☠️ Развал MITRE, парад уязвимостей и новости APT за неделю

😶 Без лишнего шума в MITRE уволили руководство проектов CTID и ATT&CK EVALS. Это, как и череда проблем с NVD, создаёт определённую пустоту в сфере широко признанной и практически применимой стандартизации киберзащиты.

👾 Сразу несколько ИБ-компаний опубликовали исследования по пересекающимся, но разным кампаниям, использующим BYOVD для отключения СЗИ: наш отчёт по AV-Killer, тот же драйвер плюс ещё один в атаках Akira, ещё драйверы в атаках 8 группировок (IoC на гихабе). Некоторые из этих вредоносных активностей развиваются после эксплуатации дефекта в железках SonicWall. Кстати, вендор заявляет, что это не зиродей, а не полностью проведённое клиентами устранение прошлогоднего дефекта.

😎 Поскольку неделя прошла под знаком BlackHat и DEF CON, то в новостях ИБ доминируют резонансные исследования уязвимостей:

🟢Критический дефект в гибридных инсталляциях Exchange, CVE-2025-53786, позволяет полностью скомпрометировать домен организации. Хотя Microsoft по сути устранила дефект ещё в апреле, в честь публикации исследования ему назначили CVE ID. Бюллетень CISA велит устранить уязвимость за четыре для или отключить устаревшие серверы Exchange от сети. По данным Shadowserver дефекту подвержено почти 30 тысяч серверов.

🟢Уязвимость класса HTTP desync (она же HTTP smuggling) была обнаружена в нескольких крупных CDN, включая Akmai и Cloudflare, и могла приводить к угону пользовательских сессий, размещению вредоносных страниц в кэше CDN и другим неприятностям. CVE-2025-32094 является скорее фундаментальным дефектом протокола, чем ошибкой реализации, поэтому авторы призывают поскорее перейти к HTTP/2.

🟢Ещё один зиродей в WinRAR, CVE-2025-8088, использовался в атаках на российские организации.

🟢Настраивать OAuth в Entra так непросто, что даже Microsoft не может это сделать нормально. Исследователь смог получить доступ к 20 внутренним сервисам Редмонда, включая саму платформу баг баунти. Редмонд щедро заплатил за это $0.

🟢Уязвимость в некоторых веб-камерах, основанных на ядре Linux, например Lenovo, позволяет прошивать их неподписанными образами и использовать для атак BadUSB. Дефект под названием Badcam можно эксплуатировать и локально, и дистанционно, авторы видят его пользу для злоумышленников в организации закрепления в системе.

🟡Новые атаки APT-C-09 на военные и телеком-организации Пакистана.

👮‍♀️ Стилер Efimer нацелен на кражу криптовалюты но, что более интересно, обладает дополнительной функциональностью, помогающей злоумышленникам распространять его дальше через взлом WordPress-сайтов и размещение на них вредоносных файлов.

❔ Экспресс-редтим набег на свежую GPT-5 показал существенный регресс по линии ИБ: модель гораздо легче подвергнуть джейлбрейку, легче сбить с темы разговора, легче убедить её выдать опасную информацию.
Кстати, NIST передумал публиковать отчёт с 139 методами эффективного взлома ИИ-моделей.

#APT #дайджест @П2Т

Вот и настал день, которого так ждал Геннадий.

А вот и заветная ссылка на Kaspersky NGFW!
#NGFW @П2Т

Злоумышленники систематически используют технику BYOVD, чтобы повысить привилегии на поражённых системах и отключить СЗИ. В свежем случае, описанном нашей командой реагирования на инциденты, атакующие применили драйвер ThrottleStop.sys, являющийся частью ПО с характерным названием AV Killer, в результате чего смогли развернуть в одной бразильской организации шифровальщик MedusaLocker. Кроме Бразилии, судя по нашей телеметрии и открытым источникам TI, этот вредоносный инструмент применяется в России, Беларуси, Казахстане, Украине.

Конечно, у топовых решений endpoint security есть самозащита, но по-хорошему до запуска AV Killer можно не доводить. В данном инциденте атакующие сначала поразили почтовый сервер при помощи брутфорса RDP, а потом получили новые учётные данные через Mimikatz и атаковали другие хосты при помощи техники pass-the-hash. Защититься от этого способа развития атаки можно на нескольких уровнях:

🔵строгое ограничение доступа к RDP;
🔵парольные политики, исключающие брутфорс;
🔵обязательная MFA, особенно в каналах удалённого доступа;
🔵сегментация сети;
🔵использование на хостах allowlist разрешённых приложений;
🔵применение в инфраструктуре принципа наименьших привилегий;
🔵применение EDR на хостах и IDS/IPS в сети.

Решения «Лаборатории Касперского», в частности Kaspersky Endpoint Security, содержат механизмы самозащиты, которые предотвращают манипуляции с СЗИ на жестком диске, в реестре и в памяти. Они успешно блокируют действия инструментов типа AV Killer. Но многие ИБ-продукты, которые пытается отключать это ВПО, такой самозащиты не имеют.

Полный разбор ВПО, IoC и Yara-правила — в статье на Securelist.

#APT @П2Т

100 моделей ноутбуков Dell содержат уязвимости в аппаратном модуле безопасности Dell ControlVault, который хранит криптографический материал и биометрические данные, а также взаимодействует с устройствами многофакторной аутентификации — сканером отпечатков пальцев, считывателем смарт-карт и NFC. Пять уязвимостей в CV (CVE-2025-24311, -25050, -25215, -24922, -24919) названы исследователями ReVault и содержатся как в прошивке, так и в драйверах Windows.

После эксплуатации цепочки уязвимостей атакующий может выполнить произвольный код в ControlVault, причём для этого есть два разных способа — запустив ВПО с правами пользователя, либо вскрыв корпус и подключившись к модулю физически, по USB. Таким образом, возможны как дистанционная атака на запущенный и работающий компьютер, так и проделки злой горничной и результативная атака на отключённый ноутбук с зашифрованным диском.

Атакующий может извлечь из CV криптографические ключи и использовать их для перепрошивки ноутбука, получив в своё распоряжение трудноудаляемый буткит.

Для предотвращения атак потребуется обновить прошивку и драйверы.
В качестве дополнительных мер защиты рекомендуется включить в настройках ноутбука детектирование вскрытия (chassis intrusion). Если в организации не используются смарт-карты и биометрическая аутентификация на оборудовании Dell, можно целиком отключить службы ControlVault через диспетчер служб Windows или само устройство в диспетчере устройств.

#уязвимости @П2Т