Websecurity - Веб безпека

Пропоную ознайомитися зі звітом про хакерську активність в Уанеті в другому півріччі 2017 року.

За другу половину минулого року хакери в Уанеті вели себе дуже активно. Якщо за другу половину 2016 року в Уанеті було проведено 288 атак на веб сайти, то за другу половину 2017 року 308 атак на веб сайти. Але атакованих сайтів явно значно більше і хакерська активність постійно зростає. Що видно з великої кількості інфікованих сайтів (які я не відношу до взломаних, бо напевно невідомо, що їх взломали, але це дуже вірогідно). Ще додам дані після завершення аналізу масових дефейсів.

У даному звіті подана інформація про діяльність хакерів в Уанеті за наступні шість місяців 2017 року - за період з 01.07.2017 по 31.12.2017.

• palace.kiev.ua (хакером з Bortecine Tim) - 01.07.2017
• justice-dn.gov.ua (хакером maress) - 02.07.2017 - похаканий державний сайт
• academy.smartfitness.com.ua (хакерами з chinafans) - 06.07.2017
• man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт, це вже вдруге після взлому хакером God Attacker 20.06.2017
• ubs.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• consumer.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• cp.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• ck-oda.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• kmu.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• archives.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• dec.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• president.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• decentralization.man.gov.ua (хакером Ayyildiz Tim-maress) - 09.07.2017 - похаканий державний сайт
• osvita-kp.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• mon.gov.ua (українським хакером) - 11.07.2017 - похаканий державний сайт
• kam-pod.km.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• testosvita.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• portal.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• old.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• new.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• dnz.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• cnap.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• 14 піддоменів osvita-kp.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• sobornarada.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт
• expolviv.ua (хакером Shade) - 12.07.2017
• journals.uran.ua (хакером Miracle) - 25.07.2017
• DDoS на ukrposhta.ua (російськими хакерами) - 08.08.2017
• udf.gov.ua (російські хакери) - 11.08.2017 - похаканий державний сайт
• korostishiv-rayrada.zt.gov.ua (хакером Nizar Foxs) - 21.08.2017 - похаканий державний сайт
• dndekc.mvs.gov.ua (хакером antivirus) - 28.08.2017 - похаканий державний сайт
• jobhunter.com.ua (хакером PURPPOSOLES) - 04.09.2017
• rajvosevlush.gov.ua (хакером Prosox) - 10.09.2017 - похаканий державний сайт
• pereyaslav-rda.gov.ua (хакером Tobitow) - 18.09.2017 - похаканий державний сайт
• pechenigi-rda.gov.ua (хакером Mister Spy) - 22.09.2017 - похаканий державний сайт
• musics.net.ua (хакером Et04) - 22.09.2017
• evrik.com.ua (хакером ReC0ded) - 23.09.2017
• brelok24.eu (хакером GAZA) - 25.09.2017
• domino.ua (хакером sohaip-hackerDZ) - 27.09.2017
• disgvol.gov.ua (хакерами з chinafans) - 02.10.2017 - похаканий державний сайт
• 62 сайти на сервері TheHost (різними хакерами) - 03.10.2017
• tsdazu.gov.ua (хакером NoFace 47) - 09.10.2017 - похаканий державний сайт
• belozirmvk.gov.ua (хакером Shade) - 19.10.2017 - похаканий державний сайт
• bios.ua (хакером aDriv4) - 23.10.2017
• dts.gov.ua (хакером r00tkit) - 25.10.2017 - похаканий державний сайт
• sadyukrainy.com.ua (хакером MOB) - 29.10.2017, цей сайт вже хакали в березні (18.03.2017)
• stroymaterialy.kharkov.ua (хакерами з ToP-TeaM) - 14.11.2017
• kharkiv.meteo.gov.ua (хакером KingSkrupellos) - 14.11.2017 - похаканий державний сайт
• k-band.com.ua (хакером Shade) - 22.11.2017
• onufrievka.kr-admin.gov.ua (хакером parazit) - 29.11.2017 - похаканий державний сайт
• 90 сайтів на сервері Goodnet (різними хакерами) - 11-12.2017
• megaflex.com.ua (хакерами з ToP-TeaM) - 04.12.2017
• mirabo.kiev.ua (хакером r00tkit) - 06.12.2017
• europe.mirabo.kiev.ua (хакерами Darkshadow-tn і Mister Spy) - 06.12.2017
• ecotestvip.com (хакерами з ToP-TeaM) - 10.12.2017
• kyiv-oblosvita.gov.ua (хакером N45HT) - 12.12.2017 - похаканий державний сайт
• pferd.com.ua (хакером HerCulano) - 13.12.2017
• osvita.sm.gov.ua (хакером Bilgekultigin) - 19.12.2017 - похаканий державний сайт
• na.com.ua (хакером HerCulano) - 24.12.2017
• dolya-medcenter.com.ua (хакером ZeDaN-Mrx) - 25.12.2017
• 82 сайти на сервері Ukraine (різними хакерами) - 26.12.2017
• krasnokutska-rada.gov.ua (хакером ZaiTsev) - 29.12.2017 - похаканий державний сайт
• kirrda.kr-admin.gov.ua (хакером Dr.SiLnT HilL) - 30.12.2017 - похаканий державний сайт

З них взломано 39 gov.ua-сайтів та проведено одну DDoS атаку на державний сайт. Що менше ніж в аналогічному періоді торік.

Також були інфіковані 70 сайтів, які вірогідно були похакані в минулому році. Що менше 108 інфікованих сайтів в другій половині 2016 (падіння на 35,2%).

Інфіковані сайти у другій половині 2017 року: simplejane.zzz.com.ua, vkapi.zzz.com.ua, smitddd.zzz.com.ua, seller-acc.kl.com.ua, gooood.zzz.com.ua, nord.adr.com.ua, orion-sparta.com, medsvit.com.ua, wow-ok.at.ua, chiptuner.ucoz.ua, thelegendarypike.zzz.com.ua, trulolo.zzz.com.ua, thekorol.zzz.com.ua, net.dn.ua, filin.at.ua, zero.kl.com.ua, road2pro.at.ua, activation.zzz.com.ua, transform.zzz.com.ua, plaza777.co.ua, s21.cshost.com.ua, fps.zzz.com.ua, china-tefon.at.ua, sirogasoft.zzz.com.ua, letsz0ck3r.zzz.com.ua, hooligan8.at.ua, guanpro.com, 000.at.ua, prof-xaker.at.ua, solocrd.zzz.com.ua, shtorm.inf.ua, professionalshippngng.com, ritual-k.in.ua, vbi.od.ua, guanpro.com, phoenix-mg.ucoz.com, jokoli.ucoz.net, msvcnet.ucoz.net, netnetget.ucoz.net, booksonline.com.ua, diagnoz.net.ua, referatu.net.ua, info-library.com.ua, radnuk.info, domahi.net, unbib.mk.ua, eenu.edu.ua, palata.fm, www.samcore.pro, paintball-bears.com.ua, cybersports.pro, soos.kvant.if.ua, knopka-b.kvant.if.ua, ns.digicom.net.ua, admiral.myftp.biz, obnovlenie-nod32.work, xpau.se, фабрика-моды.com, 60seconds.in.ua, rusanovka.triolan.com.ua, blockbuster.ua, vipclub-casino.com, 9journal.com.ua, maids.ua, ndiop.kiev.ua, 195.123.224.119, 195.95.147.97, hd-world.org, rev.atbmarket.com, s1.pcw.pp.ua.

Серед них чимало сайтів з криптомайнерами. Найближчим часом підведу підсумки активності хакерів в Уанеті за 2017 рік.

В даній добірці експлоіти в веб додатках:

• TM RG4332 Wireless Router - Arbitrary File Disclosure (деталі)
• Polycom VVX Web Interface - Change Admin Password (деталі)
• Radisys MRF - Command Injection (деталі)
• Cisco WebEx - ‘nativeMessaging’ Remote Command Execution (деталі)
• Mozilla Firefox < 50.0.2 - 'nsSMILTimeContainer::NotifyTimeChange()' Remote Code Execution (Metasploit) (деталі)

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська: відео російського гумконвою на Донбасі - УКВ захопили відео з російським гуманітарним конвоєм. Це 66-й гумконвой в Донецьку.

Українські Кібер Війська записали полковника терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська: відео російського гумконвою на Донбасі - УКВ захопили відео з російським гуманітарним конвоєм. Це 66-й гумконвой в Донецьку.

Українські Кібер Війська: секретне відео бази терористів в Донецьку - УКВ записали відео зі бази російських терористів в Донецьку.

Раніше я писав про травневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію в червні.

В зв’язку з сепаратистськими і терористичними акціями на сході України, хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

adm-pl.gov.ua (хакером Adam Tnx) - 04.06.2018
Ще 24 піддомени adm-pl.gov.ua (Adam Tnx та іншими хакерами) - 06.2018
tsarzem.gov.ua (хакером AnonymousFox) - 09.06.2018
genich-osvita.gov.ua (хакером Ayyildiz Tim) - 26.06.2018
rairada-kremenets.gov.ua (хакером p0tz) - 30.06.2018

Українські Кібер Війська закрили наступні сайти:

Закритий сайт mvddnr.ru (через скаргу хостеру) - 05.06.2018
Закритий сайт my.phoenix-dnr.ru (через скаргу хостеру) - 05.06.2018

Виявлені уразливості в Microsoft .NET Core, ASP.NET Core і ChakraCore. Що були виправлені у вівторку патчів у червні.

Уразливі продукти: Microsoft .NET Core 1.0, 1.1, 2.0, ASP.NET Core 1.0, 1.1, 2.0, ChakraCore.

Обхід безпеки та виконання коду.

У квітні, 26.04.2018, вийшли PHP 5.6.36, PHP 7.0.30, PHP 7.1.17 і PHP 7.2.5. У версії 5.6.36 виправлена одна уразливість, у версіях 7.0.30, 7.1.17 і 7.2.5 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 5.6.x, 7.0.x, 7.1.x і 7.2.x.

У PHP 5.6.36, 7.0.30, 7.1.16 і 7.2.4 виправлено:

• Обхід обмежень.
• Пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.

Виявлені уразливості безпеки в Apple Safari і Webkit.

Уразливі продукти: Apple Safari 11.

Пошкодження пам’яті, виконання коду.

• APPLE-SA-2018-04-24-3 Safari 11.1 (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://tsdazu.gov.ua (хакером NoFace 47) - 09.10.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://dts.gov.ua (хакером r00tkit) - 25.10.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://bios.ua (хакером aDriv4) - 23.10.2017, зараз сайт вже виправлений адмінами
• http://igonina-olga.com.ua (хакером darkshadow-tn) - 30.01.2018, зараз сайт вже виправлений адмінами
• http://pers.dn.ua (хакерами з X-Force Cyber Army) - 06.04.2018, зараз сайт вже виправлений адмінами

Виявлені уразливості безпеки в Microsoft Office, а також в серверних продуктах Office Web Apps і SharePoint Server. Що були виправлені у вівторку патчів у червні.

Уразливі продукти: Microsoft Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1, SharePoint Server 2010 SP2, SharePoint Server 2013 SP1, SharePoint Enterprise Server 2013 SP1, SharePoint Enterprise Server 2016, SharePoint Foundation 2013 SP1, Project Server 2010 SP2, Office Online Server 2016.

Обхід безпеки та виконання коду.

В даній добірці експлоіти в веб додатках:

• Pirelli DRG A115 v3 ADSL Router - Unauthenticated DNS Change (деталі)
• Joomla! < 3.6.4 - Admin TakeOver (деталі)
• PHP PEAR HTTP_Upload 1.0.0b3 - Arbitrary File Upload (деталі)
• DiskBoss Enterprise - GET Buffer Overflow (Metasploit) (деталі)
• Disk Savvy Enterprise - GET Buffer Overflow (Metasploit) (деталі)