Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

Вышел официальный пост о причинах BSODStrike

2 комментария

Вышел официальный пост о причинах BSODStrike

Вышел официальный пост о причинах BSODStrike.

🔻 Хосты ломало обновление Rapid Response Content. Это интерпретируемый бинарь с конфигурационными данными ("поведенческими эвристиками"). Это не код и не драйвер ядра. Эти обновления инициировал сам вендор "at operational speed".

🔻 В посте масса подробностей по устройству CrowdStrike Falcon. Суть же в том, что при подготовке контента валидатор работал неправильно: "Due to a bug in the Content Validator, one of the two Template Instances passed validation despite containing problematic content data." При интерпретации контента на хосте возникала ошибка out-of-bounds memory read и BSOD.

🔻 Обновление катали 19 июля с 04:09 UTC по 05:27 UTC на Windows хосты с сенсорами версии 7.11, которые были в онлайне.

В общем, всё как в моих предыдущих постах про вендоров облачных сервисов и безусловное доверие к обновлениям контента. Вендор пушил обновление контента из облака по собственному усмотрению и умудрился ушатать хосты. 🤷‍♂️

Про уязвимость Jetpack Navigation

Добавить комментарий

Про уязвимость Jetpack Navigation

Про уязвимость Jetpack Navigation. В марте мои коллеги из PT SWARM выложили ресёрч по уязвимости Android Jetpack Navigation, которая позволяет открыть произвольный экран внутри приложения, в том числе в обход экрана аутентификации. 😨 Google уязвимость не признали (поэтому CVE нет 🤷‍♂️) и ограничились рекомендациями в документации. 😏

📃 Вчера команда экспертов из Стингрей презентовала на Хабре подробный обзор этой уязвимости с примерами и демонстрациями. 👍

📊 Кроме того, они проверили 1000 приложений разных категорий из публичных магазинов и выяснили, что 21% из них используют библиотеку Jetpack Navigation и могут быть уязвимы. Подробную статистику отдают на сайте.

Хороший повод поинтересоваться у ваших разрабов мобильных приложений под Android используют ли они Jetpack Navigation и знают ли об этой уязвимости. 😉

Заодно подпишитесь на ТГ канал Mobile AppSec World - лучший канал по мобильному аппесеку от Юры Шабалина и команды Стингрей.

"Загадка Дыры": Remote Code Execution - Internet Explorer (CVE-2012-4792)

Добавить комментарий

Загадка Дыры: Remote Code Execution - Internet Explorer (CVE-2012-4792)

"Загадка Дыры": Remote Code Execution - Internet Explorer (CVE-2012-4792). Вчера в CISA KEV добавили старую уязвимость "CDwnBindInfo" из 2012 года: пользователь открывает в MS Internet Explorer 6–8 зловредный вебсайт и злоумышленник получает RCE на его хосте. Уязвимость активно эксплуатировалась с конца 2012 года как 0day в watering hole атаках на организации США. В частности, зловредный код размещали на взломанном сайте Council on Foreign Relations (CFR).

Почему уязвимость добавили в CISA KEV только сейчас?

🔹 Обнаружили новые атаки с использованием этой уязвимости на legacy системы, для которых выпускали патчи (Win XP/Vista/7, WinServer 2003/2008)? 🤪 Вряд ли.

🔹 Для проформы: увидели уязвимость с подтверждёнными инцидентами, а в CISA KEV её нет, вот и добавили? Вероятнее, но почему только её? 🧐

🔹 В аудитах нашли уязвимые легаси-системы и не было формального предлога для их срочного обновления? Странновато. 🤷‍♂️

Будем наблюдать. 🙂

Об уязвимости "EvilVideo" в Telegram for Android

Добавить комментарий

Об уязвимости EvilVideo в Telegram for Android

Об уязвимости "EvilVideo" в Telegram for Android. Пост вышел в блоге компании ESET. Они сообщают, что эксплоит для уязвимости продаётся в даркнете.

🔻 Злоумышленник создаёт payload, который отображается в Telegram for Android не как файл, а как превьюшка видео. По умолчанию медиафайлы в Telegram скачиваются автоматически, когда пользователь видит сообщение в чате. Этот payload также скачается.
Если пользователь жмёт на превьюшку, ему показывается ошибка Telegram с предложением использовать внешний медиа плеер.
Если пользователь соглашается, идёт попытка поставить APK.
Если пользователь разрешает установку APK из Telegram и ещё раз кликает на превьюшку, высвечивается окошко об установке приложения.
Если пользователь жмёт install, то получает зловреда. 👾
🎞 Есть видео демонстрация.

🔻 Уязвимость исправили в версии 10.14.5, все версии старше уязвимы.

Это далеко не 0click, но при грамотной социалке (превьюшка, название APK приложения и т.п.), эффективность может быть высокой.

Ещё одним аспектом инцидента с CrowdStrike является то, что Windows хосты сломало не функциональное обновление агента, а обновление "контента обнаружения"

1 комментарий

Ещё одним аспектом инцидента с CrowdStrike является то, что Windows хосты сломало не функциональное обновление агента, а обновление контента обнаружения

Ещё одним аспектом инцидента с CrowdStrike является то, что Windows хосты сломало не функциональное обновление агента, а обновление "контента обнаружения". Дальше процитирую блогпост Алексея Лукацкого про CrowdStike (весьма годный 👍):

"Да и вообще, признайтесь, кто из вас проверяет прилетающий контент обнаружения в любом из ваших средств защиты — антивирусу, EDR, IDS, WAF, NGFW, SIEM, NTA, XDR?.. Ведь никто же!"

Я бы ещё и VM сюда добавил до кучи. 😉

И это беда. Почему-то считается, что "контенту обнаружения", который зачастую представляет собой те же мутные бинари, можно слепо доверять и автоматом пробрасывать его на хосты. BSODStrike показал к чему это может привести.

Имхо, необходимо разбираться, что же это за "контент обнаружения" такой и, при любой непрозрачности, также прогонять его на тестовом скоупе. А как иначе, если они и контентом хосты ушатывают. 🤷‍♂️🤦‍♂️ А на убеждения вендоров, что у них всё "просчитано до муллиметра", вестись не следует.

Компрометация ИБ вендора облачного продукта с агентами в контексте инцидента с CrowdStrike

2 комментария

Компрометация ИБ вендора облачного продукта с агентами в контексте инцидента с CrowdStrike

Компрометация ИБ вендора облачного продукта с агентами в контексте инцидента с CrowdStrike. Продолжаю размышлять о преимуществах онпрема.

🔹 Взлом вендора облачного ИБ продукта с агентами - джекпот для злоумышленника. 🎰 Доступ в инфру всех клиентов в реальном времени. 😱 BSODStrike продемонстрировал насколько быстро может быть нанесён ущерб и насколько массово (8.5 млн. Windows хостов по оценке Microsoft). Это не будет просто BSOD и блокировка загрузки, тривиально исправляемые. В лучшем случае там будет слив данных и wipe/шифровальщик, а скорее будет развитие атаки и компрометация всей инфраструктуры клиентов.

🔹 Если же вендора онпрем-продукта сломают, то это только начало квеста по незаметному внедрению НДВ в обновление продукта, которое клиент должен ещё установить. И тогда злодей попробует скомпрометировать некоторых клиентов пока это всё не вскроется. Возможно ли это? Конечно. Но это будет гораздо дольше, сложнее (дороже), точечнее, а вероятность успеха будет ниже. 🤷‍♂️

Контроль над обновлением on-prem продуктов в контексте инцидента с CrowdStrike

4 комментария

Контроль над обновлением on-prem продуктов в контексте инцидента с CrowdStrike

Контроль над обновлением on-prem продуктов в контексте инцидента с CrowdStrike. В комментах к посту про переосмысление облачных агентов Алексей Лукацкий спрашивает: "а причем тут облачные агенты? У онпрем такого не может случиться?"

Я вижу 2 момента. Начнём с контроля над обновлением.

Если решение о функциональном обновлении компонентов продукта (включая агенты) принимает клиент и у него есть возможность протестировать новую версию, то в случае проблемы с агентом а-ля BSODStrike:

🔹 Её можно было бы обнаружить во время раскатки агентов на тестовой группе активов. 👷‍♂️

🔹 Её можно было бы переждать, если не обновляться сразу, а посмотреть недельку не всплывёт ли что-нибудь в других компаниях. 😏

Но это только если контроль над обновлением продукта со стороны клиента предусмотрен и выполняется. Если же в настройках продукта стоит галка "устанавливать все обновления автоматически" и "обновлять все агенты автоматически", то тогда здесь преимуществ онпрема не будет. 🤷‍♂️

Далее