CyberWednesday: Top 10 Cybersecurity Update #7

De cybersecurityrubriek van deze week duikt diep in de kritieke kwetsbaarheden, geopolitieke cybercampagnes en opkomende bedreigingen die het beveiligingslandschap vormgeven. Deze tien verhalen laten zien waarom geïnformeerd en proactief blijven de sleutel is tot de bescherming van je organisatie. Laten we de details verkennen.

1. PAN-OS Firewall zero-day actief misbruikt

Een kritieke zero-day kwetsbaarheid in de PAN-OS firewall beheerinterface van Palo Alto Networks wordt actief uitgebuit door bedreigingsactoren. Aanvallers hebben web shells ingezet op gecompromitteerde systemen, waardoor ze blijvende toegang op afstand hebben tot gevoelige infrastructuur. Deze kwetsbaarheid heeft een CVSS-score van 9.3 gekregen, wat duidt op een ernstige impact.

Palo Alto Networks heeft met spoed patches uitgebracht voor de getroffen versies, waaronder updates die problemen met privilege-escalatie en authenticatie-omzeiling aanpakken. De kwetsbaarheid vereist geen gebruikersinteractie of privileges om te misbruiken, waardoor het een bedreiging is met een lage complexiteit maar een grote impact. Organisaties die PAN-OS firewalls gebruiken moeten deze patches onmiddellijk toepassen en de toegang tot de beheerinterfaces beperken om de blootstelling te verminderen.

Dit incident benadrukt de toenemende risico's van verkeerd geconfigureerde of blootgestelde firewall managementsystemen en onderstreept het belang van proactieve monitoring en tijdige patches. (Bron: The Hacker News)

2. Fortinet VPN zero-day misbruikt door DeepData malware

APT41, een door de Chinese staat gesteunde groep voor geavanceerde aanhoudende bedreigingen (APT), heeft misbruik gemaakt van een tot nu toe onbekende zero-day in de Windows VPN-client van Fortinet. De aanval maakt deel uit van een campagne waarbij gebruik wordt gemaakt van het DeepData malwareframework, dat is ontworpen om referenties te stelen en gevoelige informatie te exfiltreren van aangetaste systemen.

DeepData werkt via modulaire plugins en richt zich op browsers, communicatieplatforms en wachtwoordmanagers, terwijl het aanvallers ook in staat stelt om audio op te nemen via de microfoon van een slachtoffer. Ondanks het feit dat deze kwetsbaarheid al maanden geleden is gemeld, is deze nog steeds niet verholpen, waardoor gebruikers worden blootgesteld aan aanzienlijke risico's.

Organisaties die gebruik maken van Fortinet's VPN-oplossingen worden dringend verzocht om hun systemen nauwlettend te controleren op verdachte activiteiten en strategieën toe te passen in afwachting van een officiële oplossing. Dit incident benadrukt het belang van rigoureuze endpoint monitoring en leveranciersverantwoordelijkheid bij het onderhouden van veilige systemen. (Bron: SecurityWeek)

3. Duitsland bereidt zich voor op cyberbedreigingen bij onverwachte verkiezingen

De aanstaande vervroegde verkiezingen in Duitsland hebben geleid tot verhoogde bezorgdheid over cyberbeveiliging. Nu is vastgesteld dat geavanceerde aanhoudende dreigingen (APT's) gericht zijn op kritieke infrastructuur en openbare instellingen, heeft het Duitse ministerie van Binnenlandse Zaken de noodzaak benadrukt om de digitale verdediging te versterken. Minister van Binnenlandse Zaken Nancy Faeser benadrukte het belang van het beschermen van de democratie in de digitale wereld tegen desinformatie, cyberspionage en verstorende aanvallen.

Het Federale Bureau voor Informatiebeveiliging heeft een verhoogd dreigingsniveau gerapporteerd en noemt groepen die aan Rusland gelieerd zijn als belangrijke actoren die geopolitieke spanningen gebruiken om de Europese democratieën te destabiliseren. Inspanningen om de IT-beveiligingswetgeving eerder dit jaar te moderniseren hebben de meldingsplicht voor cyberincidenten uitgebreid, maar de overheid waarschuwt dat hardnekkige kwetsbaarheden in firewalls en VPN-systemen dringend aandacht nodig hebben.

Deze situatie onderstreept de bredere trend dat verkiezingen belangrijke doelwitten worden voor door de staat gesponsorde cyberoperaties. (Bron: Euronews)

4. VMware vCenter Server-kwetsbaarheid wordt actief misbruikt

Een kritieke kwetsbaarheid in VMware's vCenter Server (CVE-2024-38812) heeft de status van actieve exploitatie bereikt. Door dit lek kunnen aanvallers op afstand willekeurige code uitvoeren via een heap-overflow in het Distributed Computing Environment / Remote Procedure Call (DCERPC) protocol.

Ondanks het uitbrengen van een initiële patch in september, bevestigde VMware dat de fix onvolledig was, waardoor verdere updates nodig waren om het probleem aan te pakken. Aanvallers hebben de kwetsbaarheid al uitgebuit in live omgevingen, met beperkte informatie over de omvang van deze aanvallen of indicators of compromise (IoC's). VMware dringt er bij gebruikers op aan om de nieuwste patches toe te passen en prioriteit te geven aan het beveiligen van blootgestelde instanties.

Dit incident herinnert ons aan de complexiteit van patchbeheer en de noodzaak van uitgebreide tests op kwetsbaarheden. (Bron: SecurityWeek)

5. Sitting Ducks aanval brengt 1M domeinen in gevaar

Een onlangs ontdekte aanvalsvector, genaamd “Sitting Ducks”, stelt meer dan een miljoen domeinen bloot aan kaping als gevolg van DNS-foutconfiguraties. Deze techniek stelt bedreigingsactoren in staat om de volledige controle over een domein te krijgen door gebruik te maken van zwakke plekken in DNS-configuraties, waardoor phishing-campagnes, malwaredistributie en fraude mogelijk worden.

Onderzoekers op het gebied van cyberbeveiliging hebben 70.000 gekaapte domeinen geïdentificeerd, waarvan er veel zijn gebruikt voor investeringsfraude, phishingpagina's en andere schadelijke activiteiten. Grote bedreigingsgroepen, waaronder Vacant Viper en Hasty Hawk, gebruiken deze domeinen om wereldwijde ondernemingen en individuen aan te vallen.

Bedrijven worden aangemoedigd om hun DNS-configuraties te controleren, robuuste processen voor eigendomsverificatie te implementeren en geavanceerde beveiligingstools te gebruiken om bedreigingen van domeinkaping te detecteren en te beperken. (Bron: Cybersecurity News)

6. PostgreSQL kwetsbaarheid maakt code-uitbreiding mogelijk

Een kwetsbaarheid met een hoge ernst (CVE-2024-10979) in PostgreSQL stelt aanvallers in staat om omgevingsvariabelen te manipuleren, waardoor willekeurige code kan worden uitgevoerd of informatie openbaar kan worden gemaakt. De fout zit in de manier waarop PostgreSQL door gebruikers gedefinieerde waarden verwerkt, die door ongeprivilegieerde gebruikers kunnen worden misbruikt om gevoelige procesvariabelen te wijzigen.

PostgreSQL heeft patches uitgebracht voor meerdere versies en dringt er bij gebruikers op aan om onmiddellijk te updaten. Extra maatregelen om het probleem te verhelpen zijn onder andere het beperken van CREATE FUNCTION permissies en het beperken van het gebruik van gedeelde preload bibliotheken. Deze kwetsbaarheid benadrukt de voortdurende risico's van database misconfiguraties en ongepatchte software in bedrijfsomgevingen. (Bron: The Hacker News)

7. Iraanse hackers gebruiken WezRat-malware in phishingcampagnes

De Iraanse APT-groep Cotton Sandstorm (voorheen Emennet Pasargad) is in verband gebracht met een geraffineerde phishingcampagne gericht op Israëlische organisaties. Vermomd als urgente Chrome-updates wordt in de phishingmails WezRat-malware ingezet, waarmee aanvallers opdrachten kunnen uitvoeren, schermafbeeldingen kunnen maken en gevoelige gegevens kunnen exfiltreren.

Het modulaire ontwerp van de malware bevat mogelijkheden voor keylogging en cookie-diefstal, waarbij extra commando's worden gedownload van command-and-control servers. Organisaties wordt geadviseerd om onverwachte e-mailcommunicatie nauwkeurig te onderzoeken en endpoint detectie te verbeteren om de risico's te beperken. (Bron: The Hacker News)

8. T-Mobile getroffen in Chinese cyberspionagecampagne

T-Mobile is het nieuwste doelwit geworden van de Chinese dreigingsacteur Salt Typhoon in een grootscheepse spionagecampagne. De aanval was erop gericht om toegang te krijgen tot gevoelige gespreksgegevens en wetshandhavingsinformatie door te infiltreren in telecomnetwerken.

Hoewel T-Mobile geen significante gevolgen heeft gemeld, onderstreept het incident de kwetsbaarheden binnen de telecomsector. Cyberbeveiligingsorganisaties waarschuwen dat deze campagne een afspiegeling is van de bredere inspanningen van China om zijn digitale surveillance en invloed uit te breiden. (Bron: SecurityWeek)

9. ChatGPT Prompt Injection leidt tot bezorgdheid over security

Onderzoekers van Mozilla hebben kwetsbaarheden ontdekt in de promptverwerking van ChatGPT, waardoor interne configuraties worden blootgelegd en de risico's voor bedrijfsimplementaties toenemen. Deze zwakke plekken in de prompt-injectie kunnen aanvallers in staat stellen om veiligheidsmechanismen te omzeilen of gevoelige gegevens te lekken.

Hoewel OpenAI beweert dat dergelijke functies opzettelijk zijn aangebracht, waarschuwen experts voor de risico's van reverse-engineering van deze configuraties, met name voor aangepaste GPT-modellen die worden gebruikt in bedrijfsapplicaties. Dit benadrukt de noodzaak van robuuste beveiligingen in generatieve AI implementaties. (Bron: Dark Reading)

10. Trump regering zou focus op cybersecurity kunnen verschuiven

Nu de Trump-regering zich opmaakt voor haar tweede termijn, verwachten deskundigen op het gebied van cyberbeveiliging belangrijke verschuivingen in het beleid. Analisten voorspellen een vermindering van regelgevend toezicht voor de meeste industrieën, naast een grotere focus op de bescherming van kritieke infrastructuur en handelsgerelateerde cyberbeveiliging.

Er wordt verwacht dat de wereldwijde spanningen, vooral met China, zullen escaleren, wat mogelijk zal leiden tot een toename van cyberaanvallen door natiestaten gericht op elektriciteitsnetten, watersystemen en communicatienetwerken. Ondernemingen moeten zich voorbereiden op een veranderend bedreigingslandschap, omdat politieke dynamiek nieuwe motivaties voor tegenstanders oplevert. (Bron: Dark Reading)