Etiqueta: actualizaciones cibernéticas Página 2 de 6

Múltiples actores de amenazas del nexo con China han sido vinculados a la explotación de día cero de tres fallas de seguridad que afectan a los dispositivos Ivanti (CVE-2023-46805, CVE-2024-21887 y CVE-2024-21893). Mandiant realiza un seguimiento de los grupos bajo los apodos no categorizados UNC5221, UNC5266, UNC5291, UNC5325, UNC5330 y UNC5337. También anteriormente vinculado a la ola de explotación está un equipo de piratería chino llamado UNC3886, cuyo oficio se destaca por convertir errores de día cero en Fortinet y VMware como armas para violar las redes objetivo. La filial de Google Cloud dijo que también ha observado actores con motivación financiera que explotan CVE-2023-46805 y CVE-2024-21887, probablemente en un intento de realizar operaciones de minería de criptomonedas. «UNC5266 se superpone en parte con UNC3569, un actor de espionaje del nexo con China que se ha observado explotando vulnerabilidades en Aspera Faspex, Microsoft Exchange y Oracle Web Applications Desktop Integrator, entre otros, para obtener acceso inicial a los entornos de destino», dijeron los investigadores de Mandiant. El actor de amenazas ha sido vinculado a una actividad posterior a la explotación que condujo al despliegue del marco de comando y control (C2) de Sliver, una variante del ladrón de credenciales WARPWIRE y una nueva puerta trasera basada en Go denominada TERRIBLETEA que viene con la ejecución de comandos. , registro de teclas, escaneo de puertos, interacción del sistema de archivos y funciones de captura de pantalla. UNC5330, que se ha observado combinando CVE-2024-21893 y CVE-2024-21887 para violar los dispositivos Ivanti Connect Secure VPN al menos desde febrero de 2024, ha aprovechado malware personalizado como TONERJAM y PHANTOMNET para facilitar acciones posteriores al compromiso – PHANTOMNET – A puerta trasera modular que se comunica mediante un protocolo de comunicación personalizado a través de TCP y emplea un sistema basado en complementos para descargar y ejecutar cargas útiles adicionalesTONERJAM: un iniciador diseñado para descifrar y ejecutar PHANTOMNET Además de utilizar el Instrumental de administración de Windows (WMI) para realizar reconocimiento, moverse lateralmente y manipular entradas de registro y establecer persistencia, se sabe que UNC5330 compromete las cuentas de enlace LDAP configuradas en los dispositivos infectados para obtener acceso de administrador de dominio. Otro actor de espionaje notable vinculado a China es UNC5337, que se dice que se infiltró en dispositivos Ivanti ya en enero de 2024 utilizando CVE-2023-46805 y CVE-2024 para entregar un conjunto de herramientas de malware personalizado conocido como SPAWN que comprende cuatro componentes distintos que funcionan en tándem para funcionar como una puerta trasera sigilosa y persistente: SPAWNSNAIL: una puerta trasera pasiva que escucha en el host local y está equipada para iniciar un shell bash interactivo, así como para iniciar SPAWNSLOTHSPAWNMOLE: una utilidad de tunelización que es capaz de dirigir tráfico malicioso a un host específico mientras pasa datos benignos. tráfico sin modificar al servidor web Connect Secure SPAWNANT: un instalador que es responsable de garantizar la persistencia de SPAWNMOLE y SPAWNSNAIL aprovechando una función de instalación de arranque central SPAWNSLOTH: un programa de manipulación de registros que deshabilita el registro y el reenvío de registros a un servidor syslog externo cuando el implante SPAWNSNAIL está Mandiant en ejecución ha evaluado con confianza media que UNC5337 y UNC5221 son el mismo grupo de amenazas, señalando que la herramienta SPAWN está «diseñada para permitir el acceso a largo plazo y evitar la detección». UNC5221, que anteriormente se atribuía a shells web como BUSHWALK, CHAINLINE, FRAMESTING y LIGHTWIRE, también ha desatado un shell web basado en Perl denominado ROOTROT que está integrado en un archivo .ttc legítimo de Connect Secure ubicado en «/data/runtime /tmp/tt/setcookie.thtml.ttc» explotando CVE-2023-46805 y CVE-2024-21887. Una implementación exitosa del shell web es seguida por un reconocimiento de la red y un movimiento lateral, lo que en algunos casos resulta en el compromiso de un servidor vCenter en la red víctima por medio de una puerta trasera de Golang llamada BRICKSTORM. «BRICKSTORM es una puerta trasera Go dirigida a servidores VMware vCenter», explicaron los investigadores de Mandiant. «Admite la capacidad de configurarse como un servidor web, realizar manipulación de directorios y sistemas de archivos, realizar operaciones de archivos como cargar/descargar, ejecutar comandos de shell y realizar retransmisión SOCKS». El último de los cinco grupos con sede en China vinculados al abuso de las fallas de seguridad de Ivanti es UNC5291, que según Mandiant probablemente tiene asociaciones con otro grupo de piratería informática UNC3236 (también conocido como Volt Typhoon), principalmente debido a que apunta a sectores académicos, energéticos, de defensa y sectores de salud. «La actividad de este clúster comenzó en diciembre de 2023 centrándose en Citrix Netscaler ADC y luego pasó a centrarse en los dispositivos Ivanti Connect Secure después de que los detalles se hicieran públicos a mediados de enero de 2024», dijo la compañía. Los hallazgos subrayan una vez más la amenaza que enfrentan los dispositivos de punta, ya que los actores de espionaje utilizan una combinación de fallas de día cero, herramientas de código abierto y puertas traseras personalizadas para adaptar su oficio en función de sus objetivos para evadir la detección durante períodos prolongados. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

05 de abril de 2024Sala de prensaCiberespionaje/Ciberseguridad Las organizaciones financieras de Asia-Pacífico (APAC) y Medio Oriente y África del Norte (MENA) están siendo atacadas por una nueva versión de una «amenaza en evolución» llamada JSOutProx. «JSOutProx es un marco de ataque sofisticado que utiliza tanto JavaScript como .NET», dijo Resecurity en un informe técnico publicado esta semana. «Emplea la función de (des)serialización .NET para interactuar con un módulo JavaScript central que se ejecuta en la máquina de la víctima. Una vez ejecutado, el malware permite que el marco cargue varios complementos, que realizan actividades maliciosas adicionales en el objetivo». Identificados por primera vez en diciembre de 2019 por Yoroi, los primeros ataques que distribuyen JSOutProx se han atribuido a un actor de amenazas rastreado como Solar Spider. El historial de operaciones de bancos en huelga y otras grandes empresas en Asia y Europa. A finales de 2021, Quick Heal Security Labs detalló ataques que aprovechaban el troyano de acceso remoto (RAT) para identificar a empleados de pequeños bancos financieros de la India. Otras oleadas de campañas han apuntado a establecimientos gubernamentales indios ya en abril de 2020. Se sabe que las cadenas de ataques aprovechan los correos electrónicos de phishing con archivos adjuntos de JavaScript maliciosos disfrazados de archivos PDF y ZIP que contienen archivos HTA maliciosos para implementar el implante altamente ofuscado. «Este malware tiene varios complementos para realizar diversas operaciones, como la filtración de datos y la realización de operaciones del sistema de archivos», señaló Quick Heal. [PDF] En el momento. «Aparte de eso, también tiene varios métodos con capacidades ofensivas que realizan diversas operaciones». Los complementos le permiten recopilar una amplia gama de información del host comprometido, controlar la configuración del proxy, capturar el contenido del portapapeles, acceder a los detalles de la cuenta de Microsoft Outlook y recopilar contraseñas de un solo uso de Symantec VIP. Una característica única del malware es el uso del campo de encabezado Cookie para comunicaciones de comando y control (C2). JSOutProx también representa el hecho de que es un RAT completamente funcional implementado en JavaScript. «JavaScript simplemente no ofrece tanta flexibilidad como un archivo PE», dijo Fortinet FortiGuard Labs en un informe publicado en diciembre de 2020, que describe una campaña dirigida contra los sectores monetario y financiero gubernamental en Asia. «Sin embargo, como muchos sitios web utilizan JavaScript, a la mayoría de los usuarios les parece benigno, ya que a las personas con conocimientos básicos de seguridad se les enseña a evitar abrir archivos adjuntos que terminen en .exe. Además, debido a que el código JavaScript se puede ofuscar, fácilmente evita el antivirus. detección, permitiéndole filtrarse sin ser detectado». El último conjunto de ataques documentados por Resecurity implica el uso de notificaciones de pago SWIFT o MoneyGram falsas para engañar a los destinatarios de correo electrónico para que ejecuten el código malicioso. Se dice que la actividad experimentó un aumento a partir del 8 de febrero de 2024. Los artefactos se observaron alojados en los repositorios de GitHub y GitLab, que desde entonces han sido bloqueados y eliminados. «Una vez que el código malicioso se ha entregado con éxito, el actor elimina el repositorio y crea uno nuevo», dijo la empresa de ciberseguridad. «Esta táctica probablemente esté relacionada con el uso que hace el actor para gestionar múltiples cargas útiles maliciosas y diferenciar objetivos». Actualmente se desconocen los orígenes exactos del grupo de delitos electrónicos detrás del malware, aunque la distribución victimológica de los ataques y la sofisticación del implante alude a que se originaron en China o estaban afiliados a ella, postuló Resecurity. El desarrollo se produce cuando los ciberdelincuentes están promocionando en la web oscura un nuevo software llamado GEOBOX que reutiliza los dispositivos Raspberry Pi para realizar fraude y anonimización. Ofrecida por solo $ 80 por mes (o $ 700 por una licencia de por vida), la herramienta permite a los operadores falsificar ubicaciones GPS, emular configuraciones específicas de red y software, imitar configuraciones de puntos de acceso Wi-Fi conocidos y evitar filtros antifraude. . Estas herramientas podrían tener graves implicaciones para la seguridad, ya que abren la puerta a un amplio espectro de delitos como ataques patrocinados por el Estado, espionaje corporativo, operaciones en el mercado de la web oscura, fraude financiero, distribución anónima de malware e incluso acceso a contenido geocercado. «La facilidad de acceso a GEOBOX genera importantes preocupaciones dentro de la comunidad de ciberseguridad sobre su potencial para una adopción generalizada entre varios actores de amenazas», dijo Resecurity. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

05 de abril de 2024Sala de prensaMalware / Endpoint Security Se están utilizando instaladores falsos para Adobe Acrobat Reader para distribuir un nuevo malware multifuncional denominado Byakugan. El punto de partida del ataque es un archivo PDF escrito en portugués que, al abrirlo, muestra una imagen borrosa y pide a la víctima que haga clic en un enlace para descargar la aplicación Reader y ver el contenido. Según Fortinet FortiGuard Labs, al hacer clic en la URL se entrega un instalador («Reader_Install_Setup.exe») que activa la secuencia de infección. Los detalles de la campaña fueron revelados por primera vez por el Centro de Inteligencia de Seguridad de AhnLab (ASEC) el mes pasado. La cadena de ataque aprovecha técnicas como el secuestro de DLL y la omisión del control de acceso de usuarios de Windows (UAC) para cargar un archivo de biblioteca de vínculos dinámicos (DLL) malicioso llamado «BluetoothDiagnosticUtil.dll», que, a su vez, libera la carga útil final. También implementa un instalador legítimo para un lector de PDF como Wondershare PDFelement. El binario está equipado para recopilar y filtrar metadatos del sistema a un servidor de comando y control (C2) y soltar el módulo principal («chrome.exe») de un servidor diferente que también actúa como su C2 para recibir archivos y comandos. «Byakugan es un malware basado en node.js empaquetado en su ejecutable por pkg», dijo el investigador de seguridad Pei Han Liao. «Además del script principal, existen varias bibliotecas correspondientes a funciones». Esto incluye configurar la persistencia, monitorear el escritorio de la víctima usando OBS Studio, capturar capturas de pantalla, descargar mineros de criptomonedas, registrar pulsaciones de teclas, enumerar y cargar archivos y capturar datos almacenados en navegadores web. «Existe una tendencia creciente a utilizar componentes limpios y maliciosos en el malware, y Byakugan no es una excepción», dijo Fortinet. «Este enfoque aumenta la cantidad de ruido generado durante el análisis, lo que dificulta las detecciones precisas». La revelación se produce cuando ASEC reveló una nueva campaña que propaga el ladrón de información Rhadamanthys bajo la apariencia de un instalador de software colaborativo. «El actor de amenazas creó un sitio web falso para parecerse al sitio web original y lo expuso a los usuarios utilizando la función de publicidad en los motores de búsqueda», dijo la firma de ciberseguridad de Corea del Sur. «El malware que se distribuye utiliza la técnica de llamada indirecta al sistema para ocultarse de los ojos de las soluciones de seguridad». También se descubre que actores de amenazas no identificados están empleando una versión manipulada de Notepad++ para propagar el malware WikiLoader (también conocido como WailingCrab). ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

06 de abril de 2024Sala de prensaSkimmer / Threat Intelligence Se ha descubierto que los actores de amenazas explotan una falla crítica en Magento para inyectar una puerta trasera persistente en sitios web de comercio electrónico. El ataque aprovecha CVE-2024-20720 (puntuación CVSS: 9,1), que Adobe ha descrito como un caso de «neutralización inadecuada de elementos especiales» que podría allanar el camino para la ejecución de código arbitrario. La empresa lo abordó como parte de las actualizaciones de seguridad publicadas el 13 de febrero de 2024. Sansec dijo que descubrió una «plantilla de diseño inteligentemente diseñada en la base de datos» que se utiliza para inyectar automáticamente código malicioso para ejecutar comandos arbitrarios. «Los atacantes combinan el analizador de diseño de Magento con el paquete beberlei/assert (instalado por defecto) para ejecutar comandos del sistema», dijo la compañía. «Debido a que el bloque de diseño está vinculado al carrito de pago, este comando se ejecuta siempre que Se solicita /checkout/cart». El comando en cuestión es sed, que se utiliza para insertar una puerta trasera de ejecución de código que luego es responsable de entregar un skimmer de pagos de Stripe para capturar y filtrar información financiera a otra tienda Magento comprometida. El desarrollo llega como el El gobierno ruso ha acusado a seis personas por utilizar malware skimmer para robar información de pagos y tarjetas de crédito de tiendas de comercio electrónico extranjeras al menos desde finales de 2017. Los sospechosos son Denis Priymachenko, Alexander Aseyev, Alexander Basov, Dmitry Kolpakov, Vladislav Patyuk y Anton Tolmachev. Recorded Future News informó que las detenciones se realizaron hace un año, citando documentos judiciales: «Como resultado, los miembros del grupo de hackers se apoderaron ilegalmente de información sobre casi 160 mil tarjetas de pago de ciudadanos extranjeros, después de lo cual las vendieron a través de la sombra». sitios de Internet», dijo la Fiscalía General de la Federación de Rusia. ¿Le pareció interesante este artículo? Síganos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

Los requisitos de cumplimiento están destinados a aumentar la transparencia y la rendición de cuentas en materia de ciberseguridad. A medida que aumentan las amenazas cibernéticas, también aumenta el número de marcos de cumplimiento y la especificidad de los controles, políticas y actividades de seguridad que incluyen. Para los CISO y sus equipos, eso significa que el cumplimiento es un proceso lento y de alto riesgo que exige sólidas habilidades organizativas y de comunicación, además de experiencia en seguridad. Recurrimos al grupo de expertos del CISO para conocer su opinión sobre las mejores formas de abordar los requisitos de cumplimiento de privacidad y seguridad de los datos. En este blog, comparten estrategias para reducir el dolor de lidiar con el proceso de cumplimiento, incluida la gestión de riesgos y la alineación de las partes interesadas. Siga leyendo para conocer recomendaciones para convertir el cumplimiento de un «mal necesario» en una herramienta estratégica que le ayude a evaluar el riesgo cibernético, ganar presupuesto y aceptación, y aumentar la confianza de los clientes y accionistas. ¿Qué CISO se preocupan más por el cumplimiento? La forma en que los CISO ven el cumplimiento de la ciberseguridad puede variar mucho, según el tamaño de la empresa, la geografía, el sector, la sensibilidad de los datos y el nivel de madurez del programa. Por ejemplo, si es una empresa que cotiza en bolsa en los Estados Unidos, no tendrá más remedio que cumplir con múltiples regulaciones, así como mantener evaluaciones de riesgos y planes de acciones correctivas. Si es una agencia gubernamental o vende a una, deberá cumplir con requisitos específicos del sector público. Los bancos, las organizaciones de atención médica, las infraestructuras, las empresas de comercio electrónico y otras empresas deben seguir reglas de cumplimiento específicas de la industria. Seguridad no es igual a cumplimiento. Incluso si no pertenece a ninguna de estas categorías, existen muchas razones por las que necesitará demostrar las mejores prácticas de seguridad, como buscar una certificación SOC o solicitar un seguro de ciberseguridad. Para todas las organizaciones, marcos amplios de cumplimiento de ciberseguridad como NIST CSF e ISO proporcionan modelos a seguir y estructuras para comunicar resultados. Dicho esto, «seguridad no es igual a cumplimiento» es un mantra que se escucha a menudo entre los CISO. Ciertamente, el hecho de que usted cumpla no significa que esté seguro. Las organizaciones de ciberseguridad altamente maduras pueden considerar el cumplimiento como mínimo e ir mucho más allá de los componentes requeridos para proteger sus organizaciones. El cumplimiento como facilitador del negocio Si bien un CISO puede recomendar inversiones y prácticas de ciberseguridad para cumplir con los requisitos de cumplimiento, no es quien toma las decisiones en última instancia. Por lo tanto, una responsabilidad clave de un CISO es comunicar el riesgo de incumplimiento y trabajar con otros líderes de la empresa para decidir qué iniciativas priorizar. El riesgo, en este contexto, incorpora no sólo el riesgo técnico, sino también el riesgo empresarial. A Steve Zalewski, ex CISO de Levi Strauss, le gusta utilizar la metáfora del «palo y la zanahoria». «Históricamente, la auditoría y el cumplimiento han sido el bastón que te obliga a hacer algo», comparte en el podcast Defense-in-Depth, «pero hacer [you] hacerlo no significa que la empresa esté alineada con el valor de hacerlo». Para evitar fricciones, recomienda mostrar a la gente el valor empresarial de la ciberseguridad compatible. «Tiene que haber un componente de zanahoria para hacerles sentir que tienen una elección en el asunto», dice. El liderazgo debe sopesar los costos y beneficios de garantizar el cumplimiento con los costos potenciales del incumplimiento. Digamos que una organización no cumple plenamente con las mejores prácticas de seguridad para la gestión de privilegios. Si bien el incumplimiento podría resultar En multas regulatorias y demandas de accionistas, las brechas de seguridad subyacentes podrían causar un impacto aún mayor en el negocio, incluido tiempo de inactividad, pagos de ransomware y pérdida de ingresos. Cumplir con los requisitos de cumplimiento, por otro lado, podría generar valor comercial, como ventas más rápidas. asociaciones más sólidas o tasas de seguro cibernético más bajas. Como parte de un programa integral de gestión de riesgos, las juntas directivas y el liderazgo ejecutivo deben sopesar los costos y beneficios de garantizar el cumplimiento con los costos potenciales del incumplimiento. En algunos casos, pueden decidir que un cierto nivel de riesgo es aceptable y optar por no implementar salvaguardias adicionales. En otros casos, pueden duplicar su apuesta. Cómo los CISO utilizan los marcos de cumplimiento para planificar su hoja de ruta de ciberseguridad Algunos CISO utilizan los marcos de cumplimiento como metodología para incorporar técnicas y procesos en su programa de ciberseguridad. Básicamente, informan las prioridades del programa y crean una lista de compras de soluciones imprescindibles que se alinean con el programa que están intentando crear. En el podcast Audience First, Brian Haugli, ex CISO de Fortune 500, ve una diferencia entre depender del cumplimiento y utilizar marcos de cumplimiento para guiar la gestión de riesgos informada. «No podemos ser blancos y negros. Tenemos que ser capaces de tomar decisiones basadas en el riesgo, de decir: ‘Aceptaré este riesgo porque no puedo darme el lujo de cerrarlo ahora mismo’. Pero haré estas cosas para mitigar el riesgo a un nivel lo suficientemente bajo que me permita aceptarlo». Los CISO necesitan socios para el cumplimiento. Los CISO no están solos en el barco del cumplimiento. Deben crear asociaciones con equipos legales, funcionarios de privacidad y comités de auditoría o riesgos para comprender los cambios en los requisitos de cumplimiento y decidir cómo abordarlos. A veces, estos socios internos requieren que los equipos de seguridad implementen controles más estrictos, pero también pueden tomar frenos. Como nos dijo un CISO de un proveedor de tecnología de rápido crecimiento: «Francamente, lo legal me supera todos los días de la semana. Me dicen lo que puedo y no puedo hacer. Me encantaría poder monitorear el comportamiento de todos, pero la privacidad Las leyes dicen que no puedo hacer eso». Los equipos de cumplimiento hacen muchas cosas para las que los ingenieros y analistas de seguridad no tienen tiempo ni recursos. Responsabilizan a la seguridad y verifican dos veces que los controles funcionen como se espera. Actúan como intermediarios entre los equipos de seguridad, los reguladores y los auditores para demostrar el cumplimiento, ya sea que eso signifique recopilar evidencia a través de cuestionarios de seguridad manuales o mediante integraciones tecnológicas. Por ejemplo, para una certificación del sector público, los controles de seguridad deben monitorearse, registrarse y conservarse durante al menos seis meses de datos para evidenciar que han hecho lo que dijeron que iban a hacer. Herramientas y recursos que apoyan el cumplimiento Los registros de riesgos son útiles para alinear a todas las partes interesadas al documentar todos los riesgos y organizarlos por prioridad. Si todos miran la misma información, podrán ponerse de acuerdo sobre las acciones apropiadas. Como parte de un programa de gestión de riesgos, las políticas, estándares y procedimientos se revisan periódicamente y cualquier cambio se aprueba antes de su implementación. Al utilizar herramientas como los sistemas GRC y el monitoreo continuo del cumplimiento, las organizaciones pueden realizar un seguimiento de las actividades de seguridad en curso e informar los resultados. Los sistemas GRC pueden vincularse a SIEM para recopilar registros y escáneres de vulnerabilidades que muestran que se completaron las comprobaciones. «En lugar de barajar hojas de cálculo, hemos creado varios conectores que se integran con nuestra plataforma GRC para demostrar que cumplimos», explica el CISO de tecnología. «Asignan todas las certificaciones en un solo panel, de modo que cuando llega un auditor, le mostramos una pantalla que dice: ‘Aquí está la evidencia'». Además de las herramientas, muchas empresas dependen de terceros para realizar evaluaciones de cumplimiento. Pueden realizar una auditoría de cumplimiento interna antes que una externa para asegurarse de que no haya sorpresas si los reguladores llaman. Cumplir una vez, aplicar a muchas La mayoría de las organizaciones tienen numerosos organismos de cumplimiento a los que deben responder, así como proveedores, clientes y socios de seguros cibernéticos. Si bien el cumplimiento puede ser una carga, la buena noticia es que existen técnicas para agilizar el proceso de evaluación. «Si analizamos los principales organismos de cumplimiento, aproximadamente el 80% de los requisitos son los mismos», afirma el CISO de un proveedor de SaaS. «Puedes alinearte con un marco como el NIST y aplicar las mismas prácticas en todos ellos». Por ejemplo, los requisitos de gestión de acceso privilegiado (PAM), como la gestión de contraseñas, la autenticación multifactor (MFA) y los controles de acceso basados ​​en roles, son comunes en todos los marcos de cumplimiento. Puede profundizar en los detalles para ver cómo aparece PAM en una variedad de requisitos de cumplimiento en Delinea.com. Requisitos de cumplimiento emergentes El cumplimiento es un espacio fluido con requisitos que evolucionan para abordar los patrones de riesgo y las condiciones comerciales cambiantes. Los CISO buscan orientación en los organismos de cumplimiento sobre la gestión de riesgos cibernéticos emergentes, como la Inteligencia Artificial. En el futuro, los CISO esperan que garantizar el cumplimiento se convierta en una parte aún mayor de su trabajo. A medida que la industria enfrenta amenazas cada vez mayores, el cumplimiento es una parte clave de un enfoque estratégico e integral para la gestión de riesgos de ciberseguridad. Para obtener más información sobre este tema, consulte el episodio del podcast 401 Access Denied de Delinea: Securing Compliance: Expert Insights with Steven Ursillo ¿Necesita una guía paso a paso para planificar su viaje estratégico hacia la seguridad del acceso privilegiado? Comience con una lista de verificación PAM gratuita y personalizable. ¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

05 de abril de 2024Sala de prensaInteligencia artificial/ataque a la cadena de suministro Una nueva investigación ha descubierto que los proveedores de inteligencia artificial (IA) como servicio, como Hugging Face, son susceptibles a dos riesgos críticos que podrían permitir a los actores de amenazas aumentar privilegios y obtener beneficios cruzados. -Acceso de inquilino a los modelos de otros clientes, e incluso hacerse cargo de los canales de integración continua e implementación continua (CI/CD). «Los modelos maliciosos representan un riesgo importante para los sistemas de IA, especialmente para los proveedores de IA como servicio porque los atacantes potenciales pueden aprovechar estos modelos para realizar ataques entre inquilinos», dijeron los investigadores de Wiz Shir Tamari y Sagi Tzadik. «El impacto potencial es devastador, ya que los atacantes pueden acceder a millones de modelos y aplicaciones privados de IA almacenados en proveedores de IA como servicio». El desarrollo se produce cuando los canales de aprendizaje automático han surgido como un nuevo vector de ataque a la cadena de suministro, con repositorios como Hugging Face convirtiéndose en un objetivo atractivo para organizar ataques adversarios diseñados para recopilar información confidencial y acceder a entornos objetivo. Las amenazas tienen dos frentes y surgen como resultado de la adquisición compartida de la infraestructura de inferencia y de la adquisición compartida de CI/CD. Permiten ejecutar modelos que no son de confianza cargados en el servicio en formato pickle y hacerse cargo de la canalización de CI/CD para realizar un ataque a la cadena de suministro. Los hallazgos de la firma de seguridad en la nube muestran que es posible violar el servicio que ejecuta los modelos personalizados cargando un modelo no autorizado y aprovechando técnicas de escape de contenedores para escapar de su propio inquilino y comprometer todo el servicio, lo que permite de manera efectiva que los actores de amenazas obtengan información cruzada. acceso de inquilinos a los modelos de otros clientes almacenados y ejecutados en Hugging Face. «Hugging Face seguirá permitiendo al usuario inferir el modelo cargado basado en Pickle en la infraestructura de la plataforma, incluso cuando se considere peligroso», explicaron los investigadores. Básicamente, esto permite a un atacante crear un modelo PyTorch (Pickle) con capacidades de ejecución de código arbitrario al cargarlo y encadenarlo con configuraciones erróneas en Amazon Elastic Kubernetes Service (EKS) para obtener privilegios elevados y moverse lateralmente dentro del clúster. «Los secretos que obtuvimos podrían haber tenido un impacto significativo en la plataforma si estuvieran en manos de un actor malicioso», dijeron los investigadores. «Los secretos dentro de entornos compartidos a menudo pueden provocar acceso entre inquilinos y fuga de datos confidenciales. Para mitigar el problema, se recomienda habilitar IMDSv2 con límite de saltos para evitar que los pods accedan al servicio de metadatos de instancia (IMDS) y obtengan el rol de un nodo dentro del clúster. La investigación también encontró que es posible lograr la ejecución remota de código a través de un Dockerfile especialmente diseñado cuando se ejecuta una aplicación en el servicio Hugging Face Spaces, y usarlo para extraer y enviar (es decir, sobrescribir) todas las imágenes que están disponibles en un registro de contenedores interno. Hugging Face, en divulgación coordinada, dijo que ha abordado todos los problemas identificados. También insta a los usuarios a emplear modelos solo de fuentes confiables, habilitar la autenticación multifactor (MFA) y abstenerse de usar pickle. archivos en entornos de producción: «Esta investigación demuestra que el uso de modelos de IA que no son de confianza (especialmente los basados ​​en Pickle) podría tener graves consecuencias para la seguridad», dijeron los investigadores. «Además, si pretende permitir que los usuarios utilicen modelos de IA que no son de confianza en su entorno, es extremadamente importante asegurarse de que se ejecuten en un entorno aislado». La divulgación sigue a otra investigación de Lasso Security de que es posible que modelos de IA generativa como OpenAI ChatGPT y Google Gemini distribuyan paquetes de códigos maliciosos (e inexistentes) a desarrolladores de software desprevenidos. En otras palabras, la idea es encontrar una recomendación para un paquete no publicado y publicar un paquete troyanizado en su lugar para propagar el malware. El fenómeno de las alucinaciones de paquetes de IA subraya la necesidad de tener cuidado al confiar en modelos de lenguaje grandes (LLM) para soluciones de codificación. La empresa de inteligencia artificial Anthropic, por su parte, también ha detallado un nuevo método llamado «jailbreaking de muchos disparos» que puede usarse para eludir las protecciones de seguridad integradas en los LLM para producir respuestas a consultas potencialmente dañinas aprovechando la ventana de contexto de los modelos. «La capacidad de ingresar cantidades cada vez mayores de información tiene ventajas obvias para los usuarios de LLM, pero también conlleva riesgos: vulnerabilidades de jailbreak que explotan la ventana de contexto más larga», dijo la compañía a principios de esta semana. La técnica, en pocas palabras, implica introducir una gran cantidad de diálogos falsos entre un humano y un asistente de IA dentro de un solo mensaje para el LLM en un intento de «dirigir el comportamiento del modelo» y responder a consultas que de otro modo no haría (por ejemplo, , «¿Cómo construyo una bomba?»). ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

Se ha observado que un presunto actor de amenazas de origen vietnamita ataca a víctimas en varios países asiáticos y del sudeste asiático con malware diseñado para recopilar datos valiosos desde al menos mayo de 2023. Cisco Talos está rastreando el clúster bajo el nombre CoralRaider y lo describe como motivado financieramente. Los objetivos de la campaña incluyen India, China, Corea del Sur, Bangladesh, Pakistán, Indonesia y Vietnam. «Este grupo se centra en robar las credenciales de las víctimas, datos financieros y cuentas de redes sociales, incluidas cuentas comerciales y publicitarias», dijeron los investigadores de seguridad Chetan Raghuprasad y Joey Chen. «Usan RotBot, una variante personalizada de Quasar RAT, y XClient Stealer como cargas útiles». Otro malware básico utilizado por el grupo comprende una combinación de troyanos de acceso remoto y ladrones de información como AsyncRAT, NetSupport RAT y Rhadamanthys. El objetivo de cuentas comerciales y publicitarias ha sido un foco particular para los atacantes que operan desde Vietnam, con varias familias de malware ladrón como Ducktail, NodeStealer y VietCredCare implementadas para tomar el control de las cuentas para una mayor monetización. El modus operandi implica el uso de Telegram para extraer la información robada de las máquinas de las víctimas, que luego se comercializa en mercados clandestinos para generar ingresos ilícitos. «Los operadores de CoralRaider tienen su sede en Vietnam, según los mensajes de los actores en sus canales de bots de Telegram C2 y la preferencia de idioma al nombrar sus bots, cadenas PDB y otras palabras vietnamitas codificadas en sus binarios de carga útil», dijeron los investigadores. Las cadenas de ataques comienzan con un archivo de acceso directo de Windows (LNK), aunque actualmente no hay una explicación clara sobre cómo se distribuyen estos archivos a los objetivos. Si se abre el archivo LNK, se descarga y ejecuta un archivo de aplicación HTML (HTA) desde un servidor de descarga controlado por el atacante, que, a su vez, ejecuta un script de Visual Basic integrado. El script, por su parte, descifra y ejecuta secuencialmente otros tres scripts de PowerShell que se encargan de realizar comprobaciones anti-VM y anti-análisis, eludir el control de acceso de usuarios (UAC) de Windows, deshabilitar las notificaciones de aplicaciones y Windows, y descargar y ejecutar RotBot. RotBot está configurado para contactar a un bot de Telegram y recuperar el malware ladrón XClient y ejecutarlo en la memoria, lo que en última instancia facilita el robo de cookies, credenciales e información financiera de navegadores web como Brave, Cốc Cốc, Google Chrome, Microsoft Edge, Mozilla Firefox, y Ópera; Datos de Discord y Telegram; y capturas de pantalla. XClient también está diseñado para extraer datos de las cuentas de Facebook, Instagram, TikTok y YouTube de las víctimas, recopilando detalles sobre los métodos de pago y permisos asociados con sus cuentas comerciales y publicitarias de Facebook. «RotBot es una variante del cliente Quasar RAT que el actor de amenazas ha personalizado y compilado para esta campaña», dijeron los investigadores. «[XClient] tiene una amplia capacidad de robo de información a través de su módulo de complemento y varios módulos para realizar tareas administrativas remotas». El desarrollo se produce cuando Bitdefender reveló detalles de una campaña de publicidad maliciosa en Facebook que está aprovechando los rumores que rodean a las herramientas de inteligencia artificial generativa para impulsar una variedad de ladrones de información. como Rilide, Vidar, IceRAT y un nuevo participante conocido como Nova Stealer. El punto de partida del ataque es que el actor de amenazas se apodera de una cuenta de Facebook existente y modifica su apariencia para imitar herramientas de inteligencia artificial conocidas de Google, OpenAI y Midjourney. y ampliar su alcance mediante la publicación de anuncios patrocinados en la plataforma. Una de ellas es la página impostora que se hace pasar por Midjourney que tenía 1,2 millones de seguidores antes de ser eliminada el 8 de marzo de 2023. Los actores de amenazas que administraban la página eran principalmente de Vietnam, EE. UU. e Indonesia. , el Reino Unido y Australia, entre otros. «Las campañas de publicidad maliciosa tienen un enorme alcance a través del sistema de anuncios patrocinados de Meta y se han dirigido activamente a usuarios europeos de Alemania, Polonia, Italia, Francia, Bélgica, España, Países Bajos, Rumania, Suecia y en otros lugares», afirmó la empresa rumana de ciberseguridad. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

04 de abril de 2024Sala de prensaSeguridad de red/vulnerabilidad Ivanti ha publicado actualizaciones de seguridad para abordar cuatro fallas de seguridad que afectan a Connect Secure y Policy Secure Gateways y que podrían resultar en la ejecución de código y denegación de servicio (DoS). La lista de fallas es la siguiente: CVE-2024-21894 (puntaje CVSS: 8.2): una vulnerabilidad de desbordamiento de montón en el componente IPSec de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un usuario malintencionado no autenticado enviar solicitudes especialmente diseñadas para bloquear el servicio y provocar así un ataque DoS. En determinadas condiciones, esto puede dar lugar a la ejecución de código arbitrario. CVE-2024-22052 (puntuación CVSS: 7,5): una vulnerabilidad de desreferencia de puntero nulo en el componente IPSec de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un usuario malintencionado no autenticado envíe solicitudes especialmente diseñadas para bloquear el servicio provocando así un ataque DoS. CVE-2024-22053 (puntuación CVSS: 8,2): una vulnerabilidad de desbordamiento de montón en el componente IPSec de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un usuario malintencionado no autenticado envíe solicitudes especialmente diseñadas para bloquear el servicio provocando así un ataque DoS o, en determinadas condiciones, leer contenidos de la memoria. CVE-2024-22023 (puntuación CVSS: 5,3): una expansión de entidad XML o vulnerabilidad XEE en el componente SAML de Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure permite que un atacante no autenticado envíe solicitudes XML especialmente diseñadas en para causar temporalmente el agotamiento de los recursos, lo que resulta en un DoS por tiempo limitado. La compañía, que ha estado lidiando con un flujo constante de fallas de seguridad en sus productos desde principios de año, dijo que no tiene conocimiento de «ningún cliente que haya sido explotado por estas vulnerabilidades en el momento de la divulgación». A fines del mes pasado, Ivanti envió parches para deficiencias críticas en su producto Standalone Sentry (CVE-2023-41724, puntuación CVSS: 9.6) que podrían permitir que un actor de amenazas no autenticado ejecute comandos arbitrarios en el sistema operativo subyacente. También resolvió otra falla crítica que afectaba las versiones locales de Neurons for ITSM (CVE-2023-46808, puntuación CVSS: 9.9) que un atacante remoto autenticado podría abusar para realizar escrituras de archivos arbitrarias y obtener ejecución de código. En una carta abierta publicada el 3 de abril de 2023, el director ejecutivo de Ivanti, Jeff Abbott, dijo que la compañía está «analizando de cerca» su propia postura y procesos para cumplir con los requisitos del panorama de amenazas actual. Abbott también dijo que «los acontecimientos de los últimos meses han sido humillantes» y que está ejecutando un plan que esencialmente cambia su modelo operativo de seguridad al adoptar principios de seguridad desde el diseño, compartir información con los clientes con total transparencia y rediseñar su ingeniería, seguridad y prácticas de gestión de vulnerabilidades. «Estamos intensificando nuestras capacidades de escaneo interno, explotación manual y prueba, involucrando a terceros confiables para aumentar nuestra investigación interna y facilitando la divulgación responsable de vulnerabilidades con mayores incentivos en torno a un programa mejorado de recompensas por errores», dijo Abbott. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

03 de abril de 2024Sala de prensaSeguridad móvil/Día Cero Google ha revelado que empresas forenses han explotado dos fallos de seguridad de Android que afectan a sus teléfonos inteligentes Pixel. Las vulnerabilidades de día cero de alta gravedad son las siguientes: CVE-2024-29745: una falla de divulgación de información en el componente del gestor de arranque CVE-2024-29748: una falla de escalada de privilegios en el componente de firmware «Hay indicios de que el [vulnerabilities] puede estar bajo explotación limitada y dirigida», dijo Google en un aviso publicado el 2 de abril de 2024. Si bien el gigante tecnológico no reveló ninguna otra información sobre la naturaleza de los ataques que explotan estas deficiencias, los mantenedores de GrapheneOS dijeron que «están siendo activamente explotado en estado salvaje por empresas forenses». «CVE-2024-29745 se refiere a una vulnerabilidad en el firmware fastboot utilizado para soportar el desbloqueo/flasheo/bloqueo», dijeron en una serie de publicaciones en X (anteriormente Twitter). «Compañías forenses están reiniciando dispositivos en el estado Después del primer desbloqueo en modo fastboot en Pixels y otros dispositivos para explotar vulnerabilidades allí y luego volcar la memoria». GrapheneOS señaló que CVE-2024-29748 podría ser utilizado como arma por atacantes locales para interrumpir un restablecimiento de fábrica activado a través del administrador del dispositivo. API: La divulgación se produce más de dos meses después de que el equipo de GrapheneOS revelara que las empresas forenses están explotando las vulnerabilidades del firmware que afectan a los teléfonos Google Pixel y Samsung Galaxy para robar datos y espiar a los usuarios cuando el dispositivo no está en reposo. También instó a Google a introducir una función de reinicio automático para dificultar la explotación de fallas de firmware. ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link

Las soluciones en la nube son más comunes y, por lo tanto, más expuestas que nunca. Solo en 2023, un asombroso 82 % de las filtraciones de datos se produjeron en entornos de nube pública, privada o híbrida. Es más, casi el 40% de las infracciones abarcaron múltiples entornos de nube. El costo promedio de una vulneración de la nube estuvo por encima del promedio general, con 4,75 millones de dólares. En una época en la que la nube se ha convertido en el estándar de facto –con el 65% de los tomadores de decisiones de TI confirmando que los servicios basados ​​en la nube son su primera opción al actualizar o comprar nuevas soluciones–, a pesar de su abrumadora prominencia, la seguridad en la nube aún enfrenta múltiples desafíos. Desafíos de seguridad en la nube Un obstáculo importante es la falta de visibilidad. A diferencia de los servidores físicos que se pueden ver y tocar, los recursos de la nube suelen estar distribuidos en vastas redes, lo que dificulta el seguimiento de actividades sospechosas y deja vulnerabilidades sin detectar. Otro desafío es la inconsistencia entre los sistemas de gestión de permisos de los proveedores de la nube. Los diferentes proveedores tienen diferentes controles sobre quién puede acceder y modificar los datos. Esta inconsistencia crea complejidad y aumenta el riesgo de configuraciones erróneas accidentales, que son una de las principales causas de infracciones. Además, con múltiples equipos involucrados en las implementaciones de la nube (desarrollo, operaciones, seguridad), la propiedad y la responsabilidad claras sobre la seguridad de la nube pueden resultar borrosas. Esta falta de coordinación puede llevar a situaciones en las que se pasan por alto o se pasan por alto las mejores prácticas de seguridad. Además, muchos ataques se trasladan a través de la nube a entornos locales y viceversa, lo que puede poner en riesgo ambos entornos. Todos estos desafíos resaltan la necesidad urgente de soluciones sólidas de seguridad en la nube que brinden visibilidad integral, gestión de permisos estandarizada y líneas de responsabilidad claras. Sin embargo, los recursos de seguridad son escasos incluso en los equipos mejor equipados, y se espera que los equipos de seguridad en la nube investiguen y remedien miles de exposiciones que tal vez no todas tengan el mismo impacto en los recursos críticos. Esto genera incertidumbre sobre qué solucionar primero y cómo abordar realmente todas las exposiciones identificadas, dejando los entornos de nube expuestos a ataques cibernéticos. La gestión continua de la exposición es esencial En lugar de perseguir innumerables vulnerabilidades, los equipos de seguridad deben priorizar las más críticas. Esto significa poder identificar rápidamente las rutas de ataque más peligrosas y tomar medidas preventivas contra los métodos de ataque avanzados en la nube. Al centrarse en áreas de alto riesgo, los equipos de seguridad en la nube pueden crear planes de remediación específicos que eviten ataques importantes, agilicen los flujos de trabajo e informen con precisión sobre amenazas reales en múltiples entornos de nube. La clave para lograrlo es la Gestión Continua de la Exposición a Amenazas (CTEM), un programa o marco proactivo y continuo de cinco etapas que reduce la exposición a los ciberataques. Introducido por primera vez por Gartner en 2022, CTEM ha demostrado ser esencial para prevenir ataques de alto impacto, mejorar la eficiencia de la remediación e informar sobre riesgos reales. Deje de permitir que los piratas informáticos jueguen a conectar los puntos con la seguridad de su nube. Descubra el mapa secreto que no quieren que tenga en nuestro libro electrónico: ‘El poder de las rutas de ataque en la nube’ Aprenda a visualizar, interceptar y proteger su fortaleza digital como nunca antes. CTEM se introdujo para resolver el problema de las listas interminables de exposiciones, y más específicamente de vulnerabilidades, en entornos locales. No poder resaltar y corregir las exposiciones que son más críticas deja a los equipos de seguridad arreglando CVE que pueden o no ser explotables o impactantes en su entorno específico. En entornos de múltiples nubes, las listas de vulnerabilidades pueden ser más cortas, pero junto con las configuraciones erróneas y el acceso altamente privilegiado, se suman a una larga lista de exposiciones que los atacantes pueden utilizar para violar el entorno de múltiples nubes y que los equipos de seguridad deben abordar. La única forma de bloquear los ataques es identificando y solucionando las exposiciones que tienen mayor impacto en su negocio. Eso requiere adoptar el marco CTEM en el entorno de la nube. Solucione lo que importa en múltiples nubes Para ayudar a los equipos de seguridad de la nube a solucionar lo que importa y bloquear ataques de alto impacto en entornos de múltiples nubes, un programa CTEM integral resaltará las entidades más impactantes que pueden comprometer los recursos de la nube. Estas soluciones identifican los recursos de la nube que pueden verse comprometidos y descubren todas las exposiciones que los atacantes pueden utilizar para comprometerlos. Mapear las rutas de ataque que los atacantes podrían explotar ayuda a priorizar y validar las exposiciones más impactantes que son explotables en el entorno de múltiples nubes para abordarlas primero. Por ejemplo, adoptar la perspectiva del atacante permite identificar los principales puntos críticos. Los puntos críticos son debilidades críticas en las defensas de la nube, donde múltiples rutas de ataque convergen en una sola exposición. Los atacantes pueden vulnerarlos fácilmente y luego acceder a una amplia red de recursos: bases de datos, computadoras, controles de identidad y más. Al priorizar estas áreas de alto impacto, los equipos de seguridad se centran en los objetivos más atractivos para los atacantes, maximizando el retorno de sus esfuerzos de seguridad. Los puntos críticos comunes incluyen sistemas conectados a Internet y cuentas de acceso no utilizadas. Abordarlos reduce significativamente la superficie de ataque, fortaleciendo efectivamente todo su entorno de nube. Ejemplo de Cloud Choke Point que muestra rutas de ataque entrantes y salientes Otro ejemplo de exposición de alto impacto proviene de un acceso predefinido con privilegios elevados. Las cuentas con privilegios elevados, como los administradores predefinidos, se consideran activos de «fin del juego». Si se ven comprometidos, los atacantes pueden causar estragos. Tener un enfoque integral de CTEM ayuda a identificar estas cuentas y descubrir debilidades que podrían dejarlas vulnerables. Esto incluye detectar el acceso de administrador sin autenticación multifactor (MFA) o cuentas de servicio no utilizadas, esencialmente; debilidades que a los atacantes les encantaría explotar. Para garantizar que se aborden las exposiciones críticas, las soluciones avanzadas de gestión de exposiciones brindan orientación y alternativas de remediación. La mayoría de las veces, las cuentas con privilegios elevados o los recursos conectados a Internet no se pueden restringir, pero analizar la ruta de ataque que conduce a ellos permite encontrar una solución que reduzca su explotabilidad y, por tanto, su nivel de riesgo. Detener los ataques en entornos híbridos Los atacantes no están limitados por los entornos híbridos y los defensores deben asegurarse de que tampoco estén limitados. Las soluciones que analizan rutas de ataque híbridas, en entornos locales y de múltiples nubes, permiten a los equipos de seguridad ir un paso por delante de los ataques, entendiendo exactamente dónde están expuestos a las amenazas cibernéticas. Estas herramientas brindan detalles completos sobre posibles puntos de infracción, técnicas de ataque, uso de permisos y alternativas de reparación para ayudar a los clientes a abordar estas exposiciones y bloquear las rutas de ataque más críticas. Ejemplo de ruta de ataque híbrido entre MS Active Directory y AWS Resumen Si bien la seguridad tradicional en la nube lucha contra el volumen de exposiciones siempre presentes, CTEM ofrece un plan de remediación viable al centrarse en los más críticos en un entorno específico. El enfoque correcto para CTEM abarca la nube local y la nube múltiple, abarcando todo su panorama de TI. Este enfoque holístico elimina los puntos ciegos y permite a las organizaciones realizar la transición de una defensa reactiva a una proactiva. Al adoptar CTEM, las organizaciones pueden garantizar su éxito en el futuro basado en la nube. Nota: Este artículo contribuido por expertos está escrito por Zur Ulianitzky, vicepresidente de investigación de seguridad de XM Cyber. ¿Encontró interesante este artículo? Este artículo es una contribución de uno de nuestros valiosos socios. Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.

Source link