Na semana passada, a equipe do Google Project Zero revelou os detalhes de uma vulnerabilidade no Windows 10 que permite a um invasor obter privilégios de sistema no computador da vítima.
O surpreendente sobre o problema é que ele foi usado em um ataque real em combinação com outro, vulnerabilidade também encontrada recentemente no navegador Google Chrome. Eles encontraram um bug no manipulador de fontes FreeType (já fechado), que permitia escapar da sandbox. Algumas vulnerabilidades, respectivamente, tornaram esse cenário possível: a vítima é atraída para uma página da web infectada, os invasores executam códigos fora do ambiente seguro do navegador e uma vulnerabilidade no Windows dá a eles controle total sobre o sistema.
Este cenário é especulativo: o Google não divulga os detalhes do ataque em si. Ao mesmo tempo, a equipe do Project Zero aplicou a regra de divulgação de vulnerabilidade de dia zero e deu à Microsoft apenas sete dias para lançar o patch. No momento da publicação, o patch para o Windows ainda não estava disponível: provavelmente será incluído no conjunto regular de atualizações, agendado para 10 de novembro. Tradicionalmente, havia uma troca de pontos de vista bastante cáustica: a Microsoft acredita que o pessoal de segurança do Google poderia ter tolerado a publicação, o Project Zero está confiante de que eles estão encorajando os fornecedores a lançar um patch mais rápido - talvez até fora do cronograma padrão.
Fontes
Bug do Windows 10: artigo da ArsTechnica, informações técnicas .
Vulnerabilidade no Google Chrome: dados técnicos e discussão no bug tracker do Project Zero.
A vulnerabilidade CVE-2020-117087 afeta pelo menos o Windows 10 e o Windows 7. Ela está presente em uma das funções do sistema para criptografia de dados. Um erro no processamento de informações causa um estouro de buffer e cria condições para a execução de código arbitrário com privilégios de sistema. O artigo técnico do Project Zero mostra a lógica da função vulnerável em pseudocódigo e também inclui um script PoC que faz com que o sistema trave.
Por sua vez, a vulnerabilidade no navegador Chrome provavelmente afeta outros navegadores baseados no mecanismo Blink. Talvez não apenas os navegadores: o bug foi encontrado no código de uma biblioteca de terceiros . Curiosamente, a Microsoft não confirma a exploração ativa da vulnerabilidade no Windows, enquanto o Google acredita o contrário. Se o verdadeiro ataque ocorreu (as informações não foram divulgadas), então, em qualquer caso, seu estágio inicial foi o navegador Chrome. Um patch de vulnerabilidade na biblioteca FreeType tornou esse método de ataque específico impossível. Isso, é claro, não exclui a possibilidade de explorar a vulnerabilidade do Windows de outras maneiras.
O que mais aconteceu:
Os especialistas da Kaspersky Lab publicaram um relatório sobre ataques DDoS no terceiro trimestre deste ano. O número total de campanhas diminuiu significativamente em comparação com o período anterior, no qual uma atividade anormalmente alta de cibercriminosos foi registrada, aparentemente associada a uma pandemia.
A Sophos relatou uma técnica de phishing para senhas do Facebook que tenta contornar a autenticação de dois fatores. Os usuários são oferecidos (sob ameaça de exclusão da página) para contestar a alegada reclamação de violação de direitos autorais. Em uma página de login de conta falsa, eles se oferecem para inserir um nome de usuário, senha e código de uso único para fazer login na conta.
Na Finlândia, os dados de pelo menos 300 clientes do centro de psicoterapia Vaastamo vazaram. Alguns dos registros foram tornados públicos, alguns pacientes receberam pedidos de resgate de cerca de 200 euros em criptomoeda e ameaçaram publicar informações confidenciais. Antes disso, os cibercriminosos tentavam obter dinheiro da organização afetada da forma tradicional - exigiam quase meio milhão de euros.
Um uso um pouco menos perigoso de dados pessoais é um ataquepara contas de clientes na rede de restaurantes. As contas de alguns clientes foram sequestradas, muito provavelmente pelo método de preenchimento de credenciais: os atacantes conseguiram adivinhar a senha, uma vez que ela foi usada em outros serviços já hackeados. Resultado: a perda de quantias significativas, pois grandes pedidos foram recebidos em nome dos clientes. Os cibercriminosos literalmente trabalhavam por comida.
No lançamento do WordPress 5.5.2, uma vulnerabilidade crítica foi fechada que permitia assumir o controle de um site sem patch. Este é um caso raro de um problema sério no código CMS, não em plug-ins de terceiros.