Голяма част от проблемите през тази седмица започват с нещо доверено, което прави точно това, което му е позволено да прави.

Подписани драйвери се насочват срещу защитите. Легитимни приложения помагат на зловредния код да се слее с околната среда. Слаба проверка на заглавните части отваря път за изпълнение на код. На други места изложени системи, стари грешки, странни трикове за укриване и подпомагани от изкуствен интелект проучвания на експлойти продължават да намаляват усилията, необходими за нанасяне на щети.

Нищо тук не се нуждае от допълнително украсяване. Малките пропуски вече вършат достатъчно работа.

Заплахите се променят всяка седмица. Абонирайте се и ще ви предупреждаваме, когато излезе всеки нов бюлетин на ThreatsDay.

Злоупотреба с подписани драйвери

Превръщане на драйвера за отстраняване на защитника на Microsoft в оръжие за заобикаляне на EDR

В ново проучване Check Point са извършили обратен инженеринг на драйвера за премахване при стартиране на Microsoft Defender („BTR.sys“) и са демонстрирали, че е възможно да се пренасочи подписаният драйвер за коригиране като универсален двигател за операции с ядрото, за да се заобиколят решенията за сигурност на крайните точки чрез експлоатиране на „златен прозорец“ между стартирането на системата и инициализацията на потребителския режим, без да се налага да се разчита на метода „донесете свой собствен уязвим драйвер“ (BYOVD). „Тъй като BTR.sys е легитимен компонент, подписан от Microsoft, блокирането на базата на подписи е неефективно“, каза изследователят по сигурността Иржи Винопал. „Освен това, добре изработен инструмент за превръщане в оръжие (като BTR_CLI) умишлено имитира оперативния отпечатък на легитимния процес за коригиране на Windows Defender.“

Награда от 10 милиона долара

Министерството на правосъдието на САЩ обвинява 17 иранци за мащабна кампания за киберкражби

Министерството на правосъдието на САЩ (DoJ) обвини 17 членове на Mabna Institute – базирана в Иран компания, която най-малко от 2013 г. насам провежда координирана кампания от киберпрониквания в компютърни системи на 144 университета в САЩ, 178 чуждестранни университета, най-малко 42 частни компании в САЩ, най-малко 11 чуждестранни частни компании, най-малко пет федерални и щатски правителствени агенции на САЩ и най-малко две неправителствени организации (НПО). Mabna Institute е обвинен в кражба на повече от 31 TB академични данни и интелектуална собственост от тези университети, както и на имейл акаунти на служители в компаниите от частния сектор, правителствените агенции и НПО. Общо Mabna Institute е насочил атаките си към повече от 100 000 акаунта на професори по целия свят, като успешно е компрометирал около 8 000 от тях. Подсъдимите са извършили тези прониквания от името на Корпуса на пазителите на ислямската революция на Иран (IRGC). Mabna Institute е основан от Голамреза Рафатнеджад и Ехсан Мохамади около 2013 г. „Кампанията започна приблизително през 2013 г., продължи поне до декември 2017 г. и в широк мащаб беше насочена към всички видове академични данни и интелектуална собственост от системите на компрометираните университети“, заяви Министерството на правосъдието. „Освен кражбата на академични данни и идентификационни данни за влизане в полза на правителството на Иран, подсъдимите също така са продавали откраднатите данни чрез два уебсайта, Megapaper.ir (Megapaper) и Gigapaper.ir (Gigapaper).“ Държавният департамент на САЩ предлага награда от 10 милиона долара за информация относно петима от обвиняемите или свързани с тях лица или организации. „Mabna представлява приватизацията на държавния шпионаж: изпълнител, който продава откраднати изследвания на всеки, който плаща, с IRGC като ключов клиент, а не като единствен собственик“, каза Шмуел Гихон, ръководител на екипа за изследване на сигурността в Check Point, пред The Hacker News. „Това е тенденцията, която трябва да се наблюдава: способни, с възможност за отричане на авторство, комерсиално управлявани екипи, извършващи работа на държавно ниво в индустриален мащаб, с университетите като перфектна цел. Те предлагат огромна стойност на интелектуалната собственост, слаб контрол на идентичността и култура на отворен достъп, която фишингът експлоатира директно. Виждали сме това размиване на границите между киберпрестъпната дейност и дейността, спонсорирана от държавата и преди, но в миналото то се свързваше повече с рускоговорящите екипи. Това, което показва този случай, е, че Иран и IRGC все повече играят същата игра.“