Новости Уязвимость в Log4j, базы данных 300 млн человек и другие события кибербезопасности

Мы собрали наиболее важные новости из мира кибербезопасности за неделю.

• Баг на 10 из 10: эксперты встревожены обнаруженной уязвимостью в библиотеке Log4j, позволяющей получить удаленный доступ к устройствам и серверам. Ее называют одним из серьезнейших эксплойтов за последние годы.
• В Украине задержали подозреваемых в продаже баз персональных данных со сведениями 300 млн человек.
• Мошенники похитили у жителей РФ более 3 млрд рублей через фейковые платежные системы.

«Киберпандемия»: хакеры массово эксплуатируют уязвимость в Log4j. Эксперты называют ее самым серьезным багом за последние годы


Исследователи обнаружили критическую уязвимость в популярной библиотеке Java-программ Apache Log4j. Она потенциально позволяет злоумышленникам получить удаленный доступ к устройствам и серверам, при этом не обладая широкими техническими навыками. Уязвимость получила название Log4Shell.

Эксперты по-настоящему встревожены. В Национальном центре кибербезопасности Великобритании и Агентстве по кибербезопасности и безопасности инфраструктуры США называют баг потенциально самым серьезным из обнаруженных за последние годы. По шкале Common Vulnerability Scoring System (CVSS) уязвимость получила 10 из 10 возможных баллов.

Log4j используют в разработке очень многих систем, в том числе Amazon, Apple iCloud, Cisco, Cloudflare, ElasticSearch, Red Hat, Steam, Tesla и Twitter. Поэтому масштаб от эксплуатации Log4Shell может быть колоссальным.

По данным Bloomberg, первые сообщения об уязвимости появились в конце ноября. Спустя некоторое время баг начали обсуждать в WeChat, а хакеры эксплуатировать Log4Shell.

Earliest evidence we’ve found so far of #Log4J exploit is 2021-12-01 04:36:50 UTC. That suggests it was in the wild at least 9 days before publicly disclosed. However, don’t see evidence of mass exploitation until after public disclosure.

— Matthew Prince (@eastdakota) December 11, 2021​

Как сообщили специалисты Netlab 360, злоумышленники использовали эксплойт для загрузки на устройства вредоносного ПО Mirai и Muhstik. С их помощью хакеры запускали криптомайнеры, а также использовали для проведения масштабных DDoS-атак или установки маяков Cobalt Strike для поиска уязвимых серверов.

Разработчики Apache Software Foundation выпустили экстренное обновление. Однако на фоне исправления обнаружились новые баги, после чего специалисты представили еще одно обновление 2.16.0.

Уязвимыми являются практически все версии Log4j, начиная с 2.0-beta9 и заканчивая 2.14.1. Самый простой и эффективный метод защиты от Log4Shell — срочно обновиться до самой свежей версии библиотеки, говорят специалисты.

Однако пока эксперты не могут в полной мере оценить масштаб последствий от задействования уязвимости. В Bitdefender уже выявили вирус-вымогатель, злоупотребляющий Log4Shell, а в Netlab заявили об обнаружении как минимум десяти хакерских группировок, эксплуатирующих баг. Уязвимость затронула почти половину корпоративных сетей в России, пишет «Ъ».

В Check Point Research зафиксировали более 800 000 атак на Log4Shell и распространение новых вариаций исходного эксплойта — их уже свыше 60.


Данные: Check Point Research.

«Это явно одна из самых серьезных уязвимостей в интернете за последние годы. Когда мы обсуждали возможность киберпандемии, это именно то, что мы имели в виду, — быстро распространяющиеся разрушительные атаки», — резюмировали эксперты.
​

В Украине пресекли продажу баз персональных данных со сведениями 300 млн человек


Украинская киберполиция выявила 51 подозреваемого в распространении баз персональных данных граждан Украины, Европы и США.

В ходе операции «ДАТА» правоохранители изъяли около 100 баз со сведениями 300 млн человек на более 90 000 Гб. Информация в них актуальна на 2020-2021 годы.

В базах содержались данные о клиентах банков и компаний, сведениях для входа в электронную почту, соцсети, интернет-магазины и другое.

Правоохранители также пресекли деятельность одного из крупнейших сайтов, где продавались персональные данные, включая ФИО, номера телефонов и места регистрации.

Microsoft исправила использовавшийся вредоносом Emotet баг, а Google — уязвимость нулевого дня


Специалисты Microsoft исправили уязвимость, эксплуатируемую вредоносным ПО Emotet. Ее могли использовать в фишинговых кампаниях, нацеленных на пользователей Windows.

На этой неделе разработчики Google также представили новую версию Chrome, в которой устранили уязвимость нулевого дня, находящуюся под атаками.

Мошенники похитили у россиян более 3 млрд рублей через фейковые платежные системы


Эксперты Group-IB рассказали ForkLog о мошеннической схеме с использованием фейковых платежных систем. Ущерб для клиентов российских банков оценили в 3,15 млрд рублей.

По данным специалистов, мошенники начали подделывать страницы 3D Secure, использующиеся для обеспечения безопасности онлайн-платежей.

Опасность использования фейковых платежных систем через подобные страницы состоит в том, что их достаточно сложно выявить, они часто содержат логотипы международных платежных систем Visa, MasterCard или российской МИР и не вызывают подозрений у покупателей, заявили в Group-IB.

«Привлеченный мошеннической рекламой, спам-рассылкой, объявлением на досках объявлений, покупатель заходит на фишинговую страницу интернет-магазина, маркетплейса или онлайн-сервиса. Выбрав товар или услугу, жертва вводит на мошенническом ресурсе в форму приема платежа реквизиты своей банковской карты», — объясняют специалисты.
​

Данные попадают на мошеннический сервер, откуда происходит обращение к P2P-сервисам банков с указанием в качестве получателя одной из карт злоумышленников.

Ежедневно российские пользователи проводили свыше 11 000 платежей через фишинговые страницы, суммарно на 8,6 млн рублей.

VPN-сервис Lantern использует децентрализованный инструмент для обхода возможной блокировки в РФ


VPN-сервис Lantern, которому может грозить блокировка в России, отреагировал на эту опасность.

Following the lead of @torproject, Team Lantern responds to Russian censorship and threats: https://t.co/597teeWjCh

— 蓝灯 Lantern (@getlantern) December 14, 2021

«В своих неоправданных попытках по созданию централизованно контролируемого интернета российское правительство все туже затягивает петлю вокруг способности российских граждан использовать современные технологии для реализации основополагающих прав человека», — говорится в сообщении.
​

В Lantern заявили, что не удивлены интересом Роскомнадзора к сервису, «особенно после недавних новостей об агрессивных атаках России против сети Tor».


Сервис не намерен сотрудничать с российскими правоохранителями или выполнять требования по фильтрации контента:

«Более того, в Lantern интегрирован устойчивый к цензуре децентрализованный инструмент распространения контента, который в настоящее время доступен для российских пользователей на настольных компьютерах и в этом месяце появится на мобильных устройствах».
​

Напомним, в начале декабря Роскомнадзор обратился к компаниям, использующим в работе VPN-сервисы Betternet, Lantern, X-VPN, Cloudflare WARP, Tachyon VPN и PrivateTunnel. По мнению ведомства, они помогают обходить ограничения, способствуя получению доступа к запрещенной в РФ информации.

В Госдуму внесли законопроекты о единых правилах проведения дистанционного голосования и о его отмене


В Госдуме зарегистрировали проект закона о единых правилах проведения дистанционного электронного голосования (ДЭГ) для всех регионов и выборов различных уровней.

Глава Центризбиркома Элла Памфилова сообщила, что в следующем году планируется расширить количество регионов, в которых будет применяться ДЭГ.

В то же время группа депутатов КПРФ внесла на рассмотрение Госдумы законопроект об отмене ДЭГ на выборах в России.


Также на ForkLog:

• Хакеры вывели с горячих кошельков биткоин-биржи AscendEX более $77 млн.
• Неизвестные взломали Twitter премьера Индии и объявили о легализации биткоина.
• Оператор ботнета для кражи биткоинов получил четыре года тюрьмы в США.
• Crystal Blockchain сообщил, что за 10 лет ущерб криптовалютных платформ и их пользователей от действий злоумышленников достиг $12,1 млрд.
• Команда DeFi-проекта BadgerDAO раскрыла детали взлома на $121 млн.
• В Chainalysis заявили, что на схемы rug pull пришлось 37% доходов мошенников за 2021 год.
• Хакеры взломали кошельки пользователей платформы Vulcan Forged и вывели токены на $100 млн.
• Специалисты «Лаборатории Касперского» рассказали, что 47% атак в 2021 году пришлось на программы-шифровальщики.

Что почитать на выходных?


Почти год назад стало известно об атаке на американские правительственные системы, а затем и на множество компаний по всему миру через зараженное ПО компании SolarWinds. На фоне массовой обеспокоенности последствиями уязвимости в Log4j вспоминаем взлом, который называли одним из самых изощренных и крупнейших за последние годы.


Новость Уязвимость в Log4j, базы данных 300 млн человек и другие события кибербезопасности на сайте CoinProject.info.