Știrile săptămânii din cybersecurity (25.05.2023)

Foto: Bloomberg

Amendă de 1.3 miliarde de USD pentru Meta în urma încălcării confidențialității datelor

Autoritățile de reglementare a protecției datelor din Uniunea Europeană au amendat compania Meta cu 1.3 miliarde de USD pentru transferul datelor personale ale utilizatorilor din UE în SUA și obligă compania ce deține Facebook să șteargă datele stocate și procesate ilegal, până în octombrie 2023.

Decizia se aplică datelor precum nume, adrese de e-mail și de IP, istoric de vizualizare, date de localizare geografică și alte informații pe care Meta le folosește pentru anunțurile online direcționate.

Amenda de 1.3 miliarde de USD este cea mai mare de la intrarea în vigoare a regimului strict privind confidențialitatea datelor în Uniunea Europeană, din urmă cu 5 ani. Meta a indicat că intenționează să atace hotărărea, numind amenda „nejustificată și inutilă” și a menționat că există „un conflict fundamental de legi” între regulile din SUA privind accesul la date și drepturile europene la confidențialitate.

DNSC recomandă autorităților și instituțiilor publice din România interzicerea descărcării, instalării și utilizării a aplicației TikTok pe dispozitivele de serviciu

În ședința Consiliului Operativ de Securitate Cibernetică (COSC), din data de 17 mai 2023, s-au luat în discuție riscurile asociate descărcării, instalării și utilizării aplicației TikTok pe sistemele informatice de serviciu din cadrul autorităților și instituțiilor publice din România.

În acest context, Directoratul Național de Securitate Cibernetică (DNSC), în virtutea competențelor sale definite prin OUG 104/2021 art. 5 lit. b) pct. 4), emite următoarele recomandări către conducătorii autorităților și instituțiilor publice din România, cu privire la aplicația software TikTok, serviciul de rețele de socializare sociale TikTok sau orice aplicație sau serviciu succesor al TikTok, dezvoltat sau furnizat de ByteDance Limited sau de o entitate deținută de ByteDance Limited:

• Identificarea descărcării, instalării și utilizării TikTok pe sistemele informatice de serviciu ale instituției.
• Eliminarea aplicației TikTok deja instalate pe sistemele informatice de serviciu ale instituției.
• Interzicerea descărcării, instalării și utilizării TikTok pe sistemele informatice de serviciu ale instituției.
• Excluderea oricăror proceduri, politici, clauze sau instrucțiuni interne ce prevăd sau permit descărcarea, instalarea sau utilizarea TikTok pe sistemele informatice de serviciu.

Ultimele zile în care te poți înscrie la Campionatul Național de Securitate Cibernetică (RoCSC23)

Anul acesta va avea loc cea de-a patra ediție a Campionatului Național de Securitate Cibernetică - RoCSC23, organizat de Directoratul Național de Securitate Cibernetică (DNSC), Serviciul Român de Informații (prin intermediul Cyberint) și Asociația Națională pentru Securitatea Sistemelor Informatice (ANSSI), sprijinit de parteneri din mediul privat precum Orange, Bit Sentinel, certSIGN, Cisco, UIPath, PaloAlto Networks, KPMG și Clico, dar și partenerul media tradițional, AGERPRES.

Campionatul va debuta cu etapa online, una de calificare, ce va avea loc  în intervalul 26.05 ora 16:00 - 27.05 ora 24:00 (32 ore). La concurs pot participa pasionați de domeniul securității cibernetice din trei categorii: Juniori (16-20 de ani), Seniori (21-25 de ani) și Open (disponibil indiferent de vârstă). Concurenții se pot înscrie inclusiv după start-ul etapei online, dar, pentru a păstra șanse la primele locuri, este de recomandat să fiți la start-ul competiției deja înscriși.

Gruparea Lazarus vizează serverele web Windows IIS

Cercetătorii ASEC au observat că gruparea de criminalitate cibernetică Lazarus vizează servere web Windows IIS vulnerabile, ca rute inițiale pentru atacuri, implementând webshell-uri și programe malware sau furând acreditări pentru a se deplasa prin rețea. Atacurile împotriva serverelor IIS nu au ca țintă o anumită industrie.

„Atacatorul plasează un DLL malițios (msvcr100.dll) în aceeași cale a folderului ca o aplicație normală (Wordconv.exe) prin procesul de server web Windows IIS, w3wp.exe. Apoi execută aplicația normală pentru a iniția execuția DLL-ului malițios.” a explicat ASEC.

Procesele de înregistrare și de încărcare a pachetelor în PyPI au fost dezactivate temporar

Susținătorii Python Package Index (PyPI) au observat o creștere a proiectelor malițioase în ultima săptămână și au dezactivat temporar procesele de înregistrare a utilizatorilor și de încărcare a pachetelor în depozitul de software Python.

„Înregistrarea noului utilizator și a noului nume de proiect pe PyPI este temporar suspendată. Volumul de utilizatori rău intenționați și de proiecte malițioase care au fost create pe index în ultima săptămână a depășit capacitatea noastră de a răspunde la aceste acțiuni în timp util, în special cu mai mulți administratori PyPI în concediu. În timp ce ne regrupăm, înregistrarea noilor utilizatori și a noilor proiecte este, temporar, suspendată”, conform unui raport de incident pentru infrastructura Python.

Depozitul este o țintă preferată de atacatorii ce urmăresc să efectueze atacuri în lanțul de aprovizionare care vizează dezvoltatori. În februarie 2023, cercetătorii Phylum au observat peste 451 de pachete Python unice în depozitul PyPI, create pentru furnizarea de malware pe sistemele dezvoltatorilor, iar potrivit experților, campania este încă în desfășurare și este activă din noiembrie 2022.

Rheinmetall a fost victima grupării Black Basta

Pe 22 mai 2023, un purtător de cuvânt al Rheinmetall, un producător german de automobile și armament, a declarat că gruparea de criminalitate cibernetică Black Basta se află în spatele unui atac cibernetic desfășurat împotriva companiei și detectat pe 14 aprilie 2023.

Atacul a afectat departamentul de business, ce vizează clienți industriali, în special din industria auto. Divizia de apărare a Rheinmetall nu ar fi fost afectat de atac.

Momentul atacului a fost aliniat cu discuțiile Rheinmetall privind construirea unei noi fabrici de tancuri în Ucraina.

În plus, în aprilie, gruparea hacktivistă pro-rusă Killnet își îndemna adepții, pe canalul Telegram, să lanseze un atac împotriva Rheinmetall, compania confirmând că a observat un volum mai mare de trafic în rețeaua organizației, însă nu a fost afectată infrastructura IT.

UAC-0063 orchestrează o campanie de spionaj, avertizează CERT-UA

CERT-UA avertizează public cu privire la atacuri cibernetice care vizează organele de stat din Ucraina, ca parte a unei campanii de spionaj atribuită atacatorului urmărit de autoritate ca UAC-0063.

În cadrul campaniei, UAC-0063 folosește momeli de phishing pentru a implementa o serie de instrumente malițioase în sistemele infectate, iar e-mailurile de până acum vizau un minister nespecificat și pretindeau a fi de la Ambasada Tadjikistanului în Ucraina, experții suspectând că mesajele au fost trimise de la o adresă compromisă anterior.

Atacatorii Volt Typhoon vizează organizațiile de infrastructură critică din SUA

O investigație Microsoft evidențiază o campanie de spionaj cibernetic, lansată cel puțin de la jumătatea anului 2021 de gruparea APT Volt Typhoon, vizând organizațiile de infrastructura critică din SUA. Vectorul inițial de atac este compromiterea dispozitivelor Fortinet FortiGuard expuse online, prin exploatarea unei vulnerabilități necunoscute de tip zero-day.

În această campanie, organizațiile afectate acoperă sectoarele de producție, comunicații, utilități, transport, construcții, maritim, guvern, tehnologia informației și educație, iar comportamentul observat sugerează că atacatorul intenționează să spioneze și să mențină accesul, fără a fi detectat, cât mai mult timp posibil.

„Microsoft evaluează cu o încredere moderată că această campanie Volt Typhoon urmărește dezvoltarea de capabilități care ar putea perturba infrastructura critică de comunicații dintre Statele Unite și Asia în timpul crizelor viitoare”, se arată în raportul Microsoft care prezintă o analiză amănunțită a activității atacatorilor, precum și indicatorii de compromitere aferenți intruziunilor.

Programul malware Legion a fost actualizat la serverele SHH țintă și acreditările AWS

Legion, un malware ce vizează 19 servicii cloud separate și raportat pentru prima dată în aprilie 2023, și-a extins domeniul de aplicare pentru a include capacitatea de a compromite serverele SHH și de a prelua acreditări suplimentare Amazon Web Service (AWS) asociate cu DynamoDB și CloudWatch.

Legion a fost documentat în aprilie 2023 de Cado Labs și include module pentru a enumera serverele SMTP vulnerabile, pentru execuția, de la distanță, a codului, sau pentru exploatarea versiunilor vulnerabile ale Apache și prezintă asemănări cu o altă familie de malware numită AndroxGh0st.

Cado Labs a declarat că a descoperit și un canal de YouTube, creat pe 15 iunie 2021, ce conține videoclipuri cu instrucțiuni privitoare la utilizarea instrumentului Legion, sugerând că programul malware ”este distribuit pe scară largă și este, probabil, malware plătit”.