Сегодня в подборке новостей Jet CSIRT — устранение уязвимостей в продуктах Azure и HP, а также новый вредонос NetDooka. ТОП-3 собрала Анна Мельникова, специалист центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».
Подробнее читайте под катом.
Microsoft устранила уязвимость в продуктах Azure
4 января 2022 года исследователи Orca Security обнаружили уязвимость в Azure Synapse и Azure Data Factory, связанную с драйвером ODBC Magnitude Simba Amazon Redshift. Уязвимость SynLapse получила номер CVE-2022-29972 (оценка CVSS — 8,2). С её помощью злоумышленник может получить доступ к рабочей среде других арендаторов, а также к конфиденциальным данным, находящимся в службе, включая ключи Azure, токены API и пароли к другим службам. Обновление затрудняет использование уязвимости, однако исследователи утверждают, что проблемы с разделением арендаторов ещё существуют.
Вредонос NetDooka распространяется как часть Pay-Per-Install сервиса
Новый вредоносный фреймворк, известный как NetDooka, распространяется через PrivateLoader и позволяет злоумышленникам получить полный доступ к заражённому устройству. ПО включает в себя загрузчик, дроппер, драйвер защиты и мощный RAT-компонент, использующий кастомный сетевой протокол для связи С2-серверов. RAT поддерживает ряд таких функций, как регистрация нажатий клавиш, выполнение команд, выполнение действий с файлами, использование ресурсов хоста для DDoS-атак и выполнение операций удалённого рабочего стола. Первые образцы NetDooka были обнаружены исследователями TrendMicro, которые предупредили, что, несмотря на то, что инструмент всё еще находится на ранней стадии разработки, он уже очень эффективен и готов к масштабному развёртыванию.
Исправлены критические уязвимости в продуктах HP
Компания HP выпустила обновления, устраняющие две критические уязвимости CVE-2021-3808 и CVE-2021-3809 с оценкой 8,8 по системе CVSS 3.1. Исследователь Николас Старке обнаружил ошибки ещё в ноябре 2021 года. Для их эксплуатации злоумышленник должен перезаписать значение функции LocateProtocol, обладая привилегиями уровня root/SYSTEM (CPL == 0) в системе жертвы. Конечной целью атаки является добавление произвольного кода в BIOS (микропрограмма UEFI), что даёт хакеру полный контроль над целевым узлом.