Zásah proti více než 20 let existujícímu botnetu Sality
Europol spolu s ministerstvem spravedlnosti Spojených států v úterý oznámil završení úspěšné mezinárodní operace namířené proti botnetu Sality, v rámci níž se podařilo narušit peer-to-peer (P2P) komunikaci mezi jednotlivými uzly botnetu, v důsledku čehož jeho provozovatelé ztratili možnost tento botnet ovládat.
Malware, který nakažená zařízení do botnetu připojoval, byl poprvé zaznamenán již v roce 2003 a dle dat společnosti CrowdStrike, která se na výše zmíněném zásahu významně podílela, zahrnoval botnet ještě v letošním roce více než 33 tisíc kompromitovaných systémů. Do operace přispěly vedle již jmenovaných stran i organizace Shadowserver a policejní orgány z Bulharska, Maďarska a Rumunska.
K mimořádně dlouhé životnosti botnetu Sality přispěla zejména jeho P2P architektura, v rámci níž jednotlivé boty komunikovaly při šíření instrukcí provozovatelů přímo mezi sebou, a síť tak neměla žádný centrální C2 server, jehož odstavení by ji vyřadilo z provozu. Právě P2P architektura botnetu se však nakonec stala jeho slabinou.
Vzhledem k tomu, že jednotlivé uzly v P2P síti nijak neověřovaly identitu ostatních účastníků komunikace, bylo možné do botnetu připojit i „falešné“ uzly a s jejich pomocí do botnetu šířit informace, které vedly k postupnému odstraňování legitimních botů ze seznamů peerů, které si každý bot udržoval (resp. k nahrazování validních peerů tzv. „sinkholy“).
V důsledku výše popsaného narušení P2P komunikace provozovatele botnetu dle dostupných informací zcela přišli o možnost zasílat kompromitovaným systémům nové instrukce a payloady. Zmínku nicméně zaslouží, že samotné narušení P2P komunikace neznamená odstranění nákazy z kompromitovaných zařízení. Napadené systémy tedy i nadále zůstávají infikované, nicméně vzhledem k tomu, že nyní komunikují pouze se „sinkhole“ infrastrukturou, škodliví aktéři je již nemohou vzdáleně ovládat.
CISA publikovala doporučení pro efektivní komunikaci (nejen) při IT a OT incidentech
Americká agentura CISA společně s partnerskými bezpečnostními organizacemi ve středu zveřejnila doporučení pro efektivní komunikaci během incidentů zasahujících informační a provozní technologie a během souvisejících výpadků infrastruktury.
Přestože zmiňovaný dokument je určen především poskytovatelům služeb, jeho základní principy jsou použitelné v de facto libovolném typu organizací. Ačkoli jde o relativně obecný materiál, lze jej považovat za potenciálně zajímavý návod i pro české organizace, které dosud nemají krizovou komunikaci detailněji formálně zpracovanou a dokumentovanou.
Chyba v Lenovo ID umožňovala získat přístup k účtům na platformě Dropbox
Na zajímavý příklad rizikové interakce, která může vzniknout mezi dvěma jinak legitimními službami, upozornila v uplynulém týdnu odborná média v návaznosti na varování, které společnost Dropbox zaslala některým uživatelům své platformy.
Kvůli chybě v procesu ověřování e-mailové adresy u služby Lenovo ID mohli totiž škodliví aktéři údajně vytvořit na této službě účet s adresou oběti a následně získat přístup k účtu na platformě Dropbox vedenému pod stejnou e-mailovou adresou, a to aniž by znali odpovídající heslo. Výše uvedený postup měl být umožněn v důsledku existence zastaralého, ale stále funkčního integračního mechanismu mezi Lenovo ID a Dropboxem.
Podle dostupných informací měli škodliví aktéři popsaným způsobem mezi 4. a 21. srpnem získat přístup k přibližně pět tisícům účtů na platformě Dropbox. Po identifikaci kompromitace Dropbox zablokoval všechny relace autentizované prostřednictvím Lenovo ID a doplnil požadavek na zadání hesla k existujícímu účtu Dropbox při využití tohoto způsobu přihlášení.
Nightmare Eclipse zveřejnil exploity pro Kaspersky Endpoint Security a CrowdStrike Falcon
Výzkumník vystupující pod pseudonymem Nightmare Eclipse, známý zejména publikací exploitů pro zranitelnosti postihující operační systémy Windows, zveřejnil v závěru předminulého týdne (mimo jiné) proof-of-concept exploit HardBreacher, který má umožňovat lokální eskalaci oprávnění s pomocí zranitelnosti v nástroji Kaspersky Endpoint Security pro Windows.
Společnost Kaspersky již údajně relevantní zranitelnost ze jmenovaného produktu odstranila a zajistila distribuci odpovídajících záplat.
Ve čtvrtek v uplynulém týdnu pak jmenovaný výzkumník na výše uvedenou aktivitu navázal a publikoval exploit pro obdobnou zranitelnost v produktu CrowdStrike Falcon, který nazval FalconFlank.
Vzhledem k tomu, že historicky byly vybrané exploity od Nightmare Eclipse v podstatě okamžitě po publikaci využívány škodlivými aktéry, lze organizacím, které výše zmíněné nástroje využívají, doporučit ověřit, že relevantní záplaty byly v jejich prostředí korektně aplikovány.
Nové AI modely relevantní pro kybernetickou bezpečnost
Uplynulý týden byl až nezvykle bohatý na novinky v oblasti kybernetické bezpečnosti a AI. Google představil model Gemini 3.8 Flash Cyber, který má být prostřednictvím programu Fairwind zpřístupněn důvěryhodným bezpečnostním organizacím, Anthropic uvedl modely Claude Fable 5.1 a Claude Mythos 5.1 a OpenAI následně vydalo model GPT-6 Astra.
Asi největší pozornost odborné komunity si přitom získal právě poslední zmiňovný model Astra, který OpenAI jako první ze svých modelů označilo jako „kriticky“ schopný v oblasti kybernetické bezpečnosti, neb má být schopný bez průběžného lidského vedení a při dostupnosti vhodných nástrojů sám efektivně nalézat zranitelnosti a vytvářet exploity pro jejich využití i u dobře zabezpečených systémů.
Je však vhodné zdůraznit, že výše uvedené hodnocení schopností modelu pochází od samotné společnosti OpenAI a nikoli od objektivní třetí strany.
Téměř 22 tisíc on-premise Exchange serverů zřejmě stále obsahuje nezáplatovanou zranitelnost CVE-2026–62911
Organizace Shadowserver v úterý upozornila, že v rámci svých skenů identifikovala 21 899 veřejně dostupných IP adres, na nichž zřejmě běží Microsoft Exchange Servery bez aplikované záplaty na zranitelnost CVE-2026–62911. Tuto záplatu Microsoft publikoval v rámci srpnového Patch Tuesday.
Celkem 496 zranitelných serverů bylo přitom nalezeno v prostředí České republiky. Je však vhodné uvést, že výše uvedené počty mohou být nepřesné, neb skeny realizované ze strany Shadowserveru zpravidla vychází jen z identifikace verzí služeb běžících na serverech, nikoli z aktivních pokusů o potvrzení zranitelnosti u každé jednotlivé instalace.
Zmiňovaná zranitelnost je typu „authentication bypass by capture-replay“ a při řetězení s dalšími známými zranitelnostmi ji lze využít i pro vzdálené spouštění kódu na zranitelném systému.
Vzhledem k tomu, že pro CVE-2026–62911 je údajně již dostupný PoC kód, lze tak vlastníkům postižených systémů doporučit odpovídající záplatu urychleně aplikovat.
Další zajímavosti
Pro pobavení
There’s also a unicode-handling bug in the URL request library, and we’re storing the passwords unsalted … so if we salt them with emoji, we can close three issues at once!
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD – Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…