Уязвимости в API и цепочках поставок снова в центре внимания: исследователь подтвердил утечку привилегированных ключей на сайтах аэропортов, производитель аппаратных кошельков предупредил о фишинге после взлома почтового провайдера, а хакеры получили доступ к пациентам через скомпрометированные учётные данные поставщика.
1. Исследователь Скотт Хелм заявил, что анализ подтверждает claim FulcrumSec о том, что Manchester Airports Group (MAG) оставила привилегированные API-ключи Iterable в клиентском JavaScript на сайтах трёх аэропортов — Манчестера, Станстеда и Ист-Мидлендса. По данным Хелма, ключи были открыты с июня–июля 2022 года по август 2026 года и давали доступ к профилям клиентов, бронированиям парковки и лаунжей, а также к конечным точкам, позволяющим удалять записи. Источник: theregister.com
2. Производитель аппаратных криптокошельков Trezor 9 сентября предупредил клиентов, что после взлома стороннего email-провайдера злоумышленники рассылают фишинговые письма с домена help@trezor.io, выдавая их за «критическое предупреждение безопасности» об уязвимости микроконтроллеров STM32. Компания заявила, что домен уже отключён и ведётся расследование. Источник: bleepingcomputer.com
3. Компания Veradigm, ранее известная как Allscripts Healthcare Solutions, раскрыла утечку данных пациентов после инцидента у стороннего поставщика: злоумышленник получил учётные данные для API Veradigm, предназначенного для обслуживания клиентов, и скопировал персональные данные, включая номера социального страхования. В заявлении для SEC компания отметила, что доступ был ограничен этим интерфейсом и не затронул сети, серверы или базы данных. Источник: bleepingcomputer.com
4. Группа ShinyHunters заявила о взломе базы данных Driver and Vehicle Information Database (DAVID) Департамента безопасности дорожного движения и автотранспортных средств Флориды и краже более 200 000 записей. В качестве доказательства опубликован скриншот записи Джеффри Эпштейна с адресом, номером социального страхования, датой рождения, номером водительских прав и зарегистрированными автомобилями; департаменту дан срок до 11 сентября для переговоров. Источник: csoonline.com
5. Злоумышленники взломали устройства F5 BIG-IP APM, развернув Linux-руткит, который перехватывает загрузку PHP-файлов и внедряет безфайловый веб-шелл непосредственно в память, избегая записи вредоносного кода на диск. Источник: bleepingcomputer.com