Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Monday, 27 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.27

Microsoft utgir nødpatch for kritisk WSUS sårbarhet som aktivt utnyttes. Kritisk sårbarhet i Busybox 1.31.1 (CVE-2025-12220). Ny CoPhish teknikk stjeler OAuth tokens via Copilot Studio agenter.

Microsoft utgir nødpatch for kritisk WSUS sårbarhet som aktivt utnyttes

Microsoft har utgitt en nødoppdatering for CVE-2025-59287 (CVSS 9.8), en kritisk Remote Code Execution sårbarhet i Windows Server Update Services (WSUS) som allerede utnyttes aktivt. Feilen skyldes usikker deserialisering av AuthorizationCookie objekter i GetCookie()-endepunktet, noe som muliggjør fjernkodekjøring med SYSTEM rettigheter. Angrep er observert av Eye Security og NCSC Nederland 24. oktober 2025, kort tid etter at et proof-of-concept ble publisert.

Anbefaling:

Installer nødoppdateringen umiddelbart på alle støttede Windows Server-versjoner (2012–2025). Hvis patching ikke er mulig, deaktiver WSUS-serverrollen og blokker porter 8530 og 8531. Ikke opphev disse tiltakene før oppdateringen er installert.

Kritisk sårbarhet i Busybox 1.31.1 (CVE-2025-12220)

Den 25. oktober ble det publisert en sårbarhet med CVSS score 10 "KRITISK" (CVE-2025-12220) i Busybox 1.31.1. Den påvirker BLU-IC2 og BLU-IC4 med firmware 1.19.5.

Anbefaling:

Oppdatering til versjon 1.20 fikser sårbarheten.

Ny CoPhish teknikk stjeler OAuth tokens via Copilot Studio agenter

Datadog Security Labs har avdekket en ny phishing metode kalt CoPhish, som misbruker Microsoft Copilot Studio agenter til å sende falske OAuth forespørsler via legitime Microsoft domener.

Angrepet baserer seg på sosial manipulering og utnytter fleksibiliteten i Copilot Studio til å lage tilpassede agent oppsett som manipulerer innloggingsprosessen og samler inn OAuth tokens. Microsoft har bekreftet at de jobber med tiltak for å redusere risikoen i fremtidige oppdateringer.

Posted by tsoc at 12:48 0 comments

Thursday, 23 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.23

Sårbarheter i produkter fra Atlassian og Oracle. SharePoint ToolShell angrep rammer organisasjoner på tvers av fire kontinenter. GLASSWORM – selv‑propagerende VS Code utvidelseorm. VIDARStealer 2.0 legger til flertrådet datatyveri, bedre unnvikelse.

Sårbarheter i produkter fra Atlassian og Oracle

JustisCERT varsler at det er avdekket et stort antall sårbarheter i programvare fra både Atlassian og Oracle. Atlassian har rettet 14 sårbarheter, mens Oracle har utbedret hele 374 sårbarheter i sin kvartalsvise «Critical Patch Update». Angrepsflaten vurderes som stor, og flere av sårbarhetene har en CVSS-score på opptil 9,8 av 10, noe som indikerer svært høy risiko for kompromittering dersom systemene ikke oppdateres.

  • For Atlassian finnes flere kritiske og høy­alvorlige sårbarheter i server/data center versjoner, blant annet mulighet for inkludert fjernkjøring av vilkårlig kode (RCE), uautorisert tilgang til sensitive filer, og omgåelse av sikkerhetsmekanismer

  • For Oracle omfatter oppdateringene mange produkter som blant annet Oracle Database, WebLogic Server, Java SE, og MySQL. Dette innebærer også sårbarheter som kan utnyttes eksternt uten autentisering.

Anbefaling:

Umiddelbart identifisere om man bruker berørte Atlassian og Oracle produkter i egen infrastruktur. Oppdatere til siste tilgjengelige versjoner som leverandørene har angitt som «fixed» eller "ikke berørt". (Atlassian anbefaler å oppgradere til siste versjon eller en spesifisert patchet versjon). Gjennomføre segmentering, begrense tilgang, logge og overvåke bruk og adferd av systemene. Sikre at patch policy er på plass og at kritiske sårbarheter prioriteres umiddelbart.

SharePoint ToolShell angrep rammer organisasjoner på tvers av fire kontinenter

Hackere antatt tilknyttet Kina har utnyttet sårbarheten CVE‑2025‑53770 (også kjent som ToolShell) i Microsoft SharePoint for å angripe organisasjoner innen statlige etater, universiteter, telekom og finans over fire kontinenter. BleepingComputer Sårbarheten rammer SharePoint on‑premises og gir ekstern, uautentisert kjøring av kode samt full tilgang til filsystemet, og bygger på to tidligere rapporterte feil: CVE‑2025‑49706 og CVE‑2025‑49704. BleepingComputer Angrepene startet allerede rundt 21. juli, dagen etter at Microsoft utsendte en nøduppdatering. BleepingComputer I flere tilfeller ble det benyttet web shells for persistent tilgang, etterfulgt av DLL side‑loading av bakdører og bruk av verktøy for brukerdetaljer dumping, dataeksfiltrasjon og C2 kommunikasjon.

GLASSWORM – selv‑propagerende VS Code utvidelseorm

Angripere har lansert en ny og høyst sofistikert kampanje kalt GlassWorm som målretter utvidelser til Visual Studio Code (VS Code) og OpenVSX markedet. Malwaren ble oppdaget 17. oktober 2025 gjennom kompromittering av minst sju OpenVSX utvidelser med totalt ca. 35 800 nedlastinger. Den sprer seg automatisk ved at den stjeler "developer credentials" (NPM, GitHub), utnytter dem for å publisere kompromitterte pakker og deretter infiserer flere brukere og systemer.
GlassWorm benytter flere avanserte teknikker: usynlige Unicode tegn for å skjule skadelig kode fra kodeanalyseverktøy, en tredelt kommunikasjons kanal for kommando og kontroll som inkluderer en offentlig Solana blockchain adresse, direkte IP C2‑server, og en Google Calendar hendelse som "fallback". Truesec Infeksjonen legger blant annet til SOCKS proxytjenester, skjulte VNC servere og stjeler kryptolommebok relatert informasjon, samt målretter 49 ulike wallet utvidelser.

VIDARStealer 2.0 legger til flertrådet datatyveri, bedre unnvikelse

Malwarefamilien Vidar Stealer har blitt oppgradert til versjon 2.0, skrevet om i C, med støtte for multitrådet datatyveri og mer avanserte evasjonsteknikker. Den nye versjonen bruker direkte injeksjon i nettleserprosesser for å hente ut krypteringsnøkler fra minnet i Google Chrome (App‑Bound Encryption) og sender stjålet data via Telegram bots eller Steam profiler. Den stjeler passord, kortinformasjon, kryptovalutalommebøker, Telegram, Discord, sky innlogginger og mer. Forskerne forventer at den får økt bruk i kampanjer resten av 2025.

Posted by tsoc at 12:27 0 comments

Tuesday, 21 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.21

CISA advarer om aktiv utnyttelse av alvorlig SMB‑sårbarhet i Windows. Kritisk RCE i over 75 000 WatchGuard‑enheter.

CISA advarer om aktiv utnyttelse av alvorlig SMB‑sårbarhet i Windows

Det amerikanske byrået Cybersecurity and Infrastructure Security Agency (CISA) advarer om at en høy‑alvorlig sårbarhet i Microsoft Windows SMB Client (CVE‑2025‑33073) nå utnyttes aktivt. Sårbarheten gjør det mulig for en angriper med gyldige autentiseringsdetaljer å overtale et offer til å koble tilbake til en ondsinnet applikasjon, noe som kan gi angriperen SYSTEM‑privilegier på målsystemet. CISA har nå lagt sårbarheten inn i sin “Known Exploited Vulnerabilities”‑katalog.

Anbefaling:

Sårbarheten ble fikset av Microsoft Corporation i juni 2025, og det anbefales å installere sikkerhetsoppdateringen fra Microsoft som retter CVE‑2025‑33073.

Kritisk RCE i over 75 000 WatchGuard‑enheter

En alvorlig sårbarhet (CVE‑2025‑9242) i WatchGuard Firebox-enheter gjør at en angripere kan utføre fjernkodeeksekvering uten autentisering. Sikkerhetsleverandøren The Shadowserver har funnet at over 75 000 Firebox-enheter er eksponert mot Internett og fortsatt sårbare. Sårbarheten ligger i “iked”-prosessen i Fireware OS, som håndterer IKEv2 VPN-forbindelser. Ingen dokumentert aktiv utnyttelse er kjent foreløpig.

Anbefaling:

WatchGuard har utgitt sikkerhetsoppdateringer og anbefaler oppgradering til faste versjoner (bl.a. 2025.1.1, 12.11.4, 12.5.13, 12.3.1_Update3).

Posted by tsoc at 16:03 0 comments

Monday, 20 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.20

CISA advarer om kritisk Adobe sårbarhet som aktivt utnyttes i angrep. Cisco SNMP sårbarhet utnyttes til å installere Linux rootkits i "Zero Disco" angrep.

CISA advarer om kritisk Adobe sårbarhet som aktivt utnyttes i angrep

CISA advarer om aktiv utnyttelse av den kritiske sårbarheten CVE-2025-54253 (CVSS 10.0) i Adobe Experience Manager. Versjon 6.5.23 og eldre er rammet. Sårbarheten skyldes en feilkonfigurasjon som lar angripere omgå autentisering og muliggjør kjøring av vilkårlig kode uten brukerinteraksjon. Dette er en sårbarhet fra april som Adobe har rettet den 9. august, men mange systemer har enda ikke blitt patchet og CISA ser nå aktiv utnyttelse av denne. Det anbefales å patche umiddelbart om dette ikke allerede er gjort.

Sårbarheter:

Cisco SNMP sårbarhet utnyttes til å installere Linux rootkits i "Zero Disco" angrep

Trend Micro har avslørt en kampanje kalt Operation Zero Disco, som utnytter CVE-2025-20352, en stack overflow sårbarhet (CVSS 7.7) i Cisco IOS og IOS XE via SNMP. Sårbarheten gjør det mulig for autentiserte angripere å kjøre vilkårlig kode og installere rootkits. Angrepene har rammet Cisco 9400, 9300 og 3750G-enheter, hvor rootkits gir en vedvarende tilgang og skjuler seg i minnet. Cisco har allerede utgitt en oppdatering, men sårbarheten har da blitt utnyttet før patchen. I hovedsak er det eldre Linux systemer uten en form for endepunktsdeteksjon aktivert som har blitt rammet. I tillegg har kampanjen forsøkt å utnytte en modifisert variant av en eldre Telnet sårbarhet (CVE-2017-3881, CVSS 9.8). Det anbefales å installere sikkerhetsoppdateringene som patcher sårbarheten på berørte enheter.

Posted by tsoc at 12:31 0 comments

Thursday, 16 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.16

SAP har utgitt sikkerhetsoppdateringer for oktober. 13 sårbarheter fikset hvorav tre er kritiske.. F5 sikkerhetsbrudd eksponerer BIG-IP kildekode.

SAP har utgitt sikkerhetsoppdateringer for oktober. 13 sårbarheter fikset hvorav tre er kritiske.

SAP har utgitt fikser som adresserer 13 nye sårbarheter i oktober 2015 oppdateringen. Den mest alvorlige har CVSS score 10 (CVE-2025-42944) og ligger i SAP NetWeaver AS Java. Denne lar en uautentisert angriper utnytte RMI-P4 modulen ved å sende en ondsinnet Java payload til en åpen port. Dette lar så angriper kjøre vilkårlig kode. Videre ble to andre kritiske feil rettet: CVE-2025-42937 (CVSS 9.8) i SAP Print Service som mangler tilstrekkelig validering av filstier og muliggjør "path traversal" og overskriving av filer. CVE-2025-42910 (CVSS 9.0) i SAP Supplier Relationship Management som tillater en autentisert angriper å laste opp vilkårlige filer.

SAP anbefaler at det prioriteres å installere de nye sikkerhetsoppdateringene så fort som mulig.

F5 sikkerhetsbrudd eksponerer BIG-IP kildekode

F5 Networks bekreftet et alvorlig datainnbrudd der statssponsede aktører stjal kildekode og informasjon om upubliserte sårbarheter i BIG-IP produkter. Angriperne hadde vedvarende tilgang i minst 12 måneder, trolig via BRICKSTORM skadevare tilknyttet kinesiske UNC5221. Selv om ingen kundedata eller systemer som CRM ble kompromittert, kan eksfiltrert sårbarhetsinformasjon brukes til målrettede angrep. CISA har utstedt en nød direktiv som pålegger amerikanske byråer å sikre og oppdatere F5 produkter innen 22. oktober 2025.

Anbefaling:

Oppdater BIG-IP, F5OS, BIG-IP Next, BIG-IQ og APM klienter umiddelbart. Begrens offentlig tilgang til administrasjonsgrensesnitt. Implementer sterkere overvåking og tilgangskontroller.

Posted by tsoc at 12:05 0 comments

Wednesday, 15 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.15

Kinesiske hackere misbruker geokartleggingsverktøy for å holde seg i gang i årevis. Microsoft sikkerhetsoppdateringer Tirsdag – Oktober 2025: 172 sårbarheter og 6 null-dagers feil fikset. Nytt Pixnapping-angrep på Android kan lese MFA-koder.

Kinesiske hackere misbruker geokartleggingsverktøy for å holde seg i gang i årevis

Kinesiske statstilknyttede hackere (antatt gruppen Flax Typhoon) misbrukte en funksjon i ArcGIS – et geografisk informasjonssystem – ved å laste opp en ondsinnet Java SOE‑utvidelse som fungerer som et webskal via REST‑API. De fikk tilgang via gyldige administratorlegitimasjoner på en offentlig ArcGIS-server som var koblet til interne servere. Webskallet bruker en hardkodet hemmelig nøkkel og kan utføre kommandoer via base64-kodede parametere. For å opprettholde persistens installerte angriperne SoftEther VPN Bridge som Windows-tjeneste som starter automatisk, og opprettet en utgående HTTPS-tunnel til angripernes server. Gjennom denne tunnelen kunne de bevege seg sideveis i nettet, hente legitimasjoner (f.eks. SAM, LSA secrets), og eksfiltrere data – selv om webskallet blir fjernet, kan VPN‑tjenesten fortsatt fungere. ReliaQuest observerte målrettede operasjoner mot IT‑stasjoner og forsøk på priviliegieeskalering og lateral bevegelse.

Microsoft sikkerhetsoppdateringer Tirsdag – Oktober 2025: 172 sårbarheter og 6 null-dagers feil fikset

Microsoft lanserte på tirsdag 14. oktober 2025 sikkerhetsoppdateringer som retter 172 sårbarheter, inkludert 6 null-dagers sårbarheter. Blant disse er 8 vurdert som «Kritiske», og resten dekker kategorier som heving av privilegier, ekstern kodekjøring, informasjonsavsløring, tjenestenekt, omgåelse av sikkerhetsfunksjoner og forfalskning. I tillegg er dette den siste gratis sikkerhetsoppdateringen for Windows 10, ettersom systemet nå har nådd slutten av støtten.

Anbefaling:

Det anbefales å installere sikkerhetsoppdateringene som blir listet i artikkelen til Microsoft. I tillegg bør man vurdere å oppgradere fra Windows 10 om mulig.

Nytt Pixnapping-angrep på Android kan lese MFA-koder

Pixnapping er et nytt angrep som lar Android-apper uten tillatelser hente skjermdata som meldinger, e-poster og 2FA-koder ved å manipulere grafikkmotoren og utnytte GPU-komprimering.

Appen legger et hvitt dekkvindu over målet og leser en og en piksel via en gjennomsiktig flekk, forstørrer den med en uskarphetseffekt og tolker innholdet med OCR-teknologi.

Angrepet fungerer på moderne Android-enheter og kan hente ut sensitive koder på under 30 sekunder. Google forsøkte å fikse sårbarheten (CVE-2025-48561) i september, men forskere fant en måte å omgå løsningen. En mer robust oppdatering kommer i desember 2025.

Ingen kjente apper på Google Play utnytter sårbarheten per dags dato.

Sårbarheter:

Posted by tsoc at 12:08 0 comments

Tuesday, 14 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.14

SonicWall VPN brukere blir kompromitert med antatt stjålende brukeropplysninger.

SonicWall VPN brukere blir kompromitert med antatt stjålende brukeropplysninger

Angrepskampanje mot SonicWall VPN brukere, angrepene som er omtalt i artikkelen er observert av Huntress og de rappoterte at så mange som 100 brukere over 16 miljøer var kompromitert mellom 4.-10. oktober.

Huntress sier videre at de ikke har funnet bevis for at det er en sammenheng mellom kompromitering og datalekasjen fra SonciWall VPN fra 17. september i år. "Fordi disse filene inneholder svært sensitiv informasjon, er de krypterte, og legitimasjonene og hemmelighetene inni dem er individuelt kryptert med AES-256-algoritmen."

Referanseartikkelen inneholder en IoC IP adresse hvor de fleste observerte angrepene stammer fra og en sjekkliste med anbefalte tiltak for å mitigere skadeomfanget.

Posted by tsoc at 15:04 0 comments

Monday, 13 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.13

Stealit skadevare utnytter Node.js funksjon for å spre seg via falske spill og VPN installasjoner.

Stealit skadevare utnytter Node.js funksjon for å spre seg via falske spill og VPN installasjoner

Forskere ved Fortinet FortiGuard Labs har avdekket en aktiv kampanje der Stealit skadevare misbruker Node.js funksjonen Single Executable Application (SEA) for å kjøre ondsinnet kode uten behov for Node.js installasjon. Distribusjonen skjer via falske spill og VPN installasjoner lastet opp på Mediafire og Discord. Skadevaren tilbyr fjernstyring, datatyveri, skjermovervåkning og ransomware funksjoner for både Windows og Android. Den manipulerer også Microsoft Defender for å unngå deteksjon og benytter legitime verktøy som ChromElevator for informasjonsinnhenting fra nettlesere, meldingsapper og spillklienter

Posted by tsoc at 12:49 0 comments

Friday, 10 October 2025

Daglig nyhetsbrev fra Telenor Cyberdefence - 2025.10.10

Cl0p-gruppen utnytter Oracle-sårbarhet til å bryte seg inn hos titalls organisasjoner.

Cl0p-gruppen utnytter Oracle-sårbarhet til å bryte seg inn hos titalls organisasjoner

Google Threat Intelligence Group og Mandiant rapporterer at en null-dag-sårbarhet i Oracle E-Business Suite (CVE-2025-61882, CVSS 9.8) har blitt aktivt utnyttet av aktører knyttet til Cl0p/FIN11 siden juli 2025. Angriperne brukte en kombinasjon av SSRF, CRLF-injeksjon, autentiseringsbypass og XSL-injeksjon for fjernkode eksekvering. Ondsinnede payloads som GOLDVEIN.JAVA, SAGEGIFT, SAGELEAF og SAGEWAVE ble brukt til datatyveri og videre kompromittering. En massiv e-postkampanje startet 29. september 2025, der ofrene ble utpresset for stjålne data. Oracle har utgitt nødoppdateringer for å tette feilen.

Sårbarheter:

Posted by tsoc at 12:10 0 comments

Thursday, 9 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.09

Fra phishing til skadevare: AI blir Russlands nye cybervåpen i krigen mot Ukraina.

Fra phishing til skadevare: AI blir Russlands nye cybervåpen i krigen mot Ukraina

Russiske hackergrupper bruker nå kunstig intelligens (AI) aktivt i cyberangrep mot Ukraina, ifølge landets cybersikkerhetsmyndighet SSSCIP. AI brukes både til å generere phishing-kampanjer og til å utvikle skadevare som WRECKSTEEL, HOMESTEEL, GIFTEDCROOK, Amatera Stealer, Strela Stealer og Kalambur. Aktører som APT28, Sandworm og flere UAC-grupper utnytter også kjente sårbarheter i Roundcube og Zimbra (bl.a. CVE-2023-43770, CVE-2024-37383, CVE-2025-49113, CVE-2024-27443, CVE-2025-27915) til “zero-click”-angrep. Angrepene rettes mot militær, offentlig og kritisk infrastruktur, ofte via legitime tjenester som Google Drive og Dropbox for datatyveri.

Posted by tsoc at 15:31 0 comments

Wednesday, 8 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.08

Microsoft rapporterer om aktiv utnyttelse av kritisk sårbahet i Fortra GoAnywhere MFT.

Microsoft rapporterer om aktiv utnyttelse av kritisk sårbahet i Fortra GoAnywhere MFT

Microsoft rapporterer om aktiv utnyttelse av den en kritiske sårbarheten (CVE-2025-10035) i Fortra GoAnywhere MFT, som skyldes en deserialiseringsfeil i “License Servlet”-komponenten. Microsoft har observert angrep fra kjente trusselaktører, inkludert løsepengegrupper, som utnytter sårbarheten for datatyveri og etablering av bakdører.

Anbefaling:

Oppdater umiddelbart til GoAnywhere MFT versjon 7.5.4 eller nyere. Vurder å eventuelt deaktivere tilgang til “License Servlet” dersom oppdatering ikke er mulig.

Sårbarheter:

Posted by tsoc at 12:20 0 comments

Tuesday, 7 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.07

Redis advarer om kritisk sårbarhet i tusenvis av instanser. XWorm-skadevare dukker opp igjen med over 35 plugin-moduler.

Redis advarer om kritisk sårbarhet i tusenvis av instanser

Redis-teamet har utgitt sikkerhetsoppdateringer for en ekstremt alvorlig sårbarhet som skyldes en Lua use-after-free-feil som kan føre til ekstern kodekjøring. En angriper må være autentisert for å utnytte sårbarheten ved å sende et ondsinnet Lua-script som manipulerer minnehåndteringen. Så langt er det ikke observert noen utnyttelser av Redis.

Anbefaling:

Redis Cloud er allerede oppdatert, men selvadministrerte installasjoner bør oppgraderes til sikre versjoner: Redis Software ≥7.22.2-12, OSS/CE ≥8.2.2, eller Stack ≥7.4.0-v7.

Sårbarheter:

XWorm-skadevare dukker opp igjen med over 35 plugin-moduler

XWorm, en kjent fjernstyrt trojan (RAT) først observert i 2022, har dukket opp igjen i nye versjoner etter at utvikleren “XCoder” forlot prosjektet. De nye variantene brukes i phishing-kampanjer og har over 35 plugin-moduler som gir funksjoner som datatyveri, fjernkontroll og løsepengekryptering. Skadevaren spres via e-post, JavaScript, PowerShell og skjulte .exe-filer forkledd som legitime applikasjoner.

Anbefaling:

Organisasjoner bør blokkere ondsinnede vedlegg, hindre PowerShell-misbruk, oppdatere sikkerhetsprogramvare, og overvåke e-postkampanjer.

Posted by tsoc at 21:43 0 comments

Monday, 6 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.06

Oracle med oppdatering for CVE-2025-61882 etter at Cl0p utnyttet den i datatyveriangrep. CometJacking: Ett klikk kan gjøre Perplexitys Comet AI nettleser til en datatyv.

Oracle med oppdatering for CVE-2025-61882 etter at Cl0p utnyttet den i datatyveriangrep

Oracle har gitt ut en nødoppdatering for å tette en kritisk sårbarhet (CVE-2025-61882, CVSS 9.8) i E-Business Suite, som allerede er utnyttet i Cl0p angrepene. Feilen gjør det mulig for angripere uten innlogging å ta full kontroll over systemet via HTTP og kjøre ondsinnet kode eksternt.
Eksperter advarer om at flere grupper, inkludert Scattered LAPSUS$ Hunters, deltar i utnyttelsen, og at organisasjoner må sjekke for kompromittering selv etter oppdatering. Oppdatering anbefales så fort som mulig!

Sårbarheter:

CometJacking: Ett klikk kan gjøre Perplexitys Comet AI nettleser til en datatyv

Forskere har avdekket et nytt angrep kalt CometJacking, som utnytter Perplexitys A nettleser Comet ved å skjule ondsinnede instruksjoner i tilsynelatende uskyldige lenker. Angrepet gjør det mulig å stjele data fra tilkoblede tjenester som Gmail og Kalender uten å trenge innloggingsinformasjon, ved hjelp av enkle Base64 triks.
Eksperter advarer om at dette viser hvordan AI nettlesere kan forvandles fra hjelpere til trusler, og at de trenger "security-by-design" for å hindre slike angrep.

Posted by tsoc at 12:14 0 comments

Friday, 3 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.03

Red Hat bekrefter sikkerhetshendelse etter hackere brøt seg inn i GitLab-instans. Ondsinnet PyPI-pakke "soopsocks" infiserte 2 653 systemer før den ble fjernet.

Red Hat bekrefter sikkerhetshendelse etter hackere brøt seg inn i GitLab-instans

Red Hat har bekreftet et sikkerhetsbrudd i en av sine GitLab-installer brukt av Red Hat Consulting, etter at hackergruppen Crimson Collective hevder å ha stjålet 570 GB med data fra 28 000 interne repositorier. Blant materialet er det potensielt rundt 800 Customer Engagement Reports (CERs), som inneholder sensitive detaljer som infrastrukturdata, autentiseringstokens og konfigurasjoner fra kjente selskaper og offentlige institusjoner. Red Hat bekrefter hendelsen, men har ikke verifisert omfanget av datatyveriet. Videre sier de at resten av deres produkter og tjenester ikke er påvirket.

Ondsinnet PyPI-pakke "soopsocks" infiserte 2 653 systemer før den ble fjernet

En ondsinnet Python-pakke kalt soopsocks ble lastet opp til PyPI 26. september 2025 og ble lastet ned 2 653 ganger før den ble fjernet. Pakken utgir seg for å tilby en SOCKS5-proxy, men fungerer som en bakdør på Windows-systemer. Den installerer seg selv via VBScript eller en Go-basert .EXE-fil, kjører PowerShell-skript, endrer brannmurregler, eskalerer privilegier, samler inn systeminformasjon og eksfiltrerer data til en hardkodet Discord-webhook. Den setter seg også opp med vedvarende oppstart via planlagte oppgaver.

Anbefaling:

Ikke bruk eller installer pakken soopsocks. Sjekk systemer for indikatorer på kompromittering, spesielt unormale brannmurendringer. Oppdater sikkerhetspolicyer for utviklingsteam som bruker PyPI, og vurder bruk av sikkerhetsverktøy som kan blokkere ondsinnede pakker under installasjon.

Posted by tsoc at 12:15 0 comments

Thursday, 2 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.02

Ny digitalsikkerhetslov i Norge. Klopatra: Ny Android-banktrojan med opprinnelse i Tyrkia.

Ny digitalsikkerhetslov i Norge

Den nye digitalsikkerhetsloven i Norge trer i kraft 1. oktober 2025 og skal styrke beredskapen mot digitale trusler. Loven gjelder for virksomheter som leverer samfunnskritiske og viktige tjenester, og den pålegger strengere krav til risikohåndtering, sikkerhetstiltak, varsling av hendelser og tilsyn. NSM får et utvidet ansvar som tilsynsmyndighet, og loven bygger på EUs NIS2-direktiv.

Klopatra: Ny Android-banktrojan med opprinnelse i Tyrkia

Klopatra er et nytt Android Remote Access Trojan (RAT) / banking-trojan som bruker kommersiell kodebeskyttelse for å forsinke analyse. Skadevaren leveres via en «dropper» kamuflert som en IPTV-app og utfører handlinger som å stjele legitimasjon og utføre nattlige banktransaksjoner. Det er blitt observert målrettede angrep mot europeiske finansmål, med hovedfokus i Spania og Italia hvor det er flere tusen infiserte enheter.

Posted by tsoc at 12:40 0 comments

Wednesday, 1 October 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.10.01

MatrixPDF toolkit – advisory .

MatrixPDF toolkit – advisory

Telenor Cyberdefence hereby informs its partners that a new phishing and malware distribution toolkit called “MatrixPDF” has been observed actively in use in the Nordics. MatrixPDF is accessible and easy for attackers to use, and its highly adaptive platform makes detection challenging so far.

The following characteristics have been observed:

  • The sender may be legitimate and compromised by the MatrixPDF.

  • The email contains a .pdf attachment that is password protected (by password-protecting the PDF, comprehensive document scanning is bypassed).

  • The email contains the password for the attachment in plaintext.

  • The user is asked to enter the password from the email.

  • When the PDF attachment is opened, its content is blurred and the user must click to see a «preview».

  • The user is then sent to a URL that requests Microsoft login credentials, which are subsequently stolen.

Two things to look out for especially:

  1. .pdf protected with a password, with the password in plain text in the email.

  2. Blurred .pdf that prompts a click to be previewed.

This kit enables the attacker to determine which PDFs are used as blurred backgrounds (these may be legitimate originally) and it can change the URL to which the victim is sent.

Detections will be reactive, so users must be made aware of the two main indicators mentioned above.

It is important that users utilize the “Report Phishing” feature whenever they encounter something similar so that detections can be improved.

Recommended actions:

  • Disable the “Keep me signed in” function for users.

  • Enforce MFA on ALL logins. Use ONLY an authenticator app, NOT SMS. Passkeys are recommended.

  • Implement conditional access policies (e.g., block foreign IP addresses).

  • Limit the number of emails that can be sent per hour/day.

  • Consider acquiring Entra ID P2 licenses for improved detection and blocking of risky sign-ins.

  • Consider acquiring Defender for Identity. Available as part of Enterprise Mobility + Security E5 suite (EMS E5), or standalone. Contact your SDM/KAM for help.

  • Review mailboxes for all users and look for suspicious inbox rules.

  • Review sign-in and authentication logs for all users and check for suspicious activity.

Posted by tsoc at 17:02 0 comments

Tuesday, 30 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.30

CISA advarer om kritisk sårbarhet i Sudo som aktivt utnyttes i Linux og Unix-systemer.

CISA advarer om kritisk sårbarhet i Sudo som aktivt utnyttes i Linux og Unix-systemer

CISA har lagt CVE-2025-32463 til sin KEV-katalog etter bekreftelse på aktiv utnyttelse. Feilen (CVSS 9.3) rammer Sudo versjoner før 1.9.17p1 og gjør det mulig for en lokal angriper å misbruke "-R (--chroot)" funksjonen for å kjøre vilkårlige kommandoer som root, selv uten sudoers tilgang. Sårbarheten ble rapportert i juli 2025 og er nå aktivt utnyttet i angrep. Flere andre nylig utnyttede CVE-er (Cisco IOS, GoAnywhere MFT, Adminer, Libraesva ESG) ble også lagt til KEV-listen.

Posted by tsoc at 10:50 0 comments

Monday, 29 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.29

Akira ransomware utnytter MFA beskyttede SonicWall VPN kontoer. Falske Microsoft Teams installatører sprer Oyster skadevare via malvertising.

Akira ransomware utnytter MFA beskyttede SonicWall VPN kontoer

Akira ransomware angriper fortsatt SonicWall SSL VPN enheter, og forskere har oppdaget at angriperne klarer å logge inn på kontoer selv med OTP (One-Time Password) basert MFA aktivert. Angrepene knyttes til tidligere sårbarhet (CVE-2024-40766), hvor stjålne påloggingsinformasjon og OTP seeds trolig fortsatt misbrukes. Arctic Wolf observerer at angriperne får flere OTP utfordringer før vellykket innlogging, noe som antyder kompromitterte MFA seeds eller alternative metoder for å generere gyldige koder. Etter innbrudd beveger de seg raskt i nettverket, angriper blant annet Veeam backup-servere og bruker BYOVD (Bring Your Own Vulnerable Driver) teknikker for å deaktivere sikkerhetsprogramvare.

Sårbarheter:

Falske Microsoft Teams installatører sprer Oyster skadevare via malvertising

Hackere bruker "SEO poisoning" og søkemotorannonser for å spre falske Microsoft Teams installatører som installerer Oyster skadevare (også kjent som Broomstick/CleanUpLoader). Den falske nedlastingssiden, teams-install[.]top, utgir seg for å være Microsofts offisielle side og leverer en skadelig "MSTeamsSetup.exe", signert med stjålne sertifikater. Skadevaren legger inn en bakdør via DLL filen CaptureService.dll i %APPDATA%, og oppretter en planlagt task for persistens. Oyster gir angripere full tilgang, inkludert mulighet til å kjøre kommandoer, stjele filer og distribuere mer skadevare, og har tidligere blitt brukt i kampanjer som også førte til ransomware angrep (bl.a. Rhysida)

Posted by tsoc at 12:15 0 comments

Friday, 26 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.26

Cisco ASA og FTD Zero-day aktivt utnyttet, NCSC pulsen heves til nivå to.

Cisco ASA og FTD Zero-day aktivt utnyttet, NCSC pulsen heves til nivå to.

Tre nye Zero-day sårbarheter i Cisco ASA og FTD (CVE-2025-20333, CVSS 9.9, CVE-2025-20363, CVSS 9.0 og CVE-2025-20362, CVSS 6.5) blir aktivt utnyttet i pågående angrep. Sårbarhetene gjør det mulig for angripere å kjøre kode som root på sårbare enheter og å omgå autentisering via manipulerte HTTP forespørsler. Sårbarheten CVE-2025-20363 påvirker også Cisco IOS. NCSC anbefaler å installere nye sikkerhetsoppdateringer samt å følge Ciscos anbefalinger og har hevet pulsen til to: forhøyet fare. I USA har CISA utstedt et nød direktiv (ED 25-03) som pålegger føderale etater å gjennomføre tiltak innen 24 timer.

Cisco anbefaler umiddelbar patching av berørte enheter.

Posted by tsoc at 12:04 0 comments

Thursday, 25 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.25

Cisco advarer om IOS Zero-day sårbarhet utnyttet i angrep. PyPI ber påvirkede brukere om å tilbakestille påloggingsinformasjon etter nye phishing angrep.

Cisco advarer om IOS Zero-day sårbarhet utnyttet i angrep

Cisco har utgitt sikkerhetsoppdateringer for å fikse en alvorlig Zero-day sårbarhet (CVE-2025-20352) i IOS og IOS XE. Feilen ligger i SNMP subsystemet og kan utnyttes via spesiallagde SNMP pakker over IPv4/v6. Alle SNMP versjoner er påvirket. Angripere med lave privilegier kan forårsake DoS (tjenestenekt), mens de med høyere privilegier kan oppnå full kontroll over sårbare systemer. Cisco bekrefter at sårbarheten allerede er utnyttet i angrep etter kompromittering av lokale administratorbrukere. Det finnes for tiden ingen midlertidig løsning annet enn å installere sikkerhetsoppdateringene Cisco har utgitt.

Sårbarheter:

PyPI ber påvirkede brukere om å tilbakestille påloggingsinformasjon etter nye phishing angrep

Python Software Foundation advarer mot en ny bølge av phishing angrep som retter seg mot PyPI brukere via falske nettsteder som pypi-mirror[.]org og tidligere pypj[.]org. Angriperne sender e-poster som ber mottakere bekrefte e-postadressen sin for å unngå at kontoen blir suspendert. Disse e-postene lenker til disse falske PyPi nettstedene som forsøker å etterligne ekte PyPi både i utseende og ved å bruke liknende karakterer i URL. Målet er å stjele påloggingsinformasjon for å kompromittere eller publisere ondsinnede Python pakker.

For brukere som har trykket videre inn på en slik falsk e-post anbefaler de å bytte passord umiddelbart. En generell anbefaling er også å ta i bruk fler faktorautentisering.

Posted by tsoc at 13:05 0 comments

Tuesday, 23 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.23

Microsoft retter kritisk sårbarhet i Entra ID som muliggjorde Global Admin-imitasjon på tvers av tenants. Nytt EDR-Freeze-verktøy bruker Windows WER til å suspendere sikkerhetsprogramvare.

Microsoft retter kritisk sårbarhet i Entra ID som muliggjorde Global Admin-imitasjon på tvers av tenants

Microsoft har fikset en kritisk sårbarhet i Entra ID (tidligere Azure Active Directory), sporet som CVE-2025-55241 (CVSS 10.0). Feilen lå i valideringen av service-to-service tokens via den utdaterte Azure AD Graph API, som gjorde det mulig å utgi seg for enhver bruker på tvers av tenants. Dette kunne gi full kompromittering av tjenester som SharePoint Online, Exchange Online og Azure-ressurser. Sårbarheten har blitt fikset av Microsoft, uten behov for kundetiltak.

Anbefaling:

Microsoft oppfordrer organisasjoner til å migrere fra den utdaterte Azure AD Graph API til Microsoft Graph, ettersom Graph API ble offisielt avviklet 31. august 2025.

Sårbarheter:

Nytt EDR-Freeze-verktøy bruker Windows WER til å suspendere sikkerhetsprogramvare

En ny proof-of-concept-metode kalt EDR-Freeze viser hvordan angripere kan bruke Windows Error Reporting (WER) sammen med MiniDumpWriteDump API til å sette sikkerhetsprogrammer som EDR og antivirus i en permanent "frys"-tilstand. Teknikken fungerer helt fra brukermodus, og ble testet på Windows 11 24H2 der Windows Defender ble lammet. Metoden utnytter en race condition mellom WerFaultSecure og MiniDumpWriteDump.

Anbefaling:

Forsvar mot metoden kan oppnås ved å overvåke om WER peker mot sensitive prosesser (f.eks. LSASS, EDR/AV-verktøy).

Posted by tsoc at 21:01 0 comments

Monday, 22 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.22

Fortra utgir patch for CVSS 10.0 GoAnywhere MFT sårbarhet. LastPass advarer om falske GitHub repositorier som sprer Atomic Infostealer mot macOS.

Fortra utgir patch for CVSS 10.0 GoAnywhere MFT sårbarhet

Fortra har utgitt en kritisk oppdatering for en sårbarhet i GoAnywhere Managed File Transfer (MFT), sporet som CVE-2025-10035, med en CVSS score på 10.0. Feilen ligger i "License Servlet" og kan utnyttes via en forfalsket lisensrespons til å deserialisere ondsinnet objekt, noe som kan føre til kommandoinjeksjon. Sårbarheten krever at systemet er offentlig tilgjengelig over internett. Fortra oppgir at sårbarheten ikke er observert utnyttet enda, men lignende feil i samme produkt har tidligere blitt brukt av ransomware grupper som LockBit.

Anbefaling:

Oppdater til GoAnywhere MFT versjon 7.8.4 eller Sustain Release 7.6.3 umiddelbart. Hvis oppdatering ikke er mulig, bør man sørge for at GoAnywhere Admin Console ikke er eksponert mot internett.

Sårbarheter:

LastPass advarer om falske GitHub repositorier som sprer Atomic Infostealer mot macOS

LastPass har oppdaget en kampanje der falske GitHub repositorier sprer Atomic Infostealer malware mot macOS brukere. Angripere bruker "SEO poisoning" for å få falske sider høyt opp i nettleser søk, hvor de utgir seg for å være kjente verktøy som LastPass, 1Password, Dropbox, Notion, Obsidian, Shopify og flere. Ofrene blir lokket til å trykke på knapper som "Install LastPass on MacBook", som leder til GitHub-sider kontrollert av angriperne. Disse sidene ber brukere kopiere og kjøre kommandoer i Terminal, noe som installerer infostealer.

Anbefaling:

Brukere bør unngå å laste ned programvare fra tredjeparts GitHub-sider eller ukjente kilder, og kun installere apper fra offisielle nettsider eller App Store.

Posted by tsoc at 12:02 0 comments

Friday, 19 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.19

Google Patcher Chrome Zero-Day CVE-2025-10585 som aktivt utnyttes i V8-motoren.

Google Patcher Chrome Zero-Day CVE-2025-10585 som aktivt utnyttes i V8-motoren

Google har utgitt en sikkerhetsoppdatering for Chrome som fikser fire sårbarheter, inkludert en aktivt utnyttet zero-day (CVE-2025-10585). Sårbarheten er en typekonfusjon i V8 JavaScript- og WebAssembly-motoren, og ble oppdaget av Googles Threat Analysis Group 16. september 2025. Den kan utnyttes til kjøring av vilkårlig kode eller krasj av programvare.

Anbefaling:

Oppdater Chrome til versjon 140.0.7339.185/.186 (Windows/macOS) eller 140.0.7339.185 (Linux). Andre Chromium-baserte nettlesere som Edge, Brave, Opera og Vivaldi bør også oppdateres når patcher blir tilgjengelige.

Posted by tsoc at 09:56 0 comments

Thursday, 18 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.18

SonicWall ber kunder om å tilbakestille påloggingsinformasjon etter brudd i MySonicWall.

SonicWall ber kunder om å tilbakestille påloggingsinformasjon etter brudd i MySonicWall

SonicWall har bekreftet et sikkerhetsbrudd som eksponerte brannmur konfigurasjonsfiler lagret i enkelte MySonicWall kontoer. Angriperne fikk tilgang via brute force angrep mot API tjenesten for skylagring av backup. Eksponerte filer kan inneholde sensitiv informasjon som kan gjøre det enklere for en angriper å utnytte brannmurene. Det er kun kontoer med backup til skyen som er rammet. SonicWall har utgitt en sjekkliste med kritiske tiltak for å minimere risikoen.

Posted by tsoc at 12:24 0 comments

Wednesday, 17 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.17

Apples Backports-rettelse for CVE-2025-43300 utnyttet i sofistikert spionprogramangrep. Ny FileFix-variant leverer StealC-skadevare gjennom flerspråklig phishing-nettsted. Phoenix RowHammer-angrep omgår avansert DDR5-minnebeskyttelse på 109 sekunder.

Apples Backports-rettelse for CVE-2025-43300 utnyttet i sofistikert spionprogramangrep

Apple har backportet en kritisk sikkerhetsoppdatering for CVE-2025-43300 (CVSS 8.8), en out-of-bounds write-sårbarhet i ImageIO som kan føre til minnekorrupsjon ved åpning av ondsinnede bildefiler. Sårbarheten er allerede aktivt utnyttet i svært sofistikerte spionvareangrep mot under 200 målrettede personer, ofte i kombinasjon med CVE-2025-55177 i WhatsApp. Opprinnelig fikset i iOS 18.6.2, iPadOS 18.6.2, macOS Ventura 13.7.8, Sonoma 14.7.8 og Sequoia 15.6.1, er oppdateringen nå også tilgjengelig for eldre enheter (iOS 16.7.12, 15.8.5 og tilsvarende iPadOS). Samtidig har Apple utgitt oppdateringer som retter en rekke andre sårbarheter (bl.a. i IOKit, LaunchServices, Safari, WebKit, AppSandbox, CoreAudio, Spotlight og Xcode).

Anbefaling:

Apple-brukere bør umiddelbart oppdatere til siste tilgjengelige versjon, inkludert eldre enheter som har fått backportede oppdateringer. Dette er spesielt kritisk for organisasjoner og individer med høy risiko for målrettede angrep.

Ny FileFix-variant leverer StealC-skadevare gjennom flerspråklig phishing-nettsted

En ny kampanje misbruker en variant av «FileFix» sosial-engineering-teknikken for å levere StealC-informasjonstyveri via svært overbevisende, flerspråklige phishing-sider (f.eks. falsk Facebook Security). Angrepet får offeret til å kopiere og lime inn en tilsynelatende harmløs filbane i File Explorer, men clipboard-innholdet er hijacket til en obfuskert PowerShell-kommando som laster ned et tilsynelatende bilde fra en Bitbucket-repo, dekoder det til neste fase og til slutt starter en Go-loader som laster shellcode og kjører StealC. Phishing-siden bruker anti-analyse, tung obfuskasjon og fragmentering; angriperne benytter også varianter som MSHTA-kall og weaponized AutoHotkey (AHK)-skript for å levere ytterligere verktøy (AnyDesk, TeamViewer, clipper/malware). Metoden unngår behov for å åpne Run-dialogen ved å utnytte nettleserens filopplastings/clipboard-funksjoner, noe som gjør det vanskeligere å oppdage via tradisjonelle policyer.

Phoenix RowHammer-angrep omgår avansert DDR5-minnebeskyttelse på 109 sekunder

Et forskerteam fra ETH Zürich og Google har avdekket en ny RowHammer-variant kalt Phoenix (CVE-2025-6202, CVSS 7.1) som påviselig omgår avanserte DDR5-beskyttelser (bl.a. TRR/on-die-ECC) på SK Hynix DDR5-brikker produsert i perioden 2021–2024. Forskerne demonstrerer en end-to-end privilege-escalation som kan gi root på en standard desktop-maskin med DDR5 på under 109 sekunder ved å utløse bit-flips gjennom utilstrekkelig sampling av visse oppfriskningsintervaller. Forskerne påpeker at DRAM-enheter i felten ikke kan oppdateres, og anbefaler økt oppfriskningsrate (3x i eksperimentet stoppet Phoenix-flipps).

Anbefaling:

Øk DRAM-refresh for kritiske systemer — forskerne rapporterer at ~3× refresh stoppet Phoenix i deres tester.

Sårbarheter:

Posted by tsoc at 12:16 0 comments

Tuesday, 16 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.16

Ny HybridPetya ransomware kan omgå UEFI Secure Boot.

Ny HybridPetya ransomware kan omgå UEFI Secure Boot

En ny ransomware-variant kalt HybridPetya kan omgå UEFI Secure Boot ved å dra nytte av sårbarheten CVE-2024-7344. Den lar angriperen installere et bootkit i EFI System Partition (ESP), inkludert modifisert bootloader, fallback loader, og sporings-/konfigurasjonsfiler for å kryptere systemets Master File Table (MFT) med Salsa20-algoritme. Etter initiering vises en falsk CHKDSK-melding, deretter feilmelding (BSOD), reboot og ved oppstart krav om løsepenger ($1000 i Bitcoin) med nøkkel for gjenoppretting av original bootloader. Sårbarheten ble fikset i Microsofts sikkerhetsoppdatering i januar 2025. HybridPetya er per nå observert på VirusTotal som proof-of-concept eller tidlig testversjon, ikke i aktive angrep mot sluttbrukere.

Anbefaling:

ørg for at alle Windows-systemer installerer de nødvendige sikkerhetsoppdateringene, spesielt de som adresserer CVE-2024-7344

Sårbarheter:

Posted by tsoc at 12:20 0 comments

Monday, 15 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.15

Ny VoidProxy phishing tjeneste rettet mot Microsoft 365 og Google kontoer.

Ny VoidProxy phishing tjeneste rettet mot Microsoft 365 og Google kontoer.

VoidProxy er en ny phishing plattform som leies ut som tjeneste, og som gjør det mulig for angripere å stjele brukernavn, passord, MFA koder og gyldige sesjons cookies fra ofre. Den bruker en såkalt "adversary-in-the-middle" teknikk som setter seg mellom offeret og den ekte innloggingstjenesten, slik at innloggingsdata og cookies blir fanget opp i sanntid. Angrepene starter ofte fra kompromitterte legitime e-post kontoer, og utnytter kjeder av videresendte linker, Cloudflare CAPTCHA og billige èn-gangs domener for å unngå blokkering. For innloggingstjenester som krever ekstra autentisering (f.eks. via Okta eller andre SSO løsninger), kan VoidProxy etterligne denne prosessen og samtidig stjele autentiseringsdata. Dette gjør at angripere får full tilgang til kontoer selv om MFA er aktivert.

Posted by tsoc at 12:11 0 comments

Friday, 12 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.12

Ny VMScape Attack Bryter Gjeste-Vert Isolasjon på AMD og Intel CPUer. DDoS Defender Målrettet i 1,5 Bpps Denial-of-Service Attack.

Ny VMScape Attack Bryter Gjeste-Vert Isolasjon på AMD og Intel CPUer

En ny Spectre-lignende sårbarhet kalt VMScape gjør det mulig for en ondsinnet virtuell maskin (VM) å bryte isolasjonen mellom gjeste-VM og vert/hypervisor og dermed lekke sensitive data. Angrepet fungerer mot uendrede QEMU-hypervisorer med standard maskinvare- og programvaremitigasjoner aktivert. Det påvirker alle AMD-prosessorer fra Zen 1 til Zen 5, og Intel “Coffee Lake”-generasjonen. Nyere Intel-kjerner som “Raptor Cove” og “Gracemont” ser ikke ut til å være sårbare. Forskerne brukte en Spectre-BTI (Branch Target Injection) for å lure et indirekte hopp i QEMU til å spekulativt eksekvere en “disclosure gadget”, kombinert med en FLUSH+RELOAD cache side-kanal for å lese ut hemmeligheter. Teknisk sett kan for eksempel en 4 KB nøkkel lekkes på ca. 128 sekunder, etter ASLR-bypass, med byte-nøyaktighet på ~98,7 % og en total suksessrate på ~43 %. Mitigasjon finnes i Linux-kjernen ved bruk av IBPB («Indirect Branch Prediction Barrier») ved VMEXIT som tømmer branch prediction units (BPU)

Anbefaling:

Oppdatere Linux-kjerner til versjoner med IBPB ved VMEXIT-mitigasjon implementert

Sårbarheter:

DDoS Defender Målrettet i 1,5 Bpps Denial-of-Service Attack

En europeisk DDoS-mitigeringstjeneste ble utsatt for et massivt pakke-flodbølgeangrep (packet rate flood) på 1,5 milliarder pakker per sekund (1,5 Bpps). Angrepet kom fra tusenvis av kompromitterte IoT-enheter og MikroTik-rutere, spredt over mer enn 11 000 unike nettverk globalt. Trafikken bestod hovedsakelig av UDP-flood. Tjenesteleverandøren brukte FastNetMon som verktøy, og benyttet tiltak som å bruke scrubbing facility, tilgangskontrollister (ACLs) på edge-rutere kjent for å kunne forsterke slike angrep, for å begrense skadeomfanget.

Posted by tsoc at 14:10 0 comments

Wednesday, 10 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.10

SAP retter feil med utførelse av NetWeaver kommandoer med maksimal alvorlighetsgrad. Fra MostereRAT til ClickFix: Nye skadevarekampanjer fremhever økende risikoer for AI og phishing. Økning i nettverksskanninger rettet mot Cisco ASA enheter vekker bekymring.

SAP retter feil med utførelse av NetWeaver kommandoer med maksimal alvorlighetsgrad

SAP utgir i september 2025 en sikkerhetsoppdatering som retter tre kritiske sårbarheter i NetWeaver. Hovedsakelig en deserialiseringsfeil (CVE-2025-42944) med CVSS 10/10, som tillater uautentisert angriper å utføre OS kommandoer via RMI-P4. I tillegg er det en fil operasjonsfeil (CVE-2025-42922, CVSS 9.9) som muliggjør vilkårlig filopplasting via Deploy Web Service, og en manglende autentisering (CVE-2025-42958, CVSS 9.1) som gir uautoriserte høyt privilegerte brukere tilgang til sensitiv data og administrasjonsfunksjoner

Anbefaling:

Det anbefales å følge SAPs patch- og mitigasjonsanbefalinger umiddelbart ved å anvende de nye security note-oppdateringene som er publisert via SAPs supportportal

Fra MostereRAT til ClickFix: Nye skadevarekampanjer fremhever økende risikoer for AI og phishing

Cybersecurityforskere rapporterer i september 2025 om en phishing kampanje som leverer «MostereRAT», en "stealthy" skadevare som kombinerer "banking" skadevare med funksjonalitet som fjernstyrings trojan (RAT). Kampanjen bruker flere avanserte teknikker for å unngå oppdagelse, inkludert en "staged payload" utviklet i Easy Programming Language (EPL), funksjoner for å skjule ondsinnede operasjoner og deaktivere sikkerhetsverktøy, bruk av mutual TLS for sikre C2 kommunikasjoner, støtte for distribusjon av sekundære plugins og evnen til å installere vanlige fjerntilgang verktøy.

Økning i nettverksskanninger rettet mot Cisco ASA enheter vekker bekymring

I slutten av august 2025 ble det observert to markante bølger av nettverksskanninger rettet mot Cisco ASA enheter, hovedsakelig omkring innloggingsportaler og Telnet/SSH, med opptil 25 000 unike IP-adresser involvert. Den andre bølgen 26. august ble drevet av et brasiliansk bot-nett med cirka 17 000 IP-er. Skanningene brukte "Chrome-lignende" brukeragenter, noe som tyder på felles opprinnelse. Disse skanningene kan både være forsøk på å utnytte allerede kjente, patchede sårbarheter, men fungerer ofte som rekognoseringsaktivitet før nye sårbarheter offentliggjøres. Systemadministratorer rådes til å oppdatere ASA enheter, innføre MFA ved ekstern tilgang, skjule eller ikke eksponere ASA innlogging portaler, og bruke VPN, reverse proxy eller tilgangs gateway med geo blokkering og rate limiting for beskyttelse.

Posted by tsoc at 12:50 0 comments
Subscribe to: Comments (Atom)
 
>