Blog of Viettel Cyber Security

CVE-2022-47966 SAML ShowStopper

1. IntroductionSAML(Security Assertion Markup Language) & OIDC (OpenID Connect) is the two main SSO (Single-Sign-On) standards. While OIDC is more popular, SAML is mostly used by enterprise organization to authenticate employee. SAML depends on XML signatures & XML Encryption to check if the message come from identity provider (IdP)

Researches

CVE-2022-21587 (Oracle E-Business Suite Unauthenticated RCE)

Introduction Oracle E-Business Suite (Oracle EBS) được biết đến như là một trong những giải pháp ERP (Enterprise Resource Planning) hàng đầu trên thế giới. Đây là một bộ gồm các ứng dụng quản trị doanh nghiệp cho phép quản lí hiệu quả và tự động hóa tất cả các

Researches

The OWASSRF + TabShell exploit chain

We see that one of our vulnerabilities is exploited in the wild Link. So we decided to public the detail analysis of our two bug chain. Any customer has enough information to mitigate these bugs. The vendor also released all patches two weeks ago. This blog post shares the detail

Researches

TP-Link TL-WR940N: 1-days analysis after story. (CVE-2022-43636 & CVE-2022-43635)

After finished my 1-days analysis, I’ve looked into other function of the web service binary and found a funny bug in the authenticate process. I/ Login Process Before we talk about the bug, let’s have a look at the communication between client and device. Login sequenceAs you can

BÁO CÁO THỊ TRƯỜNG AN TOÀN THÔNG TIN VIỆT NAM NĂM 2022

Researches

The first step to PWN2OWN - A sad one

INTRODUCTION When I was taking a look at the UPnP binary of NETGEAR RAX30 for PWN2OWN Toronto 2022, I found a command injection vulnerability on the LAN side. This is the first vulnerability that I have ever found, but it is a die young one. The patch came right before

Researches

Security wall of S7CommPlus - Part 2

BrieflyIn the previous article, I clearly described the structure of the S7CommPlus protocol and debugged OMSp_core_managed.dll to understand the cryptographic authentication and communication handshake process. From there, we find the position of the functions to calculate the main parameters such as Symmetric key checksum, public key checksum…

Researches

Security wall of S7CommPlus - Part 1

IntroductionSiemens PLC is often used in ISC industrial control systems to perform important logic actions of the operation process. New versions of Siemens PLC from s7-1500 and s7-1200V4.0 used an encryption protocol s7CommPLus to protect against replay attacks. The study below, it can be applied in the SCADA-Based OT

Threats

BÁO CÁO TÌNH HÌNH NGUY CƠ ATTT QUÝ 3 NĂM 2022 - VIETTEL THREAT INTELLIGENCE

Chiến dịch phishing các ngân hàng tại Việt Nam

1. Tổng quan Trong quá trình săn tìm nguy cơ trên không gian mạng, Trung tâm Phân tích và Chia sẻ nguy cơ An ninh mạng Viettel (Viettel Threat Intelligence) đã phát hiện nhiều URL của các trang web lừa đảo, giả mạo thương hiệu doanh nghiệp và tổ chức

Các lỗ hổng mới liên tục xuất hiện trên Zimbra - Phần II

2. CVE-2022-30333 | Lỗ hổng Path Traversal trên UnRar cho phép thực thi mã từ xa trên Zimbra 2.1. Điều kiện tiên quyết • Máy chủ sử dụng Zimbra các phiên bản: o 8.x trước 8.8.15 patch 32. o 9.x trước 9.0.0 patch 25. • Zimbra

Các lỗ hổng mới liên tục xuất hiện trên Zimbra - Phần I

Trong quý 2 và quý 3 năm 2022, Viettel Threat Intelligence ghi nhận các lỗ hổng có mức độ Nghiêm Trọng trên Zimbra (CVE-2022-27924, CVE-2022-30333, CVE-2022-27925 + CVE-2022-37042), sản phẩm mail server được sử dụng phổ biến tại Việt Nam. Các lỗ hổng đều được Viettel Threat Intelligence đánh giá ở

Mustang Panda và một số biến thể của mã độc PlugX được sử dụng phổ biến trong thời gian gần đây - Phần III

Mẫu THORHình 48: Thông tin về biến thể Thor trên VirustotalMã độc là một tệp dll (log.dll) đi kèm với 2 tệp, một tệp exe (bdreinit.exe) có chữ ký hợp lệ của BitDefender và một tệp chứa shellcode và cấu hình (log.dat) của MustangPanda. Mã độc sử

Mustang Panda và một số biến thể của mã độc PlugX được sử dụng phổ biến trong thời gian gần đây - Phần II

Mẫu XOR 2Một số kỹ thuật mớiControl flow flatteningBiến thể mới sử dụng kỹ thuật control flow flattening nhằm gây khó khăn trong việc phân tích mã độc. Kỹ thuật này biến các câu lệnh điều kiện, các vòng lặp hay các khối chương trình trở thành một vòng lặp

Mustang Panda và một số biến thể của mã độc PlugX được sử dụng phổ biến trong thời gian gần đây - Phần I

Tổng quanMustang Panda là một nhóm tấn công được CrowdStrike Falcon Intelligence phát hiện vào 2017. Kể từ khi xuất hiện, Mustang Panda đã thực hiện nhiều chiến dịch tấn công vào các doanh nghiệp và tổ chức tại một số quốc gia như Mỹ, Đức , Mông Cổ, Myanmar, Pakistan,

Cảnh báo thủ đoạn lừa đảo thông qua hình thức vay tiền trực tuyến

Lừa đảo, gian lận tài chính (Financial Fraud) đã và đang trở thành một vấn đề đáng lo ngại, đặc biệt là trong thời đại công nghệ thông tin phát triển như hiện nay. Hình thức lừa đảo này gây ra thiệt hại đáng kể về tài chính cũng như

Researches

1day to 0day(CVE-2022-30024) on TP-Link TL-WR841N

Vulnerabilities on TP-Link TL-WR841N devices Vulnerability Description CVE-2020-8423 Data parsing CVE-2022-24355 File extensions handling CVE-2022-30024 Assignment data CVE-2020-8423Description The vulnerability on TP-LINK's router device with model number TL-WR841N V10 is assigned ID CVE-2020-8423. The vulnerability allows an authenticated attacker to remotely execute arbitrary code on the device by sending a

Researches

NETGEAR R6700v3: 1day Analysis (CVE-2021-34982) Buffer Overflow RCE Vulnerability

About the vulnerability This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of multiple NETGEAR routers. Authentication is not required to exploit this vulnerability. The specific flaw exists within the httpd service, which listens on TCP port 80 by default. When parsing the strings file, the process

Researches

Deep understand ASPX file handling and some related attack vectors

Basic conceptsEach IIS server may be include many websites, each website has Site ID, Physical webroot path, bindings and Root application (and more another applications under child directory): Example website1For example, website1 have: Site ID = 2, Physical Path = C:\website1, Bindings = http:*:81:, two applications (Root application at C:\website1

Threats

BÁO CÁO TÌNH HÌNH NGUY CƠ ATTT QUÝ 2 NĂM 2022 - VIETTEL THREAT INTELLIGENCE

Researches

Pwn2Own 2021 Microsoft Exchange Exploit Chain

VULNERABILITY TITLE Microsoft Exchange Unauthenticated SSRF in Autodiscover frontend service combined with Authentication Bypass in Powershell Backend service and Arbitrary File Write in OAB backend service lead to Remote Code Execution VULNERABILITY SUMMARY The chains of 3 vulnerablity allows remote attackers to write a webshell and execute arbitrary code on

Researches

Tấn Công Thiết Bị OT - Mô Hình Trạm Biến Áp Không Người Trực

Với sự phát triển tự động hóa các nghành công nghiêp và sự quan tâm nhiều hơn đối với các vấn đề an ninh mạng cho hệ thống OT. Để minh họa tấn công trong hệ thống OT chúng tôi mô phỏng lại hệ thống OT trạm biến áp không

Researches

CVE-2022-1040 Sophos XG Firewall Authentication bypass

Sophos XG Firewall Sophos XG Firewall is a firewall solution that provides a combination of both Firewall and Endpoint for information technology infrastructure. Sophos XG Firewall introduces an innovative approach to the way that you manage your firewall, and how you can detect and respond to threats on your network.

Threats

BÁO CÁO TÌNH HÌNH NGUY CƠ ATTT QUÝ 1 NĂM 2022 - VIETTEL THREAT INTELLIGENCE

Chiến dịch khai thác lỗ hổng thực thi mã từ xa trên các hệ thống sử dụng F5 BIG-IP - Phần II

Phần II: Chiến dịch khai thác lỗ hổng thực thi mã từ xa trên các hệ thống sử dụng F5 BIG-IPTheo số liệu của Enlyft; có tới 36.646 công ty trên thế giới sử dụng F5 BIG-IP, chiếm 29,17% toàn bộ số công ty sử dụng các sản