CISA отметила уязвимость инъекции команд (CVE-2024-12686) в системах Privileged Remote Access (PRA) и Remote Support (RS) компании BeyondTrust как активно используемую в атаках.
В соответствии с обязательной оперативной директивой (BOD) 22-01, после добавления уязвимости в каталог известных эксплуатируемых уязвимостей CISA федеральные агентства США должны в течение трех недель до 3 февраля обеспечить защиту своих сетей от атак, направленных на эту уязвимость.
19 декабря американское агентство по кибербезопасности также добавило критическую ошибку безопасности инъекции команд (CVE-2024-12356) в те же программные продукты BeyondTrust.
BeyondTrust обнаружила обе уязвимости в ходе расследования взлома некоторых экземпляров SaaS-системы удаленной поддержки в начале декабря. Злоумышленники похитили API-ключ, который впоследствии использовали для сброса паролей для учетных записей локальных приложений.
Хотя в декабрьском сообщении BeyondTrust не было прямого упоминания об этом, угрожающие лица, вероятно, использовали эти два дефекта в качестве «нулевых дней» для взлома систем BeyondTrust, чтобы добраться до ее клиентов.
В начале января Министерство финансов США сообщило, что его сеть была взломана злоумышленниками, которые использовали украденный ключ API Remote Support SaaS для взлома экземпляра BeyondTrust, используемого агентством.
С тех пор атаку связывают с китайскими государственными хакерами, известными как Silk Typhoon. Эта группа кибершпионов, известная своими атаками с целью разведки и кражи данных, получила широкую известность после того, как в начале 2021 года взломала примерно 68 500 серверов с помощью «нулевых дней» Microsoft Exchange Server ProxyLogon.
Угрозы были направлены на Управление по контролю за иностранными активами (OFAC), которое управляет программами торговых и экономических санкций, и Комитет по иностранным инвестициям в США (CFIUS), который проверяет иностранные инвестиции на предмет рисков для национальной безопасности.
Они также взломали системы Управления финансовых исследований Казначейства, но последствия этого инцидента пока оцениваются. Предполагается, что Silk Typhoon использовал украденный цифровой ключ BeyondTrust для доступа к «несекретной информации, касающейся потенциальных санкций и других документов».
BeyondTrust заявляет, что она применила исправления безопасности для дефектов CVE-2024-12686 и CVE-2024-12356 на всех облачных инстансах. Однако тем, кто работает с самодостаточными инстансами, придется устанавливать патчи вручную.
Компания еще не отметила эти две уязвимости как активно эксплуатируемые в рекомендациях по безопасности, выпущенных в прошлом месяце.
Разработчики Path of Exile 2 подтвердили, что взломанная учетная запись администратора позволила угрожающему субъекту сменить пароль и получить доступ как минимум к 66 аккаунтам, что окончательно объясняет, каким образом учетные записи PoE 2 были взломаны с ноября.
Недавно компания Apple устранила уязвимость в macOS, позволяющую злоумышленникам обойти защиту целостности системы (SIP) и установить вредоносные драйверы ядра путем загрузки сторонних расширений ядра.
Угрожающие лица используют новую тактику под названием «подмена симуляции транзакций» для кражи криптовалют. В результате одной из атак удалось похитить 143,45 Ethereum на сумму около $460 000.