🌟 Atualização imperdível para quem gosta de estar bem informado!
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma falsa atualização de navegador veiculada por Wi-Fi de hotel sequestrado foi usada para fornecer CornFlake, um trojan de acesso remoto (RAT) que pode capturar imagens de webcam, áudio de microfone e pressionamentos de tecla, disse a Microsoft em seu último relatório.
Os pesquisadores rastreiam a operação como CaptiveCrunch e a atribuem ao Storm-2945. Ele avalia o Storm-2945 como um subgrupo operacional do Midnight Blizzard, também conhecido como APT29 e Cosy Bear. Os governos dos EUA e do Reino Unido atribuem o actor mais amplo ao Serviço de Inteligência Estrangeiro da Rússia (SVR).
Nas redes comprometidas que a ReliaQuest investigou, o gateway do portal cativo também serviu como resolvedor de DNS atribuído aos dispositivos conectados. O controle administrativo desse gateway permite que os invasores forjem respostas do Sistema de Nomes de Domínio (DNS) e redirecionem o tráfego resultante. Eles poderiam então redirecionar a verificação automática de conectividade de um laptop para um navegador falso ou atualização de sistema operacional.
Algumas páginas usam instruções ClickFix que instruem as vítimas a abrir um terminal ou outro utilitário do Windows e executar um comando fornecido pelo invasor. O gateway controla para onde o usuário é enviado, mas não infecta silenciosamente o endpoint. A vítima ainda precisa baixar ou executar a carga.
A Microsoft observou a manipulação do tráfego desde o início de maio em redes de hospitalidade em vários países, mas não nomeou um hotel, local ou fornecedor de portal cativo. A ReliaQuest recomenda uma rede privada virtual (VPN) sempre ativa e de túnel completo, que envia consultas DNS por meio de resolvedores corporativos antes que o gateway do local possa respondê-las.
Os pesquisadores aconselham os viajantes a usar conexões privadas e rejeitar atualizações de software, certificados, atualizações de navegador, ferramentas de solução de problemas ou utilitários de segurança oferecidos por meio de portais cativos.
Desde 16 de julho, algumas páginas iniciais do CaptiveCrunch redirecionaram os visitantes para o fluxo de autenticação de código do dispositivo da Microsoft. Inserir o código fornecido pelo invasor na página de login legítima da Microsoft pode conceder acesso satisfeito com a autenticação multifator (MFA) da sessão controlada pelo invasor. A Microsoft recomenda bloquear o fluxo através do Acesso Condicional sempre que não for necessário.
CornFlake, um implante baseado em Go, copia-se para %APPDATA%\svchost32\svchost32.exe e registra o serviço svchost32 sob o nome de exibição Cloud Sync Service. Uma falsa janela de progresso prende a atenção da vítima enquanto isso acontece.
A análise da Microsoft diz que o implante pode fazer capturas de tela acionadas por inatividade, gravar o conteúdo da área de transferência com o título da janela ativa, roubar cookies do navegador e senhas salvas, incluindo cookies protegidos pelo Chrome App-Bound Encryption, verificar mídia removível e abrir um shell remoto. Ele também usa uma chave Registry Run e uma tarefa agendada, enquanto um watchdog restaura qualquer mecanismo de persistência removido pelos defensores.
Os pesquisadores também identificaram o ChocoShell, um ladrão de PowerShell na memória. Ele coleta tokens de acesso e atualização do Microsoft 365 e do Azure Active Directory, além de tokens WAM (Web Account Manager), de arquivos .tbres no cache do Token Broker. Os tokens roubados podem permitir a reprodução da sessão sem um cookie do navegador.
Os relatórios documentam o redirecionamento ativo e a entrega de malware, mas não quantificam seu alcance ou conversão. Sem contagens de execuções bem-sucedidas, aprovações de códigos de dispositivos ou contas roubadas, o registro público não mostra com que frequência um redirecionamento se tornou um comprometimento.
A Microsoft encontrou equipamentos e sistemas de gerenciamento comuns nas redes afetadas, o que, segundo ela, poderia refletir o acesso a serviços compartilhados em partes do ecossistema do portal cativo. Nesse caso, os compromissos podem não ter sido isolados em locais individuais. A Microsoft não nomeou nenhum fornecedor afetado.
A ReliaQuest documentou os mesmos domínios que se faziam passar pela Microsoft e infraestrutura sobreposta oito dias antes. Ele disse que o tradecraft se assemelhava ao APT28, a unidade GRU também chamada de Fancy Bear e Forest Blizzard, mas não chegou a atribuir porque a avaliação se baseia na sobreposição do TTP, e não na ligação técnica direta.
A Microsoft reconhece a semelhança com o sequestro do roteador Forest Blizzard divulgado em abril, ao atribuir o CaptiveCrunch ao Storm-2945.
O Centro Nacional de Segurança Cibernética do Reino Unido e os seus parceiros internacionais avaliam que o APT29 faz quase certamente parte do Serviço de Inteligência Estrangeiro da Rússia. Essa atribuição governamental abrange o grupo mais amplo APT29. O link CaptiveCrunch-to-Storm-2945 continua sendo uma avaliação da Microsoft. Nenhum relatório técnico público separado corroborou isso de forma independente.
O vetor de compromisso inicial permanece sob investigação. A ReliaQuest avalia com confiança baixa a média que uma combinação de interfaces de gerenciamento expostas e credenciais de administrador fracas ou reutilizadas pode ter fornecido acesso, mas essas restrições de visibilidade impediram a confirmação.
Os pesquisadores rastreiam a operação como CaptiveCrunch e a atribuem ao Storm-2945. Ele avalia o Storm-2945 como um subgrupo operacional do Midnight Blizzard, também conhecido como APT29 e Cosy Bear. Os governos dos EUA e do Reino Unido atribuem o actor mais amplo ao Serviço de Inteligência Estrangeiro da Rússia (SVR).
Nas redes comprometidas que a ReliaQuest investigou, o gateway do portal cativo também serviu como resolvedor de DNS atribuído aos dispositivos conectados. O controle administrativo desse gateway permite que os invasores forjem respostas do Sistema de Nomes de Domínio (DNS) e redirecionem o tráfego resultante. Eles poderiam então redirecionar a verificação automática de conectividade de um laptop para um navegador falso ou atualização de sistema operacional.
Algumas páginas usam instruções ClickFix que instruem as vítimas a abrir um terminal ou outro utilitário do Windows e executar um comando fornecido pelo invasor. O gateway controla para onde o usuário é enviado, mas não infecta silenciosamente o endpoint. A vítima ainda precisa baixar ou executar a carga.
A Microsoft observou a manipulação do tráfego desde o início de maio em redes de hospitalidade em vários países, mas não nomeou um hotel, local ou fornecedor de portal cativo. A ReliaQuest recomenda uma rede privada virtual (VPN) sempre ativa e de túnel completo, que envia consultas DNS por meio de resolvedores corporativos antes que o gateway do local possa respondê-las.
Os pesquisadores aconselham os viajantes a usar conexões privadas e rejeitar atualizações de software, certificados, atualizações de navegador, ferramentas de solução de problemas ou utilitários de segurança oferecidos por meio de portais cativos.
Desde 16 de julho, algumas páginas iniciais do CaptiveCrunch redirecionaram os visitantes para o fluxo de autenticação de código do dispositivo da Microsoft. Inserir o código fornecido pelo invasor na página de login legítima da Microsoft pode conceder acesso satisfeito com a autenticação multifator (MFA) da sessão controlada pelo invasor. A Microsoft recomenda bloquear o fluxo através do Acesso Condicional sempre que não for necessário.
CornFlake, um implante baseado em Go, copia-se para %APPDATA%\svchost32\svchost32.exe e registra o serviço svchost32 sob o nome de exibição Cloud Sync Service. Uma falsa janela de progresso prende a atenção da vítima enquanto isso acontece.
A análise da Microsoft diz que o implante pode fazer capturas de tela acionadas por inatividade, gravar o conteúdo da área de transferência com o título da janela ativa, roubar cookies do navegador e senhas salvas, incluindo cookies protegidos pelo Chrome App-Bound Encryption, verificar mídia removível e abrir um shell remoto. Ele também usa uma chave Registry Run e uma tarefa agendada, enquanto um watchdog restaura qualquer mecanismo de persistência removido pelos defensores.
Os pesquisadores também identificaram o ChocoShell, um ladrão de PowerShell na memória. Ele coleta tokens de acesso e atualização do Microsoft 365 e do Azure Active Directory, além de tokens WAM (Web Account Manager), de arquivos .tbres no cache do Token Broker. Os tokens roubados podem permitir a reprodução da sessão sem um cookie do navegador.
Os relatórios documentam o redirecionamento ativo e a entrega de malware, mas não quantificam seu alcance ou conversão. Sem contagens de execuções bem-sucedidas, aprovações de códigos de dispositivos ou contas roubadas, o registro público não mostra com que frequência um redirecionamento se tornou um comprometimento.
A Microsoft encontrou equipamentos e sistemas de gerenciamento comuns nas redes afetadas, o que, segundo ela, poderia refletir o acesso a serviços compartilhados em partes do ecossistema do portal cativo. Nesse caso, os compromissos podem não ter sido isolados em locais individuais. A Microsoft não nomeou nenhum fornecedor afetado.
A ReliaQuest documentou os mesmos domínios que se faziam passar pela Microsoft e infraestrutura sobreposta oito dias antes. Ele disse que o tradecraft se assemelhava ao APT28, a unidade GRU também chamada de Fancy Bear e Forest Blizzard, mas não chegou a atribuir porque a avaliação se baseia na sobreposição do TTP, e não na ligação técnica direta.
A Microsoft reconhece a semelhança com o sequestro do roteador Forest Blizzard divulgado em abril, ao atribuir o CaptiveCrunch ao Storm-2945.
O Centro Nacional de Segurança Cibernética do Reino Unido e os seus parceiros internacionais avaliam que o APT29 faz quase certamente parte do Serviço de Inteligência Estrangeiro da Rússia. Essa atribuição governamental abrange o grupo mais amplo APT29. O link CaptiveCrunch-to-Storm-2945 continua sendo uma avaliação da Microsoft. Nenhum relatório técnico público separado corroborou isso de forma independente.
O vetor de compromisso inicial permanece sob investigação. A ReliaQuest avalia com confiança baixa a média que uma combinação de interfaces de gerenciamento expostas e credenciais de administrador fracas ou reutilizadas pode ter fornecido acesso, mas essas restrições de visibilidade impediram a confirmação.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #wifi #de #hotel #sequestrado #envia #atualizações #falsas #para #fornecer #malware #de #vigilância
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário