Мир Oracle в Украине

Киберпреступники разработали бэкдор ModPipe для осуществления атак на ресторанные PoS-решения от Oracle. По мнению исследователей из ESET, вредонос отличается необычной сложностью, о чем свидетельствуют многочисленные модули.

Бэкдор специально создан для атак на Oracle MICROS Restaurant Enterprise Series (RES) 3700 — пакет программного обеспечения для управления PoS-терминалами, используемый сотнями тысяч баров, ресторанов и отелей по всему миру. По словам экспертов, киберпреступники в основном атакуют ресторанные заведения в США.

Один из загружаемых модулей вредоносного ПО, получивший название GetMicInfo, обнаруживает и похищает учетные данные, позволяющие операторам ModPipe получать доступ к содержимому базы данных, включая различные определения и данные конфигурации, таблицы состояния и информацию о транзакциях PoS-терминала.

«Модуль содержит алгоритм, разработанный для сбора паролей баз данных путем их расшифровки из значений реестра Windows. Разработчики бэкдора обладают глубокими познаниями о целевом программном обеспечении жертв и выбрали данный сложный метод вместо сбора данных с помощью более простого, но «более громкого» подхода, такого как кейлоггинг», — отметили специалисты.

Тем не менее, информация базы данных, которую похищает модуль, не содержит номера кредитных карт клиентов заведений. В данном случае злоумышленники могут получить доступ только к именам владельцев карт. Эксперты предполагают, что существует еще один загружаемый модуль, позволяющий операторам вредоносного ПО расшифровывать более конфиденциальные данные.

Основной модуль загрузчика создает канал, используемый для связи с другими вредоносными модулями, а также отвечает за их реализацию и обеспечивает соединение с C&C-сервером злоумышленников.

Кроме того, существует ряд других загружаемых модулей для добавления определенных функций в бэкдор. Два компонента могут сканировать определенные IP-адреса или получать список запущенных процессов на устройстве. Операторы вредоноса также используют как минимум четыре других загружаемых модуля, функциональность которых пока полностью неизвестна.

Подробнее: https://www.securitylab.ru/news/514056.php

Компания Oracle выпустила внеплановое обновление, исправляющее критическую уязвимость в WebLogic Server. Уязвимость получила идентификатор CVE-2020-14750 и оценку 9,8 балла из максимальных 10 по шкале оценивания опасности уязвимостей CVSS. Проблема связана с другой уязвимостью в WebLogic Server ( CVE-2020-14882 ), исправленной в прошлом месяце и очень простой в эксплуатации.

Атаки с использованием CVE-2020-14882 начались на прошлой неделе после того, как вьетнамский разработчик опубликовал PoC-эксплоит. Когда исследователи безопасности обнаружили , что патч для уязвимости можно легко обойти, ей был присвоен идентификатор CVE-2020-14750.

«Данное уведомление безопасности исправляет CVE-2020-14750, уязвимость удаленного выполнения кода в WebLogic Server. […] Она легко эксплуатируется без аутентификации, то есть, может быть проэксплуатирована в сети без необходимости введения логина и пароля», - сообщается в уведомлении безопасности Oracle.

Уязвимость затрагивает версии WebLogic Server 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0 и 14.1.1.0.0. Для ее эксплуатации у атакующего должен быть доступ к сети по HTTP. Успешная эксплуатация уязвимости может позволить злоумышленнику получить полный контроль над Oracle WebLogic.

Как сообщают специалисты чешской ИБ-компании Cybersecurity Help, уязвимость существует из-за недостаточной проверки подлинности входных данных. Злоумышленник может отправить особым образом сконфигурированный запрос, выполнить произвольный код и в итоге скомпрометировать уязвимую систему.

Сама Oracle не раскрывает подробностей о проблеме, но предупреждает, что эксплоит для нее уже доступен в Сети. В связи с этим рекомендуется как можно скорее установить обновление.