THN Cybersecurity-samenvatting: belangrijkste bedreigingen, tools en nieuws (21 oktober

Cybersecuritynieuws kan soms aanvoelen als een eindeloze horrorfilm, nietwaar? Net als je denkt dat de schurken opgesloten zitten, komt er een nieuwe dreiging uit de schaduw.

Deze week is daarop geen uitzondering, met verhalen over uitgebuite tekortkomingen, internationale spionage en AI-shenanigans die je hoofd doen duizelen. Maar maak je geen zorgen, we zijn hier om het allemaal in gewoon Engels uit te leggen en je te voorzien van de kennis die je nodig hebt om veilig te blijven.

Dus pak je popcorn (en misschien een firewall) en laten we duiken in het nieuwste cyberbeveiligingsdrama!

⚡ Bedreiging van de week

Kritieke Fortinet-fout wordt uitgebuit: Fortinet onthulde dat een kritieke beveiligingsfout die gevolgen heeft voor FortiManager (CVE-2024-47575, CVSS-score: 9,8), waardoor niet-geauthenticeerde code op afstand kan worden uitgevoerd, actief in het wild wordt uitgebuit. Wie er precies achter zit, is op dit moment nog niet bekend. Mandiant, eigendom van Google, volgt de activiteit onder de naam UNC5820.

️🔥 Trending CVE’s

CVE-2024-41992, CVE-2024-20481, CVE-2024-20412, CVE-2024-20424, CVE-2024-20329, CVE-2024-38094, CVE-2024-8260, CVE-2024-38812, CVE- 2024-9537, CVE-2024-48904

🔔 Topnieuws

• Ernstige cryptografische tekortkomingen bij 5 cloudopslagproviders: Cybersecurity-onderzoekers hebben ernstige cryptografische problemen ontdekt in end-to-end gecodeerde (E2EE) cloudopslagplatforms Sync, pCloud, Icedrive, Seafile en Tresorit die kunnen worden misbruikt om bestanden te injecteren, met bestandsgegevens te knoeien en zelfs directe toegang te krijgen tot leesbare tekst . De aanvallen zijn echter afhankelijk van het feit dat een aanvaller toegang krijgt tot een server om ze uit te voeren.
• Lazarus maakt misbruik van Chrome-fout: De Noord-Koreaanse dreigingsactor, bekend als Lazarus Group, wordt toegeschreven aan de zero-day exploitatie van een inmiddels gepatchte beveiligingsfout in Google Chrome (CVE-2024-4947) om de controle over geïnfecteerde apparaten over te nemen. De kwetsbaarheid werd medio mei 2024 door Google verholpen. De campagne, die naar verluidt in februari 2024 was begonnen, hield in dat gebruikers werden misleid om een ​​website te bezoeken die reclame maakte voor een multiplayer online battle arena (MOBA) tankgame, maar bevatte kwaadaardig JavaScript om de kwetsbaarheid te activeren. exploiteren en aanvallers externe toegang tot de machines verlenen. De website werd ook gebruikt om een ​​volledig functioneel spel te leveren, maar dan verpakt in code om extra ladingen te leveren. In mei 2024 schreef Microsoft de activiteit toe aan een cluster dat het volgt als Moonstone Sleet.
• Fout bij accountovername in AWS Cloud Development Kit (CDK) opgelost: Een inmiddels gepatchte beveiligingsfout die van invloed was op de Amazon Web Services (AWS) Cloud Development Kit (CDK) had een aanvaller in staat kunnen stellen beheerderstoegang te krijgen tot een doel-AWS-account, wat zou resulteren in een volledige accountovername. Na een verantwoorde openbaarmaking op 27 juni 2024 werd het probleem door Amazon aangepakt in CDK-versie 2.149.0, uitgebracht in juli 2024.
• SEC beboet 4 bedrijven wegens misleidende openbaarmakingen van SolarWinds: De Amerikaanse Securities and Exchange Commission (SEC) heeft vier beursgenoteerde bedrijven, Avaya, Check Point, Mimecast en Unisys, aangeklaagd voor het doen van ‘materieel misleidende onthullingen’ met betrekking tot de grootschalige cyberaanval die voortkwam uit de hack van SolarWinds in 2020. Het federale agentschap beschuldigde de bedrijven ervan de ernst van de inbreuk in hun openbare verklaringen te bagatelliseren.
• 4 REvil-leden veroordeeld in Rusland: Vier leden van de inmiddels ter ziele gegane ransomware-operatie REvil, Artem Zaets, Alexei Malozemov, Daniil Puzyrevsky en Ruslan Khansvyarov, zijn in Rusland veroordeeld tot meerdere jaren gevangenisstraf. Ze werden oorspronkelijk in januari 2022 gearresteerd na een wetshandhavingsoperatie door de Russische autoriteiten.

📰 Rond de cyberwereld

• Delta Air Lines klaagt CrowdStrike aan wegens storing in juli: Delta Air Lines spande een rechtszaak aan tegen CrowdStrike in de Amerikaanse staat Georgia, waarbij de leverancier van cyberbeveiliging werd beschuldigd van contractbreuk en nalatigheid nadat een grote storing in juli 7.000 annuleringen van vluchten veroorzaakte, de reisplannen van 1,3 miljoen klanten verstoorde en de luchtvaartmaatschappij meer dan $ 500 kostte. miljoen. “CrowdStrike veroorzaakte een wereldwijde catastrofe omdat het bezuinigde, sluiproutes nam en de test- en certificeringsprocessen waarvoor het adverteerde, omzeilde, voor eigen voordeel en winst”, aldus het rapport. “Als CrowdStrike de foutieve update op zelfs maar één computer had getest voordat deze werd geïmplementeerd, zou de computer zijn gecrasht.” CrowdStrike zei: “De beweringen van Delta zijn gebaseerd op weerlegde verkeerde informatie, tonen een gebrek aan begrip aan van hoe moderne cyberbeveiliging werkt, en weerspiegelen een wanhopige poging om de schuld voor het trage herstel af te schuiven op het onvermogen om de verouderde IT-infrastructuur te moderniseren.”
• Meta kondigt een veilige manier aan om WhatsApp-contacten op te slaan: Meta heeft een nieuw gecodeerd opslagsysteem voor WhatsApp-contacten aangekondigd, Identity Proof Linked Storage (IPLS) genaamd, waarmee gebruikers samen met hun gebruikersnamen rechtstreeks binnen het berichtenplatform contacten kunnen aanmaken en opslaan door gebruik te maken van de sleuteltransparantie en de hardwarebeveiligingsmodule (HSM). Tot nu toe vertrouwde WhatsApp voor synchronisatiedoeleinden op het contactenboek van een telefoon. NCC Group, die een veiligheidsbeoordeling van het nieuwe raamwerk uitvoerde en dertien problemen aan het licht bracht, zei dat IPLS “ernaar streeft om de in-app-contacten van een WhatsApp-gebruiker op een privacyvriendelijke manier op WhatsApp-servers op te slaan” en dat “WhatsApp-servers geen zichtbaarheid hebben. in de inhoud van de contactmetagegevens van een gebruiker.” Alle vastgestelde tekortkomingen zijn vanaf september 2024 volledig verholpen.
• CISA en FBI onderzoeken zouttyfoonaanvallen: De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) zei dat de Amerikaanse regering onderzoek doet naar “de ongeoorloofde toegang tot commerciële telecommunicatie-infrastructuur” door bedreigingsactoren die banden hebben met China. De ontwikkeling komt te midden van berichten dat de hackgroep Salt Typhoon heeft ingebroken in de netwerken van AT&T, Verizon en Lumen. De getroffen bedrijven zijn op de hoogte gebracht nadat de “kwaadwillige activiteit” was geïdentificeerd, aldus CISA. De omvang van de campagne en de aard van de eventuele gecompromitteerde informatie zijn onduidelijk. Meerdere rapporten van The New York Times, The Wall Street Journal, Reuters, Associated Press en CBS News hebben beweerd dat Salt Typhoon hun toegang tot telecommunicatiegiganten gebruikte om toegang te krijgen tot telefoons of netwerken die werden gebruikt door Democratische en Republikeinse presidentiële campagnes.
• Frauduleuze IT-werknemersregeling wordt een groter probleem: Terwijl Noord-Korea onlangs in het nieuws is geweest vanwege zijn pogingen om werk te krijgen bij westerse bedrijven en in sommige gevallen zelfs losgeld eist, blijkt uit een nieuw rapport van identiteitsbeveiligingsbedrijf HYPR dat het fraudeprogramma van werknemers niet alleen beperkt is tot het land. Het bedrijf zei dat het onlangs een contract had aangeboden aan een software-ingenieur die beweerde uit Oost-Europa te komen. Maar het daaropvolgende onboarding- en videoverificatieproces bracht een aantal waarschuwingssignalen naar voren over hun ware identiteit en locatie, wat de naamloze persoon ertoe aanzette een andere kans te grijpen. Er is momenteel geen bewijs dat de frauduleuze huur aan Noord-Korea is gekoppeld, en het is niet duidelijk waar ze op uit waren. “Implementeer een multi-factor verificatieproces om de identiteit van de echte wereld te koppelen aan de digitale identiteit tijdens het provisioningproces”, aldus HYPR. “Videogebaseerde verificatie is een cruciale identiteitscontrole, en niet alleen bij onboarding.”
• Nieuwe aanvallen op AI-tools: Onderzoekers hebben een manier ontdekt om digitale watermerken gegenereerd door AWS Bedrock Titan Image Generator te manipuleren, waardoor het voor bedreigingsactoren mogelijk wordt om niet alleen watermerken op elke afbeelding toe te passen, maar ook watermerken te verwijderen van afbeeldingen die door de tool zijn gegenereerd. Het probleem is vanaf 13 september 2024 door AWS verholpen. De ontwikkeling volgt op de ontdekking van fouten bij snelle injectie in Google Gemini for Workspace, waardoor de AI-assistent misleidende of onbedoelde antwoorden kan geven en zelfs kwaadaardige documenten en e-mails kan verspreiden naar doelaccounts. wanneer gebruikers om inhoud vragen die verband houdt met hun e-mailberichten of documentsamenvattingen. Nieuw onderzoek heeft ook een vorm van LLM-kaping-aanval gevonden waarbij bedreigingsactoren misbruik maken van blootgestelde AWS-referenties om te communiceren met grote taalmodellen (LLM’s) die beschikbaar zijn op Bedrock, in één geval door ze te gebruiken om een ​​seksuele rollenspel-chattoepassing te voeden die het AI-model jailbreakt om “inhoud te accepteren en erop te reageren die normaal gesproken zou worden geblokkeerd”. Eerder dit jaar heeft Sysdig een soortgelijke campagne beschreven, genaamd LLMjacking, waarbij gestolen cloudgegevens worden gebruikt om zich op LLM-diensten te richten met als doel de toegang aan andere bedreigingsactoren te verkopen. Maar in een interessante wending proberen aanvallers nu ook de gestolen cloud-inloggegevens te gebruiken om de modellen in te schakelen, in plaats van alleen maar misbruik te maken van de modellen die al beschikbaar waren.

🔥 Hulpbronnen en inzichten

🎥 Infosec-expertwebinar

Masterdatabeveiliging in de cloud met DSPM: Heeft u moeite om de gegevensbeveiliging in de cloud bij te houden? Zorg ervoor dat uw gevoelige gegevens geen last worden. Neem deel aan ons webinar en ontdek hoe Global-e, een toonaangevende aanbieder van e-commerce, zijn gegevensbeveiligingspositie dramatisch heeft verbeterd met DSPM. CISO Benny Bloch onthult hun reis, inclusief de uitdagingen, fouten en cruciale lessen die ze hebben geleerd. Krijg bruikbare inzichten over het implementeren van DSPM, het verminderen van risico’s en het optimaliseren van cloudkosten. Registreer u nu en verkrijg een concurrentievoordeel in de datagestuurde wereld van vandaag.

🛡️Vraag het aan de Expert

Q: Wat is de meest over het hoofd geziene kwetsbaarheid in bedrijfssystemen waar aanvallers vaak misbruik van maken?

A: De meest over het hoofd geziene kwetsbaarheden in bedrijfssystemen liggen vaak in misconfiguraties van IAM, zoals accounts met te veel machtigingen, lakse API-beveiliging, onbeheerde schaduw-IT en slecht beveiligde cloudfederaties. Tools zoals Azure PIM of SailPoint helpen bij het afdwingen van minimale bevoegdheden door toegangsbeoordelingen te beheren, terwijl Kong of Auth0 API’s beveiligen via tokenroulatie en WAF-monitoring. Schaduw-IT-risico’s kunnen worden verminderd met Cisco Umbrella voor app-detectie en Netskope CASB voor het afdwingen van toegangscontrole. Om federaties te beveiligen, gebruikt u Prisma Cloud of Orca om instellingen te scannen en configuraties aan te scherpen, terwijl Cisco Duo adaptieve MFA mogelijk maakt voor sterkere authenticatie. Beveilig ten slotte serviceaccounts met geautomatiseerd referentiebeheer via HashiCorp Vault of AWS Secrets Manager, waardoor veilige, just-in-time toegang wordt gegarandeerd.

🔒 Tip van de week

Verbeter uw DNS-beveiliging: Terwijl de meeste mensen zich richten op het beveiligen van hun apparaten en netwerken, wordt het Domain Name System (DNS) – dat door mensen leesbare domeinnamen (zoals example.com) vertaalt in door machines leesbare IP-adressen – vaak over het hoofd gezien. Stel je het internet voor als een enorme bibliotheek en DNS als de kaartencatalogus; om het gewenste boek (website) te vinden, heeft u de juiste kaart (adres) nodig. Maar als iemand met de catalogus knoeit, kunt u worden misleid naar nepwebsites om uw gegevens te stelen. Om de DNS-beveiliging te verbeteren, gebruikt u een op privacy gerichte oplossing die uw zoekopdrachten niet bijhoudt (een privécatalogus), blokkeert u kwaadaardige sites met behulp van een “hosts”-bestand (rukt u de kaarten voor gevaarlijke boeken eruit) en gebruikt u een browserextensie met DNS filteren (huur een bibliothecaris in om een ​​oogje in het zeil te houden). Schakel bovendien DNSSEC in om de authenticiteit van DNS-records te verifiëren (verifieer de authenticiteit van de kaart) en versleutel uw DNS-verzoeken met DoH of DoT (fluister uw verzoeken zodat niemand anders het kan horen).

Conclusie

En daar heb je het: nog een week aan uitdagingen op het gebied van cyberbeveiliging om over na te denken. Vergeet niet dat in dit digitale tijdperk waakzaamheid van cruciaal belang is. Blijf op de hoogte, blijf alert en blijf veilig in de steeds evoluerende cyberwereld. Volgende maandag zijn we er weer met meer nieuws en inzichten om u te helpen bij het navigeren door het digitale landschap.