשיג הרשאות אדמין איתם יכול לנצל הגדרה שגויה נוספת על מנת לקבל הרשאות אדמין מערכת ועם זה שליטה מלאה על שרת הדאטה בייס, בשלב זה התוקף יכול לגשת לכל קבצי המערכת ולבצע שימוש בתהליך של אינומרציה כדי להוציא סיסמאות מהמערכת. חשוב לציין שחולשה זו תוקנה על ידי חברת גוגל במהלך חודש אפריל השנה.

​

עדכוני אבטחה למוצרי VMWare נותנים מענה לחולשה ברמת חומרה בינונית 

עדכונים רלוונטיים למוצרים הבאים, בכל מערכות ההפעלה:

- VMware Workspace ONE Access
- VMware Identity Manager - vIDM
- VMware Cloud Foundation

פגיעות מסוג insecure redirect vulnerability ברמת חומרה בינונית (CVE-2023-20884, CVSS 6.1) התגלתה המוצר. ניצול מוצלח של החולשה עלול לאפשר לתוקף לא מאומת להפנות קורבן לדומיין זדוני הנשלט ע״י התוקף בעקבות חוסר ולידציה מספק על הנתיב המוזן ב URL, מה שעלול להוביל לחשיפת מידע רגיש של המשתמש.

צוות קונפידס ממליץ לבעלי המוצרים לעדכנם בהקדם לגרסאותיהם האחרונות.

​

Microsoft דיווחה על חולשה ב-macOS

מיקרוסופט דיווחה על חולשה ב-macOS שמאז תוקנה, אך חולשה זו עלולה להיות מנוצלת על ידי תוקפים בעלי הרשאות root. החולשה שידועה בשם Migraine CVE-2023-32369, מאפשרת מעקף של מנגנון ה-SIP העלול להוביל לפעולות לא מבוקרות על המכשיר המנוצל על ידי ניצול של אפליקציה פנימית של אפל בשם Migration Assistant, תוקפים יכולים לבצע את ה-migration דרך AppleScript ודרכו להריץ סקריפטים זדוניים בצורה לא מבוקרת. פעולה זו אפשרית בגלל שלתוכנה המערכתית בשם systemmigrationd, האחראית על העברת המידע בין מכשיר ישן לחדש הייתה הרשאה להריץ תהליכים העוקפים את בדיקות ה-SIP. ניצול של החולשה עלול להוביל לאי יכולת מחיקה של קבצים מסויימים, הרצת קוד לא מבוקר על ה-kernel וגישה למידע רגיש.
Apple תיקנה את חולשה בעדכון האחרון.

צוות קונפידס ממליץ לעדכן את גרסת ה-macOS לעדכנית ביותר.

חולשה קריטית בקושחה של מוצרי Gigabyte חושפת 7 מיליון מכשירים למתקפת סייבר

חולשה חדשה שזוהתה על ידי חוקרי אבטחת מידע בעלת התנהגות זהה לדלת אחורית אשר הושתלה על ידי תוקפים. אשר, לטענת החוקרים, מפעילה את ה-UEFI של המכשירים על מנת ״להפיל״ אל מערכת ההפעלה קובץ EXE ולקבל עדכונים בצורה לא מאובטחת. חברת Eclypsium מדווחת כי זיהתה לראשונה את ההתנהגות החשודה של הקושחה באפריל האחרון וכי דיווחה לחברת Gigabyte אשר מצידם טיפלו בחולשה. רוב הקושחות של מוצרי Gigabyte מכילים קובץ בינארי מוטמע בתוך רכיב ה-UEFI שלהם, כך אומר ג׳ון לוקאידס מחברת Ecplysium. הקובץ, נכתב אל תוך הדיסק ומורץ כחלק מתהליך האתחול של מערכת ההפעלה, ולאחר מכן מוריד ומריץ קבצים בינאריים נוספים בצורה לא מאובטחת. החולשה במהותה קשה להבדלה בין פעולה לגיטימית של הקושחה לבין Backdoor זדוני פעיל. גורמים זדוניים נמצאים במרדף מתמיד אחרי חולשות ודרכי חדירה אשר ישמשו את מטרתם ויוסיפו למאמצם להתחמק ממערכות הגנה. לכן, חולשה מן הסוג הזה הקיימת בתוך רכיב עדכוני הקושחה של מכשיר לגיטימי יכול לאפשר לתוקפים להריץ קוד זדוני במסווה של עדכונים לגיטימיים.

תוכנה זדונית חדשה מבוססת PowerShell, הנקראת PowerExchange, מאפשרת כניסה לשרתי Microsoft Exchange באמצעות Backdoor

זן חדש של תוכנת זדוניות המכונה PowerExchange הופיע לאחרונה ומסכן שרתי Microsoft Exchange. PowerExchange היא תוכנה זדונית מתוחכמת שנועדה לפעול כ-Backdoor ומאפשרת גישה לא מורשית לשרתי Microsoft Exchange שנפגעו. תוכנה זדונית זו יכולה להשיג שליטה על מערכות, מה שעלול להוביל לגישה מלאה למידע רגיש. השרתים שנפרצו עשויים לשמש גם כנקודת גישה להתקפות נוספות הבאות, ולאפשר לקבוצות תקיפה להתפשט בתוך הרשת ולקבל גישה למשאבים רגישים אחרים.
PowerExchange מתקשר עם שרת ה הC&C של התוקף באמצעות דוא"ל הנשלחות בדרך ה-API של Exchange Web Services. על ידי שימוש בשרת ה-Exchange של הקורבן כערוץ התקשורת.
נראה שקבוצת תקיפה איראנית בשם APT34 מנצלת את תוכנה זדונית זו באמצעות מייל פישינג המכיל קובץ הפעלה זדוני. לאחר הפעלתו נפרסת מעטפת אינטרנט בשם ExchangeLeech (שנצפתה לראשונה על ידי צוות Digital14 Incident Response בשנת 2020), המסוגלת לגנוב מידע רגיש. צוות מחקר האיומים של מעבדות FortiGuard גילה את Backdoor של PowerExchange במערכות שנפגעו השייכות לארגון ממשלתי של איחוד האמירויות הערביות.

צוות קונפידס ממליץ לעדכן את התיקונים האחרונים שסופקו על ידי Microsoft עבור Exchange. 

​

CISA מוסיפה שתי חולשות חדשות לקטלוג החולשות המנוצלות שלההסוכנות האמריקאית להגנת סייבר ותשתיות הוסיפה השבוע ל״קטלוג החולשות הידועות״ שתי חולשות חדשות. החולשה CVE-2023-2868 הינה חולשה ב Email Security Gateway appliance מבית חברת Barracuda Networks העוסקת במוצרי אבטחה, רשתות ואיחסון מבוססי מכשירי רשת ושירותי ענן. ניצול מוצלח של חולשה זו יכולה לאפשר לתוקף לבצע הזרקת קוד מרחוק על מכשירים פגיעים וזאת באמצעות העלאת קובץ .tar שסופק על ידי התוקף. החולשה הנוספת שהתווספה לקטלוג CVE-2023-28771 הינה חולשה במספר מוצרי Firewall מבית החברה. ניצול מוצלח של חולשה זו יכול להיות מבוצע על ידי שליחת פאקטת מידע (packet) זדונית למכשירים נגועים ויכול לאפשר לתוקף לבצע הרצת פקודות מרחוק על מכשירים אלו צוות קונפידס ממליץ למשתמשי מוצרים אלו לבצע עדכון גרסה לגרסה האחרונה כפי שפורסמה על ידי חברת Barracuda Networks ו Zyxel.

כלי חדש מסוג Infostealer לגניבת ארנקי קריפטו זוהה על ידי חברת Trend Micro

הכלי, לו ניתן השם ״Bandit Stealer״ על ידי חוקרי חברת Trend Micro, תפס את תשומת ליבם של החוקרים עקב יכולותיו לתקוף ולנצל חולשות במספר דפדפנים וארנקי קריפטו. הכלי רץ על מערכת ההפעלה Windows על ידי שימוש בכלי CLI לגיטימי של Microsoft בשם runas.exe אשר מאפשר למשתמשים להריץ קבצים אחרים בשם משתמשים אחרים בעלי הרשאות שונות. מטרת הכלי היא האדרת הגישות של התוקף על העמדה הנתקפת לאחר השגת האחיזה הראשונית, עקיפת מנגנוני אבטחה הקיימים על העמדה וחציבת מידע רגיש מן העמדה הנתקפת. הכלי כתוב בשפת Go ולכן יהיה קל להתאימו למערכות הפעלה אחרות במידת הצורך. בנוסף לכלי יכולות לקבוע האם הוא רץ בתוך מכונה וירטואלית או Sandbox מסוג כלשהו ובמידת הצורך מגבה תהליכים מסוימים על מנת להסתיר את פעילותו על מערכת ההפעלה. בנוסף, הכלי עורך ערכי Registry על העמדה הנתקפת על מנת לייצר Persistence על העמדה ולשמר את אחיזתו בה. הכלי יודע לסרוק תיקיות של דפדפנים רבים וארנקי קריפטו למיניהם ומשם לדלות מידע רגיש אשר אותו ינצל התוקף למטרת רווח אישי. הכלי נצפה מופץ באמצעות קמפייני פישינג וקבצי התקנה זדוניים המופצים ברחבי האינטרנט. אנו ממליצים להזין את מזהי הנוזקה הנמצאים בדו״ח במערכות ההגנה.

העיר אוגוסטה בארצות הברית הותקפה על ידי קבוצת הכופרה BlackByte

בסוף חודש מאי העיר אוגוסטה בג'ורג'יה, ארה"ב, דיווחה כי הקשיים בתפקוד מערכת ה-IT שחוו לאחרונה נגרמו בעקבות גישה לא מורשית לרשת. הממשל לא חשף את אופי מתקפת הסייבר ומי אחראי אליה אך על פי פרסום של  קבוצת כופרה BlackByte פרסמה באתר שלה את העיר אוגוסטה כאחת הקורבנות שלה.

עיריית המדינה הוציאה הודעה כי העיר נתקלת בקשיים טכניים החל מתאריך 21.5 אשר הובילו שיבושים בחלק ממערכות המחשוב שלה. בתגובה, נפתחה חקירה על מנת להעריך את מידת ההשפעה של מתקפת הסייבר ולהחזיר את תפקוד המלא של המערכות במהירות האפשרית.

במקביל, קבוצת התקיפה הודיעה כי יש בידיה מידע רגיש שנגנב ממחשבים רבים מהעיר ונגנב מידע בגודל 10GB הכולל מידע על אנשי קשר, מידע אישי מזהה (PII), כתובות פיזיות, חוזים, נתוני הקצאת תקציב עירוני וסוגים אחרים של פרטים אישיים ומדינתיים. 

BlackByte דורשת 400,000 אלף דולר עבור מחיקת המידע הגנוב ומציעה גם למכור את הנתונים לצדדים שלישיים מעוניינים תמורת 300,000 דולר. חשוב להדגיש שהמקור והאותנטיות של הנתונים שדלפו לא אומתו.

​

​

​

​

​

​

​

(מתוך אתר BlackByte, מתאריך 25.5.23)

סייבר בעולם

חברת Emby מודיעה על סגירת חלק משרתי המדיה שלה בעקבות מתקפת סייבר

חברת Emby שמספקת שירותים של שרתי מדיה המיועדים לאחסן סוגי מדיה שונים כמו וידיאו, תמונות מוזיקה ועוד ומעבירה את המדיה הזו בשידור (סטרימינג) למגוון מכשירים שונים (טלוויזיות חכמות, טאבלטים וטלפונים), מודיעה כי היא סגרה מרחוק מספר לא מוגדר של שרתי מדיה של משתמשי השירות אשר נפרצו לאחרונה באמצעות שילוב של ניצול חולשה ידועה והגדרות חשבון אדמין שאינם הוגדרו בצורה אופטימלית.

על פי הפרסום המתקפה החלה באמצע חודש מאי השנה כאשר התוקפים החלו לבצע תקיפות כנגד שרתי Emby פרטיים שחשופים לרשת. על מנת לקבל גישת אדמין לשרת התוקפים ניצלו חולשה שתוארה על ידי החברה כ "proxy header vulnerability" חולשה שידועה לפחות משנת 2020 וקיבלה תיקון רק לאחרונה בגרסאות בטא. לאחר הגישה לשרתים התוקפים ביצעו התקנה של תוסף זדוני שנועד לבצע גניבה של פרטי הגישה של כל המשתמשים שהתחברו לשרת הפרוץ. בתגובה לפריצה זו החברה הצליחה לבצע עדכון שנועד לזהות את התוסף הזדוני ולמנוע ממנו לפעול. בנוסף החברה מודיעה לאדמינים למחוק את הקבצים הבאים מתיקיית התוסף helper.dll ו EmbyHelper.dll לאחר הפעלה מחדש של השרתים שכובו והוספה של "emmm.spxaebjhxtmddsri.xyz 127.0.0.1" לקובץ הhosts על מנת למנוע תקשורת לשרת ה C2 של התוקפים, בנוסף החברה ממליצה לבחון את השינויים הבאים על שרתים שנפרצו : חשבונות משתמשים חשודים, תהליכים לא ידועים, חיבורי רשת לא ידועים ופורטים פתוחים לא ידועים, הגדרות SSH, חוקי firewall ושינויים בסיסמאות. בנוסף החברה מסרה כי יוציאו עדכון גרסה לשרתים לגרסה 4.7.12 שסוגרת את הפגיעות הזו בהקדם האפשרי.

​

מידע של משתמשים מפורום ההאקרים RaidForums הודלף בפורום האקרים חדש

RaidForums היה פורום להאקרים ולהדלפות מידע פופולרי, הפעילויות של חברי הפורום כללו בין הייתר איחסון, הדלפה ומכירה של מידע מאירכונים ואתרים שנפרצו מידע שנרכש על ידי האקרים ותוקפים אחרים שביצעו בו שימוש במתקפות שלהם כמו מתקפות דיוג, הונאות קריפטו והפצת נוזקות. במקרים בהם המידע לא נמכר חברי הפורום היו מדליפים את המידע ללא עלות על מנת לצבור מוניטין בקרב חברי הפורום וקהילת ההאקרים האחרים. RaidForums נסגר באפריל 2022 במבצע של רשויות אכיפת חוק, לאחר הסגירה של RaidForums הופיע פורום חדש בשם Breached שנסגר במרץ השנה לאחר שהבעלים והמפעיל שלו נעצר על ידי ה FBI. כעת בפירסום שהופיע בפורום האקרים חדש בשם ״Exposed״ והועלה על ידי אחד ממנהלי האתר הודלף כלל מאגר המידע של משתמשי RaidForums, בבדיקה שביצע אתר ״bleepingcomputer״ על המידע שפורסם נמצא כי הוא מכיל קובץ SQL יחיד בשם 'mybb_users' שמכיל מידע על 478,870 חברי RaidForums, מידע זה כולל את שם המשתמשת כתובות אימייל, סיסמאות מצופנות, תאריך הרשמה ועוד. המידע בטבלה אומת על ידי מספר משתמשי הפורום לשעבר כמידע אמיתי. מנהל האתר ״Exposed״ שהעלה את המידע (Impotent) אמר למגזין ״bleepingcomputer״ כי במקור לא תיכננו לפרסם את המידע הזה בפומבי אחת לבסוף החליטו להדליף אותו, בנוסף נאמר על ידי מנהל האתר כי הם יודעים מהיכן המידע הגיע אך לא יחפשו שום פרטים על המקור.

​

קבוצת האקרים איראנית בשם ״מרד עד ההפלה״ טוענת שפרצה למשרדי איברהים ראיסי - נשיא איראן

 קבוצת האקרים איראנית בשם ״מרד עד ההפלה״ (Uprising till Overthrow) טוענת שפרצה למשרדי נשיא איראן איברהים ראיסי, קבוצת התקיפה מקושרת למוג'אהדין ח'לק שהוא אירגון גרילה שיעי הפועל באיראן משנות השישים ופועלים כנגד השלטון האיראני. במהלך הפריצה קבוצת התקיפה הדליפה בערוץ הטלגרם שלהם מידע מתוך הפריצה וכולל טענות שהקבוצה שלחה תמונות של הנהגת ההתנגדות יחד עם הסיסמא "מוות לברקאמנאי ראיסי - שלום לברגו" מתוך כתובת האימייל של המוסד הנשיאותי, שרטוטים של מקום העבודה והמנוחה של הנשיא ראיסי, מידע טכני רב על רשתות משרד הנשיא הרשות השופטת משרד החוץ משרד הפנים והפרלמנט, תוכנית נסיעות של הנשיא לשנה האיראנית 1402 (התחילה באפריל 2023), פרוטוקולים מפגישות סודיות של הישיבות והוועדות של פיקוד מחנה Thar-Allah של משמרות המהפכה האירניות עם ראשי הביטחון והמודיעין כאשר מטרת הפגישות הינה דיכוי האוניברסיטאות במדינה. קבוצת התקיפה בנוסךף פירסמה כי במהלך הפריצה הצליחו לתפוס כ 120 שרתים של רשתות פנימיות של המוסד הנשיאותי וכי ניגשו ליותר מ 1300 מחשבים במוסד הנשיאותי של איראן. גם פורסם בקבוצה צילומי מצלמות אבטחה של חדר התקשרות של מוסד הנשיא בנוסף בקבוצת הטלגרם של הקבוצה ניתן למצוא תמונה של עמיר אתאי נער בן 16 שנהרג על ידי הממשל האיסלמי בספטמבר 2022 יחד עם הכיתוב ״לא נשכח ולא נסלח״. 

סייבר בגופי בריאות