- Zespół CERT Polska odnotowuje kampanię, w której przestępcy przyciągają uwagę internautów sensacyjnymi doniesieniami związanymi z konfliktem między Izraelem a Palestyną. Następnie starają się stworzyć wrażenie, że przeprowadzili atak typu ransomware.
- Scenariusz ataku:
- Przestępcy rozsyłają na masową skalę wiadomości e-mailowe zawierające fałszywą, ale bardzo sensacyjną informację. W tym przypadku donoszą o ataku nuklearnym przeprowadzonym przez Izrael, a którego konsekwencją ma być rzekomo radioaktywna chmura zmierzająca w stronę Polski.
- Odbiorcy nie otrzymują jednak pełnej informacji. Jeśli chcą dowiedzieć się więcej, muszą kliknąć w odnośnik zawarty w wiadomości e-mailowej.
- Następnie odbiorcy kierowani są na stronę internetową, która za pomocą prostych skryptów powoduje wejście przeglądarki w tryb pełnoekranowy, a także emisję dźwięku i błyskających obrazów. W ten sposób przestępcy próbują przekonać użytkownika, że przeprowadzili atak ransomware na komputer, z którego korzysta – zaszyfrowali przechowywane na nim dane. Rzekome „odszyfrowanie” plików ma nastąpić po zapłaceniu okupu.
- Odsyłacz do instrukcji zapłaty okupu ma postać kodu QR. Zmusza to użytkownika do skorzystania z telefonu, co ogranicza szansę odkrycia, że komputer w gruncie rzeczy… działa nadal zupełnie normalnie. Jeśli potencjalna ofiara nie zorientuje się, że był to fałszywy atak i zdecyduje się na zapłacenie okupu, straci pieniądze.
Aktywne wykorzystanie podatności CVE-2023-20198 w urządzeniach Cisco
- Zespół CERT Polska zaobserwował, że krytyczna podatność CVE-2023-20198, wykryta 16 października 2023 roku, była aktywnie wykorzystywana do ataków na cele w Polsce.
- Szczegóły zagrożenia:
- Wykryta podatność dotyczy narzędzia Web User Interface (Web UI) na urządzeniach z systemem operacyjnym Cisco IOS XE oraz aktywnym serwerem HTTP (lub HTTPS).
- Jeśli takie urządzenie jest dostępne z poziomu internetu, pozwala to atakującym utworzyć na nim konta z pełnymi przywilejami administracyjnymi.
- Następnie atakujący wykorzystują inną podatność (CVE-2023-20273), żeby zainstalować w urządzeniu implant pozwalający zdalnie wykonywać dowolne polecenia.
Opisywane kampanie bazują na aktualnych zgłoszeniach oraz analizie cyberprzestrzeni prowadzonej przez CERT Polska. Przedstawiają schematy działania przestępców, którzy w sposób nieuprawniony wykorzystują wizerunek firm i instytucji. Nasze ostrzeżenia mają charakter informacyjny i służą budowaniu świadomości dotyczącej cyberzagrożeń.
Test Lenovo Yoga Book 9i Gen 8 13″ – na pewno wyjątkowy laptop
Przypominamy, że wszystkie podejrzane wiadomości e-mail mogą być zgłaszane za pomocą formularza na stronie https://incydent.cert.pl lub poprzez email cert@cert.pl.
Natomiast wiadomości SMS można przesyłać na specjalny numer 799 448 084.
