Dom Zdravlja Novi Sad - dzns.rs

[Petar]

Pozdrav.

Prijavljujem sajt dzns.rs za koji sam saznao pre skoro mesec dana da je najverovatnije hakovan pa zarazen.
Uocio sam ovo prvi put u firmi gde je XDR resenje pocelo da rpijavljuje odlaske zapsolenih na ovaj sajt sa HIGH alarmom
Malware ID: JS/Inject.G4

https://www.virustotal.com/gui/domain/dzns.rs
https://urlquery.net/report/65bc504f-9db...d7314fb413

[y0d4]

si, jedan od indikatora, poslednja linija: wp-content/themes/dzns/assets/js/lib/cyrlatconverter_ignore_list_rs.js?ver=6.0.2

good catch, tnx!

Arhivirano: archive.ph/j4rPT

[1van]

Neka je "poslednja linija" i ovde.

[maxxa]

Inače pre ~mesec dana je bila samo poneka detekcija, VT/urlquery ništa, sada vidim i dva različita malware-a detektuje, dakle možda ima više grupa koje ga koriste tako je to sa neadekvatno setovanim wordpressom...

[Petar]

Kao izazov vidim da napadi postaju sve sofisticiraniji i da ih jednostavno na mreznom nivou sve teze mozemo detektovati i spreciti, i to zato sto:

1. napadaci mogu da koriste QUIC i slicne da zaobidju DeepPacketInspection metode NG Firewall-a,
   
2. Code Obfuscation i slicna sakrivanja ili sifrovanja payload-a kako bi zeobisli i AV detekciju na samom hostu u prvi mah dok ne dodju na disk ili bar memoriju ako se radi o fileless malware-u,
   
3. onda ostaje samo da imamo dobar EDR/XDR na hostu koji moze da detektuje neobicna poansanja i/ili prepozna MITRE ATT&CK® metode.
   

Ovo pisem jel smo imali na poslu slican slucaj gde znamo da odredjeni sajt ima ozbiljne propuste i po poseti istog XDR detektuje u nekim slucajevima inficiran kes web browser-a i klasifikuje detektovan maliciozni kod i karantinira ga.

Medjutim, poluautomatskim ispitivanjem svih fajlova (HTML, CSS, JS, slike...) koji se preuzimaju sa sajta tokom posete nije detektovan ni jedan maliciozni ni na VirusTotalu ni na klijentskom AV-u.

Sav mrezni saobracaj iz SandBox VM-a u opliku .pcap fajla je analiziran pomocu Snort, Zeek i Suricata-e IPS/IDS engine-a i nije pronadjeno nista u vise navrata (sa razlicitim softverima u VM kako bi eventualno zavarali ili trigerovali izvrsavanje potencijalnog trojanca sa sajta).

Pa eto teme za razmisljanje kako bi ste vi mozda se unapred bolje spremili za ispitivanje i odgovor ili zastitu u slicnim situacijama.
Moj zakljucak je da je danas XDR obavezan kao sto je i Antivirus obavezan na radnim stanicama.

[1van]

IP: 95.216.66.15