NachoVPN误差：恶意VPN服务器使用未修补客户端实验攻击

宣布时间 2024-11-27
1. NachoVPN误差：恶意VPN服务器使用未修补客户端实验攻击


11月26日，一组名为“NachoVPN”的误差允许恶意VPN服务器使用未修补的Palo Alto和SonicWall SSL-VPN客户端举行攻击，通过诱骗用户毗连至攻击者控制的VPN服务器，进而窃取登录凭证、执行恣意代码、装置恶意软件或提倡代码署名伪造及中心人攻击。AmberWolf清静研究职员发明了这一威胁，并在误差首次报告后数月内，见证了SonicWall和Palo Alto Networks相继宣布针对CVE-2024-29014和CVE-2024-5921误差的补丁。为了防御，SonicWall客户需升级至NetExtender的特定版本，而Palo Alto Networks则建议装置更新版本或在FIPS-CC模式下运行VPN客户端。别的，AmberWolf还宣布了NachoVPN开源工具，该工具能模拟恶意VPN服务器，支持多种企业VPN产品，并勉励社区孝顺新误差信息。同时，该公司还提供了有关这两个误差的更多手艺细节和防御建议，以资助网络防御者� ；て湎低趁馐芮痹诠セ�。


https://www.bleepingcomputer.com/news/security/new-nachovpn-attack-uses-rogue-vpn-servers-to-install-malicious-updates/


2. 俄罗斯黑客RomCom使用Firefox和Tor零日误差提倡攻击


11月27日，近期俄罗斯黑客组织RomCom使用了两个零日误差，向使用Firefox或Tor浏览器的用户发射了恶意代码。这些误差划分影响了Mozilla软件和Windows系统，其中一个误差（CVE-2024-9680）使得会见受熏染网站的任何人都会无意识地下载RomCom后门，而无需任何点击。幸运的是，这两个误差都获得了快速修复，Mozilla在收到通知后25小时内就修补了Firefox中的误差，而Windows中的误差（CVE-2024-49039）也在后续获得修复。RomCom通过特制网站触发误差，这些网站模拟了真实组织的网站，包括ConnectWise、Devolutions和Correctiv等。虽然Tor浏览器也基于Firefox，但ESET追踪的受害者中没有一人是通过Tor受到攻击的，可能是由于Tor的某些设置与Firefox差别。RomCom的主要目的似乎是公司，绝大大都受害者位于北美和欧洲，但新西兰和法属圭亚那也有零星受害者。


https://www.darkreading.com/application-security/romcom-apt-zero-day-zero-click-browser-escapes-firefox-tor


3. RansomHub组织声称对两市政府发动勒索攻击


11月27日，网络犯法组织RansomHub声称对德克萨斯州科佩尔市及明尼阿波利斯公园和娱乐委员会发动了勒索软件攻击，引发普遍关注�？婆宥性馐芄セ骱�，互联网、图书馆服务、允许和检查平台及市法院等多个系统瘫痪，给外地住民带来严重困扰。只管市政府起劲恢复，但直至11月下旬，部分市政运营才陆续恢复。同时，明尼阿波利斯公园和娱乐委员会也报告其手艺系统遭到攻击，电话线路中止，正在起劲确定信息泄露情形。RansomHub今年迅速崛起，已对机场、医疗机构、制造公司和要害基础设施等数百个组织发动攻击。自2月份以来，已有约210个组织成为其受害者。该组织最初泛起在团结康健集团遭受勒索软件攻击后，随后因另一勒索软件团伙倒闭而壮大，对数据举行出售。今年，RansomHub还攻击了多起备受瞩目的目的，包括电信巨头Frontier、Rite Aid、英国拍卖行Christie’s等。


https://therecord.media/ransomhub-cybercrime-coppell-texas-minneapolis-parks-agency


4. 塞伦盖蒂行动：非洲执法机构严肃攻击网络犯法


11月26日，非洲执法机构在国际刑警组织和非洲刑警组织的协调下，于9月2日至10月31日时代开展了名为“塞伦盖蒂行动”的攻击网络犯法运动。此次行动针对勒索软件、商业电子邮件泄露、数字勒索和网络诈骗等犯法行为，涉及19个非洲国家，共拘捕了1006名嫌疑人，摧毁了134089个恶意基础设施和网络。据视察，这些犯法运动与至少35224名已确认身份的受害者有关，造成了近1.93亿美元的经济损失，其中塞伦盖蒂行动追回了约莫4400万美元。行动中的亮点包括肯尼亚破获一起网上信用卡诈骗案，塞内加尔捣毁一起庞氏圈套，尼日利亚拘捕一名实验网上投资诈骗的男子，喀麦隆破获多条理营销圈套，以及安哥拉捣毁一个虚拟赌场国际集团。加入此次行动的国家尚有阿尔及利亚、贝宁、科特迪瓦、刚果民主共和国、加蓬、加纳、毛里求斯、莫桑比克、卢旺达、南非、坦桑尼亚、突尼斯、赞比亚和津巴布韦。


https://www.bleepingcomputer.com/news/security/over-1-000-arrested-in-massive-serengeti-anti-cybercrime-operation/


5. Matrix发动大规模DDoS攻击，使用物联网和企业误差


11月26日，清静研究职员发明了一场由名为Matrix的威胁行为者策划的大规模漫衍式拒绝服务（DDoS）攻击运动，该运动使用可会见的工具针对物联网装备和企业服务器。Matrix的攻击框架经由详细剖析，主要使用互联网毗连设惫亓误差和过失设置，通过暴力攻击、弱凭证和已知误差构建僵尸网络。攻击的主要特征包括针对路由器、DVR和IP摄像机、企业协媾和物联网装备的误差使用。这些攻击严重依赖默认或弱密码，强调了未能接纳基本清静步伐会使装备面临入侵的危害。Matrix的目的包括云服务提供商、小型企业和物联网麋集地区，受影响的装备可能多达3500万台。Matrix使用了来自GitHub等平台的剧本和工具，并通过Telegram将服务钱币化，提供DDoS攻击妄想。只管Matrix缺乏先进功效，但这些工具的组装和操作都很是容易，显示出低庞洪水平加入者所带来的危害越来越大。


https://www.infosecurity-magazine.com/news/ddos-campaign-exploits-iot-devices/


6. Array Networks SSL VPN 产品中的误差正被起劲使用


11月26日，美国网络防御机构CISA收到证据批注，黑客正在起劲使用SSL VPN产品Array Networks AG和vxAG ArrayOS中的远程代码执行误差，该误差被追踪为CVE-2023-28461，严重性评分高达9.8，已被列入CISA的已知使用误差目录中。此误差保存于易受攻击的URL中，是一个身份验证不当问题，允许在Array AG系列和vxAG 9.4.0.481及更早版本中执行远程代码。Array Networks在误差披露一周后宣布了修复版本Array AG 9.4.0.484。Array Networks的SSL VPN产品被全球凌驾5000个客户使用，包括企业、服务提供商和政府机构。CISA建议所有联邦机构和要害基础设施组织在12月16日之前应用清静更新或接纳缓解步伐，不然应阻止使用该产品。清静更新可通过Array支持门户获取，但供应商提供的缓解步伐可能会对客户端清静功效爆发负面影响，因此组织应首先测试其效果。


https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-bug-in-array-networks-ssl-vpn-products/