Știrile săptămânii din cybersecurity (30.03.2023)

Foto: Unsplash

Carduri cadou într-o nouă înșelătorie pe Instagram 

Cercetătorii Avast au detectat o nouă înșelătorie care vizează utilizatorii Instagram din diverse țări, inclusiv Marea Britanie, Australia, Franța, Spania și Polonia. Conform Avast, atacatorii publică un comentariu înșelător la postarea unui utilizator prin intermediul căruia felicită potențiala victimă și o anunță că este unul dintre cei 2023 de norocoși selectați în acest an pentru a primi un card cadou pentru magazinul SHEIN.  

În cadrul comentariului înșelător, atacatorii îi oferă utilizatorului un link către un profil de Instagram, unde este publicată o adresă URL pe care victima trebuie să o acceseze pentru a răspunde, într-un timp limitat, la trei întrebări, ulterior trebuind să aleagă un premiu în valoare de câteva sute de euro sau de dolari pentru obținerea căruia victima trebuie să furnizeze o mică sumă de bani. 

În final, victima este redirecționată pe un site unde va trebui să completeze câteva informații personale și să-și introducă detaliile cardului de credit pentru a plăti acea sumă mică de bani în schimbul cardului de căteva sute de euro sau dolari. În realitate, victima se abonează, fără să vrea, la un serviciu pentru care va fi taxată cu diverse sume la fiecare două săptămâni. 

Cercetătorii Avast menționează că pe rețelele sociale apar în mod constant înșelătorii similare cu aceasta și recomandă utilizatorilor să își protejeze dispozitivele cu software antivirus și să caute semne de autenticitate ale conturilor Instagram care le oferă informații. 

Microsoft avertizează asupra atacurilor care exploatează CVE-2023-23397 

Microsoft a publicat un ghid detaliat pentru investigarea atacurilor în care a fost exploatată vulnerabilitatea Outlook identificată prin CVE-2023-23397 (scor CVSS: 9,8). 

Vulnerabilitatea de securitate a fost remediată de Microsoft cu ocazia lansării actualizărilor Patch Tuesday din martie 2023, dar nu înainte ca atacatori cibernetici din Rusia să o exploateze în atacuri ce vizau sectoare de infrastructură critică ale statelor europene. 

Într-un aviz publicat în data de 14 martie 2023, Microsoft a notat că „atacatorii externi ar putea trimite e-mailuri special concepute care vor determina o conexiune de la victimă la o locație de control nesigură”, iar echipa Microsoft de răspuns la incidente a declarat că a găsit dovezi conform cărora vulnerabilitatea în cauză ar fi fost exploatată încă din aprilie 2022. 

Identitatea ChatGPT este uzurpată din ce în ce mai des în campanii malițioase 

Echipa de securitate Guardio a descoperit o a doua extensie falsă de browser ce uzurpă identitatea ChatGPT, după ce prima variantă descoperită de cercetători la începutul lunii martie 2023 a fost retrasă de Google din Chrome Web Store pe 9 martie 2023. 

În noua campanie malițioasă, lansată pe 14 martie 2023, atacatorii au uzurpat identitatea ChatGPT-4, extensia fiind propagată prin rezultatele de căutare Google sponsorizate și concepute pentru a redirecționa utilizatorii către pagini frauduloase. 

Extensia malițioasă „ChatGPT for Google” adaugă funcționalitatea promisă, adică imbunătățirea motoarelor de căutare cu ChatGPT, dar activează în mod ascuns și capacitatea de a captura cookie-uri legate de Facebook și de a le exfiltra într-un server la distanță. 

Odată ajuns în posesia cookie-urilor, atacatorul schimbă detaliile de autentificare ale contului victimei, imaginea de profil și numele, preluând contul definitiv. Cercetătorii au dat exemple de conturi deturnate care afișau fotografii cu tematică ISIS. 

Google a eliminat reclamele și extensia în data de 22 martie 2023, însă aceasta nu este o garanție că atacatorii nu vor folosi din nou escrocheria într-o campanie viitoare. 

Utilizatorii sunt sfătuiți să descarce extensii exclusiv din surse autentice, să citească recenziile și să verifice autenticitatea dezvoltatorului. 

Programul malware DbatLoader distribuie Remcos RAT și Formbook în Europa 

Cercetătorii Zscaler au identificat o nouă campanie de phishing ce vizează entitățile europene cu programele malware Remcos RAT și Formbook, distribuite prin intermediul unui încărcător de malware numit DbatLoader. 

DbatLoader, numit și ModiLoader sau NatsoLoader, este un malware sofisticat, bazat pe Delphi, capabil să furnizeze payload-uri de la servicii cloud precum Google Drive și Microsoft OneDrive și care evită motoarele de detectare prin tehnici de steganografie a imaginii. 

Atacatorii utilizează mai multe momeli în e-mailuri de phishing, abordând tematici obișnuite, cum ar fi curierat, comenzi de vânzare, facturi de plată sau cotații, iar paylod-ul malițios este distribuit prin site-uri WordPress cu certificate SSL autorizate. 

Escrocheriile „QR Scan” au înregistrat creșteri în anul 2022 

Conform unui raport HP Wolf Security Threat Insight, începând cu al doilea trimestru al anului 2022, atacatorii și-au diversificat tehnicile și metodele de atac pentru a accesa dispozitive și pentru a fura informații, arhivele de tip .zip, .rar și .img rămânând cele mai populare tipuri de fișiere pentru furnizarea de programe malware. 

O creștere notabilă a fost înregistrată de campaniile de phishing cu coduri QR, în cadrul cărora atacatorii obțin detaliile cărților de credit și de debit de la victime. Acestea sunt induse în eroare, spre exemplu, prin e-mailuri expediate de la presupuse companii de livrări care solicită plata. HP raportează că, din octombrie 2022, a asistat aproape zilnic la escrocherii „QR Scan”, care îi păcălesc pe utilizatori să scaneze cu dispozitivele mobile coduri QR afișate pe PC-uri. 

Datele studiului au fost colectate în mod anonim cu instrumentele HP Wolf Security în perioada octombrie – decembrie 2022. 

Fragmente din codul sursă Twitter au fost disponibile pe GitHub 

La solicitarea Twitter, GitHub a șters fragmente de cod sursă ale platformei de socializare ce au fost scurse și publicate abuziv pe platforma deținută de Microsoft de către utilizatorul „FreeSpeechEnthusiast”, care s-a înscris pe GitHub la începutul anului și care ar fi încărcat doar datele Twitter.  

De asemenea, Twitter s-a adresat unui tribunal din California și a solicitat ca GitHub să fie obligată să pună la dispoziția companiei deținută de Elon Musk „toate informațiile de identificare” asociate cu utilizatorul FreeSpeechEntusiast și cu persoanele care au descărcat părțile de cod.  

Scurgerile de cod sursă reprezintă amenințări semnificative de securitate pentru dezvoltatori deoarece permit atacatorilor să analizeze vulnerabilitățile aplicațiilor și să dezvolte exploituri personalizate pentru utilizare ulterioară. 

Lumen Technologies a fost victimă în două incidente cibernetice 

La 27 martie 2023, compania de telecomunicații Lumen Technologies a indicat că a descoperit două incidente de securitate cibernetică, unul fiind un atac de tip ransomware care a afectat serviciile pentru anumiți clienți. 

Lumen a menționat că atacul cibernetic de tip ransomware a fost descoperit în urmă cu doar câteva zile, a notificat forțele de ordine și clienții, însă nu a informat publicul cu privire la tipul de ransomware implicat, la amploarea atacului sau dacă acesta a fost atribuit unei anumite grupări. 

După descoperirea atacului ransomware, Lumen a implementat un software de securitate îmbunătățit care a permis companiei să descopere o intruziune separată. În acest al doilea incident, un intrus a accesat anumite sisteme informatice aparținând companiei, a instalat programe malware și a extras o cantitate limitată de date. 

Autoritatea de apă din Puerto Rico investighează un atac cibernetic cu ajutorul FBI și al CISA 

Autoritatea de Apeduct și Canalizare din Puerto Rico (PRASA) se confruntă cu urmările unui atac cibernetic de tip ransomware dezvăluit pe 19 martie 2023, pentru investigația căruia a solicitat ajutorul agențiilor americane FBI și CISA. 

Deși PRASA nu a menționat identitatea atacatorilor, gruparea de criminalitate cibernetică Vice Society a adăugat organizația pe lista de victime prezentă pe site-ul propriu de scurgeri de date, publicând pașapoartele, permisele de conducere și alte documente ce aparțin persoanelor afectate de incident. 

În cadrul anchetei s-a constatat că doar informațiile despre clienți și angajați au fost compromise, nu și infrastructura critică a organizației. Oficialii au îndemnat toți clienții să își schimbe parolele de acces, nu doar pentru conturile lor la autoritate, ci și pe orice platformă pe care ar fi folosit aceeași parolă.  

Sistemele de apă sunt infrastructuri critice care sunt din ce în ce mai expuse riscului atacurilor cibernetice, a raportat Agenția pentru Protecția Mediului din SUA. 

Bitter APT vizează industria energetică nucleară din China 

Bitter APT, o grupare de spionaj cibernetic, a fost recent identificată vizând industria energetică nucleară din China în cadrul unei campanii ce folosește e-mailuri de phishing, conform unui raport al cercetătorilor Intezer. 

„Am identificat șapte e-mailuri pretins trimise de Ambasada Kârgâzstanului la Beijing destinatarilor din industria energiei nucleare din China. În anumite e-mailuri sunt vizate și persoane și entități din mediul academic, legate tot de energia nucleară. E-mailurile de phishing conțin invitații de participare la conferințe pe subiecte relevante pentru aceștia”, conform cercetătorilor Intezer. 

Destinatarii sunt îndemnați să descarce o arhivă RAR atașată e-mailului care conține fie un fișier .chm, fie un document Excel malițios, create pentru a obține persistență și pentru a prelua payload-uri suplimentare din C2. 

Microsoft a anunțat crearea unui nou instrument de analiză a securității bazat pe AI 

La 28 martie 2023, Microsoft a anunțat crearea Security Copilot, un instrument de analiză de securitate bazat pe inteligență artificială și destinat detectării amenințărilor și unui răspuns mai rapid la incidente de securitate cibernetică. 

Security Copilot are o interfață asemănătoare ChatGPT și „învață” continuu din interacțiunile cu analiștii de securitate pentru a se adapta fiecărui mediu organizațional cu scopul de a sfătui cât mai bine cu privire la cea mai bună cale de acțiune. 

Instrumentul creat de Microsoft este alimentat de modelul avansat LLM GPT-4 de la OpenAI, combinat cu ceea ce Microsoft descrie ca fiind „un model specific securității” proiectat de inginerii săi și, de asemenea, integrează date și informații din alte instrumente de securitate Microsoft pentru a oferi îndrumări personalizate pentru fiecare organizație. 

„În securitate, minutele contează. Cu Security Copilot se poate răspunde la incidentele de securitate cibernetică în câteva minute în loc de ore sau zile”, a declarat Vasu Jakkal, vicepreședinte al Microsoft. 

Momentan, noul instrument de analiză a securității este disponibil în previzualizare privată, compania neîmpărtășind încă detalii cu privire la viitoarea lansare publică.