Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Thursday, 30 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.30

Kritisk RCE-sårbarhet (CVSS 10.0) i Google Gemini CLI – flere alvorlige feil også avdekket i Cursor. Ny alvorlig sårbarhet i Linux kernel.

Kritisk RCE-sårbarhet (CVSS 10.0) i Google Gemini CLI – flere alvorlige feil også avdekket i Cursor

Google har rettet en kritisk sårbarhet (CVSS 10.0) i Gemini CLI som kunne la eksterne angripere kjøre vilkårlige kommandoer på vertssystemer. Sårbarheten, som ikke har fått tildelt en egen CVE-identifikator, påvirker følgende versjoner:

  • @google/gemini-cli < 0.39.1

  • @google/gemini-cli < 0.40.0-preview.3

  • google-github-actions/run-gemini-cli < 0.1.22

Feilen ligger i at Gemini CLI ved kjøring i headless-modus (typisk i CI-miljøer) automatisk stolte på arbeidsmappen verktøyet kjørte i, og lastet inn konfigurasjon og miljøvariabler uten validering eller sandboxing. Dette gjorde det mulig for en angriper å plante en spesielt utformet konfigurasjon i .gemini/-mappen som førte til kodekjøring på verten før sandboxen ble initialisert. I praksis kunne CI/CD-pipelines som behandler pull requests fra eksterne bidragsytere bli forvandlet til supply chain-angrepsveier. Oppdateringen krever nå at mapper eksplisitt må markeres som tillitsverdige før konfigurasjonsfiler kan lastes. Brukere som kjører workflows på betrodde inndata kan sette GEMINI_TRUST_WORKSPACE: 'true', mens de som behandler utrygge inndata bør gjennomgå Googles veiledning for å sikre arbeidsflyten. Google har også strammet inn allowlisting av verktøy i --yolo-modus for å hindre at prompt injection via for eksempel GitHub issues kan utløse automatisk kjøring av shell-kommandoer.

Samtidig har Novee Security avdekket en høyalvorlig sårbarhet (CVE-2026-26268, CVSS 8.1) i utviklerverktøyet Cursor før versjon 2.5. Feilen lar en angriper bryte ut av sandboxen via .git-konfigurasjoner, ved å plante et "bare repository" med en ondartet Git-hook som utløses automatisk ved commit eller checkout. Et typisk angrep starter med at en bruker kloner et offentlig GitHub-repo som inneholder et innebygd "bare repository" med en post-checkout hook. Når brukeren deretter ber Cursor-agenten om å forklare kodebasen, parser agenten en AGENTS.md-fil som instruerer den til å kjøre git checkout i bare-repoet, hvilket utløser hooken og fører til kodekjøring uten ytterligere brukerinteraksjon. Sårbarheten ble patchet i februar 2026.

I tillegg har LayerX rapportert en så langt uadressert sårbarhet i Cursor (CVSS 8.2), kalt CursorJacking, som lar enhver installert utvidelse hente ut API-nøkler og legitimasjon lagret i en lokal SQLite-database. Cursor håndhever ikke tilgangskontroll mellom utvidelser og databasen, hvilket kan føre til kontoovertakelse, datalekkasje og økonomisk tap som følge av uautorisert API-bruk. Cursor har påpekt at angrepet forutsetter at brukeren allerede har installert en ondartet utvidelse lokalt, og oppfordrer derfor brukere til kun å installere utvidelser fra pålitelige kilder.

Brukere og organisasjoner anbefales å oppdatere Gemini CLI og Cursor til siste versjon umiddelbart, gjennomgå CI/CD-konfigurasjoner som benytter AI-agenter, og være restriktive med hvilke utvidelser som installeres i utviklingsmiljøet. Det bør også utvises ekstra varsomhet ved kloning av ukjente repositories, særlig når disse åpnes i AI-drevne IDE-er som autonomt kan utføre Git-operasjoner.

Sårbarheter:

Ny alvorlig sårbarhet i Linux kernel

Ny alvorlig sårbarhet i Linux kernel rammer så godt som alle Linux-distribusjoner laget etter 2017 frem til nylig oppdatering.

Sårbarheten vurderes å være mer alvorlig enn kalkulert i CVE(7.8) på grunn av utbredelsen av sårbare systemer.

CVE-2026-31431, også kalt Copy Fail, er en sårbarhet i linux kernel som finnes i alle store Linux distribusjoner, inkludert Ubuntu, Amazon Linux, RHEL, SUSE. Funnet er attibuert til Taeyang Lee, forsker på sikkerhet hos theori.io . Den har vært kjent i lukkede miljøer i ca. to uker, men er ikke publisert før nå.

I korte trekk gjør utnyttelse av sårbarheten det mulig for en vanlig bruker uten spesielle privilegier å bli root. Utnyttelse krever hverken nettverkstilgang, muligheter for debug eller installerte komponenter.

Anbefaling:

Oppdater Linux kernel til 6.19.13 eller senere, avhjelpende tiltak er å blokkere opprettelse av AF_ALG-sockets ved hjelp av seccomp eller å svarteliste algif_aead modulen.

Posted by tsoc at 11:41 0 comments

Wednesday, 29 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.29

Forskere oppdager kritisk GitHub RCE sårbarhet som kan utnyttes via en Git push.

Forskere oppdager kritisk GitHub RCE sårbarhet som kan utnyttes via en Git push

En kritisk sårbarhet identifisert som CVE-2026-3854 med CVSS score 8.7 påvirker både GitHub.com og GitHub Enterprise Server og kan gi fjernkjøring av kode via ett enkelt git push. Feilen skyldes manglende sanitering av bruker input i push opsjoner som ble inkludert i interne headers, noe som muliggjør command injection. En angriper med tilgang til å pushe til et repository kan dermed utføre vilkårlig kode på backend infrastrukturen.

På grunn av GitHub sin multi-tenant arkitektur kunne vellykket utnyttelse føre til kryss tenant tilgang, hvor angripere potensielt kan lese millioner av repositories på samme lagringsnode uavhengig av organisasjon. Sårbarheten ble oppdaget av Wiz og fikset svært raskt på GitHub.com, og det finnes per nå ingen indikasjoner på aktiv utnyttelse. Oppdateringer er tilgjengelig for flere versjoner av GitHub Enterprise Server.

Anbefaling:

Oppdater GitHub Enterprise Server til versjonene 3.14.25, 3.15.20, 3.16.16, 3.17.13, 3.18.8, 3.19.4, 3.20.0 eller nyere umiddelbart.

Sårbarheter:

Posted by tsoc at 12:02 0 comments

Tuesday, 28 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.28

Forskere avdekker 73 falske VS Code-utvidelser som sprer GlassWorm v2 malware. Rolle sårbarhet i Entra ID patchet av Microsoft.

Forskere avdekker 73 falske VS Code-utvidelser som sprer GlassWorm v2 malware

Forskere har identifisert 73 falske utvidelser i Open VSX-registeret for Visual Studio Code, som er del av en pågående kampanje kalt GlassWorm v2. Seks av disse er bekreftet skadelige, mens resten fungerer som såkalte “sleeper” pakker som bygger tillit før de senere kan oppdateres med skadevare. Kampanjen har eksistert siden desember 2025 og omfatter totalt over 320 artefakter. Utvidelsene etterligner legitime pakker med samme navn, ikon og beskrivelse for å lure utviklere til installasjon.

Angrepet benytter avanserte teknikker som typosquatting, sosial manipulering og Zig-baserte droppere for å installere en sekundær VSIX-utvidelse fra GitHub. Denne kan infisere flere IDE-er på samme maskin, inkludert VS Code, Cursor , VSCodium, og muliggjør tyveri av sensitiv informasjon og legitimasjon.

Anbefalinger:
Vær svært kritisk til hvilke VS Code-utvidelser som installeres, spesielt fra Open VSX. Verifiser utgiver, nedlastninger og autentisitet før installasjon, og unngå pakker som etterligner kjente utvidelser.

Rolle sårbarhet i Entra ID patchet av Microsoft

En administrativ rolle for AI‑agenter i Entra ID kan gjøre virksomheter sårbare for angrep som privilege escalation og identity takeover.

Forskere hos Silverfort har avdekket at rollen Agent ID Administrator, som Microsoft introduserte som en del av deres agent identity‑plattform, kunne tildeles brukere på en måte som ga dem utvidet tilgang til service principals. Dette gjorde det mulig å ta over eierskap av en tjenestebruker, legge til egne legitimasjonsdetaljer og deretter logge inn som den aktuelle service principal.

Microsoft har adressert og patchet denne sårbarheten etter 1. mars. Nye forsøk på å ta eierskap over en non-agent service principal resulterer nå i en Forbidden-feilmelding.

For å mitigere denne typen trusler anbefales organisasjoner å overvåke bruken av sensitive roller nøye, særlig roller knyttet til eierskap av service principals og endringer i legitimasjoner.

Posted by tsoc at 13:04 0 comments

Monday, 27 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.27

Ny bakdør holder seg aktiv på Cisco enheter etter patching.

Ny bakdør holder seg aktiv på Cisco enheter etter patching

Cybersikkerhetsmyndigheter i USA og Storbritannia advarer om en avansert bakdør kalt Firestarter som opprettholder tilgang på Cisco Firepower- og Secure Firewall enheter selv etter oppdateringer og patching. Angriperen, kjent som UAT-4356, utnytter sårbarheter som CVE-2025-20333 og CVE-2025-20362 for å få initiell tilgang.

Et typisk angrep starter med skadevaren Line Viper, som brukes til å etablere VPN tilgang og hente ut sensitiv konfigurasjon som brukerdetaljer og nøkler. Deretter installeres Firestarter, som sørger for vedvarende tilgang ved å integrere seg i kjernen av systemet (LINA) og automatisk reinstallere seg selv ved omstart eller terminering.

Skadevaren kan også kjøre angriperstyrt kode direkte i minnet via manipulerte WebVPN forespørsler. En særlig alvorlig egenskap er at den overlever omstart, firmwareoppdateringer og sikkerhetsoppdateringer. Cisco anbefaler re-installering og oppgradering av enheter for å fjerne trusselen.

Anbefaling:

Administratorer kan sjekke kompromittering ved å kjøre kommandoen show kernel process | include lina_cs. Oppdater og reinstaller berørte enheter umiddelbart, overvåk for mistenkelig aktivitet, og sørg for at kjente sårbarheter er lukket. Unngå midlertidige løsninger som kan føre til systemfeil.

Posted by tsoc at 12:02 0 comments

Saturday, 25 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.25

Hackere bruker falske CAPTCHA sider for å lure brukere til skadevare og svindel.

Hackere bruker falske CAPTCHA sider for å lure brukere til skadevare og svindel

En økende trend der angripere bruker falske CAPTCHA verifiseringssider som etterligner legitime sikkerhetssjekker for å lure brukere til å utføre skadelige handlinger. Disse sidene ser ut som kjente løsninger som Cloudflare og utnytter tilliten brukere har til slike kontroller. I stedet for å bekrefte at brukeren er et menneske, blir ofrene bedt om å utføre handlinger som å kjøre kommandoer, gi tillatelser eller installere programvare, noe som fører til infeksjon av malware eller misbruk som SMS svindel. Kampanjen er omfattende og inkluderer tusenvis av kompromitterte nettsteder som distribuerer disse falske sidene, noe som gjør dette til en effektiv og raskt voksende sosial manipulasjonsmetode.

Anbefaling:

Brukere bør unngå å utføre handlinger utover standard CAPTCHA interaksjoner, som å kjøre kommandoer eller gi ekstra tillatelser, og umiddelbart forlate mistenkelige sider.

Posted by tsoc at 16:57 0 comments

Friday, 24 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.24

Bitwarden CLI kompromittert i pågående Checkmarx forsyningskjedeangrep. UNC6692 utnytter Microsoft Teams til Helpdesk Phishing og sprer SNOW skadevare.

Bitwarden CLI kompromittert i pågående Checkmarx forsyningskjedeangrep

Bitwarden CLI har blitt kompromittert som del av en pågåendeforsyningskjedeangrep kampanje knyttet til Checkmarx, hvor en ondsinnet versjon @bitwarden/cli@2026.4.0 ble publisert via npm. Angrepet utnyttet en kompromittert GitHub Actions komponent i CI/CD pipeline, og inkluderte skadelig kode i filen bw1.js. Skadevare kjørte via en preinstall hook og stjal sensitiv informasjon som GitHub og npm tokens, SSH nøkler, miljøvariabler og CI/CD hemmeligheter, før data ble eksfiltrert til domenet audit.checkmarx[.]cx eller til offentlige GitHub repositories. Angrepet kunne også bruke stjålne tokens til å injisere ondsinnede workflows i andre repositories og spre seg videre som en slags forsyningskjede orm. Hendelsen fant sted i et begrenset tidsrom 22. april 2026 (ca. 1,5 time), og Bitwarden bekrefter at ingen brukerdata eller vault data ble kompromittert. Kampanjen er knyttet til en bredere trusselaktør aktivitet (muligens TeamPCP) og representerer en avansert utvikling av tidligere forsyningskjedeangrep, inkludert målretting av AI utviklingsverktøy og CI/CD miljøer.

Anbefaling:

Fjern umiddelbart versjon @bitwarden/cli@2026.4.0 dersom den er installert. Roter alle potensielt eksponerte hemmeligheter, inkludert GitHub, npm og cloud tokens. Gjennomgå CI/CD pipelines for uautoriserte workflows og aktivitet. Implementer streng kontroll på avhengigheter og bruk verktøy for å validere integriteten til pakker. Overvåk GitHub repositories for uvanlige commits eller eksfiltrering av data.

UNC6692 utnytter Microsoft Teams til Helpdesk Phishing og sprer SNOW skadevare

En ny trusselaktør, UNC6692, bruker avansert sosial manipulering via Microsoft Teams for å kompromittere virksomheter. Angrepet starter med e-postbombing for å skape panikk, før angriperen kontakter offeret via Teams og utgir seg for å være IT support. Offeret blir deretter lurt til å installere en falsk “Mailbox Repair and Sync Utility”, som i realiteten laster ned et AutoHotkey script fra AWS. Scriptet installerer en ondsinnet nettleserutvidelse (SNOWBELT) i Microsoft Edge, som fungerer som bakdør og laster ned flere komponenter i SNOW skadevare familien, inkludert SNOWGLAZE (tunnelering) og SNOWBASIN (RCE og persistens). Angriperne kan deretter stjele brukerdetaljer, utføre lateral bevegelse via teknikker som "Pass-the-Hash", hente LSASS minne, og eksfiltrere data via legitime verktøy som Rclone og LimeWire. Kampanjen retter seg særlig mot ledere og nøkkelpersonell, og misbruker legitime skytjenester for å skjule aktivitet og omgå sikkerhetsfiltre.

Anbefalinger: Implementer strenge verifiseringsrutiner for IT support via Teams og begrens ekstern kommunikasjon i plattformen. Tren ansatte i å gjenkjenne sosial manipulering og phishing. Begrens bruk av fjernstyringsverktøy og overvåk installasjon av nettleserutvidelser. Hardening av PowerShell og overvåking av uvanlig aktivitet er kritisk. Overvåk også bruk av legitime verktøy som Rclone og uvanlig trafikk mot skytjenester.

Posted by tsoc at 12:08 0 comments

Thursday, 23 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.23

Microsoft publiserer sikkerhetsoppdateringer for kritisk ASP.NET sårbarhet. Selvspredende orm rammer flere legitime npm-pakker.

Microsoft publiserer sikkerhetsoppdateringer for kritisk ASP.NET sårbarhet

Microsoft har publisert en hasteoppdatering utenfor den vanlige patchesyklusen for å rette sårbarheten CVE-2026-40372 i ASP.NET Core Data Protection. Sårbarheten skyldes feilvalidering av HMAC i krypterte payloads. Dette kan gjøre det mulig for en uautentisert angriper å forfalske autentiseringscookies og eskalere privilegier. Microsoft har rettet dette i versjon 10.0.7, men advarer om at tokens som allerede ble legitimt signert som følge av angrep under den sårbare perioden, fortsatt kan være gyldige dersom nøkkelringen ikke roteres.

Sårbarheter:

Selvspredende orm rammer flere legitime npm-pakker

En ny supply chain-kampanje omtalt som CanisterSprawl har kompromittert flere legitime npm-pakker og bruker en selvpropagerende orm for å stjele hemmeligheter fra utviklermiljøer og deretter spre seg videre ved å misbruke stjålne npm-tokener. Skadevaren kjøres via postinstall, samler inn diverse nøkler, .env filer og shell-historikk. Den forsøker også å hente data fra Chromium-baserte nettlesere samt kryptowallets. Data eksfiltreres så til et webhook-endepunkt og en ICP-canister. Kampanjen skiller seg ut fordi den ikke bare stjeler legitimasjon, men også inneholder logikk for å publisere nye ondsinnede pakkeversjoner med infisert postinstall ved hjelp av de stjålne publiseringstokenene.

Posted by tsoc at 12:05 0 comments

Wednesday, 22 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.22

CISA varsler om aktivt utnyttet SD WAN sårbarhet. Ny macOS-trussel: ClickFix-angrep stjeler passord og kryptolommebøker.

CISA varsler om aktivt utnyttet SD WAN sårbarhet

CISA har lagt til Cisco Catalyst SD WAN Manager sårbarheten CVE-2026-20133 (CVSS v3 score 7,5) i sin KEV-katalog (Known Exploited Vulnerabilities) etter bevis på aktiv utnyttelse. Cisco publiserte en fiks for feilen i slutten av februar 2026, men det er framdeles mange systemer uten sikkerhetsoppdateringene. Sårbarheten skyldes utilstrekkelige adgangskontroller mot filsystemet, som gjør at en uautentisert angriper kan lese sensitiv informasjon fra det underliggende operativsystemet via API-kall mot en upatchet enhet. Det anbefales at sikkerhetsoppdateringer installeres.

Sårbarheter:

Ny macOS-trussel: ClickFix-angrep stjeler passord og kryptolommebøker

En ny bølge av såkalte ClickFix-angrep retter seg mot macOS-brukere og sprer en avansert AppleScript-basert infostealer. Angrepet lurer brukere til å kjøre skadelige kommandoer selv, ofte via falske CAPTCHA-sider eller “feilrettinger”.

Ifølge Netskope Threat Labs utnytter kampanjen sosial manipulering for å få brukeren til å lime inn en skjult curl-kommando via Spotlight. Når kommandoen kjøres, lastes skadevare ned i bakgrunnen og begynner å samle inn sensitiv informasjon.

Skadevaren er særlig omfattende: Den retter seg mot minst 14 nettlesere, 16 kryptolommebøker og over 200 nettleserutvidelser. Blant dataene som stjeles er passord, sesjonscookies, autofyll-data og kredittkortinformasjon. I tillegg forsøker den å hente ut innhold fra macOS Keychain.

Et ekstra alvorlig element er at brukeren presses til å oppgi systempassordet sitt via en falsk, men svært troverdig macOS-dialogboks. Denne boksen kan ikke lukkes og fortsetter å dukke opp til korrekt passord blir skrevet inn.

Angrepene er primært observert mot finanssektoren i Asia, men teknikken kan enkelt ramme brukere globalt. Både Windows og macOS maskiner er sårbare, men nyere versjoner av macOS har fått innebygde varsler som kan stoppe slike angrep.

Anbefalinger til brukere:

  • Oppdater til nyeste versjon av macOS for å få innebygde sikkerhetsvarsler

  • Unngå å lime inn kommandoer i Terminal eller Spotlight fra ukjente kilder

  • Vær skeptisk til CAPTCHA-sider som ber deg utføre handlinger på egen maskin

  • Bruk tofaktorautentisering (2FA) der det er mulig

  • Installer og oppdater sikkerhetsprogramvare som kan oppdage infostealers

  • Vurder å bruke separate passordhvelv og unngå lagring av sensitive data i nettlesere

Posted by tsoc at 12:27 0 comments

Tuesday, 21 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.21

Hackere bruker MiningDropper til å levere infostealer, Remote Access Torjanere og skadelig programvare for banktjenester på Android. Vercel-brudd koblet til infostealer-infeksjon hos Context.ai.

Hackere bruker MiningDropper til å levere infostealer, Remote Access Torjanere og skadelig programvare for banktjenester på Android

En aktiv Android malwarekampanje bruker rammeverket MiningDropper som en flertrinns dropper for å levere sekundærlaster som infostealers, Remote Access Trojanere, banktrojanere og i noen tilfeller kryptominere. Kampanjen sprer seg via phishing-sider, falske nettsteder og lenker i sosiale medier, ofte forkledd som legitime apper, banker, telekomtjenester og transporttjenester. Ifølge forskere er aktiviteten observert i India, Europa, Latin Amerika og Asia, med ulike kampanjer rettet både mot datatyveri og fjernstyring av kompromitterte enheter. Trusselen er særlig alvorlig fordi den kombinerer sosial manipulering med modulær malwareleveranse som gjør videre skadevareutplassering fleksibel og vanskeligere å oppdage.

Anbefaling:

Unngå sidelasting av APK-filer fra uoffisielle kilder, håndhev installasjon kun fra betrodde app-butikker, overvåk Android-enheter for ukjente apper og uvanlig nettverkstrafikk, og styrk brukerbevissthet rundt phishing og falske applikasjoner.

Vercel-brudd koblet til infostealer-infeksjon hos Context.ai

En pågående analyse som knytter Vercel-bruddet til en sannsynlig kompromittering via en infostealer-infeksjon hos tredjepartsleverandøren Context.ai. Ifølge Hudson Rock skal en ansatt med sensitive tilganger ha blitt infisert med Lumma stealer i februar 2026, angivelig etter nedlasting av ondsinnede Roblox-relaterte “auto-farm”-skript og eksekverbare filer. Denne infeksjonen skal ha eksponert virksomhetskritiske legitimasjoner, inkludert tilgang til Google Workspace, Supabase, Datadog, Authkit og Vercel-administrative ressurser. Artikkelen peker på at denne kompromitteringen kan ha gitt trusselaktører, omtalt som ShinyHunters, et initialt tilgangspunkt som muliggjorde videre eskalering og potensielt inntrenging i Vercels infrastruktur.

Det understrekes at dette fremstår som en supply chain-relatert hendelse der svakheten ikke nødvendigvis lå hos Vercel direkte, men via kompromittert tredjepartstilgang. Artikkelen bygger på korrelasjon mellom infostealer-telemetri, kompromitterte tilgangslogger og observerte administrative tilganger, men presenterer dette som etterretningsbaserte funn og sannsynlig årsakssammenheng, ikke endelig offentlig bekreftet root cause.

Posted by tsoc at 12:28 0 comments

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.21

Hackere bruker MiningDropper til å levere infostealer, Remote Access Torjanere og skadelig programvare for banktjenester på Android. Vercel-brudd koblet til infostealer-infeksjon hos Context.ai.

Hackere bruker MiningDropper til å levere infostealer, Remote Access Torjanere og skadelig programvare for banktjenester på Android

En aktiv Android malwarekampanje bruker rammeverket MiningDropper som en flertrinns dropper for å levere sekundærlaster som infostealers, Remote Access Trojanere, banktrojanere og i noen tilfeller kryptominere. Kampanjen sprer seg via phishing-sider, falske nettsteder og lenker i sosiale medier, ofte forkledd som legitime apper, banker, telekomtjenester og transporttjenester. Ifølge forskere er aktiviteten observert i India, Europa, Latin Amerika og Asia, med ulike kampanjer rettet både mot datatyveri og fjernstyring av kompromitterte enheter. Trusselen er særlig alvorlig fordi den kombinerer sosial manipulering med modulær malwareleveranse som gjør videre skadevareutplassering fleksibel og vanskeligere å oppdage.

Anbefaling:

Unngå sidelasting av APK-filer fra uoffisielle kilder, håndhev installasjon kun fra betrodde app-butikker, overvåk Android-enheter for ukjente apper og uvanlig nettverkstrafikk, og styrk brukerbevissthet rundt phishing og falske applikasjoner.

Vercel-brudd koblet til infostealer-infeksjon hos Context.ai

En pågående analyse som knytter Vercel-bruddet til en sannsynlig kompromittering via en infostealer-infeksjon hos tredjepartsleverandøren Context.ai. Ifølge Hudson Rock skal en ansatt med sensitive tilganger ha blitt infisert med Lumma stealer i februar 2026, angivelig etter nedlasting av ondsinnede Roblox-relaterte “auto-farm”-skript og eksekverbare filer. Denne infeksjonen skal ha eksponert virksomhetskritiske legitimasjoner, inkludert tilgang til Google Workspace, Supabase, Datadog, Authkit og Vercel-administrative ressurser. Artikkelen peker på at denne kompromitteringen kan ha gitt trusselaktører, omtalt som ShinyHunters, et initialt tilgangspunkt som muliggjorde videre eskalering og potensielt inntrenging i Vercels infrastruktur.

Det understrekes at dette fremstår som en supply chain-relatert hendelse der svakheten ikke nødvendigvis lå hos Vercel direkte, men via kompromittert tredjepartstilgang. Artikkelen bygger på korrelasjon mellom infostealer-telemetri, kompromitterte tilgangslogger og observerte administrative tilganger, men presenterer dette som etterretningsbaserte funn og sannsynlig årsakssammenheng, ikke endelig offentlig bekreftet root cause.

Posted by tsoc at 12:24 0 comments

Monday, 20 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.20

Cisco patcher fire kritiske sårbarheter i Identity Services og Webex som muliggjør RCE og brukerimitasjon. Mirai-varianten Nexcorium utnytter CVE-2024-3721 for å kapre TBK DVR-er til DDoS-botnett. Kritisk feil i Protobuf-biblioteket gjør det mulig å kjøre JavaScript-kode.

Cisco patcher fire kritiske sårbarheter i Identity Services og Webex som muliggjør RCE og brukerimitasjon

Cisco har publisert sikkerhetsoppdateringer for fire kritiske sårbarheter i Identity Services Engine (ISE), ISE-PIC og Webex som kan føre til fjernkjøring av kode, kommandoeksekvering og brukerimitasjon. De mest alvorlige feilene (CVSS opptil 9.9) skyldes utilstrekkelig validering av brukerinput og svak sertifikatvalidering i SSO-integrasjon. Dette kan gjøre det mulig for angripere med gyldige eller til og med uten autentisering i enkelte tilfeller å kjøre vilkårlige kommandoer, eskalere privilegier til root eller utgi seg for legitime brukere i Webex. I enkelte scenarioer kan også DoS oppstå ved at ISE-noder blir utilgjengelige. Cisco opplyser at det ikke er observert aktiv utnyttelse, men anbefaler rask oppdatering.

Anbefaling:

Oppdater til siste tilgjengelige versjoner av Cisco ISE og ISE-PIC i henhold til anbefalte patch-nivåer. For Webex SSO-brukere anbefales det å laste opp nytt SAML-sertifikat i Control Hub.

Mirai-varianten Nexcorium utnytter CVE-2024-3721 for å kapre TBK DVR-er til DDoS-botnett

Sikkerhetsforskere fra Fortinet og Palo Alto Networks har avdekket at angripere aktivt utnytter kjente sårbarheter i IoT‑ og nettverksenheter for å spre Mirai‑baserte botnett. I TBK‑DVR‑enheter misbrukes sårbarheten CVE‑2024‑3721 til å installere skadevaren Nexcorium, som gir angriperen varig tilgang og mulighet til å utføre DDoS‑angrep. Skadevaren kombinerer utnyttelse av sårbarheter med brute‑force‑angrep og sideveis spredning for å infisere flere enheter i samme nettverk. Samtidig observeres aktive angrepsforsøk mot utgåtte (EoL) TP‑Link‑rutere via CVE‑2023‑33538, og selv om mange av disse forsøkene feiler, viser de at gamle enheter uten oppdateringer og med standardpassord fortsatt utgjør en betydelig sikkerhetsrisiko og bør erstattes.

Kritisk feil i Protobuf-biblioteket gjør det mulig å kjøre JavaScript-kode

Det er avdekket en kritisk remote code execution‑sårbarhet (RCE) i protobuf.js, et svært utbredt JavaScript‑bibliotek brukt til strukturert datakommunikasjon i Node.js og skybaserte applikasjoner. Sårbarheten skyldes utrygg dynamisk kodegenerering, der biblioteket bygger og kjører JavaScript‑funksjoner basert på protobuf‑skjemaer uten tilstrekkelig validering av identifikatorer. Dette gjør det mulig for en angriper å levere et ondsinnet skjema som kan injisere og kjøre vilkårlig kode når applikasjonen behandler data. Feilen påvirker eldre versjoner av biblioteket og kan føre til kompromittering av servere eller utviklermiljøer. Brukere anbefales å oppgradere til oppdaterte versjoner og behandle protobuf-skjemaer som ikke-sikker input.

Posted by tsoc at 11:55 0 comments

Friday, 17 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.17

Cisco patcher fire kritiske sårbarheter i Identity Services og Webex som muliggjør RCE og brukerimitasjon.

Cisco patcher fire kritiske sårbarheter i Identity Services og Webex som muliggjør RCE og brukerimitasjon

Cisco har publisert sikkerhetsoppdateringer for fire kritiske sårbarheter i Identity Services Engine (ISE), ISE-PIC og Webex som kan føre til fjernkjøring av kode, kommandoeksekvering og brukerimitasjon. De mest alvorlige feilene (CVSS opptil 9.9) skyldes utilstrekkelig validering av brukerinput og svak sertifikatvalidering i SSO-integrasjon. Dette kan gjøre det mulig for angripere med gyldige eller til og med uten autentisering i enkelte tilfeller å kjøre vilkårlige kommandoer, eskalere privilegier til root eller utgi seg for legitime brukere i Webex. I enkelte scenarioer kan også DoS oppstå ved at ISE-noder blir utilgjengelige. Cisco opplyser at det ikke er observert aktiv utnyttelse, men anbefaler rask oppdatering.

Anbefaling:

Oppdater til siste tilgjengelige versjoner av Cisco ISE og ISE-PIC i henhold til anbefalte patch-nivåer. For Webex SSO-brukere anbefales det å laste opp nytt SAML-sertifikat i Control Hub.

Posted by tsoc at 13:04 0 comments

Thursday, 16 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.16

April Patch Tuesday fikser kritiske sårbarheter i SAP, Adobe, Microsoft og flere. UAC-0247 retter datatyv-kampanje mot ukrainske klinikker og myndigheter.

April Patch Tuesday fikser kritiske sårbarheter i SAP, Adobe, Microsoft og flere

April Patch Tuesday 2026 inkluderer en rekke kritiske sikkerhetsoppdateringer fra leverandører som Microsoft, SAP, Adobe og Fortinet. Oppdateringene adresserer flere alvorlige sårbarheter, inkludert fjernkjøring av kode (RCE) og risiko for datatyveri. Microsoft alene har fikset over 160 sårbarheter, inkludert minst én aktivt utnyttet nulldagssårbarhet i SharePoint (CVE-2026-32201). Flere av sårbarhetene er klassifisert som kritiske og kan gi angripere mulighet til å ta kontroll over systemer eller eskalere privilegier.

Anbefaling:

Organisasjoner bør prioritere å installere alle tilgjengelige sikkerhetsoppdateringer umiddelbart, spesielt for internett-eksponerte systemer som SharePoint. Det anbefales også å teste patcher raskt og rulle dem ut for å redusere risiko for aktiv utnyttelse.

Sårbarheter:

UAC-0247 retter datatyv-kampanje mot ukrainske klinikker og myndigheter

Ukrainas Computer Emergencies Response Team (CERT-UA) har avdekket en ny kampanje som har rettet seg mot myndigheter og kommunale helseinstitusjoner for å distribuere skadevare som kan stjele sensitive data fra Chromium-baserte nettlesere og WhatsApp. Aktiviteten ble observert mellom mars og april 2026, og tilskrives en trusselgruppe kalt UAC-0247. Opprinnelsen til kampanjen er foreløpig ukjent.

Angrepskjeden starter med en e-post som utgir seg for å være et forslag om humanitær hjelp, og oppfordrer mottakerne til å klikke på en lenke som omdirigerer til enten et legitimt nettsted kompromittert via en cross-site scripting (XSS)-sårbarhet, eller et falskt nettsted laget ved hjelp av AI-verktøy. Målet i begge tilfeller er å få offeret til å kjøre en Windows Shortcut-fil (LNK), som i sin tur kjører en ekstern HTML Application (HTA) via det legitime Windows-verktøyet "mshta.exe". HTA-filen viser et lokkeskjema for å distrahere offeret, mens den i bakgrunnen laster ned en binærfil som injiserer shellcode i en legitim prosess som "runtimeBroker.exe". CERT-UA har også observert en to-stegs loader der andre steg er implementert i et egenutviklet eksekverbart filformat, med payload som er både komprimert og kryptert.

Blant skadevaren som distribueres finnes:

  • RAVENSHELL: et TCP reverse shell som oppretter tilkobling til en styringsserver for å motta kommandoer som utføres via "cmd.exe".

  • AGINGFLY: et C#-basert fjernstyringsverktøy som kommuniserer med en C2-server via WebSockets, og som kan kjøre kommandoer, starte keylogger, laste ned filer og kjøre ytterligere nyttelaster.

  • SILENTLOOP: et PowerShell-skript som blant annet henter C2-serverens aktuelle IP-adresse fra en Telegram-kanal, med fallback til alternative mekanismer.

I tillegg benyttes flere åpen kildekode-verktøy: ChromElevator (omgår Chromiums app-bound encryption for å hente cookies og lagrede passord), ZAPiXDESK (dekrypterer lokale WhatsApp Web-databaser), RustScan (nettverksskanner), Ligolo-Ng og Chisel (tunneling over TCP/UDP/TLS), samt kryptoutvinneren XMRig.

Gjennomgang av omtrent et dusin hendelser viser at angrepene legger til rette for rekognosering, lateral bevegelse og tyveri av legitimasjon og andre sensitive data. CERT-UA indikerer også at representanter for Ukrainas forsvarsstyrker kan ha vært mål, gjennom distribusjon av skadelige ZIP-arkiver via Signal som leverer AGINGFLY ved bruk av DLL side-loading.

For å redusere risikoen anbefales det å begrense kjøring av LNK-, HTA- og JS-filer, samt legitime verktøy som "mshta.exe", "powershell.exe" og "wscript.exe".

Posted by tsoc at 12:21 0 comments

Wednesday, 15 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.15

Silent Storm infostealer kaprer sesjoner og dekrypterer server-side data.

Silent Storm infostealer kaprer sesjoner og dekrypterer server-side data

En ny infostealer kalt Silent Storm er identifisert som en avansert trussel som kan kapre aktive brukersesjoner og dekryptere sensitiv data direkte fra server side lagring. I motsetning til tradisjonelle infostealers som kun stjeler lagrede passord eller cookies, utnytter denne teknikker for å hente og dekryptere autentiseringsdata i sanntid, noe som gjør det mulig å omgå multifaktorautentisering. Angrepene retter seg spesielt mot nettlesere og autentiseringsmekanismer, og gjør det mulig for angripere å få vedvarende tilgang til kontoer uten å måtte logge inn på nytt. Silent Storm benytter avanserte metoder for å unngå deteksjon og opererer i minnet, noe som gjør den vanskelig å oppdage med tradisjonelle sikkerhetsverktøy.

Posted by tsoc at 11:55 0 comments

Tuesday, 14 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.14

CISA legger til 6 aktivt utnyttede sårbarheter i Fortinet, Microsoft og Adobe.

CISA legger til 6 aktivt utnyttede sårbarheter i Fortinet, Microsoft og Adobe

CISA har lagt til seks sårbarheter i sin Known Exploited Vulnerabilities (KEV) katalog etter bekreftet aktiv utnyttelse. Den mest kritiske er CVE-2026-21643 (CVSS 9.1) i Fortinet FortiClient EMS, som gjør det mulig for uautentiserte angripere å utføre kode via SQL injection. I tillegg er flere kjente sårbarheter inkludert, blant annet CVE-2023-21529 i Microsoft Exchange som brukes til å spre "Medusa ransomware", samt eldre sårbarheter i Adobe Reader og Microsoft komponenter som fortsatt utnyttes i angrep. Sårbarhetene dekker et bredt spekter av angrepstyper, inkludert "remote code execution (RCE)" og "privilege escalation", og påvirker kritiske systemer i mange virksomheter. CISA har satt en frist til 27. april 2026 for å implementere nødvendige sikkerhetstiltak i berørte miljøer.

Anbefaling:

Oppdater alle berørte systemer umiddelbart med tilgjengelige sikkerhetsoppdateringer. Prioriter spesielt Fortinet FortiClient EMS og Microsoft Exchange. Overvåk systemer for tegn på utnyttelse, spesielt relatert til SQL injection og uvanlig aktivitet i Exchange servere. Fjern eller oppdater eldre programvare som fortsatt inneholder kjente sårbarheter. Følg CISA sine anbefalinger og sørg for patching innen fristen.

Posted by tsoc at 12:04 0 comments

Monday, 13 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.13

Marimo RCE-feil CVE-2026-39987 utnyttet innen 10 timer etter avsløring. Utnyttelse av nulldagssårbarhet i kampanje mot Adobe Acrobat Reader.

Marimo RCE-feil CVE-2026-39987 utnyttet innen 10 timer etter avsløring

En kritisk sårbarhet i det åpne Python notatverktøyet Marimo, identifisert som CVE-2026-39987 (CVSS 9,3), ble utnyttet mindre enn 10 timer etter offentliggjøring. Sårbarheten gjorde det mulig for uautentiserte angripere å få full fjernkommandotilgang via WebSocket endepunktet /terminal/ws, og berørte alle versjoner til og med 0.20.4. Feilen skyldtes manglende autentiseringskontroll på dette endepunktet, i motsetning til andre deler av applikasjonen. Ifølge Sysdig ble de første angrepene observert under 10 timer før identifisering, selv uten tilgjengelig exploit kode. Angriperen gjennomførte manuell rekognosering og forsøkte å hente sensitive data som .env-filer og SSH nøkler. Hendelsen viser hvor raskt trusselaktører reagerer på nye sårbarheter, og hvor kritisk rask patching av internet eksponerte systemer er.

Sårbarheter:

Utnyttelse av nulldagssårbarhet i kampanje mot Adobe Acrobat Reader

En sofistikert nulldagssårbarhets kampanje rettet mot Adobe Acrobat Reader har blitt avdekket i april 2026. Angrepet benytter spesiallagde PDF filer for å profilere ofre og potensielt levere andre-stegs payloads for fjernkjøring av kode (RCE) og sandbox escape (SBX). Kampanjen har vært aktiv siden slutten av 2025 og har spesielt rettet seg mot energi- og infrastruktursektoren. 

Eksploiten benytter seg av tungt obfuskert JavaScript som kjører så snart filen åpnes. I stedet for å aktivere selve nyttelasten umiddelbart, begynner den å hente ut informasjon fra maskinen ved hjelp av innebygde Acrobat-API-er – inkludert lokale filer og systemdetaljer og sender dette tilbake til servere under angriperens kontroll.

 

Anbefalte tiltak: 
Blokkering av C2 adresser: Sperr all trafikk til 169.40.2.68 og 188.214.34.20.

User-Agent Filtrering: Overvåk/blokker HTTP trafikk med "Adobe Synchronizer" i User-Agent feltet hvis det ikke er legitimt behov.

Patching: Oppdater Adobe Reader så snart offisiell patch er tilgjengelig fra Adobe Security Bulletins.

Posted by tsoc at 12:16 0 comments

Friday, 10 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.10

Sårbarheter i produkter fra Juniper (April 2026). Sårbarheter i GitLab. Ny STX RAT kombinerer skjult fjernstyring og Infostealer i avansert angrep.

Sårbarheter i produkter fra Juniper (April 2026)

Den høyeste alvorlighetsgraden blant sårbarhetene anses som kritisk (CVSSv3 9.8).

Juniper har publisert informasjon om nye sårbarheter funnet i deres produkter.

Berørte produktversjoner:

   Produkt             Versjon
   ------------------- ---------------------------------
   Junos OS            Se lenkede varsler for detaljer
   Junos OS Evolved    Se lenkede varsler for detaljer
   CTP OS              9.2R1, 9.2R2.
   Junos Space         < 24.1R5 Patch V3.
   JSI vLWC versions   < 3.0.94.
   Apstra              < 6.1.1.

Sårbarhetsinformasjon:

Kun kritisk og høy tatt med. Se lenkede varsler for komplett liste.

   CVE              CWE       CVSS
   ---------------- --------- ------
   CVE-2026-33784             9.8
   CVE-2022-24805   CWE-120   8.8
   CVE-2026-33785             8.8
   CVE-2026-33788             7.8
   CVE-2026-33793             7.8
   CVE-2026-33778             7.5
   CVE-2026-33790             7.5
   CVE-2026-33797             7.4
   CVE-2026-21916             7.3


Anbefaling:

Oppdateringer er tilgjengelige. Ta kontakt med deres leverandør for bistand.

Sårbarheter i GitLab


Den høyeste alvorlighetsgraden blant sårbarhetene anses som høy (CVSSv3 8.5).

GitLab har publisert informasjon om nye sårbarheter funnet i deres produkter.

Vellykket utnyttelse av sårbarhetene kan bl.a. føre til tjenestenekt, og kjøring av kommandoer.

Sårbarhetene kan utnyttes via fjerntilkobling.

Berørte produktversjoner:

+-----------------------------------------------------------+-----------+
| Produkt                                                   | Versjon   |
+===========================================================+===========+
| GitLab Community Edition (CE) and Enterprise Edition (EE) | < 18.10.3 |
|                                                           | < 18.9.5  |
|                                                           | < 18.8.9  |
+-----------------------------------------------------------+-----------+

Sårbarhetsinformasjon:

   CVE              CWE        CVSS
   ---------------- ---------- ------
   CVE-2026-5173    CWE-749    8.5
   CVE-2025-12664   CWE-1284   7.5
   CVE-2026-1092    CWE-1284   7.5
   CVE-2026-1101    CWE-1284   6.5
   CVE-2026-1403               6.5
   CVE-2026-1516    CWE-94     5.7
   CVE-2026-4332    CWE-79     5.4
   CVE-2025-9484    CWE-862    4.3
   CVE-2026-1752    CWE-863    4.3
   CVE-2026-2104    CWE-639    4.3
   CVE-2026-2619    CWE-863    4.3
   CVE-2026-4916    CWE-862    2.7




Anbefaling:

Tiltak: Oppdateringer er tilgjengelige. Ta kontakt med deres leverandør for bistand.

Ny STX RAT kombinerer skjult fjernstyring og Infostealer i avansert angrep

En ny Remote Access Trojan (RAT) kalt STX RAT har blitt identifisert som en avansert trussel i 2026, med funksjoner for både skjult fjernstyring og datatyveri. Malware ble først observert i februar 2026 og spres blant annet via VBScript- og JScript filer samt trojaniserte installasjonsfiler som FileZilla. Infeksjonskjeden inkluderer PowerShell som laster payload direkte i minnet. STX RAT har avanserte anti-analyse mekanismer som oppdager virtuelle miljøer og bruker AMSI bypass teknikker for å unngå deteksjon. Den samler inn systeminformasjon og stjeler brukerdetaljer fra verktøy som FileZilla, WinSCP og Cyberduck, samt tar skjermbilder av offerets maskin. Kommunikasjon med C2 server er kryptert med moderne algoritmer som X25519 og ChaCha20-Poly1305, noe som gjør trafikken vanskelig å analysere

Anbefalinger:
lokker kjente C2-adresser og overvåk nettverkstrafikk for mistenkelig aktivitet. Implementer deteksjonsregler som YARA for å identifisere malware i minnet. Overvåk bruk av WScript, JScript og PowerShell, spesielt fra midlertidige kataloger. Deaktiver VBScript og JScript der det ikke er nødvendig for å redusere angrepsflaten. Sørg for oppdatert endpoint-beskyttelse og bruk prinsippet om minste privilegier

Posted by tsoc at 13:07 0 comments

Thursday, 9 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.09

Kritisk sårbarhet i Grafana. APT28 bak ny PRISMEX‑kampanje mot Ukraina og NATO-land. Atomic Stealer distribueres via Script Editor i nye macOS‑angrep.

Kritisk sårbarhet i Grafana

Grafana har publisert viktige sikkerhetsoppdateringer som retter to alvorlige sårbarheter (CVE‑2026‑27876 og CVE‑2026‑27880) i flere støttede versjoner. Den mest kritiske sårbarheten kan, under gitte forutsetninger, utnyttes til ekstern kodekjøring (RCE) i selv‑hostede Grafana‑instanser der SQL Expressions er aktivert og brukere har rettigheter til å kjøre spørringer mot datakilder. Dette kan gi en angriper full kontroll over Grafana‑verten. I tillegg er det identifisert en høyalvorlig sårbarhet som gjør det mulig for uautentiserte angripere å krasje Grafana‑tjenesten via ressurskrevende forespørsler (DoS).

Sårbare versjoner:

  • 12.4.2

  • 12.3.6

  • 12.2.8

  • 12.1.10

  • 11.6.14

Anbefaling:

Grafana anbefaler at alle berørte instanser oppgraderes umiddelbart til siste patch‑nivå for å redusere risiko og sikre stabil drift.

APT28 bak ny PRISMEX‑kampanje mot Ukraina og NATO-land

Den russisk‑tilknyttede trusselaktøren APT28 er knyttet til en ny målrettet phishing kampanje mot Ukraina og flere europeiske NATO‑land. Kampanjen benytter skadevaresuiten PRISMEX og har vært aktiv siden minst høsten 2025. Angrepene utnytter nylig annonserte sårbarheter som CVE‑2026‑21509 og CVE‑2026‑21513, trolig brukt som nulldagssårbarheter, og distribuerer skadevare via LNK filer.

PRISMEX kombinerer steganografi, COM‑kapring og misbruk av legitime skytjenester for kommando‑ og kontroll, og har både spionasje- og destruktiv kapasitet. Aktiviteten indikerer et strategisk fokus på forsyningskjeder og operasjonell støtte til Ukraina.

Atomic Stealer distribueres via Script Editor i nye macOS‑angrep

En ny kampanje retter seg mot macOS-brukere og distribuerer skadevaren Atomic Stealer (AMOS) ved å utnytte Script Editor som kjøreflate for ondartet kode. Angrepet bygger på kjente ClickFix‑teknikker, der brukere lokkes til falske Apple lignende nettsider med instruksjoner for å «frigjøre diskplass».

Nettstedene benytter applescript:// lenker som åpner Script Editor med forhåndsutfylt kode, noe som muliggjør kjøring av kommandoer uten direkte bruk av Terminal. Koden laster ned og kjører en Mach‑O binær som kan hente ut Keychain data, passord, nettleserdata, kryptolommebøker og systeminformasjon, og som kan etablere vedvarende tilgang via bakdør.

Kampanjen illustrerer hvordan legitime macOS komponenter kan misbrukes i sosial manipulering, og understreker behovet for tydelige retningslinjer, brukerbevissthet og bruk av offisielle Apple‑kilder ved feilsøking og systemvedlikehold.

Posted by tsoc at 12:18 0 comments

Wednesday, 8 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.08

Android zero-interaction sårbarhet muliggjør angrep uten brukerhandling. Docker sårbarhet CVE-2026-34040 lar angripere omgå autorisering og få tilgang til host. Hackere misbruker falske TradingView Premium-innlegg for å spre skadevare.

Android zero-interaction sårbarhet muliggjør angrep uten brukerhandling

En ny zero-interaction sårbarhet i Android gjør det mulig for angripere å kompromittere enheter uten at brukeren trenger å gjøre noe som helst. Angrepet kan utløses via spesiallagde meldinger eller data sendt til enheten, hvor sårbarheten i systemkomponenter håndterer innholdet automatisk og fører til kjøring av ondsinnet kode. Dette gjør angrepet spesielt farlig siden det ikke krever klikk, nedlasting eller annen brukerinteraksjon.

Sårbarheten kan gi angripere tilgang til sensitive data, meldinger og potensielt full kontroll over enheten. Den er spesielt alvorlig fordi den kan utnyttes i målrettede angrep mot enkeltpersoner eller organisasjoner, inkludert overvåkning og spionasje. Zero-interaction angrep er kjent for å være vanskelige å oppdage og stoppe med tradisjonelle sikkerhetsmekanismer.

Docker sårbarhet CVE-2026-34040 lar angripere omgå autorisering og få tilgang til host

En høy alvorlig sårbarhet i Docker Engine (CVE-2026-34040, CVSS 8.8) gjør det mulig for angripere å omgå autorisasjonsplugins (AuthZ) og oppnå tilgang til vertssystemet. Feilen skyldes en ufullstendig patch av CVE-2024-41110 og oppstår når Docker håndterer HTTP-forespørsler større enn 1 MB feil, noe som fører til at request body ikke sendes til autorisasjonspluginen. Dette kan utnyttes ved å sende en manipulert forespørsel som gjør at sikkerhetskontrollen ikke trigges, og dermed tillater opprettelse av privilegerte containere med root-tilgang til host, inkludert tilgang til sensitive data som SSH-nøkler, AWS credentials og Kubernetes-konfigurasjoner. Sårbarheten kan utnyttes med lav kompleksitet og uten brukerinteraksjon, og rammer spesielt miljøer som benytter AuthZ-plugins for sikkerhet.

Anbefaling:

Oppgrader til Docker Engine versjon 29.3.1 eller nyere umiddelbart. Begrens tilgang til Docker API til kun betrodde brukere og unngå AuthZ-plugins som er avhengige av inspeksjon av request body hvis patching ikke er mulig.

Sårbarheter:

Hackere misbruker falske TradingView Premium-innlegg for å spre skadevare

Hackere utnytter TradingView ved å publisere falske innlegg som utgir seg for å tilby “Premium” indikatorer og tradingstrategier. Disse innleggene inneholder lenker til eksterne nedlastninger som i realiteten distribuerer skadevare forkledd som legitime trading-verktøy. Når brukere laster ned og kjører filene, installeres bakdører og infostealers som gir angriperne tilgang til systemer, nettleserdata og kryptolommebøker.

Angrepene retter seg spesielt mot tradere og kryptoinvestorer, og utnytter tilliten til populære analyseverktøy og fellesskap. Skadevaren er ofte pakket i arkivfiler og krever manuell kjøring, noe som gjør sosial manipulering til en sentral del av angrepet. Kampanjen viser en økende trend der legitime plattformer misbrukes til distribusjon av malware gjennom brukergenerert innhold.

Posted by tsoc at 11:40 0 comments

Tuesday, 7 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.07

Microsoft advarer mot gruppen Storm-1175 som står bak Medusa løsepengevirus.

Microsoft advarer mot gruppen Storm-1175 som står bak Medusa løsepengevirus

Microsoft beskriver hvordan trusselaktøren Storm-1175, en gruppe kjent for å distribuere Medusa løsepengevirus, gjennomfører flere angrep mot internett eksponerte systemer. Gruppen fokuserer spesielt på å identifisere og utnytte sårbare "web-facing" applikasjoner for initiell tilgang, før de beveger seg videre i nettverket hvor de etablerer persistens og distribuerer løsepengevirus. Aktiviteten kjennetegnes av rask utnyttelse av nylig oppdagede sårbarheter og effektiv operasjonalisering av tilgang til kompromitterte miljøer.

Et eksempel av svakheter som de har utnyttet er CVE-2025-10035, en kritisk sårbarhet i GoAnywhere MFT som muliggjør uautentisert kommandoinjeksjon og fjernkjøring av kode. Storm-1175 utnyttet denne ved å manipulere lisensmekanismer for å oppnå initiell tilgang, deretter installere verktøy for vedvarende tilgang og til slutt levere Medusa løsepengeviruset. Angriperne bruker også lignende sårbarheter i offentlig eksponerte tjenester for å etablere web shells, gjennomføre lateral bevegelse og eksfiltrere data før kryptering av systemer.

Anbefaling:

Organisasjoner bør prioritere rask patching av alle internet eksponerte systemer, spesielt kritiske tjenester som filoverføringsløsninger. I tillegg bør man kontinuerlig overvåke etter tegn på kompromittering ved å blant annet ta i bruk kjente "Indicators-of-Compromise" (IoC) for trussel aktøren.

Sårbarheter:

Posted by tsoc at 12:11 0 comments

Monday, 6 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.06

Microsoft avslører nye PHP Web shells som bruker cookies for skjult fjernkjøring på Linux servere. Kritisk Fortinet-sårbarhet utnyttes aktivt - hasteoppdatering lansert. Microsoft tvinger oppgradering til Windows 11 25H2 for uadministrerte enheter.

Microsoft avslører nye PHP Web shells som bruker cookies for skjult fjernkjøring på Linux servere

Microsoft Defender Research Team har identifisert en ny teknikk der angripere bruker HTTP cookies som kontrollkanal for PHP baserte web shells på Linux servere. I stedet for tradisjonelle metoder via URL parametere eller "request body", aktiveres ondsinnet kode kun når spesifikke cookie verdier sendes, noe som gjør aktiviteten svært vanskelig å oppdage da den blander seg med normal trafikk. Web shellene benytter kraftig obfuskering og kan rekonstruere payloads dynamisk eller skrive dem til disk før eksekvering. I flere tilfeller oppnår angripere initiell tilgang via stjålne brukerdetaljer eller utnyttelse av kjente sårbarheter, og etablerer deretter persistens ved hjelp av "cron jobs" som automatisk gjenoppretter skadevare dersom den fjernes. Denne «self-healing» mekanismen sikrer vedvarende tilgang og muliggjør skjult remote code execution (RCE) over tid, samtidig som spor i logger minimeres.

Kritisk Fortinet-sårbarhet utnyttes aktivt - hasteoppdatering lansert

Fortinet har publisert en nødoppdatering for en kritisk sårbarhet (CVE-2026-35616) i FortiClient EMS som allerede blir aktivt utnyttet i angrep. Feilen skyldes manglende tilgangskontroll og gjør det mulig for uautentiserte angripere å kjøre kode via spesiallagde forespørsler.

Sårbarheten rammer versjonene 7.4.5 og 7.4.6, og over 2 000 eksponerte systemer er funnet på nettet. Problemet ble oppdaget som en såkalt zero-day og utnyttet før det ble rapportert. Fortinet oppfordrer brukere til å installere sikkerhetsoppdateringen umiddelbart eller oppgradere til kommende versjon 7.4.7 for å beskytte seg.

Sårbarheter:

Microsoft tvinger oppgradering til Windows 11 25H2 for uadministrerte enheter

Microsoft har startet en automatisk utrulling som tvinger uadministrerte Windows 11 enheter (Home og Pro) fra versjon 24H2 til 25H2, også kjent som Windows 11 2025 Update. Oppgraderingen skjer som del av en maskinlæringsbasert utrulling som vurderer enhetsklarhet, og installeres automatisk via Windows Update uten behov for brukerhandling. Bakgrunnen er at Windows 11 24H2 når "end-of-support" 13. oktober 2026, og enheter som ikke oppdateres vil miste sikkerhetsoppdateringer, feilrettinger og teknisk støtte. Oppgraderingen leveres som en liten “enablement package” på under 200 KB som aktiverer allerede installerte funksjoner, noe som gir rask installasjon med kun én omstart. Utrullingen gjelder kun enheter som ikke er administrert av IT systemer som Intune eller Endpoint Manager, og brukere kan kun midlertidig utsette oppdateringen.

Anbefaling:

Sørg for at enheter oppdateres til Windows 11 25H2 så raskt som mulig for å opprettholde sikkerhetsoppdateringer. Organisasjoner bør ha kontroll på hvilke enheter som er unmanaged og vurdere å flytte disse inn under sentral administrasjon. Brukere bør ikke utsette oppdateringen unødvendig, da dette kan føre til eksponering for kjente sårbarheter etter end-of-support.

Posted by tsoc at 12:12 0 comments

Friday, 3 April 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.04.03

Kritisk Cisco IMC sårbarhet gir admin-tilgang uten autentisering. 700 Next.js-hosts kompromittert i omfattende angrep. Claude Code-lekkasje brukt til å spre infostealer malware på GitHub.

Kritisk Cisco IMC sårbarhet gir admin-tilgang uten autentisering

Cisco har publisert sikkerhetsoppdateringer for en kritisk sårbarhet i Integrated Management Controller (IMC), sporet som CVE-2026-20093. Sårbarheten skyldes feil håndtering av passordendringsforespørsler og kan utnyttes av en uautentisert angriper via en spesiallaget HTTP-forespørsel for å omgå autentisering. Dette gjør det mulig å endre passord for alle brukere inkludert admin og deretter få full administrativ tilgang til systemet.

IMC er en out-of-band administrasjonskomponent som gir full kontroll over servere selv når operativsystemet er avslått, noe som gjør konsekvensene svært alvorlige. Cisco opplyser at det per nå ikke finnes tegn til aktiv utnyttelse, men anbefaler sterkt umiddelbar oppdatering siden det ikke finnes midlertidige tiltak.

Anbefaling:

Oppgrader til siste versjon av Cisco IMC og SSM On-Prem umiddelbart da det ikke finnes workarounds.

Sårbarheter:

700 Next.js-hosts kompromittert i omfattende angrep

En nylig rapport avslører at over 700 servere som kjører Next.js har blitt kompromittert i et koordinert angrep. Angriperne utnyttet en sårbarhet knyttet til feilkonfigurerte eller eksponerte miljøer, som gjorde det mulig å kjøre ondsinnet kode og installere bakdører. Flere av de berørte systemene ble brukt til videre angrep, inkludert kryptomining og distribusjon av skadevare. Angrepet viser hvordan moderne webapplikasjonsrammeverk kan bli mål hvis sikkerhetspraksis ikke følges nøye, spesielt rundt eksponering av administrative grensesnitt og miljøvariabler

Anbefaling:

Det anbefales å oppdatere Next.js til siste versjon og sikre at alle miljøvariabler og administrative endepunkter ikke er offentlig tilgjengelige. Videre bør man implementere autentisering på sensitive API-ruter, overvåke uvanlig trafikk og kjøre sikkerhetsskanninger for å oppdage kompromitterte systemer. Det er også viktig å bruke prinsippet om minste privilegium og sikre serverkonfigurasjoner.

Claude Code-lekkasje brukt til å spre infostealer malware på GitHub

Trusselaktører utnytter den nylige lekkasjen av Claude Code kildekode fra Anthropic til å spre infostealer malware via falske GitHub-repositorier. Lekkasjen oppstod 31. mars 2026 da rundt 513 000 linjer TypeScript kode ble eksponert gjennom en feil i en npm-pakke, noe som avslørte interne funksjoner, arkitektur og sikkerhetsmekanismer. Angripere opprettet deretter falske repositorier som utgir seg for å tilby den lekkede koden med utvidede funksjoner, men som i realiteten distribuerer Vidar infostealer sammen med GhostSocks malware via ondsinnede nedlastninger. Kampanjen utnytter høy interesse rundt lekkasjen og gjør det enkelt for utviklere å bli lurt gjennom søk og GitHub.

Anbefaling:

Unngå å laste ned eller kjøre kode fra GitHub som hevder å være lekket Claude Code, verifiser kun kilder fra offisielle kanaler, implementer Zero Trust-arkitektur, og unngå å kjøre AI-agenter med tilgang til lokale systemer på uverifisert kode

Posted by tsoc at 12:07 0 comments
Subscribe to: Posts (Atom)
 
>