Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Thursday, 6 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.06

INC Ransomware Utnytter SonicWall SMA 1000 Sårbarheter i Pågående Angrep. CISA varsler om aktiv utnyttelse av kritisk TeamCity RCE-sårbarhet. OVSwrap-feil i Linux-kjernen gir lokal bruker root-rettigheter via Open vSwitch.

INC Ransomware Utnytter SonicWall SMA 1000 Sårbarheter i Pågående Angrep

Sikkerhetsforskere har observert at ransomwaregruppen INC Ransomware aktivt utnytter de nylig avslørte sårbarhetene CVE-2026-15409 og CVE-2026-15410 i SonicWall SMA 1000-enheter. Sårbarhetene gjør det mulig for angripere å fjernkjøre kode og kompromittere VPN-apparater som ofte fungerer som en sentral inngangsport til virksomhetsnettverk. Forskerne påpeker at svakhetene ble benyttet som zero-days før sikkerhetsoppdateringene ble tilgjengelige, og angriperne har brukt tilgangen til å hente ut legitimasjon, aktive sesjoner og MFA-relaterte data før videre bevegelse inn i de kompromitterte miljøene. Flere private og offentlige organisasjoner internasjonalt skal allerede ha blitt rammet av kampanjen.

Anbefaling:

Virksomheter som benytter SonicWall SMA 1000 bør installere tilgjengelige sikkerhetsoppdateringer umiddelbart, gjennomgå VPN- og autentiseringslogger for tegn på uautorisert aktivitet og vurdere rotasjon av passord og MFA-relaterte hemmeligheter dersom kompromittering mistenkes. Det anbefales også å gjennomføre trusseljakt i miljøer der sårbare enheter har vært eksponert mot internett.

CISA varsler om aktiv utnyttelse av kritisk TeamCity RCE-sårbarhet

Den amerikanske sikkerhetsmyndigheten CISA har lagt til CVE-2026-63077 i katalogen over kjente utnyttede sårbarheter (KEV), noe som bekrefter at sårbarheten utnyttes aktivt. Sårbarheten rammer JetBrains TeamCity On-Premises og gjør det mulig for en uautentisert angriper å omgå autentisering og kjøre vilkårlige operativsystemkommandoer via TeamCitys agent polling protokoll. Feilen er klassifisert som kritisk med en CVSS-score på 9,8 og er knyttet til CWE-502 (Deserialisering av ikke-klarerte data). Vellykket utnyttelse gir angriperen de samme rettighetene som TeamCity serverprosessen, noe som kan føre til kompromittering av CI/CD-miljøer, lagrede legitimasjoner, konfigurasjoner og programvareleveransekjeder. JetBrains har rettet sårbarheten i versjonene 2025.11.7 og 2026.1.3, og tilbyr i tillegg en sikkerhetsplugin for eldre installasjoner som ikke kan oppgraderes umiddelbart. TeamCity Cloud er ikke berørt av problemet.

Anbefaling:

Oppgrader TeamCity On-Premises til versjon 2025.11.7 eller 2026.1.3 umiddelbart, eller installer JetBrains sikkerhetsplugin dersom oppgradering ikke er mulig.

Sårbarheter:

OVSwrap-feil i Linux-kjernen gir lokal bruker root-rettigheter via Open vSwitch

En ny sårbarhet med navnet OVSwrap påvirker Open vSwitch-modulen i Linux-kjernen og gjør det mulig for en lokal bruker uten spesielle rettigheter å oppnå root-rettigheter. Feilen skyldes minnekorrupsjon i Open vSwitch-datapath, utløst gjennom spesiallagde OVS Netlink-meldinger. Ifølge artikkelen finnes det et offentlig konseptbevis som støtter et stort antall ulike Linux-kjerneversjoner. Sårbarheten berører systemer hvor Open vSwitch-kjernemodulen er lastet. Det er ikke oppgitt at sårbarheten er observert i aktive angrep på publiseringstidspunktet. Administratorer anbefales å installere sikkerhetsoppdateringer så snart de blir tilgjengelige.

Anbefaling:

Installer sikkerhetsoppdateringer for Linux-kjernen når de blir tilgjengelige. Dersom Open vSwitch ikke benyttes, deaktiver eller svartelist Open vSwitch-modulen. Begrens lokal brukertilgang på systemer som kjører Open vSwitch frem til oppdateringer er installert.

Posted by tsoc at 12:09 0 comments

Wednesday, 5 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.05

INC Ransomware Utnytter SonicWall SMA 1000 Sårbarheter i Pågående Angrep.

INC Ransomware Utnytter SonicWall SMA 1000 Sårbarheter i Pågående Angrep

Sikkerhetsforskere har observert at ransomwaregruppen INC Ransomware aktivt utnytter de nylig avslørte sårbarhetene CVE-2026-15409 og CVE-2026-15410 i SonicWall SMA 1000-enheter. Sårbarhetene gjør det mulig for angripere å fjernkjøre kode og kompromittere VPN-apparater som ofte fungerer som en sentral inngangsport til virksomhetsnettverk. Forskerne påpeker at svakhetene ble benyttet som zero-days før sikkerhetsoppdateringene ble tilgjengelige, og angriperne har brukt tilgangen til å hente ut legitimasjon, aktive sesjoner og MFA-relaterte data før videre bevegelse inn i de kompromitterte miljøene. Flere private og offentlige organisasjoner internasjonalt skal allerede ha blitt rammet av kampanjen.

Anbefaling:

Virksomheter som benytter SonicWall SMA 1000 bør installere tilgjengelige sikkerhetsoppdateringer umiddelbart, gjennomgå VPN- og autentiseringslogger for tegn på uautorisert aktivitet og vurdere rotasjon av passord og MFA-relaterte hemmeligheter dersom kompromittering mistenkes. Det anbefales også å gjennomføre trusseljakt i miljøer der sårbare enheter har vært eksponert mot internett.

Posted by tsoc at 12:33 0 comments

Tuesday, 4 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.04

Skjuler skadevare i nettleserens bildebuffer med DOUBLECUP ClickFix-tjeneste. Russiske hackere kompromitterer hotell Wi-Fi for å stjele Microsoft 365-kontoer.

Skjuler skadevare i nettleserens bildebuffer med DOUBLECUP ClickFix-tjeneste

En ny russiskspråklig Loader as a Service kalt DOUBLECUP benytter ClickFix teknikken for å levere skadevare til både Windows og macOS systemer. Tjenesten skjuler nyttelasten i PNG bilder som lagres i nettleserens buffer slik at skadevaren hentes fra en lokal buffer i stedet for direkte fra internett. Ifølge artikkelen leveres blant annet CountLoader og en tidligere ukjent fjernstyringstrojaner kalt DeviceManager. DeviceManager skal benytte Ethereum baserte smartkontrakter for å hente kommando og kontrolladresser noe som gjør infrastrukturen vanskeligere å blokkere. Kampanjen benytter falske innloggingssider og ClickFix-lokkemidler for å få brukeren til å kjøre PowerShell kommandoer manuelt.

Russiske hackere kompromitterer hotell Wi-Fi for å stjele Microsoft 365-kontoer

Den russiske trusselaktøren Midnight Blizzard (APT29), sporet av Microsoft som Storm-2945, har gjennomført en global kampanje kalt CaptiveCrunch mot hotell og konferansenettverk. Angriperne manipulerer DNS og HTTP trafikk på Wi-Fi infrastruktur med captive portal funksjonalitet for å omdirigere brukere til falske Microsoft 365 innloggingssider, Entra ID device code phishing eller falske programvareoppdateringer. Kampanjen benytter skadevarene CornFlake og ChocoShell, som gir vedvarende tilgang, legitimasjonstyveri, overvåking og dataeksfiltrering. CornFlake er en Go-basert RAT som kan utføre fjernkommandoer, tastelogging, skjermbilder, mikrofon og webkameraovervåking, tyveri av nettleserdata og Microsoft 365 økter, samt filtyveri. ChocoShell er en PowerShell basert minne-resident informasjonsstjeler som retter seg mot informasjonskapsler, lagrede passord, Microsoft 365- og Azure AD-tokener samt Wi-Fi legitimasjon. Microsoft identifiserte også et administrasjonspanel kalt FruitStone, brukt til å styre kompromitterte systemer, kjøre PowerShell kommandoer og hente ut data fra ofre.

Anbefaling:

Behandle hotell og konferanse Wi-Fi som ikke-pålitelige nettverk, bruk phishing resistent autentisering med MFA og passkeys, og unngå å installere oppdateringer eller verktøy som tilbys via captive portal sider.

Posted by tsoc at 12:03 0 comments

Monday, 3 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.03

Adobe Campaign Classic sårbarhet kan gi fjernkjøring av kode uten brukerinteraksjon. Angripere overtar N-central-servere etter ufullstendig sikkerhetsfiks. Arch Linux stanser pakkeovertakelser etter ny malware-kampanje. Ny MacSync skadevare stjeler passord og kryptovaluta gjennom falske Claude-guider.

Adobe Campaign Classic sårbarhet kan gi fjernkjøring av kode uten brukerinteraksjon

Adobe har publisert sikkerhetsoppdateringer for Adobe Campaign Classic (ACC) etter avdekking av sårbarheten CVE-2026-48449. Sårbarheten har en CVSS score på 10,0 og skyldes feil i autorisasjonskontroller, noe som kan gjøre det mulig for en angriper å kjøre vilkårlig kode i konteksten til den innloggede brukeren uten at brukeren foretar seg noe.

Oppdateringen retter også CVE-2026-48448 (CVSS 8,6), en SQL injeksjonssårbarhet som kan gi uautorisert tilgang til filer på systemet. Adobe opplyser at de per nå ikke kjenner til aktiv utnyttelse av noen av sårbarhetene, men anbefaler at berørte installasjoner oppdateres umiddelbart. Feilene er rettet i Adobe Campaign Classic v7.4.3 build 9398 for både Windows og Linux.

Virksomheter som benytter Adobe Campaign Classic bør prioritere oppdatering, da vellykket utnyttelse kan føre til kompromittering av systemer, tilgang til sensitiv informasjon og videre angrep i miljøet.

Anbefaling:

Oppdater til siste tilgjengelige versjon av ACC så snart som mulig, og verifiser at alle ACC instanser kjører build 9398 eller nyere.

Angripere overtar N-central-servere etter ufullstendig sikkerhetsfiks

En autentiseringsomgåelse i N-able N-central har blitt aktivt utnyttet for å oppnå administrativ tilgang til N-central-servere og videre tilgang til administrerte kundeenheter. Sårbarhetene CVE-2026-18556 og CVE-2026-18577 skyldes autentiseringsomgåelse via alternative tilgangsveier (CWE-288), der den opprinnelige sikkerhetsfiksen i versjon 2026.2 viste seg å være utilstrekkelig. Etter kompromittering av N-central-servere brukte angriperne funksjonen Take Control for å nå administrerte endepunkter og installerte Cloudflare tunneler som tjenester for å opprettholde vedvarende tilgang. Tunnelene oppretter utgående forbindelser til Cloudflares nettverk og krever derfor verken åpne porter eller innkommende brannmurregler. N-able startet etterforskning 31. juli etter å ha oppdaget et uvanlig antall lisensfeil hos kunder, og bekreftet at et begrenset antall organisasjoner var berørt. Ifølge Huntress fikk angriperne tilgang til ni organisasjoner gjennom én selvhostet N-central-instans, hvor aktivitetene så langt hovedsakelig bestod av kartlegging av kjørende prosesser på kompromitterte endepunkter.

Anbefaling:

Oppgrader alle N-central-installasjoner til versjon 2026.3.1.7 og undersøk administrerte endepunkter for uautoriserte Cloudflared tjenester og andre kompromitteringsindikatorer som er oppgitt av N-able.

Arch Linux stanser pakkeovertakelser etter ny malware-kampanje

Arch Linux har midlertidig deaktivert adopsjon av AUR-pakker etter en bølge av ondsinnede pakkeovertakelser. Tiltaket ble innført etter at angripere skal ha tatt kontroll over eksisterende pakker og publisert skadelig kode gjennom Arch User Repository (AUR).

Ifølge sikkerhetsforskere startet kampanjen 29. juli og benytter en tofase-infeksjon. Første steg etablerer persistens på systemet og laster deretter ned en Rust-basert infostealer via Tor-nettverket. Skadevaren er i stand til å stjele blant annet nettleserdata, kryptolommebøker, SSH-nøkler, API-nøkler og annen sensitiv informasjon, samtidig som den gir angriperen fjernstyring av den kompromitterte enheten.

Rapporter antyder at over 200 AUR-pakker kan være berørt, men omfanget er foreløpig ikke bekreftet av Arch Linux. Kampanjen kommer kun uker etter at over 400 AUR-pakker ble kompromittert i et lignende angrep.

Anbefaling: Organisasjoner som benytter Arch Linux eller AUR-pakker bør gjennomgå nylig installerte eller oppdaterte pakker, verifisere pakkekilder og overvåke systemer for uautorisert aktivitet knyttet til SSH-nøkler, API-nøkler og andre sensitive legitimasjoner.

Ny MacSync skadevare stjeler passord og kryptovaluta gjennom falske Claude-guider

MacSync er en macOS basert informasjonsstjeler som distribueres gjennom sponsede søkeresultater og falske Claude installasjonsveiledninger. Angrepet starter når offeret blir overtalt til å kjøre en Base64 obfuskert kommando i Terminal, som laster ned en flertrinns infeksjonskjede bestående av AppleScript, datatyveri moduler og en vedvarende fjernstyringskomponent. Skadevaren forsøker å få Full Disk Access, samler inn nettleserdata, informasjonskapsler, nøkkelringdata, Telegram-økter, SSH-nøkler, skytjenestelegitimasjon og andre utviklerrelaterte hemmeligheter. Den viser deretter falske systemdialoger for å innhente macOS passord og pakker inn stjålne data for opplasting til angriperkontrollerte servere. MacSync etablerer vedvarende tilgang ved å installere en fjernstyringskomponent som kan kjøre kommandoer, overføre filer og ta skjermbilder. Skadevaren retter seg spesielt mot kryptovaluta ved å lete etter data fra rundt 60 nettleserutvidelser og 21 skrivebordsbaserte kryptolommebøker, og kan erstatte enkelte lommebokapplikasjoner med trojaniserte versjoner som samler inn gjenopprettingsfraser.

Anbefaling:

Last ned programvare kun fra offisielle leverandørsider og unngå å kjøre terminal kommandoer fra veiledninger eller annonser som ikke er verifisert.

Posted by tsoc at 12:24 0 comments

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.03

Adobe Campaign Classic sårbarhet kan gi fjernkjøring av kode uten brukerinteraksjon. Angripere overtar N-central-servere etter ufullstendig sikkerhetsfiks. Arch Linux stanser pakkeovertakelser etter ny malware-kampanje. Ny MacSync skadevare stjeler passord og kryptovaluta gjennom falske Claude-guider.

Adobe Campaign Classic sårbarhet kan gi fjernkjøring av kode uten brukerinteraksjon

Adobe har publisert sikkerhetsoppdateringer for Adobe Campaign Classic (ACC) etter avdekking av sårbarheten CVE-2026-48449. Sårbarheten har en CVSS score på 10,0 og skyldes feil i autorisasjonskontroller, noe som kan gjøre det mulig for en angriper å kjøre vilkårlig kode i konteksten til den innloggede brukeren uten at brukeren foretar seg noe.

Oppdateringen retter også CVE-2026-48448 (CVSS 8,6), en SQL injeksjonssårbarhet som kan gi uautorisert tilgang til filer på systemet. Adobe opplyser at de per nå ikke kjenner til aktiv utnyttelse av noen av sårbarhetene, men anbefaler at berørte installasjoner oppdateres umiddelbart. Feilene er rettet i Adobe Campaign Classic v7.4.3 build 9398 for både Windows og Linux.

Virksomheter som benytter Adobe Campaign Classic bør prioritere oppdatering, da vellykket utnyttelse kan føre til kompromittering av systemer, tilgang til sensitiv informasjon og videre angrep i miljøet.

Anbefaling:

Oppdater til siste tilgjengelige versjon av ACC så snart som mulig, og verifiser at alle ACC instanser kjører build 9398 eller nyere.

Angripere overtar N-central-servere etter ufullstendig sikkerhetsfiks

En autentiseringsomgåelse i N-able N-central har blitt aktivt utnyttet for å oppnå administrativ tilgang til N-central-servere og videre tilgang til administrerte kundeenheter. Sårbarhetene CVE-2026-18556 og CVE-2026-18577 skyldes autentiseringsomgåelse via alternative tilgangsveier (CWE-288), der den opprinnelige sikkerhetsfiksen i versjon 2026.2 viste seg å være utilstrekkelig. Etter kompromittering av N-central-servere brukte angriperne funksjonen Take Control for å nå administrerte endepunkter og installerte Cloudflare tunneler som tjenester for å opprettholde vedvarende tilgang. Tunnelene oppretter utgående forbindelser til Cloudflares nettverk og krever derfor verken åpne porter eller innkommende brannmurregler. N-able startet etterforskning 31. juli etter å ha oppdaget et uvanlig antall lisensfeil hos kunder, og bekreftet at et begrenset antall organisasjoner var berørt. Ifølge Huntress fikk angriperne tilgang til ni organisasjoner gjennom én selvhostet N-central-instans, hvor aktivitetene så langt hovedsakelig bestod av kartlegging av kjørende prosesser på kompromitterte endepunkter.

Anbefaling:

Oppgrader alle N-central-installasjoner til versjon 2026.3.1.7 og undersøk administrerte endepunkter for uautoriserte Cloudflared tjenester og andre kompromitteringsindikatorer som er oppgitt av N-able.

Arch Linux stanser pakkeovertakelser etter ny malware-kampanje

Arch Linux har midlertidig deaktivert adopsjon av AUR-pakker etter en bølge av ondsinnede pakkeovertakelser. Tiltaket ble innført etter at angripere skal ha tatt kontroll over eksisterende pakker og publisert skadelig kode gjennom Arch User Repository (AUR).

Ifølge sikkerhetsforskere startet kampanjen 29. juli og benytter en tofase-infeksjon. Første steg etablerer persistens på systemet og laster deretter ned en Rust-basert infostealer via Tor-nettverket. Skadevaren er i stand til å stjele blant annet nettleserdata, kryptolommebøker, SSH-nøkler, API-nøkler og annen sensitiv informasjon, samtidig som den gir angriperen fjernstyring av den kompromitterte enheten.

Rapporter antyder at over 200 AUR-pakker kan være berørt, men omfanget er foreløpig ikke bekreftet av Arch Linux. Kampanjen kommer kun uker etter at over 400 AUR-pakker ble kompromittert i et lignende angrep.

Anbefaling: Organisasjoner som benytter Arch Linux eller AUR-pakker bør gjennomgå nylig installerte eller oppdaterte pakker, verifisere pakkekilder og overvåke systemer for uautorisert aktivitet knyttet til SSH-nøkler, API-nøkler og andre sensitive legitimasjoner.

Ny MacSync skadevare stjeler passord og kryptovaluta gjennom falske Claude-guider

MacSync er en macOS basert informasjonsstjeler som distribueres gjennom sponsede søkeresultater og falske Claude installasjonsveiledninger. Angrepet starter når offeret blir overtalt til å kjøre en Base64 obfuskert kommando i Terminal, som laster ned en flertrinns infeksjonskjede bestående av AppleScript, datatyveri moduler og en vedvarende fjernstyringskomponent. Skadevaren forsøker å få Full Disk Access, samler inn nettleserdata, informasjonskapsler, nøkkelringdata, Telegram-økter, SSH-nøkler, skytjenestelegitimasjon og andre utviklerrelaterte hemmeligheter. Den viser deretter falske systemdialoger for å innhente macOS passord og pakker inn stjålne data for opplasting til angriperkontrollerte servere. MacSync etablerer vedvarende tilgang ved å installere en fjernstyringskomponent som kan kjøre kommandoer, overføre filer og ta skjermbilder. Skadevaren retter seg spesielt mot kryptovaluta ved å lete etter data fra rundt 60 nettleserutvidelser og 21 skrivebordsbaserte kryptolommebøker, og kan erstatte enkelte lommebokapplikasjoner med trojaniserte versjoner som samler inn gjenopprettingsfraser.

Anbefaling:

Last ned programvare kun fra offisielle leverandørsider og unngå å kjøre terminal kommandoer fra veiledninger eller annonser som ikke er verifisert.

Posted by tsoc at 12:01 0 comments

Friday, 31 July 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.31

Kritiske VMware sårbarheter krever umiddelbar oppdatering.

Kritiske VMware sårbarheter krever umiddelbar oppdatering

Broadcom har publisert sikkerhetsoppdateringer for fem sårbarheter i VMware vCenter, ESX, Workstation og Fusion. Tre av dem er klassifisert som kritiske og kan gjøre det mulig for angripere å omgå autentisering, kjøre vilkårlig kode eller bryte ut av en virtuell maskin til vertssystemet.

De mest alvorlige sårbarhetene påvirker vCenter og kan utnyttes av en uautentisert angriper med nettverkstilgang. En tredje kritisk feil i VMXNET3-nettverksadapteren kan gi kodekjøring på ESX verten fra en kompromittert virtuell maskin. Broadcom beskriver oppdateringene som en hasteendring og anbefaler at berørte organisasjoner installerer sikkerhetsoppdateringene så raskt som mulig.

Det finnes foreløpig ingen indikasjoner på aktiv utnyttelse, men VMware miljøer er attraktive mål for både ransomware grupper og andre avanserte trusselaktører. Sårbarhetene påvirker også VMware Cloud Foundation, vSphere Foundation og flere telco-produkter.

Anbefaling:

Prioriter oppdatering av VMware vCenter- og ESX-systemer, og verifiser at administrasjonsgrensesnitt ikke er eksponert mot internett eller ubetrodde nettverk.

Posted by tsoc at 15:05 0 comments

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.07.31

Kritiske VMware sårbarheter krever umiddelbar oppdatering.

Kritiske VMware sårbarheter krever umiddelbar oppdatering

Broadcom har publisert sikkerhetsoppdateringer for fem sårbarheter i VMware vCenter, ESX, Workstation og Fusion. Tre av dem er klassifisert som kritiske og kan gjøre det mulig for angripere å omgå autentisering, kjøre vilkårlig kode eller bryte ut av en virtuell maskin til vertssystemet.

De mest alvorlige sårbarhetene påvirker vCenter og kan utnyttes av en uautentisert angriper med nettverkstilgang. En tredje kritisk feil i VMXNET3-nettverksadapteren kan gi kodekjøring på ESX verten fra en kompromittert virtuell maskin. Broadcom beskriver oppdateringene som en hasteendring og anbefaler at berørte organisasjoner installerer sikkerhetsoppdateringene så raskt som mulig.

Det finnes foreløpig ingen indikasjoner på aktiv utnyttelse, men VMware miljøer er attraktive mål for både ransomware grupper og andre avanserte trusselaktører. Sårbarhetene påvirker også VMware Cloud Foundation, vSphere Foundation og flere telco-produkter.

Anbefaling:

Prioriter oppdatering av VMware vCenter- og ESX-systemer, og verifiser at administrasjonsgrensesnitt ikke er eksponert mot internett eller ubetrodde nettverk.

Posted by tsoc at 12:41 0 comments
Subscribe to: Posts (Atom)
 
>