Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2024.05.29

Omgåelse av Web Application Firewall (WAF)-teknikker. Microsoft skriver om den Nord-Koreanske aktøren Moonstone Sleet. USA sanksjonerer tre personer knyttet til proxy-nettverk.

---

Omgåelse av Web Application Firewall (WAF) teknikker

Sikkerhetseksperten Shubham Shah har offentliggjort metoder for å omgå sikkerheten i WAFer (Web Application Firewall) ved å utnytte størrelsesbegrensningene for forespørsler, som de fleste WAFer har. Disse metodene går ut på å fylle HTTP-forespørsler med søppeldata som overskrider WAFens inspeksjonsgrense, slik at skadelige data kan omgå inspeksjon.

For å forenkle bruken av denne teknikken introduserer Shah en ny Burp Suite-plugin kalt «nowafpls» som automatisk legger inn søppeldata i HTTP-forespørsler. I tillegg har en annen forsker lansert en Burp Suite-utvidelse kalt «BurpGPT», som utnytter OpenAIs GPT-språkmodeller til å analysere HTTP-trafikk og automatisk oppdage sårbarheter som Cross-Site Scripting (XSS) og feilkonfigurerte HTTP-headere.

Referanser:

https://github.com/assetnote/nowafpls https://youtu.be/0OMmWtU2Y_g?feature=shared

Microsoft skriver om den Nord-Koreanske aktøren Moonstone Sleet

Microsoft følger mange trusselaktører og har nå navngitt og skrevet en bloggpost om en ny aktør fra Nord-Korea kalt "Moonstone Sleet". Aktøren benytter seg blant annet av falske firmaer og jobbmuligheter, lager trojaniserte utgaver av kjente verktøy og lager dataspill med malware innebygget. Aktøren har noe overlapp i handlingsmåte med andre aktører fra samme land, men operer med egen infrastruktur.

Referanser:

https://www.microsoft.com/en-us/security/blog/2024/05/28/moonstone-sleet-emerges-as-new-north-korean-threat-actor-with-new-bag-of-tricks/

USA sanksjonerer tre personer knyttet til proxy-nettverk

USA har innført sanksjoner mot tre personer med kinesisk statsborgerskap. Disse har solgt tilgang til et botnet, som har blitt brukt av diverse grupperinger til dataangrep, trusler og svindel. Botnettet hadde i 2022 tilgang til 19 millioner IP-adresser som kunne benyttes av brukerne for å skjule sin egentlige IP-adresse og lokasjon.

Referanser:

https://therecord.media/us-sanctions-chinese-botnet-proxy