Hackers usaram falha Zero-day do WhatsApp para instalar secretamente spyware em telefones

por Adriano Lopes em 14 de maio de 2019 no site Mundo Hacker

Recentemente, o Whatsapp corrigiu uma vulnerabilidade severa que estava sendo explorada por invasores para instalar remotamente malwares de vigilância em alguns smartphones “selecionados”, simplesmente ligando para os números de telefone alvo através da chamada de áudio do WhatsApp.

Descoberto, armado e depois vendido pela empresa israelense NSO Group, que produz o spyware móvel mais avançado do planeta, a exploração do WhatsApp instala o spyware do Pegasus em dispositivos Android e iOS.

De acordo com um comunicado publicado pelo Facebook, uma vulnerabilidade de estouro de buffer no VOIP do WhatsApp permite que atacantes remotos executem código arbitrário em telefones de destino enviando uma série especialmente criada de pacotes SRTCP. 

Aparentemente, a vulnerabilidade, identificada como CVE-2019-3568 , pode ser explorada com sucesso para instalar o spyware e roubar dados de um telefone Android ou iPhone direcionado simplesmente fazendo uma chamada WhatsApp, mesmo quando a chamada não é atendida.

Além disso, a vítima não poderá descobrir mais sobre a invasão depois que o spyware apagar as informações de chamadas recebidas dos registros para operar furtivamente.

Embora o número exato de usuários do WhatsApp ainda não seja conhecido, os engenheiros do WhatsApp confirmaram que apenas um “número selecionado” de usuários foi alvo do spyware do NSO Group usando esta vulnerabilidade.

Enquanto isso, o Citizen Lab, um grupo de vigilância da Universidade de Toronto que está investigando as atividades do NSO Group, acredita que a vulnerabilidade foi usada para atacar um advogado de direitos humanos com base no Reino Unido recentemente, no domingo.

O spyware Pegasus do NSO Group permite que invasores acessem uma quantidade incrível de dados remotamente dos smartphones das vítimas, incluindo mensagens de texto, e-mails, mensagens WhatsApp, detalhes de contatos, registro de chamadas, localização, microfone e câmera – tudo sem o conhecimento das vítimas.

O desagradável spyware já foi usado contra ativistas de direitos humanos e jornalistas , do México aos Emirados Árabes Unidos , e funcionários da Anistia Internacional na Arábia Saudita e outro defensor dos direitos humanos saudita no exterior no ano passado.

A vulnerabilidade afeta todos, exceto a versão mais recente do WhatsApp no ​​iOS e Android, o que significa que a falha afetou todos os 1,5 bilhão de pessoas que usam o WhatsApp até ontem, quando o Facebook finalmente corrigiu o problema.

“O problema afeta o WhatsApp para Android antes de v2.19.134, WhatsApp Business para Android antes de v2.19.44, WhatsApp para iOS antes de v2.19.51, WhatsApp Business para iOS antes de v2.19.51, WhatsApp para Windows Phone antes de v2. 18.348 e WhatsApp para Tizen antes da v2.18.15, “diz o Facebook.

Os engenheiros do WhatsApp descobriram a vulnerabilidade no início deste mês e alertaram o Departamento de Justiça sobre o assunto. Eles incentivam os usuários do iOS e do Android a atualizar seus aplicativos para a versão mais recente do popular aplicativo de mensagens o mais rápido possível. 

Servidor inseguro expõe dados de 85% de todos os cidadãos do Panamá

por Adriano Lopes em 13 de maio de 2019 no site Mundo Hacker

Um servidor Elasticsearch saiu conectado à Internet sem uma senha, ou proteção de firewall, vazou o que parece ser registros pessoais e informações do paciente de cerca de 85 por cento dos cidadãos do Panamá.

O servidor com vazamento foi encontrado on-line na semana passada por Bob Diachenko, fundador e pesquisador de segurança da Security Discovery.

O servidor Elasticsearch, uma tecnologia usada para alimentar sistemas de busca rápida, continha 3.427.396 registros de usuários rotulados como dados do paciente. Os dados foram válidos, na afirmação do ZDNet.

Julgando que o último censo do Panamá listou o país com uma população de 4.034.119 cidadãos, parece que os registros pessoais de 84,96% de todos os cidadãos foram expostos on-line durante esse acidente de servidor.

A riqueza de informações aqui é um tesouro para fraudadores on-line, embora a boa notícia seja que não havia nenhum recurso financeiro no banco de dados.

As informações armazenadas no servidor do Elasticsearch com vazamento incluíam nomes, endereços residenciais, números de telefone, endereços de e-mail, números de identificação nacional, datas de nascimento, números de seguro médico e outros, de acordo com a análise de Diachenko .

Nem todas as entradas do banco de dados continham o mesmo tipo de informação e, para alguns usuários, apenas parte desses dados estava presente no banco de dados. Além disso, não havia nenhuma indicação de que o banco de dados armazenasse detalhes sobre os registros médicos de um paciente, condições passadas, tratamentos, etc..

O banco de dados foi garantido no final de semana após Diachenko ter notificado a Equipe de Resposta de Emergência do Computador (CERT) do Panamá.

O servidor com vazamento também não continha nenhuma pista sobre sua propriedade, e isso ainda permanece um mistério hoje.

No entanto, a empresa ou agência estatal que acredita estar executando o servidor Elasticsearch não parece ter boas práticas de segurança.

O mesmo endereço IP em que o cluster do Elasticsearch foi hospedado também expôs endpoints RDP pela Internet, permitindo que qualquer pessoa inicie ataques de brute force e tente comprometer a rede da empresa. Esses terminais devem normalmente ser expostos on-line por trás de um firewall que limita estritamente quem pode acessá-los.

Vazamento expõe dados de 3,4 milhões de clientes de serviços de streaming

por Adriano Lopes em 30 de janeiro de 2019 no site Mundo Hacker

Cinco banco de dados vazados, que somam 3,4 milhões de usuários de serviços de streaming de música e vídeo, além de plataforma de jogos, foram comprometidos em diversos países. A informação é do dfndr lab, braço de pesquisas da empresa de segurança digital PSafe. A informação surge dias depois do segundo maior ataque da história, que vazou dados de mais de 700 milhões de pessoas.

O dfndr lab teve acesso aos dados graças a documentos vazados por hackers. Esses arquivos contêm senhas e e-mails de usuários. Com esses dados em mãos, cibercriminosos tem em mãos total acesso a esses serviços e podem utilizá-los tal qual os donos originais das contas.

Esse acesso pode ser ainda maior, já que muitos usuários têm o hábito de replicar login e senha em diferentes serviços, oferecendo ainda mais acesso aos seus dados pessoais a pessoas maliciosas.

Segundo Emilio Simoni, diretor do dfndr lab, compartilhar suas conquistas na Deep Web é um hábito comum de cibercriminosos, o que aumenta ainda mais a vulnerabilidade desses usuários. Esses bancos de dados, segundo Simoni, teriam obtidos através de ataques de phishing, quando um hacker cria uma conta falsa de um serviço existente e pede informações aos usuários, que os fornecem acreditando que a mensagem recebida é do serviço assinado.

A PSafe, contudo, não disse quais serviços tiveram dados vazados.

O laboratório alerta para a importância de alguns cuidados para evitar que usuários fiquem vulneráveis. O primeiro deles é evitar clicar em links suspeitos, recebidos via WhatSapp, SMS ou e-mail. Se você não está esperando receber uma mensagem do serviço que assinou, não clique.

Outra forma é verificar se o site do serviço que está acessando é o oficial. Serviços de streaming, como Spotify e Netflix possuem domínios com final .br, por exemplo.

Além disso, outra boa prática recomendada pela empresa é não utilizar a mesma senha para vários serviços diferentes.

Matrix evoluiu lentamente para um “canivete suíço” do mundo do ransomware

Mundo Hacker em 30/01/2019

Fix Infected PC

Matrix, um ransomware vista pela primeira vez no final de 2016, evoluiu para uma ameaça perigosa após anos de atualizações lentas e incrementais e foi recentemente caracterizada como um “canivete suíço” em um relatório publicado hoje pela empresa de segurança cibernética Sophos.

Inicialmente, os autores de Matrix usaram o kit de exploração RIG para distribuir em massa seu ransomware em seus primeiros dias, em 2016 e 2017, desde o início de 2018, o ransomware foi disseminado exclusivamente em ataques contra alvos de alto valor cuidadosamente selecionados. vantagem de pontos de extremidade RDP (Remote Desktop Protocol) desprotegidos.

Nisso, a gangue Matrix seguiu uma tendência no mundo do ransomware, onde as campanhas de distribuição em massa baseadas em e-mail ou kit de exploração morreram em 2018, cedendo às operações que preferiam perseguir alvos individuais em ataques solitários explorando o RDP.

Em outras palavras, Matrix está agora na mesma categoria de cepas de ransomware, como SamSam , BitPaymer e Ryukmais famosos – usando endpoints RDP hackeados para entrar nas redes das empresas e infectar tantos PCs quanto possível antes de pedir enormes demandas de resgate. .

A diferença é que a Matrix não foi implantada ou infectou a mesma quantidade de vítimas que as mencionadas anteriormente; sendo esta uma das razões que poucos sabem, exceto o pequeno círculo de analistas de malware.

Ao longo dos últimos anos, a Sophos diz que detectou apenas 96 amostras de ransomware Matrix em estado selvagem, o ransomware recebendo constantes ajustes e atualizações com o passar do tempo.

“Embora o malware esteja sob desenvolvimento e melhoria contínuos enquanto o monitoramos, os autores ou operadores desse malware não parecem se comportar tão profissionalmente quanto, em comparação, a gangue SamSam”, disse Luca Nagy, da equipe da Sophos Labs. .

“Eles cometeram erros freqüentes ao longo do caminho, alguns dos quais foram corrigidos e outros recursos implementados foram abandonados”, disse Nagy. “Eles nem sempre empregam segurança operacional adequada, o que pode ser a causa de sua eventual ruína.”

No entanto, mesmo que seja desleixado como o Matrix pode ser, eles construíram lentamente uma variedade de ransomware bastante rica em recursos.

“Novas variantes do Matrix contêm sua própria capacidade de escanear a rede local onde se encontram”, disse Nagy. “Esses ransomwares autônomos ‘canivete suíço’ podem usar essa funcionalidade para encontrar outros possíveis computadores vitimados [na rede local].”

Uma vez que a gangue Matrix tenha infectado e criptografado arquivos em todos os computadores, o modus operandi normal é deixar uma nota de resgate com um endereço de e-mail por trás de onde as vítimas podem chegar e negociar a taxa de resgate. De acordo com a Sophos, o preço normal do resgate é geralmente em torno de US $ 3.500, pagos em Bitcoin, mas as somas podem subir se as vítimas mostrarem sinais de estar desesperadas para recuperar arquivos.

Enquanto nos anos anteriores, a aplicação da lei nos EUA e no Reino Unido alertou empresas privadas e entidades governamentais sobre ameaças como SamSam, BitPaymer e Ryuk por meio de alertas de segurança de emergência, não houve alertas do FBI, DHS ou NCSC sobre a Matrix.

De acordo com a Sophos, isso ocorre porque a Matrix não se concentrou principalmente nos EUA e no Reino Unido, como outras gangues de ransomware focadas no RDP, mas infectou vítimas em todo o mundo, levando o que pôde encontrar.

A Sophos diz ter detectado infecções no Matrix nos EUA (27,7%), Bélgica (16,7%), Taiwan, Cingapura, Alemanha, Brasil, Chile, África do Sul, Canadá e Reino Unido.

Assim como a maioria das variedades de ransomware, o Matrix também evita infectar computadores que usam idiomas falados no antigo espaço soviético. Isso sugere que a gangue de ransomware está localizada em um desses países ou está alugando a Matrix em fóruns de hackers de língua russa, que determinam que o malware vendido em sua plataforma não infecte os usuários russos.

Vendo que a Sophos mencionou que a gangue Matrix fez vários erros de segurança operacional (OpSec) em variantes passadas, ainda podemos ver o dia em que esse grupo é cobrado e pode ser levado à justiça.

Ao todo, Matrix lentamente passou de um ransomware fraco e pouco desenvolvido para uma das maiores ameaças na cena do ransomware hoje, junto com SamSam, BitPaymer, Ryuk, Dharma e GandCrab.

Hackers estão conduzindo ataques RDP usando uma nova técnica para ignorar proteções

Por Mundo Hacker em 28/01/2019.

Um componente do Microsoft Windows, RDP foi projetado para fornecer aos administradores, engenheiros e usuários acesso remoto aos sistemas. No entanto, os hackers (blackhat) têm usado a tecnologia para fins nefastos, e a tendência continua, especialmente porque um ataque RDP é geralmente mais difícil de detectar do que um backdoor.

“Os hackers continuam a preferir o RDP para as vantagens de estabilidade e funcionalidade sobre backdoors não-gráficos, que podem deixar artefatos indesejados em um sistema.”

Estes permitem que os atacantes estabeleçam uma conexão com um servidor remoto bloqueado por um firewall e abusem dessa conexão como um mecanismo de transporte para “ encapsular ” serviços de escuta locais através do firewall, tornando-os acessíveis ao servidor remoto. 

O tunelamento de rede e o encaminhamento de porta aproveitam os “ furos ” de firewall (portas não protegidas pelo firewall que permitem o acesso de aplicativos a um serviço em um host na rede protegida pelo firewall) para estabelecer uma conexão com um servidor remoto bloqueado por um firewall.

Uma vez estabelecida uma conexão ao servidor remoto através do firewall, a conexão pode ser usada como um mecanismo de transporte para enviar ou “encapsular” serviços de escuta locais (localizados dentro do firewall) através do firewall, tornando-os acessíveis ao servidor remoto ( localizado fora do firewall).

Um utilitário usado para encapsular sessões RDP é PuTTY Link , ou Plink , que permite que atacantes estabeleçamseguroconexões de rede shell ( SSH ) para outros sistemas. Com muitos ambientes de TI que não inspecionam protocolos ou não bloqueiam as comunicações SSH de sua rede, os invasores podem usar a ferramenta para criar túneis criptografados e estabelecer conexões RDP com o servidor de comando e controle (C & C). 

Como funciona?

Túnel RDP de entrada, um utilitário comum usado para encapsular sessões RDP é o PuTTY Link, comumente conhecido como Plink . 

FIG: Desvio do firewall corporativo usando RDP e tunelamento de rede com SSH como exemplo

FIG: Exemplo de um túnel RDP bem sucedido criado usando o Plink

FIG: Exemplo de encaminhamento de porta bem-sucedido do servidor C2 do invasor para a vítima

Pivô Jump Box

Não apenas o RDP é a ferramenta perfeita para acessar sistemas comprometidos externamente,mas as sessões RDP também podem ser encadeadas em vários sistemas como uma maneira de mover-se lateralmente por um ambiente.

A FireEye observou agentes de ameaças usando o shell de rede nativo do Windowsnetsh) comando para utilizar o encaminhamento de porta RDP como uma maneira de acessar redes segmentadas recentemente descobertas, que só podem ser acessadas através de uma jump box administrativa.

“ Por exemplo , um agente de ameaça poderia configurar o jump box para escutar em uma porta arbitrária o tráfego sendo enviado de um sistema previamente comprometido. O tráfego seria então encaminhado diretamente através da caixa de salto para qualquer sistema na rede segmentada usando qualquer porta designada, incluindo a porta RDP padrão TCP 3389 , ”

Prevenção do Túnel RDP

Se o RDP estiver habilitado, os hackers terão uma maneira de se mover lateralmente e manter a presença no ambiente por meio de encapsulamento ou encaminhamento de porta. Para reduzir a vulnerabilidade e detectar esses tipos de ataques de RDP, as organizações devem se concentrar nos mecanismos de prevenção e detecção baseados em host e em rede.

• Serviço de Área de Trabalho Remota: Desabilite o serviço de área de trabalho remota em todas as estações de trabalho de usuários finais e sistemas para os quais o serviço não é necessário para conectividade remota.
• Firewalls com base em host: ative regras de firewall baseadas em host que negam explicitamente as conexões RDP de entrada.
• Contas locais: Impedir o uso de RDP usando contas locais em estações de trabalho, habilitando a configuração de segurança “Negar logon através de serviços de área de trabalho remota”.

Fonte GBHackers

Ransomware GandCrab e vírus Ursnif se espalham através de macros do MS Word

Mundo Hacker em 25/01/2019

Pesquisadores de segurança descobriram duas campanhas de malware separadas, uma das quais está distribuindo o trojan Ursnif , que rouba dados, e o ransomware GandCrab, na natureza, enquanto o segundo está infectando apenas vítimas com malware Ursnif.

Embora ambas as campanhas de malware pareçam ser um trabalho de dois grupos separados de criminosos cibernéticos, encontramos muitas semelhanças entre eles. Ambos os ataques começam com e-mails de phishing que contêm um documento do Microsoft Word anexado, incorporado com macros maliciosas, e usam o Powershell para fornecer malware sem arquivo.

O Ursnif é um malware para roubo de dados que normalmente rouba informações confidenciais de computadores comprometidos com a capacidade de colher credenciais bancárias, navegar por atividades, coletar teclas digitadas, informações sobre processos e sistemas de implantar backdoors adicionais.

Descoberto no ano passado, o GandCrab é uma ameaça generalizada de ransomware que, como qualquer outro ransomware no mercado, criptografa arquivos em um sistema infectado e insiste que as vítimas paguem um resgate em moeda digital para desbloqueá-las. Seus desenvolvedores pedem pagamentos principalmente no DASH, que é mais complexo de rastrear

MS Docs + macros VBS = infecção Ursnif e GandCrab

A primeira campanha de malware distribuindo duas ameaças de malware foi descoberta por pesquisadores de segurança da Carbon Black, que localizaram cerca de 180 variantes de documentos do MS Word que visam usuários com macros VBS maliciosas.

Se executada com êxito, a macro VBS mal-intencionada executa um script PowerShell, que usa uma série de técnicas para baixar e executar Ursnif e GandCrab nos sistemas de destino.

O script do PowerShell é codificado em base64, que executa o próximo estágio de infecção, que é responsável pelo download das principais cargas de malware para comprometer o sistema.

A primeira carga é uma linha do PowerShell que avalia a arquitetura do sistema de destino e, em consequência, baixa uma carga adicional do site do Pastebin, que é executado na memória, dificultando que as técnicas tradicionais de antivírus detectem suas atividades.

“Este script do PowerShell é uma versão do módulo Empire Invoke-PSInject, com poucas modificações”, disseram os pesquisadores do Carbon Black. “O script terá um arquivo PE [Portable Executable] embutido que tenha sido codificado em base64 e injetá-lo no processo atual do PowerShell.”

A carga útil final então instala uma variante do ransomware GandCrab no sistema da vítima, bloqueando-o de seu sistema até que ele pague um resgate em moeda de dígitos.

Enquanto isso, o malware também baixa um executável Ursnif de um servidor remoto e, uma vez executado, imprimirá o sistema, monitorará o tráfego do navegador para coletar dados e o enviará ao servidor de comando e controle (C & C) dos invasores.

“No entanto, inúmeras variantes Ursnif foram hospedadas no site bevendbrec [.] Com durante esta campanha. Carbon Black foi capaz de descobrir aproximadamente 120 variantes Ursnif diferentes que estavam sendo hospedadas a partir dos domínios iscondisth [.] Com e bevendbrec [.] Com, “os pesquisadores disseram.

MS Docs + VBS macros = Malware de roubo de dados da Ursnif

Da mesma forma, a segunda campanha de malware que foi identificada por pesquisadores de segurança da Cisco Talos aproveita um documento do Microsoft Word contendo uma macro VBA maliciosa para fornecer outra variante do mesmo malware Ursnif.

Esse ataque de malware também compromete os sistemas de destino em vários estágios, começando com e-mails de phishing até a execução de comandos mal-intencionados do PowerShell para obter persistência sem arquivos e, em seguida, baixando e instalando o vírus de computador Ursnif.

“Há três partes no comando [PowerShell]. A primeira parte cria uma função que é usada mais tarde para decodificar o PowerShell codificado em base64. A segunda parte cria uma matriz de bytes contendo uma DLL maliciosa”, explicaram os pesquisadores da Talos.”A terceira parte executa a função de decodificação base64 criada na primeira parte, com uma string codificada em base64 como o parâmetro para a função. O PowerShell decodificado retornado é subseqüentemente executado pela função Invoke-Expression (iex) abreviada.”

Uma vez executado no computador da vítima, o malware coleta informações do sistema, as coloca em um formato de arquivo CAB e as envia para seu servidor de comando e controle por meio de uma conexão segura HTTPS.

Pesquisadores da Talos publicaram uma lista de indicadores de comprometimento (IOCs), juntamente com os nomes de nomes de arquivos carregados em máquinas comprometidas, em seu blog que podem ajudar a detectar e interromper o malware Ursnif antes que ele infecte sua rede.

Fonte TheHackerNews