1. Botnet InterPlanetary Storm – prawie 14 000 zainfekowanych maszyn w 84 krajach<\/strong><\/h2>\n\n\nNowy wariant z\u0142o\u015bliwego oprogramowania InterPlanetary Storm (IPS) – opr\u00f3cz urz\u0105dze\u0144 z systemem Windows i Linux – atakuje r\u00f3wnie\u017c te z systemem Mac i Android. Do tego, malware w interesuj\u0105cy spos\u00f3b unika wykrycia.<\/p>\n\n\n\n
Z\u0142o\u015bliwe oprogramowanie rozprzestrzenia si\u0119 poprzez ataki brute force na urz\u0105dzenia z Secure Shell (SSH). Jest to kryptograficzny protok\u00f3\u0142 do bezpiecznego \u015bwiadczenia us\u0142ug w niezabezpieczonych sieciach. Malware jest r\u00f3wnie\u017c w stanie wedrze\u0107 si\u0119 poprzez otwarte porty Apple Desktop Bus (ADB), kt\u00f3re \u0142\u0105cz\u0105 urz\u0105dzenia low-speed z komputerem.<\/p>\n\n\n\n
Botnet wykorzystuje implementacj\u0119 libp2p, kt\u00f3ra jest sieciowym frameworkiem umo\u017cliwiaj\u0105cym pisanie zdecentralizowanych aplikacji peer-to-peer (P2P). Pierwotnie by\u0142 on wykorzystywany w InterPlanetary File System (IPFS) \u2013 st\u0105d w\u0142a\u015bnie wzi\u0105\u0142 si\u0119 pomys\u0142 na jego nazw\u0119.<\/p>\n\n\n\n
Jak unikn\u0105\u0107 wykrycia. <\/strong>Nowy wariant IPS jest w stanie automatycznie aktualizowa\u0107 si\u0119 do najnowszej dost\u0119pnej wersji a tak\u017ce zabija\u0107 inne procesy na urz\u0105dzeniu, kt\u00f3re mog\u0105 stanowi\u0107 dla niego zagro\u017cenie. Chodzi g\u0142\u00f3wnie o wszelkiego typu debuggery oraz konkurencyjne z\u0142o\u015bliwe oprogramowanie. Program szuka konkretnych string\u00f3w: \u201erig\u201d, \u201exig\u201d i „debug”. Jest r\u00f3wnie\u017c w stanie wykrywa\u0107 honeypoty, wyszukuj\u0105c ci\u0105g\u00f3w \u201esvr04\u201d w domy\u015blnym wierszu pow\u0142oki.<\/p>\n\n\n\nObecnie szacuje si\u0119, \u017ce zainfekowanych jest ju\u017c 13 500 maszyn – a liczba ta stale ro\u015bnie. Po\u0142owa urz\u0105dze\u0144 znajduje si\u0119 w Hongkongu, Korei Po\u0142udniowej i na Tajwanie. Inne zainfekowane systemy znajduj\u0105 si\u0119 na terytorium Rosji, Brazylii, w Stanach Zjednoczonych, Szwecji i Chinach. Botnet nie ma jeszcze jasno okre\u015blonej funkcjonalno\u015bci, jednak daje swoim operatorom backdoora do ka\u017cdego z urz\u0105dze\u0144, dzi\u0119ki czemu mog\u0105 one p\u00f3\u017aniej zosta\u0107 wykorzystane do kopania kryptowalut, czy przeprowadzenia atak\u00f3w DDoS.<\/p>\n\n\n\n
Jak unikn\u0105\u0107 stania si\u0119 ofiar\u0105. <\/strong>Aby unikn\u0105\u0107 infekcji, specjali\u015bci doradzaj\u0105 aby prawid\u0142owo skonfigurowa\u0107 dost\u0119p SSH na wszystkich urz\u0105dzeniach, a tak\u017ce si\u0119gni\u0119cie po narz\u0119dzia, kt\u00f3re umo\u017cliwi\u0105 monitorowanie kontroli dost\u0119pu. Jest to najszybsza droga do wyeliminowania wszelkich potencjalnych b\u0142\u0119d\u00f3w w ich konfiguracji.<\/p>\n\n\n\n\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n<\/div>\n\n\n\n<\/a>\n\n\n2. 61% serwer\u00f3w Microsoft Exchange nadal podatnych na zdalne wykonanie kodu<\/strong><\/h2>\n\n\nCho\u0107 min\u0119\u0142o prawie osiem miesi\u0119cy od kiedy Microsoft wyda\u0142 aktualizacj\u0119 luki CVE-2020-0688, podatnych wci\u0105\u017c pozostaje ponad 60% serwer\u00f3w Microsoft Exchange. Jej wykorzystanie umo\u017cliwia uwierzytelnionym atakuj\u0105cym zdalne wykonanie kodu w systemie ofiary z poziomu sieci lokalnej lub Internetu za pomoc\u0105 danych logowania do konta e-mail. <\/p>\n\n\n\n
Niebezpiecze\u0144stwo w skr\u00f3cie.<\/strong> B\u0142\u0105d znajduje si\u0119 w panelu sterowania Exchange – serwera poczty i kalendarza firmy Microsoft. Wynika z tego, \u017ce serwer w spos\u00f3b niepoprawny tworzy unikatowe klucze podczas instalacji. Aktualizacja tej luki zosta\u0142a wydana w lutym, a w marcu dwie najwa\u017cniejsze ameryka\u0144skie agencje zajmuj\u0105ce si\u0119 cyberbezpiecze\u0144stwem – CISA i NSA – przestrzega\u0142y administrator\u00f3w przed zaawansowanymi atakami ATP (Advanced Threat Persistance) na nieza\u0142atane serwery. ATP to d\u0142ugotrwa\u0142e, ukryte dzia\u0142ania korzystaj\u0105ce z wielu wektor\u00f3w i narz\u0119dzi do omini\u0119cia system\u00f3w zabezpiecze\u0144. <\/p>\n\n\n\nNowe dane telemetryczne wykaza\u0142y, \u017ce spo\u015br\u00f3d 433464 zaobserwowanych serwer\u00f3w Exchange (2010, 2013, 2016 i 2019) po\u0142\u0105czonych z Internetem co najmniej 61 procent jest nadal podatnych na usterk\u0119. <\/p>\n\n\n\n
Przezorny zawsze ubezpieczony<\/strong>. Eksperci zalecaj\u0105 ustalenie, czy Exchange zosta\u0142 za\u0142atany oraz zainstalowanie aktualizacji na ka\u017cdym serwerze z w\u0142\u0105czonym Exchange Control Panel (ECP).<\/p>\n\n\n\nAdministratorzy powinni r\u00f3wnie\u017c sprawdzi\u0107, czy kto\u015b pr\u00f3bowa\u0142 ju\u017c wykorzysta\u0107 luk\u0119 w ich \u015brodowisku. Kod exploita, kt\u00f3ry przetestowali specjali\u015bci, pozostawia artefakty w dzienniku zdarze\u0144 systemu Windows i dziennikach IIS. Nara\u017cone konta, kt\u00f3re s\u0105 wykorzystywane w atakach na serwery Exchange mo\u017cna wi\u0119c wykry\u0107 sprawdzaj\u0105c logi pod k\u0105tem string\u00f3w za\u0142adowanych \u0142adunk\u00f3w, w tym tekstu \u201cInvalid viewstate\u201d lub ci\u0105g\u00f3w __VIEWSTATE i __VIEWSTATEGENERATOR dla \u017c\u0105da\u0144 do \u015bcie\u017cki w \/ecp (zwykle \/ecp\/default.aspx)).<\/p>\n\n\n\n
\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n<\/div>\n\n\n\n<\/a>\n\n\n3. Atak ransomware na Tyler Technologies – nast\u0119pstwa, naruszenia sieci i nadchodz\u0105ce wybory w USA<\/strong><\/h2>\n\n\nTyler Technologies, Inc. jest najwi\u0119kszym dostawc\u0105 oprogramowania dla sektora publicznego w Stanach Zjednoczonych. Jest to zdecydowanie istotny gracz na ameryka\u0144skim rynku, kt\u00f3ry z ca\u0142\u0105 pewno\u015bci\u0105 by\u0142by w stanie zainteresowa\u0107 cyberprzest\u0119pc\u00f3w. Wszystko wskazuje na to, \u017ce tak si\u0119 w\u0142a\u015bnie sta\u0142o. W zesz\u0142ym tygodniu firma poda\u0142a do wiadomo\u015bci, \u017ce pad\u0142a ofiar\u0105 ataku ransomware. Jakby ju\u017c samo to nie by\u0142o niepokoj\u0105ce, zaledwie kilka dni p\u00f3\u017aniej klienci zacz\u0119li zg\u0142asza\u0107 podejrzane logowania do sieci i obecno\u015b\u0107 wcze\u015bniej niewidzianych narz\u0119dzi umo\u017cliwiaj\u0105cych zdalny dost\u0119p.<\/p>\n\n\n\n
Atak mia\u0142 miejsce 23 wrze\u015bnia. Cyberprzest\u0119pcy w\u0142amali si\u0119 do sieci firmy i wdro\u017cyli szkodliwe oprogramowanie. Niekt\u00f3rzy specjali\u015bci spekuluj\u0105, \u017ce firma zosta\u0142a zainfekowana przez RansomExx, oprogramowaniem typu human-operated ransomware. Oznacza\u0142oby to, \u017ce atakuj\u0105cy r\u0119cznie zainfekowali systemy po uzyskaniu dost\u0119pu do docelowej sieci. W tym wszystkim jest jedna dobra informacja. RansomEXX nie wykrada danych przed zaszyfrowaniem zasob\u00f3w.<\/p>\n\n\n\n
Pocz\u0105tkowo firma sta\u0142a na stanowisku, \u017ce incydent ograniczy\u0142 si\u0119 do wewn\u0119trznej sieci firmowej i system\u00f3w telefonicznych. Innym s\u0142owem, nie mia\u0142 on wp\u0142ywu na infrastruktur\u0119 chmurow\u0105 i dane klient\u00f3w. Jednak g\u0142\u0119bsza analiza ujawni\u0142a, \u017ce napastnicy mieli znacznie mroczniejsze zamiary. Kilku klient\u00f3w – po wykryciu pewnych podejrzanych akcji – zosta\u0142o zmuszonych do zresetowania has\u0142a jako \u015brodka zapobiegawczego.<\/p>\n\n\n\n
Co si\u0119 tam w\u0142a\u015bciwie wydarzy\u0142o? <\/strong>Niekt\u00f3rzy z klient\u00f3w firmy natrafili na klienta Bomgar, zainstalowanego na serwerach. Mo\u017ce to sugerowa\u0107, \u017ce atakuj\u0105cy mogli jednak uzyska\u0107 has\u0142a dost\u0119pu do infrastruktury cloudowej Tyler Technologies. T\u0142umaczy\u0142oby to dalsze ataki na infrastruktury klient\u00f3w firmy.<\/p>\n\n\n\nCzy problem nie jest jednak du\u017co wi\u0119kszy? <\/strong>Rozwi\u0105zania firmy Tyler Technologies b\u0119d\u0105 s\u0142u\u017cy\u0107 do prezentowania wynik\u00f3w najbli\u017cszych wybor\u00f3w w USA. Ameryka\u0144skie agencje wywiadowcze ostrzeg\u0142y ju\u017c, \u017ce zagraniczne rz\u0105dy mog\u0105 pr\u00f3bowa\u0107 zasia\u0107 niepok\u00f3j (i wp\u0142yn\u0105\u0107 po\u015brednio na wybory) zmieniaj\u0105c dane publikowane przez takie serwisy. Zdecydowanie jest to du\u017co prostsze, ni\u017c fa\u0142szowanie samych wynik\u00f3w. Pami\u0119tajmy, \u017ce dezinformacja to tak\u017ce manipulacja…<\/p>\n\n\n\n\u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n<\/div>\n\n\n\n<\/a>\n\n\n4. Microsoft 365: Phishing z OAuth2 w tle \/ Niespodziewana przerwa w dost\u0119pno\u015bci us\u0142ug<\/strong><\/h2>\n\n\nGrupa APT, znana jako TA2552 u\u017cywa OAuth2 i innych metod autoryzacji opartych na tokenach aby uzyska\u0107 dost\u0119p do kont Office 365 i wykrada\u0107 dane. <\/p>\n\n\n\n
OAuth to otwarty protok\u00f3\u0142 pozwalaj\u0105cy na budowanie bezpiecznych mechanizm\u00f3w autoryzacyjnych i umo\u017cliwiaj\u0105cy logowanie si\u0119 do us\u0142ug bez podawania has\u0142a. Najcz\u0119\u015bciej wykorzystuje si\u0119 tu aplikacje mobilne, status zalogowania w innej zaufanej us\u0142udze lub witrynie internetowej. Najbardziej powszechnym przyk\u0142adem s\u0105 opcje \u201cZaloguj si\u0119 przez Google\u201d lub \u201cZaloguj si\u0119 za pomoc\u0105 Facebook\u201d <\/p>\n\n\n\n
Wed\u0142ug specjalist\u00f3w z Proofpoint ofiary najnowszego ataku otrzymuj\u0105 dobrze spreparowane przyn\u0119ty z pro\u015bb\u0105 o klikni\u0119cie \u0142\u0105cza, kt\u00f3re prowadzi ich do legalnej strony Microsoft zawieraj\u0105cej zgody dla aplikacji innych firm. Po zalogowaniu si\u0119 na konto Office 365 u\u017cytkownik jest proszony o przyznanie uprawnie\u0144 tylko do odczytu dla aplikacji przest\u0119pc\u00f3w, kt\u00f3ra udaje prawdziw\u0105 apk\u0119 znanej firmy trzeciej. Domeny, kt\u00f3re przechwytuj\u0105 tokeny OAuth, s\u0105 cz\u0119sto rejestrowane przez Namecheap i hostowane w Cloudflare. <\/p>\n\n\n\n
W przypadku tej kampanii z\u0142o\u015bliwe aplikacje prosz\u0105 o dost\u0119p do kontakt\u00f3w, profilu i poczty u\u017cytkownika w trybie tylko do odczytu. Wszystko to jednak mo\u017ce zosta\u0107 wykorzystane do przeszukiwania kont, cichej kradzie\u017cy danych, a nawet przechwytywania wiadomo\u015bci resetuj\u0105cych has\u0142o z innych kont, np. bankowo\u015bci internetowej. Ponadto, taki rekonesans konta O365 dostarcza cennych informacji, kt\u00f3re mo\u017cna nast\u0119pnie wykorzysta\u0107 w atakach typu BEC czy przej\u0119ciu kont.<\/p>\n\n\n\n
Cho\u0107 wiadomo\u015bci otrzyma\u0142y organizacje na ca\u0142ym \u015bwiecie, specjali\u015bci s\u0105 zgodni – grupa TA2552 upodoba\u0142a sobie hiszpa\u0144skoj\u0119zycznych u\u017cytkownik\u00f3w. W kampaniach regularnie wykorzystuje motywy rz\u0105dowe i instytucje podatkowe, a ostatnio zacz\u0119\u0142a podszywa\u0107 si\u0119 pod popularne marki konsumenckie, w tym Netflix i Amazon Prime Mexico. <\/p>\n\n\n
To nie koniec problem\u00f3w Microsoft 365 w minionym tygodniu<\/strong><\/h5>\n\n\nOd godz. 21:45 czasu UTC w poniedzia\u0142ek do wtorku rano niezalogowani u\u017cytkownicy przez kilka godzin nie mogli korzysta\u0107 z wielu us\u0142ug w chmurze – m.in. Office 365, Azure, Outlook.com, Teams i innych. Powodem by\u0142y b\u0142\u0119dy w autoryzacji Azure Active Directory (AAD) authentication, kt\u00f3ry mia\u0142 wp\u0142yw na chmury Azure Public i Azure Government. Pocz\u0105tkowo problem dotyczy\u0142 u\u017cytkownik\u00f3w w obu Amerykach i nasila\u0142 si\u0119 z powodu obci\u0105\u017cenia, ale wkr\u00f3tce dotkn\u0105\u0142 te\u017c klient\u00f3w z innych region\u00f3w. Ze swoich us\u0142ug mogli korzysta\u0107 tylko ci, kt\u00f3rzy byli zalogowani do us\u0142ug przed wyst\u0105pieniem problemu. <\/p>\n\n\n\n
Prawdopodobnie przyczyn\u0105 niedost\u0119pno\u015bci us\u0142ug by\u0142o po\u0142\u0105czenie trzech niezale\u017cnych problem\u00f3w. Defektu kodu w aktualizacji us\u0142ugi, b\u0142\u0119du narz\u0119dzia w systemie bezpiecznego wdra\u017cania us\u0142ugi Azure AD i defektu kodu w mechanizmie wycofywania us\u0142ugi Azure AD.<\/p>\n\n\n\n
Okazuje si\u0119 wi\u0119c, \u017ce nawet takim podmiotom jak Microsoft zdarzaj\u0105 si\u0119 przerwy w dost\u0119pno\u015bci. To jednak wpisane jest w ramach odpowiedzialno\u015bci Microsoftu i shared responsibility model. Warto zauwa\u017cy\u0107 jednak, \u017ce w przypadku informacji przechowywanych w ramach Office 365 sprawa nie wygl\u0105da tak prosto. To u\u017cytkownik odpowiada za bezpiecze\u0144stwo danych. Dlatego powinien posiada\u0107 rozwi\u0105zanie do backupu pakietu Microsoft 365, kt\u00f3re ju\u017c wkr\u00f3tce zawita w ofercie Xopero. <\/p>\n\n\n\n
![\"\"](\"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2020\/10\/baner-beta-pl-1024x270.jpg\")
<\/a><\/figure><\/div>\n\n\n\n\u0179r\u00f3d\u0142a: 1<\/a> | 2<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie tworzy aktualnie botnet, kt\u00f3ry ju\u017c teraz sk\u0142ada si\u0119 z oko\u0142o 13 500 zainfekowanych maszyn z ca\u0142ego \u015bwiata. Wi\u0119cej o szkodliwym oprogramowaniu IPS i trwaj\u0105cej kampanii cyberprzest\u0119pczej przeczytacie poni\u017cej.<\/p>\n","protected":false},"author":1,"featured_media":1597,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[436],"tags":[],"class_list":["post-3221","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersec-news-pl","post--single"],"yoast_head":"\n
InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365 - Xopero Blog<\/title>\n<meta name=\"description\" content=\"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie...\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/\" \/>\n<meta property=\"og:locale\" content=\"pl_PL\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365 - Xopero Blog\" \/>\n<meta property=\"og:description\" content=\"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie...\" \/>\n<meta property=\"og:url\" content=\"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/\" \/>\n<meta property=\"og:site_name\" content=\"Xopero Blog\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/XoperoSoftware\/\" \/>\n<meta property=\"article:published_time\" content=\"2020-10-05T06:55:25+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2020-10-09T11:20:37+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1843\" \/>\n\t<meta property=\"og:image:height\" content=\"481\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"xopero_blogger\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@xoperobackup\" \/>\n<meta name=\"twitter:site\" content=\"@xoperobackup\" \/>\n<meta name=\"twitter:label1\" content=\"Napisane przez\" \/>\n\t<meta name=\"twitter:data1\" content=\"xopero_blogger\" \/>\n\t<meta name=\"twitter:label2\" content=\"Szacowany czas czytania\" \/>\n\t<meta name=\"twitter:data2\" content=\"8 minut\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/\"},\"author\":{\"name\":\"xopero_blogger\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/person\\\/cab3d3cda6e8a1aecfa8abea8827b17c\"},\"headline\":\"InterPlanetary Storm \\\/ Problemy: MS Exchange i Microsoft 365\",\"datePublished\":\"2020-10-05T06:55:25+00:00\",\"dateModified\":\"2020-10-09T11:20:37+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/\"},\"wordCount\":1650,\"publisher\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"articleSection\":[\"Cybersec news\"],\"inLanguage\":\"pl-PL\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/\",\"name\":\"InterPlanetary Storm \\\/ Problemy: MS Exchange i Microsoft 365 - Xopero Blog\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"datePublished\":\"2020-10-05T06:55:25+00:00\",\"dateModified\":\"2020-10-09T11:20:37+00:00\",\"description\":\"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie...\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#breadcrumb\"},\"inLanguage\":\"pl-PL\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"pl-PL\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#primaryimage\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"contentUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/07\\\/blogg2.png\",\"width\":1843,\"height\":481},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Strona g\u0142\u00f3wna\",\"item\":\"https:\\\/\\\/xopero.com\\\/blog\\\/pl\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"InterPlanetary Storm \\\/ Problemy: MS Exchange i Microsoft 365\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#website\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/\",\"name\":\"Xopero Blog\",\"description\":\"Backup & Recovery\",\"publisher\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/xopero.com\\\/blog\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"pl-PL\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#organization\",\"name\":\"Xopero Software\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pl-PL\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/03\\\/xopero-niebieskie.png\",\"contentUrl\":\"https:\\\/\\\/xopero.com\\\/blog\\\/wp-content\\\/uploads\\\/2019\\\/03\\\/xopero-niebieskie.png\",\"width\":500,\"height\":132,\"caption\":\"Xopero Software\"},\"image\":{\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.facebook.com\\\/XoperoSoftware\\\/\",\"https:\\\/\\\/x.com\\\/xoperobackup\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/opero-sp-z-o-o-\\\/?viewAsMember=true\",\"https:\\\/\\\/www.youtube.com\\\/channel\\\/UCRPWyeo1apjSgkDW3hZpB9g?reload=9\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/xopero.com\\\/blog\\\/#\\\/schema\\\/person\\\/cab3d3cda6e8a1aecfa8abea8827b17c\",\"name\":\"xopero_blogger\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pl-PL\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g\",\"caption\":\"xopero_blogger\"},\"sameAs\":[\"https:\\\/\\\/xopero.com\"],\"url\":\"https:\\\/\\\/xopero.com\\\/blog\\\/author\\\/xopero_blogger\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365 - Xopero Blog","description":"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie...","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/","og_locale":"pl_PL","og_type":"article","og_title":"InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365 - Xopero Blog","og_description":"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie...","og_url":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/","og_site_name":"Xopero Blog","article_publisher":"https:\/\/www.facebook.com\/XoperoSoftware\/","article_published_time":"2020-10-05T06:55:25+00:00","article_modified_time":"2020-10-09T11:20:37+00:00","og_image":[{"width":1843,"height":481,"url":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","type":"image\/png"}],"author":"xopero_blogger","twitter_card":"summary_large_image","twitter_creator":"@xoperobackup","twitter_site":"@xoperobackup","twitter_misc":{"Napisane przez":"xopero_blogger","Szacowany czas czytania":"8 minut"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#article","isPartOf":{"@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/"},"author":{"name":"xopero_blogger","@id":"https:\/\/xopero.com\/blog\/#\/schema\/person\/cab3d3cda6e8a1aecfa8abea8827b17c"},"headline":"InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365","datePublished":"2020-10-05T06:55:25+00:00","dateModified":"2020-10-09T11:20:37+00:00","mainEntityOfPage":{"@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/"},"wordCount":1650,"publisher":{"@id":"https:\/\/xopero.com\/blog\/#organization"},"image":{"@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#primaryimage"},"thumbnailUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","articleSection":["Cybersec news"],"inLanguage":"pl-PL"},{"@type":"WebPage","@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/","url":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/","name":"InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365 - Xopero Blog","isPartOf":{"@id":"https:\/\/xopero.com\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#primaryimage"},"image":{"@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#primaryimage"},"thumbnailUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","datePublished":"2020-10-05T06:55:25+00:00","dateModified":"2020-10-09T11:20:37+00:00","description":"Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie...","breadcrumb":{"@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#breadcrumb"},"inLanguage":"pl-PL","potentialAction":[{"@type":"ReadAction","target":["https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/"]}]},{"@type":"ImageObject","inLanguage":"pl-PL","@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#primaryimage","url":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","contentUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/07\/blogg2.png","width":1843,"height":481},{"@type":"BreadcrumbList","@id":"https:\/\/xopero.com\/blog\/pl\/interplanetary-storm-problemy-ms-exchange-i-microsoft-365\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Strona g\u0142\u00f3wna","item":"https:\/\/xopero.com\/blog\/pl\/"},{"@type":"ListItem","position":2,"name":"InterPlanetary Storm \/ Problemy: MS Exchange i Microsoft 365"}]},{"@type":"WebSite","@id":"https:\/\/xopero.com\/blog\/#website","url":"https:\/\/xopero.com\/blog\/","name":"Xopero Blog","description":"Backup & Recovery","publisher":{"@id":"https:\/\/xopero.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/xopero.com\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"pl-PL"},{"@type":"Organization","@id":"https:\/\/xopero.com\/blog\/#organization","name":"Xopero Software","url":"https:\/\/xopero.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"pl-PL","@id":"https:\/\/xopero.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/03\/xopero-niebieskie.png","contentUrl":"https:\/\/xopero.com\/blog\/wp-content\/uploads\/2019\/03\/xopero-niebieskie.png","width":500,"height":132,"caption":"Xopero Software"},"image":{"@id":"https:\/\/xopero.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/XoperoSoftware\/","https:\/\/x.com\/xoperobackup","https:\/\/www.linkedin.com\/company\/opero-sp-z-o-o-\/?viewAsMember=true","https:\/\/www.youtube.com\/channel\/UCRPWyeo1apjSgkDW3hZpB9g?reload=9"]},{"@type":"Person","@id":"https:\/\/xopero.com\/blog\/#\/schema\/person\/cab3d3cda6e8a1aecfa8abea8827b17c","name":"xopero_blogger","image":{"@type":"ImageObject","inLanguage":"pl-PL","@id":"https:\/\/secure.gravatar.com\/avatar\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/49b4a2bbd1b6df951fc556f7478f5fb20bb41aeebf08473e459b28c5da9947f7?s=96&d=mm&r=g","caption":"xopero_blogger"},"sameAs":["https:\/\/xopero.com"],"url":"https:\/\/xopero.com\/blog\/author\/xopero_blogger\/"}]}},"post_mailing_queue_ids":[],"_links":{"self":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts\/3221","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/comments?post=3221"}],"version-history":[{"count":5,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts\/3221\/revisions"}],"predecessor-version":[{"id":3252,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/posts\/3221\/revisions\/3252"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/media\/1597"}],"wp:attachment":[{"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/media?parent=3221"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/categories?post=3221"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/xopero.com\/blog\/wp-json\/wp\/v2\/tags?post=3221"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Obecnie szacuje si\u0119, \u017ce zainfekowanych jest ju\u017c 13 500 maszyn – a liczba ta stale ro\u015bnie. Po\u0142owa urz\u0105dze\u0144 znajduje si\u0119 w Hongkongu, Korei Po\u0142udniowej i na Tajwanie. Inne zainfekowane systemy znajduj\u0105 si\u0119 na terytorium Rosji, Brazylii, w Stanach Zjednoczonych, Szwecji i Chinach. Botnet nie ma jeszcze jasno okre\u015blonej funkcjonalno\u015bci, jednak daje swoim operatorom backdoora do ka\u017cdego z urz\u0105dze\u0144, dzi\u0119ki czemu mog\u0105 one p\u00f3\u017aniej zosta\u0107 wykorzystane do kopania kryptowalut, czy przeprowadzenia atak\u00f3w DDoS.<\/p>\n\n\n\n
Jak unikn\u0105\u0107 stania si\u0119 ofiar\u0105. <\/strong>Aby unikn\u0105\u0107 infekcji, specjali\u015bci doradzaj\u0105 aby prawid\u0142owo skonfigurowa\u0107 dost\u0119p SSH na wszystkich urz\u0105dzeniach, a tak\u017ce si\u0119gni\u0119cie po narz\u0119dzia, kt\u00f3re umo\u017cliwi\u0105 monitorowanie kontroli dost\u0119pu. Jest to najszybsza droga do wyeliminowania wszelkich potencjalnych b\u0142\u0119d\u00f3w w ich konfiguracji.<\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Cho\u0107 min\u0119\u0142o prawie osiem miesi\u0119cy od kiedy Microsoft wyda\u0142 aktualizacj\u0119 luki CVE-2020-0688, podatnych wci\u0105\u017c pozostaje ponad 60% serwer\u00f3w Microsoft Exchange. Jej wykorzystanie umo\u017cliwia uwierzytelnionym atakuj\u0105cym zdalne wykonanie kodu w systemie ofiary z poziomu sieci lokalnej lub Internetu za pomoc\u0105 danych logowania do konta e-mail. <\/p>\n\n\n\n Niebezpiecze\u0144stwo w skr\u00f3cie.<\/strong> B\u0142\u0105d znajduje si\u0119 w panelu sterowania Exchange – serwera poczty i kalendarza firmy Microsoft. Wynika z tego, \u017ce serwer w spos\u00f3b niepoprawny tworzy unikatowe klucze podczas instalacji. Aktualizacja tej luki zosta\u0142a wydana w lutym, a w marcu dwie najwa\u017cniejsze ameryka\u0144skie agencje zajmuj\u0105ce si\u0119 cyberbezpiecze\u0144stwem – CISA i NSA – przestrzega\u0142y administrator\u00f3w przed zaawansowanymi atakami ATP (Advanced Threat Persistance) na nieza\u0142atane serwery. ATP to d\u0142ugotrwa\u0142e, ukryte dzia\u0142ania korzystaj\u0105ce z wielu wektor\u00f3w i narz\u0119dzi do omini\u0119cia system\u00f3w zabezpiecze\u0144. <\/p>\n\n\n\n Nowe dane telemetryczne wykaza\u0142y, \u017ce spo\u015br\u00f3d 433464 zaobserwowanych serwer\u00f3w Exchange (2010, 2013, 2016 i 2019) po\u0142\u0105czonych z Internetem co najmniej 61 procent jest nadal podatnych na usterk\u0119. <\/p>\n\n\n\n Przezorny zawsze ubezpieczony<\/strong>. Eksperci zalecaj\u0105 ustalenie, czy Exchange zosta\u0142 za\u0142atany oraz zainstalowanie aktualizacji na ka\u017cdym serwerze z w\u0142\u0105czonym Exchange Control Panel (ECP).<\/p>\n\n\n\n Administratorzy powinni r\u00f3wnie\u017c sprawdzi\u0107, czy kto\u015b pr\u00f3bowa\u0142 ju\u017c wykorzysta\u0107 luk\u0119 w ich \u015brodowisku. Kod exploita, kt\u00f3ry przetestowali specjali\u015bci, pozostawia artefakty w dzienniku zdarze\u0144 systemu Windows i dziennikach IIS. Nara\u017cone konta, kt\u00f3re s\u0105 wykorzystywane w atakach na serwery Exchange mo\u017cna wi\u0119c wykry\u0107 sprawdzaj\u0105c logi pod k\u0105tem string\u00f3w za\u0142adowanych \u0142adunk\u00f3w, w tym tekstu \u201cInvalid viewstate\u201d lub ci\u0105g\u00f3w __VIEWSTATE i __VIEWSTATEGENERATOR dla \u017c\u0105da\u0144 do \u015bcie\u017cki w \/ecp (zwykle \/ecp\/default.aspx)).<\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Tyler Technologies, Inc. jest najwi\u0119kszym dostawc\u0105 oprogramowania dla sektora publicznego w Stanach Zjednoczonych. Jest to zdecydowanie istotny gracz na ameryka\u0144skim rynku, kt\u00f3ry z ca\u0142\u0105 pewno\u015bci\u0105 by\u0142by w stanie zainteresowa\u0107 cyberprzest\u0119pc\u00f3w. Wszystko wskazuje na to, \u017ce tak si\u0119 w\u0142a\u015bnie sta\u0142o. W zesz\u0142ym tygodniu firma poda\u0142a do wiadomo\u015bci, \u017ce pad\u0142a ofiar\u0105 ataku ransomware. Jakby ju\u017c samo to nie by\u0142o niepokoj\u0105ce, zaledwie kilka dni p\u00f3\u017aniej klienci zacz\u0119li zg\u0142asza\u0107 podejrzane logowania do sieci i obecno\u015b\u0107 wcze\u015bniej niewidzianych narz\u0119dzi umo\u017cliwiaj\u0105cych zdalny dost\u0119p.<\/p>\n\n\n\n Atak mia\u0142 miejsce 23 wrze\u015bnia. Cyberprzest\u0119pcy w\u0142amali si\u0119 do sieci firmy i wdro\u017cyli szkodliwe oprogramowanie. Niekt\u00f3rzy specjali\u015bci spekuluj\u0105, \u017ce firma zosta\u0142a zainfekowana przez RansomExx, oprogramowaniem typu human-operated ransomware. Oznacza\u0142oby to, \u017ce atakuj\u0105cy r\u0119cznie zainfekowali systemy po uzyskaniu dost\u0119pu do docelowej sieci. W tym wszystkim jest jedna dobra informacja. RansomEXX nie wykrada danych przed zaszyfrowaniem zasob\u00f3w.<\/p>\n\n\n\n Pocz\u0105tkowo firma sta\u0142a na stanowisku, \u017ce incydent ograniczy\u0142 si\u0119 do wewn\u0119trznej sieci firmowej i system\u00f3w telefonicznych. Innym s\u0142owem, nie mia\u0142 on wp\u0142ywu na infrastruktur\u0119 chmurow\u0105 i dane klient\u00f3w. Jednak g\u0142\u0119bsza analiza ujawni\u0142a, \u017ce napastnicy mieli znacznie mroczniejsze zamiary. Kilku klient\u00f3w – po wykryciu pewnych podejrzanych akcji – zosta\u0142o zmuszonych do zresetowania has\u0142a jako \u015brodka zapobiegawczego.<\/p>\n\n\n\n Co si\u0119 tam w\u0142a\u015bciwie wydarzy\u0142o? <\/strong>Niekt\u00f3rzy z klient\u00f3w firmy natrafili na klienta Bomgar, zainstalowanego na serwerach. Mo\u017ce to sugerowa\u0107, \u017ce atakuj\u0105cy mogli jednak uzyska\u0107 has\u0142a dost\u0119pu do infrastruktury cloudowej Tyler Technologies. T\u0142umaczy\u0142oby to dalsze ataki na infrastruktury klient\u00f3w firmy.<\/p>\n\n\n\n Czy problem nie jest jednak du\u017co wi\u0119kszy? <\/strong>Rozwi\u0105zania firmy Tyler Technologies b\u0119d\u0105 s\u0142u\u017cy\u0107 do prezentowania wynik\u00f3w najbli\u017cszych wybor\u00f3w w USA. Ameryka\u0144skie agencje wywiadowcze ostrzeg\u0142y ju\u017c, \u017ce zagraniczne rz\u0105dy mog\u0105 pr\u00f3bowa\u0107 zasia\u0107 niepok\u00f3j (i wp\u0142yn\u0105\u0107 po\u015brednio na wybory) zmieniaj\u0105c dane publikowane przez takie serwisy. Zdecydowanie jest to du\u017co prostsze, ni\u017c fa\u0142szowanie samych wynik\u00f3w. Pami\u0119tajmy, \u017ce dezinformacja to tak\u017ce manipulacja…<\/p>\n\n\n\n \u0179r\u00f3d\u0142o<\/a><\/p>\n\n\n\n Grupa APT, znana jako TA2552 u\u017cywa OAuth2 i innych metod autoryzacji opartych na tokenach aby uzyska\u0107 dost\u0119p do kont Office 365 i wykrada\u0107 dane. <\/p>\n\n\n\n OAuth to otwarty protok\u00f3\u0142 pozwalaj\u0105cy na budowanie bezpiecznych mechanizm\u00f3w autoryzacyjnych i umo\u017cliwiaj\u0105cy logowanie si\u0119 do us\u0142ug bez podawania has\u0142a. Najcz\u0119\u015bciej wykorzystuje si\u0119 tu aplikacje mobilne, status zalogowania w innej zaufanej us\u0142udze lub witrynie internetowej. Najbardziej powszechnym przyk\u0142adem s\u0105 opcje \u201cZaloguj si\u0119 przez Google\u201d lub \u201cZaloguj si\u0119 za pomoc\u0105 Facebook\u201d <\/p>\n\n\n\n Wed\u0142ug specjalist\u00f3w z Proofpoint ofiary najnowszego ataku otrzymuj\u0105 dobrze spreparowane przyn\u0119ty z pro\u015bb\u0105 o klikni\u0119cie \u0142\u0105cza, kt\u00f3re prowadzi ich do legalnej strony Microsoft zawieraj\u0105cej zgody dla aplikacji innych firm. Po zalogowaniu si\u0119 na konto Office 365 u\u017cytkownik jest proszony o przyznanie uprawnie\u0144 tylko do odczytu dla aplikacji przest\u0119pc\u00f3w, kt\u00f3ra udaje prawdziw\u0105 apk\u0119 znanej firmy trzeciej. Domeny, kt\u00f3re przechwytuj\u0105 tokeny OAuth, s\u0105 cz\u0119sto rejestrowane przez Namecheap i hostowane w Cloudflare. <\/p>\n\n\n\n W przypadku tej kampanii z\u0142o\u015bliwe aplikacje prosz\u0105 o dost\u0119p do kontakt\u00f3w, profilu i poczty u\u017cytkownika w trybie tylko do odczytu. Wszystko to jednak mo\u017ce zosta\u0107 wykorzystane do przeszukiwania kont, cichej kradzie\u017cy danych, a nawet przechwytywania wiadomo\u015bci resetuj\u0105cych has\u0142o z innych kont, np. bankowo\u015bci internetowej. Ponadto, taki rekonesans konta O365 dostarcza cennych informacji, kt\u00f3re mo\u017cna nast\u0119pnie wykorzysta\u0107 w atakach typu BEC czy przej\u0119ciu kont.<\/p>\n\n\n\n Cho\u0107 wiadomo\u015bci otrzyma\u0142y organizacje na ca\u0142ym \u015bwiecie, specjali\u015bci s\u0105 zgodni – grupa TA2552 upodoba\u0142a sobie hiszpa\u0144skoj\u0119zycznych u\u017cytkownik\u00f3w. W kampaniach regularnie wykorzystuje motywy rz\u0105dowe i instytucje podatkowe, a ostatnio zacz\u0119\u0142a podszywa\u0107 si\u0119 pod popularne marki konsumenckie, w tym Netflix i Amazon Prime Mexico. <\/p>\n\n\n Od godz. 21:45 czasu UTC w poniedzia\u0142ek do wtorku rano niezalogowani u\u017cytkownicy przez kilka godzin nie mogli korzysta\u0107 z wielu us\u0142ug w chmurze – m.in. Office 365, Azure, Outlook.com, Teams i innych. Powodem by\u0142y b\u0142\u0119dy w autoryzacji Azure Active Directory (AAD) authentication, kt\u00f3ry mia\u0142 wp\u0142yw na chmury Azure Public i Azure Government. Pocz\u0105tkowo problem dotyczy\u0142 u\u017cytkownik\u00f3w w obu Amerykach i nasila\u0142 si\u0119 z powodu obci\u0105\u017cenia, ale wkr\u00f3tce dotkn\u0105\u0142 te\u017c klient\u00f3w z innych region\u00f3w. Ze swoich us\u0142ug mogli korzysta\u0107 tylko ci, kt\u00f3rzy byli zalogowani do us\u0142ug przed wyst\u0105pieniem problemu. <\/p>\n\n\n\n Prawdopodobnie przyczyn\u0105 niedost\u0119pno\u015bci us\u0142ug by\u0142o po\u0142\u0105czenie trzech niezale\u017cnych problem\u00f3w. Defektu kodu w aktualizacji us\u0142ugi, b\u0142\u0119du narz\u0119dzia w systemie bezpiecznego wdra\u017cania us\u0142ugi Azure AD i defektu kodu w mechanizmie wycofywania us\u0142ugi Azure AD.<\/p>\n\n\n\n Okazuje si\u0119 wi\u0119c, \u017ce nawet takim podmiotom jak Microsoft zdarzaj\u0105 si\u0119 przerwy w dost\u0119pno\u015bci. To jednak wpisane jest w ramach odpowiedzialno\u015bci Microsoftu i shared responsibility model. Warto zauwa\u017cy\u0107 jednak, \u017ce w przypadku informacji przechowywanych w ramach Office 365 sprawa nie wygl\u0105da tak prosto. To u\u017cytkownik odpowiada za bezpiecze\u0144stwo danych. Dlatego powinien posiada\u0107 rozwi\u0105zanie do backupu pakietu Microsoft 365, kt\u00f3re ju\u017c wkr\u00f3tce zawita w ofercie Xopero. <\/p>\n\n\n\n \u0179r\u00f3d\u0142a: 1<\/a> | 2<\/a><\/p>\n","protected":false},"excerpt":{"rendered":" Grupa cyberprzest\u0119pc\u00f3w odpowiedzialna za malware InterPlanetary Storm wypu\u015bci\u0142a niedawno jego najnowszy wariant. Z\u0142o\u015bliwe oprogramowanie tworzy aktualnie botnet, kt\u00f3ry ju\u017c teraz sk\u0142ada si\u0119 z oko\u0142o 13 500 zainfekowanych maszyn z ca\u0142ego \u015bwiata. Wi\u0119cej o szkodliwym oprogramowaniu IPS i trwaj\u0105cej kampanii cyberprzest\u0119pczej przeczytacie poni\u017cej.<\/p>\n","protected":false},"author":1,"featured_media":1597,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[436],"tags":[],"class_list":["post-3221","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersec-news-pl","post--single"],"yoast_head":"\n2. 61% serwer\u00f3w Microsoft Exchange nadal podatnych na zdalne wykonanie kodu<\/strong><\/h2>\n\n\n
3. Atak ransomware na Tyler Technologies – nast\u0119pstwa, naruszenia sieci i nadchodz\u0105ce wybory w USA<\/strong><\/h2>\n\n\n
4. Microsoft 365: Phishing z OAuth2 w tle \/ Niespodziewana przerwa w dost\u0119pno\u015bci us\u0142ug<\/strong><\/h2>\n\n\n
To nie koniec problem\u00f3w Microsoft 365 w minionym tygodniu<\/strong><\/h5>\n\n\n
<\/a><\/figure><\/div>\n\n\n\n