#news

Um grupo ligado ao governo Chines (APT41) conhecido nos reportes como HOODOO utilizou uma ferramenta (GC2) que implementa a infraestrutura dos serviços da Google pra atacar serviços de media taiwaneses e uma companhia de busca de emprego italiano

utilizando uma ferramenta publicada pra projetos de red teaming um APT conhecido desde 2014 e ligado ao governo chines executou ataques em serviços do Taiwan e uma companhia italiana de empregos

Inicialmente o ataque começava com uma tentativa de phishing via email o qual continha um link a um arquivo protegido por senha e hospedado no google drive que uma vez na maquina recebia comandos de uma planilha do google sheet (criado com GO e o framework GC2)
E podia filtrar dados internos utilizando unicamente o serviço de nuvem da google (o qual permitia apenas requisiçoes a dominios google e acaba em geral não despertando alertas pra ferramentas automatizadas)

Eh interessante observar a crescente tendencia em utilizar serviços da
google pra hospedar malwares, neste caso por exemplo, como o serviço de nuvem hospedava o arquivo (geralmente .zip) e utilizando vetores como engenharia social (phishing) permitia a execuçao remota de comandos (utilizando google sheet, um serviço de planilhas o qual armazenava os comandos em colunas tipo A. B.)


pra mais informaçoes

Bleeping Computer
The Hacker News

experimente vc e sua equipe em projetos de red teaming
GC2

@rubyofsec

#github #poc #news #linux-flaw

Prova de Conceito Falsa publicada no Github possui payload escondido e expõe pesquisadores de Cybersec que executaram o script de compilação

Recentemente saiu a luz uma vulnerabilidade no linux (CVE-2023-35829) na qual versões do kernel antes da 6.3.2 possuíam uma falha na alocação de memoria dinâmica nos drivers /staging/media/rkvdec/rkvdec.c

Acontece que uma conta no github (ChriSanders22) publicou um suposto PoC no qual em uma parte especifica do code (dentro de uns dos makefiles) continha um downloader com um backdoor persistente escondido
este adicionava sua chave SSH como autorizadas (.ssh/authorized_keys) e dava acesso remoto ao criador do malware
isto vem de uma onda de prova de conceito falsa ou com codigo arbitrario direcionado a pesquisadores publicados no github

fonte : https://thehackernews.com/2023/07/blog-post.html

Detalhes: dentro do makefile (arquivo que gera a compilação do suposto PoC) havia um code que carregava um processo do tipo kworker (tipos de processos criados pelo kernel) e pra se manter persistente dentro do sistema se adicionava no file $HOME/.bashrc (dentro do caminho $HOME/.local/kworker) --> (pra quem não conhece, o bashrc se executa sempre que o usuário loga, nele podemos adicionar variáveis globais e links simbólicos a alguma pasta)
assim este suposto processo carregava e autorizava a chave SSH pra permitir acesso remoto ao agente mal-intencionado

Pra uma analise mais profunda veja: https://www.uptycs.com/blog/new-poc-exploit-backdoor-malware

NÃO BAIXEM REPOSITÓRIOS DO GITHUB SEM VERIFICAR O CONTEÚDO E NÃO EXECUTEM ARQUIVOS NÃO CONFIÁVEIS FORA DE SANDBOX's