Cyberbezpieczeństwo

Cyberprzestępcy wykorzystują fałszywe telefony od działów IT (vishing) i kradzież tokenów uwierzytelniających (AitM) do atakowania użytkowników Microsoft 365, szczególnie kadry kierowniczej, w celu kradzieży danych i wymuszeń. Ataki te, śledzone pod nazwą PREY-0058, polegają na przejmowaniu sesji poprzez fałszywe strony logowania i zatwierdzenia MFA, a następnie eksfiltracji danych z usług takich jak SharePoint i OneDrive.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

W ostatnim tygodniu odnotowano liczne zagrożenia w cyberbezpieczeństwie, w tym aktywnie wykorzystywany “0-day” w przeglądarce Chrome, ataki na routery MikroTik pozwalające na ich przejęcie, oraz atak na łańcuch dostaw firmy Coder, który doprowadził do kradzieży poufnych danych. Odkryto również nowe metody phishingu, w tym wykorzystanie kodów QR tworzonych z tekstu, oraz zagrożenia związane z rozwojem sztucznej inteligencji, takie jak niekontrolowane działanie agentów AI czy ataki “indirect prompt injection”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W ostatnim tygodniu odnotowano liczne zagrożenia w cyberbezpieczeństwie, w tym aktywnie wykorzystywany “0-day” w przeglądarce Chrome, ataki na routery MikroTik pozwalające na ich przejęcie, oraz atak na łańcuch dostaw firmy Coder, który doprowadził do kradzieży poufnych danych. Odkryto również nowe metody phishingu, w tym wykorzystanie kodów QR tworzonych z tekstu, oraz zagrożenia związane z rozwojem sztucznej inteligencji, takie jak niekontrolowane działanie agentów AI czy ataki “indirect prompt injection”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Badanie Intruder z 2026 Cloud Security Index wykazało, że profile ryzyka związane z błędnymi konfiguracjami w AWS, Azure i Google Cloud są bardzo zróżnicowane, z wyjątkiem powszechnego braku logowania i słabego zarządzania tożsamością i dostępem (IAM). Różnice dotyczą głównie wystawionych usług, zapór sieciowych, szyfrowania i błędnie skonfigurowanych usług, przy czym AWS często dominuje w problemach ze względu na największą liczbę usług, podczas gdy Google Cloud wyróżnia się najniższym wskaźnikiem dzięki domyślnym, bezpieczniejszym ustawieniom i modelowi “Shared Fate”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Badanie Intruder z 2026 Cloud Security Index wykazało, że profile ryzyka związane z błędnymi konfiguracjami w AWS, Azure i Google Cloud są bardzo zróżnicowane, z wyjątkiem powszechnego braku logowania i słabego zarządzania tożsamością i dostępem (IAM). Różnice dotyczą głównie wystawionych usług, zapór sieciowych, szyfrowania i błędnie skonfigurowanych usług, przy czym AWS często dominuje w problemach ze względu na największą liczbę usług, podczas gdy Google Cloud wyróżnia się najniższym wskaźnikiem dzięki domyślnym, bezpieczniejszym ustawieniom i modelowi “Shared Fate”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Badacze cyberbezpieczeństwa odkryli robakopodobną aktywność wykorzystującą ConnectWise ScreenConnect do dystrybucji złośliwego skryptu VBScript na nowo podłączone systemy. Po wstępnych metodach infekcji, takich jak oszustwa Quick Assist, phishing czy fałszywe formularze zwrotu, inicjowany jest czterostopniowy proces VBScript prowadzący do instalacji rogue ScreenConnect, który następnie rozprzestrzenia się na kolejne podłączone hosty, potencjalnie przejmując kontrolę nad systemem i wykonując różne złośliwe działania w zależności od stanu systemu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze cyberbezpieczeństwa odkryli robakopodobną aktywność wykorzystującą ConnectWise ScreenConnect do dystrybucji złośliwego skryptu VBScript na nowo podłączone systemy. Po wstępnych metodach infekcji, takich jak oszustwa Quick Assist, phishing czy fałszywe formularze zwrotu, inicjowany jest czterostopniowy proces VBScript prowadzący do instalacji rogue ScreenConnect, który następnie rozprzestrzenia się na kolejne podłączone hosty, potencjalnie przejmując kontrolę nad systemem i wykonując różne złośliwe działania w zależności od stanu systemu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto łańcuch podatności w Telerik UI for ASP.NET AJAX, który pozwala na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując błąd typu ‘padding oracle’. Chociaż poprawki zostały wdrożone przez Progress Software w lipcu, a eksploatacja wymaga specyficznej, niestandardowej konfiguracji, opublikowano działający proof-of-concept wraz z narzędziami i payloadami, co stanowi znaczące zagrożenie dla aplikacji spełniających określone warunki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto łańcuch podatności w Telerik UI for ASP.NET AJAX, który pozwala na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, wykorzystując błąd typu ‘padding oracle’. Chociaż poprawki zostały wdrożone przez Progress Software w lipcu, a eksploatacja wymaga specyficznej, niestandardowej konfiguracji, opublikowano działający proof-of-concept wraz z narzędziami i payloadami, co stanowi znaczące zagrożenie dla aplikacji spełniających określone warunki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

NASK podsumował wakacyjną trasę “Lata z Radiem”, podczas której specjaliści edukowali uczestników na temat zagrożeń w sieci, takich jak phishing, dezinformacja i sztuczna inteligencja. Szczególny nacisk położono na problem sharentingu – nieprzemyślanego publikowania zdjęć dzieci w internecie. Przypominano o rozpoznawaniu podejrzanych wiadomości, fałszywych stron i mechanizmów wyłudzeń, a także o ustawieniach prywatności w mediach społecznościowych. Działania edukacyjne są kontynuowane online na stronie bezpiecznydzien.pl.

Źródło: Polska Agencja Prasowa
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐ (3/10)

NASK podsumował wakacyjną trasę “Lata z Radiem”, podczas której specjaliści edukowali uczestników na temat zagrożeń w sieci, takich jak phishing, dezinformacja i sztuczna inteligencja. Szczególny nacisk położono na problem sharentingu – nieprzemyślanego publikowania zdjęć dzieci w internecie. Przypominano o rozpoznawaniu podejrzanych wiadomości, fałszywych stron i mechanizmów wyłudzeń, a także o ustawieniach prywatności w mediach społecznościowych. Działania edukacyjne są kontynuowane online na stronie bezpiecznydzien.pl.

Źródło: Polska Agencja Prasowa
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐ (3/10)

N-able udostępniło czwartą poprawkę (hotfix) w ciągu zaledwie pięciu tygodni dla swojej platformy N-central, tym razem dla krytycznej luki CVE-2026-86218, która pozwala na zdalne wykonanie kodu bez uwierzytelniania. Firma nie jest zgodna co do tego, czy luka została już wykorzystana w atakach, choć niektóre komunikaty sugerują takie możliwość, podczas gdy inne zaprzeczają. Wszyscy użytkownicy N-central poniżej wersji 2026.3.1.14 powinni natychmiast zaktualizować system, a dla klientów korzystających z wersji on-premises zaleca się natychmiastową aktualizację do 2026.3.1.14.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

N-able udostępniło czwartą poprawkę (hotfix) w ciągu zaledwie pięciu tygodni dla swojej platformy N-central, tym razem dla krytycznej luki CVE-2026-86218, która pozwala na zdalne wykonanie kodu bez uwierzytelniania. Firma nie jest zgodna co do tego, czy luka została już wykorzystana w atakach, choć niektóre komunikaty sugerują takie możliwość, podczas gdy inne zaprzeczają. Wszyscy użytkownicy N-central poniżej wersji 2026.3.1.14 powinni natychmiast zaktualizować system, a dla klientów korzystających z wersji on-premises zaleca się natychmiastową aktualizację do 2026.3.1.14.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto nowy malware o nazwie JSCeal, który wykorzystuje zaawansowane techniki zaciemniania kodu JavaScript w celu kradzieży danych uwierzytelniających, monitorowania użytkowników i przechwytywania ruchu sieciowego. Wykorzystując skradzione ciasteczka sesji, jest w stanie omijać mechanizmy uwierzytelniania, w tym weryfikację kont Google, a także modyfikować ruch internetowy na potrzeby platform kryptowalutowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto nowy malware o nazwie JSCeal, który wykorzystuje zaawansowane techniki zaciemniania kodu JavaScript w celu kradzieży danych uwierzytelniających, monitorowania użytkowników i przechwytywania ruchu sieciowego. Wykorzystując skradzione ciasteczka sesji, jest w stanie omijać mechanizmy uwierzytelniania, w tym weryfikację kont Google, a także modyfikować ruch internetowy na potrzeby platform kryptowalutowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Atakujący wykorzystują lukę w routerach MikroTik, umożliwiającą przejęcie pełnej kontroli administracyjnej bez konieczności uwierzytelniania, poprzez publicznie dostępny protokół SSH. CERT Polska ostrzega przed tą możliwością, zaleca natychmiastową aktualizację oprogramowania RouterOS do najnowszych wersji łatających tę lukę oraz sprawdzenie konfiguracji pod kątem nieautoryzowanych zmian. W międzyczasie zaleca się wyłączenie narażonych usług lub ograniczenie dostępu do sieci zarządzania, zwłaszcza SSH, WWW/WWW-SSL i bandwidth-test.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Atakujący wykorzystują lukę w routerach MikroTik, umożliwiającą przejęcie pełnej kontroli administracyjnej bez konieczności uwierzytelniania, poprzez publicznie dostępny protokół SSH. CERT Polska ostrzega przed tą możliwością, zaleca natychmiastową aktualizację oprogramowania RouterOS do najnowszych wersji łatających tę lukę oraz sprawdzenie konfiguracji pod kątem nieautoryzowanych zmian. W międzyczasie zaleca się wyłączenie narażonych usług lub ograniczenie dostępu do sieci zarządzania, zwłaszcza SSH, WWW/WWW-SSL i bandwidth-test.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto cztery nowe programy związane z REVSTEALER, złośliwym oprogramowaniem kradnącym dane, które pozostają aktywne po usunięciu samego stealer’a. Jeden z tych modułów, LockAppHost, dezaktywuje usługę Windows Update i Microsoft Defender, a następnie uruchamia koparkę kryptowalut, wykorzystując luki w zabezpieczeniach systemu. Pozostałe moduły, ProManager, WinUpdate i SoftManager, również mają na celu kradzież danych finansowych i poufnych informacji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto cztery nowe programy związane z REVSTEALER, złośliwym oprogramowaniem kradnącym dane, które pozostają aktywne po usunięciu samego stealer’a. Jeden z tych modułów, LockAppHost, dezaktywuje usługę Windows Update i Microsoft Defender, a następnie uruchamia koparkę kryptowalut, wykorzystując luki w zabezpieczeniach systemu. Pozostałe moduły, ProManager, WinUpdate i SoftManager, również mają na celu kradzież danych finansowych i poufnych informacji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Atakujący wykorzystują nową, niezałatana podatność “StyleSmuggler” w platformach Magento Open Source i Adobe Commerce, pozwalającą na zdalne wykonanie złośliwego kodu i instalację stałego backdooru bez konieczności logowania. Podatność dotyczy wszystkich wersji, a ataki rozpoczęły się 4 września, prowadząc do kompromitacji sklepów, zanim pojawiły się oficjalne zabezpieczenia czy zalecenia. Bezpieczeństwo sklepów wymaga tymczasowego wyłączenia GraphQL lub zastosowania nieoficjalnych łatek i ustawień serwerowych, dopóki Adobe nie wyda stosownej poprawki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Atakujący wykorzystują nową, niezałatana podatność “StyleSmuggler” w platformach Magento Open Source i Adobe Commerce, pozwalającą na zdalne wykonanie złośliwego kodu i instalację stałego backdooru bez konieczności logowania. Podatność dotyczy wszystkich wersji, a ataki rozpoczęły się 4 września, prowadząc do kompromitacji sklepów, zanim pojawiły się oficjalne zabezpieczenia czy zalecenia. Bezpieczeństwo sklepów wymaga tymczasowego wyłączenia GraphQL lub zastosowania nieoficjalnych łatek i ustawień serwerowych, dopóki Adobe nie wyda stosownej poprawki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

JetBrains ostrzega użytkowników Cadence przed odwołaniem i rotacją wszelkich danych uwierzytelniających po incydencie bezpieczeństwa, w którym nieznani sprawcy wykorzystali krytyczną lukę w TeamCity (CVE-2026-63077) do naruszenia własnego środowiska firmy. Sprawcy uzyskali dostęp do kopii zapasowej serwera Cadence z 2024 roku, kradnąc m.in. dane użytkowników, kod źródłowy projektów oraz dane uwierzytelniające do AWS, co może prowadzić do dalszych ataków i wyłudzeń.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

JetBrains ostrzega użytkowników Cadence przed odwołaniem i rotacją wszelkich danych uwierzytelniających po incydencie bezpieczeństwa, w którym nieznani sprawcy wykorzystali krytyczną lukę w TeamCity (CVE-2026-63077) do naruszenia własnego środowiska firmy. Sprawcy uzyskali dostęp do kopii zapasowej serwera Cadence z 2024 roku, kradnąc m.in. dane użytkowników, kod źródłowy projektów oraz dane uwierzytelniające do AWS, co może prowadzić do dalszych ataków i wyłudzeń.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Broadcom załatał dwie krytyczne luki bezpieczeństwa w VMware Workstation i Fusion, w tym lukę oznaczona jako CVE-2026-59346 (CVSS 9.3), która pozwala lokalnemu atakującemu z podwyższonymi uprawnieniami na wykonanie dowolnego kodu na hoście. Druga luka (CVE-2026-59347, CVSS 8.1) dotyczy przepełnienia bufora w HGFS i również umożliwia zdalną egzekucję kodu. Obie luki wymagają od atakującego posiadania lokalnych uprawnień administratora w maszynie wirtualnej, a ich udana eksploatacja może nastąpić przez phishing lub wykorzystanie słabych konfiguracji użytkowników.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Broadcom załatał dwie krytyczne luki bezpieczeństwa w VMware Workstation i Fusion, w tym lukę oznaczona jako CVE-2026-59346 (CVSS 9.3), która pozwala lokalnemu atakującemu z podwyższonymi uprawnieniami na wykonanie dowolnego kodu na hoście. Druga luka (CVE-2026-59347, CVSS 8.1) dotyczy przepełnienia bufora w HGFS i również umożliwia zdalną egzekucję kodu. Obie luki wymagają od atakującego posiadania lokalnych uprawnień administratora w maszynie wirtualnej, a ich udana eksploatacja może nastąpić przez phishing lub wykorzystanie słabych konfiguracji użytkowników.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Firma Trezor ujawniła, że naruszenie bezpieczeństwa u jej dostawcy usług wysyłkowych ShipMonk dotknęło dane kolejnych 67 tysięcy klientów z USA, mimo wcześniejszych zapewnień o usunięciu tych informacji. Wyciek objął nazwiska, adresy e-mail, numery telefonów, adresy wysyłki i numery zamówień z lat 2019-2021, nie wpływając jednak na bezpieczeństwo portfeli sprzętowych Trezor. Incydent, wynikający z wykorzystania luki SQL injection w Metabase przez grupę ShinyHunters, podkreśla ryzyko związane z łańcuchem dostaw oprogramowania i potrzebę monitorowania bezpieczeństwa partnerów biznesowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Firma Trezor ujawniła, że naruszenie bezpieczeństwa u jej dostawcy usług wysyłkowych ShipMonk dotknęło dane kolejnych 67 tysięcy klientów z USA, mimo wcześniejszych zapewnień o usunięciu tych informacji. Wyciek objął nazwiska, adresy e-mail, numery telefonów, adresy wysyłki i numery zamówień z lat 2019-2021, nie wpływając jednak na bezpieczeństwo portfeli sprzętowych Trezor. Incydent, wynikający z wykorzystania luki SQL injection w Metabase przez grupę ShinyHunters, podkreśla ryzyko związane z łańcuchem dostaw oprogramowania i potrzebę monitorowania bezpieczeństwa partnerów biznesowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Złośliwi aktorzy wykorzystują niedawno ujawnione luki w oprogramowaniu PaperCut, aby kraść dane uwierzytelniające od instytucji edukacyjnych w USA i Europie. Atakujący wykorzystują luki CVE-2026-81578 i CVE-2026-82078, aby uzyskać wykonanie kodu, prowadzić rekonesans i tworzyć uprzywilejowane konta, docierając do organizacji od szkół podstawowych po uniwersytety.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Złośliwi aktorzy wykorzystują niedawno ujawnione luki w oprogramowaniu PaperCut, aby kraść dane uwierzytelniające od instytucji edukacyjnych w USA i Europie. Atakujący wykorzystują luki CVE-2026-81578 i CVE-2026-82078, aby uzyskać wykonanie kodu, prowadzić rekonesans i tworzyć uprzywilejowane konta, docierając do organizacji od szkół podstawowych po uniwersytety.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Microsoft ostrzega przed masową kampanią phishingową, która wykorzystuje niewidoczne znaki Unicode do ukrywania słów kluczowych związanych z finansami, takich jak “funding”, przed filtrami poczty e-mail, dzieląc je za pomocą specjalnych tagów Unicode. Ta nowatorska technika, nazwana ASCII Smuggling, pozwala atakującym na tworzenie przekonujących wiadomości, które omijają zabezpieczenia, wykorzystując luki w analizie przez systemy bezpieczeństwa i modele AI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Microsoft ostrzega przed masową kampanią phishingową, która wykorzystuje niewidoczne znaki Unicode do ukrywania słów kluczowych związanych z finansami, takich jak “funding”, przed filtrami poczty e-mail, dzieląc je za pomocą specjalnych tagów Unicode. Ta nowatorska technika, nazwana ASCII Smuggling, pozwala atakującym na tworzenie przekonujących wiadomości, które omijają zabezpieczenia, wykorzystując luki w analizie przez systemy bezpieczeństwa i modele AI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

PostgreSQL wydał poprawki bezpieczeństwa, które rozwiązują 12-letnią lukę w mechanizmie dekodowania logicznego (CVE-2026-6471), pozwalającą użytkownikowi z atrybutem REPLICATION na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający serwer bazy danych. Nowy parametr output_plugin_libraries wprowadza białą listę dozwolonych wtyczek wyjściowych, zapobiegając poprzednim zagrożeniom związanym z ładowaniem dowolnych bibliotek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

PostgreSQL wydał poprawki bezpieczeństwa, które rozwiązują 12-letnią lukę w mechanizmie dekodowania logicznego (CVE-2026-6471), pozwalającą użytkownikowi z atrybutem REPLICATION na wykonanie dowolnego kodu jako użytkownik systemu operacyjnego uruchamiający serwer bazy danych. Nowy parametr output_plugin_libraries wprowadza białą listę dozwolonych wtyczek wyjściowych, zapobiegając poprzednim zagrożeniom związanym z ładowaniem dowolnych bibliotek.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto nowy, nieudokumentowany zestaw narzędzi dla systemu Linux, nazwany “ted”, skompilowany bezpośrednio w zainfekowanych instancjach HAProxy używanych przez dwie południowokoreańskie organizacje z branży motoryzacyjnej i medialnej. Narzędzie to przechwytuje ruch sieciowy i serwuje zmodyfikowane strony wybranym odwiedzającym, ukrywając swoją obecność przed logami serwera i statystykami load balancera. Atrybucja wskazuje z umiarkowanym prawdopodobieństwem na aktorów sponsorowanych przez państwo północnokoreańskie, a mechanizm infekcji wymaga wykonania kodu na hoście i możliwości zastąpienia działającego binarnego pliku HAProxy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto nowy, nieudokumentowany zestaw narzędzi dla systemu Linux, nazwany “ted”, skompilowany bezpośrednio w zainfekowanych instancjach HAProxy używanych przez dwie południowokoreańskie organizacje z branży motoryzacyjnej i medialnej. Narzędzie to przechwytuje ruch sieciowy i serwuje zmodyfikowane strony wybranym odwiedzającym, ukrywając swoją obecność przed logami serwera i statystykami load balancera. Atrybucja wskazuje z umiarkowanym prawdopodobieństwem na aktorów sponsorowanych przez państwo północnokoreańskie, a mechanizm infekcji wymaga wykonania kodu na hoście i możliwości zastąpienia działającego binarnego pliku HAProxy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)