Blog of Viettel Cyber Security (Page 2)

BÁO CÁO THỊ TRƯỜNG AN TOÀN THÔNG TIN VIỆT NAM NĂM 2022

The first step to PWN2OWN - A sad one

INTRODUCTION When I was taking a look at the UPnP binary of NETGEAR RAX30 for PWN2OWN Toronto 2022, I found a command injection vulnerability on the LAN side. This is the first vulnerability that I have ever found, but it is a die young one. The patch came right before

Researches

Security wall of S7CommPlus - Part 2

BrieflyIn the previous article, I clearly described the structure of the S7CommPlus protocol and debugged OMSp_core_managed.dll to understand the cryptographic authentication and communication handshake process. From there, we find the position of the functions to calculate the main parameters such as Symmetric key checksum, public key checksum…

Researches

Security wall of S7CommPlus - Part 1

IntroductionSiemens PLC is often used in ISC industrial control systems to perform important logic actions of the operation process. New versions of Siemens PLC from s7-1500 and s7-1200V4.0 used an encryption protocol s7CommPLus to protect against replay attacks. The study below, it can be applied in the SCADA-Based OT

Threats

BÁO CÁO TÌNH HÌNH NGUY CƠ ATTT QUÝ 3 NĂM 2022 - VIETTEL THREAT INTELLIGENCE

Chiến dịch phishing các ngân hàng tại Việt Nam

1. Tổng quan Trong quá trình săn tìm nguy cơ trên không gian mạng, Trung tâm Phân tích và Chia sẻ nguy cơ An ninh mạng Viettel (Viettel Threat Intelligence) đã phát hiện nhiều URL của các trang web lừa đảo, giả mạo thương hiệu doanh nghiệp và tổ chức

Các lỗ hổng mới liên tục xuất hiện trên Zimbra - Phần II

2. CVE-2022-30333 | Lỗ hổng Path Traversal trên UnRar cho phép thực thi mã từ xa trên Zimbra 2.1. Điều kiện tiên quyết • Máy chủ sử dụng Zimbra các phiên bản: o 8.x trước 8.8.15 patch 32. o 9.x trước 9.0.0 patch 25. • Zimbra

Các lỗ hổng mới liên tục xuất hiện trên Zimbra - Phần I

Trong quý 2 và quý 3 năm 2022, Viettel Threat Intelligence ghi nhận các lỗ hổng có mức độ Nghiêm Trọng trên Zimbra (CVE-2022-27924, CVE-2022-30333, CVE-2022-27925 + CVE-2022-37042), sản phẩm mail server được sử dụng phổ biến tại Việt Nam. Các lỗ hổng đều được Viettel Threat Intelligence đánh giá ở

Mustang Panda và một số biến thể của mã độc PlugX được sử dụng phổ biến trong thời gian gần đây - Phần III

Mẫu THORHình 48: Thông tin về biến thể Thor trên VirustotalMã độc là một tệp dll (log.dll) đi kèm với 2 tệp, một tệp exe (bdreinit.exe) có chữ ký hợp lệ của BitDefender và một tệp chứa shellcode và cấu hình (log.dat) của MustangPanda. Mã độc sử

Mustang Panda và một số biến thể của mã độc PlugX được sử dụng phổ biến trong thời gian gần đây - Phần II

Mẫu XOR 2Một số kỹ thuật mớiControl flow flatteningBiến thể mới sử dụng kỹ thuật control flow flattening nhằm gây khó khăn trong việc phân tích mã độc. Kỹ thuật này biến các câu lệnh điều kiện, các vòng lặp hay các khối chương trình trở thành một vòng lặp

Mustang Panda và một số biến thể của mã độc PlugX được sử dụng phổ biến trong thời gian gần đây - Phần I

Tổng quanMustang Panda là một nhóm tấn công được CrowdStrike Falcon Intelligence phát hiện vào 2017. Kể từ khi xuất hiện, Mustang Panda đã thực hiện nhiều chiến dịch tấn công vào các doanh nghiệp và tổ chức tại một số quốc gia như Mỹ, Đức , Mông Cổ, Myanmar, Pakistan,

Cảnh báo thủ đoạn lừa đảo thông qua hình thức vay tiền trực tuyến

Lừa đảo, gian lận tài chính (Financial Fraud) đã và đang trở thành một vấn đề đáng lo ngại, đặc biệt là trong thời đại công nghệ thông tin phát triển như hiện nay. Hình thức lừa đảo này gây ra thiệt hại đáng kể về tài chính cũng như

Researches

1day to 0day(CVE-2022-30024) on TP-Link TL-WR841N

Vulnerabilities on TP-Link TL-WR841N devices Vulnerability Description CVE-2020-8423 Data parsing CVE-2022-24355 File extensions handling CVE-2022-30024 Assignment data CVE-2020-8423Description The vulnerability on TP-LINK's router device with model number TL-WR841N V10 is assigned ID CVE-2020-8423. The vulnerability allows an authenticated attacker to remotely execute arbitrary code on the device by sending a

Researches

NETGEAR R6700v3: 1day Analysis (CVE-2021-34982) Buffer Overflow RCE Vulnerability

About the vulnerability This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of multiple NETGEAR routers. Authentication is not required to exploit this vulnerability. The specific flaw exists within the httpd service, which listens on TCP port 80 by default. When parsing the strings file, the process

Researches

Deep understand ASPX file handling and some related attack vectors

Basic conceptsEach IIS server may be include many websites, each website has Site ID, Physical webroot path, bindings and Root application (and more another applications under child directory): Example website1For example, website1 have: Site ID = 2, Physical Path = C:\website1, Bindings = http:*:81:, two applications (Root application at C:\website1

Threats

BÁO CÁO TÌNH HÌNH NGUY CƠ ATTT QUÝ 2 NĂM 2022 - VIETTEL THREAT INTELLIGENCE

Researches

Pwn2Own 2021 Microsoft Exchange Exploit Chain

VULNERABILITY TITLE Microsoft Exchange Unauthenticated SSRF in Autodiscover frontend service combined with Authentication Bypass in Powershell Backend service and Arbitrary File Write in OAB backend service lead to Remote Code Execution VULNERABILITY SUMMARY The chains of 3 vulnerablity allows remote attackers to write a webshell and execute arbitrary code on

Researches

Tấn Công Thiết Bị OT - Mô Hình Trạm Biến Áp Không Người Trực

Với sự phát triển tự động hóa các nghành công nghiêp và sự quan tâm nhiều hơn đối với các vấn đề an ninh mạng cho hệ thống OT. Để minh họa tấn công trong hệ thống OT chúng tôi mô phỏng lại hệ thống OT trạm biến áp không

Researches

CVE-2022-1040 Sophos XG Firewall Authentication bypass

Sophos XG Firewall Sophos XG Firewall is a firewall solution that provides a combination of both Firewall and Endpoint for information technology infrastructure. Sophos XG Firewall introduces an innovative approach to the way that you manage your firewall, and how you can detect and respond to threats on your network.

Threats

BÁO CÁO TÌNH HÌNH NGUY CƠ ATTT QUÝ 1 NĂM 2022 - VIETTEL THREAT INTELLIGENCE

Chiến dịch khai thác lỗ hổng thực thi mã từ xa trên các hệ thống sử dụng F5 BIG-IP - Phần II

Phần II: Chiến dịch khai thác lỗ hổng thực thi mã từ xa trên các hệ thống sử dụng F5 BIG-IPTheo số liệu của Enlyft; có tới 36.646 công ty trên thế giới sử dụng F5 BIG-IP, chiếm 29,17% toàn bộ số công ty sử dụng các sản

Cảnh báo chiến dịch khai thác lỗ hổng CVE-2022-1388 trên các hệ thống sử dụng F5 BIG-IP - Phần I

F5 BIG-IPBIG-IP là một sản phẩm của hãng F5, là sự kết hợp giữa phần mềm và phần cứng nhằm cung cấp cho người dùng khả năng kiểm soát lưu lượng truy cập qua mạng. Đây là một sản phẩm được sử dụng phổ biến trên thế giới cũng như

Researches

CVE-2022-0540 - Authentication bypass in Seraph

1. ForewordSorry for the late writeup. When the Advisory for CVE-2022-0540 was released, some of my reports were triaged and I was hyped. But later, I lost motivation to complete this write up because all of those reports were marked as out of scope, not eligible for a bounty and

Researches

XSLeaking with my best bud SOP

Introduction During any bug hunting journey, there's bound to be something special. I dedicate this blog post to the most fun CTF-like challenge I encountered working on the Microsoft Dynamics platform. This blog post will go through my revision of an existing XSSLeak technique, then case study into how it

Researches

TP-Link TL-WR940N: Analysis of a 1day (CVE-2022-24355) Buffer Overflow RCE Vulnerability

About the bug CVE-2022-24355 allows network-adjacent attackers to execute arbitrary code on affected installations of TP-Link TL-WR940N routers. Authentication is not required to exploit this vulnerability. The specific flaw exists within the parsing of file name extensions. The issue results from the lack of proper validation of the length of