Никогда еще интернет-шопинг не был так актуален, как сейчас – когда торговые центры закрыты из-за коронавируса, а на улицу советуют не выходить без крайней необходимости. Новой реальности обрадовались не только онлайн-продавцы, но и мошенники – у них нынче «сенокос». К чему я это? Хотел купить смарт-часы – и ненароком раскрыл несколько мошеннических схем. Один умник даже фидбек запросил уже после разоблачения. Но обо всем по порядку.

Все началось с поиска Apple Watch на сайтах объявлений Авито и Юла. Среди множества объявлений в глаза бросились несколько предложений с заманчиво низкой ценой. Я понимал, что бесплатный сыр бывает только в мышеловке… и, конечно, поспешил откликнуться на объявления – любопытно же, что за схемы!

Самая интересная новость прошлой недели пришла в составе очередного пакета обновлений для операционных систем и софта компании Microsoft (обзорная статья). Всего разработчики закрыли 111 уязвимостей, из них 16 серьезных. В отличие от предыдущих кумулятивных апдейтов, ни один баг не эксплуатировали до момента выпуска патча.

Уязвимость CVE-2020-1048 (описание на сайте Microsoft, обсуждение на Хабре) в службе печати Windows (точнее, в модуле Windows Print Spooler) выделяется скорее не степенью угрозы, а своей историей. Ее обнаружили в древнем куске кода, который, судя по всему, не обновляли со времен Windows NT4.

Несколько дней назад компания FireEye сообщила о том, что новая 0day use-after-free-уязвимость CVE-2014-0322 в Internet Explorer 10 эксплуатируется злоумышленниками для доставки вредоносного кода (drive-by). Указывается, что веб-сайт U.S. Veterans of Foreign Wars (vfw[.]org) был скомпрометирован вредоносным IFrame и использовался для перенаправления пользователей на другую вредоносную веб-страницу, с которой осуществлялась эксплуатация уязвимости с использованием файла Flash (.swf).

Эксплойт использует ActionScript heap-spray для обхода ASLR и ROP на гаджетах известных библиотек от DEP, а также умеет проверять присутствие EMET в системе.

Очередная программная закладка в роутерах D-Link или как поиметь D-Link DIR-100

На информационном портале devttys0.com некто Craig Heffner – опытный специалист в области реверс-инжиниринга – выложил статью-исследование очередной (уже находили) программной закладки в роутерах D-Link. На этот раз закладка была выявлена в официальной прошивке для DIR-100 revA, но, по его мнению, присутствует в роутерах других серий:

• DIR-100
• DI-524
• DI-524UP
• DI-604S
• DI-604UP
• DI-604+
• TM-G5240
• Planex BRL-04UR
• Planex BRL-04CW

Не запускается Wemboney Keeper Classic выдавая сообщение —  For security purposes, this program will not run while system debuggers are active. Please remove or disable the system debugger before trying to run this program again.

Отключил dr.Watson-а, WindowsMashineDebuger, ScriptDebuger в IE убил все лишние драйвера (програма Autoruns) закрывал антивирусы - ничего не помагало. Решил ламать но тут случайность — закрыл Process Explorer ) и все заработало )). А во второй раз жизнь портил процесс с именем LinkAir.exe и игра LineAge.

В сети появилась зараженная вирусом машина. По всем расшаренным папкам в сети разбрасывает файлы sokmqk.exe и скрытый файл kht. Удаление файлов не помогает, вирус снова их заливает.

Если в сети доменная организация, то самый простой способ обнаружить от кого лезет дрянь. Посмотреть в свойствах файла его владельца, во вкладке безопасность. Я сразу выпалил зараженного юзера, почикал там вирус и блуждания по локальной сети прекратилось.

Если же сеть построена на рабочей группе, прийдется расшарить у себя пару папок, и поставить монитор пищуший сетевые обращения к файлам. И ткм выпалить с какого IP или Хоста лезет вирусня.

Программа для перехвата управления маршрутизаторами D-Link.

Компания D-Link признала информацию об уязвимости в домашних маршрутизаторах DIR-855 (версия прошивки A2), DIR-655 (версии от A1 до A4) и DIR-635 (версия B).

Проблема заключается в некорректной реализации протокола Home Network Administration Protocol (HNAP), с помощью которого осуществляется удалённое управление. В сети уже выложена программа HNAP0wn, с помощью которой можно перехватить удалённое управление маршрутизатором с такой уязвимостью.

Дыру обнаружили эксперты из независимой компании SourceSec. По информации SourceSec, кроме указанных моделей, под подозрением находятся все маршрутизаторы, которые выпускались D-Link с 2006 года. Однако, согласно комментарию производителя, ни одна из вышеперечисленных прошивок не является стандартной и никогда не поставлялась с новыми маршрутизаторами, так что опасность существует только для тех пользователей, которые самостоятельно выполняли перепрошивку.

Если у вас сомнения относительно своего маршрутизатора, можно использовать программу HNAP0wn для проверки.