Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Friday, 8 August 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.08.08

Nytt EDR-killerverktøy brukt av åtte forskjellige ransomware-grupper. SonicWall finner ingen SSLVPN-zero-day angrep, og kobler ransomware-angrep til feil i 2024. Microsoft advarer om kritisk sårbarhet i hybrid Exchange-distribusjoner.

Nytt EDR-killerverktøy brukt av åtte forskjellige ransomware-grupper

En ny, sofistikert EDR-killer (Endpoint Detection and Response-killer), videreutviklet fra RansomHub sitt «EDRKillShifter», har blitt observert i angrep fra åtte ulike ransomware-grupper: RansomHub, Blacksuit, Medusa, Qilin, Dragonforce, Crytox, Lynx og INC. Verktøyet bruker en tungt obfuskert binærfil som dekodes ved kjøring og injiseres i legitime applikasjoner. Det søker etter en digitalt signert, men stjålet eller utgått sertifikat-basert driver med et fem-tegns tilfeldig navn, laster den inn i kernel-modus og utløser et BYOVD-angrep (Bring Your Own Vulnerable Driver) for å oppnå kjernesrettigheter. Driveren utgir seg for å være legitim – som CrowdStrike Falcon Sensor Driver – men deaktiverer AV/EDR-prosesser og tjenester fra en rekke leverandører, inkludert Sophos, Microsoft Defender, Kaspersky, Symantec, Trend Micro, SentinelOne, Cylance, McAfee, F-Secure, HitmanPro og Webroot. Til tross for ulike varianter i drivernavn, målte AV-er og byggkarakteristikker, benyttes HeartCrypt for pakking, og det finnes indikasjoner på deling av verktøy og kunnskap mellom konkurrenter innen ransomware-industrien

SonicWall finner ingen SSLVPN-zero-day angrep, og kobler ransomware-angrep til feil i 2024

SonicWall har bekreftet at de nylige Akira-ransomware-angrepene mot Gen 7 brannmurer med SSL-VPN aktivert ikke skyldes en ny (ukjent) zero-day-sårbarhet, men snarere utnyttelse av en allerede kjent streng tilgangskontroll-feil, CVE-2024-40766, oppdaget og utbedret i august 2024. Angrepene skyldes i stor grad migrasjon fra Gen 6 til Gen 7, der lokale brukerpassord ble overført uten å tilbakestilles – en anbefalt sikkerhetsprosedyre ble dermed ikke fulgt. Den kritiske sårbarheten ga angripere tilgang til VPN eller administrasjonsgrensesnitt, noe som førte til rask ransomware-deployering gjennom den kompromitterte SSL-VPN-tilgangen

Anbefaling:

SonicWall anbefaler umiddelbare tiltak for å begrense risikoen: Oppdater til SonicOS versjon 7.3.0 eller nyere. Tilbakestill alle lokale brukerkonto-passord som ble migrert fra Gen 6 til Gen 7 med SSL-VPN-tilgang. Deaktiver SSL-VPN hvis mulig, eller begrens tilgang via IP-whitelisting

Sårbarheter:

Microsoft advarer om kritisk sårbarhet i hybrid Exchange-distribusjoner

Microsoft har avdekket en «high-severity» sårbarhet (CVE-2025-53786, CVSS 8.0) i hybrid Exchange-distribusjoner som gjør det mulig for en angriper med admin-tilgang på en lokal Exchange-server å eskalere privilegier og få tilgang til Exchange Online uten å etterlate spor i sky-audit-logger. Feilen skyldes deling av samme service-principal mellom lokal Exchange og Exchange Online. Til tross for at det ikke er observert aktiv utnyttelse ennå, vurderer Microsoft at utnyttelsespotensialet er høyt.

Anbefaling:

Installer April 2025 Hotfix for Exchange Server eller nyere

Sårbarheter:

Posted by tsoc at 11:01 0 comments

Thursday, 7 August 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.08.07

ReVaultflaws lar hackere omgå Windows-pålogging på Dell-bærbare datamaskiner. Akira ransomware misbruker CPU-tuningverktøyet for å deaktivere Microsoft Defender. Ny Ghost Calls-taktikk misbruker Zoom og Microsoft Teams for C2-operasjoner. Fake VPN- og Spam‑Blokker‑apper knyttet til VexTrio brukt i annonsebedrageri.

ReVaultflaws lar hackere omgå Windows-pålogging på Dell-bærbare datamaskiner

En ny serie sårbarheter — kalt ReVault — har blitt oppdaget i Dell ControlVault3 (og ControlVault3⁺) firmware og tilhørende Windows-API-er. Disse påvirker over 100 modeller av Latitude- og Precision-laptoper. Sårbarhetene inkluderer to out-of-bounds-feil (CVE‑2025‑24311, CVE‑2025‑25050), et "arbitrary free"-problem (CVE‑2025‑25215), en stack-overflow (CVE‑2025‑24922), og usikker deserialisering (CVE‑2025‑24919). Ved hjelp av disse kan angripere utføre kode på firmware-nivå via legitime API-er, noe som muliggjør vedvarende tilgang selv etter OS-reinstallasjon, samt omgå Windows-pålogging og manipulere biometri (fingeravtrykk) slik at enhver finger aksepteres — alt uten å kjenne til diskpassord eller legitimasjon. (Cisco Talos via BleepingComputer)

Anbefaling:

Installer umiddelbart oppdateringer for ControlVault3/3⁺ firmware (via Dell-nettside eller Windows Update). Deaktiver fingerprint-pålogging i miljøer med høy risiko

Akira ransomware misbruker CPU-tuningverktøyet for å deaktivere Microsoft Defender

Akira‑ransomwaren misbruker en legitim Intel‑driver for CPU‑tuning kalt rwdrv.sys (tilknyttet ThrottleStop) ved å registrere den som en tjeneste for å oppnå kjernenivå (kernel‑level) tilgang. Deretter brukes en ondsinnet driver, hlpdrv.sys, som også registreres som tjeneste. Denne driveren endrer Windows Defender‑innstillinger i registret for å deaktivere antivirusbeskyttelse (DisableAntiSpyware) ved hjelp av regedit.exe. Teknikken betegnes som en BYOVD‑angrep (Bring Your Own Vulnerable Driver) og har vært observert ofte i Akira‑IR‑saker siden 15. juli 2025. GuidePoint Security har delt en YARA‑regel for hlpdrv.sys og en omfattende liste over IOCs (indikatorer på kompromiss), inkludert tjenestenavn og filbaner

Ny Ghost Calls-taktikk misbruker Zoom og Microsoft Teams for C2-operasjoner

En ny post‑exploitation metode kalt »Ghost Calls» misbruker TURN-servere i videokonferanseverktøy som Zoom og Microsoft Teams for å opprette skjult command‑and‑control‑(C2)‑trafikk via WebRTC. Teknikken bruker legitime TURN-legitimasjoner og spesialverktøy for å rekonfigurere trafikken slik at den ser ut som normal videokonferanse, og dermed omgår brannmurer, proxyer og TLS-inspeksjon. Forskningsverktøyet TURNt (tilgjengelig via GitHub) muliggjør SOCKS-proxying, port-forwarding, dataeksfiltrasjon og skjult VNC-trafikk, uten å utnytte noen sårbarheter i selve Zoom eller Teams.

Anbefaling:

Overvåk uvanlige bruksmønstre i WebRTC/TURN-trafikk, spesielt under videomøter. Legg inn filter- og inspeksjonsregler som kan identifisere unormal WebRTC‑trafikk eller proxy‑aktiviteter.

Fake VPN- og Spam‑Blokker‑apper knyttet til VexTrio brukt i annonsebedrageri

Den ondskapsfulle ad-tech-gruppen VexTrio Viper har utviklet flere falske apper – inkludert VPN-er, RAM-rensere, datingtjenester og spam-blokkere – som er publisert i App Store og Google Play under falske utviklernivåer som HolaCode, LocoMind, Hugmi, Klover Group og AlphaScale Media. Disse appene, som samlet har blitt lastet ned millioner av ganger, lurer brukere til å abonnere på tjenester som er vanskelige å avbryte, oversvømmer dem med annonser og samler inn personlig informasjon som e-postadresser. Et eksempel er appen Spam Shield block, som hevder å blokkere push-varsler, men i stedet fakturerer brukere flere ganger.

Posted by tsoc at 10:16 0 comments

Wednesday, 6 August 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.08.06

15 000 falske TikTok-butikkdomener leverer skadelig programvare og stjeler krypto via AI-drevet svindelkampanje. Cisco avslører datainnbrudd som påvirker Cisco.com-brukerkontoer.

15 000 falske TikTok-butikkdomener leverer skadelig programvare og stjeler krypto via AI-drevet svindelkampanje

Sikkerhetsforskere (CTM360) har avdekket en global kampanje, kalt “FraudOnTok” eller “ClickTok”, som opererer med over 15 000 domener som etterligner TikTok Shop (f.eks. med .shop, .top, .icu). Disse nettstedene brukes til phishing – stjeling av brukerinnlogging og betaling – og distribusjon av trojaniserte TikTok-apper. Appene inneholder SparkKitty‑malware som kan stjele lagrede nettleserdata, klippelisteinnhold og kryptovolum fra seed‑fraser via OCR og enhetsfingeravtrykk. Scammen bruker AI-genererte videoannonser og falske påvirkere til å få brukerne til å installere appene eller foreta kryptobetalinger til falske “nettbutikker”. Kampanjen har vokst raskt med tusenvis av nye domener registrert i løpet av få uker

Cisco avslører datainnbrudd som påvirker Cisco.com-brukerkontoer

Cisco har 1. august 2025 bekreftet at en ansatt ble latt lure via voice phishing (vishing), hvor en ondsinnet aktør utga seg for å være en betrodd part og fikk tilgang til en tredjeparts CRM‑instans. Gjennom dette eksporterte angriperen begrenset brukerdata fra Cisco.com‑kontoer—navn, organisasjonsnavn, adresse, Cisco‑ID, e‑postadresse, telefonnummer og metadata som kontoopprettelsesdato. Ingen passord, økonomisk informasjon, eller kundespesifikk proprietær data ble tatt. Bare én CRM‑instans ble påvirket, og Cisco bekrefter at deres interne systemer og andre CRM‑instanser ikke ble kompromittert. Bruddets rekkevidde mht. antall berørte brukere nevnes ikke. Cisco iverksatte tiltak for å stanse tilgangen umiddelbart, startet intern undersøkelse, og har varslet berørte brukere etter krav i lov. Videre tiltak inkluderer opplæring av personell i å oppdage vishing‑forsøk.

Posted by tsoc at 09:59 0 comments

Monday, 4 August 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.08.04

Akira Ransomware Utnytter SonicWall VPN (Mulig Zero-Day). Angripere utnytter lenkepakkingstjenester for å stjele Microsoft 365-pålogginger. Ny Linux-bakdør Plague oppdaget.

Akira Ransomware Utnytter SonicWall VPN (Mulig Zero-Day)

I slutten av juli 2025 har Akira‑ransomware-gruppen intensivt angrepet SonicWall SSL VPN-apparater, inkludert fullt patched enheter, noe som antyder en mulig zero‑day sårbarhet i SonicOS. Angrepene startet rundt 15. juli, med flere VPN-innbrudd etterfulgt av rask kryptering og datatyveri, ofte samme dag. Autentiseringsmetoder kan inkludere kredittkort-stuffing eller stjålne VPN-legitimasjoner, men sårbarhet uavklart. Forskerne oppfordrer til midlertidig deaktivering av SSL VPN og økt overvåkning av VPN-tilgang via hosting-ASNer.

Anbefaling:

Deaktiver SonicWall SSL VPN midlertidig inntil sikkerhetsoppdatering er implementert. Installer nyeste SonicOS firmware som dekker CVE‑2024‑40766 for Gen 5, 6 og tidlig Gen 7 enheter.

Sårbarheter:

Angripere utnytter lenkepakkingstjenester for å stjele Microsoft 365-pålogginger

Forskere har avdekket en phishing-kampanje fra juni til juli 2025, hvor angripere misbruker link-wrapping tjenester fra anerkjente leverandører som Proofpoint og Intermedia for å skjule ondsinnede lenker som leder til Microsoft 365 phishing-sider. Teknikken inkluderer et multi-nivå omdirigeringskjede: først URL-forkorter (f.eks. Bitly), deretter link-wrapping fra en kompromittert konto, før brukeren ender på en falsk Microsoft-side som samler inn legitimasjonsdata. E-postene har ofte temaer som "avlyttet telefonsvarer", Microsoft Teams-dokumentdeling, eller sikker melding fra Zix, med oppfordring til å klikke gjennom link-wrap-tjenesten

Ny Linux-bakdør Plague oppdaget

Sikkerhetsforskere har oppdaget en hittil ukjent Linux-bakdør kalt Plague, som har vært aktiv i over ett år. Plague fungerer som en ondsinnet PAM-modul og gir angripere mulighet til å omgå autentisering og stjele påloggingsdetaljer. Den muliggjør også permanent SSH-tilgang til kompromitterte systemer. Malwaret benytter avansert obfuskering og manipulerer miljøvariabler for å skjule spor etter bruk og er laget for å overleve systemoppdateringer.

Posted by tsoc at 10:26 0 comments

Wednesday, 30 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.30

Sårbarheter i Apple‑produkter og i SonicWall SonicOS.

Sårbarheter i Apple‑produkter og i SonicWall SonicOS

JustisCERT varsler om omfattende sårbarheter i Apple-produkter og i SonicWall-virusprodukt SonicOS i 2025. Apple har rettet til sammen 29 sårbarheter i iOS og iPadOS 18.3, 17 i iPadOS 17.7.4, 61 i macOS Sequoia 15.3, 41 i macOS Sonoma 14.7.3, 31 i macOS Ventura 13.7.3, samt flere i Safari, tvOS, visionOS og watchOS. SonicWall SonicOS-sårbarheter (fra bulletiner 7.01.2025) omfatter 1 alvorlig klassifisert CVE‑gruppe (CVSS 6.5–8.2) relatert til omgåelse av autentisering i SSL‑VPN og SSH

Anbefaling:

Oppdater alle berørte Apple-enheter til iOS/iPadOS 18.3 eller nyere, macOS 15.3/14.7.3/13.7.3, Safari 18.3, tvOS 18.3, visionOS 2.3 og watchOS 11.3. For SonicWall SonicOS: oppdater til siste firmware for å rette CVE-ene. Begrens eksterne administrasjons-IP’er, aktiver MFA, geo-blokker og prioriter eksponerte systemer og de med sensitive data.

Posted by tsoc at 10:16 0 comments

Monday, 28 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.28

Feil i Post-SMTP-plugin eksponerer uoppdaterte WordPress-nettsteder for kapringsangrep.

Feil i Post-SMTP-plugin eksponerer uoppdaterte WordPress-nettsteder for kapringsangrep

En ny sårbarhet, CVE‑2025‑24000, er oppdaget i Post-SMTP‑plugin for WordPress som er blitt installert på over 400 000 nettsteder. Den påvirker alle versjoner opp til og med 3.2.0, og skyldes en mangelfull tilgangskontroll i REST‑API‑endepunktet. Den sjekker kun om brukeren er innlogget, og ikke brukerens brukerrollenivå. Dermed kan brukere med lav privilegier få tilgang til e‑postlogger, sette i gang tilbakestilling av passord for administratorer, fange opp tilbakestillings-e-post via loggene, og ta over admin‑kontoen. Oppdatering med privilegiekontroll ble utgitt i versjon 3.3.0 11. juni 2025, men mindre enn halvparten av plugin-modulens brukerbase har oppdatert til versjon 3.3.

Anbefaling:

Det anbefales sterkt å oppdatere umiddelbart Post SMTP‑pluginet til versjon 3.3.0 eller nyere for å få på plass riktig tilgangsvalidering.

Posted by tsoc at 10:38 0 comments

Friday, 25 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.25

SonicWall utgir en oppdatering for CVE-2025-40599 i SMA 100-serien. Storm-2603 utnytter SharePoint svakheter for å utplassere Warlock skadevare på uoppdaterte systemer.

SonicWall utgir en oppdatering for CVE-2025-40599 i SMA 100-serien

SonicWall har utgitt en oppdatering som advarer om en kritisk filopplastningssårbarhet (CVE-2025-40599) i nettgrensesnittet til SMA 100-serien som inkluderer SMA 210, 410, og 500v. Sårbarheten kan gi brukere med administrator tilgang til å laste opp vilkårlige filer og oppnå fjernstyrt kode eksekvering med root-privilegier. Denne sårbarheten har fått CVSS score 9,1 og anses som kritisk, selv om det foreløpig ikke er observert noen utnyttelser.

Anbefaling:

SonicWall anbefaler sterkt å oppgradere umiddelbart til versjon 10.2.2.1-90sv, og organisasjoner bør undersøke for IoC relatert til UNC6148-angrep.

Storm-2603 utnytter SharePoint svakheter for å utplassere Warlock skadevare på uoppdaterte systemer

Sammen med de kinesiske statssponsede APT-gruppene Linen Typhoon og Violet Typhoon, har gruppen Storm-2603 utnyttet nye nulldags svakheter i lokale Microsoft SharePoint servere. Dette gjelder svakhetene CVE-2025-49706 og CVE-2025-59704, samt variantene CVE‑2025‑53771 og CVE‑2025‑53770. Utnyttelse av svakhetene vil gi angriperene uautorisert og vedvarende tilgang til sårbare systemer, i tillegg til at de kan installere web-shells og stjele ASP.NET MachineKeys. Angrepene har nå eskalert til distribusjon av Warlock løsepengevirus i minst 400 kompromitterte organisasjoner verden over.

Anbefaling:

Microsoft har utgitt nødoppdateringer og anbefaler umiddelbar installasjon av sikkerhetsoppdateringer, rotasjon av nøkkelmateriale, aktivering av AMSI og Defender, og USS restart.

Posted by tsoc at 12:22 0 comments

Wednesday, 23 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.23

Cisco: Maximum‑severity ISE RCE‑feil utnyttes nå i angrep.

Cisco: Maximum‑severity ISE RCE‑feil utnyttes nå i angrep

Cisco advarer om at tre kritiske, pre‑autentiserte RCE‑sårbarheter (CVE‑2025‑20281, CVE‑2025‑20282 og CVE‑2025‑20337, alle med CVSS 10.0) i Identity Services Engine (ISE) og ISE Passive Identity Connector nå aktivt blir utnyttet i angrep. Sårbarhetene tillater angripere å kjøre kode som root uten pålogging, via manipulerte API‑kall eller filopplastinger.

Anbefaling:

Oppdater umiddelbart til: ISE 3.3 → Patch 7 (3.3 Patch 7 dekker CVE‑2025‑20281 og CVE‑2025‑20337) ISE 3.4 → Patch 2 (dekker alle tre sårbarheter). Det finnes ingen midlertidige tiltak, patch er den eneste løsningen.

Posted by tsoc at 09:53 0 comments

Tuesday, 22 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.22

PoisonSeed hackerne omgår FIDO-nøkler med QR-koder.

PoisonSeed hackerne omgår FIDO-nøkler med QR-koder

PoisonSeed utfører en sofistikert phishing‑kampanje som utnytter WebAuthn‑funksjonen "cross‑device sign‑in" for å omgå FIDO‑nøkler. Når ofrer surfer inn på en falsk innloggingsside (f.eks. Okta-typosquat), oppgir de legitime legitimasjoner. Angriperen bruker disse til å starte en ekte innlogging som utløser en QR‑kode – som sendes tilbake til offeret via phishing‑siden. Når offeret skanner koden med deres MFA-app, godkjennes angriperens økt og får tilgang til brukerens konto, uten at den fysiske FIDO‑nøkkelen benyttes.

Anbefaling:

Overvåk autentiseringslogger for uvanlig aktivitet (kryss‑enhetstilgang, nye nøkkelregistreringer, geografiske anomali). Aktiver Bluetooth-proximity for kryss‑enhets‑godkjenning (krever fysisk nærvær) hvor mulig. Øk bevissthet gjennom opplæring rundt phishing og risikable QR‑koder.

Posted by tsoc at 09:31 0 comments

Monday, 21 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.21

Microsoft frigir nødoppdateringer for SharePoint RCE-sårbarheter utnyttet i angrep.

Microsoft frigir nødoppdateringer for SharePoint RCE-sårbarheter utnyttet i angrep

Microsoft har utgitt nødoppdateringer for to aktive null-dag-sårbarheter, CVE-2025-53770 og CVE-2025-53771, som er blitt utnyttet i “ToolShell”-angrep mot lokale SharePoint-servere. Angrepene har rammet titalls organisasjoner verden over, med påvist utnyttelse siden 18. juli. Microsoft har derfor prioritert nødoppdateringer for SharePoint Server 2019, Subscription Edition, og jobber med patch for 2016-versjonen.

Anbefaling:

- Installer umiddelbart nødoppdateringene: KB5002754 for SharePoint Server 2019 og KB5002768 for Subscription Edition. Microsoft holder på med en oppdatering for SharePoint 2016 – installer straks når tilgjengelig.

Posted by tsoc at 11:34 0 comments

Friday, 18 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.18

Sårbarheter i produkter fra Cisco. VMware fikser fire ESXi-nulldagsfeil utnyttet hos Pwn2Own Berlin. Microsoft Teams taleanrop misbrukes til å spre Matanbuchus skadevare.

Sårbarheter i produkter fra Cisco

JustisCERT advarer om en alvorlig sårbarhet i Cisco Unified Intelligence Center (CUIC). Denne sårbarheten tillater uautorisert tilgang eller eskalering av rettigheter hos berørte systemer. Cisco har publisert fiks og anbefaler oppdatering umiddelbart for å unngå utnyttelse og potensielt alvorlige angrep.

Anbefaling:

Installér oppdateringen fra Cisco for CUIC umiddelbart. Følg sikkerhetsrådene fra Cisco for å sikre at systemene er fullstendig patchet.

VMware fikser fire ESXi-nulldagsfeil utnyttet hos Pwn2Own Berlin

VMware har utgitt oppdateringer som adresserer fire kritiske sårbarheter i ESXi, Workstation, Fusion og Tools. Tre av sårbarhetene (CVE‑2025‑41236, CVE‑2025‑41237, CVE‑2025‑41238) har alvorlighetsgrad 9.3 og tillater gjeste-VM å kjøre kode på vertshost via integer-overflow, integer-underflow og heap-overflow i henholdsvis VMXNET3, VMCI og PVSCSI. En fjerde (CVE‑2025‑41239) med alvorlighetsgrad 7.1 tillater informasjonslekkasje via VMware Tools for Windows. Alle ble demonstrert som zero-days under Pwn2Own Berlin i mai 2025.

Anbefaling:

VMware anbefaler umiddelbar oppgradering av ESXi, Workstation, Fusion og VMware Tools for Windows. Ingen midlertidige løsning finnes – oppdateringer må installeres.

Microsoft Teams taleanrop misbrukes til å spre Matanbuchus skadevare

Trusselaktører bruker Microsoft Teams taleanrop, utgir seg for å være IT-helpdesk, og lokker brukere til å starte Quick Assist og kjøre PowerShell-skript som pakker ut en ZIP-fil med ondsinnet Notepad++-oppdaterer og tilhørende DLL. Denne DLL-en, som inneholder Matanbuchus 3.0-loaderen, lastes via DLL side-loading og gir angriperne tilgang til avansert backdoor-funksjonalitet, inkludert in-memory loader, syscalls, obfuskering, persistens via regsvr32 og malware‑nedlastning.

Anbefaling:

Begrens bruk av Quick Assist og krev sterkere verifikasjon før brukere aksepterer support-anrop.

Posted by tsoc at 09:47 0 comments

Thursday, 17 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.17

Sårbarheter i produkter fra Atlassian, Oracle og Broadcom (VMware).

Sårbarheter i produkter fra Atlassian, Oracle og Broadcom (VMware)

JustisCERT varsler den 16. juli 2025 om alvorlige sårbarheter i produkter fra Atlassian, Oracle og Broadcom (VMware). Atlassian publiserte 15. juli 2025 hele 20 nye CVE‑numre med CVSS-scoringer mellom 7.2 og 8.8, og har rukket å lansere oppdateringer for alle støttede produkter. Oracle har publisert sine kvartalsvise sikkerhetsoppdateringer med flere kritiske hull, og VMware (eid av Broadcom) har rettet fire viktige sårbarheter som berører Aria, Cloud Foundation og vCenter. Berørte brukere anbefales å oppdatere øyeblikkelig.

Anbefaling:

Alle brukere av Atlassian‑produkter, Oracle Quarter­ly Patches og VMware‑produkter bes installere de tilgjengelige oppdateringene umiddelbart.

Posted by tsoc at 12:01 0 comments

Wednesday, 16 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.16

Hyper Volumetriske DDoS angrep rammer globale sektorer i Q2 av 2025. Nordkoreansk XORIndex skadevare skjult i 67 ondsinnede npm pakker. Interlock løsepengevirus tar i bruk FileFix metoden for å levere skadevare.

Hyper Volumetriske DDoS angrep rammer globale sektorer i Q2 av 2025

I andre kvartal 2025 blokkerte Cloudflare rekordstore DDoS angrep, inkludert et rekord stort angrep på 7.3 Tbps og 4.8 billioner pakker per sekund. Til tross for en nedgang fra Q1 i 2025, var volumet likevel 44% høyere enn Q2 2024. Hele 6 500+ hyper volumetriske angrep ble forhindret, hvor en tredel av alle angrep var på HTTP-lag.
Teleoperatører var mest rammet, etterfulgt av internett‑ og IT‑sektoren. Mens de største kildene til angrep inkluderer Indonesia, Singapore, og Hongkong.

Anbefaling:

Cloudflare anbefaler å implementere skybasert volumetrisk DDoS beskyttelse med smarte rate begrensninger for UDP trafikk, stenge unødvendige eller ubrukte UDP-porter, deaktivere reflekterende tjenester, og sette adaptive terskler som hindrer påvirkning på legitime tjenester.

Nordkoreansk XORIndex skadevare skjult i 67 ondsinnede npm pakker

Nordkoreanske statshackerne bak operasjonen "Contagious Interview" har plassert 67 ondsinnede npm pakker på Node Package Manager, med over 17 000 nedlastinger som distribuerer ny malware‑loader kalt XORIndex. Når de installeres starter et postinstall skript som profilerer vertsmaskinen og henter Javaskript payloads fra en hardkodet C2 adresse hos Vercel. Disse payloads inkluderer BeaverTail informasjonstyver og InvisibleFerret bakdør, noe som gir angriperne tilgang til data og maskiner. Kampanjen er en oppfølging av forrige bølge med HexEval Loader, og aktørene benytter skiftevis aliaser og pakker for å unngå oppdagelse.

Anbefaling:

Det anbefales å kun stole på etablerte prosjekt‑eieres npm-pakker, i tillegg til at man bør undersøke postinstall skript og kildekode for potensielle obfuskerte elementer.

Interlock løsepengevirus tar i bruk FileFix metoden for å levere skadevare

Interlock løsepengevirus gruppen har begynt å bruke en ny sosial ingeniørteknikk kalt "FileFix" for å distribuere sin PHP-baserte Remote Access Trojan (RAT). Ved hjelp av kompromitterte nettsider og et injeksjonsverktøy kalt KongTuke ledes ofre til falske CAPTCHA sider. Deretter blir de instruert til å lime inn en tilsynelatende filsti i utforskerens adressefelt, som i realiteten er en kamuflert PowerShell kommando som laster ned og kjører en PHP-RAT.

Anbefaling:

Man bør unngå å kopiere og lime kommandoer fra upålitelige kilder, slå av "adressefelt‑eksekvering" i File Explorer hvis mulig, og trene brukere til å være skeptiske til uvanlige instruksjoner og CAPTCHA sider.

Posted by tsoc at 12:03 0 comments

Tuesday, 15 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.15

Gigabyte hovedkort sårbare for UEFI skadelig programvare som omgår Secure Boot.

Gigabyte hovedkort sårbare for UEFI skadelig programvare som omgår Secure Boot

Forskere hos Binarly oppdaget fire alvorlige sårbarheter i UEFI fastware for over 240 Gigabyte modeller. Sårbarhetene finnes i SMI håndterere og gir angripere med lokal eller fjern administrator tilgang mulighet til å skrive til SMRAM. Etterfulgt av kjøring av kode i System Management Mode under Secure Boot nivået. Dette åpner for bootkit infeksjoner som overlever gjennom OS reinstallasjoner. Sårbarhetene det er snakk om har alle fått en score på 8.2, og er følgende:

CVE‑2025‑7026, CVE‑2025‑7027, CVE‑2025‑7028, og CVE‑2025‑7029.

Anbefaling:

Brukere bør overvåke for fastvareoppdateringer fra Gigabyte, og anvende dem umiddelbart. Hvis oppdatering ikke tilbys, bør aktuelt maskinvare vurderes og skiftes ut.

Posted by tsoc at 12:36 0 comments

Monday, 14 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.14

Hackere utnytter kritisk RCE-sårbarhet i Wing FTP Server. Kritisk sårbarhet i mcp-remote gir mulighet for ekstern kodekjøring.

Hackere utnytter kritisk RCE-sårbarhet i Wing FTP Server

Hackere har aktivt utnyttet en kritisk sårbarhet (CVE‑2025‑47812) i Wing FTP Server kun en dag etter at tekniske detaljer ble offentliggjort. Sårbarheten, som kombinerer null byte og Lua kodeinjeksjon i brukernavnfeltet, gjør det mulig for uautentiserte angripere å kjøre kode med root/SYSTEM rettigheter. Angrepene har vist rekognosering, opprettelse av nye brukere og nedlasting av skadelig payload via certutil og cURL. Flere IP-adresser har skannet og forsøkt å utnytte servere som kjører versjon 7.4.3 og tidligere.

Anbefaling:

Oppgrader umiddelbart til Wing FTP Server versjon 7.4.4 eller nyere. Hvis oppgradering ikke er mulig umiddelbart, anbefales det å begrense eller deaktivere HTTP/HTTPS tilgang til adminportalen eller overvåke sesjon katalogen for mistenkelige Lua filer og nye brukere.

Kritisk sårbarhet i mcp-remote gir mulighet for ekstern kodekjøring

Forskere har oppdaget en kritisk RCE sårbarhet (CVE‑2025‑6514, CVSS 9.6/10) i open-source verktøyet mcp‑remote (versjoner 0.0.5–0.1.15), brukt som lokal proxy for MCP klienter som Claude Desktop. En ondsinnet MCP server kan, under tilkobling og autorisasjonsfase, injisere OS kommandoer som kjøres på brukerens maskin. På Windows kan dette gi full parameterkontroll, mens macOS/Linux får kjøring av vilkårlige eksekverbare filer med begrenset kontroll. Sårbarheten er fikset i versjon 0.1.16 utgitt 17. juni 2025.

Anbefaling:

Brukere bør oppdatere til mcp‑remote v0.1.16 eller nyere, og kun koble til MCP servere man stoler på over HTTPS.

Posted by tsoc at 10:41 0 comments

Friday, 11 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.11

PerfektBlue Bluetooth-sårbarheter rammer Mercedes, Volkswagen og Skoda-biler. Fake Gaming and AI Firms Pusher Malware mot kryptobrukere via Telegram og Discord. AMD advarer om ’Transient Scheduler Attacks’ – mikroarkitektur-sårbarheter. New ZuRu Malware Variant målrettet mot macOS-utviklere via falsk Termius-app.

PerfektBlue Bluetooth-sårbarheter rammer Mercedes, Volkswagen og Skoda-biler

Sikkerhetsforskere ved PCA Cyber Security har avdekket fire alvorlige Bluetooth-sårbarheter i BlueSDK-biblioteket utviklet av OpenSynergy. Disse sårbarhetene, som har fått samlebetegnelsen «PerfektBlue», finnes i infotainment-systemer brukt i biler fra blant annet Mercedes-Benz, Volkswagen og Skoda. Sårbarhetene (CVE‑2024‑45431, ‑45432, ‑45433 og ‑45434) muliggjør blant annet fjernangrep med en-klikk utførelse (RCE). Slike angrep kan gi uvedkommende tilgang til sensitiv informasjon som GPS-posisjon, samtalelogg og kontaktlister, og i verste fall åpne for videre kompromittering av kjøretøyets mer kritiske systemer.

Anbefaling:

OpenSynergy utga patcher i september 2024. Anbefalt tiltak er at bilprodusenter umiddelbart ruller ut disse firmware‑oppdateringene til sluttbrukerne, og at brukere aktiverer paringsverifikasjon – ikke automatisk pairing – for Bluetooth-enheter.

Fake Gaming and AI Firms Pusher Malware mot kryptobrukere via Telegram og Discord

Cyberkriminelle oppretter falske gaming- og AI-firmaer på Telegram og Discord som tilbyr "gratis" eller "premium" verktøy, men distribuerer i stedet malware rettet mot kryptobrukere. Disse lurer brukere til å laste ned trojanere som stjeler private nøkler, seed-fraser og kryptovaluta-plånbøker. Angrepene sprer seg gjennom SEO-forgiftede domenenavn og sosiale medier, og retter seg særlig mot brukere av Discord- og Telegram-grupper for krypto. Dette gir angriperne full kontroll over ofrenes digitale midler.

AMD advarer om ’Transient Scheduler Attacks’ – mikroarkitektur-sårbarheter

AMD har offentliggjort en ny klasse spesifikke side-kanal-sårbarheter kalt Transient Scheduler Attacks (TSA) i sine prosessorer. Sårbarhetene utnytter timing-informasjon fra CPU-arkitekturens håndtering av instruksjoner – spesielt i L1 cache og store queue. Med lokal kjøring av kode kan angripere utlede data fra tidligere prosesskontekster. Totalt fire CVE-er er identifisert, hvor to er klassifisert som Medium (CVE‑2024‑36350 og CVE‑2024‑36357) og to som Low (CVE‑2024‑36348 og CVE‑2024‑36349). Samlet sett kan disse brukes sammen for å eksfiltrere sensitiv informasjon fra både desktop-, mobil- og datasenterprosessorer

New ZuRu Malware Variant målrettet mot macOS-utviklere via falsk Termius-app

Forskningsrapport fra SentinelOne, avslører en ny variant av macOS‑malware kalt ZuRu som kamuflerer seg som den legitime SSH-klienten Termius. Dette skjer via et modifisert .dmg-installasjonsbilde som inneholder en .localized‑loader og en ondsinnet “Termius Helper1”. Loaderen setter opp persistens, sammenligner MD5-hash og laster ned en modifisert Khepri C2-backdoor fra download.termius[.]info, som gir angripere mulighet til filoverføring, prosesskontroll og ekstern kjøring på kompromitterte macOS 14.1+ systemer.

Anbefaling:

Installer kun Termius fra offisiell kilde og unngå .dmg-filer fra tredjepartsnettsteder og piratkopierte apper.

Posted by tsoc at 12:29 0 comments

Thursday, 10 July 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.07.10

Microsoft Remote Desktop Client Vulnerability Allows Remote Code Execution. FortiOS Buffer Overflow-sårbarhet Tillater Angripere å Utføre Vilkårlig Kod. Ny sårbarhet i ServiceNow lar angripere utvinne begrenset data.

Microsoft Remote Desktop Client Vulnerability Allows Remote Code Execution

En nylig oppdaget sårbarhet i Microsoft Remote Desktop Client, identifisert som CVE‑2025‑48817 med en CVSS‑score på 8,8, gjør det mulig for angripere å utføre vilkårlig kode på klientmaskinen. Dette skjer ved at en ondsinnet RDP‑server utnytter en sti‑traversal‑feil når en bruker kobler til, noe som gir full kontroll over systemet. Sårbarheten påvirker alle Windows-versjoner fra Server 2008 opp til Windows 11 24H2. Microsoft har utgitt en patch den 8. juli 2025, og brukere oppfordres til å oppdatere umiddelbart

Anbefaling:

Installer Microsofts sikkerhetsoppdatering publisert 8. juli 2025 umiddelbart

Sårbarheter:

FortiOS Buffer Overflow-sårbarhet Tillater Angripere å Utføre Vilkårlig Kod

Fortinet har utgitt en sikkerhetsadvarsel om en heap-basert buffer overflow i cw_stad-daemonen i FortiOS (CVE‑2025‑24477). Sårbarheten gir en autentisert angriper mulighet til å kjøre vilkårlig kode eller kommandoer ved hjelp av spesiallagde forespørsler. Sårbarheten er klassifisert som medium (CVSS 4.0), men har alvorlig konsekvens for privilegieeskalering. Berørte versjoner inkluderer FortiOS 7.6.0–7.6.1, 7.4.0–7.4.7 og 7.2.4–7.2.11, og krav til oppgradering til 7.6.3, 7.4.8 eller 7.2.12 for å lukke feilen. Enkelte FortiWiFi-modeller som brukes som trådløse klienter er også berørt

Sårbarheter:

Ny sårbarhet i ServiceNow lar angripere utvinne begrenset data

En ny sårbarhet i ServiceNow, kalt “Count(er) Strike” (CVE‑2025‑3648), ble oppdaget av Varonis Threat Labs i februar 2025. Den gjør det mulig for brukere med lave privilegier å hente ut sensitive data fra tabeller selv uten full tilgang, ved å bruke feil i ACL‑logikken som tillater innsyn gjennom record count og filtreringsteknikker. Angripere kan gjennom URL‑baserte spørringer som STARTSWITH og CONTAINS iterere seg frem til feltverdier, som kan inkludere PII, konfigurasjonsopplysninger og brukernes legitimasjon. ServiceNow har utbedret problemet i Xanadu- og Yokohama-versjonene ved å endre tilgangsmodell og filtrering.

Sårbarheter:

Posted by tsoc at 09:56 0 comments

Wednesday, 9 July 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.07.09

Microsoft Juli 2025 Patche Tirsdag: fikser én zero‑day og 137 sårbarheter.

Microsoft Juli 2025 Patche Tirsdag: fikser én zero‑day og 137 sårbarheter

Microsoft har utgitt juli 2025 Patche Tirsdag‑oppdateringen som retter totalt 137 sårbarheter, inkludert én offentlig kjent zero‑day i Microsoft SQL Server (CVE‑2025‑49719) og 14 kritiske feil, blant dem flere fjernkjøring av kode (RCE) i Windows SPNEGO‑mekanismen (CVE‑2025‑47981) og i Microsoft Office/SharePoint. Sårbarhetene spenner over privilegieheving, informasjonslekkasje, sertifikatfeil, DOS og spoofing, med presserende anbefaling om snarlig oppgradering.

Anbefaling:

Installer umiddelbart alle oppdateringer via Windows Update (KB5062553/KB5062552/KB5062554) For SQL Server zero‑day: oppdater SQL-versjonen og installer OLE DB Driver 18 eller 19

Posted by tsoc at 10:21 0 comments

Tuesday, 8 July 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.07.08

Offentlige utnyttelser for Citrix Bleed 2 NetScaler-feil utgitt.

Offentlige utnyttelser for Citrix Bleed 2 NetScaler-feil utgitt

CitrixBleed2 (CVE-2025-5777) er en alvorlig sårbarhet i Citrix NetScaler-enheter som lar angripere hente ut minneinnhold og stjele brukersesjoner ved hjelp av feilformede innloggingsforespørsler. Sårbarheten ligner på den tidligere CitrixBleed-feilen fra 2023 og er enkel å utnytte. Selv om Citrix hevder at det ikke finnes bevis for aktiv utnyttelse, har sikkerhetsforskere funnet indikasjoner på det motsatte. Det er sterkt anbefalt å installere tilgjengelige sikkerhetsoppdateringer umiddelbart. Svakheten kommer fra å sende feilformede POST-forespørsler under påloggingsforsøk og lar angriperen hente ut minneinnhold.

Anbefaling:

Patch Now!

Sårbarheter:

Posted by tsoc at 12:24 0 comments

Friday, 4 July 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.07.04

Grafana utgir kritisk sikkerhetsoppdatering for Image Renderer plugin.

Grafana utgir kritisk sikkerhetsoppdatering for Image Renderer plugin

Grafana Labs har gitt ut en kritisk sikkerhetsoppdatering for Image Renderer‑pluginen (og Synthetic Monitoring Agent) etter åtte Chromium sårbarheter ble oppdaget og utnyttet via bug bounty. Fire av disse (CVE‑2025‑5959, CVE‑2025‑6191, CVE‑2025‑6192 med score 8.8 og CVE‑2025‑6554 med score 8.1) gjør det mulig med fjernkodekjøring, ukontrollert minnetilgang eller heap‑korrupsjon via ondsinnet HTML. Brukere oppfordres til å oppdatere til Image Renderer ≥ 3.12.9 og Synthetic Agent ≥ 0.38.3 umiddelbart. Grafana Cloud og Azure Managed Grafana er allerede oppdatert.

Anbefaling:

Oppdater Image Renderer‑plugin til versjon 3.12.9 via grafana-cli eller container. Oppdater Synthetic Monitoring Agent til versjon 0.38.3 (eller container: ...:v0.38.3-browser).

Posted by tsoc at 11:57 0 comments

Thursday, 3 July 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.07.03

Critical Cisco-sårbarhet i Unified CM gir root-tilgang gjennom statiske legitimasjoner. Hackere bruker PDF for å utgi seg for Microsoft, DocuSign og flere i callback-phishing . NimDoor krypto-tyveri macOS skadevare gjenskaper seg når den stoppes.

NimDoor krypto-tyveri macOS skadevare gjenskaper seg når den stoppes

Nord Koreansk stat-støttet hackergruppe har lansert en ny macOS skadevare kalt NimDoor, rettet mot web3 og kryptoselskaper. Den bruker en rekke moduler; “installer”, “GoogIe LLC” og hovedpayload “CoreKitAgent” – som oppretter vedvarende tilstedeværelse via LaunchAgent og benytter avanserte signalhåndteringsmetoder. Når skadevaren stoppes (SIGINT/SIGTERM), gjenoppretter den seg selv via re-installasjon. I tillegg stjeler den systemdata via AppleScript og exfiltrerer dem hvert halve minutt. En sekundær injekteringskjede (via zoom_sdk_support.scpt) stjeler nettleserdata, Keychain, bash/zsh historikk og Telegram data gjennom skriptet tlgrm. Denne modulære og signalresistente arkitekturen gjør NimDoor til en av de mest komplekse macOS skadevarene knyttet til Nord-Korea.

Critical Cisco-sårbarhet i Unified CM gir root-tilgang gjennom statiske legitimasjoner

Cisco har utgitt sikkerhetsoppdateringer for en kritisk sårbarhet (CVE‑2025‑20309) i Unified Communications Manager og Unified CM SME, med en full CVSS-score på 10.0. Sårbarheten skyldes hardkodede (statiske) root-legitimasjoner som ble etterlatt etter utvikling. En angriper som kjenner disse legitimasjonene kan logge seg inn som root og utføre vilkårlige kommandoer, noe som gir full systemkontroll . Det er foreløpig ingen indikasjoner på at sårbarheten er utnyttet i praksis .

Anbefaling:

Cisco anbefaler umiddelbar installasjon av tilgjengelige oppdateringer på alle berørte versjoner (15.0.1.13010‑1 til 15.0.1.13017‑1). De har også utgitt IoCs – spesielt loggoppføringer i /var/log/active/syslog/secure som viser root-pålogginger – som kan overvåkes for tidlig oppdagelse .

Sårbarheter:

Hackere bruker PDF for å utgi seg for Microsoft, DocuSign og flere i callback-phishing 

Mellom 5. mai og 5. juni 2025 har Cisco Talos avdekket en rekke phishing­kampanjer hvor angripere sender PDF-vedlegg som etterligner etablerte merker som Microsoft, DocuSign, PayPal, NortonLifeLock og Geek Squad. PDF-ene inneholder QR-koder, innebygde lenker eller kommentarer som leder til falske påloggingssider eller oppfordrer brukeren til å ringe et telefonnummer. Under samtaler (TOAD – Telephone‑Oriented Attack Delivery) utgir angriperne seg for å være kundeservicerepresentanter, og lurer ofrene til å oppgi legitimasjon, installere skadevare eller gi fjernkontrolltilgang   .

Posted by tsoc at 12:26 0 comments

Wednesday, 2 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.02

Vær oppmerksom på den skjulte risikoen i inngangsmiljøet ditt. Chrome Zero‑Day CVE‑2025‑6554 Utnyttes i Angrep – Kritisk Patch Nødvendig.

Vær oppmerksom på den skjulte risikoen i inngangsmiljøet ditt

En sikkerhetsrisiko i Microsoft Entra ID (Azure AD) gjør at gjestebrukere kan utnytte faktureringtillatelser til å opprette abonnementer i eget hjemmetenant og deretter overføre dem inn i et inviterende tenant – mens de beholder eierskap og full admin tilgang. Dette usynliggjør eskalering av privilegier som omgår vanlige Entra eller "Azure RBAC" kontroller, og åpner for rekognosering, policy manipulering, identitets forfalskning og uønsket persistent adgang. Forskerne påpeker at mange sikkerhetsteam overser denne vektoren, og reelle demonstrasjoner viser at metoden brukes aktivt mot organisasjoner.

Chrome Zero‑Day CVE‑2025‑6554 Utnyttes i Angrep – Kritisk Patch Nødvendig

Google har utgitt en kritisk oppdatering for Chrome etter at en Zero‑Day sårbarhet (CVE‑2025‑6554) i V8 JavaScript/WebAssembly motoren ble aktivt utnyttet. Sårbarheten er en type "confusion" feil som lar angripere lese/skrive vilkårlig minne og potensielt kjøre eksternt kode ved at offeret besøker en ondsinnet nettside. CVE‑2025‑6554 ble oppdaget 25. juni 2025 av Clément Lecigne i Google Threat Analysis Group og midlertidig mitigert 26. juni før full patch ble rullet ut 1. juli for Windows (138.0.7204.96/97), Mac (138.0.7204.92/93) og Linux (138.0.7204.96)

Anbefaling:

Oppdater Chrome umiddelbart til anbefalte versjoner: Windows: 138.0.7204.96/.97, Mac: 138.0.7204.92/.93, Linux: 138.0.7204.96

Posted by tsoc at 10:14 0 comments

Tuesday, 1 July 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.07.01

Citrix advarer om NetScaler-sårbarhet utnyttet i DoS-angrep. Over 1 200 Citrix-servere upåpnede mot kritisk autentiseringsomgåelses-sårbarhet. Trojanisert SonicWall NetExtender stjeler VPN‑pålogginger. Bluetooth‑feil kan la hackere avlytte mikrofonen din. Scattered Spider hackers shift focus to aviation, transportation firms.

Citrix advarer om NetScaler-sårbarhet utnyttet i DoS-angrep

En alvorlig tjenestenekt (DoS) sårbarhet (CVE‑2025‑6543) er identifisert i Citrix NetScaler ADC og Gateway som gjør det mulig for angripere å krasje tjenestene uten autentisering. Sårbarheten påvirker versjoner 14.1 tidligere enn 14.1‑47.46, 13.1 tidligere enn 13.1‑59.19, og FIPS/NDcPP‑varianter før 13.1‑37.236. Denne svakheten har allerede blitt utnyttet aktivt for å lamme eksternt tilgjengelige NetScaler-enheter .

Over 1 200 Citrix-servere upåpnede mot kritisk autentiseringsomgåelses-sårbarhet

Per 30. juni 2025 er over 1 200 Citrix NetScaler ADC og Gateway-apparater eksponert på internett og fortsatt uoppdaterte mot CVE‑2025‑5777, også kalt “Citrix Bleed 2.” Denne sårbarheten tillater uautentiserte angripere å lese ut-of-bounds-minne, stjele sesjonstokener og kredentialer for å kapre brukerøkter – inkludert omgåelse av MFA. ReliaQuest vurderer med middels sikkerhet at sårbarheten allerede brukes i målrettede angrep, selv om Citrix foreløpig ikke har dokumentert offentlig utnyttelse

CVE-koder: CVE‑2025‑5777 (Citrix Bleed 2); i tillegg er over 2 100 servere upatched for CVE‑2025‑6543, en kritisk DoS-sårbarhet .

Anbefaling:

Installer Citrix-oppdateringer straks for CVE‑2025‑5777 og CVE‑2025‑6543 . Avslutt alle aktive ICA- og PCoIP-økter etter patching

Trojanisert SonicWall NetExtender stjeler VPN‑pålogginger

Trusselaktører distribuerer en trojanisert versjon av SonicWall NetExtender (v10.3.2.27) via falske nettsider som etterligner offisielle SonicWall-portaler. Installereren er signert med et annet selskaps sertifikat, og modifiserer to kjørbare filer (NeService.exe og NetExtender.exe). Den bypasser digital sertifikatvalidering og eksfiltrerer VPN-konfigurasjonsdata (brukernavn, passord, domene osv.) til angripernes server (IP 132.196.198.163) via port 8080 når brukeren trykker "Connect"

Bluetooth‑feil kan la hackere avlytte mikrofonen din

ERNW presenterte under TROOPERS-konferansen flere sårbarheter i Airoha Bluetooth‑brikker som finnes i 29 enheter fra merker som Beyerdynamic, Bose, Sony, Marshall, Jabra, JBL og Teufel. Angrepene krever teknisk høy kompetanse og nærhet (< 10 m), men tillater angripere å få tilgang til GATT-tjenester, låse seg inn via BR/EDR‑protokollen eller overta egendefinerte protokoller for å avlytte mikrofonen, stjele ringelogg og kontakter – eller til og med initiere anrop på offerets telefon.

CVE-koder: CVE‑2025‑20700, CVE‑2025‑20701, CVE‑2025‑20702

Anbefaling:

Følg med på firmware‑oppdateringer fra produsentene; Airoha har distribuert en oppdatert SDK og produsenter har begynt utviklingen av patches. Slå av Bluetooth eller sett enheten i ikke‑synlig («undiscoverable») modus når den ikke er i bruk

Scattered Spider hackers shift focus to aviation, transportation firms

Scattered Spider (UNC3944) erobrer nå luftfarts- og transportsektoren etter tidligere å ha angrepet detaljhandel og forsikringsselskaper. Gjennom hjelpdesk-sosialingeniørarbeid – inkludert falske MFA-tillegg og selvbetjente passordtilbakestillinger – får aktørene tilgang til nettverkene. BleepingComputer rapporterer om angrep mot WestJet (12. juni) og Hawaiian Airlines, med konsulentstøtte fra Palo Alto Networks og Microsoft. Eksperter fra Unit 42 og Mandiant understreker at dette er en aktiv og eskalerende kampanje.

Posted by tsoc at 12:38 0 comments

Monday, 23 June 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.06.23

Cloudflare blokkerer rekordstort 7,3 Tbps DDoS-angrep mot hosting-leverandør.

Cloudflare blokkerer rekordstort 7,3 Tbps DDoS-angrep mot hosting-leverandør

Cloudflare avverget i midten av mai 2025 et nytt rekordangrep av typen distribuert tjenestenekt (DDoS) rettet mot en hosting-leverandørs IP. Angrepet nådde en topp på 7,3 Tbps og sendte totalt 37,4 TB trafikk på bare 45 sekunder—det tilsvarer cirka 9 350 HD-filmer. Trafikken kom fra over 122 000 IP-adresser i 161 land, fordelt over 5 433 autonome systemer, med hoveddeler fra Brasil og Vietnam. Angrepet benyttet flere vektorer, først og fremst UDP-flood (99,996 %), men inkluderte også refleksjonsangrep som QOTD, Echo, NTP, Portmap og RIPv1. Cloudflare håndterte angrepet automatisk gjennom Magic Transit og sitt distribuerte anycast-nettverk uten behov for menneskelig intervensjon.

Posted by tsoc at 12:40 0 comments

Friday, 20 June 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.06.20

Veeam lapper CVE-2025-23121: Kritisk RCE-feil med CVSS-rangering 9.9 i Backup & Replication. Linux udisks sårbarhet lar angripere få root-tilgang på flere store Linux-distribusjoner.

Veeam lapper CVE-2025-23121: Kritisk RCE-feil med CVSS-rangering 9.9 i Backup & Replication

Veeam har løst en kritisk remote code execution (RCE)-sårbarhet (CVE‑2025‑23121, CVSS 9.9) som lar en autentisert domene‑bruker kjøre vilkårlig kode på domene‑tilknyttede Backup‑servere. Sikkerhetsfeilen gjelder alle Veeam Backup & Replication versjon 12‑bygg opp til 12.3.1.1139, og ble fikset i versjon 12.3.2 (build 12.3.2.3617). I tillegg ble to andre sårbarheter (CVE‑2025‑24286: høy alvorlighetsgrad; CVE‑2025‑24287: medium) som kan resultere i kodekjøring via Backup Operator‑rolle og lokalt systembruk, også fikset

Anbefaling:

Oppgrader umiddelbart til Veeam Backup & Replication 12.3.2 (build 12.3.2.3617) . Unngå bruk av domene-tilknyttede backup-servere; vær oppmerksom på at Veeam selv advarer mot dette

Linux udisks sårbarhet lar angripere få root-tilgang på flere store Linux-distribusjoner

Qualys Threat Research Unit har funnet to lokale sårbarheter i Linux-systemer som kan føre til eskalering av privilegier på flere store distribusjoner. CVE-2025-6018 sitter i PAM-oppsettet til openSUSE Leap 15 og SUSE Linux Enterprise 15, og gir angripere «allow_active» tilgang. CVE-2025-6019 ligger i libblockdev/udisks, som er standard i de fleste distribusjoner, og lar en «allow_active» bruker eskalere videre til root. De to sårbarhetene kan kjedes og en vanlig konto kan oppnå full systemkontroll. Qualys har publisert proof-of-concept-kode som viser hvor enkelt angrep kan utføres på Ubuntu, Debian , Fedora og openSUSE.

Anbefaling:

Installer de nyutgitte sikkerhets­patchene for både PAM og libblockdev/udisks umiddelbart.

Posted by tsoc at 16:25 0 comments
Subscribe to: Posts (Atom)
 
>