Leverans av skadlig programvara via molntjänster utnyttjar Unicode trick för att lura användare

 

En ny attackkampanj kallad CLOUD#REVERSER har observerats som utnyttjar legitima molnlagringstjänster som Google Drive och Dropbox för att iscensätta skadliga nyttolaster.

"VBScript och PowerShell skripten i CLOUD#REVERSER involverar i sig kommando och kontrollliknande aktiviteter genom att använda Google Drive och Dropbox som iscensättning för plattformar för att hantera filuppladdningar och nedladdningar," säger Securonix forskarna Den Iuzvyk, Tim Peck och Oleg Kolesnikov i en rapport som delas med The Hacker News.

"Skripten är designade för att hämta filer som matchar specifika mönster, vilket tyder på att de väntar på kommandon eller skript placerade i Google Drive eller Dropbox."

Utgångspunkten för attackkedjan är ett nätfiske mail som har en ZIP arkivfil, som innehåller en körbar fil som maskerar sig som en Microsoft Excel fil.

I en intressant vändning använder filnamnet det dolda höger-till-vänster överstyrningen (RLO) Unicode tecknet (U+202E) för att vända ordningen på tecknen som kommer efter det tecknet i strängen.

Som ett resultat av detta visas filnamnet "RFQ-101432620247fl*U+202E*xslx.exe" för offret som "RFQ-101432620247flexe.xlsx", vilket lurar dem att tro att de öppnar ett Excel dokument.

Den körbara filen är utformad för att släppa totalt åtta nyttolaster, inklusive en excelfil ("20240416.xlsx") och ett kraftigt obfuskerat Visual Basic (VB) skript ("3156.vbs") som är ansvarigt för att visa XLSX filen till användaren att underhålla knep och starta två andra skript som heter "i4703.vbs" och "i6050.vbs."

Båda skripten används för att ställa in beständighet på Windows-värden med hjälp av en schemalagd uppgift genom att maskera dem som en uppdateringsuppgift för webbläsaren Google Chrome för att undvika att höja röda flaggor. Som sagt, de schemalagda uppgifterna är ordnade för att köra två unika VB skript som kallas "97468.tmp" och "68904.tmp" varje minut.

Vart och ett av dessa skript används i sin tur för att köra två olika PowerShell skript "Tmp912.tmp" och "Tmp703.tmp", som används för att ansluta till ett aktörskontrollerat Dropbox- och Google Drive konto och ladda ner ytterligare två PowerShell skript som refereras till. till som "tmpdbx.ps1" och "zz.ps1"

VB skripten konfigureras sedan för att köra de nyligen nedladdade PowerShell skripten och hämta fler filer från molntjänsterna, inklusive binärfiler som kan köras beroende på systempolicyerna.

"Det sena PowerShell skriptet zz.ps1 har funktionalitet för att ladda ner filer från Google Drive baserat på specifika kriterier och spara dem till en specificerad sökväg på det lokala systemet inuti ProgramData katalogen", säger forskarna.

Det faktum att båda PowerShell skripten laddas ner i farten innebär att de kan modifieras av hotaktörerna efter behag för att specificera vilka filer som kan laddas ner och köras på den komprometterade värden.

Också nedladdat via 68904.tmp finns ett annat PowerShell skript som kan hämta en komprimerad binär och köra den direkt från minnet för att upprätthålla en nätverksanslutning till angriparens kommando-och-kontroll-server (C2).

Det Texas-baserade cybersäkerhetsföretaget sa till The Hacker News att det inte kan ge information om målen och omfattningen av kampanjen på grund av att utredningen fortfarande pågår.

Utvecklingen är återigen ett tecken på att hotaktörer alltmer missbrukar legitima tjänster till sin fördel och flyger under radarn.

"Det här tillvägagångssättet följer en röd tråd där hotaktörer lyckas infektera och kvarstå på komprometterade system samtidigt som de bibehåller att smälta in i vanligt bakgrundsnätverksbrus," säger forskarna.

"Genom att bädda in skadliga skript i till synes ofarliga molnplattformar säkerställer skadlig programvara inte bara varaktig åtkomst till riktade miljöer utan använder också dessa plattformar som kanaler för dataexfiltrering och kommandoexekvering."

Microsoft släpper säkerhetsuppdateringar för Windows för maj 2024

 Microsoft har släppt säkerhetsuppdateringar för alla versioner som har stöd för Microsoft Windows operativsystem och andra företagsprodukter.

Denna översikt över säkerhetsuppdateringar ger systemadministratörer och hemanvändare information om de släppta korrigeringarna och ändringarna. Den belyser information om var och en av de Windows versioner som stöds, listar kända problem och ger vägledning om att ladda ner och installera uppdateringarna.

Microsoft Windows säkerhetsuppdateringar: maj 2024

Du kan ladda ner följande Excel kalkylblad för att få en lista över släppta uppdateringar. Klicka på följande länk för att ladda ner arkivet till den lokala enheten: Microsoft Windows säkerhetsuppdateringar maj 2024

Sammanfattning

• Microsoft släppte säkerhetskorrigeringar för 60 unika sårbarheter.
• Ingen kritiskt värderade säkerhetsproblem.
• Windows klienter med problem är: Windows 10 version 21H2 och 22H2, Windows 11 version 22H2 och 23H2.
• Windows Server klienter med problem: Windows Server 2008 och Windows Server 2022

Produktöversikt

Varje version av Windows som stöds och deras kritiska sårbarheter listas nedan.

• Windows 10 version 22H2: 42 sårbarheter, 0 kritiska, 41 viktiga och 1 måttlig
• Windows 11 version 22H2: 40 sårbarheter, 0 kritiska, 39 viktiga och 1 måttlig
• Windows 11 version 23H2: 40 sårbarheter, 0 kritiska, 39 viktiga och 1 måttlig

Windows Server produkter

• Windows Server 2008 R2 (endast utökat stöd): 22 sårbarheter: 0 kritiska, 21 viktiga och 1 måttlig
• Windows Server 2012 R2 (endast utökat stöd): sårbarheter: kritiska och viktiga
• okänd
• Windows Server 2016: 29 sårbarheter: 0 kritiska, 28 viktiga och 1 måttlig
• Windows Server 2019: 44 sårbarheter: 0 kritiska, 43 viktiga och 1 måttlig
• Windows Server 2022: 45 sårbarheter: 0 kritiska, 44 viktiga och 1 måttlig

Windows säkerhetsuppdateringar

Windows 10 version 22H2

• Supportsida: KB5037768

Uppdateringar och förbättringar:

• Lägger till Microsoft kontorelaterade meddelanden i Inställningar > Hem.
• Förbättrar tillförlitligheten och kvaliteten på widgets på låsskärmen.
• Förbättrar tillförlitligheten för Windows Search.
• Uppdateringsstorleken minskas med cirka 20 % tack vare ny teknik.
• Åtgärdar ett problem som kan påverka scenarier i Virtual Secure Mode (VSM).
• Fixat ett problem som kan påverka domänkontrollanter.
• Fixade ett stabilitetsproblem som påverkade vissa trådlösa hörlurar.
• Säkerhetsuppdateringar.
• Plus alla ändringar av uppdateringen för förhandsvisningen den 24 april.

Windows 11 version 22H2 och 23H2

Supportsida: KB5037771

Uppdateringar och förbättringar:

• Lade till programkampanjer i avsnittet Rekommenderade på startmenyn.
• Åtgärdar ett långsamt filöverföringsproblem som påverkar Server Message Block (SMB) klienter.
• Förbättrar kvaliteten på widgetikonen i aktivitetsfältet.
• Förbättrar tillförlitligheten för widgets på låsskärmen.
• Åtgärdar ett problem som kan påverka scenarier i Virtual Secure Mode (VSM).
• Fixat ett problem som kan påverka domänkontrollanter.
• Säkerhetsuppdateringar.
• Plus alla ändringar av förhandsgranskningsuppdateringen från april 2024.

Windows säkerhetsuppdateringar

2024-05 Kumulativ uppdatering för Windows 10 version 1507 (KB5037788)

2024-05 Kumulativ uppdatering för Microsofts serveroperativsystem version 21H2 för x64-baserade system (KB5037782)

2024-05 Kumulativ uppdatering för Windows 10 version 21H2 och Windows 10 version 22H2 (KB5037768)

2024-05 dynamisk kumulativ uppdatering för Windows 11 (KB5037770)

Server

2024-05 Security Monthly Quality Collup för Windows Server 2008 (KB5037800)

2024-05 Kvalitetsuppdatering endast för säkerhet för Windows Server 2008 (KB5037836)

2024-05 Security Monthly Quality Collup för Windows Embedded Standard 7 och Windows Server 2008 R2 (KB5037780)

2024-05 Kvalitetsuppdatering endast för säkerhet för Windows Embedded Standard 7 och Windows Server 2008 R2 (KB5037803)

2024-05 Security Monthly Quality Samlad för Windows Server 2012 (KB5037778)

2024-05 Security Monthly Quality Samlad för Windows Server 2012 R2 (KB5037823)

2024-05 Kumulativ uppdatering för Windows Server 2016 och Windows 10 version 1607 (KB5037763)

2024-05 Kumulativ uppdatering för Windows Server 2019 och Windows 10 version 1809 (KB5037765)

2024-05 Kumulativ säkerhet Hotpatch för Azure Stack HCI, version 21H2 och Windows Server 2022 Datacenter: Azure Edition för x64-baserade system (KB5037848)

Icke säkerhetsuppdateringar

2024-05 Uppdatering för Windows 10 version 22H2, Windows 10 version 21H2, Windows 10 version 21H1 och Windows 10 version 20H2 (KB5001716)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8.1 för Windows 10 version 22H2 och Windows 10 version 21H2 (KB5037587)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8.1 för Windows 11 (KB5037591)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8 för Windows 10 version 22H2 och Windows 10 version 21H2 (KB5037592)

2024-05 Kumulativ uppdatering för .NET Framework 4.8 för Windows Server 2016 och Windows 10 version 1607 (KB5037926)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8.1 för Microsofts serveroperativsystem, version 22H2 för x64 (KB5037929)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8 för Microsofts serveroperativsystem, version 22H2 för x64 (KB5037930)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8.1 för Windows 11 (KB5037931)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.7.2 för Windows Server 2019 och Windows 10 version 1809 (KB5037932)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8 för Windows Server 2019 och Windows 10 version 1809 (KB5037933)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8 för Windows 11 (KB5037934)

2024-05 Dynamisk uppdatering för Microsofts serveroperativsystem för x64-baserade system (KB5037958)

2024-05 Kumulativ uppdatering för .NET Framework 3.5 och 4.8.1 för Microsofts serveroperativsystem, version 23H2 för x64 (KB5038075)

2024-05 Kumulativ uppdatering för .NET Framework 3.5, 4.8 och 4.8.1 för Microsofts serveroperativsystem version 21H2 för x64 (KB5038282)

2024-05 Kumulativ uppdatering för .NET Framework 3.5, 4.7.2 och 4.8 för Windows Server 2019 och Windows 10 version 1809 (KB5038283)

2024-05 Kumulativ uppdatering för .NET Framework 3.5, 4.8 och 4.8.1 för Windows 10 version 21H2 (KB5038284)

2024-05 Kumulativ uppdatering för .NET Framework 3.5, 4.8 och 4.8.1 för Windows 10 version 22H2 (KB5038285)

2024-05 Kumulativ uppdatering för .NET Framework 3.5, 4.8 och 4.8.1 för Windows 11 (KB5038286)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 4.8 för Windows Embedded Standard 7 och Windows Server 2008 R2 (KB5037916)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 4.6.2 för Windows Embedded Standard 7, Windows Server 2008 R2 och Windows Server 2008 (KB5037917)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 4.8 för Windows Server 2012 för x64 (KB5037922)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 4.8 för Windows Server 2012 R2 för x64 (KB5037923)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 4.6.2, 4.7, 4.7.1, 4.7.2 för Windows Server 2012 för x64 (KB5037924)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 4.6.2, 4.7, 4.7.1, 4.7.2 för Windows Server 2012 R2 för x64 (KB5037925)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 3.5.1, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 för Windows Embedded Standard 7 och Windows Server 2008 R2 (KB5038288)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 för Windows Server 2012 (KB5038289)

2024-05 Samlad säkerhet och kvalitet för .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 för Windows Server 2012 R2 (KB5038290)m

2024-05 Samlad säkerhet och kvalitet för .NET Framework 2.0, 3.0, 3.5 SP1, 4.6.2 för Windows Server 2008 (KB5038291)

kända problem

Windows 10 version 22H2

Beskrivning: Efter installationen av uppdateringen kan användare kanske inte ändra sin profilbild på sitt konto.

Lösning: ingen tillgänglig för tillfället.

Beskrivning: Enheter som använder Microsoft Connected Cache (MCC) kan ladda ner uppdateringar eller appar från det offentliga Internet istället, om de använder DHCP Option 235 och har en nyligen installerad uppdatering.

Lösning: Konfigurera Microsoft Connected Cache-slutpunkt i DOCacheHost-policyn som anges i Cache-värdnamn. Dessutom måste DOCacheHostSource ställas in på 1 eller tas bort enligt vad som anges i Cache-värdnamnskällan. Som standard har policyerna DOCacheHost och DOCacheHostSource inget värde.

(GAMMAL) Beskrivning: Skrivbordsikoner kan flyttas oväntat mellan bildskärmar när Copilot används på mer än en bildskärm. Användare kan också uppleva "andra anpassningsproblem" enligt Microsoft.

Lösning: ingen. Microsoft kan inaktivera Copilot på enheter med flera bildskärmar.

(GAMMAL) Beskrivning: Copilot i Windows stöds inte om aktivitetsfältet är placerat vertikalt på höger eller vänster sida av skärmen.

Lösning: justera aktivitetsfältet horisontellt, antingen högst upp eller längst ned på skärmen.

Windows 11 version 22H2 och 23H2

Beskrivning: Efter installationen av uppdateringen kan användare kanske inte ändra sin profilbild på sitt konto.

Lösning: ingen tillgänglig för tillfället.

Säkerhetsrådgivning och uppdateringar

ADV 990001 -- Senaste uppdateringar av servicestapeln

Microsoft Office uppdateringar

Du hittar Office uppdateringsinformation här.

Hur man laddar ner och installerar säkerhetsuppdateringarna för maj 2024

De flesta icke hanterade Windows enheter får säkerhetsuppdateringar automatiskt. Administratörer kan påskynda installationen på följande sätt:

• Välj Start, skriv Windows Update och ladda Windows Update objektet som visas.
• Välj Sök efter uppdateringar för att köra en manuell sökning efter uppdateringar.

Ladda ner direktuppdateringar

Nedan finns resurssidor med direkta nedladdningslänkar, om du föredrar att ladda ner uppdateringarna för att installera dem manuellt.

Windows 10 version 22H2

• KB5037768 -- 2024-5 kumulativ uppdatering för Windows 10 version 21H2

Windows 11 version 22H2

• KB5037771 -- 2024-5 Kumulativ uppdatering för Windows 11 version 22H2

Windows 11 version 23H2

KB5037771 -- 2024-5 Kumulativ uppdatering för Windows 11 version 23H2

Additional resources

• May 2024 Security Updates release notes
• List of software updates for Microsoft products
• List of the latest Windows Updates and Services Packs
• Security Updates Guide
• Microsoft Update Catalog site
• Our in-depth Windows update guide
• How to install optional updates on Windows 10
• Windows 11 Update History
• Windows 10 Update History

Hackare använder alltmer Microsoft Graph API för skadlig programvara

 

Hackare använder alltmer Microsoft Graph API för skadlig programvara

Hotaktörer har i allt större utsträckning beväpnat sig med Microsoft Graph API för skadliga syften i syfte för att undvika upptäckt.

Detta görs för att "underlätta kommunikation med kommandon och kontroll (C&C) infrastruktur som är värd på Microsofts molntjänster", säger Symantec Threat Hunter Team, en del av Broadcom, i en rapport som delas med The Hacker News.

Sedan januari 2022 har flera nationalstatsanpassade hackningsgrupper observerats med hjälp av Microsoft Graph API för C&C. Detta inkluderar hotaktörer spårade som APT28, REF2924, Red Stinger, Flea, APT29 och OilRig.

Den första kända instansen av Microsoft Graph API innan dess bredare antagande går tillbaka till juni 2021 i samband med ett aktivitetskluster kallat Harvester som hittades med ett anpassat implantat känt som Graphon som använde API för att kommunicera med Microsofts infrastruktur.

Symantec säger att det nyligen upptäckte användningen av samma teknik mot en icke namngiven organisation i Ukraina, som involverade utplaceringen av en tidigare odokumenterad skadlig programvara som heter BirdyClient (aka OneDriveBirdyClient).

En DLL-fil med namnet "vxdiff.dll", vilket är samma som en legitim DLL associerad med en applikation som heter Apoint ("apoint.exe"), den är utformad för att ansluta till Microsoft Graph API och använda OneDrive som en C&C-server för att ladda upp och ladda ner filer från den.

Den exakta distributionsmetoden för DLL filen och om den innebär sidladdning av DLL, är för närvarande okänd. Det finns inte heller någon klarhet i vilka hotaktörerna är eller vilka deras slutliga mål är.

"Angripares kommunikation med C&C servrar kan ofta lyfta röda flaggor i riktade organisationer", säger Symantec. "Graph API:s popularitet bland angripare kan drivas av tron att trafik till kända enheter, som ofta använda molntjänster, är mindre benägna att väcka misstankar.

"Förutom att det verkar oansenligt är det också en billig och säker källa till infrastruktur för angripare eftersom grundläggande konton för tjänster som OneDrive är gratis."

Utvecklingen kommer när Permiso avslöjade hur cloud administration commands kunde utnyttjas av motståndare med privilegierad åtkomst för att utföra kommandon på virtuella maskiner.

"De flesta gånger utnyttjar angripare pålitliga relationer för att utföra kommandon i anslutna datorinstanser (VM) eller hybridmiljöer genom att äventyra externa externa leverantörer eller entreprenörer som har privilegierad tillgång att hantera interna molnbaserade miljöer," säger molnsäkerhetsföretaget.

"Genom att kompromissa med dessa externa enheter kan angripare få förhöjd åtkomst som gör att de kan utföra kommandon inom datorinstanser (VM) eller hybridmiljöer."