Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Friday, 29 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.29

Sårbarhet i Veeam Backup & Replication kan gi ekstern kodekjøring. Ny PureLogs variant bruker "process hollowing" via MsBuild.exe. Microsoft advarer mot offentlig publisering av zero-day-detaljer før koordinering med leverandør.

Sårbarhet i Veeam Backup & Replication kan gi ekstern kodekjøring

En kritisk sårbarhet er oppdaget i Veeam Backup & Replication og kan gi autentiserte domenebrukere mulighet til å utføre kode eksternt på backupserveren. Sårbarheten påvirker domenetilknyttede installasjoner av Veeam Backup & Replication versjon 12.3.0.310 og alle tidligere versjoner i 12 serien. Feilen skyldes utilstrekkelig validering av brukerinput i Veeam komponenter som er tilgjengelige for domenebrukere. En angriper med gyldig domenekonto kan sende spesiallagde forespørsler til backupserveren og oppnå kjøring av vilkårlig kode. Veeam har publisert sikkerhetsoppdateringer i versjon 12.3.1 for å løse sårbarheten. Backupsystemer er attraktive mål fordi kompromittering kan gi tilgang til sikkerhetskopier og påvirke gjenoppretting etter ransomwareangrep.

Anbefaling:

Oppgrader til Veeam Backup & Replication 13.0.2.29 uten forsinkelse og begrens privilegier for lokale brukere på backup-systemer.

Sårbarheter:

Ny PureLogs variant bruker "process hollowing" via MsBuild.exe

En ny variant av PureLogs malware distribueres gjennom phishingeposter som utgir seg for å være innkjøpsordrer med vedlagte arkivfiler. Angrepet starter med en obfuskert JavaScript fil som dekrypterer og kjører et PowerShell skript som igjen laster en kryptert .NET modul direkte i minnet. Kampanjen bruker prosesshuling mot Windows prosessen MsBuild.exe for å skjule kjøringen av skadevaren og redusere synlighet for sikkerhetsverktøy. Den nedlastede .NET modulen er forkledd som en legitim Windows Task Scheduler komponent og kommuniserer med en ekstern C2 server for å hente flere moduler. PureLogs er utviklet for å stjele nettleserdata, legitimasjon, kryptolommebokfiler og systeminformasjon fra kompromitterte Windows systemer. Angrepet benytter flere lag med obfuskering, filløs kjøring og legitime Windows komponenter for å gjøre analyse og deteksjon vanskeligere.

Microsoft advarer mot offentlig publisering av zero-day-detaljer før koordinering med leverandør

Microsoft advarte mot offentlig publisering av zero-day-sårbarheter uten forhåndskoordinering med leverandøren etter at flere Windows-relaterte sårbarheter ble publisert før sikkerhetsoppdateringer var tilgjengelige. De berørte sårbarhetene inkluderer RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma og MiniPlasma, hvor flere av dem gir SYSTEM-rettigheter eller påvirker sikkerhetsmekanismer som Windows Defender og BitLocker. Ifølge Microsoft ble tekniske detaljer og proof-of-concept-kode gjort offentlig uten Coordinated Vulnerability Disclosure (CVD), noe som økte eksponeringsvinduet for ubeskyttede systemer. BlueHammer, RedSun og UnDefend er beskrevet som sårbarheter som allerede har vært brukt i aktive angrep. Microsoft opplyser at manglende forhåndsvarsling kompliserer utvikling av mitigeringer og sikkerhetsoppdateringer. Selskapet fremhever at angripere aktivt overvåker offentlige disclosures for å utvikle exploit-kode før patcher er tilgjengelige.

Anbefaling:

Følg Microsofts sikkerhetsoppdateringer tett og implementer patcher umiddelbart når de blir tilgjengelige.

Posted by tsoc at 13:05 0 comments

Thursday, 28 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.28

Ny ondsinnet npm-pakke "Malware-Slop" eksfiltrerer data ved bruk av GitHub Tokens.

Ny ondsinnet npm-pakke "Malware-Slop" eksfiltrerer data ved bruk av GitHub Tokens

En ny ondsinnet npm-pakke under navnet "mouse5212-super-formatter" har blitt oppkalt "Malware-Slop" og fungerer som en infostealer og forsøker å stjele filer, tokens og sensitiv utviklerinformasjon fra kompromitterte miljøer. Skadevaren ble oppdaget av OX Security, og det spesielle i dette tilfellet er at angriperen ved en feil inkluderte sin egen hardkodede private GitHub-token i pakken. Dette leder direkte til hvorfor skadevaren ble oppkalt Malware-Slop, hvor ondsinnede agenter uten forståelse for opsec-konsepter kan ta i bruk AI verktøy for å generere lugubre skadevarer.

Hendelsen føyer seg inn i en større trend med supply-chain-angrep mot npm-økosystemet, hvor angripere kompromitterer eller publiserer falske pakker for å infisere utviklermiljøer og CI/CD-pipelines. Flere nyere kampanjer som Shai-Hulud og lignende skadevare-familier har vist hvor effektivt slike angrep kan spre seg gjennom kompromitterte avhengigheter og stjålne utviklertokens.

Anbefaling:

Om man har lastet ned "mouse5212-super-formatter" anbefaler OX Security at man bør tilbakekalle sine GitHub Access Tokens, i tillegg til å se etter sensitive filer i mappen «/mnt/user-data» og behandle dem som kompromitterte.

Posted by tsoc at 12:01 0 comments

Wednesday, 27 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.27

Kritisk SharePoint sårbarhet kan gi fjernkjøring av kode.

Kritisk SharePoint sårbarhet kan gi fjernkjøring av kode

Microsoft har publisert informasjon om en alvorlig sårbarhet i Microsoft SharePoint, identifisert som CVE-2026-45659. Sårbarheten skyldes usikker deserialisering av upålitelig data, og kan utnyttes av en autentisert angriper til å kjøre vilkårlig kode over nettet. Feilen har CVSS-score 8.8 og krever lav kompleksitet for utnyttelse.

Berørte systemer inkluderer SharePoint Enterprise Server 2016, SharePoint Server 2019 og SharePoint Server Subscription Edition. Microsoft har publisert sikkerhetsoppdateringer for de berørte versjonene. Per nå finnes det ingen offentlig bekreftet aktiv utnyttelse, men er vurdert som mulig å bli utnyttet av autentiserte angripere.

Anbefaling:

Det anbefales å installere de siste sikkerhetsoppdateringene fra Microsoft som gjelder de påvirkede produktene.

Sårbarheter:

Posted by tsoc at 12:01 0 comments

Tuesday, 26 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.26

Ghost CMS-feil utnyttet til å kompromittere over 700 nettsteder. FBI advarer om Kali365 som retter seg mot Microsoft 365-kontoer. Alvorlige sårbarheter i mye brukt nettverksutstyr.

Ghost CMS-feil utnyttet til å kompromittere over 700 nettsteder

En aktiv kampanje utnytter SQL-injeksjonssårbarheten CVE-2026-26980 i Ghost CMS for å kompromittere nettsteder og distribuere ClickFix-relatert skadevare. Sårbarheten påvirker Ghost CMS Content API og gjør det mulig å hente ut data fra databasen uten autentisering, inkludert nettstedets Admin API Key. Ved bruk av denne nøkkelen kunne angriperne benytte Ghost Admin API til å endre eksisterende innhold og injisere ondsinnet JavaScript på nettstedene. Over 700 nettsteder ble kompromittert i kampanjen. Feilen ble rettet i Ghost versjon 6.19.1. Sårbarheten har en CVSS-score på 9,4 og gir tilgang til sensitive data som kan brukes til videre kompromittering av nettstedet.

Anbefaling:

Oppgrader Ghost CMS til versjon 6.19.1 eller nyere.

Sårbarheter:

FBI advarer om Kali365 som retter seg mot Microsoft 365-kontoer

Kali365 er en phishing-som-tjeneste (PhaaS) plattform som brukes til å kapre Microsoft 365-kontoer ved å misbruke OAuth Device Code autentisering. Plattformen ble først observert i april 2026 og distribueres via Telegram, der angripere får tilgang til ferdige phishing-kampanjer, AI-genererte lokkemeldinger og funksjoner for innsamling av OAuth-token.

Angrepet benytter «device code phishing», hvor offeret mottar en e-post som utgir seg for å komme fra en legitim sky- eller dokumentdelingstjeneste og inneholder en enhetskode. Når brukeren legger inn koden på Microsofts legitime innloggingsside og fullfører MFA, utstedes OAuth access- og refresh-token som angriperen fanger opp.

Berørt system er Microsoft 365 og tilhørende Microsoft Entra-identiteter. Den tekniske årsaken er misbruk av OAuth 2.0 Device Authorization Grant flyten, der angriperen får gyldige token uten å stjele passord eller MFA-koder.

Konsekvensen er vedvarende tilgang til tjenester som Outlook, Teams og OneDrive, samt andre applikasjoner tilgjengelige via brukerens Single Sign-On-konto. Dette gir mulighet for datatyveri og videre misbruk av kontoer uten nye MFA-utfordringer.

Anbefaling:

Begrens eller blokker Device Code Flow gjennom Conditional Access-policyer, slik FBI anbefaler.

Alvorlige sårbarheter i mye brukt nettverksutstyr

Ubiquiti har publisert sikkerhetsoppdateringer for flere alvorlige sårbarheter i UniFi OS, inkludert tre med maksimal alvorlighetsgrad.

Kritiske sårbarheter

  • CVE-2026-34908

    • Feil i tilgangskontroll gjør det mulig å utføre uautoriserte endringer

  • CVE-2026-34909

    • Path traversal gjør det mulig å få tilgang til filer på systemet

  • CVE-2026-34910

    • Command injection gjør det mulig å kjøre vilkårlige kommandoer

Alle tre kan utnyttes av angripere uten privilegier, og med lav kompleksitet.

Andre sårbarheter som er patchet

  • En ekstra command injection (CVE-2026-33000)

  • En informasjonlekkasje (CVE-2026-34911)

Risiko

  • Kan føre til full kompromittering av systemet

  • Kan gi tilgang til sensitiv informasjon

  • Kan utnyttes i automatiserte angrep

Omtrent 100 000 UniFi-enheter er eksponert på internett, noe som øker risikoen.

Anbefaling:

Dette er en kritisk situasjon som bør prioriteres høyt. Kombinasjonen av lav kompleksitet og mangel på autentisering gjør sårbarhetene spesielt farlige. - Oppdater UniFi OS umiddelbart - Unngå eksponering av management-grensesnitt mot internett - Overvåk logger for mistenkelig aktivitet

Posted by tsoc at 15:56 0 comments

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.26

Ghost CMS-feil utnyttet til å kompromittere over 700 nettsteder. FBI advarer om Kali365 som retter seg mot Microsoft 365-kontoer. Alvorlige sårbarheter i mye brukt nettverksutstyr.

Ghost CMS-feil utnyttet til å kompromittere over 700 nettsteder

En aktiv kampanje utnytter SQL-injeksjonssårbarheten CVE-2026-26980 i Ghost CMS for å kompromittere nettsteder og distribuere ClickFix-relatert skadevare. Sårbarheten påvirker Ghost CMS Content API og gjør det mulig å hente ut data fra databasen uten autentisering, inkludert nettstedets Admin API Key. Ved bruk av denne nøkkelen kunne angriperne benytte Ghost Admin API til å endre eksisterende innhold og injisere ondsinnet JavaScript på nettstedene. Over 700 nettsteder ble kompromittert i kampanjen. Feilen ble rettet i Ghost versjon 6.19.1. Sårbarheten har en CVSS-score på 9,4 og gir tilgang til sensitive data som kan brukes til videre kompromittering av nettstedet.

Anbefaling:

Oppgrader Ghost CMS til versjon 6.19.1 eller nyere.

Sårbarheter:

FBI advarer om Kali365 som retter seg mot Microsoft 365-kontoer

Kali365 er en phishing-som-tjeneste (PhaaS) plattform som brukes til å kapre Microsoft 365-kontoer ved å misbruke OAuth Device Code autentisering. Plattformen ble først observert i april 2026 og distribueres via Telegram, der angripere får tilgang til ferdige phishing-kampanjer, AI-genererte lokkemeldinger og funksjoner for innsamling av OAuth-token.

Angrepet benytter «device code phishing», hvor offeret mottar en e-post som utgir seg for å komme fra en legitim sky- eller dokumentdelingstjeneste og inneholder en enhetskode. Når brukeren legger inn koden på Microsofts legitime innloggingsside og fullfører MFA, utstedes OAuth access- og refresh-token som angriperen fanger opp.

Berørt system er Microsoft 365 og tilhørende Microsoft Entra-identiteter. Den tekniske årsaken er misbruk av OAuth 2.0 Device Authorization Grant flyten, der angriperen får gyldige token uten å stjele passord eller MFA-koder.

Konsekvensen er vedvarende tilgang til tjenester som Outlook, Teams og OneDrive, samt andre applikasjoner tilgjengelige via brukerens Single Sign-On-konto. Dette gir mulighet for datatyveri og videre misbruk av kontoer uten nye MFA-utfordringer.

Anbefaling:

Begrens eller blokker Device Code Flow gjennom Conditional Access-policyer, slik FBI anbefaler.

Alvorlige sårbarheter i mye brukt nettverksutstyr

Ubiquiti har publisert sikkerhetsoppdateringer for flere alvorlige sårbarheter i UniFi OS, inkludert tre med maksimal alvorlighetsgrad.

Kritiske sårbarheter

  • CVE-2026-34908

    • Feil i tilgangskontroll gjør det mulig å utføre uautoriserte endringer

  • CVE-2026-34909

    • Path traversal gjør det mulig å få tilgang til filer på systemet

  • CVE-2026-34910

    • Command injection gjør det mulig å kjøre vilkårlige kommandoer

Alle tre kan utnyttes av angripere uten privilegier, og med lav kompleksitet.

Andre sårbarheter som er patchet

  • En ekstra command injection (CVE-2026-33000)

  • En informasjonlekkasje (CVE-2026-34911)

Risiko

  • Kan føre til full kompromittering av systemet

  • Kan gi tilgang til sensitiv informasjon

  • Kan utnyttes i automatiserte angrep

Omtrent 100 000 UniFi-enheter er eksponert på internett, noe som øker risikoen.

Anbefaling:

Dette er en kritisk situasjon som bør prioriteres høyt. Kombinasjonen av lav kompleksitet og mangel på autentisering gjør sårbarhetene spesielt farlige. - Oppdater UniFi OS umiddelbart - Unngå eksponering av management-grensesnitt mot internett - Overvåk logger for mistenkelig aktivitet

Posted by tsoc at 13:41 0 comments

Monday, 25 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.25

Claude Mythos AI finner 10 000 alvorlige sårbarheter i mye brukt programvare.

Claude Mythos AI finner 10 000 alvorlige sårbarheter i mye brukt programvare

Anthropics Project Glasswing har identifisert over 10 000 sårbarheter med høy eller kritisk alvorlighetsgrad i samfunnskritisk programvare ved hjelp av AI-modellen Claude Mythos Preview. Av 6 202 kandidater i mer enn 1 000 åpen kildekode-prosjekter ble 1 726 verifisert som reelle funn, der 1 094 ble vurdert som høy eller kritisk alvorlighetsgrad. En av de bekreftede sårbarhetene er CVE-2026-5194 i WolfSSL, som gjør det mulig å forfalske sertifikater og utgi seg for å være en legitim tjeneste. Prosjektet har så langt bidratt til at 97 funn er rettet og 88 sikkerhetsvarsler er publisert. Artikkelen fremhever at AI-baserte verktøy nå finner sårbarheter raskere enn organisasjoner klarer å validere og utbedre dem. Anthropic anbefaler derfor kortere patch-sykluser, raskere utrulling av sikkerhetsoppdateringer, flerfaktorautentisering og bedre logging for deteksjon og respons.

Anbefaling:

Forkort test- og utrullingstiden for sikkerhetsoppdateringer

Sårbarheter:

Posted by tsoc at 09:41 0 comments

Friday, 22 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.22

Windows Defender nulldagssårbarhet utnyttes aktivt i angrep. Kritisk sårbarhet i Cisco Secure Workload kan gi uautorisert administrator-tilgang. Badiis skadevare kaprer IIS servere og gjør dem til skjulte proxy noder. WantToCry løsepengevirus misbruker SMB tjenester for lateral spredning. GhostTree skadevare angriper EDR produkter for å skjule aktivitet.

Windows Defender nulldagssårbarhet utnyttes aktivt i angrep

To lekkede Windows Defender nulldagssårbarheter, CVE-2026-45498 og CVE-2026-41091, blir aktivt brukt etter at exploit kode ble publisert offentlig på GitHub. Sårbarhetene påvirker Microsoft Defender sin anti-skadevare motor og oppdateringsmekanisme, og gir lokal privilegieeskalering til SYSTEM på Windows 10, Windows 11 og enkelte Windows Server systemer. Angrepene bruker race conditions, path confusion, NTFS junction points og manipulasjon av Defender sin sanerings og signaturoppdateringsprosess uten behov for kernel utnyttelse eller minnekorrupsjon. Huntress observerte kjøring av binærer som FunnyApp.exe, RedSun.exe og Undef.exe fra bruker-skrivbare mapper som Downloads og Pictures. Angriperne kjørte også kommandoer som whoami /priv, cmdkey /list og net group før privilegieeskalering. Microsoft publiserte oppdaterte Defender Engine og plattform versjoner for å redusere risikoen og blokkere aktiv utnyttelse.

Anbefaling:

Administratorer bør kontrollere at Defender Engine versjonen er minst 1.1.26040.8 og at anti-skadevare platform versjonen er minst 4.18.26040.7 på alle endepunkter. Oppdateringer kan tvangskjøres via Windows Security → Virus & threat protection → Protection updates → Check for updates. I Windows Security → Settings → About.

Kritisk sårbarhet i Cisco Secure Workload kan gi uautorisert administrator-tilgang

En kritisk sårbarhet i Cisco Secure Workload gjør det mulig å få uautorisert administrator-tilgang til berørte systemer uten gyldig autentisering. Feilen skyldes utilstrekkelig validering i autentiseringsmekanismen til webgrensesnittet, noe som lar en angriper sende spesiallagde HTTP forespørsler direkte mot applikasjonen. En vellykket utnyttelse gir tilgang til administrative funksjoner og sensitiv systeminformasjon. Sårbarheten påvirker Cisco Secure Workload installasjoner som er offentlig tilgjengelige eller eksponert internt mot mindre betrodde nettverk. Cisco publiserte sikkerhetsoppdateringer for å rette feilen og opplyste at det ikke finnes workarounds som fullt ut eliminerer risikoen. Artikkelen oppgir ikke aktiv utnyttelse, men understreker at sårbarheten har høy alvorlighetsgrad på grunn av muligheten for full administrativ kontroll.

Anbefaling:

Organisasjoner bør oppgradere til faste versjoner som inkluderer sikkerhetsfiksen. Versjon 3.10 er rettet i 3.10.8.3, versjon 4.0 er rettet i 4.0.3.17, og kunder som bruker versjon 3.9 eller eldre må migrere til en støttet versjon med tilgjengelig sikkerhetsfiks.

Sårbarheter:

Badiis skadevare kaprer IIS servere og gjør dem til skjulte proxy noder

Badiis er en ny skadevar familie som kompromitterer Microsoft IIS servere og gjør dem om til skjulte proxy servere for videre angrep og anonym trafikkruting. Skadevaren installerer et ondsinnet IIS modulbibliotek som injiseres direkte i IIS workerprosessen (w3wp.exe) og overvåker innkommende HTTP forespørsler for spesifikke kommandoer sendt av angriperen. Når riktige verdier oppdages i HTTP headere eller URL parametere, åpner modulen en proxy tunnel som lar angriperen videresende trafikk gjennom den kompromitterte serveren. Aktiviteten skjules ved å operere inne i legitime IIS prosesser uten å opprette separate prosesser eller tjenester. Analysen viser at malware operatørene brukte IIS serverne til å skjule opprinnelsen til videre angrep og til å omgå nettverksfiltrering. Kampanjen ble observert mot offentlig eksponerte Windows servere med IIS installert, spesielt systemer med svak eller manglende tilgangskontroll.

WantToCry løsepengevirus misbruker SMB tjenester for lateral spredning

WantToCry er en ny løsepengevirus variant som sprer seg gjennom SMB tjenester for å kompromittere Windows systemer i interne nettverk. skadevare familien bruker stjålne eller svake brukerdetaljer til å autentisere mot eksponerte SMB delinger og kopierer deretter ransomware binærer til andre systemer for videre kjøring. Analysen viser at skadevaren benytter innebygde Windows verktøy og skript for lateral bevegelse og fjernutførelse etter kompromittering. Krypteringen retter seg mot brukerdata og delte nettverksressurser, samtidig som filer får nye filendelser og løsepengebeskjeder legges igjen på berørte systemer. Aktiviteten ble observert mot miljøer med utilstrekkelig segmentering og SMB eksponering mellom interne systemer. Artikkelen beskriver også at løsepengevirus operatørene forsøker å deaktivere sikkerhetsmekanismer og prosesser før krypteringen starter for å redusere muligheten for gjenoppretting.

GhostTree skadevare angriper EDR produkter for å skjule aktivitet

GhostTree er en skadevare familie utviklet for å deaktivere og omgå EDR produkter på kompromitterte Windows systemer. Skadevaren identifiserer aktive sikkerhetsprosesser og bruker direkte prosessmanipulasjon, tjenestekontroll og driverrelaterte teknikker for å stoppe overvåkning og redusere deteksjon. Analysen viser at GhostTree forsøker å terminere sikkerhetsagenter, blokkere telemetri og forhindre oppstart av beskyttelsesmekanismer før videre skadevareaktivitet utføres. skadevare koden inneholder støtte for flere kjente EDR og antivirusløsninger og bruker legitime Windows API-er for å skjule handlingene inne i normale systemprosesser. Etter deaktivering av sikkerhetsverktøy kan angriperne laste inn ytterligere payloads, utføre fjernkommandoer og etablere vedvarende tilgang til systemet. Aktiviteten ble observert i målrettede angrep der omgåelse av endpoint beskyttelse var nødvendig for videre kompromittering.

Posted by tsoc at 12:07 0 comments

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.22

Windows Defender nulldagssårbarhet utnyttes aktivt i angrep. Kritisk sårbarhet i Cisco Secure Workload kan gi uautorisert administrator-tilgang. Badiis skadevare kaprer IIS servere og gjør dem til skjulte proxy noder. WantToCry løsepengevirus misbruker SMB tjenester for lateral spredning. GhostTree skadevare angriper EDR produkter for å skjule aktivitet.

Windows Defender nulldagssårbarhet utnyttes aktivt i angrep

To lekkede Windows Defender nulldagssårbarheter, CVE-2026-45498 og CVE-2026-41091, blir aktivt brukt etter at exploit kode ble publisert offentlig på GitHub. Sårbarhetene påvirker Microsoft Defender sin anti-skadevare motor og oppdateringsmekanisme, og gir lokal privilegieeskalering til SYSTEM på Windows 10, Windows 11 og enkelte Windows Server systemer. Angrepene bruker race conditions, path confusion, NTFS junction points og manipulasjon av Defender sin sanerings og signaturoppdateringsprosess uten behov for kernel utnyttelse eller minnekorrupsjon. Huntress observerte kjøring av binærer som FunnyApp.exe, RedSun.exe og Undef.exe fra bruker-skrivbare mapper som Downloads og Pictures. Angriperne kjørte også kommandoer som whoami /priv, cmdkey /list og net group før privilegieeskalering. Microsoft publiserte oppdaterte Defender Engine og plattform versjoner for å redusere risikoen og blokkere aktiv utnyttelse.

Anbefaling:

Administratorer bør kontrollere at Defender Engine versjonen er minst 1.1.26040.8 og at anti-skadevare platform versjonen er minst 4.18.26040.7 på alle endepunkter. Oppdateringer kan tvangskjøres via Windows Security → Virus & threat protection → Protection updates → Check for updates. I Windows Security → Settings → About.

Kritisk sårbarhet i Cisco Secure Workload kan gi uautorisert administrator-tilgang

En kritisk sårbarhet i Cisco Secure Workload gjør det mulig å få uautorisert administrator-tilgang til berørte systemer uten gyldig autentisering. Feilen skyldes utilstrekkelig validering i autentiseringsmekanismen til webgrensesnittet, noe som lar en angriper sende spesiallagde HTTP forespørsler direkte mot applikasjonen. En vellykket utnyttelse gir tilgang til administrative funksjoner og sensitiv systeminformasjon. Sårbarheten påvirker Cisco Secure Workload installasjoner som er offentlig tilgjengelige eller eksponert internt mot mindre betrodde nettverk. Cisco publiserte sikkerhetsoppdateringer for å rette feilen og opplyste at det ikke finnes workarounds som fullt ut eliminerer risikoen. Artikkelen oppgir ikke aktiv utnyttelse, men understreker at sårbarheten har høy alvorlighetsgrad på grunn av muligheten for full administrativ kontroll.

Anbefaling:

Organisasjoner bør oppgradere til faste versjoner som inkluderer sikkerhetsfiksen. Versjon 3.10 er rettet i 3.10.8.3, versjon 4.0 er rettet i 4.0.3.17, og kunder som bruker versjon 3.9 eller eldre må migrere til en støttet versjon med tilgjengelig sikkerhetsfiks.

Sårbarheter:

Badiis skadevare kaprer IIS servere og gjør dem til skjulte proxy noder

Badiis er en ny skadevar familie som kompromitterer Microsoft IIS servere og gjør dem om til skjulte proxy servere for videre angrep og anonym trafikkruting. Skadevaren installerer et ondsinnet IIS modulbibliotek som injiseres direkte i IIS workerprosessen (w3wp.exe) og overvåker innkommende HTTP forespørsler for spesifikke kommandoer sendt av angriperen. Når riktige verdier oppdages i HTTP headere eller URL parametere, åpner modulen en proxy tunnel som lar angriperen videresende trafikk gjennom den kompromitterte serveren. Aktiviteten skjules ved å operere inne i legitime IIS prosesser uten å opprette separate prosesser eller tjenester. Analysen viser at malware operatørene brukte IIS serverne til å skjule opprinnelsen til videre angrep og til å omgå nettverksfiltrering. Kampanjen ble observert mot offentlig eksponerte Windows servere med IIS installert, spesielt systemer med svak eller manglende tilgangskontroll.

WantToCry løsepengevirus misbruker SMB tjenester for lateral spredning

WantToCry er en ny løsepengevirus variant som sprer seg gjennom SMB tjenester for å kompromittere Windows systemer i interne nettverk. skadevare familien bruker stjålne eller svake brukerdetaljer til å autentisere mot eksponerte SMB delinger og kopierer deretter ransomware binærer til andre systemer for videre kjøring. Analysen viser at skadevaren benytter innebygde Windows verktøy og skript for lateral bevegelse og fjernutførelse etter kompromittering. Krypteringen retter seg mot brukerdata og delte nettverksressurser, samtidig som filer får nye filendelser og løsepengebeskjeder legges igjen på berørte systemer. Aktiviteten ble observert mot miljøer med utilstrekkelig segmentering og SMB eksponering mellom interne systemer. Artikkelen beskriver også at løsepengevirus operatørene forsøker å deaktivere sikkerhetsmekanismer og prosesser før krypteringen starter for å redusere muligheten for gjenoppretting.

GhostTree skadevare angriper EDR produkter for å skjule aktivitet

GhostTree er en skadevare familie utviklet for å deaktivere og omgå EDR produkter på kompromitterte Windows systemer. Skadevaren identifiserer aktive sikkerhetsprosesser og bruker direkte prosessmanipulasjon, tjenestekontroll og driverrelaterte teknikker for å stoppe overvåkning og redusere deteksjon. Analysen viser at GhostTree forsøker å terminere sikkerhetsagenter, blokkere telemetri og forhindre oppstart av beskyttelsesmekanismer før videre skadevareaktivitet utføres. skadevare koden inneholder støtte for flere kjente EDR og antivirusløsninger og bruker legitime Windows API-er for å skjule handlingene inne i normale systemprosesser. Etter deaktivering av sikkerhetsverktøy kan angriperne laste inn ytterligere payloads, utføre fjernkommandoer og etablere vedvarende tilgang til systemet. Aktiviteten ble observert i målrettede angrep der omgåelse av endpoint beskyttelse var nødvendig for videre kompromittering.

Posted by tsoc at 12:00 0 comments

Thursday, 21 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.21

Microsofts Python klient DurableTask kompromittert av TeamPCP hackere. Buffer overflow sårbarhet oppdaget i NGINX.

Microsofts Python klient DurableTask kompromittert av TeamPCP hackere

Tre versjoner av Microsofts Python pakke durabletask (v1.4.1, v1.4.2 og v1.4.3) ble kompromittert med skadevaren rope.pyz etter at TeamPCP fikk tilgang til en GitHub konto og tilhørende PyPI publiseringstoken. Angrepet rammet den offisielle Python klienten til Durable Task rammeverket og gjorde det mulig å publisere ondsinnede pakker direkte til PyPI uten gjennomgang av kode. Skadevaren er Linux spesifikk og injiserer kode i flere komponenter, inkludert task.py, entities/__init__.py, extensions/__init__.py og payload/__init__.py, for å øke antall kjøreveier. Payloaden stjeler AWS IAM-nøkler, Azure og GCP-token, Kubernetes servicekontoer, HashiCorp Vault-token og passorddata fra Bitwarden, 1Password og shell historikkfiler som .bash_history og .zsh_history. Videre sprer skadevaren seg lateralt via AWS SSM og Kubernetes til opptil fem ekstra systemer per kompromittert vert. Kommando og kontrollinfrastrukturen benytter domenene check.git-service[.]com og t.m-kosche[.]com, og PyPI har fjernet de kompromitterte versjonene etter funnene fra Wiz Research. Artikkelen oppgir også indikatorer som /tmp/rope-*.pyz, ~/.cache/.sys-update-check og hashverdien 069ac1dc7f7649b76bc72a11ac700f373804bfd81dab7e561157b703999f44ce for identifisering av infeksjon.

Anbefaling:

Revider umiddelbart miljøer for durabletask versjon 1.4.1, 1.4.2 og 1.4.3, roter alle kompromitterte skytjeneste brukerdetaljer og blokker kommunikasjon mot de oppgitte C2 domenene.

Buffer overflow sårbarhet oppdaget i NGINX

En buffer overflow sårbarhet i NGINX påvirker HTTP/3 implementasjonen og kan føre til minnekorrupsjon under behandling av spesialutformede nettverksforespørsler. Feilen oppstår i QUIC og HTTP/3 komponentene når NGINX håndterer bestemte header eller datapakker uten tilstrekkelig grensekontroll. Angripere kan sende manipulerte HTTP/3 forespørsler for å trigge heap basert minnekorrupsjon og potensielt krasje tjenesten eller kjøre kode på den berørte serveren. Sårbarheten påvirker systemer hvor HTTP/3 støtte er aktivert, spesielt miljøer som benytter QUIC kommunikasjon mot eksterne klienter. Artikkelen oppgir at problemet er løst i nyere NGINX versjoner gjennom forbedret validering av innkommende data og strengere minnehåndtering. Feilen ble identifisert under analyse av HTTP/3 prosesseringen i NGINX og gjelder spesifikt komponenter relatert til QUIC tilkoblinger. Microsoft Azure og andre større plattformer som benytter NGINX i frontend eller reverse proxy miljøer kan bli påvirket dersom sårbare versjoner er i bruk.

Anbefaling:

Oppgrader NGINX JavaScript (njs) til versjon 0.9.9 eller nyere som inneholder patchen for CVE‑2026‑8711 og deaktiver HTTP/3 dersom oppgradering ikke kan gjennomføres umiddelbart.

Sårbarheter:

Posted by tsoc at 12:20 0 comments

Wednesday, 20 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.20

Kritisk Apache Flink-sårbarhet muliggjør fjernkjøring av kode. Kritiske n8n-sårbarheter muliggjør full fjernkjøring av kode. Økende bruk av innebygget Windows-verktøy for å levere skadevare. Talos vulnerability roundup.

Kritisk Apache Flink-sårbarhet muliggjør fjernkjøring av kode

En kritisk sårbarhet i Apache Flink, identifisert som CVE-2026-35194, gjør det mulig å kjøre vilkårlig kode gjennom SQL injeksjon i plattformens kodegenerator. Feilen oppstår fordi brukerinput ikke blir riktig renset før den settes inn i dynamisk generert Java kode under oversettelse fra SQL til Java. Angripere med tilgang til å sende inn SQL spørringer kan injisere egne Java kommandoer eller metodekall som kjøres på TaskManager noder i Flink klynger. Sårbarheten påvirker JSON funksjoner introdusert i Flink 1.15.0 og LIKE uttrykk med ESCAPE klausuler introdusert i 1.17.0. Berørte versjoner er Apache Flink 1.15.0 til før 1.20.4 samt 2.0.0 til før 2.0.2, 2.1.2 og 2.2.1. Vellykket utnyttelse kan føre til full kompromittering av klynger, manipulering av data og videre tilgang internt i miljøet. Apache har publisert oppdateringer som retter feilen og anbefaler umiddelbar oppgradering

Anbefaling:

Oppgrader Apache Flink til versjon 1.20.4, 2.0.2, 2.1.2 eller 2.2.1, og begrens SQL-spørringstilgang til betrodde brukere.

Sårbarheter:

Kritiske n8n-sårbarheter muliggjør full fjernkjøring av kode

Flere kritiske sårbarheter i workflow plattformen n8n gjør det mulig å oppnå full fjernkjøring av kode på berørte systemer. Sårbarhetene er registrert som CVE-2026-44789, CVE-2026-44790 og CVE-2026-44791 og påvirker flere sentrale noder, inkludert HTTP Request, Git og XML noder. Feilene kan kobles sammen slik at angripere kan kjøre systemkommandoer og få kontroll over servere som kjører n8n. Problemene skyldes manglende validering og usikker håndtering av brukerinput i arbeidsflyter og integrasjoner. Vellykket utnyttelse kan føre til full kompromittering av systemer, tilgang til sensitive data og videre tilgang internt i miljøet. n8n har publisert sikkerhetsoppdateringer som retter sårbarhetene og anbefaler at alle berørte installasjoner oppgraderes umiddelbart.

Anbefaling:

Oppgrader n8n til nyeste tilgjengelige versjon og begrens tilgang til arbeidsflyter og integrasjoner som kan kjøre kommandoer eller behandle ekstern input.

Økende bruk av innebygget Windows-verktøy for å levere skadevare

MSHTA, et eldre men fortsatt innebygd Windows‑verktøy, misbrukes i økende grad av angripere til å levere skadevare på en skjult måte. Verktøyet brukes som et living‑off‑the‑land binary (LOLBIN) for å hente og kjøre ondsinnet kode direkte i minnet, ofte via phishing, falske programnedlastinger eller sosial manipulering. Aktiviteten har økt kraftig i 2026, og teknikken benyttes til å distribuere blant annet infostealere, loadere og vedvarende skadevare. Fordi MSHTA er Microsoft‑signert og fremdeles har legitim bruk, er det vanskelig å oppdage og blokkere.

Effektive mottiltak inkluderer:

  • Økt brukerbevissthet

  • Reduksjon av angrepsflate

  • Blokkering av unødvendige legacy‑komponenter i virksomhetsmiljøer.

Talos vulnerability roundup

TP-Link vulnerabilities

Discovered by Lilith >_> of Cisco Talos.

The TP-Link Archer AX53 is a dual band gigabit Wi-Fi router. Eight vulnerabilities have been disclosed, as follows:

  • CVE-2026-30814 is a stack-based buffer overflow vulnerability in the tmpServer opcode 0x436 functionality of TP-Link Archer AX53 v1.0 1.3.1 Build 20241120 rel.54901(5553). A specially crafted set of network packets can lead to arbitrary code execution. An attacker can send packets to trigger this vulnerability.

  • CVE-2026-30815 is an OS command injection vulnerability in the OpenVPN configuration restore script_security functionality of TP-Link Archer AX53 v1.0 1.3.1 Build 20241120 rel.54901(5553). A specially crafted configuration value can lead to arbitrary command execution. An attacker can upload a malicious file to trigger this vulnerability.

  • CVE-2026-30816 is an external config control vulnerability in the OpenVPN configuration restore crt.sed functionality of TP-Link Archer AX53 v1.0 1.3.1 Build 20241120 rel.54901(5553). A specially crafted configuration value can lead to arbitrary file reading. An attacker can upload a malicious file to trigger this vulnerability.

  • CVE-2026-30817 is an external config control vulnerability in the OpenVPN configuration restore route_up functionality of TP-Link Archer AX53 v1.0 1.3.1 Build 20241120 rel.54901(5553). A specially crafted configuration value can lead to arbitrary file reading. An attacker can upload a malicious file to trigger this vulnerability.

  • CVE-2026-30818 is an OS command injection vulnerability in the dnsmasq configuration restore dhcpscript functionality of TP-Link Archer AX53 v1.0 1.3.1 Build 20241120 rel.54901(5553). A specially crafted configuration value can lead to arbitrary command execution. An attacker can upload a malicious file to trigger this vulnerability.

OS command injection vulnerabilities also exist in the OpenVPN configuration restore client_disconnect, client_connect, and route_up functionalities of TP-Link Archer AX53 v1.0 1.3.1 Build 20241120 rel.54901(5553). A specially crafted configuration value can lead to arbitrary command execution. An attacker can upload a malicious file to trigger these vulnerabilities. CVE's unknow ATM.

Photoshop vulnerabilities

Discovered by KPC of Cisco Talos.

Adobe Photoshop is a popular digital photo manipulation and illustration program with a wide array of features for personal and business use cases.

CVE-2026-34632 is a privilege escalation vulnerability in the installation process of Adobe Photoshop via the Microsoft Store. The vulnerable version of the installer is Photoshop_Set-Up.exe 2.11.0.30. A low-privilege user can replace files during the installation process, which may result in elevation of privileges.

OpenVPN vulnerabilities

Discovered by Emma Reuter of Cisco ASIG.

OpenVPN is an open source SSL VPN with remote access, site-to-site VPNs, WiFi security, enterprise load balancing, failover, and granular access control features available.

CVE-2026-35058 is a reachable assertion vulnerability in the TLS Crypt v2 Client Key Extraction functionality of OpenVPN 2.6.x and 2.8_git. A specially crafted network packet can lead to a denial of service. An attacker can send a sequence of malicious packets to trigger this vulnerability.

Gen Digital Norton VPN vulnerabilities

Discovered by KPC of Cisco Talos.

Gen Digital's Norton VPN client is a proprietary tool for private proxy network information exchange.

CVE-2025-58074 is a privilege escalation vulnerability in the installation process of Norton VPN via the Microsoft Store. A low-privilege user can replace files during the installation process, which may result in deletion of arbitrary files, possibly leading to elevation of privileges

Posted by tsoc at 12:04 0 comments

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.20

Kritisk Apache Flink-sårbarhet muliggjør fjernkjøring av kode. Kritiske n8n-sårbarheter muliggjør full fjernkjøring av kode. Økende bruk av innebygget Windows-verktøy for å levere skadevare.

Kritisk Apache Flink-sårbarhet muliggjør fjernkjøring av kode

En kritisk sårbarhet i Apache Flink, identifisert som CVE-2026-35194, gjør det mulig å kjøre vilkårlig kode gjennom SQL injeksjon i plattformens kodegenerator. Feilen oppstår fordi brukerinput ikke blir riktig renset før den settes inn i dynamisk generert Java kode under oversettelse fra SQL til Java. Angripere med tilgang til å sende inn SQL spørringer kan injisere egne Java kommandoer eller metodekall som kjøres på TaskManager noder i Flink klynger. Sårbarheten påvirker JSON funksjoner introdusert i Flink 1.15.0 og LIKE uttrykk med ESCAPE klausuler introdusert i 1.17.0. Berørte versjoner er Apache Flink 1.15.0 til før 1.20.4 samt 2.0.0 til før 2.0.2, 2.1.2 og 2.2.1. Vellykket utnyttelse kan føre til full kompromittering av klynger, manipulering av data og videre tilgang internt i miljøet. Apache har publisert oppdateringer som retter feilen og anbefaler umiddelbar oppgradering

Anbefaling:

Oppgrader Apache Flink til versjon 1.20.4, 2.0.2, 2.1.2 eller 2.2.1, og begrens SQL-spørringstilgang til betrodde brukere.

Sårbarheter:

Kritiske n8n-sårbarheter muliggjør full fjernkjøring av kode

Flere kritiske sårbarheter i workflow plattformen n8n gjør det mulig å oppnå full fjernkjøring av kode på berørte systemer. Sårbarhetene er registrert som CVE-2026-44789, CVE-2026-44790 og CVE-2026-44791 og påvirker flere sentrale noder, inkludert HTTP Request, Git og XML noder. Feilene kan kobles sammen slik at angripere kan kjøre systemkommandoer og få kontroll over servere som kjører n8n. Problemene skyldes manglende validering og usikker håndtering av brukerinput i arbeidsflyter og integrasjoner. Vellykket utnyttelse kan føre til full kompromittering av systemer, tilgang til sensitive data og videre tilgang internt i miljøet. n8n har publisert sikkerhetsoppdateringer som retter sårbarhetene og anbefaler at alle berørte installasjoner oppgraderes umiddelbart.

Anbefaling:

Oppgrader n8n til nyeste tilgjengelige versjon og begrens tilgang til arbeidsflyter og integrasjoner som kan kjøre kommandoer eller behandle ekstern input.

Økende bruk av innebygget Windows-verktøy for å levere skadevare

MSHTA, et eldre men fortsatt innebygd Windows‑verktøy, misbrukes i økende grad av angripere til å levere skadevare på en skjult måte. Verktøyet brukes som et living‑off‑the‑land binary (LOLBIN) for å hente og kjøre ondsinnet kode direkte i minnet, ofte via phishing, falske programnedlastinger eller sosial manipulering. Aktiviteten har økt kraftig i 2026, og teknikken benyttes til å distribuere blant annet infostealere, loadere og vedvarende skadevare. Fordi MSHTA er Microsoft‑signert og fremdeles har legitim bruk, er det vanskelig å oppdage og blokkere.

Effektive mottiltak inkluderer:

  • Økt brukerbevissthet

  • Reduksjon av angrepsflate

  • Blokkering av unødvendige legacy‑komponenter i virksomhetsmiljøer.

Posted by tsoc at 11:40 0 comments

Tuesday, 19 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.19

Mini Shai-Hulud sender ut ondsinnede AntV npm-pakker via en kompromittert vedlikeholderkonto.

Mini Shai-Hulud sender ut ondsinnede AntV npm-pakker via en kompromittert vedlikeholderkonto

Et pågående supply chain-angrep kalt Mini Shai-Hulud har kompromittert en npm‑konto og spredt skadevare via populære @antv‑pakker og relaterte biblioteker.
Angriperne injiserer kode som stjeler legitimasjon fra en rekke tjenester (som AWS, GitHub og Azure) og sprer seg videre ved å publisere infiserte pakkeoppdateringer automatisk.


«Angrepet påvirker pakker knyttet til npm-vedlikeholderkontoen atool, inkludert echarts-for-react, en mye brukt React-wrapper for Apache ECharts med omtrent 1,1 millioner ukentlige nedlastinger», sa Socket.

Posted by tsoc at 12:57 0 comments

Monday, 18 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.18

Ny sårbarhet i Microsoft Exchange Server. === Tycoon2FA kaprer Microsoft 365-kontoer via device code-phishing. === Ny Windows-nulldagssårbarhet «MiniPlasma» gir SYSTEM-tilgang, PoC publisert.

Ny sårbarhet i Microsoft Exchange Server

Microsoft Exchange Server er rammet av en høy alvorlig sårbarhet (CVE‑2026‑42897, CVSS 8.1) som kan utnyttes eksternt og føre til kjøring av kode i brukerens nettleser (XSS/spoofing). Sårbarheten påvirker Exchange Server 2016, 2019 og Subscription Edition (SE). Det finnes per nå ingen kjente aktive utnyttelser, men risikoen vurderes som høy på grunn av utbredt bruk av produktet. Microsoft anbefaler å sikre at Exchange Emergency Mitigation Service (EEMS) er aktivert og å følge opp med nødvendige oppdateringer.

Vær oppmerksom på at NIST(NVD) klassifiserer den som Medium(CVSS score 6.1), mens Microsoft selv klassifiserer den som High.

Anbefalte tiltak:

  • Aktiver og verifiser Exchange Emergency Mitigation Service (EEMS) på alle Exchange‑servere.

  • Installer siste sikkerhetsoppdateringer for Exchange Server i henhold til Microsofts veiledning.

  • Reduser eksponering:

    • Begrens ekstern tilgang til OWA og administrasjonsendepunkter der det er mulig.

    • Sikre at MFA er aktivert for Exchange‑brukere og administratorer.

  • Øk overvåking:

    • Følg med på mistenkelig nettleseraktivitet (XSS/JavaScript).

    • Overvåk påloggingsavvik og uvanlige tilgangsmønstre mot Exchange.

  • Plan for hendelseshåndtering: Sørg for at rutiner er klare dersom indikasjoner på utnyttelse oppdages.

Anbefaling:

Se artikkeltekst

Tycoon2FA kaprer Microsoft 365-kontoer via device code-phishing

Tycoon2FA benytter nå device code phishing for å kompromittere Microsoft 365-kontoer. Angrepene starter ved at brukeren lokkes til å autentisere seg via Microsofts legitime microsoft.com/devicelogin-side med en angriperkontrollert device code. Dette gir angriperne OAuth access- og refresh-tokens som kan brukes til vedvarende tilgang til både e-post, filer og andre Microsoft 365-tjenester.

Kampanjene bruker legitime Trustifi-URL-er, flere omdirigeringer og obfuskert JavaScript for å skjule phishing-flyten og vanskeliggjøre analyse. I tillegg inkluderer Tycoon2FA også mekanismer for å oppdage og blokkere sandkasser, VPN-er og automatiserte sikkerhetsverktøy.

Anbefaling:

For å unngå slike angrep bør man vurdere å deaktivere device code flow dersom funksjonen ikke er nødvendig, i tillegg til at man burde kreve administratorgodkjenning for OAuth-applikasjoner.

Ny Windows-nulldagssårbarhet «MiniPlasma» gir SYSTEM-tilgang, PoC publisert

En sikkerhetsforsker har publisert en "proof of concept" utnyttelse for en nulldagssårbarhet i Windows kalt «MiniPlasma», som gjør det mulig å eskalere privilegier til SYSTEM-nivå på fullt oppdaterte systemer.

Sårbarheten påvirker Cloud Filter-driveren (cldflt.sys) og ble opprinnelig rapportert i 2020 som CVE-2020-17103, men skal ifølge forskeren fortsatt være urettet til tross for tidligere patch. Det har ikke blitt opprettet en ny CVE for sårbarheten.

Utnyttelsen er offentlig tilgjengelig på GitHub og er bekreftet å fungere på nyeste versjon av Windows 11, selv om den ikke fungerer i nyere Insider-bygg.

Sårbarheter:

Posted by tsoc at 11:23 0 comments

Friday, 15 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.15

Kritisk Cisco SD-WAN sårbarhet utnyttes i nulldag-angrep. OpenAI bekrefter sikkerhetsbrudd etter TanStack Forsyningskjedeangrep.

Kritisk Cisco SD-WAN sårbarhet utnyttes i nulldag-angrep

Cisco advarer om en kritisk sårbarhet i Catalyst SD-WAN Controller og SD-WAN Manager, sporet som CVE-2026-20182. Feilen blir aktivt utnyttet i nulldag-angrep og kan gi angripere administrative rettigheter på berørte systemer.

Sårbarheten skyldes en feil i peering autentiseringen i SD-WAN infrastrukturen. Ved å sende spesiallagde forespørsler kan angripere logge inn som en høyt privilegert intern bruker og få tilgang til NETCONF for å endre nettverkskonfigurasjoner.

Cisco opplyser at sårbarheten har blitt brukt til å registrere “rogue peers” i kompromitterte miljøer. Dette gjør det mulig å koble ondsinnede enheter inn i SD-WAN nettverket og etablere krypterte forbindelser som ser legitime ut.

Feilen påvirker både lokale installasjoner og Cisco SD-WAN Cloud miljøer. Cisco anbefaler å undersøke logger for ukjente peering tilkoblinger og mistenkelige innlogginger, spesielt knyttet til brukeren “vmanage-admin”.

Cisco har publisert sikkerhetsoppdateringer og opplyser at det ikke finnes "workarounds" som fullt ut reduserer risikoen. CISA har lagt sårbarheten til i KEV-listen over aktivt utnyttede sårbarheter.

Anbefaling:

Oppdater alle berørte Cisco SD-WAN systemer umiddelbart. Begrens tilgang til management grensesnitt og gjennomgå logger for ukjente enheter eller mistenkelig aktivitet.

OpenAI bekrefter sikkerhetsbrudd etter TanStack Forsyningskjedeangrep

OpenAI har bekreftet at enhetene til to ansatte ble kompromittert i det omfattende “Mini Shai-Hulud” forsyningskjedeangrepet. Dette angrepet rammet hundrevis av npm og PyPI pakker.

Ifølge selskapet fikk angriperne tilgang til et begrenset antall interne kildekode repositorier og enkelte brukerdetaljer knyttet til de kompromitterte brukerkontoene. OpenAI melder samtidig at ingen kundedata, produksjonssystemer, immaterielle rettigheter eller rullet ut programvare ble påvirket.

Angrepet er knyttet til TeamPCP gruppen, som angrep legitime åpen kildekode pakker fra blant annet TanStack og Mistral AI. De misbrukte CI/CD-pipelines og GitHub Actions workflows. Deretter distribuerte de ondsinnede pakkeversjoner gjennom legitime release kanaler.

Skadevaren var laget for å stjele utvikler og cloud brukerdetaljer, inkludert GitHub tokens, npm publish tokens, AWS nøkler, SSH nøkler og .env filer. Forskere melder også at skadevaren kunne etablere vedvarende tilgang via VS Code tasks og Claude Code hooks.

OpenAI opplyser at kode signeringssertifikater for macOS, Windows, iOS og Android ble eksponert under denne hendelsen. Selv om det ikke har vært tegn på misbruk av sertifikatene, roterer selskapet dem som en sikkerhetstiltak.

macOS brukere må oppdatere OpenAI desktop applikasjoner innen 12. juni 2026 for å unngå problemer med Apple fremtidige oppdateringer. Windows og iOS brukere blir ikke påvirket.

Posted by tsoc at 11:38 0 comments

Wednesday, 13 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.13

Nye Windows‑sårbarheter kan omgå BitLocker og gi full systemtilgang.

Nye Windows‑sårbarheter kan omgå BitLocker og gi full systemtilgang

En sikkerhetsforsker har publisert to alvorlige såkalte zero‑day sårbarheter i Windows – én som kan omgå diskryptering med BitLocker, og én som gir angripere full kontroll over systemet. Begge exploitene er nå offentlig tilgjengelige, noe som øker risikoen for misbruk.

Kan få tilgang til krypterte data

Den mest oppsiktsvekkende sårbarheten gjør det mulig å bypasse BitLocker, Microsofts innebygde krypteringsløsning for harddisker. Vanligvis beskytter BitLocker data selv om en enhet blir stjålet, men denne exploit-en viser at beskyttelsen kan omgås i visse sammenhenger.

Ifølge rapporten trenger angriperen kun fysisk tilgang til maskinen. Ved å bruke en USB‑enhet og starte systemet i Windows Recovery Environment, kan en angriper åpne en kommandolinje med tilgang til den krypterte disken – uten å måtte oppgi passord eller nøkkel. Sårbarheten har fått navnet "Yellow key"

Gir full kontroll over systemet

Den andre sårbarheten er en såkalt privilege escalation, som lar en bruker øke rettighetsnivået sitt til det høyeste nivået i Windows (SYSTEM). Dette gjør det mulig å installere skadevare, lese eller endre data, og oppnå varig tilgang til systemet.

Sårbarheten utnytter en Windows‑prosess som kjører i bakgrunnen for tekstinput (ctfmon.exe), og som normalt har høye privilegier. Sårbarheten har fått navnet "GreenPlasma"

Sårbare versjoner:

De nye exploitene skal primært påvirke nyere versjoner av Windows, inkludert:

  • Windows 11

  • Windows Server 2022

  • Windows Server 2025

Eldre systemer som Windows 10 ser foreløpig ikke ut til å være berørt.

Per nå er det ikke kjent om det finnes en offisiell sikkerhetsoppdatering fra Microsoft som retter sårbarhetene. Inntil videre anbefales det å være ekstra oppmerksom på fysisk sikring av enheter og følge med på kommende sikkerhetsoppdateringer.

Posted by tsoc at 14:15 0 comments

Tuesday, 12 May 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.05.12

Linux "Dirty Frag" nulldagssårbarhet gir root rettigheter via feil i ESP håndtering. Ivanti advarer om EPMM sårbarhet brukt i nulldag angrep. GhostLock angrep utnytter Windows fildeling for å låse filtilgang som løsepengevirus. Hackere bruker manipulert JPEG-fil til å installere PureHVNC-skadevare. macOS skadevare bruker Google Ads til å spre infiserte nettleserinstallasjoner. Stadig økende mengde sofistikerte phishingforsøk.

Linux "Dirty Frag" nulldagssårbarhet gir root rettigheter via feil i ESP håndtering

Dirty Frag er en alvorlig sårbarhet i Linux kjernen som kan gi en lokal angriper full kontroll over et system med root rettigheter. Feilen ligger i hvordan Linux håndterer nettverkspakker og minnedeling ved bruk av kryptert IPsec/ESP trafikk. Under bestemte forhold kan kjernen feilaktig dekryptere data direkte i delt minne i stedet for å lage en sikker kopi først. Dette gjør det mulig å endre beskyttede data i minnet og manipulere systemfiler uten å ha nødvendige rettigheter. Sårbarheten beskrives som en logikkfeil i Linux kjernen og krever ikke kompliserte race conditions for å fungere, noe som øker sjansen for vellykket angrep. Flere store Linux distribusjoner, inkludert Ubuntu, RHEL, Fedora og openSUSE er berørt. Mainline Linux kjernen er blitt oppdatert for å tette denne sårbarheten.

Sårbarheter:

Ivanti advarer om EPMM sårbarhet brukt i nulldag angrep

En aktivt utnyttet nulldagssårbarhet (CVE-2026-6973) i on-premise versjonen av Ivanti Endpoint Manager Mobile gjør det mulig for autentiserte administratorer å kjøre vilkårlig kode eksternt på berørte servere. Ivanti bekrefter at et begrenset antall kunder allerede er kompromittert. Sårbarheten påvirker EPMM 12.8.0.0 og eldre versjoner, og kan gi tilgang til administrasjonsdata, brukerinformasjon og informasjon om administrerte enheter. Samtidig har Ivanti publisert sikkerhetsoppdateringer for ytterligere fire sårbarheter med høy grad i EPMM. Organisasjoner anbefales å oppgradere til 12.6.1.1, 12.7.0.1 eller 12.8.0.1 umiddelbart, samt rotere administratorpassord dersom tidligere EPMM sårbarheter kan ha blitt utnyttet. CISA har lagt sårbarheten til KEV katalogen og har gitt føderale virksomheter en firedagers frist for å installere sikkerhetsoppdateringer.

Sårbarheter:

GhostLock angrep utnytter Windows fildeling for å låse filtilgang som løsepengevirus

GhostLock er en ny angrepsteknikk som misbruker standard funksjonalitet i Windows SMB-fildeling for å blokkere tilgang til filer uten å kryptere data. En autentisert domenebruker med vanlige leserettigheter kan åpne filer med CreateFileW-API-et og sette dwShareMode til 0x00000000, noe som oppretter eksklusive låser som hindrer andre prosesser i å lese, skrive eller slette filene. Angrepet gir STATUS_SHARING_VIOLATION (0xC0000043) for alle andre klienter til håndtaket frigjøres eller SMB-økten termineres. GhostLock bruker en Python-basert implementasjon med 32 parallelle tråder for å skalere angrepet over store SMB-delinger og oppnådde i testing 99,6 % låsesuksess på 500 000 filer. Under tester ble 99,8 % av filtilganger blokkert i en 60-sekundersperiode, og én angriper kunne holde over 500 000 eksklusive filhåndtak aktive. Teknikken utløste ingen alarmer fra honeypot-filer, EDR, SIEM, AI-baserte ransomware-detektorer eller nettverksinspeksjon fordi den ikke skriver data til disk og SMB-trafikken ser legitim ut. Artikkelen opplyser at problemet ikke regnes som en programvarefeil og derfor ikke har fått en CVE-identifikator.

Ghostlock understeker viktigheten av zero trust og prinsippet om least privilege; at brukere skal KUN ha tilgang til det de trenger. Normalt vil ingen nettverksbruker ha behov for å ha tilgang til alle filer på en filserver.

Hackere bruker manipulert JPEG-fil til å installere PureHVNC-skadevare

En pågående phishing-kampanje distribuerer PureHVNC Remote Access Trojan ved hjelp av en manipulert JPEG-fil som inneholder skjult skadevarekode. Angrepet starter med phishing-eposter som inneholder ZIP-arkiver med en .lnk-fil forkledd som et bilde, hvor snarveien kjører PowerShell-kommandoer som laster ned et JPEG-bilde fra eksterne servere. JPEG-filen inneholder Base64-kodet payload skjult etter gyldige bildedata, og PowerShell bruker findstr og certutil -decode for å trekke ut og dekode den skjulte koden til en kjørbar fil. Den dekodede payloaden injiseres deretter i legitime Windows-prosesser ved hjelp av prosess-hollowing for å omgå sikkerhetsprodukter og etablere vedvarende fjernkontroll. PureHVNC gir angriperen full fjernstyring av systemet, inkludert tastaturlogging, skjermovervåkning, filhåndtering og kommandoeksekvering. Kampanjen bruker legitime Windows-verktøy som PowerShell og certutil for å redusere sannsynligheten for deteksjon. Artikkelen beskriver også bruk av obfuskering i PowerShell-skript for å skjule kommandoene under analyse.

Anbefaling:

Blokker eller overvåk bruk av certutil og PowerShell som henter eller dekoder filer fra eksterne kilder.

macOS skadevare bruker Google Ads til å spre infiserte nettleserinstallasjoner

En skadevarekampanje rettet mot macOS-brukere bruker falske Google Ads for å lede ofre til nettsider som etterligner legitime nedlastingssider for nettlesere. Kampanjen distribuerer Atomic Stealer (AMOS), som stjeler passord, kryptolommebøker, nettleserdata og autentiseringsinformasjon fra infiserte systemer. Angrepet starter når brukeren klikker på sponsede annonser i søkeresultater og laster ned en manipulert .dmg-fil fra et domenenavn som ligner den legitime tjenesten. Den installerte applikasjonen ber brukeren om macOS-legitimasjon via falske systemdialoger for å få utvidede rettigheter og tilgang til sensitive filer. Skadevaren samler deretter inn data fra nettlesere, nøkkelringer og kryptolommebøker før informasjonen sendes til eksterne kommando- og kontrollservere. Kampanjen benytter domener med typosquatting og misbruker tilliten til Google Ads for å øke sannsynligheten for installasjon. Artikkelen beskriver at infrastrukturen og domenene endres raskt for å redusere effektiviteten til blokkering og nedtakingsforsøk.

Stadig økende mengde sofistikerte phishingforsøk

Den siste tiden er det identifisert flere phishingforsøk med økende teknisk presisjon og tilpasning til moderne identitetsløsninger. Angrepene distribueres hovedsakelig via e‑post og SMS, og utgir seg for å være varsler om delte dokumenter, sikkerhetshendelser eller hastepregede forespørsler som krever rask handling.

Flere av forsøkene benytter AiTM (Adversary‑in‑the‑Middle)‑teknikker, der brukeren ledes til en falsk påloggingsside som fungerer som et mellomledd mot den ekte tjenesten. Dette gjør det mulig å fange opp legitime påloggingsdata og autentiseringsinformasjon i sanntid, inkludert flerfaktor‑autentisering.

I tillegg er det observert økt bruk av device code phishing. I disse angrepene blir brukeren bedt om å gå til en legitim påloggingsside og angi en enhetskode som allerede er generert av angriperen. Siden påloggingen skjer på et ekte nettsted, kan angrepet fremstå som troverdig og samtidig omgå enkelte beskyttelsestiltak, spesielt dersom brukeren ikke forstår sammenhengen for kodeforespørselen.

Meldingene er ofte godt formulert og visuelt overbevisende. Brukere oppfordres til å være ekstra oppmerksomme på uventede påloggingsforespørsler, kontrollere adresser og kontekst nøye, og verifisere tvilsomme henvendelser via alternative kanaler. Tidlig rapportering av mistenkelige meldinger er fortsatt avgjørende for å begrense risiko og konsekvenser.

Anbefaling:

Vær obs på ukjente forespørsler for to-faktor autentisering. Sjekk kontekst og URL i mottatte henvendelser(mail, SMS, meldingsapper). Sjefen din vil aldri sende deg SMS og be deg kjøpe forhåndsbetalte kredittkort!

Posted by tsoc at 09:30 0 comments
Subscribe to: Posts (Atom)
 
>