infosec Archivi - Webbare

GitHub Enterprise Server 3.13.3 risolve la vulnerabilità critica di SAML

admin — Wed, 28 Aug 2024 13:01:39 +0000

GitHub ha rilasciato Enterprise Server 3.13.3, che risolve diverse vulnerabilità di sicurezza, tra cui una falla critica che colpisce le istanze che utilizzano SAML single sign-on.

Oltre alle patch di sicurezza, l’aggiornamento fornisce correzioni di bug, miglioramenti di funzionalità minori e modifiche alla piattaforma.

Il problema più urgente affrontato da questo aggiornamento è una vulnerabilità critica (CVE-2024-6800) che colpisce le istanze che utilizzano SAML SSO con specifici Identity Provider (IdP).

La CVE-2024-6800 è stata scoperta attraverso il programma Bug Bounty di GitHub e potrebbe consentire a un utente malintenzionato di falsificare una risposta SAML, garantendo potenzialmente l’accesso agli account utente con privilegi di amministratore del sito.

Questo rilascio risolve anche due vulnerabilità di media gravità:

CVE-2024-7711: questa vulnerabilità consentiva agli aggressori di modificare il titolo, gli assegnatari e le etichette dei problemi nei repository pubblici. I repository privati e interni non sono stati toccati.
CVE-2024-6337: gli aggressori potevano sfruttare questa vulnerabilità per esporre il contenuto dei problemi dai repository privati utilizzando un’app GitHub con specifiche autorizzazioni di lettura e scrittura. È importante notare che questo exploit richiede un token di accesso dell’utente e non ha un impatto sui token di accesso dell’installazione.

Oltre alle correzioni di sicurezza, la versione 3.13.3 apporta diverse modifiche degne di nota:

Maggiore visibilità: Gli utenti ottengono una maggiore visibilità sullo stato di gist, reti e wiki con l’aggiunta di informazioni sullo stato delle app all’interno dell’output di spokesctl info. Inoltre, il comando spokesctl check può ora diagnosticare e spesso correggere le reti di repository vuote.
Stabilità e prestazioni migliorate: Diverse correzioni di bug riguardano problemi legati all’hotpatching, agli aggiornamenti di configurazione e alle migrazioni di database, con conseguente miglioramento della stabilità del sistema.
Miglioramenti dell’usabilità: Gli amministratori beneficiano di un controllo più granulare sulla dimensione massima degli oggetti all’interno dei repository. Gli utenti possono ora personalizzare le preferenze di stile della sottolineatura dei link nelle impostazioni di accessibilità.

Se da un lato questo aggiornamento migliora la sicurezza e la stabilità, dall’altro GitHub riconosce diversi problemi noti, descritti nelle note di rilascio ufficiali. Questi includono potenziali errori durante l’esecuzione della configurazione, problemi con la migrazione dei dati del registro di audit e un maggiore utilizzo della memoria.

L'articolo GitHub Enterprise Server 3.13.3 risolve la vulnerabilità critica di SAML proviene da Webbare.

Immagini malevoli nell’ultimo attacco alla supply chain

admin — Wed, 17 Jul 2024 07:29:48 +0000

Una serie di pacchetti dannosi, camuffati da software legittimi, sono stati scoperti nel registro npm dalla società di cybersicurezza Phylum.

I pacchetti – identificati il 13 luglio 2024 – contenevano funzionalità nascoste di comando e controllo incorporate in file immagine, eseguite durante il processo di installazione.

I ricercatori di Phylum hanno scoperto due pacchetti in questa campagna, uno dei quali denominato “img-aws-s3-object-multipart-copy” imitava una libreria GitHub legittima. La versione dannosa includeva modifiche per eseguire un nuovo script chiamato “loadformat.js” al momento dell’installazione.

Il file loadformat.js, pur sembrando innocuo a prima vista, conteneva un codice sofisticato progettato per estrarre ed eseguire payload nascosti dai file immagine forniti con il pacchetto. L’analisi di Phylum ha rivelato che una di queste immagini, camuffata da logo Microsoft, conteneva codice dannoso in grado di stabilire una connessione con un server di comando e controllo.

“Nascondere i payload nelle immagini non è un concetto nuovo”, afferma Phylum nel suo rapporto. “Tuttavia, quando un aggressore cerca di nascondere i propri payload in modo così profondo, possiamo solo supporre che sia sofisticato e che operi con un chiaro intento malevolo”.

Il payload estratto comprendeva la funzionalità di registrazione delle macchine infette con il server dell’aggressore, il recupero e l’esecuzione periodica di comandi e la trasmissione dei risultati all’aggressore. Il server di comando e controllo è stato identificato come operante dall’indirizzo IP 85.208.108.29.

Particolarmente preoccupante è il periodo di tempo in cui questi pacchetti dannosi sono rimasti disponibili sul registro di npm.

“I pacchetti dannosi sono rimasti disponibili su npm per quasi due giorni”, ha osservato Phylum. “Questo dato è preoccupante perché implica che la maggior parte dei sistemi non è in grado di rilevare e segnalare tempestivamente questi pacchetti, lasciando gli sviluppatori vulnerabili agli attacchi per periodi di tempo più lunghi”.

Questo incidente mette in evidenza la crescente sofisticazione degli attacchi alla catena di approvvigionamento che prendono di mira gli ecosistemi open-source. Phylum sottolinea la necessità critica per gli sviluppatori e le organizzazioni di sicurezza di esercitare estrema cautela quando incorporano librerie open-source nei loro progetti.

Gli sviluppatori sono invitati ad aumentare la vigilanza e a migliorare l’uso delle capacità di rilevamento per combattere questi attacchi sempre più sofisticati alle catene di fornitura del software.

L'articolo Immagini malevoli nell’ultimo attacco alla supply chain proviene da Webbare.

Una vulnerabilità critica di OpenSSH minaccia milioni di sistemi Linux

admin — Wed, 10 Jul 2024 08:48:40 +0000

La Threat Research Unit (TRU) di Qualys ha scoperto una grave vulnerabilità nel server OpenSSH (sshd), che potenzialmente può interessare oltre 14 milioni di sistemi Linux in tutto il mondo. La falla, denominata CVE-2024-6387, consente l’esecuzione di codice non autenticato da remoto (RCE) con privilegi di root sui sistemi Linux basati su glibc.

Questa vulnerabilità, derivante da una race condition del gestore del segnale, colpisce sshd nella sua configurazione predefinita. I ricercatori di Qualys hanno identificato circa 700.000 istanze esterne vulnerabili rivolte a Internet tra i loro clienti globali, che rappresentano il 31% di tutte le istanze OpenSSH rivolte a Internet.

Ray Kelly, Fellow del Software Integrity Group di Synopsys, ha dichiarato: “Questa vulnerabilità è la più grave che ci sia. La tripletta di esecuzione di codice da remoto, accesso root e una distribuzione diffusa tra i server Linux ne fanno un bersaglio molto ghiotto per gli attori delle minacce”.

La scoperta è particolarmente allarmante perché rappresenta una regressione di una vulnerabilità precedentemente patchata (CVE-2006-5051) del 2006. Questa regressione è stata inavvertitamente introdotta nell’ottobre 2020 con OpenSSH 8.5p1, evidenziando l’importanza fondamentale di un accurato test di regressione nello sviluppo del software.

Le versioni di OpenSSH interessate includono quelle precedenti alla 4.4p1 (a meno che non siano state applicate le patch per CVE-2006-5051 e CVE-2008-4109) e le versioni dalla 8.5p1 fino alla 9.8p1, esclusa. In particolare, i sistemi OpenBSD non sono interessati da questa vulnerabilità grazie a un meccanismo di sicurezza sviluppato nel 2001.

L’impatto potenziale di questa vulnerabilità è grave. Se sfruttata, potrebbe portare alla completa compromissione del sistema, consentendo agli aggressori di eseguire codice arbitrario con privilegi di root. Ciò potrebbe portare all’installazione di malware, alla manipolazione dei dati e alla creazione di backdoor persistenti. Inoltre, i sistemi compromessi potrebbero essere utilizzati come trampolino di lancio per la propagazione della rete, aggirando potenzialmente i meccanismi di sicurezza critici.

Sebbene la vulnerabilità sia difficile da sfruttare a causa della sua natura di condizione di gara remota, i progressi nel deep learning potrebbero aumentare significativamente il tasso di successo degli attacchi in futuro.

Per ridurre i rischi, si consiglia alle aziende di:

Implementare una gestione immediata delle patch
Migliorare il controllo degli accessi per SSH
Utilizzare sistemi di segmentazione della rete e di rilevamento delle intrusioni.

OpenSSH, una suite di utilità di rete sicure basate sul protocollo SSH, è fondamentale per la comunicazione sicura su reti non sicure. È ampiamente utilizzato negli ambienti aziendali per la gestione di server remoti, il trasferimento sicuro di file e varie pratiche DevOps.

Nonostante questa battuta d’arresto, OpenSSH mantiene una solida reputazione in termini di sicurezza. Tuttavia, questo incidente serve a ricordare le continue difficoltà nel mantenere la sicurezza del software, anche per strumenti consolidati e ampiamente utilizzati.

Gli sviluppatori e gli amministratori di sistema sono invitati a rivedere le loro implementazioni di OpenSSH e ad applicare tempestivamente gli aggiornamenti necessari.

“Sebbene sia disponibile una patch per OpenSSH, la sua distribuzione su tutti i sistemi interessati – che potrebbe avere un impatto su 14 milioni di istanze OpenSSH – rappresenta una sfida significativa. Questa vulnerabilità potrebbe persistere a lungo, ricordando la vulnerabilità Heartbleed di OpenSSL del 2014”, spiega Kelly.

Con l’evolversi della situazione, la comunità della sicurezza informatica osserverà con attenzione la rapidità con cui questa vulnerabilità verrà affrontata e le implicazioni a lungo termine che potrebbe avere per OpenSSH e per altri software critici per la sicurezza.

L'articolo Una vulnerabilità critica di OpenSSH minaccia milioni di sistemi Linux proviene da Webbare.

I difetti di CocoaPods evidenziano i crescenti rischi della catena di approvvigionamento

admin — Wed, 03 Jul 2024 12:03:53 +0000

I ricercatori di sicurezza di E.V.A Information Security hanno scoperto diverse vulnerabilità critiche in CocoaPods, un popolare gestore di dipendenze per progetti Swift e Objective-C. Queste vulnerabilità espongono potenzialmente milioni di dispositivi Apple ad attacchi alla catena di distribuzione, evidenziando i crescenti rischi associati alle dipendenze del software open-source.

CocoaPods, utilizzato in oltre tre milioni di app mobili, svolge un ruolo cruciale nell’ecosistema di sviluppo di iOS e macOS. Le falle scoperte potrebbero consentire agli aggressori di rivendicare la proprietà di pacchetti orfani, di eseguire codice arbitrario sul server “Trunk” di CocoaPods e di effettuare acquisizioni di account senza clic.

Dettagli della vulnerabilità:

Proprietà non autorizzata di pod orfani (CVE-2024-38368): Gli aggressori potrebbero rivendicare la proprietà di uno qualsiasi dei 1.866 pod orfani, iniettando potenzialmente codice dannoso in pacchetti ampiamente utilizzati.
Esecuzione di codice remoto sul server “Trunk” (CVE-2024-38366): Un difetto nel processo di verifica delle e-mail potrebbe consentire agli aggressori di eseguire codice arbitrario sul server che gestisce la distribuzione dei pacchetti.
Acquisizione dell’account senza clic (CVE-2024-38367): Sfruttando l’intestazione X-Forwarded-Host e gli strumenti di sicurezza delle e-mail, gli aggressori potrebbero ottenere un accesso non autorizzato agli account degli sviluppatori.

Le vulnerabilità interessano una parte significativa dell’ecosistema delle applicazioni Swift e Objective-C, con un potenziale impatto su migliaia o milioni di app su iOS, macOS e altre piattaforme Apple. Aziende importanti come Google, GitHub, Amazon e Dropbox gestiscono progetti che potrebbero essere a rischio a causa di queste falle.

“Molti di questi Pod non reclamati sono ancora ampiamente utilizzati. Abbiamo trovato menzioni di Pod orfani nella documentazione o nei termini di servizio delle applicazioni fornite da Meta (Facebook, WhatsApp), Apple (Safari, AppleTV, Xcode) e Microsoft (Teams); così come in TikTok, Snapchat, Amazon, LinkedIn, Netflix, Okta, Yahoo, Zynga e molti altri”, spiegano i ricercatori di E.V.A Information Security.

Le potenziali conseguenze di queste vulnerabilità sono gravi. I malintenzionati potrebbero potenzialmente accedere alle informazioni sensibili degli utenti, compresi i dati delle carte di credito e le cartelle cliniche, causando attacchi ransomware, frodi o spionaggio aziendale.

Si consiglia agli sviluppatori e alle organizzazioni che utilizzano CocoaPods, soprattutto prima di ottobre 2023, di prendere provvedimenti immediati:

Esaminare gli elenchi delle dipendenze e convalidare le checksum delle librerie di terze parti.
Eseguire scansioni di sicurezza per rilevare codice dannoso o modifiche sospette.
Mantenere il software aggiornato e limitare l’uso di pacchetti orfani o non mantenuti.
Implementare revisioni di sicurezza approfondite del codice di terze parti.
Verificare che non siano in uso Pod orfani.
Assicurarsi che le dipendenze di terze parti siano mantenute attivamente con una chiara proprietà.

Il team di CocoaPods è stato informato di queste vulnerabilità e ha provveduto a correggerle. Tuttavia, l’incidente serve a ricordare i rischi associati all’affidarsi pesantemente alle dipendenze open-source e l’importanza di mantenere la vigilanza sulla sicurezza della catena di approvvigionamento del software.

Questa scoperta sottolinea la necessità per gli sviluppatori di rimanere consapevoli delle potenziali conseguenze dell’integrazione di codice di terze parti nelle loro applicazioni. Poiché le catene di fornitura del software diventano sempre più complesse, la comprensione della composizione del codice delle applicazioni e la garanzia della validità delle dipendenze open-source sono fondamentali.

Sebbene non vi siano prove dirette di sfruttamento di queste vulnerabilità, il potenziale impatto su milioni di dispositivi Apple in tutto il mondo richiede un approccio proattivo alla sicurezza. Gli sviluppatori sono invitati a implementare le strategie di mitigazione consigliate e a tenersi informati sullo stato di sicurezza dei loro strumenti di gestione delle dipendenze.

L'articolo I difetti di CocoaPods evidenziano i crescenti rischi della catena di approvvigionamento proviene da Webbare.

Gli hacker sfruttano sempre più spesso i packer per diffondere il malware

admin — Wed, 12 Jun 2024 13:16:08 +0000

I ricercatori di Cybersecurity di Check Point hanno scoperto una tendenza crescente degli hacker a sfruttare strumenti commerciali di imballaggio come BoxedApp per nascondere e distribuire vari ceppi di malware. Nell’ultimo anno è stato osservato un aumento significativo dell’abuso dei prodotti BoxedApp, in particolare negli attacchi rivolti a istituzioni finanziarie e organizzazioni governative.

BoxedApp offre una serie di packer commerciali, tra cui BoxedApp Packer e BxILMerge, che forniscono funzionalità avanzate come l’archiviazione virtuale (file system virtuale, registro virtuale), i processi virtuali e un sistema di strumentazione universale (aggancio API WIN/NT). Sebbene questi strumenti siano stati progettati per scopi legittimi, gli attori delle minacce li hanno sfruttati per confezionare payload dannosi, eludere il rilevamento e rendere più difficili le attività di analisi.

Secondo le indagini dei ricercatori, i principali prodotti BoxedApp abusati sono BoxedApp Packer e BxILMerge, entrambi costruiti sopra l’SDK di BoxedApp. Questi prodotti garantiscono agli attori delle minacce l’accesso alle funzionalità più avanzate dell’SDK, consentendo loro di creare packer personalizzati e unici che sfruttano funzionalità all’avanguardia pur rimanendo abbastanza diversi da evitare il rilevamento statico.

I vantaggi derivanti dall’utilizzo delle funzionalità avanzate ed esclusive offerte da BoxedApp SDK superano gli svantaggi derivanti dall’utilizzo di un packer commerciale noto. Tra le caratteristiche e le capacità più importanti vi sono il File System Virtuale, il Registro Virtuale, i Processi Virtuali (PE Injection), l’SDK per l’aggancio delle API WIN/NT, il packing generale (distruzione delle importazioni PE originali, compressione, ecc.), la produzione di bundle di singoli file e la garanzia che tutto l’I/O verso lo storage virtuale rimanga in memoria senza scaricare i file su disco.

Sebbene i prodotti BoxedApp siano disponibili da diversi anni, il loro abuso per scopi dannosi è aumentato in modo significativo nell’ultimo anno, senza che finora sia stato riconosciuto pubblicamente il loro legame con BoxedApp. Sebbene l’uso di packer commerciali abbia sia pro che contro per gli aggressori, le capacità avanzate che forniscono sembrano superare i potenziali svantaggi.

I vantaggi dell’utilizzo dei prodotti BoxedApp per la distribuzione di malware includono:

Prodotti affidabili e pronti all’uso con funzionalità avanzate
SDK BoxedApp disponibile per la creazione di packer personalizzati e diversificati
Sistema di archiviazione virtuale proprietario (Virtual File System, Virtual Registry)
Creazione di processi virtuali per l’iniezione di PE
SDK semplice per agganciare le API WIN/NT
Impacchettamento generale (distrugge le importazioni di PE originali, esegue la compressione, ecc.)
Produzione di bundle a file singolo con tutte le dipendenze in Virtual Storage
Tutto l’I/O verso il Virtual Storage rimane in memoria, evitando cadute di file su disco
Difficoltà nel distinguere le applicazioni impacchettate regolari da quelle dannose (alto tasso di falsi positivi).

I contro includono:

Facile rilevamento statico dei prodotti BoxedApp originali utilizzati per il confezionamento
Rilevamento statico generico di alcune funzionalità dell’SDK comunemente utilizzate per scopi dannosi (ad esempio, aggancio di API WIN/NT, iniezione di processi virtuali – PE).
Alto tasso di rilevamento di falsi positivi per le applicazioni non dannose confezionate da BoxedApp

Nonostante l’elevato tasso di falsi positivi, che potrebbe causare discrepanze e innescare rilevamenti anche per applicazioni non dannose, Windows Defender integrato e altre soluzioni antivirus di alto livello non sono in genere interessati.

I ricercatori hanno analizzato circa 1.200 campioni di BoxedApp inviati a VirusTotal negli ultimi tre anni ed elaborati con successo dalle sandbox VT. È allarmante notare che il 25% di questi campioni è stato rilevato come dannoso in base al loro comportamento. La cronologia di invio a VirusTotal di questi campioni dannosi mostra una tendenza crescente all’abuso di BoxedApp per la distribuzione di malware.

Tra le famiglie di malware più comunemente distribuite vi sono RAT (Trojan ad accesso remoto) come QuasarRAT, NanoCore, NjRAT, Neshta, AsyncRAT e LodaRAT, nonché stealers come RevengeRAT, AgentTesla, RedLine e Remcos. Inoltre, sono stati rilevati casi di ransomware come LockBit.

I ricercatori hanno condotto un’analisi approfondita degli interni di BoxedApp, concentrandosi sulle strutture binarie risultanti confezionate da diversi prodotti. Questa analisi ha fornito spunti per disimballare il Virtual Storage e ricostruire i principali binari dannosi. Sono state inoltre fornite le firme Yara per aiutare a rilevare staticamente il packer in uso, distinguendo al contempo il prodotto specifico utilizzato.

L'articolo Gli hacker sfruttano sempre più spesso i packer per diffondere il malware proviene da Webbare.

Phylum scopre un malware mirato camuffato in un pacchetto Python

admin — Wed, 22 May 2024 11:58:05 +0000

Gli esperti di cybersicurezza di Phylum hanno individuato un payload dannoso incorporato in un popolare pacchetto Python sul repository PyPI. Il pacchetto, denominato requests-darwin-lite, è una variante non autorizzata della libreria requests, ampiamente utilizzata.

Il pacchetto requests-darwin-lite è stato abilmente progettato per emulare la sua controparte legittima, ma includeva un binario Go nascosto in un file immagine sovradimensionato che fingeva di essere un semplice logo. Questo file – un PNG etichettato come immagine della barra laterale – pesava insolitamente circa 17 MB, in netto contrasto con le dimensioni normali di circa 300 kB della versione autentica.

Durante l’installazione del pacchetto, se l’ambiente di installazione era macOS, veniva attivata una classe di comando specializzata “PyInstall”. Questa classe esegue un comando codificato in base64 che estrae l’UUID (Universal Unique Identifier) del sistema.

Il codice verificava la presenza di un UUID specifico, indicando un attacco altamente mirato. Se l’UUID non corrispondeva, l’installazione proseguiva senza distribuire il malware. Ciò suggerisce che gli aggressori stavano testando la distribuzione o avevano in mente un obiettivo molto specifico.

Quando le condizioni erano soddisfatte, il file PNG sovradimensionato veniva elaborato per estrarre il binario nascosto, che veniva poi reso eseguibile ed eseguito in background, dando di fatto agli aggressori il controllo del computer. L’analisi dei file ha identificato il binario come un componente di OSX/Silver, un framework C2 (comando e controllo) simile a Cobalt Strike, ma meno conosciuto e quindi con minori probabilità di essere rilevato.

Phylum ha notato che le versioni precedenti di questo pacchetto includevano il gancio di installazione dannoso e il binario impacchettato. Tuttavia, le versioni successive – identificate come 2.28.0 e 2.28.1 – hanno ridotto queste caratteristiche aggressive; la prima non esegue più il binario al momento dell’installazione e la seconda è del tutto priva dei componenti dannosi.

La scoperta ha provocato una segnalazione immediata a PyPI, che ha portato alla rimozione di tutte le versioni del pacchetto dal repository. Questa sequenza di eventi sottolinea la necessità di vigilare nella comunità open-source, dove la confusione delle dipendenze e gli attacchi mirati stanno diventando sempre più sofisticati.

Questo incidente ci ricorda che gli aggressori continuano ad evolvere i loro metodi per sfruttare gli ecosistemi open-source, sfruttando pacchetti apparentemente innocenti per distribuire malware. È necessario aumentare la consapevolezza e le misure preventive in tutta la comunità tecnologica per salvaguardarsi da questi attacchi.

L'articolo Phylum scopre un malware mirato camuffato in un pacchetto Python proviene da Webbare.

PyPI sospende le registrazioni a causa di un attacco di malware

admin — Wed, 03 Apr 2024 08:18:31 +0000

Il Python Package Index (PyPI) ha sospeso la creazione di nuovi progetti e la registrazione degli utenti per mitigare una campagna di upload di malware in corso. Questa mossa arriva dopo che i ricercatori di sicurezza di Checkmarx hanno scoperto una campagna che coinvolge più pacchetti dannosi legati agli stessi attori della minaccia.

Gli aggressori stanno prendendo di mira le vittime attraverso attacchi di typosquatting, inducendo gli utenti a installare pacchetti Python dannosi attraverso la loro interfaccia a riga di comando. Questo attacco in più fasi mira a rubare portafogli di criptovalute, dati sensibili del browser come cookie e dati delle estensioni e varie credenziali.

Il payload dannoso impiega anche un meccanismo di persistenza per sopravvivere ai riavvii del sistema, garantendo l’accesso continuo alle macchine compromesse.

Pacchetti maligni di typosquatting

Tra il 27 e il 28 marzo 2024, diversi pacchetti Python dannosi sono stati caricati su PyPI, probabilmente utilizzando strumenti di automazione. Questi pacchetti contenevano codice maligno all’interno dei loro file setup.py, consentendo l’esecuzione automatica al momento dell’installazione.

I file setup.py contenevano codice offuscato e crittografato utilizzando il modulo di crittografia Fernet. Al momento dell’installazione, questo codice veniva eseguito, innescando il recupero di un payload aggiuntivo da un server remoto. L’URL del payload è stato costruito dinamicamente aggiungendo il nome del pacchetto come parametro di query.

Una volta decriptato, il payload recuperato ha rivelato un ampio info-stealer progettato per raccogliere informazioni sensibili dal computer della vittima, tra cui portafogli di criptovalute, dati del browser e credenziali.

In risposta alla campagna di malware, PyPI ha temporaneamente sospeso la creazione di nuovi progetti e la registrazione di nuovi utenti. Questa misura mira a mitigare la minaccia in corso mentre l’organizzazione indaga e affronta il problema.

L’elenco completo dei pacchetti scoperti da Checkmarx è disponibile qui.

L'articolo PyPI sospende le registrazioni a causa di un attacco di malware proviene da Webbare.

GitHub, oltre 100.000 repository infetti

admin — Wed, 06 Mar 2024 13:11:34 +0000

Gli sviluppatori si trovano di fronte a una grave minaccia per la sicurezza: oltre 100.000 repository su GitHub sono stati infettati con codice malevolo.

La recrudescenza di una campagna di confusione di repo maligni – rilevata dai ricercatori di sicurezza di Apiiro – ha colpito innumerevoli sviluppatori che utilizzano inconsapevolmente repository che ritengono affidabili ma che in realtà sono compromessi.

Simili agli attacchi di confusione delle dipendenze – che sfruttano i gestori di pacchetti – gli attacchi di confusione dei repository si basano sull’errore umano, inducendo gli sviluppatori a scaricare versioni dannose invece di quelle legittime.

I malintenzionati clonano i repository esistenti, li infettano con il malware, li caricano con nomi identici su GitHub e poi li biforcano automaticamente migliaia di volte, diffondendoli sul web attraverso forum e altri canali.

Una volta che gli sviluppatori utilizzano questi repository infetti, il payload nascosto scompone gli strati di offuscamento, eseguendo codice Python ed eseguibili binari dannosi. Questo codice modificato – spesso una versione di BlackCap-Grabber – raccoglie dati sensibili come le credenziali di accesso e le informazioni del browser, inviandoli al server di comando e controllo degli aggressori.

Mentre GitHub rimuove rapidamente la maggior parte dei repository biforcati, il rilevamento automatico non ne individua molti, permettendo a migliaia di persone di persistere.

Il processo di rimozione, che ha come obiettivo le bombe a forcella, avviene entro poche ore dal caricamento, rendendo difficile documentare la portata dell’attacco. L’enorme volume di repository coinvolti in questa campagna, unito alla loro automazione, rappresenta una sfida significativa per gli sforzi di rilevamento e mitigazione.

Questa campagna dannosa è iniziata nel maggio 2023 con la diffusione di pacchetti dannosi su PyPI e mette in evidenza una tendenza più ampia del malware che prende di mira le catene di fornitura del software. Con l’aumento dell’attenzione sui gestori di pacchetti, gli aggressori stanno spostando la loro attenzione sui gestori del controllo sorgente come GitHub.

L'articolo GitHub, oltre 100.000 repository infetti proviene da Webbare.

Scoperti alcuni Pacchetti Python che utilizzavano il sideloading DLL per aggirare la sicurezza

admin — Wed, 21 Feb 2024 14:12:49 +0000

I ricercatori di ReversingLabs hanno scoperto dei pacchetti Python che utilizzano il sideloading di DLL per aggirare gli strumenti di sicurezza.

Il 10 gennaio 2024, Karlo Zanki, un reverse engineer di ReversingLabs, si è imbattuto in due pacchetti sospetti sul Python Package Index (PyPI). Questi pacchetti, denominati NP6HelperHttptest e NP6HelperHttper, sono risultati utilizzare il sideloading di DLL, una tecnica nota utilizzata da attori malintenzionati per eseguire codice in modo discreto ed eludere il rilevamento da parte degli strumenti di sicurezza.

Questa scoperta sottolinea l’espansione del panorama delle minacce all’interno delle catene di fornitura del software, con attori malintenzionati che sfruttano le vulnerabilità negli ecosistemi open-source. L’incidente evidenzia le sfide che gli sviluppatori devono affrontare per verificare la qualità e l’autenticità dei moduli open-source, in un panorama vasto e in continua evoluzione di codice disponibile.

I pacchetti dannosi, camuffati con nomi molto simili a quelli legittimi, miravano a ingannare gli sviluppatori e a farli incorporare inconsapevolmente nei loro progetti. Questa tattica, nota come typosquatting, è solo uno dei tanti metodi utilizzati dagli aggressori per infiltrarsi nelle catene di fornitura del software legittimo.

Ulteriori indagini hanno rivelato che i pacchetti dannosi hanno preso di mira i pacchetti PyPI esistenti, NP6HelperHttp e NP6HelperConfig, originariamente pubblicati da un utente chiamato NP6. Mentre NP6 è associato a Chapvision, un’azienda di automazione del marketing, l’account PyPI in questione era collegato a un account personale di uno sviluppatore di Chapvision. La scoperta ha spinto Chapvision a confermare la legittimità degli strumenti di aiuto e a rimuovere successivamente i pacchetti dannosi da PyPI.

L’analisi dei pacchetti dannosi ha rivelato un approccio sofisticato, in cui uno script setup.py è stato utilizzato per scaricare sia i file legittimi che quelli dannosi. In particolare, la DLL dannosa – dgdeskband64.dll – è stata creata per sfruttare il sideloading delle DLL, una tecnica comunemente utilizzata dai criminali informatici per caricare codice dannoso eludendo il rilevamento.

Un ulteriore esame ha rivelato una campagna più ampia, con altri campioni che presentano caratteristiche simili. La piattaforma Titanium di ReversingLabs, utilizzando YARA Retro Hunt, ha identificato campioni correlati che indicano uno sforzo coordinato da parte degli attori delle minacce.

Il codice dannoso, incorporato nella DLL, utilizzava un gestore di eccezioni per eseguire shellcode, stabilendo una connessione con un server esterno per scaricare ed eseguire payload. L’indagine ha inoltre portato alla luce tracce di Cobalt Strike Beacon, uno strumento di sicurezza del Red Team riutilizzato dagli attori delle minacce per attività dannose.

Questa scoperta sottolinea la crescente sofisticazione degli attori maligni che sfruttano le infrastrutture open-source per le loro campagne. Evidenzia l’urgente necessità per gli sviluppatori e le organizzazioni di fortificare le loro catene di fornitura del software contro tali attacchi, sottolineando le misure proattive per garantire l’integrità e la sicurezza dei loro repository di codice.

L'articolo Scoperti alcuni Pacchetti Python che utilizzavano il sideloading DLL per aggirare la sicurezza proviene da Webbare.

GitHub cambia le credenziali in seguito alla scoperta di una vulnerabilità

admin — Wed, 24 Jan 2024 13:09:19 +0000

GitHub ha ruotato le chiavi di crittografia in seguito alla scoperta di una vulnerabilità che avrebbe potuto consentire agli attori delle minacce di rubare le credenziali, ha rivelato martedì l’azienda.

L’azienda di proprietà di Microsoft ha dichiarato di essere venuta a conoscenza della falla di sicurezza ad alta gravità, classificata come CVE-2024-0200, il 26 dicembre 2023. Dopo aver indagato sul problema e verificato che non c’erano prove che fosse stato sfruttato in attacchi, GitHub si è mossa rapidamente per ruotare le chiavi potenzialmente esposte lo stesso giorno come misura precauzionale.

Le chiavi ruotate includono la chiave di firma dei commit di GitHub e le chiavi di crittografia dei clienti utilizzate per servizi sensibili come GitHub Actions, GitHub Codespaces e Dependabot. Gli utenti che fanno affidamento su queste chiavi dovranno importare quelle appena generate per evitare potenziali interruzioni.

Sebbene sia preoccupante, la vulnerabilità è mitigata dalla necessità per un attaccante di avere un account utente autenticato con privilegi di proprietario dell’organizzazione connesso all’istanza di GitHub Enterprise Server presa di mira, secondo Jacob DePriest, responsabile della sicurezza di GitHub.

Finora non ci sono prove che la falla sia stata sfruttata al di fuori dei test interni.

GitHub ha dichiarato che la “riflessione non sicura” in GitHub Enterprise Server potrebbe portare all’iniezione di riflessione e, in alcune circostanze, all’esecuzione di codice da remoto. Il problema è stato risolto nelle versioni 3.8.13, 3.9.8, 3.10.5 e 3.11.3 recentemente rilasciate.

Oltre alla rotazione delle chiavi, questa settimana GitHub ha affrontato un’altra vulnerabilità ad alta gravità che avrebbe potuto consentire l’elevazione dei privilegi. Tracciata come CVE-2024-0507, la falla di command injection riguardava solo gli utenti di GitHub Enterprise Server Management Console con privilegi di ruolo di editor.

L'articolo GitHub cambia le credenziali in seguito alla scoperta di una vulnerabilità proviene da Webbare.