U.S. Government: Update Chrome 80 Now, Multiple Security Concerns Confirmed

 Davey Winder Senior Contributor
Cybersecurity




Update Google Chrome now, U.S. federal agency says. AFP VIA GETTY IMAGES

The Cybersecurity and Infrastructure Security Agency (CISA) has advised users to update Google Chrome as new high-rated security vulnerabilities have been found. Here’s what you need to know.

CISA, a standalone federal agency under the U.S. Department of Homeland Security (DHS) oversight, is responsible for protecting "the Nation’s critical infrastructure from physical and cyber threats." In an April 1 posting, CISA confirmed that Google Chrome version 80.0.3987.162 "addresses vulnerabilities that an attacker could exploit to take control of an affected system," be that Windows, Mac or Linux. It went on to state that it "encourages" users and administrators to apply the update.
Center for Internet Security also issues Google Chrome update advisory

It's not just CISA that is warning about the need to update Google Chrome. The Center for Internet Security (CIS) is a non-profit entity that works to safeguard both private and public organizations against cyber threats. In a multi-state information sharing and analysis center (MS-ISAC) advisory, it has also warned of multiple vulnerabilities in Google Chrome. The most severe of these could allow an attacker to achieve arbitrary code execution within the context of the browser. What does that actually mean? The answer is it depends upon the privileges that have been granted to the application. Still, in a worst-case scenario, the attacker would be able to view data, change data or delete data.
Are these vulnerabilities being exploited right now?

Although, at the time of writing, there have been no in-the-wild reports of these vulnerabilities being exploited by threat actors, that does not reduce the potential impact upon users who do not ensure the security update is applied as soon as possible. All it would take for an attacker to exploit the vulnerabilities is to get the user to visit, by way of a phishing attack or even redirection from a compromised site, a maliciously crafted web page. 

MORE FROM FORBESHackers Trick Thousands Into Downloading Dangerous 'Google Chrome Update'By Davey Winder
Today In: Cybersecurity

What is known about these high-rated security vulnerabilities in Google Chrome?

As is often the case, precise detail of the vulnerabilities is not being disclosed at this stage so as to allow the update to roll out to as many users as possible first. However, what is known is that there are three high-rated vulnerabilities discovered by external researchers that have been allocated Common Vulnerabilities and Exposures (CVE) identification numbers CVE-2020-6450, CVE-2020-6451 and CVE-2020-6452.


CVE-2020-6450 is described as being a use-after-free vulnerability in WebAudio, reported by Man Yue Mo of the Semmle Security Research Team on March 17.

CVE-2020-6451 is another use-after-free vulnerability in WebAudio, also reported by Man Yue Mo but five days earlier.

CVE-2020-6452 was reported, according to the Google Chrome update release blog, by a user just known as 'asnine' on March 9. This one is a heap-buffer overflow in the media component. 

MORE FROM FORBESGoogle Confirms 40,000 Nation-State Cyber Attack Warnings IssuedBy Davey Winder

A further five security vulnerabilities were discovered by the Google internal security team using a combination of internal audits and fuzzing. Fuzz testing is an automated method that prods code with unexpected inputs in order to reveal potential leaks or crashes that could be exploited by a threat actor. The precise nature of these vulnerabilities has not been disclosed by Google at this point.
Update your Google Chrome browser now to protect against these vulnerabilities

Google has said that the Chrome update will roll out over the coming days and weeks, but you really shouldn't wait for your browser to update automatically.

You can check to see what version you currently have by going to Help|About Google Chrome, which revealed that my copy had not been updated this morning, for example. The good news is that checking to see what version you have will also prompt an update to the latest version. You will need to relaunch the browser once the update has been installed and will then be protected against all of the vulnerabilities as mentioned earlier.

How to Find & Fix the Japanese Keyword Hack

APRIL 2, 2020  ART MARTORI

If you’re wondering how to find and fix the Japanese keyword hack, get started by identifying a real-life example. First, open Google Translate, and then get the Japanese characters for the search term buy Ralph Lauren. Copy and paste that into your favorite search engine, and take a look at the results.A website dedicated to technology news from Africa… and Ralph Lauren gear?

Your results may vary, but one of the results in this recent search was a technology news website from Africa. Seems like an odd marketing strategy for them, right?

It’s very likely we just identified an example of the Japanese keyword hack. Read on to learn more about finding and fixing this common type of website infection.
What is the Japanese keyword hack?

The Japanese keyword hack is a type of SEO spam (which we discussed earlier). With these scams, bad actors hijack the search engine ranking of legit websites by compromising them, and then injecting spammy keywords and links.


This lets hackers take advantage of the visibility to promote any number of scams. In our example of the Japanese keyword hack, people searching for Ralph Lauren gear will almost certainly get ripped off if they click on the spammy links and make a purchase.

When a website gets hit with the Japanese keyword hack, it’s crucial to clean the infection immediately. As we just saw, the immediate consequences are obvious. But the longer this hack remains in place, the more damage it does. Let’s take a sec to examine that scenario.
What happens after a Japanese keyword hack?

Like any SEO spam infection, delaying cleanup of the Japanese keyword hack can have long-term consequences. When you look at the time and expense involved with leaving those consequences unchecked, taking immediate actions makes sense.
Your reputation gets damaged — Imagine customers search for your site because they’re attracted by your hard-earned reputation. What are the odds they’ll stay if they see an unfamiliar message in a language they don’t speak?
Your hosting gets suspended — Hosting companies are very sensitive about infected websites. Nobody wants to be the source of dangerous content. Web hosts may suspend sites with SEO spam, so nobody can visit them.
You get blacklisted by Google — Google also seeks to avoid the Japanese keyword hack (along with SEO spam in general). When a hacked site is detected, Google adds it to their blacklist, which will negatively impact a website’s traffic.
How to find the Japanese keyword hack

To find the Japanese keyword hack, start with scanning your website. You’ll discover there are numerous remote-side scanners out there, which comb through the pages your visitors can see to hunt for malware.

We believe our own SiteCheck is one of the best, along with UnmaskParasites. Both of these remote scanners are free and simple to use — all you do is type in the web address of your site, and then let them go to work.


The ultimate tool for finding the source of the Japanese keyword hack is a server-side scanner, which looks not only at public-facing pages, but also in the files and databases people can’t see.

For example, our Website Security Platform includes regular server-sider scans, as well as an array of features engineered to thwart infections like the Japanese keyword hack. In addition to the tools we just discussed, make sure to get on Google Search Console for a comprehensive view of your website’s overall health.
How to fix the Japanese keyword hack

Now that we’ve learned how to find the Japanese keyword hack, let’s figure out how to fix it. This basically comes down to deleting all the content hackers created, and then closing any vulnerabilities they used to access the website.

This is a highly involved process you can either attempt to do yourself or have a professional handle for you. For most people, the latter solution is recommended.

That’s because a poorly executed cleanup leads to a site getting reinfected. And as we saw earlier, the costs and damage only increase the longer a website remains infected. Reputable companies like Sucuri, however, typically offer a money-back guarantee in case a cleanup isn’t totally satisfactory.
Closing thoughts on the Japanese keyword hack

The Japanese keyword hack is bad news for any individual or organization operating a website. This common form of SEO spam defaces your site, damages your reputation, and can even cut off traffic you’ll never recover. And the longer it remains in place, the harder it is to get things back to normal.


Meanwhile, bad actors keep working away. Our security researchers are always discovering new kinds of SEO spam that most folks have yet to learn about, which target all types of CMS’s and tech providers. This makes securing your site from SEO spam injections all the more important.

When it comes to finding and fixing the Japanese keyword hack, the best strategy is avoiding it entirely. A security apparatus like the Sucuri Web Application Firewall (WAF) is truly a fire-and-forget solution in this instance. That’s because it’s constantly updated by security researchers in order to identify and block even the latest threats. All you need to do is set up your site behind the WAF, and then enjoy the peace of mind.

Νέα COVID-19 malware διαγράφουν αρχεία και επηρεάζουν το MBR του PC σας

By Digital Fortress 2 Απριλίου 2020, 12:44



Η πανδημία του COVID-19 έχει προκαλέσει πολλά προβλήματα σε όλο τον κόσμο. Τα σημαντικότερα από αυτά είναι η υγεία και η οικονομία. Ωστόσο, δεν πρέπει να ξεχνάμε και τους κακόβουλους hackers, που βρίσκουν ευκαιρία να κάνουν επιθέσεις, τώρα που υπάρχει αυτή η γενικότερη ανησυχία. Υπάρχουν για παράδειγμα, κάποια λογισμικά, που έχουν ονομαστεί COVID-19 malware, και καταστρέφουν τα συστήματα, είτε διαγράφοντας αρχεία είτε καθιστώντας απροσπέλαστο το master boot record (MBR) του υπολογιστή.

Έχουν εντοπιστεί τουλάχιστον πέντε διαφορετικά COVID-19 malware. Ορισμένα έχουν ήδη χρησιμοποιηθεί και έχουν μολύνει χρήστες, ενώ άλλα φαίνεται να έχουν δημιουργηθεί μόνο ως δοκιμές ή για πλάκα.

Το κοινό στοιχείο όλων αυτών των malware είναι ότι σχετίζονται με τον COVID-19 και στοχεύουν πιο πολύ στην καταστροφή των συστημάτων και λιγότερο στο οικονομικό κέρδος.

MBR-rewriting malware

Κάποια από τα πιο επικίνδυνα COVID-19 malware, που εντοπίστηκαν τον περασμένο μήνα, είναι δύο που καθιστούν απροσπέλαστο το master boot record (MBR) του υπολογιστή.

Σίγουρα χρειάστηκαν προηγμένες τεχνικές γνώσεις για τη δημιουργία αυτών των COVID-19 malware.

Το πρώτο MBR-rewriter ανακαλύφθηκε από έναν ερευνητή ασφαλείας και αναλύεται λεπτομερώς σε μια αναφορά από την SonicWall. Το malware έχει το όνομα COVID-19.exe και μολύνει έναν υπολογιστή σε δύο στάδια.

Στο πρώτο στάδιο, εμφανίζεται απλώς ένα ενοχλητικό παράθυρο, που οι χρήστες δεν μπορούν να κλείσουν, επειδή το COVID-19 malware έχει ήδη απενεργοποιήσει το Windows Task Manager.


Ενώ οι χρήστες ασχολούνται με αυτό το ενοχλητικό παράθυρο, το κακόβουλο πρόγραμμα σιωπηλά επηρεάζει το MBR. Στη συνέχεια, επανεκκινεί τον υπολογιστή και ξεκινάει το νέο MBR, αποκλείοντας τους χρήστες σε μια pre-boot οθόνη.

Οι χρήστες μπορούν τελικά να αποκτήσουν ξανά πρόσβαση στους υπολογιστές τους, αλλά θα χρειαστούν ειδικές εφαρμογές που θα χρησιμοποιηθούν για την ανάκτηση του MBR.


Ένα άλλο αντίστοιχο malware, που είναι ακόμα πιο εξελιγμένο, λέγεται “CoronaVirus ransomware“. Η κύρια λειτουργία του συγκεκριμένου COVID-19 malware είναι να κλέψει τους κωδικούς πρόσβασης από έναν μολυσμένο υπολογιστή και στη συνέχεια να μιμηθεί το ransomware για να εξαπατήσει τον χρήστη και να καλύψει τον πραγματικό σκοπό του.

Στην πραγματικότητα, δεν είναι ransomware. Απλά εμφανίζεται ως ransomware. Μόλις ολοκληρωθούν οι διαδικασίες κλοπής δεδομένων, το κακόβουλο λογισμικό μπαίνει σε μια φάση όπου επηρεάζει το MBR και μπλοκάρει τους χρήστες σε ένα ransomware μήνυμα, αποτρέποντας την πρόσβαση στους υπολογιστές τους. Οι χρήστες βλέπουν ένα σημείωμα που ζητά λύτρα και στη συνέχεια διαπιστώνουν ότι δεν μπορούν να έχουν πρόσβαση στους υπολογιστές τους. Επομένως, το τελευταίο πράγμα που σκέφτονται, είναι να ελέγξουν αν κάποιος έκλεψε τους κωδικούς πρόσβασης από τις εφαρμογές τους.


Σύμφωνα με τον ερευνητή ασφάλειας Vitali Kremez, το κακόβουλο λογισμικό περιείχε, επίσης, κώδικα που επέτρεπε τη διαγραφή αρχείων. Ωστόσο, δεν ήταν ενεργός στα δείγματα που ανέλυσαν.

Διαγραφή δεδομένων

Ωστόσο, οι ερευνητές ασφαλείας έχουν εντοπίσει και άλλα COVID-19 malware, που ειδικεύονται στη διαγραφή δεδομένων.

Το πρώτο εντοπίστηκε τον Φεβρουάριο. Το όνομα του κακόβουλου αρχείου είναι γραμμένο στα κινεζικά και πιθανότατα απευθύνεται σε Κινέζους χρήστες. Δεν είναι γνωστό αν έχουν πραγματοποιηθεί επιθέσεις ή αν γίνονται απλά δοκιμές.

Το δεύτερο εντοπίστηκε χθες. Ανέβηκε στο VirusTotal από κάποιον που βρίσκεται στην Ιταλία.

Οι ερευνητές θεωρούν ότι τα δύο malware δεν είναι πολύ αποτελεσματικά, καθώς έχουν λάθη και χρησιμοποιούν χρονοβόρες διαδικασίες για τη διαγραφή των αρχείων στα μολυσμένα συστήματα. Ωστόσο, αν χρησιμοποιηθούν σε επιθέσεις, μπορούν να “κάνουν τη δουλειά τους”.

LimeRAT Trojan: Διαδίδεται με τεχνική κρυπτογράφησης αρχείων Excel

By Pohackontas
1 Απριλίου 2020, 18:28

Μια νέα εκστρατεία διαδίδει το Trojan απομακρυσμένης πρόσβασης LimeRAT χρησιμοποιώντας μια παλιά τεχνική κρυπτογράφησης αρχείων Excel. Το LimeRAT είναι ένα απλό Trojan που έχει σχεδιαστεί για υπολογιστές Windows. Αυτό το malware μπορεί να εγκαταστήσει backdoors σε μολυσμένους υπολογιστές και να κρυπτογραφήσει αρχεία με τον ίδιο ακριβώς τρόπο όπως τα άλλα είδη ransomware, να προσθέσει υπολογιστές σε botnets και να εγκαταστήσει miners κρυπτονομισμάτων. 

Επιπλέον, το LimeRAT Trojan μπορεί να εξαπλωθεί μέσω συνδεδεμένων μονάδων USB, να απεγκατασταθεί εάν ανιχνευθεί μια εικονική μηχανή (VM), να “κλειδώσει” οθόνες και να κλέψει δεδομένα που αποστέλλονται στη συνέχεια σε ένα server εντολών και ελέγχου (C2) μέσω κρυπτογράφησης AES (Advanced Encryption Standard). Σε μια νέα εκστρατεία που ανακαλύφθηκε από την Mimecast, το Trojan εμφανίζεται ως payload σε έγγραφα Excel και διαδίδεται μέσω phishing μηνυμάτων. Οι ερευνητές ανέφεραν σε σχετική δημοσίευση στο blog της εταιρείας ότι τα έγγραφα Excel είναι μόνο για ανάγνωση – και όχι κλειδωμένα – καθώς το Excel τα κρυπτογραφεί χωρίς να απαιτεί από τους χρήστες να θέσουν κωδικό πρόσβασης.


Για να αποκρυπτογραφήσει το αρχείο, όταν ανοίξει, το Excel θα προσπαθήσει να χρησιμοποιήσει έναν ενσωματωμένο κωδικό πρόσβασης, το “VelvetSweatshop”, ο οποίος εφαρμοζόταν στο παρελθόν από τους προγραμματιστές της Microsoft. Εάν αυτό πετύχει, το Excel αποκρυπτογραφεί το αρχείο και επιτρέπει την εκκίνηση μακροεντολών και την έγχυση κακόβουλου payload, διατηρώντας παράλληλα το έγγραφο μόνο για ανάγνωση.

Συνήθως, εάν αποτύχει η αποκρυπτογράφηση μέσω του VelvetSweatshop, τότε οι χρήστες πρέπει να θέσουν κωδικό πρόσβασης. Ωστόσο, η λειτουργία που επιτρέπει μόνο την ανάγνωση ενός αρχείου παρακάμπτει αυτό το βήμα, μειώνοντας έτσι τα βήματα που απαιτούνται για να καταστεί δυνατή η πρόσβαση σε έναν υπολογιστή Windows. Σύμφωνα με τους ερευνητές, το πλεονέκτημα που έχει για έναν χάκερ η λειτουργία που επιτρέπει μόνο την ανάγνωση σε αρχεία Excel, είναι ότι δεν απαιτεί είσοδο χρήστη, ενώ το σύστημα του Microsoft Office δεν θα εμφανίσει κάποια προειδοποίηση παρά μόνο μία ειδοποίηση που θα λέει ότι το αρχείο είναι μόνο για ανάγνωση.

Η νέα εκστρατεία που έχει δημιουργηθεί για τη διάδοση του LimeRAT χρησιμοποιεί αυτή την τεχνική, η οποία πρωτοεμφανίστηκε το 2013 και παρουσιάστηκε σε μια διάσκεψη του Virus Bulletin. Επιπλέον, υπάρχει μία ευπάθεια που εντοπίζεται ως CVE-2012-0158, την οποία εκμεταλλεύονται οι χάκερς. Αξίζει να σημειωθεί ότι το θέμα αυτό έχει παρουσιαστεί πριν πολύ καιρό. Ωστόσο, η Sophos σημειώνει ότι οι χάκερς εξακολουθούν να εκμεταλλεύονται την εν λόγω ευπάθεια σε μια υπόθεση που θεωρείται “αξιοσημείωτη”. 

Η Mimecast αναφέρει ότι οι χάκερς χρησιμοποιούν επίσης ένα σύνολο άλλων τεχνικών, σε μια προσπάθεια να εξαπατήσουν τα συστήματα των χρηστών, κρυπτογραφώντας το περιεχόμενο του υπολογιστικού φύλλου για να κρύψουν την εκμετάλλευση και το payload. Τέλος, η Microsoft έχει ενημερωθεί ότι η εν λόγω ευπάθεια χρησιμοποιείται και πάλι.

Coronavirus ‘Financial Relief’ Phishing Attacks Spike

Author:Lindsey O'Donnell
April 1, 2020 3:48 pm


A spate of phishing attacks have promised financial relief due to the coronavirus pandemic – but in reality swiped victims’ credentials, payment card data and more.


Researchers are warning of an upward surge in social-engineering lures in malicious emails that promise victims financial relief during the coronavirus pandemic.

The slew of campaigns piggy-back on news of governments mulling financial relief packages, in response to the economic stall brought on by consumers social distance themselves. This latest trend shows cybercriminals continuing to look to the newest developments in the coronavirus saga as leverage for phishing campaigns, targeted emails spreading malware and more.

“These campaigns use the promise of payments by global governments and businesses (specifically financial institutions) aimed at easing the economic impact of the ongoing pandemic to urge users to click links or download files,” said Proofpoint researchers, in analysis released Wednesday.


One credential-phishing campaign has been spotted primarily targeting U.S. healthcare and higher-education organizations (as well as the technology industry, including information-security companies), with a message purporting to be from their payroll departments.

The emails, titled “General Payroll !” explain that the Trump administration “is considering” sending most American adults a check to help stimulate the economy.

“The Trump administration is considering sending most American adults a check for $1,000 as part of the efforts to stimulate the economy and help workers whose jobs have been disrupted by business closures because of the pandemic,” says the message. “All staff/faculty & employee include student are expected to verify their email account for new payroll directory and adjustment for the month of March benefit payment.”

Researchers said that these emails come with plenty of red flags, including their “crude design,” with clear grammatical and spelling errors as can be seen above. The messages also use a basic web page that’s clearly branded by a free website maker for its phishing landing page.

The message asks recipients to verify their email accounts through a malicious link (called the “MARCH-BENEFIT secure link”) that directs them to a phishing page. This phishing page then asks for their usernames, email addresses and passwords tied to their employee benefits.



Researchers pointed to similar phishing campaigns in Australia and the U.K. In Australia, a campaign was discovered using emails claiming to be from a major Australian newspaper and using the subject line, “Government announces increased tax benefits in response to the coronavirus.” These email messages contain a PDF attachment with an embedded URL that leads to a phishing page, where victims are asked to input their Microsoft OneDrive credentials.

In the U.K., a large email campaign was uncovered targeting manufacturing, technology, transportation, healthcare, aerospace, retail, energy, technology, business services and hospitality companies. The campaign emails claim to be from a major (unnamed) United Kingdom bank. It offers 300 Singapore dollars (approximately $210 USD) as financial support, and tells the recipient to “Start Here” to claim the money by clicking on a link. That then leads them to the attacker-controlled landing page that asks for their name, address and credit-card number.

Another, smaller campaign targets technology and IT organizations, purporting to be from the World Health Organization (WHO) and the International Monetary Fund (IMF). These emails, sent with a subject line of “COVID 19 : Relief Compensation,” tells recipients they have been “randomly selected to be compensated financially due to the outbreak of the COVID-19 Epidemic outbreak” and asks them to learn more by clicking on an fake Microsoft Excel-branded attachment that gathers emails and passwords.

Attackers continue to leverage coronavirus-themed cyberattacks as panic around the global pandemic continues – including malware attacks, booby-trapped URLs and credential-stuffing scams. Researchers warned that users should continue to be on the lookout for phishing emails playing into fears around the coronavirus pandemic.

Zeus Sphinx for instance was recently spotted joining the growing fray of COVID-19-themed phishing and malspam campaigns, using a government-assistance lure.

“The ongoing shift to coronavirus-themed messages and campaigns is truly social engineering at scale, and these recent payment-related lures underscore that threat actors are paying attention to new developments,” researchers said. “We anticipate threat actors will continue modifying their strategies as the news surrounding COVID-19 shifts.”