Zavedenie novej smernice NIST2
Smernica NIS2 prináša mnoho zmien v oblasti zabezpečenia kybernetickej bezpečnosti a týka sa nielen organizácií, ktoré už majú povinnosť zabezpečiť svoje systémy podľa zákona o kybernetickej bezpečnosti, ale aj veľkého počtu organizácií, ktoré budú po novom regulované a doteraz nemuseli plniť žiadne povinnosti. Jednotlivé členské štáty budú mať teraz 21 mesiacov na transpozíciu nových požiadaviek do svojho legislatívneho prostredia. Podľa odhadov by sa mal počet regulovaných organizácií v Českej republike zvýšiť zo súčasných 400 na pravdepodobne viac ako 6000.
Zdroje: https://osveta.nukib.cz/course/view.php?id=145
Skenovanie privátnych kľúčov na GitHube
GitHub zavádza podporu bezplatného skenovania odhalených secrets pre všetky verejné úložiská na svojej platforme. Funguje na základe porovnávania vzorov poskytnutých partnermi a poskytovateľmi služieb alebo definovaných organizáciou. Každá zhoda sa hlási ako bezpečnostné upozornenie. GitHub skenuje v úložiskách viac ako 200 formátov tokenov (vrátane kľúčov API, autentifikačných tokenov, prístupových tokenov, certifikátov správy, poverení, súkromných kľúčov, tajných kľúčov a ďalších). Len od začiatku tohto roka spoločnosť uviedla, že vydala viac ako 1,7 milióna upozornení na potenciálne secrets odhalené vo verejných úložiskách.
Zdroj: https://www.bleepingcomputer.com/news/security/github-rolls-out-free-secret-scanning-for-all-public-repositories
LastPass hlási únik dát
Spoločnosť LastPass odhalila, že zákerný aktéri získali množstvo osobných informácií patriacich jej zákazníkom, ktoré zahŕňajú ich zašifrované trezory s heslami, pomocou údajov odčerpaných z predchádzajúceho vlámania. Medzi odcudzenými údajmi sú základné informácie o zákazníckych účtoch a súvisiace metadáta vrátane názvov spoločností, mien koncových používateľov, fakturačných adries, e-mailových adries, telefónnych čísel a IP adries, z ktorých zákazníci pristupovali k službe LastPass. Tieto zašifrované polia zostávajú zabezpečené 256-bitovým šifrovaním AES a možno ich dešifrovať len pomocou jedinečného šifrovacieho kľúča odvodeného z hlavného hesla každého používateľa ktoré využíva architektúru Zero Knowledge. Toto hlavné heslo nie je v službe LastPass nikdy známe a služba LastPass ho neukladá ani neudržiava.
Zdroj: https://blog.lastpass.com/2022/12/notice-of-recent-security-incident
Gmail spúšťa client-side šifrovanie
Spoločnosť Google oznámila, že jej šifrovanie na strane klienta je pre službu Gmail v beta verzii pre zákazníkov z oblasti Workspace a vzdelávania ako súčasť úsilia o zabezpečenie e-mailov odosielaných pomocou webovej verzie platformy. Používanie šifrovania na strane klienta v službe Gmail zabezpečuje, že citlivé údaje v tele e-mailu a v prílohách sú pre servery spoločnosti Google nerozlúštiteľné.
Zdroj: https://thehackernews.com/2022/12/gmail-encryption.html
Distribuce malware pomocí Excel souborů
Poté, co Microsoft zakázal spouštění makra u souborů stažených z internetu, přišli útočníci s alternativou – XLL soubory. Soubory s koncovkou XLL jsou Excelem běžně spustitelné a mohou obsahovat různé šablony nebo funkce, které se v programu defaultně nevyskytují. Jedná se tedy o obdobný typ souboru jako DLL knihovna, ovšem pouze pro Microsoft Excel. Soubor je programem spouštěn defaultně bez nutnosti předchozích nastavení a útočníci ho tak mohou jednoduše využít v rámci phishingových kampaní k distribuci škodlivých kódů.
Zdroj: https://thehackernews.com/2022/12/apt-hackers-turn-to-malicious-excel-add.html
