В поставляемом в комплекте с Windows 10 текстовом редакторе WordPad обнаружена уязвимость, которая эксплуатируется киберпреступниками для распространения вируса Qbot. Об этом сообщил один из экспертов сообщества Cryptolaemus.

Источник изображения: Gerd Altmann / pixabay.com

WordPad при запуске производит поиск файлов DLL, необходимых ему для корректной работы. Их поиск он начинает с папки, в которой расположен исполняемый файл программы, и при обнаружении они автоматически запускаются, даже если являются вредоносными. Такой способ атаки называется «подгрузкой» или «перехватом» DLL — практика достаточно известная и распространённая: ранее злоумышленники аналогичным образом эксплуатировали уязвимость «Калькулятора» в Windows.

Когда WordPad запускает вредоносный DLL-файл, тот, в свою очередь, обращается к исполняемому Curl.exe из папки System32 — последний же используется для загрузки выдающего себя за изображение формата PNG вредоносного файла DLL. Этот DLL на самом деле оказывается старым трояном Qbot, который производит перехват электронных писем, помогает злоумышленникам в организации фишинговых атак и инициирует загрузку других вирусов, например, Cobalt Strike.

Опасность этого метода для пользователей состоит в том, что он использует ресурсы легитимной программы WordPad — есть риск, что антивирус на неё не отреагирует, и атака пройдёт незамеченной. Ещё одним звеном атаки является утилита Curl.exe, которая отсутствует в стандартной комплектации Windows до десятой версии.

Учёные Tencent Labs и Чжэцзянского университета (КНР) открыли способ взломать защиту сканера отпечатков пальцев на смартфоне, используя метод брутфорс. Для этого необходимы физический доступ к устройству и достаточно времени.

Источник изображения: Lukenn Sabellano / unsplash.com

В устройствах под управлением Android, основанной на ней HarmonyOS, а также в очень ограниченных масштабах в Apple iOS, присутствуют две уязвимости «нулевого дня», обозначенные как Cancel-After-Match-Fail («отмена после несовпадения») и Match-After-Lock («сверка после блокировки»). Эксплуатируя эти уязвимости, исследователям удалось заставить мобильные устройства принимать бесконечное количество попыток сканирования отпечатков пальцев, а также использовать академические базы данных, базы утечек биометрии и прочие источники.

Для осуществления атак гипотетическим злоумышленникам требуется физический доступ к смартфону и оборудование стоимостью $15. При осуществлении атаки, которую эксперты назвали BrutePrint, при использовании взламывающего оборудования с поддержкой одного отпечатка пальцев требуется от 2,9 до 13,9 часа — если оборудование поддерживает несколько записанных отпечатков, время в среднем составляет от 0,66 до 2,78 часа.

Исследователи испытали технологию на десяти «популярных моделях смартфонов» и на паре iPhone. Названия моделей не приводятся, но учёные сообщили, что для устройств под Android и HarmonyOS им удалось добиться бесконечного числа попыток, а вот для гаджетов под iOS — это были iPhone SE и iPhone 7 — удалось добиться лишь десяти дополнительных, чего явно недостаточно для взлома.

Авторы исследования делают вывод, что метод BrutePrint едва ли окажется привлекательным для обычного киберпреступника, а вот для государственных структур он вполне подойдёт.

В популярном менеджере паролей KeePass обнаружена уязвимость, эксплуатация которой позволяет извлечь мастер-пароль из памяти приложения. За счёт этого злоумышленники, которым удалось скомпрометировать устройство жертвы, могут похить все хранящиеся в менеджере пароли, даже если база данных заблокирована.

Источник изображения: hothardware.com

Упомянутая уязвимость отслеживается под идентификатором CVE-2023-3278. Её обнаружил исследователь в сфере информационной безопасности, известный под ником vdohney. Он опубликовал на GitHub краткое описание проблемы и PoC-эксплойт, предполагающий использование уязвимости KeePass. Проблема затрагивает KeePass 2.53 и более ранние версии приложения.

Дело в том, что в KeePass для ввода пароля используется поле SecureTextBoxEx, которое сохраняет вводимые пользователем символы в память в открытом виде. Это означает, что злоумышленнику достаточно завладеть дампом памяти, причём это может быть дамп процесса, файла подкачки pagefile.sys, файла гибернации hiberfil.sys, различных аварийных дампов или дампа памяти всей системы. Также не имеет значения, заблокировано или нет рабочее пространство и запущен ли KeePass.

Эксплойт тестировался в Windows, но, вероятно, его скорректированная версия будет работать и в macOS, так как уязвимость связана с тем, как приложение обрабатывает данные при вводе пароля, а не с самой операционной системой. Ожидается, что уязвимость будет исправлена в KeePass 2.54, запуск которого должен состояться в ближайшие несколько недель.

Предназначенное для macOS приложение Telegram содержит уязвимость, через которую злоумышленник может получить доступ к веб-камере и микрофону компьютера, обнаружил инженер Google Дэн Рева (Dan Revah).

Источник изображения: Rubaitul Azad / unsplash.com

Уязвимость клиента Telegram под macOS была выявлена ещё в феврале, и тогда же администрация платформы получила о ней уведомление. Но администрация Telegram на сообщение не отреагировала, и Рева принял решение предать своё открытие широкой огласке.

Уязвимость возникла из-за возможности интеграции в Telegram сторонней динамической библиотеки (Dylib). Из-за этого приложение обходит средства защиты Hardened Runtime и Entitlements: первое предназначено для защиты от вредоносного кода и манипуляций с памятью, а второе — для контроля над доступом к микрофону, камере и другим компонентам компьютера.

В результате становится возможным внедрить на компьютер собственную динамическую библиотеку, запуск которой будет производиться от имени Telegram с его полномочиями — она позволит негласно записывать звук и видео, сохраняя записи в файле. При включении инструмента LaunchAgent такая вредоносная библиотека сможет самостоятельно запускаться после перезагрузки компьютера, а открывать мессенджер для этого уже не потребуется.

Проблема возникла из-за того, что на macOS отсутствует жёсткое требование поддержки Hardened Runtime в приложениях, тогда как на iOS оно есть.