Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Wednesday, 15 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.15

Sikkerhetsoppdatering tilgjengelig for Foxit PDF Reader 2026.1.2 og Foxit PDF Editor 2026.1.2. Aktivt utnyttet nulldagssårbarhet i Microsoft AD FS gir administratorrettigheter. Utvidet sikkerhetsoppdatering fra Microsoft - KB5099539.

Sikkerhetsoppdatering tilgjengelig for Foxit PDF Reader 2026.1.2 og Foxit PDF Editor 2026.1.2

Foxit har publisert sikkerhetsoppdateringene Foxit PDF Reader 2026.1.2 og Foxit PDF Editor 2026.1.2 for Windows. Oppdateringene retter et stort antall sikkerhetssårbarheter som kan føre til ekstern kjøring av vilkårlig kode, lokal privilegieeskalering og informasjonslekkasje ved åpning av spesiallagde PDF eller XDP filer. Totalt adresseres over 25 sårbarheter, hvor majoriteten er Use-After-Free, Out-of-Bounds Read/Write, Type Confusion, Buffer Overflow og XML External Entity (XXE)-feil. Flere av sårbarhetene kan utnyttes dersom en bruker åpner en ondsinnet PDF fil, noe som kan gi angripere mulighet til å kjøre vilkårlig kode med brukerens rettigheter.

Den mest alvorlige sårbarheten er CVE-2026-57239 (CVSS 8.2), som kan føre til lokal privilegieeskalering gjennom Foxits oppdateringstjeneste ved å laste inn ondsinnede DLL filer med SYSTEM rettigheter. Oppdateringen omfatter også en rekke sårbarheter relatert til JavaScript-behandling i PDF filer, 3D-objekter, annotasjoner, bildeobjekter og XDP/XML-parseren. Det finnes foreløpig ingen offentlig informasjon om aktiv utnyttelse av disse sårbarhetene.

Anbefaling:

Oppgrader umiddelbart til Foxit PDF Reader 2026.1.2 eller Foxit PDF Editor 2026.1.2 (eller Foxit PDF Editor 14.0.5 for 14.x serien). Organisasjoner bør prioritere oppdateringen på alle Windows systemer som benytter Foxit produkter. Inntil oppdateringen er installert bør brukere være varsomme med å åpne PDF filer fra ukjente eller upålitelige kilder, da flere av sårbarhetene krever at brukeren åpner en spesiallaget fil for å bli utnyttet.

Aktivt utnyttet nulldagssårbarhet i Microsoft AD FS gir administratorrettigheter

Microsoft har publisert sikkerhetsoppdateringer for CVE-2026-56155, en aktivt utnyttet sårbarhet i Active Directory Federation Services (AD FS). Sårbarheten skyldes utilstrekkelig detaljert tilgangskontroll i AD FS og gjør det mulig for en autentisert lokal bruker med lave privilegier å eskalere til administratorrettigheter. Angrepet krever lokal autentisert tilgang, lav kompleksitet og ingen brukerinteraksjon. En vellykket utnyttelse kan gi full kontroll over konfidensialitet, integritet og tilgjengelighet på den berørte serveren. Sårbarheten er særlig alvorlig fordi AD FS håndterer autentisering og utsteder sikkerhetstokener til virksomhetens tjenester, noe som kan gi en angriper mulighet til å endre føderasjonsinnstillinger, få tilgang til autentiseringsmateriale og bruke serveren som utgangspunkt for videre angrep i nettverket. Microsoft har bekreftet at sårbarheten utnyttes aktivt og har gjort sikkerhetsoppdateringer tilgjengelige for berørte Windows Server versjoner.

Anbefaling:

Installer Microsofts sikkerhetsoppdateringer for juli 2026 på alle berørte AD FS servere og bekreft at oppdateringene er installert.

Sårbarheter:

Utvidet sikkerhetsoppdatering fra Microsoft - KB5099539

Microsoft tilgjengeliggjorde tirsdag 14.07 en utvidet sikkerhetsoppdatering for Windows 10-enheter, KB5099539, som er omfattet av ESU-programmet (Extended Security Updates). Oppdateringen inkluderer sikkerhetsfikser fra juli 2026 Patch Tuesday, der totalt 570 sårbarheter ble rettet, inkludert to aktivt utnyttede null-dagssårbarheter og én offentlig kjent null-dagssårbarhet.

I tillegg til sikkerhetsoppdateringene inneholder KB5099539 flere feilrettinger, blant annet for OLE Automation, OneDrive-integrasjonen i Filutforsker og visning av filnavn ved permanent sletting fra Papirkurven. Oppdateringen introduserer også forbedringer knyttet til Secure Boot og RDP-sikkerhet, inkludert støtte for SHA-2-baserte sertifikatavtrykk.

Microsoft varsler samtidig at en ny sikkerhetsherding i nettverksstakken kan påvirke eldre applikasjoner som benytter uregistrerte tredjeparts TDI-transporter. Organisasjoner med eldre programvare bør derfor teste oppdateringen før bred utrulling.

Anbefaling:

Oppdateringen bør prioriteres installert på støttede Windows 10-systemer, da den adresserer et betydelig antall sårbarheter og innfører flere viktige sikkerhetsforbedringer.

Posted by tsoc at 12:01 0 comments

Tuesday, 14 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.14

Russiske aktører utnytter svake rutere globalt. AI generert PowerShell skript brukt til å kartlegge Active Directory miljø.

Russiske aktører utnytter svake rutere globalt

En ny felles rådgivning fra flere vestlige etterretnings- og sikkerhetsmyndigheter advarer om at russisk statssponsede aktører, særlig knyttet til FSB Center 16, over lengre tid har utnyttet sårbare eller feilkonfigurerte nettverksenheter. Angrepene anses å være opportunistiske og retter seg mot et bredt spekter av kritisk infrastruktur globalt, inkludert energi, telekom, finans, helse og offentlig sektor.

Angriperne bruker primært omfattende scanning etter enheter med åpne eller svakt sikrede SNMP tjenester. Blir slike enheter funnet, kan aktørene hente ut konfigurasjonsfiler (ofte via TFTP) og dermed få tilgang til legitimasjon og sensitiv nettverksinformasjon. I noen tilfeller kan også kjente sårbarheter (CVE-er) i blant annet Cisco-enheter utnyttes, samt svakheter i administrasjonsgrensesnitt og funksjoner som Smart Install.

Konsekvensene anses som alvorlige: kompromitterte rutere kan gi angripere vedvarende tilgang til nettverk, muliggjøre datalekkasjer og fungere som infrastruktur for videre angrep. Aktiviteten overlapper også med metoder sett hos andre statlige trusselaktører, noe som øker kompleksiteten i deteksjon og respons.

Anbefaling:

Myndighetene anbefaler flere tiltak: deaktivere gamle protokoller (SNMPv1/v2), bruke SNMPv3 med kryptering, endre standardpassord, deaktivere usikre funksjoner som Smart Install, begrense administrasjonstilgang via ACL-er og holde firmware oppdatert. I tillegg bør organisasjoner overvåke mistenkelig aktivitet og sikre at kun nødvendige porter og tjenester er eksponert.

AI generert PowerShell skript brukt til å kartlegge Active Directory miljø

En ukjent trusselaktør har benyttet seg av et PowerShell skript som Huntress mener sannsynligvis er generert med hjelp fra kunstig intelligens for å kartlegge et Active Directory miljø. Angrepet startet med RDP tilgang til en domenetilknyttet Windows Server ved bruk av kompromitterte legitimasjoner, før verktøy ble plassert i mappen C:\ProgramData\. Skriptet identifiserte domenekontrolleren og samlet inn informasjon om brukere, datamaskiner, domener, grupper, organisatoriske enheter (OU-er) og tillitsforhold, før dataene ble lagret i en mellomlagringsmappe. Huntress beskriver skriptet som aggressivt og omfattende, med flere metoder for å finne domenekontrolleren, samt tegn som tyder på bruk av en språkmodell, inkludert skripttittel, plassholdertekst og overkonstruert kode. Etter kartleggingen brukte angriperen verktøyene s5cmd og SharpShares for å kartlegge tilgjengelige nettverksdelinger, før informasjonen ble eksportert, arkivert og sendt til en ekstern server. Angrepet viser at AI kan brukes til å raskere lage og tilpasse kjente angrepsmetoder, men teknikkene som ble brukt var basert på etablerte fremgangsmåter.

Anbefaling:

Telenor Cyberdefence anbefaler at aktivitet knyttet til RDP tilgang og Active Directory kartlegging overvåkes.

Posted by tsoc at 12:02 0 comments

Monday, 13 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.13

Angripere utnytter kritisk autentiseringsomgåelse i Gitea Docker-avbildning. Kompromittert jscrambler pakke på npm installerer Rust basert infostealer. Ghostcommit skjuler prompt injection i bilder for å stjele hemmeligheter fra AI kodeagenter. Dell BIOS svakhet gjør det mulig å hente administratorpassord fra SPI Flash på millisekunder. RedHook malware misbruker Wireless ADB for å oppnå utvidede privilegier på Android.

Angripere utnytter kritisk autentiseringsomgåelse i Gitea Docker-avbildning

En kritisk autentiseringsomgåelse i den offisielle Docker avbildningen for Gitea utnyttes aktivt og gjør det mulig for angripere å utgi seg for å være hvilken som helst bruker, inkludert administratorer. Sårbarheten, CVE-2026-20896, skyldes at standardkonfigurasjonen stoler på identitetsoverskrifter som X-WEBAUTH-USER fra alle IP-adresser når omvendt proxy autentisering er aktivert. Dette gjør at en uautentisert klient kan sende en egendefinert HTTP header og få tilgang som en vilkårlig bruker uten passord eller token. Sårbarheten påvirker offisielle Gitea Docker-avbildninger til og med versjon 1.26.2, og Sysdig observerte aktiv utnyttelse 13 dager etter at sikkerhetsrådet ble publisert. Gitea har rettet feilen i versjon 1.26.3 og 1.26.4, og myndighetene i Singapore har advart om at sårbarheten utnyttes i aktive angrep.

Anbefaling:

Oppgrader til Gitea 1.26.4. Dersom oppgradering ikke er mulig, begrens innstillingen REVERSE_PROXY_TRUSTED_PROXIES til kun betrodde IP-adresser og gjennomgå tilgangslogger for tegn på kompromittering.

Sårbarheter:

Kompromittert jscrambler pakke på npm installerer Rust basert infostealer

Den kompromitterte jscrambler@8.14.0-pakken på npm inneholder et ondsinnet preinstall skript som automatisk installerer og kjører en Rust basert infostealer på Windows, macOS og Linux under installasjonen. Skadevaren velger en plattformspesifikk binærfil, lagrer den med et tilfeldig navn i systemets midlertidige katalog og kjører den skjult. Ifølge analysene fra Socket, StepSecurity og SafeDep finnes de ondsinnede filene kun i npm pakken og ikke i det offentlige GitHub repositoriet, noe som tyder på at en legitim vedlikeholderkonto eller publiseringsprosessen ble kompromittert. Infostealeren samler inn skytjenestelegitimasjon, nettleserdata, passord, kryptolommebøker, AI verktøykonfigurasjoner, API nøkler og andre hemmeligheter, og kommuniserer med kommando- og kontrollservere over TLS. På Linux har skadevaren også støtte for å laste inn et eBPF-program i kjernen, mens Windows og macOS versjonene etablerer vedvarende tilgang ved hjelp av planlagte oppgaver eller LaunchAgents.

Anbefaling:

Oppgrader til jscrambler 8.15.0 eller gå tilbake til 8.13.0, fjern 8.14.0 fra lockfiler og cacher, og dersom versjon 8.14.0 har blitt installert, behandle alle tilgjengelige hemmeligheter som kompromitterte og roter nøkler, token og legitimasjon.

Ghostcommit skjuler prompt injection i bilder for å stjele hemmeligheter fra AI kodeagenter

Forskere ved University of Missouri–Kansas City har demonstrert Ghostcommit, en angrepsteknikk som skjuler prompt injection i PNG bilder for å få AI baserte kodeagenter til å lekke hemmeligheter fra kodearkiver. Angrepet utnytter at enkelte AI baserte kodegjennomgangsverktøy ikke analyserer bildefiler, samtidig som kodeagenter følger instruksjoner fra filer som AGENTS.md, der bildet refereres. Når en utvikler senere ber en AI agent utføre en tilsynelatende legitim oppgave, leser agenten instruksjonene i bildet, henter innholdet i .env-filen, koder dataene som en liste med heltall og skriver dem inn i kildekoden. Hemmelighetene kan deretter hentes ut fra et offentlig commit, uten at tradisjonelle hemmelighetsskannere oppdager lekkasjen. Forskerne fant at angrepet avhenger mer av hvordan AI verktøyet er implementert enn av hvilken språkmodell som brukes, og utviklet en multimodal GitHub applikasjon som analyserer både tekst og bilder for å oppdage denne typen angrep.

Anbefaling:

Bruk kodegjennomgangsverktøy som analyserer både tekst og bilder, begrens AI agenters tilgang til sensitive filer som .env, og overvåk uventet tilgang til hemmeligheter under kjøring.

Dell BIOS svakhet gjør det mulig å hente administratorpassord fra SPI Flash på millisekunder

Forskere har avdekket en sårbarhet i hvordan enkelte Dell enheter lagrer BIOS passord i SPI Flash. Svakheten skyldes en mangelfull XOR basert kryptering som gjør det mulig å gjenopprette BIOS administratorpassord svært raskt fra en flash dump. Ifølge opplysningene påvirkes flere Dell plattformer, og Dell har bekreftet funnene. Dell har publisert sikkerhetsoppdateringer for enkelte berørte plattformer, mens oppdateringer for andre modeller fortsatt er under arbeid.

Anbefaling:

Installer Dells tilgjengelige sikkerhetsoppdateringer for berørte plattformer.

Sårbarheter:

RedHook malware misbruker Wireless ADB for å oppnå utvidede privilegier på Android

Group-IB har analysert en ny versjon av Android skadevaren RedHook, som misbruker Wireless ADB for å oppnå skalltilgang (UID 2000) uten behov for root eller tilkobling til en datamaskin. Angrepet starter med at brukeren lures til å gi skadevaren tilgang til Androids tilgjengelighetstjenester, som deretter brukes til å aktivere utviklerinnstillinger og Wireless Debugging automatisk. Skadevaren leser parkoblingskoden som vises på skjermen, kobler seg til enhetens ADB tjeneste via 127.0.0.1 og benytter Shizuku til å utføre privilegerte skallkommandoer og endre beskyttede systeminnstillinger. RedHook beholder samtidig sine RAT funksjoner, blant annet skjermdeling, tastelogging, innsamling av kontakter og SMS, installasjon og fjerning av apper, kameratilgang og opprettelse av falske dialogvinduer. Ifølge Group-IB benytter skadevaren flere mekanismer for vedvarende tilgang og distribueres gjennom sosial manipulering, der angripere utgir seg for å være offentlige myndigheter eller finansinstitusjoner og leder ofrene til falske Google Play nettsteder.

Anbefaling:

Installer apper kun fra Google Play, kontroller hvilke tillatelser apper ber om, og sørg for at Google Play Protect er aktivert.

Posted by tsoc at 12:08 0 comments

Friday, 10 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.10

Ny GigaWiper bakdør kombinerer datavisking, falsk ransomware og spionfunksjoner.

Ny GigaWiper bakdør kombinerer datavisking, falsk ransomware og spionfunksjoner

Microsoft har analysert en ny Windows bakdør kalt GigaWiper, som kombinerer flere destruktive funksjoner og spionkapasiteter i én skadevareplattform. Skadevaren kan overskrive hele fysiske disker, slette Windows-partisjonen eller kryptere filer ved hjelp av en falsk ransomware funksjon som ikke lagrer krypteringsnøkkelen, noe som gjør gjenoppretting umulig. I tillegg kan GigaWiper ta skjermbilder, gjøre skjermopptak, opprette skjulte VNC-økter, samle systeminformasjon, administrere prosesser og tjenester, endre registeret og slette Windows-hendelseslogger for å skjule aktivitet. For vedvarende tilgang oppretter den en planlagt oppgave kalt OneDrive Update, mens kommando og kontrolltrafikk sendes via RabbitMQ, Redis og MinIO for å fremstå som legitim nettverkstrafikk. Microsoft opplyser at GigaWiper gjenbruker kode fra de tidligere skadevarene Crucio og FlockWiper, mens Binary Defense omtaler de samme skadevareprøvene som BLUERABBIT.

Anbefaling:

Aktiver Microsoft Defender Tamper Protection, blokker de kjente kommando og kontrollserverne, aktiver Endpoint Detection and Response (EDR) i blokkmodus, og sørg for å ha oppdaterte sikkerhetskopier lagret offline.

Posted by tsoc at 12:03 0 comments

Thursday, 9 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.09

Kritiske sårbarheter i UniFi OS gir risiko for kommandoinjeksjon og fjernangrep. Falske 7-Zip installasjonsprogrammer gjør enheter til noder i et proxy botnett. APT-C-20 skjuler shellkode i PNG bilder for å starte en filløs C# bakdør. Microsoft retter RoguePlanet nulldagssårbarhet i Microsoft Defender. Palo Alto Networks retter flere sårbarheter i PAN-OS.

Kritiske sårbarheter i UniFi OS gir risiko for kommandoinjeksjon og fjernangrep

Ubiquiti har publisert sikkerhetsoppdateringer for totalt syv kritiske sårbarheter i UniFi OS, inkludert en maksimal alvorlighetsgrad (CVE-2026-50746). Denne sårbarheten påvirker UniFi Connect applikasjonen, som brukes til administrasjon og automatisering av blant annet smarte byggsystemer. Feilen kan utnyttes av en angriper med nettverkstilgang til å utføre kommandoinjeksjon på enheten.

I tillegg er seks andre kritiske sårbarheter patchet i komponenter som UniFi Talk, Access, Protect og selve UniFi OS Server. Flere av disse kan utnyttes med lav kompleksitet uten brukerinteraksjon, noe som øker risikoen betydelig, spesielt siden over 100 000 UniFi instanser er eksponert mot internett.

Anbefaling:

Ubiquiti anbefaler å oppdatere til nyere versjoner (minst 3.4.20 for Connect) umiddelbart. Det anbefales også å begrense ekstern eksponering og overvåke systemer for mistenkelig aktivitet, da slike enheter historisk har vært mål for botnett og statlige trusselaktører.

Falske 7-Zip installasjonsprogrammer gjør enheter til noder i et proxy botnett

Infoblox har avdekket en trusselaktør kalt Lurking Lizard, som siden minst august 2022 har drevet en ulovlig virksomhet basert på et botnett av kompromitterte enheter som fungerer som proxy noder. I en kampanje tidligere i år ble brukere lokket til å laste ned et trojanisert 7-Zip installasjonsprogram fra domenet 7zip[.]com, som rekrutterte enhetene til botnettet. Infrastrukturanalysen viser at aktøren benytter over 230 domenelignende nettsteder, falske installasjonsprogrammer, VPN-tjenester og falske anmeldelsessider for å spre skadevaren og markedsføre egne proxy tjenester. I følge artikkelen brukes kompromitterte enheter som utgående proxy noder for tredjepartstrafikk, samtidig som nettverket kommersialiseres gjennom falske proxy leverandører. Infrastruktur og WHOIS analyser peker mot at Lurking Lizard opererer fra Kina, og kampanjen omfatter Windows, macOS, Android og andre plattformer.

APT-C-20 skjuler shellkode i PNG bilder for å starte en filløs C# bakdør

En kampanje knyttet til APT-C-20 benytter et ondsinnet dokument med VBA makro som første angrepsledd, før skadevaren etablerer vedvarende tilgang gjennom COM kapring og misbruk av explorer.exe. Den sentrale DLL en henter deretter ut skjult shellkode fra et PNG bilde ved hjelp av LSB steganografi, hvor data er lagret i bildepikslene og dekrypteres før kjøring i minnet. Shellcoden laster en C# basert bakdør reflektivt direkte i minnet, slik at den endelige nyttelasten kan kjøres uten å skrive en kjørbar fil til disk. Kampanjen benytter også en legitim skylagringstjeneste for kommando og kontrolltrafikk, noe som gjør aktiviteten vanskeligere å oppdage med tradisjonelle sikkerhetskontroller. Angrepskjeden kombinerer makroer, COM kapring, steganografi og minnebasert kjøring for å redusere spor på kompromitterte systemer.

Microsoft retter RoguePlanet nulldagssårbarhet i Microsoft Defender

Microsoft har publisert en sikkerhetsoppdatering som retter nulldagssårbarheten RoguePlanet i Microsoft Defender. Sårbarheten, identifisert som CVE-2026-50656, skyldes en race condition i Microsoft Malware Protection Engine som gjør det mulig å oppnå lokale SYSTEM rettigheter på fullt oppdaterte Windows 10 og Windows 11 systemer. Sårbarheten ble offentlig kjent etter at en sikkerhetsforsker publiserte en fungerende proof-of-concept, og Microsoft utviklet deretter en sikkerhetsoppdatering. En vellykket utnyttelse gir angriperen en kommandolinje med SYSTEM rettigheter, som kan brukes til å kjøre vilkårlig kode eller utføre handlinger med de høyeste lokale privilegiene.

Anbefaling:

Installer Microsofts sikkerhetsoppdatering for Microsoft Defender som retter CVE-2026-50656.

Sårbarheter:

Palo Alto Networks retter flere sårbarheter i PAN-OS

Palo Alto Networks har publisert sikkerhetsoppdateringer som retter flere sårbarheter i PAN OS, inkludert en autentisert kommandoinjeksjon, en bufferoverløpssårbarhet i User-ID Terminal Server Agent, XML injeksjon i Large Scale VPN (LSVPN) og en SSRF sårbarhet i administrasjonsgrensesnittet. CVE-2026-0286 gjør det mulig for en administrator med CLI tilgang å kjøre vilkårlige kommandoer på det underliggende operativsystemet. CVE-2026-0288 kan føre til bufferoverløp i User-ID Terminal Server Agent, mens CVE-2026-0284 og CVE-2026-0285 påvirker henholdsvis LSVPN og administrasjonsgrensesnittet. Palo Alto Networks har publisert oppdateringer for de berørte versjonene av PAN OS, og enkelte sårbarheter kan midlertidig reduseres ved hjelp av Threat Prevention signaturer, men leverandøren anbefaler oppgradering til en rettet versjon.

Anbefaling:

Oppgrader PAN-OS til en versjon som inneholder sikkerhetsrettelsene for de berørte CVE-ene.

Posted by tsoc at 12:16 0 comments

Wednesday, 8 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.08

GitLost angrep kan få GitHub Agentic Workflows til å lekke data fra private kodearkiver. 15 år gammel GhostLock kjernefeil muliggjør rettighetseskalering i store Linux distribusjoner. The Gentlemen ransomware med tilpassede EDR/AV killere skaleres raskere for å angripe bransjer over hele verden.

GitLost angrep kan få GitHub Agentic Workflows til å lekke data fra private kodearkiver

Forskere fra Noma Security har demonstrert GitLost, en angrepsteknikk som kan få GitHub Agentic Workflows til å publisere innhold fra en organisasjons private GitHub repositorier i en offentlig kommentar. Angrepet utnytter indirekte prompt injection, der ondsinnede instruksjoner skjules i en offentlig GitHub issue som AI agenten behandler. Dersom agenten har lesetilgang til private repositorier på tvers av organisasjonen, kan den hente ut innhold fra disse og publisere det i et offentlig svar uten at angriperen trenger legitimasjon eller tilgang til organisasjonen. Forskerne viste at en enkel endring av ordlyden, blant annet ved å innlede instruksjonen med «Additionally», var nok til å omgå GitHubs innebygde beskyttelsesmekanismer i proof-of-concept-testen. Ifølge artikkelen skyldes problemet en arkitektonisk begrensning ved AI agenter som både behandler ubetrodd innhold, har tilgang til private data og kan publisere informasjon offentlig, snarere enn en tradisjonell programvarefeil.

Anbefaling:

Begrens agentens tilgang til kun de repositoriene den trenger, unngå organisasjonsomfattende lesetilgang, begrens hva offentlige arbeidsflyter kan publisere, og krev menneskelig gjennomgang før AI genererte svar publiseres.

15 år gammel GhostLock kjernefeil muliggjør rettighetseskalering i store Linux distribusjoner

En lokal privilegieeskaleringssårbarhet i Linux kjernen har eksistert siden 2011 og har fått navnet GhostLock. Sårbarheten påvirker Linux kjernens fil låsemekanisme (file locking) og skyldes en logisk feil som gjør det mulig å manipulere låsetilstander slik at en lokal bruker kan oppnå root rettigheter. Angrepet krever lokal tilgang til systemet, hvor en angriper utnytter feil håndtering av låser for å eskalere privilegier. Konsekvensen er full kompromittering av det berørte systemet med root tilgang, og leverandører har publisert sikkerhetsoppdateringer som retter feilen.

Sårbarheter:

The Gentlemen ransomware med tilpassede EDR/AV killere skaleres raskere for å angripe bransjer over hele verden.

Gentlemen er en ransomwaregruppe som har økt omfanget av angrepene sine globalt og beskrives som en av de raskest voksende ransomware truslene i 2026. Gruppen oppstod etter en betalingskonflikt i Qilin RaaS programmet og opererer nå som en egen menneskestyrt Ransomware-as-a-Service-plattform som Microsoft sporer som Storm-2697. Angrepene benytter egendefinerte verktøy som avslutter EDR og antivirusprosesser for å redusere muligheten for oppdagelse før kryptering av systemer. Artikkelen beskriver at gruppen retter seg mot virksomheter i flere bransjer verden over og benytter profesjonelle arbeidsmetoder for å gjennomføre angrep i stor skala.

Posted by tsoc at 12:17 0 comments

Tuesday, 7 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.07

JadePuffer ransomware automatiserte hele angrepet med en AI agent. Ny SkillCloak-teknikk lar ondsinnede AI gentferdigheter omgå statiske skannere. Phishing utgir seg for jobbintervjuer fra kjente merkevarer for å stjele Google-kontoer.

JadePuffer ransomware automatiserte hele angrepet med en AI agent

Sysdig beskriver JadePuffer som det de mener er det første dokumenterte ransomware angrepet som ble gjennomført fra start til slutt av en autonom AI agent basert på en stor språkmodell (LLM). Angrepet startet med utnyttelse av CVE-2025-3248, en sårbarhet i Langflow som muliggjør uautentisert fjernkjøring av kode. AI agenten gjennomførte rekognosering, hentet ut legitimasjon, etablerte vedvarende tilgang, utførte sideveis forflytning og kompromitterte en Alibaba Nacos instans ved blant annet å utnytte CVE-2021-29441. Deretter krypterte den 1 342 Nacos konfigurasjoner, slettet de opprinnelige tabellene og opprettet en løsepengetabell med betalingsinformasjon. Ifølge Sysdig tilpasset AI agenten automatisk angrepet ved feil, blant annet ved å endre fremgangsmåte etter mislykkede innloggingsforsøk og ved å justere behandlingen av svar fra MinIO. Forskerne peker på at denne typen autonome AI agenter kan redusere kompetansekravet for å gjennomføre avanserte cyberangrep, samtidig som AI genererte nyttelaster kan gi nye muligheter for deteksjon.

Ny SkillCloak-teknikk lar ondsinnede AI gentferdigheter omgå statiske skannere

Forskere har demonstrert teknikken SkillCloak, som gjør at ondsinnede ferdigheter (skills) for AI kodeassistenter kan skjules slik at statiske sikkerhetsskannere ikke oppdager dem, samtidig som funksjonaliteten bevares. Ferdighetene kan brukes av AI agenter som blant annet Claude Code, OpenAI Codex og OpenClaw, og kjører med agentens tilgang til filer, terminal og lagrede hemmeligheter. Teknikken benytter både strukturell obfuskering og en selvutpakkende pakkemetode som lagrer nyttelasten i kataloger skannere hopper over, før den gjenoppbygges først under kjøring. I testen omgikk den selv-utpakkende metoden alle de åtte undersøkte skannerne i over 90 % av tilfellene, mens forskerne også presenterte SkillDetonate, en sandkassebasert kjøretidskontroll som overvåker filtilgang, prosesser og nettverkstrafikk og oppdaget 97 % av angrepene i laboratorietester. Artikkelen understreker at teknikken SkillCloak foreløpig er demonstrert i forskning og ikke er bekreftet brukt i stor skala, men viser til eksisterende ondsinnede ferdigheter i offentlige markedsplasser som allerede benytter lignende omgåelsesteknikker.

Anbefaling:

Overvåk ferdigheters oppførsel under kjøring i tillegg til statisk skanning, og installer kun skills fra verifiserte kilder med minst mulige nødvendige rettigheter.

Phishing utgir seg for jobbintervjuer fra kjente merkevarer for å stjele Google-kontoer

En phishing kampanje utgir seg for å være jobbintervjuer fra over 30 kjente selskaper blant annet Adobe, Netflix, Coca-Cola og OpenAI, for å stjele Google brukerdetaljer fra ansatte innen markedsføring. Kampanjen misbruker den legitime HR plattformen PeopleForce og et domene tilknyttet Salesforce Marketing Cloud, før brukeren videresendes gjennom flere legitime tjenester til en falsk innloggingsside. Angriperne bruker navn og bilder av reelle rekrutterere og benytter en «browser-in-the-browser» (BitB) teknikk der et falskt Google innloggingsvindu gjengis med HTML og CSS inne på phishing siden for å etterligne ekte autentisering. Ifølge artikkelen har kampanjen vært aktiv i minst fem måneder, og benytter minst 34 domener som etterligner kjente selskaper med mål om å samle inn Google kontolegitimasjon.

Posted by tsoc at 12:11 0 comments
Subscribe to: Posts (Atom)
 
>