Casio bekräftar att kunddata stulits i en ransomware attack

Casio bekräftar att kunddata stulits i en ransomware attack

Attacken avslöjades i måndags när Casio varnade för att det stod inför systemavbrott och serviceavbrott på grund av obehörig åtkomst till dess nätverk under helgen. I går tog Underground ransomware  gruppen på sig ansvaret för attacken och läckte ut olika dokument som påstås ha stulits från den japanska teknikjättens system.

Google varnar - uBlock Origin och andra tillägg kan snart inaktiveras

Google varnar - uBlock Origin och andra tillägg kan snart inaktiveras

Googles Chrome Web Store varnar nu för att annonsblockeraren uBlock Origin och andra tillägg snart kan blockeras som en del av företagets utfasning av tilläggsspecifikationen Manifest V2.

En anledning till varför du aldrig ska klicka på annonser för att ladda ner programvara

 

Föreställ dig följande scenario, du vill ladda ner Google Authenticator, du kör en sökning på Google efter företagets applikation och klicka på den första länken som visas.

Länken ser bra ut även om den är listad som sponsrad, den visar Googles officiella webbplats som URL. När du kontrollerar annonsören, vilket du kan på Google Sök, får du en bekräftelse på att Google har verifierat annonsörens identitet.

Allt bra då? Inte i det ovannämnda fallet, om du skulle ha laddat ner den länkade appen skulle du ha installerat Authenticator-program som är infekterat med skadlig programvara på din enhet. Applikationen, som till och med kom med en giltig signatur enligt rapporter, installerade DeerStealer informationsstjäl skadlig programvara på Windows enheter.

Inte det första fallet, förmodligen inte det sista

Hotaktörer har lyckats övervinna säkerhetssystemen hos reklamföretag som Google flera gånger tidigare för att plantera skadliga annonser på Google Sök och på andra ställen.

Bara förra året rapporterades det att skadlig programvara distribuerades via Google Ads i en alarmerande takt. Situationen har inte förbättrats.

Dessa är ofta gjorda för att se ut som den legitima produkten och det är mycket svårt för användaren att avgöra att de inte är det.

I ovanstående fall kollades allt som såg bra ut vid första anblicken:

• Rätt Google Domain listad.
• Google har verifierat annonsören.
• Appen är signerad.

Bleeping Computer frågade Google om att utge sig för legitima företag och personer och Google uppgav att hotaktörer undviker upptäckt genom att skapa tusentals konton samtidigt och använda textmanipulation och cloaking för att visa granskare och automatiserade system andra webbplatser än en vanlig besökare skulle se.

Med andra ord, Google erkänner att det inte kan skydda användare från skadliga annonser 100 % av tiden. Även om det skryter om att det har tagit bort "3,4 miljarder annonser" och stängt av "5,6 miljoner annonsörskonton" 2023, har det fortfarande inte hittat ett sätt att upptäcka alla skadliga annonser och annonsörer på Google Sök.

Sponsrade länkar är inte att lita på

Alla länkar i Sök som är listade som sponsrade eller en annons ska inte litas på, särskilt inte när det gäller att ladda ner programvara eller göra finansiella transaktioner. Detta är den enda konsekvensen som användare bör dra av det påståendet.

Hotaktörer har missbrukat sökannonser för många gånger för att göra dem betrodda. Vanligtvis är det bara att scrolla ner lite mer tills du hittar de första organiska sökresultaten. Där bör du hitta produktens officiella webbplatslista.

Ny PHP sårbarhet utsätter Windows servrar för fjärrkodexekvering

 

Ny PHP sårbarhet utsätter Windows servrar för fjärrkodexekvering

Detaljer har dykt upp om ett nytt kritiskt säkerhetsbrist som påverkar PHP som kan utnyttjas för att få fjärrkörning av kod under vissa omständigheter.

Sårbarheten, spårad som CVE-2024-4577, har beskrivits som en CGI argumentinjektion sårbarhet som påverkar alla versioner av PHP installerade på Windows operativsystemet.

Enligt DEVCOREs säkerhetsforskare gör bristen det möjligt att kringgå skydd som införts för ett annat säkerhetsfel, CVE-2012-1823.

"Medan dom implementerade PHP märkte teamet inte funktionen Best-Fit med kodningskonvertering i Windows operativsystemet", säger säkerhetsforskaren Orange Tsai.

"Detta förbiseende tillåter oautentiserade angripare att kringgå det tidigare skyddet av CVE-2012-1823 med specifika teckensekvenser. Godtycklig kod kan exekveras på fjärranslutna PHP servrar genom argumentinjektions attacken."

Efter avslöjandet den 7 maj 2024 har en korrigering för sårbarheten gjorts tillgänglig i PHP versionerna 8.3.8, 8.2.20 och 8.1.29.

DEVCORE har varnat för att alla XAMPP installationer på Windows är sårbara som standard när de är konfigurerade för att använda lokalerna för traditionell kinesiska, förenklad kinesiska eller japanska.

Det taiwanesiska företaget rekommenderar också att administratörer går bort från det föråldrade PHP CGI helt och hållet och väljer en säkrare lösning som Mod-PHP, FastCGI eller PHP-FPM.

"Den här sårbarheten är otroligt enkel, men det är också det som gör den intressant", sa Tsai. "Vem skulle ha trott att en patch, som har granskats och visat sig vara säker under de senaste 12 åren, kunde kringgås på grund av en mindre Windows funktion?"

Shadowserver Foundation, i ett inlägg som delas på X, säger att de redan har upptäckt exploateringsförsök som involverar felet mot sina honeypot servrar inom 24 timmar efter offentliggörandet.

watchTowr Labs sa att det kunde skapa en exploatering för CVE-2024-4577 och uppnå fjärrkörning av kod, vilket gör det absolut nödvändigt att användarna rör sig snabbt för att applicera de senaste patcharna.

"En otäck bugg med en mycket enkel exploatering," säger säkerhetsforskaren Aliz Hammond.

"Dom som kör i en påverkad konfiguration under en av de drabbade lokalerna – kinesiska (förenklad eller traditionell) eller japanska – uppmanas att göra detta så snabbt som humant möjligt, eftersom buggen har stor chans att exploateras i massa pga. den låga exploateringskomplexiteten."

Oracle WebLogic Server OS Command Injection Flaw Under Aktiv attack

 

U.S.C. Cybersecurity and Infrastructure Security Agency (CISA) lade på torsdagen till en säkerhetsbrist som påverkar Oracle WebLogic Server till katalogen Known Exploited Vulnerabilities (KEV), med hänvisning till bevis på aktivt utnyttjande.

Spåras som CVE-2017-3506 (CVSS poäng: 7,4), problemet gäller en sårbarhet för kommandoinjektion av operativsystem (OS) som kan utnyttjas för att få obehörig åtkomst till mottagliga servrar och ta fullständig kontroll.

"Oracle WebLogic Server, en produkt inom Fusion Middleware sviten, innehåller en sårbarhet för OS kommandoinjektion som gör att en angripare kan exekvera godtycklig kod via en specialgjord HTTP förfrågan som inkluderar ett skadligt XML dokument," säger CISA.

Även om byrån inte avslöjade arten av attacker som utnyttjar sårbarheten, har den Kina baserade krypto jackningsgruppen känd som 8220 Gang (alias Water Sigbin) en historia av att utnyttja den sedan början av förra året för att samordna oparpade enheter till en crypto-mining botnet.

Enligt en nyligen publicerad rapport publicerad av Trend Micro har 8220 Gang observerats som weaponizing flaws i Oracle WebLogic servern (CVE-2017-3506 och CVE-2023-21839) för att starta en cryptocurrency miner fillöst i minnet med hjälp av ett skal eller PowerShell skript beroende på vilket operativsystem som det är inriktat på.

"Gänget använde fördunklingstekniker, såsom hexadecimal kodning av URL:er och användning av HTTP över port 443, vilket möjliggör smyg leverans av nyttolast," säger säkerhetsforskaren Sunil Bharti. "PowerShell skriptet och den resulterande batchfilen involverade komplex kodning, med användning av miljövariabler för att dölja skadlig kod i till synes godartade skriptkomponenter."

I ljuset av det aktiva utnyttjandet av CVE-2017-3506, rekommenderas federala myndigheter att tillämpa de senaste korrigeringarna senast den 24 juni 2024, för att skydda sina nätverk mot potentiella hot.